iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 9篇
近 24 小時: 9篇
近 7 天: 116篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 10:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 116 篇內文

3
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

路透社2筆關係
彭博社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

中國扶植自有開源雲端平臺Gitee
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於擔心美中資訊、外交戰白熱化影響，造成中國開源碼社群無法使用美國的GitHub，中國政府號召中國公司代管<a href="https://blog.gitee.com/2020/08/17/gitee-gxb/" target="_blank">Gitee</a>，以推動自有開源碼平臺。</p> <p>中國工信部今年7月中發表<a href="https://www.cec-ec.com.cn/cms/channel/1xmgg3/648.htm" target="_blank">「2020年開源托管平臺項目」</a>的政府標案結果，由開源中國（背後為一家總部位於深圳的奧思網絡科技）、中國官方單位（包括工信部信息安全發展研究中心、電子第五研究所、中國電子技術標準化研究院）、華為、浪潮、蘇州稜鏡七彩等10家機構拿到標案，將以Gitee建設中國獨立的開源代管平臺。</p> <p>一如中國發展自有晶片、半導體技術及作業系統，這項標案或許也反映中國為了擺脫美國的技術箝制，而啟動的技術自主化計畫。</p> <p>為了發展開源碼，中國開發人員十分仰賴GitHub。根據<a href="https://zh.wikipedia.org/zh-hant/%E5%AF%B9GitHub%E7%9A%84%E5%AE%A1%E6%9F%A5%E5%92%8C%E5%B0%81%E9%94%81" target="_blank">維基百科</a>，2013年中國網路防火牆封鎖了GitHub，不但引發時任Google中國高層的李開復在新浪微博批評，其訊息也被大量轉發，三天後GitHub被解除封鎖。而近年雖然中國官方仍對GitHub心有忌憚，但不像Google、臉書、紐約時報等美國知名網站，GitHub在中國大部份地區仍然可使用，顯示其在中國開發人員之間的影響力。</p> <p>然而今天GitHub已成為微軟的一項業務，作為美國公司，可能成為美國政府制裁外國的利器。在去年5月美國商務部將華為列入實體名單後，微軟是否中斷對華為等中國公司授權Windows一直引人關注，但Techcrunch報導，去年7月微軟也曾配合美國政府政策，切斷伊朗、敍利亞、及克里米亞對GitHub部份服務的存取。</p> <p>成立7年的Gitee是中國當地的開源雲端平臺，根據<a href="https://gitee.com/?from=blog" target="_blank">其網站</a>指出，現今Gitee代管了超過1000萬個開源專案，號稱中國第一、全球僅次於GitHub的開源專案代管平臺，開發人員超過500萬，企業用戶超過10萬家。</p> <p>Gitee指出，開源產業是中國軟體和資訊技術業的發展重點，獲得國家支持後，將有助於提供本地開發人員一個平臺，透過開源碼加速中國的資訊技術創新水準。</p> <p>從去年5月美國商務部啟動對華為禁令後，Google中止提供華為新手機的Android及Google應用授權，經過將近一年透過臨時通用許可（temporary general license）允許美國電信業採購華為產品，商務部本月擴大<a href="https://www.ithome.com.tw/news/139457" target="_blank">對華為制裁</a>，且不再展延TLG，完全中斷了華為使用Android的管道。</p> </div></div></div>
2020/8/24 11:25作者林妍溱https://www.ithome.com.tw/news/139570
【關鍵資安議題】新世代資安指揮中心來了！提供更強大洞察力與執行力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-0821.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">NG-SOC成為新世代資安指揮中心的要角，更著重積極且主動的快速應變。因此，若我們要發展這樣的防護體系，能否具備NG-SIEM、XDR、CTI，以及SOAR等四大關鍵能力，將是朝向NG-SOC的要素。（圖片來源／黃繼民）</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>綜觀近年的資安趨勢發展，威脅的挑戰程度，遠超過多數已布建的資安防護工事，用電玩遊戲來比喻，相當於一名等級100的玩家突然遭遇到等級999的魔物來襲，是個挑戰困難度高到失衡的狀態；但在現實世界中，我們並無法透過大量課金作弊升級、買神裝或神卡，來克服資安威脅攻擊。然而，資安防護任務並非單一個人或小團體的作戰方式，面對層出不窮、已知與未知的現代資安威脅，我們必須透過組織群體合作方式，才能確實有效地應對。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-1(8).jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">駭客攻擊手法已經超出傳統防護模式，企業必須能夠同時從多方位、多維度分析，萃取出威脅情資，並且即時反應處理。</strong><strong style="color: rgb(105, 105, 105);">圖片來源／黃繼民</strong></p> <p>而在資安防護的工作上，SOC過往一直是扮演資安工作的情訊收集，以及持續監控通報的角色，主要由人員、技術、程序等三大構面來組成運作，協助資安事件調查分析與告警通報等功能任務，但由於SOC在事件處理的主動性不足，因此，往往被定位為後勤支援角色。</p> <p>不過，這幾年以來，新一代的SOC崛起，已成為現代資安防護任務不可或缺的資安指揮中心，因為對於資安威脅，SOC除了要能「感覺到」、「看得見」，還要能夠「思考明辨」，並且快速做出準確的行動反應。</p> <p><span style="font-size: 28px;"><strong>SOC的型態發展轉變</strong></span></p> <p>一般而言，SOC被稱之為「資安監控維運中心」，最初出現於1975年，主要的工作與任務是協助政府及國防組織，針對防禦低影響的惡意程式碼（意即電腦病毒）的分析研究；到了2007年左右，網際網路的普及，也將資安威脅帶到新的時代，SOC開始因應APT（進階持續威脅）的資安趨勢，而有了大幅改變，而這也是現今比較廣為認知的SOC型態，主要的功能是針對日誌記錄的收集與保存，並且根據常見已知定義的規則生成警報。</p> <p>在此一階段的SOC運作模式中，我們相當倚重的作法，是運用日誌管理系統（Log Management），以及安全資訊事件管理系統（SIEM），而這樣的機制也延續至今。</p> <p>但是，隨著各式新興科技應用的出現，以及各種使用多年的舊有技術接連被揭露安全性漏洞問題，因此，現代的資安防護者須面對巨量且複雜的資訊，還有快速出現但來不及搞懂、學習的新東西。</p> <p>同時，由於傳統的SOC採取消極處理機制，因此，我們在發現入侵（Time to Detect，TTD）和有效回應（Time to Response，TTR）所需的平均時間，已分別增加至197天和69天，而在這一段風險的空窗期間，足以讓駭客完成布局。</p> <p>到了新一代的SOC，則提升為「資安指揮中心」的專責單位，尤其在最近的資安法規中，也明定要求組織內對於SOC的必要性。事實上，新一代SOC需要具備更積極的處理機制，以及快速偵測回應，包括更精確的事件通報、更充足的資安情資、更具體的建議幫助決策執行，進一步做到預警、預測、預防的提前主動性，目的就是要求快速跟精確。究竟，我們將如何建構出具備洞察力與執行力的新世代資安指揮中心（NG-SOC），以下我將針對四項關鍵能力來說明。</p> <p><span style="font-size: 28px;"><strong>NG-SIEM提升資安情報的掌握能力</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/600-2-821.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>NG-SIEM已經加入智能分析能力，能夠針對巨量多變的現代資安攻擊威脅快速分析，提出更精確的情報資訊。在下一階段，NG-SIEM則邁向主動防禦，與SOAR技術整合搭配是未來趨勢發展。</strong>圖片來源／黃繼民</span></p> <p>SIEM也被稱為資安戰情平臺，是幫助SOC資安人員掌握資安事件狀態，以及下定決策的情報中心；但是，過往SOC所採行的舊式SIEM，對於資安事件的處理模式，多半著重於事件日誌的接收保管及機器式的過濾條件，即使套用不知從何而來的關聯規則，舊式SIEM所產生出來的內容，仍是被整齊分類與統計的資料（Data），而非有助於資安事件掌握與決策判斷的情報資訊（Information）。</p> <p>而由於舊式SIEM無法即刻提供明白準確的資訊，也造成SOC對於資安事件的應變處理效率低落，在專業人力的需求亦隨之提升，此時，更遑論建立可靠的聯防機制。</p> <p>所以，當我們在面對現今巨量複雜的資安威脅情勢下，後起的次世代SIEM（簡稱NG-SIEM），如今已經引進大數據分析（Big Data），以及智能處理（Intelligence）等二大新技術，做為核心改造提升動力。</p> <p>首先，大數據分析技術主要應用於NG-SIEM的搜尋引擎核心，主流採用的平臺，包括：Splunk、ELK，以及Hadoop等。有鑑於大數據分析對異質性的巨量資料具有極佳的處理效果，因此，對於過往面對的資安事件資料處理議題，能夠有效解決，包括：當下大量不同來源及格式的資料，以及已發生的過往記錄資料追溯，皆可透過低耗能且極快速的方式，進行大量資料分析處理。</p> <p>接著，是智能處理技術，主要涵蓋人工智慧（AI），以及機械學習（ML）的技術。</p> <p>基本上，導入大數據，只是提升資料分析的處理效率，但要將資料轉換成有幫助的資訊，則須利用AI及ML智能技術相輔，才能真正獲得分析的效果。</p> <p>而且，智能處理具備多維度邏輯推演的資料分析能力。相較於傳統機器式的過濾條件跟關聯規則來說，智能處理能夠幫助SOC，使其對於資安事件的資訊掌握度更加準確快速，並且能進一步發現潛伏中的異狀。</p> <p>綜觀上述，NG-SIEM所要扮演的資安戰情平臺，是提升新世代SOC朝向洞察力與執行力的關鍵基底，畢竟，資訊情報的掌握，是無論任何型態的戰爭所必要的，當然也包括資安戰。</p> <p><span style="font-size: 28px;"><strong>XDR提升資安威脅獵捕能力</strong></span></p> <p>「縱深＋聯合防禦」是標準的資安防護準則，實務上，卻不容易達成這些要求，主要原因在於，我們對於資安威脅的偵測（Detection），以及回應（Response）方式，缺乏一致性與協調性。簡單來說，就像瞎子摸象。</p> <p>加上以往的資安工作過於執著於記錄資料（Log Data）的收集，尤其是對於「軌跡保存」與「日後調查舉證」的錯誤認知，因而產生採取下列這些舉動，結果卻成為善盡做好資安工作的「假象」，例如：監督好資安防護系統、偵查系統、存取日誌，以及系統日誌等等的通報跟記錄。</p> <p>但事實上，這些資料對於資安事件的分析與調查工作幫助並不大，主要的原因在於，回應的資料訊息「含金量」不足。</p> <p>因此，EDR是最開始被提出的新一代偵測與回應方法，針對最常遭遇惡意程式威脅的端點（Endpoint），進行「偵測與威脅捕捉、分類、調查和回應」等每個階段的安全作業。</p> <p>而後起的XDR，則是進一步包含網路、端點或雲端等現今主要數據環境，「X」代表多種資料來源，透過連結來自多個來源的數據，清楚完整的提供組織活動整體及各階段偵測到的資安情報。</p> <p>換句話說，透過XDR的偵測方式，並非用單一個「點」來做為資安威脅發現依據，而XDR的回應方式不僅執行阻斷隔離的處置外，更重要的是產生精確的情報資料，對於後續的資安威脅分析作業上，能夠提供更有助於根源追溯、行徑追蹤、行為調查、以及預測、預防的效果，大幅提升威脅獵捕（Threat Hunting）的能力。</p> <p><span style="font-size: 28px;"><strong>CTI提升對於資安威脅的識別能力</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/ISSDU%E5%9C%96%E7%89%874_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E9%BB%83%E7%B9%BC%E6%B0%91.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>資安威脅情資的來源多樣，資安人員必須瞭解不同資安威脅情資的類型，以及取得來源方式。我們若能善用情資，將有助於資安威脅事件的分析判斷，並且預先掌握攻擊的意圖與趨勢。</strong>圖片來源／黃繼民</span></p> <p>CTI是網絡威脅情報（Cyber threat intelligence）的縮寫，或稱之為「威脅情資」。基本上，威脅情資不同於新聞訊息。我們能以冰山理論來解釋兩者的差異，例如，新聞訊息就像在水面上已暴露的資訊，而威脅情資包含更多水面下未曝光的深網、暗網及神秘研究情報，同時，「威脅情資」是關於資安威脅，以及威脅參與者的資訊情報集合體。</p> <p>此外，威脅情資主要是已經被發現揭露的攻擊方式情報，包括：</p> <p><strong>1. 技術情報：<span style="color: rgb(105, 105, 105);">涵蓋了IOC威脅指標、IP/Domain CnC黑名單、惡意程式的檔案名稱或指紋（Hashes）。</span></strong></p> <p><strong>2. 操作手法情報：<span style="color: rgb(105, 105, 105);">有關於該項攻擊威脅所採用的駭客工具、技術，以及程序。</span></strong></p> <p><strong>3. 戰略情報：<span style="color: rgb(105, 105, 105);">針對該項攻擊的總體威脅、影響範圍與傷害程度等資訊。另一個值得關注的資訊，則是威脅參與者（或習慣稱為駭客組織），尤其在APT攻擊、目標攻擊，以及規模型態攻擊的背後，幾乎都有駭客組織的操弄。</span></strong></p> <p>就現今而言，「威脅情資」的取得來源越來越多，有開源免費的與商用付費的資選擇，每一家威脅情資內容的專業度與涵蓋量，各有所擅長之處，因此，在選擇上，我建議至少應取得二家以上的情資來源。</p> <p>另一種「威脅情資」的取得，則來自於「分享」。例如，資安資訊分享與分析中心（ISAC），就是透過類似社團會員之間的資安訊息交換模式。幾年之前，臺灣以資安法推動規範八大關鍵基礎的產業，成立領域ISAC，推動情資格式標準化與系統自動化的分享機制。</p> <p>當資安威脅事件的分析過程中加入「威脅情資」的成分，將有助於SOC對於資安威脅事件的掌控。當資安事件發生時，我們不需要再手忙腳亂、緊張兮兮，而是能夠冷靜識別出哪些攻擊事件的手法技巧，是否源出同門？是否有針對性（例如：產業、系統類型、人員等）？或計畫性（例如以掃描情蒐、慢速測試、間歇探測等）的行為企圖，以及是否存在駭客團體犯罪成份。如果我們能夠適當地結合前述的NG-SIEM與XDR，將有助於SOC資安人員快速做出相對正確的防禦準備。</p> <p><span style="font-size: 28px;"><strong>SOAR 提升資安聯防協作的自動化應變能力</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/ISSDU%E5%9C%96%E7%89%875_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E9%BB%83%E7%B9%BC%E6%B0%91.png" style="width: 600px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>以常見的電子郵件夾帶惡意程式為例，當企業收到一封的可疑郵件時，SOAR可以依據我們針對電子郵件安全政策設計的「劇本（Playbook）」，進行深入檢測分析與應變處理的過程。以往，這一連串的不同作業過程，必須耗費數個小時之久，並且需要將零散的結果彙整報告；而透過SOAR的使用，則可以幫助資安人員於幾秒鐘或幾分鐘內，快速完成一切作業與報告。</strong>圖片來源／黃繼民</span></p> <p>如果說SIEM是善於將資料分析並轉換資訊的大腦，那麼，SOAR則可說專長在應變處理與協調運動的小腦。而對於要做到真正具備洞察力與執行力的SOC資安指揮中心來說，SOAR是重要的關鍵要素。</p> <p>SOAR是什麼？它的全名為Security Orchestration, Automation and Response，意即「資安協作自動化應變」。以過往SIEM為例，對於資安威脅，著重於事件「分析調查與資訊提報」的方法，相較之下，SOAR聚焦在事件「應變處理與協調行動」，換言之，SOAR的技術導入，將大大改變過往SOC被認為「說的多」、但「做的少」的窘境，也因此使得SOAR很快成為各方矚目關注的熱門議題。</p> <p>如前面一再提到，現今資安威脅的情況，不僅是數量龐大且型態複雜，單純靠偵查與分析的方法，只會產生更多應接不暇的事件資訊；但不斷湧入的資安威脅資訊量，在無法有效處理消化下，已經導致許多企業組織產生資安恐慌，以及威脅麻痺的狀況。</p> <p>多數企業會建立非常細緻的資安事件應變處理或標準作業程序，但往往流於紙上談兵，主要因素在於，這些機制程序往往因為推演內容不確實、人員熟練度不足、情報資訊傳遞不通暢等弊病，導致最終無法做出準確的應變處置。</p> <p>此外，聯防自動化雖然也被大量討論，但當中對於「自動化」的做法，其實比較像是執行一段單向的機械式指令，當事件符合規則情境時，就針對特定裝置系統觸發執行定義好的執行命令；只是當實際上面對不同情況的資安事件，以及各式的資安系統（不同類型、多種廠牌）時，要達到理想中的自動化及聯合防禦應變，幾乎是不可能的任務。</p> <p>SOAR技術的出現，則是實現「資安協作自動化應變」的最佳方法。為何這麼說？在研究機構Gartner的《Hype Cycle on Threat-Facing Technologies, 2018》報告，當中是這麼解釋的：SOAR是一系列技術的集合，能夠幫助企業和組織，收集安全維運中心監控到的各種資訊（包括各種安全系統產生的警示），並對這些資訊進行事件分析和警示分類；同時，在標準工作流程的指引下，利用人機結合的方式，幫助安全維運人員定義、排序，以及驅動標準化的事件應變。</p> <p>在技術上，「SOAR資安協作自動化應變」可獨立運作，或是與SIEM相互整合搭配，同時，它也具備了下列三大重要特色：協調作業（Orchestration）、自動化（Automation），以及應變（Response），而這些應用機制的出現，明顯針對傳統資安維運工作所難以達成的部分，進行改善跟補強。</p> <p>而對於企業組織而言，SOAR以技術的形式。將SOC的人員、程序、及技術等三大要素加以整合串聯，將企業組織中不同的系統，或是一個系統中不同元件的安全能力，透過「應用程式介面（API）」的使用，按照一定的邏輯關係，組合成各式的「劇本（Playbook）」，而這些劇本可說是將擬訂好的標準作業及流程，以更具體的可視性圖形呈現，並據此執行完成各種對應的安全作業程序。</p> <p>此外，這些程序能以完全自動化或半自動化的方式來執行。以全自動化模式來說，多半套用在常態性作業（Regular Operations），而半自動化則是在執行動作之前先由相關負責的資安人員或IT人員作「判斷跟決定」，如此可以減少人員在面對多樣不同系統的高度專業要求，並且降低人為操作錯誤跟帳號權限分配等問題。最後，當SOAR對於資安事件的應變處理記錄，也具備資安威脅事件管理效果，其執行的警示通報、工單流程紀錄、各程序執行結果，都將幫助SOC更精準地面對資安威脅事件的調查分析，並且提供政策調整改善的依據。</p> <p><span style="font-size: 28px;"><strong>如何縮短偵測與應變時間，以及具備精準判讀能力，是未來資安防護最大挑戰</strong></span></p> <p>關於資安防護策略的發展，我們可預期未來將越來越著重於應變處理，對於平均偵測時間（MTTD），以及平均回應時間（MMTR）的要求，也將更加急促。</p> <p>但是，在追求快速的同時，我們對於資安事件的準確識別與判讀，仍需仰賴更智慧的數據分析方法，並且搭配具邏輯的自動化作業，才是完善的解決方法。<span style="color:#696969;"><strong>文☉數聯資安股份有限公司資安管理平台發展處副處長黃繼民</strong></span></p> </div></div></div>
2020/8/24 12:00未署名https://www.ithome.com.tw/article/139571
Gmail/ G Suite冒名信件漏洞通報超過4個月，Google終於修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google稍早針對Gmail和G Suite郵件系統釋出修補程式，以解決一個通報137天、可被人用來發出冒名郵件的漏洞。</p> <p>這項漏洞是<a href="https://ezh.es/blog/2020/08/the-confused-mailman-sending-spf-and-dmarc-passing-mail-as-any-gmail-or-g-suite-customer/" target="_blank">由研究人員Allison Husain發現後向Google通報</a>。這個漏洞發生在Google後端郵件流程規則上，造成冒名轉發，再配合郵件閘道的使用，使攻擊者得以繞過現代郵件系統嚴格的SPF/ DMARC規則保護，冒充G Suite/Gmail用戶發送冒名郵件給他人。</p> <p>SPF（Sender Policy Framework）和DMARC（Domain-based Message Authentication, Reporting, and Conformance）的規則可防止普通冒名信件。原理是將一組網域許可的發信者IP清單交給郵件伺服器比對，不在清單上的IP送出的信，包括冒名或釣魚信件就不會被郵件伺服器接收；反之合法來源送來的信就會被接受。但是研究人員發現的冒名信件攻擊，卻是Google環境獨有。</p> <p>研究人員解釋，G Suite後端全域郵件流程規則（global mail routing rule）設定允許變更收信人，這讓她得以指定任意收信者。而G Suite卻也未驗證就接受了這個收件者值。這使得攻擊者得以利用Google 後端將任何信件，包括冒名信件轉寄出去。而在收信端的郵件伺服器上，來自Google（Gmail、G Suite）後臺的信件，可通過SPF/DMARC規則檢查而被視為合法來源的信。另外，研究人員又發現，只要轉發自Gmail、G Suite的信件包含郵件閘道設定，則終端郵件伺服器就會自動通過SPF/DMRAC檢測，確保郵件連被隔離的可能性都沒有，而是會直接進入收件者信箱。</p> <p>整合G Suite郵件驗證規則中的收信者驗證錯誤及信件閘道，讓攻擊者得以讓Google後端轉發任何網域的信件，包括冒名郵件。而如果被冒名的人剛好也同時有用Gmail或G Suite就更好了，因為這些人的網域會設定允許Google後臺轉發其網域的信件，而可順利通過SPF及DMARC的檢查。另一好處是，垃圾郵件過濾引擎也往往較不會攔阻或封鎖來自Gmail、G Suite的郵件</p> <p>研究人員指出，Google獨有的漏洞讓攻擊者得以發送冒名信件，就連有SPF/SMARC規則防護也會被繞過，使企業用戶面臨詐欺信件或商業電子郵件詐騙（Business Email Compromise，BEC）。</p> <p>Husain於4月初發現該漏洞後即通報Google，但是等到8月1日卻仍不見Google修補的跡象。8月中Google表示，要到9月17日才會釋出修補程式。8月19日時，研究人員以超過137天為由公布漏洞。而在公布後7小時，Google就完成修補。雖然拖了4個月才完成修補，但研究人員仍然讚揚Google態度良好且動作迅速。</p> </div></div></div>
2020/8/24 10:20作者林妍溱https://www.ithome.com.tw/news/139568
【臺灣資安2020的下一步戰略】透過數據驅動的資安情資，做資安防駭超前部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球武漢肺炎確診人數至今已超過一千五百萬人，死亡人數也超過五十萬人，臺灣採用科技作為防疫手段，從邊境控管到居家檢疫與居家隔離的電子圍籬系統等，雖然武漢肺炎疫情從全球大爆發已來、未曾稍緩，臺灣卻因此得以偏安一角，宛如置身與全球民眾平行時空的桃花源。</p> <p>前行政院副院長陳其邁在協助召開跨部會防疫後勤會議時便曾表示，臺灣的科技防疫最寶貴的地方在於，我們彰顯了民主法治國家也可以做到「民主防疫」，在兼顧個資隱私保護和防疫的過程中，取得一個平衡點，而這也是臺灣科技防疫的成效。</p> <p>但是，落實科技防疫，少不了資安作為基礎，臺灣在轉型為數位國家、發展數位經濟的過程中，面對數位轉型的壓力，資安更是一切科技應用的最底層。而我國政府面對「第五期資通安全發展方案」即將於2020年到期，如何規畫下一期的資安對策？除了進一步強化第五期方案的落實度，更要透過數據驅動的資安情資，讓臺灣在資安防護實力上，也能做到超前部署。</p> <p><span style="font-size:28px;"><strong>第五期資通安全發展方案已見成效</strong></span></p> <p>早在2001年，政府開始推動第一期的資通安全基礎建設工作，而這就是2001年～2004年的第一期機制計畫，目的在於「建構資安防護體系，完成政府機關分級機制」；下個階段是2005年～2008年第二期機制計畫，主要是「健全資安防護能力，成立國家資安監控中心」。</p> <p>接著是2009年～2012年第三期發展方案，則在於「強化資安整體應變能力，精進通報應變機制」；隨後是2013年～2016年第四期發展方案，重點在於「加強資安防護，管理二線監控機制與資安情報分享」。</p> <p>到了最近的2017年～2020年第五期資通安全發展方案，則是以「打造安全可信賴的數位國家」為願景，並以「建構國家資安聯防體系，提升整體資安防護機制，強化資安自主產業發展」作為發展目標；而政府具體推動的方案，則從「完備資安基礎環境」、「建構國家資安聯防體系」、「推升資安產業自主能量」及「孕育優質資安菁英人才」等四個面向著手。</p> <p>首先，完成資安管理法的立法，以及相關的法規調適，並因應新興科技發展，研擬相關的資安標準規範，是「完備資安基礎環境」這個面向的第一步；接下來，藉由強化通訊網路資安防禦與應變能量、強化物聯網安全並推動安全驗證標章，推動政府資料中心整合，優化政府網路防禦架構，就可以做到強化基礎通訊網路韌性及安全；第三步就是建立政府資安治理模式，包括：建立國家層級資安風險管理機制，以及推動政府機關導入資安治理制度，進行資安成熟度評估。</p> <p>第二個面向「建構國家資安聯防體系」，則是透過資安鐵三角：國安會、資安處及通傳會，連結八大關鍵基礎設施的主管機關，並打造ISAC（資安資訊分享中心）、CERT（電腦緊急事故處理小組）和SOC（資安維運中心），也做到強化關鍵資訊基礎設施資安防護、建立跨域資安聯防機制，以及精進網路犯罪防制能量。</p> <p>在「推升資安產業自主能量」面向上，不僅要發展新興資安產業，連結國家防衛自主需求並發展國內資安產業生態系，也要藉由推動國內廠商資安產品納入共同供應契約，以及建立資安產業標準及檢測認驗證機制，做到輔導資安產業升級；更要以國內產業技術自主為導向發展關鍵技術，達到鏈結產學研能量、發展新興資安技術的目標。</p> <p>最後，在「孕育優質資安菁英人才」面向上，我們可以從投入資源、厚植大專校院資安人才培育量能，或者是拔擢在職人士培育產業所需之資安專業人才，做到增加市場資安人才供給。另外，也要做到提升政府資安人力專業職能，而這部分工作可以從下列項目著手，像是：發展政府資安人員職能及領域職能藍圖並辦理培訓、建立資安訓練單位認證制度、培養公務人員資安基本知能，以及推動政府機關設置資安專職人力。</p> <p><span style="font-size:28px;"><strong>在既有基礎上，未來將強化資安政策落實度</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%A1%98%E6%99%AF-%E7%B0%A1%E5%AE%8F%E5%81%89-600-1.png" style="width: 600px;" /></strong></span></p> <p>接下來，政府預計規畫的「第六期資通安全發展方案」，重點就是「落實」。資安法從2019年元旦實施後發現，很多法律規範和實際執行面之間存在著落差。而這也是為什麼要將政府機關的資安責任等級進行區隔，而目前我國政府單位分成A到E五級，舉例來說，E級就是連電腦都沒有、不需承擔資安責任的單位，例如清潔隊。</p> <p>法遵是政府運作的基礎，臺灣資安法通過後也突顯一些問題，例如，法律規定各級機關有其規範的資安人力，但事實上，各個機關目前並沒有足夠的資安人力，未來如何落實法律規範的資安人力？又該如何確保相關的資安人力品質呢？資安法在專責資安人力的規定上，提供2年法律緩衝，可以透過委外等方式補足專責資安人力的不足，但緩衝期將於2020年底截止，未來，機關如何落實專責資安人力的規定，將成為各級機關的大挑戰。</p> <p>另外，關注的重點還包括：資安維護計畫如何落實，以及部會該如何稽核所屬機關的資安防護。曾經在2018年～2019年擔任縣市政府的資安稽核員，也會把相關的資安稽核方法整理後提供給各機關，重點是，部會要妥善管理所屬機關；而主管機關要管好關鍵基礎設施，未來讓各機關有機會培養自己合格的稽核員，做到稽核要務實，而不要流於紙上談兵。</p> <p>第五期資通安全發展方案對於產業發展，包括鼓勵機關採用臺灣研發的資安產品，提升臺灣資安產品品質，由政府提供測試場域（Test Bed），開放一些關鍵基礎設施的工控設備，提供資安新創公司有場域可以測試，有機會成為臺灣資安新創業者的轉機。</p> <p>資安防護法制化之後，也對於關鍵基礎設施（CI）的辨識、指定，提出明確而具體的定義，也把CI業者的權利義務清楚規範。因為以往資安是指資訊科技和通訊系統的資訊安全，但關鍵基礎設施業者更關注的是工控系統安全，而這個工控系統領域是否有足夠的資安人才，是臺灣未來資安發展的新方向、也是新機會。</p> <p><span style="font-size:28px;"><strong>資安人才培育要能夠與領域專業做結合</strong></span></p> <p>資安人才培育是「雞生蛋、蛋生雞」的問題，市場的確存在、但人才培育來不及趕上，該如何讓市場成長、人才培育能夠銜接得上？</p> <p>關鍵是讓資安人才結合領域專才，例如，讓醫療領域的人懂資安比較容易？還是讓資安領域的人懂醫療比較簡單？以產業現實環境來看，80％是跨領域的資安人才，只有20％是真正資安領域的專業人才。</p> <p>資安人才不足是問題，不過，當機關組織可以新增員額時，為何要把這個員額給資安？很多機關缺資安人才，但補上的可能不是資安人才而是業務人才。資安人才供應是否到位？很多學校畢業生，至少要到業界磨練兩年後，才是比較務實好用的資安人才。</p> <p>第五期資通安全發展方案做資安人才培育，當有足夠的人才，有足夠的市場機會，資安人才需求才會變多。不過，資安人才培育無法一步到位，但至少要六成到位，才能夠慢慢養大資安市場。現在多數人仍將資安視為企業的成本，重點在於，要讓大家意識到資安的重要性，資安其實是企業的投資而不只是成本。</p> <p><span style="font-size:28px;"><strong>把單一資安事件轉變成從數據驅動的資安情資</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%A1%98%E6%99%AF-%E7%B0%A1%E5%AE%8F%E5%81%89-600-2.png" style="width: 600px;" /></strong></span></p> <p>第六期資通安全發展方案的重點，除了強化第五期政策方案的落實度，新的規畫則是要把資安事件處理（IR）的單一事件，轉換成資安情資（Security Intelligence），而這項工作更重要。</p> <p>例如，以某某資安攻擊事件為例，多數人都認為，這只是一個需要被處理的、單一的資安事件，但若可以從資安情資的角度來看，就會變成：因為某某資安事件的發生，所以，我們就能推測ABC產業，有可能會是下一波被駭客鎖定攻擊的對象。</p> <p>這些資安情資的背後，都是由數據驅動而來，換言之，是把潛在的各種攻擊數據轉變成資安情資，例如，知道這些攻擊來自哪裡？目的為何？有哪些延伸的資訊？</p> <p>透過這些資安情資，我們可以即時性看出風險趨勢、能夠採取的策略，甚至可以預測下一波的攻擊趨勢。</p> <p>例如，SWIFT第一個受害的就是孟加拉央行，因為他們揭露了該起資安事件，也讓全球金融業者嚴陣以待、不敢鬆懈。</p> <p>有些駭客集團會攻擊某些特定產業，例如，勒索病毒都鎖定某些產業攻擊，此時，我們就可以根據這些資安情資，來解讀駭客攻擊的動機和手法。這種以資安情資為主的資安防護，目的就是要做到「大膽假設、小心求證、主動防護」。</p> <p>這些由數據驅動的資安情資，若從資安預警角度來看，有事先的徵兆，就可以有對應的行動，目的在於降低風險和可能的損失，不僅有機會將資安防護從以往的被動，化為主動，更有機會做到超前部署。</p> <p><span style="font-size:28px;"><strong>掌握情資，利於資安超前部署</strong></span></p> <p>過往資安防護的推動，一直面臨許多挑戰，而在武漢肺炎肆虐全球之後，臺灣全國齊心協力促成的防疫佳績有目共睹，也對未來臺灣資安的發展，產生了很大的啟發與鼓舞作用。</p> <p>相較之下，防疫和防駭都有相似之處，兩者都是病毒，而且不管再健康的人或企業，都不可能保證一輩子都不會生病或中毒，也沒有任何一種防護方式，可以做到百分之百安全。因此，防疫和防駭的重點，不在於確保永遠不會生病或中毒，而是要知道受損害的範圍，做到災害復原和回復。而既然臺灣能夠利用科技力做到防疫超前部署，那麼，該如何從資安情資的角度，做到資安超前部署呢？</p> <p>以往的資安比較偏重技術面，實務上，各種設備的Log檔四處散布，不容易看、也難以分析，很難一下子看到全貌，我們必須要有好的網路結構，加上有好的可視性，透過視覺化展示，可以清楚知道異常是什麼，接下來就能做到化被動為主動的資安超前部署。</p> <p>超前部署永遠是對的！資安情資的收集、處理與判讀，困難重重，不過，如果有足夠的資安情資，防守方就可以超前部署，這時候就需要更多大數據分析及AI人才。</p> <p>不過，現在很多的資安情資，其實只是「後見之明」、是被動的，未來，如果能善用各種資料數據分析，我們就可以找到隱身幕後的攻擊者。舉例來說，我們透過關聯式分析，能夠找到各種攻擊模式（Pattern），像是以往駭客驅動後門程式回傳資料，較容易發現異常軌跡，但現在這些惡意程式只是偶爾被喚醒，而對外傳送的又是短、小的資訊，很難被發現，而藉由大數據分析，可以幫忙找到模式，就像是從稻草堆中也能找到一根針。</p> <p><span style="font-size:28px;"><strong>資安防護人人有責，應用服務內建資安就是成功</strong></span></p> <p>至於各個產業該如何提升資安？事實上，推動產業的資安並不等於資安產業，臺灣有140家中小企業，扣除掉品牌大廠的供應鏈業者及電子商務業者，小公司該如何做資安？是否有新的商業模式，提供給這些企業呢？</p> <p>要做到讓國內產業對於資安更重視，我們可以進一步思考幾個問題，像是：辦公大樓的資安團購是否可行？連同辦公室必備的多功能事務機加上掃毒，是否可行？例如，美國就有快遞業者，除了幫民眾將電腦送給品牌公司維修外，也搖身一變，成為提供修電腦服務的公司。而基於這種跳脫傳統框架的商業模式，我們也可以試著找出適合中小企業的資安商業模式，而如果資安產業發展得夠快，未來我們也有機會對外輸出這樣的經驗，打國際賽。</p> <p>整體而言，資安不是高大上的議題，但也不應該是麻煩的議題，因為資安與便利性之間是可以獲得平衡的。經歷過去幾年的努力，政府也希望可以讓每個人更懂資安、更重視資安，「資安防護人人有責」，畢竟，勒索病毒的受害者不只是企業，個人也會受害。</p> <p>總統蔡英文在就職演說也提到，資安是六大核心戰略產業之一，過去四年，「資安即國安」，未來四年，則是「資安即國安2.0」。尤其在5G時代來臨，要持續推動資安5+2產業，或是加速各種產業智慧化發展，像是智慧醫療、智慧機械、智慧交通、智慧城市等等，一定要有資安做基礎；當各種數位應用服務都能做到內建資安，這政策就是成功的。<strong>口述☉簡宏偉，整理☉黃彥棻，攝影☉洪政偉</strong></p> </div></div></div>
2020/8/24 09:00作者黃彥棻https://www.ithome.com.tw/news/139538
