iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Docker將限制免費帳號的映像檔拉取次數
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於Docker平臺上，超過6個月無人存取的映像檔容量高達10 PB，因此官方決定開始實施新的政策，將<a href="https://www.docker.com/blog/scaling-dockers-business-to-serve-millions-more-developers-storage/">移除免費帳戶中，長時間無人使用的映像檔</a>之外，而且為了<a href="https://www.docker.com/blog/scaling-docker-to-serve-millions-more-developers-network-egress/">解決匿名帳戶映像檔拉取過於浮濫的問題</a>，也將限制免費使用者拉取映像檔的次數。</p> <p>Docker經內部分析發現，在Docker Hub上的15 PB映像檔中，有超過10 PB映像檔6個月以上未被存取，而且經官方進一步的調查，發現其中的4.5 PB無效映像檔來自免費帳戶，這些映像檔僅被短暫的使用過，包括了來自結合Docker Hub持續整合工作管線的映像檔，使用者通常會遺忘過程產生的映像檔。</p> <p>因此官方決定實施新的映像檔保留政策，平臺將會開始自動刪除免費由帳戶託管，6個月內沒有使用的映像檔，官方也會提供新的使用者介面和API，讓用戶更簡單地管理映像檔。新的映像檔留存政策將會從11月1日開始實行，系統僅會刪除免費帳戶託管的映像檔，付費帳戶、由官方驗證的發布者以及官方發布的映像檔則不在此限。</p> <p>另外，官方也將限制免費帳戶拉取容器映像檔的次數，匿名的免費用戶每6小時拉取次數限制為100次，而經驗證的免費用戶，每6小時的拉取次數限制則為200次，付費使用者則不在此限。官方提到，他們分析從Docker Hub下載的映像檔發現，絕大多數用戶都以正常工作流程，需要的頻率拉取映像檔，但是少數匿名的免費使用者則過度使用，有30％的拉取請求來自1％的匿名用戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/pasted%20image%200(7).png" style="width: 580px;" /></p> <p>為此，官方同樣會在11月1日應用新的拉取政策，而這些映像檔拉取限制，是依據開發人員合理使用情境，包括學習使用Docker、程式碼開發以及映像檔建置等任務訂定，因此大多數用戶不受新限制政策影響。而官方提到，要限制Docker註冊表的拉取非常複雜，映像檔拉取綜合了清單（Manifest）和Blob API的請求，而這些請求執行的模式，依不同的客戶端和映像檔而有所不同。</p> <p>簡言之，映像檔的拉取，可能經歷1到2次的清單請求，以及0到無限多Blob層的請求，雖然Blob與頻寬使用最相關聯，但除了難以追蹤之外，對使用者來說也不直覺，因此最終官方決定根據清單請求來限制拉取次數，對用戶來說更好理解，缺點是當用戶拉取已經有的映像檔，即便不下載任何Blob層，也會計入下載次數中。</p> </div></div></div>
2020/8/25 16:50作者李建興https://www.ithome.com.tw/news/139595
逾20萬中國傳音手機預載廣告詐騙程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://lab.secure-d.io/triada/" target="_blank">Secure-D於本周警告</a>，由中國業者傳音（Transsion）所生產的手機預載了廣告詐騙程式，這些低階手機鎖定非洲市場，從2019年3月到2020年8月，該公司總計從19個國家的逾20萬支傳音手機，封鎖了1,920萬個可疑的訂閱交易，而且這些訂閱很可能都是透過背景執行，完全沒經過使用的同意。</p> <p>傳音為中國的手機製造商，專攻非洲的低價手機市場，為當地首屈一指的手機品牌，市占率約為40%。</p> <p>當Secure-D在去年察覺有大量的傳音手機遞送可疑的訂閱交易時，旋即展開調查，先購買數支傳音所生產的Tecno W2手機，以分析可疑流量的來源，這些手機的目的不同，而且也使用了不同電信營運商的網路，進而發現這些手機在韌體內預載了<a href="https://securelist.com/everyone-sees-not-what-they-want-to-see/74997/" target="_blank">後門程式Triada</a>。</p> <p>Triada會下載另一個惡意程式xHelper，當發現手機處於適當環境（例如在南非網路中），並藉由Wi-Fi或3G連網時，它就會自動連至訂閱網站，並自行訂閱付費服務。由於非洲大多數用戶都是使用預付卡，訂閱費用可直接自預付卡中扣除，而惡意程式的作者則可因為相關的訂閱拆分廣告收益。</p> <p>此外，Triada/xHelper也會下載其它的惡意程式，當研究人員切斷手機連網能力，並移除所下載的惡意程式之後，它們在缺乏網路的狀態下，竟然在5分鐘之後全部自動重新安裝完畢。</p> <p>上述的程序都是在背景中自動執行，既不會受到電信業者的干預，使用者亦無從察覺。在追查之後，Secure-D發現這些惡意網站與傳音並無關聯，判斷駭客是入侵了傳音的供應鏈。</p> </div></div></div>
2020/8/25 17:55作者陳曉莉https://www.ithome.com.tw/news/139600
臉書迫於泰國政府壓力，封鎖批評王室的百萬群組
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/article/us-thailand-facebook/facebook-blocks-group-of-one-million-critical-of-thai-monarchy-amid-government-pressure-idUSKBN25K25C" target="_blank">路透社報導</a>，在泰國威脅採取法律行動下，臉書近日封鎖一個要求改革王權的，成員達百萬的群組。</p> <p>一個名為保皇市場（Royalist Marketplace）的<a href="https://www.facebook.com/groups/160302545298190/" target="_blank">臉書群組</a>昨（24）日若從泰國存取，將顯示「在數位經濟暨社會部的法令要求下，泰國境內無法存取該群組」。</p> <p>這個群組是由現居日本的泰國學者暨運動人士Pavin Chachavalpongpun 4月創立，主要用於評議泰國皇室及時政。<a href="https://twitter.com/pavinkyoto/status/1257205842119585792" target="_blank">Pavin 5月時指出</a>這個群組成員接近百萬，如今超過106萬。</p> <p>這個群組成立也呼應泰國近幾個月的社會轉變。許多學生和民眾發起示威，抗議現任總理帕拉育（Prayuth Chan-ocha）。他們批評帕拉育2014年軍事政變掌權以來專制獨裁、迫害民運人士、要求總理解散國會、並且修改軍權時代修訂的憲法。年輕一輩的泰國民眾也將矛頭指向王室，批評王室奢華無度及權力過大，要求縮減王室預算、停止干政。</p> <p>Pavin批評臉書向獨裁政府低頭，表示其社群只是抗議行為的一環，這是其言論自由，臉書此舉不啻時和獨裁政府合作打壓民主，助長極權。</p> <p>不過臉書並非一開始就向泰國政府低頭。近幾個月泰國政府批評臉書放任違反內容，包括詆毁皇室的言論。8月10日泰國數位部長下達最後通牒，要求臉書必須遵守法院命令撤除言論，否則將以違法電腦犯罪法起訴，處以20萬泰銖（18.6萬臺幣）及每天5,000泰銖（4,700元臺幣）的追加罰金。在通牒期限即將屆滿的周一，臉書終於封鎖該群組。</p> <p>在泰國，污辱泰皇最高可判處15年徒刑。上星期泰國政府也起訴群組創辦人Pavin觸犯網路罪。</p> <p>臉書不願對封鎖該群組做出評論，只表示當他們接到當局通知違反當地法令，就會在該國限制這些內容。</p> </div></div></div>
2020/8/25 16:10作者林妍溱https://www.ithome.com.tw/news/139596
TikTok正式挑戰川普命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普（Donald Trump）在8月6 日正式<a href="https://www.ithome.com.tw/news/139260" target="_blank">簽署一行政命令</a>，禁止美國管轄範圍內的個人或實體，與TikTok母公司字節跳動進行任何的交易，預計於9月20日生效，TikTok則在本周一（8/24）正式向美國聯邦法院<a href="https://newsroom.tiktok.com/en-us/tiktok-files-lawsuit" target="_blank">提出訴訟</a>，挑戰該行政命令。</p> <p>TikTok表示，該公司在美國有1,500名員工及1億名用戶，也計畫在美國建立1萬個新職缺，而川普的行政命令有可能在毫無事實根據與正常程序的情況下，剝奪美國TikTok社群的權利。他們也堅決不同意TikTok將對美國的國家安全造成威脅的說法。</p> <p>川普擔心的是TikTok母公司字節跳動為中國業者，可能會因中國政府的施壓而交出美國民眾資料，進而對美國的國家安全造成威脅。因此，川普藉由<a href="http://www.ithome.com.tw/news/139260" target="_blank">行政命令</a>來封鎖TikTok，但也同意若微軟或其它美國業者買下TikTok，就允許該服務繼續在美國運作，只是<a href="https://www.ithome.com.tw/news/139192" target="_blank">要求</a>美國財政部必須能夠從該交易中抽成；而川普於8月14日所簽署的另一<a href="https://www.ithome.com.tw/news/139434" target="_blank">行政命</a>令，則要求字節跳動必須要在90天內（11/12），刪除所有存放在TikTok或 Musical.ly系統的美國民眾資料。</p> <p>對於川普的種種要求，TikTok則說明，美國海外投資委員會（Committee on Foreign Investment in the United States，CFIUS）曾在2019年，要求檢查字節跳動在2017年買下Musical.ly的交易案，當時字節跳動已經放棄Musical.ly的美國資產，而且提供了大量的文件與詳細資訊予CFIUS，藉以證明TikTok的安全措施，包括把TikTok美國用戶的資料存放在美國及新加坡，以及確保相關資料庫無法被未經授權的人士存取，涵蓋美國以外的任何政府。</p> <p>此外，TikTok也批評CFIUS在未說明TikTok的安全措施何以無法修補美國的國安疑慮之下，就單方面中止了雙方的交流，還在審核期限的最後5分鐘作出了決定，認定TikTok存在著國安風險。</p> <p>TikTok亦說川普的行政命令誤用了《國際緊急經濟權力法》（International Emergency Economic Powers Act，IEEPA）的名義，因為該法主要規範的是電信業者，可TikTok並不是；並說川普希望從交易中拆成一事，根本與他所宣稱的國家安全無關。</p> </div></div></div>
2020/8/25 13:00作者陳曉莉https://www.ithome.com.tw/news/139593
Windows 95問世25年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月24日似乎不是什麼特別日子，但在電腦史上卻有相當意義，因為是Windows 95上市25周年紀念日，象徵現代化Windows作業系統重要版本已經跨過1/4世紀。</p> <p>1995年8月24日，微軟共同創辦人之一比爾蓋茲宣布開賣Windows 95，為了促銷，微軟砸下巨資舖天蓋地播放搭配滾石合唱團《Start Me Up》及狂打「開始」功能表的<a href="https://www.youtube.com/watch?v=BNzWyQPIpVg" target="_blank">電視廣告</a>，還請來《六人行》演員演出介紹Windows 95的情境短劇。微軟強力行銷下，Windows 95頭5個星期就賣出700萬套，包括許多還沒有電腦的消費者。</p> <p>Windows 95工程版本是Windows 4.0，最大的貢獻之一在於圖形使用者介面較Windows 3.1的大幅革新。Windows 95某些元素一直沿用並保留在Windows 10中，包括開始功能表、工作列、捷徑、Outlook、檔案總管、資源回收筒，以及視窗右上角關關或縮小、放大的按鍵等。也是從Windows 95開始，使用者可以為檔案取長檔名，而不限於之前的8個字母。Windows 95的開機音樂及視窗飄揚的開機畫面，開啟許多學生和上班人士的一天。Windows 95種種設計讓一般用戶也能輕鬆使用，讓電腦不再只是程式高手的專利，奠定了微軟在桌機電腦作業系統的獨大地位。</p> <p>Windows 95也是第一個搭售微軟自有瀏覽器Internet Explorer（IE）的作業系統。這個策略讓IE成功打敗原有最受歡迎的瀏覽器Netscape，一度市占率高達9成，也種下2000年美國司法部對微軟的反托拉斯官司的主因。</p> <p>25年後的今天，微軟不再獨霸運算世界。許多人用智慧型手機的時間超過電腦，曾經獨大的IE今天幾乎瀕危，還好微軟及時改用Chromium為核心，才使後繼者Edge免於絕跡命運，但是Bing搜尋早已被Google邊緣化。但Windows還是繼續保留住消費者，包括加入防毒及其他安全功能、每月安全更新讓電腦更安全更穩定，當然另一原因是2015年推出的Windows 10起，改成一年改版2次的<a href="https://www.ithome.com.tw/news/95771" target="_blank">「軟體即服務」</a>，使用者不想升級也很難。在Windows 95打下的基礎上，微軟還是讓Windows成為許多人生活中不可或缺的一塊。</p> </div></div></div>
2020/8/25 12:15作者林妍溱https://www.ithome.com.tw/news/139592
微軟出面聲援Epic Games對抗蘋果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近來蘋果似乎已成為眾矢之的，就在蘋果因Epic Games於《要塞英雄》（Fortnite）植入自家的Epic Direct Payment支付機制，而將《要塞英雄》自App Store下架，使得Epic Games控告蘋果，蘋果也準備封殺Epic Games的所有開發者帳號之際，微軟也在周日（8/23）提交了法院文件，宣稱蘋果封殺Epic Games的作法，將會危及微軟與其它遊戲開發者的業務。</p> <p>Epic Games是在8月13日於行動版遊戲《要塞英雄》植入Epic Direct Payment支付機制，由於它違反了App Store與Google Play的政策，當天即同時被蘋果及Google下架，使得Epic Games在同一天便狀告兩家全球最大的程式市集<a href="https://www.ithome.com.tw/news/139405" target="_blank">妨礙市場競爭</a>。</p> <p>隔天（8/14）Epic Games收到蘋果的通知，蘋果宣稱Epic Games違反多項蘋果開發者專案的授權協議，要求該公司在14天內（8/28）改善，否則即會終止Epic Games所有的開發者帳號，移除Epic Games在App Store的所有程式，Epic Games也無法再存取蘋果的軟體、SDKs、APIs與開發者工具。</p> <p>接著Epic Games於8月23日向法院<a href="https://cdn.vox-cdn.com/uploads/chorus_asset/file/21810055/file0.407182664648769.pdf" target="_blank">提出臨時禁止令</a>，要求法院制止蘋果執行上述通知。Epic Games指出，蘋果取消對Epic Games的支援是個不必要的懲罰，而且它不只影響Epic Games，也波及採用Epic引擎、並與此事無關的其它遊戲開發者。</p> <p>微軟則在23日<a href="https://cdn.vox-cdn.com/uploads/chorus_asset/file/21810025/statement_support_microsoft.pdf" target="_blank">遞送法院文件</a>以聲援Epic Games。微軟遊戲開發者體驗總經理Kevin Gammill,表示，Epic Games所打造的虛幻引擎（Unreal Engine）對於包括微軟在內的許多開發者，都是個重要的技術，這類的遊戲引擎提供開發者必要的繪圖、渲染、物理、聲音、網路或其它技術，以讓開發者能夠在不同的平臺上建置遊戲，雖然有些開發者會自行打造遊戲引擎，但也有許多的開發者缺乏建置遊戲引擎的資源或能力，因而必須仰賴第三方的遊戲引擎，或是利用第三方引擎來減少開發成本。</p> <p>而虛幻引擎即是最熱門的第三方遊戲引擎之一，拒絕Epic Games存取蘋果的SDK或其它開發工具，將使得Epic Games無法再支援iOS或macOS上的虛幻引擎，殃及眾多的遊戲開發者。</p> <p>另一方面，蘋果對於被Epic Games指控妨礙市場競爭一事，蘋果也在21日向法院<a href="https://www.courtlistener.com/recap/gov.uscourts.cand.364265/gov.uscourts.cand.364265.36.0_2.pdf" target="_blank">提出了回應</a>，指出Epic Games在這幾年享盡了蘋果App Store所提供的好處，卻不願遵守App Store的規範，其實Epic Games只要修正程式就好了；而且就算缺乏蘋果的支援，《要塞英雄》還是能夠在其它的平臺上運作，市場上有眾多的遊戲平臺可供選擇，像是微軟、Sony或任天堂，蘋果並未壟斷市場。</p> <p>蘋果亦指責Epic Games不想再遵守蘋果的規定，於是決定違反與蘋果之間的協議，還向法院提出訴訟，此舉將會威脅App Store的整個生態體系，因為未來開發者都能破壞與蘋果之間的協議、危及App Store的安全性，還能規避應支付給蘋果的款項，且受害的將是喪失隱私、安全及品質的消費者。</p> <p>其實不管是Google或蘋果，都因Epic Games在《要塞英雄》遊戲中嵌入自家的支付機制而將它自程式市集中移除，且Epic Games亦同時控告蘋果與Google妨礙市場競爭，但外界認為對Google的指控較難成立，因為相較於iOS用戶只能從App Store下載程式，Google允許使用者自開發者網站或第三方市集下載Android程式，較無壟斷疑慮。</p> <p>近來直接或間接抨擊蘋果App Store政策的，還有Spotify、Telegram、臉書及代表數位內容產業的Digital Content Next。</p> </div></div></div>
2020/8/25 10:00作者陳曉莉https://www.ithome.com.tw/news/139587
Zoom周一斷線3小時，衝擊開學、開工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>視訊平臺Zoom於周一（8/24）斷線約3小時，影響眾多因武漢肺炎（COVID-19）疫情而在家上班的使用者。</p> <p>美東時間周一早上（臺灣時間晚間）8:00左右，使用者抱怨無法登入Zoom 網站、使用Meetings及Webinar服務，由於正值北美一周開始，也是美國學校開學的第一天，斷線影響許多人上課及工作。</p> <p>Zoom於9:50表示，已經找出造成用戶無法登入Zoom美國網站及加入會議、Webinar的原因，正在設法解決。11:00左右Zoom<a href="https://twitter.com/zoom_us/status/1297912915882733573" target="_blank">表示</a>已著手部署修復，而在12:45該公司<a href="https://twitter.com/zoom_us/status/1297937770791317504" target="_blank">宣布</a>修補完成。</p> <p>根據<a href="https://downdetector.com/status/zoom/" target="_blank">DownDetector</a>的統計，受影響用戶主要分布在北美，但歐洲、澳洲、紐西蘭以及部份亞洲國家包括日本、香港及新加坡用戶，也反映服務出問題。</p> <p>Zoom執行長袁征透過<a href="https://twitter.com/ericsyuan/status/1297951568898060288" target="_blank">推特</a>對服務斷線影響許多用戶會議、上課及重要會面致歉，表示會改進以防此事未來再次發生。</p> </div></div></div>
2020/8/25 10:15作者林妍溱https://www.ithome.com.tw/news/139590
美國大數據獨角獸Palantir去年虧損5.8億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國神秘的獨角獸IT企業Palantir最近再度躍上媒體版面，原因是Palantir在今年7月底向美國證券交易委員會（SEC）提出IPO申請書，接著Palantir把總部從矽谷搬到丹佛，這兩天則傳出Palantir於去年虧損了5.8億美元。</p> <p>在2003年成立的Palantir專精於大數據分析，由於除了創辦人之一的Peter Thiel以外，美國中情局（CIA）是Palantir早期的唯一投資者，使得Palantir被外傳為是CIA所扶植的IT公司，而且有不少客戶都是美國州政府或地方政府，但也不乏金融與醫療領域的客戶，先前有媒體報導CIA借重Palantir的技術來預測犯罪活動，而美國總統川普（Donald Trump）在2016年接見12位科技大佬時，當中就包含了Palantir執行長Alex Karp，其它的11家企業是蘋果、臉書、微軟、Alphabet、英特爾、甲骨文與IBM等，Palantir則是這12家企業中唯一未上市的，顯見Palantir與美國政府的關係非凡。</p> <p>Palantir是家頗具爭議的公司，外傳它以大數據協助美國軍方成功定位與擊斃基地組織首腦賓拉登，同時它也協助美國移民及海關執法局，將非法移民逐出美國而受到批評。</p> <p>Palantir在提出首次股票公開發行（IPO）申請書時，該文件並未對外公開，然而，<a href="https://www.nytimes.com/2020/08/21/technology/palantir-ipo-580-million-loss.html" target="_blank">紐約時報</a>與<a href="https://techcrunch.com/2020/08/22/palantir-and-the-great-revenue-mystery/" target="_blank">TechCrunch</a>取得了Palantir寄給股東的財務文件，一揭Palantir的經營狀況。根據報導，Palantir在2019年的營收為7.42億美元，比2018年成長了25%，但虧損5.8億美元，虧損金額與2018年相當。在去年的營收中，有3.5億美元是來自於政府合約，另有近4億美元來自企業。</p> <p>這份財報之所以受矚目，原因之一是前幾年相繼有媒體報導Palantir取得了超過10億美元的合約，但Palantir所公布的年度營收卻都低於10億美元。擁有2,500名員工的Palantir儘管營收不高，且虧損金額還占營收比重的7成，卻不損其獨角獸地位，去年身價高達410億美元。</p> </div></div></div>
2020/8/24 17:15作者陳曉莉https://www.ithome.com.tw/news/139579
台灣大哥大和Nvidia聯手，GeForce Now串流遊戲服務登臺，一般手機、文書筆電也能玩高擬真PC遊戲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台灣大哥大和GPU大廠Nvidia合作，在臺灣推出GeForce Now聯盟Taiwan Mobile串流遊戲平臺，強調用戶不需要使用配備高規格繪圖卡的裝置，就能在Android、Mac或Windows電腦上體驗運用即時光線追蹤技術的高擬真PC遊戲。</p> <p>GeForce Now是Nvidia歷經多年的測試，今年2月才正式推出串流遊戲服務，為基於Nvidia GeForce GPU提供的串流遊戲服務，標榜玩家可在Android、Chromebook、Windows PC、Mac電腦，不需要高階規格裝置，透過網路串流就能玩到以往得在高階規格裝置才能執行高擬真遊戲。GeForce Now允許玩家連結Steam、Epic Games Store、Battle.net、Uplay等帳號。</p> <p>台灣大哥大與Nvidia的合作，台哥大在旗下資料中心部署GeForce Now軟硬體，在臺灣正式提供GeForce Now串流遊戲服務，不過，目前僅開放台灣大哥大集團的寬頻用戶、5G用戶申請，讓玩家可以跨電腦或手機等不同裝置玩到3A等級（高預算、資源與推廣）的PC遊戲。台灣大哥大總經理林之晨表示，透過串流遊戲平臺，玩家不需要下載或更新遊戲、台灣大哥大的5G用戶使用GeForce Now還享有連線優先、無上限登入次數，以及6小時的上線時間。</p> <p>目前台灣大哥大針對5G用戶祭出GeForce Now優惠，月租費599到1199元的用戶，前3個月可以免費體驗GeForce Now，第4到9個月享有半價每月149元（原價每月299元），第10個月恢復原價；1399元以上5G用戶，前6個月免費體驗，第7到9個月享有半價優惠，第10個月恢復原價。</p> <p><strong>不具有獨立顯示卡的蘋果MacBook Air，被定位為文書機，透過GeForce Now也能在MacBook Air上玩高擬真PC遊戲：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20200824_105646-2.jpg" style="width: 600px; height: 450px;" /></p> <p>台灣大哥大表示，由於GeForce Now的串流遊戲服務強調體驗，目前是以台灣大哥大集團的家庭寬頻用戶及5G用戶為目標，家庭寬頻用戶提供Full HD畫質遊戲，加上其他服務需要，建議用戶的家庭寬頻網速至少60Mbps，而行動用戶上網速度需要至少15Mbps。</p> <p>為了鼓勵用戶使用5G，目前台灣大哥大並沒有開放旗下的4G用戶申請GeForce Now，且因為串流遊戲在網路上需要經過多個節點，現階段也沒有開放其他家ISP業者的家庭寬頻用戶或行動電信用戶申請，因此暫時其他用戶無法使用。不過，台灣大哥大規畫未來開放其他的用戶申請。據瞭解，台灣大哥大內部測試，在自家寬頻網路、5G行動網路之下，GeForce Now的串流遊戲體驗時延在20毫秒以內。</p> <p>目前在GeForce Now聯盟Taiwan Mobile串流遊戲平臺上，提供約百款串流遊戲，包括在地中文化及原文的PC遊戲，例如「超能競地」（Hyper Scape）、「古墓奇兵：暗影決定版」、「機甲爭霸5：傭兵」。相較於國外GeForce Now已有約千款遊戲，臺灣現在僅有百款遊戲，台灣大哥大透露年底前還會擴大遊戲陣容。</p> <p><strong>現場展示搭配兩側的搖桿，玩家就能在5G手機上體驗運用RTX光線追蹤技術的「古墓奇兵：暗影決定版」，雖為串流遊戲，但操作上幾乎感受不到延遲：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20200824_105105-1.jpg" style="width: 600px; height: 450px;" /></p> <p>除了台灣大哥大之外，中華電信在今年6月底5G開臺，就和國外新創業者Gamestream聯手，利用5G網路提供串流遊戲服務。兩大電信業者看好5G帶動串流遊戲市場，和國外的串流遊戲服務平臺合作，提供本地玩家服務。</p> <p>由於寬頻網路的普及，以及高頻寬、低時延的5G帶動下，不只是Nvidia GeForce，Google去年也推出串流遊戲平臺Stadia，強調將遊戲機等級的體驗推向Android及Chrome裝置。微軟也推出xCloud，目的在將家用遊戲機遊戲體驗帶到手機上。</p> </div></div></div>
2020/8/24 17:31作者蘇文彬https://www.ithome.com.tw/news/139577
IBM DB2資料庫爆資料外洩漏洞，影響Unix、Windows版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全研究人員發現<a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/ibm-db2-shared-memory-vulnerability-cve-2020-4414/" target="_blank">IBM DB2資料庫有一個共享記憶體漏洞</a>，可導致資料被人讀取或發動阻斷服務（Denial of Service，DoS）攻擊，呼籲企業應儘速修補。</p> <p>TrustWave研究人員Martin Rakhmanov 6月揭露<a href="https://www.ithome.com.tw/news/138324" target="_blank">思科WebEx Meetings Windows版用戶端一項漏洞</a>，讓駭客讀取記憶體而取得驗證用的符記、用戶名稱，進而存取視訊會議內容及密碼。而這問題也影響IBM DB2，特別是在trace工具（trace facility）上。</p> <p>IBM DB2是一組混合式資料管理產品，可用來分析和管理企業的結構和非結構化資料。DB2的trace工具主要是提供DB2技術支援人員診斷資料庫之用，可紀錄、追蹤DB2作業資訊，包括函式及相關參數值，並將這些資訊格式化成可讀取的檔案形式。</p> <p>編號<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-4414" target="_blank">CVE-2020-4414</a>的漏洞，是指該平臺忽略在IBM DB2 trace工具所用的共享記憶體加入明示的記憶體防護，這使得本機用戶得以讀寫記憶體區資料。攻擊者只要傳送惡意呼叫，就能開採這項漏洞而存取敏感資料，或是變更trace子系統的運作，導致DoS攻擊。</p> <p>研究人員舉例，在Windows上，啟動Process Explorer或其他類似工具就能開啟DB2主要行程（process），寫個簡單console app即可按名稱找到並開啟記憶體區，倒出開頭的若干位元組，完全無需取得許可。他還示範了只要在記憶體區寫入不正確的資料，即可引發DoS攻擊。</p> <p>本漏洞影響Unix、Linux及Windows版DB2 （包括DB2 Connect Server）9.7、 10.1、10.5、11.1和 11.5版。不過大型主機及z/OS版DB2則不受影響。</p> <p>在其通報下，IBM已在6月30日<a href="https://www.ibm.com/support/pages/node/6242356" target="_blank">發布安全更新</a>，修補CVE-2020-4414及其他安全漏洞。</p> </div></div></div>
2020/8/24 16:00作者林妍溱https://www.ithome.com.tw/news/139575
AWS社群AMI藏有挖礦惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資安業者Mitiga近日警告，<a href="https://www.businesswire.com/news/home/20200821005011/en/Security-Advisory-Mitiga-Recommends-AWS-Customers-Running" target="_blank">他們發現有個AWS社群AMI藏有惡意的挖礦程式</a>，利用企業的運算資源來挖礦，呼籲企業在AWS EC2實例上使用社群AMI時，應該要先行驗證。</p> <p>AMI的全名為Amazon機器映像檔（Amazon Machine Image，AMI），它是個軟體配置樣版，內含作業系統、應用程式伺服器與應用程式等，在Amazon Elastic Compute Cloud（Amazon EC2）上啟動一個實例時，即是藉由AMI提供必要的資訊。有許多業者打造了各種AMI並藉由AWS Marketplace銷售，但也有業者在AWS Marketplace上提供免費的社群AMI（Community AMI），兩者之間最大的差別在於，前者是經過Amazon驗證的，後者則否。</p> <p>此次Mitiga在客戶的EC2伺服器上，所發現的惡意AMI即是屬於社群AMI，該AMI是基於Windows Server 2008，且內含了門羅幣（Monero）挖礦程式。駭客的意圖很明顯，就是由企業支付運算費用，但由駭客收割挖礦績效。</p> <p>Mitiga指出，若駭客可在社群AMI上植入挖礦程式，也就能在社群AMI上植入後門，以用來滲透企業的Windows機器或環境，也可能存取該帳號的整個EC2結構，或者是嵌入勒索軟體，帶來更嚴重的傷害。</p> <p>Mitiga共同創辦人暨技術長Ofer Maor則警告，在企業的關鍵業務中採用開放的AMI，將帶來重大的安全風險，這些社群AMI非常容易取得，而且通常來自未知來源。建議AWS用戶應該要特別小心社群AMI，在採用它們之前最好先行驗證，也應使用可靠來源的AMI。</p> </div></div></div>
2020/8/24 16:10作者陳曉莉https://www.ithome.com.tw/news/139576
FBI與CISA警告：美國正出現大規模的語音網釣活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國土安全部網路安全及基礎架構安全署（CISA）與美國調查局（FBI）<a href="http://www.documentcloud.org/documents/7041919-Cyber-Criminals-Take-Advantage-of-Increased.html" target="_blank">上周聯袂警告</a>，武漢肺炎（COVID-19）疫情所造成的居家工作風潮，讓企業VPN服務日趨流行，但從今年7月起，駭客集團開始透過語音網釣（Vishing）活動，取得員工登入企業VPN的憑證。</p> <p>與傳統的網釣活動一樣，駭客先架設了模仿企業網址的登入網站，可能偽裝成支援服務的入口或是員工入口，之後再利用社交網站或各種工具蒐集受害者的背景資料，從姓名、地址、電話號碼、職位或在公司的年資等，接著便透過VoIP打電話給受害者，假裝是企業的技術支援部門，宣稱要重設VPN服務，因此需要他們的憑證，要求受害者提供憑證，包括雙因素認證資訊在內。</p> <p>有些被騙的受害者直接提供了雙因素認證資訊給駭客，有時駭客也會藉由SIM卡交換攻擊取得受害者的雙因素認證資訊。駭客入侵企業網路的目的可能是為了蒐集更多的資料，以進一步執行其它的詐騙。</p> <p>CISA與FBI建議企業應該要限制可存取VPN的裝置、時間及應用；或是部署網域偵測機制，以調查網路上是否有偽裝成該品牌的企業網址；主動掃描企業應用是否遭到可疑存取；也應監控應用程式的存取及使用量；訂定員工之間的通訊政策以避免被社交工程手法矇騙；而一般使用者則最好不要在社交網路上，揭露太多的個人資料。</p> </div></div></div>
2020/8/24 16:30作者陳曉莉https://www.ithome.com.tw/news/139578
