iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Discord發表Stage Channels，加入Clubhouse戰局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>聚集眾多遊戲玩家的VoIP聊天平臺Discord，在本周發表了<a href="https://blog.discord.com/captivate-your-community-with-stage-channels-46bbb756e89b" target="_blank">Stage Channels</a>，成為繼<a href="https://www.ithome.com.tw/news/143388" target="_blank">Telegram</a>之後，另一家加入由Clubhouse開創的語音聊天戰場的業者。</p> <p>Stage Channels現已成為Discord社群伺服器中的新型態頻道，它是一個只有語音的頻道，設有舞臺主持人，絕大多數的聽眾都是處於被動的聆聽模式，聽眾也可舉手發言，主講者、主持人或被點名的聽眾會被列在舞臺上，以清楚呈現發言人，在測試階段，使用者利用該頻道來進行Ask Me Anything（AMA）活動、廣播形式的爐邊談話（Fireside Chats）、市民大會（Townhalls）與讀書會。</p> <p>主持人的權限包括可新增或移除講者，也能關閉既有講者的聲音，負責維護舞臺與發言秩序。</p> <p>不管是Clubhouse、Telegram的語音聊天頻道，或者是Discord的Stage Channels，它們的共同特色皆是以廣播及語音形式進行。</p> <p>Stage Channels支援Windows、macOS、Linux、iOS及Android等Discord版本，前提是必須先啟用社群伺服器。</p> </div></div></div>
2021/4/1 15:11作者陳曉莉https://www.ithome.com.tw/news/143588
假冒為硬體錢包App，駭客盜走用戶的加密貨幣資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果你是加密貨幣用戶，可能會為了強化自己的資產安全而選擇購買硬體錢包，不過，<a href="https://www.washingtonpost.com/technology/2021/03/30/trezor-scam-bitcoin-1-million/" target="_blank">華盛頓郵報本周踢爆</a>數起以偽造的硬體錢包App，盜走用戶加密貨幣的事故，駭客假冒的品牌為Trezor，該程式同時登上了App Store與Google Play，在兩個程式市集的下載量都超過1,000次，且至少有8名受害者。</p> <p>Trezor為捷克的硬體錢包製造商，使用者只要將硬體錢包藉由USB介面連結電腦，再輸入PIN碼或者再加上密碼短語，就能存取硬體錢包中所存放的加密貨幣。理論上硬體錢包相對安全，但它有一個功能是在硬體錢包遺失或毀損時，使用者可利用一個秘密的「種子詞」（Seed Phrase）取回錢包中的資產。此外，Trezor並未發表任何的行動程式。</p> <p>然而，駭客卻在App Store與Google Play上出版了名為Trezor的行動程式，誘導使用者下載，並要求使用者輸入種子詞，進而將受害者錢包中的加密貨幣搜括一空。</p> <p>報導中的兩名受害者Phillipe Christodoulou與James Fajcz皆為蘋果用戶，其中，Christodoulou是因想要利用手機來查看錢包中的加密貨幣餘額，於是於今年2月1日自App Store下載了Trezor程式，並輸入了自己的種子詞，沒多久以後他再將硬體錢包插入電腦，卻發現價值60萬美元的17.1個比特幣全都不見了。</p> <p>Fajcz則是在去年12月買進了價值約1.4萬美元的比特幣及以太幣，接著購買了Trezor硬體錢包，再從App Store下載了Trezor程式，他輸入種子詞之後發現該程式並未連至他的Trezor錢包，但當下不以為意，只是在幾周後再買進以太幣，並將Trezor錢包插入電腦想查看餘額時，卻什麼都沒有。</p> <p>Christodoulou在發現比特幣不見之際，重新連上App Store檢查Trezor程式，顯示該程式有155個評價，而且平均分數接近5顆星。</p> <p>雖然不管是Google或蘋果都在幾天內就將詐騙的Trezor程式下架，並將開發者停權，但已有超過2,000名用戶下載。Christodoulou與Fajcz都向蘋果投訴，卻得到蘋果不對此負責的答案，蘋果則向華盛頓郵報說明，此一假冒的Trezor程式在提交時說自己是加密程式，可用來加密iPhone檔案及儲存密碼，並成功上架，但後來卻逕行將內容更改為加密貨幣錢包。</p> <p>華盛頓郵報引用加密貨幣詐騙調查公司Coinfirm的數據指出，從2019年10月迄今，該公司至少接獲超過7,000筆的加密貨幣資產遭竊的詢問，而有關Trezor詐騙程式的案件，在iOS上有5起，在Android上則有3起。</p> </div></div></div>
2021/4/1 12:35作者陳曉莉https://www.ithome.com.tw/news/143582
GitHub秘密掃描功能正式開放供私人儲存庫使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub向用戶推出了兩個<a href="https://github.blog/2021-03-30-github-advanced-security-security-overview-beta-secret-scanning-private-repos/">安全功能更新</a>，一個是針對組織和團隊的安全性概覽功能，供管理員以高層次檢視每個儲存庫中存在的安全風險，另一個則是開放私人儲存庫使用秘密掃描功能。</p> <p>雖然GitHub安全功能，提供開發者不少有用的工具，來尋找並且修復應用程式的安全風險，但是當管理員需要負責數百或是數千個儲存庫時，這項工作就變得棘手，GitHub現在讓用戶可以在同一個位置，查看程式碼掃描、相依機器人程式和秘密掃描，所找到的應用程式安全風險，安全概覽功能會顯示已知的安全風險，以及因未適當配置而產生的未知風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/screenshot-of-security-overview-UI.png" style="width: 580px;" /></p> <p>管理員可以從組織中的安全性分頁，來查看已啟用的GitHub安全功能，並且深入了解安全分析結果，該分頁會根據活動警示的數量和嚴重性，替每個儲存庫指定一個風險類別，讓用戶可以在檢視大量儲存庫時一目瞭然優先度，知道該先從何處下手。</p> <p>使用過濾器功能，用戶可以僅關注重點儲存庫，並且可以查看各個儲存庫的詳細安全資訊，包括風險類別、已啟用的安全功能，還有存在的警示數量。GitHub提到，無論是對開發人員還是經理來說，了解所負責的儲存庫很重要，當組織以團隊來管理儲存庫存取，則GitHub會向所有團隊成員，提供這些詳細安全資訊。</p> <p>另一項安全性更新，則是私人儲存庫現在也可以使用秘密掃描，GitHub在2020年5月開放秘密掃描Beta測試版，而現在已於GitHub Enterprise Cloud上提供，並預計GitHub Enterprise Server 3.1也會加入秘密掃描功能，秘密掃描功能包括可掃描35個服務權杖，並且提供用於秘密掃描警示的API和Webhooks，當開發者提交包含秘密的內容時，系統會向開發者和管理員發送通知。</p> </div></div></div>
2021/4/1 11:38作者李建興https://www.ithome.com.tw/news/143565
Google開始測試關聯性廣告投放技術FLoC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/privacy-sustainability-and-the-importance-of-and/" target="_blank">Google周二（3/30）宣布</a>，已於Chrome 89及特定市場展開小規模的「群組聯合學習」（Federated Learning of Cohorts，FLoC）廣告測試。</p> <p>FLoC是為了取代Cookie而設計的關聯性廣告投放技術，有別於Cookie追蹤的是個人的網路瀏覽行為，而且還可跨站追蹤，FLoC則是替使用者分門別類，以群組的追蹤來取代個別的追蹤，以期在遞送關聯性廣告的同時還能保障使用者隱私。</p> <p><a href="https://web.dev/floc/" target="_blank">Google所建立的FLoC模型</a>具備數千種隊列（Cohort），每個隊列代表著最近擁有類似瀏覽歷史紀錄的數千個瀏覽器；而使用者裝置上的瀏覽器，則根據FLoC模型來判斷自己屬於哪個隊列；廣告主可在自家品牌的網站上觀察各個隊列的活動並與廣告平臺分享；同樣的，出版商網站也能觀察造訪者隊列的活動並與廣告平臺分享；至於廣告平臺則可在選擇適合特定隊列的廣告之後，於出版商平臺上秀出相關廣告予特定的隊列。</p> <p>Google強調，FLoC是群聚資訊，而且每個使用者的所屬隊列會跟著瀏覽紀錄的改變而變更，此外，FLoC不會與Google或任何人分享個別裝置的瀏覽紀錄，不管是廣告主、出版商或廣告平臺只會看到隊列號碼，例如1101或1354。此外，Chrome不會建立涉及敏感主題的群組或隊列，像是醫療、政治或宗教等，同樣的，這些提供敏感內容的網站也可選擇退出FLoC。</p> <p>Google已於Chrome 89及之後的Chrome版本展開FLoC測試，舉凡參與原始試用（Origin Trial）的開發者都能測試FLoC，同時針對澳洲、巴西、加拿大、印度、印尼、日本、墨西哥、紐西蘭、菲律賓及美國的少數Chrome用戶進行FLoC測試，不過，假使使用者之前就選擇封鎖第三方的Cookie，就不會被納入FLoC測試中。Google也計畫在今年4月於Chrome中，新增有關FLoC及隱私沙箱（Privacy Sandbox）的設定功能。</p> </div></div></div>
2021/4/1 11:54作者陳曉莉https://www.ithome.com.tw/news/143579
研究：今年勒索軟體活動更加猖獗，WannaCry死灰復燃
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>使用者眾多的Exchange Server漏洞公布後，後續威脅一波波。一項研究指出，今年以來勒索軟體活動更為猖獗，臺灣企業受害者占了3%，超過英國及中國。而且四年前的WannaCry也出現變種再度活躍起來。</p> <p>安全廠商CheckPoint在Exchange Server漏洞公布後進行一項研究，<a href="https://blog.checkpoint.com/2021/03/30/unfair-exchange-ransomware-attacks-surge-globally-amid-microsoft-exchange-server-vulnerabilities/" target="_blank">顯示今年以來</a>，共有將近3,900家企業或組織被勒索軟體影響。今年開年以來遭勒索軟體影響的企業家數以每月9%的數量增加，過去六個月被勒索軟體影響的企業數量也成長57%。其中人為操作的勒索軟體如Maze及Ryuk活動大增，這類攻擊需要受害者與駭客談判贖金支付細節。</p> <p>以受害組織所在的國家來看，美國占最大宗（12%），其次是以色列（8%）及印度（7%）。臺灣受害企業也占了3%，超過加拿大、英國、西班牙、葡萄牙、墨西哥及中國。</p> <p class="rtecenter"><img alt="" src="https://blog.checkpoint.com/wp-content/uploads/2021/03/ransomware-2.png" style="width: 350px;" /></p> <p><span style="color:#696969;">圖片來源-CheckPoint</span></p> <p>值得注意的是，一如之前研究人員發現，合稱為ProxyLogon的4項Exchange Server漏洞成為駭客熱門，根據CheckPoint最新研究，光是上周，針對Exchange Server漏洞的攻擊大增3倍，全球攻擊超過5萬件，其中49%集中在美國，其後則分別是英國（5%）、荷蘭（4%）和德國（4%）。<a href="https://www.ithome.com.tw/news/143514" target="_blank">微軟本周也提醒</a>，至少有DearCry及Black Kingdom今年三月起開始攻擊ProxyLogon漏洞。</p> <p>Exchange漏洞攻擊不令人意外，比較令人意外的是，2017年席捲全球的WannaCry似乎又蠢蠢欲動。CheckPoint偵測今年以來WannaCry變種感染的組織和企業增加53%，若是今年三月　和去年十月相比更是成長40倍。根據Check Point的估計，WannaCry變種活動從去年12月起開始升溫，攻擊次數一路增加到今年三月的1.2萬。受害者若依產業來看，以政府／軍方（18%）最多，其次是製造業（11%）、金融銀行業（8%）和健康照護業（6%）。</p> <p class="rtecenter"><img alt="" src="https://blog.checkpoint.com/wp-content/uploads/2021/03/ransomware-3.png" style="width: 350px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源-CheckPoint</span></p> <p>CheckPoint分析，這一波WannaCry變種還是和2017年原始WannaCry一樣透過EternalBlue攻擊工具散布。所幸相關修補程式4年前就釋出，也說明及早修補系統漏洞有多重要。</p> <p>研究人員再次提醒企業及一般用戶應做好資料備份，常保軟體更新狀態，安裝威脅偵測產品，以及使用多因素驗證。同時管理員最好記得定期掃瞄郵件及檔案是否有異常存取活動，並且將系統存取權設在最小權限。</p> </div></div></div>
2021/4/1 12:08作者林妍溱https://www.ithome.com.tw/news/143581
Apache Kafka 2.8不再需要ZooKeeper就能運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>分散式發布與訂閱系統Apache Kafka在即將發布的<a href="https://www.confluent.io/blog/kafka-without-zookeeper-a-sneak-peek/">2.8版本</a>，使用Kafka內部的仲裁（Quorum）控制器來取代ZooKeeper，因此用戶第一次可在完全不需要ZooKeeper的情況下執行Kafka，這不只節省運算資源，並且也使得Kafka效能更好，還可支援規模更大的叢集。</p> <p>過去Apache ZooKeeper是Kafka這類分散式系統的關鍵，因為ZooKeeper管理元資料，儲存著資料分割的位置，以及主要副本等資訊，ZooKeeper扮演協調代理的角色，所有代理伺服器啟動時，都會連接到Zookeeper進行註冊，當代理狀態發生變化時，Zookeeper也會儲存這些資料，在過去，ZooKeeper是一個強大的工具，但是畢竟ZooKeeper是一個獨立的軟體，使得Kafka整個系統變得複雜，因此官方決定使用內部仲裁控制器來取代ZooKeeper。</p> <p>這項工作從去年4月開始，而現在這項工作取得部分成果，用戶將可以在2.8版本，在沒有ZooKeeper的情況下執行Kafka，官方稱這項功能為Kafka Raft元資料模式（KRaft）。在KRaft模式，過去由Kafka控制器和ZooKeeper所操作的元資料，將合併到這個新的Quorum控制器，並且在Kafka叢集內部執行，當然，如果使用者有特殊使用情境，Quorum控制器也可以在專用的硬體上執行。</p> <p>在Kafka內部執行的Quorum控制器，會使用新的KRaft協定來確保仲裁間能精確地複製元資料副本，並使用事件來源儲存模型來儲存狀態，以確保內部狀態機可以精確地被重新創建，官方提到，KRaft協定具有的事件驅動特性，和基於ZooKeeper控制器不同，不會在啟動之前從ZooKeeper載入裝態，當領導節點變更的時候，新啟用的控制器記憶體早已紀錄所有提交的元資料。</p> <p>另外，KRaft協定使用事件驅動機制來追蹤整個叢集的元資料，過去必須仰賴RPC來處理的任務，現在受益於事件驅動以及實際的日誌傳輸，這些改變所帶來的好處，便是讓Kafka仍夠支援更多的分割。</p> <p>新的仲裁控制器是專門設計在單個叢集中，處理大量的分割，在過去的實作中，受限於重要的元資料，必須要在外部共識機制ZooKeeper，以及內部領導控制器Kafka間移動，Kafka僅能達到20萬個分割，而在新的仲裁控制器中，過去外部共識與領導管理的角色，都由同一個元件扮演，因此現在於單個叢集中，分割數可以達到過去10倍，約是2百萬個分割。</p> <p>過去Kafka因為帶著ZooKeeper，因此被認為擁有沈重的基礎設施，而在移除ZooKeeper之後，Kafka更輕巧更適用於小規模工作負載，輕量級單體程式適合用於邊緣以及輕量級硬體解決方案。</p> <p>值得注意的是，在搶先體驗版中，有部分像是ACL、安全以及交易等功能都尚未支援，而且在KRaft模式下，也還不支援重新分配分割和JBOD，官方提到，這些功能會在今年稍晚的版本中提供，而且因為仲裁控制器還在實驗階段，也不建議將其用於生產環境中。</p> </div></div></div>