【關鍵資安議題】新世代資安指揮中心來了！提供更強大的洞察力與執行力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>綜觀近年的資安趨勢發展，威脅的挑戰程度，遠超過多數已布建的資安防護工事，用電玩遊戲來比喻，相當於一名等級100的玩家突然遭遇到等級999的魔物來襲，是個挑戰困難度高到失衡的狀態；但在現實世界中，我們並無法透過大量課金作弊升級、買神裝或神卡，來克服資安威脅攻擊。然而，資安防護任務並非單一個人或小團體的作戰方式，面對層出不窮、已知與未知的現代資安威脅，我們必須透過組織群體合作方式，才能確實有效地應對。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-1(8).jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">駭客攻擊手法已經超出傳統防護模式，企業必須能夠同時從多方位、多維度分析，萃取出威脅情資，並且即時反應處理。</strong><strong style="color: rgb(105, 105, 105);">圖片來源／黃繼民</strong></p> <p>而在資安防護的工作上，SOC過往一直是扮演資安工作的情訊收集，以及持續監控通報的角色，主要由人員、技術、程序等三大構面來組成運作，協助資安事件調查分析與告警通報等功能任務，但由於SOC在事件處理的主動性不足，因此，往往被定位為後勤支援角色。</p> <p>不過，這幾年以來，新一代的SOC崛起，已成為現代資安防護任務不可或缺的資安指揮中心，因為對於資安威脅，SOC除了要能「感覺到」、「看得見」，還要能夠「思考明辨」，並且快速做出準確的行動反應。</p> <p><span style="font-size:28px;"><strong>SOC的型態發展轉變</strong></span></p> <p>一般而言，SOC被稱之為「資安監控維運中心」，最初出現於1975年，主要的工作與任務是協助政府及國防組織，針對防禦低影響的惡意程式碼（意即電腦病毒）的分析研究；到了2007年左右，網際網路的普及，也將資安威脅帶到新的時代，SOC開始因應APT（進階持續威脅）的資安趨勢，而有了大幅改變，而這也是現今比較廣為認知的SOC型態，主要的功能是針對日誌記錄的收集與保存，並且根據常見已知定義的規則生成警報。</p> <p>在此一階段的SOC運作模式中，我們相當倚重的作法，是運用日誌管理系統（Log Management），以及安全資訊事件管理系統（SIEM），而這樣的機制也延續至今。</p> <p>但是，隨著各式新興科技應用的出現，以及各種使用多年的舊有技術接連被揭露安全性漏洞問題，因此，現代的資安防護者須面對巨量且複雜的資訊，還有快速出現但來不及搞懂、學習的新東西。</p> <p>同時，由於傳統的SOC採取消極處理機制，因此，我們在發現入侵（Time to Detect，TTD）和有效回應（Time to Response，TTR）所需的平均時間，已分別增加至197天和69天，而在這一段風險的空窗期間，足以讓駭客完成布局。</p> <p>到了新一代的SOC，則提升為「資安指揮中心」的專責單位，尤其在最近的資安法規中，也明定要求組織內對於SOC的必要性。事實上，新一代SOC需要具備更積極的處理機制，以及快速偵測回應，包括更精確的事件通報、更充足的資安情資、更具體的建議幫助決策執行，進一步做到預警、預測、預防的提前主動性，目的就是要求快速跟精確。究竟，我們將如何建構出具備洞察力與執行力的新世代資安指揮中心（NG-SOC），以下我將針對四項關鍵能力來說明。</p> <p><span style="font-size:28px;"><strong>NG-SIEM提升資安情報的掌握能力</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/600-2-821.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color:#696969;"><strong>NG-SIEM已經加入智能分析能力，能夠針對巨量多變的現代資安攻擊威脅快速分析，提出更精確的情報資訊。在下一階段，NG-SIEM則邁向主動防禦，與SOAR技術整合搭配是未來趨勢發展。</strong>圖片來源／黃繼民</span></p> <p>SIEM也被稱為資安戰情平臺，是幫助SOC資安人員掌握資安事件狀態，以及下定決策的情報中心；但是，過往SOC所採行的舊式SIEM，對於資安事件的處理模式，多半著重於事件日誌的接收保管及機器式的過濾條件，即使套用不知從何而來的關聯規則，舊式SIEM所產生出來的內容，仍是被整齊分類與統計的資料（Data），而非有助於資安事件掌握與決策判斷的情報資訊（Information）。</p> <p>而由於舊式SIEM無法即刻提供明白準確的資訊，也造成SOC對於資安事件的應變處理效率低落，在專業人力的需求亦隨之提升，此時，更遑論建立可靠的聯防機制。</p> <p>所以，當我們在面對現今巨量複雜的資安威脅情勢下，後起的次世代SIEM（簡稱NG-SIEM），如今已經引進大數據分析（Big Data），以及智能處理（Intelligence）等二大新技術，做為核心改造提升動力。</p> <p>首先，大數據分析技術主要應用於NG-SIEM的搜尋引擎核心，主流採用的平臺，包括：Splunk、ELK，以及Hadoop等。有鑑於大數據分析對異質性的巨量資料具有極佳的處理效果，因此，對於過往面對的資安事件資料處理議題，能夠有效解決，包括：當下大量不同來源及格式的資料，以及已發生的過往記錄資料追溯，皆可透過低耗能且極快速的方式，進行大量資料分析處理。</p> <p>接著，是智能處理技術，主要涵蓋人工智慧（AI），以及機械學習（ML）的技術。</p> <p>基本上，導入大數據，只是提升資料分析的處理效率，但要將資料轉換成有幫助的資訊，則須利用AI及ML智能技術相輔，才能真正獲得分析的效果。</p> <p>而且，智能處理具備多維度邏輯推演的資料分析能力。相較於傳統機器式的過濾條件跟關聯規則來說，智能處理能夠幫助SOC，使其對於資安事件的資訊掌握度更加準確快速，並且能進一步發現潛伏中的異狀。</p> <p>綜觀上述，NG-SIEM所要扮演的資安戰情平臺，是提升新世代SOC朝向洞察力與執行力的關鍵基底，畢竟，資訊情報的掌握，是無論任何型態的戰爭所必要的，當然也包括資安戰。</p> <p><span style="font-size:28px;"><strong>XDR提升資安威脅獵捕能力</strong></span></p> <p>「縱深＋聯合防禦」是標準的資安防護準則，實務上，卻不容易達成這些要求，主要原因在於，我們對於資安威脅的偵測（Detection），以及回應（Response）方式，缺乏一致性與協調性。簡單來說，就像瞎子摸象。</p> <p>加上以往的資安工作過於執著於記錄資料（Log Data）的收集，尤其是對於「軌跡保存」與「日後調查舉證」的錯誤認知，因而產生採取下列這些舉動，結果卻成為善盡做好資安工作的「假象」，例如：監督好資安防護系統、偵查系統、存取日誌，以及系統日誌等等的通報跟記錄。</p> <p>但事實上，這些資料對於資安事件的分析與調查工作幫助並不大，主要的原因在於，回應的資料訊息「含金量」不足。</p> <p>因此，EDR是最開始被提出的新一代偵測與回應方法，針對最常遭遇惡意程式威脅的端點（Endpoint），進行「偵測與威脅捕捉、分類、調查和回應」等每個階段的安全作業。</p> <p>而後起的XDR，則是進一步包含網路、端點或雲端等現今主要數據環境，「X」代表多種資料來源，透過連結來自多個來源的數據，清楚完整的提供組織活動整體及各階段偵測到的資安情報。</p> <p>換句話說，透過XDR的偵測方式，並非用單一個「點」來做為資安威脅發現依據，而XDR的回應方式不僅執行阻斷隔離的處置外，更重要的是產生精確的情報資料，對於後續的資安威脅分析作業上，能夠提供更有助於根源追溯、行徑追蹤、行為調查、以及預測、預防的效果，大幅提升威脅獵捕（Threat Hunting）的能力。</p> <p><span style="font-size:28px;"><strong>CTI提升對於資安威脅的識別能力</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/ISSDU%E5%9C%96%E7%89%874_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E9%BB%83%E7%B9%BC%E6%B0%91.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>資安威脅情資的來源多樣，資安人員必須瞭解不同資安威脅情資的類型，以及取得來源方式。我們若能善用情資，將有助於資安威脅事件的分析判斷，並且預先掌握攻擊的意圖與趨勢。</strong>圖片來源／黃繼民</span></p> <p>CTI是網絡威脅情報（Cyber threat intelligence）的縮寫，或稱之為「威脅情資」。基本上，威脅情資不同於新聞訊息。我們能以冰山理論來解釋兩者的差異，例如，新聞訊息就像在水面上已暴露的資訊，而威脅情資包含更多水面下未曝光的深網、暗網及神秘研究情報，同時，「威脅情資」是關於資安威脅，以及威脅參與者的資訊情報集合體。</p> <p>此外，威脅情資主要是已經被發現揭露的攻擊方式情報，包括：</p> <p><strong>1. 技術情報：<span style="color:#696969;">涵蓋了IOC威脅指標、IP/Domain CnC黑名單、惡意程式的檔案名稱或指紋（Hashes）。</span></strong></p> <p><strong>2. 操作手法情報：<span style="color:#696969;">有關於該項攻擊威脅所採用的駭客工具、技術，以及程序。</span></strong></p> <p><strong>3. 戰略情報：<span style="color:#696969;">針對該項攻擊的總體威脅、影響範圍與傷害程度等資訊。另一個值得關注的資訊，則是威脅參與者（或習慣稱為駭客組織），尤其在APT攻擊、目標攻擊，以及規模型態攻擊的背後，幾乎都有駭客組織的操弄。</span></strong></p> <p>就現今而言，「威脅情資」的取得來源越來越多，有開源免費的與商用付費的資選擇，每一家威脅情資內容的專業度與涵蓋量，各有所擅長之處，因此，在選擇上，我建議至少應取得二家以上的情資來源。</p> <p>另一種「威脅情資」的取得，則來自於「分享」。例如，資安資訊分享與分析中心（ISAC），就是透過類似社團會員之間的資安訊息交換模式。幾年之前，臺灣以資安法推動規範八大關鍵基礎的產業，成立領域ISAC，推動情資格式標準化與系統自動化的分享機制。</p> <p>當資安威脅事件的分析過程中加入「威脅情資」的成分，將有助於SOC對於資安威脅事件的掌控。當資安事件發生時，我們不需要再手忙腳亂、緊張兮兮，而是能夠冷靜識別出哪些攻擊事件的手法技巧，是否源出同門？是否有針對性（例如：產業、系統類型、人員等）？或計畫性（例如以掃描情蒐、慢速測試、間歇探測等）的行為企圖，以及是否存在駭客團體犯罪成份。如果我們能夠適當地結合前述的NG-SIEM與XDR，將有助於SOC資安人員快速做出相對正確的防禦準備。</p> <p><span style="font-size:28px;"><strong>SOAR 提升資安聯防協作的自動化應變能力</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/ISSDU%E5%9C%96%E7%89%875_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E9%BB%83%E7%B9%BC%E6%B0%91.png" style="width: 600px;" /></strong></span></p> <p><span style="color:#696969;"><strong>以常見的電子郵件夾帶惡意程式為例，當企業收到一封的可疑郵件時，SOAR可以依據我們針對電子郵件安全政策設計的「劇本（Playbook）」，進行深入檢測分析與應變處理的過程。以往，這一連串的不同作業過程，必須耗費數個小時之久，並且需要將零散的結果彙整報告；而透過SOAR的使用，則可以幫助資安人員於幾秒鐘或幾分鐘內，快速完成一切作業與報告。</strong>圖片來源／黃繼民</span></p> <p>如果說SIEM是善於將資料分析並轉換資訊的大腦，那麼，SOAR則可說專長在應變處理與協調運動的小腦。而對於要做到真正具備洞察力與執行力的SOC資安指揮中心來說，SOAR是重要的關鍵要素。</p> <p>SOAR是什麼？它的全名為Security Orchestration, Automation and Response，意即「資安協作自動化應變」。以過往SIEM為例，對於資安威脅，著重於事件「分析調查與資訊提報」的方法，相較之下，SOAR聚焦在事件「應變處理與協調行動」，換言之，SOAR的技術導入，將大大改變過往SOC被認為「說的多」、但「做的少」的窘境，也因此使得SOAR很快成為各方矚目關注的熱門議題。</p> <p>如前面一再提到，現今資安威脅的情況，不僅是數量龐大且型態複雜，單純靠偵查與分析的方法，只會產生更多應接不暇的事件資訊；但不斷湧入的資安威脅資訊量，在無法有效處理消化下，已經導致許多企業組織產生資安恐慌，以及威脅麻痺的狀況。</p> <p>多數企業會建立非常細緻的資安事件應變處理或標準作業程序，但往往流於紙上談兵，主要因素在於，這些機制程序往往因為推演內容不確實、人員熟練度不足、情報資訊傳遞不通暢等弊病，導致最終無法做出準確的應變處置。</p> <p>此外，聯防自動化雖然也被大量討論，但當中對於「自動化」的做法，其實比較像是執行一段單向的機械式指令，當事件符合規則情境時，就針對特定裝置系統觸發執行定義好的執行命令；只是當實際上面對不同情況的資安事件，以及各式的資安系統（不同類型、多種廠牌）時，要達到理想中的自動化及聯合防禦應變，幾乎是不可能的任務。</p> <p>SOAR技術的出現，則是實現「資安協作自動化應變」的最佳方法。為何這麼說？在研究機構Gartner的《Hype Cycle on Threat-Facing Technologies, 2018》報告，當中是這麼解釋的：SOAR是一系列技術的集合，能夠幫助企業和組織，收集安全維運中心監控到的各種資訊（包括各種安全系統產生的警示），並對這些資訊進行事件分析和警示分類；同時，在標準工作流程的指引下，利用人機結合的方式，幫助安全維運人員定義、排序，以及驅動標準化的事件應變。</p> <p>在技術上，「SOAR資安協作自動化應變」可獨立運作，或是與SIEM相互整合搭配，同時，它也具備了下列三大重要特色：協調作業（Orchestration）、自動化（Automation），以及應變（Response），而這些應用機制的出現，明顯針對傳統資安維運工作所難以達成的部分，進行改善跟補強。</p> <p>而對於企業組織而言，SOAR以技術的形式。將SOC的人員、程序、及技術等三大要素加以整合串聯，將企業組織中不同的系統，或是一個系統中不同元件的安全能力，透過「應用程式介面（API）」的使用，按照一定的邏輯關係，組合成各式的「劇本（Playbook）」，而這些劇本可說是將擬訂好的標準作業及流程，以更具體的可視性圖形呈現，並據此執行完成各種對應的安全作業程序。</p> <p>此外，這些程序能以完全自動化或半自動化的方式來執行。以全自動化模式來說，多半套用在常態性作業（Regular Operations），而半自動化則是在執行動作之前先由相關負責的資安人員或IT人員作「判斷跟決定」，如此可以減少人員在面對多樣不同系統的高度專業要求，並且降低人為操作錯誤跟帳號權限分配等問題。最後，當SOAR對於資安事件的應變處理記錄，也具備資安威脅事件管理效果，其執行的警示通報、工單流程紀錄、各程序執行結果，都將幫助SOC更精準地面對資安威脅事件的調查分析，並且提供政策調整改善的依據。</p> <p><span style="font-size:28px;"><strong>如何縮短偵測與應變時間，以及具備精準判讀能力，是未來資安防護最大挑戰</strong></span></p> <p>關於資安防護策略的發展，我們可預期未來將越來越著重於應變處理，對於平均偵測時間（MTTD），以及平均回應時間（MMTR）的要求，也將更加急促。</p> <p>但是，在追求快速的同時，我們對於資安事件的準確識別與判讀，仍需仰賴更智慧的數據分析方法，並且搭配具邏輯的自動化作業，才是完善的解決方法。<strong>文☉數聯資安股份有限公司資安管理平台發展處副處長黃繼民</strong></p> </div></div></div>
2020/8/24 09:00未署名https://www.ithome.com.tw/news/139539
【臺灣資安大會直擊】擬定資安策略要從完整角度看待，活用資安框架及Cyber Defense Matrix更是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在企業準備要推動資安防護的工作時，現在可能已經聽過不少資安概念與框架，但太多的資訊仍讓企業不知從何下手，或者是只在遇到資安事件時，著急解決當下的問題。</p> <p>因此，現在一些企業最常見的難題，就是資安策略不夠明確、難以實踐，甚至可能脫離真實，那麼，我們能否有更有更好的做法，來建立資安防護策略？在2020臺灣資安大會上，DEVCORE戴夫寇爾執行長兼共同創辦人翁浩正認為，資安不能一直處於短期應急的狀態，必須要有中長期的規畫，而活用資安框架，就是幫助企業擬定長期資安策略的重要工具。</p> <h2><strong>資安策略要同時從風險、程序、控制與技術面看起</strong></h2> <p>對於資安策略的擬定，在這次議程上，翁浩正與該公司一位事業發展經理鍾澤華，他們從風險、程序、控制與技術面，以一個完整的角度來切入，並搭配熱門資安框架與Cyber Defense Matrix模型的應用，讓企業在資安策略上能套用更具邏輯的方法，同時，他們也從自身幫助客戶進行紅隊演練的經驗，來說明在面對真實威脅時，可以如何透過更完整的角度，去緩解一連串的脆弱環節。</p> <p>翁浩正表示，在他們紅隊演練的經驗中，當企業收到技術報告，技術人員可以理解漏洞問題、入侵途徑與解決之道，但從企業資安高層所關注的角度來看，將是資安策略該如何定義。對此，他們利用現有資安框架，剖繪出一個俯視般又立體的構面，提出具體有脈絡的參考建議。讓企業不論在平時或演練後，能有好的方式去規畫資安策略。</p> <p>為了讓大家更好理解資安策略的訂定方式，翁浩正從企業看待安全的方式說起，例如，企業應該要知道的資安狀況，包括現在安不安全，以及現在及未來面臨那些風險（已經發現的主要風險與外部環境可能發生的風險），還有現在及未來需要那些資源。這裡他特別點出「時間點」條件的重要性。</p> <p>對於規畫資安策略這件事，翁浩正透過簡單的方式，來說明其重點與目標，他說，資安策略就等於是有順序性的代辦清單，當中包括了短期、中期與長期的計畫，同時資安策略也等於是企業導入防禦措施後仍須持續處理的事項。而這裡有兩個重點，一是順序性，一是導入後持續降低風險，是他特別強調的部分。</p> <h2><strong>各層面資安策略可仰賴對應的資安框架</strong></h2> <p>那麼，資安策略該如何擬定呢？翁浩正指出：「資安策略的基礎是資安框架，而資安框架要有效果，要靠真實威脅調整。」只是，雖然參考這些框架就可以事半功倍，但彼此間的關連，以及如何應用，仍是不少人會問的問題。</p> <p>為了讓外界更清楚這些資安框架的定位，鍾澤華從企業資安角色與資安框架的關連說起。</p> <p>一般而言，企業內有4種資安人員，角色層級分別是資安長、資安官、資安主管，與第一線資安人員，因此企業制定資安策略將以由上而下的方式來進行，而這些不同層級也意謂著，將從風險、程序、控制與技術，來建構出完整的安全層面。</p> <p>在這4大層面中，資安上的任務各自不同，翁浩正表示，各層都有對應的資源可以參考，他從SANS歸納的風險框架（Risk framework）、計畫框架（Program framework），以及控制框架（Control framework）來說明。</p> <p>例如，以資安長而言，主要考量的是風險與風險評鑑等，相關風險框架可參考的資源，包含NIST 800-39、NIST 800-30，以及ISO 27005與CIS RAM；在資安官的角色上，主要著重在程序面，相關計畫框架可參考資安管理上所熟知的ISO 27001，以及近年熱門的NIST CSF；在資安主管方面，關注的是控制措施該怎麼做，包括控制項較具體的NIST 800-53、CIS CSC；最後的第一線資安人員，或是一般技術人員，專注在技術面，主要掌握的是防禦解決方案與服務。</p> <p>對此，翁浩正也補充說明，例如，在資安官負責的程序面來說，當中提到可對應的NIST CSF與ISO 27001，這兩種框架他認為可以互補，主要依據使用情境；而在資安主管負責的控制面來說，如果企業自己不知道該怎麼做好控制，他非常建議企業可參考CIS CSC（CIS Control），將可從中找到企業奔身所需，並提醒要用長期方式來規畫，像是3年或5年，要求自己達到更好的控制。翁浩正認為，藉由這樣的架構，將可有助於企業釐清更多資安上的問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）DEVCORE資安策略夠明確嗎_R0243575_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E_R0243575_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px; height: 326px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）DEVCORE資安策略夠明確嗎_R0243577_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E_R0243577_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h2><strong>透過Cyber Defense Matrix剖繪各層防禦面</strong></h2> <p>但不只是如此，這樣的4層架構，鍾澤華指出，從攻擊角度來看，這樣的架構也能有助於做好資安。他舉例，當發生資安事件或進行攻防演練，將可透過由下而上的方式，來檢視每一層是否能做好管控。</p> <p>以最下一層的資安設備及服務而言，鍾澤華舉例，當廠商說有一個100%防禦無敵的解決方案，企業該如何搞懂該解決方案到底可以解決什麼問題呢？對此，他談到了一個安全模型Cyber Defense Matrix（CDM）。這是2016年美國銀行擔任首席安全科學家的Sounil Yu所提出，並納入OWASP，或稱之為OWASP CDM。</p> <p>關於Cyber Defense Matrix，是這次議程上的另一大重點，將可有助於企業管理策略的規畫。根據鍾澤華的說明，此Cyber Defense Matrix矩陣是一個5乘5的方格，橫軸分別是NIST CSF的五大類別，包括識別、保護、偵測、回應、復原，並加入了資產類別的縱軸，分別是設備（Devices）、（Application）、應用程式（Application）、網路（Network），資料（Data）與人員（User）。</p> <p>透過這樣的矩陣，企業將可有較容易的方式，知道一個解決方案所涵蓋的面向，這不只是瞭解到一個解決方案，根本不可能解決一切，也能更直觀的方式，掌握到企業本身的資安缺口。</p> <p>不過，翁浩正也強調，這並不是要企業拼命買設備與解決方案，以填補資安缺口。若將先前所提的4層架構立體化，這個CDM的平面矩陣可看做每一層的剖面，這是一個俯視圖的概念，企業將可知道攻擊由下而上穿透時，那些部分是沒有顧到的。他舉例，企業除了從最下層的方案面來著手，往上也能藉由流程面來因應，補足設備面的不足，但也不能全靠流程面來解決就是，因此需要平衡。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）DEVOCRE資安策略夠明確嗎_R0243585_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89DEVOCRE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E_R0243585_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h2><strong>從紅隊演練結果案例來看資安策略規畫與精進</strong></h2> <p>為了讓大家更好理解上述概念，在議程上，翁浩正與鍾澤華也從他們紅隊演練的經驗，透過實際的案例來說明。企業除了由上而下做到資安策略規畫，也能利用上述資安框架與模型，透過演練結果由下而上去回顧與精進。</p> <p>翁浩正以一場實際紅隊演練來說明。他指出，在攻擊過程中，他們先是找出了該企業對外網站上的漏洞，這是企業率先遭攻擊的防禦弱點。</p> <p>值得注意的是，該網站是一個網站管理後臺系統，但因疏於管理，所以被他們找到了任意上傳檔案漏洞，因此可以上傳Webshell後門，之後透過記憶體分析得到管理者密碼的雜湊，經破解密碼，進而取得一個管理者的關鍵帳號，而這個帳號能夠登入另外30多臺主機，他們在這些主機上蒐集帳密後，又找到一個主機的網站程式碼，因此取得關鍵連線資料庫的IP位址與帳號密碼，取得了企業的申請業務的敏感個資資料。</p> <p>接下來，他們進一步瞄準目標內網的控制權，由於他們先前入侵的網站管理後臺系統，本身也有串連到內部網路，因此紅隊循此路徑，就進入了企業的內部網路。他們先是透過WMI取得內網一臺主機的管理者帳號，仿效先前的攻擊手法，從記憶體分析出更多帳號密碼，像是取得可登入RDP服務的子管理者帳密，可控制21臺主機並且持續蒐集帳密。</p> <p>特別的是，他們得到另一臺主機的pmpweb帳號密碼，以及從這些主機中得到一個備份的帳號密碼，最終，他們藉由取得的一個網域／目錄（AD）伺服器的備份檔，找出AD內的密碼雜湊，破解後進而得到大量使用者的資料。對此，翁浩正也順帶提醒的事，現在許多的備份方案，都希望企業的備份帳號具有最高權限，等同於管理者帳號，由於這個備份帳號可以取得全部的資料，一旦被竊取，後果相當嚴重。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8）DEVCORE資安策略夠明確嗎_R0243592_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E_R0243592_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>而這樣的演練結果，其實就可以對應到先前所提的資安框架與模型，才不會讓企業資安策略規畫上存在大盲點。</p> <p>從上述攻擊結果來看，企業防禦上有什麼問題？鍾澤華說明，一般簡單的推想，首先就是程式寫不好，所以該網站管理後臺系統可以被上傳Webshell，還有就是偵測機制不足，回應時間不夠即時，以及帳號密碼或網路管理的問題，但是，問題就只有這樣嗎？</p> <p>對此，鍾澤華表示，這也是企業為何需要框架或標準的原因，因為這些內容其實已經設想了多數常犯的錯誤，而透過這些控制項與前述Cyber Defense Matrix，將讓企業可以更精確的盤點出，在防禦縱深的哪一階段沒有做好，才能知道要挑選何種設備、增加什麼樣的程序，以及需要強化的控制措施。</p> <p>如果沒有這樣的架構，鍾澤華強調，企業將無法知道問題，也就是看出風險或安全問題的全貌，而且，只要這些問題有一小部分沒有解決，這意謂著這個風險其實是持續存在的。</p> <p>例如，他從控制層的CIS CSC，來說明上述紅隊演練結果所對應的內容。在這次紅隊演練結果中，對應的相關CSC控制項，總共包含21項，例如：4.2的變更預設密碼，6.3的開啟更詳盡的日誌記錄，12.1的維護網路邊界清單等，而這些項目將可對應到Cyber Defense Matrix的不同位置，讓企業更具體知道其涵蓋範圍。例如，4.2的變更預設密碼，是在設備與保護的面向：6.3的開啟更詳盡的日誌記錄是在網路與偵測的面向；12.1的維護網路邊界清單是在網路與識別的面向。</p> <p>同時，鍾澤華還說明了一個重要的觀念，就是要制定優先順序（優先權），才能一步步解決問題。簡單而言，CIS CSC可分成基本型、基礎型與組織型，並依據企業規模（Implementation Group）分成IG1、IG2與IG3，他表示，最優先要做的項目是基本型IG1，接著是基礎型IG1、組織型IG1，再來才是基本型IG2，以此類推。例如，在使用者與保護面向的4.2變更預設密碼，就是該次紅隊演練後首要做到的控制項，然後在陸續達到其他20個控制項的要求。</p> <p>進一步來看，在控制面之外，還有另一個重要關鍵，是在程序面是否能與控制面做結合，例如，這些控制項是否對應到ISO 27001的項目。鍾澤華表示，當控制措施對應程序層，才能夠更完整思考企業防禦策略的問題在哪裡，例如，像是在網路與偵測面向的6.3開啟更詳盡的日誌記錄，從ISO 27001來看將是A16.1.5對資訊安全事故的回應，但此一程序面其實不只是包含於偵測，還有回應、復原。綜合來說，可藉此發現待補強的防禦縱深機制，而透過設備、程序與流程的搭配，也才能降低弱點被利用的可能性。而上述這些也就是以更完整的角度，去檢視面對真實威脅的緩解方式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）DEVCORE資安策略夠明確嗎.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）DEVCORE資安策略夠明確嗎.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖9）DEVCORE資安策略夠明確嗎.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E.jpg" style="width: 600px;" /></a></p> </div></div></div>
2020/8/23 23:56作者羅正漢https://www.ithome.com.tw/news/139567
一周大事｜公部門IT外包業者成國安破口，多個政府單位遭中國駭客滲透。G Suite發生大規模故障事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>調查局首度揭露國內政府委外廠商成資安破口的現況，近期至少10個公家單位與4家資訊服務供應商遇害</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0823-01.jpg" style="width: 500px;" /></p> <p>法務部調查局偵辦數起政府機關遭駭案件時，發現公部門及其資訊服務供應商遭中國駭客組織滲透的問題嚴重，至少有10個政府單位，以及4家資訊服務供應商都已經受到攻擊。</p> <p>其中，機關內部VPN安全管理問題，是這次事件揭露的一大重點，其實，在臺灣資安大會上，也有資安專家提到國內企業與政府遭供應鏈攻擊的實例，當中就提到不少案例是駭客會「幫」單位裝Softether VPN軟體，這是早年流行的工具，近年又被駭客拿來利用。<a href="https://www.ithome.com.tw/news/139504" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>G Suite又發生全球大規模故障事件</strong></span></p> <p>Google G Suite部分服務於8月20日下午開始，發生大規模故障事件，包含Gmail、Google雲端硬碟、Google文件、Google Meet和Google Voice，皆出現異常，使得全球許多用戶遭遇無法登入、無法附加檔案等狀況，臺灣也有部分用戶受影響。<a href="https://www.ithome.com.tw/news/139515" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>卡位金融生態圈，玉山銀揭露未來5年數位戰略</strong></span></p> <p>隨著3家純網銀即將開業，加入臺灣數位金融市場，國泰金、台新金紛紛揭露自家金融生態圈戰略，在法說會上，玉山銀行董事長黃男州也公布玉山未來5年的生態圈戰略，「會採取Banking as a Services（銀行即服務）模式瞄準場景金融，銀行本身就是服務，可以嵌入任何場景中。」</p> <p>黃男州認為，純網銀的確加快了數位金融的發展腳步，但這是短空長多。「5年來看，臺灣銀行產業將成長10~15%，餅變得更大了，正在打基礎的純網銀約只會占1～2％，反而是有競爭力，數位發展很快的銀行，可以獲取更多市場占有率。」這個對未來臺灣數位市場的觀察，也影響玉山當前的數位發展戰略。<a href="https://www.ithome.com.tw/news/139527" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google將實驗隱藏網頁完整URL以防釣魚網站</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961A_%E7%B6%B2%E9%A0%81URL_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 300px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961B_%E7%B6%B2%E9%A0%81URL_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 300px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>Google Chrome安全團隊將隨機選擇Chrome 86用戶進行實驗，以確認桌機版Chrome的網址列如果隱藏完整URL，是否能讓用戶更注意他們所造訪網頁的安全性。<a href="https://www.ithome.com.tw/news/139402" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>睽違8年，推特啟用新版第三方App的API</strong></span></p> <p>推特8月正式啟用新版第三方App API，這是自2012年以來的首次改版，採用全新基礎，也加入多項新功能，包括開發人員呼聲最高的訊息串列（conversation threading）、在推文中投票、在使用者資料中釘選推文、垃圾郵件過濾，以及更強大的推文串過濾及搜尋查詢語言功能。<a href="https://www.ithome.com.tw/news/139375" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>控告高通晶片專利授權違反競爭，FTC敗訴</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500_%E9%AB%98%E9%80%9A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%AB%98%E9%80%9A.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／高通</span></p> <p>針對美國政府控告高通手機晶片授權政策打壓對手的官司，美國第九上訴巡迴法院做出判決，認定高通該項政策並未造成打壓競爭的事實，法官指出，FTC提出的資料，無法證明高通收取專利權利金及「沒授權、沒晶片」的條款，對競爭者造成壟斷影響，高通的商業模式是「hypercompetitive」（過度競爭），非「anticompetitive」（反競爭），後者行為才違法。<a href="https://www.ithome.com.tw/news/139344" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>惡意程式透過Xcode專案散布，鎖定macOS零時差漏洞</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:200px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/0823-xcode.png" style="text-align: right; width: 200px; float: right;" /></td> </tr><tr><td><span style="color: rgb(105, 105, 105); text-align: right;">圖片來源_蘋果</span></td> </tr></tbody></table><p>趨勢科技發現一個鎖定macOS電腦的木馬程式XCSSET，攻擊者將惡意程式碼注入本機Xcode專案，讓開發者編譯的軟體，成為散布此木馬的途徑。已有開發人員將問題Xcode專案經由GitHub分享，恐導致類似供應鏈攻擊的風險。<a href="https://www.ithome.com.tw/news/139432" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google想利用手機來建立全球地震偵測網路</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%9C%B0%E9%9C%87%E9%A0%90%E6%B8%AC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>Google計畫利用各地Android手機，來建立全球最大的地震偵測網路，把手機上的加速器當作迷你地震儀，用戶只要加入Android地震警報系統（Android Earthquake Alerts System），就能傳送所在地區的地震訊號，也能在第一時間收到Google的地震警告。<a href="https://www.ithome.com.tw/news/139345" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>TikTok被踢爆暗中蒐集安卓裝置識別資料</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500_TikTok_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Kon%20Karampelas%20on%20unsplash.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_ Kon Karampelas on unsplash</span></p> <p>被美國政府盯上的TikTok，近期被華爾街日報揭露，過去曾違反Google政策，蒐集Android手機的MAC位址資訊，直到去年11月才停止。蘋果App Store及Google Play Store都明訂禁止App蒐集裝置MAC位址資訊。<a href="https://www.ithome.com.tw/news/139349" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>微軟修補120個安全漏洞，有2個已被用來發動攻擊</strong></span></p> <p>在8月Patch Tuesday，微軟修補17個重大漏洞，並有2項漏洞已遭開採。此外，該公司今年截至8月修補的漏洞總量，已超越去年總和。</p> <p>其中2項已被駭客開採的零時差漏洞中，被列為重大等級的CVE-2020-1380，是個腳本引擎記憶體損毀漏洞，會在腳本引擎處理IE記憶體中的物件時被觸發，進而破壞記憶體並允許駭客以現有使用者的權限執行任意程式。該漏洞波及所有平臺上的IE 11。<a href="https://www.ithome.com.tw/news/139346" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>美國密西根州計畫設置全美首條自駕車專用道路</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500_%E8%87%AA%E9%A7%95%E8%BB%8A%E9%81%93%E8%B7%AF_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Cavnue.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Cavnue</span></p> <p>儘管各大科技業者偏好選在矽谷所在地的加州展開自駕車測試，但身為傳統汽車產業重鎮的密西根州，仍積極爭取業者進駐，在2017年底通過一份當時全美最完整的自駕車法令，率先允許全自動的無人駕駛車上路，吸引Alphabet旗下Waymo選擇密西根州的底特律做為生產大本營。而今，密西根也將打造全美國第一條自駕車專用道路。<a href="https://www.ithome.com.tw/news/139407" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>API有3大資安風險2大挑戰，靠AI即時偵測異常是新對策</strong></span></p> <p>隨著API廣泛應用，資安議題也陸續浮現，企業的API更成為駭客入侵的突破口。因此，企業如何管理好自家API，甚至採用新形態的API防護工具，利用AI主動偵測異常API，即時告警與阻斷駭客攻擊，都是企業需面臨的課題。<a href="https://www.ithome.com.tw/news/139531" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>面對後WannaCry時代，資安威脅防護需同時考量OT環境</strong></span></p> <p>2017年全球各地遭到WannaCry勒索軟體的大規模攻擊，但本次事件影響的不只是個人電腦這類IT設備，就連原本大家認為應該獨立於IT網路之外的工業控制系統，也受到重創，主因在於IT網路與OT網路之間的聚合，實體隔離的界線正在消弭，趨勢科技TXOne產品行銷經理許育誠也從WannaCry這項全球資安大事件，來剖析後續產生的影響。<a href="https://www.ithome.com.tw/news/139518" target="_blank">更多內容</a></p> </div></div></div>
2020/8/23 14:00未署名https://www.ithome.com.tw/news/139546
趕上Honeywell，IBM量子電腦達QV64效能里程碑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/qiskit/what-is-quantum-volume-anyway-a4dff801c36f">IBM</a>對外宣布其量子晶片的開發達到了新的里程碑，其量子體積（Quantum Volume）已經實現目前為止最高的數值64。IBM表示，他們已經升級其最新的27量子位元系統Montreal，達到了量子體積64。</p> <p>由於各家量子電腦採用不同技術，很難真正的互相比較，因此科學家設計了概括性效能指標量子體積，綜合量子電腦的能力與錯誤率，來衡量量子電腦整體效能，量子體積越大，用來解決真實世界問題的潛力就越大。IBM的量子電腦Raleigh，在今年1月的時候，量子體積為32分，而現在IBM量子電腦最新里程碑已經達到64分，追趕上在3月的時候，達到64分的Honeywell量子電腦。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_dihbqVdNNaoJJsGVNrYHXA.png" style="width: 580px;" /></p> <p>IBM提到，他們為了要實現量子優勢（Quantum Advantage），使得在量子電腦上，可以比傳統電腦更有效率的處理部分資訊，需要積極地改進量子電路，而量子體積則是衡量量子電路的長度和複雜性的指標。</p> <p>為了實現這點，IBM採用了全新可擴充的硬體方法，改進IBM量子系統中的量子電路，進而改進用戶可以探索的實驗和應用程式，這些新技術將在IBM雲端軟體服務，還有跨平臺開源軟體開發套件Qiskit中釋出。</p> <p>相較於Google提出的量子霸權（Quantum Supremacy）一詞，IBM在量子電腦的發展，則使用量子優勢。在去年10月的時候，Google發表的研究，稱其54量子位元處理器Sycamore，能以4分鐘跑完當時最快超級電腦需要執行1萬年的任務，並提出量子霸權一詞，表示量子電腦的能力已經超越傳統電腦，但是打造出超級電腦Summit的IBM卻出面打臉Google，表示根本不需要1萬年，只需要2.5天。</p> <p>IBM提到，在與傳統電腦比較量子電腦效能時，也該要把傳統電腦的記憶體架構、精度運算和各種軟體資產考慮進去。目前僅有少數演算法在量子電腦上執行，能夠明顯展現出與傳統電腦不同的優勢，因此IBM在表達量子電腦的強大，使用量子優勢一詞。</p> </div></div></div>
2020/8/23 14:50作者李建興https://www.ithome.com.tw/news/139552
Google地圖平臺開始支援Kotlin開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google積極擴展對程式語言<a href="https://cloud.google.com/blog/products/maps-platform/supporting-kotlin-google-maps-platform-developers">Kotlin</a>的支援，宣布在Google地圖平臺支援Kotlin，在Kotlin擴充（Kotlin Extension，KTX）函式庫打包Google地圖平臺Android SDK，並在Google地圖平臺文件加入相關的Kotlin程式碼片段，還有在GitHub上提供範例程式碼。</p> <p>KTX函式庫可讓開發者以Kotlin語言功能與獨有的方式，簡潔地編寫程式碼，現在KTX函式庫打包了現有Google地圖平臺Android SDK，因此開發者可以使用擴充函式、Lambda、命名參數以及協程等Kotlin特有功能，開發地圖應用程式。</p> <p>目前可用的KTX函式庫為Places KTX函式庫，提供Android的Places SDK擴充，另外開發者也可以使用Maps KTX函式庫，提供適用於Android的Maps SDK，Google提到，這些功能是選擇性整合，可讓開發者選用適合的功能，並以Kotlin開發程式。</p> <p>Google也更新了相對應的文件，現在於Android版的Maps and Places SDK文件裡，除了原本的Java外，現在還多了Kotlin頁籤，提供Kotlin程式碼片段供開發者參考。而Google也在GitHub上，發布了Kotlin範例應用程式，展示Maps Platform SDK常見的使用方法，由於這些範例都是開源專案，因此開發者可以直接複製貼上到自己的專案中使用。</p> </div></div></div>
2020/8/23 14:55作者李建興https://www.ithome.com.tw/news/139563
數位內容產業也加入挑戰蘋果App Store的行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>集結全球數十家知名媒體的非營利組織Digital Content Next（DCN）也在本周加入了挑戰蘋果App Store的行列，要求蘋果要比照對Amazon的優惠，減少媒體透過App Store提供訂閱服務的佣金比例。</p> <p>DCN為一針對數位內容產業所設立的國際貿易協會，包括美聯社、彭博社、BBC、CNBC、Discovery、金融時報、Fox、華爾街日報與紐約時報都是該組織的會員。</p> <p>DCN主要抱怨的是蘋果App Store對所有開發者並非一視同仁。負責政府事務的<a href="https://digitalcontentnext.org/blog/2020/08/20/taking-a-bite-out-of-apples-trust-worthy-talking-points/">DCN資深副總裁Chris Pedigo表示</a>，根據眾議院司法委員會所取得的郵件，蘋果與Amazon在2017年時曾達成一項協議，允許雙方的產品出現在彼此的平臺上，例如讓Amazon Prime Video登上Apple TV，以及Amazon則在自家電子商務平臺上販售蘋果商品。</p> <p>蘋果還在該協議中承諾，將把對Prime Video訂閱服務的拆帳比例從30%調降到15%，而且不對既有的Prime Video收取15%的費用，此外，蘋果亦允許Amazon使用蘋果以外的支付系統。</p> <p>Pedigo說，一來蘋果與Amazon並未對外揭露此事，而是私下達成協議，若非司法委員會召開了反壟斷聽證會，此事還不會曝光，二來蘋果執行長Tim Cook也曾在聽證會上承諾，願意把與Amazon之間的協議開放給任何符合條件的開發者。</p> <p>因此，<a href="https://digitalcontentnext.org/wp-content/uploads/2020/08/DCN-Letter-to-Apple-final.pdf" target="_blank">DCN本周發信給Cook</a>，希望蘋果能夠對外揭露該協議的條款，以讓所有符合條件的開發者能夠提出申請。Pedigo認為，這對蘋果來說是項挑戰，包括是否真的願意讓所有規模的開發者都享受與Amazon同等的待遇，Cook在聽證會上說的是否為事實，都值得觀察。</p> <p>DCN的質疑主要來自於包括Spotify與Epic，都曾向蘋果爭取調降App Store的佣金比例或是嵌入自家的支付平臺，卻都遭拒，且Epic在《要塞英雄》（Fortnite）中嵌入自家的Epic Direct Payment支付機制的當天，就被App Store下架了，蘋果還威脅要終止Epic在App Store上的所有開發者帳號。</p> <p>蘋果App Store的壟斷爭議如雪球般愈滾愈大，連臉書都曾對此提出批評，<a href="https://www.ithome.com.tw/news/139430" target="_blank">指出該平臺</a>決定在疫情期間，不向替粉絲頁規畫的線上付費活動抽取佣金，但蘋果卻堅持要收取30%的佣金，看來蘋果很難從這波此起彼落的抗議聲中安然脫身。</p> </div></div></div>