Windows 10預覽版將預設開啟TLS 1.3支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2020/08/20/taking-transport-layer-security-tls-to-the-next-level-with-tls-1-3/" target="_blank">微軟上周宣布</a>，TLS 1.3將從Build 20170開始，在Windows 10 Insider預覽版預設開啟，而這表示未來將推向所有Windows 10版本。</p> <p><a href="https://www.ithome.com.tw/news/122056" target="_blank">TLS 1.3</a>（Transport Layer Security，傳輸層安全性協定）於2018年公布，是最新版網際網路傳輸加密協定，移除了不安全的加密演算法，也比前版提高加密安全性，旨在儘可能加快加密用戶端及伺服器端的交握速度。</p> <p>主要瀏覽器包括Chrome、Edge、Firefox和Safari<a href="https://www.ithome.com.tw/news/126434" target="_blank">已公布2020年起，終止支援TLS1.0及1.1</a>。雖然受到武漢肺炎疫情影響，<a href="https://www.ithome.com.tw/news/136731" target="_blank">微軟今年稍早延長支援期到2020年下半</a>，不過最快7月就會切斷支援，呼籲網站開發商升級到1.2版以上。</p> <p>事實上，微軟強烈建議App及服務開發商及早開始測試TLS 1.3。微軟指出，TLS 1.3使用3種密碼套件，包括：TLS_AES_128_GCM_SHA256、TLS_AES_256_GCM_SHA384、TLS_CHACHA20_POLY1305_SHA256，全部都有PFS（perfect forward secrecy，完整轉寄密碼）、AEAD（authenticated encryption with associated data）特性及現代化演算法，可解決過去因為定義了太多密碼套件，而導致的不相容及安全性不穩定的問題。</p> <p>此外它也儘可能降低傳送的明碼協定字元，以避免協定僵化（ossification）、提升隱私性，並隱藏傳送的內容長度，減少資訊暴露風險。此外，前幾版的TLS中，用戶端的身分很容易因用戶端驗證曝露，但TLS 1.3已經看不到用戶端驗證。</p> <p>微軟也計畫從.NET 5.0開始支援TLS 1.3。</p> <p>至於在瀏覽器方面，配合TLS 1.3的部署，IIS/HTTP.SYS也預設開啟TLS1.3。<a href="https://www.ithome.com.tw/news/139451" target="_top">即將在明年終止大部份支援的IE及舊版Edge</a>，現在仍然可以在進階設定下開啟支援。Chromium Edge下則可透過Edge://flags來啟用。</p> </div></div></div>
2020/8/24 13:40作者林妍溱https://www.ithome.com.tw/news/139573
臉書替體現AI加入聽覺導航能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書在去年開源了體現AI（embodied AI）模擬平臺<a href="https://www.ithome.com.tw/news/131318" target="_blank">AI Habitat</a>，該平臺的目的是為了建立一個可在實體環境中像人類般運作的機器人，不過，以往這個機器人是聾的，只有視覺，卻無聽覺，近日臉書以AI Habitat為核心並打造了<a href="https://ai.facebook.com/blog/new-milestones-in-embodied-ai/" target="_blank">SoundSpaces</a>，號稱是全球首個同時具備視覺與聽覺的體現AI平臺，大幅提升機器人辨識與理解環境的能力。</p> <p>SoundSpaces可用來訓練同時具備視覺與聽覺的機器人，臉書另也打造了一個端對端的學習框架Semantic MapNet，這是一個機器人的記憶模組，改善機器人記憶與理解環境的能力，還有一個新的預測模型，能夠用來預測機器人看不到的空間。</p> <p>基於AI Habitat的SoundSpaces提供一個新的聲音感應器，可從資料集中插入任何從真實環境中蒐集而來的聲音，再利用AudioGoal任務來挖掘在實體環境中發出聲音的物件，此外，SoundSpaces還能利用回音來判斷空間中的幾何元素。</p> <p>於是，結合SoundSpaces的機器人就能判斷正在響的手機位置，且有別於傳統的機器人導航系統必須應對特定的點，採用SoundSpaces的機器人並不需要到達特定位置的指標，只要採用多模式感應就能更快到達目的地，該平臺已<a href="https://github.com/facebookresearch/sound-spaces" target="_blank">透過GitHub開源</a>。</p> <p>臉書團隊也替機器人更新了記憶的方式，Semantic MapNet模組不只能記錄空間及語義地圖，也能建立一個以第三人視角所觀察的3D地圖，這讓機器人得以完成許多任務，像是找到某張桌子、回答有關空間的問題。</p> <p>新的Occupancy Anticipation預測模型，讓機器人可在不必造訪每個角落的狀況下，迅速繪製出陌生環境的地圖。臉書表示，與最強大的對手相較，在同樣的精確度上，臉書機器人只花了1/3的移動數量，而在同樣的移動數量上，臉書機器人的地圖精確度比對手好上30%。</p> </div></div></div>
2020/8/24 13:55作者陳曉莉https://www.ithome.com.tw/news/139574
蘋果30%抽成的程式內購買爭議又一起，但WordPress移除收費介紹就能以免費App定位重上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WordPress上周指控蘋果以未支援程式內購買為由，終止iOS版WordPress更新，不過周日蘋果不再堅持，只要Wordpress稍微修改。</p> <p><a href="https://twitter.com/photomatt/status/1296879217297113088" target="_blank">WordPress首席開發人員Matt Mullenweg 上周五指出</a>WordPress iOS App無法更新，因為遭到App Store封鎖30天，只有加入程式內購買（in-App purchase，IAP），才能恢復為iOS App更新、修補bug。</p> <p>WordPress App本身免費，僅供用戶在手機或平板上管理、操作Wordpress網站。但是<a href="https://wordpress.com/pricing/" target="_blank">WordPress.com網站</a>卻有網域名稱和其他個人、企業或電商網站的付費方案。</p> <p>WordPress iOS App中只稍稍提及WordPress.com的「方案」，但這點被蘋果盯上，要求WordPress App必須加入程式內購買（IAP）。蘋果的理由是，只要App允許使用者從其他平臺或網站存取App的內容、訂閱或功能，就必須支援這項功能。</p> <p>透過iOS App內的IAP功能，每筆用戶的支出蘋果都可以分得30%，這就又被俗稱為「蘋果稅（Apple Tax）」。</p> <p>Mullenweg原本提出從iOS App上，拿掉提及WordPress.com付費方案的文字，來保持App原有設計的建議，但不被蘋果接受，因此<a href="https://twitter.com/photomatt/status/1296906818552082432" target="_blank">他周五說</a>不打算抗爭，同意在iOS App中加入IAP。</p> <p>不過或許此事周末引發不少用戶聲援WordPress與批評蘋果，迫使蘋果退讓。周日Mullenweg指出，很高興蘋果重新審視WordPress iOS App後，同意他們不需要加入IAP，而能持續更新App。</p> <p><a href="https://www.theverge.com/2020/8/22/21397424/Apple-wordpress-apology-iap-free-ios-App" target="_blank">蘋果也對The Verge證實</a>，由於WordPress從iOS App移除服務支付選項的（文字）陳述，現在它已是一款獨立的免費App，不再需要提供程式內購買。</p> <p>蘋果作為App Store的營運者掌握第三方App生殺大權，令App開發商不滿。<a href="https://www.ithome.com.tw/news/129325" target="_blank">Spotify</a>和Telegram先後向歐盟提出蘋果稅及限制措施的控告。而最新例子是知名電玩開發商 Epic Games在其《要塞英雄》（Fortnite）中，加入了一個試圖繞過蘋果和Google的支付功能，被蘋果、Google下架，引發Epic公司不滿而<a href="https://www.ithome.com.tw/news/139405" target="_blank">狀告兩家大廠</a>。</p> </div></div></div>
2020/8/24 10:55作者林妍溱https://www.ithome.com.tw/news/139569
中國扶植自有開源雲端平臺Gitee
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於擔心美中資訊、外交戰白熱化影響，造成中國開源碼社群無法使用美國的GitHub，中國政府號召中國公司代管<a href="https://blog.gitee.com/2020/08/17/gitee-gxb/" target="_blank">Gitee</a>，以推動自有開源碼平臺。</p> <p>中國工信部今年7月中發表<a href="https://www.cec-ec.com.cn/cms/channel/1xmgg3/648.htm" target="_blank">「2020年開源托管平臺項目」</a>的政府標案結果，由開源中國（背後為一家總部位於深圳的奧思網絡科技）、中國官方單位（包括工信部信息安全發展研究中心、電子第五研究所、中國電子技術標準化研究院）、華為、浪潮、蘇州稜鏡七彩等10家機構拿到標案，將以Gitee建設中國獨立的開源代管平臺。</p> <p>一如中國發展自有晶片、半導體技術及作業系統，這項標案或許也反映中國為了擺脫美國的技術箝制，而啟動的技術自主化計畫。</p> <p>為了發展開源碼，中國開發人員十分仰賴GitHub。根據<a href="https://zh.wikipedia.org/zh-hant/%E5%AF%B9GitHub%E7%9A%84%E5%AE%A1%E6%9F%A5%E5%92%8C%E5%B0%81%E9%94%81" target="_blank">維基百科</a>，2013年中國網路防火牆封鎖了GitHub，不但引發時任Google中國高層的李開復在新浪微博批評，其訊息也被大量轉發，三天後GitHub被解除封鎖。而近年雖然中國官方仍對GitHub心有忌憚，但不像Google、臉書、紐約時報等美國知名網站，GitHub在中國大部份地區仍然可使用，顯示其在中國開發人員之間的影響力。</p> <p>然而今天GitHub已成為微軟的一項業務，作為美國公司，可能成為美國政府制裁外國的利器。在去年5月美國商務部將華為列入實體名單後，微軟是否中斷對華為等中國公司授權Windows一直引人關注，但Techcrunch報導，去年7月微軟也曾配合美國政府政策，切斷伊朗、敍利亞、及克里米亞對GitHub部份服務的存取。</p> <p>成立7年的Gitee是中國當地的開源雲端平臺，根據<a href="https://gitee.com/?from=blog" target="_blank">其網站</a>指出，現今Gitee代管了超過1000萬個開源專案，號稱中國第一、全球僅次於GitHub的開源專案代管平臺，開發人員超過500萬，企業用戶超過10萬家。</p> <p>Gitee指出，開源產業是中國軟體和資訊技術業的發展重點，獲得國家支持後，將有助於提供本地開發人員一個平臺，透過開源碼加速中國的資訊技術創新水準。</p> <p>從去年5月美國商務部啟動對華為禁令後，Google中止提供華為新手機的Android及Google應用授權，經過將近一年透過臨時通用許可（temporary general license）允許美國電信業採購華為產品，商務部本月擴大<a href="https://www.ithome.com.tw/news/139457" target="_blank">對華為制裁</a>，且不再展延TLG，完全中斷了華為使用Android的管道。</p> </div></div></div>
2020/8/24 11:25作者林妍溱https://www.ithome.com.tw/news/139570
【關鍵資安議題】新世代資安指揮中心來了！提供更強大洞察力與執行力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-0821.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">NG-SOC成為新世代資安指揮中心的要角，更著重積極且主動的快速應變。因此，若我們要發展這樣的防護體系，能否具備NG-SIEM、XDR、CTI，以及SOAR等四大關鍵能力，將是朝向NG-SOC的要素。（圖片來源／黃繼民）</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>綜觀近年的資安趨勢發展，威脅的挑戰程度，遠超過多數已布建的資安防護工事，用電玩遊戲來比喻，相當於一名等級100的玩家突然遭遇到等級999的魔物來襲，是個挑戰困難度高到失衡的狀態；但在現實世界中，我們並無法透過大量課金作弊升級、買神裝或神卡，來克服資安威脅攻擊。然而，資安防護任務並非單一個人或小團體的作戰方式，面對層出不窮、已知與未知的現代資安威脅，我們必須透過組織群體合作方式，才能確實有效地應對。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-1(8).jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">駭客攻擊手法已經超出傳統防護模式，企業必須能夠同時從多方位、多維度分析，萃取出威脅情資，並且即時反應處理。</strong><strong style="color: rgb(105, 105, 105);">圖片來源／黃繼民</strong></p> <p>而在資安防護的工作上，SOC過往一直是扮演資安工作的情訊收集，以及持續監控通報的角色，主要由人員、技術、程序等三大構面來組成運作，協助資安事件調查分析與告警通報等功能任務，但由於SOC在事件處理的主動性不足，因此，往往被定位為後勤支援角色。</p> <p>不過，這幾年以來，新一代的SOC崛起，已成為現代資安防護任務不可或缺的資安指揮中心，因為對於資安威脅，SOC除了要能「感覺到」、「看得見」，還要能夠「思考明辨」，並且快速做出準確的行動反應。</p> <p><span style="font-size: 28px;"><strong>SOC的型態發展轉變</strong></span></p> <p>一般而言，SOC被稱之為「資安監控維運中心」，最初出現於1975年，主要的工作與任務是協助政府及國防組織，針對防禦低影響的惡意程式碼（意即電腦病毒）的分析研究；到了2007年左右，網際網路的普及，也將資安威脅帶到新的時代，SOC開始因應APT（進階持續威脅）的資安趨勢，而有了大幅改變，而這也是現今比較廣為認知的SOC型態，主要的功能是針對日誌記錄的收集與保存，並且根據常見已知定義的規則生成警報。</p> <p>在此一階段的SOC運作模式中，我們相當倚重的作法，是運用日誌管理系統（Log Management），以及安全資訊事件管理系統（SIEM），而這樣的機制也延續至今。</p> <p>但是，隨著各式新興科技應用的出現，以及各種使用多年的舊有技術接連被揭露安全性漏洞問題，因此，現代的資安防護者須面對巨量且複雜的資訊，還有快速出現但來不及搞懂、學習的新東西。</p> <p>同時，由於傳統的SOC採取消極處理機制，因此，我們在發現入侵（Time to Detect，TTD）和有效回應（Time to Response，TTR）所需的平均時間，已分別增加至197天和69天，而在這一段風險的空窗期間，足以讓駭客完成布局。</p> <p>到了新一代的SOC，則提升為「資安指揮中心」的專責單位，尤其在最近的資安法規中，也明定要求組織內對於SOC的必要性。事實上，新一代SOC需要具備更積極的處理機制，以及快速偵測回應，包括更精確的事件通報、更充足的資安情資、更具體的建議幫助決策執行，進一步做到預警、預測、預防的提前主動性，目的就是要求快速跟精確。究竟，我們將如何建構出具備洞察力與執行力的新世代資安指揮中心（NG-SOC），以下我將針對四項關鍵能力來說明。</p> <p><span style="font-size: 28px;"><strong>NG-SIEM提升資安情報的掌握能力</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/600-2-821.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>NG-SIEM已經加入智能分析能力，能夠針對巨量多變的現代資安攻擊威脅快速分析，提出更精確的情報資訊。在下一階段，NG-SIEM則邁向主動防禦，與SOAR技術整合搭配是未來趨勢發展。</strong>圖片來源／黃繼民</span></p> <p>SIEM也被稱為資安戰情平臺，是幫助SOC資安人員掌握資安事件狀態，以及下定決策的情報中心；但是，過往SOC所採行的舊式SIEM，對於資安事件的處理模式，多半著重於事件日誌的接收保管及機器式的過濾條件，即使套用不知從何而來的關聯規則，舊式SIEM所產生出來的內容，仍是被整齊分類與統計的資料（Data），而非有助於資安事件掌握與決策判斷的情報資訊（Information）。</p> <p>而由於舊式SIEM無法即刻提供明白準確的資訊，也造成SOC對於資安事件的應變處理效率低落，在專業人力的需求亦隨之提升，此時，更遑論建立可靠的聯防機制。</p> <p>所以，當我們在面對現今巨量複雜的資安威脅情勢下，後起的次世代SIEM（簡稱NG-SIEM），如今已經引進大數據分析（Big Data），以及智能處理（Intelligence）等二大新技術，做為核心改造提升動力。</p> <p>首先，大數據分析技術主要應用於NG-SIEM的搜尋引擎核心，主流採用的平臺，包括：Splunk、ELK，以及Hadoop等。有鑑於大數據分析對異質性的巨量資料具有極佳的處理效果，因此，對於過往面對的資安事件資料處理議題，能夠有效解決，包括：當下大量不同來源及格式的資料，以及已發生的過往記錄資料追溯，皆可透過低耗能且極快速的方式，進行大量資料分析處理。</p> <p>接著，是智能處理技術，主要涵蓋人工智慧（AI），以及機械學習（ML）的技術。</p> <p>基本上，導入大數據，只是提升資料分析的處理效率，但要將資料轉換成有幫助的資訊，則須利用AI及ML智能技術相輔，才能真正獲得分析的效果。</p> <p>而且，智能處理具備多維度邏輯推演的資料分析能力。相較於傳統機器式的過濾條件跟關聯規則來說，智能處理能夠幫助SOC，使其對於資安事件的資訊掌握度更加準確快速，並且能進一步發現潛伏中的異狀。</p> <p>綜觀上述，NG-SIEM所要扮演的資安戰情平臺，是提升新世代SOC朝向洞察力與執行力的關鍵基底，畢竟，資訊情報的掌握，是無論任何型態的戰爭所必要的，當然也包括資安戰。</p> <p><span style="font-size: 28px;"><strong>XDR提升資安威脅獵捕能力</strong></span></p> <p>「縱深＋聯合防禦」是標準的資安防護準則，實務上，卻不容易達成這些要求，主要原因在於，我們對於資安威脅的偵測（Detection），以及回應（Response）方式，缺乏一致性與協調性。簡單來說，就像瞎子摸象。</p> <p>加上以往的資安工作過於執著於記錄資料（Log Data）的收集，尤其是對於「軌跡保存」與「日後調查舉證」的錯誤認知，因而產生採取下列這些舉動，結果卻成為善盡做好資安工作的「假象」，例如：監督好資安防護系統、偵查系統、存取日誌，以及系統日誌等等的通報跟記錄。</p> <p>但事實上，這些資料對於資安事件的分析與調查工作幫助並不大，主要的原因在於，回應的資料訊息「含金量」不足。</p> <p>因此，EDR是最開始被提出的新一代偵測與回應方法，針對最常遭遇惡意程式威脅的端點（Endpoint），進行「偵測與威脅捕捉、分類、調查和回應」等每個階段的安全作業。</p> <p>而後起的XDR，則是進一步包含網路、端點或雲端等現今主要數據環境，「X」代表多種資料來源，透過連結來自多個來源的數據，清楚完整的提供組織活動整體及各階段偵測到的資安情報。</p> <p>換句話說，透過XDR的偵測方式，並非用單一個「點」來做為資安威脅發現依據，而XDR的回應方式不僅執行阻斷隔離的處置外，更重要的是產生精確的情報資料，對於後續的資安威脅分析作業上，能夠提供更有助於根源追溯、行徑追蹤、行為調查、以及預測、預防的效果，大幅提升威脅獵捕（Threat Hunting）的能力。</p> <p><span style="font-size: 28px;"><strong>CTI提升對於資安威脅的識別能力</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/ISSDU%E5%9C%96%E7%89%874_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E9%BB%83%E7%B9%BC%E6%B0%91.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>資安威脅情資的來源多樣，資安人員必須瞭解不同資安威脅情資的類型，以及取得來源方式。我們若能善用情資，將有助於資安威脅事件的分析判斷，並且預先掌握攻擊的意圖與趨勢。</strong>圖片來源／黃繼民</span></p> <p>CTI是網絡威脅情報（Cyber threat intelligence）的縮寫，或稱之為「威脅情資」。基本上，威脅情資不同於新聞訊息。我們能以冰山理論來解釋兩者的差異，例如，新聞訊息就像在水面上已暴露的資訊，而威脅情資包含更多水面下未曝光的深網、暗網及神秘研究情報，同時，「威脅情資」是關於資安威脅，以及威脅參與者的資訊情報集合體。</p> <p>此外，威脅情資主要是已經被發現揭露的攻擊方式情報，包括：</p> <p><strong>1. 技術情報：<span style="color: rgb(105, 105, 105);">涵蓋了IOC威脅指標、IP/Domain CnC黑名單、惡意程式的檔案名稱或指紋（Hashes）。</span></strong></p> <p><strong>2. 操作手法情報：<span style="color: rgb(105, 105, 105);">有關於該項攻擊威脅所採用的駭客工具、技術，以及程序。</span></strong></p> <p><strong>3. 戰略情報：<span style="color: rgb(105, 105, 105);">針對該項攻擊的總體威脅、影響範圍與傷害程度等資訊。另一個值得關注的資訊，則是威脅參與者（或習慣稱為駭客組織），尤其在APT攻擊、目標攻擊，以及規模型態攻擊的背後，幾乎都有駭客組織的操弄。</span></strong></p> <p>就現今而言，「威脅情資」的取得來源越來越多，有開源免費的與商用付費的資選擇，每一家威脅情資內容的專業度與涵蓋量，各有所擅長之處，因此，在選擇上，我建議至少應取得二家以上的情資來源。</p> <p>另一種「威脅情資」的取得，則來自於「分享」。例如，資安資訊分享與分析中心（ISAC），就是透過類似社團會員之間的資安訊息交換模式。幾年之前，臺灣以資安法推動規範八大關鍵基礎的產業，成立領域ISAC，推動情資格式標準化與系統自動化的分享機制。</p> <p>當資安威脅事件的分析過程中加入「威脅情資」的成分，將有助於SOC對於資安威脅事件的掌控。當資安事件發生時，我們不需要再手忙腳亂、緊張兮兮，而是能夠冷靜識別出哪些攻擊事件的手法技巧，是否源出同門？是否有針對性（例如：產業、系統類型、人員等）？或計畫性（例如以掃描情蒐、慢速測試、間歇探測等）的行為企圖，以及是否存在駭客團體犯罪成份。如果我們能夠適當地結合前述的NG-SIEM與XDR，將有助於SOC資安人員快速做出相對正確的防禦準備。</p> <p><span style="font-size: 28px;"><strong>SOAR 提升資安聯防協作的自動化應變能力</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/ISSDU%E5%9C%96%E7%89%875_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E9%BB%83%E7%B9%BC%E6%B0%91.png" style="width: 600px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>以常見的電子郵件夾帶惡意程式為例，當企業收到一封的可疑郵件時，SOAR可以依據我們針對電子郵件安全政策設計的「劇本（Playbook）」，進行深入檢測分析與應變處理的過程。以往，這一連串的不同作業過程，必須耗費數個小時之久，並且需要將零散的結果彙整報告；而透過SOAR的使用，則可以幫助資安人員於幾秒鐘或幾分鐘內，快速完成一切作業與報告。</strong>圖片來源／黃繼民</span></p> <p>如果說SIEM是善於將資料分析並轉換資訊的大腦，那麼，SOAR則可說專長在應變處理與協調運動的小腦。而對於要做到真正具備洞察力與執行力的SOC資安指揮中心來說，SOAR是重要的關鍵要素。</p> <p>SOAR是什麼？它的全名為Security Orchestration, Automation and Response，意即「資安協作自動化應變」。以過往SIEM為例，對於資安威脅，著重於事件「分析調查與資訊提報」的方法，相較之下，SOAR聚焦在事件「應變處理與協調行動」，換言之，SOAR的技術導入，將大大改變過往SOC被認為「說的多」、但「做的少」的窘境，也因此使得SOAR很快成為各方矚目關注的熱門議題。</p> <p>如前面一再提到，現今資安威脅的情況，不僅是數量龐大且型態複雜，單純靠偵查與分析的方法，只會產生更多應接不暇的事件資訊；但不斷湧入的資安威脅資訊量，在無法有效處理消化下，已經導致許多企業組織產生資安恐慌，以及威脅麻痺的狀況。</p> <p>多數企業會建立非常細緻的資安事件應變處理或標準作業程序，但往往流於紙上談兵，主要因素在於，這些機制程序往往因為推演內容不確實、人員熟練度不足、情報資訊傳遞不通暢等弊病，導致最終無法做出準確的應變處置。</p> <p>此外，聯防自動化雖然也被大量討論，但當中對於「自動化」的做法，其實比較像是執行一段單向的機械式指令，當事件符合規則情境時，就針對特定裝置系統觸發執行定義好的執行命令；只是當實際上面對不同情況的資安事件，以及各式的資安系統（不同類型、多種廠牌）時，要達到理想中的自動化及聯合防禦應變，幾乎是不可能的任務。</p> <p>SOAR技術的出現，則是實現「資安協作自動化應變」的最佳方法。為何這麼說？在研究機構Gartner的《Hype Cycle on Threat-Facing Technologies, 2018》報告，當中是這麼解釋的：SOAR是一系列技術的集合，能夠幫助企業和組織，收集安全維運中心監控到的各種資訊（包括各種安全系統產生的警示），並對這些資訊進行事件分析和警示分類；同時，在標準工作流程的指引下，利用人機結合的方式，幫助安全維運人員定義、排序，以及驅動標準化的事件應變。</p> <p>在技術上，「SOAR資安協作自動化應變」可獨立運作，或是與SIEM相互整合搭配，同時，它也具備了下列三大重要特色：協調作業（Orchestration）、自動化（Automation），以及應變（Response），而這些應用機制的出現，明顯針對傳統資安維運工作所難以達成的部分，進行改善跟補強。</p> <p>而對於企業組織而言，SOAR以技術的形式。將SOC的人員、程序、及技術等三大要素加以整合串聯，將企業組織中不同的系統，或是一個系統中不同元件的安全能力，透過「應用程式介面（API）」的使用，按照一定的邏輯關係，組合成各式的「劇本（Playbook）」，而這些劇本可說是將擬訂好的標準作業及流程，以更具體的可視性圖形呈現，並據此執行完成各種對應的安全作業程序。</p> <p>此外，這些程序能以完全自動化或半自動化的方式來執行。以全自動化模式來說，多半套用在常態性作業（Regular Operations），而半自動化則是在執行動作之前先由相關負責的資安人員或IT人員作「判斷跟決定」，如此可以減少人員在面對多樣不同系統的高度專業要求，並且降低人為操作錯誤跟帳號權限分配等問題。最後，當SOAR對於資安事件的應變處理記錄，也具備資安威脅事件管理效果，其執行的警示通報、工單流程紀錄、各程序執行結果，都將幫助SOC更精準地面對資安威脅事件的調查分析，並且提供政策調整改善的依據。</p> <p><span style="font-size: 28px;"><strong>如何縮短偵測與應變時間，以及具備精準判讀能力，是未來資安防護最大挑戰</strong></span></p> <p>關於資安防護策略的發展，我們可預期未來將越來越著重於應變處理，對於平均偵測時間（MTTD），以及平均回應時間（MMTR）的要求，也將更加急促。</p> <p>但是，在追求快速的同時，我們對於資安事件的準確識別與判讀，仍需仰賴更智慧的數據分析方法，並且搭配具邏輯的自動化作業，才是完善的解決方法。<span style="color:#696969;"><strong>文☉數聯資安股份有限公司資安管理平台發展處副處長黃繼民</strong></span></p> </div></div></div>
2020/8/24 12:00未署名https://www.ithome.com.tw/article/139571
Gmail/ G Suite冒名信件漏洞通報超過4個月，Google終於修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google稍早針對Gmail和G Suite郵件系統釋出修補程式，以解決一個通報137天、可被人用來發出冒名郵件的漏洞。</p> <p>這項漏洞是<a href="https://ezh.es/blog/2020/08/the-confused-mailman-sending-spf-and-dmarc-passing-mail-as-any-gmail-or-g-suite-customer/" target="_blank">由研究人員Allison Husain發現後向Google通報</a>。這個漏洞發生在Google後端郵件流程規則上，造成冒名轉發，再配合郵件閘道的使用，使攻擊者得以繞過現代郵件系統嚴格的SPF/ DMARC規則保護，冒充G Suite/Gmail用戶發送冒名郵件給他人。</p> <p>SPF（Sender Policy Framework）和DMARC（Domain-based Message Authentication, Reporting, and Conformance）的規則可防止普通冒名信件。原理是將一組網域許可的發信者IP清單交給郵件伺服器比對，不在清單上的IP送出的信，包括冒名或釣魚信件就不會被郵件伺服器接收；反之合法來源送來的信就會被接受。但是研究人員發現的冒名信件攻擊，卻是Google環境獨有。</p> <p>研究人員解釋，G Suite後端全域郵件流程規則（global mail routing rule）設定允許變更收信人，這讓她得以指定任意收信者。而G Suite卻也未驗證就接受了這個收件者值。這使得攻擊者得以利用Google 後端將任何信件，包括冒名信件轉寄出去。而在收信端的郵件伺服器上，來自Google（Gmail、G Suite）後臺的信件，可通過SPF/DMARC規則檢查而被視為合法來源的信。另外，研究人員又發現，只要轉發自Gmail、G Suite的信件包含郵件閘道設定，則終端郵件伺服器就會自動通過SPF/DMRAC檢測，確保郵件連被隔離的可能性都沒有，而是會直接進入收件者信箱。</p> <p>整合G Suite郵件驗證規則中的收信者驗證錯誤及信件閘道，讓攻擊者得以讓Google後端轉發任何網域的信件，包括冒名郵件。而如果被冒名的人剛好也同時有用Gmail或G Suite就更好了，因為這些人的網域會設定允許Google後臺轉發其網域的信件，而可順利通過SPF及DMARC的檢查。另一好處是，垃圾郵件過濾引擎也往往較不會攔阻或封鎖來自Gmail、G Suite的郵件</p> <p>研究人員指出，Google獨有的漏洞讓攻擊者得以發送冒名信件，就連有SPF/SMARC規則防護也會被繞過，使企業用戶面臨詐欺信件或商業電子郵件詐騙（Business Email Compromise，BEC）。</p> <p>Husain於4月初發現該漏洞後即通報Google，但是等到8月1日卻仍不見Google修補的跡象。8月中Google表示，要到9月17日才會釋出修補程式。8月19日時，研究人員以超過137天為由公布漏洞。而在公布後7小時，Google就完成修補。雖然拖了4個月才完成修補，但研究人員仍然讚揚Google態度良好且動作迅速。</p> </div></div></div>
2020/8/24 10:20作者林妍溱https://www.ithome.com.tw/news/139568
