iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 24篇
近 24 小時: 28篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 16:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

華為在今年第二季超越三星成為全球最大手機製造商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球都陷於武漢肺炎（COVID-19）疫情的危機、全世界的手機出貨出現兩位數下滑之際，多家研究機構的調查卻顯示，華為在今年第二季已超越三星，成為全球最大的手機製造商，主要原因是有別於其它國家在第二季仍忙於應付疫情，但中國卻已開始復甦。</p> <p>各家研究機構對今年第二季手機出貨量的調查數字都不太一致，例如<a href="https://www.counterpointresearch.com/huawei-surpassed-samsung-become-number-one-global-smartphone-shipments-q2-2020/" target="_blank">Counterpoint</a>宣稱今年第二季比去年同期下滑24%，<a href="https://www.gartner.com/en/newsroom/press-releases/2020-08-25-gartner-says-global-smartphone-sales-declined-20--in-" target="_blank">Gartner</a>說下滑20.4%，<a href="https://www.idc.com/getdoc.jsp?containerId=prUS46750220" target="_blank">IDC</a>說下滑16%，<a href="https://www.canalys.com/newsroom/canalys-global-smartphone-market-declines-q2-2020" target="_blank">Canalys</a>則說僅下滑14%。</p> <p>不過，除了Gartner之外，Counterpoint、IDC與Canalys都說華為的手機出貨量已凌駕三星，站上世界龍頭，且該季的前五大手機製造商中，只有蘋果iPhone的出貨量呈現微幅成長。至於Gartner則說，三星與華為仍在伯仲之間，且Gartner的數據亦顯示，iPhone出貨量略遜於去年同期。</p> <p>根據各家調查機構的說法，儘管所有製造商的手機出貨量都是下滑的，但三星手機下滑的程度遠大於華為，才讓華為拔得頭籌，此外，就算華為受到美國制裁而多少波及其海外市場，但中國市場成功支撐了華為。</p> <p>IDC的數據顯示，今年第二季華為於全球取得了20%的市占率，高過三星的19.5%。其中，華為在中國市場的出貨量成長了10%，彌補了該公司於海外市場的損失。</p> <p>而Counterpoint與Gartner的數據則顯示，華為在中國市場握有逾40%的占有率，主要受惠於中國市場在第二季的復甦。Counterpoint副總監Tarun Pathak分析，光是中國市場就占了華為全球手機出貨量的71%，高於去年同期的62%，但其實華為該季在海外市場的手機出貨量下滑了29%，當全球都日益恢復正常之後，華為不見得能再維持其手機龍頭地位。</p> </div></div></div>
2020/8/26 17:05作者陳曉莉https://www.ithome.com.tw/news/139615
網頁版Word新增語音逐字稿功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2020/08/25/microsoft-365-transcription-voice-commands-word/" target="_blank">微軟於本周二（8/25）宣布</a>，已於網頁版Word新增語音逐字稿（Transcribe in Word）功能，使用者可於會議開始時按下錄製，或是上傳語音檔，Word即可將這些語音轉錄成文字，還會自動辨識不同的發言人，該功能目前僅支援英文版，供所有Microsoft 365用戶使用。</p> <p>這對許多人來說都是個非常有用的功能，舉凡是在開會、面試或討論，都只要在網頁版的Word上按下錄製，它就可以紀錄與會人員的談話，讓與會者可以專心討論，不必再作筆記，且在錄製完畢之後，語音檔還可直接轉錄成文字，並依照談話的對象與段落進行分段，使用者亦可再根據段落重聽，編輯轉錄錯誤的文字，等於是自動化的會議紀錄。</p> <p>除了在會議上所錄製的聲音之外，Transcribe in Word 亦允許使用者上傳既有的語音檔，它支援mp3、wav、m4a、mp4等檔案格式，主要的差別在於，直接使用網頁版Word錄製及轉錄時並無數量上的限制，但若是透過上傳語音檔，那麼目前微軟僅開放每個月上傳5小時的語音檔案，且每個檔案不得超過200MB。</p> <p>Transcribe in Word可供所有的Microsoft 365訂閱用戶使用，但它目前只支援英文，預計未來才會支援更多的語言版本，此外，除了網頁版Word之外，行動版Office也將在年底新增相關功能。</p> </div></div></div>
2020/8/26 17:35作者陳曉莉https://www.ithome.com.tw/news/139616
電子閱讀裝置Kindle遭指收集極大量使用者資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隱私搜尋引擎DuckDuckGo的隱私與安全工程師Charlie Belmer，在自己的<a href="https://nullsweep.com/kindle-collects-a-surprisingly-large-amount-of-data/">部落格</a>提到，他發現Amazon的電子閱讀裝置Kindle，雖然提供了許多方便的功能，但是還會收集許多額外的資訊，包括使用者的瀏覽習慣以及本地網路上的IP位置，因此他決定不再使用Kindle裝置。</p> <p>Charlie Belmer提到，Kindle的確提供了一些閱讀傳統書籍無法擁有的體驗，像是在裝置之間同步書籤與筆記，並在所有裝置上同步閱讀的頁面，還會顯示廣告，推薦讀者下一本可以閱讀的書籍。</p> <p>Charlie Belmer研究Kindle是否僅發送服務所需要的資料，又或是額外發送了其他使用者的資訊，經Charlie Belmer研究顯示，Kindle會追蹤使用者在閱讀時，所執行的每次點擊和互動，在讀取每個頁面時，都會發送開啟頁面的時間、頁面上第一個與最後一個字元，並記錄頁面是圖像還是文字。</p> <p>Kindle收集了大量的資料，還包含Kindle會發送裝置資訊、使用情況元資料以及用戶與裝置每個互動的詳細資訊，光是用戶打開應用程式、閱讀幾頁書籍，然後關閉書籍，Kindle就向伺服器送出100多個請求。</p> <p>在用戶開啟應用程式的時候，無論是在前臺還是後臺執行，裝置都會發送類似的資訊，而且當用戶在突出顯示或是點擊任何單字的時候，Kindle會將文字發送到Bing翻譯服務、維基百科以及Amazon，Charlie Belmer提到，這些請求都沒有用在用戶功能上。</p> <p>這些請求產生之後，裝置不會立即發送，不少是儲存在本地端，到達一定量的時候才會上傳，而且當讀者在閱讀處於離線狀態，Kindle也會等待裝置重新連上網路後，發送這些儲存的資料。</p> <p>不只如此，Kindle還會回傳一些裝置資訊，包括居住國家、本地網路的IP位置、裝置資訊與版本，以及裝置朝向是垂直還是水平等，Charlie Belmer表示，這些資訊有一些可能有助於Amazon改進應用程式，但是上傳本地IP是有問題的動作。</p> <p>過去Charlie Belmer是一個狂熱的讀者，擁有過幾代的Kindle裝置，但基於這個理由，Charlie Belmer決定不再使用Kindle閱讀電子書，他提到，他一直在關注Amazon電子書新格式遭到濫用的可能性，雖然用戶購買了電子書，但是從技術上來說，Amazon擁有用戶的內容，因此在必要的時候，Amazon能夠隨時移除用戶裝置上的內容，過去就曾有案例，Amazon從用戶的帳戶移除了特定書籍的案例，而且在部分情況下，Amazon還能夠停用使用者帳戶，並且禁止用戶存取已經購買的書籍。</p> </div></div></div>
2020/8/26 17:45作者李建興https://www.ithome.com.tw/news/139614
法院要求蘋果不能封鎖Epic Games的虛幻引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國加州地方法院法官Yvonne Gonzalez Rogers<a href="https://cdn.vox-cdn.com/uploads/chorus_asset/file/21814075/cf2dcbbf_4f0b_4762_94fc_6b0f42ede3ff.pdf" target="_blank">在本周一（8/24）裁決</a>，Epic Games不應要求蘋果免費讓《要塞英雄》（Fortnite）登上App Store，但另一方面，Rogers也認為<a href="https://www.theverge.com/2020/8/25/21400240/epic-apple-ruling-unreal-engine-fortnite-temporary-restraining-order?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">蘋果不得封鎖Epic Games的虛幻引擎</a>（Unreal Engine）。</p> <p>Epic Games因在《要塞英雄》中植入了自家的Epic Direct Payment支付機制，企圖閃避蘋果所收取的30%佣金，釀成蘋果直接將《要塞英雄》踢出了App Store，繼之宣稱Epic Games違反多項蘋果開發者專案的授權協議，要求Epic Games在8月28日之前改善，否則便會終止Games所有的開發者帳號，移除Epic Games在App Store的所有程式，Epic Games也無法再存取蘋果的軟體、SDKs、APIs與開發者工具，同時將波及Epic Games所打造的虛幻引擎。由於包括微軟在內的多個遊戲開發者都利用虛幻引擎來建置遊戲，使得微軟也出面聲援Epic Games。</p> <p>在Epic Games向法院提出臨時禁制令，要求法院制止蘋果的作法之後，法官Rogers指出，Epic Games與蘋果之間的爭議顯然已蘊釀一段時間，並不清楚為何現在會變得如此緊急，Epic Games向法院請求要免費使用蘋果的平台，因為蘋果會從Epic Games的交易中抽成，就算法院預期專家會認為蘋果抽佣30%是違反市場競爭的，但並不認為專家會覺得蘋果不應抽取任何的佣金，如同Epic Games也不會免費釋出遊戲一樣。</p> <p>Rogers也覺得是Epic Games選擇違反與蘋果之間的協議而改變了現狀，目前法院並無任何可用來偏袒Epic Games的依據。</p> <p>另一方面，蘋果若封鎖Epic Games存取蘋果資源的能力，將造成許多採用虛幻引擎的第三方遊戲無法在iOS與macOS運作，Rogers則認為這將牽連許多無辜的第三方。</p> <p>於是Rogers駁回了Epic Games要蘋果重新上架《要塞英雄》的請求，但同意授予臨時限制令，要求蘋果不得封鎖虛幻引擎或其它受影響的開發者工具存取蘋果資源。</p> </div></div></div>
2020/8/26 17:55作者陳曉莉https://www.ithome.com.tw/news/139619
Fitbit推出具膚電感測器的智慧型手錶，挑戰Apple Watch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google計畫收購的Fitbit昨（25）日宣布最新智慧型手錶<a href="https://investor.fitbit.com/press/press-releases/press-release-details/2020/Fitbit-Debuts-Sense-Its-Most-Advanced-Health-Smartwatch-Worlds-First-With-EDA-Sensor-for-Stress-Management-Plus-ECG-App-SpO2-and-Skin-Temperature-Sensors/default.aspx" target="_blank">FitBit Sense</a>，可提供壓力、體溫及心電圖量測。</p> <p>Fitbit表示，Sense是該公司第一隻具心電圖（ECG）量測、24x7心率追蹤功能的手錶，更整合膚電活動（electrodermal activity，EDA）感測器可提供壓力量測，並具備腕式體表溫度感測器。若搭配Fitbit Premium量測方案，Sense用戶將可把生理量測數據，整合到Health Metrics儀表板軟體，提供心率變異（HRV）、呼吸率及血氧飽和度（SpO2）管理。</p> <p>這款手錶是Fitbit挑戰Apple Watch最新嘗試。心電及心率量測使Apple Watch在健康管理功能上，領先眾家廠商。三星也在最新<a href="https://www.samsung.com/tw/wearables/galaxy-watch3-r840/SM-R840NZKABRI/" target="_blank">Galaxy Watch 3</a>加入ECG功能。兩款手錶的心電圖功能受各地法規限制，僅在美國及南韓等少數市場可用。</p> <p>目前同時兼具體溫量測和ECG的穿戴裝置不多，以Oura智慧型戒指最為知名。為了對抗武漢肺炎（COVID-19），不少醫療及研究機構都採用Oura作為患者的<a href="https://www.ithome.com.tw/news/136533" target="_blank">體溫監控</a>及<a href="https://www.ithome.com.tw/news/138047" target="_blank">AI預測模型</a>。</p> <p>Fitbit表示目前其ECG App正申請美國主管機關FDA及歐盟的審核，不過核准日期不明。</p> <p>Sense售價330美元，Fitbit 同時宣布<a href="https://www.fitbit.com/global/us/products/smartwatches/versa3" target="_blank">Versa 3</a>，兩款充飽都可配戴6天、具備GPS、OLED觸控螢幕及Google Assistant支援，但Versa 3少了ECG及EDA感測器，售價230元，預計冬天開賣。Fitbit另外也推出改版款Inspire 2智慧腕帶，加入活動區間分鐘數（Active Zone Minutes）的功能。</p> </div></div></div>
2020/8/26 15:20作者林妍溱https://www.ithome.com.tw/news/139612
Google普查網路資料集，數量大宗為社會科學，地球科學次之
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.googleblog.com/2020/08/an-analysis-of-online-datasets-using.html">Google普查網際網路上的資料集</a>，發現資料集大宗為社會科學26.2％，其次為地球科學19％，接下來則是生物學，約占了15％，Google提到，最近因為武漢肺炎爆發，生物學和醫學資料集的查詢需求上升。整體來說，資料集重用的方便性仍不足，因為只有11％的資料集擁有數位物件辨識碼（Digital Object Identifier，DOI）。</p> <p>資料集是機器學習技術發展很重要的一環，不少人工智慧應用，需要使用適當的資料集，訓練與測試模型才能完成，而Google在2018年開始了資料集搜尋引擎專案，將網路上數百萬個資料集，和數千個資料儲存庫集結在一起，提供單一入口以提升取用資料集的方便性，這些資料集內容包羅萬象，包括帝王企鵝的食性以及遠端工作者的居住地都有。</p> <p>這個資料集搜尋引擎在2020年1月的時候正式啟動，截至今日，資料集語料庫包含了來自4,600個以上網際網路網域，所提供超過3,100萬個資料集，其中一半都是來自.com網域，而.org和政府網域也占了很大的比例。</p> <p>過去兩年資料集的數量大幅成長，Google調查了資料集，並且發表資料集的概況，同時也提供未來發表科學資料集最佳實踐作法，Google公開了該研究的部分資料，供其他研究人員進行分析和建構工具。</p> <p>資料集主題的分布，其中有接近三分之一是社會科學，而地球科學占19％，接下來則是生物學、農業、醫學和機械工程等。Google提到，現在研究人員的共識是，透過發布詳細的相關資訊，以及在使用資料集的時候增加引用資訊，以增加資料集的可用性，目前許多機構以及學術出版商，都要求作品發布以及引用資料。</p> <p>即便有許多組織共同努力耕耘，非營利組織DataCite提供資料集DOI，還有諸如identifiers.org等解析服務，提供永久可引用的辨識碼，但是在當前Google資料集搜尋引擎中，只有11％約300萬個資料集擁有DOI，其中約有230萬個資料集，是來自datacite.org和figshare.com兩個網站。</p> <p>而資料集的授權，也是資料可重用的重要指標，資料集發布方可以利用schema.org元資料屬性，指定特殊的存取要求，但目前只有34％的資料集，有附加授權許可資訊，Google提到，資料集沒有授權許可，用戶就難以判斷資料集可否允許重用，因此在理想情況下，資料集添加開放授權，可大幅提升資料重用性。</p> <p>另外一個影響資料可重用性的關鍵要素，便是提供可下載資訊，但是當前只有44％資料集在元資料中註明下載資訊，而之所以這項資訊提供比例偏低的原因之一，是資料集託管平臺擔心從schema.org元資料暴露的下載連結，會使得搜尋引擎或是應用程式，提供用戶直接下載資料集，因而竊取了該平臺的流量，Google特別強調，他們在資料集搜尋引擎中，不會直接顯示下載連結，使用者仍須造訪發布者網站，才能下載完整資料集。</p> <p>Google提到，近期查詢資料集的情況，與搜尋引擎中擁有的資料集主題分布不同（下圖），地球科學資料集的查詢量偏低，而生物學和醫學的查詢量則大得多，可能跟武漢肺炎疫情爆發有關。隨著資料集的調查結果釋出，Google也將擁有DOI，和其他類型永久辨識碼的300萬個資料集元資料釋出，供其他研究人員執行深入分析或是使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/SearchResults.png" style="width: 580px;" /></p> </div></div></div>
2020/8/26 15:45作者李建興https://www.ithome.com.tw/news/139611
臉書把AR與VR團隊統整為Facebook Reality Labs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tech.fb.com/introducing-the-new-facebook-reality-labs-plus-save-the-date-for-facebook-connect-on-september-16/" target="_blank">臉書於本周二（8/25）宣布</a>，將把內部各個與虛擬實境（VR）及擴增實境（AR）有關的團隊全都納入Facebook Reality Labs，並將Oculus Connect年度會議更名為Facebook Connect。</p> <p>Facebook Reality Labs原本是Oculus研究部門<strong>O</strong>culus Research所使用的名稱，但臉書決定賦予它更廣泛的定義，成為臉書內部打造新一代運算平臺的實驗室，整合內部所有與VR及AR相關的研發，涵蓋Oculus的頭戴式VR裝置、Portal視訊通話裝置，以及Spark AR平臺。</p> <p>臉書表示，未來Facebook Reality Labs的任務將是打造各種工具，以協助人們不管在何時何地都能彼此聯繫，未來的AR與VR將會改變工作、互動、生活及玩樂的方式，但人們甚至還沒開始想像其使用情境，且實現AR眼鏡願景的技術亦尚未出爐，而Facebook Reality Labs將從原本的研究中心，擴大成為容納相關軟體及硬體研發的實驗室，探索一切的可能性。</p> <p>因此，原本名為Oculus Connect的年度會議，也將更名為Facebook Connect，以更符合臉書對AR/VR的野心及企圖，今年的Facebook Connect將於9月16日舉行，它將採虛擬形式並開放大眾參與，屆時臉書將會公布更多有關Facebook Reality Labs的願景與最新的創意。</p> </div></div></div>
2020/8/26 15:50作者陳曉莉https://www.ithome.com.tw/news/139613
【臺灣資安大會直擊】特定場域需資安供需雙方共同配合，案例呈現帶動產業資安投入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>將資安視為國家戰略產業，是今年最重要的進展。而在今年<a href="https://www.ithome.com.tw/news/139329">首度舉行的「智慧臺灣安全展」</a>上，也正呼應這樣的趨勢，特別以實機呈現資安威脅與防護能量，讓與會者能近距離地接觸到產業領域的資安防護實例，另一個目的是希望鼓勵更多業者投入。</p> <p>對此，我們也詢問到身為這次計畫執行團隊之一的工研院資訊與通訊研究所資深管理師蔡淑瑜。她表示，這次資安展的展示方式，讓許多人驚豔，因為他們沒有想過原來資安可以這樣去呈現，從展後他們獲得的回饋中，就有不少這樣的意見。她認為，透過實機展示，讓參觀者知道資安是看得到、摸得到的，這點相當重要。畢竟，一般人要接觸這些領域的資安防護實機，並不容易。</p> <p>同時，這樣實際的場景，也能提升大家的參與度。蔡淑瑜表示，例如，現場由機械手臂製作的手機支架，供不應求，若要領取，要等上3小時大家都願意等，這也顯示參觀者很喜歡這次的展示設計。</p> <p>對於這次智慧臺灣安全展的成效與目標，蔡淑瑜認為，臺灣資安產業可以說十年磨成一劍，在既有優勢產業如製造、醫療的基礎下，國內廠商逐漸發展出具有領域特色的解決方案。</p> <p>更關鍵的是，這需要該領域的需求方提供產業知識，以及實際會面臨的安全問題，並與資安供給方共同來討論、實測與驗證。然而，這並非一蹴可及，需要長時間的磨練、建立信任才能達成。這也是為什麼在智慧臺灣安全展會特別用實機展示的方式，把迷你產線、智慧醫院場景、化工串級DCS模擬系統直接設在會場，目的就是想呈現出，資安是需要企業聯防、跨域整合的理念，同時透過案例的呈現，喚起更多人投入，讓如何做好資安是值得分享的事。</p> <p>不過，她也提到，可惜因為疫情的關係，許多國際人士無法來臺。畢竟能將實機展示搬至現場，這樣的資安展覽不多見，這次其實也有不少人的意見，認為活動具備國際級大展的水準。因此，他們希望明年若能在國際能見度與媒合活動有更多著墨，將對廠商們帶來更大的幫助。</p> <h2><span style="color:#0099ff;"><strong>將模擬場域搬到會場展示的挑戰</strong></span></h2> <p>要將這些實機從場域內轉移到展場，當中的工程並不簡單，我們現場也聽聞像是將化工水位串級控制實驗場域Test bed，移動到現場展示，因為搬動後需要大量的調校，原本希望能提前一周時間進場，但因為場地只給予兩天時間，因此帶來很大的挑戰。蔡淑瑜表示，這對他們計畫執行團隊與協力廠商來說，真的不容易，無論是設備測試、整合資安解決方案、撰寫資安模擬攻擊與防禦措施程式，以及機臺的搬運設置等，還要做到多方協調。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）智慧臺灣安全展IMG_5522s_攝影iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95IMG_5522s_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 600px; height: 400px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）智慧臺灣安全展IMG_5543s_攝影iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95IMG_5543s_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖3）智慧臺灣安全展IMG_5549s_攝影iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95IMG_5549s_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 295px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）智慧臺灣安全展IMG_5580s_攝影iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95IMG_5580s_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖7A）智慧臺灣安全展R0243257s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967A%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95R0243257s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 295px;" /></a></p> <h3><span style="color:#FF8C00;">相關報導請見</span>：<a href="https://www.ithome.com.tw/news/139329"><span style="color:#0000FF;">【臺灣資安大會直擊】首屆智慧臺灣安全展亮相，從智慧製造、工控到物聯網，實機展示資安防護應用</span></a><br /> </h3> </div></div></div>
2020/8/26 14:35作者羅正漢https://www.ithome.com.tw/news/139609
Chrome 85出爐，網頁載入速度快10%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於本周二（8/25）釋出了Chrome 85，這是一個重大的版本，除了網頁載入速度提升10%，還具備分頁群組功能，於桌面版新增QR code分享功能，改善處理PDF文件的能力，支援AVIF圖片格式，另也修補了20個安全漏洞。不過，Cisco Talos日前公布了一個藏匿在Chrome中的CVE-2020-6492高風險漏洞，並宣稱Google會在Chrome 85中修補，然而，剛出爐的Chrome 85漏洞修補列表中，並未包含CVE-2020-6492。</p> <p>Chrome 85最受矚目的變更是效能變快了，它強化了特性指引最佳化（Profile-guided Optimizations，PGO），這是一個編譯器優化技術，以讓最關鍵的程式碼能夠更快執行。其實Google在Chrome 53就開始部署PGO，但當時採用的是Microsoft Visual C++（MSVC），Chrome 85則改用了Clang。</p> <p><a href="https://blog.chromium.org/2020/08/chrome-just-got-faster-with-profile.html" target="_blank">根據Chrome團隊的測試</a>，基於Clang的PGO讓Chrome 85的瀏覽器回應速度（回應使用者輸入），於macOS平臺上快了3.9%，在Windows平臺上快了7.3%；首次內容繪製（First Contentful Paint，FCP）的速度，在macOS平臺上快了2.3%，於Windows上快了3.5%，FCP指的是瀏覽器將使用者看得見的內容，渲染到螢幕上的開始時間；而在模擬使用者互動之網頁應用回應速度的Speedometer 2.0評測上，Chrome 85在macOS平臺上的速度快了7.7%，於Windows上則快了11.4%。</p> <p>Chrome團隊指出，當裝置的CPU執行更多的程式或處理更多的分頁時，Chrome 85對效能的改善則更為明顯。</p> <p>至於分頁群組（Tab groups）功能則是可替分頁設定主題與顏色，以整理雜亂的分頁，使用者可將同一主題的分頁收起或展開。</p> <p>Chrome 85桌面版還支援QR code分享功能，允許使用者在造訪特定網頁時，產生QR code，透過QR code進行分享，該功能先前即已現身於Android版Chrome。對PDF的改善在於允許使用者直接於Chrome中，填寫PDF格式的表單，並直接儲存。</p> <p>Chrome 85內建了對<a href="https://chromestatus.com/feature/4905307790639104" target="_blank">AVIF圖像格式</a>的支援。根據Google的說法，與JPEG或WebP檔案格式相較，AVIF的檔案小很多，但對圖像品質並未造成太大的影響，根據Netflix的測試，AVIF的檔案大小最多比JPEG少了50%。被視為新一代圖像格式的AVIF亦支援高動態範圍（High Dynamic Range，HDR），同時不管是臉書、Netflix或YouTube也都打算要出版AVIF格式的圖像，而微軟或蘋果則參與了AVIF底層的MIAF規格制定，可望造就一個完整的生態體系。</p> <p>此外，Chrome團隊也在本周分享了兩個已進入<a href="https://blog.google/products/chrome/organize-your-tabs-and-stay-productive-chrome" target="_blank">Beta版的新功能</a>，一為分頁節流功能，Chrome會根據分頁的使用狀況，將背景分頁所使用的資源轉移到正在使用的分頁上，直接的效益是讓正在使用的分頁會有更快的載入速度，另也能夠節省裝置的電力與記憶體的使用。</p> <p>另一個Beta功能則是分頁預覽功能，只要將滑鼠移到分頁上，就能看到該分頁的預覽畫面，以方便使用者更快找到所需的分頁。</p> <p>除了功能上的變更之外，Chrome 85還<a href="https://chromereleases.googleblog.com/2020/08/stable-channel-update-for-desktop_25.html" target="_blank">修補了20個安全漏洞</a>，其中有兩個被列為高度（High）風險等級，分別是CVE-2020-6558與CVE-2020-6559。</p> <p>為了讓使用者先行修補，Chrome團隊並未在此時公布漏洞細節，然而，<a href="https://talosintelligence.com/vulnerability_reports/TALOS-2020-1085" target="_blank">Cisco Talos日前公布</a>了一個存在於Chrome的高度風險漏洞CVE-2020-6492，並宣稱Google會在Chrome 85中修補，但該漏洞並未出現在Chrome 85的修補列表中。</p> <p>根據Cisco Talos的描述，CVE-2020-6492為一記憶體釋放後使用（Use-after-free）漏洞，肇因於WebGL元件無法妥善處理記憶體中的物件，成功的開採將允許駭客執行任意程式，且同時波及Chrome 81與Chrome 84。</p> <p>由於Cisco Talos已揭露CVE-2020-6492的漏洞細節，使得該漏洞更容易成為駭客的焦點，但不管是Google或Cisco Talos，截至稿件發出前（8/26），都沒有對未修補該漏洞一事作出說明。</p> </div></div></div>
2020/8/26 14:45作者陳曉莉https://www.ithome.com.tw/news/139608
白宮對中國禁令導致美國中小學校大缺筆電，缺口可能達百萬臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國當地學校陸續開學，但受到美國對中國封鎖令及疫情影響，<a href="https://apnews.com/01e9302796d749b6aadc35ddc8f4c946" target="_blank">美聯社報導</a>，多家品牌電腦都出現筆電缺貨，無法及時供給中小學校，得要等上好幾個月。</p> <p>報導訪問了美國15州學區及近30所學校和主要品牌電腦商。受到武漢肺炎影響，新學年將以遠距教學方式提供授課，而一些經濟弱勢的學生，將在政策補助下由校區免費提供電腦。但包括聯想、HP及Dell的電腦廠商表示，中小學校今年下訂的電腦來不及在開學前交給客戶。</p> <p>報導引述加州一個學區的處境。該學區7月向聯想訂購5000臺Chromebook，不過聯想告知它接不了單，因為美國政府禁止所有中國元件。他轉向HP採購，HP原本說可在8月底交貨，後來又將交貨期延到9月，之後又延到10月。該學區現有電腦不足以供給需要的學童使用。</p> <p>北達科塔區另一個學區向聯想訂購2000臺Chromebook，交期從7月延到8月，現在聯想說「希望」年底前可以交貨。而丹佛市學區4月下訂的Chromebook，現在也還沒到齊。</p> <p>聯想曾有高層告知加州教育局，有300萬多臺Chromebook未清關。丹佛等學區客戶，在7月接到聯想北美高層以郵件通知，受到聯想Chromebook的供應商之一合肥寶龍達（Hefei Bitland），在7月被美商務部列入實體名單，將導致另一波交期延遲，影響了學校及企業機型。</p> <p>另一個學區被HP延遲交付筆電，HP告知學區主任，目前短缺170萬臺，因為中國工廠現在處理器、觸控螢幕、主機板都缺料，可能要等上3個月才交得了貨。</p> <p>現在多州學校沒有足夠電腦可用，擔心經濟能力不好的家庭首先受害。光是加州，就欠缺至少30萬臺學童用電腦</p> <p><a href="https://www.ithome.com.tw/news/138941" target="_blank">美國商務部7月再公布</a>了11家被列入實體名單（Entity List）的中國企業，原因是這些企業協助中國進行鎮壓並侵犯人權。這些廠商將被禁止出貨到美國或在美國港口轉送貨物。商務部表示，美國學童都不應使用以奴工生產的中國電腦。</p> <p>HP、Dell和聯想都否認其產品被扣押在美國海關。三家公司的發言人也不願說明缺貨明確數量，只說他們將動用全球供應鏈資源滿足客戶需求。</p> </div></div></div>
2020/8/26 14:50作者林妍溱https://www.ithome.com.tw/news/139610
由臉書共同創辦人Dustin Moskovitz所建立的軟體公司Asana也申請IPO了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2008年創立、專門提供專案及任務管理工具的Asana，本周向美國證券交易委員會（SEC）遞出了首次公開發行<a href="https://www.sec.gov/Archives/edgar/data/1477720/000119312520228462/d855753ds1.htm" target="_blank">（IPO）申請書</a>。Asana是由臉書共同創辦人Dustin Moskovitz所建立，且可望成為繼Spotify與Slack之後，第三家採用直接上市（Direct Listing）模式的美國企業。</p> <p>Moskovitz是臉書執行長Mark Zuckerberg在哈佛大學時的室友，為臉書的五名共同創辦人之一，他在2018年離開臉書，並創辦了Asana，專門開發專案管理、任務管理及團隊協作等應用，迄今已於190個國家展開業務，供應320萬個免費帳號與120萬個付費帳號。</p> <p>根據Asana的IPO申請文件，該公司在2019財年的營收為7,680萬美元，虧損5,090萬美元，2020財年的營收為1.43億美元，虧損1.19億美元。</p> <p>Asana的宗旨是協助團隊能夠更不費力地合作，提高生產力，認為市場上雖有大量的通訊工具，但超載的通訊其實會傷害競爭力，諸如Skype、WeChat及WhatsApp等程式即便可改善溝通，卻不是用來追蹤及協調任務的。</p> <p>Asana打算採用直接上市模式登上紐約股市，目前交易代號未定。直接上市模式代表Asana不必委託承銷商，且股東沒有閉鎖期，上市當天就能交易股票，而股價則由市場決定。Asana最近一次的市值估價為2018年12月，當時身價為15億美元。</p> </div></div></div>