2020/8/22 23:50作者陳曉莉https://www.ithome.com.tw/news/139565
Prometheus相關專案Thanos與Cortex，雙雙進入CNCF孵化器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2018年從雲端原生運算基金會（Cloud Native Computing Foundation，CNCF）畢業的開源監控專案Prometheus，其生態系正在蓬勃發展中，CNCF宣布，建立在Prometheus之上的<a href="https://www.cncf.io/blog/2020/08/20/toc-welcomes-cortex-as-an-incubating-project/">Cortex</a>以及<a href="https://www.cncf.io/blog/2020/08/19/toc-approves-thanos-from-sandbox-to-incubation/">Thanos</a>專案，現在都進入到孵化器中。目前在CNCF孵化器中的專案，達到了21個。</p> <p>Cortex以及Thanos的目標，都是要提供可擴展的Prometheus部署，兩方各有其支持者，Cortex成員包括了Prometheus創建者Julius Volz以及維護者Tom Wilkie，而Thanos專案其中一位維護者，則是Prometheus專案知名成員Frederic Branczyk。</p> <p>Cortex在今年4月的時候，發布了1.0版本，該專案最初由Weaveworks啟動開發，並在2018年進入CNCF沙盒中，是以Prometheus為基礎的開源時間序列資料庫與監控系統，具有水平擴展，還有接近無限的資料留存能力。除了Weaveworks的努力，之後EA與Grafana Labs等多個早期採用者，也都為專案貢獻了不少。</p> <p>Cortex被建構為可擴展，且易於使用的解決方案，可用於Prometheus監控和長期存儲，Cortex多租戶的特性，可以在單個叢集將不同Prometheus來源隔離，使不受信的各方共享同一個叢集。而且Cortex還支援熱門的雲端儲存服務，諸如Amazon DynamoDB、Google Bigtable、Cassandra、S3、GCS和微軟Azure等儲存。</p> <p>目前Cortex主要維護者來自Grafana Labs、微軟、Splunk和Weaveworks。EA、Gojek和Rewe Digital等企業組織已經將Cortex用於生產階段，並且進行超大規模部署。</p> <p>而另外一個陣營Thanos，訴求以簡單且高成本效益的方式，縮放以Prometheus為基礎的系統，目的是要實現全球規模的監控。Thanos由Improbable創建，目前維護者來自AdForm、Grafana Labs、紅帽和Utility Warehouse，已經被阿里雲、紅帽與Monzo等企業用於生產環境。</p> <p>Thanos維護者Frederic Branczyk提到，Thanos是一種易於安裝的解決方案，可以將用戶的Prometheus執行個體，過渡到具有長期儲存功能的監控系統。大多數的Thanos都部署在Kubernetes上，可用來監控跨多叢集與多雲的微服務或是基礎設施。</p> </div></div></div>
2020/8/22 23:30作者李建興https://www.ithome.com.tw/news/139549
【臺灣資安大會直擊】內賊如何閃避IT監控偷資料？精品科技揭露常見隱寫術與混淆手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">客戶涵蓋跨國IT供應商NTT Data及臺灣多家高科技業者的資安廠商精品科技，在資安端點防護已經累績了三十年經驗，資訊安全顧問兼資安部經理陳伯榆，過去更曾多次擔任臺灣資安大會講者，分享內部人員、外包第三方人員從企業內部竊取資料的手法及防護方法。而在今年臺灣資安大會上，他更純粹以資料竊取者的角度，來分析內賊如何竊取企業機密，並輕易閃避企業IT偵測，將資料傳送出去。</p> <p dir="ltr">「有很多資安人員，不曉得如何抓到偷竊行為，可能已經窮舉各種方法，甚至把CMD指令或PowerShell執行權限降到最小，只能執行預設的功能。但這真的有效？」陳伯榆點出企業IT在資源有限的情況下，要查找出竊取行為的挑戰。</p> <p dir="ltr">尤其，這類來自內部的資料竊取者（通常來自內部人員或外包第三方人員，通稱為Insider），通常熟悉企業的資訊環境，比如網段、主機位置、啟用的資訊服務等，也一定程度的掌握了企業員工的習慣，包括員工如何時離開位置、電腦是否登出、是否使用外接儲存裝置等狀態，就連資料的儲存位置、資安管控措施都有所了解。由於內部人員具備了這些有利的條件，一旦受到利益、惡意、政治目的驅使，或是一時疏忽導致機密資料外洩，就會成為企業的災難，甚至帶來更甚於外部駭客攻擊的破壞。</p> <p dir="ltr">近年來，從內部竊取資料的手法也更隱蔽，比如一位名列中國千人計畫的華裔工程師，就疑似把39份美國企業General Electric Power的設計與流程圖，加密並隱藏到一張照片裡，偽裝成一張正常的日落風景圖，再從公司伺服器複製出來傳送到自己的Email中。陳伯榆表示，面對這類偷竊手法，企業在資源有限的情況下，很難一窺或是查找出竊取行為，需要有相關配套環境與管控措施，才能在微跡證的軌跡紀錄中揪出竊取者。</p> <h3 dir="ltr"><span style="color:#FF8C00;">Insider如何把資料偷走？</span></h3> <p dir="ltr">陳伯榆也以技術角度分析Insider竊取手法，來說明內賊難防的原因。</p> <p dir="ltr">首先，在偷資料的過程中，Insider會先把機密資料隱藏起來，透過編碼（Encode）或加密（Encryption）的手法，將機密文件的內容文本，以一道工法進行遮蔽，使其無法透過簡易方式閱讀出文本的真正意義與內容，比如上述案例中，將設計圖加密到一張風景圖中，就是一種隱匿資料的手法。而將機密資料隱藏到各種載體的過程，也稱為隱寫術（Steganography），具有不可察覺（Imperceptibility）、難以檢測（Undetectability）的特性。</p> <p dir="ltr">陳伯榆說明，隱寫術中用來隱藏機密資料的媒介，包括圖片、影片、聲音、內容（txt、pdf）、壓縮檔（zip、rar），且透過非技術性的簡單手法，也可以將機密資料隱寫到文件中，比如透過在Word檔的空白處貼上機密內容，再把文字反白，就能偽裝成一份正常的文件檔案，但事實上已經隱匿了機密訊息。</p> <p dir="ltr">將資料隱匿起來之後，接著，還要把資料偷渡出去才有價值。陳伯榆說，企業對外有各種網路傳輸的渠道，如Mail、Web、DNS Tunnel、FTP、雲端工具等，許多企業往往認為做了嚴密控管，但仍有許多技術管道能嘗試繞過這些限制，比如DNS Tunnel作為與外界通訊的管道，就容易成為機密資料外洩的破口。</p> <p dir="ltr">另一個傳輸管道，則是透過實體的裝置來存取資料，最常見的就是USB，其他還有CD、Mobile裝置、紙本文件、印表機等。尤其許多企業電腦具有雲端列印的功能，若沒有防護措施，偷竊者甚至可以直接將文件列印到家中印表機，這些都是需要防範的傳輸管道。</p> <p dir="ltr">陳伯榆更提醒，偷竊者從網路將資料傳輸出去時，更可能利用混淆（Obfuscated）程式碼的手法，混淆CMD或PowerShell指令，來迴避IT人員的監測分析，達到傳送輸出的目的。而且，多數企業也都缺乏輸入（input）、輸出（output）指令的行為紀錄，容易成為偷竊者迴避監測的管道。最後，將機密資料取出後，就能透過解碼（Decode），完成一次機密竊取。</p> <p>面對這些內部資料偷竊威脅，陳伯榆也建議，市面上仍有合適的產品工具，可供企業快速分析、查找風險，成敗關鍵，在於資安稽核人員需不斷學習並精進相關技術，來累積風險查找的經驗與敏感度。</p> </div></div></div>
2020/8/21 17:28作者翁芊儒https://www.ithome.com.tw/news/139550
Fintech周報第157期：臺灣首屆監理科技黑客松正式開跑，聚焦eKYC、市場資訊即時監理、防詐欺或預警共3大主題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0815</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～</span></strong><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0821</span></strong></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 監理科技 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 黑克松 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">臺灣首屆監理科技黑客松正式開跑，聚焦eKYC、市場資訊即時監理、防詐欺或預警共3大主題</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">由金管會指導，金融總會與臺灣集中保管結算所主辦的<a href="https://www.fintechspace.com.tw/zh-hant/activity/taiwan-regtech-challenge2020/">2020監理科技黑客松</a>（Taiwan RegTech Challenge 2020）在8月中正式開跑，這也是臺灣第一個國際級監理科技挑戰賽，向全球展開為期2個月的招募。而該挑戰賽也是參考了英國TechSprint的機制。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">金管會近年積極推動監理科技，2020年的施政要點更以協助金融市場發展及消費者金融服務需要為方向，持續建構完善金融監理法制，提升金融機構國際競爭力。為了促進數位監理化的成熟度，並探索未來數位風險，金管會在2020年成立監理科技專案小組，邀集集保結算所、聯徵中心及相關周邊單位，共同研議發展我國監理科技，同時整合周邊金融單位與業者資源、引進最新科技與系統。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">配合金管會Open Banking施政方向，舉辦監理科技黑客松有4大目的。包括加速監理科技導入產業的可行作法；透過整合產官數位監理發展共識；鏈結國際法遵科技網絡；凝聚監理科技領域能量，作為主管機關數位監理導入或法規調適的參考依據。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">為了彙整國內金融科技發展需求及痛點，金融總會秘書長，同時也是監理科技黑客松工作小組召集人吳當傑表示，籌備初期，團隊花了3個月走訪銀行局、保險局、證期局與檢查局4大局，以及7大金融機構的高層主管，歸納收斂出挑戰賽的3大主題：eKYC、市場資訊即時監理、防詐欺或預警，找到最真實的痛點所在，才能讓參賽團隊對症下藥。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">而eKYC的對應子題，為多元數位身分認證方式，技術層面比如無卡識別、生物辨識、語言處理。市場資訊即時監理則有3項對應子題，囊括財業務資訊監控，偶發事件即時回傳與分析，以及跨域、跨業、同業、集團內數據合規共享。技術層面有假資料判讀、營運風險預警、法規調適流程自動化、跨資料庫數據整合。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">在防詐欺或預警主題，也有3項對應子題，包括可疑交易或帳戶及內部舞弊行為偵測、借貸違約及證券交易違約風險預警、實質受益人辨識。技術層面為盜領行為偵測、新型風險樣態偵測、交易及借貸違約預警、實質收益人辨識等。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">為了有效促進提案內容落地應用，2020監理科技黑客松還設計「資料提供方或業師（data partner或mentor）」與「個案評估輔導」2套機制。對國內金融產業不熟悉的參賽團隊，可由大會媒合所需數據或業師；複賽到決賽的個案評估輔導期間，大會也會提供法規、法遵及資安、資訊的可行性檢測，協助盤點資安、法規基本項目。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 企業數位帳戶 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 第一銀行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">獨資企業也能線上申辦數位帳戶，第一銀行成國內首家開辦銀行</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/058_%E7%AC%AC%E4%B8%80%E9%8A%80%E8%A1%8C_ATM%E7%9B%9C%E9%A0%98%E4%BA%8B%E4%BB%B6_20160719.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">隨著金管會擴大數位存款帳戶申辦對象，讓獨資企業也能線上申辦企業數位帳戶。第一銀行在8月17日宣布，推出iLEO獨資企業數位帳戶，更是國內第一家推出企業數位帳戶的金融機構。第一銀行表示，獨資企業主只要準備好身分證明文件、自然人憑證及工商憑證，透過線上與客服人員視訊驗證身分後，即可開立獨資企業數位帳戶，不僅省去親臨分行櫃檯辦理開戶的時間，開戶後透過iLEO App即可獲得存款、外匯、信託等金融理財服務。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，第一銀行透露，iLEO App近期也將開放線上申請數位存摺服務。未來，個人用戶或企業主即可匯出存摺及交易明細，作為財力證明及申貸依據等用途。而iLEO App也將於9月開放年滿7歲以上的未成年人線上申請開立數位帳戶服務。iLEO數位帳戶是第一銀行專攻年輕客群的產品，自2019年4月推出以來，使用人數已達33萬戶。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Capital One </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 個資外洩 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">美國Capital One銀行個資外洩案遭重罰8千萬美元，因上公雲前未能建立有效風險評估流程並及時修補缺失</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">美國Capital One銀行去年7月遭駭客入侵雲端系統，遭駭客竊取上億用戶個資及企業資訊，近期遭主管機關處以8千萬美元民事罰金。美國財政部轄下的貨幣監理官辦公室（Office of the Comptroller of the Currency，OCC）指出，之所以做出這項處分，是因Capital One在把重要資訊搬移到公有雲環境前，未能建立有效的風險評估流程，並及時修補缺失。但所幸銀行迅速通知客戶及補救。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">OCC指出，雖然它鼓勵所有銀行採取「負責任」的創新，但是健全的風險管理及內部控管才是確保銀行安全運作、提供客戶充分防護的關鍵，OCC認為Capital One的缺失造成了不安全的環境，也違反了《建立資訊安全標準跨部會指引》的法規。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">去年3、4月Capital One員工Paige Thompson利用對公有雲AWS的了解，利用網路防火牆組態漏洞而駭入該銀行代管在AWS S3服務的客戶資料庫，超過1億名北美客戶資料遭存取，包括解密了部分資料。不過，Capital One仍然提供了加密及部分資料欄位變造（tokenized），像是社會安全碼與銀行帳號等，因而減少資料損失的幅度。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 臉書 </span> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 支付暨金融服務部門 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">臉書成立新的支付暨金融服務部門，由David Marcus領軍</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="font-family: 微軟正黑體, sans-serif; font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="/sites/default/files/images/FireShot%20Capture%20567%20-%20David%20Marcus%20on%20Twitter_%20_Today%20we're%20creating%20a%20new%20group%20to%20look%20af_%20-%20twitter_com.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">曾擔任PayPal總裁，之後負責臉書Libra專案的David Marcus，在 8月10日透過Twitter宣布，臉書已成立了新的支付暨金融服務部門，以掌管臉書旗下的所有相關服務，包括Facebook Pay、Novi及WhatsApp payments等，並由他負責領軍，外界則解讀臉書將全力發展各種支付服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">根據彭博社的報導，此一支付暨金融服務部門在內部被稱為F2，為Facebook Financial的縮寫，該部門將負責執行所有的支付專案。該報亦分析，如果使用者可直接在臉書、Messenger、Instagram以及WhatsApp上購買商品，那麼臉書的廣告就更有價值，且使用者在這些應用的停留時間也會更久。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> MOBI </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 汽車區塊鏈 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> BiiLabs </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">臺灣區塊鏈新創BiiLabs加入汽車開源區塊鏈倡議組織MOBI</span></strong><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202020-08-21%20%E4%B8%8B%E5%8D%883_15_03.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣區塊鏈新創BiiLabs在8月19日宣布，加入了由BMW、福特、通用等汽車公司，協同IBM與Hyperledger等科技機構，共同組成的汽車開源區塊鏈倡議組織（Mobility Open Blockchain Initiative，MOBI）。BiiLabs表示，他們透過分散式帳本技術，應用在出行（mobility）市場，提供汽車支付服務，以及推動包含創星物聯等合作夥伴駕駛行為計費保險（UBI）應用。加入MOBI後，將與組織中的汽車製造商、科技公司及非營利組織合作，推動在出行應用上，區塊鏈的採用和標準化。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">MOBI是一個非營利組織，於2018年成立，現已擁有超過100個組織成員，且會員數持續成長中，與許多出行和區塊鏈領域的參與者合作，包括世界上最大的汽車製造商和車用生態系統參與者，以及眾多新創公司、非營利組織、政府、交通機構以及科技公司。目的在與企業、政府和非營利組織等機構合作，加速發展區塊鏈和分散式帳本的應用與標準，使得出行服務更加安全有效率。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Coinbase </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 比特幣抵押 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 現金貸款服務 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">加密貨幣交易中心Coinbase將在美國17州，推出以比特幣作抵押的現金貸款服務</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">美國知名的加密貨幣交易中心Coinbase在8月13日宣布，將在美國17個州推出以比特幣作為抵押品的現金借貸服務，最多允許該平臺的用戶借出30%或最高2萬美元的現金，年利率為8%。要使用此一服務的先決條件是，使用者必須在Coinbase開立帳戶並存有比特幣。Coinbase表示，有些用戶可能要進行房屋修繕，或是改裝汽車，但並不想賣出自己的比特幣，才使得該平臺規畫了此一服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">不過，使用者最多只能借出所存有比特幣市價的30%，最高為2萬美元。Coinbase強調，8%的年利率低於大多數的個人借貸利率，而且不必審核信用，也能選擇每個月只支付利息，一年後才開始償還本金，只要幾個步驟就能完成貸款，並在3天內取得款項。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">攝影／洪政偉</span><br /><span style="vertical-align: top; font-size: 18.6667px;">圖片來源／FinTechSpace、</span><span style="font-size: 14pt;">David Marcus推特</span><span style="vertical-align: top; font-size: 18.6667px;">、</span><span style="font-size: 14pt;">MOBI</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="vertical-align: top; font-size: 18.6667px;">1. </strong><strong style="font-size: 14pt;">台新金控決議併購保德信人壽，以完成金控版圖布建</strong><br /><strong style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; font-size: 18.6667px;"><span style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2020年8月</span></strong></strong></p> </div></div></div>
2020/8/21 18:07作者李靜宜https://www.ithome.com.tw/news/139551
Google以衛星資料定位北美野火範圍，透過地圖即時推播
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.blog.google/products/search/mapping-wildfires-with-satellite-data/">Google</a>現在於搜尋與地圖服務，提供野火的詳細資訊，包括地點以及火災邊界，並在用戶接近活躍的火災區域時發出警告，並且提供最新的資訊，幫助用戶遠離野火威脅。</p> <p>每年8月到11月是加州乾旱季節，雖然發生山林火災屬常見的現象，但是今年因為受極端氣候影響，野火災情提早到來，現在加州數百處嚴重程度不一的野火，正在延燒擴散。而之所以現在Google能在搜尋以及地圖服務，提供精確的野火資訊，Google提到，是10年前發生在以色列北部卡梅爾山區的森林大火，開啟了他們建構相關功能的契機。</p> <p>Google在以色列的辦公室，距離卡梅爾山大火發生地點不遠，火災發生時，雖然辦公室的員工，在網路上盡可能地搜尋相關的新聞，想具體了解發生什麼事，以及需要採取的應變措施，但都只能找到一些他們用肉眼就能確認的事實。Google提到，資訊不足可能最終造成生命傷亡，因此他們決定開始建構可以在危機期間，快速且精確提供人們資訊的功能。</p> <p>在卡梅爾山大火發生當下，Google就快速的在搜尋中加入小功能，讓人們容易找到火災緊急應變中心電話，這項功能也發展成為2017年，Google所發布的SOS警報功能。而現在Google又進一步強化該功能，在搜尋以及地圖的SOS警報加入野火邊界地圖資訊，提供用戶查看野火發生的區域。</p> <p>Google使用來自美國國家海洋與大氣管理局（NOAA）GOES衛星群的資料，結合Google地球引擎資料分析功能，能以接近即時的速度，繪製出野火的區域。每小時NOAA衛星所提供的紅外線和光感測器資訊，可用來偵測地球表面大火等發熱點，經Google地球引擎計算之後，便能辨識出受火災影響的區域。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Wildfire_Detection_Animation.gif" style="width: 600px;" /></p> <p>Google搜尋和地圖能在地圖上顯示紅色外框的多邊形，標示出野火大致影響區域，當同一地區發生多次大火，那用戶便會看到多個多邊形。只要用戶搜尋加州野火，或是Kincade fire等關鍵字時，Google還會提供野火的詳細資訊，包括邊界、名稱和位置，以及一些有用的新聞報導，和緊急應變機構等資訊，Google地圖用戶也會收到相同的資訊，且當用戶在野火區域附近探索時，也會收到警報推播，提供相關的最新資訊。</p> </div></div></div>
2020/8/21 16:20作者李建興https://www.ithome.com.tw/news/139544
美大學強迫學生安裝COVID-19檢測及定位App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國各級學校開學、復學在即，<a href="https://techcrunch.com/2020/08/19/coronavirus-albion-security-flaws-App/" target="_blank">Techcrunch報導</a>，為了確保學生做過COVID-19檢測，以及提供接觸追蹤，一所大學強迫學生安裝一款稍早還爆發漏洞的App，而且擅自關閉定位追蹤者可能遭到處份。</p> <p>美國當地大專院校即將在疫情方熾中開啟新學期，讓校方繃緊神經，採取多項防範措施。例如密西根州的<a href="https://www.albion.edu/news-and-events/recent-news/news-archive/735-academics/14873-albion-college-outlines-fall-2020-semester-academic-plan" target="_blank">Albion學院</a>規畫的新學期，會在8月24日開始，於11月感恩節，而非傳統上的聖誕節前夕結束。但該校也要求師生開學當天接受COVID-19抗體檢測，並安裝名為Aura的App。</p> <p>這款App具備接觸追蹤、檢測排程、以及出入准許功能，並產生QR code作為出入驗證。學生接受過檢測後，資料就會餵進App及通知校方。未來學生出入某個場合時，檢測為陰性的學生掃瞄QR code會顯示「通過驗證」（certified），但檢測結果為陽性或尚未檢測的學生在掃瞄QR code時，即會出現「不得進入」（denied）。</p> <p>此外，若檢測陰性的學生和檢測陽性的學生有過一段時間的近距離接觸後，Aura就會發出警告。但是報導指出，Aura使用的技術，和蘋果、Google提供的曝險通知（exposure notification）不同，它會經常存取學生即時位置，校方聲稱這是接觸追蹤的必須。</p> <p>根據媒體拿到的郵件顯示，利用定位功能，校方企圖監控學生行動。例如校方要求學生不得在未經許可情況下離開校區，以免在外感染回校傳染給師生。若擅自離校這款App會通知校方，該生學生證即被鎖卡而不得進入校園大樓。</p> <p>學校還警告若是學生違規關閉定位功能，可能遭到停學或是開除的處分。</p> <p>此外，報導還指出，這款App還存在可能導致資訊外洩的漏洞。這項漏洞出現在產生QR code的方式。Techcrunch分析發現，產生學生QR code的Aura網址包含Aura用戶帳號，因此增減帳號即可產生不同人的QR code。只要掃瞄這些QR code即可得知學生的全名、COVID-19檢測結果，以及出入驗證的日期等資訊。報導推測可能有1.5萬名學生資訊可因此外洩。</p> <p>在媒體通知後，開發該App的廠商已修補漏洞。不過<a href="https://www.dailymail.co.uk/news/article-8639557/Michigan-college-fire-making-students-download-App-track-movements.html" target="_blank">學生家長仍然質疑</a>，密西根州已經有接觸追蹤App，這款App根本是畫蛇添足。</p> </div></div></div>
2020/8/21 16:20作者林妍溱https://www.ithome.com.tw/news/139548
Uber前安全長Joe Sullivan因蓄意隱瞞資料外洩事件被起訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2015年至2017年間擔任Uber安全長的Joe Sullivan，因為隱瞞了駭客攻擊事件，在本周遭到美國司法部起訴，罪名是妨礙司法及隱匿重大犯罪，最多可能面臨8年的牢獄之災。</p> <p>根據美國司法部的<a href="https://www.justice.gov/usao-ndca/pr/former-chief-security-officer-uber-charged-obstruction-justice">說明</a>，當Sullivan在2015年接任Uber首任安全長時，美國聯邦交易委員會（FTC）正在調查Uber於<a href="https://www.ithome.com.tw/news/94234">2014年的資料外洩事件</a>，而Sullivan當時便負責與FTC交流，但就在Sullivan任內，又發生另一起資料外洩事件，Sullivan卻選擇隱匿不報，而且還支付了價值10萬美元的比特幣予駭客，要求駭客移除所盜走的資料且不得對外聲張。</p> <p>調查顯示，駭客在2016年成功入侵Uber，盜走了5,700萬名Uber乘客與司機的資料，內含乘客姓名、電子郵件帳號及行動電話號碼，以及60萬名美國Uber司機的駕照資料。</p> <p>不過，Sullivan非但沒有通知執法機關或FTC，反而與駭客訂下協議，以Uber的抓漏專案為名，支付了10萬美元予駭客，並與駭客訂定保密協議，還在保密協議中註明駭客並未取得或儲存任何Uber用戶資料，且當時Sullivan甚至不知駭客的真實姓名。之後當Uber團隊確認駭客身分之後，Sullivan再度要求駭客重新簽署保密協議，同樣宣稱駭客並未取得Uber用戶個資。</p> <p>此外，當知情人士詢問Sullivan為何在保密協議中描述錯誤的資訊時，Sullivan依然堅稱駭客未取得Uber用戶資料。</p> <p>在2016年8月接任Uber執行長的Dara Khosrowshahi，也曾要求Sullivan彙報當年的資料外洩事件，Sullivan修改了團隊成員的簡報，刪除了駭客取得Uber用戶資料等細節，還說他是在確認駭客身分之後才支付贖金的。</p> <p>Sullivan則在Khosrowshahi查明事實之後於2017年離職，同時也受到美國司法部的調查，在本周正式遭到起訴，罪名為妨礙司法及隱匿重大犯罪。</p> <p>美國聯邦檢察官David Anderson指出，矽谷並非蠻荒之地，他們期待良好的企業公民意識，希望企業舉報犯罪行為並協助調查，無法容忍企業的隱匿與私下付款的行為。FBI主管Craig Fair則說，向執法機關隱瞞重大犯罪事件屬於犯罪行為，企業不該協助駭客隱匿犯罪，也不應遮掩駭客竊取他人數據的犯罪企圖。</p> </div></div></div>
2020/8/21 15:50作者陳曉莉https://www.ithome.com.tw/news/139542
Android 11將讓用戶更難使用第三方相機程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周<a href="https://issuetracker.google.com/issues/162643544#comment6">表示</a>，為了確保用戶隱私，Android 11最新變更將要求手機上的App，只能使用手機內建的相機程式，即使用戶手機上有其他偏愛的拍照App。</p> <p>原本Android App如果有拍照或錄影的行為，可利用Android 相機API，在App內拍照，或是傳送到專門的相機程式App，這時Android會顯示對話窗格，讓用戶選擇手機內建的相機App，或是第三方App如OpenCamera。但Android 11的最新變更，讓第三方相機App無法回應錄影及拍照的3種意圖（VIDEO_CAPTURE、IMAGE_CAPTURE、IMAGE_CAPTURE_SECURE）。這麼一來，Android 11上跳出的對話窗格只會顯示手機預建的相機App。這意謂著，使用者如果想用第三方相機App必須手動開啟，讓第三方App使用變得更麻煩。</p> <p>Google 本周在Android討論區解釋，這可防止有心人士藉第三方相機App蒐集地點資訊，確保用戶隱私和安全。</p> <p>不過Android 11仍然留了一條路：第三方App仍然可傳送明示的意圖，指定特定的App名稱或元件以便啟動第三方相機App，例如Adobe最新推出的Photoshop Camera。</p> <p>XDA Developer<a href="https://www.xda-developers.com/android-11-blocks-third-party-camera-Apps-Appearing-image-video-picking-intents/">指出</a>，這表示未來App開發商必須先設想好他們想支援哪些第三方相機App。</p> </div></div></div>
2020/8/21 15:50作者林妍溱https://www.ithome.com.tw/news/139543
MITRE公布這兩年全球最危險的25種軟體安全缺陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>管理包括資安在內等多個研發中心的美國非營利組織MITRE，在本周公布了這兩年<a href="https://cwe.mitre.org/top25/archive/2020/2020_cwe_top25.html">最危險的25種軟體安全缺陷</a>（Common Weakness Enumeration，CWE），占據第一名的是可能衍生出各種跨站程式攻擊（Cross-site scripting，XSS）的CWE-79。</p> <p>CWE全名為通用缺陷列表，是由MITRE負責管理的National Cybersecurity FFRDC所贊助的專案，它把各種軟體漏洞分門別類，總計提供逾600種分類，與業者修補漏洞時所使用的「常見漏洞披露」（Common Vulnerabilities and Exposures，CVE）不同，CVE指的是軟體中的具體漏洞，而非只是分類。</p> <p>其實CWE專案去年也曾發布<a href="https://www.ithome.com.tw/news/134475">2019年最危險的25種軟體缺陷</a>，今年前25名的差異並不大，只是名次有些異動，MITRE說明，這是因為今年他們突顯了更具體的安全缺陷，使得那些較為抽象的漏洞類型排名下滑。此外，這些漏洞的排名主要是根據它們是否很容易被發現與攻陷，以及是否允許駭客完全掌控系統、竊取資料或阻止應用程式運作而定。</p> <p>今年所列出的前五名最危險漏洞類別中，第一名為CWE-79，它肇因於在網頁生成的過程中，出現不當的中和輸入（Improper Neutralization of Input During Web Page Generation），而可能衍生出各種跨站程式攻擊，它在去年僅排名第二。</p> <p>第二名則是CWE-787的越界寫入（Out-of-bounds Write）缺陷，指的是軟體會在預期的緩衝區之外寫入資料，一般可造成資料損毀、當掉，或是允許程式執行。CWE-787在去年的排名是第12。</p> <p>第三名為CWE-20的不適當輸入驗證（Improper Input Validation），意指產品所接收到的輸入資料未經驗證，或是不適當地驗證了含有不安全內容的輸入資料。CWE-20與去年的排名一致。</p> <p>第四名為CWE-125的越界讀取（Out-of-bounds Read）缺陷，亦即允許軟體讀取緩衝區以外的資料，通常可允許駭客讀取存放在記憶體中的機密資訊或是造成系統當掉。它在去年排名第五名，今年上升了一名。</p> <p>第五名則是CWE-119，屬於記憶體緩衝區內不當的操作限制，這是因為特定語言容許直接取得記憶體區域，但並未自動確保這些記憶體緩衝區是有效的，可能造成在這些區域中的讀寫操作牽連到其它的變數、資料結構或內部程序資料，使得讀寫行為超越緩衝區界線，而讓駭客得以執行任意程式、變更控制流程、讀取機密資訊或導致系統當機。CWE-119是去年的第一名。</p> <p>MITRE表示，2020 CWE Top 25是參考了2018年與2019年的美國國家漏洞資料庫（NVD），分析2.7萬個CVEs的特性與CVSS（常見漏洞評分系統）分數而成，以期客觀地了解現實世界中真正存在的軟體缺失，將讓專案管理員、安全研究人員或教育人員得以一窺當前的資安景況。</p> </div></div></div>
2020/8/21 16:00作者陳曉莉https://www.ithome.com.tw/news/139545
猶他大學遭勒索軟體攻擊：付贖金的原因不是為了解密資料，而是贖回被盜的學生資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩年有愈來愈多的勒索軟體駭客集團在加密系統上的資料前，會先下載資料，以增加與被害者談判的籌碼，而本周美國猶他大學即證實了這個現況。猶他大學以一己之力復原了被駭客加密的系統，卻為了保護被駭客下載的員工與學生資料，而選擇支付贖金。</p> <p><a href="https://attheu.utah.edu/facultystaff/university-of-utah-update-on-data-security-incident/" target="_blank">猶他大學表示</a>，該校社會與行為科學學院的幾臺伺服器在7月17日遭到勒索軟體攻擊，該學院立即通知該校的資訊安全辦公室（ISO）與執法機構，最後判斷這些伺服器上只有0.02%的資料被加密。在短暫隔離這些伺服器並清除惡意程式之後，ISO很快就以備份的資料復原了相關伺服器，且該攻擊事件並未波及學校的中央IT系統。</p> <p>儘管已恢復系統運作，然而，幾經考慮，猶他大學還是決定支付45.7萬美元的贖金予駭客，以確保教職員或學生的個人資訊不會流落在公開網路上。該筆金額有部份是由資安險支付，其它則是動用了學校的資金。</p> <p>目前該校仍在調查受到影響的人數，但為了以防萬一，該校已在7月29日要求全校教職員與學生變更他們的登入密碼，且啟用雙因素認證機制。</p> <p>猶他大學表示，該校原本就有編列不小的預算來保護校園的資訊安全，包括防範勒索軟體攻擊，也會適時修補必要的漏洞且24小時監控校園網路，但即便如此，複雜的運算需求與分散式的特性，仍讓該校淪為勒索軟體的受害者，未來該校將把各學院系統上的個人及機密資訊轉移到中央系統上，並建置更安全的環境，也會把學院網路整合到由中央管理的校園網路。</p> </div></div></div>
2020/8/21 16:05作者陳曉莉https://www.ithome.com.tw/news/139547