2021/4/1 12:17作者李建興https://www.ithome.com.tw/news/143569
趣拼王氏磚
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>若想生成無限大且不重複的地圖，就像我在先前<a href="https://www.ithome.com.tw/voice/138571" target="_blank">專欄〈理解波函數塌縮演算〉</a>探討過的波函數塌縮，的確是一種方式，只不過為了快速地篩去各個位置上不可能的拼接塊，使用了熵、塌縮、傳播等概念，因而演算的過程較為複雜。</p> <p>要說波函數塌縮演算這是有條件的暴力法也行，拼接的結果也有可能會失敗，然而，有沒有更簡單的方式呢？</p> <p><strong><span style="font-size:28px;">王氏磚的原理</span></strong></p> <p>王氏磚（Wang tiles）是數學家王浩於1961年提出，是一組可以彼此鄰接匹配的拼接塊，以正方形為單位，每邊可以有二到四種不同的顏色，拼接時鄰接邊必須是同色，若兩個拼接塊旋轉或翻面後相同，視為不同的拼接塊，例如，若是兩種顏色的王氏磚，上邊黃色另三邊藍色的拼接塊，與右邊黃色另三邊藍色的拼接塊，雖然旋轉後相同，然而視為不同的拼接塊。</p> <p>對於一組王氏磚，一個問題是，可否在符合拼接時鄰接邊必須是同色的規則下，來密鋪無限大的平面；另一個問題是，若可以密鋪平面，是不是一定存在周期性的密鋪方式，也就是可發現重複圖案的密鋪方式，王浩的猜想是一定存在，不過，他的學生Robert Berger後來證實，存在可密鋪平面然而只能非周期性密鋪的王氏磚。</p> <p>在這邊我們感興趣的是，目前有哪些王氏磚可用來密鋪平面？例如，<a href="https://bit.ly/3c94NvB">〈Wang Tiles〉這個頁面就列出了不少分類</a>，因為可以密鋪平面，表示可產生無限大的圖樣，由於王氏磚的鄰接邊必須是同色，同色代表著兩個拼接塊間擁有共同的屬性，這個屬性可以代表道路、牆面、相同的草地等可能性。</p> <p><span style="font-size:28px;"><strong>雙邊王氏磚</strong></span></p> <p>雙邊王氏磚是邊有兩種顏色可能性的王氏磚，<a href="https://bit.ly/3qMtbHv">在〈2-edge Wang Tiles〉可以看到</a>，改變圖樣就可以生成隨機的電路板、水管等圖片，就程式演算而言，隨機並不是在每個位置隨便挑一片王氏磚，而是在每個拼接塊的共用邊緣，隨機產生二元結果，例如0或1，代表著有或沒有某種屬性。</p> <p>因為王氏磚是以正方形為單位，這時表示一個拼接塊的邊緣結果會是0000、0001……1111等16種可能性，因為拼接塊的邊緣共用同一個結果（0或1），為共用邊緣隨機產生二元結果，所以，拼接塊之間必然可以拼接。</p> <p>為了能快速地對應拼接塊，我們可以將二進位0000直接對應至十進位數字，在不支援位元運算的語言中，則可以將四個位元對應至1、2、4、8，若位元值為1，加總該數字，因此，0000會對應至0，0001會對應至8，0011會對應至12，依此類推，<a href="https://bit.ly/3c94NvB">也就是〈Wang Tiles〉頁面中描述的方式</a>。</p> <p>因為編碼的結果必然對應至某個拼接塊，王氏磚拼接時沒有搜尋、不用評估、速度快，一定可以拼接，它需要的是事先設計好拼接塊，由於拼接塊各自會有對應的編碼，因此在管理拼接塊上也比較方便；不過缺點是，在單純的隨機生成下，拼接出來的圖塊會比較呆板，想要有點變化的話，或許可以考慮結合一下其他隨機演算（像是噪聲演算，或是稍後會談的迷宮演算）。</p> <p>這是與波函數塌縮演算最大的不同，因為，波函數的方式是可以從具有區域相似性的拼接塊中，自動評估有哪些拼接塊並考量權重，因而拼接塊在設計上的自由度會高一些。</p> <p>例如，拼接塊的鄰居數量可以不受限（因為波函數只考慮拼接塊的相容性），藉由調整範例拼接塊，最後輸出的拼接塊風格也會有很大的差異；不過缺點是，運算速度比較慢，範例拼接塊的定義嚴謹與否，會影響最後拼接的成功與否，必須自行設想如何管理拼接塊等。</p> <p>雙邊王氏磚隨機生成的電路板，看來有點像是迷宮，實際上將拼接塊的圖換成牆與道路，的確可以構成迷宮圖樣，不過，隨機生成的邊緣0或1，所構成的迷宮不是完美迷宮（Perfect maze），因為，有些道路可能自成一圈，而有些道路可能有迴圈。</p> <p>然而，如先前專欄<a href="https://ithome.com.tw/voice/142245" target="_blank">〈從節點編碼看迷宮〉</a>談過的，迷宮的生成可以看成是一種編碼的過程，完美迷宮的結果可以轉換為其他編碼，從而構成哈密頓路徑，既然如此，也可以轉換為拼接塊的邊緣編碼，因此，我們在〈'Perfect' Maze Generator〉看到，王氏磚也能構成完美迷宮，也就不是什麼意外之事了。</p> <p><strong><span style="font-size:28px;">王氏磚的變化</span></strong></p> <p>雖說王氏磚是以二維的平面磚為基礎，不過，略為變化，也是可以構成三維的立體拼接效果，例如，<a href="https://bit.ly/3qGhp1w">我實作的〈Tube box〉模型</a>，就是基於雙邊王氏竱，建立的隨機的立體水管分布效果。</p> <p>雖說雙邊王氏磚最多可以有16種拼接塊，不過，如果這16種拼接塊並非靜態圖片或模型，而是透過程式生成的呢？</p> <p><a href="https://bit.ly/3c51l5m">我所實作出來的〈Random city〉模型</a>，就是個例子，每個拼接塊的建築物都是隨機生成，其實，道路也可以隨機生成，只要邊緣有接合，一樣可以無縫地接成隨機之城，如果再加上個遮罩陣列，還可以生成想要的輪廓，例如臺灣輪廓的隨機城市風貌。</p> <p>王氏磚是基於鄰接邊，然而方才談過，拼接塊邊緣同色，只是代表兩個拼接塊間會有某種共同的屬性連結，換個角度來看，若連結的位置不是邊而是角落呢？<a href="https://bit.ly/2YcUnTy">這就是〈2-corner Wang Tiles〉中看到的雙角版本</a>。</p> <p>而王氏磚變化後的雙角版本，雖然就編碼上來看，與雙邊王氏磚是相同的，不過，一個邊只會決定鄰接的兩個拼接塊有共同的屬性，但一個角可以決定鄰接的四個拼接塊有共同的屬性，這也表示，圖樣拼接的結果會有更多的循環性，例如，更多的道路連通。</p> <p>基本上，王氏磚每邊可以有二到四種不同的顏色，<a href="https://bit.ly/3c94NvB">〈Wang Tiles〉談到三邊與四階版本</a>，但重點在於，顏色只是代表著拼接時共同的屬性，更多的邊代表著更多的屬性，也就是更高的維度。</p> <p>因此，王氏磚雖然是二維的概念，然而三邊顏色相同，可以推廣成三維版本，也就是x、y、z方向各自的兩個面是否有共同屬性，例如，在三維立體空間上下左右隨機蜿蜒的水管或立體迷宮。</p> <p><span style="font-size:28px;"><strong>拼接中的數學</strong></span></p> <p>拼接的應用在日常中其實無所不在，磁磚、衣服、包裝紙等處都可見，一直以來，我對拼接也有著相當的興趣，若你也有興趣，也可從《圖解圖樣設計》這本書入門；</p> <p>其實對王氏磚做些變化，也有可能從從範本拼接塊中自動擷取規則，若有興趣，<a href="https://bit.ly/3695AsF">我們可以參考〈Wang Tiles for Image and Texture Generation〉</a>。</p> <p>拼接有趣的地方在於，其中不單只是程式演算──有限的範本卻有著無限的可能，更多是數學的成份，這是其中令人著迷的地方。</p> <p>或許真正令人著迷的地方在於，程式與數學的結合，總是能令人訝異——感嘆不同的時空中，一直有著有許多驚人的想法誕生吧！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%8E%8B%E6%B0%8F%E7%A3%9A">王氏磚</a></div><div class="field-item odd"><a href="/tags/wang-tiles">Wang tiles</a></div><div class="field-item even"><a href="/tags/%E6%8B%BC%E6%8E%A5%E6%87%89%E7%94%A8">拼接應用</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div></div></div>
2021/4/1 07:00作者林信良https://www.ithome.com.tw/voice/143469
IG的創新如何引來臉書的豪奪
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-shu_zhai_-ig-tu_pian_lai_yuan_lian_pu_chu_ban_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">（圖片來源／臉譜出版）</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每個月有超過十億人使用Instagram（IG）。我們拍下食物、自己的面孔、最愛的風景、家族成員與個人嗜好的照片或影片，並在Instagram上分享，希望能藉此映照出我們是誰，以及我們想要成為的模樣。我們透過與貼文互動，希望建立更緊密的關係與人脈，或者打造個人品牌。這就是現代生活的運作方式。我們很少有機會去反思我們是怎麼走到這地步，以及這所代表的意涵。</p> <p>但我們應該要這樣做。Instagram是最早充分利用我們和手機關係的應用程式之一，迫使我們透過鏡頭去體驗生活，以得到數位認可的獎勵。Instagram的故事也是個震撼教育：讓我們了解到社群媒體公司的內部決策—包含傾聽哪些用戶、打造哪種產品以及衡量成功的方式—能如何劇烈地影響我們生活的模樣，以及什麼人能從中受益。</p> <p><span style="font-size:28px;"><strong>想像微軟在平行時空收購了尚未崛起的蘋果，這就和臉書收購IG相去不遠</strong></span></p> <p>我想帶領讀者一窺Instagram的創辦人凱文．斯特羅姆（Kevin Systrom）與麥克．克里格（Mike Krieger）在思考這項產品能如何影響人們的注意力的幕後故事，因為他們所做出的所有決定都產生了劇烈的漣漪效應。舉例來說，當他們把公司賣給臉書時，雖然確保Instagram能走得更遠，卻也幫助這個社群媒體巨人在競爭者面前，變得更加強大並可怕。在賣掉公司之後，兩位創辦人因為對臉書的功利主義、極端成長導向的文化感到破滅，他們決定抗拒這股文化，轉而專注於精雕細琢這項產品，而Instagram的流行，正是由廣大使用者在上面述說自己的故事才形塑而成。但這計畫執行得太完美，也讓Instagram的成功最終威脅了臉書以及該公司的CEO馬克．祖克柏。</p> <p>雖然兩位創辦人在2018年突然地離去，為其創業故事畫下句點，但我們其他人與Instagram的故事卻方興未艾。Instagram已與日常生活交織，以至於我們難以從這公司的故事中抽離。無論是學校、志同道合的社群或全世界，Instagram已成為衡量文化相關性的工具。全球人口中有一大群人透過讚（like）、評論、追蹤者與業配等方式來獲得數位上的認可與驗證。在臉書的內外，Instagram故事核心就是資本主義與自我的交會：為了保護個人心血以及看似成功的形象，大家願意付出多少。</p> <p>這應用程式正以前所未見的方式變成名人製造機。根據網紅分析公司Dovetale的研究，只要擁有超過五萬名粉絲人數，就能靠發表品牌合作貼文過活，而全世界有超過兩億名Instagram用戶達到這門檻，還有將近0.01%的Instagram使用者擁有超過百萬名粉絲。Instagram擁有廣大的用戶群，有0.00603%的人，也就是六百萬名Instagram名人，其中多數都是透過此應用程式成名。為了讓你理解這規模有多大，請想像一下有數百萬名人與品牌在Instagram上所擁有的粉絲，都超過《紐約時報》（New York Times）的付費訂戶數。Instagram名人就像經營個人的媒體公司一樣，在平台上展露品味、訴說故事以及娛樂大眾，而這類的行銷方式已成為數十億美元的產業。</p> <p>無論你是不是Instagram的使用者，在Instagram上發生的各種行為已在潛移默化中影響了人類社會。想要吸引我們目光的企業—從旅館、餐廳到大型的消費性品牌—改變銷售空間的設計、行銷產品的手法並調整銷售策略，以迎合新型態的視覺溝通手段，讓一切都值得被拍照上傳到Instagram。藉由觀察銷售空間、產品或者是住家設計的方式，我們能「親眼看見」Instagram的影響力，相比之下，我們就很難輕易看出臉書跟推特（Twitter）的影響力。</p> <p>舉例來說，一個位於舊金山的工作空間，那邊的藏書並不依照作者或書名排序，而是依照封面的顏色：若以合乎Instagram美學而非用探索書籍的目的來看，這樣的安排方式非常合理。一間創立於曼哈頓的連鎖漢堡店Black Tap，把整塊蛋糕放在讓人沉淪的奶昔之上，有許多人為了買這些飲料而大排長龍。即便很少人能吃完這份超大型甜點，但他們仍為了拍照而買。在日本，更創造出「Insta-bae／インスタ映え」這個新名詞，形容像這般專為Instagram設計的浪潮。無論是穿搭或三明治，只要越「インスタ映え」的東西，就越有潛力在社群上與商業上獲得成功。</p> <p>臉書收購Instagram這樁交易案不僅在市場投下一顆震撼彈，在被收購後，Instagram也成為首個估值破十億美元的行動應用程式。Instagram的成功看似不可思議，正如所有的新創公司一樣。當這應用程式於2010年推出時，並非一開始就是讓大家爭奇鬥豔或是建立個人品牌的平台。當初Instagram最令人著迷的是，人們能透過手機鏡頭一探他人的生活方式與感受。</p> <p>科技專家克里斯．摩西納（Chris Messina），也是Instagram的第十九名用戶與主題標籤（hashtag）的發明人，他認為在當時，能藉由Instagram體會別人視覺觀點的概念是很新奇的；在心理作用上，或許就像是太空人首次從外太空看地球一般。在Instagram上，你可以深入認識挪威的麋鹿牧者與南非編籃者的生活。你同時也能分享與反思自己的生活，並藉此感到深刻。</p> <p>「Instagram帶著人們一窺人性，改變了人們觀看萬事萬物的方式，以及Instagram對人們的重要性，」摩西納解釋，「Instagram不僅映照著我們自身，也讓每一個人都能為我們體會世界的方式有所貢獻。」隨著Instagram成長，兩位創辦人也嘗試保留住這樣探索的感覺。他們成為這世代的美學領導者，是他們啟發人們開始重視吸引目光的體驗，我們也透過與朋友與陌生人分享以獲取讚與追蹤的獎勵。他們費盡心力在內容的策略上，以展現他們認為Instagram的正確用法：一個展示多元觀點與創意的場域。他們避免利用某些臉書的宣傳機制，像是傳給使用者大量的通知跟電子郵件。他們抗拒可能助長網紅經濟的工具，舉例來說，你不能在Instagram的貼文中加上超連結，或者像在臉書一樣分享其他人的貼文。</p> <p>直到不久前，Instagram也未曾為了讓人們更容易與他人做比較或提高使用頻率，而改變系統內建的計算機制。在應用程式中，Instagram只提供三種簡單計算成效的數據：粉絲人數、追蹤中的帳號數量以及每張照片的按讚數。僅僅這樣的數據回饋，就足以讓人感到興奮甚至上癮。每增加一個讚與粉絲，都會讓用戶獲得一點滿足感，並傳遞多巴胺至大腦的獎勵中樞。</p> <p>原先為了改善手機拍出來的低畫質照片而生的濾鏡，也讓Instagram成為修圖生活照集散地。用戶開始預設並接受，他們看到的照片都為了更好看而修過了圖。與圖片所展現的渴望與創意相比，真實與否已無關緊要。Instagram社群甚至發明＃nofilter（無濾鏡）的標籤，讓人們知道照片是無修圖而真實的。</p> <p>在Instagram上最大、共擁有三．二二億名粉絲的帳號，是由公司所管理的@instagram。這一點非常合理，因為Instagram對他們所形塑的世界擁有最高的影響力。在2018年，Instagram的每月使用者達到十億人，也是他們的第二個「十億」里程碑。但不久之後，兩位創辦人就離開公司。因為斯特羅姆與克里格發現到，就算你晉升到商業成功的最高位階，你也不一定總能得到你想要的一切。<strong>（摘錄整理自本書前言）</strong></p> <p><span style="font-size:20px;"><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span></span> </strong><strong style="color: rgb(51, 153, 255);">Instagram崛起的內幕與代價</strong></span></p> <p>莎拉．弗埃爾（Sarah Frier）／著；余韋達／譯</p> <p>臉譜出版</p> <p>售價：450元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span> </strong></span><span style="color:#3399ff;"><strong>莎拉．弗埃爾（Sarah Frier）</strong></span></p> <p>《彭博商業週刊》（Bloomberg Businessweek）的科技和社交媒體領域記者，她有關臉書的報導曾促使他們承認使用者數量下滑，她所報導關於劍橋分析醜聞的新聞，更多次被國會引用來質詢臉書執行長祖克柏及蘋果執行長提姆・庫克。而有關Instagram的報導更多次成為《彭博商業週刊》的封面故事。</p> </div></div></div>