2020/8/26 13:10作者陳曉莉https://www.ithome.com.tw/news/139605
微軟公測以容器開啟可疑Office文件的安全功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為防止用戶開啟惡意Office檔案，<a href="https://techcommunity.microsoft.com/t5/office-365-blog/application-guard-for-m365-apps-public-preview/ba-p/1608640" target="_blank">微軟昨（25）日釋出</a>Application Guard for Office公眾預覽版，可讓企業用戶在隔離環境下開啟可能有害的Office文件。</p> <p>Application Guard來自微軟為Edge瀏覽器和Windows 10開發的安全功能Windows/Microsoft Defender Application Guard。它是一種硬體隔離機制，當用戶透過Edge或IE造訪不被信任的網站時，Edge會在隔離的Hyper-V容器中開啟網站。這項功能也在去年<a href="https://www.ithome.com.tw/news/129403" target="_blank">開放給Chrome和Firefox用戶</a>。</p> <p>現在微軟將這項功能擴大到Office文件，並改名為Microsoft Defender Application Guard for Office，將提供給Microsoft 365以及Windows 10 Enterprise用戶。微軟指出，來自網路或其他不安全地點的檔案，可能包含病毒、蠕蟲等惡意程式，進而傷害電腦或資料，新功能可在用戶開啟未受信任的地方傳來的Word、Excel及PowerPoint檔案時，在Application Guard容器中開啟這些檔案，也可以編輯、列印及儲存文件，確保企業用戶不受惡意程式之害。</p> <p>這項功能預設關閉。<a href="https://docs.microsoft.com/en-us/microsoft-365/security/office-365-security/install-app-guard?view=o365-worldwide" target="_blank">根據微軟說明</a>，要部署這項功能，用戶除了須具備KB4566782版本Windows 10更新外，還需<a href="https://download.microsoft.com/download/e/4/c/e4c1180a-fcff-462a-8324-4151c44973a8/Windows%20Preview%20-%20WDAG%20Office%20070920%2001.msi" target="_blank">下載相關檔案</a>來實作並啟動群組政策。</p> </div></div></div>
2020/8/26 13:40作者林妍溱https://www.ithome.com.tw/news/139607
Safari藏漏洞使iPhone及Mac用戶陷點擊詐騙風險，但蘋果計畫2021年初才要補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.redteam.pl/2020/08/stealing-local-files-using-safari-web.html" target="_blank">研究人員發現</a>Safari有資料外洩漏洞可能導致駭客竊取iOS及Mac裝置檔案，不過4月通報後，蘋果卻計畫2021年春天才會修補。</p> <p>這項漏洞是由波蘭安全公司REDTEAM創辦人Pawel Wylecial發現，存在Safari的Web Share API中。Safari Web Share API允許使用者經由第三方App（包括蘋果自己或第三方郵件和通訊App）分享連結、檔案、文字或其他內容。利用file:語法即可將用戶裝置上的檔案分享出去。</p> <p>但當某個外部網站指向這個file:連結，就會出問題。Wylecial解釋，此時連結會被傳送到Safari的navigator.share函式，就會把使用者裝置上檔案系統的某個檔案加入到郵件或對話訊息中而傳送出去，導致本機檔案外洩。</p> <p>原本問題並不大，因為這需要使用者有傳送連結的動作，但是在某些情況下，使用者會看不到被分享的檔案，例如使用macOS及iOS版Mail App時。研究人員舉例，當駭客發動點擊詐騙，在惡意網站上以可愛的動物圖片或文章，邀請使用者分享給他人，並加入以郵件或訊息App分享的選項。使用者以為他分享的是動物相片，但其實駭客要使用者分享的是/etc/passwd的本機檔案。</p> <p>使用時macOS及iOS版Mail App會發生用戶看不到分享出去的檔案。在macOS版本中，用戶若不將滑鼠拉到最下方，看不到包含密碼的附檔。在iOS版本中，使用者更只會看到沒有檔名的附檔。iOS版的Gmail App則會顯示被混淆（obfsucated）檔名的檔案。</p> <p>唯一例外是iOS版Message App，細心一點的用戶會看到密碼檔案被附加上在訊息中。</p> <p>研究人員僅列出他測試過的問題版本，包括iOS (13.4.1, 13.6)和macOS Mojave 10.14.16 的Safari 13.1 (14609.1.20.111.8) ，以及macOS Catalina 10.15.5上的Safari 13.1.1 (15609.2.9.1.2)。</p> <p>Wylecial於今年4月中通報蘋果這項漏洞，蘋果也說會調查。不過之後就沒有下文，直到7月研究人員揚言要公布漏洞，蘋果才有所回應。蘋果8月中要求他延遲公布，表示會在2021年春天修補。由於研究人員認為蘋果態度輕忽，且一個漏洞要等快1年才修補過於離譜，於是拒絕這個要求，並於本周公布漏洞細節。</p> </div></div></div>
2020/8/26 13:50作者林妍溱https://www.ithome.com.tw/news/139606
研究：App Store上有超過1,200個程式採用惡意廣告SDK
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專注於軟體開發安全性的<a href="https://snyk.io/blog/sourmint-malicious-code-ad-fraud-and-data-leak-in-ios/" target="_blank">Snyk在本周揭露一個惡意的廣告SDK</a>，該SDK來自中國的行動廣告平臺Mintegral，會挾持其它廣告網路的流量，且已被部署在蘋果App Store上的逾1,200個程式中，而這些程式每月的下載數量總計超過3億次。</p> <p>行動廣告網路主要負責展示廣告主所提供的廣告內容，一旦使用者點選該廣告或安裝程式，廣告網路就能取得廣告費用，而於程式中植入該廣告網路的開發者也能獲得佣金。一般而言，開發者通常會利用廣告協調機制，於程式中嵌入多個廣告網路的SDK，該機制也負責策畫程式中所出現的廣告。</p> <p>而Mintegral則允許開發者直接自該站下載SDK，並將它嵌入程式中。然而，當應用程式開啟連結時，Mintegral SDK就會注入程式碼，以檢查這些連結是否源自於競爭對手的廣告網路。倘若屬於廣告連結或下載，Mintegral SDK即利用所獲得的資訊，偽造點選通知，假裝程式是透過Mintegral廣告網路點選的，獲取不法的廣告營收。</p> <p>Mintegral SDK一來可攔截競爭廣告網路的收入，二來負責協調廣告網路的SDK，也會誤判Mintegral廣告網路的效能，而予以更優惠的待遇。此外，研究人員亦警告，Mintegral SDK所取得的資訊超過了偽造廣告歸因所需的資訊，它蒐集了作業系統版本、IP位址、充電狀態、網路型態、手機型號、程式請求的網址、請求的標題、請求的來源，以及裝置的廣告識別標記等，並將它們傳送到遠端伺服器上。</p> <p>其實這類惡意的廣告SDK在Android平臺上很常見，而Mintegral SDK之所以能夠繞過相對嚴格的App Store審核機制，是因為它具備了「反除錯」（anti-debug）保護機制，一旦偵測到程式正在被掃描，它就會變更其行為模式，遮掩其惡意行為。</p> <p><a href="https://www.forbes.com/sites/johnkoetsier/2020/08/24/malicious-chinese-sdk-in-1200-ios-apps-with-billions-of-installs-causing-major-privacy-concerns-to-hundreds-of-millions-of-consumers/#7d6b969f1aa0" target="_blank">根據Forbes的報導</a>，蘋果已在上周收到Snyk的通知並展開調查，同時蘋果也建議開發者於程式中嵌入SDK時應謹慎以對。</p> </div></div></div>
2020/8/26 11:50作者陳曉莉https://www.ithome.com.tw/news/139604
Google資料分析服務Dataflow現可在同一工作管線支援多個程式語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在資料分析服務Dataflow加入全新基礎架構<a href="https://cloud.google.com/blog/products/data-analytics/multi-language-sdks-for-building-cloud-pipelines">Runner v2</a>，現在全面提供多語言支援，讓開發團隊能夠共用以各自喜好語言開發的元件，並且組織成為一高效能分散式處理工作管線。Google正透過多語言工作管線框架，使得更多的Java轉換可以用在Beam Python上。</p> <p>過去Dataflow執行程式在運作Apache Beam工作管線時，僅使用特定語言的工作程序，Google提到，在資料工作管線開發時，當開發團隊成員使用不同語言SDK進行開發工作，或是主要使用的開發語言，沒有某種特別的功能時，團隊總會面臨抉擇，不知道應該要選擇創建解決方案來橋接各種語言，或是重新開發需要的功能，而無論是哪一種方法，都相當耗費資源。</p> <p>最新的Dataflow中，Google提供了解決這個問題更好的辦法，將Dataflow執行程式逐漸轉變成為以服務為基礎的架構，提高整體的可縮放性、通用性和效率。現在Dataflow加入了多語言工作管線Runner v2，是一個以C++開發的高效能可移植框架，基於資料處理工作管線開發模型Apache Beam開發而成，與用來進行批次作業的Dataflow Shuffle，以及用來處理串流任務的Streaming Engine打包在一起。</p> <p>現在Dataflow Runner v2已經能夠用於Python串流工作管線中，Google建議，使用者可以先在現有的工作負載測試，之後再於新的工作管線預設啟用Runner v2。Runner v2加入了許多前一版本沒有支援的功能，除了多語言工作管線之外，Runner v2還原生支援Apache Beam資料來源框架Splittable DoFn，並且可以在Dataflow中使用自定義的容器，另外，Dataflow Runner v2也啟用Python串流工作管線的新功能，包括計時器、狀態、視窗以及觸發擴展支援。</p> <p>Google提到，因為Apache Beam的多語言功能，因此用戶可以使用單一語言開發特定功能，並且藉由Runner v2，簡單地在多個Beam SDK提供相同的新功能，像是Google在Apache Beam 2.23時，就已經讓Apache Beam Java SDK中的Apache Kafka連接器以及SQL轉換功能，可以用於Python工作管線中。</p> <p>要在新支援的Dataflow Runner v2使用Python轉換工作管線，只要電腦已安裝Apache Beam提供的最新Java開發套件（JDK），便能夠在Dataflow Python工作管線中使用Python轉換。</p> <p>在後臺，Google為了使Java轉換可以用於Dataflow Python工作管線中，Apache Beam Python SDK在用戶的電腦上，啟動了本地端Java服務，在Python工作管線中，創建Java工作管線片段，接著SDK會下載需要的Java相依項目來執行這些轉換。在執行時，Dataflow Workers平行執行Python和Java程式碼，以運作用戶的工作管線。</p> </div></div></div>
2020/8/26 13:00作者李建興https://www.ithome.com.tw/news/139599
Kali Linux 2020.3釋出，官方預告準備更換預設殼層
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位鑑識以及滲透測試專用的Kali Linux發行版，釋出了<a href="https://www.kali.org/news/kali-2020-3-release/">最新的2020.3版本</a>，這是繼去年2019.4版之後，較大的更新。官方宣布從這個版本開始，預設殼層即將從bash換成ZSH，而且由於微軟發布了WSL2，因此官方也做出相對應的更新，新的Win-KeX功能可在Windows上，藉由WSL2開啟持久對話GUI。</p> <p>目前Kali Linux預設使用的殼層為bash，但是官方現在宣布，從下一個版本2020.4開始，預設殼層將會正式轉換使用ZSH，但是如果用戶是安裝全新的Kali Linux 2020.3，系統便會幫用戶預先安裝ZSH，用戶可以在這個版本嘗試使用新殼層，而從較舊版本升級到2020.3的用戶，系統會缺少預設ZSH配置，因此用戶需要手動新增。</p> <p>之所以官方要更換殼層，是因為ZSH比bash的功能更加豐富，但官方提到，殼層更換是一個非常大的變化，他們現在也仍在收集用戶的意見回饋，希望在設計和功能之間取得適當的平衡。接下來官方還會進行更廣泛的測試，所以先推延預設配置，並保留未來更改的可能性。官方還提到，他們不打算預設使用任何的ZSH框架，包括Oh-My-ZSH或Prezto，原因是這些框架對於低功率裝置來說太耗能，但是用戶可以自行斟酌安裝。</p> <p>由於WSL2改善了整體功能以及用戶使用體驗，官方現在提供Win-KeX（Windows + Kali Desktop EXperience）功能，可以進一步提升用戶的使用體驗，只要在安裝之後，無論是使用殼層或是圖形介面，用戶都能簡單地在Windows上，開啟Kali Linux持久對話GUI。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/release-2020_3-win-kex.png" style="width: 580px;" /></p> <p>另外，由於HiDPI（High Dots Per Inch）越來越普遍，但是Linux的開箱即用支援並不好，因此Kali Linux加入自動調整功能。官方提到，當使用者執行全新安裝之後，還需要進行一些調整，才能讓畫面變得舒適正常，否則有一些文字或是內容會小到難以閱讀。因此Kali Linux 2020.3加入了自動化HiDPI功能來解決這個問題，官方提供了kali-hidpi-mode，無論是用輸入指令或是從選單選擇，系統都能自動切換HiDPI模式。</p> <p>而官方也發布可支援Nokia 3.1和Nokia 6.1手機的Kali NetHunter，Kali NetHunter是以Kali Linux為基礎的開源Android行動裝置滲透測試平臺，可用於非Root裝置，目前Kali NetHunter支援不少型號的Android手機，包含NEXUS、OnePlus、Galaxy Tab S4以及Sony XPeria Z1等。</p> </div></div></div>
2020/8/26 13:05作者李建興https://www.ithome.com.tw/news/139601
【臺灣資安大會直擊】導入熱門開源資料庫PostgreSQL的第一步，安全管理政策得先強化防呆才能杜絕自己人不當操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">開源資料庫PostgreSQL可說是近兩年來最熱門的資料庫軟體之一，根據資料庫流行度排行榜DB-Engines的統計，PostgreSQL流行度從2017年初超越MongoDB後，就蟬聯第4至今，名列Oracle、MySQL、Microsoft SQL Server之後，若以開源資料庫來看，排名更僅次於MySQL，因成本低、開源、社群活躍的特性，受到許多開發者青睞。不過，隨者PostgreSQL用戶越來越多，伴隨而來的安全管理問題也需更加重視，PostgreSQL臺灣使用者社群召集人古永忠就在今年的臺灣資安大會上，分享企業使用PostgreSQL時，應採取的安全管理策略。</p> <p dir="ltr">「在發展初期，駭客攻擊機率沒那麼高，比較容易出問題的反而是自己人。」古永忠表示，談到安全性，許多人都先聯想到外部的惡意入侵，但現實上，多數時候造成資料庫無法運作的原因，是內部工程師操作失誤使然，因此，企業使用資料庫需要遵循一套安全策略，來協助開發者自然防呆。</p> <h3 dir="ltr"><span style="color:#FF8C00;">連線前：需避免不慎連入資料庫的風險</span></h3> <p dir="ltr">古永忠將這套安全策略分為資料庫連線前、連線中、連線後三個階段來討論。</p> <p dir="ltr">首先，在連線前，最主要的任務，就是要避免工程師在多應用程式的開發環境下，不小心連入、連錯資料庫。古永忠解釋，由於工程師在開發多個資料庫時，都會有命名及結構設定的慣性，導致有時連錯資料庫而不自知，一旦改錯資料，就會造成資料損壞的風險。</p> <p dir="ltr">要防止用戶連錯資料庫，古永忠提出3項作法。第一，在網路限制方面，建議將資料庫主機兜在同一個子網路，訂定較嚴格的管理規則，比如將防火牆需設定為正面表列，預設為拒絕。此外，PostgreSQL也具有資料庫連線管理的機制pgBouncer，也就是連線池（Connection Pool）的功能，能用來保護資料庫不受異常連線影響、維持正常作業。</p> <p dir="ltr">第二，在連線主機的操作環境上，古永忠表示，資料庫操作這類重要的任務，應離開原先熟悉的辦公環境，在虛擬桌面（VDI）或特定實體主機來執行，以免喝個咖啡、聊個天就忘了正在進行的作業流程或任務。</p> <p dir="ltr">第三，由於PostgreSQL預設可供所有使用者登入，應重新授權，<wbr></wbr>設定每個資料庫可登入的使用者白名單。同時，古永忠也建議，若要完全避免攻擊者或非白名單者透過遠端連線登入的風險，可以限制資料庫系統管理者（postgres）的登入途徑，不要設定密碼，而是讓管理者只能透過作業系統的一般使用者登入，再授權管理者以sudo（Superuser Do）的功能切換登入權限，來提高系統安全性。</p> <h3 dir="ltr"><span style="color:#FF8C00;">連線中：需避免用戶越權更新資料的風險</span></h3> <p dir="ltr">而在資料庫連線中容易碰到的安全問題，則是要避免使用者不小心越權更新資料，以免對資料庫帶來巨大損害。</p> <p dir="ltr">首先，在權限方面，古永忠建議將大部分的權限最小化。由於PostgreSQL預設任何使用者都能建立資料庫物件，為了提高安全性，應盡量縮小權限，調整為僅資料庫擁有者能建立資料庫物件，再依使用者需求額外授權操作資料庫物件。且資料庫結構（schema）維護者，與資料存取者也應分開授權，限制存取者無法隨意調整資料庫結構。</p> <p dir="ltr">第二，應使用statement_timeout指令，限制查詢的最長回應時間，因為過長時間的查詢，可能代表查詢程式邏輯與資料分布不一致，限制查詢時間，才能在資源互相排擠之前提早回報錯誤。</p> <p dir="ltr">第三，則是可以安裝側錄軟體，來紀錄使用者操作行為，包含操作畫面、SSH傳輸內容等。古永忠表示，有些操作不容易透過log看出來，運用側錄軟體，不僅能在事件發生後追蹤用戶行為，有些軟體也具備即時告警的功能，比如在用戶下特殊指令時先行通報。</p> <p dir="ltr">第四，是部分行業可能會碰到資料遮蔽的問題。古永忠指出，真實的資料與遮蔽後的資料，最好獨立放置在不同的資料庫中，或者依權限顯示真假資料，且在應用時，只有在必須存取個資時才接觸個資，應用程式設計也不應與特定個資有關聯。若需要進行系統測試，用戶可以自定遮蔽函數，使用遮蔽過的資料來測試，保持正式系統使用正式資料、測試系統使用測試資料的習慣，來減少正式資料被竄改或外洩的意外發生。</p> <h3 dir="ltr"><span style="color:#FF8C00;">連線後：透過備份、版本還原將可能的損害降到最低</span></h3> <p dir="ltr">不過，縱使已經建立了完整一套安全管理機制，還是不可能達到全然的安全，需要考量到意外發生後的彌補措施，盡量將傷害降到最低。</p> <p dir="ltr">首先，永遠必須要備份，即使有增量備份的功能可以使用，還是必須時常重新完整備份，因為增量備份只要發生一次失敗，部分備份資料就可能損壞、無法還原。古永忠也提醒，備份資料也可能成為竊取目標，因此，備份主機的安全等級甚至要比資料庫本身來的更高，來保障資料安全。</p> <p dir="ltr">第二，要盡量將資料庫更新到最新版本，在安全性與效能才更有優勢。第三，由於pgdata磁碟空間不足時，可能會連刪除資料都無法運作，因此，需要在儲存空間8成滿就限制使用，或擴充磁碟空間，否則若磁碟用盡，會造成資料不一致、影響資料安全。最後，則是要將config檔案納入版本管理，若不慎因設定出錯而影響資料庫運作時，才能快速回復可用的設定。</p> <p dir="ltr">古永忠認為，資料庫安全的三個要素分別是保密（Confidentiality）、完整（Integrity）及可用性（Availability），任何一項被破壞，都可能代表資料庫安全性已經不足。而企業的安全策略，也隱含了重視客戶資料的程度，他也建議，企業制訂的策略不應打高空，應循序漸進、制定能實際能執行的內容，一步步讓使用者養成具有安全意識的操作習慣。</p> </div></div></div>
2020/8/26 11:22作者翁芊儒https://www.ithome.com.tw/news/139594
【臺灣資安大會直擊】金融犯罪持續演進，應對行為風險成臺灣銀行業者的當務之急
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【臺灣資安大會直擊】光是今年上半年，就有三起銀行理專盜用客戶資金的案件，每一位理專盜用客戶資金多將近億元，金管會對於發生相關事件的銀行也重金裁罰；去年也有發生八起理專盜領客戶資金的案件。</p> <p>臺灣舞弊防治與鑑識協會理事曾韵表示，其實，從2015年～2020年上半年，光是金融理專挪用資安案件就有21起，對金融單位裁罰的罰金超過一億元，每年都有類似案件，除了銀行理專之外，其他像是保險業務員向客戶推銷投資型保單，宣稱一定會賺錢，但最後並無法達到預期獲利目標等，也是有類似的風險狀況。</p> <p>這種理專盜用客戶資金的案件就是一種金融犯罪，在有利可圖的前提下，金融犯罪已經是全球趨勢；同樣的，對企業而言，只要是可以預防金融犯罪和網路安全的項目，都是好的投資標的。</p> <p>傳統的金融犯罪包括：洗錢（Money Laundering ）、制裁（Sanction ）、資恐（Terrorist Financing ）、貪腐（Bribery and Corruption）等；後來，慢慢擴增金融犯罪的定義，逐步加入了針對市場濫用（Market Abuse）、不當行為及內線交易（Misconduct and Insider Dealing）的舞弊偵查。</p> <p>隨著科技應用越來越成熟，後來也在擴增傳統金融犯罪的範圍，再將身分盜用（Identify Theft ）、電子犯罪（Electronic Crime ）、資訊安全（Information Security ）和資料安全（Data Security）等，納入廣義的金融犯罪定義中。</p> <p>曾韵表示，這種因為個人或團體行為，對客戶帶不公平的結果，破壞市場誠信並損害公司聲譽和競爭地位的風險，一般稱之為行為風險（Conduct Risk ）；像是英國金融行為監管局（FCA）的工作便是以行為風險的概念為基礎，並將行為風險定義為公司行為可能帶給消費者不良後果的風險，所以企業必須遵守FCA規定的行為風險遵循，就是要做到「公平對待客戶（TCF）的原則和預期結果」。</p> <p>行為風險其實就是金融犯罪的一種，曾韵表示，關於行為風險的偵測和預防，則是近年來，臺灣金融業在風險應對的當務之急。</p> <p><strong><span style="color:#0000FF;">過去十年，銀行風險從財務面轉向非財務面</span></strong></p> <p>從金融海嘯過後，銀行的風險管理持續轉型中，正如EY（安永顧問公司）和IIF（國際金融協會）進行的10年全球銀行風險管理調查所顯示的，自上次金融危機以來，全球銀行風險管理持續轉型中。</p> <p>從這幾年銀行風險管理的變化來看，前面幾年專注財務風險，曾韵指出，2008年金融海嘯剛過，2010年開始談新的風險管理架構，這時候偏重市場風險、流動性風險，強調要有壓力測試，要確定金融單位撐的起考驗。</p> <p>但到了2012年則開始談風險胃納，開始評估風險可以接受的程度，畢竟，之前銀行業的習慣是，只要有風險就要有對應策略，這時候對風險的觀念開始改變，銀行應該要針對重大的、必要的風險去處理，而不是大大小小的風險都要處理，這是一個很大的風險觀念轉變的關鍵時刻。</p> <p>到了2014年，銀行風險開始關注到行為和文化的層面，非財務面向的風險開始變得更重要；到了2015年，金融業三道防線的框架變成主流，尤其強調第一線業務人員的當責，此時，行為風險更成為所有非財務面向風險中的顯學。</p> <p>2016～2019年，開始有數位科技力量引進，開始探討風險管理也要轉型，運用科技力量做一些事情，像是網路安全在2017年就變成是最主要的銀行風險，迄今未變；2018年則開始強調，銀行透過數位轉型，加速銀行擴大規模時帶來的風險；到了2019年，為了因應下一個十年的銀行業發展，更要主動落實十大銀行業的風險管理。</p> <p><span style="color:#0000FF;"><strong>操作性風險是銀行最難管理的風險，行為風險正是其一</strong></span></p> <p>曾韵表示，這整個十年銀行業的風險管理歷程中，前半段大部分著重在傳統銀行業在乎的財務性風險指標，例如：資本、流動性，交易對手風險、壓力測試和模型風險管理等；治理方面則有了早期改進，像是增加董事會的參與，並增強風險長（CRO）的角色和地位，有的銀行甚至有風險管理的團隊。</p> <p>到了這十年的後半段，曾韵指出，銀行業的風險管理雖然從傳統的金融風險轉向非金融風險，但是，金融風險並沒有從銀行業的風險項目中消失，相關的監管改革計劃仍在持續中。不過，可以確定的是，風險管理的精力逐漸轉移到多年來，被歸類為操作風險的大範圍風險，包括：資安風險、個資問題、行為風險、詐欺、法規遵循等，到後來，包括網路安全和其他IT風險等，也都算是操作性風險的範疇，這也是銀行業最難管理的風險之一。</p> <p>曾韵也引用EY所做的一份銀行風險長關注的十大風險報告，可以分成財務面風險和非財務面風險，財務面風險包括：監管資本管理（Regulatory Capital Management）、信用（Credit）、流動性（Liquidity）、市場風險（Market Risk）、模型（Model）、監管實施（Regulatory Implementation）、壓力測試（Stress Testing）等風險。</p> <p>另外，非財務面風險則包括：商業模式（Business Model）、合規（Compliance）、行為（Conduct）、文化（Culture）、網路安全（Cybersecurity）、資料安全（Data Security）、企業風險管理（Enterprise Risk Management）、營運（Operational）、營運韌性（Operational Resilience）、商譽（Reputation）、風險胃納（Risk appetite）、風險控管（Risk Control）、風險技術架構（Risk Technology Architecture）以及數位轉型策略（Transition to Digital Strategies）等風險。</p> <p>從2012年～2015年，財務面風險在十大風險過半，但到2016年開始，非財務面風險類型大幅被關注，網路安全風險排名快速上升到第二名，並且在2017年～2019年成為十大風險排名第一名；行為風險在2016年首度上榜後，之後每一年都持續上榜；其他特殊風險，例如隱私保護、營運持續以及一些風險管理和數位轉型議題，也陸續進入榜單。從這樣的排名也可以發現，操作性風險越來越多，面向也越來越多元。</p> <p><span style="color:#0000FF;"><strong>金管會透過理專十誡，改善臺灣金融業盜領客戶資金的行為風險</strong></span></p> <p>臺灣近幾年來，金融業爆發各種盜用客戶資金的行為，不僅是一種金融犯罪，也是一種行為風險，對客戶帶來重大影響，也對銀行本身帶來不少衝擊。</p> <p>金管會也在2019年6月14日備查銀行公會，訂定簡稱理專十誡的「銀行防範理財專員挪用客戶款項相關內控作業原則」，並讓各銀行參考此原則，在6個月內進行內部檢視並完善相關規範，同時辦理內控三道防線查核（業務單位自行查核的第一道防線；法遵、風管等單位查核的第二道防線；內部稽核單位獨立查核的第三道防線），以降低再犯的可能性。</p> <p>曾韵表示，要改善盜領客戶資金這類的行為風險，首先要做到案例分享，這和資安情資分享目的類似，可以學習經驗，即便犯案手法不完全相同，透過知道他人狀況、互相了解。以前講反洗錢會談到「認識你的客人」（KYC），但在盜領客戶資金的行為風險這件事情上，反而著重「要知道你的員工狀況」（Know Your Employee，KYE），包括員工個人是否誠信以及有沒有財務突發狀況等。</p> <p>她也說，其他像是比較規範性的作為，則包括：員工秉持誠信原則招攬服務；公司要有相對應的監控行為；對理專要有防弊措施；要有輪休以及輪調機制等，這些都是一些基本要求。</p> <p>更進一步，在相關管理規範中，曾韵表示，也必須要做到「事前宣導、事中控管、事後查核」，主管可以不定期抽查理專人員的抽屜，建立風險的監控樣態名單，目的就是讓主管可以跟客戶確認，相關的買賣交易是否是經由客戶授權而非理專個人行為。</p> <p>其他的，除了可以系統化方式產生報表，監控可能的問題，還可以進行帳戶監控、舉報機制：讓大家覺得有問題可以舉報，也強化相關對帳機制，避免客戶太相信理專導致問題產生；銀行也要主動跟客戶進行相關交易的再確認，內部也要強化查核機制，透過系統化自動偵測可能風險，像是進行自動化通路交易異常檢核，例如不同客戶間，是否有以同一手機或IP位址執行交易的情形。</p> <p><span style="color:#0000FF;"><strong>要發現行為風險，必須透過分析許多非結構性資料才行</strong></span></p> <p>理專盜領客戶資金只是行為風險的一種，更大範圍的行為風險偵測、管理和預防，曾韵認為，企業則應該要從整體流程上做全面的了解與管理。一般而言，行為風險分成五個階段，從一剛開始的定義（Identify）、接取（ Access）、調查（Investigate）、糾正（Address）和改善（Improve）。</p> <p>她說，企業可以定義分析，有哪些來源可以發現行為風險？當發現異常時，應該怎麼評估以及升級到調查？最後應該怎麼檢討並改善風險？在行為風險五個階段流程，企業相對應的權責規畫、通報機制和組織的風險辨識等，都是面對行為風險時，應該具備的監督和稽核能力。</p> <p>曾韵表示，行為風險很多是非結構化的資料，例如理專，業務員、交易員等，很多是透過電話跟客戶溝通，企業要偵測可疑狀況時，要從哪些面向去定義行為風險呢？最重要的就是客戶的抱怨；第二則是員工本身的抱怨；第三是員工行為資料；第四是透過分析交易等資料去定義行為風險。</p> <p>也因為客戶的抱怨都是非結構化資料，要做分析會碰到困難，像是，企業收集這些非結構性資後，得先去判斷哪些來源可以發現行為風險？企業若要從整體結構要去規畫的話，流程要如何規畫呢？例如，誰去負責監控？誰去回報？回報對象是誰？不是所有的監控結果都是有問題，什麼情況下需要進一步調查呢？要該如何確認真的有問題？如何去做後續的分析和改善呢？</p> <p>曾韵坦言，偵測和分析行為風險聽起來簡單，做起來其實很複雜，所以，大家都希望可以藉由科技，簡化並加速行為風險的偵測與分析，但事實上，常見的風險監控方法，並不足以應對行為風險。</p> <p>大多數監視客戶投訴的方法，無法識別出幾種常見的不當行為根源，像是企業透過和客戶聯繫了解潛在問題，但當這些問題還沒有解決時，就會被歸類為客戶投訴；企業很難針對這些客戶抱怨做正確分類，而且這些客戶抱怨只有來自少數管道，一些常見的投訴來源，像是網路聊天室等，並不會被企業掌握到。</p> <p>除了通訊監察方式外，曾韵表示，針對行為風險和交易的監控方式可以分成三種，第一種是仰賴客戶投訴或是內部舉報，但這往往是事後才知道的落後指標；第二種則是透過活動驗證方式來確認事情是不是對的，像是抽查檢驗新開戶客戶簽名是否屬實、某些交易資料是否由第三方與客戶聯繫確認等，但因為只能透過人工抽查，並無法全面性發現問題所在。</p> <p>第三種監控方式則是，基於規則進行的分析。她表示，因為是規則所有就會有門檻問題，不同產品交易特性不一樣，如果員工知道公司會監控某些作為並產出異常報告，員工也會想辦法避開；其他如果想要基於規則性，監控財富顧問的交易警報或交易中的交易監控，往往會有很多誤報，員工也容易規避。</p> <p>為什麼會有這些行為風險，她說，有很多也是來自於公司太在乎業績，導致理專會有不當行為，想要有效偵測行為風險就需要新方法，必須利用來自各種來源的數據，包括客戶回饋、銷售和產品數據以及績效管理數據等。</p> <p><span style="color:#0000FF;"><strong>做好行為風險偵測的四種方式</strong></span></p> <p>要怎麼做好行為風險的偵測呢？曾韵表示，首先可以擴增資料來源，像是：客戶抱怨、客服電話、銷售資料、員工行為、績效資訊... 等，都是好的資料來源，其中，結構化資料像是銷售和帳戶使用情況，非結構化資料則像是客戶電話記錄、調查和投訴等。</p> <p>可以擷取的資料包括交易和銷售績效數據；客戶模式，例如：用於財富管理的投資組合活動；客戶情報，例如，到客服中心的通話記錄、調查及投訴等，並整合各種資料來源，提供了以個人和銷售團隊或分支機構（總行或分行）活動的視圖，還可以加上其他資料來源，像是企業的管理層次結構或辦公室位置等，就可以發現不一樣的行為風險。</p> <p>她也以2012年英國倫敦銀行同業拆放利率的欺詐和串通醜聞為例，這件事情是先在交易員使用聊天室提到，並透過即時通訊和電子郵件傳遞相關訊息。如果企業可以先從公司通訊平臺中，檢索這類通信的關鍵信息並將其添加到發現行為風險的數據模型中，就可以及早發現相關的行為風險。</p> <p>曾韵說：「以前做企業舞弊調查很大一塊資料來源是來自於電子郵件和通訊軟體，行為風險最難的地方也在此。」因為，分析文字容易，但要了解其意思，往往需要花力氣訓練。</p> <p>第二種方式則是大海撈針型。曾韵指出，大家常用離群值檢測（Outlier Detection）做舞弊偵防，透過非監督式學習方式，將所有交易用視覺化方式呈現。多數的交易會分散在某個範圍，表示大部分正常，不論是稽核或是舞弊調查，要找出問題就是找異常的點，可以透過機器學習的方式找出異常點，檢測以前未知的模式異常，用這種方式也可以找出以前不知道的模式。</p> <p>第三種則是利用自然語言處理來挖掘與客戶的互動。她表示，資料來源有很多非結構化資訊，例如客服人員的電話，就可以利用語音轉成文字後，再用自然語言處理方式去分析內容；了解文字意涵後去知道聊天內容，再利用此來做訓練分析，就可以知道哪一些是有風險的，同時可以結合管理數據做分析。不過，目前這些非結構化資料雖然可以提供豐富的資訊，但還沒有被普遍使用。</p> <p>第四種就是從員工行為透明度找出行為風險所在。曾韵進一步指出，通過捕獲有關員工行為的所有數據，並將數據與分支機構、主管和任期等上下文詳細信息結合起來，企業就可以構建員工績效的綜合圖景。</p> <p>舉例而言，藉由分析通話內容和聊天內容，第一個視角可以從全球不同分支機構有什麼樣類型的風險；第二個視角可以從這個交易員來看，例如理專或交易員本身的風險指數有多高？是否要針對她特別留意？這些都可以透過資訊結合的方式，達到分析的目的。</p> <p>她說，這個方式最重要的目的就是，希望可以在不當行為風險發生前，可以識別風險趨勢並製定具體的干預措施；也可以通過適當的行為，像是培訓或產品控制的方式，來挖掘和處理慢性行為模式；最後則是通過將標準化數據匯總到主管、分支機構或地區級別，藉此識別系統行為和普遍行為。</p> <p><span style="color:#0000FF;"><strong>偵測行為風險的三大挑戰</strong></span></p> <p>雖然行為風險是臺灣金融業常見的風險之一，但要做好行為風險的偵測，還面臨三大挑戰。</p> <p>第一個挑戰就是資料不足或孤立的狀況。曾韵表示，大家都覺得資料可以分析、建模型，但事實上，大部分金融機構收集的數據並不夠完整，傳統的結構化資料一定都有，但大家以前根本不會想到要去監控同仁的聊天資料，當然就沒有收集到相關的資料，也就沒有資料可以分析，最後的結果就是無法全面性瞭解員工行為。</p> <p>她也說，許多金融機構都說要做資料分析、大數據、數位轉型，有許多金融機構內部都建立數據團隊，但團隊建立後就發現，除了沒有資料可以分析外，光是拿一份跨部門的資料就要三個月，先跟IT部門講要什麼資料，檢視是否有違反內部資安程序，再經過相關業務部門審核，歷時三個月後才拿資料，後來發現拿到的資料不對，就得再另開需求拿資料。曾韵指出，許多金融部門的數據團隊經常抱怨，建立模型的時間頂多一週，但要資料卻可能要三個月，實在太沒有效率。此外，金融機構也普遍存在資料孤立的問題，資料之間無法做有效整合，或者是，以前其實沒有做這樣的資料收集，所以必須要先收集資料。</p> <p>金融業要做行為分析之前，必須要有完整的資料來源，就得先做好資料收集的工作。曾韵認為，基本功比華而不實的口號更重要，很多金融機構老闆因為看到數位轉型、金融科技這些關鍵字，有團隊後，就想著很快要有產出，但這些資料產出後的下一步是什麼？如果無法有效的商業化，這些資料分析就只會曇花一現、無法永續。</p> <p>第二個挑戰就是缺乏專家。曾韵指出，很多金融機構已經有數據分析的專家，目前趨勢就是找業界有名的學者來擔任公司高階的技術長或數位長，若問其他業務單位的看法，可能因為這些數據專對對金融領域不熟悉，往往會認為這些學界找來的數據專家作法並不落地，想法太高空，無法切中產業需要的核心。</p> <p>她認為，面對這種情況，金融機構必須在數據專家和領域專家中打造一個溝通橋樑，讓彼此知道對方正在做什麼事情，才能創造真正的產業應用；此外，許多銀行雖然有數據分析團隊，但仍缺乏AI人才及領域專家，可以透過人才培育和人才交流的問題，打弭平中間的隔閡。</p> <p>第三個挑戰就是組織的抗拒。曾韵表示，早期在做個資保護或者是數位鑑識時，常有金融機構的長官質疑，企業為什麼要做這些事情？當企業做偵測、找到問題時，不就是企業自己找到問題後，主動送上門讓主管機關就發現的問題進行裁罰嗎？也因此，造成許多金融機構對於一些風險偵測作法的抗拒。此外，也有企業因為這些大量的風險管理投資，並無法對企業帶來明顯的商業利益，而不願意進行投資。</p> <p>但她認為，這些風險管理需要許多自動化的流程和工具，可以降低許多人力成本；加上，金融機構開始以風險管理的角度出發，收集許多包含客戶抱怨的多種資料來源，若可以分析這些資料，不僅有助於找到行為風險，也可以進一步了解客戶的喜好和看法，達到一魚多吃的加成效果。文⊙黃彥棻</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202020-08-25%2019_58_47.png" style="width: 1329px; height: 615px;" />不同單位對於金融犯罪各有不同定義，但可以確定的是，隨著科技演進，以前常見的IT和網路安全、身分竊盜等風險，也成為金融犯罪的範疇。</p> <p>資料來源：曾韵整理，2020年8月</p> </blockquote> <p> </p> </div></div></div>