【臺灣資安2020的下一步戰略】透過數據驅動的資安情資，做資安防駭超前部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球武漢肺炎確診人數至今已超過一千五百萬人，死亡人數也超過五十萬人，臺灣採用科技作為防疫手段，從邊境控管到居家檢疫與居家隔離的電子圍籬系統等，雖然武漢肺炎疫情從全球大爆發已來、未曾稍緩，臺灣卻因此得以偏安一角，宛如置身與全球民眾平行時空的桃花源。</p> <p>前行政院副院長陳其邁在協助召開跨部會防疫後勤會議時便曾表示，臺灣的科技防疫最寶貴的地方在於，我們彰顯了民主法治國家也可以做到「民主防疫」，在兼顧個資隱私保護和防疫的過程中，取得一個平衡點，而這也是臺灣科技防疫的成效。</p> <p>但是，落實科技防疫，少不了資安作為基礎，臺灣在轉型為數位國家、發展數位經濟的過程中，面對數位轉型的壓力，資安更是一切科技應用的最底層。而我國政府面對「第五期資通安全發展方案」即將於2020年到期，如何規畫下一期的資安對策？除了進一步強化第五期方案的落實度，更要透過數據驅動的資安情資，讓臺灣在資安防護實力上，也能做到超前部署。</p> <p><span style="font-size:28px;"><strong>第五期資通安全發展方案已見成效</strong></span></p> <p>早在2001年，政府開始推動第一期的資通安全基礎建設工作，而這就是2001年～2004年的第一期機制計畫，目的在於「建構資安防護體系，完成政府機關分級機制」；下個階段是2005年～2008年第二期機制計畫，主要是「健全資安防護能力，成立國家資安監控中心」。</p> <p>接著是2009年～2012年第三期發展方案，則在於「強化資安整體應變能力，精進通報應變機制」；隨後是2013年～2016年第四期發展方案，重點在於「加強資安防護，管理二線監控機制與資安情報分享」。</p> <p>到了最近的2017年～2020年第五期資通安全發展方案，則是以「打造安全可信賴的數位國家」為願景，並以「建構國家資安聯防體系，提升整體資安防護機制，強化資安自主產業發展」作為發展目標；而政府具體推動的方案，則從「完備資安基礎環境」、「建構國家資安聯防體系」、「推升資安產業自主能量」及「孕育優質資安菁英人才」等四個面向著手。</p> <p>首先，完成資安管理法的立法，以及相關的法規調適，並因應新興科技發展，研擬相關的資安標準規範，是「完備資安基礎環境」這個面向的第一步；接下來，藉由強化通訊網路資安防禦與應變能量、強化物聯網安全並推動安全驗證標章，推動政府資料中心整合，優化政府網路防禦架構，就可以做到強化基礎通訊網路韌性及安全；第三步就是建立政府資安治理模式，包括：建立國家層級資安風險管理機制，以及推動政府機關導入資安治理制度，進行資安成熟度評估。</p> <p>第二個面向「建構國家資安聯防體系」，則是透過資安鐵三角：國安會、資安處及通傳會，連結八大關鍵基礎設施的主管機關，並打造ISAC（資安資訊分享中心）、CERT（電腦緊急事故處理小組）和SOC（資安維運中心），也做到強化關鍵資訊基礎設施資安防護、建立跨域資安聯防機制，以及精進網路犯罪防制能量。</p> <p>在「推升資安產業自主能量」面向上，不僅要發展新興資安產業，連結國家防衛自主需求並發展國內資安產業生態系，也要藉由推動國內廠商資安產品納入共同供應契約，以及建立資安產業標準及檢測認驗證機制，做到輔導資安產業升級；更要以國內產業技術自主為導向發展關鍵技術，達到鏈結產學研能量、發展新興資安技術的目標。</p> <p>最後，在「孕育優質資安菁英人才」面向上，我們可以從投入資源、厚植大專校院資安人才培育量能，或者是拔擢在職人士培育產業所需之資安專業人才，做到增加市場資安人才供給。另外，也要做到提升政府資安人力專業職能，而這部分工作可以從下列項目著手，像是：發展政府資安人員職能及領域職能藍圖並辦理培訓、建立資安訓練單位認證制度、培養公務人員資安基本知能，以及推動政府機關設置資安專職人力。</p> <p><span style="font-size:28px;"><strong>在既有基礎上，未來將強化資安政策落實度</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%A1%98%E6%99%AF-%E7%B0%A1%E5%AE%8F%E5%81%89-600-1.png" style="width: 600px;" /></strong></span></p> <p>接下來，政府預計規畫的「第六期資通安全發展方案」，重點就是「落實」。資安法從2019年元旦實施後發現，很多法律規範和實際執行面之間存在著落差。而這也是為什麼要將政府機關的資安責任等級進行區隔，而目前我國政府單位分成A到E五級，舉例來說，E級就是連電腦都沒有、不需承擔資安責任的單位，例如清潔隊。</p> <p>法遵是政府運作的基礎，臺灣資安法通過後也突顯一些問題，例如，法律規定各級機關有其規範的資安人力，但事實上，各個機關目前並沒有足夠的資安人力，未來如何落實法律規範的資安人力？又該如何確保相關的資安人力品質呢？資安法在專責資安人力的規定上，提供2年法律緩衝，可以透過委外等方式補足專責資安人力的不足，但緩衝期將於2020年底截止，未來，機關如何落實專責資安人力的規定，將成為各級機關的大挑戰。</p> <p>另外，關注的重點還包括：資安維護計畫如何落實，以及部會該如何稽核所屬機關的資安防護。曾經在2018年～2019年擔任縣市政府的資安稽核員，也會把相關的資安稽核方法整理後提供給各機關，重點是，部會要妥善管理所屬機關；而主管機關要管好關鍵基礎設施，未來讓各機關有機會培養自己合格的稽核員，做到稽核要務實，而不要流於紙上談兵。</p> <p>第五期資通安全發展方案對於產業發展，包括鼓勵機關採用臺灣研發的資安產品，提升臺灣資安產品品質，由政府提供測試場域（Test Bed），開放一些關鍵基礎設施的工控設備，提供資安新創公司有場域可以測試，有機會成為臺灣資安新創業者的轉機。</p> <p>資安防護法制化之後，也對於關鍵基礎設施（CI）的辨識、指定，提出明確而具體的定義，也把CI業者的權利義務清楚規範。因為以往資安是指資訊科技和通訊系統的資訊安全，但關鍵基礎設施業者更關注的是工控系統安全，而這個工控系統領域是否有足夠的資安人才，是臺灣未來資安發展的新方向、也是新機會。</p> <p><span style="font-size:28px;"><strong>資安人才培育要能夠與領域專業做結合</strong></span></p> <p>資安人才培育是「雞生蛋、蛋生雞」的問題，市場的確存在、但人才培育來不及趕上，該如何讓市場成長、人才培育能夠銜接得上？</p> <p>關鍵是讓資安人才結合領域專才，例如，讓醫療領域的人懂資安比較容易？還是讓資安領域的人懂醫療比較簡單？以產業現實環境來看，80％是跨領域的資安人才，只有20％是真正資安領域的專業人才。</p> <p>資安人才不足是問題，不過，當機關組織可以新增員額時，為何要把這個員額給資安？很多機關缺資安人才，但補上的可能不是資安人才而是業務人才。資安人才供應是否到位？很多學校畢業生，至少要到業界磨練兩年後，才是比較務實好用的資安人才。</p> <p>第五期資通安全發展方案做資安人才培育，當有足夠的人才，有足夠的市場機會，資安人才需求才會變多。不過，資安人才培育無法一步到位，但至少要六成到位，才能夠慢慢養大資安市場。現在多數人仍將資安視為企業的成本，重點在於，要讓大家意識到資安的重要性，資安其實是企業的投資而不只是成本。</p> <p><span style="font-size:28px;"><strong>把單一資安事件轉變成從數據驅動的資安情資</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%A1%98%E6%99%AF-%E7%B0%A1%E5%AE%8F%E5%81%89-600-2.png" style="width: 600px;" /></strong></span></p> <p>第六期資通安全發展方案的重點，除了強化第五期政策方案的落實度，新的規畫則是要把資安事件處理（IR）的單一事件，轉換成資安情資（Security Intelligence），而這項工作更重要。</p> <p>例如，以某某資安攻擊事件為例，多數人都認為，這只是一個需要被處理的、單一的資安事件，但若可以從資安情資的角度來看，就會變成：因為某某資安事件的發生，所以，我們就能推測ABC產業，有可能會是下一波被駭客鎖定攻擊的對象。</p> <p>這些資安情資的背後，都是由數據驅動而來，換言之，是把潛在的各種攻擊數據轉變成資安情資，例如，知道這些攻擊來自哪裡？目的為何？有哪些延伸的資訊？</p> <p>透過這些資安情資，我們可以即時性看出風險趨勢、能夠採取的策略，甚至可以預測下一波的攻擊趨勢。</p> <p>例如，SWIFT第一個受害的就是孟加拉央行，因為他們揭露了該起資安事件，也讓全球金融業者嚴陣以待、不敢鬆懈。</p> <p>有些駭客集團會攻擊某些特定產業，例如，勒索病毒都鎖定某些產業攻擊，此時，我們就可以根據這些資安情資，來解讀駭客攻擊的動機和手法。這種以資安情資為主的資安防護，目的就是要做到「大膽假設、小心求證、主動防護」。</p> <p>這些由數據驅動的資安情資，若從資安預警角度來看，有事先的徵兆，就可以有對應的行動，目的在於降低風險和可能的損失，不僅有機會將資安防護從以往的被動，化為主動，更有機會做到超前部署。</p> <p><span style="font-size:28px;"><strong>掌握情資，利於資安超前部署</strong></span></p> <p>過往資安防護的推動，一直面臨許多挑戰，而在武漢肺炎肆虐全球之後，臺灣全國齊心協力促成的防疫佳績有目共睹，也對未來臺灣資安的發展，產生了很大的啟發與鼓舞作用。</p> <p>相較之下，防疫和防駭都有相似之處，兩者都是病毒，而且不管再健康的人或企業，都不可能保證一輩子都不會生病或中毒，也沒有任何一種防護方式，可以做到百分之百安全。因此，防疫和防駭的重點，不在於確保永遠不會生病或中毒，而是要知道受損害的範圍，做到災害復原和回復。而既然臺灣能夠利用科技力做到防疫超前部署，那麼，該如何從資安情資的角度，做到資安超前部署呢？</p> <p>以往的資安比較偏重技術面，實務上，各種設備的Log檔四處散布，不容易看、也難以分析，很難一下子看到全貌，我們必須要有好的網路結構，加上有好的可視性，透過視覺化展示，可以清楚知道異常是什麼，接下來就能做到化被動為主動的資安超前部署。</p> <p>超前部署永遠是對的！資安情資的收集、處理與判讀，困難重重，不過，如果有足夠的資安情資，防守方就可以超前部署，這時候就需要更多大數據分析及AI人才。</p> <p>不過，現在很多的資安情資，其實只是「後見之明」、是被動的，未來，如果能善用各種資料數據分析，我們就可以找到隱身幕後的攻擊者。舉例來說，我們透過關聯式分析，能夠找到各種攻擊模式（Pattern），像是以往駭客驅動後門程式回傳資料，較容易發現異常軌跡，但現在這些惡意程式只是偶爾被喚醒，而對外傳送的又是短、小的資訊，很難被發現，而藉由大數據分析，可以幫忙找到模式，就像是從稻草堆中也能找到一根針。</p> <p><span style="font-size:28px;"><strong>資安防護人人有責，應用服務內建資安就是成功</strong></span></p> <p>至於各個產業該如何提升資安？事實上，推動產業的資安並不等於資安產業，臺灣有140家中小企業，扣除掉品牌大廠的供應鏈業者及電子商務業者，小公司該如何做資安？是否有新的商業模式，提供給這些企業呢？</p> <p>要做到讓國內產業對於資安更重視，我們可以進一步思考幾個問題，像是：辦公大樓的資安團購是否可行？連同辦公室必備的多功能事務機加上掃毒，是否可行？例如，美國就有快遞業者，除了幫民眾將電腦送給品牌公司維修外，也搖身一變，成為提供修電腦服務的公司。而基於這種跳脫傳統框架的商業模式，我們也可以試著找出適合中小企業的資安商業模式，而如果資安產業發展得夠快，未來我們也有機會對外輸出這樣的經驗，打國際賽。</p> <p>整體而言，資安不是高大上的議題，但也不應該是麻煩的議題，因為資安與便利性之間是可以獲得平衡的。經歷過去幾年的努力，政府也希望可以讓每個人更懂資安、更重視資安，「資安防護人人有責」，畢竟，勒索病毒的受害者不只是企業，個人也會受害。</p> <p>總統蔡英文在就職演說也提到，資安是六大核心戰略產業之一，過去四年，「資安即國安」，未來四年，則是「資安即國安2.0」。尤其在5G時代來臨，要持續推動資安5+2產業，或是加速各種產業智慧化發展，像是智慧醫療、智慧機械、智慧交通、智慧城市等等，一定要有資安做基礎；當各種數位應用服務都能做到內建資安，這政策就是成功的。<strong>口述☉簡宏偉，整理☉黃彥棻，攝影☉洪政偉</strong></p> </div></div></div>
2020/8/24 09:00作者黃彥棻https://www.ithome.com.tw/news/139538
【關鍵資安議題】新世代資安指揮中心來了！提供更強大的洞察力與執行力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>綜觀近年的資安趨勢發展，威脅的挑戰程度，遠超過多數已布建的資安防護工事，用電玩遊戲來比喻，相當於一名等級100的玩家突然遭遇到等級999的魔物來襲，是個挑戰困難度高到失衡的狀態；但在現實世界中，我們並無法透過大量課金作弊升級、買神裝或神卡，來克服資安威脅攻擊。然而，資安防護任務並非單一個人或小團體的作戰方式，面對層出不窮、已知與未知的現代資安威脅，我們必須透過組織群體合作方式，才能確實有效地應對。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-1(8).jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">駭客攻擊手法已經超出傳統防護模式，企業必須能夠同時從多方位、多維度分析，萃取出威脅情資，並且即時反應處理。</strong><strong style="color: rgb(105, 105, 105);">圖片來源／黃繼民</strong></p> <p>而在資安防護的工作上，SOC過往一直是扮演資安工作的情訊收集，以及持續監控通報的角色，主要由人員、技術、程序等三大構面來組成運作，協助資安事件調查分析與告警通報等功能任務，但由於SOC在事件處理的主動性不足，因此，往往被定位為後勤支援角色。</p> <p>不過，這幾年以來，新一代的SOC崛起，已成為現代資安防護任務不可或缺的資安指揮中心，因為對於資安威脅，SOC除了要能「感覺到」、「看得見」，還要能夠「思考明辨」，並且快速做出準確的行動反應。</p> <p><span style="font-size:28px;"><strong>SOC的型態發展轉變</strong></span></p> <p>一般而言，SOC被稱之為「資安監控維運中心」，最初出現於1975年，主要的工作與任務是協助政府及國防組織，針對防禦低影響的惡意程式碼（意即電腦病毒）的分析研究；到了2007年左右，網際網路的普及，也將資安威脅帶到新的時代，SOC開始因應APT（進階持續威脅）的資安趨勢，而有了大幅改變，而這也是現今比較廣為認知的SOC型態，主要的功能是針對日誌記錄的收集與保存，並且根據常見已知定義的規則生成警報。</p> <p>在此一階段的SOC運作模式中，我們相當倚重的作法，是運用日誌管理系統（Log Management），以及安全資訊事件管理系統（SIEM），而這樣的機制也延續至今。</p> <p>但是，隨著各式新興科技應用的出現，以及各種使用多年的舊有技術接連被揭露安全性漏洞問題，因此，現代的資安防護者須面對巨量且複雜的資訊，還有快速出現但來不及搞懂、學習的新東西。</p> <p>同時，由於傳統的SOC採取消極處理機制，因此，我們在發現入侵（Time to Detect，TTD）和有效回應（Time to Response，TTR）所需的平均時間，已分別增加至197天和69天，而在這一段風險的空窗期間，足以讓駭客完成布局。</p> <p>到了新一代的SOC，則提升為「資安指揮中心」的專責單位，尤其在最近的資安法規中，也明定要求組織內對於SOC的必要性。事實上，新一代SOC需要具備更積極的處理機制，以及快速偵測回應，包括更精確的事件通報、更充足的資安情資、更具體的建議幫助決策執行，進一步做到預警、預測、預防的提前主動性，目的就是要求快速跟精確。究竟，我們將如何建構出具備洞察力與執行力的新世代資安指揮中心（NG-SOC），以下我將針對四項關鍵能力來說明。</p> <p><span style="font-size:28px;"><strong>NG-SIEM提升資安情報的掌握能力</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/600-2-821.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color:#696969;"><strong>NG-SIEM已經加入智能分析能力，能夠針對巨量多變的現代資安攻擊威脅快速分析，提出更精確的情報資訊。在下一階段，NG-SIEM則邁向主動防禦，與SOAR技術整合搭配是未來趨勢發展。</strong>圖片來源／黃繼民</span></p> <p>SIEM也被稱為資安戰情平臺，是幫助SOC資安人員掌握資安事件狀態，以及下定決策的情報中心；但是，過往SOC所採行的舊式SIEM，對於資安事件的處理模式，多半著重於事件日誌的接收保管及機器式的過濾條件，即使套用不知從何而來的關聯規則，舊式SIEM所產生出來的內容，仍是被整齊分類與統計的資料（Data），而非有助於資安事件掌握與決策判斷的情報資訊（Information）。</p> <p>而由於舊式SIEM無法即刻提供明白準確的資訊，也造成SOC對於資安事件的應變處理效率低落，在專業人力的需求亦隨之提升，此時，更遑論建立可靠的聯防機制。</p> <p>所以，當我們在面對現今巨量複雜的資安威脅情勢下，後起的次世代SIEM（簡稱NG-SIEM），如今已經引進大數據分析（Big Data），以及智能處理（Intelligence）等二大新技術，做為核心改造提升動力。</p> <p>首先，大數據分析技術主要應用於NG-SIEM的搜尋引擎核心，主流採用的平臺，包括：Splunk、ELK，以及Hadoop等。有鑑於大數據分析對異質性的巨量資料具有極佳的處理效果，因此，對於過往面對的資安事件資料處理議題，能夠有效解決，包括：當下大量不同來源及格式的資料，以及已發生的過往記錄資料追溯，皆可透過低耗能且極快速的方式，進行大量資料分析處理。</p> <p>接著，是智能處理技術，主要涵蓋人工智慧（AI），以及機械學習（ML）的技術。</p> <p>基本上，導入大數據，只是提升資料分析的處理效率，但要將資料轉換成有幫助的資訊，則須利用AI及ML智能技術相輔，才能真正獲得分析的效果。</p> <p>而且，智能處理具備多維度邏輯推演的資料分析能力。相較於傳統機器式的過濾條件跟關聯規則來說，智能處理能夠幫助SOC，使其對於資安事件的資訊掌握度更加準確快速，並且能進一步發現潛伏中的異狀。</p> <p>綜觀上述，NG-SIEM所要扮演的資安戰情平臺，是提升新世代SOC朝向洞察力與執行力的關鍵基底，畢竟，資訊情報的掌握，是無論任何型態的戰爭所必要的，當然也包括資安戰。</p> <p><span style="font-size:28px;"><strong>XDR提升資安威脅獵捕能力</strong></span></p> <p>「縱深＋聯合防禦」是標準的資安防護準則，實務上，卻不容易達成這些要求，主要原因在於，我們對於資安威脅的偵測（Detection），以及回應（Response）方式，缺乏一致性與協調性。簡單來說，就像瞎子摸象。</p> <p>加上以往的資安工作過於執著於記錄資料（Log Data）的收集，尤其是對於「軌跡保存」與「日後調查舉證」的錯誤認知，因而產生採取下列這些舉動，結果卻成為善盡做好資安工作的「假象」，例如：監督好資安防護系統、偵查系統、存取日誌，以及系統日誌等等的通報跟記錄。</p> <p>但事實上，這些資料對於資安事件的分析與調查工作幫助並不大，主要的原因在於，回應的資料訊息「含金量」不足。</p> <p>因此，EDR是最開始被提出的新一代偵測與回應方法，針對最常遭遇惡意程式威脅的端點（Endpoint），進行「偵測與威脅捕捉、分類、調查和回應」等每個階段的安全作業。</p> <p>而後起的XDR，則是進一步包含網路、端點或雲端等現今主要數據環境，「X」代表多種資料來源，透過連結來自多個來源的數據，清楚完整的提供組織活動整體及各階段偵測到的資安情報。</p> <p>換句話說，透過XDR的偵測方式，並非用單一個「點」來做為資安威脅發現依據，而XDR的回應方式不僅執行阻斷隔離的處置外，更重要的是產生精確的情報資料，對於後續的資安威脅分析作業上，能夠提供更有助於根源追溯、行徑追蹤、行為調查、以及預測、預防的效果，大幅提升威脅獵捕（Threat Hunting）的能力。</p> <p><span style="font-size:28px;"><strong>CTI提升對於資安威脅的識別能力</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/ISSDU%E5%9C%96%E7%89%874_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E9%BB%83%E7%B9%BC%E6%B0%91.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>資安威脅情資的來源多樣，資安人員必須瞭解不同資安威脅情資的類型，以及取得來源方式。我們若能善用情資，將有助於資安威脅事件的分析判斷，並且預先掌握攻擊的意圖與趨勢。</strong>圖片來源／黃繼民</span></p> <p>CTI是網絡威脅情報（Cyber threat intelligence）的縮寫，或稱之為「威脅情資」。基本上，威脅情資不同於新聞訊息。我們能以冰山理論來解釋兩者的差異，例如，新聞訊息就像在水面上已暴露的資訊，而威脅情資包含更多水面下未曝光的深網、暗網及神秘研究情報，同時，「威脅情資」是關於資安威脅，以及威脅參與者的資訊情報集合體。</p> <p>此外，威脅情資主要是已經被發現揭露的攻擊方式情報，包括：</p> <p><strong>1. 技術情報：<span style="color:#696969;">涵蓋了IOC威脅指標、IP/Domain CnC黑名單、惡意程式的檔案名稱或指紋（Hashes）。</span></strong></p> <p><strong>2. 操作手法情報：<span style="color:#696969;">有關於該項攻擊威脅所採用的駭客工具、技術，以及程序。</span></strong></p> <p><strong>3. 戰略情報：<span style="color:#696969;">針對該項攻擊的總體威脅、影響範圍與傷害程度等資訊。另一個值得關注的資訊，則是威脅參與者（或習慣稱為駭客組織），尤其在APT攻擊、目標攻擊，以及規模型態攻擊的背後，幾乎都有駭客組織的操弄。</span></strong></p> <p>就現今而言，「威脅情資」的取得來源越來越多，有開源免費的與商用付費的資選擇，每一家威脅情資內容的專業度與涵蓋量，各有所擅長之處，因此，在選擇上，我建議至少應取得二家以上的情資來源。</p> <p>另一種「威脅情資」的取得，則來自於「分享」。例如，資安資訊分享與分析中心（ISAC），就是透過類似社團會員之間的資安訊息交換模式。幾年之前，臺灣以資安法推動規範八大關鍵基礎的產業，成立領域ISAC，推動情資格式標準化與系統自動化的分享機制。</p> <p>當資安威脅事件的分析過程中加入「威脅情資」的成分，將有助於SOC對於資安威脅事件的掌控。當資安事件發生時，我們不需要再手忙腳亂、緊張兮兮，而是能夠冷靜識別出哪些攻擊事件的手法技巧，是否源出同門？是否有針對性（例如：產業、系統類型、人員等）？或計畫性（例如以掃描情蒐、慢速測試、間歇探測等）的行為企圖，以及是否存在駭客團體犯罪成份。如果我們能夠適當地結合前述的NG-SIEM與XDR，將有助於SOC資安人員快速做出相對正確的防禦準備。</p> <p><span style="font-size:28px;"><strong>SOAR 提升資安聯防協作的自動化應變能力</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/ISSDU%E5%9C%96%E7%89%875_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E9%BB%83%E7%B9%BC%E6%B0%91.png" style="width: 600px;" /></strong></span></p> <p><span style="color:#696969;"><strong>以常見的電子郵件夾帶惡意程式為例，當企業收到一封的可疑郵件時，SOAR可以依據我們針對電子郵件安全政策設計的「劇本（Playbook）」，進行深入檢測分析與應變處理的過程。以往，這一連串的不同作業過程，必須耗費數個小時之久，並且需要將零散的結果彙整報告；而透過SOAR的使用，則可以幫助資安人員於幾秒鐘或幾分鐘內，快速完成一切作業與報告。</strong>圖片來源／黃繼民</span></p> <p>如果說SIEM是善於將資料分析並轉換資訊的大腦，那麼，SOAR則可說專長在應變處理與協調運動的小腦。而對於要做到真正具備洞察力與執行力的SOC資安指揮中心來說，SOAR是重要的關鍵要素。</p> <p>SOAR是什麼？它的全名為Security Orchestration, Automation and Response，意即「資安協作自動化應變」。以過往SIEM為例，對於資安威脅，著重於事件「分析調查與資訊提報」的方法，相較之下，SOAR聚焦在事件「應變處理與協調行動」，換言之，SOAR的技術導入，將大大改變過往SOC被認為「說的多」、但「做的少」的窘境，也因此使得SOAR很快成為各方矚目關注的熱門議題。</p> <p>如前面一再提到，現今資安威脅的情況，不僅是數量龐大且型態複雜，單純靠偵查與分析的方法，只會產生更多應接不暇的事件資訊；但不斷湧入的資安威脅資訊量，在無法有效處理消化下，已經導致許多企業組織產生資安恐慌，以及威脅麻痺的狀況。</p> <p>多數企業會建立非常細緻的資安事件應變處理或標準作業程序，但往往流於紙上談兵，主要因素在於，這些機制程序往往因為推演內容不確實、人員熟練度不足、情報資訊傳遞不通暢等弊病，導致最終無法做出準確的應變處置。</p> <p>此外，聯防自動化雖然也被大量討論，但當中對於「自動化」的做法，其實比較像是執行一段單向的機械式指令，當事件符合規則情境時，就針對特定裝置系統觸發執行定義好的執行命令；只是當實際上面對不同情況的資安事件，以及各式的資安系統（不同類型、多種廠牌）時，要達到理想中的自動化及聯合防禦應變，幾乎是不可能的任務。</p> <p>SOAR技術的出現，則是實現「資安協作自動化應變」的最佳方法。為何這麼說？在研究機構Gartner的《Hype Cycle on Threat-Facing Technologies, 2018》報告，當中是這麼解釋的：SOAR是一系列技術的集合，能夠幫助企業和組織，收集安全維運中心監控到的各種資訊（包括各種安全系統產生的警示），並對這些資訊進行事件分析和警示分類；同時，在標準工作流程的指引下，利用人機結合的方式，幫助安全維運人員定義、排序，以及驅動標準化的事件應變。</p> <p>在技術上，「SOAR資安協作自動化應變」可獨立運作，或是與SIEM相互整合搭配，同時，它也具備了下列三大重要特色：協調作業（Orchestration）、自動化（Automation），以及應變（Response），而這些應用機制的出現，明顯針對傳統資安維運工作所難以達成的部分，進行改善跟補強。</p> <p>而對於企業組織而言，SOAR以技術的形式。將SOC的人員、程序、及技術等三大要素加以整合串聯，將企業組織中不同的系統，或是一個系統中不同元件的安全能力，透過「應用程式介面（API）」的使用，按照一定的邏輯關係，組合成各式的「劇本（Playbook）」，而這些劇本可說是將擬訂好的標準作業及流程，以更具體的可視性圖形呈現，並據此執行完成各種對應的安全作業程序。</p> <p>此外，這些程序能以完全自動化或半自動化的方式來執行。以全自動化模式來說，多半套用在常態性作業（Regular Operations），而半自動化則是在執行動作之前先由相關負責的資安人員或IT人員作「判斷跟決定」，如此可以減少人員在面對多樣不同系統的高度專業要求，並且降低人為操作錯誤跟帳號權限分配等問題。最後，當SOAR對於資安事件的應變處理記錄，也具備資安威脅事件管理效果，其執行的警示通報、工單流程紀錄、各程序執行結果，都將幫助SOC更精準地面對資安威脅事件的調查分析，並且提供政策調整改善的依據。</p> <p><span style="font-size:28px;"><strong>如何縮短偵測與應變時間，以及具備精準判讀能力，是未來資安防護最大挑戰</strong></span></p> <p>關於資安防護策略的發展，我們可預期未來將越來越著重於應變處理，對於平均偵測時間（MTTD），以及平均回應時間（MMTR）的要求，也將更加急促。</p> <p>但是，在追求快速的同時，我們對於資安事件的準確識別與判讀，仍需仰賴更智慧的數據分析方法，並且搭配具邏輯的自動化作業，才是完善的解決方法。<strong>文☉數聯資安股份有限公司資安管理平台發展處副處長黃繼民</strong></p> </div></div></div>
2020/8/24 09:00未署名https://www.ithome.com.tw/news/139539
【臺灣資安大會直擊】擬定資安策略要從完整角度看待，活用資安框架及Cyber Defense Matrix更是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在企業準備要推動資安防護的工作時，現在可能已經聽過不少資安概念與框架，但太多的資訊仍讓企業不知從何下手，或者是只在遇到資安事件時，著急解決當下的問題。</p> <p>因此，現在一些企業最常見的難題，就是資安策略不夠明確、難以實踐，甚至可能脫離真實，那麼，我們能否有更有更好的做法，來建立資安防護策略？在2020臺灣資安大會上，DEVCORE戴夫寇爾執行長兼共同創辦人翁浩正認為，資安不能一直處於短期應急的狀態，必須要有中長期的規畫，而活用資安框架，就是幫助企業擬定長期資安策略的重要工具。</p> <h2><strong>資安策略要同時從風險、程序、控制與技術面看起</strong></h2> <p>對於資安策略的擬定，在這次議程上，翁浩正與該公司一位事業發展經理鍾澤華，他們從風險、程序、控制與技術面，以一個完整的角度來切入，並搭配熱門資安框架與Cyber Defense Matrix模型的應用，讓企業在資安策略上能套用更具邏輯的方法，同時，他們也從自身幫助客戶進行紅隊演練的經驗，來說明在面對真實威脅時，可以如何透過更完整的角度，去緩解一連串的脆弱環節。</p> <p>翁浩正表示，在他們紅隊演練的經驗中，當企業收到技術報告，技術人員可以理解漏洞問題、入侵途徑與解決之道，但從企業資安高層所關注的角度來看，將是資安策略該如何定義。對此，他們利用現有資安框架，剖繪出一個俯視般又立體的構面，提出具體有脈絡的參考建議。讓企業不論在平時或演練後，能有好的方式去規畫資安策略。</p> <p>為了讓大家更好理解資安策略的訂定方式，翁浩正從企業看待安全的方式說起，例如，企業應該要知道的資安狀況，包括現在安不安全，以及現在及未來面臨那些風險（已經發現的主要風險與外部環境可能發生的風險），還有現在及未來需要那些資源。這裡他特別點出「時間點」條件的重要性。</p> <p>對於規畫資安策略這件事，翁浩正透過簡單的方式，來說明其重點與目標，他說，資安策略就等於是有順序性的代辦清單，當中包括了短期、中期與長期的計畫，同時資安策略也等於是企業導入防禦措施後仍須持續處理的事項。而這裡有兩個重點，一是順序性，一是導入後持續降低風險，是他特別強調的部分。</p> <h2><strong>各層面資安策略可仰賴對應的資安框架</strong></h2> <p>那麼，資安策略該如何擬定呢？翁浩正指出：「資安策略的基礎是資安框架，而資安框架要有效果，要靠真實威脅調整。」只是，雖然參考這些框架就可以事半功倍，但彼此間的關連，以及如何應用，仍是不少人會問的問題。</p> <p>為了讓外界更清楚這些資安框架的定位，鍾澤華從企業資安角色與資安框架的關連說起。</p> <p>一般而言，企業內有4種資安人員，角色層級分別是資安長、資安官、資安主管，與第一線資安人員，因此企業制定資安策略將以由上而下的方式來進行，而這些不同層級也意謂著，將從風險、程序、控制與技術，來建構出完整的安全層面。</p> <p>在這4大層面中，資安上的任務各自不同，翁浩正表示，各層都有對應的資源可以參考，他從SANS歸納的風險框架（Risk framework）、計畫框架（Program framework），以及控制框架（Control framework）來說明。</p> <p>例如，以資安長而言，主要考量的是風險與風險評鑑等，相關風險框架可參考的資源，包含NIST 800-39、NIST 800-30，以及ISO 27005與CIS RAM；在資安官的角色上，主要著重在程序面，相關計畫框架可參考資安管理上所熟知的ISO 27001，以及近年熱門的NIST CSF；在資安主管方面，關注的是控制措施該怎麼做，包括控制項較具體的NIST 800-53、CIS CSC；最後的第一線資安人員，或是一般技術人員，專注在技術面，主要掌握的是防禦解決方案與服務。</p> <p>對此，翁浩正也補充說明，例如，在資安官負責的程序面來說，當中提到可對應的NIST CSF與ISO 27001，這兩種框架他認為可以互補，主要依據使用情境；而在資安主管負責的控制面來說，如果企業自己不知道該怎麼做好控制，他非常建議企業可參考CIS CSC（CIS Control），將可從中找到企業奔身所需，並提醒要用長期方式來規畫，像是3年或5年，要求自己達到更好的控制。翁浩正認為，藉由這樣的架構，將可有助於企業釐清更多資安上的問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）DEVCORE資安策略夠明確嗎_R0243575_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E_R0243575_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px; height: 326px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）DEVCORE資安策略夠明確嗎_R0243577_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E_R0243577_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h2><strong>透過Cyber Defense Matrix剖繪各層防禦面</strong></h2> <p>但不只是如此，這樣的4層架構，鍾澤華指出，從攻擊角度來看，這樣的架構也能有助於做好資安。他舉例，當發生資安事件或進行攻防演練，將可透過由下而上的方式，來檢視每一層是否能做好管控。</p> <p>以最下一層的資安設備及服務而言，鍾澤華舉例，當廠商說有一個100%防禦無敵的解決方案，企業該如何搞懂該解決方案到底可以解決什麼問題呢？對此，他談到了一個安全模型Cyber Defense Matrix（CDM）。這是2016年美國銀行擔任首席安全科學家的Sounil Yu所提出，並納入OWASP，或稱之為OWASP CDM。</p> <p>關於Cyber Defense Matrix，是這次議程上的另一大重點，將可有助於企業管理策略的規畫。根據鍾澤華的說明，此Cyber Defense Matrix矩陣是一個5乘5的方格，橫軸分別是NIST CSF的五大類別，包括識別、保護、偵測、回應、復原，並加入了資產類別的縱軸，分別是設備（Devices）、（Application）、應用程式（Application）、網路（Network），資料（Data）與人員（User）。</p> <p>透過這樣的矩陣，企業將可有較容易的方式，知道一個解決方案所涵蓋的面向，這不只是瞭解到一個解決方案，根本不可能解決一切，也能更直觀的方式，掌握到企業本身的資安缺口。</p> <p>不過，翁浩正也強調，這並不是要企業拼命買設備與解決方案，以填補資安缺口。若將先前所提的4層架構立體化，這個CDM的平面矩陣可看做每一層的剖面，這是一個俯視圖的概念，企業將可知道攻擊由下而上穿透時，那些部分是沒有顧到的。他舉例，企業除了從最下層的方案面來著手，往上也能藉由流程面來因應，補足設備面的不足，但也不能全靠流程面來解決就是，因此需要平衡。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）DEVOCRE資安策略夠明確嗎_R0243585_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89DEVOCRE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E_R0243585_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h2><strong>從紅隊演練結果案例來看資安策略規畫與精進</strong></h2> <p>為了讓大家更好理解上述概念，在議程上，翁浩正與鍾澤華也從他們紅隊演練的經驗，透過實際的案例來說明。企業除了由上而下做到資安策略規畫，也能利用上述資安框架與模型，透過演練結果由下而上去回顧與精進。</p> <p>翁浩正以一場實際紅隊演練來說明。他指出，在攻擊過程中，他們先是找出了該企業對外網站上的漏洞，這是企業率先遭攻擊的防禦弱點。</p> <p>值得注意的是，該網站是一個網站管理後臺系統，但因疏於管理，所以被他們找到了任意上傳檔案漏洞，因此可以上傳Webshell後門，之後透過記憶體分析得到管理者密碼的雜湊，經破解密碼，進而取得一個管理者的關鍵帳號，而這個帳號能夠登入另外30多臺主機，他們在這些主機上蒐集帳密後，又找到一個主機的網站程式碼，因此取得關鍵連線資料庫的IP位址與帳號密碼，取得了企業的申請業務的敏感個資資料。</p> <p>接下來，他們進一步瞄準目標內網的控制權，由於他們先前入侵的網站管理後臺系統，本身也有串連到內部網路，因此紅隊循此路徑，就進入了企業的內部網路。他們先是透過WMI取得內網一臺主機的管理者帳號，仿效先前的攻擊手法，從記憶體分析出更多帳號密碼，像是取得可登入RDP服務的子管理者帳密，可控制21臺主機並且持續蒐集帳密。</p> <p>特別的是，他們得到另一臺主機的pmpweb帳號密碼，以及從這些主機中得到一個備份的帳號密碼，最終，他們藉由取得的一個網域／目錄（AD）伺服器的備份檔，找出AD內的密碼雜湊，破解後進而得到大量使用者的資料。對此，翁浩正也順帶提醒的事，現在許多的備份方案，都希望企業的備份帳號具有最高權限，等同於管理者帳號，由於這個備份帳號可以取得全部的資料，一旦被竊取，後果相當嚴重。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8）DEVCORE資安策略夠明確嗎_R0243592_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E_R0243592_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>而這樣的演練結果，其實就可以對應到先前所提的資安框架與模型，才不會讓企業資安策略規畫上存在大盲點。</p> <p>從上述攻擊結果來看，企業防禦上有什麼問題？鍾澤華說明，一般簡單的推想，首先就是程式寫不好，所以該網站管理後臺系統可以被上傳Webshell，還有就是偵測機制不足，回應時間不夠即時，以及帳號密碼或網路管理的問題，但是，問題就只有這樣嗎？</p> <p>對此，鍾澤華表示，這也是企業為何需要框架或標準的原因，因為這些內容其實已經設想了多數常犯的錯誤，而透過這些控制項與前述Cyber Defense Matrix，將讓企業可以更精確的盤點出，在防禦縱深的哪一階段沒有做好，才能知道要挑選何種設備、增加什麼樣的程序，以及需要強化的控制措施。</p> <p>如果沒有這樣的架構，鍾澤華強調，企業將無法知道問題，也就是看出風險或安全問題的全貌，而且，只要這些問題有一小部分沒有解決，這意謂著這個風險其實是持續存在的。</p> <p>例如，他從控制層的CIS CSC，來說明上述紅隊演練結果所對應的內容。在這次紅隊演練結果中，對應的相關CSC控制項，總共包含21項，例如：4.2的變更預設密碼，6.3的開啟更詳盡的日誌記錄，12.1的維護網路邊界清單等，而這些項目將可對應到Cyber Defense Matrix的不同位置，讓企業更具體知道其涵蓋範圍。例如，4.2的變更預設密碼，是在設備與保護的面向：6.3的開啟更詳盡的日誌記錄是在網路與偵測的面向；12.1的維護網路邊界清單是在網路與識別的面向。</p> <p>同時，鍾澤華還說明了一個重要的觀念，就是要制定優先順序（優先權），才能一步步解決問題。簡單而言，CIS CSC可分成基本型、基礎型與組織型，並依據企業規模（Implementation Group）分成IG1、IG2與IG3，他表示，最優先要做的項目是基本型IG1，接著是基礎型IG1、組織型IG1，再來才是基本型IG2，以此類推。例如，在使用者與保護面向的4.2變更預設密碼，就是該次紅隊演練後首要做到的控制項，然後在陸續達到其他20個控制項的要求。</p> <p>進一步來看，在控制面之外，還有另一個重要關鍵，是在程序面是否能與控制面做結合，例如，這些控制項是否對應到ISO 27001的項目。鍾澤華表示，當控制措施對應程序層，才能夠更完整思考企業防禦策略的問題在哪裡，例如，像是在網路與偵測面向的6.3開啟更詳盡的日誌記錄，從ISO 27001來看將是A16.1.5對資訊安全事故的回應，但此一程序面其實不只是包含於偵測，還有回應、復原。綜合來說，可藉此發現待補強的防禦縱深機制，而透過設備、程序與流程的搭配，也才能降低弱點被利用的可能性。而上述這些也就是以更完整的角度，去檢視面對真實威脅的緩解方式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）DEVCORE資安策略夠明確嗎.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）DEVCORE資安策略夠明確嗎.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖9）DEVCORE資安策略夠明確嗎.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E.jpg" style="width: 600px;" /></a></p> </div></div></div>