2021/4/1 07:00未署名https://www.ithome.com.tw/article/143471
中華電信與子公司中華精測聯手，搶攻5G專網智慧製造商機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內電信龍頭中華電信和子公司中華精測聯手搶攻5G智慧製造商機，今天（3/31）共同展示以5G專網為基礎的一系列智慧製造解決方案，包括5G+AR生產環境戰情管理、5G+AIoT感測器、5G+邊緣運算系統、5G+AI等等。</p> <p>中華精測主要業務為生產半導體晶圓測試介面，雙方的合作由中華電信為中華精測在桃園平鎮廠區的一層樓，以3.5GHz頻段打造5G專用網路，為中華電信5G專網架構的第二型，採NSA非獨立組網架構，在廠區內部署專用的MEC邊緣運算系統及基地臺。</p> <p>一系列的智慧製造方案主要運用5G、邊緣運算及AIoT技術，例如5G+AIoT感測器，用以即時偵測化學藥液金屬（離子）、有機、無機化合物的濃度，經由5G網路實現智慧製造的大量設備聯網需求。</p> <p>5G與邊緣運算的結合，整合生產設備、MES、RFID、AGV、PLC可程式化邏輯控制、AIoT，在邊緣運算系統執行AI，再透過5G的低延遲，對生產設備作智能化的監控；另外，5G與AI的結合，即時蒐集與分析數據，監測產品的品質及環境是否出現異常，並因應高解析度影像、大量深度學習料傳輸及運算的需求，依生產動態預測結果，調整參數回傳至設備。</p> <p><strong>中華精測現場展示智動電鍍系統，根據APS排程系統，讀取產品批號（RFID），能根據不同的產品批號及槽液AIoT取得的即時數據，優化製程參數。由機械手臂自動執行上料、電鍍、下料過程。後端有3D SCADA顯示手臂運作狀態，以及製程資訊：</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4882-1.jpg" style="width: 600px; height: 399px;" /></strong></p> <p>中華精測建立化學槽液的健康預警，過去化學槽液多定時更槽，導致仍能使用的槽液可能因此浪費，他們根據感測器蒐集的數據，計算預測槽液的剩餘壽命，隨時掌握槽液的健康狀態，建立更槽預警的時機。這麼做讓平均更槽時間延長約50%，節省藥水支出成本，並維持槽液品質。</p> <p><strong>即時監控電鍍過程，透過AI預測製程結果，最佳製程參數優化：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CHT-2.jpg" style="width: 600px; height: 423px;" /></p> <p>此外，運用5G的高速、低延遲、大連結，結合設備、感測器、AI、資料報表、異常警示追蹤、3D SCADA、CCTV、App八大模組，並整合ERP、HRM等其他系統，建立資訊穿透、即時的智慧管理平臺，例如管理者能夠瀏覽每個生產環節狀態，查看出現告警，及早制定應變對策。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4888-1.jpg" style="width: 600px; height: 399px;" /></p> <p>該公司也和PTC、佐臻合作，運用數位雙生（Digital Twin）及5G的高速、低延遲，開發AR的應用，例如作業人員只要戴著AR眼鏡，以擴增實境顯示廠區內每個產線狀態，或是用於產線的維護保養。</p> <p>中華精測在廠區導入5G專網花費多少成本，該公司僅表示每月支付月租費給中華電信，未說明具體成本是多少。</p> <p>中華精測董事長林國豐表示，智慧製造應用在實際生產場域已見到成效，包括利用AI虛擬量測技術，將單站生產良率從67%提高到99%，錯孔檢測也從人工需要3天，改以AI影像辨識只要5分鐘，化學藥液節省38.5%、減少11%廢水處理等等。</p> <p>另外，透過戰情中心的穿透式管理，中華精測對異常情況應變時間從超過1小時縮短為5分鐘，對異常偵測與分類減少人為錯誤的失敗成本13%。</p> <p>林國豐表示，相關的5G智慧製造不僅中華精測自己使用，也會向外推廣，例如其他相關的產業，目前已有國內外的客戶洽談中，期許可能為中華精測帶來新的營收。</p> </div></div></div>
2021/3/31 19:49作者蘇文彬https://www.ithome.com.tw/news/143568
濫用ProxyLogon漏洞的中國駭客Hafnium，恐參與Hades勒索軟體攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2020年底開始出沒的勒索軟體Hades，到底發動相關攻擊的駭客身分為何？自3月下旬，已有CrowdStrike和<a href="https://www.ithome.com.tw/news/143536">Accenture</a>等2家資安公司提出不同看法，前者認為，Hades與遭到美國起訴的駭客組織Evil Corp有關，後者則表明駭客的身分仍無法確定，有待進一步調查。而3月30日有第3家資安業者提出新的事證，認為Hades與濫用ProxyLogon漏洞的中國駭客組織Hafnium有關，甚至不排除還有其他的駭客同時利用這套勒索軟體。</p> <p><a href="https://awakesecurity.com/blog/incident-response-hades-ransomware-gang-or-hafnium/">資安業者Awake Security於3月30日指出</a>，他們的事件回應團隊曾協助遭到Hades攻擊的受害者調查，看到其中一起事故出現Hafnium所使用的網域，再加上攻擊過程裡找到的特徵，符合該組織攻擊的入侵指標（IoC），因此Awake認為Hafnium可能參與了此起攻擊行動。</p> <p>Awake進一步說明，上述網域與被入侵的Exchange郵件伺服器有關，而這臺伺服器後來被駭客當作C&C中繼站使用，導致接下來發生加密攻擊事故。該公司也引用其他資安團隊的研究報告指出，這個網域最早被發現的時間點，就是在2020年12月的Hades勒索軟體攻擊事故，且早於2021年1月微軟獲報Exchange重大漏洞「ProxyLogon」。不過，Awake提出這些跡象的關連性為何？該公司沒有進一步說明，但很有可能指的是濫用Hades勒索軟體發動攻擊的駭客，在攻擊的過程中，同時運用這些當時仍是未知的Exchange漏洞。</p> <p>不只Hafnium與Hades組織有關，Awake也在一些Hades受害企業中，發現其他攻擊行動的跡證。</p> <p>值得留意的是，使用Hades的駭客也會藉由公布受害者資料的方式，來進行雙重勒索，但Awake指出，有別於許多駭客組織會架設專屬網站公布，Hades背後的駭客組織卻是以推特發文為主，帳號是@hadesleaks。經過他們的調查，該組織第一篇推文在2020年12月17日出現，同日就被資料外洩網站Hackforums引用。而Awake在推特和Hackforums的資料中發現，駭客使用雲端硬碟Mega來存放外洩資料，這點和Accenture的發現可說是相符。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/hadesleaks-tweets-l.png" style="width: 500px; height: 801px;" /></p> <p> </p> <p> </p> </div></div></div>
2021/3/31 15:56作者周峻佑https://www.ithome.com.tw/news/143562
Fintech周報第177期：玉山銀行一年千萬張支票，靠票據影像辨識自動化降低人工作業時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-weight: bold; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0327</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～</span></strong><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0402</span></strong><br /><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 玉山銀行 </span> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> MLaaS </span></strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 票據影像辨識 </span></strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">玉山銀行一年千萬張支票，靠票據影像辨識自動化降低人工作業時間</span></strong><br /><span style="font-size: 14pt;">玉山銀行智能金融處智能系統部資深經理李翼，近期在一場活動中，以票據影像辨識為例，分享玉山銀行如何運用開源技術自主建置的機器學習服務平臺（Machine Learning as a Service，MLaaS），將AI服務落地到銀行內部作業流程。李翼指出，玉山銀行每年發出的支票超過1千萬張，以往，當民眾要將支票兌現時，是由人工作業將支票的資訊鍵入到系統，再進行後續的交易，痛點是耗費人力與工時。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">他表示，玉山銀行要利用票據影像辨識自動化，來輔助人員登打，減少人工作業時間；目標是用機器學習辨識支票上手寫的中文大寫金額，以及支票右上的日期。玉山銀行是用深度學習的方法解決影像辨識的問題，談到辨識上碰到的困難，李翼提到，除了要精準辨識中文大寫金額，另外，是支票右上方的日期，有些是印刷體、手寫、機器打印等，加深了辨識的難度。所以，玉山團隊在蒐集訓練資料，以及建模時都要將這些資料跑進去。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;"><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_2994.JPG" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">玉山的模型皆部署在MLaaS上，票據影像辨識ML模型也是其中一個，透過API接口，串接到玉山既有的票據作業系統。作法上，在前端票據作業系統，票據會經過影像掃描，掃描後會將影像送到MLaaS系統上，根據票據影像辨識模型，會吐一個預測，表示系統可以正確辨識支票上的金額與日期，此時就能直接進入自動化流程；若無法辨識，票據作業系統就觸發人工處理。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">李翼強調，模型必須要重新訓練，反饋迴路（Feedback Loop）是提升ML模型效能的關鍵。流程上，當系統無法辨識票據時，系統會先回傳訊息給前端系統，這時就轉為人工辨識支票日期與金額；為了將人工辨識的結果回饋到MLaaS平臺中的模型，玉山團隊還多設計了一支Feedback API，從前端票據作業系統傳遞Transaction ID與Ground Truth數值，來觸發後端系統上自動重新訓練的機制。他認為，合理的人機協作設計是AI應用落地的關鍵。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">李翼透露，該專案的目標並非要百分之百辨識所有支票上的金額與日期，對於玉山來說，假設每人每天要辨識100張支票，若其中有30張經過ML模型，且系統能確保辨識完全正確，銀行的人力就只要處理剩下7成的支票，另外3成就是由系統自動化進行，相對來說，在這業務上就能減少3成的人力作業。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融業 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 勤業眾信 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">勤業眾信發布2021年全球金融服務產業趨勢</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">勤業眾信聯合會計師事務所在3月30日發布金融服務產業趨勢報告，內容指出，臺灣金融產業已進入10年轉型浪潮的開端，面對組織改革、數位轉型、成本革新和疫情衝擊等問題，2021年金融產業將朝遵守監理制度、永續經營、普惠金融、業務創新等4大重點發展。根據勤業眾信（Deloitte）針對全球金融業的調查，無論銀行、保險或投資管理業，皆已為組織改革做出調整，以建立敏捷且富有彈性的組織與工作環境；其中，超過半數的銀行實施彈性的工作排程、6成的投資管理公司允許員工在家辦公。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，疫情也加速了數位轉型腳步，藉由打造更多數位化的客戶互動管道，強化企業韌性及客戶關係。例如，超過5成的投資管理公司運用AI聊天理財服務機器人支援大量的線上服務需求、近4成銀行預計在實體旗艦分行引進AI機器人助理。此外，部分業者也施行成本革新，將資金投資在數位化和虛擬化營運等任務，暫時延緩或取消不必要的費用。調查顯示，網路安全、資料隱私以及雲端建置的支出，為2021年金融產業計畫要增加或維持的主要3個項目。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 疫苗護照 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">全美首例，紐約州發表採用IBM區塊鏈平臺的疫苗護照</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">紐約州在3月26日發表了全新的疫苗護照Excelsior Pass，得以存放民眾施打COVID-19疫苗或是檢測為陰性的結果，以利民眾進入各種人潮聚集的場合，推動及迎接經濟的復甦，也是全美第一個推出疫苗護照的州別。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Excelsior Pass是以IBM的數位健康通行證（Digital Health Pass）解決方案為基礎，該解決方案奠基於區塊鏈技術上，再加上加密技術，得以在驗證使用者健康狀態的同時保障其隱私。這支Excelsior Pass Wallet程式以QR碼來儲存COVID-19的疫苗施打與檢測結果，至於活動方則下載Excelsior Pass Scanner，來掃描該QR碼以確認民眾的健康狀態。有了Excelsior Pass之後，活動方就能舉辦並邀請民眾參與大型聚會，並以它作為活動的入場券之一。<strong><a href="https://www.ithome.com.tw/news/143515">（詳全文）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Excelsior%20Pass.jpg" /></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Visa調查 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">Visa調查：臺灣消費者期待純網銀能有更優惠利率與全面性線上服務</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Visa近日發布一份消費者支付調查2.0，該調查是針對1,600位臺灣、香港、澳門年齡介於18到55歲的一般民眾，以量化方式進行調查，臺灣受訪者人數為800人。報告發現，超過半數（52%）的臺灣民眾有興趣在純網銀開戶，而希望搶先開戶的消費者中，有69%為高收入族群、58%為男性消費者，同時，54%為18到44歲之間，涵蓋了千禧以及Z世代族群。網站、網路新聞以及社群，則是純網銀的潛在消費者獲取訊息的主要管道。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Visa報告指出，針對純網銀服務，臺灣消費者期待擁有更優惠的利率（56%）、所有服務都可在線上完成（47%），以及更低廉的手續費（37%）、更好的使用者體驗（29%）、較多的互動（25％）、符合個人化的彈性需求（20%）、創新的產品與服務（20％）、更好的財務報表資訊（17%）、更全面的服務整合（17%）。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">至於臺灣消費者開辦純網銀帳戶誘因中，能即辦即用透過幾個按鍵就完成虛擬卡申請（46%）、生活相關優惠，如網購平臺特別優惠（39%），或電信業者的相關優惠（33%）；本地或海外的旅遊優惠仍是消費者重要考量（34%），其他的誘因包括，提供外幣錢包能直接提領海外帳戶（29%）、創新與個人化的卡面設計（22%）、或即時查詢家中成員的消費（21%）。