2020/8/25 19:19作者黃彥棻https://www.ithome.com.tw/news/139602
蘋果買下夢工廠旗下VR視訊會議平臺Spaces
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.protocol.com/apple-vr-ar-spaces-acquisition" target="_blank">Protocol本周報導</a>，蘋果已悄悄地買下夢工廠（DreamWorks Animation）旗下VR視訊會議平臺Spaces，並獲得蘋果的證實，而Spaces則是在上周關閉服務，僅簡短說明該平臺將有新規畫，並未揭露細節。</p> <p>Spaces原本只是夢工廠的專案之一，但在2016年獨立，專門開發各種虛擬實境（VR）體驗，然而，因受到武漢肺炎（COVID-19）疫情的影響，Spaces關閉了VR中心並裁撤部份員工，一直到居家工作/上課風潮興起，Spaces開始提供VR視訊會議服務。</p> <p>Spaces曾向Digital River<a href="https://www.digitalriver.com/ecommerce-proves-essential-age-covid-19/" target="_blank">透露</a>，在疫情蔓延後，人們不再聚集於公開場所，該公司的主管也發現自己淪陷在無休止的視訊會議中，激發他們把VR應用在視訊會議中的靈感。</p> <p>在Spaces所建立的VR視訊會議服務中，使用者可選擇各種背景或白板，也能設計自己的動畫角色，還可相容於各種聊天軟體，涵蓋Zoom、Meet、Microsoft Teams、Skype、思科Webex、臉書Messenger、Houseparty及Chime等，並支援市場上可執行SteamVR的各種VR眼鏡，從Oculus Rift/Rift S、Vive、Index、WMR到Oculus Quest。</p> <p>蘋果僅向Protocol證實收購Spaces一事，但拒絕說明對Spaces的未來規畫。這幾年不斷傳出蘋果打算開發VR/AR裝置的消息，彭博社更說蘋果會在2022年推出AR頭戴裝置，而就在今年5月，<a href="https://www.ithome.com.tw/news/137643" target="_blank">蘋果也買下</a>了VR播放平臺商NextVR。</p> <p>目前VR/AR所面臨的主要困境，除了技術及高成本的硬體裝置之外，內容的缺乏，也是相關技術遲遲無法躍居主流應用的關鍵因素之一。</p> </div></div></div>
2020/8/25 16:25作者陳曉莉https://www.ithome.com.tw/news/139597
是否赦免Edward Snowden，美總統、司法部長不同調
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於是否原諒美國最知名的洩密者Edward Snowden，美國總統川普和司法部長William Barr想法差異很大。</p> <p><a href="https://apnews.com/49fce0a36f134da56786608aa5dfa4bc" target="_blank">美聯社報導</a>美國總統川普本月中在記者會上提及，將「好好思考」是否原諒Snowden。</p> <p>不過上周美國司法部長William Barr卻說，他會堅決反對此事。Barr說Snowden是叛國者，他提供給敵人的資訊嚴重傷害美國人的安全，他像個商人沿街兜售，「我們絕無法容忍。」</p> <p>美國國安局（NSA）前約聘員工Snowden於2013年，因為向媒體揭露了NSA名為稜鏡（Prism）的監控計畫，包括開發先進的竊密工具或網路攻擊程式，以及竊聽外國元首通訊等計畫，引發全球嘩然。美國2013年以間諜罪起訴Snowden，可能面臨數十年的刑期。2016年超過110萬人<a href="https://www.ithome.com.tw/news/111226" target="_blank">連署要求</a>前總統歐巴馬赦免Snowden，包括律師、人權組織、作家、蘋果共同創辦人Steve Wozniak。</p> <p>Snowden護照被美國政府註銷，目前Snowden出逃俄羅斯。Snowden 去年9月出版回憶錄《永久檔案》（Permanent Record），美國司法部認為Snowden出書違反當初與中情局及國安局簽署的工作保密協定，控告他違約及背棄信託義務。<a href="https://www.ithome.com.tw/news/134950" target="_blank">法院判決美國政府勝訴</a>，可獲得該書的版稅及演講收入，企圖切斷Snowden的金援。</p> </div></div></div>
2020/8/25 16:35作者林妍溱https://www.ithome.com.tw/news/139598
Docker將限制免費帳號的映像檔拉取次數
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於Docker平臺上，超過6個月無人存取的映像檔容量高達10 PB，因此官方決定開始實施新的政策，將<a href="https://www.docker.com/blog/scaling-dockers-business-to-serve-millions-more-developers-storage/">移除免費帳戶中，長時間無人使用的映像檔</a>之外，而且為了<a href="https://www.docker.com/blog/scaling-docker-to-serve-millions-more-developers-network-egress/">解決匿名帳戶映像檔拉取過於浮濫的問題</a>，也將限制免費使用者拉取映像檔的次數。</p> <p>Docker經內部分析發現，在Docker Hub上的15 PB映像檔中，有超過10 PB映像檔6個月以上未被存取，而且經官方進一步的調查，發現其中的4.5 PB無效映像檔來自免費帳戶，這些映像檔僅被短暫的使用過，包括了來自結合Docker Hub持續整合工作管線的映像檔，使用者通常會遺忘過程產生的映像檔。</p> <p>因此官方決定實施新的映像檔保留政策，平臺將會開始自動刪除免費由帳戶託管，6個月內沒有使用的映像檔，官方也會提供新的使用者介面和API，讓用戶更簡單地管理映像檔。新的映像檔留存政策將會從11月1日開始實行，系統僅會刪除免費帳戶託管的映像檔，付費帳戶、由官方驗證的發布者以及官方發布的映像檔則不在此限。</p> <p>另外，官方也將限制免費帳戶拉取容器映像檔的次數，匿名的免費用戶每6小時拉取次數限制為100次，而經驗證的免費用戶，每6小時的拉取次數限制則為200次，付費使用者則不在此限。官方提到，他們分析從Docker Hub下載的映像檔發現，絕大多數用戶都以正常工作流程，需要的頻率拉取映像檔，但是少數匿名的免費使用者則過度使用，有30％的拉取請求來自1％的匿名用戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/pasted%20image%200(7).png" style="width: 580px;" /></p> <p>為此，官方同樣會在11月1日應用新的拉取政策，而這些映像檔拉取限制，是依據開發人員合理使用情境，包括學習使用Docker、程式碼開發以及映像檔建置等任務訂定，因此大多數用戶不受新限制政策影響。而官方提到，要限制Docker註冊表的拉取非常複雜，映像檔拉取綜合了清單（Manifest）和Blob API的請求，而這些請求執行的模式，依不同的客戶端和映像檔而有所不同。</p> <p>簡言之，映像檔的拉取，可能經歷1到2次的清單請求，以及0到無限多Blob層的請求，雖然Blob與頻寬使用最相關聯，但除了難以追蹤之外，對使用者來說也不直覺，因此最終官方決定根據清單請求來限制拉取次數，對用戶來說更好理解，缺點是當用戶拉取已經有的映像檔，即便不下載任何Blob層，也會計入下載次數中。</p> </div></div></div>
2020/8/25 16:50作者李建興https://www.ithome.com.tw/news/139595
逾20萬中國傳音手機預載廣告詐騙程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://lab.secure-d.io/triada/" target="_blank">Secure-D於本周警告</a>，由中國業者傳音（Transsion）所生產的手機預載了廣告詐騙程式，這些低階手機鎖定非洲市場，從2019年3月到2020年8月，該公司總計從19個國家的逾20萬支傳音手機，封鎖了1,920萬個可疑的訂閱交易，而且這些訂閱很可能都是透過背景執行，完全沒經過使用的同意。</p> <p>傳音為中國的手機製造商，專攻非洲的低價手機市場，為當地首屈一指的手機品牌，市占率約為40%。</p> <p>當Secure-D在去年察覺有大量的傳音手機遞送可疑的訂閱交易時，旋即展開調查，先購買數支傳音所生產的Tecno W2手機，以分析可疑流量的來源，這些手機的目的不同，而且也使用了不同電信營運商的網路，進而發現這些手機在韌體內預載了<a href="https://securelist.com/everyone-sees-not-what-they-want-to-see/74997/" target="_blank">後門程式Triada</a>。</p> <p>Triada會下載另一個惡意程式xHelper，當發現手機處於適當環境（例如在南非網路中），並藉由Wi-Fi或3G連網時，它就會自動連至訂閱網站，並自行訂閱付費服務。由於非洲大多數用戶都是使用預付卡，訂閱費用可直接自預付卡中扣除，而惡意程式的作者則可因為相關的訂閱拆分廣告收益。</p> <p>此外，Triada/xHelper也會下載其它的惡意程式，當研究人員切斷手機連網能力，並移除所下載的惡意程式之後，它們在缺乏網路的狀態下，竟然在5分鐘之後全部自動重新安裝完畢。</p> <p>上述的程序都是在背景中自動執行，既不會受到電信業者的干預，使用者亦無從察覺。在追查之後，Secure-D發現這些惡意網站與傳音並無關聯，判斷駭客是入侵了傳音的供應鏈。</p> </div></div></div>
2020/8/25 17:55作者陳曉莉https://www.ithome.com.tw/news/139600
臉書迫於泰國政府壓力，封鎖批評王室的百萬群組
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/article/us-thailand-facebook/facebook-blocks-group-of-one-million-critical-of-thai-monarchy-amid-government-pressure-idUSKBN25K25C" target="_blank">路透社報導</a>，在泰國威脅採取法律行動下，臉書近日封鎖一個要求改革王權的，成員達百萬的群組。</p> <p>一個名為保皇市場（Royalist Marketplace）的<a href="https://www.facebook.com/groups/160302545298190/" target="_blank">臉書群組</a>昨（24）日若從泰國存取，將顯示「在數位經濟暨社會部的法令要求下，泰國境內無法存取該群組」。</p> <p>這個群組是由現居日本的泰國學者暨運動人士Pavin Chachavalpongpun 4月創立，主要用於評議泰國皇室及時政。<a href="https://twitter.com/pavinkyoto/status/1257205842119585792" target="_blank">Pavin 5月時指出</a>這個群組成員接近百萬，如今超過106萬。</p> <p>這個群組成立也呼應泰國近幾個月的社會轉變。許多學生和民眾發起示威，抗議現任總理帕拉育（Prayuth Chan-ocha）。他們批評帕拉育2014年軍事政變掌權以來專制獨裁、迫害民運人士、要求總理解散國會、並且修改軍權時代修訂的憲法。年輕一輩的泰國民眾也將矛頭指向王室，批評王室奢華無度及權力過大，要求縮減王室預算、停止干政。</p> <p>Pavin批評臉書向獨裁政府低頭，表示其社群只是抗議行為的一環，這是其言論自由，臉書此舉不啻時和獨裁政府合作打壓民主，助長極權。</p> <p>不過臉書並非一開始就向泰國政府低頭。近幾個月泰國政府批評臉書放任違反內容，包括詆毁皇室的言論。8月10日泰國數位部長下達最後通牒，要求臉書必須遵守法院命令撤除言論，否則將以違法電腦犯罪法起訴，處以20萬泰銖（18.6萬臺幣）及每天5,000泰銖（4,700元臺幣）的追加罰金。在通牒期限即將屆滿的周一，臉書終於封鎖該群組。</p> <p>在泰國，污辱泰皇最高可判處15年徒刑。上星期泰國政府也起訴群組創辦人Pavin觸犯網路罪。</p> <p>臉書不願對封鎖該群組做出評論，只表示當他們接到當局通知違反當地法令，就會在該國限制這些內容。</p> </div></div></div>
2020/8/25 16:10作者林妍溱https://www.ithome.com.tw/news/139596
TikTok正式挑戰川普命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普（Donald Trump）在8月6 日正式<a href="https://www.ithome.com.tw/news/139260" target="_blank">簽署一行政命令</a>，禁止美國管轄範圍內的個人或實體，與TikTok母公司字節跳動進行任何的交易，預計於9月20日生效，TikTok則在本周一（8/24）正式向美國聯邦法院<a href="https://newsroom.tiktok.com/en-us/tiktok-files-lawsuit" target="_blank">提出訴訟</a>，挑戰該行政命令。</p> <p>TikTok表示，該公司在美國有1,500名員工及1億名用戶，也計畫在美國建立1萬個新職缺，而川普的行政命令有可能在毫無事實根據與正常程序的情況下，剝奪美國TikTok社群的權利。他們也堅決不同意TikTok將對美國的國家安全造成威脅的說法。</p> <p>川普擔心的是TikTok母公司字節跳動為中國業者，可能會因中國政府的施壓而交出美國民眾資料，進而對美國的國家安全造成威脅。因此，川普藉由<a href="http://www.ithome.com.tw/news/139260" target="_blank">行政命令</a>來封鎖TikTok，但也同意若微軟或其它美國業者買下TikTok，就允許該服務繼續在美國運作，只是<a href="https://www.ithome.com.tw/news/139192" target="_blank">要求</a>美國財政部必須能夠從該交易中抽成；而川普於8月14日所簽署的另一<a href="https://www.ithome.com.tw/news/139434" target="_blank">行政命</a>令，則要求字節跳動必須要在90天內（11/12），刪除所有存放在TikTok或 Musical.ly系統的美國民眾資料。</p> <p>對於川普的種種要求，TikTok則說明，美國海外投資委員會（Committee on Foreign Investment in the United States，CFIUS）曾在2019年，要求檢查字節跳動在2017年買下Musical.ly的交易案，當時字節跳動已經放棄Musical.ly的美國資產，而且提供了大量的文件與詳細資訊予CFIUS，藉以證明TikTok的安全措施，包括把TikTok美國用戶的資料存放在美國及新加坡，以及確保相關資料庫無法被未經授權的人士存取，涵蓋美國以外的任何政府。</p> <p>此外，TikTok也批評CFIUS在未說明TikTok的安全措施何以無法修補美國的國安疑慮之下，就單方面中止了雙方的交流，還在審核期限的最後5分鐘作出了決定，認定TikTok存在著國安風險。</p> <p>TikTok亦說川普的行政命令誤用了《國際緊急經濟權力法》（International Emergency Economic Powers Act，IEEPA）的名義，因為該法主要規範的是電信業者，可TikTok並不是；並說川普希望從交易中拆成一事，根本與他所宣稱的國家安全無關。</p> </div></div></div>
2020/8/25 13:00作者陳曉莉https://www.ithome.com.tw/news/139593
Windows 95問世25年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月24日似乎不是什麼特別日子，但在電腦史上卻有相當意義，因為是Windows 95上市25周年紀念日，象徵現代化Windows作業系統重要版本已經跨過1/4世紀。</p> <p>1995年8月24日，微軟共同創辦人之一比爾蓋茲宣布開賣Windows 95，為了促銷，微軟砸下巨資舖天蓋地播放搭配滾石合唱團《Start Me Up》及狂打「開始」功能表的<a href="https://www.youtube.com/watch?v=BNzWyQPIpVg" target="_blank">電視廣告</a>，還請來《六人行》演員演出介紹Windows 95的情境短劇。微軟強力行銷下，Windows 95頭5個星期就賣出700萬套，包括許多還沒有電腦的消費者。</p> <p>Windows 95工程版本是Windows 4.0，最大的貢獻之一在於圖形使用者介面較Windows 3.1的大幅革新。Windows 95某些元素一直沿用並保留在Windows 10中，包括開始功能表、工作列、捷徑、Outlook、檔案總管、資源回收筒，以及視窗右上角關關或縮小、放大的按鍵等。也是從Windows 95開始，使用者可以為檔案取長檔名，而不限於之前的8個字母。Windows 95的開機音樂及視窗飄揚的開機畫面，開啟許多學生和上班人士的一天。Windows 95種種設計讓一般用戶也能輕鬆使用，讓電腦不再只是程式高手的專利，奠定了微軟在桌機電腦作業系統的獨大地位。</p> <p>Windows 95也是第一個搭售微軟自有瀏覽器Internet Explorer（IE）的作業系統。這個策略讓IE成功打敗原有最受歡迎的瀏覽器Netscape，一度市占率高達9成，也種下2000年美國司法部對微軟的反托拉斯官司的主因。</p> <p>25年後的今天，微軟不再獨霸運算世界。許多人用智慧型手機的時間超過電腦，曾經獨大的IE今天幾乎瀕危，還好微軟及時改用Chromium為核心，才使後繼者Edge免於絕跡命運，但是Bing搜尋早已被Google邊緣化。但Windows還是繼續保留住消費者，包括加入防毒及其他安全功能、每月安全更新讓電腦更安全更穩定，當然另一原因是2015年推出的Windows 10起，改成一年改版2次的<a href="https://www.ithome.com.tw/news/95771" target="_blank">「軟體即服務」</a>，使用者不想升級也很難。在Windows 95打下的基礎上，微軟還是讓Windows成為許多人生活中不可或缺的一塊。</p> </div></div></div>
2020/8/25 12:15作者林妍溱https://www.ithome.com.tw/news/139592
微軟出面聲援Epic Games對抗蘋果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近來蘋果似乎已成為眾矢之的，就在蘋果因Epic Games於《要塞英雄》（Fortnite）植入自家的Epic Direct Payment支付機制，而將《要塞英雄》自App Store下架，使得Epic Games控告蘋果，蘋果也準備封殺Epic Games的所有開發者帳號之際，微軟也在周日（8/23）提交了法院文件，宣稱蘋果封殺Epic Games的作法，將會危及微軟與其它遊戲開發者的業務。</p> <p>Epic Games是在8月13日於行動版遊戲《要塞英雄》植入Epic Direct Payment支付機制，由於它違反了App Store與Google Play的政策，當天即同時被蘋果及Google下架，使得Epic Games在同一天便狀告兩家全球最大的程式市集<a href="https://www.ithome.com.tw/news/139405" target="_blank">妨礙市場競爭</a>。</p> <p>隔天（8/14）Epic Games收到蘋果的通知，蘋果宣稱Epic Games違反多項蘋果開發者專案的授權協議，要求該公司在14天內（8/28）改善，否則即會終止Epic Games所有的開發者帳號，移除Epic Games在App Store的所有程式，Epic Games也無法再存取蘋果的軟體、SDKs、APIs與開發者工具。</p> <p>接著Epic Games於8月23日向法院<a href="https://cdn.vox-cdn.com/uploads/chorus_asset/file/21810055/file0.407182664648769.pdf" target="_blank">提出臨時禁止令</a>，要求法院制止蘋果執行上述通知。Epic Games指出，蘋果取消對Epic Games的支援是個不必要的懲罰，而且它不只影響Epic Games，也波及採用Epic引擎、並與此事無關的其它遊戲開發者。</p> <p>微軟則在23日<a href="https://cdn.vox-cdn.com/uploads/chorus_asset/file/21810025/statement_support_microsoft.pdf" target="_blank">遞送法院文件</a>以聲援Epic Games。微軟遊戲開發者體驗總經理Kevin Gammill,表示，Epic Games所打造的虛幻引擎（Unreal Engine）對於包括微軟在內的許多開發者，都是個重要的技術，這類的遊戲引擎提供開發者必要的繪圖、渲染、物理、聲音、網路或其它技術，以讓開發者能夠在不同的平臺上建置遊戲，雖然有些開發者會自行打造遊戲引擎，但也有許多的開發者缺乏建置遊戲引擎的資源或能力，因而必須仰賴第三方的遊戲引擎，或是利用第三方引擎來減少開發成本。</p> <p>而虛幻引擎即是最熱門的第三方遊戲引擎之一，拒絕Epic Games存取蘋果的SDK或其它開發工具，將使得Epic Games無法再支援iOS或macOS上的虛幻引擎，殃及眾多的遊戲開發者。</p> <p>另一方面，蘋果對於被Epic Games指控妨礙市場競爭一事，蘋果也在21日向法院<a href="https://www.courtlistener.com/recap/gov.uscourts.cand.364265/gov.uscourts.cand.364265.36.0_2.pdf" target="_blank">提出了回應</a>，指出Epic Games在這幾年享盡了蘋果App Store所提供的好處，卻不願遵守App Store的規範，其實Epic Games只要修正程式就好了；而且就算缺乏蘋果的支援，《要塞英雄》還是能夠在其它的平臺上運作，市場上有眾多的遊戲平臺可供選擇，像是微軟、Sony或任天堂，蘋果並未壟斷市場。</p> <p>蘋果亦指責Epic Games不想再遵守蘋果的規定，於是決定違反與蘋果之間的協議，還向法院提出訴訟，此舉將會威脅App Store的整個生態體系，因為未來開發者都能破壞與蘋果之間的協議、危及App Store的安全性，還能規避應支付給蘋果的款項，且受害的將是喪失隱私、安全及品質的消費者。</p> <p>其實不管是Google或蘋果，都因Epic Games在《要塞英雄》遊戲中嵌入自家的支付機制而將它自程式市集中移除，且Epic Games亦同時控告蘋果與Google妨礙市場競爭，但外界認為對Google的指控較難成立，因為相較於iOS用戶只能從App Store下載程式，Google允許使用者自開發者網站或第三方市集下載Android程式，較無壟斷疑慮。</p> <p>近來直接或間接抨擊蘋果App Store政策的，還有Spotify、Telegram、臉書及代表數位內容產業的Digital Content Next。</p> </div></div></div>
2020/8/25 10:00作者陳曉莉https://www.ithome.com.tw/news/139587
Zoom周一斷線3小時，衝擊開學、開工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>視訊平臺Zoom於周一（8/24）斷線約3小時，影響眾多因武漢肺炎（COVID-19）疫情而在家上班的使用者。</p> <p>美東時間周一早上（臺灣時間晚間）8:00左右，使用者抱怨無法登入Zoom 網站、使用Meetings及Webinar服務，由於正值北美一周開始，也是美國學校開學的第一天，斷線影響許多人上課及工作。</p> <p>Zoom於9:50表示，已經找出造成用戶無法登入Zoom美國網站及加入會議、Webinar的原因，正在設法解決。11:00左右Zoom<a href="https://twitter.com/zoom_us/status/1297912915882733573" target="_blank">表示</a>已著手部署修復，而在12:45該公司<a href="https://twitter.com/zoom_us/status/1297937770791317504" target="_blank">宣布</a>修補完成。</p> <p>根據<a href="https://downdetector.com/status/zoom/" target="_blank">DownDetector</a>的統計，受影響用戶主要分布在北美，但歐洲、澳洲、紐西蘭以及部份亞洲國家包括日本、香港及新加坡用戶，也反映服務出問題。</p> <p>Zoom執行長袁征透過<a href="https://twitter.com/ericsyuan/status/1297951568898060288" target="_blank">推特</a>對服務斷線影響許多用戶會議、上課及重要會面致歉，表示會改進以防此事未來再次發生。</p> </div></div></div>
2020/8/25 10:15作者林妍溱https://www.ithome.com.tw/news/139590
美國大數據獨角獸Palantir去年虧損5.8億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國神秘的獨角獸IT企業Palantir最近再度躍上媒體版面，原因是Palantir在今年7月底向美國證券交易委員會（SEC）提出IPO申請書，接著Palantir把總部從矽谷搬到丹佛，這兩天則傳出Palantir於去年虧損了5.8億美元。</p> <p>在2003年成立的Palantir專精於大數據分析，由於除了創辦人之一的Peter Thiel以外，美國中情局（CIA）是Palantir早期的唯一投資者，使得Palantir被外傳為是CIA所扶植的IT公司，而且有不少客戶都是美國州政府或地方政府，但也不乏金融與醫療領域的客戶，先前有媒體報導CIA借重Palantir的技術來預測犯罪活動，而美國總統川普（Donald Trump）在2016年接見12位科技大佬時，當中就包含了Palantir執行長Alex Karp，其它的11家企業是蘋果、臉書、微軟、Alphabet、英特爾、甲骨文與IBM等，Palantir則是這12家企業中唯一未上市的，顯見Palantir與美國政府的關係非凡。</p> <p>Palantir是家頗具爭議的公司，外傳它以大數據協助美國軍方成功定位與擊斃基地組織首腦賓拉登，同時它也協助美國移民及海關執法局，將非法移民逐出美國而受到批評。</p> <p>Palantir在提出首次股票公開發行（IPO）申請書時，該文件並未對外公開，然而，<a href="https://www.nytimes.com/2020/08/21/technology/palantir-ipo-580-million-loss.html" target="_blank">紐約時報</a>與<a href="https://techcrunch.com/2020/08/22/palantir-and-the-great-revenue-mystery/" target="_blank">TechCrunch</a>取得了Palantir寄給股東的財務文件，一揭Palantir的經營狀況。根據報導，Palantir在2019年的營收為7.42億美元，比2018年成長了25%，但虧損5.8億美元，虧損金額與2018年相當。在去年的營收中，有3.5億美元是來自於政府合約，另有近4億美元來自企業。</p> <p>這份財報之所以受矚目，原因之一是前幾年相繼有媒體報導Palantir取得了超過10億美元的合約，但Palantir所公布的年度營收卻都低於10億美元。擁有2,500名員工的Palantir儘管營收不高，且虧損金額還占營收比重的7成，卻不損其獨角獸地位，去年身價高達410億美元。</p> </div></div></div>
2020/8/24 17:15作者陳曉莉https://www.ithome.com.tw/news/139579
台灣大哥大和Nvidia聯手，GeForce Now串流遊戲服務登臺，一般手機、文書筆電也能玩高擬真PC遊戲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台灣大哥大和GPU大廠Nvidia合作，在臺灣推出GeForce Now聯盟Taiwan Mobile串流遊戲平臺，強調用戶不需要使用配備高規格繪圖卡的裝置，就能在Android、Mac或Windows電腦上體驗運用即時光線追蹤技術的高擬真PC遊戲。</p> <p>GeForce Now是Nvidia歷經多年的測試，今年2月才正式推出串流遊戲服務，為基於Nvidia GeForce GPU提供的串流遊戲服務，標榜玩家可在Android、Chromebook、Windows PC、Mac電腦，不需要高階規格裝置，透過網路串流就能玩到以往得在高階規格裝置才能執行高擬真遊戲。GeForce Now允許玩家連結Steam、Epic Games Store、Battle.net、Uplay等帳號。</p> <p>台灣大哥大與Nvidia的合作，台哥大在旗下資料中心部署GeForce Now軟硬體，在臺灣正式提供GeForce Now串流遊戲服務，不過，目前僅開放台灣大哥大集團的寬頻用戶、5G用戶申請，讓玩家可以跨電腦或手機等不同裝置玩到3A等級（高預算、資源與推廣）的PC遊戲。台灣大哥大總經理林之晨表示，透過串流遊戲平臺，玩家不需要下載或更新遊戲、台灣大哥大的5G用戶使用GeForce Now還享有連線優先、無上限登入次數，以及6小時的上線時間。</p> <p>目前台灣大哥大針對5G用戶祭出GeForce Now優惠，月租費599到1199元的用戶，前3個月可以免費體驗GeForce Now，第4到9個月享有半價每月149元（原價每月299元），第10個月恢復原價；1399元以上5G用戶，前6個月免費體驗，第7到9個月享有半價優惠，第10個月恢復原價。</p> <p><strong>不具有獨立顯示卡的蘋果MacBook Air，被定位為文書機，透過GeForce Now也能在MacBook Air上玩高擬真PC遊戲：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20200824_105646-2.jpg" style="width: 600px; height: 450px;" /></p> <p>台灣大哥大表示，由於GeForce Now的串流遊戲服務強調體驗，目前是以台灣大哥大集團的家庭寬頻用戶及5G用戶為目標，家庭寬頻用戶提供Full HD畫質遊戲，加上其他服務需要，建議用戶的家庭寬頻網速至少60Mbps，而行動用戶上網速度需要至少15Mbps。</p> <p>為了鼓勵用戶使用5G，目前台灣大哥大並沒有開放旗下的4G用戶申請GeForce Now，且因為串流遊戲在網路上需要經過多個節點，現階段也沒有開放其他家ISP業者的家庭寬頻用戶或行動電信用戶申請，因此暫時其他用戶無法使用。不過，台灣大哥大規畫未來開放其他的用戶申請。據瞭解，台灣大哥大內部測試，在自家寬頻網路、5G行動網路之下，GeForce Now的串流遊戲體驗時延在20毫秒以內。</p> <p>目前在GeForce Now聯盟Taiwan Mobile串流遊戲平臺上，提供約百款串流遊戲，包括在地中文化及原文的PC遊戲，例如「超能競地」（Hyper Scape）、「古墓奇兵：暗影決定版」、「機甲爭霸5：傭兵」。相較於國外GeForce Now已有約千款遊戲，臺灣現在僅有百款遊戲，台灣大哥大透露年底前還會擴大遊戲陣容。</p> <p><strong>現場展示搭配兩側的搖桿，玩家就能在5G手機上體驗運用RTX光線追蹤技術的「古墓奇兵：暗影決定版」，雖為串流遊戲，但操作上幾乎感受不到延遲：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20200824_105105-1.jpg" style="width: 600px; height: 450px;" /></p> <p>除了台灣大哥大之外，中華電信在今年6月底5G開臺，就和國外新創業者Gamestream聯手，利用5G網路提供串流遊戲服務。兩大電信業者看好5G帶動串流遊戲市場，和國外的串流遊戲服務平臺合作，提供本地玩家服務。</p> <p>由於寬頻網路的普及，以及高頻寬、低時延的5G帶動下，不只是Nvidia GeForce，Google去年也推出串流遊戲平臺Stadia，強調將遊戲機等級的體驗推向Android及Chrome裝置。微軟也推出xCloud，目的在將家用遊戲機遊戲體驗帶到手機上。</p> </div></div></div>