2020/8/23 23:56作者羅正漢https://www.ithome.com.tw/news/139567
一周大事｜公部門IT外包業者成國安破口，多個政府單位遭中國駭客滲透。G Suite發生大規模故障事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>調查局首度揭露國內政府委外廠商成資安破口的現況，近期至少10個公家單位與4家資訊服務供應商遇害</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0823-01.jpg" style="width: 500px;" /></p> <p>法務部調查局偵辦數起政府機關遭駭案件時，發現公部門及其資訊服務供應商遭中國駭客組織滲透的問題嚴重，至少有10個政府單位，以及4家資訊服務供應商都已經受到攻擊。</p> <p>其中，機關內部VPN安全管理問題，是這次事件揭露的一大重點，其實，在臺灣資安大會上，也有資安專家提到國內企業與政府遭供應鏈攻擊的實例，當中就提到不少案例是駭客會「幫」單位裝Softether VPN軟體，這是早年流行的工具，近年又被駭客拿來利用。<a href="https://www.ithome.com.tw/news/139504" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>G Suite又發生全球大規模故障事件</strong></span></p> <p>Google G Suite部分服務於8月20日下午開始，發生大規模故障事件，包含Gmail、Google雲端硬碟、Google文件、Google Meet和Google Voice，皆出現異常，使得全球許多用戶遭遇無法登入、無法附加檔案等狀況，臺灣也有部分用戶受影響。<a href="https://www.ithome.com.tw/news/139515" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>卡位金融生態圈，玉山銀揭露未來5年數位戰略</strong></span></p> <p>隨著3家純網銀即將開業，加入臺灣數位金融市場，國泰金、台新金紛紛揭露自家金融生態圈戰略，在法說會上，玉山銀行董事長黃男州也公布玉山未來5年的生態圈戰略，「會採取Banking as a Services（銀行即服務）模式瞄準場景金融，銀行本身就是服務，可以嵌入任何場景中。」</p> <p>黃男州認為，純網銀的確加快了數位金融的發展腳步，但這是短空長多。「5年來看，臺灣銀行產業將成長10~15%，餅變得更大了，正在打基礎的純網銀約只會占1～2％，反而是有競爭力，數位發展很快的銀行，可以獲取更多市場占有率。」這個對未來臺灣數位市場的觀察，也影響玉山當前的數位發展戰略。<a href="https://www.ithome.com.tw/news/139527" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google將實驗隱藏網頁完整URL以防釣魚網站</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961A_%E7%B6%B2%E9%A0%81URL_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 300px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961B_%E7%B6%B2%E9%A0%81URL_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 300px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>Google Chrome安全團隊將隨機選擇Chrome 86用戶進行實驗，以確認桌機版Chrome的網址列如果隱藏完整URL，是否能讓用戶更注意他們所造訪網頁的安全性。<a href="https://www.ithome.com.tw/news/139402" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>睽違8年，推特啟用新版第三方App的API</strong></span></p> <p>推特8月正式啟用新版第三方App API，這是自2012年以來的首次改版，採用全新基礎，也加入多項新功能，包括開發人員呼聲最高的訊息串列（conversation threading）、在推文中投票、在使用者資料中釘選推文、垃圾郵件過濾，以及更強大的推文串過濾及搜尋查詢語言功能。<a href="https://www.ithome.com.tw/news/139375" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>控告高通晶片專利授權違反競爭，FTC敗訴</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500_%E9%AB%98%E9%80%9A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%AB%98%E9%80%9A.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／高通</span></p> <p>針對美國政府控告高通手機晶片授權政策打壓對手的官司，美國第九上訴巡迴法院做出判決，認定高通該項政策並未造成打壓競爭的事實，法官指出，FTC提出的資料，無法證明高通收取專利權利金及「沒授權、沒晶片」的條款，對競爭者造成壟斷影響，高通的商業模式是「hypercompetitive」（過度競爭），非「anticompetitive」（反競爭），後者行為才違法。<a href="https://www.ithome.com.tw/news/139344" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>惡意程式透過Xcode專案散布，鎖定macOS零時差漏洞</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:200px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/0823-xcode.png" style="text-align: right; width: 200px; float: right;" /></td> </tr><tr><td><span style="color: rgb(105, 105, 105); text-align: right;">圖片來源_蘋果</span></td> </tr></tbody></table><p>趨勢科技發現一個鎖定macOS電腦的木馬程式XCSSET，攻擊者將惡意程式碼注入本機Xcode專案，讓開發者編譯的軟體，成為散布此木馬的途徑。已有開發人員將問題Xcode專案經由GitHub分享，恐導致類似供應鏈攻擊的風險。<a href="https://www.ithome.com.tw/news/139432" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google想利用手機來建立全球地震偵測網路</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%9C%B0%E9%9C%87%E9%A0%90%E6%B8%AC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>Google計畫利用各地Android手機，來建立全球最大的地震偵測網路，把手機上的加速器當作迷你地震儀，用戶只要加入Android地震警報系統（Android Earthquake Alerts System），就能傳送所在地區的地震訊號，也能在第一時間收到Google的地震警告。<a href="https://www.ithome.com.tw/news/139345" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>TikTok被踢爆暗中蒐集安卓裝置識別資料</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500_TikTok_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Kon%20Karampelas%20on%20unsplash.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_ Kon Karampelas on unsplash</span></p> <p>被美國政府盯上的TikTok，近期被華爾街日報揭露，過去曾違反Google政策，蒐集Android手機的MAC位址資訊，直到去年11月才停止。蘋果App Store及Google Play Store都明訂禁止App蒐集裝置MAC位址資訊。<a href="https://www.ithome.com.tw/news/139349" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>微軟修補120個安全漏洞，有2個已被用來發動攻擊</strong></span></p> <p>在8月Patch Tuesday，微軟修補17個重大漏洞，並有2項漏洞已遭開採。此外，該公司今年截至8月修補的漏洞總量，已超越去年總和。</p> <p>其中2項已被駭客開採的零時差漏洞中，被列為重大等級的CVE-2020-1380，是個腳本引擎記憶體損毀漏洞，會在腳本引擎處理IE記憶體中的物件時被觸發，進而破壞記憶體並允許駭客以現有使用者的權限執行任意程式。該漏洞波及所有平臺上的IE 11。<a href="https://www.ithome.com.tw/news/139346" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>美國密西根州計畫設置全美首條自駕車專用道路</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500_%E8%87%AA%E9%A7%95%E8%BB%8A%E9%81%93%E8%B7%AF_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Cavnue.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Cavnue</span></p> <p>儘管各大科技業者偏好選在矽谷所在地的加州展開自駕車測試，但身為傳統汽車產業重鎮的密西根州，仍積極爭取業者進駐，在2017年底通過一份當時全美最完整的自駕車法令，率先允許全自動的無人駕駛車上路，吸引Alphabet旗下Waymo選擇密西根州的底特律做為生產大本營。而今，密西根也將打造全美國第一條自駕車專用道路。<a href="https://www.ithome.com.tw/news/139407" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>API有3大資安風險2大挑戰，靠AI即時偵測異常是新對策</strong></span></p> <p>隨著API廣泛應用，資安議題也陸續浮現，企業的API更成為駭客入侵的突破口。因此，企業如何管理好自家API，甚至採用新形態的API防護工具，利用AI主動偵測異常API，即時告警與阻斷駭客攻擊，都是企業需面臨的課題。<a href="https://www.ithome.com.tw/news/139531" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>面對後WannaCry時代，資安威脅防護需同時考量OT環境</strong></span></p> <p>2017年全球各地遭到WannaCry勒索軟體的大規模攻擊，但本次事件影響的不只是個人電腦這類IT設備，就連原本大家認為應該獨立於IT網路之外的工業控制系統，也受到重創，主因在於IT網路與OT網路之間的聚合，實體隔離的界線正在消弭，趨勢科技TXOne產品行銷經理許育誠也從WannaCry這項全球資安大事件，來剖析後續產生的影響。<a href="https://www.ithome.com.tw/news/139518" target="_blank">更多內容</a></p> </div></div></div>
2020/8/23 14:00未署名https://www.ithome.com.tw/news/139546
趕上Honeywell，IBM量子電腦達QV64效能里程碑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/qiskit/what-is-quantum-volume-anyway-a4dff801c36f">IBM</a>對外宣布其量子晶片的開發達到了新的里程碑，其量子體積（Quantum Volume）已經實現目前為止最高的數值64。IBM表示，他們已經升級其最新的27量子位元系統Montreal，達到了量子體積64。</p> <p>由於各家量子電腦採用不同技術，很難真正的互相比較，因此科學家設計了概括性效能指標量子體積，綜合量子電腦的能力與錯誤率，來衡量量子電腦整體效能，量子體積越大，用來解決真實世界問題的潛力就越大。IBM的量子電腦Raleigh，在今年1月的時候，量子體積為32分，而現在IBM量子電腦最新里程碑已經達到64分，追趕上在3月的時候，達到64分的Honeywell量子電腦。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_dihbqVdNNaoJJsGVNrYHXA.png" style="width: 580px;" /></p> <p>IBM提到，他們為了要實現量子優勢（Quantum Advantage），使得在量子電腦上，可以比傳統電腦更有效率的處理部分資訊，需要積極地改進量子電路，而量子體積則是衡量量子電路的長度和複雜性的指標。</p> <p>為了實現這點，IBM採用了全新可擴充的硬體方法，改進IBM量子系統中的量子電路，進而改進用戶可以探索的實驗和應用程式，這些新技術將在IBM雲端軟體服務，還有跨平臺開源軟體開發套件Qiskit中釋出。</p> <p>相較於Google提出的量子霸權（Quantum Supremacy）一詞，IBM在量子電腦的發展，則使用量子優勢。在去年10月的時候，Google發表的研究，稱其54量子位元處理器Sycamore，能以4分鐘跑完當時最快超級電腦需要執行1萬年的任務，並提出量子霸權一詞，表示量子電腦的能力已經超越傳統電腦，但是打造出超級電腦Summit的IBM卻出面打臉Google，表示根本不需要1萬年，只需要2.5天。</p> <p>IBM提到，在與傳統電腦比較量子電腦效能時，也該要把傳統電腦的記憶體架構、精度運算和各種軟體資產考慮進去。目前僅有少數演算法在量子電腦上執行，能夠明顯展現出與傳統電腦不同的優勢，因此IBM在表達量子電腦的強大，使用量子優勢一詞。</p> </div></div></div>
2020/8/23 14:50作者李建興https://www.ithome.com.tw/news/139552
Google地圖平臺開始支援Kotlin開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google積極擴展對程式語言<a href="https://cloud.google.com/blog/products/maps-platform/supporting-kotlin-google-maps-platform-developers">Kotlin</a>的支援，宣布在Google地圖平臺支援Kotlin，在Kotlin擴充（Kotlin Extension，KTX）函式庫打包Google地圖平臺Android SDK，並在Google地圖平臺文件加入相關的Kotlin程式碼片段，還有在GitHub上提供範例程式碼。</p> <p>KTX函式庫可讓開發者以Kotlin語言功能與獨有的方式，簡潔地編寫程式碼，現在KTX函式庫打包了現有Google地圖平臺Android SDK，因此開發者可以使用擴充函式、Lambda、命名參數以及協程等Kotlin特有功能，開發地圖應用程式。</p> <p>目前可用的KTX函式庫為Places KTX函式庫，提供Android的Places SDK擴充，另外開發者也可以使用Maps KTX函式庫，提供適用於Android的Maps SDK，Google提到，這些功能是選擇性整合，可讓開發者選用適合的功能，並以Kotlin開發程式。</p> <p>Google也更新了相對應的文件，現在於Android版的Maps and Places SDK文件裡，除了原本的Java外，現在還多了Kotlin頁籤，提供Kotlin程式碼片段供開發者參考。而Google也在GitHub上，發布了Kotlin範例應用程式，展示Maps Platform SDK常見的使用方法，由於這些範例都是開源專案，因此開發者可以直接複製貼上到自己的專案中使用。</p> </div></div></div>
2020/8/23 14:55作者李建興https://www.ithome.com.tw/news/139563
數位內容產業也加入挑戰蘋果App Store的行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>集結全球數十家知名媒體的非營利組織Digital Content Next（DCN）也在本周加入了挑戰蘋果App Store的行列，要求蘋果要比照對Amazon的優惠，減少媒體透過App Store提供訂閱服務的佣金比例。</p> <p>DCN為一針對數位內容產業所設立的國際貿易協會，包括美聯社、彭博社、BBC、CNBC、Discovery、金融時報、Fox、華爾街日報與紐約時報都是該組織的會員。</p> <p>DCN主要抱怨的是蘋果App Store對所有開發者並非一視同仁。負責政府事務的<a href="https://digitalcontentnext.org/blog/2020/08/20/taking-a-bite-out-of-apples-trust-worthy-talking-points/">DCN資深副總裁Chris Pedigo表示</a>，根據眾議院司法委員會所取得的郵件，蘋果與Amazon在2017年時曾達成一項協議，允許雙方的產品出現在彼此的平臺上，例如讓Amazon Prime Video登上Apple TV，以及Amazon則在自家電子商務平臺上販售蘋果商品。</p> <p>蘋果還在該協議中承諾，將把對Prime Video訂閱服務的拆帳比例從30%調降到15%，而且不對既有的Prime Video收取15%的費用，此外，蘋果亦允許Amazon使用蘋果以外的支付系統。</p> <p>Pedigo說，一來蘋果與Amazon並未對外揭露此事，而是私下達成協議，若非司法委員會召開了反壟斷聽證會，此事還不會曝光，二來蘋果執行長Tim Cook也曾在聽證會上承諾，願意把與Amazon之間的協議開放給任何符合條件的開發者。</p> <p>因此，<a href="https://digitalcontentnext.org/wp-content/uploads/2020/08/DCN-Letter-to-Apple-final.pdf" target="_blank">DCN本周發信給Cook</a>，希望蘋果能夠對外揭露該協議的條款，以讓所有符合條件的開發者能夠提出申請。Pedigo認為，這對蘋果來說是項挑戰，包括是否真的願意讓所有規模的開發者都享受與Amazon同等的待遇，Cook在聽證會上說的是否為事實，都值得觀察。</p> <p>DCN的質疑主要來自於包括Spotify與Epic，都曾向蘋果爭取調降App Store的佣金比例或是嵌入自家的支付平臺，卻都遭拒，且Epic在《要塞英雄》（Fortnite）中嵌入自家的Epic Direct Payment支付機制的當天，就被App Store下架了，蘋果還威脅要終止Epic在App Store上的所有開發者帳號。</p> <p>蘋果App Store的壟斷爭議如雪球般愈滾愈大，連臉書都曾對此提出批評，<a href="https://www.ithome.com.tw/news/139430" target="_blank">指出該平臺</a>決定在疫情期間，不向替粉絲頁規畫的線上付費活動抽取佣金，但蘋果卻堅持要收取30%的佣金，看來蘋果很難從這波此起彼落的抗議聲中安然脫身。</p> </div></div></div>
2020/8/22 23:50作者陳曉莉https://www.ithome.com.tw/news/139565
Prometheus相關專案Thanos與Cortex，雙雙進入CNCF孵化器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2018年從雲端原生運算基金會（Cloud Native Computing Foundation，CNCF）畢業的開源監控專案Prometheus，其生態系正在蓬勃發展中，CNCF宣布，建立在Prometheus之上的<a href="https://www.cncf.io/blog/2020/08/20/toc-welcomes-cortex-as-an-incubating-project/">Cortex</a>以及<a href="https://www.cncf.io/blog/2020/08/19/toc-approves-thanos-from-sandbox-to-incubation/">Thanos</a>專案，現在都進入到孵化器中。目前在CNCF孵化器中的專案，達到了21個。</p> <p>Cortex以及Thanos的目標，都是要提供可擴展的Prometheus部署，兩方各有其支持者，Cortex成員包括了Prometheus創建者Julius Volz以及維護者Tom Wilkie，而Thanos專案其中一位維護者，則是Prometheus專案知名成員Frederic Branczyk。</p> <p>Cortex在今年4月的時候，發布了1.0版本，該專案最初由Weaveworks啟動開發，並在2018年進入CNCF沙盒中，是以Prometheus為基礎的開源時間序列資料庫與監控系統，具有水平擴展，還有接近無限的資料留存能力。除了Weaveworks的努力，之後EA與Grafana Labs等多個早期採用者，也都為專案貢獻了不少。</p> <p>Cortex被建構為可擴展，且易於使用的解決方案，可用於Prometheus監控和長期存儲，Cortex多租戶的特性，可以在單個叢集將不同Prometheus來源隔離，使不受信的各方共享同一個叢集。而且Cortex還支援熱門的雲端儲存服務，諸如Amazon DynamoDB、Google Bigtable、Cassandra、S3、GCS和微軟Azure等儲存。</p> <p>目前Cortex主要維護者來自Grafana Labs、微軟、Splunk和Weaveworks。EA、Gojek和Rewe Digital等企業組織已經將Cortex用於生產階段，並且進行超大規模部署。</p> <p>而另外一個陣營Thanos，訴求以簡單且高成本效益的方式，縮放以Prometheus為基礎的系統，目的是要實現全球規模的監控。Thanos由Improbable創建，目前維護者來自AdForm、Grafana Labs、紅帽和Utility Warehouse，已經被阿里雲、紅帽與Monzo等企業用於生產環境。</p> <p>Thanos維護者Frederic Branczyk提到，Thanos是一種易於安裝的解決方案，可以將用戶的Prometheus執行個體，過渡到具有長期儲存功能的監控系統。大多數的Thanos都部署在Kubernetes上，可用來監控跨多叢集與多雲的微服務或是基礎設施。</p> </div></div></div>
2020/8/22 23:30作者李建興https://www.ithome.com.tw/news/139549
【臺灣資安大會直擊】內賊如何閃避IT監控偷資料？精品科技揭露常見隱寫術與混淆手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">客戶涵蓋跨國IT供應商NTT Data及臺灣多家高科技業者的資安廠商精品科技，在資安端點防護已經累績了三十年經驗，資訊安全顧問兼資安部經理陳伯榆，過去更曾多次擔任臺灣資安大會講者，分享內部人員、外包第三方人員從企業內部竊取資料的手法及防護方法。而在今年臺灣資安大會上，他更純粹以資料竊取者的角度，來分析內賊如何竊取企業機密，並輕易閃避企業IT偵測，將資料傳送出去。</p> <p dir="ltr">「有很多資安人員，不曉得如何抓到偷竊行為，可能已經窮舉各種方法，甚至把CMD指令或PowerShell執行權限降到最小，只能執行預設的功能。但這真的有效？」陳伯榆點出企業IT在資源有限的情況下，要查找出竊取行為的挑戰。</p> <p dir="ltr">尤其，這類來自內部的資料竊取者（通常來自內部人員或外包第三方人員，通稱為Insider），通常熟悉企業的資訊環境，比如網段、主機位置、啟用的資訊服務等，也一定程度的掌握了企業員工的習慣，包括員工如何時離開位置、電腦是否登出、是否使用外接儲存裝置等狀態，就連資料的儲存位置、資安管控措施都有所了解。由於內部人員具備了這些有利的條件，一旦受到利益、惡意、政治目的驅使，或是一時疏忽導致機密資料外洩，就會成為企業的災難，甚至帶來更甚於外部駭客攻擊的破壞。</p> <p dir="ltr">近年來，從內部竊取資料的手法也更隱蔽，比如一位名列中國千人計畫的華裔工程師，就疑似把39份美國企業General Electric Power的設計與流程圖，加密並隱藏到一張照片裡，偽裝成一張正常的日落風景圖，再從公司伺服器複製出來傳送到自己的Email中。陳伯榆表示，面對這類偷竊手法，企業在資源有限的情況下，很難一窺或是查找出竊取行為，需要有相關配套環境與管控措施，才能在微跡證的軌跡紀錄中揪出竊取者。</p> <h3 dir="ltr"><span style="color:#FF8C00;">Insider如何把資料偷走？</span></h3> <p dir="ltr">陳伯榆也以技術角度分析Insider竊取手法，來說明內賊難防的原因。</p> <p dir="ltr">首先，在偷資料的過程中，Insider會先把機密資料隱藏起來，透過編碼（Encode）或加密（Encryption）的手法，將機密文件的內容文本，以一道工法進行遮蔽，使其無法透過簡易方式閱讀出文本的真正意義與內容，比如上述案例中，將設計圖加密到一張風景圖中，就是一種隱匿資料的手法。而將機密資料隱藏到各種載體的過程，也稱為隱寫術（Steganography），具有不可察覺（Imperceptibility）、難以檢測（Undetectability）的特性。</p> <p dir="ltr">陳伯榆說明，隱寫術中用來隱藏機密資料的媒介，包括圖片、影片、聲音、內容（txt、pdf）、壓縮檔（zip、rar），且透過非技術性的簡單手法，也可以將機密資料隱寫到文件中，比如透過在Word檔的空白處貼上機密內容，再把文字反白，就能偽裝成一份正常的文件檔案，但事實上已經隱匿了機密訊息。</p> <p dir="ltr">將資料隱匿起來之後，接著，還要把資料偷渡出去才有價值。陳伯榆說，企業對外有各種網路傳輸的渠道，如Mail、Web、DNS Tunnel、FTP、雲端工具等，許多企業往往認為做了嚴密控管，但仍有許多技術管道能嘗試繞過這些限制，比如DNS Tunnel作為與外界通訊的管道，就容易成為機密資料外洩的破口。</p> <p dir="ltr">另一個傳輸管道，則是透過實體的裝置來存取資料，最常見的就是USB，其他還有CD、Mobile裝置、紙本文件、印表機等。尤其許多企業電腦具有雲端列印的功能，若沒有防護措施，偷竊者甚至可以直接將文件列印到家中印表機，這些都是需要防範的傳輸管道。</p> <p dir="ltr">陳伯榆更提醒，偷竊者從網路將資料傳輸出去時，更可能利用混淆（Obfuscated）程式碼的手法，混淆CMD或PowerShell指令，來迴避IT人員的監測分析，達到傳送輸出的目的。而且，多數企業也都缺乏輸入（input）、輸出（output）指令的行為紀錄，容易成為偷竊者迴避監測的管道。最後，將機密資料取出後，就能透過解碼（Decode），完成一次機密竊取。</p> <p>面對這些內部資料偷竊威脅，陳伯榆也建議，市面上仍有合適的產品工具，可供企業快速分析、查找風險，成敗關鍵，在於資安稽核人員需不斷學習並精進相關技術，來累積風險查找的經驗與敏感度。</p> </div></div></div>
2020/8/21 17:28作者翁芊儒https://www.ithome.com.tw/news/139550
Fintech周報第157期：臺灣首屆監理科技黑客松正式開跑，聚焦eKYC、市場資訊即時監理、防詐欺或預警共3大主題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0815</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～</span></strong><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0821</span></strong></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 監理科技 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 黑克松 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">臺灣首屆監理科技黑客松正式開跑，聚焦eKYC、市場資訊即時監理、防詐欺或預警共3大主題</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">由金管會指導，金融總會與臺灣集中保管結算所主辦的<a href="https://www.fintechspace.com.tw/zh-hant/activity/taiwan-regtech-challenge2020/">2020監理科技黑客松</a>（Taiwan RegTech Challenge 2020）在8月中正式開跑，這也是臺灣第一個國際級監理科技挑戰賽，向全球展開為期2個月的招募。而該挑戰賽也是參考了英國TechSprint的機制。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">金管會近年積極推動監理科技，2020年的施政要點更以協助金融市場發展及消費者金融服務需要為方向，持續建構完善金融監理法制，提升金融機構國際競爭力。為了促進數位監理化的成熟度，並探索未來數位風險，金管會在2020年成立監理科技專案小組，邀集集保結算所、聯徵中心及相關周邊單位，共同研議發展我國監理科技，同時整合周邊金融單位與業者資源、引進最新科技與系統。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">配合金管會Open Banking施政方向，舉辦監理科技黑客松有4大目的。包括加速監理科技導入產業的可行作法；透過整合產官數位監理發展共識；鏈結國際法遵科技網絡；凝聚監理科技領域能量，作為主管機關數位監理導入或法規調適的參考依據。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">為了彙整國內金融科技發展需求及痛點，金融總會秘書長，同時也是監理科技黑客松工作小組召集人吳當傑表示，籌備初期，團隊花了3個月走訪銀行局、保險局、證期局與檢查局4大局，以及7大金融機構的高層主管，歸納收斂出挑戰賽的3大主題：eKYC、市場資訊即時監理、防詐欺或預警，找到最真實的痛點所在，才能讓參賽團隊對症下藥。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">而eKYC的對應子題，為多元數位身分認證方式，技術層面比如無卡識別、生物辨識、語言處理。市場資訊即時監理則有3項對應子題，囊括財業務資訊監控，偶發事件即時回傳與分析，以及跨域、跨業、同業、集團內數據合規共享。技術層面有假資料判讀、營運風險預警、法規調適流程自動化、跨資料庫數據整合。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">在防詐欺或預警主題，也有3項對應子題，包括可疑交易或帳戶及內部舞弊行為偵測、借貸違約及證券交易違約風險預警、實質受益人辨識。技術層面為盜領行為偵測、新型風險樣態偵測、交易及借貸違約預警、實質收益人辨識等。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">為了有效促進提案內容落地應用，2020監理科技黑客松還設計「資料提供方或業師（data partner或mentor）」與「個案評估輔導」2套機制。對國內金融產業不熟悉的參賽團隊，可由大會媒合所需數據或業師；複賽到決賽的個案評估輔導期間，大會也會提供法規、法遵及資安、資訊的可行性檢測，協助盤點資安、法規基本項目。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 企業數位帳戶 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 第一銀行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">獨資企業也能線上申辦數位帳戶，第一銀行成國內首家開辦銀行</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/058_%E7%AC%AC%E4%B8%80%E9%8A%80%E8%A1%8C_ATM%E7%9B%9C%E9%A0%98%E4%BA%8B%E4%BB%B6_20160719.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">隨著金管會擴大數位存款帳戶申辦對象，讓獨資企業也能線上申辦企業數位帳戶。第一銀行在8月17日宣布，推出iLEO獨資企業數位帳戶，更是國內第一家推出企業數位帳戶的金融機構。第一銀行表示，獨資企業主只要準備好身分證明文件、自然人憑證及工商憑證，透過線上與客服人員視訊驗證身分後，即可開立獨資企業數位帳戶，不僅省去親臨分行櫃檯辦理開戶的時間，開戶後透過iLEO App即可獲得存款、外匯、信託等金融理財服務。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，第一銀行透露，iLEO App近期也將開放線上申請數位存摺服務。未來，個人用戶或企業主即可匯出存摺及交易明細，作為財力證明及申貸依據等用途。而iLEO App也將於9月開放年滿7歲以上的未成年人線上申請開立數位帳戶服務。iLEO數位帳戶是第一銀行專攻年輕客群的產品，自2019年4月推出以來，使用人數已達33萬戶。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Capital One </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 個資外洩 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">美國Capital One銀行個資外洩案遭重罰8千萬美元，因上公雲前未能建立有效風險評估流程並及時修補缺失</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">美國Capital One銀行去年7月遭駭客入侵雲端系統，遭駭客竊取上億用戶個資及企業資訊，近期遭主管機關處以8千萬美元民事罰金。