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/Visa%E8%B3%87%E6%96%99%E5%9C%96%EF%BC%9A%E6%95%B8%E4%BD%8D%E5%84%AA%E5%85%88%E9%A9%85%E5%8B%95%E9%8A%80%E8%A1%8C%E4%BD%BF%E7%94%A8%E9%AB%94%E9%A9%97.jpg" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 將來銀行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">將來銀行開業卡關？CIO揭去年IT團隊面臨溝通陣痛期與開發能量不足2大考驗</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣3家純網銀中，唯獨將來銀行至今尚未取得金管會核發純網銀營業執照，進度上似乎慢了許多？將來銀行資訊長周旺暾親上火線說明，2020年上半年，將來銀行IT團隊面臨內部溝通陣痛期，以及開發能量不足這2大考驗。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">他表示，2020年1月31日，將來銀行正式設立公司後，才真正開始大舉招募人力，以資訊部來說，總共分為金融系統部門、開發部門、資安部門、基礎建設部門4部門。直到同年3月、4月，團隊才真正建立，然而，去年4月，正是將來銀行建置機房的時候，此刻尚未形成明確的組織文化，成員合作默契也不夠，初期溝通產生了許多摩擦，所以，這過程中流失了部分人力。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">當時，將來銀行開發部門人力約莫30人，還分為開發人力、SA、測試人力。然而，暴增的開發任務卻還是與人力不成正比，短期內開發能量不夠，除了重新建立開發團隊的工作節奏，更在6月時從外部廠商找來7到8名臨時開發人力，進來與內部團隊共同開發。解決了資訊團隊的問題後，就開始要與各部門開始建立合作的默契，周旺暾表示，直到今年年初，彼此的合作默契才較為通暢。<a href="https://www.ithome.com.tw/news/143505"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%A8%99%E6%BA%96%E6%A9%AB%E5%BC%8F.png" /></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 彰化銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 線上房貸增貸 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> MyData </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">彰化銀行導入MyData資料，民眾可線上辦理既有房貸增貸</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">彰化銀行於3月25日宣布，已在自家「線上既有房貸增貸」申請流程中，導入數位服務個人化（MyData）服務，現在，彰銀顧客只要透過MyData平臺完成身分驗證及同意後，即可授權調閱內政部、財政部、勞動部等政府機關之個人相關資料，取得如戶政國民身分證影像、財產資料、個人所得資料及勞工保險資料等，提供線上辦理既有房貸增貸或申辦信用卡等業務使用。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/01_%E9%99%B3%E6%96%8C_%E5%BD%B0%E5%8C%96%E9%8A%80%E8%A1%8C_%E8%B3%87%E8%A8%8A%E8%99%95%20%E8%99%95%E9%95%B7_20151013_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 電信信用評分 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 企金 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">電信資料也能作為銀行企業放貸評估輔助依據，中華電信與中華徵信所共推企金AI信評服務</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中華電信與徵信企業CRIF中華徵信所合作，在近期共同推出「電信信用計分卡」服務，在經過企業用戶同意的基礎下，由中華電信提供企業戶24個月的電信使用行為數據，中華徵信所則提供電信信用評分模型，兩者聯手推出的企金AI信評服務，能分析數據中的違約率、營運狀況等，目的是要讓銀行業者在放貸給中小企業時，能有更多輔助數據來進行評估。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中華徵信所總經理郭曉薇表示，對於中小企業來說，可透過電信資料補足向銀行申貸時財務數據的不足，進而降低擔保品的需求；對銀行而言，則能提供更為廣泛的數據，降低銀行對中小企業違約率的誤判。該企金電信信評服務預計今年Q2上線。<a href="https://www.ithome.com.tw/news/143461"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3049(1).JPG" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><span style="vertical-align: top;">攝影／余至浩、李靜宜、洪政偉；圖片來源／</span></span>紐約州政府、Visa、將來銀行<br /><span style="font-size: 14pt;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="vertical-align: top;">1. </strong><a href="https://www.ithome.com.tw/news/143447"><strong>特斯拉開放美國消費者以比特幣買車，預計今年會擴大到其它國家</strong></a><br /><strong style="vertical-align: top;">2. </strong><strong>行動支付品牌Line Pay在臺用戶數正式突破900萬</strong><br /><strong style="vertical-align: top;">3. </strong><strong>MaiCoin與7-Eleven合作，全臺超過6,000家超商可買虛擬貨幣</strong><br /><strong>4.</strong> <strong>中國信託銀行推出24小時線上下單購買外國債券服務</strong><br /><strong>5. </strong><strong>永豐銀Scan & Pay掃碼支付工具導入台灣代駕App，開拓消費支付場景</strong><br /><strong>6. </strong><a href="https://www.ithome.com.tw/news/143474"><strong>美大型保險公司CNA傳出遭勒索軟體Phoenix CryptoLocker攻擊</strong></a><br /><strong style="font-size: 14pt; vertical-align: top;">7. </strong><strong>台新銀行Richart與好賣+合作推數位微型貸款，賣家上傳營運資料即可作為借款財力證明</strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年4月</strong></p> </div></div></div>
2021/3/31 18:46作者李靜宜https://www.ithome.com.tw/news/143567
兩廳院全新售票系統4月正式啟用，要作為臺灣藝文消費大數據庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">營運17年的兩廳院售票系統將在今日（3/31）畫下服務的句點，明天起，由歷時1年半開發的全新售票系統Opentix，正式接棒。新系統不只擴大售票業務的銷售票種，讓平臺集結更多類型的藝文活動，更進一步新增AI推薦功能，打造個人化購票體驗，還提供表演團體BI觀測平臺，掌握即時銷售動態。未來，新系統更身負，作為臺灣藝文大數據庫的重任。</p> <p dir="ltr">2004年啟用的兩廳院售票系統，採當時最流行的網路技術和架構打造，更打破時間空間限制，提供線上售票服務，不再侷限26個實體分銷點售票。走過17個年頭的舊代系統，每年約服務15萬名會員購買全臺藝文表演票券，年平均服務6千場演出、售出179萬張票券，是臺灣最重要的藝文售票平臺之一。</p> <p dir="ltr">國家兩廳院有感近年科技技術快速演進，舊系統已無法滿足及因應兩大服務對象：觀眾和表演團體的需求，於是，決定砍掉舊系統，大重練。兩廳院找來廣達電腦協助開發新系統，導入AI、大數據分析等技術，要利用各種數據來優化ML模型，把以往最耗人力的工作自動化。</p> <p dir="ltr">回憶新系統一年半的開發歷程，國家表演藝術中心董事長朱宗慶表示，要建置全新系統，背後工程浩大，「選擇原狀非常容易，放棄改變也很簡單，但，時間不等人，須勇往直前。」對於開發、試營的過程中，各方提出了不同的反饋，不管是鼓勵、建議或批評，他強調，每句話，都是這套系統優化的養分。</p> <p dir="ltr">去年11月20日，兩廳院新一代售票系統展開試營運，經歷52次版本更新，如今試行告一段落，要正式啟用。在逾4個月的試營運期，新系統上架近700檔節目與活動，銷售了40萬張票券，並累積了近10萬名活躍會員，其中，有近5萬名會員下載App使用。</p> <p dir="ltr">為因應民眾今日會在不同裝置上瀏覽網頁的習慣，新系統的開發重點之一就是，打造行動優先的跨平臺體驗。開發團隊採RWD等技術，讓網頁不受螢幕大小影響，能在各裝置上呈現一致的節目內容。如今，App下載數已達新系統會員人數的5成，呼應了兩廳院行動優先的開發考量。</p> <p dir="ltr">新系統在拓展購票體驗的功能上，更下了許多功夫，強化選位、場地圖實際呈現、優惠購票等功能。因建置了更多功能，新系統將可販售更多種類的藝文活動，新增包含電影、展覽、影展、博物館、流行音樂、文創等票券，像是台北電影節、奇美博物館等，都會是系統服務的對象。</p> <p dir="ltr">擴大銷售不同種類的票券，也意味著，新系統將累積更多元的藝文消費行為數據。兩廳院將藉由數據來優化演算法，不斷學習消費者的偏好，進而預測消費者的需求，打造個人化購票體驗，像電商平臺一樣，主動推薦節目給消費者，以更精準、即時地接觸潛在消費者。</p> <p dir="ltr">文化部李永得表示，兩廳院售票系統一直是，文化部掌握藝文消費行為的重要資訊來源。待新系統擴充銷售更多類型的表演藝文活動票券後，他道，這將留下珍貴的文化消費行為的大數據，經做分析，會作為文化部制定和修正政策的參考，確保資源是投注在藝文愛好者和藝文單位的身上。</p> <p dir="ltr">他也提到，去年發放的藝Fun券，累積了327萬筆文化消費行為資料，這些資料已做去識別化處理，準備開放給各界，包含藝文團體、研究單位等使用，來研究民眾的藝文消費行為，他道，這是臺灣有史以來累積最大量的藝文消費資料。</p> <p dir="ltr">兩廳院的售票系統，作為消費者及藝文單位連結的橋樑，為方便團隊與主辦單位掌握銷售狀況，過去，兩廳院會將售票系統內的數據，製成報表給表演團隊分析，來從中掌握節目的廣告投放成效、可群來源等。然而，國家兩廳院副總監許美玲表示，他們發現中小型表演團隊沒有人力，來分析數據。因此，開發團隊特別在新系統的後臺，建置了BI數據觀測平臺。</p> <p dir="ltr">通過BI平臺，藝文團隊和活動主辦單位可以查看，以視覺化圖表呈現的銷售數據，包含購票管道銷售比例、票價販售狀況、不同場館和場次的銷售比例等，從而依據數據調整行銷策略，開發潛在觀眾。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20210330_150216-2.jpg" style="width: 600px; height: 277px;" /></p> <blockquote><p dir="ltr">演出單位可以登入新售票系統的後臺，查看表演在不同場館的銷售狀況，掌握包含銷售金額、張數、售票率、票區銷售狀況等資訊。攝影／黃郁芸</p> </blockquote> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20210330_150244-2.jpg" style="width: 600px; height: 280px;" /></p> <blockquote><p dir="ltr">BI戰情室以視覺化方式呈現不同的銷售資訊，像是各購票管道的銷售狀況、各折扣方案的銷售狀況等。攝影／黃郁芸</p> </blockquote> <p dir="ltr">朱宗慶期許，新系統不只是藝文活動購票的入口，而是，未來臺灣文化、藝術活動整合大數據的聚點，並進一步利用數據分析技術，提供表演藝術團體轉型的機會，幫助藝文界發展。文⊙黃郁芸</p> </div></div></div>
2021/3/31 16:45作者黃郁芸https://www.ithome.com.tw/news/143564
Arm揭露整合安全與AI的下一代晶片架構Armv9
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>半導體設計暨軟體業者Arm在周二（3/30）<a href="https://www.arm.com/company/news/2021/03/arms-answer-to-the-future-of-ai-armv9-architecture" target="_blank">揭露了下一代的晶片架構Armv9</a>，新架構主要是為了滿足市場對安全與人工智慧（AI）的需求，同時這也是Arm最近十年來唯一發表的新架構，目前業界所使用的Armv8是在2011年發表的。</p> <p>Arm執行長Simon Segars說，人們期待著由AI定義的未來，Arm必須奠定一個運算基礎，以應對即將來臨的挑戰，而Armv9就是創造下一波3千億個Arm晶片的前哨，也將加速AI應用、物聯網（IoT）與5G的發展。</p> <p>在安全的強化上，Armv9採用了Arm所設計的機密運算架構（Confidential Compute Architecture，CCA），可於硬體保護的環境中進行運算，保護正在使用中的程式碼與資料不被存取或竄改。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0331-arm%20V9-confidential%20architecture.jpg" style="width: 600px;" /></p> <p>CCA能夠動態建立支援所有應用程式的Realms區域，該區域亦同時隔離了安全與不安全的世界，舉例來說，在商業應用程式中，Realms能夠於商業機密資料與程式碼在使用、靜止或傳送時，不受系統其它部份的影響。</p> <p>負責Azure Edge的微軟技術長Henry Sanders認為，從邊緣到雲端的使用案例日益複雜，無法用千篇一律的解決方案來處理安全問題，這使得異構運算變得愈來愈普遍，也更需要硬體與軟體開發者之間的密切合作，而Arm CCA功能即是與微軟密切合作下開發完成。</p> <p>另一方面，去年中全球有超過90億個基於AI的語音助理裝置，且超過9成的裝置應用都含有AI元素，使得Arm與富士通合作建立了可擴展向量延伸（Scalable Vector Extension，SVE）技術，該技術已被應用於富士通Fugaku超級電腦中，而Arm則藉此衍生出支援Armv9的SVE2版本，以強化機器學習及數位訊號處理能力。</p> <p>Arm指出，SVE2將能加強CPU在5G系統、虛擬/擴增實境與機器學習等任務的處理能力，像是影像處理或是智慧家庭應用程式，且未來幾年還會透過改善CPU的距陣乘法來延伸其AI能力。</p> <p>Arm預期Armv9將會讓未來兩代的行動及架構CPU效能提高30%以上，且預計今年在市場上就可看到首個採用Armv9晶片的裝置。</p> </div></div></div>
2021/3/31 16:39作者陳曉莉https://www.ithome.com.tw/news/143563