2020/8/24 17:31作者蘇文彬https://www.ithome.com.tw/news/139577
IBM DB2資料庫爆資料外洩漏洞，影響Unix、Windows版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全研究人員發現<a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/ibm-db2-shared-memory-vulnerability-cve-2020-4414/" target="_blank">IBM DB2資料庫有一個共享記憶體漏洞</a>，可導致資料被人讀取或發動阻斷服務（Denial of Service，DoS）攻擊，呼籲企業應儘速修補。</p> <p>TrustWave研究人員Martin Rakhmanov 6月揭露<a href="https://www.ithome.com.tw/news/138324" target="_blank">思科WebEx Meetings Windows版用戶端一項漏洞</a>，讓駭客讀取記憶體而取得驗證用的符記、用戶名稱，進而存取視訊會議內容及密碼。而這問題也影響IBM DB2，特別是在trace工具（trace facility）上。</p> <p>IBM DB2是一組混合式資料管理產品，可用來分析和管理企業的結構和非結構化資料。DB2的trace工具主要是提供DB2技術支援人員診斷資料庫之用，可紀錄、追蹤DB2作業資訊，包括函式及相關參數值，並將這些資訊格式化成可讀取的檔案形式。</p> <p>編號<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-4414" target="_blank">CVE-2020-4414</a>的漏洞，是指該平臺忽略在IBM DB2 trace工具所用的共享記憶體加入明示的記憶體防護，這使得本機用戶得以讀寫記憶體區資料。攻擊者只要傳送惡意呼叫，就能開採這項漏洞而存取敏感資料，或是變更trace子系統的運作，導致DoS攻擊。</p> <p>研究人員舉例，在Windows上，啟動Process Explorer或其他類似工具就能開啟DB2主要行程（process），寫個簡單console app即可按名稱找到並開啟記憶體區，倒出開頭的若干位元組，完全無需取得許可。他還示範了只要在記憶體區寫入不正確的資料，即可引發DoS攻擊。</p> <p>本漏洞影響Unix、Linux及Windows版DB2 （包括DB2 Connect Server）9.7、 10.1、10.5、11.1和 11.5版。不過大型主機及z/OS版DB2則不受影響。</p> <p>在其通報下，IBM已在6月30日<a href="https://www.ibm.com/support/pages/node/6242356" target="_blank">發布安全更新</a>，修補CVE-2020-4414及其他安全漏洞。</p> </div></div></div>
2020/8/24 16:00作者林妍溱https://www.ithome.com.tw/news/139575
AWS社群AMI藏有挖礦惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資安業者Mitiga近日警告，<a href="https://www.businesswire.com/news/home/20200821005011/en/Security-Advisory-Mitiga-Recommends-AWS-Customers-Running" target="_blank">他們發現有個AWS社群AMI藏有惡意的挖礦程式</a>，利用企業的運算資源來挖礦，呼籲企業在AWS EC2實例上使用社群AMI時，應該要先行驗證。</p> <p>AMI的全名為Amazon機器映像檔（Amazon Machine Image，AMI），它是個軟體配置樣版，內含作業系統、應用程式伺服器與應用程式等，在Amazon Elastic Compute Cloud（Amazon EC2）上啟動一個實例時，即是藉由AMI提供必要的資訊。有許多業者打造了各種AMI並藉由AWS Marketplace銷售，但也有業者在AWS Marketplace上提供免費的社群AMI（Community AMI），兩者之間最大的差別在於，前者是經過Amazon驗證的，後者則否。</p> <p>此次Mitiga在客戶的EC2伺服器上，所發現的惡意AMI即是屬於社群AMI，該AMI是基於Windows Server 2008，且內含了門羅幣（Monero）挖礦程式。駭客的意圖很明顯，就是由企業支付運算費用，但由駭客收割挖礦績效。</p> <p>Mitiga指出，若駭客可在社群AMI上植入挖礦程式，也就能在社群AMI上植入後門，以用來滲透企業的Windows機器或環境，也可能存取該帳號的整個EC2結構，或者是嵌入勒索軟體，帶來更嚴重的傷害。</p> <p>Mitiga共同創辦人暨技術長Ofer Maor則警告，在企業的關鍵業務中採用開放的AMI，將帶來重大的安全風險，這些社群AMI非常容易取得，而且通常來自未知來源。建議AWS用戶應該要特別小心社群AMI，在採用它們之前最好先行驗證，也應使用可靠來源的AMI。</p> </div></div></div>
2020/8/24 16:10作者陳曉莉https://www.ithome.com.tw/news/139576
FBI與CISA警告：美國正出現大規模的語音網釣活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國土安全部網路安全及基礎架構安全署（CISA）與美國調查局（FBI）<a href="http://www.documentcloud.org/documents/7041919-Cyber-Criminals-Take-Advantage-of-Increased.html" target="_blank">上周聯袂警告</a>，武漢肺炎（COVID-19）疫情所造成的居家工作風潮，讓企業VPN服務日趨流行，但從今年7月起，駭客集團開始透過語音網釣（Vishing）活動，取得員工登入企業VPN的憑證。</p> <p>與傳統的網釣活動一樣，駭客先架設了模仿企業網址的登入網站，可能偽裝成支援服務的入口或是員工入口，之後再利用社交網站或各種工具蒐集受害者的背景資料，從姓名、地址、電話號碼、職位或在公司的年資等，接著便透過VoIP打電話給受害者，假裝是企業的技術支援部門，宣稱要重設VPN服務，因此需要他們的憑證，要求受害者提供憑證，包括雙因素認證資訊在內。</p> <p>有些被騙的受害者直接提供了雙因素認證資訊給駭客，有時駭客也會藉由SIM卡交換攻擊取得受害者的雙因素認證資訊。駭客入侵企業網路的目的可能是為了蒐集更多的資料，以進一步執行其它的詐騙。</p> <p>CISA與FBI建議企業應該要限制可存取VPN的裝置、時間及應用；或是部署網域偵測機制，以調查網路上是否有偽裝成該品牌的企業網址；主動掃描企業應用是否遭到可疑存取；也應監控應用程式的存取及使用量；訂定員工之間的通訊政策以避免被社交工程手法矇騙；而一般使用者則最好不要在社交網路上，揭露太多的個人資料。</p> </div></div></div>
2020/8/24 16:30作者陳曉莉https://www.ithome.com.tw/news/139578
Windows 10預覽版將預設開啟TLS 1.3支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2020/08/20/taking-transport-layer-security-tls-to-the-next-level-with-tls-1-3/" target="_blank">微軟上周宣布</a>，TLS 1.3將從Build 20170開始，在Windows 10 Insider預覽版預設開啟，而這表示未來將推向所有Windows 10版本。</p> <p><a href="https://www.ithome.com.tw/news/122056" target="_blank">TLS 1.3</a>（Transport Layer Security，傳輸層安全性協定）於2018年公布，是最新版網際網路傳輸加密協定，移除了不安全的加密演算法，也比前版提高加密安全性，旨在儘可能加快加密用戶端及伺服器端的交握速度。</p> <p>主要瀏覽器包括Chrome、Edge、Firefox和Safari<a href="https://www.ithome.com.tw/news/126434" target="_blank">已公布2020年起，終止支援TLS1.0及1.1</a>。雖然受到武漢肺炎疫情影響，<a href="https://www.ithome.com.tw/news/136731" target="_blank">微軟今年稍早延長支援期到2020年下半</a>，不過最快7月就會切斷支援，呼籲網站開發商升級到1.2版以上。</p> <p>事實上，微軟強烈建議App及服務開發商及早開始測試TLS 1.3。微軟指出，TLS 1.3使用3種密碼套件，包括：TLS_AES_128_GCM_SHA256、TLS_AES_256_GCM_SHA384、TLS_CHACHA20_POLY1305_SHA256，全部都有PFS（perfect forward secrecy，完整轉寄密碼）、AEAD（authenticated encryption with associated data）特性及現代化演算法，可解決過去因為定義了太多密碼套件，而導致的不相容及安全性不穩定的問題。</p> <p>此外它也儘可能降低傳送的明碼協定字元，以避免協定僵化（ossification）、提升隱私性，並隱藏傳送的內容長度，減少資訊暴露風險。此外，前幾版的TLS中，用戶端的身分很容易因用戶端驗證曝露，但TLS 1.3已經看不到用戶端驗證。</p> <p>微軟也計畫從.NET 5.0開始支援TLS 1.3。</p> <p>至於在瀏覽器方面，配合TLS 1.3的部署，IIS/HTTP.SYS也預設開啟TLS1.3。<a href="https://www.ithome.com.tw/news/139451" target="_top">即將在明年終止大部份支援的IE及舊版Edge</a>，現在仍然可以在進階設定下開啟支援。Chromium Edge下則可透過Edge://flags來啟用。</p> </div></div></div>
2020/8/24 13:40作者林妍溱https://www.ithome.com.tw/news/139573
臉書替體現AI加入聽覺導航能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書在去年開源了體現AI（embodied AI）模擬平臺<a href="https://www.ithome.com.tw/news/131318" target="_blank">AI Habitat</a>，該平臺的目的是為了建立一個可在實體環境中像人類般運作的機器人，不過，以往這個機器人是聾的，只有視覺，卻無聽覺，近日臉書以AI Habitat為核心並打造了<a href="https://ai.facebook.com/blog/new-milestones-in-embodied-ai/" target="_blank">SoundSpaces</a>，號稱是全球首個同時具備視覺與聽覺的體現AI平臺，大幅提升機器人辨識與理解環境的能力。</p> <p>SoundSpaces可用來訓練同時具備視覺與聽覺的機器人，臉書另也打造了一個端對端的學習框架Semantic MapNet，這是一個機器人的記憶模組，改善機器人記憶與理解環境的能力，還有一個新的預測模型，能夠用來預測機器人看不到的空間。</p> <p>基於AI Habitat的SoundSpaces提供一個新的聲音感應器，可從資料集中插入任何從真實環境中蒐集而來的聲音，再利用AudioGoal任務來挖掘在實體環境中發出聲音的物件，此外，SoundSpaces還能利用回音來判斷空間中的幾何元素。</p> <p>於是，結合SoundSpaces的機器人就能判斷正在響的手機位置，且有別於傳統的機器人導航系統必須應對特定的點，採用SoundSpaces的機器人並不需要到達特定位置的指標，只要採用多模式感應就能更快到達目的地，該平臺已<a href="https://github.com/facebookresearch/sound-spaces" target="_blank">透過GitHub開源</a>。</p> <p>臉書團隊也替機器人更新了記憶的方式，Semantic MapNet模組不只能記錄空間及語義地圖，也能建立一個以第三人視角所觀察的3D地圖，這讓機器人得以完成許多任務，像是找到某張桌子、回答有關空間的問題。</p> <p>新的Occupancy Anticipation預測模型，讓機器人可在不必造訪每個角落的狀況下，迅速繪製出陌生環境的地圖。臉書表示，與最強大的對手相較，在同樣的精確度上，臉書機器人只花了1/3的移動數量，而在同樣的移動數量上，臉書機器人的地圖精確度比對手好上30%。</p> </div></div></div>
2020/8/24 13:55作者陳曉莉https://www.ithome.com.tw/news/139574
蘋果30%抽成的程式內購買爭議又一起，但WordPress移除收費介紹就能以免費App定位重上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WordPress上周指控蘋果以未支援程式內購買為由，終止iOS版WordPress更新，不過周日蘋果不再堅持，只要Wordpress稍微修改。</p> <p><a href="https://twitter.com/photomatt/status/1296879217297113088" target="_blank">WordPress首席開發人員Matt Mullenweg 上周五指出</a>WordPress iOS App無法更新，因為遭到App Store封鎖30天，只有加入程式內購買（in-App purchase，IAP），才能恢復為iOS App更新、修補bug。</p> <p>WordPress App本身免費，僅供用戶在手機或平板上管理、操作Wordpress網站。但是<a href="https://wordpress.com/pricing/" target="_blank">WordPress.com網站</a>卻有網域名稱和其他個人、企業或電商網站的付費方案。</p> <p>WordPress iOS App中只稍稍提及WordPress.com的「方案」，但這點被蘋果盯上，要求WordPress App必須加入程式內購買（IAP）。蘋果的理由是，只要App允許使用者從其他平臺或網站存取App的內容、訂閱或功能，就必須支援這項功能。</p> <p>透過iOS App內的IAP功能，每筆用戶的支出蘋果都可以分得30%，這就又被俗稱為「蘋果稅（Apple Tax）」。</p> <p>Mullenweg原本提出從iOS App上，拿掉提及WordPress.com付費方案的文字，來保持App原有設計的建議，但不被蘋果接受，因此<a href="https://twitter.com/photomatt/status/1296906818552082432" target="_blank">他周五說</a>不打算抗爭，同意在iOS App中加入IAP。</p> <p>不過或許此事周末引發不少用戶聲援WordPress與批評蘋果，迫使蘋果退讓。周日Mullenweg指出，很高興蘋果重新審視WordPress iOS App後，同意他們不需要加入IAP，而能持續更新App。</p> <p><a href="https://www.theverge.com/2020/8/22/21397424/Apple-wordpress-apology-iap-free-ios-App" target="_blank">蘋果也對The Verge證實</a>，由於WordPress從iOS App移除服務支付選項的（文字）陳述，現在它已是一款獨立的免費App，不再需要提供程式內購買。</p> <p>蘋果作為App Store的營運者掌握第三方App生殺大權，令App開發商不滿。<a href="https://www.ithome.com.tw/news/129325" target="_blank">Spotify</a>和Telegram先後向歐盟提出蘋果稅及限制措施的控告。而最新例子是知名電玩開發商 Epic Games在其《要塞英雄》（Fortnite）中，加入了一個試圖繞過蘋果和Google的支付功能，被蘋果、Google下架，引發Epic公司不滿而<a href="https://www.ithome.com.tw/news/139405" target="_blank">狀告兩家大廠</a>。</p> </div></div></div>
2020/8/24 10:55作者林妍溱https://www.ithome.com.tw/news/139569
中國扶植自有開源雲端平臺Gitee
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於擔心美中資訊、外交戰白熱化影響，造成中國開源碼社群無法使用美國的GitHub，中國政府號召中國公司代管<a href="https://blog.gitee.com/2020/08/17/gitee-gxb/" target="_blank">Gitee</a>，以推動自有開源碼平臺。</p> <p>中國工信部今年7月中發表<a href="https://www.cec-ec.com.cn/cms/channel/1xmgg3/648.htm" target="_blank">「2020年開源托管平臺項目」</a>的政府標案結果，由開源中國（背後為一家總部位於深圳的奧思網絡科技）、中國官方單位（包括工信部信息安全發展研究中心、電子第五研究所、中國電子技術標準化研究院）、華為、浪潮、蘇州稜鏡七彩等10家機構拿到標案，將以Gitee建設中國獨立的開源代管平臺。</p> <p>一如中國發展自有晶片、半導體技術及作業系統，這項標案或許也反映中國為了擺脫美國的技術箝制，而啟動的技術自主化計畫。</p> <p>為了發展開源碼，中國開發人員十分仰賴GitHub。根據<a href="https://zh.wikipedia.org/zh-hant/%E5%AF%B9GitHub%E7%9A%84%E5%AE%A1%E6%9F%A5%E5%92%8C%E5%B0%81%E9%94%81" target="_blank">維基百科</a>，2013年中國網路防火牆封鎖了GitHub，不但引發時任Google中國高層的李開復在新浪微博批評，其訊息也被大量轉發，三天後GitHub被解除封鎖。而近年雖然中國官方仍對GitHub心有忌憚，但不像Google、臉書、紐約時報等美國知名網站，GitHub在中國大部份地區仍然可使用，顯示其在中國開發人員之間的影響力。</p> <p>然而今天GitHub已成為微軟的一項業務，作為美國公司，可能成為美國政府制裁外國的利器。在去年5月美國商務部將華為列入實體名單後，微軟是否中斷對華為等中國公司授權Windows一直引人關注，但Techcrunch報導，去年7月微軟也曾配合美國政府政策，切斷伊朗、敍利亞、及克里米亞對GitHub部份服務的存取。</p> <p>成立7年的Gitee是中國當地的開源雲端平臺，根據<a href="https://gitee.com/?from=blog" target="_blank">其網站</a>指出，現今Gitee代管了超過1000萬個開源專案，號稱中國第一、全球僅次於GitHub的開源專案代管平臺，開發人員超過500萬，企業用戶超過10萬家。</p> <p>Gitee指出，開源產業是中國軟體和資訊技術業的發展重點，獲得國家支持後，將有助於提供本地開發人員一個平臺，透過開源碼加速中國的資訊技術創新水準。</p> <p>從去年5月美國商務部啟動對華為禁令後，Google中止提供華為新手機的Android及Google應用授權，經過將近一年透過臨時通用許可（temporary general license）允許美國電信業採購華為產品，商務部本月擴大<a href="https://www.ithome.com.tw/news/139457" target="_blank">對華為制裁</a>，且不再展延TLG，完全中斷了華為使用Android的管道。</p> </div></div></div>
2020/8/24 11:25作者林妍溱https://www.ithome.com.tw/news/139570
【關鍵資安議題】新世代資安指揮中心來了！提供更強大洞察力與執行力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-0821.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">NG-SOC成為新世代資安指揮中心的要角，更著重積極且主動的快速應變。因此，若我們要發展這樣的防護體系，能否具備NG-SIEM、XDR、CTI，以及SOAR等四大關鍵能力，將是朝向NG-SOC的要素。（圖片來源／黃繼民）</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>綜觀近年的資安趨勢發展，威脅的挑戰程度，遠超過多數已布建的資安防護工事，用電玩遊戲來比喻，相當於一名等級100的玩家突然遭遇到等級999的魔物來襲，是個挑戰困難度高到失衡的狀態；但在現實世界中，我們並無法透過大量課金作弊升級、買神裝或神卡，來克服資安威脅攻擊。然而，資安防護任務並非單一個人或小團體的作戰方式，面對層出不窮、已知與未知的現代資安威脅，我們必須透過組織群體合作方式，才能確實有效地應對。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-1(8).jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">駭客攻擊手法已經超出傳統防護模式，企業必須能夠同時從多方位、多維度分析，萃取出威脅情資，並且即時反應處理。</strong><strong style="color: rgb(105, 105, 105);">圖片來源／黃繼民</strong></p> <p>而在資安防護的工作上，SOC過往一直是扮演資安工作的情訊收集，以及持續監控通報的角色，主要由人員、技術、程序等三大構面來組成運作，協助資安事件調查分析與告警通報等功能任務，但由於SOC在事件處理的主動性不足，因此，往往被定位為後勤支援角色。</p> <p>不過，這幾年以來，新一代的SOC崛起，已成為現代資安防護任務不可或缺的資安指揮中心，因為對於資安威脅，SOC除了要能「感覺到」、「看得見」，還要能夠「思考明辨」，並且快速做出準確的行動反應。</p> <p><span style="font-size: 28px;"><strong>SOC的型態發展轉變</strong></span></p> <p>一般而言，SOC被稱之為「資安監控維運中心」，最初出現於1975年，主要的工作與任務是協助政府及國防組織，針對防禦低影響的惡意程式碼（意即電腦病毒）的分析研究；到了2007年左右，網際網路的普及，也將資安威脅帶到新的時代，SOC開始因應APT（進階持續威脅）的資安趨勢，而有了大幅改變，而這也是現今比較廣為認知的SOC型態，主要的功能是針對日誌記錄的收集與保存，並且根據常見已知定義的規則生成警報。</p> <p>在此一階段的SOC運作模式中，我們相當倚重的作法，是運用日誌管理系統（Log Management），以及安全資訊事件管理系統（SIEM），而這樣的機制也延續至今。</p> <p>但是，隨著各式新興科技應用的出現，以及各種使用多年的舊有技術接連被揭露安全性漏洞問題，因此，現代的資安防護者須面對巨量且複雜的資訊，還有快速出現但來不及搞懂、學習的新東西。</p> <p>同時，由於傳統的SOC採取消極處理機制，因此，我們在發現入侵（Time to Detect，TTD）和有效回應（Time to Response，TTR）所需的平均時間，已分別增加至197天和69天，而在這一段風險的空窗期間，足以讓駭客完成布局。</p> <p>到了新一代的SOC，則提升為「資安指揮中心」的專責單位，尤其在最近的資安法規中，也明定要求組織內對於SOC的必要性。事實上，新一代SOC需要具備更積極的處理機制，以及快速偵測回應，包括更精確的事件通報、更充足的資安情資、更具體的建議幫助決策執行，進一步做到預警、預測、預防的提前主動性，目的就是要求快速跟精確。究竟，我們將如何建構出具備洞察力與執行力的新世代資安指揮中心（NG-SOC），以下我將針對四項關鍵能力來說明。</p> <p><span style="font-size: 28px;"><strong>NG-SIEM提升資安情報的掌握能力</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/600-2-821.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>NG-SIEM已經加入智能分析能力，能夠針對巨量多變的現代資安攻擊威脅快速分析，提出更精確的情報資訊。在下一階段，NG-SIEM則邁向主動防禦，與SOAR技術整合搭配是未來趨勢發展。</strong>圖片來源／黃繼民</span></p> <p>SIEM也被稱為資安戰情平臺，是幫助SOC資安人員掌握資安事件狀態，以及下定決策的情報中心；但是，過往SOC所採行的舊式SIEM，對於資安事件的處理模式，多半著重於事件日誌的接收保管及機器式的過濾條件，即使套用不知從何而來的關聯規則，舊式SIEM所產生出來的內容，仍是被整齊分類與統計的資料（Data），而非有助於資安事件掌握與決策判斷的情報資訊（Information）。</p> <p>而由於舊式SIEM無法即刻提供明白準確的資訊，也造成SOC對於資安事件的應變處理效率低落，在專業人力的需求亦隨之提升，此時，更遑論建立可靠的聯防機制。</p> <p>所以，當我們在面對現今巨量複雜的資安威脅情勢下，後起的次世代SIEM（簡稱NG-SIEM），如今已經引進大數據分析（Big Data），以及智能處理（Intelligence）等二大新技術，做為核心改造提升動力。</p> <p>首先，大數據分析技術主要應用於NG-SIEM的搜尋引擎核心，主流採用的平臺，包括：Splunk、ELK，以及Hadoop等。有鑑於大數據分析對異質性的巨量資料具有極佳的處理效果，因此，對於過往面對的資安事件資料處理議題，能夠有效解決，包括：當下大量不同來源及格式的資料，以及已發生的過往記錄資料追溯，皆可透過低耗能且極快速的方式，進行大量資料分析處理。</p> <p>接著，是智能處理技術，主要涵蓋人工智慧（AI），以及機械學習（ML）的技術。</p> <p>基本上，導入大數據，只是提升資料分析的處理效率，但要將資料轉換成有幫助的資訊，則須利用AI及ML智能技術相輔，才能真正獲得分析的效果。</p> <p>而且，智能處理具備多維度邏輯推演的資料分析能力。相較於傳統機器式的過濾條件跟關聯規則來說，智能處理能夠幫助SOC，使其對於資安事件的資訊掌握度更加準確快速，並且能進一步發現潛伏中的異狀。</p> <p>綜觀上述，NG-SIEM所要扮演的資安戰情平臺，是提升新世代SOC朝向洞察力與執行力的關鍵基底，畢竟，資訊情報的掌握，是無論任何型態的戰爭所必要的，當然也包括資安戰。</p> <p><span style="font-size: 28px;"><strong>XDR提升資安威脅獵捕能力</strong></span></p> <p>「縱深＋聯合防禦」是標準的資安防護準則，實務上，卻不容易達成這些要求，主要原因在於，我們對於資安威脅的偵測（Detection），以及回應（Response）方式，缺乏一致性與協調性。簡單來說，就像瞎子摸象。</p> <p>加上以往的資安工作過於執著於記錄資料（Log Data）的收集，尤其是對於「軌跡保存」與「日後調查舉證」的錯誤認知，因而產生採取下列這些舉動，結果卻成為善盡做好資安工作的「假象」，例如：監督好資安防護系統、偵查系統、存取日誌，以及系統日誌等等的通報跟記錄。</p> <p>但事實上，這些資料對於資安事件的分析與調查工作幫助並不大，主要的原因在於，回應的資料訊息「含金量」不足。</p> <p>因此，EDR是最開始被提出的新一代偵測與回應方法，針對最常遭遇惡意程式威脅的端點（Endpoint），進行「偵測與威脅捕捉、分類、調查和回應」等每個階段的安全作業。</p> <p>而後起的XDR，則是進一步包含網路、端點或雲端等現今主要數據環境，「X」代表多種資料來源，透過連結來自多個來源的數據，清楚完整的提供組織活動整體及各階段偵測到的資安情報。</p> <p>換句話說，透過XDR的偵測方式，並非用單一個「點」來做為資安威脅發現依據，而XDR的回應方式不僅執行阻斷隔離的處置外，更重要的是產生精確的情報資料，對於後續的資安威脅分析作業上，能夠提供更有助於根源追溯、行徑追蹤、行為調查、以及預測、預防的效果，大幅提升威脅獵捕（Threat Hunting）的能力。</p> <p><span style="font-size: 28px;"><strong>CTI提升對於資安威脅的識別能力</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/ISSDU%E5%9C%96%E7%89%874_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E9%BB%83%E7%B9%BC%E6%B0%91.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>資安威脅情資的來源多樣，資安人員必須瞭解不同資安威脅情資的類型，以及取得來源方式。我們若能善用情資，將有助於資安威脅事件的分析判斷，並且預先掌握攻擊的意圖與趨勢。</strong>圖片來源／黃繼民</span></p> <p>CTI是網絡威脅情報（Cyber threat intelligence）的縮寫，或稱之為「威脅情資」。基本上，威脅情資不同於新聞訊息。我們能以冰山理論來解釋兩者的差異，例如，新聞訊息就像在水面上已暴露的資訊，而威脅情資包含更多水面下未曝光的深網、暗網及神秘研究情報，同時，「威脅情資」是關於資安威脅，以及威脅參與者的資訊情報集合體。</p> <p>此外，威脅情資主要是已經被發現揭露的攻擊方式情報，包括：</p> <p><strong>1. 技術情報：<span style="color: rgb(105, 105, 105);">涵蓋了IOC威脅指標、IP/Domain CnC黑名單、惡意程式的檔案名稱或指紋（Hashes）。</span></strong></p> <p><strong>2. 操作手法情報：<span style="color: rgb(105, 105, 105);">有關於該項攻擊威脅所採用的駭客工具、技術，以及程序。</span></strong></p> <p><strong>3. 戰略情報：<span style="color: rgb(105, 105, 105);">針對該項攻擊的總體威脅、影響範圍與傷害程度等資訊。另一個值得關注的資訊，則是威脅參與者（或習慣稱為駭客組織），尤其在APT攻擊、目標攻擊，以及規模型態攻擊的背後，幾乎都有駭客組織的操弄。</span></strong></p> <p>就現今而言，「威脅情資」的取得來源越來越多，有開源免費的與商用付費的資選擇，每一家威脅情資內容的專業度與涵蓋量，各有所擅長之處，因此，在選擇上，我建議至少應取得二家以上的情資來源。</p> <p>另一種「威脅情資」的取得，則來自於「分享」。例如，資安資訊分享與分析中心（ISAC），就是透過類似社團會員之間的資安訊息交換模式。幾年之前，臺灣以資安法推動規範八大關鍵基礎的產業，成立領域ISAC，推動情資格式標準化與系統自動化的分享機制。</p> <p>當資安威脅事件的分析過程中加入「威脅情資」的成分，將有助於SOC對於資安威脅事件的掌控。當資安事件發生時，我們不需要再手忙腳亂、緊張兮兮，而是能夠冷靜識別出哪些攻擊事件的手法技巧，是否源出同門？是否有針對性（例如：產業、系統類型、人員等）？或計畫性（例如以掃描情蒐、慢速測試、間歇探測等）的行為企圖，以及是否存在駭客團體犯罪成份。如果我們能夠適當地結合前述的NG-SIEM與XDR，將有助於SOC資安人員快速做出相對正確的防禦準備。</p> <p><span style="font-size: 28px;"><strong>SOAR 提升資安聯防協作的自動化應變能力</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/ISSDU%E5%9C%96%E7%89%875_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E9%BB%83%E7%B9%BC%E6%B0%91.png" style="width: 600px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>以常見的電子郵件夾帶惡意程式為例，當企業收到一封的可疑郵件時，SOAR可以依據我們針對電子郵件安全政策設計的「劇本（Playbook）」，進行深入檢測分析與應變處理的過程。以往，這一連串的不同作業過程，必須耗費數個小時之久，並且需要將零散的結果彙整報告；而透過SOAR的使用，則可以幫助資安人員於幾秒鐘或幾分鐘內，快速完成一切作業與報告。</strong>圖片來源／黃繼民</span></p> <p>如果說SIEM是善於將資料分析並轉換資訊的大腦，那麼，SOAR則可說專長在應變處理與協調運動的小腦。而對於要做到真正具備洞察力與執行力的SOC資安指揮中心來說，SOAR是重要的關鍵要素。</p> <p>SOAR是什麼？它的全名為Security Orchestration, Automation and Response，意即「資安協作自動化應變」。以過往SIEM為例，對於資安威脅，著重於事件「分析調查與資訊提報」的方法，相較之下，SOAR聚焦在事件「應變處理與協調行動」，換言之，SOAR的技術導入，將大大改變過往SOC被認為「說的多」、但「做的少」的窘境，也因此使得SOAR很快成為各方矚目關注的熱門議題。</p> <p>如前面一再提到，現今資安威脅的情況，不僅是數量龐大且型態複雜，單純靠偵查與分析的方法，只會產生更多應接不暇的事件資訊；但不斷湧入的資安威脅資訊量，在無法有效處理消化下，已經導致許多企業組織產生資安恐慌，以及威脅麻痺的狀況。</p> <p>多數企業會建立非常細緻的資安事件應變處理或標準作業程序，但往往流於紙上談兵，主要因素在於，這些機制程序往往因為推演內容不確實、人員熟練度不足、情報資訊傳遞不通暢等弊病，導致最終無法做出準確的應變處置。</p> <p>此外，聯防自動化雖然也被大量討論，但當中對於「自動化」的做法，其實比較像是執行一段單向的機械式指令，當事件符合規則情境時，就針對特定裝置系統觸發執行定義好的執行命令；只是當實際上面對不同情況的資安事件，以及各式的資安系統（不同類型、多種廠牌）時，要達到理想中的自動化及聯合防禦應變，幾乎是不可能的任務。</p> <p>SOAR技術的出現，則是實現「資安協作自動化應變」的最佳方法。為何這麼說？在研究機構Gartner的《Hype Cycle on Threat-Facing Technologies, 2018》報告，當中是這麼解釋的：SOAR是一系列技術的集合，能夠幫助企業和組織，收集安全維運中心監控到的各種資訊（包括各種安全系統產生的警示），並對這些資訊進行事件分析和警示分類；同時，在標準工作流程的指引下，利用人機結合的方式，幫助安全維運人員定義、排序，以及驅動標準化的事件應變。</p> <p>在技術上，「SOAR資安協作自動化應變」可獨立運作，或是與SIEM相互整合搭配，同時，它也具備了下列三大重要特色：協調作業（Orchestration）、自動化（Automation），以及應變（Response），而這些應用機制的出現，明顯針對傳統資安維運工作所難以達成的部分，進行改善跟補強。</p> <p>而對於企業組織而言，SOAR以技術的形式。將SOC的人員、程序、及技術等三大要素加以整合串聯，將企業組織中不同的系統，或是一個系統中不同元件的安全能力，透過「應用程式介面（API）」的使用，按照一定的邏輯關係，組合成各式的「劇本（Playbook）」，而這些劇本可說是將擬訂好的標準作業及流程，以更具體的可視性圖形呈現，並據此執行完成各種對應的安全作業程序。</p> <p>此外，這些程序能以完全自動化或半自動化的方式來執行。以全自動化模式來說，多半套用在常態性作業（Regular Operations），而半自動化則是在執行動作之前先由相關負責的資安人員或IT人員作「判斷跟決定」，如此可以減少人員在面對多樣不同系統的高度專業要求，並且降低人為操作錯誤跟帳號權限分配等問題。最後，當SOAR對於資安事件的應變處理記錄，也具備資安威脅事件管理效果，其執行的警示通報、工單流程紀錄、各程序執行結果，都將幫助SOC更精準地面對資安威脅事件的調查分析，並且提供政策調整改善的依據。</p> <p><span style="font-size: 28px;"><strong>如何縮短偵測與應變時間，以及具備精準判讀能力，是未來資安防護最大挑戰</strong></span></p> <p>關於資安防護策略的發展，我們可預期未來將越來越著重於應變處理，對於平均偵測時間（MTTD），以及平均回應時間（MMTR）的要求，也將更加急促。</p> <p>但是，在追求快速的同時，我們對於資安事件的準確識別與判讀，仍需仰賴更智慧的數據分析方法，並且搭配具邏輯的自動化作業，才是完善的解決方法。<span style="color:#696969;"><strong>文☉數聯資安股份有限公司資安管理平台發展處副處長黃繼民</strong></span></p> </div></div></div>