美國財政部轄下的貨幣監理官辦公室（Office of the Comptroller of the Currency，OCC）指出，之所以做出這項處分，是因Capital One在把重要資訊搬移到公有雲環境前，未能建立有效的風險評估流程，並及時修補缺失。但所幸銀行迅速通知客戶及補救。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">OCC指出，雖然它鼓勵所有銀行採取「負責任」的創新，但是健全的風險管理及內部控管才是確保銀行安全運作、提供客戶充分防護的關鍵，OCC認為Capital One的缺失造成了不安全的環境，也違反了《建立資訊安全標準跨部會指引》的法規。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">去年3、4月Capital One員工Paige Thompson利用對公有雲AWS的了解，利用網路防火牆組態漏洞而駭入該銀行代管在AWS S3服務的客戶資料庫，超過1億名北美客戶資料遭存取，包括解密了部分資料。不過，Capital One仍然提供了加密及部分資料欄位變造（tokenized），像是社會安全碼與銀行帳號等，因而減少資料損失的幅度。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 臉書 </span> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 支付暨金融服務部門 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">臉書成立新的支付暨金融服務部門，由David Marcus領軍</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="font-family: 微軟正黑體, sans-serif; font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="/sites/default/files/images/FireShot%20Capture%20567%20-%20David%20Marcus%20on%20Twitter_%20_Today%20we're%20creating%20a%20new%20group%20to%20look%20af_%20-%20twitter_com.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">曾擔任PayPal總裁，之後負責臉書Libra專案的David Marcus，在 8月10日透過Twitter宣布，臉書已成立了新的支付暨金融服務部門，以掌管臉書旗下的所有相關服務，包括Facebook Pay、Novi及WhatsApp payments等，並由他負責領軍，外界則解讀臉書將全力發展各種支付服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">根據彭博社的報導，此一支付暨金融服務部門在內部被稱為F2，為Facebook Financial的縮寫，該部門將負責執行所有的支付專案。該報亦分析，如果使用者可直接在臉書、Messenger、Instagram以及WhatsApp上購買商品，那麼臉書的廣告就更有價值，且使用者在這些應用的停留時間也會更久。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> MOBI </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 汽車區塊鏈 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> BiiLabs </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">臺灣區塊鏈新創BiiLabs加入汽車開源區塊鏈倡議組織MOBI</span></strong><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202020-08-21%20%E4%B8%8B%E5%8D%883_15_03.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣區塊鏈新創BiiLabs在8月19日宣布，加入了由BMW、福特、通用等汽車公司，協同IBM與Hyperledger等科技機構，共同組成的汽車開源區塊鏈倡議組織（Mobility Open Blockchain Initiative，MOBI）。BiiLabs表示，他們透過分散式帳本技術，應用在出行（mobility）市場，提供汽車支付服務，以及推動包含創星物聯等合作夥伴駕駛行為計費保險（UBI）應用。加入MOBI後，將與組織中的汽車製造商、科技公司及非營利組織合作，推動在出行應用上，區塊鏈的採用和標準化。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">MOBI是一個非營利組織，於2018年成立，現已擁有超過100個組織成員，且會員數持續成長中，與許多出行和區塊鏈領域的參與者合作，包括世界上最大的汽車製造商和車用生態系統參與者，以及眾多新創公司、非營利組織、政府、交通機構以及科技公司。目的在與企業、政府和非營利組織等機構合作，加速發展區塊鏈和分散式帳本的應用與標準，使得出行服務更加安全有效率。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Coinbase </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 比特幣抵押 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 現金貸款服務 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">加密貨幣交易中心Coinbase將在美國17州，推出以比特幣作抵押的現金貸款服務</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">美國知名的加密貨幣交易中心Coinbase在8月13日宣布，將在美國17個州推出以比特幣作為抵押品的現金借貸服務，最多允許該平臺的用戶借出30%或最高2萬美元的現金，年利率為8%。要使用此一服務的先決條件是，使用者必須在Coinbase開立帳戶並存有比特幣。Coinbase表示，有些用戶可能要進行房屋修繕，或是改裝汽車，但並不想賣出自己的比特幣，才使得該平臺規畫了此一服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">不過，使用者最多只能借出所存有比特幣市價的30%，最高為2萬美元。Coinbase強調，8%的年利率低於大多數的個人借貸利率，而且不必審核信用，也能選擇每個月只支付利息，一年後才開始償還本金，只要幾個步驟就能完成貸款，並在3天內取得款項。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">攝影／洪政偉</span><br /><span style="vertical-align: top; font-size: 18.6667px;">圖片來源／FinTechSpace、</span><span style="font-size: 14pt;">David Marcus推特</span><span style="vertical-align: top; font-size: 18.6667px;">、</span><span style="font-size: 14pt;">MOBI</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="vertical-align: top; font-size: 18.6667px;">1. </strong><strong style="font-size: 14pt;">台新金控決議併購保德信人壽，以完成金控版圖布建</strong><br /><strong style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; font-size: 18.6667px;"><span style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2020年8月</span></strong></strong></p> </div></div></div>
2020/8/21 18:07作者李靜宜https://www.ithome.com.tw/news/139551
Google以衛星資料定位北美野火範圍，透過地圖即時推播
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.blog.google/products/search/mapping-wildfires-with-satellite-data/">Google</a>現在於搜尋與地圖服務，提供野火的詳細資訊，包括地點以及火災邊界，並在用戶接近活躍的火災區域時發出警告，並且提供最新的資訊，幫助用戶遠離野火威脅。</p> <p>每年8月到11月是加州乾旱季節，雖然發生山林火災屬常見的現象，但是今年因為受極端氣候影響，野火災情提早到來，現在加州數百處嚴重程度不一的野火，正在延燒擴散。而之所以現在Google能在搜尋以及地圖服務，提供精確的野火資訊，Google提到，是10年前發生在以色列北部卡梅爾山區的森林大火，開啟了他們建構相關功能的契機。</p> <p>Google在以色列的辦公室，距離卡梅爾山大火發生地點不遠，火災發生時，雖然辦公室的員工，在網路上盡可能地搜尋相關的新聞，想具體了解發生什麼事，以及需要採取的應變措施，但都只能找到一些他們用肉眼就能確認的事實。Google提到，資訊不足可能最終造成生命傷亡，因此他們決定開始建構可以在危機期間，快速且精確提供人們資訊的功能。</p> <p>在卡梅爾山大火發生當下，Google就快速的在搜尋中加入小功能，讓人們容易找到火災緊急應變中心電話，這項功能也發展成為2017年，Google所發布的SOS警報功能。而現在Google又進一步強化該功能，在搜尋以及地圖的SOS警報加入野火邊界地圖資訊，提供用戶查看野火發生的區域。</p> <p>Google使用來自美國國家海洋與大氣管理局（NOAA）GOES衛星群的資料，結合Google地球引擎資料分析功能，能以接近即時的速度，繪製出野火的區域。每小時NOAA衛星所提供的紅外線和光感測器資訊，可用來偵測地球表面大火等發熱點，經Google地球引擎計算之後，便能辨識出受火災影響的區域。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Wildfire_Detection_Animation.gif" style="width: 600px;" /></p> <p>Google搜尋和地圖能在地圖上顯示紅色外框的多邊形，標示出野火大致影響區域，當同一地區發生多次大火，那用戶便會看到多個多邊形。只要用戶搜尋加州野火，或是Kincade fire等關鍵字時，Google還會提供野火的詳細資訊，包括邊界、名稱和位置，以及一些有用的新聞報導，和緊急應變機構等資訊，Google地圖用戶也會收到相同的資訊，且當用戶在野火區域附近探索時，也會收到警報推播，提供相關的最新資訊。</p> </div></div></div>
2020/8/21 16:20作者李建興https://www.ithome.com.tw/news/139544
美大學強迫學生安裝COVID-19檢測及定位App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國各級學校開學、復學在即，<a href="https://techcrunch.com/2020/08/19/coronavirus-albion-security-flaws-App/" target="_blank">Techcrunch報導</a>，為了確保學生做過COVID-19檢測，以及提供接觸追蹤，一所大學強迫學生安裝一款稍早還爆發漏洞的App，而且擅自關閉定位追蹤者可能遭到處份。</p> <p>美國當地大專院校即將在疫情方熾中開啟新學期，讓校方繃緊神經，採取多項防範措施。例如密西根州的<a href="https://www.albion.edu/news-and-events/recent-news/news-archive/735-academics/14873-albion-college-outlines-fall-2020-semester-academic-plan" target="_blank">Albion學院</a>規畫的新學期，會在8月24日開始，於11月感恩節，而非傳統上的聖誕節前夕結束。但該校也要求師生開學當天接受COVID-19抗體檢測，並安裝名為Aura的App。</p> <p>這款App具備接觸追蹤、檢測排程、以及出入准許功能，並產生QR code作為出入驗證。學生接受過檢測後，資料就會餵進App及通知校方。未來學生出入某個場合時，檢測為陰性的學生掃瞄QR code會顯示「通過驗證」（certified），但檢測結果為陽性或尚未檢測的學生在掃瞄QR code時，即會出現「不得進入」（denied）。</p> <p>此外，若檢測陰性的學生和檢測陽性的學生有過一段時間的近距離接觸後，Aura就會發出警告。但是報導指出，Aura使用的技術，和蘋果、Google提供的曝險通知（exposure notification）不同，它會經常存取學生即時位置，校方聲稱這是接觸追蹤的必須。</p> <p>根據媒體拿到的郵件顯示，利用定位功能，校方企圖監控學生行動。例如校方要求學生不得在未經許可情況下離開校區，以免在外感染回校傳染給師生。若擅自離校這款App會通知校方，該生學生證即被鎖卡而不得進入校園大樓。</p> <p>學校還警告若是學生違規關閉定位功能，可能遭到停學或是開除的處分。</p> <p>此外，報導還指出，這款App還存在可能導致資訊外洩的漏洞。這項漏洞出現在產生QR code的方式。Techcrunch分析發現，產生學生QR code的Aura網址包含Aura用戶帳號，因此增減帳號即可產生不同人的QR code。只要掃瞄這些QR code即可得知學生的全名、COVID-19檢測結果，以及出入驗證的日期等資訊。報導推測可能有1.5萬名學生資訊可因此外洩。</p> <p>在媒體通知後，開發該App的廠商已修補漏洞。不過<a href="https://www.dailymail.co.uk/news/article-8639557/Michigan-college-fire-making-students-download-App-track-movements.html" target="_blank">學生家長仍然質疑</a>，密西根州已經有接觸追蹤App，這款App根本是畫蛇添足。</p> </div></div></div>
2020/8/21 16:20作者林妍溱https://www.ithome.com.tw/news/139548
Uber前安全長Joe Sullivan因蓄意隱瞞資料外洩事件被起訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2015年至2017年間擔任Uber安全長的Joe Sullivan，因為隱瞞了駭客攻擊事件，在本周遭到美國司法部起訴，罪名是妨礙司法及隱匿重大犯罪，最多可能面臨8年的牢獄之災。</p> <p>根據美國司法部的<a href="https://www.justice.gov/usao-ndca/pr/former-chief-security-officer-uber-charged-obstruction-justice">說明</a>，當Sullivan在2015年接任Uber首任安全長時，美國聯邦交易委員會（FTC）正在調查Uber於<a href="https://www.ithome.com.tw/news/94234">2014年的資料外洩事件</a>，而Sullivan當時便負責與FTC交流，但就在Sullivan任內，又發生另一起資料外洩事件，Sullivan卻選擇隱匿不報，而且還支付了價值10萬美元的比特幣予駭客，要求駭客移除所盜走的資料且不得對外聲張。</p> <p>調查顯示，駭客在2016年成功入侵Uber，盜走了5,700萬名Uber乘客與司機的資料，內含乘客姓名、電子郵件帳號及行動電話號碼，以及60萬名美國Uber司機的駕照資料。</p> <p>不過，Sullivan非但沒有通知執法機關或FTC，反而與駭客訂下協議，以Uber的抓漏專案為名，支付了10萬美元予駭客，並與駭客訂定保密協議，還在保密協議中註明駭客並未取得或儲存任何Uber用戶資料，且當時Sullivan甚至不知駭客的真實姓名。之後當Uber團隊確認駭客身分之後，Sullivan再度要求駭客重新簽署保密協議，同樣宣稱駭客並未取得Uber用戶個資。</p> <p>此外，當知情人士詢問Sullivan為何在保密協議中描述錯誤的資訊時，Sullivan依然堅稱駭客未取得Uber用戶資料。</p> <p>在2016年8月接任Uber執行長的Dara Khosrowshahi，也曾要求Sullivan彙報當年的資料外洩事件，Sullivan修改了團隊成員的簡報，刪除了駭客取得Uber用戶資料等細節，還說他是在確認駭客身分之後才支付贖金的。</p> <p>Sullivan則在Khosrowshahi查明事實之後於2017年離職，同時也受到美國司法部的調查，在本周正式遭到起訴，罪名為妨礙司法及隱匿重大犯罪。</p> <p>美國聯邦檢察官David Anderson指出，矽谷並非蠻荒之地，他們期待良好的企業公民意識，希望企業舉報犯罪行為並協助調查，無法容忍企業的隱匿與私下付款的行為。FBI主管Craig Fair則說，向執法機關隱瞞重大犯罪事件屬於犯罪行為，企業不該協助駭客隱匿犯罪，也不應遮掩駭客竊取他人數據的犯罪企圖。</p> </div></div></div>
2020/8/21 15:50作者陳曉莉https://www.ithome.com.tw/news/139542
Android 11將讓用戶更難使用第三方相機程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周<a href="https://issuetracker.google.com/issues/162643544#comment6">表示</a>，為了確保用戶隱私，Android 11最新變更將要求手機上的App，只能使用手機內建的相機程式，即使用戶手機上有其他偏愛的拍照App。</p> <p>原本Android App如果有拍照或錄影的行為，可利用Android 相機API，在App內拍照，或是傳送到專門的相機程式App，這時Android會顯示對話窗格，讓用戶選擇手機內建的相機App，或是第三方App如OpenCamera。但Android 11的最新變更，讓第三方相機App無法回應錄影及拍照的3種意圖（VIDEO_CAPTURE、IMAGE_CAPTURE、IMAGE_CAPTURE_SECURE）。這麼一來，Android 11上跳出的對話窗格只會顯示手機預建的相機App。這意謂著，使用者如果想用第三方相機App必須手動開啟，讓第三方App使用變得更麻煩。</p> <p>Google 本周在Android討論區解釋，這可防止有心人士藉第三方相機App蒐集地點資訊，確保用戶隱私和安全。</p> <p>不過Android 11仍然留了一條路：第三方App仍然可傳送明示的意圖，指定特定的App名稱或元件以便啟動第三方相機App，例如Adobe最新推出的Photoshop Camera。</p> <p>XDA Developer<a href="https://www.xda-developers.com/android-11-blocks-third-party-camera-Apps-Appearing-image-video-picking-intents/">指出</a>，這表示未來App開發商必須先設想好他們想支援哪些第三方相機App。</p> </div></div></div>
2020/8/21 15:50作者林妍溱https://www.ithome.com.tw/news/139543
MITRE公布這兩年全球最危險的25種軟體安全缺陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>管理包括資安在內等多個研發中心的美國非營利組織MITRE，在本周公布了這兩年<a href="https://cwe.mitre.org/top25/archive/2020/2020_cwe_top25.html">最危險的25種軟體安全缺陷</a>（Common Weakness Enumeration，CWE），占據第一名的是可能衍生出各種跨站程式攻擊（Cross-site scripting，XSS）的CWE-79。</p> <p>CWE全名為通用缺陷列表，是由MITRE負責管理的National Cybersecurity FFRDC所贊助的專案，它把各種軟體漏洞分門別類，總計提供逾600種分類，與業者修補漏洞時所使用的「常見漏洞披露」（Common Vulnerabilities and Exposures，CVE）不同，CVE指的是軟體中的具體漏洞，而非只是分類。</p> <p>其實CWE專案去年也曾發布<a href="https://www.ithome.com.tw/news/134475">2019年最危險的25種軟體缺陷</a>，今年前25名的差異並不大，只是名次有些異動，MITRE說明，這是因為今年他們突顯了更具體的安全缺陷，使得那些較為抽象的漏洞類型排名下滑。此外，這些漏洞的排名主要是根據它們是否很容易被發現與攻陷，以及是否允許駭客完全掌控系統、竊取資料或阻止應用程式運作而定。</p> <p>今年所列出的前五名最危險漏洞類別中，第一名為CWE-79，它肇因於在網頁生成的過程中，出現不當的中和輸入（Improper Neutralization of Input During Web Page Generation），而可能衍生出各種跨站程式攻擊，它在去年僅排名第二。</p> <p>第二名則是CWE-787的越界寫入（Out-of-bounds Write）缺陷，指的是軟體會在預期的緩衝區之外寫入資料，一般可造成資料損毀、當掉，或是允許程式執行。CWE-787在去年的排名是第12。</p> <p>第三名為CWE-20的不適當輸入驗證（Improper Input Validation），意指產品所接收到的輸入資料未經驗證，或是不適當地驗證了含有不安全內容的輸入資料。CWE-20與去年的排名一致。</p> <p>第四名為CWE-125的越界讀取（Out-of-bounds Read）缺陷，亦即允許軟體讀取緩衝區以外的資料，通常可允許駭客讀取存放在記憶體中的機密資訊或是造成系統當掉。它在去年排名第五名，今年上升了一名。</p> <p>第五名則是CWE-119，屬於記憶體緩衝區內不當的操作限制，這是因為特定語言容許直接取得記憶體區域，但並未自動確保這些記憶體緩衝區是有效的，可能造成在這些區域中的讀寫操作牽連到其它的變數、資料結構或內部程序資料，使得讀寫行為超越緩衝區界線，而讓駭客得以執行任意程式、變更控制流程、讀取機密資訊或導致系統當機。CWE-119是去年的第一名。</p> <p>MITRE表示，2020 CWE Top 25是參考了2018年與2019年的美國國家漏洞資料庫（NVD），分析2.7萬個CVEs的特性與CVSS（常見漏洞評分系統）分數而成，以期客觀地了解現實世界中真正存在的軟體缺失，將讓專案管理員、安全研究人員或教育人員得以一窺當前的資安景況。</p> </div></div></div>
2020/8/21 16:00作者陳曉莉https://www.ithome.com.tw/news/139545
猶他大學遭勒索軟體攻擊：付贖金的原因不是為了解密資料，而是贖回被盜的學生資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩年有愈來愈多的勒索軟體駭客集團在加密系統上的資料前，會先下載資料，以增加與被害者談判的籌碼，而本周美國猶他大學即證實了這個現況。猶他大學以一己之力復原了被駭客加密的系統，卻為了保護被駭客下載的員工與學生資料，而選擇支付贖金。</p> <p><a href="https://attheu.utah.edu/facultystaff/university-of-utah-update-on-data-security-incident/" target="_blank">猶他大學表示</a>，該校社會與行為科學學院的幾臺伺服器在7月17日遭到勒索軟體攻擊，該學院立即通知該校的資訊安全辦公室（ISO）與執法機構，最後判斷這些伺服器上只有0.02%的資料被加密。在短暫隔離這些伺服器並清除惡意程式之後，ISO很快就以備份的資料復原了相關伺服器，且該攻擊事件並未波及學校的中央IT系統。</p> <p>儘管已恢復系統運作，然而，幾經考慮，猶他大學還是決定支付45.7萬美元的贖金予駭客，以確保教職員或學生的個人資訊不會流落在公開網路上。該筆金額有部份是由資安險支付，其它則是動用了學校的資金。</p> <p>目前該校仍在調查受到影響的人數，但為了以防萬一，該校已在7月29日要求全校教職員與學生變更他們的登入密碼，且啟用雙因素認證機制。</p> <p>猶他大學表示，該校原本就有編列不小的預算來保護校園的資訊安全，包括防範勒索軟體攻擊，也會適時修補必要的漏洞且24小時監控校園網路，但即便如此，複雜的運算需求與分散式的特性，仍讓該校淪為勒索軟體的受害者，未來該校將把各學院系統上的個人及機密資訊轉移到中央系統上，並建置更安全的環境，也會把學院網路整合到由中央管理的校園網路。</p> </div></div></div>
2020/8/21 16:05作者陳曉莉https://www.ithome.com.tw/news/139547
臺大、北榮、北醫三團隊展示AI輔助診斷系統，大幅縮短心、腦、肺重大疾病診斷時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在政府推動精準醫療及精準健康政策，以及AI產業應用之下，科技部與衛福部聯手推動國內醫療影像AI應用，本周臺大、榮總、北醫三個研究團隊展示成果，透過AI輔助判斷醫療影像，協助醫師判別心、腦、肺重大疾病，大幅縮短診斷時間。</p> <p>科技部推動「醫療影像之巨量資料建立與應用研究專案計畫」，2018年與臺灣大學、臺北榮總、臺北醫學大學合作，啟用國內第一個跨院所的醫療影像資料庫，涵蓋心、腦、肺部醫療影像資料，由三個醫療團隊以人工方式標註資料，並進一步和其他業者、研究單位聯手，發展醫療影像AI診斷模型。</p> <p>隨著專案即將在今年底結束。科技部政務次長謝達斌表示，衛福部、科技部及經濟部將展開合作，從2021年推動4年期的精準健康大數據永續平台，結合醫療影像、病理、基因資料形成複合式的巨量資料，可以加速臨床轉譯開發研究，除了可為國人健康把關、更有效率的治療，也能幫助國內生醫產業發展。</p> <p>謝達斌指出，醫療影像對臨床診療有相當大的幫助，也是AI最有明顯效果的領域，透過補助學研界對心、腦、肺重大疾病，在AI輔助檢測判斷醫療影像下，短時間內就能產出具國際標準的檢測報告，讓醫生覆核的依據，臨床上從傳統20、30分鐘降到5分鐘，研發過程標註的模型及資料庫放在國網中心，在保障個人隱私下提供給其他團隊使用，帶動進一步的發展。相信對小醫院及偏遠地區的輔助判斷能夠帶來幫助，未來影像數據加值發展精準醫療，也能建立良好示範，加上共享機制和個資保護，有助於加速我國醫療AI及產業發展，這些成果也為複合式資料運用的精準醫療發展打下里程碑。</p> <p>衛福部健保署為了協助三個團隊在醫療影像AI診斷模型訓練上能突破訓練用資料的侷限性，健保署和科技部合作，開放三個團隊運用健保署從前年開始蒐集民眾在各個醫療院所做CT、MRI、X光檢查影像資料，現在約有超過17億張的影像資料，運用這些多樣性資料進一步優化AI模型辨別的準確性。</p> <p><span style="color:#B22222;"><strong>北榮展示腦轉移瘤AI輔助診斷系統，開設多個AI輔助門診</strong></span></p> <p>臺北榮總針對腦部轉移瘤展示了AI診斷系統DeepMets，該團隊使用榮總歷年累積的各種腦部腫瘤影像資料，共超過160萬張影像，經過篩選、標註，2018年他們和臺灣人工智慧實驗室合作展示第一個版本。雖然第一版已有不錯的辨識準確性，但由於訓練資料仍有侷限性，因此他們除了使用自家的1,100個病例，也利用健保署資料庫中的3,100多個腦轉移瘤病案，利用開源的聯合學習（Federated Learning）套件Harmonia進行聯合學習，開發出DeepMets+，強調在不同的主要MR設備廠牌上能夠找出腦轉移瘤病灶，計算數量、最大徑、體積等。DeepMets+在腦轉移瘤判斷的Precision達到97%、Recall召回率達95%、F1 Score達96%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/brain.jpg" style="width: 600px; height: 426px;" /></p> <p>AI輔助診斷也對民眾看病流程帶來影響，在未導入AI輔助診斷之前，傳統的肺癌檢查流程，從患者在胸腔科看門診，安排磁振及電腦斷層檢查，理論上放射科醫師花費5至7天時間製作報告，病患再回診看報告，由醫師決定治療方針。</p> <p>導入AI輔助診斷後，臺北榮總放射線部主任郭萬祐指出，原本的流程縮短了，例如病患在早上看過胸腔科門診，循綠色通道，中午為病人安排影像檢查，當天下午第二次門診，由AI輔助診斷系統協助醫師判別腦轉移瘤情形，判別肺癌發展至哪一階段，及早決定病人的治療方針。醫學影像檢查的正式報告，仍由放射科醫師花費5到7天製作。</p> <p>北榮已將DeepMets應用在該院的神經影像及胸腔內科AI輔助門診，偵測腦轉移瘤病灶，已應用在超過1,500個病例上，醫生閱片時間從人工至少10分鐘降為30秒，診療流程從2週縮短為半天。</p> <p>目前北榮已開發出約10支AI模型，郭萬祐表示，DeepMets未來不只放射科，模型也放至胸腔科，可以想像診間內有各種模型，輔助醫師診斷肺結節、結核、腦轉移瘤、肺癌。</p> <p>北榮在去年2月已在三個門診使用AI輔助診斷，包括AI輔助心房顫動電燒門診、AI輔助腦影像門診、AI輔助脊椎骨折門診，今年新增青光眼門診。</p> <p><strong><span style="color:#B22222;">北醫靠AI縮短醫師檢視、診斷肺癌時間</span></strong></p> <p>根據衛福部統計，肺癌爳國內癌症死亡率第一，病患五年的存活率只有15%，且高達7成的串者診斷時已是末期，為了及早診斷肺癌，臺北醫學大學（北醫）在科技部補助下，開發肺部人工智慧診斷輔助系統Deep-Lung，這套系統分為兩部份，分別檢測CT電腦斷層影像、數位病理影像。</p> <p>北醫展示的肺部AI診斷系統Deep-Lung，包括左邊螢幕的CT影像，靠AI找出肺結節，右邊則是數位病理全玻片影像，找出切片中的癌細胞，並對其分群：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Deeplung.jpg" style="width: 600px; height: 386px;" /></p> <p>在肺部CT影像方面，北醫運用影像標註、語意標註，共計6千例，肺結節標註系統，北醫運用3D-RPN偵測肺結節位置，可偵測多顆肺結節，北醫副校長陳震宇表示，精準度Sensitivity已達到近86.9%。進一步透過特徵提取、深度學習模型，對良惡性分類的準確率可達到98%。綜合偵測、分類、自動報告發展出肺結節CT診斷輔助系統Deep-lung:LungRads，利用AI輔助偵測、分類，以及按照肺結節處置自動分級，建議醫生處置方式。</p> <p>至於數位病理影像方面，北醫以3千片肺部病理影像，和雲象科技合作開發數位病理全玻片檢測系統Deep-Lung：Patho CAM。由於全玻片病理影像檔案高達1GB，他們和國網中心合作，運用臺灣杉二號的運算能量，利用CNN架構結合專利技術對癌細胞分群，同時以視覺化方式標示出全玻片影像中病灶位置。</p> <p>陳震宇強調Patho CAM已能在全玻片影像中，只要10秒鐘找出癌細胞的位置，準確率可達90%，猶如在Google Earth中找到某一棟建築物，由於80%的肺腺癌混有兩種以上的亞型癌細胞，不同亞型對治療方式的效果也有差異，這套系統還能進一步分辨癌細胞的亞型分布及定量，協助醫師擬定適合的治療方針。</p> <p>根據北醫的測試，在肺部CT影像方面，放射科醫師檢視CT影像所需時間約需20分鐘，AI自動產出診斷報告只要10秒，而醫師覆核時間只要5分鐘，大大節省時間。而病理科醫師檢查全玻片影像，一般需要45到60分鐘，透過Patho CAM協助，AI偵測約10秒完成，醫師覆核只要20分鐘。</p> <p>「Deep-Lung可以降低醫生偵測、診斷的時間，對經驗不足的中小型醫院來說，也能帶來相當大幫助」，陳震宇說。</p> <p><span style="color:#B22222;"><strong>臺大開發心臟主動脈鈣化、脂肪的AI分析模型</strong></span></p> <p>專注在心臟血管重大疾病的臺大團隊，結合臺灣大學及臺大醫院團隊，並和8個醫學中心聯手，運用8個醫學中心的去識別化CT電腦斷層影像，在心臟及放射科醫師標註心包膜、升降主動脈輪廓，經他們自行開發的Heaortnet神經網路，跨多個醫學中心CT設備進行聯合學習，開發心臟主動脈鈣化、脂肪的AI分析模型。</p> <p>現場展示的心臟主動脈鈣化、脂肪的AI分析模型：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20200820_110223-1.jpg" style="width: 600px; height: 450px;" /></p> <p>臺大醫院內科教授王宗道強調，心臟分割準確率達到94.2%，單一病例分析只需0.4秒，目前已應用在臺大醫院影像醫學部的輔助報告上。</p> <p>該研究也運用健保署影像資料庫平臺，近3,000筆共10萬片CT影像在20分鐘內完成分析，以預測民眾的健康風險。臺大也和商之器合作開發桌上及行動App，預計在部立醫院使用。</p> </div></div></div>
2020/8/21 16:15作者蘇文彬https://www.ithome.com.tw/news/139541
Adobe Lightroom iOS App 5.4.0版可能誤刪用戶相片、設定，且無法復原
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周Adobe釋出的相片編輯App Lightroom 5.4的iOS/iPadOS版有重大臭蟲，會導致用戶手機和平板內的相片及設定被全數刪除，而且Adobe說無法復原。</p> <p><a href="https://petapixel.com/2020/08/20/lightroom-App-update-wipes-users-photos-and-presets-adobe-says-they-are-not-recoverable/" target="_blank">PetaPixel</a>首先報導，本周有用戶分別在<a href="https://feedback.photoshop.com/photoshop_family/topics/lost-my-pictures-and-presets-after-update-today-18th-august-2020" target="_blank">Photoshop討論區</a>與<a href="https://www.reddit.com/r/Lightroom/comments/icz90f/i_cant_believe_i_lost_2_years_of_edits_due_to_the/" target="_blank">Reddit</a>反映此事。他們升級到Adobe iOS版Adobe Lightroom 5.4 App後，手機中所有相片及設定都被刪除。任何沒有備份或同步到Adobe、或其他雲端服務的相片都不見了。</p> <p>一名用戶聯絡Adobe客服後，得到的答案是問題無法解決，所有被刪的相片都無法復原。</p> <p><a href="https://feedback.photoshop.com/photoshop_family/topics/lost-my-pictures-and-presets-after-update-today-18th-august-2020" target="_blank">Adobe周三證實此事</a>，指出升級到Lightroom 5.4.0的iPhone和iPad 用戶，如果沒有和Lightroom 雲端同步，可能發生相片及設定遺失的情形。Adobe也緊急釋出修補該臭蟲的iOS和ipadOS版Lightroom 5.4.1版本。但是該公司坦承，升級到5.4.1版並不能回復用戶之前被刪的相片和設定。</p> <p>至於Android App、Windows和macOS版Lightroom用戶，則不受影響。</p> <p>由於Adobe這端已無法解決，除了道歉外，Adobe建議iOS版用戶試試從iCloud備份回復相片。</p> </div></div></div>