開源AsyncAPI專案現在受Linux基金會託管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源<a href="https://www.linuxfoundation.org/en/press-release/linux-foundation-will-host-asyncapi-to-support-growth-and-collaboration-for-industrys-fastest-growing-api-spec/">AsyncAPI</a>也成為Linux基金會底下的專案之一，AsyncAPI是一套用於非同步API，和事件驅動基礎架構的工具以及規範，也是目前成長最快速的API規範，根據調查，光從2019年到2020年AsyncAPI的使用量就成長了2倍，創建者認為AsyncAPI需要進入Linux基金會，以確保未來穩定發展。</p> <p>AsyncAPI是一個開源計畫，目的是改善當前事件驅動基礎架構（EDA）的狀態，長期目標是要讓EDA的使用過程，無論是程式碼生成還是事件管理，都和使用REST API一樣簡單容易，使原本用於REST API的程序，也可適用於事件驅動API。AsyncAPI除了有助於統一文件自動化和程式碼生成之外，還可以用來管理、測試和監控非同步API，其提供用來描述事件驅動系統介面的語言，支援事件驅動基礎架構整個開發周期。</p> <p>AsyncAPI創建了一個規範，供開發人員、架構師和產品經理，能夠定義非同步API介面，就像是OpenAPI之於REST API的關係一樣，因此AsyncAPI也被視為OpenAPI的姐妹專案，現在同樣都由Linux基金會託管。AsyncAPI適合想要自動化，或是規範微服務文件和程式碼產生的企業，透過使用AsyncAPI來建立可靠標準，改善非同步API管理。</p> <p>AsyncAPI專案創建者Fran Méndez提到，由於AsyncAPI的猛烈成長，毫無疑問地需要替AsyncAPI專案，找一個中立且值得信任的組織依附。Fran Méndez選擇了Linux基金會，並且為該專案設定了下一階段的目標，便是要提高AsyncAPI成熟度，借助Linux基金會的開放治理模型，繼續讓AsyncAPI專案蓬勃發展。</p> </div></div></div>
2021/3/31 15:33作者李建興https://www.ithome.com.tw/news/143559
PayPal開始接受美國用戶以加密貨幣付款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年底<a href="https://www.ithome.com.tw/news/140675" target="_blank">開放用戶持有及買賣加密貨幣</a>之後，PayPal本周發表了<a href="https://newsroom.paypal-corp.com/2021-03-30-PayPal-Launches-Checkout-with-Crypto" target="_blank">Checkout with Crypto</a>功能，將允許美國用戶以加密貨幣付款，現在全球已有數百萬家線上商店接受加密貨幣，且估計數量會日益增加。</p> <p>目前PayPal所支援的加密貨幣包括比特幣（Bitcoin）、以太幣（Ethereum）、比特幣現金（Bitcoin Cash）與萊特幣（Litecoin），當用戶的PayPal錢包中含有足夠支付該筆消費的加密貨幣時，在結帳時就會自動出現在交易選項中，一筆交易只能選擇以一種加密貨幣付款。</p> <p>Checkout with Crypto將根據PayPal所訂定的匯率轉換成美元以進行交易，且PayPal不收取任何的手續費。</p> <p>PayPal執行長Dan Schulman表示，隨著愈來愈多人採用數位支付及數位貨幣，Checkout with Crypto致力於推動加密貨幣成為主流支付選項，此外，讓加密貨幣能夠用來於全球進行購買也可促進數位貨幣的普及。</p> </div></div></div>
2021/3/31 15:50作者陳曉莉https://www.ithome.com.tw/news/143561
【搶千億美元生意，CPU龍頭重返晶圓代工戰場】英特爾揭IDM 2.0新戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「Intel回來了，跟舊的不同，現在是新的Intel。」今年2月剛接下英特爾執行長大位的Pat Gelsinger，在首場線上演說發下豪語。他首度揭露該公司未來新戰略IDM 2.0（Integrated Device Manufacturing 2.0），並將它列為公司接下來發展的重要願景。而作為新生的英特爾第一步，就是重返晶圓代工戰場，英特爾不僅成立新事業群，還將重砸200億美元建新廠，未來目標代工CPU產品，更涵蓋了x86、Arm、RISC-V架構處理器。英特爾也開始轉型，不只是賣CPU產品，更要變成一家晶圓代工服務商，打造世界級的晶圓代工業務，來與台積電一同競爭。</p> <p>這位英特爾歷史上的第8位執行長，也是前VMWare執行長，在長達1小時演說中從頭到尾始終保持爽朗的笑容，但卻展現不同以往的強烈決心要帶領這家公司轉型。</p> <p><span style="font-size:28px;"><strong>英特爾新戰略，不只純賣CPU，更要轉變為晶片代工服務商</strong></span></p> <p>作為上任以來首場線上公開演說，Pat Gelsinger一開場就提出英特爾未來IDM 2.0新戰略，除了維持CPU產品競爭優勢與擴大委外代工產品，更要開始轉型，不再像之前只專注賣自家CPU產品，甚至也要變成一家晶圓代工服務商，要來與半導體晶圓代工龍頭台積電一較高下。</p> <p>具體來說，英特爾未來IDM 2.0新戰略有三，首先是未來大部分產品將繼續在英特爾內部工廠生產，並能構建於既有垂直整合製造的競爭優勢，搭配更先進製程技術，如7奈米製程、SiP晶片封裝技術等，實現產品優化，提高經濟效益和供貨彈性。</p> <p>其次，在現有合作基礎上，該公司將擴大與第三方代工廠的生產合作模式，除了現有的通訊、網路、繪圖相關晶片代工之外，英特爾2023年開始也將把部分的消費級CPU（如桌上型PC）與資料中心伺服器使用的CPU外包，由這些代工廠分擔英特爾工廠部分產能。尤其，基於IDM 2.0新模式下，Pat Gelsinger強調，該公司將加強與台積電、三星在內等主要晶圓代工業者的合作，以讓自己生產能夠更保有靈活彈性，來因應用不同成本、效能、生產進度與供應鏈變化，優化自家產品藍圖。</p> <p>除了擴大第三方代工自家產品，英特爾還計畫推出新的晶圓代工服務（Intel Foundry Services，IFS），為客戶提供晶圓製造服務，來滿足全球半導體製造的龐大需求，它未來更大目標是要成為美國和歐洲晶圓代工主要供應商，服務全球客戶。這是英特爾IDM 2.0第三個戰略。</p> <p>由此來看，英特爾這次制定的新戰略，也反映出這家50年老牌半導體公司也要開始轉型，不再純以下游的硬體平臺商為主要銷售對象，而是向上也要能夠服務中游的IC 製造公司，要讓自己能夠與台積電、三星等一線代工廠同競爭。</p> <p>但英特爾不是第一次揮軍晶圓代工市場，早在2014年，時任的英特爾執行長Brian Krzanich就曾宣布開放其晶圓廠，來提供客製化晶圓代工服務（Intel Custom Foundry），藉由該公司在晶圓廠的多年製造經驗和市場領先地位，試圖打入晶圓代工業務發展出新的商業模式，彌補內部龐大研發成本。</p> <p>但幾年下來，該業務發展過程並不順遂，即使先後有韓國LG與中國展訊等業者找上門合作，委由英特爾代為生產10奈米和14奈米Arm架構處理器等，但最終仍以失敗收場，甚至2018年一度傳出英特爾要終止晶圓代工業務的消息。</p> <p>其中可歸納2個主因，一來，該代工服務推出的同時，當時英特爾適逢10奈米晶片推出延遲，以及遭遇14奈米CPU供應短缺的挑戰，使得它只能將重心放在核心CPU業務，無暇兼顧晶圓代工業務，二來是英特爾在晶片設計過程提供客戶使用的軟體工具，大多是經過客製化的工具，而非標準化的通用工具，客戶很難直接用它來設計自己的CPU，使用上帶來諸多限制。</p> <p>儘管，當時英特爾聲稱製程領先優勢高於競爭對手3.5年，但由於製程開發受阻，也讓它逐漸失去原本保有的領先優勢，不只在CPU競爭市場上，讓AMD重新回到與英特爾對抗的檯面，連原本領先製程競爭優勢，也逐漸落後於台積電，越來越多IC廠商轉而委託台積電生產10奈米、7奈米晶片產品。就連蘋果都棄它轉投台積電生產自家手機晶片。</p> <p>直到今年之前，英特爾多專注於核心CPU業務，聚焦CPU新產品研發，以用於雲端資料中心、5G網路、AI加速應用，鮮少提及晶圓代工業務。</p> <p>不過，Pat Gelsinger上任後第一場公開演講揭露未來公司新戰略時，首度將晶圓代工列為推動IDM 2.0計畫關鍵一環，這麼做的原因，Pat Gelsinger解釋，與CPU產品市場相比，晶圓代工更是一個高達一千億美元規模的潛在市場，且大部分需求增長來自邊緣運算，這正是英特爾擅長的部分，他誇下豪語：「不僅要進軍晶圓代工，更要打造世界級的晶圓代工業務，成為美國與歐洲市場主要的晶圓代工服務商。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0331-%E8%87%B3%E6%B5%A9-new%20fab%20-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Intel.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>英特爾最新的晶圓廠是在2020年於亞利桑那州Ocotillo園區（上圖）啟用營運，負責生產10奈米微處理器，今年該公司還有2座新晶圓廠將在該園區動工興建，未來除了將用來生產英特爾現有的產品，也將提供IFS代工服務。</strong>（圖片來源／Intel）</span></p> <p><span style="font-size:28px;"><strong>成立新的IFS部門，代工CPU產品包含x86、Arm等</strong></span></p> <p>儘管身為全球CPU龍頭，但前一次跨足晶圓代工，英特爾並未占到太大優勢，甚至因此重摔了一跤。所以，英特爾這次決定新設一個完全獨立的晶圓代工服務事業群（Intel Foundry Services，IFS），目前該公司主要的事業群包括以PC為主的客戶運算事業群（CCG）、資料中心事業群（DCG）、非揮發性記憶體（NSG）、物聯網事業群（IOTG），以及可程式解決方案事業群（PSG），未來IFS也將成為其中一員。該部門將由半導體產業資深老將，也是現任英特爾供應鏈主要負責人Randhir Thakur領軍，並直接向CEO彙報。</p> <p>新的IFS部門未來將提供最先進製程及封裝技術，而做為其代工服務的一部分，將納入現今主流CPU設計架構，包括x86、Arm、RISC-V處理器產品，可用於生產AI加速運算、繪圖處理、互連、光纖網路等處理器，IFS客戶亦可存取英特爾的晶片設計服務，無縫地將晶片轉成解決方案。</p> <p>英特爾也宣布與兩家EDA工具商Cadence和Synopsys達成合作協議，要讓自家晶片設計能夠支援產業標準EDA工具和工作流，讓客戶可以更容易使用標準PDK製程設計套件，來構建其晶片設計。</p> <p>不只成立新的IFS部門，英特爾未來更計畫斥資200億美元在美國亞利桑那州興建兩座晶圓廠，預計今年內動工，不過英特爾並未公布預估完工與上線日期。目前英特爾晶圓製造廠大多設在美國本地，其中有6座分布在奧勒岡州、亞利桑那州和新墨西哥州，未來新晶圓廠啟用後，除了將用來生產英特爾現有的產品，也將提供代工服務。估計可帶來逾3,000個高科技的高薪職缺，超過3,000個營建工作機會，以及替當地帶來1.5萬個長久的工作機會。</p> <p>除了亞利桑那州，英特爾還有下一階段的產能擴充計畫，地點可能是美國、歐洲與其它地方，今年會公布更多細節。</p> <p>除了大舉進軍晶圓代工市場之外，在核心CPU業務上，英特爾還揭露未來7奈米製程產品藍圖，第一款英特爾7奈米製程產品，將會使用於美國新一代Aurora超級電腦Ponte Vecchio。不僅如此，還有一款資料中心專用的7奈米製程處理器Granite Rapids，今年第二季會送到設計團隊手上測試。而另一款桌上型CPU產品Meteor Lake同樣採7奈米製程，預計將在2023年推出。Pat Gelsinger還補充提到，2023年將與台積電合作，提供CPU產品予英特爾的客戶端及資料中心端客戶。</p> <p>作為新生的英特爾，Pat Gelsinger也宣布將重啟原本停辦多年的IDF開發者論壇活動，並改以Intel On作為活動新名稱，更預告首場開發者大會將於今年10月舊金山舉辦。</p> </div></div></div>
2021/3/31 15:14作者余至浩https://www.ithome.com.tw/news/143560
蘋果WWDC將在6月7日於線上登場，Swift學生挑戰賽開放申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.apple.com/wwdc21/" target="_blank">蘋果本周宣布</a>，一年一度的全球開發者會議（Worldwide Developers Conference，WWDC）將在6月7日至11日舉行，由於尚處疫情期間，將沿襲去年的虛擬模式，同時開放全球使用者參與，今年也將續辦第二屆Swift學生挑戰賽（Swift Student Challenge）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0331-WWDC21-1(1).png" style="width: 400px;" /></p> <p>蘋果每年都會藉由WWDC發表新服務，舉行各種會議，以及揭露最新的蘋果平臺與工具，外界預期今年會在WWDC上露面的，包括新一代的iOS/iPadOS/tvOS 15、watchOS 8與macOS 12等作業系統，也猜測蘋果可能會發表採用蘋果自製處理器M1的新裝置，或是讓外界一窺蘋果正在開發的混合實境（MR）頭戴式裝置。</p> <p>至於<a href="https://developer.apple.com/wwdc21/swift-student-challenge/" target="_blank">Swift學生挑戰賽</a>則是針對13歲以上的學生所設計的比賽，鼓勵學生以Swift程式語言創作，於Swift遊樂場中打造一個可於3分鐘內體驗的互動式場景，所有的內容都應該以英文表達，而且必須可於離線時運作，即日起開放申請。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0331-WWDC21-2.png" style="width: 400px;" /></p> <p>第一屆的Swift學生挑戰賽總計有來自41個國家的350名學生獲獎，其中有兩名學生來自臺灣。</p> </div></div></div>
2021/3/31 13:25作者陳曉莉https://www.ithome.com.tw/news/143554
挑戰Clubhouse，Spotify收購語音社交平臺業者Betty Labs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Clubhouse掀起語音社交服務風潮，串流音樂服務<a href="https://newsroom.spotify.com/2021-03-30/spotify-acquires-locker-room-and-announces-plans-for-a-new-live-audio-experience/" target="_blank">Spotify也在周二宣布</a>，收購運動主題的即時線上聊天室服務Locker Room的開發商Betty Labs。</p> <p>Betty Labs先後獲得知名投資公司Lightspeed、GV、Precursor Venture的投資，它去年10月正式推出的Locker Room專門鎖定運動迷，提供線上即時以及隨需兩種聊天服務。</p> <p>Spotify表示，這項收購是在該公司建立「未來音訊格式」的願景目標與既有成果的基礎上推動，將可加速Spotify跨入線上語音的腳步。</p> <p>Spotify研發長Gustave Söderström指出，Spotify平臺上的創作者及用戶一直要求即時內容的服務型態，今天這樁收購將可在音樂、podcast及其他音訊之外補強Spotify的服務。</p> <p>Spotify也承諾很快將推出線上即時語音聊天室服務。接下來幾個月內，Spotify會持續改造、擴充Locker Room，使它成為「進階的音訊」。Spotify計畫提供多種運動、音樂、藝文服務及互動功能，讓創作者可和聽眾即時互動。</p> <p>Spotify顯然希望藉此挑戰去年快速走紅的邀請制語音社交平臺Clubhouse。根據市調業者App Annie，截至3月14日，Clubhouse下載次數超過1270萬次。Clubhouse目前僅有iOS版本。</p> <p>也因為Clubhouse沒有Android版，給了<a href="https://www.ithome.com.tw/news/143399" target="_blank">惡意程式機會冒充Android版</a>誘騙用戶下載安裝，藉此竊取400多種服務（包括臉書Messenger、WhatsApp或Outlook）的憑證。</p> </div></div></div>
2021/3/31 13:40作者林妍溱https://www.ithome.com.tw/news/143555