2020/8/24 12:00未署名https://www.ithome.com.tw/article/139571
Gmail/ G Suite冒名信件漏洞通報超過4個月，Google終於修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google稍早針對Gmail和G Suite郵件系統釋出修補程式，以解決一個通報137天、可被人用來發出冒名郵件的漏洞。</p> <p>這項漏洞是<a href="https://ezh.es/blog/2020/08/the-confused-mailman-sending-spf-and-dmarc-passing-mail-as-any-gmail-or-g-suite-customer/" target="_blank">由研究人員Allison Husain發現後向Google通報</a>。這個漏洞發生在Google後端郵件流程規則上，造成冒名轉發，再配合郵件閘道的使用，使攻擊者得以繞過現代郵件系統嚴格的SPF/ DMARC規則保護，冒充G Suite/Gmail用戶發送冒名郵件給他人。</p> <p>SPF（Sender Policy Framework）和DMARC（Domain-based Message Authentication, Reporting, and Conformance）的規則可防止普通冒名信件。原理是將一組網域許可的發信者IP清單交給郵件伺服器比對，不在清單上的IP送出的信，包括冒名或釣魚信件就不會被郵件伺服器接收；反之合法來源送來的信就會被接受。但是研究人員發現的冒名信件攻擊，卻是Google環境獨有。</p> <p>研究人員解釋，G Suite後端全域郵件流程規則（global mail routing rule）設定允許變更收信人，這讓她得以指定任意收信者。而G Suite卻也未驗證就接受了這個收件者值。這使得攻擊者得以利用Google 後端將任何信件，包括冒名信件轉寄出去。而在收信端的郵件伺服器上，來自Google（Gmail、G Suite）後臺的信件，可通過SPF/DMARC規則檢查而被視為合法來源的信。另外，研究人員又發現，只要轉發自Gmail、G Suite的信件包含郵件閘道設定，則終端郵件伺服器就會自動通過SPF/DMRAC檢測，確保郵件連被隔離的可能性都沒有，而是會直接進入收件者信箱。</p> <p>整合G Suite郵件驗證規則中的收信者驗證錯誤及信件閘道，讓攻擊者得以讓Google後端轉發任何網域的信件，包括冒名郵件。而如果被冒名的人剛好也同時有用Gmail或G Suite就更好了，因為這些人的網域會設定允許Google後臺轉發其網域的信件，而可順利通過SPF及DMARC的檢查。另一好處是，垃圾郵件過濾引擎也往往較不會攔阻或封鎖來自Gmail、G Suite的郵件</p> <p>研究人員指出，Google獨有的漏洞讓攻擊者得以發送冒名信件，就連有SPF/SMARC規則防護也會被繞過，使企業用戶面臨詐欺信件或商業電子郵件詐騙（Business Email Compromise，BEC）。</p> <p>Husain於4月初發現該漏洞後即通報Google，但是等到8月1日卻仍不見Google修補的跡象。8月中Google表示，要到9月17日才會釋出修補程式。8月19日時，研究人員以超過137天為由公布漏洞。而在公布後7小時，Google就完成修補。雖然拖了4個月才完成修補，但研究人員仍然讚揚Google態度良好且動作迅速。</p> </div></div></div>
2020/8/24 10:20作者林妍溱https://www.ithome.com.tw/news/139568
【臺灣資安2020的下一步戰略】透過數據驅動的資安情資，做資安防駭超前部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球武漢肺炎確診人數至今已超過一千五百萬人，死亡人數也超過五十萬人，臺灣採用科技作為防疫手段，從邊境控管到居家檢疫與居家隔離的電子圍籬系統等，雖然武漢肺炎疫情從全球大爆發已來、未曾稍緩，臺灣卻因此得以偏安一角，宛如置身與全球民眾平行時空的桃花源。</p> <p>前行政院副院長陳其邁在協助召開跨部會防疫後勤會議時便曾表示，臺灣的科技防疫最寶貴的地方在於，我們彰顯了民主法治國家也可以做到「民主防疫」，在兼顧個資隱私保護和防疫的過程中，取得一個平衡點，而這也是臺灣科技防疫的成效。</p> <p>但是，落實科技防疫，少不了資安作為基礎，臺灣在轉型為數位國家、發展數位經濟的過程中，面對數位轉型的壓力，資安更是一切科技應用的最底層。而我國政府面對「第五期資通安全發展方案」即將於2020年到期，如何規畫下一期的資安對策？除了進一步強化第五期方案的落實度，更要透過數據驅動的資安情資，讓臺灣在資安防護實力上，也能做到超前部署。</p> <p><span style="font-size:28px;"><strong>第五期資通安全發展方案已見成效</strong></span></p> <p>早在2001年，政府開始推動第一期的資通安全基礎建設工作，而這就是2001年～2004年的第一期機制計畫，目的在於「建構資安防護體系，完成政府機關分級機制」；下個階段是2005年～2008年第二期機制計畫，主要是「健全資安防護能力，成立國家資安監控中心」。</p> <p>接著是2009年～2012年第三期發展方案，則在於「強化資安整體應變能力，精進通報應變機制」；隨後是2013年～2016年第四期發展方案，重點在於「加強資安防護，管理二線監控機制與資安情報分享」。</p> <p>到了最近的2017年～2020年第五期資通安全發展方案，則是以「打造安全可信賴的數位國家」為願景，並以「建構國家資安聯防體系，提升整體資安防護機制，強化資安自主產業發展」作為發展目標；而政府具體推動的方案，則從「完備資安基礎環境」、「建構國家資安聯防體系」、「推升資安產業自主能量」及「孕育優質資安菁英人才」等四個面向著手。</p> <p>首先，完成資安管理法的立法，以及相關的法規調適，並因應新興科技發展，研擬相關的資安標準規範，是「完備資安基礎環境」這個面向的第一步；接下來，藉由強化通訊網路資安防禦與應變能量、強化物聯網安全並推動安全驗證標章，推動政府資料中心整合，優化政府網路防禦架構，就可以做到強化基礎通訊網路韌性及安全；第三步就是建立政府資安治理模式，包括：建立國家層級資安風險管理機制，以及推動政府機關導入資安治理制度，進行資安成熟度評估。</p> <p>第二個面向「建構國家資安聯防體系」，則是透過資安鐵三角：國安會、資安處及通傳會，連結八大關鍵基礎設施的主管機關，並打造ISAC（資安資訊分享中心）、CERT（電腦緊急事故處理小組）和SOC（資安維運中心），也做到強化關鍵資訊基礎設施資安防護、建立跨域資安聯防機制，以及精進網路犯罪防制能量。</p> <p>在「推升資安產業自主能量」面向上，不僅要發展新興資安產業，連結國家防衛自主需求並發展國內資安產業生態系，也要藉由推動國內廠商資安產品納入共同供應契約，以及建立資安產業標準及檢測認驗證機制，做到輔導資安產業升級；更要以國內產業技術自主為導向發展關鍵技術，達到鏈結產學研能量、發展新興資安技術的目標。</p> <p>最後，在「孕育優質資安菁英人才」面向上，我們可以從投入資源、厚植大專校院資安人才培育量能，或者是拔擢在職人士培育產業所需之資安專業人才，做到增加市場資安人才供給。另外，也要做到提升政府資安人力專業職能，而這部分工作可以從下列項目著手，像是：發展政府資安人員職能及領域職能藍圖並辦理培訓、建立資安訓練單位認證制度、培養公務人員資安基本知能，以及推動政府機關設置資安專職人力。</p> <p><span style="font-size:28px;"><strong>在既有基礎上，未來將強化資安政策落實度</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%A1%98%E6%99%AF-%E7%B0%A1%E5%AE%8F%E5%81%89-600-1.png" style="width: 600px;" /></strong></span></p> <p>接下來，政府預計規畫的「第六期資通安全發展方案」，重點就是「落實」。資安法從2019年元旦實施後發現，很多法律規範和實際執行面之間存在著落差。而這也是為什麼要將政府機關的資安責任等級進行區隔，而目前我國政府單位分成A到E五級，舉例來說，E級就是連電腦都沒有、不需承擔資安責任的單位，例如清潔隊。</p> <p>法遵是政府運作的基礎，臺灣資安法通過後也突顯一些問題，例如，法律規定各級機關有其規範的資安人力，但事實上，各個機關目前並沒有足夠的資安人力，未來如何落實法律規範的資安人力？又該如何確保相關的資安人力品質呢？資安法在專責資安人力的規定上，提供2年法律緩衝，可以透過委外等方式補足專責資安人力的不足，但緩衝期將於2020年底截止，未來，機關如何落實專責資安人力的規定，將成為各級機關的大挑戰。</p> <p>另外，關注的重點還包括：資安維護計畫如何落實，以及部會該如何稽核所屬機關的資安防護。曾經在2018年～2019年擔任縣市政府的資安稽核員，也會把相關的資安稽核方法整理後提供給各機關，重點是，部會要妥善管理所屬機關；而主管機關要管好關鍵基礎設施，未來讓各機關有機會培養自己合格的稽核員，做到稽核要務實，而不要流於紙上談兵。</p> <p>第五期資通安全發展方案對於產業發展，包括鼓勵機關採用臺灣研發的資安產品，提升臺灣資安產品品質，由政府提供測試場域（Test Bed），開放一些關鍵基礎設施的工控設備，提供資安新創公司有場域可以測試，有機會成為臺灣資安新創業者的轉機。</p> <p>資安防護法制化之後，也對於關鍵基礎設施（CI）的辨識、指定，提出明確而具體的定義，也把CI業者的權利義務清楚規範。因為以往資安是指資訊科技和通訊系統的資訊安全，但關鍵基礎設施業者更關注的是工控系統安全，而這個工控系統領域是否有足夠的資安人才，是臺灣未來資安發展的新方向、也是新機會。</p> <p><span style="font-size:28px;"><strong>資安人才培育要能夠與領域專業做結合</strong></span></p> <p>資安人才培育是「雞生蛋、蛋生雞」的問題，市場的確存在、但人才培育來不及趕上，該如何讓市場成長、人才培育能夠銜接得上？</p> <p>關鍵是讓資安人才結合領域專才，例如，讓醫療領域的人懂資安比較容易？還是讓資安領域的人懂醫療比較簡單？以產業現實環境來看，80％是跨領域的資安人才，只有20％是真正資安領域的專業人才。</p> <p>資安人才不足是問題，不過，當機關組織可以新增員額時，為何要把這個員額給資安？很多機關缺資安人才，但補上的可能不是資安人才而是業務人才。資安人才供應是否到位？很多學校畢業生，至少要到業界磨練兩年後，才是比較務實好用的資安人才。</p> <p>第五期資通安全發展方案做資安人才培育，當有足夠的人才，有足夠的市場機會，資安人才需求才會變多。不過，資安人才培育無法一步到位，但至少要六成到位，才能夠慢慢養大資安市場。現在多數人仍將資安視為企業的成本，重點在於，要讓大家意識到資安的重要性，資安其實是企業的投資而不只是成本。</p> <p><span style="font-size:28px;"><strong>把單一資安事件轉變成從數據驅動的資安情資</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%A1%98%E6%99%AF-%E7%B0%A1%E5%AE%8F%E5%81%89-600-2.png" style="width: 600px;" /></strong></span></p> <p>第六期資通安全發展方案的重點，除了強化第五期政策方案的落實度，新的規畫則是要把資安事件處理（IR）的單一事件，轉換成資安情資（Security Intelligence），而這項工作更重要。</p> <p>例如，以某某資安攻擊事件為例，多數人都認為，這只是一個需要被處理的、單一的資安事件，但若可以從資安情資的角度來看，就會變成：因為某某資安事件的發生，所以，我們就能推測ABC產業，有可能會是下一波被駭客鎖定攻擊的對象。</p> <p>這些資安情資的背後，都是由數據驅動而來，換言之，是把潛在的各種攻擊數據轉變成資安情資，例如，知道這些攻擊來自哪裡？目的為何？有哪些延伸的資訊？</p> <p>透過這些資安情資，我們可以即時性看出風險趨勢、能夠採取的策略，甚至可以預測下一波的攻擊趨勢。</p> <p>例如，SWIFT第一個受害的就是孟加拉央行，因為他們揭露了該起資安事件，也讓全球金融業者嚴陣以待、不敢鬆懈。</p> <p>有些駭客集團會攻擊某些特定產業，例如，勒索病毒都鎖定某些產業攻擊，此時，我們就可以根據這些資安情資，來解讀駭客攻擊的動機和手法。這種以資安情資為主的資安防護，目的就是要做到「大膽假設、小心求證、主動防護」。</p> <p>這些由數據驅動的資安情資，若從資安預警角度來看，有事先的徵兆，就可以有對應的行動，目的在於降低風險和可能的損失，不僅有機會將資安防護從以往的被動，化為主動，更有機會做到超前部署。</p> <p><span style="font-size:28px;"><strong>掌握情資，利於資安超前部署</strong></span></p> <p>過往資安防護的推動，一直面臨許多挑戰，而在武漢肺炎肆虐全球之後，臺灣全國齊心協力促成的防疫佳績有目共睹，也對未來臺灣資安的發展，產生了很大的啟發與鼓舞作用。</p> <p>相較之下，防疫和防駭都有相似之處，兩者都是病毒，而且不管再健康的人或企業，都不可能保證一輩子都不會生病或中毒，也沒有任何一種防護方式，可以做到百分之百安全。因此，防疫和防駭的重點，不在於確保永遠不會生病或中毒，而是要知道受損害的範圍，做到災害復原和回復。而既然臺灣能夠利用科技力做到防疫超前部署，那麼，該如何從資安情資的角度，做到資安超前部署呢？</p> <p>以往的資安比較偏重技術面，實務上，各種設備的Log檔四處散布，不容易看、也難以分析，很難一下子看到全貌，我們必須要有好的網路結構，加上有好的可視性，透過視覺化展示，可以清楚知道異常是什麼，接下來就能做到化被動為主動的資安超前部署。</p> <p>超前部署永遠是對的！資安情資的收集、處理與判讀，困難重重，不過，如果有足夠的資安情資，防守方就可以超前部署，這時候就需要更多大數據分析及AI人才。</p> <p>不過，現在很多的資安情資，其實只是「後見之明」、是被動的，未來，如果能善用各種資料數據分析，我們就可以找到隱身幕後的攻擊者。舉例來說，我們透過關聯式分析，能夠找到各種攻擊模式（Pattern），像是以往駭客驅動後門程式回傳資料，較容易發現異常軌跡，但現在這些惡意程式只是偶爾被喚醒，而對外傳送的又是短、小的資訊，很難被發現，而藉由大數據分析，可以幫忙找到模式，就像是從稻草堆中也能找到一根針。</p> <p><span style="font-size:28px;"><strong>資安防護人人有責，應用服務內建資安就是成功</strong></span></p> <p>至於各個產業該如何提升資安？事實上，推動產業的資安並不等於資安產業，臺灣有140家中小企業，扣除掉品牌大廠的供應鏈業者及電子商務業者，小公司該如何做資安？是否有新的商業模式，提供給這些企業呢？</p> <p>要做到讓國內產業對於資安更重視，我們可以進一步思考幾個問題，像是：辦公大樓的資安團購是否可行？連同辦公室必備的多功能事務機加上掃毒，是否可行？例如，美國就有快遞業者，除了幫民眾將電腦送給品牌公司維修外，也搖身一變，成為提供修電腦服務的公司。而基於這種跳脫傳統框架的商業模式，我們也可以試著找出適合中小企業的資安商業模式，而如果資安產業發展得夠快，未來我們也有機會對外輸出這樣的經驗，打國際賽。</p> <p>整體而言，資安不是高大上的議題，但也不應該是麻煩的議題，因為資安與便利性之間是可以獲得平衡的。經歷過去幾年的努力，政府也希望可以讓每個人更懂資安、更重視資安，「資安防護人人有責」，畢竟，勒索病毒的受害者不只是企業，個人也會受害。</p> <p>總統蔡英文在就職演說也提到，資安是六大核心戰略產業之一，過去四年，「資安即國安」，未來四年，則是「資安即國安2.0」。尤其在5G時代來臨，要持續推動資安5+2產業，或是加速各種產業智慧化發展，像是智慧醫療、智慧機械、智慧交通、智慧城市等等，一定要有資安做基礎；當各種數位應用服務都能做到內建資安，這政策就是成功的。<strong>口述☉簡宏偉，整理☉黃彥棻，攝影☉洪政偉</strong></p> </div></div></div>
2020/8/24 09:00作者黃彥棻https://www.ithome.com.tw/news/139538
【關鍵資安議題】新世代資安指揮中心來了！提供更強大的洞察力與執行力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>綜觀近年的資安趨勢發展，威脅的挑戰程度，遠超過多數已布建的資安防護工事，用電玩遊戲來比喻，相當於一名等級100的玩家突然遭遇到等級999的魔物來襲，是個挑戰困難度高到失衡的狀態；但在現實世界中，我們並無法透過大量課金作弊升級、買神裝或神卡，來克服資安威脅攻擊。然而，資安防護任務並非單一個人或小團體的作戰方式，面對層出不窮、已知與未知的現代資安威脅，我們必須透過組織群體合作方式，才能確實有效地應對。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-1(8).jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">駭客攻擊手法已經超出傳統防護模式，企業必須能夠同時從多方位、多維度分析，萃取出威脅情資，並且即時反應處理。</strong><strong style="color: rgb(105, 105, 105);">圖片來源／黃繼民</strong></p> <p>而在資安防護的工作上，SOC過往一直是扮演資安工作的情訊收集，以及持續監控通報的角色，主要由人員、技術、程序等三大構面來組成運作，協助資安事件調查分析與告警通報等功能任務，但由於SOC在事件處理的主動性不足，因此，往往被定位為後勤支援角色。</p> <p>不過，這幾年以來，新一代的SOC崛起，已成為現代資安防護任務不可或缺的資安指揮中心，因為對於資安威脅，SOC除了要能「感覺到」、「看得見」，還要能夠「思考明辨」，並且快速做出準確的行動反應。</p> <p><span style="font-size:28px;"><strong>SOC的型態發展轉變</strong></span></p> <p>一般而言，SOC被稱之為「資安監控維運中心」，最初出現於1975年，主要的工作與任務是協助政府及國防組織，針對防禦低影響的惡意程式碼（意即電腦病毒）的分析研究；到了2007年左右，網際網路的普及，也將資安威脅帶到新的時代，SOC開始因應APT（進階持續威脅）的資安趨勢，而有了大幅改變，而這也是現今比較廣為認知的SOC型態，主要的功能是針對日誌記錄的收集與保存，並且根據常見已知定義的規則生成警報。</p> <p>在此一階段的SOC運作模式中，我們相當倚重的作法，是運用日誌管理系統（Log Management），以及安全資訊事件管理系統（SIEM），而這樣的機制也延續至今。</p> <p>但是，隨著各式新興科技應用的出現，以及各種使用多年的舊有技術接連被揭露安全性漏洞問題，因此，現代的資安防護者須面對巨量且複雜的資訊，還有快速出現但來不及搞懂、學習的新東西。</p> <p>同時，由於傳統的SOC採取消極處理機制，因此，我們在發現入侵（Time to Detect，TTD）和有效回應（Time to Response，TTR）所需的平均時間，已分別增加至197天和69天，而在這一段風險的空窗期間，足以讓駭客完成布局。</p> <p>到了新一代的SOC，則提升為「資安指揮中心」的專責單位，尤其在最近的資安法規中，也明定要求組織內對於SOC的必要性。事實上，新一代SOC需要具備更積極的處理機制，以及快速偵測回應，包括更精確的事件通報、更充足的資安情資、更具體的建議幫助決策執行，進一步做到預警、預測、預防的提前主動性，目的就是要求快速跟精確。究竟，我們將如何建構出具備洞察力與執行力的新世代資安指揮中心（NG-SOC），以下我將針對四項關鍵能力來說明。</p> <p><span style="font-size:28px;"><strong>NG-SIEM提升資安情報的掌握能力</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/600-2-821.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color:#696969;"><strong>NG-SIEM已經加入智能分析能力，能夠針對巨量多變的現代資安攻擊威脅快速分析，提出更精確的情報資訊。在下一階段，NG-SIEM則邁向主動防禦，與SOAR技術整合搭配是未來趨勢發展。</strong>圖片來源／黃繼民</span></p> <p>SIEM也被稱為資安戰情平臺，是幫助SOC資安人員掌握資安事件狀態，以及下定決策的情報中心；但是，過往SOC所採行的舊式SIEM，對於資安事件的處理模式，多半著重於事件日誌的接收保管及機器式的過濾條件，即使套用不知從何而來的關聯規則，舊式SIEM所產生出來的內容，仍是被整齊分類與統計的資料（Data），而非有助於資安事件掌握與決策判斷的情報資訊（Information）。</p> <p>而由於舊式SIEM無法即刻提供明白準確的資訊，也造成SOC對於資安事件的應變處理效率低落，在專業人力的需求亦隨之提升，此時，更遑論建立可靠的聯防機制。</p> <p>所以，當我們在面對現今巨量複雜的資安威脅情勢下，後起的次世代SIEM（簡稱NG-SIEM），如今已經引進大數據分析（Big Data），以及智能處理（Intelligence）等二大新技術，做為核心改造提升動力。</p> <p>首先，大數據分析技術主要應用於NG-SIEM的搜尋引擎核心，主流採用的平臺，包括：Splunk、ELK，以及Hadoop等。有鑑於大數據分析對異質性的巨量資料具有極佳的處理效果，因此，對於過往面對的資安事件資料處理議題，能夠有效解決，包括：當下大量不同來源及格式的資料，以及已發生的過往記錄資料追溯，皆可透過低耗能且極快速的方式，進行大量資料分析處理。</p> <p>接著，是智能處理技術，主要涵蓋人工智慧（AI），以及機械學習（ML）的技術。</p> <p>基本上，導入大數據，只是提升資料分析的處理效率，但要將資料轉換成有幫助的資訊，則須利用AI及ML智能技術相輔，才能真正獲得分析的效果。</p> <p>而且，智能處理具備多維度邏輯推演的資料分析能力。相較於傳統機器式的過濾條件跟關聯規則來說，智能處理能夠幫助SOC，使其對於資安事件的資訊掌握度更加準確快速，並且能進一步發現潛伏中的異狀。</p> <p>綜觀上述，NG-SIEM所要扮演的資安戰情平臺，是提升新世代SOC朝向洞察力與執行力的關鍵基底，畢竟，資訊情報的掌握，是無論任何型態的戰爭所必要的，當然也包括資安戰。</p> <p><span style="font-size:28px;"><strong>XDR提升資安威脅獵捕能力</strong></span></p> <p>「縱深＋聯合防禦」是標準的資安防護準則，實務上，卻不容易達成這些要求，主要原因在於，我們對於資安威脅的偵測（Detection），以及回應（Response）方式，缺乏一致性與協調性。簡單來說，就像瞎子摸象。</p> <p>加上以往的資安工作過於執著於記錄資料（Log Data）的收集，尤其是對於「軌跡保存」與「日後調查舉證」的錯誤認知，因而產生採取下列這些舉動，結果卻成為善盡做好資安工作的「假象」，例如：監督好資安防護系統、偵查系統、存取日誌，以及系統日誌等等的通報跟記錄。</p> <p>但事實上，這些資料對於資安事件的分析與調查工作幫助並不大，主要的原因在於，回應的資料訊息「含金量」不足。</p> <p>因此，EDR是最開始被提出的新一代偵測與回應方法，針對最常遭遇惡意程式威脅的端點（Endpoint），進行「偵測與威脅捕捉、分類、調查和回應」等每個階段的安全作業。</p> <p>而後起的XDR，則是進一步包含網路、端點或雲端等現今主要數據環境，「X」代表多種資料來源，透過連結來自多個來源的數據，清楚完整的提供組織活動整體及各階段偵測到的資安情報。</p> <p>換句話說，透過XDR的偵測方式，並非用單一個「點」來做為資安威脅發現依據，而XDR的回應方式不僅執行阻斷隔離的處置外，更重要的是產生精確的情報資料，對於後續的資安威脅分析作業上，能夠提供更有助於根源追溯、行徑追蹤、行為調查、以及預測、預防的效果，大幅提升威脅獵捕（Threat Hunting）的能力。</p> <p><span style="font-size:28px;"><strong>CTI提升對於資安威脅的識別能力</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/ISSDU%E5%9C%96%E7%89%874_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E9%BB%83%E7%B9%BC%E6%B0%91.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>資安威脅情資的來源多樣，資安人員必須瞭解不同資安威脅情資的類型，以及取得來源方式。我們若能善用情資，將有助於資安威脅事件的分析判斷，並且預先掌握攻擊的意圖與趨勢。</strong>圖片來源／黃繼民</span></p> <p>CTI是網絡威脅情報（Cyber threat intelligence）的縮寫，或稱之為「威脅情資」。基本上，威脅情資不同於新聞訊息。我們能以冰山理論來解釋兩者的差異，例如，新聞訊息就像在水面上已暴露的資訊，而威脅情資包含更多水面下未曝光的深網、暗網及神秘研究情報，同時，「威脅情資」是關於資安威脅，以及威脅參與者的資訊情報集合體。</p> <p>此外，威脅情資主要是已經被發現揭露的攻擊方式情報，包括：</p> <p><strong>1. 技術情報：<span style="color:#696969;">涵蓋了IOC威脅指標、IP/Domain CnC黑名單、惡意程式的檔案名稱或指紋（Hashes）。</span></strong></p> <p><strong>2. 操作手法情報：<span style="color:#696969;">有關於該項攻擊威脅所採用的駭客工具、技術，以及程序。</span></strong></p> <p><strong>3. 戰略情報：<span style="color:#696969;">針對該項攻擊的總體威脅、影響範圍與傷害程度等資訊。另一個值得關注的資訊，則是威脅參與者（或習慣稱為駭客組織），尤其在APT攻擊、目標攻擊，以及規模型態攻擊的背後，幾乎都有駭客組織的操弄。</span></strong></p> <p>就現今而言，「威脅情資」的取得來源越來越多，有開源免費的與商用付費的資選擇，每一家威脅情資內容的專業度與涵蓋量，各有所擅長之處，因此，在選擇上，我建議至少應取得二家以上的情資來源。</p> <p>另一種「威脅情資」的取得，則來自於「分享」。例如，資安資訊分享與分析中心（ISAC），就是透過類似社團會員之間的資安訊息交換模式。幾年之前，臺灣以資安法推動規範八大關鍵基礎的產業，成立領域ISAC，推動情資格式標準化與系統自動化的分享機制。</p> <p>當資安威脅事件的分析過程中加入「威脅情資」的成分，將有助於SOC對於資安威脅事件的掌控。當資安事件發生時，我們不需要再手忙腳亂、緊張兮兮，而是能夠冷靜識別出哪些攻擊事件的手法技巧，是否源出同門？是否有針對性（例如：產業、系統類型、人員等）？或計畫性（例如以掃描情蒐、慢速測試、間歇探測等）的行為企圖，以及是否存在駭客團體犯罪成份。如果我們能夠適當地結合前述的NG-SIEM與XDR，將有助於SOC資安人員快速做出相對正確的防禦準備。</p> <p><span style="font-size:28px;"><strong>SOAR 提升資安聯防協作的自動化應變能力</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/ISSDU%E5%9C%96%E7%89%875_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E9%BB%83%E7%B9%BC%E6%B0%91.png" style="width: 600px;" /></strong></span></p> <p><span style="color:#696969;"><strong>以常見的電子郵件夾帶惡意程式為例，當企業收到一封的可疑郵件時，SOAR可以依據我們針對電子郵件安全政策設計的「劇本（Playbook）」，進行深入檢測分析與應變處理的過程。以往，這一連串的不同作業過程，必須耗費數個小時之久，並且需要將零散的結果彙整報告；而透過SOAR的使用，則可以幫助資安人員於幾秒鐘或幾分鐘內，快速完成一切作業與報告。</strong>圖片來源／黃繼民</span></p> <p>如果說SIEM是善於將資料分析並轉換資訊的大腦，那麼，SOAR則可說專長在應變處理與協調運動的小腦。而對於要做到真正具備洞察力與執行力的SOC資安指揮中心來說，SOAR是重要的關鍵要素。</p> <p>SOAR是什麼？它的全名為Security Orchestration, Automation and Response，意即「資安協作自動化應變」。以過往SIEM為例，對於資安威脅，著重於事件「分析調查與資訊提報」的方法，相較之下，SOAR聚焦在事件「應變處理與協調行動」，換言之，SOAR的技術導入，將大大改變過往SOC被認為「說的多」、但「做的少」的窘境，也因此使得SOAR很快成為各方矚目關注的熱門議題。</p> <p>如前面一再提到，現今資安威脅的情況，不僅是數量龐大且型態複雜，單純靠偵查與分析的方法，只會產生更多應接不暇的事件資訊；但不斷湧入的資安威脅資訊量，在無法有效處理消化下，已經導致許多企業組織產生資安恐慌，以及威脅麻痺的狀況。</p> <p>多數企業會建立非常細緻的資安事件應變處理或標準作業程序，但往往流於紙上談兵，主要因素在於，這些機制程序往往因為推演內容不確實、人員熟練度不足、情報資訊傳遞不通暢等弊病，導致最終無法做出準確的應變處置。</p> <p>此外，聯防自動化雖然也被大量討論，但當中對於「自動化」的做法，其實比較像是執行一段單向的機械式指令，當事件符合規則情境時，就針對特定裝置系統觸發執行定義好的執行命令；只是當實際上面對不同情況的資安事件，以及各式的資安系統（不同類型、多種廠牌）時，要達到理想中的自動化及聯合防禦應變，幾乎是不可能的任務。</p> <p>SOAR技術的出現，則是實現「資安協作自動化應變」的最佳方法。為何這麼說？在研究機構Gartner的《Hype Cycle on Threat-Facing Technologies, 2018》報告，當中是這麼解釋的：SOAR是一系列技術的集合，能夠幫助企業和組織，收集安全維運中心監控到的各種資訊（包括各種安全系統產生的警示），並對這些資訊進行事件分析和警示分類；同時，在標準工作流程的指引下，利用人機結合的方式，幫助安全維運人員定義、排序，以及驅動標準化的事件應變。</p> <p>在技術上，「SOAR資安協作自動化應變」可獨立運作，或是與SIEM相互整合搭配，同時，它也具備了下列三大重要特色：協調作業（Orchestration）、自動化（Automation），以及應變（Response），而這些應用機制的出現，明顯針對傳統資安維運工作所難以達成的部分，進行改善跟補強。</p> <p>而對於企業組織而言，SOAR以技術的形式。將SOC的人員、程序、及技術等三大要素加以整合串聯，將企業組織中不同的系統，或是一個系統中不同元件的安全能力，透過「應用程式介面（API）」的使用，按照一定的邏輯關係，組合成各式的「劇本（Playbook）」，而這些劇本可說是將擬訂好的標準作業及流程，以更具體的可視性圖形呈現，並據此執行完成各種對應的安全作業程序。</p> <p>此外，這些程序能以完全自動化或半自動化的方式來執行。以全自動化模式來說，多半套用在常態性作業（Regular Operations），而半自動化則是在執行動作之前先由相關負責的資安人員或IT人員作「判斷跟決定」，如此可以減少人員在面對多樣不同系統的高度專業要求，並且降低人為操作錯誤跟帳號權限分配等問題。最後，當SOAR對於資安事件的應變處理記錄，也具備資安威脅事件管理效果，其執行的警示通報、工單流程紀錄、各程序執行結果，都將幫助SOC更精準地面對資安威脅事件的調查分析，並且提供政策調整改善的依據。</p> <p><span style="font-size:28px;"><strong>如何縮短偵測與應變時間，以及具備精準判讀能力，是未來資安防護最大挑戰</strong></span></p> <p>關於資安防護策略的發展，我們可預期未來將越來越著重於應變處理，對於平均偵測時間（MTTD），以及平均回應時間（MMTR）的要求，也將更加急促。</p> <p>但是，在追求快速的同時，我們對於資安事件的準確識別與判讀，仍需仰賴更智慧的數據分析方法，並且搭配具邏輯的自動化作業，才是完善的解決方法。<strong>文☉數聯資安股份有限公司資安管理平台發展處副處長黃繼民</strong></p> </div></div></div>
2020/8/24 09:00未署名https://www.ithome.com.tw/news/139539