2020/8/21 12:15作者林妍溱https://www.ithome.com.tw/news/139540
臺灣資安大會直擊（上）資安將是臺灣新戰略產業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府終於下定決心，要善用臺灣獨特的世界級資安產業優勢！那就是源源不絕的惡意程式「天然資源」。</p> <p>來自境外、海峽對岸的網路威脅，源源不絕的駭客攻擊，曾是臺灣不論是政府或企業，極大的威脅和挑戰，甚至資安圈稱臺灣「是擁有源源不絕惡意程式天然資源的國家」。但這股壓力，練出臺灣一身資安功夫，屢屢有資安新創和資安高手在國際展露頭角。但在10年前，這股力量只在民間、業界發酵，政府還沒感受到臺灣資安的產業潛力，直到現在。</p> <p>在今年520總統就職演說中，蔡英文總統將資安產業的地位，第一次，拉高到與半導體、精密機械、生技醫藥那樣重要的國家關鍵核心產業。</p> <p>在演講中，蔡英文提出的臺灣產業發展新方向是，要在原本「5+2產業創新」的基礎上，進一步聚焦於6大核心戰略產業。第一個是臺灣向來的龍頭產業，以半導體和ICT產業為首的資訊數位產業，但名列第二的就出人意料的是結合5G、數位轉型和國家安全的資安產業。其次是生物醫療科技、國防戰略產業、綠電再生能源產業，以及最後一項是在抗疫大戰後更顯得重要的民生戰備產業。</p> <p>將資安視為國家戰略產業，是蔡英文「資安即國安」國家戰略的下一步發展，過去4年，為了轉型數位國家，發展數位經濟，政府對資安的重視拉高到了國家安全的層次。從多項資安法規的完善、政府資安專責機構來形成政府資安鐵三角，強化關鍵基礎設施資安防護，甚至是，推動了多個產業的資安聯防架構。</p> <p>但要如何讓資安產業，也能像半導體，成為臺灣在全球數位競賽的火車頭之一，政府接下來要怎麼做？各界都很期待。</p> <p>蔡英文提出幾項發展方向，一是，將加速成立整合資訊、資安、電信、網路和傳播五大數位發展相關業務領域的「數位發展部」，其次，搶先布局AI及IoT資安應用，讓臺灣科技產品獲得全世界的信任，成為重要的競爭優勢，而在政府部門關鍵基礎設施的強化作為上，也會建立以數據驅動為核心的主動防禦體系。「透過結合5G和數位轉型，提升臺灣整體數位國力，打造結合數位實力以及國家安全的資安產業，以及被世界所信賴的資安系統及產業鏈。」她說。</p> <p>不只蔡英文揭露國家下一階段資安產業方向，多個產業主管機關也在臺灣資安大會揭露了新的資安政策方向。</p> <p>例如金管會在臺灣資安大會前一周，公布了8大金融資安行動方案，金管會主委黃天牧更親自點出，這個方案從強化主管機關資安監理、深化金融機構資安治理、精實金融機構資安作業韌性、發揮資安聯防功能等4大面向切入，目標是達到安全、便利、不中斷，以及消費者個資保護。</p> <p>已經推動3年多的F-ISAC，逐漸形成臺灣金融圈彼此資安情資共享的平臺，光今年上半年，金融機構會員分享給F-ISAC的情資就有218則。黃天牧指出，下一階段，要讓資安應變機制也能資源共享。另外，金管會也計畫推動類似了美國「避風港計畫」的資料保全新作法，透過第三方儲存來建立多一道金融機構資料保全機制。甚至，黃天牧想進一步推動金融圈建立一種健康、透明的資安文化，即使遭遇資安事件，也能用積極正面的態度來面對資安威脅，透過集體努力來建構資安的安全網。</p> <p>另外，NCC委員孫雅麗也在臺灣資安大會上揭露，明年1月初，將成立一個國家級的通訊軟體領域安全實驗室，目標是協助5G網路業者，與第三方服務商完成5G相關軟體安全測試，來確保產品或服務的安全、可靠與韌性，未來還將聚焦4大5G網路資安議題，更要建DevSecOps與安全分析檢測兩大平臺。</p> <p>衛福部關鍵基礎設施資安工作推動專案辦公室主任范仲玫也預告，將持續擴大醫療資安聯防的能力和機制，不只今年要設置SOC、還要透過醫院評鑑來鼓勵更多醫療機構，加入醫療資安聯防機制，來交換資安情資。</p> <p>不只這幾個部會，科技部、經濟部、國發會等都各有新的資安政策作為。政府動起來了，臺灣資安產業正準備往下一階段發展邁進。</p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> 政府揭露新資安政策方向 </span></strong></span></span></p> <p><span style="color:#3399ff;"><strong><span style="font-size:22px;">● 資安成為國家核心戰略產業，與半導體、資通訊產業並列</span></strong></span></p> <p><span style="color:#3399ff;"><strong><span style="font-size:22px;">● 加速成立數位發展部，整合資安等5大數位發展業務</span></strong></span></p> <p><span style="color:#3399ff;"><strong><span style="font-size:22px;">● 進一步推動金融業資安應變聯防，更要鼓吹健康資安文化</span></strong></span></p> <p><span style="color:#3399ff;"><strong><span style="font-size:22px;">● 設國家級5G通訊軟體安全實驗室，強化5G產業資安體質</span></strong></span></p> <p><span style="color:#3399ff;"><strong><span style="font-size:22px;">● 擴大醫療資安情資共享，靠醫院評鑑鼓勵更多醫院加入</span></strong></span></p> <p><a href="https://www.ithome.com.tw/article/139537" target="_blank"><span style="color:#800000;"><span style="font-size: 22px;"><strong>相關報導請見：臺灣資安大會直擊（上）資安將是臺灣新戰略產業</strong></span></span></a></p> </div></div></div>
2020/8/21 11:25作者王宏仁https://www.ithome.com.tw/news/139536
臺灣資安大會直擊（上）資安將是臺灣新戰略產業
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/987-feng_mian_p12-open-960x420.jpg?itok=sv2Ozv_o" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2020，抗疫有成的臺灣，舉辦了全球第二場大規模的實體資安大會，近萬人報名，250家資安業者同臺，蔡英文總統更揭露了臺灣數位國家發展的下一步，將資安作為新戰略產業</p> </div></div></div>
2020/8/21 11:35未署名https://www.ithome.com.tw/article/139537
【臺灣資安大會直擊】金管會主委黃天牧：金融業不只要情資共享還將應變聯防，更要鼓吹健康資安文化，才能強化金融集體韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「金融機構對資安一定要有整體思維，而且必須超前部署。」金融監督管理委員會主任委員黃天牧點出新金融資安政策背後的核心精神。</p> <p>早在一年多前，時任金管會副主委暨資安長的黃天牧發覺，不能每次都等到資安事件發生後，才來修補資安規範，便交由金管會資訊處規畫一套金融資安整體方案，參考了國際金融資安情勢與資安監理趨勢，從策略管理面、制度面、技術面，全盤重新檢視臺灣金融業整體資安需強化的地方。今年8月初，這套<a href="https://www.ithome.com.tw/news/139299">金融資安行動方案</a>正式出爐。</p> <p>黃天牧表示，金融資安行動方案從強化主管機關資安監理、深化金融機構資安治理、精實金融機構資安作業韌性、發揮資安聯防功能等4大面向切入，目標是達到安全、便利、不中斷，以及消費者個資保護。</p> <h3><span style="color:#6666cc;"><strong>要實現金融資安聯防，金管會必須與F-ISAC刻意保持距離</strong></span></h3> <p>黃天牧指出，傳統銀行業以往的業務相對單純，多採用封閉體系，除了跨行匯款體系之外，大部分是各自支撐的體系。但，隨著近年業務擴大、資訊發展快速，以及跨域整合，金融機構跟外部的連結越來越多，暴露的風險就越大。</p> <p>「資安不是各別金融機構的問題。」所以，金管會在2017年推動建置F-ISAC（金融資安資訊分享與分析中心），由財金公司負責維運，目的就是要把每一家金融機構在資安受影響的資訊集中，進行整體分析，再提供給其他會員機構參考。</p> <p>他更以社會學的「集體韌性」（Collective Resilience）概念，來形容金融資安聯防。當整個社區受到災變或是大衝擊，造成親人死亡、財產損失，社區如何走出創傷重建家園，可以靠集體恢復的能力，這就是集體的韌性。黃天牧強調：「從金融體系來說，金融資安聯防就是一種集體韌性的展現。」</p> <p>儘管F-ISAC推動3年來，參與會員數已有374家，包含銀行、保險公司、證券、期貨、投信投顧等業者。然而，黃天牧個人認為，F-ISAC能否順利運作的關鍵點是信賴。金融機構會擔心自家所有資安事件通報給F-ISAC後，會不會讓金管會對金融機構有所處理。</p> <p>為了突破業者的這道心防，黃天牧強調：「金管會必須與F-ISAC刻意保持距離，絕不會取得會員機構分享給F-ISAC的情資，這也是F-ISAC成立至今的首要原則。」</p> <p>而F-ISAC為了確保情資共享的保密原則，更採取了一套資安情資識別的TLP交通燈號協定，將資料按機密程度分級以利存取控管。依據情資類型、提供者的要求（如可分享對象），將情資分享分為4個層次，並以紅燈、橘燈、綠燈、白燈來控管，絕不會與超過授權範圍的人透露情資。</p> <p>信任需要累積，所以，黃天牧提到，一開始F-ISAC先向國外購買情資，再分享給會員機構，比如F-ISAC會分析美國、歐洲、亞洲的重要資安趨勢，提醒會員機構所需注意的地方。</p> <p>兩年來，會員機構與F-ISAC彼此的信任與互動開始建立了，會員機構願意揭露自家營運的資安問題。雖然，成立之初，分享的情資不到一百則，但到了今年，光是上半年，金融機構會員分享給F-ISAC的情資就有218則，顯見F-ISAC漸漸受到金融機構的信賴。黃天牧表示，這正是金管會的目的，讓F-ISAC能根據這些資訊，分析臺灣地區金融機構，現階段可能會遇到的資安問題。</p> <p>甚至，當金融機構遇上資安事件時，黃天牧提到，更能凝聚會員機構與F-ISAC之間的信賴與團隊精神，體認到彼此為生命共同體，得共同合作才行。好比去年11月，國外駭客對國內證券與銀行寄出勒索信件，發動DDoS攻擊，F-ISAC與會員機構就發揮了合作精神，共同抵抗這波攻擊。</p> <p>同時，F-ISAC在國際交流也多所著墨，不僅參與美國FS-ISAC成為其會員，也與日本F-ISAC簽訂MOU，去年還參加了歐盟FI-ISAC舉辦的年會，跟國際交流非常密切。黃天牧表示：「資安沒有國界，不只是臺灣各金融機構要連結，也要與其他國家聯繫。」</p> <h3><span style="color:#6666cc;"><strong>不只情資共享，未來連資安應變機制也要資源共享</strong></span></h3> <p>為了讓資安聯防發揮得更徹底，金管會也祭出了新政策，包括鼓勵金控建立電腦資安事件應變小組（CSIRT），推動公會與周邊單位建立資安應變支援小組，以及整合F-ISAC聯防。黃天牧透露，這將是金融資安行動方案第3年的規畫，要讓資安應變機制也能資源共享。</p> <p>金管會的計畫是，將整體資安聯防分為4個層次，金融機構自己建置CSIRT，金控建立CSIRT，公會建立資安應變支援小組，最後一層是F-ISAC，最終形成一套完整的資安聯防體系，透過體系中成員的共享，來得到整個緊急應變的資源。「每件資安事件大小不同，若遇到更大規模的資安事件，得有更大的力量來支援資安應變。」</p> <p>此外，金管會還計畫督導F-ISAC建置二線SOC（資安事件監控中心）及訂定資安監控作業標準，推動金融機構SOC與二線SOC協同運作，甚至導入AI分析機制等。二線SOC要從監控標準作業基準開始做起，得先建立一套金融機構與F-ISAC的監控標準作業程序與內容，才能開始進行資料交換的監控。然而，這部分或許需要更長時間推動，因為，金管會考量，只有打穩基礎後，成效才會更好。</p> <h3><span style="color:#6666cc;"><strong>形塑金融機構高層重視資安的組織文化</strong></span></h3> <p>「資安永遠沒有完美，它有其成本與代價。」黃天牧很清楚，金融機構得在資安與金融創新之間找到好的平衡，重視安全的同時，又能不影響效率。所以，「金管會要求金融機構合規，在考量任何要求時，對成本與效益也要有所平衡，若過度要求資安，其實會影響到金融機構創新與商品提供。」他強調。</p> <p>但有一件事，黃天牧相當堅持，他指出，金融機構董事會對資安的重視與資源配置，相當重要。因此，在新的金融資安行動方案中，不僅要求資產達一兆元以上的金融機構，以及24小時營運的純網銀，必須設立副總層級的資安長。更鼓勵金融機構遴選聘用具備資安背景的董事、顧問或設置資安諮詢小組，甚至要開辦董監事資安教育訓練專設課程。</p> <p>黃天牧強調：「金融機構的決策者，若沒有資安的觀念，一切都是枉然。」金管會更鼓勵，董事會可以有更多具備資安知識的成員，透過多元化成員組成，讓金融機構的決策能更周延。</p> <p>金管會對資安能力的強化也不只針對董事會，也計畫協調周邊單位如金融研訓院等訓練機構，多開設資安人才養成專班，鼓勵金融資安人員取得國際資安證照等，來強化專業人才的能力建構。甚至，金管會也希望，金融機構要讓其他職務的員工，乃至於消費者能具備資安意識。</p> <h3><span style="color:#6666cc;"><strong>金管會擬推動避風港計畫，讓關鍵金融資產資訊得以保全</strong></span></h3> <p>金融資安行動方案的第4年計畫，還有一項特別的新目標，要建立臺灣金融機構的資料保全機制。金管會參考了美國推動的「避風港計畫」概念，來研議資料保全的運作機制，包括資料保護、資料可移性、資料復原性及關鍵服務持續性等項目，將視研議結果評估推動方式。</p> <p>黃天牧表示，挪威有一座種子庫，搜集了數以萬計的種子，被視為全球農業的諾亞方舟，萬一發生世界末日，能成為將來世界重新開始的契機，這就是金管會想推動的資料保全概念。</p> <p>雖然金融機構有備份與備援機制，但是，不能確保百分之兩百的安全，所以，金管會希望能透過第三方來保存關鍵的金融資產資訊，比如顧客在銀行的最終存款餘額等。</p> <p>初期，金管會將先研議資料保全機制的可行方案，建立一套作業程序、標準、資料格式規範等，更重要是與金融機構形成推動的共識，找出一個安全及經濟有效的模式。</p> <p>之所以列入第4年的長期目標，黃天牧提到，各家金融機構對資安的認知與願意投入的資源不一樣，需要更長時間推動，金管會將先研究其他國家的作法，比如，美國的避風港計畫，主管機關是扮演制訂規範與稽核的角色，並由金融機構自行選擇安全儲存資料的地方。</p> <p>黃天牧認為，資安要以最壞情境來思考，臺灣常遭受資安攻擊，比別人更有經驗，凡事要想得更長遠。所以，不能只是金融機構各自有備援機制就夠，恐怕還需要第三方儲存機制，這樣會更安心。</p> <h3><span style="color:#6666cc;"><strong>要讓金融產業建立更健康的資安文化</strong></span></h3> <p>資安是企業經營一定要面對的問題，黃天牧更認為，金融機構即便發生了資安事件，也需要能用更健康的態度面對資安威脅，透過集體努力來建構資安的安全網。</p> <p>而他也期許自己，主管機關得用更積極的態度，鼓勵金融機構將資安問題拿出來討論，如此一來，就能建立更健康透明的資安文化，讓金融機構願意投入資源建構一套好的資安體系，可以成為整體金融穩定發展的基礎。</p> <p>未來2、3年，黃天牧認為，會看到更多金融機構將資安視為營運重要策略，來形塑組織文化。而主管機關的推動與確立方向，將更顯得重要，如果金管會不推，金融機構可能會各自發展；可是，只要主管機關稍微對金融機構提出合理的要求與標準，讓大家共同努力，就能提升臺灣金融業的韌性，不只是清償能力，包括整體資安韌性，達成營運上安全、便利、不中斷的3大目標。</p> <p>「資安就像推動公司治理一樣，做與不做真的有差。」他這樣相信：「只要文化對了，企業有好的領導者，很多事情就會水到渠成。」文⊙李靜宜</p> </div></div></div>
2020/8/21 10:38作者李靜宜https://www.ithome.com.tw/news/139530
【臺灣資安大會直擊】政大金融科技研究中心副主任陳恭：API有3大資安風險2大挑戰，靠AI即時偵測異常是新對策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政大金融科技研究中心副主任陳恭在臺灣資安大會的金融安全論壇專場，分析企業API安全面臨的風險與挑戰，以及該如何以新形態API防衛工具來應對，讓企業的API可以更安全。</p> <p>首先，陳恭提到，Web API是現今各產業的企業資訊系統發展的重要方向，而RESTful APIs加上JSON，這種較為輕量級的API，則已成為主流，所以，這次的分享也聚焦在此主題。</p> <p>API的價值有許多面向，他指出，包括企業內部應用系統再造與整合，以及企業與外部通路夥伴的串接，都是透過API。而有了API以後，企業還可發展更多創新產品與服務。甚至，企業在發展平臺經濟、API經濟或生態系等，其實底層也得靠API。或像是金融業近年開始興起的開放銀行、開放金融，也是基於Open API。</p> <p>然而，陳恭指出，隨著API的廣泛應用，資安議題也陸續浮現。而API安全基本上有兩大作法，一是API威脅防護；二是API存取控制，他強調，所有API與應用系統還是要進行基本的認證、授權、分級管理、流量監控等。他強調，「從安全角度，不管是企業內部的API、Partner API 、Open API都要進行防護，誰都不能信任。」</p> <p>而在基本的API防護配備上，他提到，企業應該都有採購網站應用程式防火牆（Web Application Firewall，WAF）作為應用層的管理。甚至，包括金融機構、科技產業也開始導入API管理平臺（APIM），將企業內部所有API的發布、權限控管、流量、統計分析，通通集中到APIM管控。</p> <p>然而，陳恭提醒，企業做的這些API資安防護，可能還不足夠。因為，企業可能會面對更加恐怖的威脅。根據Gartner前陣子發布Web API的安全報告顯示，到了2022年，API濫用將成為導致企業Web應用程式數據洩露的最常見攻擊媒介。企業內部遇到的，可能不是只有傳統的攻擊手法，駭客可能登堂入室，以合法方式進入企業，潛藏在企業的系統，到處尋找API漏洞來進行攻擊。</p> <h3><span style="color:#3366ff;"><strong>企業要盤點API，依照其特殊性採用新防護工具</strong></span></h3> <p>因此，陳恭強調：「企業得依照API的特殊性，來採用新的防護工具。」他更以先前台新金控資訊長孫一仕提出的金融資安風險3大挑戰，包括不可管、不可控、不可見的風險，來解釋企業應注意的重點。</p> <p>不可管的意思是，無法管駭客的攻擊，像是社交工程、釣魚郵件。不可控的風險則來自系統並非企業自行開發，所以只要系統廠商有需要修補的補丁出現時，企業得及時把資安漏洞補上。不可見則指看不到的風險，這類資安風險是最難被發覺。</p> <p>根據42Crunch在2019年的調查，平均每家企業平均提供了400支以上的API。不過，陳恭提到，企業的資訊與資安相關部門，是否盤點過自家的API有多少？他坦言，如果企業不知道自家有幾支API，遑論保護API，這就是所謂的不可見風險。</p> <p>陳恭建議，可將不同項目的API進行盤點，建立一份目錄，定義每支API的傳輸規格、資料格式、權限控管、維運監控、資料敏感度、風險等級、OSS補丁需求。不過，他也提醒，盤點工程會非常耗費時日，而且很難做得完整。因為，企業資訊架構系統有疊床架屋式的資訊系統問題，畢竟，羅馬不是一天造成的。</p> <p>此外，企業面臨數位轉型的挑戰，在應用系統現代化的過程中，也很難一步到位，甚至可能導致多種技術世代並存，管理起來非常複雜。而在過程中，難免有很多API是沒有注意到的。</p> <h3><span style="color:#3366ff;"><strong>API安全有2大挑戰：不可見的風險、難以偵測的攻擊</strong></span></h3> <p>陳恭進一步指出，API安全有2大挑戰。一是不可見的API，企業壓根兒忘記這些API的存在，可能是鮮少使用或是已廢棄不用的API，就躺在黑暗的角落。他提到，「這些API都是駭客的最愛。」又或者是以前員工寫的API，但後續負責維運的人，並不了解API在安全上有何漏洞。Gartner也曾指出，企業得先找到這些有風險的API，否則讓駭客先找到的話，企業就危險了。</p> <p>而這些不可見的API，陳恭表示，可能存在企業中，不同技術世代開發的系統、既有Legacy系統的介接繁雜、外部夥伴與內部自用的API，以及該淘汰但未淘汰的各式舊系統。「內部API往往成為資安盲點」他舉例，2019年澳洲最大房地產估價公司LandMark White發生API漏洞，本來只供內部使用的API，卻可以從公司網域外調用，導致大量內部資料與客戶資料外洩，該公司CEO更為此辭職。</p> <p>陳恭提到，API安全的第二大挑戰，跟不可管的風險有關，那就是企業不容易偵測到的攻擊。他解釋，很多時候駭客是從合法管道進來，在企業內部伺機而動，然而這些攻擊沒有經過特殊處理方式的話，其實難以察覺，甚至是過了很久以後企業才發現。而且，不只一般產業，即便是科技大廠也不能免於攻擊。</p> <p>陳恭強調：「API安全的關鍵點，在於API本身的安全。」他提到，現在的駭客是直接跳過App等用戶端介面，直接鎖定企業API，嘗試各種攻擊，API成了企業的弱點。好比美國郵政署網站發生API漏洞，讓駭客得以用合法帳號進入，冒用他人帳號，竊取他人資料，恐使6,000萬用戶資料外洩。因此，「企業需要直接在API層建立防護。」</p> <p>陳恭表示，目前，國際間慣用的作法是採取OAuth 2.0委任存取管理方式，讓TSP來存取客戶資料。不管，他強調，委任存取管理流程複雜，涉及第三方業者、銀行、消費者，有可能在委任存取過程中發生攻擊，產生移花接木的狀況。比如說，駭客預先取得一個授權碼（Auth code），在使用者登入TSP業者的網站服務時，以釣魚方式讓使用者代為登入，讓使用者代替駭客取得存取金鑰（Access Token），接著駭客再以這存取金鑰冒充使用者操作，來取得使用者的資料乃至存款。</p> <p>在此情境下，使用者與駭客都是合法使用者，只是駭客是拿取他人的資料來操作，所以，企業並不容易偵測出來。陳恭認為，這牽涉到不可管的API，來自用戶端的疏忽，包括社交工程、ATP等攻擊手法，其實防不慎防，企業在管理自家的API要自求多福。</p> <h3><span style="color:#3366ff;"><strong>新形態API防衛工具出現，利用AI技術主動偵測異常API</strong></span></h3> <p>面對日新月異的攻擊手法，陳恭表示，新一代的API防衛工具也應運而生，專門針對API安全特性所設計，可主動蒐集API使用行為資料，運用人工智慧、機器學習技術，來發現未知的API路徑（API endpoints），建立每支API使用行為模式，透過AI建模進行分析，來主動偵測異常的API使用。</p> <p>他進一步提到，透過即時監控API，就能做到異常行為偵測、警示或暫停使用API。比如，當企業發現API流量發現異常，系統就能主動警示，甚至搶先阻斷可能的駭客攻擊，讓駭客無所遁形。</p> <p>不過，陳恭認為，即時監控並非長久之道，還是得朝向「預防勝於治療」邁進，從API設計、開發、測試、上線，把安全的概念往前面帶。他提到，應該是要API Security By Design，從一開始設計新的API時，把安全、隱私都擺進來。文⊙李靜宜</p> </div></div></div>
2020/8/21 11:03作者李靜宜https://www.ithome.com.tw/news/139531
資安韌性已成企業組織永續發展的關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年臺灣資安大會的主要口號是韌性決勝（Resilience Matters），正如總編輯吳其勳所言：資安的威脅已是常態，網路攻擊無所不在，今天無論我們防禦得多麼成功，都無法保證明天不會淪陷，因此，我們必須更重視企業組織永續發展的致勝關鍵：資安韌性，唯有韌性，得以決勝。</p> <p>而在大會第二天下午，我們也舉辦了從防疫學防駭的座談會，當中也提及相關的議題。這場活動的與談人有資安主筆黃彥棻、資安主編羅正漢、中央研究院資訊科學研究院博士後研究員潘美連，以及我，希望基於iThome在7月製作的封面故事<a href="https://www.ithome.com.tw/article/138913" target="_blank">《從防疫學防駭》</a>的內容來探討。</p> <p>在座談的過程當中，潘美連提到一個論點相當值得省思，她認為防駭比防疫難，臺灣因為防疫有成，因此，基本上，經濟民生已恢復日常運作，雖然我們需配合政府推動的「防疫新生活運動」政策，僅須保持社交距離、勤洗手、佩戴口罩即可，享受日常、如常，但相較之下，資安並非如此，網路威脅攻擊事件層出不窮，所以，我們身處的狀態並不是「平時」，而是「戰時」，所採取的因應策略也必須符合當前的態勢。</p> <p>另外，防駭必須做到「除惡務盡」，對於潛藏在企業內部的惡意程式與受駭電腦，都必須要找出來，實施必要的鑑識與還原程序，相當費工，更何況我們面對的並不是單一的嚴重威脅；但若要預防武漢肺炎病毒的大規模傳染，我們可以透過居家隔離、居家檢疫的方式，並不需要針對入境者進行普篩，就如同衛福部在8月6日發布的新聞稿所言：「即使有極少數無症狀者個案未於入境時被攔檢，經過14天居家檢疫，其傳染力已大幅降低或幾乎已無傳染力，於檢疫期滿後再自主健康管理7天，持續密切追蹤健康狀況，已可有效防堵社區傳播風險。」</p> <p>究竟是防駭難？還是防疫難？8月19日彰化縣衛生局篩檢居家檢疫無症狀者的爭議事件，又掀起一波網路論戰，癥結點仍是中央與地方對於防疫處理程序與彼此立場的認定有落差，顯然在作業過程當中出現了不同層級單位彼此溝通的問題，而這類各執一詞的狀況無論是防疫或防駭，都在所難免，彼此之間如何約束、磨合、包容，達成共同目標，當然也考驗我們的「韌性」。</p> <p>企業若要取得應變的韌性，在許多層面都要布局，就像近幾年來，在IT領域當中，韌性這個詞彙也經常被許多專家所提及。例如，IBM一直在推動業務持續營運管理（BCM）、雙主中心、兩地三中心的備援架構等議題，他們在2016年也買下一家資安事件回應業者Resilient Systems；BSI英國標準協會台灣分公司總經理蒲樹盛，也在許多場資安研討會發表相關演講，不斷呼籲企業關注組織韌性的議題。</p> <p>事實上，企業IT韌性不只是確保IT服務的高可用性，也適用於資訊安全相關工作的推動，目的都是希望具備足夠的容錯（Fault Tolerance）能力，提供更高的可靠度（Reliability）與可用性（Availability）。</p> <p>然而，就我目前的認知而言，IT層面的韌性，我們可運用各種IT資源備用／備援（redundancy）的機制來支撐，一旦發生故障，可由其他正在執行的系統或啟動備援系統來接手，雖然還是要釐清事故的根本原因，但以服務的持續運作為最主要考量，而這也跟OT環境資安營運要點很類似，一般而言，優先順序為可用性（Availability）、完整性（Integrity）、機密性（Confidentiality）。</p> <p>若是資安層面的韌性，過去主要考量的是IT環境，優先順序為機密性、完整性、可用性，而隨著如今OT環境大舉連網，這兩種處理順序都需要一起考量，企業在管理這兩種環境時，則需要建立統一的管理制度，避免發生顧此失彼的局面，或是因各自為政而導致控管成本大增、難以負荷。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9F%8C%E6%80%A7%E6%B1%BA%E5%8B%9D">韌性決勝</a></div><div class="field-item odd"><a href="/tags/resilience-matters">Resilience Matters</a></div><div class="field-item even"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">臺灣資安大會</a></div><div class="field-item odd"><a href="/tags/%E7%B6%B2%E8%B7%AF%E6%94%BB%E6%93%8A">網路攻擊</a></div><div class="field-item even"><a href="/tags/%E5%BE%9E%E9%98%B2%E7%96%AB%E5%AD%B8%E9%98%B2%E9%A7%AD">從防疫學防駭</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E9%9F%8C%E6%80%A7">資安韌性</a></div></div></div>
2020/8/21 11:05作者李宗翰https://www.ithome.com.tw/voice/139533
TensorFlow採用OpenCL後端使GPU推理效能加倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>TensorFlow團隊以異構平臺開發框架<a href="https://blog.tensorflow.org/2020/08/faster-mobile-gpu-inference-with-opencl.html">OpenCL</a>為基礎，在Android開發了新的行動GPU推理引擎，在適當大小的神經網路上，以及足夠的GPU工作負載，其執行的效率是現有OpenGL後端的2倍。 </p> <p>目前常用的GPU推理引擎是以OpenGL開發，是一種渲染圖形API，雖然在OpenGL ES 3.1版本加入了運算著色器（Compute Shader），可用來計算任意的資訊，但開發團隊提到，其為了要向後相容的API設計，限制了GPU的運算能力，因此TensorFlow Lite（TFLite） GPU團隊在繼續發展基於OpenGL行動CPU推理引擎的同時，也在尋求各種可能性。</p> <p class="rtecenter"><a href="https://2.bp.blogspot.com/-afLl3xBw7DY/XzcHL2u_9tI/AAAAAAAADdw/KT3D3vIIvgM0VJyYc_KaEJEHPlarO501QCLcBGAsYHQ/s1600/gpu.gif"><img alt="" class="media-image img__fid__60276 img__view_mode__media_large attr__format__media_large" src="https://2.bp.blogspot.com/-afLl3xBw7DY/XzcHL2u_9tI/AAAAAAAADdw/KT3D3vIIvgM0VJyYc_KaEJEHPlarO501QCLcBGAsYHQ/s1600/gpu.gif" style="width: 148px; height: 240px;" /></a></p> <p><span style="color:#696969;"><strong>Duo App中的AR效果，使用OpenCL後端處理</strong></span></p> <p>而同樣可用來發展機器學習應用的OpenCL（Open Computing Language），一開始就是為各種計算加速器設計，更適合用於行動GPU推理，所以TFLite開發團隊便也投入資源，研究基於OpenCL的推理引擎，發現其確實能用來最佳化GPU推理工作負載。TFLite開發團隊提到，與OpenGL相比，最佳化OpenCL後端要簡單許多，因為OpenCL提供良好的分析功能，利用概要分析API，開發團隊能夠精確地量測核心調度效能。</p> <p>OpenCL能夠良好地支援用於高階Android行動裝置的高通Adreno GPU，但是Adreno GPU對於工作組大小非常敏感，配置適當大小的神經網路工作組可以提高效能，錯誤大小的工作組，卻會降低效能，雖然在具有複雜記憶體存取模式的複雜核心，要找出適當的工作組大小並不容易，但是因為OpenCL具有完整的效能分析功能，因此可被用來最佳化工作組大小，使平均運算速度提升50％。</p> <p>而且OpenCL還原生支援16位元浮點數精度，即便是在2012年推出的Adreno 305老舊GPU，都夠完全發揮GPU的效能，另外，OpenCL具有常數記憶體（Constant Memory）的概念，高通在GPU加入的實體記憶體非常適合用於OpenCL的常數記憶體，這使得OpenCL在高通GPU的效能大幅超過OpenGL。</p> <p>TFLite開發團隊將常用的2個行動機器學習模型MNASNet和MobileNet v3，拿來比較CPU、OpenGL和OpenCL的效能表現，無論是在MNASNet（如下圖）或MobileNet v3，新的OpenCL後端延遲都是最低的，約是OpenGL後端的2倍，而且在標有SD字樣使用Adreno GPU的裝置上，OpenCL後端效能表現特別好。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0820-OpenCL-600.png" style="width: 512px;" /></p> <p>開發團隊提到，使用OpenCL推理引擎的主要障礙，是OpenCL不包含在標準Android發布版中，即便有一些Android裝置廠商在系統函式庫加入OpenCL，但是部分用戶還是可能因為缺乏OpenCL必要元件，則必須回退使用OpenGL後端。</p> <p>為了簡化開發人員的工作，TFLite GPU一開始會檢查OpenCL Runtime的可用性，當不可用或無法載入時，便會切換使用OpenGL後端，開發團隊提到，從2019年中期開始，OpenCL後端就進到TensorFlow存儲庫中，並整合進TFLite GPU委託API裡，因此現有TFLite GPU程式可能已經透過委託回退機制，使用到了最新的OpenCL後端。</p> </div></div></div>
2020/8/20 23:30作者李建興https://www.ithome.com.tw/news/139513
Compute Engine現支援CPU超額分配，單租戶節點VM的CPU資源可相互轉移
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端的Compute Engine單租戶節點，現支援<a href="https://cloud.google.com/blog/products/compute/cpu-overcommit-for-sole-tenant-nodes-now-ga">CPU超額分配（CPU Overcommit）</a>，用戶將能依據需求選擇具成本效益的配置。用戶能夠在專用主機上，超額配置2倍的虛擬CPU資源。</p> <p>CPU超額分配功能會自動在單租戶節點裡，重新分配虛擬CPU資源，將空閒的虛擬機器執行個體中的資源，配給需要額外資源的執行個體，如此在專用硬體上執行企業工作負載，用戶便能將CPU資源當作資源池考量，減少運算資源配置過量。</p> <p>Google提到，單租戶節點的CPU超額分配，能夠解決降低一些常見的企業應用成本，像是建立雲端虛擬桌面解決方案時，便能夠根據使用情況，在虛擬機器間共享資源，建構具有成本效益的虛擬桌面解決方案。另外，還能提高主機利用率，降低基礎設施成本，用戶可以增加單租戶節點上可用的CPU，透過客製化機器類型，CPU超額分配可以最佳化記憶體使用，提高記憶體利用率。</p> <p>CPU超額分配還能夠降低授權成本，對於以主機實際核心數為單位的授權許可，諸如Windows Server或Microsoft SQL Server的自備授權，單租戶節點的CPU超額分配，可以讓用戶在每個伺服器上放置更多的虛擬機器，在Google雲端減少授權成本的負擔。</p> <p>用戶可以配置每個虛擬機器最小虛擬CPU數量，以及最大可增加的虛擬CPU數量，Google表示，用戶能在虛擬機器執行個體層級，控制單租戶節點CPU超額分配，因此能夠靈活地控制運算資源，滿足各種工作負載需求。每個執行個體最多只能夠配置2倍虛擬CPU數量，也就是在具有80個虛擬CPU的n2-node-80-640，CPU超額分配使節點最多可用160個虛擬CPU。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/virtual_CPU_resources_max-500x500.jpg" style="width: 490px;" /></p> </div></div></div>