Google Maps將開始支援室內AR導航，增添環保友善路徑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/maps/redefining-what-map-can-be-new-information-and-ai/" target="_blank">Google Maps團隊在本周公布了</a>準備在今年新增的地圖功能，包括室內AR導航Indoor Live View、氣象預測圖層、空氣品質圖層、環保友善路徑、所有路徑的比較，以及因疫情而衍生的外帶提醒功能。</p> <p>Live View為一結合實景與地圖的徒步導航功能，且採用了Google所開發的全球本地化（Global Localization）技術，以手機上所呈現的位置來比對全球數十億的街景圖像，於是能在地圖上秀出箭頭與提示，以協助使用者辨識正確的行進方向。</p> <p>之前Live View僅支援戶外，現在Google則準備將它應用在諸如機場、交通轉運站及大型購物中心等室內環境。在新的Indoor Live View功能問世後，使用者在機場內就可利用地圖尋找電梯、登機門、報到櫃臺、洗手間或是提款機，而且搭配箭頭與說明；或者是在購物中心內利用Indoor Live View來查找取貨的商店位置。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Indoor_Live_View_2_QSAeaS7.gif" style="width: 192px;" /></p> <p>Indoor Live View現已支援美國芝加哥、長島、洛杉磯、紐瓦克、舊金山、聖荷西與西雅圖的購物中心，幾個月後將會擴大支援東京與蘇黎世的機場、購物中心及車站。</p> <p>此外，Google Maps將會有新的氣象預測層及空氣品質層，前者可顯示各地的氣象預測，將在未來幾個月於全球釋出，後者則可顯示各地的空氣品質，以讓容易過敏的使用者，避免進入煙霧濔漫或是火災地區，將率先現身於澳洲、印度與美國市場。</p> <p>有鑑於全球愈來愈注重環保與碳排放，未來Google Maps在替使用者規畫路徑時，若最快路徑與低碳路徑的到達時間差不多，系統將自動以低碳路徑作為預設值，就算所找出的最快路徑比低碳路徑快一些，系統也會列出低碳路徑供使用者參考，使用者亦設定永遠採用最快路徑。此一環保友善路徑功能將會率先於美國市場推出，之後再擴張至其它國家。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0331-google%20maps%20eco%20path.png" style="width: 300px;" /></p> <p>此外，有些國家設置了低碳區域，禁止柴油車或貼有特定排放標籤等容易造成污染的車輛進入，Google Maps也會在所提供的路徑行經這些區域時跳出警告，該功能預計於今年6月出現在德國、荷蘭、法國、西班牙及英國市場。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Low_Emission_Zone.max-1000x1000.png" style="width: 191px;" /></p> <p>幾個月之後，Google Maps還會提供一個可瀏覽所有交通方式的全面檢視功能，使用者只要輸入目的地，地圖就會直接列出所有的交通方式而不必再切換標籤，而且還會根據使用者的偏好或是該城市的熱門選擇進行排序，例如使用者經常騎腳踏車，那麼地圖上就會顯示更多的腳踏車路徑，假使使用者身處諸如紐約、倫敦或東京等地鐵便利的大都市，地鐵資訊就會出現在首位。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/2D.gif" style="width: 192px;" /></p> <p>上述功能全都同時支援Android與iOS平臺，也都會在今年上線，惟上線時間不一。</p> </div></div></div>
2021/3/31 13:56作者陳曉莉https://www.ithome.com.tw/news/143556
Google Meet無上限免費服務再展延到6月30日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/GoogleWorkspace/status/1376957338733674499" target="_blank">Google 本周再宣布</a>，Google Meet無上限免費服務，將再展延到6月30日。</p> <p>去年因為COVID-19疫情各城市封鎖令之故，Google等視訊平臺商紛紛宣布免費版服務開放無上限通話。<a href="https://www.ithome.com.tw/news/140259" target="_blank">Google於去年4月底開放</a>，雖然當時預定10月1日恢復限制，不過隨著疫情持續，9月底Google首度宣布展延到今年3月31日。在最新的展延措施下，用戶可免費以Google Meet和親友、公司同事等視訊到6月30日。</p> <p>不過這個無上限的意思，是指每天不限通話次數，每天最長可視訊24小時。</p> <p>用戶只要有Google帳號皆可透過網站或Android、iOS App使用免費版Google Meet。Google強調免費版Google Meet在視訊傳輸過程中提供加密、放大鏡等輔助功能，在美國還支援即時字幕。</p> <p>不過非大型企業、學校及機構使用、具備250人同時與會，單一網域最多10萬人同步觀看還可錄播會議的豪華版Google Meet，則在去年9月30日已恢復收費。</p> </div></div></div>
2021/3/31 13:00作者林妍溱https://www.ithome.com.tw/news/143553
下載超過2千萬次的Docker映像檔被爆含有挖礦軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>容器映像檔受到許多開發人員歡迎，卻也暗藏危機。<a href="https://unit42.paloaltonetworks.com/malicious-cryptojacking-images/" target="_blank">安全廠商發現</a>，Docker Hub上有30個映像檔，下載總數超過2000萬次，竟然內含挖礦程式。</p> <p>容器映像檔是開發雲端應用的重要應用，Docker Hub則是預設的容器儲存庫。透過容器映像檔管道，攻擊者即可將惡意程式植入到雲端上。</p> <p>安全公司Palo Alto Networks研究人員Aviv Sasson，在Docker Hub上發現的30個惡意容器映像檔，分別來自10個不同帳號，總下載次數超過2000萬。其中內含的挖礦軟體九成以上是XMRig，其餘為Xmr-stak。</p> <p class="rtecenter"><img alt="" src="https://unit42.paloaltonetworks.com/wp-content/uploads/2021/03/chart-1.png" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Palo Alto Networks</span></p> <p>以目標貨幣來看，九成為挖Monero（門羅幣），少部份是Grin（6.5%）及Arionum（3.2%）幣。</p> <p class="rtecenter"><img alt="" src="https://unit42.paloaltonetworks.com/wp-content/uploads/2021/03/chart.png" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Palo Alto Networks</span></p> <p>透過檢視採礦池，研究人員估計這些挖礦軟體，已經產生價值超過20萬美元的加密貨幣。</p> <p>Sasson檢視這些映像檔標籤，發現有些映像檔針對不同CPU架構或作業系統，使用不同的標籤，顯示攻擊者也企圖對不同受害者OS及CPU架構環境提供「客製化」的映像檔。還有些映像檔包含不同挖礦軟體的標籤，意謂攻擊者可根據用戶硬體，使用最適合的挖礦軟體。</p> <p>透過分析挖礦軟體的貨幣錢包位址或礦池，研究人員也辨識出10個Docker Hub帳號中有4個來自同一波攻擊活動。Sasson去年的研究發現，一個使用azurenql帳號的攻擊者，他所植入Monero挖礦軟體的Docker映像檔，被下載次數超過1000萬次。</p> <p>研究人員指出，這次研究僅利用電子錢包位址關聯分析，就找出那麼活躍的惡意映像檔，他懷疑實際情況可能更為嚴重，因為有些執行個體中的惡意程式偵測更為不易。</p> </div></div></div>
2021/3/31 10:31作者林妍溱https://www.ithome.com.tw/news/143546
美聯社：SolarWinds駭客已存取美國土安全部前任高層信箱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月被揭露的SolarWinds攻擊，情況可能比先前知道的更為嚴重。<a href="https://apnews.com/article/solarwinds-hack-email-top-dhs-officials-8bcd4a4eb3be1f8f98244766bae70395" target="_blank">美聯社本周報導</a>，SolarWinds背後的駭客組織，已經存取了前國土安全部高層官員的信箱。</p> <p>去年由安全廠商FireEye自爆被駭揭開序幕的SolarWinds供應鏈攻擊中，一個受國家支持的駭客組織將惡意程式，包括Sunburst嵌入SolarWinds的Orion軟體更新機制，再下載到其客戶內部網路。美國網路安全暨基礎架構安全署（CISA）等單位相信，這駭客可能和俄羅斯政府有關。</p> <p><a href="https://www.ithome.com.tw/news/142777" target="_blank">美國聯邦政府公布</a>共有9個部會受害，包括商務部、能源部、財政部、國土安全部和<a href="https://www.ithome.com.tw/news/142920" target="_blank">最新傳言</a>的聯邦航空總署（FAA）及美國太空總署（NASA）。但是這些單位的災情外界則不得而知。</p> <p>不過美聯社本周引述多位據稱是現任及前任政府官員的匿名消息人士報導，川普時期的代理國土安全部長Chad Wolf及負責追查外國政府威脅的網路安全官員，就遭到駭客存取。至於駭入這些人士有多少情報價值則不得而知。</p> <p>消息人士指出，被駭後幾天，Wolf和其他國土安全部官員都改用徹底刪除軟體的新手機，並以加密通訊軟體Signal通訊。</p> <p>國土安全部並未對此評論。</p> <p>除了國土安全部，另有消息人士證實FAA的確影響到，而且FAA礙於技術老舊，無法及時反應，花了好幾個禮拜才搞清楚有多少臺伺服器跑SolarWinds軟體。FAA今年二月一開始還對美聯社說，未受到SolarWinds攻擊影響，後來又改口說正在調查中。</p> <p>此外，SolarWinds攻擊駭客也取得了能源部官員的行程，包括當時的部長Dan Brouillette。不過這些行程並非機密行程，也依公開紀錄法可對外公開。能源部也表示，沒有證據顯示代管官員行程的伺服器網路遭駭入。</p> <p>而三月最令全球政府關注的網路安全消息是Exchange Server漏洞。在微軟3月2日公布ProxyLogon漏洞及Hafnium駭客開採行動第一周，安全廠商指從州政府、郡政府到警消單位都有公家單位被駭，但沒有聯邦政府遇駭的消息。</p> <p><a href="https://www.reuters.com/article/us-usa-cyber-solarwinds-idUSKBN2BL1EJ" target="_blank">路透社</a>報導，美國總統拜登計畫簽署一項行政命令，要求軟體公司發現被駭時，必須通報聯邦政府客戶。</p> </div></div></div>
2021/3/31 10:59作者林妍溱https://www.ithome.com.tw/news/143550
不只攻擊者能網釣誘騙，企業防禦與資安產品也可採取欺敵策略反擊
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-1018feng_mian_p4_new.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在現實資安環境中，我們常看到身為攻擊者的駭客，使用釣魚郵件、釣魚簡訊、釣魚網站的伎倆，甚至以假冒名義的方式，透過各式各樣的社交工程手法，目的就是為了誤導使用者，利用人性弱點，騙使用者上當，引導至他們設下的局。例如，以COVID-19等各式主題為誘餌的內容，假冒系統通知或企業名義發動網釣攻擊，以及製作與真實網頁相似的釣魚網站，甚至將網域或電子郵件信箱都偽裝相像。還有精心設計的商業電子郵件詐騙（BEC），會在交易過程過程中後期假冒對方與受害者互動，最後利用變更匯款資訊，讓受害者誤信將金錢匯至對方人頭帳戶。</p> <p>然而，這樣的騙術只有攻擊方可以利用嗎？防禦方當然也可以這麼做。</p> <p>近年來，這類誘捕、欺敵應用再受關注，最主要的原因，除了攻擊者不段突破防護，使得資安領域對欺敵技術產生濃厚興趣，更值得關注的是，在2020年8月，MITRE新公布了Shield主動式防禦知識庫，當中統整了主動式防禦有深入的剖析，幫助防禦者加深對對手行為和交戰的理解。</p> <p>而在這個Shield知識庫中，除了包含基本的防護，像是安全控制、隔離、系統活動監控、API監控、行為分析，以及備份與還原等，包括相當多關於誘敵的技術手法，成為主動式防禦重要一環。</p> <p><span style="font-size: 28px;"><strong>從Honeypot到Deception，近年欺敵應用層面更廣</strong></span></p> <p>事實上，談到誘餌、欺敵在資安防禦面的應用，多數人可能想到的是密罐（Honeypot），確實，這樣的概念在30年前已經存在，防禦方很早就在使用誘捕的概念，誘使攻擊者攻陷假系統，觀察網路被入侵，做到攻擊行為追蹤或是發現新攻擊模式。</p> <p>只是，早期Honeypot主要放在網際網路去收集資安情資，通常也缺乏集中控管的機制，隨著後續不斷演進，特別的是，自2016年以來，市場上開始出現主打欺敵（Deception）平臺的產品，部署於企業內部網路環境。</p> <p>同時，關於誘餌手法的應用，現在似乎也更常見於資安應變的處理方式，以及產品功能，加上前面提到的MITRE Shield，也正將欺敵相關戰略與戰術手法，做出全面性的歸納與統整，讓防禦者更好觀察與反擊。</p> <p>顯然，從企業防禦角度來看，使用欺敵技術去干擾攻擊者，也是相當合理的一件事，然而，這樣的誘敵概念，現在的企業防禦與資安產品能如何運用？</p> <p><strong style="font-size: 28px;">誘餌技法成企業防禦新招，資安事件處理也是適合使用場景</strong></p> <p>對於企業資安防護而言，這類誘敵的技術手法有那些呢？根據MITRE Shield所歸納的技術手法來看，舉例來說，誘餌帳號（Decoy Account）就是一種，這是專門為主動防禦或欺騙目的而建立，可用於使系統、服務與軟體看起來更逼真，而像是誘餌帳密（Decoy Credentials），包括帳號密碼、瀏覽器Token與其他形式的身分驗證資料，可以植入很多位置並加以利用，此外，還有誘餌系統（Decoy System），不論採實體、虛擬或模擬方式，偽裝成防禦者網路上相同的PC、伺服器、IoT與網路設備等，作為攻擊者目標或實驗環境。</p> <p>值得關注的是，對於這些不同手法的使用，MITRE認為都產生了機會空間（Opportunity space），也就是創造防守者可掌握的優勢，以擁有更多的觀察與互動機會。舉例來說，單以誘餌帳號的技法而言，可以產生4種機會，包括：研究對手並收集有關他們及其工具的第一手資料；布署類似絆索的警報器，當攻擊者接觸網路資源或使用特定技術手法時發出警示；在與攻擊者交戰時拋出誘餌帳戶；進一步引入誘餌資訊、用戶與系統，以影響未來對手的行動。</p> <p>更進一步，Shield同時整理出使用案例（Use Cases），例如，透過建立誘餌帳號，可讓誘餌系統與網路看起來更加真實，並監視誘餌帳號是否被攻擊者利用，以及可提供內容並鼓勵攻擊者去做其他活動。顯然，上述相關手法是主動式防禦的重要一環，而整個戰略的制定，更是引領企業防禦上的新思維。</p> <p>當駭客規避了企業防禦滲透至內網，在持續性的監控之下，透過這些手段來混淆攻擊者，引導對方至陷阱、消耗進攻時間，以及確認攻擊手法。</p> <p>企業防禦可以如何利用這樣的戰術？其實簡單的誘餌技法徒手就能運用。例如，由於攻擊者可能會從一些資安死角下手，因此，無人使用的員工帳號可能是對方目標，反過來看，企業在AD伺服器上建立幾組誘餌帳號密碼，看是否有人嘗試利用這組帳密，將可察覺問題。</p> <p>對此，曾協助企業處理資安事件的奧義智慧資深研究員陳仲寬表示，誘餌帳號的管理成本稍微低，是實際可採行的作法，他們注意到有少數企業這樣應用，至於更進階的誘餌技術手法，使用的企業則相當少。因此，衍生的管理成本可能是企業考量的面向。</p> <p>同時，奧義也以他們的自身經驗，說明欺敵手法於資安防護上的應用。例如，在處理資安事件回應（Incident Response，IR）時，為了透過偵測技術瞭解攻擊者的能力，因此他們會在風險可控的情況下，不會將所有惡意程式立即清除，留下一些線索。</p> <p>而這樣的作法，等於也是採取類似的概念，要讓對方以為還沒被發現，但其實是要監控該惡意程式的行為，瞭解攻擊者採取的行動與入侵的管道，以及分辨攻擊者在環境中已經掌握的資源與資產，而在這樣的過程中，他們也可能為了要讓對方拿出更多手段，像是先清除部分後門，再追蹤攻擊者入侵的源頭，或是當知道有一個高權限帳號已經被攻擊者取得，因此先不刪除帳號，但暗中監控，當駭客下次使用該帳號，就可以察覺對方有所行動。</p> <p>對於國內業者的應用趨勢，臺灣安侯建業顧問服務部執行副總經理謝昀澤也有關注，他表示，該公司在2017年處理國內重大資安事件時，曾經建議客戶透過容器技術建構Deception，後續對方也採購了相關解決方案，這也意味著國內企業已經應用相關技術，不過，還沒有客戶會主動詢問相關技術。</p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/600(1)-%E5%B0%9A%E6%9C%AA%E8%AA%BF%E6%95%B4%E5%B0%BA%E5%AF%B8-1018%E5%B0%81%E9%9D%A2P4(3).jpg" style="width: 600px; height: 391px;" /></strong></span></p> <p><strong style="color: rgb(105, 105, 105);">【欺敵平臺產品近年被研究機構列為新資安技術焦點之一】</strong><span style="color: rgb(105, 105, 105);"><strong>對於欺敵平臺產品的技術發展，研究機構Gartner在2019年整理出這類平臺架構簡圖，包含各式誘餌的建立與客制化，以及與SIEM、SOAR與其他資安工具的結合應用等，讓外界更好了解欺敵平臺的發展方式。