【臺灣資安大會直擊】擬定資安策略要從完整角度看待，活用資安框架及Cyber Defense Matrix更是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在企業準備要推動資安防護的工作時，現在可能已經聽過不少資安概念與框架，但太多的資訊仍讓企業不知從何下手，或者是只在遇到資安事件時，著急解決當下的問題。</p> <p>因此，現在一些企業最常見的難題，就是資安策略不夠明確、難以實踐，甚至可能脫離真實，那麼，我們能否有更有更好的做法，來建立資安防護策略？在2020臺灣資安大會上，DEVCORE戴夫寇爾執行長兼共同創辦人翁浩正認為，資安不能一直處於短期應急的狀態，必須要有中長期的規畫，而活用資安框架，就是幫助企業擬定長期資安策略的重要工具。</p> <h2><strong>資安策略要同時從風險、程序、控制與技術面看起</strong></h2> <p>對於資安策略的擬定，在這次議程上，翁浩正與該公司一位事業發展經理鍾澤華，他們從風險、程序、控制與技術面，以一個完整的角度來切入，並搭配熱門資安框架與Cyber Defense Matrix模型的應用，讓企業在資安策略上能套用更具邏輯的方法，同時，他們也從自身幫助客戶進行紅隊演練的經驗，來說明在面對真實威脅時，可以如何透過更完整的角度，去緩解一連串的脆弱環節。</p> <p>翁浩正表示，在他們紅隊演練的經驗中，當企業收到技術報告，技術人員可以理解漏洞問題、入侵途徑與解決之道，但從企業資安高層所關注的角度來看，將是資安策略該如何定義。對此，他們利用現有資安框架，剖繪出一個俯視般又立體的構面，提出具體有脈絡的參考建議。讓企業不論在平時或演練後，能有好的方式去規畫資安策略。</p> <p>為了讓大家更好理解資安策略的訂定方式，翁浩正從企業看待安全的方式說起，例如，企業應該要知道的資安狀況，包括現在安不安全，以及現在及未來面臨那些風險（已經發現的主要風險與外部環境可能發生的風險），還有現在及未來需要那些資源。這裡他特別點出「時間點」條件的重要性。</p> <p>對於規畫資安策略這件事，翁浩正透過簡單的方式，來說明其重點與目標，他說，資安策略就等於是有順序性的代辦清單，當中包括了短期、中期與長期的計畫，同時資安策略也等於是企業導入防禦措施後仍須持續處理的事項。而這裡有兩個重點，一是順序性，一是導入後持續降低風險，是他特別強調的部分。</p> <h2><strong>各層面資安策略可仰賴對應的資安框架</strong></h2> <p>那麼，資安策略該如何擬定呢？翁浩正指出：「資安策略的基礎是資安框架，而資安框架要有效果，要靠真實威脅調整。」只是，雖然參考這些框架就可以事半功倍，但彼此間的關連，以及如何應用，仍是不少人會問的問題。</p> <p>為了讓外界更清楚這些資安框架的定位，鍾澤華從企業資安角色與資安框架的關連說起。</p> <p>一般而言，企業內有4種資安人員，角色層級分別是資安長、資安官、資安主管，與第一線資安人員，因此企業制定資安策略將以由上而下的方式來進行，而這些不同層級也意謂著，將從風險、程序、控制與技術，來建構出完整的安全層面。</p> <p>在這4大層面中，資安上的任務各自不同，翁浩正表示，各層都有對應的資源可以參考，他從SANS歸納的風險框架（Risk framework）、計畫框架（Program framework），以及控制框架（Control framework）來說明。</p> <p>例如，以資安長而言，主要考量的是風險與風險評鑑等，相關風險框架可參考的資源，包含NIST 800-39、NIST 800-30，以及ISO 27005與CIS RAM；在資安官的角色上，主要著重在程序面，相關計畫框架可參考資安管理上所熟知的ISO 27001，以及近年熱門的NIST CSF；在資安主管方面，關注的是控制措施該怎麼做，包括控制項較具體的NIST 800-53、CIS CSC；最後的第一線資安人員，或是一般技術人員，專注在技術面，主要掌握的是防禦解決方案與服務。</p> <p>對此，翁浩正也補充說明，例如，在資安官負責的程序面來說，當中提到可對應的NIST CSF與ISO 27001，這兩種框架他認為可以互補，主要依據使用情境；而在資安主管負責的控制面來說，如果企業自己不知道該怎麼做好控制，他非常建議企業可參考CIS CSC（CIS Control），將可從中找到企業奔身所需，並提醒要用長期方式來規畫，像是3年或5年，要求自己達到更好的控制。翁浩正認為，藉由這樣的架構，將可有助於企業釐清更多資安上的問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）DEVCORE資安策略夠明確嗎_R0243575_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E_R0243575_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px; height: 326px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）DEVCORE資安策略夠明確嗎_R0243577_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E_R0243577_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h2><strong>透過Cyber Defense Matrix剖繪各層防禦面</strong></h2> <p>但不只是如此，這樣的4層架構，鍾澤華指出，從攻擊角度來看，這樣的架構也能有助於做好資安。他舉例，當發生資安事件或進行攻防演練，將可透過由下而上的方式，來檢視每一層是否能做好管控。</p> <p>以最下一層的資安設備及服務而言，鍾澤華舉例，當廠商說有一個100%防禦無敵的解決方案，企業該如何搞懂該解決方案到底可以解決什麼問題呢？對此，他談到了一個安全模型Cyber Defense Matrix（CDM）。這是2016年美國銀行擔任首席安全科學家的Sounil Yu所提出，並納入OWASP，或稱之為OWASP CDM。</p> <p>關於Cyber Defense Matrix，是這次議程上的另一大重點，將可有助於企業管理策略的規畫。根據鍾澤華的說明，此Cyber Defense Matrix矩陣是一個5乘5的方格，橫軸分別是NIST CSF的五大類別，包括識別、保護、偵測、回應、復原，並加入了資產類別的縱軸，分別是設備（Devices）、（Application）、應用程式（Application）、網路（Network），資料（Data）與人員（User）。</p> <p>透過這樣的矩陣，企業將可有較容易的方式，知道一個解決方案所涵蓋的面向，這不只是瞭解到一個解決方案，根本不可能解決一切，也能更直觀的方式，掌握到企業本身的資安缺口。</p> <p>不過，翁浩正也強調，這並不是要企業拼命買設備與解決方案，以填補資安缺口。若將先前所提的4層架構立體化，這個CDM的平面矩陣可看做每一層的剖面，這是一個俯視圖的概念，企業將可知道攻擊由下而上穿透時，那些部分是沒有顧到的。他舉例，企業除了從最下層的方案面來著手，往上也能藉由流程面來因應，補足設備面的不足，但也不能全靠流程面來解決就是，因此需要平衡。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）DEVOCRE資安策略夠明確嗎_R0243585_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89DEVOCRE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E_R0243585_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h2><strong>從紅隊演練結果案例來看資安策略規畫與精進</strong></h2> <p>為了讓大家更好理解上述概念，在議程上，翁浩正與鍾澤華也從他們紅隊演練的經驗，透過實際的案例來說明。企業除了由上而下做到資安策略規畫，也能利用上述資安框架與模型，透過演練結果由下而上去回顧與精進。</p> <p>翁浩正以一場實際紅隊演練來說明。他指出，在攻擊過程中，他們先是找出了該企業對外網站上的漏洞，這是企業率先遭攻擊的防禦弱點。</p> <p>值得注意的是，該網站是一個網站管理後臺系統，但因疏於管理，所以被他們找到了任意上傳檔案漏洞，因此可以上傳Webshell後門，之後透過記憶體分析得到管理者密碼的雜湊，經破解密碼，進而取得一個管理者的關鍵帳號，而這個帳號能夠登入另外30多臺主機，他們在這些主機上蒐集帳密後，又找到一個主機的網站程式碼，因此取得關鍵連線資料庫的IP位址與帳號密碼，取得了企業的申請業務的敏感個資資料。</p> <p>接下來，他們進一步瞄準目標內網的控制權，由於他們先前入侵的網站管理後臺系統，本身也有串連到內部網路，因此紅隊循此路徑，就進入了企業的內部網路。他們先是透過WMI取得內網一臺主機的管理者帳號，仿效先前的攻擊手法，從記憶體分析出更多帳號密碼，像是取得可登入RDP服務的子管理者帳密，可控制21臺主機並且持續蒐集帳密。</p> <p>特別的是，他們得到另一臺主機的pmpweb帳號密碼，以及從這些主機中得到一個備份的帳號密碼，最終，他們藉由取得的一個網域／目錄（AD）伺服器的備份檔，找出AD內的密碼雜湊，破解後進而得到大量使用者的資料。對此，翁浩正也順帶提醒的事，現在許多的備份方案，都希望企業的備份帳號具有最高權限，等同於管理者帳號，由於這個備份帳號可以取得全部的資料，一旦被竊取，後果相當嚴重。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8）DEVCORE資安策略夠明確嗎_R0243592_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E_R0243592_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>而這樣的演練結果，其實就可以對應到先前所提的資安框架與模型，才不會讓企業資安策略規畫上存在大盲點。</p> <p>從上述攻擊結果來看，企業防禦上有什麼問題？鍾澤華說明，一般簡單的推想，首先就是程式寫不好，所以該網站管理後臺系統可以被上傳Webshell，還有就是偵測機制不足，回應時間不夠即時，以及帳號密碼或網路管理的問題，但是，問題就只有這樣嗎？</p> <p>對此，鍾澤華表示，這也是企業為何需要框架或標準的原因，因為這些內容其實已經設想了多數常犯的錯誤，而透過這些控制項與前述Cyber Defense Matrix，將讓企業可以更精確的盤點出，在防禦縱深的哪一階段沒有做好，才能知道要挑選何種設備、增加什麼樣的程序，以及需要強化的控制措施。</p> <p>如果沒有這樣的架構，鍾澤華強調，企業將無法知道問題，也就是看出風險或安全問題的全貌，而且，只要這些問題有一小部分沒有解決，這意謂著這個風險其實是持續存在的。</p> <p>例如，他從控制層的CIS CSC，來說明上述紅隊演練結果所對應的內容。在這次紅隊演練結果中，對應的相關CSC控制項，總共包含21項，例如：4.2的變更預設密碼，6.3的開啟更詳盡的日誌記錄，12.1的維護網路邊界清單等，而這些項目將可對應到Cyber Defense Matrix的不同位置，讓企業更具體知道其涵蓋範圍。例如，4.2的變更預設密碼，是在設備與保護的面向：6.3的開啟更詳盡的日誌記錄是在網路與偵測的面向；12.1的維護網路邊界清單是在網路與識別的面向。</p> <p>同時，鍾澤華還說明了一個重要的觀念，就是要制定優先順序（優先權），才能一步步解決問題。簡單而言，CIS CSC可分成基本型、基礎型與組織型，並依據企業規模（Implementation Group）分成IG1、IG2與IG3，他表示，最優先要做的項目是基本型IG1，接著是基礎型IG1、組織型IG1，再來才是基本型IG2，以此類推。例如，在使用者與保護面向的4.2變更預設密碼，就是該次紅隊演練後首要做到的控制項，然後在陸續達到其他20個控制項的要求。</p> <p>進一步來看，在控制面之外，還有另一個重要關鍵，是在程序面是否能與控制面做結合，例如，這些控制項是否對應到ISO 27001的項目。鍾澤華表示，當控制措施對應程序層，才能夠更完整思考企業防禦策略的問題在哪裡，例如，像是在網路與偵測面向的6.3開啟更詳盡的日誌記錄，從ISO 27001來看將是A16.1.5對資訊安全事故的回應，但此一程序面其實不只是包含於偵測，還有回應、復原。綜合來說，可藉此發現待補強的防禦縱深機制，而透過設備、程序與流程的搭配，也才能降低弱點被利用的可能性。而上述這些也就是以更完整的角度，去檢視面對真實威脅的緩解方式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）DEVCORE資安策略夠明確嗎.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）DEVCORE資安策略夠明確嗎.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖9）DEVCORE資安策略夠明確嗎.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89DEVCORE%E8%B3%87%E5%AE%89%E7%AD%96%E7%95%A5%E5%A4%A0%E6%98%8E%E7%A2%BA%E5%97%8E.jpg" style="width: 600px;" /></a></p> </div></div></div>
2020/8/23 23:56作者羅正漢https://www.ithome.com.tw/news/139567
一周大事｜公部門IT外包業者成國安破口，多個政府單位遭中國駭客滲透。G Suite發生大規模故障事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>調查局首度揭露國內政府委外廠商成資安破口的現況，近期至少10個公家單位與4家資訊服務供應商遇害</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0823-01.jpg" style="width: 500px;" /></p> <p>法務部調查局偵辦數起政府機關遭駭案件時，發現公部門及其資訊服務供應商遭中國駭客組織滲透的問題嚴重，至少有10個政府單位，以及4家資訊服務供應商都已經受到攻擊。</p> <p>其中，機關內部VPN安全管理問題，是這次事件揭露的一大重點，其實，在臺灣資安大會上，也有資安專家提到國內企業與政府遭供應鏈攻擊的實例，當中就提到不少案例是駭客會「幫」單位裝Softether VPN軟體，這是早年流行的工具，近年又被駭客拿來利用。<a href="https://www.ithome.com.tw/news/139504" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>G Suite又發生全球大規模故障事件</strong></span></p> <p>Google G Suite部分服務於8月20日下午開始，發生大規模故障事件，包含Gmail、Google雲端硬碟、Google文件、Google Meet和Google Voice，皆出現異常，使得全球許多用戶遭遇無法登入、無法附加檔案等狀況，臺灣也有部分用戶受影響。<a href="https://www.ithome.com.tw/news/139515" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>卡位金融生態圈，玉山銀揭露未來5年數位戰略</strong></span></p> <p>隨著3家純網銀即將開業，加入臺灣數位金融市場，國泰金、台新金紛紛揭露自家金融生態圈戰略，在法說會上，玉山銀行董事長黃男州也公布玉山未來5年的生態圈戰略，「會採取Banking as a Services（銀行即服務）模式瞄準場景金融，銀行本身就是服務，可以嵌入任何場景中。」</p> <p>黃男州認為，純網銀的確加快了數位金融的發展腳步，但這是短空長多。「5年來看，臺灣銀行產業將成長10~15%，餅變得更大了，正在打基礎的純網銀約只會占1～2％，反而是有競爭力，數位發展很快的銀行，可以獲取更多市場占有率。」這個對未來臺灣數位市場的觀察，也影響玉山當前的數位發展戰略。<a href="https://www.ithome.com.tw/news/139527" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google將實驗隱藏網頁完整URL以防釣魚網站</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961A_%E7%B6%B2%E9%A0%81URL_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 300px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961B_%E7%B6%B2%E9%A0%81URL_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 300px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>Google Chrome安全團隊將隨機選擇Chrome 86用戶進行實驗，以確認桌機版Chrome的網址列如果隱藏完整URL，是否能讓用戶更注意他們所造訪網頁的安全性。<a href="https://www.ithome.com.tw/news/139402" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>睽違8年，推特啟用新版第三方App的API</strong></span></p> <p>推特8月正式啟用新版第三方App API，這是自2012年以來的首次改版，採用全新基礎，也加入多項新功能，包括開發人員呼聲最高的訊息串列（conversation threading）、在推文中投票、在使用者資料中釘選推文、垃圾郵件過濾，以及更強大的推文串過濾及搜尋查詢語言功能。<a href="https://www.ithome.com.tw/news/139375" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>控告高通晶片專利授權違反競爭，FTC敗訴</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500_%E9%AB%98%E9%80%9A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%AB%98%E9%80%9A.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／高通</span></p> <p>針對美國政府控告高通手機晶片授權政策打壓對手的官司，美國第九上訴巡迴法院做出判決，認定高通該項政策並未造成打壓競爭的事實，法官指出，FTC提出的資料，無法證明高通收取專利權利金及「沒授權、沒晶片」的條款，對競爭者造成壟斷影響，高通的商業模式是「hypercompetitive」（過度競爭），非「anticompetitive」（反競爭），後者行為才違法。<a href="https://www.ithome.com.tw/news/139344" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>惡意程式透過Xcode專案散布，鎖定macOS零時差漏洞</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:200px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/0823-xcode.png" style="text-align: right; width: 200px; float: right;" /></td> </tr><tr><td><span style="color: rgb(105, 105, 105); text-align: right;">圖片來源_蘋果</span></td> </tr></tbody></table><p>趨勢科技發現一個鎖定macOS電腦的木馬程式XCSSET，攻擊者將惡意程式碼注入本機Xcode專案，讓開發者編譯的軟體，成為散布此木馬的途徑。已有開發人員將問題Xcode專案經由GitHub分享，恐導致類似供應鏈攻擊的風險。<a href="https://www.ithome.com.tw/news/139432" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google想利用手機來建立全球地震偵測網路</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%9C%B0%E9%9C%87%E9%A0%90%E6%B8%AC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>Google計畫利用各地Android手機，來建立全球最大的地震偵測網路，把手機上的加速器當作迷你地震儀，用戶只要加入Android地震警報系統（Android Earthquake Alerts System），就能傳送所在地區的地震訊號，也能在第一時間收到Google的地震警告。<a href="https://www.ithome.com.tw/news/139345" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>TikTok被踢爆暗中蒐集安卓裝置識別資料</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500_TikTok_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Kon%20Karampelas%20on%20unsplash.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_ Kon Karampelas on unsplash</span></p> <p>被美國政府盯上的TikTok，近期被華爾街日報揭露，過去曾違反Google政策，蒐集Android手機的MAC位址資訊，直到去年11月才停止。蘋果App Store及Google Play Store都明訂禁止App蒐集裝置MAC位址資訊。<a href="https://www.ithome.com.tw/news/139349" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>微軟修補120個安全漏洞，有2個已被用來發動攻擊</strong></span></p> <p>在8月Patch Tuesday，微軟修補17個重大漏洞，並有2項漏洞已遭開採。此外，該公司今年截至8月修補的漏洞總量，已超越去年總和。</p> <p>其中2項已被駭客開採的零時差漏洞中，被列為重大等級的CVE-2020-1380，是個腳本引擎記憶體損毀漏洞，會在腳本引擎處理IE記憶體中的物件時被觸發，進而破壞記憶體並允許駭客以現有使用者的權限執行任意程式。該漏洞波及所有平臺上的IE 11。<a href="https://www.ithome.com.tw/news/139346" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>美國密西根州計畫設置全美首條自駕車專用道路</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500_%E8%87%AA%E9%A7%95%E8%BB%8A%E9%81%93%E8%B7%AF_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Cavnue.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Cavnue</span></p> <p>儘管各大科技業者偏好選在矽谷所在地的加州展開自駕車測試，但身為傳統汽車產業重鎮的密西根州，仍積極爭取業者進駐，在2017年底通過一份當時全美最完整的自駕車法令，率先允許全自動的無人駕駛車上路，吸引Alphabet旗下Waymo選擇密西根州的底特律做為生產大本營。而今，密西根也將打造全美國第一條自駕車專用道路。<a href="https://www.ithome.com.tw/news/139407" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>API有3大資安風險2大挑戰，靠AI即時偵測異常是新對策</strong></span></p> <p>隨著API廣泛應用，資安議題也陸續浮現，企業的API更成為駭客入侵的突破口。因此，企業如何管理好自家API，甚至採用新形態的API防護工具，利用AI主動偵測異常API，即時告警與阻斷駭客攻擊，都是企業需面臨的課題。<a href="https://www.ithome.com.tw/news/139531" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>面對後WannaCry時代，資安威脅防護需同時考量OT環境</strong></span></p> <p>2017年全球各地遭到WannaCry勒索軟體的大規模攻擊，但本次事件影響的不只是個人電腦這類IT設備，就連原本大家認為應該獨立於IT網路之外的工業控制系統，也受到重創，主因在於IT網路與OT網路之間的聚合，實體隔離的界線正在消弭，趨勢科技TXOne產品行銷經理許育誠也從WannaCry這項全球資安大事件，來剖析後續產生的影響。<a href="https://www.ithome.com.tw/news/139518" target="_blank">更多內容</a></p> </div></div></div>
2020/8/23 14:00未署名https://www.ithome.com.tw/news/139546
趕上Honeywell，IBM量子電腦達QV64效能里程碑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/qiskit/what-is-quantum-volume-anyway-a4dff801c36f">IBM</a>對外宣布其量子晶片的開發達到了新的里程碑，其量子體積（Quantum Volume）已經實現目前為止最高的數值64。IBM表示，他們已經升級其最新的27量子位元系統Montreal，達到了量子體積64。</p> <p>由於各家量子電腦採用不同技術，很難真正的互相比較，因此科學家設計了概括性效能指標量子體積，綜合量子電腦的能力與錯誤率，來衡量量子電腦整體效能，量子體積越大，用來解決真實世界問題的潛力就越大。IBM的量子電腦Raleigh，在今年1月的時候，量子體積為32分，而現在IBM量子電腦最新里程碑已經達到64分，追趕上在3月的時候，達到64分的Honeywell量子電腦。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_dihbqVdNNaoJJsGVNrYHXA.png" style="width: 580px;" /></p> <p>IBM提到，他們為了要實現量子優勢（Quantum Advantage），使得在量子電腦上，可以比傳統電腦更有效率的處理部分資訊，需要積極地改進量子電路，而量子體積則是衡量量子電路的長度和複雜性的指標。</p> <p>為了實現這點，IBM採用了全新可擴充的硬體方法，改進IBM量子系統中的量子電路，進而改進用戶可以探索的實驗和應用程式，這些新技術將在IBM雲端軟體服務，還有跨平臺開源軟體開發套件Qiskit中釋出。</p> <p>相較於Google提出的量子霸權（Quantum Supremacy）一詞，IBM在量子電腦的發展，則使用量子優勢。在去年10月的時候，Google發表的研究，稱其54量子位元處理器Sycamore，能以4分鐘跑完當時最快超級電腦需要執行1萬年的任務，並提出量子霸權一詞，表示量子電腦的能力已經超越傳統電腦，但是打造出超級電腦Summit的IBM卻出面打臉Google，表示根本不需要1萬年，只需要2.5天。</p> <p>IBM提到，在與傳統電腦比較量子電腦效能時，也該要把傳統電腦的記憶體架構、精度運算和各種軟體資產考慮進去。目前僅有少數演算法在量子電腦上執行，能夠明顯展現出與傳統電腦不同的優勢，因此IBM在表達量子電腦的強大，使用量子優勢一詞。</p> </div></div></div>
2020/8/23 14:50作者李建興https://www.ithome.com.tw/news/139552
Google地圖平臺開始支援Kotlin開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google積極擴展對程式語言<a href="https://cloud.google.com/blog/products/maps-platform/supporting-kotlin-google-maps-platform-developers">Kotlin</a>的支援，宣布在Google地圖平臺支援Kotlin，在Kotlin擴充（Kotlin Extension，KTX）函式庫打包Google地圖平臺Android SDK，並在Google地圖平臺文件加入相關的Kotlin程式碼片段，還有在GitHub上提供範例程式碼。</p> <p>KTX函式庫可讓開發者以Kotlin語言功能與獨有的方式，簡潔地編寫程式碼，現在KTX函式庫打包了現有Google地圖平臺Android SDK，因此開發者可以使用擴充函式、Lambda、命名參數以及協程等Kotlin特有功能，開發地圖應用程式。</p> <p>目前可用的KTX函式庫為Places KTX函式庫，提供Android的Places SDK擴充，另外開發者也可以使用Maps KTX函式庫，提供適用於Android的Maps SDK，Google提到，這些功能是選擇性整合，可讓開發者選用適合的功能，並以Kotlin開發程式。</p> <p>Google也更新了相對應的文件，現在於Android版的Maps and Places SDK文件裡，除了原本的Java外，現在還多了Kotlin頁籤，提供Kotlin程式碼片段供開發者參考。而Google也在GitHub上，發布了Kotlin範例應用程式，展示Maps Platform SDK常見的使用方法，由於這些範例都是開源專案，因此開發者可以直接複製貼上到自己的專案中使用。</p> </div></div></div>
2020/8/23 14:55作者李建興https://www.ithome.com.tw/news/139563
數位內容產業也加入挑戰蘋果App Store的行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>集結全球數十家知名媒體的非營利組織Digital Content Next（DCN）也在本周加入了挑戰蘋果App Store的行列，要求蘋果要比照對Amazon的優惠，減少媒體透過App Store提供訂閱服務的佣金比例。</p> <p>DCN為一針對數位內容產業所設立的國際貿易協會，包括美聯社、彭博社、BBC、CNBC、Discovery、金融時報、Fox、華爾街日報與紐約時報都是該組織的會員。</p> <p>DCN主要抱怨的是蘋果App Store對所有開發者並非一視同仁。負責政府事務的<a href="https://digitalcontentnext.org/blog/2020/08/20/taking-a-bite-out-of-apples-trust-worthy-talking-points/">DCN資深副總裁Chris Pedigo表示</a>，根據眾議院司法委員會所取得的郵件，蘋果與Amazon在2017年時曾達成一項協議，允許雙方的產品出現在彼此的平臺上，例如讓Amazon Prime Video登上Apple TV，以及Amazon則在自家電子商務平臺上販售蘋果商品。</p> <p>蘋果還在該協議中承諾，將把對Prime Video訂閱服務的拆帳比例從30%調降到15%，而且不對既有的Prime Video收取15%的費用，此外，蘋果亦允許Amazon使用蘋果以外的支付系統。</p> <p>Pedigo說，一來蘋果與Amazon並未對外揭露此事，而是私下達成協議，若非司法委員會召開了反壟斷聽證會，此事還不會曝光，二來蘋果執行長Tim Cook也曾在聽證會上承諾，願意把與Amazon之間的協議開放給任何符合條件的開發者。</p> <p>因此，<a href="https://digitalcontentnext.org/wp-content/uploads/2020/08/DCN-Letter-to-Apple-final.pdf" target="_blank">DCN本周發信給Cook</a>，希望蘋果能夠對外揭露該協議的條款，以讓所有符合條件的開發者能夠提出申請。Pedigo認為，這對蘋果來說是項挑戰，包括是否真的願意讓所有規模的開發者都享受與Amazon同等的待遇，Cook在聽證會上說的是否為事實，都值得觀察。</p> <p>DCN的質疑主要來自於包括Spotify與Epic，都曾向蘋果爭取調降App Store的佣金比例或是嵌入自家的支付平臺，卻都遭拒，且Epic在《要塞英雄》（Fortnite）中嵌入自家的Epic Direct Payment支付機制的當天，就被App Store下架了，蘋果還威脅要終止Epic在App Store上的所有開發者帳號。</p> <p>蘋果App Store的壟斷爭議如雪球般愈滾愈大，連臉書都曾對此提出批評，<a href="https://www.ithome.com.tw/news/139430" target="_blank">指出該平臺</a>決定在疫情期間，不向替粉絲頁規畫的線上付費活動抽取佣金，但蘋果卻堅持要收取30%的佣金，看來蘋果很難從這波此起彼落的抗議聲中安然脫身。</p> </div></div></div>
2020/8/22 23:50作者陳曉莉https://www.ithome.com.tw/news/139565
Prometheus相關專案Thanos與Cortex，雙雙進入CNCF孵化器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2018年從雲端原生運算基金會（Cloud Native Computing Foundation，CNCF）畢業的開源監控專案Prometheus，其生態系正在蓬勃發展中，CNCF宣布，建立在Prometheus之上的<a href="https://www.cncf.io/blog/2020/08/20/toc-welcomes-cortex-as-an-incubating-project/">Cortex</a>以及<a href="https://www.cncf.io/blog/2020/08/19/toc-approves-thanos-from-sandbox-to-incubation/">Thanos</a>專案，現在都進入到孵化器中。目前在CNCF孵化器中的專案，達到了21個。</p> <p>Cortex以及Thanos的目標，都是要提供可擴展的Prometheus部署，兩方各有其支持者，Cortex成員包括了Prometheus創建者Julius Volz以及維護者Tom Wilkie，而Thanos專案其中一位維護者，則是Prometheus專案知名成員Frederic Branczyk。</p> <p>Cortex在今年4月的時候，發布了1.0版本，該專案最初由Weaveworks啟動開發，並在2018年進入CNCF沙盒中，是以Prometheus為基礎的開源時間序列資料庫與監控系統，具有水平擴展，還有接近無限的資料留存能力。除了Weaveworks的努力，之後EA與Grafana Labs等多個早期採用者，也都為專案貢獻了不少。</p> <p>Cortex被建構為可擴展，且易於使用的解決方案，可用於Prometheus監控和長期存儲，Cortex多租戶的特性，可以在單個叢集將不同Prometheus來源隔離，使不受信的各方共享同一個叢集。而且Cortex還支援熱門的雲端儲存服務，諸如Amazon DynamoDB、Google Bigtable、Cassandra、S3、GCS和微軟Azure等儲存。</p> <p>目前Cortex主要維護者來自Grafana Labs、微軟、Splunk和Weaveworks。EA、Gojek和Rewe Digital等企業組織已經將Cortex用於生產階段，並且進行超大規模部署。</p> <p>而另外一個陣營Thanos，訴求以簡單且高成本效益的方式，縮放以Prometheus為基礎的系統，目的是要實現全球規模的監控。Thanos由Improbable創建，目前維護者來自AdForm、Grafana Labs、紅帽和Utility Warehouse，已經被阿里雲、紅帽與Monzo等企業用於生產環境。</p> <p>Thanos維護者Frederic Branczyk提到，Thanos是一種易於安裝的解決方案，可以將用戶的Prometheus執行個體，過渡到具有長期儲存功能的監控系統。大多數的Thanos都部署在Kubernetes上，可用來監控跨多叢集與多雲的微服務或是基礎設施。</p> </div></div></div>
2020/8/22 23:30作者李建興https://www.ithome.com.tw/news/139549