2020/8/20 23:40作者李建興https://www.ithome.com.tw/news/139516
Google新版GKE資料平面支援eBPF技術，增加容器可見性與安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出最新使用<a href="https://ebpf.io/">eBPF</a>（extended BPF）虛擬機器技術，和開源網路安全軟體套件Cilium的資料平面<a href="https://cloud.google.com/blog/products/containers-kubernetes/bringing-ebpf-and-cilium-to-google-kubernetes-engine">GKE Dataplane v2</a>，現在GKE除了支援即時政策執行之外，還能在最低的效能影響下，將政策操作與Pod、命名空間和政策名稱相關聯，對政策進行故障排除，發現異常網路活動。</p> <p>Google提到，隨著Kubernetes使用案例的發展，用戶對於安全性、可見性和可擴展性等要求越來越多，而且像是服務網格和無伺服器等新技術，用戶都需再對Kubernetes底層，加入許多自定義功能。要方便地支援這些新用例，Google表示，需要高度可程式化的資料平面，在不犧牲效能的前提，使該平面可執行更多Kubernetes封包相關的操作。</p> <p>Linux在3.18版本時，加入的擴展BPF虛擬機器，不需要重新編譯核心或是載入核心模組，就可以在Linux核心中執行沙盒程式，eBPF能將可程式化的Hook開放給Linux核心中的網路堆疊，程式不需要在使用者和核心空間中來回切換，就可以讓核心使用豐富的使用者空間資訊，來高速地處理網路封包。</p> <p>過去需要依賴核心變更和核心模組才能解決的問題，在近幾年eBPF已經成為解決這些問題的標準方法，並且讓部分網路、安全性和應用程式分析工具，可以不依賴核心功能，並在不影響執行效率和安全性的情況下，主動再程式化Runtime行為。</p> <p>而Cilium則是一個建構在eBPF之上的開源專案，能夠滿足容器工作負載的可擴展性、安全性和可見性需求，Google提到，他們積極貢獻Cilium專案，目前Cilium已經是所有eBPF實作中，最成熟的專案。</p> <p>Google表示，Kubernetes用戶會想以網路政策，來宣告Pod之間通訊的方式，但是過去沒有可擴展的方法，對這些政策行為進行故障排除或是審核，因此無法有效地達成目的，但在GKE支援eBPF之後，便能實作即時政策執行等相關操作。</p> <p>Google進一步解釋（下圖），當封包進到虛擬機器中的時候，安裝在核心的eBPF程式將會決定路由封包的方法，不像使用IPTables，eBPF程式能夠存取包含網路政策資訊的Kubernetes特殊元資料，如此eBPF程式不只能決定要允許或是拒絕封包，還可以回報帶註解的操作報告給使用者空間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Container_Networking_Interface_max-1100x1100.jpg" style="width: 580px;" /></p> <p>GKE Dataplane v2用戶將能獲得更好的基礎設施可見性，並用來改善其安全狀況，像是快速辨識異常流量模式，或是透過Kubernetes網路政策日誌記錄，用戶可以直接在Cloud Logging控制臺查看允許和拒絕的網路連接，並對政策進行故障排除，探索不尋常的網路活動。</p> </div></div></div>
2020/8/20 23:55作者李建興https://www.ithome.com.tw/news/139519
美國公布北韓駭客所使用的RAT惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國土安全部網路安全及基礎架構安全署（CISA）與聯邦調查局（FBI），本周共同<a href="https://us-cert.cisa.gov/ncas/analysis-reports/ar20-232a" target="_blank">發表惡意程式分析報告</a>，指出名為Blindingcan的惡意程式為北韓駭客集團Hidden Cobra所開發的遠端存取木馬（Remote Access Trojan，RAT），鎖定美國政府的承包商發動攻擊，以竊取與軍事及能源技術相關的機密資訊。</p> <p>Hidden Cobra假借國防承包商的名義，寄出了求才電子郵件，以誘導使用者開啟惡意文件。在CISA所收到的攻擊樣本中，有4個Word的Open XML（. docx）檔案，兩個DLLs檔案，其中，. docx檔案企圖連結外部網域以下載惡意程式，而DLLs檔案則是用來安裝與執行木馬程式，並允許駭客自遠端操控木馬。</p> <p>此外，由駭客所掌控的命令暨控制伺服器，是架設在已被該集團入侵的、不同國家的基礎設施上，藉以掩人耳目。</p> <p>分析顯示，Blindingcan能夠取得所安裝磁碟的資訊，包括磁碟類型及可用空間，也能建立、開始或終止新程序，或是搜尋、寫入、移動與刪除檔案，還能變更檔案或目錄的時間戳，修改檔案或程序的目錄，還能刪除自己的蹤跡。</p> <p>CISA與FBI透過反向工程取得了Blindingcan的詳細資訊，用來提醒其它組織應多加防範。</p> </div></div></div>
2020/8/20 22:15作者陳曉莉https://www.ithome.com.tw/news/139529
如何做好Linux物聯網裝置資安？專家呼籲要從慎選核心開始
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源的Linux作業系統，由於能夠免費取得等特性，而廣受各界採用，無論是雲端服務、Android智慧型手機、網域名稱伺服器，以及超級電腦等，幾乎都是此類作業系統的天下，許多物聯網裝置也同樣使用Linux來開發。然而許多企業運用來開發連網設備產品之後，卻可能因為難以維護相關韌體，導致漏洞一旦被發現的時候，企業需要花費大量時間才能修復，這種情況在最近幾年可說是時有所聞。</p> <p>到底要如何改變這種窘境？Moxa軟體發展中心專案副理林上智（SZ Lin）在2020年臺灣資安大會上，以自身參與嵌入式Linux設計與開發的經驗，呼籲開發者要從「挑選Linux核心（Kernel）」做起，後續才能減少維護和修補漏洞的負擔。</p> <p>林上智指出，近年來許多執行Linux作業系統的連網設備，陸續被發現安全漏洞，甚至可能已經被駭客用來發動攻擊，其原因與他們採用的作業系統缺乏維護有關。他引用了德國弗勞恩霍夫通訊協會（Fraunhofer Institute for Communication，FKIE）對於家用路由器的研究報告，該份報告針對7個廠商推出的127款設備進行研究，指出其中有許多執行的是久未更新的舊版Linux核心，甚至有46款在一年內都沒有發布修補軟體等情況。林上智說，這些路由器廠商沒有定期修補漏洞是最主要的問題，而使用極為老舊的作業系統核心倒是其次。探究其原因，他認為很可能是一開始沒有選擇合適的核心導致。</p> <p>而對於運用於製造業、醫療、政府單位等關鍵基礎設施的物聯網裝置，最近幾年政府也開始要求企業必須遵循有關標準。像是由美國國家標準暨技術研究院（NIST）推出的供應鏈風險管理標準SP800-161，由國際自動化學會（ISA）制訂的ISA/IEC 62443-4-1，以及北美電力可靠度公司（NERC）發表的CIP-010-2等。</p> <p>但即使不是運用在上述關鍵基礎設施場域的連網裝置，還是有可能因為設備的漏洞遭到揭露，甚至是上到新聞版面，導致企業必須面臨用戶對於資安防護的存疑，若是因此洩露歐洲民眾的個資，還可能遭到歐盟的裁罰，對於如此的情況，企業勢必要更加正視物聯網裝置的資安維護工作。</p> <h2><strong>挑選合適Linux核心是增加設備資安的開始</strong></h2> <p>那麼，企業要做好Linux連網裝置的安全，林上智認為，最好從開發的初期流程著手。因為，企業想要修補軟體的缺陷，在軟體開發生命週期（SDLC）的各階段中，所需的資源和成本會隨之不斷增加。根據NIST的研究，在產品上市之後才來處理軟體缺陷，比起在開發初期，也就是在收集與分析需求，以及設計架構的階段，上市後耗費的成本是開發初期的30倍。林上智說，在他的經驗裡，前述兩個階段修補花費所需資源，差距實際上可是超過NIST指出的比例。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SZLin-SDLC-fixcost.png" style="width: 580px;" /></p> <p>其中，Linux作業系統的核心，由於牽涉範圍甚廣，因此一旦出現漏洞，就有可能導致企業疲於修補。因此，林上智表示，在軟體開發流程裡，依據營運模型和相關需求，挑選合適的核心，是改善連網裝置安全的重要課題，他還說核心「早期選得好，之後沒煩惱」。</p> <p>但究竟要如何挑選合適的核心版本？林上智說這個沒有能夠一體適用的答案，因為企業必須根據開發的時程、資源，以及藍圖等層面，進行評估，但是有3個大原則可以依循，首先是選用的核心必須擁有開發連網設備所需之核心技術（Core Technology），再者是遵循足夠優秀（Good Enough）和簡單易懂（KISS）的原則，做為選擇的考量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SZLin-LinuxKernel-reqanalysis.png" style="width: 580px;" /></p> <p>林上智以城市基礎建設系統（Civil Infrastructure System）的連網裝置開發為例，這類的裝置所採用的Linux核心，必須要有工業等級的可用性，還要能夠長達10年以上的支援、維護，以及具備足夠資安防護，進而達到降低開發的成本與時間，以及後續維護的成本等目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SZLin-LinuxKernel-CIP.png" style="width: 580px;" /></p> <p>在市面上企業可選用的Linux核心，基本上包含了Linux基金會推出的主要版本，還有PREEMPT_RT專案，是應用於工業控制即時系統的核心版本。</p> <p>而根據核心的來源，則可以區分是來自處理器廠商的SoC Board Support Package Kernel，還有Linux基金會推出的長期支援版本（Long Term Support，LTS），以及針對城市基礎建設，由相關業者共同維護的城市基礎建設平臺（Civil Infrastructure Platform，CIP）等。</p> <p>其中，由處理器廠商提供的Linux核心，其優點是特別針對指定硬體設計，企業能夠快速運用來開發連網裝置，但與一般的核心相比，這種核心也相當仰賴處理器廠商的支援周期長短，而且不同的處理器往往有對應版本的Linux核心，因此企業很有可能因為廠理器廠商終止支援，面臨被迫更換新版核心開發的情況，而在進行漏洞修補的時候，企業也必須對於不同處理器的版本個別開發更新程式。</p> <p>而Linux基金會推出的LTS版本，則是在他們每年推出的主線版本裡，挑選其中一個分支來開發這種長期維護的版本，該基金會最初的政策是提供2年支援，但目前實際支援的周期大約都延長到6年左右。而這種版本所提供的支援，主要是對於臭蟲和漏洞的修補，並不會加入新的硬體支援，因此，如果企業選擇了LTS版，未來很有可能會面臨無法搭配新的硬體運作的情況。為了解決上述不足的情況，Linux基金會曾一度推出了增加硬體支援的專案，名為Long Term Support Initiative（LTSI），不過目前已經停止開發。</p> <p>至於著眼於城市基礎建設的CIP，也是從LTS延伸而來，由開發相關設備的廠商共同維護，他們對於核心與主要功能模組（Core Package），計畫維護10年至20年。為何這些廠商決定合作？林上智說，他們目的是要減少自己在維護核心上的心力，進而將更多資源運用在開發設備的主要功能上。</p> <p>此外，林上智也提醒開發者，千萬不要因為正在開發的測試版核心納入了自己需要的新功能而採用，因為這種版本很可能還有很多臭蟲，會造成企業日後維護上的困擾。</p> <h2><strong>回報上游和慎選必須的套件，可減少日後維護的負擔</strong></h2> <p>值得留意的是，企業很可能會基於商業秘密的考量，取得Linux核心的程式碼後，就想要開發成專屬版本（Own Community），修補的程式碼只有自己能夠使用。林上智說，如果採用這種方式來維護所使用的核心，企業同樣也無法直接套用日後源頭提供的新版本內容，一旦要自行逐次加入相關修補，將會耗費大量的開發資源，尤其是Linux核心大約每3個星期就更新一次，若是企業依照這個周期自己修改大量程式碼，將會是非常繁重的工作。因此，林上智認為，企業應該要採取「Upstream First」的概念，把自己修補完成的程式碼提報給上游，也就是企業取得核心的來源，如此一來，日後只要再從上游升級新版核心，也能一併取得他人修補的內容，避免所有的漏洞都要自己修改的情況。</p> <p>另一方面能減少Linux連網裝置遭到攻擊的風險，就是只使用必須的套件。雖然許多開發者會把Linux核心相關的套件全部納入，但這也代表了一旦用不到套件出現漏洞，企業還是必須設法修補，反之，如果是沒有採用的套件，即使漏洞的CVSS第3版風險指標達到滿分10分，這些採用此版核心的連網裝置還是不受影響。</p> </div></div></div>
2020/8/20 19:17作者周峻佑https://www.ithome.com.tw/news/139528
Cloud周報第76期：豐田汽車將採用AWS數據分析服務，強化車聯網應用體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2020/08/13～2020/08/19）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 豐田汽車 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 車聯網 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>豐田汽車計畫利用AWS數據分析服務，處理日本、中國和美國新車的數據來開發新服務</strong></span></p> <p>豐田汽車宣布將採用AWS服務，來強化自家行動服務平臺（Mobility Services Platform）的數據處理和分析能力，用於開發新的車輛相關服務。行動服務平臺是豐田汽車工程師開發、部署和管理，以數據驅動的汽車行動服務的系統。豐田汽車計畫在年底前，在日本、中國和美國市場的新車中，安裝新的數據通訊模組，來利用API收集數據至平臺，並使用AWS的雲端機器學習服務，建立ML模型，來處理和分析聯網汽車的數據，改善車輛的設計和研發，還有打造新的駕駛服務和體驗，包含汽車共享、駕駛行為保險、維修保養通知等。藉由新服務，車主可依自身駕駛行為來繳交相對應的保費，並獲得需安排車輛進廠保養的提醒通知。<a href="https://global.toyota/en/newsroom/corporate/33080260.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路表現 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路中斷 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端業者 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>美國網路監控業者：上半年雲端服務網路中斷逾4百次</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_%E7%B6%B2%E8%B7%AF%E4%B8%AD%E6%96%B7_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_ThousandEyes.JPG" style="width: 600px; height: 354px;" /></strong></span></p> <p>美國網路監控業者ThousandEyes近日發布其首份年度網路表現報告，針對了各類網路服務的可用性和表現，進行調查，涵蓋ISP業者、雲端業者、CDN業者和DNS服務供應商。全球網路中斷狀況在今年上半年，出現了前所未有的增長，相比1月，3月份網路中斷次數增加了63%，而6月份網路中斷情況雖有趨緩，但仍比1月增加了44%。綜觀今年上半年的網路中斷水平，與疫情爆發前相比，高出許多。該報告也調查了各類網路服務業者所受的衝擊，其中尤以ISP業者受到的影響最大，而雲端服務商的網路表現，整體來說則具較高的穩定性。1月至7月間，全球ISP網路中斷超過4,500次，占了8成的整體網路中斷次數，雲端業者則經歷了約400次的服務中斷事件，僅占1成。</p> <p>該報告也以各地區ISP網路表現的情況來看，網路中斷所帶來的影響，北美和亞太地區在3月份，皆面臨了ISP網路中斷的最高峰值，相比1月，北美地區中斷數增加了65%，亞太地區則增長高達99%，不過，所幸該兩個地區的中斷災情已逐漸恢復至疫情前的水平。但是，歐洲、中東和非洲地區的ISP網路中斷次數則持續逐月增加，6月的中斷次數與1月相比，仍增加了45%。且ThousandEyes發現，網路服務業者為確保自家網路可處理激增的需求，而調整基礎架構、配置或互連等設定，來確保網路不面臨全面崩潰的狀況，是造成網路中斷次數暴增最大的原因。<a href=" https://www.thousandeyes.com/press-releases/2020-internet-performance-report-covid-19-impact">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ARM晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> K8s服務 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>AWS宣布企業現可在Amazon EKS使用Graviton 2，執行工作負載</strong></strong></p> <p>AWS近日宣布K8s服務Amazon EKS可使用AWS Graviton 2晶片執行工作負載。Graviton 2是AWS自己設計的ARM晶片，提供256位元DRAM加密，且支援雙SIMD單元，相比前一代，提供高7倍的效能。Amazon EKS現可以選擇Graviton 2處理器來執行工作負載，也代表AWS現在支援64位元的ARMv8.2基礎架構，並且支援端到端多重架構，而且EKS API以及相關工具，也都能夠處理架構的特殊配置，像是啟動Arm的控制平面元件CoreDNS或是kube-proxy Pod。此外，AWS在GitHub建立了儲存庫，提供Graviton相關使用資訊，支援要在Amazon EKS使用Graviton 2的用戶。現階段，Amazon EKS對Graviton 2的支援，目前僅在能夠同時支援兩種服務的區域，提供企業使用。<a href=" https://aws.amazon.com/tw/about-aws/whats-new/2020/08/amazon-eks-support-for-arm-based-instances-powered-by-aws-graviton-now-generally-available/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> IDC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 公有雲服務 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 追蹤報告 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>IDC調查：公有雲服務市場規模自2016年以來，已翻倍成長</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_IDC%202019_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_IDC.JPG" style="width: 600px; height: 412px;" /></strong></span></p> <p>市場調查機構IDC近日發布了一份，半年度全球公有雲服務市場的追蹤報告，總結2019全年度全球公有雲服務市場的表現。全球公有雲市場規模於去年達2,334億美元，與前年相比，年增長達26%，且自2016年以來，已增長了一倍以上。其中，SaaS為最大類別的雲端服務，占總體市場63.6%，達1,485億美元，而IaaS居次，占21%，達490億美元，PaaS則占15.4%，達359億美元。IDC特別點出，IaaS和PaaS的收入相比2016年，成長了三倍，凸顯越來越多企業採雲端基礎架構和平臺，來部署內部應用程式。IDC更預期，IaaS和PaaS方面的收入，將在未來幾年以高於整體公有雲市場的成長速度增長。根據這個追蹤報告，AWS、微軟、Salesforce、Google和甲骨文為前五大公有雲服務提供商，而他們於2019年的總收入占全球市場規模逾三分之一，同比增長達35%。<a href=" https://www.idc.com/getdoc.jsp?containerId=prUS46780320&utm_medium=embedd&utm_campaign=idc_embedd&utm_source=referral">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 量子運算 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 量子電腦 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>搶先微軟，亞馬遜正式推出量子運算服務Braket</strong></strong></p> <p>AWS近日宣布正式推出量子運算服務Amazon Braket。該服務是AWS透過與多家量子電腦硬體商合作，供企業使用D-Wave、IonQ以及Rigetti的量子電腦執行模擬實驗，進行有關量子位元和量子電路的實作，在模擬環境中建置和測試電路，之後再在實際的量子電腦中執行。Amazon Braket提供全託管的Jupyter Notebook，供企業建立與測試應用程式，並可將結果以視覺化呈現。企業可以從頭開始設計自己的量子演算法，或是選擇預先建置的演算法，在演算法定義完成後，Amazon Braket會提供模擬服務，來協助用戶排除故障與驗證。待一切就緒後，企業就能在不同的量子電腦上執行應用程式。AWS表示，福斯汽車、波音、義大利大型電力公司Enel等，已經對新服務進行了測試。現階段，新服務於美東北維吉尼亞州、美西北加州，還有美西俄勒岡州，共3個AWS區域提供。而微軟旗下相似的服務Azure Quantum，目前則仍處於預覽版階段。<a href=" https://aws.amazon.com/tw/blogs/aws/amazon-braket-go-hands-on-with-quantum-computing/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Microsoft 365 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IE 11 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 瀏覽器支援 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>明年夏天起，Microsoft 365將不再支援IE 11</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_M365_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 600px; height: 136px;" /></strong></span></strong></p> <p>為加速推動Chromium-based Edge，微軟日前宣布，Microsoft 365將不再接受IE 11存取。Microsoft 365中的Teams從11月30日起，將不再支援IE 11，而從2021年的8月17日開始，Microsoft 365其他應用程式和服務也都將終止支援。用戶屆時若再以IE 11使用這些服務，會面臨使用體驗不佳的情形，像是無法連上新功能，且現有某些功能也會遭停用。微軟表示，採用開放標準的Chromium Edge更適合消費者或企業使用Microsoft 365服務，包含Outlook、Teams、SharePoint等。用戶現可利用新Edge的IE mode以不同分頁存取舊有應用，而無需同時使用新、舊兩種瀏覽器之間切換。但，微軟提醒，以新Edge的IE mode並不能延長Microsoft 365對IE 11的支援，因此，他建議用戶在明年8月前，不要再用IE 11存取M365。<a href=" https://techcommunity.microsoft.com/t5/microsoft-365-blog/microsoft-365-apps-say-farewell-to-internet-explorer-11-and/ba-p/1591666">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 無伺服器服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 計費調整 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS新版ETL服務Glue 2.0加快10倍作業啟動速度，且可從1分鐘開始計費</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Glu%202_0_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px; height: 258px;" /></strong></span></strong></p> <p>AWS日前正式釋出無伺服器ETL服務的更新版本AWS Glue 2.0，可以更快速啟動Spark ETL作業，並降低了計費的最短時間。相比前一代，AWS Glue 2.0啟動Spark ETL作業的速度，提高了10倍，能減少企業啟動該類作業的等待時間，進而降低整體作業時間。AWS表示，透過腳本開發和資料探索，該服務能支援企業執行微批次、高互動性的工作負載，來提升生產力。此外，新版AWS Glue的Spark作業降低了計費的最小時間，從原本10分鐘降為1分鐘，並加上以每秒計費。AWS表示，這樣的計價方式可供企業用來處理較小、對期限敏感，且互動性高的工作負載。另外，AWS Glue 2.0還有一項新功能，可讓企業從Wheel檔案或是儲存庫中，安裝Python模組。現階段，企業可在俄亥俄州、法蘭克福、巴黎、首爾、東京、新加坡等區域使用AWS Glue 2.0。<a href=" https://aws.amazon.com/tw/blogs/aws/aws-glue-version-2-0-featuring-10x-faster-job-start-times-and-1-minute-minimum-billing-duration/">（詳全文）</a></p> <p><strong>圖片來源／豐田汽車、ThousandEyes、IDC 、微軟、AWS</strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. 臺南市政府以Azure打造登革熱防疫平臺，利用雲端認知服務分析病媒蚊</strong><a href=" https://www.tainan.gov.tw/News_Content.aspx?n=13370&s=7702724 ">（詳全文）</a></p> <p><strong>2. 遠傳預計年底啟用Tpark IDC雲端機房，將成旗下最大的雲端運算中心</strong></p> <p><strong>3. HPE宣布與SAP聯手，將推出搭配HPE GreenLake的SAP HANA Enterprise Cloud</strong><a href=" https://www.hpe.com/us/en/newsroom/press-release/2020/08/hpe-and-sap-partner-to-deliver-sap-hana-enterprise-cloud-with-hpe-greenlake-cloud-services.html">（詳全文）</a></p> <p><strong>4. Nissan計畫將流體力學、結構力學模擬和3D可視化等工作負載搬遷上Oracle Cloud Infrastructure，望加快新車上市的速度</strong><a href="https://www.oracle.com/news/announcement/nissan-moves-to-oracle-cloud-infrastructure-081120.html">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2020年8月</strong></p> </div></div></div>
2020/8/20 13:03作者黃郁芸https://www.ithome.com.tw/news/139512
研究：新一代殭屍網路FritzFrog感染500臺伺服器以幫駭客挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Guardicore Labs本周<a href="https://www.guardicore.com/2020/08/fritzfrog-p2p-botnet-infects-ssh-servers/" target="_blank">揭露了一個新型態的P2P殭屍網路FritzFrog</a>，駭客撰寫了一個全新的惡意程式，企圖攻擊全球數百萬個裝置的IP位址，進而感染逾500臺SSH伺服器，利用它們替駭客開挖門羅幣（Monero）。</p> <p>Guardicore Labs是在今年1月察覺FritzFrog的行動，這是一個以Golang撰寫的無檔案惡意程式，它以SSH公鑰的形式在受害系統上建立後門，以讓駭客能夠持續存取被駭系統，且這8個月以來，Guardicore Labs已發現20種不同的FritzFrog執行版本。</p> <p>FritzFrog有許多特點，它採用無檔案技術，在記憶體中運作，因而無從追蹤。相較於其它只使用固定用戶名稱，來滲透IP裝置的P2P殭屍網路，FritzFrog使用了相對積極的暴力破解技術，它會持續更新攻擊對象與被駭機器的資料庫，而且使用了私有的P2P協定。</p> <p>此外，FritzFrog相準了全球政府機構、教育機構、醫療中心、銀行與電信業者的數千萬個IP位址發動攻擊，而且成功地入侵了這些組織的逾500臺伺服器，受害者包括美國與歐洲的多所知名大學，還有一家鐵路公司。這些受害的伺服器藉由P2P協定相互聯繫及同步，就算有哪個節點遺失了，很快就會被其它節點遞補，以保持殭屍網路的資訊暢通。</p> <p>FritzFrog不只儲存了被駭系統的登入憑證，也在系統上的授權金鑰檔案中新增了SSH-RSA公鑰，於是，即便組織變更了憑證的密碼，握有私鑰的駭客依舊可以繼續存取被駭系統。</p> <p>駭客利用FritzFrog殭屍網路替他們挖掘門羅幣，不過，Guardicore Labs並未公布該惡意行動迄今的收益。</p> <p>Guardicore Labs建議各大組織應該設定強密碼且使用公鑰認證，也呼籲受害系統記得從授權金鑰檔案中，移除FritzFrog所植入的公鑰。此外，將SSH曝露在外的IoT裝置則是FritzFrog主要的切入點，組織應變更相關裝置SSH傳輸埠，或是關閉SSH的存取能力。</p> </div></div></div>
2020/8/20 17:15作者陳曉莉https://www.ithome.com.tw/news/139520
如何卡位金融生態圈激戰？玉山銀揭露未來5年數位大戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著3家純網銀即將開業，加入臺灣數位金融市場的競爭，國泰金、台新金日前揭露了新的金融生態圈戰略，而玉山金控第二季法說會中，玉山銀行董事長黃男州揭露了未來5年的玉山生態圈戰略，「會採取Banking as a Services（銀行即服務）模式瞄準場景金融，銀行本身就是服務，可以嵌入任何場景中。」</p> <p>黃男州認為，純網銀的確加快了數位金融的發展腳步，但這是短空長多。「5年來看，臺灣銀行產業將成長10~15%，餅變得更大了，正在打基礎的純網銀約只會占1～2％，反而是有競爭力，數位發展很快的銀行，可以獲取更多市場占有率。」這個對未來臺灣數位市場的樂觀觀察，也影響了玉山當前的數位發展戰略。</p> <p>玉山近幾年大力發展數位通路，統計到今年第二季為止，個人外匯買賣交易超過95%都透過數位完成，而小額信貸也高達8成利用數位方式完成，基金或信用卡申辦交易也過半數，有6成採數位完成。另外，也推出更多第三方整合機制，例如7月上線的行動付款通API，讓第三方網購App，可以一鍵整合多家銀行行動銀行App的付款機制。</p> <p>不只如此，玉山也逐步打造虛實整合的全通路架構，例如，7月時發表的玉山新的數位會員服務e.Fingo，不只整合旗下行動網銀、支付和各類數位申辦服務的單一數位帳號機制，還會進一步整合線上和線下的金融服務。</p> <p>玉山發展數位戰略時，有三個考量，黃男州指出，不是用數位取代實體，而是注重兩者互補關係，實體通路不會消失。其次，數位策略中最重要的不是科技，而是顧客，要用科技讓顧客更滿意和更好體驗。第三則是採取漸進改善的作法，靠不斷改進來達到更好的服務，而非破壞式創新。</p> <p>他觀察，越來越多生態圈的建立，就是過去談的場景金融。數位形式會讓生態圈的合作更積極出現，數位化產品不斷創新，數位產品運用越來越深，而數位化顧客也越來越多，尤其顧客數位行為的改變更是挑戰，最後是新科技也會影響銀行的數位發展。生態圈蓬勃發展，會帶動更多場景金融的出現，數位方式降低了銀行服務的中間障礙，能降低交易成本，可以吸引更多客群，來實現普惠金融，AI、5G等新科技則可以讓銀行發展智慧金融，提供更好的顧客服務，不論是行銷、風控或產品研發等。「未來數位銀行最重要的三大發展趨勢是，場景金融、普惠金融和智慧金融。」他強調。</p> <p>全球金融業都看到這股數位趨勢，黃男州歸納，金融業數位戰略可以分為三種模式，第一是銀行即服務（Banking as a Services）模式，銀行自身成為服務，可以嵌入到任何場景中，螞蟻金服就是採取這樣的模式。例如鎖定民眾出國旅遊的場景，銀行可以將外匯買賣服務嵌入到旅行社的服務中，或像是銀行融資服務可以嵌入買車服務的過程，銀行顧客到任何地方買車時也都能用。「銀行把自己變成了一種服務，金融服務結構沒有改變，但是改為嵌入別人的場景，這是臺灣正在發生的模式。」他觀察。</p> <p>第二種模式是，銀行變成了平臺（Banking as a Platform），新加坡的DBS是最典型的銀行平臺化實例，黃男州點出，DBS正因在新加坡擁有大量顧客，才鎖定重要的房貸市場，直接在DBS旗下的數位市場平臺，囊括購屋前、中、後所需的各項服務，讓銀行網站成了一個可以提供完整購屋服務的平臺，自然就能吸引顧客向DBS貸款。另一個實例是中國平安集團，也採取同樣的平臺戰略，要建構一個健康的生態圈，可以提供線上醫生、取藥，也直接結合了支付。「銀行平臺化的難度很高，臺灣也有銀行嘗試，但很不容易。」黃男州評估。</p> <p>第三種金融數位戰略，他指出，就是Open Banking（開放銀行）模式，這是銀行與第三方聯手的模式。臺灣儘管採3階段推動開放銀行，已經上路的商品公開資料查詢API，正在推動的消費者資訊查詢API，以及未來的交易面資訊API開放，但他評估，開放銀行模式仍有2大問題待解決，一是銀行無法確保，自家資料串接到第三方服務後的安全，其次是，目前還沒找到可以讓銀行、第三方服務和消費者三贏的商業模式。</p> <h3><span style="color:#FF8C00;"><strong>玉山金數位戰略是銀行即服務模式</strong></span></h3> <p>「玉山的戰略是銀行即服務模式，而且是進行式。」黃男州終於揭露自家銀行未來數位戰略的主軸。而玉山帶頭發展這個模式的金融服務是支付。玉山在信用卡支付的規模目前排名全國第二，電子支付則是在銀行兼營電子支付者中排名第一，所以，「玉山將用支付的力量來提供服務，」</p> <p>他舉例，玉山年初推出了全自動化的信用貸款，將申貸流程全程數位化，縮短到最快58秒撥款，就可以進一步整合到電商服務中，來滿足電商經營者、上架產品的商家，到電商平臺購物的顧客的融資需求。還有另一個玉山考慮用來提供場景嵌入能力的金融產品是外匯服務，例如未來疫情趨緩後，考慮將其整合到旅遊業者的服務中。</p> <p>「未來生態圈和夥伴關係的發展，如何建立對方願意嵌入服務的信賴是關鍵。」黃男州指出，以金融專業的玉山，好處是可以和各行各業合作，彼此不會是競爭關係。就像2008年金融海嘯危機，反而是玉山成長最快的時候，而數位發展和疫情衝擊，都是接下來銀行的考驗。</p> <p>玉山的戰略要瞄準3～5年後的金融市場、顧客改變和數位演進，來決定當前作法。「目前最重要的事情是準備未來，而場景金融，將是玉山未來發展中非常重要的一環。」黃男州強調。文⊙王宏仁</p> <table border="0" cellpadding="1" cellspacing="3"><tbody><tr><td style="background-color: rgb(204, 255, 255); width: 100%;"> <h3><strong><span style="color:#0000FF;">玉山金控新任科技長出爐</span></strong></h3> <p><strong><span style="color:#0000FF;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E7%8E%89%E5%B1%B1%E6%96%B0%E7%A7%91%E6%8A%80%E9%95%B7%E5%BC%B5%E6%99%BA%E6%98%9F-%E6%94%9D%E5%BD%B1-%E7%BF%81%E8%8A%8A%E5%84%92.jpg" /></span></strong></p> </td> </tr><tr><td style="background-color: rgb(204, 255, 255); width: 100%;"> <p>在這場法說會中，玉山金控也宣布，將借調臺大資訊工程系教授張智星，來擔任玉山金控新任的科技長，也就是接替已故前科技長陳昇瑋的職務。玉山董事會已通過這項人事案，目前正待金管會核准後就會正式生效。張智星是臺大金融科技研究中心主任，也曾是陳昇瑋在學時的老師，去年玉山和臺大合作成立AI和Fintech研發中心時，就找來張智星擔任計畫主持人。當時陳昇瑋希望，能藉助張智星，來優化銀行各項服務的語音客服，甚至連轉帳或付款都可以透過人機對話來處理。</p> <p>張智星擅長領域是語音辨識和合成技術，他於1993年的ANFIS論文，在Google Scholar學術搜尋服務上被引用次數超過一萬次，研究成果頗具影響力。取得加州大學柏克萊分校的電機電腦博士學位隔年，就是1993年，他加入美國數值分析軟體商MathWorks，這是工程科學計算知名軟體Matlab的母公司，張智星負責研發模糊邏輯工具箱，也累積了國際大廠第一線軟體開發的實務經驗。</p> <p>1995年回臺，張智星先後在清華大學、臺灣大學任教，他在機器學習的研究，涵蓋了語音、音樂、文件和影像辨識領域。甚至，張智星率領的研究團隊所開發的音樂檢索技術，曾多次贏得MIREX國際音樂檢索評比多個項目第一名。</p> <p>2017～2019年間，張智星擔任臺大醫院資訊室主任長達2年，也致力於推動AI在醫療和衛生保健的應用。玉山銀行董事長黃男州更點出，他在大型醫院所累積的大型IT系統維運經驗，也有助於這個職務的挑戰。文⊙王宏仁</p> </td> </tr></tbody></table><p> </p> </div></div></div>