</strong></span>（<span style="color: rgb(105, 105, 105);">圖片來源／Gartner</span>）</p> <p><span style="font-size: 28px;"><strong>主打欺敵技術的資安產品前幾年已問世，未來發展值得關注</strong></span></p> <p>在企業防禦應用欺敵手法之外，資安產品同樣也在應用欺敵的概念，不論是發展專屬產品，或是在既有資安產品加入欺敵概念的功能或機制。</p> <p>以專屬產品而言，在2015年後，市場上出現主打欺敵技術的資安新創，研究機構Gartner在2017年關注新技術時，也提及Deception欺敵技術，並指出在企業防火牆內使用這樣的技術，可以讓企業更好檢測出已入侵的攻擊者，提升對於事件偵測的可信度。到了2019年6月，Gartner列出6家發展Deception平臺的廠商，並認為這類平臺在偵測威脅時阻力小，可替代或補強其他偵測技術；另外還有一家Cyber source Data Wellington Research的研究報告，指出該技術領域有18家廠商，其中已引進臺灣的有Attivo Networks、Fidelis與Rapid7。</p> <p>只是我們發現，主打欺敵技術的資安產品還不算多，目前也還沒看到有國際大型資安業者發展這類欺敵平臺產品。</p> <p>為何還沒有資安大廠投入？長期研究威脅情資的TeamT5執行長蔡松廷表示，在完整的威脅情資理論中，欺敵本來就是當中的一個手法。他強調，不論是Honeypot或Deception，其實都是會有作用的，但這是有條件的，其代價與管理成本都要能夠適合自己。</p> <p>對於上述問題，他認為有兩個原因，分別是必要性與技術門檻。</p> <p>從必要性的角度來看，他用了一個簡單的例子來比喻。以一臺汽車而言，安全配備有很多種，從安全帶、安全氣囊、ABS煞車，到現在很多高科技的主動安全技術，如果大部分車子的安全帶、安全氣囊與ABS煞車都還沒完備，高科技主動安全是不會被使用的。回到欺敵技術來看，這種技術就好比是第二道或第三道防線，但若大部分企業可能第一道防線都還沒完整的情況下，是不會使用欺敵技術的。而且，Deception若帶來更多的管理負擔還有誤判，更需要有團隊去處理。因此，這類產品的必要性居次，並受到企業採購成本、管理成本影響。雖然國外新創已發展專屬欺敵平臺產品，若以資安預算投入先後順序考量，蔡松廷認為可能現在市場還太小，使得資安大廠還未投入。</p> <p>其次是技術門檻，新進業者要能設計讓駭客能相信都是真的系統、服務、環境，並開始動作，有其難度，加上每個企業環境都不一樣，很難做一套產品就通通都適用。因此，從擬真度、誤判與被繞過的因素來看，是要切入此領域廠商需要面對的問題。</p> <p>再從國際上已經成功發展專屬欺敵平臺產品來看，這類產品已經具備哪些特性？以Attivo Networks為例，他們已建構集中式控管的欺敵平臺，宣稱能快速建置大量高擬真的各式網路資產誘餌，並使用AI技術學習內網配置與狀態來部署誘餌，具有系統客製化與高迎擊能力，以創造攻擊者無法區別誘餌和真實裝置的環境，使對方遠離企業真實資產，主動誘使他們在欺敵環境中活動，能夠大幅提升EDR的威脅偵測效能。</p> <p>不過，各家廠商欺敵平臺的技術不一，如何能在成本面與技術面取得市場認同，將是持續關注的焦點，可望能為企業帶來更進階的防禦手段。</p> <p>另一我們關注焦點，由於欺敵技術在橫向移動的偵測上，可帶來不錯的效果，只是發現異常後，還是要通知EDR、SIEM等設備來處理與阻擋，因此，未來欺敵平臺產品是否可能被其他資安產品整合？TeamT5蔡松廷表示，他認為會，是有這個可能。而我們則是看到市場上已有例子，像是Rapid7推出的InsightIDR，近年就強調加入了欺敵的技術。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(2)-%E5%B0%9A%E6%9C%AA%E8%AA%BF%E6%95%B4%E5%B0%BA%E5%AF%B8-1018%E5%B0%81%E9%9D%A2P4.jpg" style="width: 600px; height: 337px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>【將欺敵概念應用在資安產品有多種使用方式】</strong></span><strong style="color: rgb(105, 105, 105);">對於欺敵概念在資安防禦的應用，資安廠商奧義智慧提出了一個不同的使用面向，是欺騙勒索軟體這臺主機已被加密，達到「數位疫苗」的效果，這原是他們去年底在鑑識過程中所採取的策略，現在，他們將針對每年主流的勒索軟體設計專屬疫苗，並內建為產品的防護功能。</strong><span style="color: rgb(105, 105, 105);">（圖片來源／奧義智慧）</span></p> <p><span style="font-size: 28px;"><strong>現有資安產品正同樣看重欺敵帶來的效果，用於強化防護的一環</strong></span></p> <p>不僅如此，以現有資安產品而言，誘餌欺敵的作用同樣受重視，各廠商的切入點可能也有很大的差異。例如，有些從網路安全產品跨入，有些廠商從端點安全產品，並還有更多的使用面向，可能是大家沒有想到的應用面。</p> <p>奧義智慧叢培侃舉例，去年底他們處理國內一起勒索軟體攻擊事件，過程中，由於攻擊者已經發動好幾波攻擊，並且會設置定時炸彈，也就是在指定時間執行勒索加密，因此他們設計了「數位疫苗」，以緩解勒索軟體的危害。</p> <p>特別的是，這個數位疫苗其實就是一種欺敵概念的應用。他解釋，由於他們分析該勒索軟體的運作，會檢查主機上的某些資訊，因此，他們派送的數位疫苗，就是先在這些檢查的位置上，設下類似標籤，目的是讓勒索軟體誤以為已經加密過這臺主機。</p> <p>原來，這個數位疫苗的概念並非是產生抗體，而是偽裝成已經被感染，進而達到與疫苗相同的效果。而這樣的誘騙概念，其實有如電影「末日Z戰」的情節，讓受病毒感染的人形殭屍，最後誤以為主角不是攻擊目標而繞過。因此，這與其他複製誘餌檔案於資料夾前後，一旦發現被勒索加密的使用方式不同。</p> <p>叢培侃表示，當時的應用是特殊任務導向，現在，他們已經準備要針對每年主流的幾支勒索軟體，設計這樣的數位疫苗，並成為產品內建防護機制。</p> <p>此外，關於其他資安產品的應用，聚焦端點控管與資料防護的精品科技，也在關注偽裝欺敵找出內部威脅來源。</p> <p>該公司專案經理陳育徽表示，一般的資安事件警告，比較難分辨出企圖，而誘餌可能是依劇本設計後針對性投放，被觸發就代表著某種企圖行為發生，若搭配其他資安防護產品，如果可以在特徵上及記錄內容透過標籤方式區分真假，可過濾掉不必要資訊。而他們也在嘗試，在端點利用File Generate Algorithm產生檔案，目前實驗結果確實能誘發勒索軟體破壞誘餌。</p> <p>從上述資安產品的應用來看，雖然僅是幾個例子，但已經突顯了誘騙、欺敵的概念，確實在近年持續受到關注，並且同樣可以在防禦上發揮作用。</p> <p>綜合而言，面對攻擊者入侵，各式誘騙、欺敵的技術手法，不同的使用方式，甚至建構企業主動式防禦的戰略，除了可以做到更多的監控、混淆對手，甚至引導或誘使攻擊者前往陷阱，也更容易可以發現攻擊者的意圖，而在模擬真實生態系統的發展之下，若是環境夠擬真並具有與駭客互動能力，未來攻擊者入侵時，防守方將更有能力察覺對方、牽制對方與影響對方的入侵行動。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/mitre">MITRE</a></div><div class="field-item odd"><a href="/tags/shield">Shield</a></div><div class="field-item even"><a href="/tags/%E4%B8%BB%E5%8B%95%E5%BC%8F%E9%98%B2%E7%A6%A6">主動式防禦</a></div><div class="field-item odd"><a href="/tags/active-defense">Active Defense</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E9%98%B2%E8%AD%B7%E7%AD%96%E7%95%A5">資安防護策略</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E7%96%AB%E8%8B%97">數位疫苗</a></div></div></div>
2021/3/31 11:06作者羅正漢https://www.ithome.com.tw/tech/143480
臺灣第一家AI獨角獸正式在日本股市掛牌，Appier將瞄準企業自建顧客數據和AI人才短缺帶來的SaaS需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣第一家AI獨角獸新創Appier（沛星互動科技）於3月30日在日本東京證交所Mothers創業板正式掛牌上市，第一天收盤股價1,900日圓，整體股價總值達到約1,897億日圓，相當於臺幣489億元。Appier全球多國設有17個據點，最近開始在歐洲有營收，今年產品目標是要整合旗下四大行銷AI服務到單一介面中。</p> <p>Appier執行長暨共同創辦人游直翰曾參與Google無人車之父Sebastian Thrun的無人車研究計畫，後來轉而將自己擅長的AI技術運用到行銷領域，在2012年創立了Appier，是很早就開始用AI技術提供SaaS服務的AI公司。後來，AI四大巨頭2015年開源釋出AI技術後，才掀起AI產業化的浪潮。Appier也很早就開始經營國際市場，創立才3年，就在亞洲11個城市設有據點，當時被紅杉資本譽為，他們是亞洲少數具有世界級大資料分析術的研發團隊。</p> <p>如今Appier在全球有17個據點，主力市場是東北亞如日本、韓國等，以游直翰透露，在歐、美市場，已經開始有營收，全球員工人數超過500人，日本、印度都有研發團隊，游直翰笑著說，現在管理課題是跨時區團隊的溝通。前Google臺灣董事總經理簡立峰曾指出，像Appier這些臺灣新創就是未來數位大航海時代的新艦隊。因為「新創是數位原生代的企業，可以用這種方法連結全世界的人才。」</p> <p>Appier早期AI產品是透過演算法來追蹤電腦、平板和手機等不同類型裝置的跨螢使用者行為分析，來提供廣告投放預測，到現在發展出了四大AI行銷產品線，涵蓋了行銷漏斗策略的四個階段，包括了用戶獲取、用戶多通路互動、透過AI預測購買意圖轉換用戶，到透過自動化ML來建立用戶輪廓的資料科學平臺。Appier目前主要技術發展重心以少量數據訓練和遷移學習為主的深度學習應用。今年產品策略是整合四大產品，從現有資料流互相串接方式，進一步可以讓顧客在單一平臺介面中檢視。</p> <p>採取SaaS服務模式的Appier，目前有800多家企業用戶，每天線上運作的顧客AI模型超過3,000個，這些AI模型每天用來預測各種顧客行為的推論次數近290億次。因為採取SaaS模式，四大產品平臺的資料流也能彼此相互拋轉，透過模型預測後蒐集到的用戶數據又能用於自動建模之用，游直翰透露，每年既有用戶的用量成長率高達18%，再加上新顧客，這樣的正循環是Appier成長的關鍵。</p> <p>隨著隱私議題越來越受到重要，網路巨頭開始管制瀏覽器上任意第三方Cookies追蹤機制，游直翰指出，獲得顧客同意後的行為數據蒐集將成為重點，企業會越來越重視自己來蒐集和累積顧客資料，再加上大量AI人才短缺，都會帶動SaaS服務的需求。</p> <p>Appier是繼趨勢科技在2000年日本東京證交所掛牌交易後，數十年來，第二家同樣在日本東京證交所掛牌的臺灣軟體公司。游直翰直言，在日本上市的原因，除了因為Appier的顧客以日本企業居多之外，他指出，日本資本市場更看重SaaS服務和軟體公司的價值。</p> <p> </p> </div></div></div>
2021/3/31 09:28作者王宏仁https://www.ithome.com.tw/news/143545
IBM開始提供業界第一個量子開發人員認證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM現在開始提供<a href="https://www.ibm.com/blogs/research/2021/03/quantum-developer-certification/">量子開發人員認證</a>，供所有使用開源量子運算框架Qiskit的開發人員，可以獲得官方背書，並且作為一個正式的技能，在企業中進行量子程式開發工作。</p> <p>Qiskit是一個由IBM研究院所開發的開源量子運算框架，其提供了多種工具，可以讓開發者創建和操作量子程式，並且在量子雛形裝置上執行這些程式。IBM提到，Qiskit讓開發者僅需要具備Python和線性代數基本知識，就可以開發能在真正量子運算硬體上執行的程式。</p> <p>Qiskit被大量的使用，全球安裝次數已經超過60萬，IBM研究院從2017年推出Qiskit以來，成千上萬的用戶使用Qiskit開發量子運算應用程式，除了舉辦黑客松外，許多學校和教育活動也都使用Qiskit，因此IBM認為是時候設定Qiskit新的目標，推出量子運算系列認證中第一個認證。</p> <p>IBM依據自家訂定的量子發展路線前進，正試圖建立一個多元化，且基於雲端的全球生態系，讓生態系中的開發人員，可以將量子運算技能帶入自己的社群和產業中。而透過量子開發人員認證，公司和研究機構便有依據可循，能以認證作為評估開發人員量子運算能力的基準，該認證的主要對象，是擔任企業中技術領導職務的人，藉由通過量子運算認證，有助於他們設立組織中的量子運算發展方向。</p> <p>要取得IBM量子開發人員認證，需要回答Pearson VUE平臺上的60道題目，參加認證的人需要具有使用Qiskit，在IBM量子電腦和模擬器上，創建和執行量子運算應用程式的經驗，並且要可以在幾乎沒有產品文件的情況下，執行這些任務。這個認證開放給全球開發人員參加，目前僅提供英語。</p> <p>目前推出的量子開發人員認證，僅是這一系列認證的其中一個，把重點放在參加認證者對量子運算的熟悉度，以及使用Qiskit建構和執行量子電路的能力，而且接下來的其他認證，會要求受測者熟悉地建構量子電腦應用程式解決最佳化、化學和財務方面的問題。這些認證會和IBM量子電腦的軟硬體一起發展，證明受認證人員具備使用最新硬體和應用程式模組的能力。</p> </div></div></div>
2021/3/31 10:04作者李建興https://www.ithome.com.tw/news/143537
AWS提供全託管紅帽OpenShift服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在雲端平臺正式啟動<a href="https://aws.amazon.com/tw/blogs/aws/red-hat-openshift-service-on-aws-now-generally-availably/">Red Hat OpenShift Service（ROSA）</a>，提供全託管OpenShift服務，讓原本熟悉紅帽OpenShift工具和API的用戶，簡單地從原本的資料中心搬遷到AWS上，並且使用標準API和現有工具，快速開發創新應用。</p> <p>ROSA由AWS和紅帽聯手支援，提供全託管的OpenShift服務，緊密整合AWS平臺，讓用戶可以簡單地創建叢集，並且採用消費計價模型，與AWS部署合併帳單。由於兩企業直接合作的關係，因此用戶可以使用快速且直接的方式，將部分或是全部的OpenShift部署，搬遷到AWS上。</p> <p>熟悉紅帽OpenShift的用戶，可以在AWS上的OpenShift部署，使用標準API以及現有的OpenShift工具，來加速應用程式開發，同時也可以使用AWS運算、機器學習和網路等各種服務，來擴展或是開發創新應用。ROSA服務由紅帽和AWS共同管理和支援，因此用戶可以同時向紅帽以及AWS請求支援服務，但是只會收到來自AWS的帳單。</p> <p>目前ROSA已經在許多地區上線，包括美西、美東、南美、加拿大和歐洲，而亞太地區則在東京、首爾、孟買、新加坡和雪梨提供。</p> </div></div></div>
2021/3/31 10:15作者李建興https://www.ithome.com.tw/news/143542