【臺灣資安大會直擊】內賊如何閃避IT監控偷資料？精品科技揭露常見隱寫術與混淆手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">客戶涵蓋跨國IT供應商NTT Data及臺灣多家高科技業者的資安廠商精品科技，在資安端點防護已經累績了三十年經驗，資訊安全顧問兼資安部經理陳伯榆，過去更曾多次擔任臺灣資安大會講者，分享內部人員、外包第三方人員從企業內部竊取資料的手法及防護方法。而在今年臺灣資安大會上，他更純粹以資料竊取者的角度，來分析內賊如何竊取企業機密，並輕易閃避企業IT偵測，將資料傳送出去。</p> <p dir="ltr">「有很多資安人員，不曉得如何抓到偷竊行為，可能已經窮舉各種方法，甚至把CMD指令或PowerShell執行權限降到最小，只能執行預設的功能。但這真的有效？」陳伯榆點出企業IT在資源有限的情況下，要查找出竊取行為的挑戰。</p> <p dir="ltr">尤其，這類來自內部的資料竊取者（通常來自內部人員或外包第三方人員，通稱為Insider），通常熟悉企業的資訊環境，比如網段、主機位置、啟用的資訊服務等，也一定程度的掌握了企業員工的習慣，包括員工如何時離開位置、電腦是否登出、是否使用外接儲存裝置等狀態，就連資料的儲存位置、資安管控措施都有所了解。由於內部人員具備了這些有利的條件，一旦受到利益、惡意、政治目的驅使，或是一時疏忽導致機密資料外洩，就會成為企業的災難，甚至帶來更甚於外部駭客攻擊的破壞。</p> <p dir="ltr">近年來，從內部竊取資料的手法也更隱蔽，比如一位名列中國千人計畫的華裔工程師，就疑似把39份美國企業General Electric Power的設計與流程圖，加密並隱藏到一張照片裡，偽裝成一張正常的日落風景圖，再從公司伺服器複製出來傳送到自己的Email中。陳伯榆表示，面對這類偷竊手法，企業在資源有限的情況下，很難一窺或是查找出竊取行為，需要有相關配套環境與管控措施，才能在微跡證的軌跡紀錄中揪出竊取者。</p> <h3 dir="ltr"><span style="color:#FF8C00;">Insider如何把資料偷走？</span></h3> <p dir="ltr">陳伯榆也以技術角度分析Insider竊取手法，來說明內賊難防的原因。</p> <p dir="ltr">首先，在偷資料的過程中，Insider會先把機密資料隱藏起來，透過編碼（Encode）或加密（Encryption）的手法，將機密文件的內容文本，以一道工法進行遮蔽，使其無法透過簡易方式閱讀出文本的真正意義與內容，比如上述案例中，將設計圖加密到一張風景圖中，就是一種隱匿資料的手法。而將機密資料隱藏到各種載體的過程，也稱為隱寫術（Steganography），具有不可察覺（Imperceptibility）、難以檢測（Undetectability）的特性。</p> <p dir="ltr">陳伯榆說明，隱寫術中用來隱藏機密資料的媒介，包括圖片、影片、聲音、內容（txt、pdf）、壓縮檔（zip、rar），且透過非技術性的簡單手法，也可以將機密資料隱寫到文件中，比如透過在Word檔的空白處貼上機密內容，再把文字反白，就能偽裝成一份正常的文件檔案，但事實上已經隱匿了機密訊息。</p> <p dir="ltr">將資料隱匿起來之後，接著，還要把資料偷渡出去才有價值。陳伯榆說，企業對外有各種網路傳輸的渠道，如Mail、Web、DNS Tunnel、FTP、雲端工具等，許多企業往往認為做了嚴密控管，但仍有許多技術管道能嘗試繞過這些限制，比如DNS Tunnel作為與外界通訊的管道，就容易成為機密資料外洩的破口。</p> <p dir="ltr">另一個傳輸管道，則是透過實體的裝置來存取資料，最常見的就是USB，其他還有CD、Mobile裝置、紙本文件、印表機等。尤其許多企業電腦具有雲端列印的功能，若沒有防護措施，偷竊者甚至可以直接將文件列印到家中印表機，這些都是需要防範的傳輸管道。</p> <p dir="ltr">陳伯榆更提醒，偷竊者從網路將資料傳輸出去時，更可能利用混淆（Obfuscated）程式碼的手法，混淆CMD或PowerShell指令，來迴避IT人員的監測分析，達到傳送輸出的目的。而且，多數企業也都缺乏輸入（input）、輸出（output）指令的行為紀錄，容易成為偷竊者迴避監測的管道。最後，將機密資料取出後，就能透過解碼（Decode），完成一次機密竊取。</p> <p>面對這些內部資料偷竊威脅，陳伯榆也建議，市面上仍有合適的產品工具，可供企業快速分析、查找風險，成敗關鍵，在於資安稽核人員需不斷學習並精進相關技術，來累積風險查找的經驗與敏感度。</p> </div></div></div>
2020/8/21 17:28作者翁芊儒https://www.ithome.com.tw/news/139550
Fintech周報第157期：臺灣首屆監理科技黑客松正式開跑，聚焦eKYC、市場資訊即時監理、防詐欺或預警共3大主題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0815</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～</span></strong><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0821</span></strong></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 監理科技 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 黑克松 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">臺灣首屆監理科技黑客松正式開跑，聚焦eKYC、市場資訊即時監理、防詐欺或預警共3大主題</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">由金管會指導，金融總會與臺灣集中保管結算所主辦的<a href="https://www.fintechspace.com.tw/zh-hant/activity/taiwan-regtech-challenge2020/">2020監理科技黑客松</a>（Taiwan RegTech Challenge 2020）在8月中正式開跑，這也是臺灣第一個國際級監理科技挑戰賽，向全球展開為期2個月的招募。而該挑戰賽也是參考了英國TechSprint的機制。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">金管會近年積極推動監理科技，2020年的施政要點更以協助金融市場發展及消費者金融服務需要為方向，持續建構完善金融監理法制，提升金融機構國際競爭力。為了促進數位監理化的成熟度，並探索未來數位風險，金管會在2020年成立監理科技專案小組，邀集集保結算所、聯徵中心及相關周邊單位，共同研議發展我國監理科技，同時整合周邊金融單位與業者資源、引進最新科技與系統。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">配合金管會Open Banking施政方向，舉辦監理科技黑客松有4大目的。包括加速監理科技導入產業的可行作法；透過整合產官數位監理發展共識；鏈結國際法遵科技網絡；凝聚監理科技領域能量，作為主管機關數位監理導入或法規調適的參考依據。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">為了彙整國內金融科技發展需求及痛點，金融總會秘書長，同時也是監理科技黑客松工作小組召集人吳當傑表示，籌備初期，團隊花了3個月走訪銀行局、保險局、證期局與檢查局4大局，以及7大金融機構的高層主管，歸納收斂出挑戰賽的3大主題：eKYC、市場資訊即時監理、防詐欺或預警，找到最真實的痛點所在，才能讓參賽團隊對症下藥。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">而eKYC的對應子題，為多元數位身分認證方式，技術層面比如無卡識別、生物辨識、語言處理。市場資訊即時監理則有3項對應子題，囊括財業務資訊監控，偶發事件即時回傳與分析，以及跨域、跨業、同業、集團內數據合規共享。技術層面有假資料判讀、營運風險預警、法規調適流程自動化、跨資料庫數據整合。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">在防詐欺或預警主題，也有3項對應子題，包括可疑交易或帳戶及內部舞弊行為偵測、借貸違約及證券交易違約風險預警、實質受益人辨識。技術層面為盜領行為偵測、新型風險樣態偵測、交易及借貸違約預警、實質收益人辨識等。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">為了有效促進提案內容落地應用，2020監理科技黑客松還設計「資料提供方或業師（data partner或mentor）」與「個案評估輔導」2套機制。對國內金融產業不熟悉的參賽團隊，可由大會媒合所需數據或業師；複賽到決賽的個案評估輔導期間，大會也會提供法規、法遵及資安、資訊的可行性檢測，協助盤點資安、法規基本項目。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 企業數位帳戶 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 第一銀行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">獨資企業也能線上申辦數位帳戶，第一銀行成國內首家開辦銀行</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/058_%E7%AC%AC%E4%B8%80%E9%8A%80%E8%A1%8C_ATM%E7%9B%9C%E9%A0%98%E4%BA%8B%E4%BB%B6_20160719.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">隨著金管會擴大數位存款帳戶申辦對象，讓獨資企業也能線上申辦企業數位帳戶。第一銀行在8月17日宣布，推出iLEO獨資企業數位帳戶，更是國內第一家推出企業數位帳戶的金融機構。第一銀行表示，獨資企業主只要準備好身分證明文件、自然人憑證及工商憑證，透過線上與客服人員視訊驗證身分後，即可開立獨資企業數位帳戶，不僅省去親臨分行櫃檯辦理開戶的時間，開戶後透過iLEO App即可獲得存款、外匯、信託等金融理財服務。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，第一銀行透露，iLEO App近期也將開放線上申請數位存摺服務。未來，個人用戶或企業主即可匯出存摺及交易明細，作為財力證明及申貸依據等用途。而iLEO App也將於9月開放年滿7歲以上的未成年人線上申請開立數位帳戶服務。iLEO數位帳戶是第一銀行專攻年輕客群的產品，自2019年4月推出以來，使用人數已達33萬戶。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Capital One </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 個資外洩 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">美國Capital One銀行個資外洩案遭重罰8千萬美元，因上公雲前未能建立有效風險評估流程並及時修補缺失</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">美國Capital One銀行去年7月遭駭客入侵雲端系統，遭駭客竊取上億用戶個資及企業資訊，近期遭主管機關處以8千萬美元民事罰金。美國財政部轄下的貨幣監理官辦公室（Office of the Comptroller of the Currency，OCC）指出，之所以做出這項處分，是因Capital One在把重要資訊搬移到公有雲環境前，未能建立有效的風險評估流程，並及時修補缺失。但所幸銀行迅速通知客戶及補救。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">OCC指出，雖然它鼓勵所有銀行採取「負責任」的創新，但是健全的風險管理及內部控管才是確保銀行安全運作、提供客戶充分防護的關鍵，OCC認為Capital One的缺失造成了不安全的環境，也違反了《建立資訊安全標準跨部會指引》的法規。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">去年3、4月Capital One員工Paige Thompson利用對公有雲AWS的了解，利用網路防火牆組態漏洞而駭入該銀行代管在AWS S3服務的客戶資料庫，超過1億名北美客戶資料遭存取，包括解密了部分資料。不過，Capital One仍然提供了加密及部分資料欄位變造（tokenized），像是社會安全碼與銀行帳號等，因而減少資料損失的幅度。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 臉書 </span> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 支付暨金融服務部門 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">臉書成立新的支付暨金融服務部門，由David Marcus領軍</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="font-family: 微軟正黑體, sans-serif; font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="/sites/default/files/images/FireShot%20Capture%20567%20-%20David%20Marcus%20on%20Twitter_%20_Today%20we're%20creating%20a%20new%20group%20to%20look%20af_%20-%20twitter_com.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">曾擔任PayPal總裁，之後負責臉書Libra專案的David Marcus，在 8月10日透過Twitter宣布，臉書已成立了新的支付暨金融服務部門，以掌管臉書旗下的所有相關服務，包括Facebook Pay、Novi及WhatsApp payments等，並由他負責領軍，外界則解讀臉書將全力發展各種支付服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">根據彭博社的報導，此一支付暨金融服務部門在內部被稱為F2，為Facebook Financial的縮寫，該部門將負責執行所有的支付專案。該報亦分析，如果使用者可直接在臉書、Messenger、Instagram以及WhatsApp上購買商品，那麼臉書的廣告就更有價值，且使用者在這些應用的停留時間也會更久。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> MOBI </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 汽車區塊鏈 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> BiiLabs </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">臺灣區塊鏈新創BiiLabs加入汽車開源區塊鏈倡議組織MOBI</span></strong><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202020-08-21%20%E4%B8%8B%E5%8D%883_15_03.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣區塊鏈新創BiiLabs在8月19日宣布，加入了由BMW、福特、通用等汽車公司，協同IBM與Hyperledger等科技機構，共同組成的汽車開源區塊鏈倡議組織（Mobility Open Blockchain Initiative，MOBI）。BiiLabs表示，他們透過分散式帳本技術，應用在出行（mobility）市場，提供汽車支付服務，以及推動包含創星物聯等合作夥伴駕駛行為計費保險（UBI）應用。加入MOBI後，將與組織中的汽車製造商、科技公司及非營利組織合作，推動在出行應用上，區塊鏈的採用和標準化。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">MOBI是一個非營利組織，於2018年成立，現已擁有超過100個組織成員，且會員數持續成長中，與許多出行和區塊鏈領域的參與者合作，包括世界上最大的汽車製造商和車用生態系統參與者，以及眾多新創公司、非營利組織、政府、交通機構以及科技公司。目的在與企業、政府和非營利組織等機構合作，加速發展區塊鏈和分散式帳本的應用與標準，使得出行服務更加安全有效率。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Coinbase </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 比特幣抵押 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 現金貸款服務 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">加密貨幣交易中心Coinbase將在美國17州，推出以比特幣作抵押的現金貸款服務</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">美國知名的加密貨幣交易中心Coinbase在8月13日宣布，將在美國17個州推出以比特幣作為抵押品的現金借貸服務，最多允許該平臺的用戶借出30%或最高2萬美元的現金，年利率為8%。要使用此一服務的先決條件是，使用者必須在Coinbase開立帳戶並存有比特幣。Coinbase表示，有些用戶可能要進行房屋修繕，或是改裝汽車，但並不想賣出自己的比特幣，才使得該平臺規畫了此一服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">不過，使用者最多只能借出所存有比特幣市價的30%，最高為2萬美元。Coinbase強調，8%的年利率低於大多數的個人借貸利率，而且不必審核信用，也能選擇每個月只支付利息，一年後才開始償還本金，只要幾個步驟就能完成貸款，並在3天內取得款項。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">攝影／洪政偉</span><br /><span style="vertical-align: top; font-size: 18.6667px;">圖片來源／FinTechSpace、</span><span style="font-size: 14pt;">David Marcus推特</span><span style="vertical-align: top; font-size: 18.6667px;">、</span><span style="font-size: 14pt;">MOBI</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="vertical-align: top; font-size: 18.6667px;">1. </strong><strong style="font-size: 14pt;">台新金控決議併購保德信人壽，以完成金控版圖布建</strong><br /><strong style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; font-size: 18.6667px;"><span style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2020年8月</span></strong></strong></p> </div></div></div>
2020/8/21 18:07作者李靜宜https://www.ithome.com.tw/news/139551
Google以衛星資料定位北美野火範圍，透過地圖即時推播
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.blog.google/products/search/mapping-wildfires-with-satellite-data/">Google</a>現在於搜尋與地圖服務，提供野火的詳細資訊，包括地點以及火災邊界，並在用戶接近活躍的火災區域時發出警告，並且提供最新的資訊，幫助用戶遠離野火威脅。</p> <p>每年8月到11月是加州乾旱季節，雖然發生山林火災屬常見的現象，但是今年因為受極端氣候影響，野火災情提早到來，現在加州數百處嚴重程度不一的野火，正在延燒擴散。而之所以現在Google能在搜尋以及地圖服務，提供精確的野火資訊，Google提到，是10年前發生在以色列北部卡梅爾山區的森林大火，開啟了他們建構相關功能的契機。</p> <p>Google在以色列的辦公室，距離卡梅爾山大火發生地點不遠，火災發生時，雖然辦公室的員工，在網路上盡可能地搜尋相關的新聞，想具體了解發生什麼事，以及需要採取的應變措施，但都只能找到一些他們用肉眼就能確認的事實。Google提到，資訊不足可能最終造成生命傷亡，因此他們決定開始建構可以在危機期間，快速且精確提供人們資訊的功能。</p> <p>在卡梅爾山大火發生當下，Google就快速的在搜尋中加入小功能，讓人們容易找到火災緊急應變中心電話，這項功能也發展成為2017年，Google所發布的SOS警報功能。而現在Google又進一步強化該功能，在搜尋以及地圖的SOS警報加入野火邊界地圖資訊，提供用戶查看野火發生的區域。</p> <p>Google使用來自美國國家海洋與大氣管理局（NOAA）GOES衛星群的資料，結合Google地球引擎資料分析功能，能以接近即時的速度，繪製出野火的區域。每小時NOAA衛星所提供的紅外線和光感測器資訊，可用來偵測地球表面大火等發熱點，經Google地球引擎計算之後，便能辨識出受火災影響的區域。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Wildfire_Detection_Animation.gif" style="width: 600px;" /></p> <p>Google搜尋和地圖能在地圖上顯示紅色外框的多邊形，標示出野火大致影響區域，當同一地區發生多次大火，那用戶便會看到多個多邊形。只要用戶搜尋加州野火，或是Kincade fire等關鍵字時，Google還會提供野火的詳細資訊，包括邊界、名稱和位置，以及一些有用的新聞報導，和緊急應變機構等資訊，Google地圖用戶也會收到相同的資訊，且當用戶在野火區域附近探索時，也會收到警報推播，提供相關的最新資訊。</p> </div></div></div>
2020/8/21 16:20作者李建興https://www.ithome.com.tw/news/139544
美大學強迫學生安裝COVID-19檢測及定位App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國各級學校開學、復學在即，<a href="https://techcrunch.com/2020/08/19/coronavirus-albion-security-flaws-App/" target="_blank">Techcrunch報導</a>，為了確保學生做過COVID-19檢測，以及提供接觸追蹤，一所大學強迫學生安裝一款稍早還爆發漏洞的App，而且擅自關閉定位追蹤者可能遭到處份。</p> <p>美國當地大專院校即將在疫情方熾中開啟新學期，讓校方繃緊神經，採取多項防範措施。例如密西根州的<a href="https://www.albion.edu/news-and-events/recent-news/news-archive/735-academics/14873-albion-college-outlines-fall-2020-semester-academic-plan" target="_blank">Albion學院</a>規畫的新學期，會在8月24日開始，於11月感恩節，而非傳統上的聖誕節前夕結束。但該校也要求師生開學當天接受COVID-19抗體檢測，並安裝名為Aura的App。</p> <p>這款App具備接觸追蹤、檢測排程、以及出入准許功能，並產生QR code作為出入驗證。學生接受過檢測後，資料就會餵進App及通知校方。未來學生出入某個場合時，檢測為陰性的學生掃瞄QR code會顯示「通過驗證」（certified），但檢測結果為陽性或尚未檢測的學生在掃瞄QR code時，即會出現「不得進入」（denied）。</p> <p>此外，若檢測陰性的學生和檢測陽性的學生有過一段時間的近距離接觸後，Aura就會發出警告。但是報導指出，Aura使用的技術，和蘋果、Google提供的曝險通知（exposure notification）不同，它會經常存取學生即時位置，校方聲稱這是接觸追蹤的必須。</p> <p>根據媒體拿到的郵件顯示，利用定位功能，校方企圖監控學生行動。例如校方要求學生不得在未經許可情況下離開校區，以免在外感染回校傳染給師生。若擅自離校這款App會通知校方，該生學生證即被鎖卡而不得進入校園大樓。</p> <p>學校還警告若是學生違規關閉定位功能，可能遭到停學或是開除的處分。</p> <p>此外，報導還指出，這款App還存在可能導致資訊外洩的漏洞。這項漏洞出現在產生QR code的方式。Techcrunch分析發現，產生學生QR code的Aura網址包含Aura用戶帳號，因此增減帳號即可產生不同人的QR code。只要掃瞄這些QR code即可得知學生的全名、COVID-19檢測結果，以及出入驗證的日期等資訊。報導推測可能有1.5萬名學生資訊可因此外洩。</p> <p>在媒體通知後，開發該App的廠商已修補漏洞。不過<a href="https://www.dailymail.co.uk/news/article-8639557/Michigan-college-fire-making-students-download-App-track-movements.html" target="_blank">學生家長仍然質疑</a>，密西根州已經有接觸追蹤App，這款App根本是畫蛇添足。</p> </div></div></div>
2020/8/21 16:20作者林妍溱https://www.ithome.com.tw/news/139548
Uber前安全長Joe Sullivan因蓄意隱瞞資料外洩事件被起訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2015年至2017年間擔任Uber安全長的Joe Sullivan，因為隱瞞了駭客攻擊事件，在本周遭到美國司法部起訴，罪名是妨礙司法及隱匿重大犯罪，最多可能面臨8年的牢獄之災。</p> <p>根據美國司法部的<a href="https://www.justice.gov/usao-ndca/pr/former-chief-security-officer-uber-charged-obstruction-justice">說明</a>，當Sullivan在2015年接任Uber首任安全長時，美國聯邦交易委員會（FTC）正在調查Uber於<a href="https://www.ithome.com.tw/news/94234">2014年的資料外洩事件</a>，而Sullivan當時便負責與FTC交流，但就在Sullivan任內，又發生另一起資料外洩事件，Sullivan卻選擇隱匿不報，而且還支付了價值10萬美元的比特幣予駭客，要求駭客移除所盜走的資料且不得對外聲張。</p> <p>調查顯示，駭客在2016年成功入侵Uber，盜走了5,700萬名Uber乘客與司機的資料，內含乘客姓名、電子郵件帳號及行動電話號碼，以及60萬名美國Uber司機的駕照資料。</p> <p>不過，Sullivan非但沒有通知執法機關或FTC，反而與駭客訂下協議，以Uber的抓漏專案為名，支付了10萬美元予駭客，並與駭客訂定保密協議，還在保密協議中註明駭客並未取得或儲存任何Uber用戶資料，且當時Sullivan甚至不知駭客的真實姓名。之後當Uber團隊確認駭客身分之後，Sullivan再度要求駭客重新簽署保密協議，同樣宣稱駭客並未取得Uber用戶個資。</p> <p>此外，當知情人士詢問Sullivan為何在保密協議中描述錯誤的資訊時，Sullivan依然堅稱駭客未取得Uber用戶資料。</p> <p>在2016年8月接任Uber執行長的Dara Khosrowshahi，也曾要求Sullivan彙報當年的資料外洩事件，Sullivan修改了團隊成員的簡報，刪除了駭客取得Uber用戶資料等細節，還說他是在確認駭客身分之後才支付贖金的。</p> <p>Sullivan則在Khosrowshahi查明事實之後於2017年離職，同時也受到美國司法部的調查，在本周正式遭到起訴，罪名為妨礙司法及隱匿重大犯罪。</p> <p>美國聯邦檢察官David Anderson指出，矽谷並非蠻荒之地，他們期待良好的企業公民意識，希望企業舉報犯罪行為並協助調查，無法容忍企業的隱匿與私下付款的行為。FBI主管Craig Fair則說，向執法機關隱瞞重大犯罪事件屬於犯罪行為，企業不該協助駭客隱匿犯罪，也不應遮掩駭客竊取他人數據的犯罪企圖。</p> </div></div></div>
2020/8/21 15:50作者陳曉莉https://www.ithome.com.tw/news/139542
Android 11將讓用戶更難使用第三方相機程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周<a href="https://issuetracker.google.com/issues/162643544#comment6">表示</a>，為了確保用戶隱私，Android 11最新變更將要求手機上的App，只能使用手機內建的相機程式，即使用戶手機上有其他偏愛的拍照App。</p> <p>原本Android App如果有拍照或錄影的行為，可利用Android 相機API，在App內拍照，或是傳送到專門的相機程式App，這時Android會顯示對話窗格，讓用戶選擇手機內建的相機App，或是第三方App如OpenCamera。但Android 11的最新變更，讓第三方相機App無法回應錄影及拍照的3種意圖（VIDEO_CAPTURE、IMAGE_CAPTURE、IMAGE_CAPTURE_SECURE）。這麼一來，Android 11上跳出的對話窗格只會顯示手機預建的相機App。這意謂著，使用者如果想用第三方相機App必須手動開啟，讓第三方App使用變得更麻煩。</p> <p>Google 本周在Android討論區解釋，這可防止有心人士藉第三方相機App蒐集地點資訊，確保用戶隱私和安全。</p> <p>不過Android 11仍然留了一條路：第三方App仍然可傳送明示的意圖，指定特定的App名稱或元件以便啟動第三方相機App，例如Adobe最新推出的Photoshop Camera。</p> <p>XDA Developer<a href="https://www.xda-developers.com/android-11-blocks-third-party-camera-Apps-Appearing-image-video-picking-intents/">指出</a>，這表示未來App開發商必須先設想好他們想支援哪些第三方相機App。</p> </div></div></div>
2020/8/21 15:50作者林妍溱https://www.ithome.com.tw/news/139543
MITRE公布這兩年全球最危險的25種軟體安全缺陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>管理包括資安在內等多個研發中心的美國非營利組織MITRE，在本周公布了這兩年<a href="https://cwe.mitre.org/top25/archive/2020/2020_cwe_top25.html">最危險的25種軟體安全缺陷</a>（Common Weakness Enumeration，CWE），占據第一名的是可能衍生出各種跨站程式攻擊（Cross-site scripting，XSS）的CWE-79。</p> <p>CWE全名為通用缺陷列表，是由MITRE負責管理的National Cybersecurity FFRDC所贊助的專案，它把各種軟體漏洞分門別類，總計提供逾600種分類，與業者修補漏洞時所使用的「常見漏洞披露」（Common Vulnerabilities and Exposures，CVE）不同，CVE指的是軟體中的具體漏洞，而非只是分類。</p> <p>其實CWE專案去年也曾發布<a href="https://www.ithome.com.tw/news/134475">2019年最危險的25種軟體缺陷</a>，今年前25名的差異並不大，只是名次有些異動，MITRE說明，這是因為今年他們突顯了更具體的安全缺陷，使得那些較為抽象的漏洞類型排名下滑。此外，這些漏洞的排名主要是根據它們是否很容易被發現與攻陷，以及是否允許駭客完全掌控系統、竊取資料或阻止應用程式運作而定。</p> <p>今年所列出的前五名最危險漏洞類別中，第一名為CWE-79，它肇因於在網頁生成的過程中，出現不當的中和輸入（Improper Neutralization of Input During Web Page Generation），而可能衍生出各種跨站程式攻擊，它在去年僅排名第二。</p> <p>第二名則是CWE-787的越界寫入（Out-of-bounds Write）缺陷，指的是軟體會在預期的緩衝區之外寫入資料，一般可造成資料損毀、當掉，或是允許程式執行。CWE-787在去年的排名是第12。</p> <p>第三名為CWE-20的不適當輸入驗證（Improper Input Validation），意指產品所接收到的輸入資料未經驗證，或是不適當地驗證了含有不安全內容的輸入資料。CWE-20與去年的排名一致。</p> <p>第四名為CWE-125的越界讀取（Out-of-bounds Read）缺陷，亦即允許軟體讀取緩衝區以外的資料，通常可允許駭客讀取存放在記憶體中的機密資訊或是造成系統當掉。它在去年排名第五名，今年上升了一名。</p> <p>第五名則是CWE-119，屬於記憶體緩衝區內不當的操作限制，這是因為特定語言容許直接取得記憶體區域，但並未自動確保這些記憶體緩衝區是有效的，可能造成在這些區域中的讀寫操作牽連到其它的變數、資料結構或內部程序資料，使得讀寫行為超越緩衝區界線，而讓駭客得以執行任意程式、變更控制流程、讀取機密資訊或導致系統當機。CWE-119是去年的第一名。</p> <p>MITRE表示，2020 CWE Top 25是參考了2018年與2019年的美國國家漏洞資料庫（NVD），分析2.7萬個CVEs的特性與CVSS（常見漏洞評分系統）分數而成，以期客觀地了解現實世界中真正存在的軟體缺失，將讓專案管理員、安全研究人員或教育人員得以一窺當前的資安景況。</p> </div></div></div>
2020/8/21 16:00作者陳曉莉https://www.ithome.com.tw/news/139545
猶他大學遭勒索軟體攻擊：付贖金的原因不是為了解密資料，而是贖回被盜的學生資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩年有愈來愈多的勒索軟體駭客集團在加密系統上的資料前，會先下載資料，以增加與被害者談判的籌碼，而本周美國猶他大學即證實了這個現況。猶他大學以一己之力復原了被駭客加密的系統，卻為了保護被駭客下載的員工與學生資料，而選擇支付贖金。</p> <p><a href="https://attheu.utah.edu/facultystaff/university-of-utah-update-on-data-security-incident/" target="_blank">猶他大學表示</a>，該校社會與行為科學學院的幾臺伺服器在7月17日遭到勒索軟體攻擊，該學院立即通知該校的資訊安全辦公室（ISO）與執法機構，最後判斷這些伺服器上只有0.02%的資料被加密。在短暫隔離這些伺服器並清除惡意程式之後，ISO很快就以備份的資料復原了相關伺服器，且該攻擊事件並未波及學校的中央IT系統。</p> <p>儘管已恢復系統運作，然而，幾經考慮，猶他大學還是決定支付45.7萬美元的贖金予駭客，以確保教職員或學生的個人資訊不會流落在公開網路上。該筆金額有部份是由資安險支付，其它則是動用了學校的資金。</p> <p>目前該校仍在調查受到影響的人數，但為了以防萬一，該校已在7月29日要求全校教職員與學生變更他們的登入密碼，且啟用雙因素認證機制。</p> <p>猶他大學表示，該校原本就有編列不小的預算來保護校園的資訊安全，包括防範勒索軟體攻擊，也會適時修補必要的漏洞且24小時監控校園網路，但即便如此，複雜的運算需求與分散式的特性，仍讓該校淪為勒索軟體的受害者，未來該校將把各學院系統上的個人及機密資訊轉移到中央系統上，並建置更安全的環境，也會把學院網路整合到由中央管理的校園網路。</p> </div></div></div>