臺大、北榮、北醫三團隊展示AI輔助診斷系統，大幅縮短心、腦、肺重大疾病診斷時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在政府推動精準醫療及精準健康政策，以及AI產業應用之下，科技部與衛福部聯手推動國內醫療影像AI應用，本周臺大、榮總、北醫三個研究團隊展示成果，透過AI輔助判斷醫療影像，協助醫師判別心、腦、肺重大疾病，大幅縮短診斷時間。</p> <p>科技部推動「醫療影像之巨量資料建立與應用研究專案計畫」，2018年與臺灣大學、臺北榮總、臺北醫學大學合作，啟用國內第一個跨院所的醫療影像資料庫，涵蓋心、腦、肺部醫療影像資料，由三個醫療團隊以人工方式標註資料，並進一步和其他業者、研究單位聯手，發展醫療影像AI診斷模型。</p> <p>隨著專案即將在今年底結束。科技部政務次長謝達斌表示，衛福部、科技部及經濟部將展開合作，從2021年推動4年期的精準健康大數據永續平台，結合醫療影像、病理、基因資料形成複合式的巨量資料，可以加速臨床轉譯開發研究，除了可為國人健康把關、更有效率的治療，也能幫助國內生醫產業發展。</p> <p>謝達斌指出，醫療影像對臨床診療有相當大的幫助，也是AI最有明顯效果的領域，透過補助學研界對心、腦、肺重大疾病，在AI輔助檢測判斷醫療影像下，短時間內就能產出具國際標準的檢測報告，讓醫生覆核的依據，臨床上從傳統20、30分鐘降到5分鐘，研發過程標註的模型及資料庫放在國網中心，在保障個人隱私下提供給其他團隊使用，帶動進一步的發展。相信對小醫院及偏遠地區的輔助判斷能夠帶來幫助，未來影像數據加值發展精準醫療，也能建立良好示範，加上共享機制和個資保護，有助於加速我國醫療AI及產業發展，這些成果也為複合式資料運用的精準醫療發展打下里程碑。</p> <p>衛福部健保署為了協助三個團隊在醫療影像AI診斷模型訓練上能突破訓練用資料的侷限性，健保署和科技部合作，開放三個團隊運用健保署從前年開始蒐集民眾在各個醫療院所做CT、MRI、X光檢查影像資料，現在約有超過17億張的影像資料，運用這些多樣性資料進一步優化AI模型辨別的準確性。</p> <p><span style="color:#B22222;"><strong>北榮展示腦轉移瘤AI輔助診斷系統，開設多個AI輔助門診</strong></span></p> <p>臺北榮總針對腦部轉移瘤展示了AI診斷系統DeepMets，該團隊使用榮總歷年累積的各種腦部腫瘤影像資料，共超過160萬張影像，經過篩選、標註，2018年他們和臺灣人工智慧實驗室合作展示第一個版本。雖然第一版已有不錯的辨識準確性，但由於訓練資料仍有侷限性，因此他們除了使用自家的1,100個病例，也利用健保署資料庫中的3,100多個腦轉移瘤病案，利用開源的聯合學習（Federated Learning）套件Harmonia進行聯合學習，開發出DeepMets+，強調在不同的主要MR設備廠牌上能夠找出腦轉移瘤病灶，計算數量、最大徑、體積等。DeepMets+在腦轉移瘤判斷的Precision達到97%、Recall召回率達95%、F1 Score達96%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/brain.jpg" style="width: 600px; height: 426px;" /></p> <p>AI輔助診斷也對民眾看病流程帶來影響，在未導入AI輔助診斷之前，傳統的肺癌檢查流程，從患者在胸腔科看門診，安排磁振及電腦斷層檢查，理論上放射科醫師花費5至7天時間製作報告，病患再回診看報告，由醫師決定治療方針。</p> <p>導入AI輔助診斷後，臺北榮總放射線部主任郭萬祐指出，原本的流程縮短了，例如病患在早上看過胸腔科門診，循綠色通道，中午為病人安排影像檢查，當天下午第二次門診，由AI輔助診斷系統協助醫師判別腦轉移瘤情形，判別肺癌發展至哪一階段，及早決定病人的治療方針。醫學影像檢查的正式報告，仍由放射科醫師花費5到7天製作。</p> <p>北榮已將DeepMets應用在該院的神經影像及胸腔內科AI輔助門診，偵測腦轉移瘤病灶，已應用在超過1,500個病例上，醫生閱片時間從人工至少10分鐘降為30秒，診療流程從2週縮短為半天。</p> <p>目前北榮已開發出約10支AI模型，郭萬祐表示，DeepMets未來不只放射科，模型也放至胸腔科，可以想像診間內有各種模型，輔助醫師診斷肺結節、結核、腦轉移瘤、肺癌。</p> <p>北榮在去年2月已在三個門診使用AI輔助診斷，包括AI輔助心房顫動電燒門診、AI輔助腦影像門診、AI輔助脊椎骨折門診，今年新增青光眼門診。</p> <p><strong><span style="color:#B22222;">北醫靠AI縮短醫師檢視、診斷肺癌時間</span></strong></p> <p>根據衛福部統計，肺癌爳國內癌症死亡率第一，病患五年的存活率只有15%，且高達7成的串者診斷時已是末期，為了及早診斷肺癌，臺北醫學大學（北醫）在科技部補助下，開發肺部人工智慧診斷輔助系統Deep-Lung，這套系統分為兩部份，分別檢測CT電腦斷層影像、數位病理影像。</p> <p>北醫展示的肺部AI診斷系統Deep-Lung，包括左邊螢幕的CT影像，靠AI找出肺結節，右邊則是數位病理全玻片影像，找出切片中的癌細胞，並對其分群：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Deeplung.jpg" style="width: 600px; height: 386px;" /></p> <p>在肺部CT影像方面，北醫運用影像標註、語意標註，共計6千例，肺結節標註系統，北醫運用3D-RPN偵測肺結節位置，可偵測多顆肺結節，北醫副校長陳震宇表示，精準度Sensitivity已達到近86.9%。進一步透過特徵提取、深度學習模型，對良惡性分類的準確率可達到98%。綜合偵測、分類、自動報告發展出肺結節CT診斷輔助系統Deep-lung:LungRads，利用AI輔助偵測、分類，以及按照肺結節處置自動分級，建議醫生處置方式。</p> <p>至於數位病理影像方面，北醫以3千片肺部病理影像，和雲象科技合作開發數位病理全玻片檢測系統Deep-Lung：Patho CAM。由於全玻片病理影像檔案高達1GB，他們和國網中心合作，運用臺灣杉二號的運算能量，利用CNN架構結合專利技術對癌細胞分群，同時以視覺化方式標示出全玻片影像中病灶位置。</p> <p>陳震宇強調Patho CAM已能在全玻片影像中，只要10秒鐘找出癌細胞的位置，準確率可達90%，猶如在Google Earth中找到某一棟建築物，由於80%的肺腺癌混有兩種以上的亞型癌細胞，不同亞型對治療方式的效果也有差異，這套系統還能進一步分辨癌細胞的亞型分布及定量，協助醫師擬定適合的治療方針。</p> <p>根據北醫的測試，在肺部CT影像方面，放射科醫師檢視CT影像所需時間約需20分鐘，AI自動產出診斷報告只要10秒，而醫師覆核時間只要5分鐘，大大節省時間。而病理科醫師檢查全玻片影像，一般需要45到60分鐘，透過Patho CAM協助，AI偵測約10秒完成，醫師覆核只要20分鐘。</p> <p>「Deep-Lung可以降低醫生偵測、診斷的時間，對經驗不足的中小型醫院來說，也能帶來相當大幫助」，陳震宇說。</p> <p><span style="color:#B22222;"><strong>臺大開發心臟主動脈鈣化、脂肪的AI分析模型</strong></span></p> <p>專注在心臟血管重大疾病的臺大團隊，結合臺灣大學及臺大醫院團隊，並和8個醫學中心聯手，運用8個醫學中心的去識別化CT電腦斷層影像，在心臟及放射科醫師標註心包膜、升降主動脈輪廓，經他們自行開發的Heaortnet神經網路，跨多個醫學中心CT設備進行聯合學習，開發心臟主動脈鈣化、脂肪的AI分析模型。</p> <p>現場展示的心臟主動脈鈣化、脂肪的AI分析模型：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20200820_110223-1.jpg" style="width: 600px; height: 450px;" /></p> <p>臺大醫院內科教授王宗道強調，心臟分割準確率達到94.2%，單一病例分析只需0.4秒，目前已應用在臺大醫院影像醫學部的輔助報告上。</p> <p>該研究也運用健保署影像資料庫平臺，近3,000筆共10萬片CT影像在20分鐘內完成分析，以預測民眾的健康風險。臺大也和商之器合作開發桌上及行動App，預計在部立醫院使用。</p> </div></div></div>
2020/8/21 16:15作者蘇文彬https://www.ithome.com.tw/news/139541
Adobe Lightroom iOS App 5.4.0版可能誤刪用戶相片、設定，且無法復原
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周Adobe釋出的相片編輯App Lightroom 5.4的iOS/iPadOS版有重大臭蟲，會導致用戶手機和平板內的相片及設定被全數刪除，而且Adobe說無法復原。</p> <p><a href="https://petapixel.com/2020/08/20/lightroom-App-update-wipes-users-photos-and-presets-adobe-says-they-are-not-recoverable/" target="_blank">PetaPixel</a>首先報導，本周有用戶分別在<a href="https://feedback.photoshop.com/photoshop_family/topics/lost-my-pictures-and-presets-after-update-today-18th-august-2020" target="_blank">Photoshop討論區</a>與<a href="https://www.reddit.com/r/Lightroom/comments/icz90f/i_cant_believe_i_lost_2_years_of_edits_due_to_the/" target="_blank">Reddit</a>反映此事。他們升級到Adobe iOS版Adobe Lightroom 5.4 App後，手機中所有相片及設定都被刪除。任何沒有備份或同步到Adobe、或其他雲端服務的相片都不見了。</p> <p>一名用戶聯絡Adobe客服後，得到的答案是問題無法解決，所有被刪的相片都無法復原。</p> <p><a href="https://feedback.photoshop.com/photoshop_family/topics/lost-my-pictures-and-presets-after-update-today-18th-august-2020" target="_blank">Adobe周三證實此事</a>，指出升級到Lightroom 5.4.0的iPhone和iPad 用戶，如果沒有和Lightroom 雲端同步，可能發生相片及設定遺失的情形。Adobe也緊急釋出修補該臭蟲的iOS和ipadOS版Lightroom 5.4.1版本。但是該公司坦承，升級到5.4.1版並不能回復用戶之前被刪的相片和設定。</p> <p>至於Android App、Windows和macOS版Lightroom用戶，則不受影響。</p> <p>由於Adobe這端已無法解決，除了道歉外，Adobe建議iOS版用戶試試從iCloud備份回復相片。</p> </div></div></div>
2020/8/21 12:15作者林妍溱https://www.ithome.com.tw/news/139540
臺灣資安大會直擊（上）資安將是臺灣新戰略產業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府終於下定決心，要善用臺灣獨特的世界級資安產業優勢！那就是源源不絕的惡意程式「天然資源」。</p> <p>來自境外、海峽對岸的網路威脅，源源不絕的駭客攻擊，曾是臺灣不論是政府或企業，極大的威脅和挑戰，甚至資安圈稱臺灣「是擁有源源不絕惡意程式天然資源的國家」。但這股壓力，練出臺灣一身資安功夫，屢屢有資安新創和資安高手在國際展露頭角。但在10年前，這股力量只在民間、業界發酵，政府還沒感受到臺灣資安的產業潛力，直到現在。</p> <p>在今年520總統就職演說中，蔡英文總統將資安產業的地位，第一次，拉高到與半導體、精密機械、生技醫藥那樣重要的國家關鍵核心產業。</p> <p>在演講中，蔡英文提出的臺灣產業發展新方向是，要在原本「5+2產業創新」的基礎上，進一步聚焦於6大核心戰略產業。第一個是臺灣向來的龍頭產業，以半導體和ICT產業為首的資訊數位產業，但名列第二的就出人意料的是結合5G、數位轉型和國家安全的資安產業。其次是生物醫療科技、國防戰略產業、綠電再生能源產業，以及最後一項是在抗疫大戰後更顯得重要的民生戰備產業。</p> <p>將資安視為國家戰略產業，是蔡英文「資安即國安」國家戰略的下一步發展，過去4年，為了轉型數位國家，發展數位經濟，政府對資安的重視拉高到了國家安全的層次。從多項資安法規的完善、政府資安專責機構來形成政府資安鐵三角，強化關鍵基礎設施資安防護，甚至是，推動了多個產業的資安聯防架構。</p> <p>但要如何讓資安產業，也能像半導體，成為臺灣在全球數位競賽的火車頭之一，政府接下來要怎麼做？各界都很期待。</p> <p>蔡英文提出幾項發展方向，一是，將加速成立整合資訊、資安、電信、網路和傳播五大數位發展相關業務領域的「數位發展部」，其次，搶先布局AI及IoT資安應用，讓臺灣科技產品獲得全世界的信任，成為重要的競爭優勢，而在政府部門關鍵基礎設施的強化作為上，也會建立以數據驅動為核心的主動防禦體系。「透過結合5G和數位轉型，提升臺灣整體數位國力，打造結合數位實力以及國家安全的資安產業，以及被世界所信賴的資安系統及產業鏈。」她說。</p> <p>不只蔡英文揭露國家下一階段資安產業方向，多個產業主管機關也在臺灣資安大會揭露了新的資安政策方向。</p> <p>例如金管會在臺灣資安大會前一周，公布了8大金融資安行動方案，金管會主委黃天牧更親自點出，這個方案從強化主管機關資安監理、深化金融機構資安治理、精實金融機構資安作業韌性、發揮資安聯防功能等4大面向切入，目標是達到安全、便利、不中斷，以及消費者個資保護。</p> <p>已經推動3年多的F-ISAC，逐漸形成臺灣金融圈彼此資安情資共享的平臺，光今年上半年，金融機構會員分享給F-ISAC的情資就有218則。黃天牧指出，下一階段，要讓資安應變機制也能資源共享。另外，金管會也計畫推動類似了美國「避風港計畫」的資料保全新作法，透過第三方儲存來建立多一道金融機構資料保全機制。甚至，黃天牧想進一步推動金融圈建立一種健康、透明的資安文化，即使遭遇資安事件，也能用積極正面的態度來面對資安威脅，透過集體努力來建構資安的安全網。</p> <p>另外，NCC委員孫雅麗也在臺灣資安大會上揭露，明年1月初，將成立一個國家級的通訊軟體領域安全實驗室，目標是協助5G網路業者，與第三方服務商完成5G相關軟體安全測試，來確保產品或服務的安全、可靠與韌性，未來還將聚焦4大5G網路資安議題，更要建DevSecOps與安全分析檢測兩大平臺。</p> <p>衛福部關鍵基礎設施資安工作推動專案辦公室主任范仲玫也預告，將持續擴大醫療資安聯防的能力和機制，不只今年要設置SOC、還要透過醫院評鑑來鼓勵更多醫療機構，加入醫療資安聯防機制，來交換資安情資。</p> <p>不只這幾個部會，科技部、經濟部、國發會等都各有新的資安政策作為。政府動起來了，臺灣資安產業正準備往下一階段發展邁進。</p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> 政府揭露新資安政策方向 </span></strong></span></span></p> <p><span style="color:#3399ff;"><strong><span style="font-size:22px;">● 資安成為國家核心戰略產業，與半導體、資通訊產業並列</span></strong></span></p> <p><span style="color:#3399ff;"><strong><span style="font-size:22px;">● 加速成立數位發展部，整合資安等5大數位發展業務</span></strong></span></p> <p><span style="color:#3399ff;"><strong><span style="font-size:22px;">● 進一步推動金融業資安應變聯防，更要鼓吹健康資安文化</span></strong></span></p> <p><span style="color:#3399ff;"><strong><span style="font-size:22px;">● 設國家級5G通訊軟體安全實驗室，強化5G產業資安體質</span></strong></span></p> <p><span style="color:#3399ff;"><strong><span style="font-size:22px;">● 擴大醫療資安情資共享，靠醫院評鑑鼓勵更多醫院加入</span></strong></span></p> <p><a href="https://www.ithome.com.tw/article/139537" target="_blank"><span style="color:#800000;"><span style="font-size: 22px;"><strong>相關報導請見：臺灣資安大會直擊（上）資安將是臺灣新戰略產業</strong></span></span></a></p> </div></div></div>
2020/8/21 11:25作者王宏仁https://www.ithome.com.tw/news/139536
臺灣資安大會直擊（上）資安將是臺灣新戰略產業
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/987-feng_mian_p12-open-960x420.jpg?itok=sv2Ozv_o" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2020，抗疫有成的臺灣，舉辦了全球第二場大規模的實體資安大會，近萬人報名，250家資安業者同臺，蔡英文總統更揭露了臺灣數位國家發展的下一步，將資安作為新戰略產業</p> </div></div></div>
2020/8/21 11:35未署名https://www.ithome.com.tw/article/139537
【臺灣資安大會直擊】金管會主委黃天牧：金融業不只要情資共享還將應變聯防，更要鼓吹健康資安文化，才能強化金融集體韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「金融機構對資安一定要有整體思維，而且必須超前部署。」金融監督管理委員會主任委員黃天牧點出新金融資安政策背後的核心精神。</p> <p>早在一年多前，時任金管會副主委暨資安長的黃天牧發覺，不能每次都等到資安事件發生後，才來修補資安規範，便交由金管會資訊處規畫一套金融資安整體方案，參考了國際金融資安情勢與資安監理趨勢，從策略管理面、制度面、技術面，全盤重新檢視臺灣金融業整體資安需強化的地方。今年8月初，這套<a href="https://www.ithome.com.tw/news/139299">金融資安行動方案</a>正式出爐。</p> <p>黃天牧表示，金融資安行動方案從強化主管機關資安監理、深化金融機構資安治理、精實金融機構資安作業韌性、發揮資安聯防功能等4大面向切入，目標是達到安全、便利、不中斷，以及消費者個資保護。</p> <h3><span style="color:#6666cc;"><strong>要實現金融資安聯防，金管會必須與F-ISAC刻意保持距離</strong></span></h3> <p>黃天牧指出，傳統銀行業以往的業務相對單純，多採用封閉體系，除了跨行匯款體系之外，大部分是各自支撐的體系。但，隨著近年業務擴大、資訊發展快速，以及跨域整合，金融機構跟外部的連結越來越多，暴露的風險就越大。</p> <p>「資安不是各別金融機構的問題。」所以，金管會在2017年推動建置F-ISAC（金融資安資訊分享與分析中心），由財金公司負責維運，目的就是要把每一家金融機構在資安受影響的資訊集中，進行整體分析，再提供給其他會員機構參考。</p> <p>他更以社會學的「集體韌性」（Collective Resilience）概念，來形容金融資安聯防。當整個社區受到災變或是大衝擊，造成親人死亡、財產損失，社區如何走出創傷重建家園，可以靠集體恢復的能力，這就是集體的韌性。黃天牧強調：「從金融體系來說，金融資安聯防就是一種集體韌性的展現。」</p> <p>儘管F-ISAC推動3年來，參與會員數已有374家，包含銀行、保險公司、證券、期貨、投信投顧等業者。然而，黃天牧個人認為，F-ISAC能否順利運作的關鍵點是信賴。金融機構會擔心自家所有資安事件通報給F-ISAC後，會不會讓金管會對金融機構有所處理。</p> <p>為了突破業者的這道心防，黃天牧強調：「金管會必須與F-ISAC刻意保持距離，絕不會取得會員機構分享給F-ISAC的情資，這也是F-ISAC成立至今的首要原則。」</p> <p>而F-ISAC為了確保情資共享的保密原則，更採取了一套資安情資識別的TLP交通燈號協定，將資料按機密程度分級以利存取控管。依據情資類型、提供者的要求（如可分享對象），將情資分享分為4個層次，並以紅燈、橘燈、綠燈、白燈來控管，絕不會與超過授權範圍的人透露情資。</p> <p>信任需要累積，所以，黃天牧提到，一開始F-ISAC先向國外購買情資，再分享給會員機構，比如F-ISAC會分析美國、歐洲、亞洲的重要資安趨勢，提醒會員機構所需注意的地方。</p> <p>兩年來，會員機構與F-ISAC彼此的信任與互動開始建立了，會員機構願意揭露自家營運的資安問題。雖然，成立之初，分享的情資不到一百則，但到了今年，光是上半年，金融機構會員分享給F-ISAC的情資就有218則，顯見F-ISAC漸漸受到金融機構的信賴。黃天牧表示，這正是金管會的目的，讓F-ISAC能根據這些資訊，分析臺灣地區金融機構，現階段可能會遇到的資安問題。</p> <p>甚至，當金融機構遇上資安事件時，黃天牧提到，更能凝聚會員機構與F-ISAC之間的信賴與團隊精神，體認到彼此為生命共同體，得共同合作才行。好比去年11月，國外駭客對國內證券與銀行寄出勒索信件，發動DDoS攻擊，F-ISAC與會員機構就發揮了合作精神，共同抵抗這波攻擊。</p> <p>同時，F-ISAC在國際交流也多所著墨，不僅參與美國FS-ISAC成為其會員，也與日本F-ISAC簽訂MOU，去年還參加了歐盟FI-ISAC舉辦的年會，跟國際交流非常密切。黃天牧表示：「資安沒有國界，不只是臺灣各金融機構要連結，也要與其他國家聯繫。」</p> <h3><span style="color:#6666cc;"><strong>不只情資共享，未來連資安應變機制也要資源共享</strong></span></h3> <p>為了讓資安聯防發揮得更徹底，金管會也祭出了新政策，包括鼓勵金控建立電腦資安事件應變小組（CSIRT），推動公會與周邊單位建立資安應變支援小組，以及整合F-ISAC聯防。黃天牧透露，這將是金融資安行動方案第3年的規畫，要讓資安應變機制也能資源共享。</p> <p>金管會的計畫是，將整體資安聯防分為4個層次，金融機構自己建置CSIRT，金控建立CSIRT，公會建立資安應變支援小組，最後一層是F-ISAC，最終形成一套完整的資安聯防體系，透過體系中成員的共享，來得到整個緊急應變的資源。「每件資安事件大小不同，若遇到更大規模的資安事件，得有更大的力量來支援資安應變。」</p> <p>此外，金管會還計畫督導F-ISAC建置二線SOC（資安事件監控中心）及訂定資安監控作業標準，推動金融機構SOC與二線SOC協同運作，甚至導入AI分析機制等。二線SOC要從監控標準作業基準開始做起，得先建立一套金融機構與F-ISAC的監控標準作業程序與內容，才能開始進行資料交換的監控。然而，這部分或許需要更長時間推動，因為，金管會考量，只有打穩基礎後，成效才會更好。</p> <h3><span style="color:#6666cc;"><strong>形塑金融機構高層重視資安的組織文化</strong></span></h3> <p>「資安永遠沒有完美，它有其成本與代價。」黃天牧很清楚，金融機構得在資安與金融創新之間找到好的平衡，重視安全的同時，又能不影響效率。所以，「金管會要求金融機構合規，在考量任何要求時，對成本與效益也要有所平衡，若過度要求資安，其實會影響到金融機構創新與商品提供。」他強調。</p> <p>但有一件事，黃天牧相當堅持，他指出，金融機構董事會對資安的重視與資源配置，相當重要。因此，在新的金融資安行動方案中，不僅要求資產達一兆元以上的金融機構，以及24小時營運的純網銀，必須設立副總層級的資安長。更鼓勵金融機構遴選聘用具備資安背景的董事、顧問或設置資安諮詢小組，甚至要開辦董監事資安教育訓練專設課程。</p> <p>黃天牧強調：「金融機構的決策者，若沒有資安的觀念，一切都是枉然。」金管會更鼓勵，董事會可以有更多具備資安知識的成員，透過多元化成員組成，讓金融機構的決策能更周延。</p> <p>金管會對資安能力的強化也不只針對董事會，也計畫協調周邊單位如金融研訓院等訓練機構，多開設資安人才養成專班，鼓勵金融資安人員取得國際資安證照等，來強化專業人才的能力建構。甚至，金管會也希望，金融機構要讓其他職務的員工，乃至於消費者能具備資安意識。</p> <h3><span style="color:#6666cc;"><strong>金管會擬推動避風港計畫，讓關鍵金融資產資訊得以保全</strong></span></h3> <p>金融資安行動方案的第4年計畫，還有一項特別的新目標，要建立臺灣金融機構的資料保全機制。金管會參考了美國推動的「避風港計畫」概念，來研議資料保全的運作機制，包括資料保護、資料可移性、資料復原性及關鍵服務持續性等項目，將視研議結果評估推動方式。</p> <p>黃天牧表示，挪威有一座種子庫，搜集了數以萬計的種子，被視為全球農業的諾亞方舟，萬一發生世界末日，能成為將來世界重新開始的契機，這就是金管會想推動的資料保全概念。</p> <p>雖然金融機構有備份與備援機制，但是，不能確保百分之兩百的安全，所以，金管會希望能透過第三方來保存關鍵的金融資產資訊，比如顧客在銀行的最終存款餘額等。</p> <p>初期，金管會將先研議資料保全機制的可行方案，建立一套作業程序、標準、資料格式規範等，更重要是與金融機構形成推動的共識，找出一個安全及經濟有效的模式。</p> <p>之所以列入第4年的長期目標，黃天牧提到，各家金融機構對資安的認知與願意投入的資源不一樣，需要更長時間推動，金管會將先研究其他國家的作法，比如，美國的避風港計畫，主管機關是扮演制訂規範與稽核的角色，並由金融機構自行選擇安全儲存資料的地方。</p> <p>黃天牧認為，資安要以最壞情境來思考，臺灣常遭受資安攻擊，比別人更有經驗，凡事要想得更長遠。所以，不能只是金融機構各自有備援機制就夠，恐怕還需要第三方儲存機制，這樣會更安心。</p> <h3><span style="color:#6666cc;"><strong>要讓金融產業建立更健康的資安文化</strong></span></h3> <p>資安是企業經營一定要面對的問題，黃天牧更認為，金融機構即便發生了資安事件，也需要能用更健康的態度面對資安威脅，透過集體努力來建構資安的安全網。</p> <p>而他也期許自己，主管機關得用更積極的態度，鼓勵金融機構將資安問題拿出來討論，如此一來，就能建立更健康透明的資安文化，讓金融機構願意投入資源建構一套好的資安體系，可以成為整體金融穩定發展的基礎。</p> <p>未來2、3年，黃天牧認為，會看到更多金融機構將資安視為營運重要策略，來形塑組織文化。而主管機關的推動與確立方向，將更顯得重要，如果金管會不推，金融機構可能會各自發展；可是，只要主管機關稍微對金融機構提出合理的要求與標準，讓大家共同努力，就能提升臺灣金融業的韌性，不只是清償能力，包括整體資安韌性，達成營運上安全、便利、不中斷的3大目標。</p> <p>「資安就像推動公司治理一樣，做與不做真的有差。」他這樣相信：「只要文化對了，企業有好的領導者，很多事情就會水到渠成。」文⊙李靜宜</p> </div></div></div>
2020/8/21 10:38作者李靜宜https://www.ithome.com.tw/news/139530
【臺灣資安大會直擊】政大金融科技研究中心副主任陳恭：API有3大資安風險2大挑戰，靠AI即時偵測異常是新對策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政大金融科技研究中心副主任陳恭在臺灣資安大會的金融安全論壇專場，分析企業API安全面臨的風險與挑戰，以及該如何以新形態API防衛工具來應對，讓企業的API可以更安全。</p> <p>首先，陳恭提到，Web API是現今各產業的企業資訊系統發展的重要方向，而RESTful APIs加上JSON，這種較為輕量級的API，則已成為主流，所以，這次的分享也聚焦在此主題。</p> <p>API的價值有許多面向，他指出，包括企業內部應用系統再造與整合，以及企業與外部通路夥伴的串接，都是透過API。而有了API以後，企業還可發展更多創新產品與服務。甚至，企業在發展平臺經濟、API經濟或生態系等，其實底層也得靠API。或像是金融業近年開始興起的開放銀行、開放金融，也是基於Open API。</p> <p>然而，陳恭指出，隨著API的廣泛應用，資安議題也陸續浮現。而API安全基本上有兩大作法，一是API威脅防護；二是API存取控制，他強調，所有API與應用系統還是要進行基本的認證、授權、分級管理、流量監控等。他強調，「從安全角度，不管是企業內部的API、Partner API 、Open API都要進行防護，誰都不能信任。」</p> <p>而在基本的API防護配備上，他提到，企業應該都有採購網站應用程式防火牆（Web Application Firewall，WAF）作為應用層的管理。甚至，包括金融機構、科技產業也開始導入API管理平臺（APIM），將企業內部所有API的發布、權限控管、流量、統計分析，通通集中到APIM管控。</p> <p>然而，陳恭提醒，企業做的這些API資安防護，可能還不足夠。因為，企業可能會面對更加恐怖的威脅。根據Gartner前陣子發布Web API的安全報告顯示，到了2022年，API濫用將成為導致企業Web應用程式數據洩露的最常見攻擊媒介。企業內部遇到的，可能不是只有傳統的攻擊手法，駭客可能登堂入室，以合法方式進入企業，潛藏在企業的系統，到處尋找API漏洞來進行攻擊。</p> <h3><span style="color:#3366ff;"><strong>企業要盤點API，依照其特殊性採用新防護工具</strong></span></h3> <p>因此，陳恭強調：「企業得依照API的特殊性，來採用新的防護工具。」他更以先前台新金控資訊長孫一仕提出的金融資安風險3大挑戰，包括不可管、不可控、不可見的風險，來解釋企業應注意的重點。</p> <p>不可管的意思是，無法管駭客的攻擊，像是社交工程、釣魚郵件。不可控的風險則來自系統並非企業自行開發，所以只要系統廠商有需要修補的補丁出現時，企業得及時把資安漏洞補上。不可見則指看不到的風險，這類資安風險是最難被發覺。</p> <p>根據42Crunch在2019年的調查，平均每家企業平均提供了400支以上的API。不過，陳恭提到，企業的資訊與資安相關部門，是否盤點過自家的API有多少？他坦言，如果企業不知道自家有幾支API，遑論保護API，這就是所謂的不可見風險。</p> <p>陳恭建議，可將不同項目的API進行盤點，建立一份目錄，定義每支API的傳輸規格、資料格式、權限控管、維運監控、資料敏感度、風險等級、OSS補丁需求。不過，他也提醒，盤點工程會非常耗費時日，而且很難做得完整。因為，企業資訊架構系統有疊床架屋式的資訊系統問題，畢竟，羅馬不是一天造成的。</p> <p>此外，企業面臨數位轉型的挑戰，在應用系統現代化的過程中，也很難一步到位，甚至可能導致多種技術世代並存，管理起來非常複雜。而在過程中，難免有很多API是沒有注意到的。</p> <h3><span style="color:#3366ff;"><strong>API安全有2大挑戰：不可見的風險、難以偵測的攻擊</strong></span></h3> <p>陳恭進一步指出，API安全有2大挑戰。一是不可見的API，企業壓根兒忘記這些API的存在，可能是鮮少使用或是已廢棄不用的API，就躺在黑暗的角落。他提到，「這些API都是駭客的最愛。」又或者是以前員工寫的API，但後續負責維運的人，並不了解API在安全上有何漏洞。Gartner也曾指出，企業得先找到這些有風險的API，否則讓駭客先找到的話，企業就危險了。</p> <p>而這些不可見的API，陳恭表示，可能存在企業中，不同技術世代開發的系統、既有Legacy系統的介接繁雜、外部夥伴與內部自用的API，以及該淘汰但未淘汰的各式舊系統。「內部API往往成為資安盲點」他舉例，2019年澳洲最大房地產估價公司LandMark White發生API漏洞，本來只供內部使用的API，卻可以從公司網域外調用，導致大量內部資料與客戶資料外洩，該公司CEO更為此辭職。</p> <p>陳恭提到，API安全的第二大挑戰，跟不可管的風險有關，那就是企業不容易偵測到的攻擊。他解釋，很多時候駭客是從合法管道進來，在企業內部伺機而動，然而這些攻擊沒有經過特殊處理方式的話，其實難以察覺，甚至是過了很久以後企業才發現。而且，不只一般產業，即便是科技大廠也不能免於攻擊。</p> <p>陳恭強調：「API安全的關鍵點，在於API本身的安全。」他提到，現在的駭客是直接跳過App等用戶端介面，直接鎖定企業API，嘗試各種攻擊，API成了企業的弱點。好比美國郵政署網站發生API漏洞，讓駭客得以用合法帳號進入，冒用他人帳號，竊取他人資料，恐使6,000萬用戶資料外洩。因此，「企業需要直接在API層建立防護。」</p> <p>陳恭表示，目前，國際間慣用的作法是採取OAuth 2.0委任存取管理方式，讓TSP來存取客戶資料。不管，他強調，委任存取管理流程複雜，涉及第三方業者、銀行、消費者，有可能在委任存取過程中發生攻擊，產生移花接木的狀況。比如說，駭客預先取得一個授權碼（Auth code），在使用者登入TSP業者的網站服務時，以釣魚方式讓使用者代為登入，讓使用者代替駭客取得存取金鑰（Access Token），接著駭客再以這存取金鑰冒充使用者操作，來取得使用者的資料乃至存款。</p> <p>在此情境下，使用者與駭客都是合法使用者，只是駭客是拿取他人的資料來操作，所以，企業並不容易偵測出來。陳恭認為，這牽涉到不可管的API，來自用戶端的疏忽，包括社交工程、ATP等攻擊手法，其實防不慎防，企業在管理自家的API要自求多福。</p> <h3><span style="color:#3366ff;"><strong>新形態API防衛工具出現，利用AI技術主動偵測異常API</strong></span></h3> <p>面對日新月異的攻擊手法，陳恭表示，新一代的API防衛工具也應運而生，專門針對API安全特性所設計，可主動蒐集API使用行為資料，運用人工智慧、機器學習技術，來發現未知的API路徑（API endpoints），建立每支API使用行為模式，透過AI建模進行分析，來主動偵測異常的API使用。</p> <p>他進一步提到，透過即時監控API，就能做到異常行為偵測、警示或暫停使用API。比如，當企業發現API流量發現異常，系統就能主動警示，甚至搶先阻斷可能的駭客攻擊，讓駭客無所遁形。</p> <p>不過，陳恭認為，即時監控並非長久之道，還是得朝向「預防勝於治療」邁進，從API設計、開發、測試、上線，把安全的概念往前面帶。他提到，應該是要API Security By Design，從一開始設計新的API時，把安全、隱私都擺進來。文⊙李靜宜</p> </div></div></div>
2020/8/21 11:03作者李靜宜https://www.ithome.com.tw/news/139531
資安韌性已成企業組織永續發展的關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年臺灣資安大會的主要口號是韌性決勝（Resilience Matters），正如總編輯吳其勳所言：資安的威脅已是常態，網路攻擊無所不在，今天無論我們防禦得多麼成功，都無法保證明天不會淪陷，因此，我們必須更重視企業組織永續發展的致勝關鍵：資安韌性，唯有韌性，得以決勝。</p> <p>而在大會第二天下午，我們也舉辦了從防疫學防駭的座談會，當中也提及相關的議題。這場活動的與談人有資安主筆黃彥棻、資安主編羅正漢、中央研究院資訊科學研究院博士後研究員潘美連，以及我，希望基於iThome在7月製作的封面故事<a href="https://www.ithome.com.tw/article/138913" target="_blank">《從防疫學防駭》</a>的內容來探討。</p> <p>在座談的過程當中，潘美連提到一個論點相當值得省思，她認為防駭比防疫難，臺灣因為防疫有成，因此，基本上，經濟民生已恢復日常運作，雖然我們需配合政府推動的「防疫新生活運動」政策，僅須保持社交距離、勤洗手、佩戴口罩即可，享受日常、如常，但相較之下，資安並非如此，網路威脅攻擊事件層出不窮，所以，我們身處的狀態並不是「平時」，而是「戰時」，所採取的因應策略也必須符合當前的態勢。</p> <p>另外，防駭必須做到「除惡務盡」，對於潛藏在企業內部的惡意程式與受駭電腦，都必須要找出來，實施必要的鑑識與還原程序，相當費工，更何況我們面對的並不是單一的嚴重威脅；但若要預防武漢肺炎病毒的大規模傳染，我們可以透過居家隔離、居家檢疫的方式，並不需要針對入境者進行普篩，就如同衛福部在8月6日發布的新聞稿所言：「即使有極少數無症狀者個案未於入境時被攔檢，經過14天居家檢疫，其傳染力已大幅降低或幾乎已無傳染力，於檢疫期滿後再自主健康管理7天，持續密切追蹤健康狀況，已可有效防堵社區傳播風險。」</p> <p>究竟是防駭難？還是防疫難？8月19日彰化縣衛生局篩檢居家檢疫無症狀者的爭議事件，又掀起一波網路論戰，癥結點仍是中央與地方對於防疫處理程序與彼此立場的認定有落差，顯然在作業過程當中出現了不同層級單位彼此溝通的問題，而這類各執一詞的狀況無論是防疫或防駭，都在所難免，彼此之間如何約束、磨合、包容，達成共同目標，當然也考驗我們的「韌性」。</p> <p>企業若要取得應變的韌性，在許多層面都要布局，就像近幾年來，在IT領域當中，韌性這個詞彙也經常被許多專家所提及。例如，IBM一直在推動業務持續營運管理（BCM）、雙主中心、兩地三中心的備援架構等議題，他們在2016年也買下一家資安事件回應業者Resilient Systems；BSI英國標準協會台灣分公司總經理蒲樹盛，也在許多場資安研討會發表相關演講，不斷呼籲企業關注組織韌性的議題。</p> <p>事實上，企業IT韌性不只是確保IT服務的高可用性，也適用於資訊安全相關工作的推動，目的都是希望具備足夠的容錯（Fault Tolerance）能力，提供更高的可靠度（Reliability）與可用性（Availability）。</p> <p>然而，就我目前的認知而言，IT層面的韌性，我們可運用各種IT資源備用／備援（redundancy）的機制來支撐，一旦發生故障，可由其他正在執行的系統或啟動備援系統來接手，雖然還是要釐清事故的根本原因，但以服務的持續運作為最主要考量，而這也跟OT環境資安營運要點很類似，一般而言，優先順序為可用性（Availability）、完整性（Integrity）、機密性（Confidentiality）。</p> <p>若是資安層面的韌性，過去主要考量的是IT環境，優先順序為機密性、完整性、可用性，而隨著如今OT環境大舉連網，這兩種處理順序都需要一起考量，企業在管理這兩種環境時，則需要建立統一的管理制度，避免發生顧此失彼的局面，或是因各自為政而導致控管成本大增、難以負荷。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9F%8C%E6%80%A7%E6%B1%BA%E5%8B%9D">韌性決勝</a></div><div class="field-item odd"><a href="/tags/resilience-matters">Resilience Matters</a></div><div class="field-item even"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">臺灣資安大會</a></div><div class="field-item odd"><a href="/tags/%E7%B6%B2%E8%B7%AF%E6%94%BB%E6%93%8A">網路攻擊</a></div><div class="field-item even"><a href="/tags/%E5%BE%9E%E9%98%B2%E7%96%AB%E5%AD%B8%E9%98%B2%E9%A7%AD">從防疫學防駭</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E9%9F%8C%E6%80%A7">資安韌性</a></div></div></div>
2020/8/21 11:05作者李宗翰https://www.ithome.com.tw/voice/139533
TensorFlow採用OpenCL後端使GPU推理效能加倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>TensorFlow團隊以異構平臺開發框架<a href="https://blog.tensorflow.org/2020/08/faster-mobile-gpu-inference-with-opencl.html">OpenCL</a>為基礎，在Android開發了新的行動GPU推理引擎，在適當大小的神經網路上，以及足夠的GPU工作負載，其執行的效率是現有OpenGL後端的2倍。 </p> <p>目前常用的GPU推理引擎是以OpenGL開發，是一種渲染圖形API，雖然在OpenGL ES 3.1版本加入了運算著色器（Compute Shader），可用來計算任意的資訊，但開發團隊提到，其為了要向後相容的API設計，限制了GPU的運算能力，因此TensorFlow Lite（TFLite） GPU團隊在繼續發展基於OpenGL行動CPU推理引擎的同時，也在尋求各種可能性。</p> <p class="rtecenter"><a href="https://2.bp.blogspot.com/-afLl3xBw7DY/XzcHL2u_9tI/AAAAAAAADdw/KT3D3vIIvgM0VJyYc_KaEJEHPlarO501QCLcBGAsYHQ/s1600/gpu.gif"><img alt="" class="media-image img__fid__60276 img__view_mode__media_large attr__format__media_large" src="https://2.bp.blogspot.com/-afLl3xBw7DY/XzcHL2u_9tI/AAAAAAAADdw/KT3D3vIIvgM0VJyYc_KaEJEHPlarO501QCLcBGAsYHQ/s1600/gpu.gif" style="width: 148px; height: 240px;" /></a></p> <p><span style="color:#696969;"><strong>Duo App中的AR效果，使用OpenCL後端處理</strong></span></p> <p>而同樣可用來發展機器學習應用的OpenCL（Open Computing Language），一開始就是為各種計算加速器設計，更適合用於行動GPU推理，所以TFLite開發團隊便也投入資源，研究基於OpenCL的推理引擎，發現其確實能用來最佳化GPU推理工作負載。TFLite開發團隊提到，與OpenGL相比，最佳化OpenCL後端要簡單許多，因為OpenCL提供良好的分析功能，利用概要分析API，開發團隊能夠精確地量測核心調度效能。</p> <p>OpenCL能夠良好地支援用於高階Android行動裝置的高通Adreno GPU，但是Adreno GPU對於工作組大小非常敏感，配置適當大小的神經網路工作組可以提高效能，錯誤大小的工作組，卻會降低效能，雖然在具有複雜記憶體存取模式的複雜核心，要找出適當的工作組大小並不容易，但是因為OpenCL具有完整的效能分析功能，因此可被用來最佳化工作組大小，使平均運算速度提升50％。</p> <p>而且OpenCL還原生支援16位元浮點數精度，即便是在2012年推出的Adreno 305老舊GPU，都夠完全發揮GPU的效能，另外，OpenCL具有常數記憶體（Constant Memory）的概念，高通在GPU加入的實體記憶體非常適合用於OpenCL的常數記憶體，這使得OpenCL在高通GPU的效能大幅超過OpenGL。</p> <p>TFLite開發團隊將常用的2個行動機器學習模型MNASNet和MobileNet v3，拿來比較CPU、OpenGL和OpenCL的效能表現，無論是在MNASNet（如下圖）或MobileNet v3，新的OpenCL後端延遲都是最低的，約是OpenGL後端的2倍，而且在標有SD字樣使用Adreno GPU的裝置上，OpenCL後端效能表現特別好。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0820-OpenCL-600.png" style="width: 512px;" /></p> <p>開發團隊提到，使用OpenCL推理引擎的主要障礙，是OpenCL不包含在標準Android發布版中，即便有一些Android裝置廠商在系統函式庫加入OpenCL，但是部分用戶還是可能因為缺乏OpenCL必要元件，則必須回退使用OpenGL後端。</p> <p>為了簡化開發人員的工作，TFLite GPU一開始會檢查OpenCL Runtime的可用性，當不可用或無法載入時，便會切換使用OpenGL後端，開發團隊提到，從2019年中期開始，OpenCL後端就進到TensorFlow存儲庫中，並整合進TFLite GPU委託API裡，因此現有TFLite GPU程式可能已經透過委託回退機制，使用到了最新的OpenCL後端。</p> </div></div></div>
2020/8/20 23:30作者李建興https://www.ithome.com.tw/news/139513
Compute Engine現支援CPU超額分配，單租戶節點VM的CPU資源可相互轉移