2020/8/20 19:13作者王宏仁https://www.ithome.com.tw/news/139527
短期住宿出租平臺Airbnb申請IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>短期住宿出租平臺<a href="https://news.airbnb.com/airbnb-announces-confidential-submission-of-draft-registration-statement/" target="_blank">Airbnb本周三（8/19）宣布</a>，已向美國證券交易委員會（SEC）遞送首次公開發行（Initial Public Offering，IPO）申請書，準備登上美國股市。</p> <p>目前Airbnb尚未決定公開發行的股票數量與價格，而且該S-1申請書仍為保密狀態，因此尚無法一窺Airbnb的經營狀態。</p> <p>不過，根據流量偵測平臺<a href="https://www.alexa.com/siteinfo/airbnb.com" target="_blank">Alexa的統計</a>，Airbnb的流量落後貓途鷹（Tripadvisor）、Yelp、Hotels與Vrbo等競爭對手，而貓途鷹、Yelp與Hotels母公司Expedia，都已登上美國那斯達克或紐約股市。</p> <p>Airbnb官網上的資料顯示，該平臺在全球逾220個國家的10萬個城市，提供超過700萬個出租項目。</p> <p>今年初以來的武漢肺炎重創了全球的旅遊產業，Airbnb亦無法倖免於難，2017年時該公司增資時的身價高達310億美元，但Airbnb在今年4月增資時，市值已滑落至180億美元，縮水近一半。</p> </div></div></div>
2020/8/20 15:35作者陳曉莉https://www.ithome.com.tw/news/139514
BlackBerry明年將以5G手機型態重出江湖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>還記得黑莓機（BlackBerry）嗎？這個一度是全球商務人士愛用的智慧型手機品牌，可望2021年以5G手機面貌重出江湖。</p> <p>在iPhone及三星、華為、Oppo等現代化智慧型手機品牌崛起後，黑莓機消失在產業版圖上。加拿大廠商BlackBerry已不再生產手機，而是將其BlackBerry品牌、安全軟體及服務套件授權第三方業者設計、製造和銷售手機。最近一家取得授權的知名手機廠商是中國的TCL。不過<a href="https://www.ithome.com.tw/news/135644" target="_blank">TCL年初宣布授權到今年8月31日為止</a>，之後TCL將不再生產黑莓手機。外界則認為這代表著黑莓機將從此消失。</p> <p>但BlackBerry品牌近日又有動向。一家新創公司<a href="https://www.businesswire.com/news/home/20200819005202/en/OnwardMobility-Announces-Agreements-BlackBerry-Foxconn-Subsidiary-FIH" target="_blank">OnwardMobility本周宣布</a>和加拿大公司Blackberry及鴻海子公司富智康（FIH Mobile）達成協議，將生產具有實體鍵盤的Android黑莓機，預定明年上半在北美和歐洲推出。</p> <p>雖然沒有明說，不過顯然這隻手機將會由富智康代工生產。富智康也負責Nokia 品牌手機的生產。</p> <p><a href="https://techcrunch.com/2020/08/19/blackberrys-brand-switches-hands-again-set-to-return-as-a-5g-android-handset/" target="_blank">Techcrunch</a>及<a href="https://www.pcmag.com/news/new-blackberry-with-keyboard-coming-in-2021" target="_blank">PC Magazine</a>報導，OnwardMobility成員主要來自美商索尼姆技術（Sonim Technologies），後者以生產耐操的強固型（rugged）手機及配件出身。此外還有來自TCL及擁有黑莓機軟體背景的員工。</p> <p>在這項協議下，加拿大BlackBerry公司將授權OnwardMobility開發、設計及銷售5G版黑莓機。OnwardMobility執行長Peter Franklin表示，黑莓機以保護通訊安全、資料隱私聞名，這些特點是幫助黑莓機切入商務5G手機市場的利器。Franklin說新手機將擁有頂級相機、BlackBerry的安全軟體和部份Android App，以及「具競爭力」的價格。</p> <p>不過媒體認為，智慧型手機發展到今天，黑莓機重出江湖後，BlackBerry的品牌會激起多少市場迴響，以及有多少消費者想用回實體盤的手機，都是值得觀察的問題。</p> </div></div></div>
2020/8/20 16:30作者林妍溱https://www.ithome.com.tw/news/139517
G Suite又發生全球大規模故障事件，Gmail和雲端硬碟出狀況已持續超過3小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google G Suite部分服務今天下午再傳大規模故障事件，包含Gmail、Google雲端硬碟、Google文件、Google Meet和Google Voice，皆出現異常，使得許多用戶遭遇無法登入、無法附加檔案等狀況，包含部分臺灣用戶在內。</p> <p>根據監控網站<a href="https://downdetector.com/status/gmail/">Downdetector</a>的用戶通報記錄，此次故障事件影響範圍遍及全球各地，不只臺灣，美國、澳洲、日本、馬來西亞等多國，皆有用戶提交了服務故障通報。Downdetector在下午1點16分時，共收到超過1,800件Gmail故障通報，其中有60%的用戶通報附加檔案的問題，另有23%的用戶通報他們無法登入服務，還有16%用戶通報收信問題。臺灣許多用戶也在PTT上抱怨，Gmail無法收到信件、無法登入Google雲端硬碟等狀況。</p> <p>Google於下午1點29已經在G Suite的運行<a href="https://www.google.com/appsstatus#hl=zh-TW&v=status">狀態儀表板</a>網頁上，顯示Gmail、Google雲端硬碟、Google文件等服務中斷的消息，並表示正在進行事故調查。而Google原先預計在4點可修復問題，但，截至記者發稿前，各項受影響服務仍尚未復原，儀表板網頁還顯示著「發生問題」的橘燈。</p> <p>Google發布的最新消息目前則停留在下午4點38分，顯示團隊會「繼續調查問題所在，並在下午5點38分之前公佈更多相關資訊」，並坦承現有問題包含了Gmail發送、雲端文件建立、語音郵件發送、聊天訊息發送等。目前各項服務當機已持續超過3小時。文⊙黃郁芸</p> </div></div></div>
2020/8/20 16:45作者黃郁芸https://www.ithome.com.tw/news/139515
NEC在臺展示最新自助結帳系統，可快速影像辨識商品，還能刷臉完成支付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為減輕櫃檯人員工作負擔，國內零售業開始導入自助結帳，但大多需要消費者手持結帳商品，靠近掃碼窗口辨識商品，再搭配非現金支付工具，達到自助結帳的目的。NEC本周在臺展示一項自助結帳方案，在辨識商品部分，除了整合商品條碼掃描、RFID感應之外，還能透過影像辨識商品，結合人臉辨識及電子支付進一步實現刷臉支付。</p> <p>使用這套自助結帳系統之前，消費者需先註冊會員身分，綁定個人臉部特徵及電子支付工具，當消費者使用自助結帳系統時，先看向螢幕上方鏡頭，通過人臉辨識，螢幕上會顯示出會員身分，再讓系統辨識想要結帳的商品，在螢幕上列出結帳商品清單、金額，選擇付款就能以會員綁定的電子支付工具付款。</p> <p><strong>這套自助結帳系統配備大型螢幕，用以顯示結帳者的身分及商品，螢幕下方則支援三種商品辨識技術，RFID、條碼、影像辨識：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4193-1(1).jpg" style="width: 300px; height: 451px;" /></p> <p>在辨識商品方面，NEC展示的這套自助結帳系統，支援三種商品辨識技術，包括可感應商品包裝上的RFID標籤，以及傳統的條碼掃描技術，還可透過鏡頭拍攝商品，利用影像辨識技術快速辨別商品。</p> <p>NEC現場展示的自助結帳影像辨識技術為GAZIRU，適用於有固定形狀、包裝的商品，例如瓶裝飲料、袋裝零食或是盒裝餅乾等，店家需要事先建立每項商品的六個角度影像，透過演算法進行精準辨識，這類辨識技術可辨識同樣為瓶裝的不同廠牌礦泉水或是茶飲。當消費者實際使用時，需將結帳商品攤平放置於影像辨識平臺上，NEC表示，側邊可額外加裝鏡頭，提高商品辨識的準確性。</p> <p><strong>消費者將商品攤平放置在辨識平臺上，系統就會自動辨別要結帳的商品名稱及對應的金額，顯示於上方的螢幕，供消費者確認購物及應付金額：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4195(1).jpg" style="width: 300px; height: 451px;" /></p> <p>除了展示的GAZIRU，NEC流通製造解決方案事業群副總經理王昌元指出，另一項NEC開發的影像辨識技術則是運用深度學習，適用於不規則形狀、沒有固定包裝的商品，如沒有包裝或使用透明包裝的麵包、便當或是生鮮商品，利用大量影像訓練AI辨識商品的外型，用於辨識外型相似，但有細微差異的物品，例如不同種類的蘋果，但是成本也相對比較高。在日本已被用於辨識麵包，國內已有廠商測試評估中。</p> <p>在人眼虹膜辨識技術上，NEC也展示的遠距虹膜辨識技術，克服傳統虹膜辨識的需要人眼貼近鏡頭，才能擷取虹膜影像的限制，遠距虹膜辨識技術允許使用者在兩公尺距離內，只要看向鏡頭就能快速擷取到虹膜影像，不再需要貼近鏡頭，可以更自然的方式完成身分驗證。NEC指出，這項技術可運用在金庫、資料中心機房等安全性要求較高的場景。</p> <p><strong>遠距虹膜辨識可透過鏡頭擷取左右眼虹膜影像：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4213-1(1).jpg" style="width: 600px; height: 399px;" /></p> <p>虹膜辨識技術主要擷取人眼虹膜特徵進行比對，即使戴眼鏡也不受影響。這項遠距虹膜辨識技術，可擷取左、右眼虹膜影像，和原先已註冊的虹膜特徵進行比較，以確認使用者的身分正確。</p> <p>NEC今年在臺灣營運重點，將包括生物辨識、智慧零售、智慧辦公、RPA四項解決，聚焦在政府、金融、零售、製造成產業，本周成立卓越中心展示相關方案。</p> <p> </p> <p> </p> </div></div></div>
2020/8/20 17:13作者蘇文彬https://www.ithome.com.tw/news/139505
忘了更新憑證，Spotify當機逾一小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大的音樂串流業者Spotify，在美國東部時間19日的上午8點（台灣19日晚上9點），發生大規模的服務中斷事件，且持續了一個多小時，儘管Spotify並未說明原由，但Cloudflare的一名工程師<a href="https://twitter.com/lpoinsig/status/1296062546236104705" target="_blank">Louis Poinsignon在Twitter上表示</a>，看起來像是Spotify忘了更新TLS憑證所導致的。</p> <p><a href="https://downdetector.com/status/spotify/" target="_blank">根據Down Detector的數據</a>，當時有眾多的Spotify用戶無法使用音樂串流服務，播放音樂時只放了幾秒就停了，繼之便出現錯誤訊息，而且不管是行動或桌面用戶、付費或免費用戶，都遭遇了同樣的問題。</p> <p>Poinsignon不只發現了Spotify的憑證過期，也察覺Spotify在更新憑證之後，服務便恢復正常了。雖然Spotify因為憑證過期而造成服務中斷，但Poinsignon亦稱讚至少Spotify使用了安全傳輸，不像另一家音樂串流服務Tidal依然透過HTTP來串流音樂，同時期許Spotify下次別再忘了更新憑證。</p> </div></div></div>
2020/8/20 12:15作者陳曉莉https://www.ithome.com.tw/news/139510
Zoom今年內將可相容臉書Portal、Google、Amazon智慧顯示器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>視訊軟體廠商<a href="https://blog.zoom.us/zoom-expands-to-smart-displays-at-home/" target="_blank">Zoom昨（19）日宣布</a>將相容於更多智慧顯示器，今年之內用戶將可在臉書Portal、Amazon Echo Show和Google Nest Hub Max使用Zoom。</p> <p>最新宣布是Zoom透過智慧顯示器方案，將其視訊會議軟體往家用市場擴大的一環。上個月該公司發表的<a href="https://zoom.us/docs/en-us/zoom-for-home.html" target="_blank">Zoom for Home</a>包含Zoom Meetings和Zoom Phone使用授權，使任何企業或硬體公司都可以部署協同裝置，用以視訊、打電話、啟動互動電子白板及加註。Zoom也發表了<a href="https://www.ithome.com.tw/news/138876" target="_blank">相容的硬體業者</a>，包括DTEN的第一款599美元的Zoom硬體DTEN ME。其他廠商還包括Neat及Poly（即Polycom的品牌名）。</p> <p>這項方案最新支援的智慧顯示器包括Amazon Echo Show 8、臉書Portal系列及Google Nest Hub Max。其中臉書的Portal 9月即可跑Zoom，至於Amazon 和Google則預定今年秋天開始支援Zoom。</p> <p><a href="https://about.fb.com/news/2020/08/new-video-conferencing-apps-on-portal/" target="_blank">臉書表示</a>其Portal系列，包括Portal Mini、Portal及Portal+將支援第三方視訊軟體，除了Zoom外，還可使用WebEx、BlueJeans及GoToMeeting，臉書也計畫這些視訊軟體也會支援未來的Portal TV。</p> <p><a href="https://blog.google/products/google-nest/zoom-video-call-nest" target="_blank">對Google而言</a>，則是在Nest Hub Max上跑自有的Google Meet和Duo、Google Assistant AI助理外，再支援Zoom。現在Nest Hub Max用戶已可透過「Hey Google」，來啟用Google Meet和最多100人同時視訊，今年秋天起則可使用Zoom，前提是用戶必須具備Zoom帳號。</p> <p>至於Amazon Echo Show，將從Echo Show 8在美國開始支援Zoom，同樣也可以Alexa啟動，而如果用戶以Alexa App連結行事曆，則AI助理Alexa時間到了就會自動啟動排定的會議，無需輸入meeting ID或密碼。</p> </div></div></div>
2020/8/20 11:00作者林妍溱https://www.ithome.com.tw/news/139507
蘋果市值一度突破2兆美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>挺過3月的低潮後，蘋果創下歷來第3季營收和獲利新高的紀錄，並帶動股價攀升，<a href="https://techcrunch.com/2020/08/19/apple-reaches-2-trillion-market-cap/" target="_blank">使其市值於昨（19）日一度突破2兆美元</a>。</p> <p>疫情爆發後，美國政府積極救市，帶動整體科技股近幾個月持續攀升，蘋果股價今年已經上漲了將近59%。<a href="https://www.ithome.com.tw/news/139152" target="_blank">蘋果7月底發表的第3季財報中</a>，也交出了營收年成長11%的成績單，成為史上表現最好的第3季，帶動股價持續上攻，昨日突破468美元，而使其公司市值一度超過2兆美元，雖然最後以462.25美元收盤，但市值也來到1.98兆美元，位居5大科技龍頭（FAAMG）之首。</p> <p>才不過兩年前的8月，蘋果市值才正式<a href="https://www.ithome.com.tw/news/124963" target="_blank">突破1兆美元大關</a>。</p> <p>今年上半年美國科技龍頭Amazon、微軟、Google及臉書股價，皆從3月低谷一路上漲，有4個目前躋身兆元俱樂部。根據最新數據，Amazon以1.63兆美元居第二位，第三名為微軟的1.59兆美元，其次是Google的1.5兆美元。</p> <p>事實上，除了電子商務為主的Amazon外，武漢肺炎疫情帶給Google/Alphabet、<a href="https://www.ithome.com.tw/news/138983" target="_blank">微軟</a>及<a href="https://www.ithome.com.tw/news/139156" target="_blank">臉書</a>程度不一的衝擊。Alphabet更是出現<a href="https://www.ithome.com.tw/news/139153" target="_blank">史上首次營收下滑</a>。昨日聯準會（Fed）公布報告，預期下半年美國在疫情影響下，經濟復甦面臨高度不確定性，造成美國股市全面下挫，中斷了近期的漲勢。</p> </div></div></div>
2020/8/20 11:30作者林妍溱https://www.ithome.com.tw/news/139508
微軟修補兩個Windows權限擴張漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/help/4578013/security-update-for-windows-8-1-rt-8-1-and-server-2012-r2" target="_blank">微軟在本周三（8/19）修補了</a>Windows 8.1、Windows RT 8.1與Windows Server 2012 R2等平臺的兩個安全漏洞，它們皆屬於Windows遠端存取權限擴張漏洞，雖僅被微軟列為重要（Important）等級，但微軟呼籲用戶應該要立即更新。</p> <p>其中的CVE-2020-1530肇因於Windows Remote Access不當處理記憶體，CVE-2020-1537則是因Windows Remote Access不當處理檔案操作，駭客若要開採這兩個漏洞，必須先取得系統的執行權限，再以特製的應用程式來擴張權限。</p> <p>其實這兩個漏洞不僅影響Windows 8.1、Windows RT 8.1與Windows Server 2012 R2，也波及Windows 10與其它Windows版本，只是其它版本的修補程式已在8月11日的Patch Tuesday釋出，可能是來不及修補所有的Windows版本，才延至本周更新。</p> </div></div></div>
2020/8/20 11:45作者陳曉莉https://www.ithome.com.tw/news/139509
AWS客服中心服務現可整合第三方AI解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS發布了<a href="https://aws.amazon.com/tw/blogs/aws/aws-announces-aws-contact-center-intelligence-solutions/">Contact Center Intelligence（CCI）</a>解決方案，這是一項服務組合，可以讓用戶將第三方的人工智慧功能整合到客服中心服務裡，用戶可以從AWS的夥伴網路APN中，取得這些人工智慧功能。CCI提供了自助服務、即時來電分析和專員協助，以及其他後續的通話分析解決方案，讓用戶能夠在既有的客服工作流程中，快速部署人工智慧功能。</p> <p>即便客服中心服務用戶缺乏機器學習專業，CCI也可以讓用戶簡單地利用雲端服務，實作機器學習功能，解決業務問題，AWS提到，CCI解決方案讓用戶可以使用各種機器學習功能，包括轉錄、文字轉語音、翻譯、企業搜尋、聊天機器人和商業智慧等。用戶目前可透過參與APN的AWS合作夥伴，取得CCI人工智慧解決方案，這些解決方案範疇，集中於解決客服工作流程中3階段的問題，分別是自助服務、即時來電分析和專員協助，以及通話分析。</p> <p>自助服務解決方案可以讓用戶創建聊天機器人，或是採用機器學習互動式語音回應，來解決客服人員常遭遇到的問題，自助服務還能夠整合聊天機器人服務Amazon Lex，與企業搜尋服務Amazon Kendra一起使用，這兩項服務可提供事務性的查詢，幫來電者解決預定飯店房間或是重設密碼等任務，AWS提到，過去問答集必須要在Amazon Lex中寫死，實作和維護有其難度，但現在整合CCI使用，能夠簡化部署該服務的程序。</p> <p>而即時來電分析與專員協助功能，可以提升客服人員的工作效率和參與度，相關的解決方案除了可以使用Amazon Transcribe即時轉錄語音，也能使用自然語言處理服務Amazon Comprehend分析通話互動，並偵測來電者的情緒，同時辨識話語中的關鍵詞和短語，也能以翻譯服務Amazon Translate將對話翻譯成特定語言。</p> <p>客服中心用戶可能會想要對所有通話進行分析，而CCI中的通話分析解決方案，能對所有通話進行自動化分析，取得的分析結果能夠回饋給產品或是服務流程，作為後續改進的根據。AWS提到，通話分析與即時來電分析很像，這個解決方案也是結合了Amazon Transcribe進行語音辨識，並為每通電話創建文字轉錄，並且可使用Amazon Translate將轉錄的文字，翻譯成為特定語言，還能把Amazon Kendra用於上下文自然語言查詢中。</p> <p>CCI解決方案地區的可用性，與所使用的基礎服務，諸如Amazon Lex、Amazon Transcribe和Amazon Translate等相對應。</p> </div></div></div>
2020/8/20 10:25作者李建興https://www.ithome.com.tw/news/139501
繽紛版Google Maps上線，更容易從地圖上區隔自然景觀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/maps/more-detailed-colorful-map/" target="_blank">Google宣布</a>，自本周起將藉由新的彩色映射演算技術，改善Google Maps上的自然景觀呈現方式，讓使用者得以辨識地圖上是沙灘還是沙漠，是湖水、河流還是海水，甚至能辨識山頂上是否有積雪。</p> <p>Google是先利用電腦視覺技術來判斷衛星照片上的自然景觀，特別是在沙漠、寒冷、森林或山區，分析後再根據HSV顏色模型來指派顏色範圍，例如茂密的森林就是深綠色，若是片狀的灌木林區則不那麼綠。於是，充滿自然景觀的冰島在Google Maps上看起來就更繽紛了，除了可以看到不同層次的綠色樹林之外，也可明顯看出知名的冰帽位置。</p> <p>除了在地圖上以更多的顏色來表達自然景觀以外，Google也計畫建立更仔細的街道資訊，可望精確地秀出道路的形狀與相對寬度，還能區隔人行道、行人穿越道及行人避車島。</p> <p>Google認為，在此一疫情時期，這些街道上的細節將更能協助人們以步行或其它單人運輸的方式，在街道上行進。</p> <p>色彩繽紛的Google Maps已於本周上線，而詳細的街道資訊則會在未來幾個月，率先出現在倫敦、紐約與舊金山。</p> </div></div></div>
2020/8/20 10:40作者陳曉莉https://www.ithome.com.tw/news/139506
資料自主權風潮當道，衝擊多國政策，更開始吹進臺灣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球數位轉型浪潮襲捲下，資料的價值比過去更受到重視，被視為驅動經濟發展，催生創新服務良方，釋放原本鎖在政府機關或民間組織內的資料，讓資料能被更靈活的運用、流動，也被各國視為鼓勵創新服務、公私協同合作、深化數位經濟發展的重要手段。</p> <p>然而資料的運用，特別是極具價值的個人資料，因涉及到個人隱私，在注重人權的西方先進國家，大多制定法律或設立專責機關，節制對個人資料的使用，以避免個人資料被濫用，而因應數位經濟的發展，西方國家更融入個人資料的自主運用控制的精神。</p> <p>以歐盟在2016年制定，2018年5月上路施行的一般資料保護規範(General Data Protection Regulation，GDPR)為例，因為規範涵蓋歐盟成員國，只要業務往來中蒐集到歐盟民眾個資，就會受到GDPR的規範，若企業發生個資外洩事件，可能遭到全球營收4%或2千萬歐元的裁罰，對企業營運直接帶來衝擊，影響之大不只歐盟成員國境內的企業，境外的企業也連帶受影響。</p> <p>然而，在外界關注GDPR對企業營運帶來的衝擊之外，另一項不容忽視的是GDPR彰顯在全球個資保護的一些重要原則，取回個人對資料的控制權，讓個資主體對資料擁有拒絕被使用的權利，進而可要求業者刪除其資料。</p> <p>另一項權利則是資料可攜權，即業者必需容許用戶帶走自己的資料，在不同的服務中移動自己的個資，充分展現個人資料的自主運用權利。這意謂過去政府機關、民間企業及組織以「資產」為名鎖在公私部門組織內的用戶資料，可讓民眾或用戶帶著走。</p> <p>相似的概念也出現在2018年上路的歐盟支付服務指令第二版（PSD2），為鼓勵新業者進入金融市場帶動創新，PSD2推動金融數據共享，要求銀行應提供Open API，讓第三方得以存取銀行的資料，並要求銀行採用更高的資安機制，控管可能的風險。</p> <p>澳洲的消費者資料權法（Consumer Data Right）也保障了消費者資料的自主權，可要求業者調閱其資料、刪除資料、停止或限制機構使用其資料，或是將資料帶走提供他人使用等等。</p> <p>不論是GDPR或是澳洲的消費者資料權法，對資料的使用權有更明確的保障，看似極大化限制企業對民眾個資的運用，但相對地訂下遊戲規則，讓遵守規定的企業能夠合理運用民眾的資料。</p> <p><span style="font-size:28px;"><strong>資料自主運用在各國興起</strong></span></p> <p>政大電子治理中心副主任蕭乃沂認為，善用個資創造價值，保護個資也是重要價值，兩者之間並不衝突，應找出有創意的方式平衡，既不相互衝突且互相幫助「個資保護愈好，相對地，善用個資的價值也愈高」。從過去消極的保管資料，到沒有犧牲、妥協個資保護的條件下去善用資料。</p> <p>MyData資料自主運用即是找出個資保護、個資利用兩者間平衡的一種方法，在一些先進國家中推展，涵蓋政府、金融、健康醫療、電信、能源等領域。</p> <p>美國政府蠻早開始推動資料自主的概念，由於美國沒有健保制度，民眾的健康資料散落在各機構，在2009年美國政府針對退伍軍人推出Blue Button，在退伍軍人事務部網站設計一個藍色按鈕，退伍軍人按下網站上的藍色按鈕，就能下載個人的健康資料，提供給醫生、醫療保險或照顧者。隨後美國在能源領域也推出Green Button。</p> <p>澳洲政府除了推動開放資料、數位政府服務，2012年更制定法規，推動「我的健康紀錄」（My Health Records），讓澳洲民眾可自主管理個人的健康資料，並可和醫療服務者、代理人共享資料，這些資料包括藥物處方紀錄、醫師診療紀錄及其他健康相關的個人紀錄。2017年澳洲更提倡消費者資料權法，讓民眾自由控制個人資料，可要求資料的控管者提供可機讀的資料，提供給第三方使用，澳洲政府也加強對「我的健康紀錄」資料二次利用的監管。</p> <p>英國在消費者資料賦權的概念下推動midata，倡議參與的企業提供可機讀、重覆使用的格式，提供消費者對其資料的訪問權，以及資料的可攜運用，後來指定金融、電信、能源產業配合釋出midata。其中在金融領域，英國推動開放銀行，要求9家銀行建立及採用開放銀行API標準，並透過API將顧客資料授權第三方使用，以提供創新的服務。英國推動開放銀行更運用沙盒實驗，解決現行法規不允許的問題，透過實驗評估創新的資料運用、服務效益及潛在的問題及風險，成為其他國家參考借鏡對象。</p> <p>由於個資運用相當敏感，許多數據的加值應用可能違法，蕭乃沂推崇英國沙盒實驗的機制，建立創新的實驗機制相當關鍵。「先透過創新實驗，瞭解效益及可能的風險在哪，才能評估是否推出創新服務，如果在法規不允許下，就什麼都不能做」，他說。</p> <p>身處北歐的芬蘭在2014年提出了MyData架構，提倡個資的自主管理及運用，並從2016年開始每年舉辦MyData年會，讓個人、組織在MyData進行經驗交流。他們並將開放資料的精神落實到個資的蒐集和使用，確保民眾有知情、查閱、修正、使用、分享、出售、分享個人資料的權利。</p> <p>芬蘭政府並將MyData的資料自主精神推向民眾的電子醫療紀錄，讓民眾得以取得自己的醫療紀錄、用藥處方、個人健康資訊，並可和醫療保健服務業者、藥局分享資料。</p> <p>其他還有新加坡、日本、韓國等推動資料自主運用。其中日本發展出情報銀行的個資信託制度，建立資料授權機制，讓消費者和企業在安全環境中進行資料蒐集和利用，創造資料的附加價值。用戶將自己的資料信託給情報銀行保管、移轉，並可決定是否收費授權其他企業使用。</p> <p><span style="font-size:28px;"><strong>資料自主在臺灣</strong></span></p> <p>臺灣也趕上這股資料自主的趨勢，衛福部健保署在2014年9月，先在健保署官網推出「健康存摺」，民眾只要使用自然人憑證或已註冊的健保卡，完成線上身分驗證，就能查詢或下載個人的健康資料，包括在各個醫療院所的資料，手術、住院、用藥、檢驗資料、個人健保計費、繳納資料、預防接種、器捐意願等等。</p> <p>健保署更推出健保快易通App，讓民眾可在手機上完成身分驗證，查詢或下載健康存摺的健康資料。</p> <p>蕭乃沂認為，健康存摺就是一個臺灣MyData推動的成功案例，由健保署擔任營運者、資料提供者、身分驗證、資料授權等多種角色，為單純的MyData架構實例。</p> <p>而主管國內金融市場的金管會也在2019年推動開放銀行政策，開放銀行的核心精神為消費者資料自主權，在消費者同意下，金融業者和第三方服務者TSP，透過Open API共享金融資料，刺激創新服務的推出。</p> <p>不僅健康醫療、金融領域，今年政府機關資料也趕上這股My Data趨勢。</p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 學界觀點：政治大學金融科技研究中心副主任陳恭 </span></strong></span></span></p> <p><span style="font-size:24px;"><strong>營造以人為本的資料運用才能促成資料經濟發展</strong></span></p> <p>過去曾參與MyData研究，並熟悉國內開放銀行發展的政治大學金融科技研究中心副主任陳恭表示，資料自主運用，可能西方國家對資料的重視有關，而逐漸發展出的理念，而這幾年有更進一步的發展。</p> <p>以澳洲的消費者資料權法（Consumer Data Right，CDR）為例，就提出資料的雙向交流原則，也就是業者不能只有取得別人的資料，也必須貢獻自己的資料。</p> <p>而芬蘭在2015年推動資料經濟時提倡以人為本的資料運用。過去資料被鎖在機關裡，以組織為導向，應改成以人為本位，讓資料跟著人，資料從組織中解放出來，這種以人為本位的資料運用概念，人們在各個組織、機關留下的數位足跡應該要有使用權，甚至授權給第三方使用。</p> <p>陳恭認為，這是進步的地方，如此才能發展資料經濟，甚至可能發展出創新的應用，例如微型支付機制，當消費者購物時，第三方會徵求消費者同意，把購買商品這件事用於廣告或銷售，並提供消費者一些報酬。</p> <p>歐洲更進一步提出公平的資料經濟(Fair Data Economy)，主張民眾(資料提供者)應該獲得公平待遇，民眾提供資料讓第三方使用，隨時可以撤回或查詢資料使用情形，甚至能獲得微薄的各種形式利益或報酬，或是服務升級。公平的資料經濟也強調資料使用者相對的責任。</p> <p>陳恭認為，如果資料共享不僅在個別產業內，還能跨產業共享，例如在民眾同意下，將醫療資料分享保險業，將催生出創新的服務。</p> </div></div></div>
2020/8/20 09:00作者蘇文彬https://www.ithome.com.tw/news/139395