2020/8/21 16:05作者陳曉莉https://www.ithome.com.tw/news/139547
臺大、北榮、北醫三團隊展示AI輔助診斷系統，大幅縮短心、腦、肺重大疾病診斷時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在政府推動精準醫療及精準健康政策，以及AI產業應用之下，科技部與衛福部聯手推動國內醫療影像AI應用，本周臺大、榮總、北醫三個研究團隊展示成果，透過AI輔助判斷醫療影像，協助醫師判別心、腦、肺重大疾病，大幅縮短診斷時間。</p> <p>科技部推動「醫療影像之巨量資料建立與應用研究專案計畫」，2018年與臺灣大學、臺北榮總、臺北醫學大學合作，啟用國內第一個跨院所的醫療影像資料庫，涵蓋心、腦、肺部醫療影像資料，由三個醫療團隊以人工方式標註資料，並進一步和其他業者、研究單位聯手，發展醫療影像AI診斷模型。</p> <p>隨著專案即將在今年底結束。科技部政務次長謝達斌表示，衛福部、科技部及經濟部將展開合作，從2021年推動4年期的精準健康大數據永續平台，結合醫療影像、病理、基因資料形成複合式的巨量資料，可以加速臨床轉譯開發研究，除了可為國人健康把關、更有效率的治療，也能幫助國內生醫產業發展。</p> <p>謝達斌指出，醫療影像對臨床診療有相當大的幫助，也是AI最有明顯效果的領域，透過補助學研界對心、腦、肺重大疾病，在AI輔助檢測判斷醫療影像下，短時間內就能產出具國際標準的檢測報告，讓醫生覆核的依據，臨床上從傳統20、30分鐘降到5分鐘，研發過程標註的模型及資料庫放在國網中心，在保障個人隱私下提供給其他團隊使用，帶動進一步的發展。相信對小醫院及偏遠地區的輔助判斷能夠帶來幫助，未來影像數據加值發展精準醫療，也能建立良好示範，加上共享機制和個資保護，有助於加速我國醫療AI及產業發展，這些成果也為複合式資料運用的精準醫療發展打下里程碑。</p> <p>衛福部健保署為了協助三個團隊在醫療影像AI診斷模型訓練上能突破訓練用資料的侷限性，健保署和科技部合作，開放三個團隊運用健保署從前年開始蒐集民眾在各個醫療院所做CT、MRI、X光檢查影像資料，現在約有超過17億張的影像資料，運用這些多樣性資料進一步優化AI模型辨別的準確性。</p> <p><span style="color:#B22222;"><strong>北榮展示腦轉移瘤AI輔助診斷系統，開設多個AI輔助門診</strong></span></p> <p>臺北榮總針對腦部轉移瘤展示了AI診斷系統DeepMets，該團隊使用榮總歷年累積的各種腦部腫瘤影像資料，共超過160萬張影像，經過篩選、標註，2018年他們和臺灣人工智慧實驗室合作展示第一個版本。雖然第一版已有不錯的辨識準確性，但由於訓練資料仍有侷限性，因此他們除了使用自家的1,100個病例，也利用健保署資料庫中的3,100多個腦轉移瘤病案，利用開源的聯合學習（Federated Learning）套件Harmonia進行聯合學習，開發出DeepMets+，強調在不同的主要MR設備廠牌上能夠找出腦轉移瘤病灶，計算數量、最大徑、體積等。DeepMets+在腦轉移瘤判斷的Precision達到97%、Recall召回率達95%、F1 Score達96%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/brain.jpg" style="width: 600px; height: 426px;" /></p> <p>AI輔助診斷也對民眾看病流程帶來影響，在未導入AI輔助診斷之前，傳統的肺癌檢查流程，從患者在胸腔科看門診，安排磁振及電腦斷層檢查，理論上放射科醫師花費5至7天時間製作報告，病患再回診看報告，由醫師決定治療方針。</p> <p>導入AI輔助診斷後，臺北榮總放射線部主任郭萬祐指出，原本的流程縮短了，例如病患在早上看過胸腔科門診，循綠色通道，中午為病人安排影像檢查，當天下午第二次門診，由AI輔助診斷系統協助醫師判別腦轉移瘤情形，判別肺癌發展至哪一階段，及早決定病人的治療方針。醫學影像檢查的正式報告，仍由放射科醫師花費5到7天製作。</p> <p>北榮已將DeepMets應用在該院的神經影像及胸腔內科AI輔助門診，偵測腦轉移瘤病灶，已應用在超過1,500個病例上，醫生閱片時間從人工至少10分鐘降為30秒，診療流程從2週縮短為半天。</p> <p>目前北榮已開發出約10支AI模型，郭萬祐表示，DeepMets未來不只放射科，模型也放至胸腔科，可以想像診間內有各種模型，輔助醫師診斷肺結節、結核、腦轉移瘤、肺癌。</p> <p>北榮在去年2月已在三個門診使用AI輔助診斷，包括AI輔助心房顫動電燒門診、AI輔助腦影像門診、AI輔助脊椎骨折門診，今年新增青光眼門診。</p> <p><strong><span style="color:#B22222;">北醫靠AI縮短醫師檢視、診斷肺癌時間</span></strong></p> <p>根據衛福部統計，肺癌爳國內癌症死亡率第一，病患五年的存活率只有15%，且高達7成的串者診斷時已是末期，為了及早診斷肺癌，臺北醫學大學（北醫）在科技部補助下，開發肺部人工智慧診斷輔助系統Deep-Lung，這套系統分為兩部份，分別檢測CT電腦斷層影像、數位病理影像。</p> <p>北醫展示的肺部AI診斷系統Deep-Lung，包括左邊螢幕的CT影像，靠AI找出肺結節，右邊則是數位病理全玻片影像，找出切片中的癌細胞，並對其分群：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Deeplung.jpg" style="width: 600px; height: 386px;" /></p> <p>在肺部CT影像方面，北醫運用影像標註、語意標註，共計6千例，肺結節標註系統，北醫運用3D-RPN偵測肺結節位置，可偵測多顆肺結節，北醫副校長陳震宇表示，精準度Sensitivity已達到近86.9%。進一步透過特徵提取、深度學習模型，對良惡性分類的準確率可達到98%。綜合偵測、分類、自動報告發展出肺結節CT診斷輔助系統Deep-lung:LungRads，利用AI輔助偵測、分類，以及按照肺結節處置自動分級，建議醫生處置方式。</p> <p>至於數位病理影像方面，北醫以3千片肺部病理影像，和雲象科技合作開發數位病理全玻片檢測系統Deep-Lung：Patho CAM。由於全玻片病理影像檔案高達1GB，他們和國網中心合作，運用臺灣杉二號的運算能量，利用CNN架構結合專利技術對癌細胞分群，同時以視覺化方式標示出全玻片影像中病灶位置。</p> <p>陳震宇強調Patho CAM已能在全玻片影像中，只要10秒鐘找出癌細胞的位置，準確率可達90%，猶如在Google Earth中找到某一棟建築物，由於80%的肺腺癌混有兩種以上的亞型癌細胞，不同亞型對治療方式的效果也有差異，這套系統還能進一步分辨癌細胞的亞型分布及定量，協助醫師擬定適合的治療方針。</p> <p>根據北醫的測試，在肺部CT影像方面，放射科醫師檢視CT影像所需時間約需20分鐘，AI自動產出診斷報告只要10秒，而醫師覆核時間只要5分鐘，大大節省時間。而病理科醫師檢查全玻片影像，一般需要45到60分鐘，透過Patho CAM協助，AI偵測約10秒完成，醫師覆核只要20分鐘。</p> <p>「Deep-Lung可以降低醫生偵測、診斷的時間，對經驗不足的中小型醫院來說，也能帶來相當大幫助」，陳震宇說。</p> <p><span style="color:#B22222;"><strong>臺大開發心臟主動脈鈣化、脂肪的AI分析模型</strong></span></p> <p>專注在心臟血管重大疾病的臺大團隊，結合臺灣大學及臺大醫院團隊，並和8個醫學中心聯手，運用8個醫學中心的去識別化CT電腦斷層影像，在心臟及放射科醫師標註心包膜、升降主動脈輪廓，經他們自行開發的Heaortnet神經網路，跨多個醫學中心CT設備進行聯合學習，開發心臟主動脈鈣化、脂肪的AI分析模型。</p> <p>現場展示的心臟主動脈鈣化、脂肪的AI分析模型：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20200820_110223-1.jpg" style="width: 600px; height: 450px;" /></p> <p>臺大醫院內科教授王宗道強調，心臟分割準確率達到94.2%，單一病例分析只需0.4秒，目前已應用在臺大醫院影像醫學部的輔助報告上。</p> <p>該研究也運用健保署影像資料庫平臺，近3,000筆共10萬片CT影像在20分鐘內完成分析，以預測民眾的健康風險。臺大也和商之器合作開發桌上及行動App，預計在部立醫院使用。</p> </div></div></div>
2020/8/21 16:15作者蘇文彬https://www.ithome.com.tw/news/139541
Adobe Lightroom iOS App 5.4.0版可能誤刪用戶相片、設定，且無法復原
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周Adobe釋出的相片編輯App Lightroom 5.4的iOS/iPadOS版有重大臭蟲，會導致用戶手機和平板內的相片及設定被全數刪除，而且Adobe說無法復原。</p> <p><a href="https://petapixel.com/2020/08/20/lightroom-App-update-wipes-users-photos-and-presets-adobe-says-they-are-not-recoverable/" target="_blank">PetaPixel</a>首先報導，本周有用戶分別在<a href="https://feedback.photoshop.com/photoshop_family/topics/lost-my-pictures-and-presets-after-update-today-18th-august-2020" target="_blank">Photoshop討論區</a>與<a href="https://www.reddit.com/r/Lightroom/comments/icz90f/i_cant_believe_i_lost_2_years_of_edits_due_to_the/" target="_blank">Reddit</a>反映此事。他們升級到Adobe iOS版Adobe Lightroom 5.4 App後，手機中所有相片及設定都被刪除。任何沒有備份或同步到Adobe、或其他雲端服務的相片都不見了。</p> <p>一名用戶聯絡Adobe客服後，得到的答案是問題無法解決，所有被刪的相片都無法復原。</p> <p><a href="https://feedback.photoshop.com/photoshop_family/topics/lost-my-pictures-and-presets-after-update-today-18th-august-2020" target="_blank">Adobe周三證實此事</a>，指出升級到Lightroom 5.4.0的iPhone和iPad 用戶，如果沒有和Lightroom 雲端同步，可能發生相片及設定遺失的情形。Adobe也緊急釋出修補該臭蟲的iOS和ipadOS版Lightroom 5.4.1版本。但是該公司坦承，升級到5.4.1版並不能回復用戶之前被刪的相片和設定。</p> <p>至於Android App、Windows和macOS版Lightroom用戶，則不受影響。</p> <p>由於Adobe這端已無法解決，除了道歉外，Adobe建議iOS版用戶試試從iCloud備份回復相片。</p> </div></div></div>
2020/8/21 12:15作者林妍溱https://www.ithome.com.tw/news/139540
臺灣資安大會直擊（上）資安將是臺灣新戰略產業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府終於下定決心，要善用臺灣獨特的世界級資安產業優勢！那就是源源不絕的惡意程式「天然資源」。</p> <p>來自境外、海峽對岸的網路威脅，源源不絕的駭客攻擊，曾是臺灣不論是政府或企業，極大的威脅和挑戰，甚至資安圈稱臺灣「是擁有源源不絕惡意程式天然資源的國家」。但這股壓力，練出臺灣一身資安功夫，屢屢有資安新創和資安高手在國際展露頭角。但在10年前，這股力量只在民間、業界發酵，政府還沒感受到臺灣資安的產業潛力，直到現在。</p> <p>在今年520總統就職演說中，蔡英文總統將資安產業的地位，第一次，拉高到與半導體、精密機械、生技醫藥那樣重要的國家關鍵核心產業。</p> <p>在演講中，蔡英文提出的臺灣產業發展新方向是，要在原本「5+2產業創新」的基礎上，進一步聚焦於6大核心戰略產業。第一個是臺灣向來的龍頭產業，以半導體和ICT產業為首的資訊數位產業，但名列第二的就出人意料的是結合5G、數位轉型和國家安全的資安產業。其次是生物醫療科技、國防戰略產業、綠電再生能源產業，以及最後一項是在抗疫大戰後更顯得重要的民生戰備產業。</p> <p>將資安視為國家戰略產業，是蔡英文「資安即國安」國家戰略的下一步發展，過去4年，為了轉型數位國家，發展數位經濟，政府對資安的重視拉高到了國家安全的層次。從多項資安法規的完善、政府資安專責機構來形成政府資安鐵三角，強化關鍵基礎設施資安防護，甚至是，推動了多個產業的資安聯防架構。</p> <p>但要如何讓資安產業，也能像半導體，成為臺灣在全球數位競賽的火車頭之一，政府接下來要怎麼做？各界都很期待。</p> <p>蔡英文提出幾項發展方向，一是，將加速成立整合資訊、資安、電信、網路和傳播五大數位發展相關業務領域的「數位發展部」，其次，搶先布局AI及IoT資安應用，讓臺灣科技產品獲得全世界的信任，成為重要的競爭優勢，而在政府部門關鍵基礎設施的強化作為上，也會建立以數據驅動為核心的主動防禦體系。「透過結合5G和數位轉型，提升臺灣整體數位國力，打造結合數位實力以及國家安全的資安產業，以及被世界所信賴的資安系統及產業鏈。」她說。</p> <p>不只蔡英文揭露國家下一階段資安產業方向，多個產業主管機關也在臺灣資安大會揭露了新的資安政策方向。</p> <p>例如金管會在臺灣資安大會前一周，公布了8大金融資安行動方案，金管會主委黃天牧更親自點出，這個方案從強化主管機關資安監理、深化金融機構資安治理、精實金融機構資安作業韌性、發揮資安聯防功能等4大面向切入，目標是達到安全、便利、不中斷，以及消費者個資保護。</p> <p>已經推動3年多的F-ISAC，逐漸形成臺灣金融圈彼此資安情資共享的平臺，光今年上半年，金融機構會員分享給F-ISAC的情資就有218則。黃天牧指出，下一階段，要讓資安應變機制也能資源共享。另外，金管會也計畫推動類似了美國「避風港計畫」的資料保全新作法，透過第三方儲存來建立多一道金融機構資料保全機制。甚至，黃天牧想進一步推動金融圈建立一種健康、透明的資安文化，即使遭遇資安事件，也能用積極正面的態度來面對資安威脅，透過集體努力來建構資安的安全網。</p> <p>另外，NCC委員孫雅麗也在臺灣資安大會上揭露，明年1月初，將成立一個國家級的通訊軟體領域安全實驗室，目標是協助5G網路業者，與第三方服務商完成5G相關軟體安全測試，來確保產品或服務的安全、可靠與韌性，未來還將聚焦4大5G網路資安議題，更要建DevSecOps與安全分析檢測兩大平臺。</p> <p>衛福部關鍵基礎設施資安工作推動專案辦公室主任范仲玫也預告，將持續擴大醫療資安聯防的能力和機制，不只今年要設置SOC、還要透過醫院評鑑來鼓勵更多醫療機構，加入醫療資安聯防機制，來交換資安情資。</p> <p>不只這幾個部會，科技部、經濟部、國發會等都各有新的資安政策作為。政府動起來了，臺灣資安產業正準備往下一階段發展邁進。</p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> 政府揭露新資安政策方向 </span></strong></span></span></p> <p><span style="color:#3399ff;"><strong><span style="font-size:22px;">● 資安成為國家核心戰略產業，與半導體、資通訊產業並列</span></strong></span></p> <p><span style="color:#3399ff;"><strong><span style="font-size:22px;">● 加速成立數位發展部，整合資安等5大數位發展業務</span></strong></span></p> <p><span style="color:#3399ff;"><strong><span style="font-size:22px;">● 進一步推動金融業資安應變聯防，更要鼓吹健康資安文化</span></strong></span></p> <p><span style="color:#3399ff;"><strong><span style="font-size:22px;">● 設國家級5G通訊軟體安全實驗室，強化5G產業資安體質</span></strong></span></p> <p><span style="color:#3399ff;"><strong><span style="font-size:22px;">● 擴大醫療資安情資共享，靠醫院評鑑鼓勵更多醫院加入</span></strong></span></p> <p><a href="https://www.ithome.com.tw/article/139537" target="_blank"><span style="color:#800000;"><span style="font-size: 22px;"><strong>相關報導請見：臺灣資安大會直擊（上）資安將是臺灣新戰略產業</strong></span></span></a></p> </div></div></div>
2020/8/21 11:25作者王宏仁https://www.ithome.com.tw/news/139536
臺灣資安大會直擊（上）資安將是臺灣新戰略產業
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/987-feng_mian_p12-open-960x420.jpg?itok=sv2Ozv_o" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2020，抗疫有成的臺灣，舉辦了全球第二場大規模的實體資安大會，近萬人報名，250家資安業者同臺，蔡英文總統更揭露了臺灣數位國家發展的下一步，將資安作為新戰略產業</p> </div></div></div>
2020/8/21 11:35未署名https://www.ithome.com.tw/article/139537
【臺灣資安大會直擊】金管會主委黃天牧：金融業不只要情資共享還將應變聯防，更要鼓吹健康資安文化，才能強化金融集體韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「金融機構對資安一定要有整體思維，而且必須超前部署。」金融監督管理委員會主任委員黃天牧點出新金融資安政策背後的核心精神。</p> <p>早在一年多前，時任金管會副主委暨資安長的黃天牧發覺，不能每次都等到資安事件發生後，才來修補資安規範，便交由金管會資訊處規畫一套金融資安整體方案，參考了國際金融資安情勢與資安監理趨勢，從策略管理面、制度面、技術面，全盤重新檢視臺灣金融業整體資安需強化的地方。今年8月初，這套<a href="https://www.ithome.com.tw/news/139299">金融資安行動方案</a>正式出爐。</p> <p>黃天牧表示，金融資安行動方案從強化主管機關資安監理、深化金融機構資安治理、精實金融機構資安作業韌性、發揮資安聯防功能等4大面向切入，目標是達到安全、便利、不中斷，以及消費者個資保護。</p> <h3><span style="color:#6666cc;"><strong>要實現金融資安聯防，金管會必須與F-ISAC刻意保持距離</strong></span></h3> <p>黃天牧指出，傳統銀行業以往的業務相對單純，多採用封閉體系，除了跨行匯款體系之外，大部分是各自支撐的體系。但，隨著近年業務擴大、資訊發展快速，以及跨域整合，金融機構跟外部的連結越來越多，暴露的風險就越大。</p> <p>「資安不是各別金融機構的問題。」所以，金管會在2017年推動建置F-ISAC（金融資安資訊分享與分析中心），由財金公司負責維運，目的就是要把每一家金融機構在資安受影響的資訊集中，進行整體分析，再提供給其他會員機構參考。</p> <p>他更以社會學的「集體韌性」（Collective Resilience）概念，來形容金融資安聯防。當整個社區受到災變或是大衝擊，造成親人死亡、財產損失，社區如何走出創傷重建家園，可以靠集體恢復的能力，這就是集體的韌性。黃天牧強調：「從金融體系來說，金融資安聯防就是一種集體韌性的展現。」</p> <p>儘管F-ISAC推動3年來，參與會員數已有374家，包含銀行、保險公司、證券、期貨、投信投顧等業者。然而，黃天牧個人認為，F-ISAC能否順利運作的關鍵點是信賴。金融機構會擔心自家所有資安事件通報給F-ISAC後，會不會讓金管會對金融機構有所處理。</p> <p>為了突破業者的這道心防，黃天牧強調：「金管會必須與F-ISAC刻意保持距離，絕不會取得會員機構分享給F-ISAC的情資，這也是F-ISAC成立至今的首要原則。」</p> <p>而F-ISAC為了確保情資共享的保密原則，更採取了一套資安情資識別的TLP交通燈號協定，將資料按機密程度分級以利存取控管。依據情資類型、提供者的要求（如可分享對象），將情資分享分為4個層次，並以紅燈、橘燈、綠燈、白燈來控管，絕不會與超過授權範圍的人透露情資。</p> <p>信任需要累積，所以，黃天牧提到，一開始F-ISAC先向國外購買情資，再分享給會員機構，比如F-ISAC會分析美國、歐洲、亞洲的重要資安趨勢，提醒會員機構所需注意的地方。</p> <p>兩年來，會員機構與F-ISAC彼此的信任與互動開始建立了，會員機構願意揭露自家營運的資安問題。雖然，成立之初，分享的情資不到一百則，但到了今年，光是上半年，金融機構會員分享給F-ISAC的情資就有218則，顯見F-ISAC漸漸受到金融機構的信賴。黃天牧表示，這正是金管會的目的，讓F-ISAC能根據這些資訊，分析臺灣地區金融機構，現階段可能會遇到的資安問題。</p> <p>甚至，當金融機構遇上資安事件時，黃天牧提到，更能凝聚會員機構與F-ISAC之間的信賴與團隊精神，體認到彼此為生命共同體，得共同合作才行。好比去年11月，國外駭客對國內證券與銀行寄出勒索信件，發動DDoS攻擊，F-ISAC與會員機構就發揮了合作精神，共同抵抗這波攻擊。</p> <p>同時，F-ISAC在國際交流也多所著墨，不僅參與美國FS-ISAC成為其會員，也與日本F-ISAC簽訂MOU，去年還參加了歐盟FI-ISAC舉辦的年會，跟國際交流非常密切。黃天牧表示：「資安沒有國界，不只是臺灣各金融機構要連結，也要與其他國家聯繫。」</p> <h3><span style="color:#6666cc;"><strong>不只情資共享，未來連資安應變機制也要資源共享</strong></span></h3> <p>為了讓資安聯防發揮得更徹底，金管會也祭出了新政策，包括鼓勵金控建立電腦資安事件應變小組（CSIRT），推動公會與周邊單位建立資安應變支援小組，以及整合F-ISAC聯防。黃天牧透露，這將是金融資安行動方案第3年的規畫，要讓資安應變機制也能資源共享。</p> <p>金管會的計畫是，將整體資安聯防分為4個層次，金融機構自己建置CSIRT，金控建立CSIRT，公會建立資安應變支援小組，最後一層是F-ISAC，最終形成一套完整的資安聯防體系，透過體系中成員的共享，來得到整個緊急應變的資源。「每件資安事件大小不同，若遇到更大規模的資安事件，得有更大的力量來支援資安應變。」</p> <p>此外，金管會還計畫督導F-ISAC建置二線SOC（資安事件監控中心）及訂定資安監控作業標準，推動金融機構SOC與二線SOC協同運作，甚至導入AI分析機制等。二線SOC要從監控標準作業基準開始做起，得先建立一套金融機構與F-ISAC的監控標準作業程序與內容，才能開始進行資料交換的監控。然而，這部分或許需要更長時間推動，因為，金管會考量，只有打穩基礎後，成效才會更好。</p> <h3><span style="color:#6666cc;"><strong>形塑金融機構高層重視資安的組織文化</strong></span></h3> <p>「資安永遠沒有完美，它有其成本與代價。」黃天牧很清楚，金融機構得在資安與金融創新之間找到好的平衡，重視安全的同時，又能不影響效率。所以，「金管會要求金融機構合規，在考量任何要求時，對成本與效益也要有所平衡，若過度要求資安，其實會影響到金融機構創新與商品提供。」他強調。</p> <p>但有一件事，黃天牧相當堅持，他指出，金融機構董事會對資安的重視與資源配置，相當重要。因此，在新的金融資安行動方案中，不僅要求資產達一兆元以上的金融機構，以及24小時營運的純網銀，必須設立副總層級的資安長。更鼓勵金融機構遴選聘用具備資安背景的董事、顧問或設置資安諮詢小組，甚至要開辦董監事資安教育訓練專設課程。</p> <p>黃天牧強調：「金融機構的決策者，若沒有資安的觀念，一切都是枉然。」金管會更鼓勵，董事會可以有更多具備資安知識的成員，透過多元化成員組成，讓金融機構的決策能更周延。</p> <p>金管會對資安能力的強化也不只針對董事會，也計畫協調周邊單位如金融研訓院等訓練機構，多開設資安人才養成專班，鼓勵金融資安人員取得國際資安證照等，來強化專業人才的能力建構。甚至，金管會也希望，金融機構要讓其他職務的員工，乃至於消費者能具備資安意識。</p> <h3><span style="color:#6666cc;"><strong>金管會擬推動避風港計畫，讓關鍵金融資產資訊得以保全</strong></span></h3> <p>金融資安行動方案的第4年計畫，還有一項特別的新目標，要建立臺灣金融機構的資料保全機制。金管會參考了美國推動的「避風港計畫」概念，來研議資料保全的運作機制，包括資料保護、資料可移性、資料復原性及關鍵服務持續性等項目，將視研議結果評估推動方式。</p> <p>黃天牧表示，挪威有一座種子庫，搜集了數以萬計的種子，被視為全球農業的諾亞方舟，萬一發生世界末日，能成為將來世界重新開始的契機，這就是金管會想推動的資料保全概念。</p> <p>雖然金融機構有備份與備援機制，但是，不能確保百分之兩百的安全，所以，金管會希望能透過第三方來保存關鍵的金融資產資訊，比如顧客在銀行的最終存款餘額等。</p> <p>初期，金管會將先研議資料保全機制的可行方案，建立一套作業程序、標準、資料格式規範等，更重要是與金融機構形成推動的共識，找出一個安全及經濟有效的模式。</p> <p>之所以列入第4年的長期目標，黃天牧提到，各家金融機構對資安的認知與願意投入的資源不一樣，需要更長時間推動，金管會將先研究其他國家的作法，比如，美國的避風港計畫，主管機關是扮演制訂規範與稽核的角色，並由金融機構自行選擇安全儲存資料的地方。</p> <p>黃天牧認為，資安要以最壞情境來思考，臺灣常遭受資安攻擊，比別人更有經驗，凡事要想得更長遠。所以，不能只是金融機構各自有備援機制就夠，恐怕還需要第三方儲存機制，這樣會更安心。</p> <h3><span style="color:#6666cc;"><strong>要讓金融產業建立更健康的資安文化</strong></span></h3> <p>資安是企業經營一定要面對的問題，黃天牧更認為，金融機構即便發生了資安事件，也需要能用更健康的態度面對資安威脅，透過集體努力來建構資安的安全網。</p> <p>而他也期許自己，主管機關得用更積極的態度，鼓勵金融機構將資安問題拿出來討論，如此一來，就能建立更健康透明的資安文化，讓金融機構願意投入資源建構一套好的資安體系，可以成為整體金融穩定發展的基礎。</p> <p>未來2、3年，黃天牧認為，會看到更多金融機構將資安視為營運重要策略，來形塑組織文化。而主管機關的推動與確立方向，將更顯得重要，如果金管會不推，金融機構可能會各自發展；可是，只要主管機關稍微對金融機構提出合理的要求與標準，讓大家共同努力，就能提升臺灣金融業的韌性，不只是清償能力，包括整體資安韌性，達成營運上安全、便利、不中斷的3大目標。</p> <p>「資安就像推動公司治理一樣，做與不做真的有差。」他這樣相信：「只要文化對了，企業有好的領導者，很多事情就會水到渠成。」文⊙李靜宜</p> </div></div></div>
2020/8/21 10:38作者李靜宜https://www.ithome.com.tw/news/139530
【臺灣資安大會直擊】政大金融科技研究中心副主任陳恭：API有3大資安風險2大挑戰，靠AI即時偵測異常是新對策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政大金融科技研究中心副主任陳恭在臺灣資安大會的金融安全論壇專場，分析企業API安全面臨的風險與挑戰，以及該如何以新形態API防衛工具來應對，讓企業的API可以更安全。</p> <p>首先，陳恭提到，Web API是現今各產業的企業資訊系統發展的重要方向，而RESTful APIs加上JSON，這種較為輕量級的API，則已成為主流，所以，這次的分享也聚焦在此主題。</p> <p>API的價值有許多面向，他指出，包括企業內部應用系統再造與整合，以及企業與外部通路夥伴的串接，都是透過API。而有了API以後，企業還可發展更多創新產品與服務。甚至，企業在發展平臺經濟、API經濟或生態系等，其實底層也得靠API。或像是金融業近年開始興起的開放銀行、開放金融，也是基於Open API。</p> <p>然而，陳恭指出，隨著API的廣泛應用，資安議題也陸續浮現。而API安全基本上有兩大作法，一是API威脅防護；二是API存取控制，他強調，所有API與應用系統還是要進行基本的認證、授權、分級管理、流量監控等。他強調，「從安全角度，不管是企業內部的API、Partner API 、Open API都要進行防護，誰都不能信任。」</p> <p>而在基本的API防護配備上，他提到，企業應該都有採購網站應用程式防火牆（Web Application Firewall，WAF）作為應用層的管理。甚至，包括金融機構、科技產業也開始導入API管理平臺（APIM），將企業內部所有API的發布、權限控管、流量、統計分析，通通集中到APIM管控。</p> <p>然而，陳恭提醒，企業做的這些API資安防護，可能還不足夠。因為，企業可能會面對更加恐怖的威脅。根據Gartner前陣子發布Web API的安全報告顯示，到了2022年，API濫用將成為導致企業Web應用程式數據洩露的最常見攻擊媒介。企業內部遇到的，可能不是只有傳統的攻擊手法，駭客可能登堂入室，以合法方式進入企業，潛藏在企業的系統，到處尋找API漏洞來進行攻擊。</p> <h3><span style="color:#3366ff;"><strong>企業要盤點API，依照其特殊性採用新防護工具</strong></span></h3> <p>因此，陳恭強調：「企業得依照API的特殊性，來採用新的防護工具。」他更以先前台新金控資訊長孫一仕提出的金融資安風險3大挑戰，包括不可管、不可控、不可見的風險，來解釋企業應注意的重點。</p> <p>不可管的意思是，無法管駭客的攻擊，像是社交工程、釣魚郵件。不可控的風險則來自系統並非企業自行開發，所以只要系統廠商有需要修補的補丁出現時，企業得及時把資安漏洞補上。不可見則指看不到的風險，這類資安風險是最難被發覺。</p> <p>根據42Crunch在2019年的調查，平均每家企業平均提供了400支以上的API。不過，陳恭提到，企業的資訊與資安相關部門，是否盤點過自家的API有多少？他坦言，如果企業不知道自家有幾支API，遑論保護API，這就是所謂的不可見風險。</p> <p>陳恭建議，可將不同項目的API進行盤點，建立一份目錄，定義每支API的傳輸規格、資料格式、權限控管、維運監控、資料敏感度、風險等級、OSS補丁需求。不過，他也提醒，盤點工程會非常耗費時日，而且很難做得完整。因為，企業資訊架構系統有疊床架屋式的資訊系統問題，畢竟，羅馬不是一天造成的。</p> <p>此外，企業面臨數位轉型的挑戰，在應用系統現代化的過程中，也很難一步到位，甚至可能導致多種技術世代並存，管理起來非常複雜。而在過程中，難免有很多API是沒有注意到的。</p> <h3><span style="color:#3366ff;"><strong>API安全有2大挑戰：不可見的風險、難以偵測的攻擊</strong></span></h3> <p>陳恭進一步指出，API安全有2大挑戰。一是不可見的API，企業壓根兒忘記這些API的存在，可能是鮮少使用或是已廢棄不用的API，就躺在黑暗的角落。他提到，「這些API都是駭客的最愛。」又或者是以前員工寫的API，但後續負責維運的人，並不了解API在安全上有何漏洞。Gartner也曾指出，企業得先找到這些有風險的API，否則讓駭客先找到的話，企業就危險了。</p> <p>而這些不可見的API，陳恭表示，可能存在企業中，不同技術世代開發的系統、既有Legacy系統的介接繁雜、外部夥伴與內部自用的API，以及該淘汰但未淘汰的各式舊系統。「內部API往往成為資安盲點」他舉例，2019年澳洲最大房地產估價公司LandMark White發生API漏洞，本來只供內部使用的API，卻可以從公司網域外調用，導致大量內部資料與客戶資料外洩，該公司CEO更為此辭職。</p> <p>陳恭提到，API安全的第二大挑戰，跟不可管的風險有關，那就是企業不容易偵測到的攻擊。他解釋，很多時候駭客是從合法管道進來，在企業內部伺機而動，然而這些攻擊沒有經過特殊處理方式的話，其實難以察覺，甚至是過了很久以後企業才發現。而且，不只一般產業，即便是科技大廠也不能免於攻擊。</p> <p>陳恭強調：「API安全的關鍵點，在於API本身的安全。」他提到，現在的駭客是直接跳過App等用戶端介面，直接鎖定企業API，嘗試各種攻擊，API成了企業的弱點。好比美國郵政署網站發生API漏洞，讓駭客得以用合法帳號進入，冒用他人帳號，竊取他人資料，恐使6,000萬用戶資料外洩。因此，「企業需要直接在API層建立防護。」</p> <p>陳恭表示，目前，國際間慣用的作法是採取OAuth 2.0委任存取管理方式，讓TSP來存取客戶資料。不管，他強調，委任存取管理流程複雜，涉及第三方業者、銀行、消費者，有可能在委任存取過程中發生攻擊，產生移花接木的狀況。比如說，駭客預先取得一個授權碼（Auth code），在使用者登入TSP業者的網站服務時，以釣魚方式讓使用者代為登入，讓使用者代替駭客取得存取金鑰（Access Token），接著駭客再以這存取金鑰冒充使用者操作，來取得使用者的資料乃至存款。</p> <p>在此情境下，使用者與駭客都是合法使用者，只是駭客是拿取他人的資料來操作，所以，企業並不容易偵測出來。陳恭認為，這牽涉到不可管的API，來自用戶端的疏忽，包括社交工程、ATP等攻擊手法，其實防不慎防，企業在管理自家的API要自求多福。</p> <h3><span style="color:#3366ff;"><strong>新形態API防衛工具出現，利用AI技術主動偵測異常API</strong></span></h3> <p>面對日新月異的攻擊手法，陳恭表示，新一代的API防衛工具也應運而生，專門針對API安全特性所設計，可主動蒐集API使用行為資料，運用人工智慧、機器學習技術，來發現未知的API路徑（API endpoints），建立每支API使用行為模式，透過AI建模進行分析，來主動偵測異常的API使用。</p> <p>他進一步提到，透過即時監控API，就能做到異常行為偵測、警示或暫停使用API。比如，當企業發現API流量發現異常，系統就能主動警示，甚至搶先阻斷可能的駭客攻擊，讓駭客無所遁形。</p> <p>不過，陳恭認為，即時監控並非長久之道，還是得朝向「預防勝於治療」邁進，從API設計、開發、測試、上線，把安全的概念往前面帶。他提到，應該是要API Security By Design，從一開始設計新的API時，把安全、隱私都擺進來。文⊙李靜宜</p> </div></div></div>
2020/8/21 11:03作者李靜宜https://www.ithome.com.tw/news/139531