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端的Compute Engine單租戶節點，現支援<a href="https://cloud.google.com/blog/products/compute/cpu-overcommit-for-sole-tenant-nodes-now-ga">CPU超額分配（CPU Overcommit）</a>，用戶將能依據需求選擇具成本效益的配置。用戶能夠在專用主機上，超額配置2倍的虛擬CPU資源。</p> <p>CPU超額分配功能會自動在單租戶節點裡，重新分配虛擬CPU資源，將空閒的虛擬機器執行個體中的資源，配給需要額外資源的執行個體，如此在專用硬體上執行企業工作負載，用戶便能將CPU資源當作資源池考量，減少運算資源配置過量。</p> <p>Google提到，單租戶節點的CPU超額分配，能夠解決降低一些常見的企業應用成本，像是建立雲端虛擬桌面解決方案時，便能夠根據使用情況，在虛擬機器間共享資源，建構具有成本效益的虛擬桌面解決方案。另外，還能提高主機利用率，降低基礎設施成本，用戶可以增加單租戶節點上可用的CPU，透過客製化機器類型，CPU超額分配可以最佳化記憶體使用，提高記憶體利用率。</p> <p>CPU超額分配還能夠降低授權成本，對於以主機實際核心數為單位的授權許可，諸如Windows Server或Microsoft SQL Server的自備授權，單租戶節點的CPU超額分配，可以讓用戶在每個伺服器上放置更多的虛擬機器，在Google雲端減少授權成本的負擔。</p> <p>用戶可以配置每個虛擬機器最小虛擬CPU數量，以及最大可增加的虛擬CPU數量，Google表示，用戶能在虛擬機器執行個體層級，控制單租戶節點CPU超額分配，因此能夠靈活地控制運算資源，滿足各種工作負載需求。每個執行個體最多只能夠配置2倍虛擬CPU數量，也就是在具有80個虛擬CPU的n2-node-80-640，CPU超額分配使節點最多可用160個虛擬CPU。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/virtual_CPU_resources_max-500x500.jpg" style="width: 490px;" /></p> </div></div></div>
2020/8/20 23:40作者李建興https://www.ithome.com.tw/news/139516
Google新版GKE資料平面支援eBPF技術，增加容器可見性與安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出最新使用<a href="https://ebpf.io/">eBPF</a>（extended BPF）虛擬機器技術，和開源網路安全軟體套件Cilium的資料平面<a href="https://cloud.google.com/blog/products/containers-kubernetes/bringing-ebpf-and-cilium-to-google-kubernetes-engine">GKE Dataplane v2</a>，現在GKE除了支援即時政策執行之外，還能在最低的效能影響下，將政策操作與Pod、命名空間和政策名稱相關聯，對政策進行故障排除，發現異常網路活動。</p> <p>Google提到，隨著Kubernetes使用案例的發展，用戶對於安全性、可見性和可擴展性等要求越來越多，而且像是服務網格和無伺服器等新技術，用戶都需再對Kubernetes底層，加入許多自定義功能。要方便地支援這些新用例，Google表示，需要高度可程式化的資料平面，在不犧牲效能的前提，使該平面可執行更多Kubernetes封包相關的操作。</p> <p>Linux在3.18版本時，加入的擴展BPF虛擬機器，不需要重新編譯核心或是載入核心模組，就可以在Linux核心中執行沙盒程式，eBPF能將可程式化的Hook開放給Linux核心中的網路堆疊，程式不需要在使用者和核心空間中來回切換，就可以讓核心使用豐富的使用者空間資訊，來高速地處理網路封包。</p> <p>過去需要依賴核心變更和核心模組才能解決的問題，在近幾年eBPF已經成為解決這些問題的標準方法，並且讓部分網路、安全性和應用程式分析工具，可以不依賴核心功能，並在不影響執行效率和安全性的情況下，主動再程式化Runtime行為。</p> <p>而Cilium則是一個建構在eBPF之上的開源專案，能夠滿足容器工作負載的可擴展性、安全性和可見性需求，Google提到，他們積極貢獻Cilium專案，目前Cilium已經是所有eBPF實作中，最成熟的專案。</p> <p>Google表示，Kubernetes用戶會想以網路政策，來宣告Pod之間通訊的方式，但是過去沒有可擴展的方法，對這些政策行為進行故障排除或是審核，因此無法有效地達成目的，但在GKE支援eBPF之後，便能實作即時政策執行等相關操作。</p> <p>Google進一步解釋（下圖），當封包進到虛擬機器中的時候，安裝在核心的eBPF程式將會決定路由封包的方法，不像使用IPTables，eBPF程式能夠存取包含網路政策資訊的Kubernetes特殊元資料，如此eBPF程式不只能決定要允許或是拒絕封包，還可以回報帶註解的操作報告給使用者空間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Container_Networking_Interface_max-1100x1100.jpg" style="width: 580px;" /></p> <p>GKE Dataplane v2用戶將能獲得更好的基礎設施可見性，並用來改善其安全狀況，像是快速辨識異常流量模式，或是透過Kubernetes網路政策日誌記錄，用戶可以直接在Cloud Logging控制臺查看允許和拒絕的網路連接，並對政策進行故障排除，探索不尋常的網路活動。</p> </div></div></div>
2020/8/20 23:55作者李建興https://www.ithome.com.tw/news/139519
美國公布北韓駭客所使用的RAT惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國土安全部網路安全及基礎架構安全署（CISA）與聯邦調查局（FBI），本周共同<a href="https://us-cert.cisa.gov/ncas/analysis-reports/ar20-232a" target="_blank">發表惡意程式分析報告</a>，指出名為Blindingcan的惡意程式為北韓駭客集團Hidden Cobra所開發的遠端存取木馬（Remote Access Trojan，RAT），鎖定美國政府的承包商發動攻擊，以竊取與軍事及能源技術相關的機密資訊。</p> <p>Hidden Cobra假借國防承包商的名義，寄出了求才電子郵件，以誘導使用者開啟惡意文件。在CISA所收到的攻擊樣本中，有4個Word的Open XML（. docx）檔案，兩個DLLs檔案，其中，. docx檔案企圖連結外部網域以下載惡意程式，而DLLs檔案則是用來安裝與執行木馬程式，並允許駭客自遠端操控木馬。</p> <p>此外，由駭客所掌控的命令暨控制伺服器，是架設在已被該集團入侵的、不同國家的基礎設施上，藉以掩人耳目。</p> <p>分析顯示，Blindingcan能夠取得所安裝磁碟的資訊，包括磁碟類型及可用空間，也能建立、開始或終止新程序，或是搜尋、寫入、移動與刪除檔案，還能變更檔案或目錄的時間戳，修改檔案或程序的目錄，還能刪除自己的蹤跡。</p> <p>CISA與FBI透過反向工程取得了Blindingcan的詳細資訊，用來提醒其它組織應多加防範。</p> </div></div></div>
2020/8/20 22:15作者陳曉莉https://www.ithome.com.tw/news/139529
如何做好Linux物聯網裝置資安？專家呼籲要從慎選核心開始
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源的Linux作業系統，由於能夠免費取得等特性，而廣受各界採用，無論是雲端服務、Android智慧型手機、網域名稱伺服器，以及超級電腦等，幾乎都是此類作業系統的天下，許多物聯網裝置也同樣使用Linux來開發。然而許多企業運用來開發連網設備產品之後，卻可能因為難以維護相關韌體，導致漏洞一旦被發現的時候，企業需要花費大量時間才能修復，這種情況在最近幾年可說是時有所聞。</p> <p>到底要如何改變這種窘境？Moxa軟體發展中心專案副理林上智（SZ Lin）在2020年臺灣資安大會上，以自身參與嵌入式Linux設計與開發的經驗，呼籲開發者要從「挑選Linux核心（Kernel）」做起，後續才能減少維護和修補漏洞的負擔。</p> <p>林上智指出，近年來許多執行Linux作業系統的連網設備，陸續被發現安全漏洞，甚至可能已經被駭客用來發動攻擊，其原因與他們採用的作業系統缺乏維護有關。他引用了德國弗勞恩霍夫通訊協會（Fraunhofer Institute for Communication，FKIE）對於家用路由器的研究報告，該份報告針對7個廠商推出的127款設備進行研究，指出其中有許多執行的是久未更新的舊版Linux核心，甚至有46款在一年內都沒有發布修補軟體等情況。林上智說，這些路由器廠商沒有定期修補漏洞是最主要的問題，而使用極為老舊的作業系統核心倒是其次。探究其原因，他認為很可能是一開始沒有選擇合適的核心導致。</p> <p>而對於運用於製造業、醫療、政府單位等關鍵基礎設施的物聯網裝置，最近幾年政府也開始要求企業必須遵循有關標準。像是由美國國家標準暨技術研究院（NIST）推出的供應鏈風險管理標準SP800-161，由國際自動化學會（ISA）制訂的ISA/IEC 62443-4-1，以及北美電力可靠度公司（NERC）發表的CIP-010-2等。</p> <p>但即使不是運用在上述關鍵基礎設施場域的連網裝置，還是有可能因為設備的漏洞遭到揭露，甚至是上到新聞版面，導致企業必須面臨用戶對於資安防護的存疑，若是因此洩露歐洲民眾的個資，還可能遭到歐盟的裁罰，對於如此的情況，企業勢必要更加正視物聯網裝置的資安維護工作。</p> <h2><strong>挑選合適Linux核心是增加設備資安的開始</strong></h2> <p>那麼，企業要做好Linux連網裝置的安全，林上智認為，最好從開發的初期流程著手。因為，企業想要修補軟體的缺陷，在軟體開發生命週期（SDLC）的各階段中，所需的資源和成本會隨之不斷增加。根據NIST的研究，在產品上市之後才來處理軟體缺陷，比起在開發初期，也就是在收集與分析需求，以及設計架構的階段，上市後耗費的成本是開發初期的30倍。林上智說，在他的經驗裡，前述兩個階段修補花費所需資源，差距實際上可是超過NIST指出的比例。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SZLin-SDLC-fixcost.png" style="width: 580px;" /></p> <p>其中，Linux作業系統的核心，由於牽涉範圍甚廣，因此一旦出現漏洞，就有可能導致企業疲於修補。因此，林上智表示，在軟體開發流程裡，依據營運模型和相關需求，挑選合適的核心，是改善連網裝置安全的重要課題，他還說核心「早期選得好，之後沒煩惱」。</p> <p>但究竟要如何挑選合適的核心版本？林上智說這個沒有能夠一體適用的答案，因為企業必須根據開發的時程、資源，以及藍圖等層面，進行評估，但是有3個大原則可以依循，首先是選用的核心必須擁有開發連網設備所需之核心技術（Core Technology），再者是遵循足夠優秀（Good Enough）和簡單易懂（KISS）的原則，做為選擇的考量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SZLin-LinuxKernel-reqanalysis.png" style="width: 580px;" /></p> <p>林上智以城市基礎建設系統（Civil Infrastructure System）的連網裝置開發為例，這類的裝置所採用的Linux核心，必須要有工業等級的可用性，還要能夠長達10年以上的支援、維護，以及具備足夠資安防護，進而達到降低開發的成本與時間，以及後續維護的成本等目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SZLin-LinuxKernel-CIP.png" style="width: 580px;" /></p> <p>在市面上企業可選用的Linux核心，基本上包含了Linux基金會推出的主要版本，還有PREEMPT_RT專案，是應用於工業控制即時系統的核心版本。</p> <p>而根據核心的來源，則可以區分是來自處理器廠商的SoC Board Support Package Kernel，還有Linux基金會推出的長期支援版本（Long Term Support，LTS），以及針對城市基礎建設，由相關業者共同維護的城市基礎建設平臺（Civil Infrastructure Platform，CIP）等。</p> <p>其中，由處理器廠商提供的Linux核心，其優點是特別針對指定硬體設計，企業能夠快速運用來開發連網裝置，但與一般的核心相比，這種核心也相當仰賴處理器廠商的支援周期長短，而且不同的處理器往往有對應版本的Linux核心，因此企業很有可能因為廠理器廠商終止支援，面臨被迫更換新版核心開發的情況，而在進行漏洞修補的時候，企業也必須對於不同處理器的版本個別開發更新程式。</p> <p>而Linux基金會推出的LTS版本，則是在他們每年推出的主線版本裡，挑選其中一個分支來開發這種長期維護的版本，該基金會最初的政策是提供2年支援，但目前實際支援的周期大約都延長到6年左右。而這種版本所提供的支援，主要是對於臭蟲和漏洞的修補，並不會加入新的硬體支援，因此，如果企業選擇了LTS版，未來很有可能會面臨無法搭配新的硬體運作的情況。為了解決上述不足的情況，Linux基金會曾一度推出了增加硬體支援的專案，名為Long Term Support Initiative（LTSI），不過目前已經停止開發。</p> <p>至於著眼於城市基礎建設的CIP，也是從LTS延伸而來，由開發相關設備的廠商共同維護，他們對於核心與主要功能模組（Core Package），計畫維護10年至20年。為何這些廠商決定合作？林上智說，他們目的是要減少自己在維護核心上的心力，進而將更多資源運用在開發設備的主要功能上。</p> <p>此外，林上智也提醒開發者，千萬不要因為正在開發的測試版核心納入了自己需要的新功能而採用，因為這種版本很可能還有很多臭蟲，會造成企業日後維護上的困擾。</p> <h2><strong>回報上游和慎選必須的套件，可減少日後維護的負擔</strong></h2> <p>值得留意的是，企業很可能會基於商業秘密的考量，取得Linux核心的程式碼後，就想要開發成專屬版本（Own Community），修補的程式碼只有自己能夠使用。林上智說，如果採用這種方式來維護所使用的核心，企業同樣也無法直接套用日後源頭提供的新版本內容，一旦要自行逐次加入相關修補，將會耗費大量的開發資源，尤其是Linux核心大約每3個星期就更新一次，若是企業依照這個周期自己修改大量程式碼，將會是非常繁重的工作。因此，林上智認為，企業應該要採取「Upstream First」的概念，把自己修補完成的程式碼提報給上游，也就是企業取得核心的來源，如此一來，日後只要再從上游升級新版核心，也能一併取得他人修補的內容，避免所有的漏洞都要自己修改的情況。</p> <p>另一方面能減少Linux連網裝置遭到攻擊的風險，就是只使用必須的套件。雖然許多開發者會把Linux核心相關的套件全部納入，但這也代表了一旦用不到套件出現漏洞，企業還是必須設法修補，反之，如果是沒有採用的套件，即使漏洞的CVSS第3版風險指標達到滿分10分，這些採用此版核心的連網裝置還是不受影響。</p> </div></div></div>
2020/8/20 19:17作者周峻佑https://www.ithome.com.tw/news/139528
Cloud周報第76期：豐田汽車將採用AWS數據分析服務，強化車聯網應用體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2020/08/13～2020/08/19）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 豐田汽車 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 車聯網 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>豐田汽車計畫利用AWS數據分析服務，處理日本、中國和美國新車的數據來開發新服務</strong></span></p> <p>豐田汽車宣布將採用AWS服務，來強化自家行動服務平臺（Mobility Services Platform）的數據處理和分析能力，用於開發新的車輛相關服務。行動服務平臺是豐田汽車工程師開發、部署和管理，以數據驅動的汽車行動服務的系統。豐田汽車計畫在年底前，在日本、中國和美國市場的新車中，安裝新的數據通訊模組，來利用API收集數據至平臺，並使用AWS的雲端機器學習服務，建立ML模型，來處理和分析聯網汽車的數據，改善車輛的設計和研發，還有打造新的駕駛服務和體驗，包含汽車共享、駕駛行為保險、維修保養通知等。藉由新服務，車主可依自身駕駛行為來繳交相對應的保費，並獲得需安排車輛進廠保養的提醒通知。<a href="https://global.toyota/en/newsroom/corporate/33080260.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路表現 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路中斷 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端業者 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>美國網路監控業者：上半年雲端服務網路中斷逾4百次</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_%E7%B6%B2%E8%B7%AF%E4%B8%AD%E6%96%B7_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_ThousandEyes.JPG" style="width: 600px; height: 354px;" /></strong></span></p> <p>美國網路監控業者ThousandEyes近日發布其首份年度網路表現報告，針對了各類網路服務的可用性和表現，進行調查，涵蓋ISP業者、雲端業者、CDN業者和DNS服務供應商。全球網路中斷狀況在今年上半年，出現了前所未有的增長，相比1月，3月份網路中斷次數增加了63%，而6月份網路中斷情況雖有趨緩，但仍比1月增加了44%。綜觀今年上半年的網路中斷水平，與疫情爆發前相比，高出許多。該報告也調查了各類網路服務業者所受的衝擊，其中尤以ISP業者受到的影響最大，而雲端服務商的網路表現，整體來說則具較高的穩定性。1月至7月間，全球ISP網路中斷超過4,500次，占了8成的整體網路中斷次數，雲端業者則經歷了約400次的服務中斷事件，僅占1成。</p> <p>該報告也以各地區ISP網路表現的情況來看，網路中斷所帶來的影響，北美和亞太地區在3月份，皆面臨了ISP網路中斷的最高峰值，相比1月，北美地區中斷數增加了65%，亞太地區則增長高達99%，不過，所幸該兩個地區的中斷災情已逐漸恢復至疫情前的水平。但是，歐洲、中東和非洲地區的ISP網路中斷次數則持續逐月增加，6月的中斷次數與1月相比，仍增加了45%。且ThousandEyes發現，網路服務業者為確保自家網路可處理激增的需求，而調整基礎架構、配置或互連等設定，來確保網路不面臨全面崩潰的狀況，是造成網路中斷次數暴增最大的原因。<a href=" https://www.thousandeyes.com/press-releases/2020-internet-performance-report-covid-19-impact">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ARM晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> K8s服務 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>AWS宣布企業現可在Amazon EKS使用Graviton 2，執行工作負載</strong></strong></p> <p>AWS近日宣布K8s服務Amazon EKS可使用AWS Graviton 2晶片執行工作負載。Graviton 2是AWS自己設計的ARM晶片，提供256位元DRAM加密，且支援雙SIMD單元，相比前一代，提供高7倍的效能。Amazon EKS現可以選擇Graviton 2處理器來執行工作負載，也代表AWS現在支援64位元的ARMv8.2基礎架構，並且支援端到端多重架構，而且EKS API以及相關工具，也都能夠處理架構的特殊配置，像是啟動Arm的控制平面元件CoreDNS或是kube-proxy Pod。此外，AWS在GitHub建立了儲存庫，提供Graviton相關使用資訊，支援要在Amazon EKS使用Graviton 2的用戶。現階段，Amazon EKS對Graviton 2的支援，目前僅在能夠同時支援兩種服務的區域，提供企業使用。<a href=" https://aws.amazon.com/tw/about-aws/whats-new/2020/08/amazon-eks-support-for-arm-based-instances-powered-by-aws-graviton-now-generally-available/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> IDC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 公有雲服務 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 追蹤報告 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>IDC調查：公有雲服務市場規模自2016年以來，已翻倍成長</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_IDC%202019_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_IDC.JPG" style="width: 600px; height: 412px;" /></strong></span></p> <p>市場調查機構IDC近日發布了一份，半年度全球公有雲服務市場的追蹤報告，總結2019全年度全球公有雲服務市場的表現。全球公有雲市場規模於去年達2,334億美元，與前年相比，年增長達26%，且自2016年以來，已增長了一倍以上。其中，SaaS為最大類別的雲端服務，占總體市場63.6%，達1,485億美元，而IaaS居次，占21%，達490億美元，PaaS則占15.4%，達359億美元。IDC特別點出，IaaS和PaaS的收入相比2016年，成長了三倍，凸顯越來越多企業採雲端基礎架構和平臺，來部署內部應用程式。IDC更預期，IaaS和PaaS方面的收入，將在未來幾年以高於整體公有雲市場的成長速度增長。根據這個追蹤報告，AWS、微軟、Salesforce、Google和甲骨文為前五大公有雲服務提供商，而他們於2019年的總收入占全球市場規模逾三分之一，同比增長達35%。<a href=" https://www.idc.com/getdoc.jsp?containerId=prUS46780320&utm_medium=embedd&utm_campaign=idc_embedd&utm_source=referral">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 量子運算 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 量子電腦 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>搶先微軟，亞馬遜正式推出量子運算服務Braket</strong></strong></p> <p>AWS近日宣布正式推出量子運算服務Amazon Braket。該服務是AWS透過與多家量子電腦硬體商合作，供企業使用D-Wave、IonQ以及Rigetti的量子電腦執行模擬實驗，進行有關量子位元和量子電路的實作，在模擬環境中建置和測試電路，之後再在實際的量子電腦中執行。Amazon Braket提供全託管的Jupyter Notebook，供企業建立與測試應用程式，並可將結果以視覺化呈現。企業可以從頭開始設計自己的量子演算法，或是選擇預先建置的演算法，在演算法定義完成後，Amazon Braket會提供模擬服務，來協助用戶排除故障與驗證。待一切就緒後，企業就能在不同的量子電腦上執行應用程式。AWS表示，福斯汽車、波音、義大利大型電力公司Enel等，已經對新服務進行了測試。現階段，新服務於美東北維吉尼亞州、美西北加州，還有美西俄勒岡州，共3個AWS區域提供。而微軟旗下相似的服務Azure Quantum，目前則仍處於預覽版階段。<a href=" https://aws.amazon.com/tw/blogs/aws/amazon-braket-go-hands-on-with-quantum-computing/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Microsoft 365 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IE 11 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 瀏覽器支援 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>明年夏天起，Microsoft 365將不再支援IE 11</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_M365_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 600px; height: 136px;" /></strong></span></strong></p> <p>為加速推動Chromium-based Edge，微軟日前宣布，Microsoft 365將不再接受IE 11存取。Microsoft 365中的Teams從11月30日起，將不再支援IE 11，而從2021年的8月17日開始，Microsoft 365其他應用程式和服務也都將終止支援。用戶屆時若再以IE 11使用這些服務，會面臨使用體驗不佳的情形，像是無法連上新功能，且現有某些功能也會遭停用。微軟表示，採用開放標準的Chromium Edge更適合消費者或企業使用Microsoft 365服務，包含Outlook、Teams、SharePoint等。用戶現可利用新Edge的IE mode以不同分頁存取舊有應用，而無需同時使用新、舊兩種瀏覽器之間切換。但，微軟提醒，以新Edge的IE mode並不能延長Microsoft 365對IE 11的支援，因此，他建議用戶在明年8月前，不要再用IE 11存取M365。<a href=" https://techcommunity.microsoft.com/t5/microsoft-365-blog/microsoft-365-apps-say-farewell-to-internet-explorer-11-and/ba-p/1591666">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 無伺服器服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 計費調整 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS新版ETL服務Glue 2.0加快10倍作業啟動速度，且可從1分鐘開始計費</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Glu%202_0_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px; height: 258px;" /></strong></span></strong></p> <p>AWS日前正式釋出無伺服器ETL服務的更新版本AWS Glue 2.0，可以更快速啟動Spark ETL作業，並降低了計費的最短時間。相比前一代，AWS Glue 2.0啟動Spark ETL作業的速度，提高了10倍，能減少企業啟動該類作業的等待時間，進而降低整體作業時間。AWS表示，透過腳本開發和資料探索，該服務能支援企業執行微批次、高互動性的工作負載，來提升生產力。此外，新版AWS Glue的Spark作業降低了計費的最小時間，從原本10分鐘降為1分鐘，並加上以每秒計費。AWS表示，這樣的計價方式可供企業用來處理較小、對期限敏感，且互動性高的工作負載。另外，AWS Glue 2.0還有一項新功能，可讓企業從Wheel檔案或是儲存庫中，安裝Python模組。現階段，企業可在俄亥俄州、法蘭克福、巴黎、首爾、東京、新加坡等區域使用AWS Glue 2.0。<a href=" https://aws.amazon.com/tw/blogs/aws/aws-glue-version-2-0-featuring-10x-faster-job-start-times-and-1-minute-minimum-billing-duration/">（詳全文）</a></p> <p><strong>圖片來源／豐田汽車、ThousandEyes、IDC 、微軟、AWS</strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. 臺南市政府以Azure打造登革熱防疫平臺，利用雲端認知服務分析病媒蚊</strong><a href=" https://www.tainan.gov.tw/News_Content.aspx?n=13370&s=7702724 ">（詳全文）</a></p> <p><strong>2. 遠傳預計年底啟用Tpark IDC雲端機房，將成旗下最大的雲端運算中心</strong></p> <p><strong>3. HPE宣布與SAP聯手，將推出搭配HPE GreenLake的SAP HANA Enterprise Cloud</strong><a href=" https://www.hpe.com/us/en/newsroom/press-release/2020/08/hpe-and-sap-partner-to-deliver-sap-hana-enterprise-cloud-with-hpe-greenlake-cloud-services.html">（詳全文）</a></p> <p><strong>4. Nissan計畫將流體力學、結構力學模擬和3D可視化等工作負載搬遷上Oracle Cloud Infrastructure，望加快新車上市的速度</strong><a href="https://www.oracle.com/news/announcement/nissan-moves-to-oracle-cloud-infrastructure-081120.html">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2020年8月</strong></p> </div></div></div>
2020/8/20 13:03作者黃郁芸https://www.ithome.com.tw/news/139512
研究：新一代殭屍網路FritzFrog感染500臺伺服器以幫駭客挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Guardicore Labs本周<a href="https://www.guardicore.com/2020/08/fritzfrog-p2p-botnet-infects-ssh-servers/" target="_blank">揭露了一個新型態的P2P殭屍網路FritzFrog</a>，駭客撰寫了一個全新的惡意程式，企圖攻擊全球數百萬個裝置的IP位址，進而感染逾500臺SSH伺服器，利用它們替駭客開挖門羅幣（Monero）。</p> <p>Guardicore Labs是在今年1月察覺FritzFrog的行動，這是一個以Golang撰寫的無檔案惡意程式，它以SSH公鑰的形式在受害系統上建立後門，以讓駭客能夠持續存取被駭系統，且這8個月以來，Guardicore Labs已發現20種不同的FritzFrog執行版本。</p> <p>FritzFrog有許多特點，它採用無檔案技術，在記憶體中運作，因而無從追蹤。相較於其它只使用固定用戶名稱，來滲透IP裝置的P2P殭屍網路，FritzFrog使用了相對積極的暴力破解技術，它會持續更新攻擊對象與被駭機器的資料庫，而且使用了私有的P2P協定。</p> <p>此外，FritzFrog相準了全球政府機構、教育機構、醫療中心、銀行與電信業者的數千萬個IP位址發動攻擊，而且成功地入侵了這些組織的逾500臺伺服器，受害者包括美國與歐洲的多所知名大學，還有一家鐵路公司。這些受害的伺服器藉由P2P協定相互聯繫及同步，就算有哪個節點遺失了，很快就會被其它節點遞補，以保持殭屍網路的資訊暢通。</p> <p>FritzFrog不只儲存了被駭系統的登入憑證，也在系統上的授權金鑰檔案中新增了SSH-RSA公鑰，於是，即便組織變更了憑證的密碼，握有私鑰的駭客依舊可以繼續存取被駭系統。</p> <p>駭客利用FritzFrog殭屍網路替他們挖掘門羅幣，不過，Guardicore Labs並未公布該惡意行動迄今的收益。</p> <p>Guardicore Labs建議各大組織應該設定強密碼且使用公鑰認證，也呼籲受害系統記得從授權金鑰檔案中，移除FritzFrog所植入的公鑰。此外，將SSH曝露在外的IoT裝置則是FritzFrog主要的切入點，組織應變更相關裝置SSH傳輸埠，或是關閉SSH的存取能力。</p> </div></div></div>
2020/8/20 17:15作者陳曉莉https://www.ithome.com.tw/news/139520
如何卡位金融生態圈激戰？玉山銀揭露未來5年數位大戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著3家純網銀即將開業，加入臺灣數位金融市場的競爭，國泰金、台新金日前揭露了新的金融生態圈戰略，而玉山金控第二季法說會中，玉山銀行董事長黃男州揭露了未來5年的玉山生態圈戰略，「會採取Banking as a Services（銀行即服務）模式瞄準場景金融，銀行本身就是服務，可以嵌入任何場景中。」</p> <p>黃男州認為，純網銀的確加快了數位金融的發展腳步，但這是短空長多。「5年來看，臺灣銀行產業將成長10~15%，餅變得更大了，正在打基礎的純網銀約只會占1～2％，反而是有競爭力，數位發展很快的銀行，可以獲取更多市場占有率。」這個對未來臺灣數位市場的樂觀觀察，也影響了玉山當前的數位發展戰略。</p> <p>玉山近幾年大力發展數位通路，統計到今年第二季為止，個人外匯買賣交易超過95%都透過數位完成，而小額信貸也高達8成利用數位方式完成，基金或信用卡申辦交易也過半數，有6成採數位完成。另外，也推出更多第三方整合機制，例如7月上線的行動付款通API，讓第三方網購App，可以一鍵整合多家銀行行動銀行App的付款機制。</p> <p>不只如此，玉山也逐步打造虛實整合的全通路架構，例如，7月時發表的玉山新的數位會員服務e.Fingo，不只整合旗下行動網銀、支付和各類數位申辦服務的單一數位帳號機制，還會進一步整合線上和線下的金融服務。</p> <p>玉山發展數位戰略時，有三個考量，黃男州指出，不是用數位取代實體，而是注重兩者互補關係，實體通路不會消失。其次，數位策略中最重要的不是科技，而是顧客，要用科技讓顧客更滿意和更好體驗。第三則是採取漸進改善的作法，靠不斷改進來達到更好的服務，而非破壞式創新。</p> <p>他觀察，越來越多生態圈的建立，就是過去談的場景金融。數位形式會讓生態圈的合作更積極出現，數位化產品不斷創新，數位產品運用越來越深，而數位化顧客也越來越多，尤其顧客數位行為的改變更是挑戰，最後是新科技也會影響銀行的數位發展。生態圈蓬勃發展，會帶動更多場景金融的出現，數位方式降低了銀行服務的中間障礙，能降低交易成本，可以吸引更多客群，來實現普惠金融，AI、5G等新科技則可以讓銀行發展智慧金融，提供更好的顧客服務，不論是行銷、風控或產品研發等。「未來數位銀行最重要的三大發展趨勢是，場景金融、普惠金融和智慧金融。」他強調。</p> <p>全球金融業都看到這股數位趨勢，黃男州歸納，金融業數位戰略可以分為三種模式，第一是銀行即服務（Banking as a Services）模式，銀行自身成為服務，可以嵌入到任何場景中，螞蟻金服就是採取這樣的模式。例如鎖定民眾出國旅遊的場景，銀行可以將外匯買賣服務嵌入到旅行社的服務中，或像是銀行融資服務可以嵌入買車服務的過程，銀行顧客到任何地方買車時也都能用。「銀行把自己變成了一種服務，金融服務結構沒有改變，但是改為嵌入別人的場景，這是臺灣正在發生的模式。」他觀察。</p> <p>第二種模式是，銀行變成了平臺（Banking as a Platform），新加坡的DBS是最典型的銀行平臺化實例，黃男州點出，DBS正因在新加坡擁有大量顧客，才鎖定重要的房貸市場，直接在DBS旗下的數位市場平臺，囊括購屋前、中、後所需的各項服務，讓銀行網站成了一個可以提供完整購屋服務的平臺，自然就能吸引顧客向DBS貸款。另一個實例是中國平安集團，也採取同樣的平臺戰略，要建構一個健康的生態圈，可以提供線上醫生、取藥，也直接結合了支付。「銀行平臺化的難度很高，臺灣也有銀行嘗試，但很不容易。」黃男州評估。</p> <p>第三種金融數位戰略，他指出，就是Open Banking（開放銀行）模式，這是銀行與第三方聯手的模式。臺灣儘管採3階段推動開放銀行，已經上路的商品公開資料查詢API，正在推動的消費者資訊查詢API，以及未來的交易面資訊API開放，但他評估，開放銀行模式仍有2大問題待解決，一是銀行無法確保，自家資料串接到第三方服務後的安全，其次是，目前還沒找到可以讓銀行、第三方服務和消費者三贏的商業模式。</p> <h3><span style="color:#FF8C00;"><strong>玉山金數位戰略是銀行即服務模式</strong></span></h3> <p>「玉山的戰略是銀行即服務模式，而且是進行式。」黃男州終於揭露自家銀行未來數位戰略的主軸。而玉山帶頭發展這個模式的金融服務是支付。玉山在信用卡支付的規模目前排名全國第二，電子支付則是在銀行兼營電子支付者中排名第一，所以，「玉山將用支付的力量來提供服務，」</p> <p>他舉例，玉山年初推出了全自動化的信用貸款，將申貸流程全程數位化，縮短到最快58秒撥款，就可以進一步整合到電商服務中，來滿足電商經營者、上架產品的商家，到電商平臺購物的顧客的融資需求。還有另一個玉山考慮用來提供場景嵌入能力的金融產品是外匯服務，例如未來疫情趨緩後，考慮將其整合到旅遊業者的服務中。</p> <p>「未來生態圈和夥伴關係的發展，如何建立對方願意嵌入服務的信賴是關鍵。」黃男州指出，以金融專業的玉山，好處是可以和各行各業合作，彼此不會是競爭關係。就像2008年金融海嘯危機，反而是玉山成長最快的時候，而數位發展和疫情衝擊，都是接下來銀行的考驗。</p> <p>玉山的戰略要瞄準3～5年後的金融市場、顧客改變和數位演進，來決定當前作法。「目前最重要的事情是準備未來，而場景金融，將是玉山未來發展中非常重要的一環。」黃男州強調。文⊙王宏仁</p> <table border="0" cellpadding="1" cellspacing="3"><tbody><tr><td style="background-color: rgb(204, 255, 255); width: 100%;"> <h3><strong><span style="color:#0000FF;">玉山金控新任科技長出爐</span></strong></h3> <p><strong><span style="color:#0000FF;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E7%8E%89%E5%B1%B1%E6%96%B0%E7%A7%91%E6%8A%80%E9%95%B7%E5%BC%B5%E6%99%BA%E6%98%9F-%E6%94%9D%E5%BD%B1-%E7%BF%81%E8%8A%8A%E5%84%92.jpg" /></span></strong></p> </td> </tr><tr><td style="background-color: rgb(204, 255, 255); width: 100%;"> <p>在這場法說會中，玉山金控也宣布，將借調臺大資訊工程系教授張智星，來擔任玉山金控新任的科技長，也就是接替已故前科技長陳昇瑋的職務。玉山董事會已通過這項人事案，目前正待金管會核准後就會正式生效。張智星是臺大金融科技研究中心主任，也曾是陳昇瑋在學時的老師，去年玉山和臺大合作成立AI和Fintech研發中心時，就找來張智星擔任計畫主持人。當時陳昇瑋希望，能藉助張智星，來優化銀行各項服務的語音客服，甚至連轉帳或付款都可以透過人機對話來處理。</p> <p>張智星擅長領域是語音辨識和合成技術，他於1993年的ANFIS論文，在Google Scholar學術搜尋服務上被引用次數超過一萬次，研究成果頗具影響力。取得加州大學柏克萊分校的電機電腦博士學位隔年，就是1993年，他加入美國數值分析軟體商MathWorks，這是工程科學計算知名軟體Matlab的母公司，張智星負責研發模糊邏輯工具箱，也累積了國際大廠第一線軟體開發的實務經驗。</p> <p>1995年回臺，張智星先後在清華大學、臺灣大學任教，他在機器學習的研究，涵蓋了語音、音樂、文件和影像辨識領域。甚至，張智星率領的研究團隊所開發的音樂檢索技術，曾多次贏得MIREX國際音樂檢索評比多個項目第一名。</p> <p>2017～2019年間，張智星擔任臺大醫院資訊室主任長達2年，也致力於推動AI在醫療和衛生保健的應用。玉山銀行董事長黃男州更點出，他在大型醫院所累積的大型IT系統維運經驗，也有助於這個職務的挑戰。文⊙王宏仁</p> </td> </tr></tbody></table><p> </p> </div></div></div>
2020/8/20 19:13作者王宏仁https://www.ithome.com.tw/news/139527
短期住宿出租平臺Airbnb申請IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>短期住宿出租平臺<a href="https://news.airbnb.com/airbnb-announces-confidential-submission-of-draft-registration-statement/" target="_blank">Airbnb本周三（8/19）宣布</a>，已向美國證券交易委員會（SEC）遞送首次公開發行（Initial Public Offering，IPO）申請書，準備登上美國股市。</p> <p>目前Airbnb尚未決定公開發行的股票數量與價格，而且該S-1申請書仍為保密狀態，因此尚無法一窺Airbnb的經營狀態。</p> <p>不過，根據流量偵測平臺<a href="https://www.alexa.com/siteinfo/airbnb.com" target="_blank">Alexa的統計</a>，Airbnb的流量落後貓途鷹（Tripadvisor）、Yelp、Hotels與Vrbo等競爭對手，而貓途鷹、Yelp與Hotels母公司Expedia，都已登上美國那斯達克或紐約股市。</p> <p>Airbnb官網上的資料顯示，該平臺在全球逾220個國家的10萬個城市，提供超過700萬個出租項目。</p> <p>今年初以來的武漢肺炎重創了全球的旅遊產業，Airbnb亦無法倖免於難，2017年時該公司增資時的身價高達310億美元，但Airbnb在今年4月增資時，市值已滑落至180億美元，縮水近一半。</p> </div></div></div>
2020/8/20 15:35作者陳曉莉https://www.ithome.com.tw/news/139514
BlackBerry明年將以5G手機型態重出江湖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>還記得黑莓機（BlackBerry）嗎？這個一度是全球商務人士愛用的智慧型手機品牌，可望2021年以5G手機面貌重出江湖。</p> <p>在iPhone及三星、華為、Oppo等現代化智慧型手機品牌崛起後，黑莓機消失在產業版圖上。加拿大廠商BlackBerry已不再生產手機，而是將其BlackBerry品牌、安全軟體及服務套件授權第三方業者設計、製造和銷售手機。最近一家取得授權的知名手機廠商是中國的TCL。不過<a href="https://www.ithome.com.tw/news/135644" target="_blank">TCL年初宣布授權到今年8月31日為止</a>，之後TCL將不再生產黑莓手機。外界則認為這代表著黑莓機將從此消失。</p> <p>但BlackBerry品牌近日又有動向。一家新創公司<a href="https://www.businesswire.com/news/home/20200819005202/en/OnwardMobility-Announces-Agreements-BlackBerry-Foxconn-Subsidiary-FIH" target="_blank">OnwardMobility本周宣布</a>和加拿大公司Blackberry及鴻海子公司富智康（FIH Mobile）達成協議，將生產具有實體鍵盤的Android黑莓機，預定明年上半在北美和歐洲推出。</p> <p>雖然沒有明說，不過顯然這隻手機將會由富智康代工生產。富智康也負責Nokia 品牌手機的生產。</p> <p><a href="https://techcrunch.com/2020/08/19/blackberrys-brand-switches-hands-again-set-to-return-as-a-5g-android-handset/" target="_blank">Techcrunch</a>及<a href="https://www.pcmag.com/news/new-blackberry-with-keyboard-coming-in-2021" target="_blank">PC Magazine</a>報導，OnwardMobility成員主要來自美商索尼姆技術（Sonim Technologies），後者以生產耐操的強固型（rugged）手機及配件出身。此外還有來自TCL及擁有黑莓機軟體背景的員工。</p> <p>在這項協議下，加拿大BlackBerry公司將授權OnwardMobility開發、設計及銷售5G版黑莓機。OnwardMobility執行長Peter Franklin表示，黑莓機以保護通訊安全、資料隱私聞名，這些特點是幫助黑莓機切入商務5G手機市場的利器。Franklin說新手機將擁有頂級相機、BlackBerry的安全軟體和部份Android App，以及「具競爭力」的價格。</p> <p>不過媒體認為，智慧型手機發展到今天，黑莓機重出江湖後，BlackBerry的品牌會激起多少市場迴響，以及有多少消費者想用回實體盤的手機，都是值得觀察的問題。</p> </div></div></div>
2020/8/20 16:30作者林妍溱https://www.ithome.com.tw/news/139517
G Suite又發生全球大規模故障事件，Gmail和雲端硬碟出狀況已持續超過3小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google G Suite部分服務今天下午再傳大規模故障事件，包含Gmail、Google雲端硬碟、Google文件、Google Meet和Google Voice，皆出現異常，使得許多用戶遭遇無法登入、無法附加檔案等狀況，包含部分臺灣用戶在內。</p> <p>根據監控網站<a href="https://downdetector.com/status/gmail/">Downdetector</a>的用戶通報記錄，此次故障事件影響範圍遍及全球各地，不只臺灣，美國、澳洲、日本、馬來西亞等多國，皆有用戶提交了服務故障通報。Downdetector在下午1點16分時，共收到超過1,800件Gmail故障通報，其中有60%的用戶通報附加檔案的問題，另有23%的用戶通報他們無法登入服務，還有16%用戶通報收信問題。臺灣許多用戶也在PTT上抱怨，Gmail無法收到信件、無法登入Google雲端硬碟等狀況。</p> <p>Google於下午1點29已經在G Suite的運行<a href="https://www.google.com/appsstatus#hl=zh-TW&v=status">狀態儀表板</a>網頁上，顯示Gmail、Google雲端硬碟、Google文件等服務中斷的消息，並表示正在進行事故調查。而Google原先預計在4點可修復問題，但，截至記者發稿前，各項受影響服務仍尚未復原，儀表板網頁還顯示著「發生問題」的橘燈。</p> <p>Google發布的最新消息目前則停留在下午4點38分，顯示團隊會「繼續調查問題所在，並在下午5點38分之前公佈更多相關資訊」，並坦承現有問題包含了Gmail發送、雲端文件建立、語音郵件發送、聊天訊息發送等。目前各項服務當機已持續超過3小時。文⊙黃郁芸</p> </div></div></div>
2020/8/20 16:45作者黃郁芸https://www.ithome.com.tw/news/139515
NEC在臺展示最新自助結帳系統，可快速影像辨識商品，還能刷臉完成支付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為減輕櫃檯人員工作負擔，國內零售業開始導入自助結帳，但大多需要消費者手持結帳商品，靠近掃碼窗口辨識商品，再搭配非現金支付工具，達到自助結帳的目的。NEC本周在臺展示一項自助結帳方案，在辨識商品部分，除了整合商品條碼掃描、RFID感應之外，還能透過影像辨識商品，結合人臉辨識及電子支付進一步實現刷臉支付。</p> <p>使用這套自助結帳系統之前，消費者需先註冊會員身分，綁定個人臉部特徵及電子支付工具，當消費者使用自助結帳系統時，先看向螢幕上方鏡頭，通過人臉辨識，螢幕上會顯示出會員身分，再讓系統辨識想要結帳的商品，在螢幕上列出結帳商品清單、金額，選擇付款就能以會員綁定的電子支付工具付款。</p> <p><strong>這套自助結帳系統配備大型螢幕，用以顯示結帳者的身分及商品，螢幕下方則支援三種商品辨識技術，RFID、條碼、影像辨識：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4193-1(1).jpg" style="width: 300px; height: 451px;" /></p> <p>在辨識商品方面，NEC展示的這套自助結帳系統，支援三種商品辨識技術，包括可感應商品包裝上的RFID標籤，以及傳統的條碼掃描技術，還可透過鏡頭拍攝商品，利用影像辨識技術快速辨別商品。</p> <p>NEC現場展示的自助結帳影像辨識技術為GAZIRU，適用於有固定形狀、包裝的商品，例如瓶裝飲料、袋裝零食或是盒裝餅乾等，店家需要事先建立每項商品的六個角度影像，透過演算法進行精準辨識，這類辨識技術可辨識同樣為瓶裝的不同廠牌礦泉水或是茶飲。當消費者實際使用時，需將結帳商品攤平放置於影像辨識平臺上，NEC表示，側邊可額外加裝鏡頭，提高商品辨識的準確性。</p> <p><strong>消費者將商品攤平放置在辨識平臺上，系統就會自動辨別要結帳的商品名稱及對應的金額，顯示於上方的螢幕，供消費者確認購物及應付金額：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4195(1).jpg" style="width: 300px; height: 451px;" /></p> <p>除了展示的GAZIRU，NEC流通製造解決方案事業群副總經理王昌元指出，另一項NEC開發的影像辨識技術則是運用深度學習，適用於不規則形狀、沒有固定包裝的商品，如沒有包裝或使用透明包裝的麵包、便當或是生鮮商品，利用大量影像訓練AI辨識商品的外型，用於辨識外型相似，但有細微差異的物品，例如不同種類的蘋果，但是成本也相對比較高。在日本已被用於辨識麵包，國內已有廠商測試評估中。</p> <p>在人眼虹膜辨識技術上，NEC也展示的遠距虹膜辨識技術，克服傳統虹膜辨識的需要人眼貼近鏡頭，才能擷取虹膜影像的限制，遠距虹膜辨識技術允許使用者在兩公尺距離內，只要看向鏡頭就能快速擷取到虹膜影像，不再需要貼近鏡頭，可以更自然的方式完成身分驗證。NEC指出，這項技術可運用在金庫、資料中心機房等安全性要求較高的場景。</p> <p><strong>遠距虹膜辨識可透過鏡頭擷取左右眼虹膜影像：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4213-1(1).jpg" style="width: 600px; height: 399px;" /></p> <p>虹膜辨識技術主要擷取人眼虹膜特徵進行比對，即使戴眼鏡也不受影響。這項遠距虹膜辨識技術，可擷取左、右眼虹膜影像，和原先已註冊的虹膜特徵進行比較，以確認使用者的身分正確。</p> <p>NEC今年在臺灣營運重點，將包括生物辨識、智慧零售、智慧辦公、RPA四項解決，聚焦在政府、金融、零售、製造成產業，本周成立卓越中心展示相關方案。</p> <p> </p> <p> </p> </div></div></div>
2020/8/20 17:13作者蘇文彬https://www.ithome.com.tw/news/139505
忘了更新憑證，Spotify當機逾一小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大的音樂串流業者Spotify，在美國東部時間19日的上午8點（台灣19日晚上9點），發生大規模的服務中斷事件，且持續了一個多小時，儘管Spotify並未說明原由，但Cloudflare的一名工程師<a href="https://twitter.com/lpoinsig/status/1296062546236104705" target="_blank">Louis Poinsignon在Twitter上表示</a>，看起來像是Spotify忘了更新TLS憑證所導致的。</p> <p><a href="https://downdetector.com/status/spotify/" target="_blank">根據Down Detector的數據</a>，當時有眾多的Spotify用戶無法使用音樂串流服務，播放音樂時只放了幾秒就停了，繼之便出現錯誤訊息，而且不管是行動或桌面用戶、付費或免費用戶，都遭遇了同樣的問題。</p> <p>Poinsignon不只發現了Spotify的憑證過期，也察覺Spotify在更新憑證之後，服務便恢復正常了。雖然Spotify因為憑證過期而造成服務中斷，但Poinsignon亦稱讚至少Spotify使用了安全傳輸，不像另一家音樂串流服務Tidal依然透過HTTP來串流音樂，同時期許Spotify下次別再忘了更新憑證。</p> </div></div></div>
2020/8/20 12:15作者陳曉莉https://www.ithome.com.tw/news/139510
Zoom今年內將可相容臉書Portal、Google、Amazon智慧顯示器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>視訊軟體廠商<a href="https://blog.zoom.us/zoom-expands-to-smart-displays-at-home/" target="_blank">Zoom昨（19）日宣布</a>將相容於更多智慧顯示器，今年之內用戶將可在臉書Portal、Amazon Echo Show和Google Nest Hub Max使用Zoom。</p> <p>最新宣布是Zoom透過智慧顯示器方案，將其視訊會議軟體往家用市場擴大的一環。上個月該公司發表的<a href="https://zoom.us/docs/en-us/zoom-for-home.html" target="_blank">Zoom for Home</a>包含Zoom Meetings和Zoom Phone使用授權，使任何企業或硬體公司都可以部署協同裝置，用以視訊、打電話、啟動互動電子白板及加註。Zoom也發表了<a href="https://www.ithome.com.tw/news/138876" target="_blank">相容的硬體業者</a>，包括DTEN的第一款599美元的Zoom硬體DTEN ME。其他廠商還包括Neat及Poly（即Polycom的品牌名）。</p> <p>這項方案最新支援的智慧顯示器包括Amazon Echo Show 8、臉書Portal系列及Google Nest Hub Max。其中臉書的Portal 9月即可跑Zoom，至於Amazon 和Google則預定今年秋天開始支援Zoom。</p> <p><a href="https://about.fb.com/news/2020/08/new-video-conferencing-apps-on-portal/" target="_blank">臉書表示</a>其Portal系列，包括Portal Mini、Portal及Portal+將支援第三方視訊軟體，除了Zoom外，還可使用WebEx、BlueJeans及GoToMeeting，臉書也計畫這些視訊軟體也會支援未來的Portal TV。</p> <p><a href="https://blog.google/products/google-nest/zoom-video-call-nest" target="_blank">對Google而言</a>，則是在Nest Hub Max上跑自有的Google Meet和Duo、Google Assistant AI助理外，再支援Zoom。現在Nest Hub Max用戶已可透過「Hey Google」，來啟用Google Meet和最多100人同時視訊，今年秋天起則可使用Zoom，前提是用戶必須具備Zoom帳號。</p> <p>至於Amazon Echo Show，將從Echo Show 8在美國開始支援Zoom，同樣也可以Alexa啟動，而如果用戶以Alexa App連結行事曆，則AI助理Alexa時間到了就會自動啟動排定的會議，無需輸入meeting ID或密碼。</p> </div></div></div>
2020/8/20 11:00作者林妍溱https://www.ithome.com.tw/news/139507
蘋果市值一度突破2兆美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>挺過3月的低潮後，蘋果創下歷來第3季營收和獲利新高的紀錄，並帶動股價攀升，<a href="https://techcrunch.com/2020/08/19/apple-reaches-2-trillion-market-cap/" target="_blank">使其市值於昨（19）日一度突破2兆美元</a>。</p> <p>疫情爆發後，美國政府積極救市，帶動整體科技股近幾個月持續攀升，蘋果股價今年已經上漲了將近59%。<a href="https://www.ithome.com.tw/news/139152" target="_blank">蘋果7月底發表的第3季財報中</a>，也交出了營收年成長11%的成績單，成為史上表現最好的第3季，帶動股價持續上攻，昨日突破468美元，而使其公司市值一度超過2兆美元，雖然最後以462.25美元收盤，但市值也來到1.98兆美元，位居5大科技龍頭（FAAMG）之首。</p> <p>才不過兩年前的8月，蘋果市值才正式<a href="https://www.ithome.com.tw/news/124963" target="_blank">突破1兆美元大關</a>。</p> <p>今年上半年美國科技龍頭Amazon、微軟、Google及臉書股價，皆從3月低谷一路上漲，有4個目前躋身兆元俱樂部。根據最新數據，Amazon以1.63兆美元居第二位，第三名為微軟的1.59兆美元，其次是Google的1.5兆美元。</p> <p>事實上，除了電子商務為主的Amazon外，武漢肺炎疫情帶給Google/Alphabet、<a href="https://www.ithome.com.tw/news/138983" target="_blank">微軟</a>及<a href="https://www.ithome.com.tw/news/139156" target="_blank">臉書</a>程度不一的衝擊。Alphabet更是出現<a href="https://www.ithome.com.tw/news/139153" target="_blank">史上首次營收下滑</a>。昨日聯準會（Fed）公布報告，預期下半年美國在疫情影響下，經濟復甦面臨高度不確定性，造成美國股市全面下挫，中斷了近期的漲勢。</p> </div></div></div>
2020/8/20 11:30作者林妍溱https://www.ithome.com.tw/news/139508
微軟修補兩個Windows權限擴張漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/help/4578013/security-update-for-windows-8-1-rt-8-1-and-server-2012-r2" target="_blank">微軟在本周三（8/19）修補了</a>Windows 8.1、Windows RT 8.1與Windows Server 2012 R2等平臺的兩個安全漏洞，它們皆屬於Windows遠端存取權限擴張漏洞，雖僅被微軟列為重要（Important）等級，但微軟呼籲用戶應該要立即更新。</p> <p>其中的CVE-2020-1530肇因於Windows Remote Access不當處理記憶體，CVE-2020-1537則是因Windows Remote Access不當處理檔案操作，駭客若要開採這兩個漏洞，必須先取得系統的執行權限，再以特製的應用程式來擴張權限。</p> <p>其實這兩個漏洞不僅影響Windows 8.1、Windows RT 8.1與Windows Server 2012 R2，也波及Windows 10與其它Windows版本，只是其它版本的修補程式已在8月11日的Patch Tuesday釋出，可能是來不及修補所有的Windows版本，才延至本周更新。</p> </div></div></div>
2020/8/20 11:45作者陳曉莉https://www.ithome.com.tw/news/139509
AWS客服中心服務現可整合第三方AI解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS發布了<a href="https://aws.amazon.com/tw/blogs/aws/aws-announces-aws-contact-center-intelligence-solutions/">Contact Center Intelligence（CCI）</a>解決方案，這是一項服務組合，可以讓用戶將第三方的人工智慧功能整合到客服中心服務裡，用戶可以從AWS的夥伴網路APN中，取得這些人工智慧功能。CCI提供了自助服務、即時來電分析和專員協助，以及其他後續的通話分析解決方案，讓用戶能夠在既有的客服工作流程中，快速部署人工智慧功能。</p> <p>即便客服中心服務用戶缺乏機器學習專業，CCI也可以讓用戶簡單地利用雲端服務，實作機器學習功能，解決業務問題，AWS提到，CCI解決方案讓用戶可以使用各種機器學習功能，包括轉錄、文字轉語音、翻譯、企業搜尋、聊天機器人和商業智慧等。用戶目前可透過參與APN的AWS合作夥伴，取得CCI人工智慧解決方案，這些解決方案範疇，集中於解決客服工作流程中3階段的問題，分別是自助服務、即時來電分析和專員協助，以及通話分析。</p> <p>自助服務解決方案可以讓用戶創建聊天機器人，或是採用機器學習互動式語音回應，來解決客服人員常遭遇到的問題，自助服務還能夠整合聊天機器人服務Amazon Lex，與企業搜尋服務Amazon Kendra一起使用，這兩項服務可提供事務性的查詢，幫來電者解決預定飯店房間或是重設密碼等任務，AWS提到，過去問答集必須要在Amazon Lex中寫死，實作和維護有其難度，但現在整合CCI使用，能夠簡化部署該服務的程序。</p> <p>而即時來電分析與專員協助功能，可以提升客服人員的工作效率和參與度，相關的解決方案除了可以使用Amazon Transcribe即時轉錄語音，也能使用自然語言處理服務Amazon Comprehend分析通話互動，並偵測來電者的情緒，同時辨識話語中的關鍵詞和短語，也能以翻譯服務Amazon Translate將對話翻譯成特定語言。</p> <p>客服中心用戶可能會想要對所有通話進行分析，而CCI中的通話分析解決方案，能對所有通話進行自動化分析，取得的分析結果能夠回饋給產品或是服務流程，作為後續改進的根據。AWS提到，通話分析與即時來電分析很像，這個解決方案也是結合了Amazon Transcribe進行語音辨識，並為每通電話創建文字轉錄，並且可使用Amazon Translate將轉錄的文字，翻譯成為特定語言，還能把Amazon Kendra用於上下文自然語言查詢中。</p> <p>CCI解決方案地區的可用性，與所使用的基礎服務，諸如Amazon Lex、Amazon Transcribe和Amazon Translate等相對應。</p> </div></div></div>
2020/8/20 10:25作者李建興https://www.ithome.com.tw/news/139501
繽紛版Google Maps上線，更容易從地圖上區隔自然景觀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/maps/more-detailed-colorful-map/" target="_blank">Google宣布</a>，自本周起將藉由新的彩色映射演算技術，改善Google Maps上的自然景觀呈現方式，讓使用者得以辨識地圖上是沙灘還是沙漠，是湖水、河流還是海水，甚至能辨識山頂上是否有積雪。</p> <p>Google是先利用電腦視覺技術來判斷衛星照片上的自然景觀，特別是在沙漠、寒冷、森林或山區，分析後再根據HSV顏色模型來指派顏色範圍，例如茂密的森林就是深綠色，若是片狀的灌木林區則不那麼綠。於是，充滿自然景觀的冰島在Google Maps上看起來就更繽紛了，除了可以看到不同層次的綠色樹林之外，也可明顯看出知名的冰帽位置。</p> <p>除了在地圖上以更多的顏色來表達自然景觀以外，Google也計畫建立更仔細的街道資訊，可望精確地秀出道路的形狀與相對寬度，還能區隔人行道、行人穿越道及行人避車島。</p> <p>Google認為，在此一疫情時期，這些街道上的細節將更能協助人們以步行或其它單人運輸的方式，在街道上行進。</p> <p>色彩繽紛的Google Maps已於本周上線，而詳細的街道資訊則會在未來幾個月，率先出現在倫敦、紐約與舊金山。</p> </div></div></div>
2020/8/20 10:40作者陳曉莉https://www.ithome.com.tw/news/139506
資料自主權風潮當道，衝擊多國政策，更開始吹進臺灣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球數位轉型浪潮襲捲下，資料的價值比過去更受到重視，被視為驅動經濟發展，催生創新服務良方，釋放原本鎖在政府機關或民間組織內的資料，讓資料能被更靈活的運用、流動，也被各國視為鼓勵創新服務、公私協同合作、深化數位經濟發展的重要手段。</p> <p>然而資料的運用，特別是極具價值的個人資料，因涉及到個人隱私，在注重人權的西方先進國家，大多制定法律或設立專責機關，節制對個人資料的使用，以避免個人資料被濫用，而因應數位經濟的發展，西方國家更融入個人資料的自主運用控制的精神。</p> <p>以歐盟在2016年制定，2018年5月上路施行的一般資料保護規範(General Data Protection Regulation，GDPR)為例，因為規範涵蓋歐盟成員國，只要業務往來中蒐集到歐盟民眾個資，就會受到GDPR的規範，若企業發生個資外洩事件，可能遭到全球營收4%或2千萬歐元的裁罰，對企業營運直接帶來衝擊，影響之大不只歐盟成員國境內的企業，境外的企業也連帶受影響。</p> <p>然而，在外界關注GDPR對企業營運帶來的衝擊之外，另一項不容忽視的是GDPR彰顯在全球個資保護的一些重要原則，取回個人對資料的控制權，讓個資主體對資料擁有拒絕被使用的權利，進而可要求業者刪除其資料。</p> <p>另一項權利則是資料可攜權，即業者必需容許用戶帶走自己的資料，在不同的服務中移動自己的個資，充分展現個人資料的自主運用權利。這意謂過去政府機關、民間企業及組織以「資產」為名鎖在公私部門組織內的用戶資料，可讓民眾或用戶帶著走。</p> <p>相似的概念也出現在2018年上路的歐盟支付服務指令第二版（PSD2），為鼓勵新業者進入金融市場帶動創新，PSD2推動金融數據共享，要求銀行應提供Open API，讓第三方得以存取銀行的資料，並要求銀行採用更高的資安機制，控管可能的風險。</p> <p>澳洲的消費者資料權法（Consumer Data Right）也保障了消費者資料的自主權，可要求業者調閱其資料、刪除資料、停止或限制機構使用其資料，或是將資料帶走提供他人使用等等。</p> <p>不論是GDPR或是澳洲的消費者資料權法，對資料的使用權有更明確的保障，看似極大化限制企業對民眾個資的運用，但相對地訂下遊戲規則，讓遵守規定的企業能夠合理運用民眾的資料。</p> <p><span style="font-size:28px;"><strong>資料自主運用在各國興起</strong></span></p> <p>政大電子治理中心副主任蕭乃沂認為，善用個資創造價值，保護個資也是重要價值，兩者之間並不衝突，應找出有創意的方式平衡，既不相互衝突且互相幫助「個資保護愈好，相對地，善用個資的價值也愈高」。從過去消極的保管資料，到沒有犧牲、妥協個資保護的條件下去善用資料。</p> <p>MyData資料自主運用即是找出個資保護、個資利用兩者間平衡的一種方法，在一些先進國家中推展，涵蓋政府、金融、健康醫療、電信、能源等領域。</p> <p>美國政府蠻早開始推動資料自主的概念，由於美國沒有健保制度，民眾的健康資料散落在各機構，在2009年美國政府針對退伍軍人推出Blue Button，在退伍軍人事務部網站設計一個藍色按鈕，退伍軍人按下網站上的藍色按鈕，就能下載個人的健康資料，提供給醫生、醫療保險或照顧者。隨後美國在能源領域也推出Green Button。</p> <p>澳洲政府除了推動開放資料、數位政府服務，2012年更制定法規，推動「我的健康紀錄」（My Health Records），讓澳洲民眾可自主管理個人的健康資料，並可和醫療服務者、代理人共享資料，這些資料包括藥物處方紀錄、醫師診療紀錄及其他健康相關的個人紀錄。2017年澳洲更提倡消費者資料權法，讓民眾自由控制個人資料，可要求資料的控管者提供可機讀的資料，提供給第三方使用，澳洲政府也加強對「我的健康紀錄」資料二次利用的監管。</p> <p>英國在消費者資料賦權的概念下推動midata，倡議參與的企業提供可機讀、重覆使用的格式，提供消費者對其資料的訪問權，以及資料的可攜運用，後來指定金融、電信、能源產業配合釋出midata。其中在金融領域，英國推動開放銀行，要求9家銀行建立及採用開放銀行API標準，並透過API將顧客資料授權第三方使用，以提供創新的服務。英國推動開放銀行更運用沙盒實驗，解決現行法規不允許的問題，透過實驗評估創新的資料運用、服務效益及潛在的問題及風險，成為其他國家參考借鏡對象。</p> <p>由於個資運用相當敏感，許多數據的加值應用可能違法，蕭乃沂推崇英國沙盒實驗的機制，建立創新的實驗機制相當關鍵。「先透過創新實驗，瞭解效益及可能的風險在哪，才能評估是否推出創新服務，如果在法規不允許下，就什麼都不能做」，他說。</p> <p>身處北歐的芬蘭在2014年提出了MyData架構，提倡個資的自主管理及運用，並從2016年開始每年舉辦MyData年會，讓個人、組織在MyData進行經驗交流。他們並將開放資料的精神落實到個資的蒐集和使用，確保民眾有知情、查閱、修正、使用、分享、出售、分享個人資料的權利。</p> <p>芬蘭政府並將MyData的資料自主精神推向民眾的電子醫療紀錄，讓民眾得以取得自己的醫療紀錄、用藥處方、個人健康資訊，並可和醫療保健服務業者、藥局分享資料。</p> <p>其他還有新加坡、日本、韓國等推動資料自主運用。其中日本發展出情報銀行的個資信託制度，建立資料授權機制，讓消費者和企業在安全環境中進行資料蒐集和利用，創造資料的附加價值。用戶將自己的資料信託給情報銀行保管、移轉，並可決定是否收費授權其他企業使用。</p> <p><span style="font-size:28px;"><strong>資料自主在臺灣</strong></span></p> <p>臺灣也趕上這股資料自主的趨勢，衛福部健保署在2014年9月，先在健保署官網推出「健康存摺」，民眾只要使用自然人憑證或已註冊的健保卡，完成線上身分驗證，就能查詢或下載個人的健康資料，包括在各個醫療院所的資料，手術、住院、用藥、檢驗資料、個人健保計費、繳納資料、預防接種、器捐意願等等。</p> <p>健保署更推出健保快易通App，讓民眾可在手機上完成身分驗證，查詢或下載健康存摺的健康資料。</p> <p>蕭乃沂認為，健康存摺就是一個臺灣MyData推動的成功案例，由健保署擔任營運者、資料提供者、身分驗證、資料授權等多種角色，為單純的MyData架構實例。</p> <p>而主管國內金融市場的金管會也在2019年推動開放銀行政策，開放銀行的核心精神為消費者資料自主權，在消費者同意下，金融業者和第三方服務者TSP，透過Open API共享金融資料，刺激創新服務的推出。</p> <p>不僅健康醫療、金融領域，今年政府機關資料也趕上這股My Data趨勢。</p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 學界觀點：政治大學金融科技研究中心副主任陳恭 </span></strong></span></span></p> <p><span style="font-size:24px;"><strong>營造以人為本的資料運用才能促成資料經濟發展</strong></span></p> <p>過去曾參與MyData研究，並熟悉國內開放銀行發展的政治大學金融科技研究中心副主任陳恭表示，資料自主運用，可能西方國家對資料的重視有關，而逐漸發展出的理念，而這幾年有更進一步的發展。</p> <p>以澳洲的消費者資料權法（Consumer Data Right，CDR）為例，就提出資料的雙向交流原則，也就是業者不能只有取得別人的資料，也必須貢獻自己的資料。</p> <p>而芬蘭在2015年推動資料經濟時提倡以人為本的資料運用。過去資料被鎖在機關裡，以組織為導向，應改成以人為本位，讓資料跟著人，資料從組織中解放出來，這種以人為本位的資料運用概念，人們在各個組織、機關留下的數位足跡應該要有使用權，甚至授權給第三方使用。</p> <p>陳恭認為，這是進步的地方，如此才能發展資料經濟，甚至可能發展出創新的應用，例如微型支付機制，當消費者購物時，第三方會徵求消費者同意，把購買商品這件事用於廣告或銷售，並提供消費者一些報酬。</p> <p>歐洲更進一步提出公平的資料經濟(Fair Data Economy)，主張民眾(資料提供者)應該獲得公平待遇，民眾提供資料讓第三方使用，隨時可以撤回或查詢資料使用情形，甚至能獲得微薄的各種形式利益或報酬，或是服務升級。公平的資料經濟也強調資料使用者相對的責任。</p> <p>陳恭認為，如果資料共享不僅在個別產業內，還能跨產業共享，例如在民眾同意下，將醫療資料分享保險業，將催生出創新的服務。</p> </div></div></div>
2020/8/20 09:00作者蘇文彬https://www.ithome.com.tw/news/139395
MyData解放政府資料大門，31項官方個人化資料使用權自己作主
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國外資料自主風潮吹向臺灣，國發會歷經三年多的政策規畫，今年7月底以試營運為名推出MyData數位服務個人化平臺（簡稱MyData平臺），這個平臺嘗試為過去被視為敏感的民眾資料建立一個合理運用的模式。</p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:300px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/0820-%E5%B0%81%E9%9D%A2P3P4-350-%E9%AB%98%E4%BB%99%E6%A1%82.jpg" style="width: 300px;" /></td> </tr><tr><td> <p><span style="color: rgb(105, 105, 105);"><strong>國發會副主委高仙桂表示，MyData將過去政府保管</strong></span><span style="color: rgb(105, 105, 105);"><strong>的民眾資料，在符合個資法的條件下，讓民眾自主運</strong></span><strong style="color: rgb(105, 105, 105);">用。</strong><span style="color: rgb(105, 105, 105);">（攝影／洪政偉）</span></p> </td> </tr></tbody></table><p>民眾使用MyData取得個人化資料，需要先以自然人憑證、健保卡、TW FidO等通過線上身分驗證，將資料暫存至MyData個人雲，線上預覽個人資料、下載到自己的電腦儲存，或是攜帶MyData平臺條碼至地方政府臨櫃核驗辦理服務，甚至在民眾知情同意下，將資料授權給提供服務的第三方，改善線上服務體驗。</p> <p>國發會副主委高仙桂表示，開放資料的運用是政府的重要工作，資料的開放及加值運用，是驅動數位經濟發展的關鍵。過去政府基於業務執掌，或依法定業務需要蒐集了非常多的資料，「政府資料就是一座寶庫」。</p> <p>她將政府資料分為三類，開放資料(Open Data)、共享資料(Shared data)、不開放資料(Closed data)。其中開放資料，以開放格式、開放授權提供免費使用的公共去識別化資料，目前政府已開放4萬多筆資料；共享資料則是在未來開放資料法中，允許在特定限制條件下有限度運用，政府機關可收費或保留撤回權；不開放資料因為機密、敏感而受到保護，不對外開放，例如國家機密、個人資料。</p> <p><strong style="font-size: 28px;">MyData扮演政府個人化資料交換平臺</strong></p> <p class="rtecenter"> <img alt="" src="https://s4.itho.me/sites/default/files/images/986-%E5%B0%81%E9%9D%A2P3P4-graph-600.jpg" style="text-align: center; width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">MyData已試營運上線，目前提供31項政府機關資料可供民眾下載、運用。</strong></p> <p>MyData即是將不開放資料中，非關國家機密的個人化資料，開放民眾自主運用，等於扮演一個資料下載、交換的中介平臺，居中連結政府機關扮演的資料提供者（Data Provider），以及需要資料的服務提供者（Service Provider）。</p> <p>國發會和政府機關、服務提供者達成資料交換共識，以API介接合作的政府機關，釋出資料經機關憑證加簽章，確保資料的真實性，傳輸採用HTTPS加密，資料格式包括不可編輯的PDF和可機讀的json，平臺通過ISO 27001等等。服務提供方也透過API介接MyData，驗證資料確實來自資料提供機關，資料完整性，再讀取資料欄位。</p> <p>目前在試營運階段，已有內政部、財政部、經濟部、勞動部、衛福部、教育部、交通部等7個部會開放31項資料集，包括個人戶籍資料、現戶全戶戶籍資料、地籍及實價資料、國民身分證影像，財政部的財產資料、個人所得資料、房屋稅繳納證明等等。</p> <p>而服務提供者則有教育部、經濟部，以及桃園市、花蓮縣、雲林縣、嘉義縣4個地方政府、國營事業的中油，還有透過金管會加入的7家銀行，目前共有40項線上服務可使用MyData平臺取得。</p> <p><span style="font-size:28px;"><strong>主推3大個人化資料應用情境</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/0820-%E5%B0%81%E9%9D%A2P3P4-600-1-V2.png" style="width: 600px;" /></strong></span></p> <p>國發會目前聚焦三種個人化資料的應用情境；第一種是最單純的個人下載應用，將政府機關資料下載至MyData暫存，民眾再從MyData平臺下載到自己的資料；第二種情境是臨櫃核驗應用，資料下載至MyData暫存後，使用者拿著平臺產生的專用條碼及密碼，便可在地方政府臨櫃辦理服務時，提供條碼掃描、授權承辦人員至MyData存取資料；第三種線上服務情境，則是授權MyData將資料交給服務者，簡化申請線上服務的流程，提升使用者的體驗。</p> <p>不論是哪種應用情境，資料的移動都是通過MyData中介處理，從政府機關（資料源頭）先下載至MyData個人暫存空間，再依三種應用情境，下載到民眾的個人電腦、地方政府臨櫃業務系統，或是第三方服務提供者（其他政府機關、國營事業及銀行）。</p> <p>以較為複雜的線上服務應用為例，假設民眾在某家銀行官網線上申辦信用卡，先在銀行的線上申請系統提出請求，銀行系統就會引導民眾至MyData，民眾通過身分驗證、授權MyData從政府機關下載資料，並暫存於MyData的個人空間，同時MyData也向銀行呼叫個人資料驗證金鑰序號，由銀行服務系統呼叫MyData取得民眾資料，同時民眾也被引導回到銀行官網，完成線上申請程序。</p> <p>MyData在民眾同意下從政府機關下載資料，暫存於MyData上的個人資料空間，一旦資料被存取，該資料就會移除，或是8小時內沒有任何存取動作，系統也會自動清除資料。民眾可以在MyData個人專區裡，查看資料的各種活動紀錄。</p> <p><span style="font-size:28px;"><strong>誰能用MyData拿資料？</strong></span></p> <p>許多產業可能對政府釋出的民眾個人化資料感興趣，不過現階段國發會試營運的MyData平臺以公務機關為主，使用資料的服務提供者包括中央部會、地方政府及國營事業，還有透過金管會和國發會合作，唯一以民營業者身分加入MyData平臺線上服務應用的銀行業者。</p> <p>至於為何銀行業者可以加入MyData平臺？主要是因為金管會代銀行業者和國發會協商，考量到銀行業對個資保護具有一定的嚴謹程度、公會自律，加上主管機關金檢等高度監督，因此開放銀行業者加入。</p> <p>依據國發會所公布的平臺介接作業要點，除了政府機關、地方縣市政府，一般大專院校需經教育部同意，銀行、聯徵中心及部會所屬國營事業，需經各目的事業主管機關同意，才能向國發會申請試辦介接MyData平臺。從作業要點來看，產業如想介接MyData平臺，或許可向主管機關表達，透過主管機關和國發會協商介接的可能。</p> <p>儘管現在國發會並沒有規畫讓其他民營業者介接MyData，不過，這不代表民間業者就沒有機會拿到民眾的資料，民眾自MyData平臺下載個人資料後，只要民眾同意下，還是可授權其他業者使用，但是列印出的文件資料不易辨別真偽，可能有偽造的風險。</p> <p>另外，在MyData的臨櫃核驗應用情境裡，雖然主要應用是方便民眾在臨櫃辦理時核驗資料，但是民眾也能將條碼及密碼提供給其他業者，授權其他業者至MyData下載資料，在這個應用情境中，資料的存取權是以MyData專用條碼及一次性密碼為依據。國發會並沒有限制使用條碼的存取者身分，尊重民眾的資料自主運用。</p> <p><span style="font-size:28px;"><strong>中央與地方跨機關資料交換有新管道</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:300px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/0820-%E5%B0%81%E9%9D%A2P3P4-500-%E8%95%AD%E4%B9%83%E6%B2%82.jpg" style="text-align: center; width: 300px;" /></td> </tr><tr><td> <p><strong style="color: rgb(105, 105, 105);">政治大學電子治理中心副主任蕭乃沂表示，政府可以先從申</strong><strong style="color: rgb(105, 105, 105);">請頻繁、但資料取得不便的地方，找出讓民眾有感的</strong><strong style="color: rgb(105, 105, 105);">MyData殺手級應用。</strong><span style="color: rgb(105, 105, 105);">（攝影／余至浩）</span></p> </td> </tr></tbody></table><p>目前民眾向政府機關申辦服務，多需要取得其他機關核發的證明文件，過去只能前往各機關取得服務需要的紙本證明文件，在便民趨勢下，儘管業務往來密切的機關間可能通過協議，建立點對點的資料查驗管道，但仍然缺乏一個共通的跨機關資料取得機制。</p> <p>「政府推動電腦化已相當久，各機關都已電腦化，但他們之間為什麼不講話」，這是政治大學電子治理中心副主任蕭乃沂一語道破政府機關間缺乏資料流通、共享機制的缺點。</p> <p>以民眾向C機關申請服務為例，因需要A和B機關資料，得先到A和B機關取得紙本資料，再到C機關申請服務，A機關要看A證件才能提供資料，B要看B證件才提供資料，C機關不看A和B的證明，只看A和B的資料。「從行政分權精神來看這是合理的，但是卻不便民的」，蕭乃沂說。</p> <p>他表示，現在通過MyData平臺，使用者線上先取得A和B機關的資料，再到C臨櫃辦理，將來如通過修法或其他方式進一步克服臨櫃的限制，讓C機關業務也能線上進行，就能達成A、B、C服務全程線上化。</p> <p>業界建議找出有感殺手級應用，建立安心的資料分享環境</p> <p>對民眾、政府和第三方服務提供者來說，對MyData嘗試建立的個人資料運用機制可能需要時間熟悉，目前MyData以試營運方式上線，一方面蒐集問題，滾動式調整，另方面藉由釋出少數和民眾相關的資料，先建立資料開放運用的示範，再逐漸擴大平臺釋出的資料及服務規模。</p> <p>不過，有鑑於個資濫用、個資外洩事件頻傳，民眾可能會擔心將自己的資料給第三方使用有風險，影響對MyData的資料運用機制的接受度。</p> <p>對此，台新金控資訊長孫一仕認為，要讓民眾願意和企業分享資料，要有足夠的誘因，以及能提出安全的保證，消費者會擔心提供資料出去，是不是會被濫用或外洩，企業若能滿足兩條件，就能取得更多資料，回饋客戶更好的服務。關鍵是心態的調整，要讓客戶覺得提供資料，能獲得更好的服務及產品。</p> <p>蕭乃沂則建議政府可先找出民眾使用頻率較高的業務，但申請很不方便的服務，在法規允許下，利用MyData平臺幫民眾解決資料取得問題，建立讓民眾有感的殺手級應用，才能吸引更多機關加入。此外，為了降低政府機關的抗拒心理，說明平臺的風險控管，提高其他機關加入的意願。</p> <p><strong style="font-size: 28px;">學界提醒得強化民眾了解風險，同時更嚴格管理資料運用</strong></p> <p>曾參與MyData政策研究，以及國內開放銀行策略推動的政大金融科技研究中心副主任陳恭認為，MyData是一種資料賦權概念，讓民眾有個人資料的使用權，但相對的有權就有責，政府應該引導民眾了解提供資料供第三方使用背後可能要承擔的風險。</p> <p>陳恭更建議，政府機關對資料集的提供和使用上，應該要有更周延的管理，以銀行業者線上服務為例，理論上，依金融服務的性質不同，申請時需要檢附的資料也理應不一樣，但銀行透過MyData取得相同的官方民眾財產資料，「這和MyData平臺要求服務提供者的最小化個資蒐集原則，可能會相抵觸。」他提醒得進一步檢視或細分管理。</p> <p>另外，目前MyData平臺只開放給資料的所有人自己使用，但是，部份服務的申請，如需要申請長照服務的老人家或行動不便者，可能需要代理人協助申請，陳恭建議，政府應開放適當代理機制，涉及政府資料敏感程度，以及代理人和被代理人之間的關係親疏。</p> <p>類似於MyData開放資料運用概念，目前國內在金融領域也推動開放資料，金管會推動的開放銀行(Open Banking)，鼓勵國內銀行開放銀行客戶資料供第三方業者使用，以帶動金融服務的創新，目前開放銀行即將進入第二階段，除了民眾帳戶餘額、交易歷史紀錄資料，也提供少數服務申請。</p> <p>比較兩邊推動上的差異；MyData以政府機關的資料開放運用為主，政府機關間使用API，在服務提供者方面，開放讓銀行加入，讓銀行可從MyData下載民眾資料，並提供線上信用卡、信貸、車貸申請等服務；反觀開放銀行第二階段同樣涉及MyData概念，採用Open API，但第二階段開放服務申則比較保留，僅有高速公路拖吊等少數服務開放申請。</p> <p>他認為，MyData和開放銀行都有銀行涉入，但兩邊管理步調不太一致，銀行在MyData提供線上服務，但在開放銀行第二階段僅有少數服務開放申請。政府應從整體角度推動開放資料運用。</p> </div></div></div>
2020/8/20 09:00作者蘇文彬https://www.ithome.com.tw/news/139396
【MyData企業實例：台新銀行】金融服務全程自動化有新途徑，優化顧客體驗簡化銀行作業創雙贏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「希望在客戶同意下，使用客戶的資料來提供更好的金融服務體驗」，台新金控資訊長孫一仕點出為何台新積極成為MyData首波合作串接的7家銀行之一，甚至一口氣推出最多服務的銀行。</p> <p>今年1月初，國發會宣布會在今年開始試營運MyData平臺，過去被政府機關視為敏感的民眾個人資料，現在只要民眾同意，就能透過該平臺將資料提供給第三方服務商，對第三方而言，有機會拿到民眾同意授權的政府個人化資料。</p> <p>多家銀行業者看到這個消息很感興趣，透過主管機關金管會提出串接平臺的需求，國發會考慮到銀行業的個資保護、資安要求及金檢等高強度監管水準，決定開放銀行業者加入MyData平臺，經過國發會、金管會及銀行討論，確認銀行線上服務如何與平臺介接，相關身分驗證、流程、資安保護、資料格式等等。</p> <p>7月底，MyData試營運上線，民眾只要到這些整合MyData平臺的銀行官網上，申請特定服務時，如信用卡、信貸、車貸、房貸、資料維護、線上補件，就能利用MyData將自己在政府手上的個人資料，直接授權提供給銀行業者使用。國發會更預告，不只7家，未來還將有十多家銀行也會加入串接。</p> <p><span style="font-size:28px;"><strong>簡化客戶使用線上服務體驗</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:300px;"><tbody><tr><td><strong style="font-size: 28px; text-align: center;"><img alt="" src="https://s4.itho.me/sites/default/files/images/986-%E5%B0%81%E9%9D%A2P5-600-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 300px;" /></strong></td> </tr><tr><td> <p><span style="color:#696969;"><strong>台新金控資訊長孫一仕表示，透過MyData推動個人</strong></span><span style="color: rgb(105, 105, 105);"><strong>資料自主運用，能讓民眾慢慢體驗，在安心的環境</strong></span><span style="color: rgb(105, 105, 105);"><strong>下，分享個資可以帶來更好的服務體驗。</strong>（攝影／洪</span><span style="color: rgb(105, 105, 105);">政偉）</span></p> </td> </tr></tbody></table><p>「加入MyData平臺，讓銀行提供更簡單、方便的服務」，孫一仕說。</p> <p>舉例來說，國內銀行很早便開放線上信用卡申請，雖然申請時可以線上填寫表格，但還是要準備紙本財力證明資料，再郵寄至銀行申請，而現在透過MyData，銀行業者直接取得客戶授權提供的所得稅資料，簡化消費者準備資料的過程，直接省下申請資料郵寄過程。</p> <p>而在後端作業上，也可以簡化資料處理過程，以線上申請信用卡為例，台新現有的線上信用卡申請服務，當消費者寄來的資料送到銀行，得經過人工登打或OCR處理後，將資料集中存放，再定期將資料匯入申辦的進件系統中。台新為MyData平臺另開一個流程，因銀行是以API和MyData平臺介接，並提供json格式資料，消費者申請資料進來後，系統會先存放在另一處資料源，由於MyData提供的是電子資料，因此少了資料人工登打的處理過程，進件系統可以直接取得所需資料，來執行後續的自動化申請程序。</p> <p>因此，台新銀行在收到客戶申請資料後，在進件系統之前先分為兩個資料源，一個資料源專門存放經過登打或OCR處理的申請資料，另一個資料源用以存放MyData的電子化資料，對應處理不同的資料。</p> <p><span style="font-size:28px;"><strong>未來擬提供更多服務</strong></span></p> <p>台新銀行目前介接MyData的5項線上服務，包括線上信用卡、信貸、房貸、車貸及客戶資料維護，消費者除了可在MyData平臺申請之外，也能從台新銀行的官網申請，選擇以MyData提供資料，在台新銀行官網輸入身分資料後，系統會引導消費者至MyData下載資料，並同意授權台新銀行使用。</p> <p>台新根據MyData首波開放的31項資料集，評估後才決定了第一波先整合哪些線上服務，孫一仕表示，下一階段銀行將和金管會、國發會溝通討論，希望能釋出更多、更詳細的民眾資料，例如現在只釋出民眾勞保保額資料，但銀行希望可以取得12個月勞保繳款資料，或是更詳細的所得資料，供銀行評估推出更多的服務，例如法人戶服務。</p> <p>對於MyData推動的資料自主運用，孫一仕看好在服務層面上具有發展潛力，但他認為，民眾提供資料的多寡，會決定能得到多少加值服務。要讓客戶放心和企業分享個人資料，關鍵是企業能否提供足夠的誘因和安全的保證，消費者會擔心資料對外提供後可能會遭到濫用或洩露，企業如果能滿足兩條件，就能取得更多資料，回饋客戶更好的服務。他認為，這並非技術問題，而是心態調整，銀行須讓客戶覺得提供資料，能獲得更好的服務、產品。</p> <p>民眾自主運用政府資料，將資料提供給第三方服務提供者，雖然享受更便利的服務，但孫一仕也提醒，民眾也應對風險有足夠的認知，在個人同意之下，將資料交給第三方使用，當發生個資濫用、洩露事件，民眾將需承擔部分責任。</p> <p><span style="font-size:28px;"><strong>開放資料應用不應只聚焦特定產業</strong></span></p> <p>國內銀行業者在MyData平臺中扮演服務提供者角色，取得民眾資料提供金融服務，是資料的使用方，不像在金管會推動的開放銀行政策裡，銀行是扮演資料提供者，必須開放資料供第三方使用。</p> <p>孫一仕表示，MyData讓擁有個人資料的客戶能夠自主使用資料，和Open Data的理念接近，銀行將資料開放給消費者認可的單位使用。理論上，所有擁有資料的單位，不分公私部門都應將資料開放出來，在民眾的自由意願下使用。「真正擁有資料的是客戶，只要在客戶的同意下，就應開放出來」。他相信資料的傳送流動，可以激發化學反應。</p> <p>他認為，開放資料應從資料擁有者的角度來看，而不是從擁有資料的企業來看，不能只看到個別產業擁有大量資料，卻忽略了其他領域有更多資料。以澳洲為例，澳洲政府推動跨產業開放資料，金融資料的開放只是起步，下一步將推到能源、電信、零售等產業。</p> <p>儘管距離跨產業資料共享可能還有些距離，但孫一仕相信，將來仍有可能達成。不論是現在推動的MyData或是Open API，隨著不斷的實驗、試行，讓消費者慢慢體會在安全的環境下能獲得的益處，比如用MyData申請服務有更好的體驗。將來透過Open API給第三方變化資料的運用。</p> <p>他樂觀相信，隨著種種的實驗，讓消費者慢慢改變心態，不再將提供資料視為毒蛇猛獸。這需要時間慢慢去改變，如同MyData試驗想讓消費者感受到好處、安全，這也是台新銀行投入的原因，在資料交換、處理上累積足夠實戰經驗，才能說服消費者安心分享資料。</p> </div></div></div>
2020/8/20 09:00作者蘇文彬https://www.ithome.com.tw/news/139397
【MyData地方政府實例：桃園市政府】中央與地方跨機關資料交換新作法，臨櫃申辦不只簡化更能無紙化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在六都中，桃園市政府是第一個加入MyData平臺的地方政府機關，靠著MyData簡化民眾跨機關取得資料的不便，優化桃園市政府便民服務。</p> <p>關鍵推手桃園市資訊科技局長陳崗熒表示，桃園市政府雖然透過網路e指通提供各種市民所需的線上服務，讓市民直接線上申請、繳費等，但這些線上服務和其他機關間的平臺，彼此沒有貫穿，直到MyData平臺推出後，透過和統一的平臺介接，就能跨機關取得服務所需的民眾資料。</p> <p>加入MyData之前，民眾使用網路e指通進行線上查詢、繳費或是申請服務，必須先準備好各種資料，這些資料可能散布在不同機關，陳崗熒指出，由於機關間沒有橫向串連，民眾取得附件資料，需向各個機關申請，再將準備好的資料上傳至服務系統。現在加入MyData平臺後，民眾只要在MyData準備各機關的資料，市府就能透過MyData一次取得資料。</p> <p><span style="font-size:28px;"><strong>降低多機關資料取得的複雜度</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:300px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/0820-%E5%B0%81%E9%9D%A2P6-300-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 300px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><strong>桃園市資訊科技局長陳崗熒表示，MyData平臺推</strong></span><span style="color: rgb(105, 105, 105);"><strong>出，地方政府自己的線上服務，就能透過統一平臺的</strong></span><span style="color: rgb(105, 105, 105);"><strong>串接，跨機關取得服務所需要的民眾資料。</strong>（攝影／</span><span style="color: rgb(105, 105, 105);">洪政偉）</span></p> </td> </tr></tbody></table><p>「以前民眾申請線上服務，需要準備多種附件佐證資料，雖然這些資料都和個人有關，而且機關都有保留，但民眾仍要進行很多動作才能完成，現在透過MyData就能取得資料，簡化資料取得的問題。」陳崗熒說。</p> <p>以民眾在網路e指通上申請身心障礙停車識別證為例，現在民眾已可選擇透過MyData提供資料，系統會引導至MyData平臺，民眾只要通過線上身分驗證並同意，資料就會提供給桃園市政府取用，完成線上申辦過程。</p> <p>桃園在網路e指通網站上，整合了旗下各機關提供的線上服務，包括581項便民行動申請服務，以及71項的線上申辦服務。為了讓這個入口網站能和MyData平臺介接，桃園市政府去年花費相當多的時間，先對府內機關進行深度的需求訪談，掌握不同機關線上服務，例如監理站、稅務局等單位，業務屬性不同，業務需要的表單資料也不同，並瞭解哪些資料能從MyData取得。另外，因為剛開始對MyData平臺不熟悉，桃園市政府也花了不少力氣，完成系統介接。</p> <p>儘管如此，但陳崗熒認為，因為市府已有一個單一服務入口平臺，透過e指通和MyData介接，可省下個別的局處機關和MyData介接的過程，也降低工作的複雜度。</p> <p>目前桃園市已有6項線上服務可使用MyData，例如地政士開業（變更）登記申請、核發社會工作師執業執照、身心障礙者專用停車位識別證、中醫助孕養胎調理申請等服務。</p> <p>不過，儘管網路e指通和MyData平臺介接，降低民眾及市府取得跨機關資料難度，但因為e指通、MyData有各自的身分驗證機制，民眾使用兩個平臺仍需完成兩邊的身分驗證。</p> <p>對此，陳崗熒認為網路e指通提供市民線上服務，MyData平臺提供e指通線上服務所需跨機關資料管道，儘管目前兩者的身分驗證沒有整合，但都能在手機上完成，對民眾的使用不會造成不便。</p> <p><span style="font-size:28px;"><strong>臨櫃服務</strong></span></p> <p>桃園市政府也在臨櫃資料核驗和MyData平臺合作，現在已有4項業務可利用MyData的電子資料取代紙本資料，完成臨櫃資料的核驗。</p> <p>陳崗熒表示，過去民眾臨櫃辦理服務，可能要先到不同的機關，甚至依順序不同申請各種書件謄本資料，雖然市府後來基於便民推出免書證免謄本櫃檯，櫃檯人員透過後端系統至市府各機關取得資料，並且取得的資料有限，市民利用MyData暫存資料後，再授權市府臨櫃服務撈取資料，且取得的資料也較為齊全。</p> <p>臨櫃資料核驗整合MyData服務之後，在桃園市的經驗中，不只是對民眾有利，陳崗熒更點出，除了簡化民眾臨櫃申請服務流程，經由系統化的處理，也能大幅減輕櫃檯服務人員工作量。</p> <p><span style="color:#3399ff;"><strong><span style="font-size:28px;">臨櫃申辦改用手機授權取資料，民眾不用準備紙本文件</span></strong></span></p> <p class="rtecenter"><strong><span style="font-size:28px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/986-%E5%B0%81%E9%9D%A2P6-600-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%A1%83%E5%9C%92%E5%B8%82%E6%94%BF%E5%BA%9C.jpg" style="width: 600px;" /></span></strong></p> <p><span style="color:#696969;"><strong>民眾前往櫃檯辦理服務，現在可憑MyData平臺提供的條碼，取代紙本資料，櫃檯人員掃碼後，至MyData平臺取得民眾的資料。 </strong> 圖片來源／桃園市政府</span></p> <p>目前桃園市政府共有4項臨櫃業務可使用MyData，包括個人使用牌照稅、房屋稅、地價稅繳納證明；補發個人使用牌照稅、房屋稅、地價稅當期繳款書；個人當期房屋稅籍證明；個人房屋稅、地價稅課稅明細表。</p> <p>在還未導入MyData之前，民眾至櫃檯辦理業務，需要持身分證正本，櫃檯人員驗證身分，再輸入民眾的身分相關資料後，產出申請書，由民眾在電子簽名板上簽名，完成申辦程序。</p> <p>而導入MyData之後，民眾可先在MyData平臺從政府機關下載好個人的相關資料，在臨櫃辦理服務時，將MyData產生的動態條碼交由櫃檯人員掃描，再輸入一次性密碼，授權櫃檯人員從MyData取用資料。</p> <p>儘管業務流程中可能變化不大，但是從MyData平臺取得電子資料，可取代紙本資料，減少民眾準備紙本資料的辛苦，也能簡化市府後檯文件處理流程，同時縮短臨櫃辦理的時間。</p> </div></div></div>
2020/8/20 09:00作者蘇文彬https://www.ithome.com.tw/news/139398
為克服工廠少量多樣的生產挑戰，宜鼎靠IT打造一條龍資訊服務
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「訂單只有5片都要下單做」這是臺灣一家工業儲存裝置製造公司，每天應付少量多樣訂單的生產，所要面對的營運考驗，但為了讓工廠能應付處理各種訂單、急單，不只要具備有靈活彈性的生產調度的能耐，甚至還得因應後疫情時代新常態，加快集團轉型腳步，這也成了宜鼎國際資訊部門所要面對的IT大挑戰，要透過持續優化流程改造IT加以解決。</p> <p><span style="font-size:28px;"><strong>長年少量多樣的訂單型態，讓IT成為滿足營運所需的重要推手</strong></span></p> <p>與其他製造業不同，由於宜鼎的工控產品，大多屬於少量多樣的訂單型態，如工業用SSD等，單是建立的產品料號就有多達11萬項，一共累積至少10萬張BOM表，更得應付每天超過200多筆生產工單，來滿足這些客製化需求，以服務全球逾3千家企業顧客。</p> <p>廖德璋在2014年接掌資訊主管一職時，當時，宜鼎營運發展正從草創進到成長擴張的階段，因此，他便依據公司當時的發展，來制定相對應的IT資訊策略與執行計畫。身為臺灣第一家工控記憶體模組供應商，多年來，宜鼎的經營腳步不只與時俱進，也持續運用IT優化生產流程，就在兩年前，武漢肺炎疫情還沒出現前，宜鼎就開始推動組織內部數位轉型，因為宜鼎高層相當清楚，工業4.0的關鍵是IT與數位化，早在多年前，宜鼎就展開一系列IT優化改造工程，來為之後的轉型路做準備，為此，還特地升格IT，改設資訊處，升為內部一級單位，並由宜鼎國際資訊處副總經理廖德璋，一肩擔起了這個關鍵任務。</p> <p>他回憶，2014年剛上任時，當時資訊部門員工僅有3人，所以很多時候，IT常常一人當多人用，因此，他進來第一件事，就是先重新安排工作職務與建立明確分工，並依據系統功能將關鍵核心業務概分為ERP與非ERP兩類。即使後來，IT人員增加到現在的14人，他依然維持這樣的作法，「ERP是製造業的核心命脈，得要優先確保它可不中斷且穩定運作。」他說。</p> <p>宜鼎在2005年成立隔年，便導入了ERP系統，後來隨著營運成長，在使用5年之後也更新一代，之後就一直延用到現在，即使10年來都用一套ERP系統，宜鼎資訊部門也持續透過在既有系統上，增加各種客製功能，來回應業務單位不同需求。</p> <p>由於宜鼎的資訊服務系統，至今多數是自行開發，包括CRM、PCS、PLM系統等，僅少數系統例外，如ERP，但長期下來，隨著公司發展規模逐漸壯大，需要加入更多的客製功能，來滿足業務上的推動，使得這些系統變得日益複雜而難以整合，這也成了宜鼎IT團隊的另一個考驗。為了要解決這個難題，廖德璋先是界定問題，並重新審視梳理系統，讓各自系統及其資料庫能夠達成資料整合，再透過API方式串接，逐步整合這些系統的功能與服務。</p> <p>應用系統與服務在切分後，也讓整個系統運作更具擴充與延展性，但是要幫助這家公司從成長期，要跨越到壯大期，甚至進到成熟的發展階段，單靠現有IT架構，已無法跟上公司發展成長。因此，宜鼎在2013年時決定導入虛擬化技術，從集中整併IT架構做起，在廖德璋接掌之後，更全面擴大導入，將舊有的系統與新系統，逐一轉換到虛擬化環境，就連關鍵核心系統ERP，後來都改用VM方式，來提供原有的資訊服務，之後更將其進一步延伸到了災難恢復。</p> <p><span style="font-size:28px;"><strong>引進HCI超融合架構建立新的災難恢復機制，確保工廠生產不中斷</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%BD%E8%A8%80_%E5%BB%96%E5%BE%B7%E7%92%8B_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 350px;" /></td> </tr><tr><td> <p><span style="color: rgb(105, 105, 105);"><strong>宜鼎國際資訊處副總經理廖德璋表示，製造業IT必須要走在最前線，甚至必須要跑比老闆更前面，才能夠幫助公司持續發展成長。 </strong> （攝影／洪政偉）</span></p> </td> </tr></tbody></table><p>由於宜鼎在異地備援機制，是採用主／備援中心的模式，在汐止總部設置主要資訊機房，另一座異地備援的機房則設在宜蘭廠，一旦汐止的資訊服務中斷時，還可以切換到宜蘭備援機房，來支撐工廠生產。</p> <p>儘管使用虛擬化技術，簡化了異地災難備援的建置，但卻遇到無法很快將中斷系統或服務恢復的問題，廖德璋表示，先前一旦主機房的服務中斷後，至少半天到一天，備援機房才能完成接手，這段停機期間，就可能造成公司營運受影響。後來，他決定採用HCI超融合架構，來建立新的災難恢復機制。</p> <p>在2018年導入HCI架構後，宜鼎先是部署了具有6臺節點主機的HCI叢集，並優先將採取經常備份，屬於核心服務的Tier 1系統，例如ERP、CRM、MES系統與重要的檔案伺服器都放進HCI環境執行。他說，透過HCI架構，現在即使汐止機房因停電停機時，另一間宜蘭廠在30分鐘內就可以將系統全部重啟，並且保持兩地資料同步在一小時內的誤差，可將停機影響降到最低，確保產線運作維持穩定。</p> <p>他表示，使用超融合架構有幾個好處，首先是擁有更大擴充彈性，其次，它的資料互相抄寫粒度更細膩，而且壓縮功能較好，資料壓縮後，不僅加快兩地資料抄寫，資料更新的時間差也大大縮短，且在反應速度上，較傳統虛擬機器更快。</p> <p>不僅如此，在歷經多次IT架構調整，宜鼎2年前也展開了混合雲、多雲的網路服務架構的部署，目前該公司不少非關鍵性應用已搬上公有雲，包括文書處理、郵件與視訊會議服務等，至於關鍵性應用則繼續放在本地私有雲環境。</p> <p>除了翻新內部IT架構，資訊部門後來也因應該公司朝向智慧工廠發展，除了在工廠導入MES製造執行系統之外，這幾年，更從接單流程、交期預估到生產排程著手，加入各種智慧化管理方式，以便於讓工廠運作能更有效率。</p> <p>雖然與傳統IT相比，工廠更注重廠區內OT機臺管理與產線數據蒐集，並做有效運用，來提高生產效率，但不論如何，廖德璋認為，IT任務始終不變，就是維持公司營運成長，「我們沒有慢的理由」他再三強調，製造業IT必須要走在最前線，甚至必須要跑比老闆更前面，才能夠幫助公司持續發展成長。</p> <p><span style="font-size:28px;"><strong>打造接單到生產一條龍資訊服務，以克服少量多樣生產挑戰</strong></span></p> <p>尤其，為了克服少量多樣生產難題，他們從前端的接單流程下手，設計一套從接單、交期預估，到整個生產排程串接的一條龍資訊服務，更將這個服務稱為i發單。</p> <p>以往，生管部門接單後，便會根據料況、產能情況，回覆適當的交期給前線的業務人員，但有時得重新調整交期，例如因應急單、插單等變動情況，因此常常得由老練資深生管人員才能接手處理。但為了打造資訊服務到生產一條龍作業，資訊部門先是建立一套工單回復交期與發單系統，他們從過去接單、庫存料況、交期等相關資訊，來設計出一套基於業務邏輯與生產規則的判斷方式，可提供優化發單建議，作為輔助生管人員給出預估交期的參考依據。</p> <p>廖德璋表示，以前需由生管人員到各系統逐一查詢後，才能夠根據判斷回覆對方交期，現在有了這套系統，直接能將這些參考資訊統一集中在同一系統介面上即時呈現，讓使用者一目了然，而且還可依據接單狀況、料件庫存、採購、成品庫存情況加以綜合判斷後，自動給出一個預估交期時間，讓生管人員可以依據它來決定是否要發工單，以利於後續作業進行。</p> <p>只是這階段產生出的發單建議，仍需要人工處理，直到去年底，i發單服務發展到了上線的第2階段，進一步提升自動化程度，他表示，這套系統至今已可根據客戶客製需求、工單開立規則與多張訂單交期合併，做到自動開立製令。</p> <p>他還指出，現階段已有7～8成訂單都可以透過這樣的方式完成，讓業務員可以很快向顧客回報，而且交期預估的準確度有達到9成以上。</p> <p>甚至在導入i發單後，不僅在處理訂單作業效率提升28%，還因而加快了工廠SMT製程的排程作業，讓經過SMT加工完的PCB電路板，能夠很快進到下一階段的功能測試、成品包裝與檢測等步驟。</p> <p>舉例來說，以前，一條SMT產線的生產排程，從補料、確認料況、領料，完成簽核，通常需要近兩個工作日，約13小時，但採用i發單服務後，現在僅須原來一半時間，約7.5小時就完成，大大縮短產線作業處理時間。再下一階段，除了要提供智慧化交期查詢，還要做到可依據成品產能來計算生產排程，生管人員可以更快確認工單、回覆交期，接著進到產線生產。</p> <p>除了提供整合性資訊服務，宜鼎近來開始於工廠內導入行動化，讓作業員只須簡單透過一臺平板或簡易電腦，就能完成製造現場盤點與卡控作業。並藉由RWD網頁設計，能根據系統介面與使用裝置，來自動調整呈現方式，讓操作員可在產線、倉庫及物流成品出貨區作業上來使用，來提高盤點正確率以及工作效率。</p> <p>後來，宜鼎資訊團隊更運用盤點系統與行動化，來建立生產過程的全序號管理機制，從而實現可追溯的生產履歷。他表示，這個生產履歷服務，不只可用來追溯工控品項從生產到出貨所有的過程記錄，甚至連每片SMT電路板生產的每一個環節都能追蹤得到，因此一旦有某一批貨品質或製程出現問題，馬上就能回溯，調出所有生產過程記錄，迅速查出有問題的物料或製程環節，將損害降到最低。</p> <p>由於今年COVID-19全球疫情爆發，加上中美貿易戰的衝擊，加速企業轉型需求，這也讓宜鼎加快轉型的腳步，特別是在後疫情時代，廖德璋也提到說，許多思維和作法都要重新調整，像是以前同一個產品品名能在全球通用，但現在就行不通，例如工廠將每批產品出貨給客戶前，得先須區分是屬於中國或美國產地，就連很多物料也都要一分為二，無法再像以前同一種用料，其產品就能銷往全球，如此一來，這也使得產線上的生產管控比以前更加複雜。這也成了IT部門下一階段的新挑戰，他目前還在摸索，面對後疫情時代帶來的製造布局改變，該如何運用IT持續幫助工廠加強生產管理，能夠做到有品質的交期，履行對於客戶承諾。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>宜鼎國際資訊處副總經理廖德璋</strong></p> <p>學歷：淡江大學資管碩士</p> <p>經歷：曾先後於長榮集團、研揚IT服務多年，2014年10月進到宜鼎國際擔任副總經理，負責掌管資訊部門，除了一手規畫與主導宜鼎IT架構發展，在他的領軍之下，更持續透過IT改造與流程優化，提升工廠生產效率，來強化少量多樣的生產力，未來更要幫助公司全面升級轉型</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>宜鼎國際</strong></p> <p>● 地址：新北市汐止區大同路一段237號5樓</p> <p>● 成立時間：2005年</p> <p>● 網址：<a href="http://www.innodisk.com">www.innodisk.com</a></p> <p>● 主要業務：以生產工業級嵌入式快閃記憶體、記憶體解決方案為主</p> <p>● 員工數：約600人</p> <p>● 資本額：6.5億元</p> <p>● 年營收：73.6億元（2019年）</p> <p>● 創辦人：李鐘亮</p> <p>● 董事長兼總經理：簡川勝</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>● 資訊部門主管職稱：資訊處副總經理</p> <p>● 資訊部門主管姓名：廖德璋</p> <p>● 資訊部門人數：14人</p> <p>● 資訊部門分工：營運資源、基礎設施、應用技術開發</p> <p>● IT預算：約3,000萬元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>● 2006年：導入ERP/BPM系統</p> <p>● 2010年：升級ERP及導入BPM系統</p> <p>● 2013年：導入伺服器虛擬化，集中整併IT架構、導入第二代MES系統</p> <p>● 2014年：建置各項Web應用系統</p> <p>● 2015年：自行建置iCRM系統、完成綠色供應鏈暨零件承認系統導入</p> <p>● 2016年：完成將核心系統ERP主機轉換到虛擬化環境</p> <p>● 2018年：完成第一階段「i發單」導入、完成HCI架構部署及建立災難復原異地備援機制、建置混合雲多雲架構、工廠出入庫盤點作業逐步導入行動化</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960_liao_de_zhang_hong_zheng_wei_she_.jpg" width="960" height="420" alt="" title="宜鼎國際資訊處副總經理廖德璋。　（攝影／洪政偉）" /></div></div></div>
2020/8/20 09:00作者余至浩https://www.ithome.com.tw/people/139399
漫談希爾伯特曲線
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於初學程式的人來說，透過一些繪圖的處理來認識程式設計的元素，是常見的作法，例如，在接觸遞迴觀念時，也經常透過碎形圖案的繪製來熟悉遞迴的實作，而我這次想特別介紹的希爾伯特曲線（Hilbert curve），就是常見的碎形圖案之一。</p> <p>基本上，這種曲線是一種碎形曲線，若要從程式設計上，透過遞迴來實現，我們可使用L-system正式地描述，而這亦是Google S2幾何程式庫中空間索引演算的原理。</p> <p><span style="font-size:28px;"><strong>希爾伯特曲線</strong></span></p> <p>希爾伯特曲線不單只是個美麗的圖像藝術，它與皮亞諾曲線（Peano curve）、Z階曲線（Z-order curve）等，都想解決一個數學難題：可否使用一條無限長的線，連接空間中全部的點？</p> <p>不過，開始介紹希爾伯特曲線之前，我們可以先來談談皮亞諾曲線。它是Giuseppe Peano在1890年提出，依照當時大家對於維度的認識而言，曲線的維度是1，正方形的維度是2，而「線」不可能填滿正方形，然而，皮亞諾曲線在極限情況下，卻是個可以填滿正方形的曲線，也就是說，若以碎形維數計算（可參考先前<a href="https://www.ithome.com.tw/voice/110732" target="_blank">專欄〈遞迴、碎形與數學〉</a>），皮亞諾曲線的維度會是2。</p> <p>至於希爾伯特曲線，是由David Hilbert在1891年提出，也是個可以填滿正方形的曲線，維度是2，與皮亞諾曲線相比之下，差異之一在於，希爾伯特曲線的每個頂點可屬於一個小正方形。</p> <p>例如，一階希爾伯特曲線是個通過四個網格中心點的⊓曲線，二階是透過將一階的曲線位移、旋轉，畫出四個曲線並頭尾連接而成，依此類推，三階是透過將二階的曲線位移、旋轉、頭尾連接而成。</p> <p>顯然地，上述的每一階都是小任務，程式設計上，我們可以透過遞迴來簡單地實現，相關圖片與程式碼可參考<a href="https://bit.ly/30wUQRy">〈希爾伯特曲線〉</a>。</p> <p>我在先前<a href="https://www.ithome.com.tw/voice/137795" target="_blank">專欄〈碎形與L-system〉</a>中談過，若想以簡約語言來記錄碎形生成過程，可以採用L-system制定正式文法。因此，若公理為L，轉動角度為90，那麼，希爾伯特曲線的L-system衍生規則是「L→−RF+LFL+FR−」與「R→+LF-RFR-FL+」。</p> <p><strong><span style="font-size:28px;">打造希爾伯特龍</span></strong></p> <p>最初提出的希爾伯特是二維版本，實際上，也可以擴充為三維曲線。</p> <p>例如，一階可由z軸的上下兩個曲線，連接上下同一個(x, y)座標的頂點來構造；類似的道理，二階是透過將一階的曲線旋轉、位移與連線，三階是透過將二階的曲線旋轉、位移與連線，如果要使用L-System描述，可參考<a href="https://bit.ly/30EqNHo">〈lsystem3_collection〉</a>。</p> <p>而三維的希爾伯特曲線，理論上，可填滿整個立方體，例如，在<a href="https://bit.ly/3fSPxlJ">〈Three.js WebGL 3D Hilbert curve〉</a>中，就有三維版本的希爾伯特曲線的示範，其中，亦有平滑版本的曲線，於是，這就讓我有了個靈感：如果這曲線是一條填滿整個立方體的龍，而且，還可以列印出來的話，會有多酷呢？</p> <p>為了能構造龍身，曲線必須連續，而希爾伯特曲線滿足這個條件；另一個問題是，原本的希爾伯特曲線轉角處是90度，而作為一條龍，龍身直接轉90度可不好看，因此我必須先令曲線平滑，這時，我可以使用貝茲曲線（Bezier curve），取轉角兩側兩個點，加上轉角處45度往外延伸上的一個點，就有了三個控制點，透過貝茲曲線公式內插，就可以求得平滑的希爾伯特曲線。</p> <p>為了令龍更有真實感，龍身必須隨著曲線轉動，因而不能單純連接曲線上每個點，這需要有個路徑推移的模組，可以計算龍腹與龍背等必須轉動的角度。由於L-System、貝茲曲線與路徑推移模組，在我的dotSCAD程式庫中都有了，因此，實現第一個版本的<a href="https://bit.ly/30AGL5p">希爾伯特龍</a>，並不困難。</p> <p>只不過，在第一個版本當中，龍身上的麟片過多，算圖耗費時間很長（十幾個小時），而且龍麟因為龍身的轉動，會產生各個角度，對熔融沉積成型（FDM）的3D列印機來說，列印上難度太高了，因而我又打造了第二個低面數的<a href="https://bit.ly/2BlfyLr" target="_blank">希爾伯特龍</a>，列印出來算是帥氣，也有了幾分幾何之美。</p> <p><span style="font-size:28px;"><strong>空間填充曲線</strong></span></p> <p>不管是二維或三維，都可以使用一條希爾伯特曲線來填滿，意味著希爾伯特曲線是一種空間填充曲線（Space-Filling Curve），代表了二維或三維的資訊，可以使用這類曲線來編碼，換言之，這類曲線具有「降維」的特性。</p> <p>例如，在地圖應用程式中，若使用者想搜尋目前位置附近的餐廳，透過查找資料庫中全部的餐廳，並且計算出相對位置小於某範圍的方式，雖然可行，然而，會因資料量過於龐大而顯得沒有效率；此時，如果我們可以將地圖切割為小範圍的格子，並且為這些格子編上索引，之後在查找資料時，就可以根據這些索引，只搜尋格子內的資料，而能增加查詢效率。</p> <p>這時就會有個疑問，為什麼要用希爾伯特曲線？其他曲線不行嗎？我在先前<a href="https://www.ithome.com.tw/voice/137054" target="_top">專欄〈隨機演算之美〉</a>中提過的哈密頓路徑（Hamiltonian path），不也是在求不重複地走過每個網格的路線？甚至更簡單地，逐列由下而上繪製S形曲線，不也能填滿整個空間嗎？</p> <p>要能做為有效率的空間索引曲線，降維只是其中一個要求，因為，希爾伯特曲線還有的另一特性是「穩定」，也就是在階數變化時，某點在曲線中相對的位置，不會有過劇的變化。</p> <p>例如，我們在<a href="https://bit.ly/2CA3NS0">〈高效的多維空間點索引算法〉</a>中，就可以看到：如果使用S形曲線的話，階數變化時，某點的位置會是忽左、忽右地變化；然而，若是希爾伯特曲線，變化就會很小。</p> <p>在該篇文件中，我們也可以看到，Google的S2 Geometry程式庫中，是基於希爾伯特曲線進行空間索引；此外，我們還可以看到：Geohash採用的Z階曲線也是一種空間索引，而且，它具有一個特性：某點附近的區域，編碼後的雜湊值總會有相同的前置，而且，相同的前置越長，表示越接近，這就適合用來快速搜尋鄰近的區域。</p> <p><span style="font-size:28px;"><strong>出自好奇的一連串探索</strong></span></p> <p>會有這一連串的探索，主要是來自我實現出希爾伯特龍後的一個好奇：希爾伯特曲線最初是為了什麼而發明出來的？</p> <p>事實上，常作為遞迴練習對象的科赫曲線（Koch curve）、龍曲線（Dragon curve）、謝爾平斯基曲線（Sierpiński curve）等，其實，也都是空間填充曲線，或許各自去探究的話，也都會有各個有趣的事物與應用。</p> <p>除此之外，我還有一個有趣的事想跟大家分享。據說有個遊戲玩家運用了希爾伯特曲線，將《薩爾達傳說曠野之息》的完成度，從98.59%拉到100%，有興趣的話，可參考<a href="https://bit.ly/39fsSxy">〈Using Hilbert Curves to 100% Zelda〉</a>。</p> <p>看來這類空間填充曲線真有其意想不到的用途，不只是畫出來好看而已呢！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%81%9E%E8%BF%B4">遞迴</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E5%B8%8C%E7%88%BE%E4%BC%AF%E7%89%B9%E6%9B%B2%E7%B7%9A">希爾伯特曲線</a></div><div class="field-item odd"><a href="/tags/hilbert-curve">Hilbert curve</a></div><div class="field-item even"><a href="/tags/%E7%A2%8E%E5%BD%A2%E5%9C%96%E6%A1%88">碎形圖案</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2020/8/20 09:00作者林信良https://www.ithome.com.tw/voice/139401
MyData趨勢進臺灣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/986-mydatafeng_mian_p1-open-960x420.jpg?itok=Tm2bJ3Fl" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年美國、英國、芬蘭、日本等國家相繼推動資料自主使用的概念，釋放政府、金融、健康、能源等領域資料潛力，這股風潮也吹進臺灣，從健康醫療、金融，現在吹向政府</p> </div></div></div>
2020/8/20 09:00作者蘇文彬https://www.ithome.com.tw/article/139404
【臺灣資安大會直擊】從區塊鏈架構剖析4大類常見駭客攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>區塊鏈發展至今，歷經了多次變革，最初主要作為比特幣的底層技術，而後出現了區塊鏈平臺以太坊（Ethereum），開發者開始能在區塊鏈上開發多元應用，甚至近年來，區塊鏈逐漸走到不同場域，比如加密貨幣IOTA，就是針對IoT應用所設計，許多現實生活中的服務，也透過區塊鏈走向虛擬化，尤其近期受到廣泛討論的去中心化金融（Decentralized Finance，DeFi），就是在鏈上提供金融服務的作法。</p> <p>在區塊鏈應用愈趨多元且蓬勃發展下，隨之而來的資安攻擊，也成為開發者需小心慎防的威脅來源。現任Line資安工程師，且具有超過3年網路安全、區塊鏈安全滲透測試經驗的Vic Huang，就將區塊鏈架構分為資料層、點到點網路層（P2P network）、共識層及應用層，分別列舉各層中常見的駭客攻擊手法，並以具代表性的案例來說明資安防護的重要性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B0%A1%E5%A0%B1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Vic%20Huang.JPG" style="width: 700px;" /></p> <blockquote><p>區塊鏈架構各階層可能遭遇的資安攻擊。</p> </blockquote> <h3><span style="color:#FF8C00;">資料層威脅：小心社交工程騙私鑰</span></h3> <p>首先，在資料層常見的攻擊手法，包括惡意軟體、釣魚攻擊、不安全的網路位址、粉塵攻擊（Dusting）等。Vic Huang表示：「對使用者來說，在資料層中最重要的就是私鑰，所以駭客會利用社交工程、惡意軟體等手法來騙取私鑰，進而掌握用戶的數位財產。」也就是說，在資料層中，駭客攻擊目標大多以用戶私鑰為主，用戶需妥善保護私鑰不被取得。</p> <p>但同時，Vic Huang也提醒，私鑰雖重要，但也不要過度保護，以避免私鑰不慎遺失導致錢包內的資金無法取回。比如比特幣交易所QuadrigaCX創辦人Gerald Cotten，就是在 2018年底在印度旅遊時驟逝，導致交易所冷錢包的私鑰丟失，積欠了客戶價值約1.9億美元的加密貨幣資產。</p> <p>除了需妥善保管私鑰，Vic Huang也建議，用戶利用私鑰生成器網站生成自己的私鑰時，不要用非官方的服務，尤其是WalletGenerator.net、BitcoinPaperWallet.com、BitAddress.Org等網站，因為這些網站使用相同的原始程式碼進行二次開發，而這些程式碼也已經被發現存在漏洞或後門程式，比如WalletGenerator.net提供的生成器服務，允許同一組錢包的公、私鑰，重複發送給多名用戶，而非獨一無二且隨機生成。</p> <p>不只個人用戶，企業內也會有私鑰管理的需求，需遵照一套私鑰使用的規則，通常包含5個角色，分別是私鑰的擁有者（Owner）、保管者（Holder）、私鑰（Key）、驗證者（Validator）及執行者（Operator）。當企業老闆、高管（Owner）需要使用私鑰時，需先經由驗證者簽核，再帶著執行者去找私鑰的保管者拿取私鑰，最後交由執行者來執行。</p> <p>Vic Huang推薦，企業可以使用由HashiCorp所開發的開源管理工具Vault，來管理企業中的API金鑰、私鑰、密碼、身份驗證等資訊，因為Vault能提供嚴格的存取控制，以及紀錄詳細的數據軌跡（Audit Log），且除了完全開源的特性，Vault也已經被部分企業客製化用於企業內部系統中。</p> <h3><span style="color:#FF8C00;">點對點網路層威脅：常見DDoS、BGP狹持攻擊</span></h3> <p>而點對點網路層，也就是公、私鏈主要的網路架構，常見的攻擊手法包括了阻斷服務攻擊（DDoS）、洪水攻擊、BGP狹持攻擊（BGP Hijacking）、日蝕攻擊（Eclipse Attack）等。</p> <p>區塊鏈的DDoS、洪水攻擊，是攻擊者透過不斷向區塊鏈發起大量無用的交易，導致整個網路服務暫時中斷或停止。而日蝕攻擊，則是透過干擾網路節點，使節點無法獲取有效資訊而引發網路中斷的攻擊手法。</p> <p>在2018年，也發生過BGP狹持攻擊，是指駭客駭進ISP業者或其它網路架構供應商的BGP伺服器，散布錯誤的路由資訊以干預流量。Vic Huang說明，當時，以太幣（Ether）加密錢包服務MyEtherWallet，就遭到駭客將流量導至偽造的俄國網站，誘導MyEtherWallet用戶輸入憑證，共被盜走了價值17萬美元的以太幣。</p> <p>在這個案例中，外界初期以為這是尋常的DNS挾持（DNS hijacking），而後發現，駭客是藉由挾持BGP把Amazon Route 53服務的流量導至駭客所操縱的DNS伺服器，再將造訪MyEtherWallet的用戶導向偽造的網站，因此判定為是攻擊範圍與規模都更大的BGP挾持攻擊。不過，由於駭客導向的假網站未取得有效的SSL憑證，經部分警覺性高的用戶發現後舉報，才曝光這起攻擊事件。</p> <h3><span style="color:#FF8C00;">共識層威脅：小型區塊鏈需注意51%攻擊</span></h3> <p>區塊鏈架構中的共識層，能夠讓分散、去中心化的區塊鏈節點，針對數據的有效性達成共識，其中可能遇到的資安攻擊，包括51%攻擊、雙重支付（Double Spending）、女巫攻擊（Sybil Attack）等。</p> <p>區塊鏈網路靠去中心化及分散式節點來維護，透過共識機制來驗證交易，藉此來維持整個區塊鏈的唯一性，同時阻止單一個組織操控整個系統。Vic Huang進一步說明，在工作量證明（Proof-of-Work，PoW）的共識機制下，常見以最長鏈原則來處理可能的分岔，也就是當擁有較多的運算能力者，率先計算出亂數（Nonce）並獲得完成該區塊（Block）的獎勵後，其他節點在最長鏈原則下，會拋棄原本的鏈，把更長的鏈複製過來，在這條鏈的基礎上繼續運算。</p> <p>這就導致，如果攻擊<wbr></wbr>者在一個區塊鏈系統內擁有整體超過50％的算力，就可能以遠超過其他節點的速度連續計算出亂數，<wbr></wbr>進而操縱及偽造多個區塊內的交易內容，而其他節點也會在最長鏈原則下，驗證過後無條件以最長鏈為主，這些由攻擊者偽造的內容，也就會成為鏈上的「真相」。這就是51%攻擊的攻擊手法。</p> <p>也因51%攻擊需要掌控大量的運算資源，區塊鏈系統越大，駭客越不易成功發動攻擊，比如Crypto51網站就統計對各個區塊鏈系統發動51%攻擊的成本，其中以攻擊比特幣網絡的成本最高，需要的成本市值超過10億美元，每小時攻擊成本也超過50萬美元。不過，對小型區塊鏈系統來說，由於攻擊成本較低，就容易成為攻擊對象，比如今年8月，以太坊經典（Ethereum Classic，ETC）就在一周內遭受51%攻擊兩次，上千個區塊被重組，駭客從中獲利的金額遠大於租用的運算成本。</p> <h3><span style="color:#FF8C00;">應用層威脅：開發漏洞易發生重入攻擊</span></h3> <p>最後，區塊鏈應用層的資安威脅，在於開發者自行開發的智能合約可能因程式出現漏洞，或是開發者對智能合約的應用不熟悉，導致邏輯上的錯誤，引起駭客有機可趁。</p> <p>Vic Huang說明，2016年發生的DAO遭竊事件就是一例。當時，The DAO創投組織採用了以太坊技術，建立了一個智能合約平臺，要打造出一個分散式自治組織，因此在4月時啟動募資專案，並在短短一個月內就募得超過1.5億美金價值的以太幣。雖然資安專家曾在5月警告其智能合約有漏洞問題，呼籲DAO進行修補，但不久後，駭客仍在6月17日成功攻擊了DAO，盜領了約370萬個以太幣，約等於5,000萬美金，而當天以太幣的市值，也因此下降了四分之一，從21.5美元下跌到15美元。</p> <p>當年駭客對DAO發動的攻擊，就是重入攻擊（Reentrancy），是藉由Fallback函數的特性，以重複呼叫的方式，反覆地獲取同一智能合約裡的以太幣。Vic Huang舉例，若將DAO視為銀行，並將惡意程式視為領款人，提款人要去銀行取出一千元，銀行一定會先驗證提款人存款是否有足夠的錢，確認後再提供相應款項，並扣除相應金額。但是，重入攻擊鎖定智能合約的漏洞，在金錢轉出但尚未扣款之前，重複不斷提款，也就是在銀行沒有扣款的情況下，重複提領大量金錢。</p> <p>Vic Huang指出，重入攻擊不僅盜取金額高，直到今年仍持續發生，近2年興起的DeFi服務，也成為駭客攻擊目標之一。</p> </div></div></div>
2020/8/19 19:20作者翁芊儒https://www.ithome.com.tw/news/139472
資安一周第107期：加拿大政府網站上萬民眾帳密被竊。俄羅斯Linux惡意程式鎖定美國政府與國防單位下手。
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0813-0819 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">加拿大政府網站遭駭客攻擊，上萬用戶帳密被竊</strong></h2> <p>加拿大政府在8月15日公告，駭客鎖定該國政府所提供的身分驗證服務（GCKey）及國稅局（CRA）帳號發動網路攻擊，估計有9千多個GCKey帳號與5千多個CRA帳號遭破解，已緊急關閉這些帳號並重新要求用戶取得憑證。</p> <p>GCKey是加拿大政府替當地民眾所設計的單一身分驗證服務，經過身分驗證的使用者可獲得GCKey帳號，用以存取30種政府服務，在3千8百萬加拿大人中，已有1千2百萬人擁有此項帳號。至於CRA帳號則是獨立的憑證，專門用來存取加拿大國稅局的服務。</p> <p>加拿大政府表示，駭客是藉由帳號填充攻擊來竊取GCKey及CRA憑證，利用先前已外洩的資料，再加上使用者習慣在不同的服務上使用同樣密碼的特性，取得了9,041個GCKey帳密與5,500個CRA帳密，且已企圖利用這些資料存取相關服務。<strong><a href="https://www.ithome.com.tw/news/139438">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/107-1-GCKey-CRA-leakage.png" style="width: 400px;" /></p> <p>圖片來源：加拿大政府</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃國家安全＃惡意軟體攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">俄羅斯發動Linux惡意程式Drovorub攻擊，鎖定美國政府及國防單位</strong></h2> <p>美國國家安全局（NSA）及聯邦調查局（FBI）於8月13日，發布聯合網路安全公告，警告俄羅斯情報機關正以名為Drovorub的惡意程式，攻擊該國政府及國防工業用Linux系統。</p> <p>這份報告中提到，Drovorub的核心模組，會利用多種手法長期隱身於受害主機，若是主機沒有使用UEFI安全開機的完整模式，重新開機之後，Drovorub仍會存在。不過，此報告並未提及是否有單位已經受到攻擊。NSA與FBI也在報告裡提出呼籲，系統管理員應該採取下列防禦措施，包括升級到最新版Linux核心，再者，系統也應啟動UEFI安全開機，以防上述惡意核心模組遭到載入。<a href="https://www.ithome.com.tw/news/139403"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/107-2-Drovorub.png" style="width: 400px;" /></p> <p>圖片來源：美國國家安全局</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃國家安全</strong></h3> <h2><strong style="vertical-align: top;">美國大選將至，中國、俄羅斯、伊朗駭客遭到點名</strong></h2> <p>美國反間諜執法辦公室（NCSC）指控，隨著該國總統大選即將於今年的11月3日舉行，許多國家的駭客集團都已展開干擾活動，而他們主要關注中國、俄羅斯，以及伊朗可能會帶來的威脅。其中，中國與伊朗不想讓川普連任，而俄羅斯則是專門詆毀拜登，希望讓川普當選。<a href="https://www.ithome.com.tw/news/139306"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃資料外洩＃應用程式安全</strong></h3> <h2><strong style="vertical-align: top;">抖音驚傳暗中收集Android裝置識別資料長達一年</strong></h2> <p>在美國打算封鎖抖音（TikTok）之際，華爾街日報於8月11日爆料，該應用程式曾經收集Android裝置的MAC位址，明顯違反Google Play市集的規定，直到去年11月因美國政府施壓才終止，收集相關資料一年之久。<strong><a href="https://www.ithome.com.tw/news/139349">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃惡意程式攻擊＃macOS ＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">惡意程式透過Xcode專案散布，鎖定macOS零時差漏洞</strong></h2> <p>趨勢科技發現一個鎖定macOS電腦的木馬程式XCSSET，藉由滲透到開發者電腦的Xcode專案，讓開發者編譯的軟體成為散布此木馬的途徑，再者，XCSSET也利用蘋果軟體的漏洞竊取重要資訊，包括帳號、密碼等，甚至駭客能經由C&C伺服器下達指令，讓XCSSET加密macOS電腦的檔案，並顯示勒索訊息要受害者付錢。</p> <p>趨勢科技並沒有說明漏洞其他細節，只表示他們已經通報蘋果，而表示蘋果現正開發Data Vaults漏洞的修補程式。不過，蘋果提到駭客濫用的開發版Safari的問題不是漏洞，而是本來預設的行為，因此這個部分並不打算處理。<a href="https://www.ithome.com.tw/news/139432"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">語音助理Amazon Alexa存在洩漏使用者資料的漏洞</strong></h2> <p>Check Point資安研究人員發現語音助理Amazon Alexa存在漏洞，可讓惡意人士操縱Alexa功能，或是存取使用者個人資料。研究人員提到，這個漏洞與Alexa網頁服務的幾個子網域有關，因為，這些網域容易受到跨站腳本攻擊（XSS）與跨域請求攻擊（CSRF）。</p> <p>駭客可透過發送惡意連結讓使用者上當，使用者一旦點選，駭客便能透過程式碼注入來使得伺服器產生錯誤，進而掌握使用者的Alexa帳號，接著可刪除功能或是植入惡意功能，並且竊取用戶的語音記錄，導致受害者的金融資料與隱私外洩。</p> <p>雖然Amazon不會記錄用戶的銀行登入憑證，但是由於駭客能夠透過前述存取聊天對話記錄，因此能夠存取受害者與銀行互動的歷程，並取得使用者帳號、電話，甚至可能還有家裡住址，以及更多其他資訊。<strong><a href="https://www.ithome.com.tw/news/139424">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong>微軟的本地安全認證子系統服務漏洞沒修好，研究人員指出可輕易繞過</strong></h2> <p>在微軟8月份的例行修補星期二（Patch Tuesday），總共修補120個漏洞，但Project Zero的研究人員James Forshaw指出，他提報的CVE-2020-1509並未得到完全修補，只要Windows電腦設置了代理伺服器（Proxy），駭客照樣能夠繞過這個漏洞。</p> <p>這項漏洞存在於Windows的本地安全認證子系統服務（Local Security Authority Subsystem Service，LSASS），影響所有版本的Windows 10，駭客一旦濫用，便能取得管理員權限來執行命令，CVSS 3.0的風險評分為8.8分。<a href="https://www.ithome.com.tw/news/139406">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">IE 11漏洞已被用來攻擊南韓企業</strong></h2> <p>在微軟8月份的例行修補星期二，其中有個漏洞CVE-2020-1380，是出現在IE 11上，且已經出現攻擊事件。通報這個漏洞的是資安業者卡巴斯基，他們於8月11日揭露，此漏洞已被鎖定飯店業者的駭客組織Darkhotel APT在5月下旬濫用，並且串連另一個在6月被修補的漏洞CVE-2020-0986，發動Operation PowerFall攻擊行動，鎖定一家南韓企業下手。<strong><a href="https://www.ithome.com.tw/news/139391">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩＃網路詐騙</strong></span></h3> <h2><strong style="vertical-align: top;">讀冊會員個資外洩事件爆增，一周45名受害者報案</strong></h2> <p>網路書店「TAAZE讀冊生活」會員遭到詐騙的事件，從今年初開始時有所聞，而最近傳出受害者數量大幅增加的現象，刑事警察局的165專線於8月16日發布新聞稿指出，從1月到8月9日，他們收到235件報案，累計損失達2千2百萬餘元；但值得留意的是，光是8月初的一個星期裡（8月2日到9日），他們就接到45名受害者報案，占所有事件近2成（19.5%），使得該網路書店成為當週解除分期付款詐騙事件次數最多的平臺。</p> <p>由於8個月來陸續有民眾受害，共通點都是在讀冊買書後，接到詐騙電話而上當，刑事警察局認為讀冊的資安防護顯然出現漏洞，導致因個資外洩而衍生相關詐騙事件，呼籲民眾要慎選電子商務平臺。<a href="https://165.npa.gov.tw/#/article/news/257">詳全文</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/107-3-165-taaze.png" style="width: 400px;" /></p> <p>圖片來源：刑事警察局</p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/139316">美國銀行Capital One個資外洩案遭罰8千萬美元</a><br /> ●<a href="https://www.ithome.com.tw/news/139320">論壇架設軟體vBulletin修補不全，導致DEF CON論壇遭攻擊</a><br /> ●<a href="https://www.ithome.com.tw/news/139322">TeamViewer驚傳漏洞可導致密碼遭到破解</a><br /> ●<a href="https://www.ithome.com.tw/news/139319">密碼管理軟體1Password首度推出Linux版應用程式</a></h3> </div></div></div>
2020/8/19 18:15作者周峻佑https://www.ithome.com.tw/news/139503
調查局首度揭露國內政府委外廠商成資安破口的現況，近期至少10個公家單位與4家資訊服務供應商遇害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於國內政府組織內資訊委外的安全問題，今日（19日）法務部調查局資安工作站發出警示，指出近來他們偵辦數起政府機關遭駭案件中，發現政府單位及其資訊服務供應商遭中國駭客組織滲透的問題嚴重，最新發現至少有10個政府單位，以及4家資訊服務供應商都已經受到攻擊。</p> <p>對於有那些政府單位與業者遭駭的問題，調查局資安工作站副主任劉家榮表示，基於調查不公開的作業原則，他們並不會透露，但他們呼籲，尚未遭受攻擊的單位與業者，都應以此為鑑，同時資安工作站提供了相關情資與建議，希望能避免這波攻擊下會出現更多受害者。</p> <h2><strong>承包政府標案的供應鏈廠商成資安破口，調查局歸納出近期兩種駭客攻擊模式</strong></h2> <p>對於臺灣政府單位遭駭的現況，劉家榮表示，他們從最近偵辦的數起案件，歸納出近期駭客攻擊的兩種模式。</p> <p>例如，在第一種模式中，由於駭客清楚國內政府單位資訊委外的習慣，例如，政府機關會提供VPN帳號供資訊服務供應商進行遠端操作與維運，因此，駭客便從該單位的委外廠商入侵。</p> <p>調查局並剖析了入侵過程，劉家榮表示，以MustangPanda與APT40駭客組織為例，在他們的偵辦調查結果發現，對方首先會透過中繼站攻擊，他們追查到該中繼站的IP位址，包含3個香港IP位址與1個中國IP位址，接著，駭客會透過該中繼站侵入一家為政府提供服務的資訊供應商，因此竊取了政府機關提供的VPN帳號，之後就能以合法掩護非法的方式，遠端登入到政府機關網路，伺機取得具管理權限帳號，並進行橫向擴散。</p> <p>值得注意的是，調查局資安工作站也發現，駭客在入侵政府機關內部的主機與伺服器後，為了要長期潛伏以及將獲取資料傳出，還會偷偷安裝SoftEther VPN程式，以連線到駭客指定的C&C中繼站。另外，他們也會登入機關內部的網域／目錄（AD）伺服器，嘗試建立具管理權限的網域帳號，最後還會清除入侵相關軌跡。</p> <p>特別的是，在這種攻擊模式下，他們還發現有幾個案例是這些資訊服務商託管或代管了政府的主機，因此在資訊服務供應商遭駭時，這些託管的伺服器與主機也可能遭到駭侵。根據他們的調查，一家資訊服務供應商代管某署的5臺郵件伺服器，就遭植入Webshell後門，因此他們合理懷疑，該單位的6,000多個郵件帳號，可能都已經被駭客竊取到需要或必要的資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-08-19_183040.jpg" style="width: 600px;" /></p> <p>在第二種模式中，他們發現主要是Blacktech與Taidoor背後的駭客組織所為，駭客一開始也是從政府機關委外的資訊服務供應商開始入侵，之後將會控制AD伺服器，並藉由GPO群組原則將惡意程式派送到每一臺電腦。</p> <p>同時，對方還會駭入一般家用的無線路由器，藉此掌控設備並設定VPN連線，以作為受駭主機向中繼站報到的跳板。</p> <p>劉家榮表示，經過他們調查分析，發現受駭主機內藏有Waterbear後門的惡意程式，這是Blacktech駭客組織平常所使用的惡意程式，將使受感染電腦向中繼站報到，並以VPN傳送竊取資訊。</p> <p>對此，調查局揭露了從遭駭路由器所查到的11個惡意網域，以及前述攻擊的5個IP位址，希望尚未遭受此一攻擊的政府機關與資訊服務供應商，應儘速阻擋這些惡意網域。</p> <p><strong><span style="color:#FF8C00;">【調查局公布以下惡意網域及IP位址，供國內機關自我檢查並加以封鎖】</span><br /> ●manage.lutengtw.com　●43.240.12.81<br /> ●dccpulic.lutengtw.com　●45.124.25.31<br /> ●trust.utoggsv.com　　　●45.124.25.226<br /> ●wg1.inkeslive.com　　　●113.193.149.26<br /> ●k3ad01.rutentw.com　　●103.240.202.34<br /> ●ams05.cksogo.com<br /> ●edgekey.whybbot.com<br /> ●shed.inkeslive.com<br /> ●ap21.gckerda.com<br /> ●cornerth.com<br /> ●teamcorner.nctu.me</strong></p> <p>事實上，這次事件相當嚴重，在調查局揭露的資訊中，他們追查到這些惡意網域後，又再進一步追蹤到，發現國內還有許多IP位址連線到該中繼站的情形，當中包含市政府、水資源局、國立大學等6個公家單位，以及4家資訊服務供應商。</p> <p>此外，駭客還會藉由原先入侵的資訊服務供應商，遠端攻擊該業者的政府機關客戶。這是因為供應商的IP位址是政府防火牆的白名單，駭客同樣是藉由合法掩護非法的方式，使得政府機關難以發現。對此，調查局也說明他們的發現，在今年3月到4月間，分別有署級機關、司級單位與某市政府遭到這樣的攻擊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-08-19_183106.jpg" style="width: 600px;" /></p> <h2><strong>對於委外廠商的遠端管理一事需檢討，還要檢視VPN的異常登入及阻止被偷裝VPN軟體</strong></h2> <p>雖然揭露駭客的攻擊手法，會讓對方更有防備，但如果其他政府單位或資訊供應商都不能瞭解攻擊現況，已知的攻擊都無法預警、防範，情況將會更嚴重。</p> <p>對於近期駭客從供應鏈下手的威脅態勢，調查局提供幾項建議，首要的焦點，他們認為，就是要檢討委外資訊服務供應商透過遠端進行管理的必要性。由於國內政府機關往往可能為了追求便利，提供VPN帳號供廠商遠端操作與維運，但這些廠商若缺乏資安意識或吝於資安設備投入，甚至未配置資安維運人員，容易形成資安破口。白話一點來說，等於關了大門卻開了小門，讓駭客有機可趁。</p> <p>此外，從近期的受駭案件來看，還有一些資安管理上必須重視的問題，像是要能監控AD伺服器的軟體派送情形，並要有辦法能夠監控網域帳號的異常新增與登入。</p> <p>機關內部的VPN安全管理，也是這次事件揭露的一大重點，因此調查局也建議，需檢視VPN是否有異常登入情形，對於駭客侵入後在主機安裝VPN連線網路軟體的問題，同樣需要留意，畢竟組織內本來就應該不允許安裝才是。</p> <p>其他建議方面，還包括經常檢視防毒主機稽核報告，重新審視防火牆規則，限制重要主機的對外連線，以及定期修補IP分享器或路由器的漏洞，以及檢視VPN帳號與定期更換密碼。</p> <p>劉家榮表示，在這些案例中，由於駭客會將入侵相關軌跡與資料抹除，因此他們調查時無法得知那些資料被竊取，但他強調，當機關內部的伺服器及主機被駭侵後，其實當中的資料也都已經被看光光，這樣的危害非常大，因此，他們認為，透過調查局公開的資訊與情資，希望還沒有遭到攻擊的政府機關與廠商，應該要針對提供的惡意網域與IP位址去防範，不要讓這類攻擊繼續蔓延，是現在要關心的重點。</p> </div></div></div>
2020/8/19 18:28作者羅正漢https://www.ithome.com.tw/news/139504
【iThome 2020 資安大調查】企業常見資安風險在哪裡？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_da_diao_cha_-56-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年資安大調查時，我們都會請資安主管自評對自家資安能力的信心程度，再轉化成一個資安信心分數，60分及格，代表資安主管對自家資安防護大致上有信心。連續三年下來，資安主管自評的分數都是低空飛過、略高於及格線，2019年還些微下滑，2020年的信心又略增，但仍然只有63.8分。這個分數顯示出資安主管的為難，因為資安預算、人力有限，資安防護處於夠用或堪用，但一直沒有達到讓資安主管可以高度放心的程度。</p> <p>從資安風險排名來看，員工仍舊是最多主管擔心的風險，過半企業列為首要風險，每年都是。另外，惡意程式（50.1%）和勒索軟體（48.5%）都有近半數企業資安主管擔心。這兩類威脅，往往會透過惡意連結、惡意郵件、漏洞入侵等手段，暗中植入到企業內部，幾乎成了資安團隊每天都要面對的日常挑戰。企業得不斷持續地強化如即時偵測攔截機制、平時預警監控能力，漏洞即時修補，快速復原或清除能力，甚至因應新出現的惡意程式及時調整作法，例如強化防火牆政策等。</p> <p>值得注意的是，BEC商業電子郵件詐騙的威脅程度越來越嚴重，成了資安主管名列前十擔心的風險，另外，假新聞資安風險也開始浮現，5.4％的企業也列為需重視的資安風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%A4%A7%E8%AA%BF%E6%9F%A5-56-600-1-V2.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問卷執行說明 </span></strong></span><br /><strong><span style="color: rgb(51, 153, 255);">以臺灣2千大規模的企業，<wbr></wbr>搭配iThome歷屆CIO大調查企業、政府一級機構、<wbr></wbr>大專院校IT和資安主管，進行線上問卷調查。<wbr></wbr>調查時間1月20日到2月20日，有效問卷數373份。73.<wbr></wbr>4％填答者是企業資安最高主管。</span></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 18px;"><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span></span></strong></span></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/136642" target="_blank"><span style="color: rgb(178, 34, 34);">iThome 2020 資安大調查</span></a></span></strong></p> <p><a href="https://www.ithome.com.tw/article/138473" target="_blank"><span style="color: rgb(178, 34, 34);"><span style="font-size: 20px;"><strong>iThome 2020 CIO大調查系列(五) 數位轉型的兩難</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/138350" target="_blank"><span style="color: rgb(178, 34, 34);"><span style="font-size: 20px;"><strong>iThome 2020 CIO大調查系列(四) 數位轉型加速</strong></span></span></a></p> <p><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/138102" target="_blank"><span style="color: rgb(178, 34, 34);">iThome 2020 CIO大調查系列(三) 臺灣AI企業現況大揭露</span></a></strong></span></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/136319" target="_blank"><span style="color: rgb(178, 34, 34);">iThome 2020 CIO大調查(上) 數位轉型加速，驅動IT投資成長</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/136361" target="_blank"><span style="color:#B22222;">iThome 2020 CIO大調查(下) 企業數位轉型布局多樣化，加速搶進新科技</span></a></span></strong></p> </div></div></div>
2020/8/19 17:50作者王宏仁https://www.ithome.com.tw/article/139493
【iThome 2020 資安大調查】企業為何防不了資安攻擊和威脅？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_da_diao_cha_-57-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2019年，近2成企業遭遇了超過50次以上的資安事件，幾乎是每一周都會發生一次。若從資安攻擊源頭來看，6成資安事件的來源是駭客（60.3%），但也有3成多資安事件的觸發來源是內部員工（35.7%）。外部駭客是惡意發動的攻擊，但內部員工為何也是名列第二個攻擊來源？並非這些員工都想惡意破壞，而是因為員工的資安意識不足，而成了外部攻擊者發動社交工程的覬覦目標。</p> <p>企業資安主管也相當清楚，員工資安意識是企業資安潛在的破口，54.7%的企業已經意識到這個問題。除此之外，企業資安預算不足、資安工具不易使用和缺乏資安老手等，也是造成企業資安武裝不足的關鍵原因。也因此，已有不少企業採取資安攻防演練的方式，來強化員工意識，26.8%的企業每年實施一次，甚至有4%企業每季實施一次或更多。</p> <p>過去，管理階層支持力道不足，是企業推動資安的障礙之一，但從今年調查結果來看，多數企業高層已經認知到資安的重要性和必要性，因此，只有7.2%的企業自評高層支持不足，但是，仍有16.9%資安主管希望能強化管理階層的資安意識，企業高層仍舊需要更多資安培訓。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%A4%A7%E8%AA%BF%E6%9F%A5-57-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%A4%A7%E8%AA%BF%E6%9F%A5-57-600-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問卷執行說明 </span></strong></span><br /><strong><span style="color: rgb(51, 153, 255);">以臺灣2千大規模的企業，<wbr></wbr>搭配iThome歷屆CIO大調查企業、政府一級機構、<wbr></wbr>大專院校IT和資安主管，進行線上問卷調查。<wbr></wbr>調查時間1月20日到2月20日，有效問卷數373份。73.<wbr></wbr>4％填答者是企業資安最高主管。</span></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 18px;"><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span></span></strong></span></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/136642" target="_blank"><span style="color:#B22222;">iThome 2020 資安大調查</span></a></span></strong></p> <p><a href="https://www.ithome.com.tw/article/138473" target="_blank"><span style="color:#B22222;"><span style="font-size: 20px;"><strong>iThome 2020 CIO大調查系列(五) 數位轉型的兩難</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/138350" target="_blank"><span style="color:#B22222;"><span style="font-size: 20px;"><strong>iThome 2020 CIO大調查系列(四) 數位轉型加速</strong></span></span></a></p> <p><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/138102" target="_blank"><span style="color:#B22222;">iThome 2020 CIO大調查系列(三) 臺灣AI企業現況大揭露</span></a></strong></span></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/136319" target="_blank"><span style="color:#B22222;">iThome 2020 CIO大調查(上) 數位轉型加速，驅動IT投資成長</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/136361" target="_blank"><span style="color:#B22222;">iThome 2020 CIO大調查(下) 企業數位轉型布局多樣化，加速搶進新科技</span></a></span></strong></p> </div></div></div>
2020/8/19 17:50作者王宏仁https://www.ithome.com.tw/article/139495
Citrix產品重大漏洞沒修補讓駭客有機可趁，全球最大遊輪業者Carnival遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大遊輪業者<a href="https://www.carnivalcorp.com/news-releases/news-release-details/carnival-corporation-plc-identifies-ransomware-incident" target="_blank">Carnival本周坦承</a>，該集團旗下某一品牌的資訊系統在8月15日遭到勒索軟體攻擊，駭客下載並加密了特定的資料，包含客戶與員工資料，目前Carnival仍與執法機關及鑑識機構合作進行調查。</p> <p>成立於1972年的Carnival為全球最大的遊輪業者，旗下有十多個遊輪品牌，包括公主遊輪、愛達遊輪或嘉年華遊輪等，總計有超過100艘遊輪在全球航行，員工數為15萬，每年載運的旅客數量則有1,300萬。</p> <p>Carnival只透露有一個品牌的資訊系統被駭客入侵，員工與客戶資料被存取，系統遭加密，但並未公布被駭品牌或勒索軟體名稱，只強調其它品牌或該公司的營運並未受到波及。</p> <p>在Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/worlds-largest-cruise-line-operator-carnival-hit-by-ransomware/" target="_blank">發表該新聞時</a>，資安業者Bad Packets旋即回覆該攻擊行動並不令人訝異，因為Carnival使用了許多含有CVE-2019-19781漏洞的Citrix伺服器。</p> <p>CVE-2019-19781漏洞藏匿在Citrix應用程式交付控制器（Application Delivery Controller，ADC）與Citrix Gateway上，前者為一應用程式交付與負載平衡解決方案，後者則是一個自遠端存取混合雲端與SaaS服務的解決方案，皆為Citrix的知名產品。</p> <p>CVE-2019-19781屬於路徑穿越漏洞，成功的開採將允許駭客無需經過認證而執行任意程式，在去年12月揭露後，<a href="https://www.ithome.com.tw/news/135461" target="_blank">攻擊程式在一個月內便現身</a>，使得<a href="https://www.ithome.com.tw/news/135355" target="_blank">美國國土安全部</a>及Citrix相繼釋出<a href="https://www.ithome.com.tw/news/135512" target="_blank">CVE-2019-19781漏洞掃描工具</a>，協助使用者辨識系統上是否含有該漏洞以便展開修補。</p> <p>Carnival顯然沒有採取最佳安全措施，此一案例再度彰顯了及時修補重大安全漏洞的重要性。</p> </div></div></div>
2020/8/19 16:20作者陳曉莉https://www.ithome.com.tw/news/139500
新版TeamTNT挖礦蠕蟲會竊取AWS憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cadosecurity.com/2020/08/17/teamtnt-the-first-crypto-mining-worm-to-steal-aws-credentials/" target="_blank">資安業者Cado Security近日揭露</a>，他們發現TeamTNT駭客集團所打造的新一代挖礦蠕蟲，多了一項用來竊取存放在Docker及Kubernetes系統上AWS憑證的功能，這些Docker及Kubernetes系統可能因為缺乏密碼保護，或是配置錯誤，而成為TeamTNT蠕蟲的目標。</p> <p>TeamTNT蠕蟲首次現身是在今年的5月，<a href="https://www.trendmicro.com/vinfo/hk-en/security/news/virtualization-and-cloud/coinminer-ddos-bot-attack-docker-daemon-ports" target="_blank">當時趨勢科技分析</a>，這是一個鎖定Docker傳輸埠的分散式阻斷服務攻擊（DDoS）殭屍網路，而且也會植入惡意挖礦程式。</p> <p>而今，TeamTNT蠕蟲不只將危害範圍擴大到Kubernetes系統，也新增了竊取AWS憑證的功能，把在Docker與Kubernetes系統中找到的AWS憑證傳送到駭客伺服器上。</p> <p>此外，Cado Security警告，絕大多數的挖礦蠕蟲都是從不同的挖礦程式東拼西湊而成，在新版TeamTNT蠕蟲現身之後，相信其它的挖礦蠕蟲也會複製它的AWS憑證竊取能力。</p> <p>Cado Security建議開發者應該要盤點有哪些系統存放AWS憑證，若非必要應將它們刪除；也應利用防火牆規則限制Docker APIs的存取能力，強烈推薦使用白名單機制；檢查系統的網路流量是否連至任何的採礦池，或是AWS憑證檔案是否曾被輸出。</p> </div></div></div>
2020/8/19 15:20作者陳曉莉https://www.ithome.com.tw/news/139496
微軟Defender ATP新增惡意行為封鎖功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟陸續強化終端安全軟體Defender進階威脅防護（Defender ATP）的功能。<a href="https://docs.microsoft.com/en-us/windows/security/threat-protection/microsoft-defender-atp/edr-in-block-mode" target="_blank">本周又宣布</a>加入端點偵測與回應封鎖模式（EDR in block mode）功能，以阻斷企業裝置上的惡意行為。</p> <p>這項功能主要用於發生駭客入侵事件後，以背景執行模式掃瞄裝置上的惡意活動、惡意軟體或其他有害物件。啟動這項功能時，Defender ATP即會在偵測到惡意行為時，予以封鎖和修復。</p> <p>EDR in block mode使用Defender ATP的機器學習引擎，來分析惡意程式的行為。它可以即時偵測和封鎖威脅行動，即使惡意程式已經開始執行也沒問題，有助於更及時防範威脅，減少人為操作的麻煩和時間延宕。<a href="https://techcommunity.microsoft.com/t5/microsoft-defender-atp/introducing-edr-in-block-mode-stopping-attacks-in-their-tracks/ba-p/1596617" target="_blank">微軟指出</a>，今年4月EDR in block mode已經成功找出或阻擋NanoCore RAT攻擊。</p> <p>EDR in block mode目前以不公開預覽版開放測試。EDR in block mode可透過Defender Security Center中的「設定」、「進階」功能啟動、關閉。但這項功能無法從登錄檔金鑰、Intune或群組政策控制。</p> <p>EDR in block mode只提供給Windows 10或是Server 2016以上，或是具備Microsoft 365 E3/ E5授權的機器。機器上的Microsoft Defender Antivirus防毒軟體也需升級到最新版本，且開啟雲端防護功能。</p> </div></div></div>
2020/8/19 15:35作者林妍溱https://www.ithome.com.tw/news/139497
Mozilla裁員衝擊Rust發展，官方急成立基金會穩陣腳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust官方在部落格<a href="https://blog.rust-lang.org/2020/08/18/laying-the-foundation-for-rusts-future.html">公告</a>，他們將會設立基金會，為Rust專案打下基礎，讓專案能獨立穩定地繼續發展。由於Rust專案已經到了有法律和財務需求的階段，但沒有合法的名稱或是地址，Rust專案難以執行合約簽訂等事宜，因此成立基金會成為需要立刻面對的問題。</p> <p>Rust專案發展的歷史，最早可以追溯到2006年，是由Mozilla Research啟動的專案，長期目標是要讓Rust成為一個可自營運的專案，在2015年的時候，Rust正式發布了1.0版本，確定獨立於Mozilla，是一個自指導與治理的自治組織，Mozilla僅扮演贊助財務和法律服務的角色。</p> <p>就在最近，Mozilla發布了重組公司的消息，於8月11日裁員250人，甚至連Mozilla在臺北的辦公室都被關閉。被裁員的員工中，包括了部分積極參與Rust專案和社群的人，而這帶給Rust專案許多不確定性，因此Rust官方開始著手解決面臨的問題。</p> <p>Mozilla裁員確實對Rust社群成員造成影響，雖然如此，官方提到，Rust是一個開源社群，有來自不同背景的貢獻者，而多樣性是支撐Rust專案重要的力量。Rust官方試圖澄清Mozilla與Rust專案之間的關係，官方表示，部分參與領導Rust專案的成員，過去的確是Mozilla的員工，但是這些Mozilla員工都是利用個人時間貢獻專案，Rust專案並非這些員工在Mozilla工作的一部分。</p> <p>而且Rust團隊的成員資格是授與個人，跟雇主沒有關係，即便這些原為Mozilla員工的Rust團隊成員，遭到了裁員，他們仍然是Rust團隊的成員，官方表示，雖然這些之中有一些人，可能會選擇減少參與，也並非所有人都能夠繼續做出貢獻，官方也會選擇尊重，並且感謝他們過去對專案的貢獻。</p> <p>從去年開始，Rust官方就在研究設立基金會的可能性。由於隨著Rust專案規模的發展，已經有越來越多法律以及財務上的需求，過去Rust專案缺乏這樣的資源與能力，因此Mozilla提供了一段時間的協助，但是在沒有合法的名稱、地址和銀行帳戶情況下，Rust專案的發展將會受到限制。</p> <p>官方提到，不少企業雖有興趣在財務上資助Rust專案，但誤解Rust專案為Mozilla所有，使他們不願投資，而創建基金會則將專案獨立運作這件事付諸實踐，使Rust專案真正由獨立組織運作，同時成立基金會可使贊助更為直覺，提供企業明確資助專案的方法。</p> <p>對成立開源基金會有經驗的Rust團隊成員，討論了當前的形勢，並且確認了成立基金會需要的資源，Rust核心團隊與Mozilla共同宣布創建Rust基金會的計畫，預計Rust基金會將會在年底前，開始啟動營運。</p> <p>Rust基金會的首要目標是取得所有權，包括Rust、Cargo和crates.io相關的各種商標和域名，都會進到基金會中，而基金會也會負擔產生的費用。目前已經有不少大型企業皆持續贊助Rust專案，包括微軟、AWS、Integer 32、1Password、ARM、Google雲端、GitHub以及Mozilla，微軟贊助Rust的CI支出，而AWS支付Rust專案使用S3的費用，在成立基金會之後，Mozilla對Rust專案的影響將會減弱，角色退回到僅是贊助商之一。</p> </div></div></div>
2020/8/19 16:00作者李建興https://www.ithome.com.tw/news/139494