5G專網怎麼用？遠傳、微軟、台達、PTC聯手打造5G智慧工廠示範產線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台達與微軟、遠傳電信、PTC合作，在桃園龜山工業區一間工廠導入5G專網，建立5G示範產線，以5G的高速傳輸、低延遲，結合自動插件機、 AGV、AMR及AR示範智慧化生產環境。</p> <p>去年國內邁入5G時代，遠傳、台達電、微軟、PTC便對外宣布將聯手建立5G智慧工廠示範，今天台達電終於對外展示合作成果，位於桃園龜山廠區的5G專網示範產線，讓外界一窺5G如何提升智慧製造。</p> <p>台達總裁兼營運長張訓海表示，自動化在製造業已推行很久，然而，過去的自動化是大量生產的自動化，現在及未來的自動化，是多種少量、彈性化生產的自動化，是製造業夢寐以求的，但大量的自動化容易實現，而少量多樣的自動化卻是困難的，以一天換線超過十次為例，每次換線若花費半小時到一小時，就會浪費相當多的時間，是非常不經濟的，也是少量多樣較難以做到自動化生產的原因。另方面，過去全球製造是集中生產，未來製造是分散生產，移到市場所在地生產，就需要智慧化、彈性生產線。</p> <p>此外，由於生產自動化需要連線，才能作精密控制，過去是以有線為主，因為無線不可靠，無法即時上傳資訊作精密控制，張訓海指出，5G的出現改變情勢，不只是固定式的機臺，移動式的機臺也能連線，過去AGV為固定式，現在可以搭載機械手臂，隨產線調整移動，做到過去不能做的，都需要無線來處理，加上VR、AR的人機協作，提供遠距教學、機器維修、送料，AIoT加上邊緣運算、5G能容易建構智慧化工廠。</p> <p>台達從1995年開始推動自動化，2017年就開始推動轉型，朝智慧化製造發展，在全球超過20個廠區陸續進行產線的汰換升級。台達也說明該公司的智慧製造六大關鍵概念，簡單化與合理化（Simplify）、標準化（Standardize）、模組化（Modularize）、數位化(Digitalize)、虛擬化（Virtualize）、自動化（Roboticise），以簡單化與合理化作為智慧製造的基礎，避免自動化設備的設計過於複雜，以標準化、模組化研發各種軟硬體，有系統的開發之下，可重覆再利用，省下重覆開發，數位化、虛擬化則能降低實體測試的次數，降低成本。</p> <p>今天展示的5G智慧工廠，為位於桃園龜山工業區一間變頻器製造工廠，主要生產工業用向量控制變頻器，台達和三家合作夥伴，在工廠內一條產線導入使用3.5GHz頻段的5G專網，建立一條5G示範產線。台達指出，經過三個月上線實測後，這條產線人均產值提升近7成，產線產值初期提升75%，該公司預估一年內可回收投資，並提升製造競爭力。</p> <p>為了監控設備、營運管理，台達在工廠設置智慧製造戰情中心，他們利用5G的大規模物聯網連線，蒐集各產線生產設備、管理及營運數據，供管理者在遠端掌握資訊，調整決策。</p> <p>另外，因應少量多樣、產線換線頻繁，以Azure雲端平臺為基礎，結合生產環境的AIoT，搭配微軟Hololens及PTC的Vuforia，台達將MR混合實境、AR擴增實境用在倉儲備料、產線組裝、設備維護、生產線稽查，例如在倉儲管理上，以MR引導工作人員倉儲路線、料架位置，以縮短入庫及備料的時間；在產線上，引導作業人員操作程序、稽查產線，生產線上設備也能利用MR，提供遠端的設備維護協助。</p> <p>作業人員依照Hololens的指引，到指定的貨架儲存物料：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/mr-2.jpg" style="width: 600px; height: 331px;" /></p> <p>戴上Hololens，可以瞭解產線上每個機臺的運作情形：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/mr-1.jpg" style="width: 600px; height: 338px;" /></p> <p>運用AR進行設備的維護：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/mr-3.jpg" style="width: 600px; height: 300px;" /></p> <p>以Hololens的產線運用為例，根據現場的解說，作業人員戴上Hololens後，通過虹膜驗證，確認產線人員身分後，再載入對應的步驟指引。在實際的產線作業區上方也設置攝影鏡頭，偵測組裝程序是否有異常，一旦發現程序錯誤即暫停組裝流程。</p> <p>在自動化生產上，示範產線運用他們自行研發的自動插件機（Rapid Transformable Machine，RTM）取代人工插件，提高產線的自動化，自動判別組裝需要的料件，結合5G網路，加速治具的更換，提升產能。</p> <p>在這條示範產線上，AGV無人搬運車不時往來於產線之間，代替傳統作業人員的人工搬運作業，目的在提升效率：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AGV.jpg" style="width: 600px; height: 400px;" /></p> <p> </p> <p>在智慧工廠內，也利用5G的高速傳輸，讓AMR自主移動機器人搭配機械手臂，能自動偵測環境、即時控制，讓AMR在設定的區域空間自主移動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amr.jpg" style="width: 600px; height: 366px;" /></p> <p>台達並沒有透露5G專網建置成本，而此次和遠傳、微軟、PTC合作為示範性的專案，未來需要評估以決定是否擴大產線，在更多產線上導入5G。該公司表示，導入5G在生產環境的效益，除了讓過去定點使用的機械手臂，未來可透過AMR彈性移動，另方面因為採用5G專網，相較Wi-Fi較為安全，且因為智慧化工廠需要大量視覺化資訊，大容量頻寬5G可滿足需求。</p> </div></div></div>
2021/3/30 21:19作者蘇文彬https://www.ithome.com.tw/news/143544
勒索軟體Hades鎖定3家大型企業發動攻擊，攻擊者身分仍然不明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是駭客發動勒索軟體攻擊並採取雙重勒索的手法！駭客利用Mega雲端硬碟外洩資料，且攻擊者身分卻依舊不明。<a href="https://www.accenture.com/us-en/blogs/cyber-defense/unknown-threat-group-using-hades-ransomware">資安公司Accenture針對勒索軟體Hades公布分析結果</a>，表示他們觀察到該勒索軟體自2020年12月至2021年3月，鎖定至少3家年營收超過10億美元的跨國大型企業發動攻擊，而且這個勒索軟體的攻擊行動似乎才剛開始，Accenture認為，還可能會有更多企業受害。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Hades-Ransomware-Tor-site-s.png" style="width: 449px; height: 426px;" /></p> <p>針對3家受害的企業，Accenture指出他們是美國大型運輸與物流業者、美國大型消費性產品業者，以及跨國製造業者。而其中一個已經曝光的受害企業身分，是2020年12月遭到攻擊的<a href="https://www.bleepingcomputer.com/news/security/trucking-giant-forward-air-hit-by-new-hades-ransomware-gang/">美國物流運輸公司Forward Air</a>，該公司擁有超過4,300名員工，<a href="https://www.businesswire.com/news/home/20210211005953/en/Forward-Air-Corporation-Reports-Fourth-Quarter-2020-Results">2020年營收近13億美元</a>。</p> <p>對於Hades入侵受害企業的管道，Accenture指出，最主要的方法是使用合法的帳號與密碼，存取遠端桌面連線（RDP）與虛擬私人網路（VPN）。駭客為了讓Hades能持續留存在受害電腦裡，他們濫用滲透測試工具Cobalt Strike與Empire，並搭配合法帳密，建立相關服務，以及與C&C中繼站連結的管道。不過，駭客究竟如何取得合法帳密？Accenture並未進一步說明。</p> <p>一旦電腦遭到感染，Hades會將自己複製一份到特定資料夾，然後藉由命令提示字元與搭配go參數，來重新啟動這個惡意軟體。接著，Hades再下達徹底刪除自己與複本的命令，並解開Hades的可執行檔案於記憶體內執行，之後，該勒索軟體使用Windows內建工具，刪除陰影複製的備份資料，才開始找尋本機與網路共用的資料夾，加密其中的大多數檔案，被加密的檔案會被竄改副檔名，然後Hades在電腦裡留下勒索訊息，是名為HOW-TO-DECRYPT-[extension].txt的純文字檔案。</p> <p>攻擊者也在Hades加入多種迴避偵測的機制，來避免觸動資安系統的警報，像是透過批次執行wevtutil.exe，以便持續清除受害電腦的事件記錄，還有竄改群組原則物件（GPO），來停用Windows的事件記錄稽核功能。同時，Hades也具備停用防毒軟體的能力，有時候攻擊者甚至會手動停用端點偵測與回應系統（EDR）的代理程式。</p> <p>而在植入Hades勒索軟體之前，駭客也不例外地將資料外洩，以便檔案加密後進行雙重勒索。攻擊者使用壓縮軟體7-Zip打包資料後，藉由MEGAsync檔案同步工具，將這些資料傳送到Mega雲端硬碟。</p> <p>至於使用Hades勒索軟體的攻擊者身分為何？Accenture認為還不明朗。</p> <p>該公司將Hades與其他勒索軟體比對，他們發現Hades的勒索訊息，與從另一個勒索軟體REvil的訊息內容極為相似，而很有可能是Hades背後的駭客組織，參考REvil的資料製作自己的勒索訊息。但勒索軟體駭客參考不同組織的工具，來組成自己的勒索訊息可說是相當常見，因此這樣的理由不足以認定Hades是REvil駭客組織使用的勒索軟體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ransom-note-s.png" /></p> <p>再者，Accenture也提及程式碼層面的相似之處。他們引用另一家資安公司<a href="https://www.crowdstrike.com/blog/hades-ransomware-successor-to-indrik-spiders-wastedlocker/">CrowdStrike的分析結果</a>，發現Hades與WastedLocker相似度極高，而推斷可能與Evil Corp有所關連。然而勒索軟體駭客修改他人工具的情況，也是時有所聞，這樣的證據是否足以認定Hades就是出自Evil Corp之手？Accenture認為，顯然有待進一步的調查。</p> </div></div></div>
2021/3/30 17:50作者周峻佑https://www.ithome.com.tw/news/143536
Node.js之父Ryan Dahl成立Deno公司，專案本身仍維持自由開源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Node.js之父Ryan Dahl在2018年所開發的Deno專案，在2020年的時候發布1.0版本，而為了考量專案的未來發展，因此決定成立<a href="https://deno.com/blog/the-deno-company">Deno公司</a>，聘雇轉職工程師維護專案，不過Ryan Dahl提到，Deno仍然會維持使用MIT授權，Deno公司會在開源專案上建立商業應用，而非直接從Deno專案獲利。</p> <p>Deno是Ryan Dahl在Node.js之後，所建立的新專案，是一個JavaScript和TypeScript執行環境，使用Rust語言開發而成，與Node.js一樣是採用V8引擎，Deno賦予開發者快速編寫複雜功能的能力，可生成單一執行檔不需相依於其他工具，單個檔案就可以定義複雜程式行為。以Deno打包的單個執行檔，其中除了執行環境之外，還包含套件管理系統，因此不需要NPM，就可以使用內建的套件管理器來抓取資源。</p> <p>Ryan Dahl提到，在電腦程式開發中，腳本語言是最輕鬆實用的方法之一，而在網頁瀏覽器中，JavaScript最受歡迎，也是唯一具有產業標準化程序的腳本語言，因此顯然地JavaScript仍會持續火熱一陣子。Deno把網頁程式開發擴展到瀏覽器之外，並不是一個全新的概念，Ryan Dahl在10多年前開發的Node.js，就已經取得了一定程度的成功，但是他卻發現，Node.js在伺服器端的發展受阻，不只是與不良的基礎設施緊密捆綁在一起，而且受到缺乏創新的委員會治理，當瀏覽器平臺快速發展，但伺服器端JavaScript卻停滯不前。</p> <p>開發Deno專案是Ryan Dahl在JavaScript生態系中的新嘗試，提供依附於瀏覽器API的現代程式開發系統，Deno並不是一個單體系統，而是一套可用於各種目的的技術。Ryan Dahl表示，並非所有伺服器端的JavaScript使用案例，都需要存取文件系統，而Deno的設計可使編譯不必綁定用不到的功能，讓開發者為不同用途的應用程式自定義Runtime。</p> <p>Ryan Dahl為了延續對Deno的期望，並且積極推動自己的理念，Deno專案募得490萬美元種子基金成立公司，這項投資案代表Deno有能力可以聘請專職的工程師團隊，在致力開發Deno新功能時，還有餘力確保錯誤和問題被解決。Ryan Dahl也保證Deno會繼續使用MIT授權，並且會始終維持自由軟體的狀態，使得Deno的成長以及發展可以獲得最大的益處。</p> <p>而且Deno公司也不會採用付費功能的商業模式，Ryan Dahl認為，開放核心商業模式並不適合Deno這樣的程式開發平臺。因此Deno中不會只供商業用戶使用的功能，Deno公司的業務會建立在開源專案基礎上，而不會直接從專案中獲利。</p> </div></div></div>
2021/3/30 16:30作者李建興https://www.ithome.com.tw/news/143533
臉書將參與Echo與Bifrost兩條連結新加坡與印尼的海底電纜建置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2021/03/28/connectivity/echo-bifrost/" target="_blank">臉書本周宣布</a>，將參與Echo與Bifrost兩條新海底電纜的建置，這兩條海底電纜主要是連結新加坡與北美，但都會特別連結印尼，成為首批橫跨爪哇海的海底電纜。</p> <p>在這兩條海底電纜當中，<a href="https://cloud.google.com/blog/products/infrastructure/introducing-the-echo-subsea-cable" target="_blank">Echo是由Google主導</a>，根據Google的規畫，Echo主要從加州的尤里卡（Eureka）連到新加坡，中間經過關島，也計畫連結印尼，未來亦有可能連結其它據點。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/Echo_map_indonesia.max-2800x2800.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源-Google</span></p> <p>此外，Echo將成為史上第一條藉由快速線路，直接連結美國與新加坡的光纖電纜。Google表示，新加坡已是全球某些最朝氣蓬勃的金融與科技中心的所在地，Echo可望減少該區用戶連至GCP（Google Cloud Platform）應用的延遲，預計於2023年啟用。</p> <p><a href="https://www.keppeltt.com.sg/news-item.aspx?sid=42&aid=9675&title=keppel-facebook-and-telin-announce-bifrost-cable-system" target="_blank">至於Bifrost則是由</a>新加坡電信業者Keppel Telecommunications & Transportation（Keppel T&T）、臉書與印尼電信（PT Telkom Indonesia）共同建置，計畫連結新加坡、印尼、菲律賓、關島，一直到北美西岸，全長1.5萬公里，預計於2024年啟用。</p> <p class="rtecenter"><img alt="" src="https://www.telin.net/resources/press%20release/257d0a1f8e1cc.png" style="width: 586px;" /></p> <p><span style="color:#696969;">圖片來源-Telin</span></p> <p>臉書指出，COVID-19疫情讓可靠的網路存取需求變得更重要，全球人們必須藉由網路來保持聯繫，繼續學習，照顧自己的健康，以及用來工作，特別是在對4G、5G與寬頻的存取需求愈來愈高的亞太地區；Echo與Bifrost不僅是首批橫跨爪哇海的海底電纜，也將提高70%的跨太平洋傳輸能力。</p> </div></div></div>
2021/3/30 15:31作者陳曉莉https://www.ithome.com.tw/news/143532
Boston Dynamics發表新一代倉儲機器人Stretch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾經以打造<a href="https://www.ithome.com.tw/news/121328" target="_blank">機器狗</a>及<a href="https://www.ithome.com.tw/news/141966" target="_blank">跳舞機器人</a>聞名的Boston Dynamics，在本周一（3/29）發表了該公司的首款<a href="https://www.bostondynamics.com/new-robot-for-warehouse-automation" target="_blank">倉儲機器人Stretch</a>，正式宣布進軍倉儲自動化領域，目前正邀請潛在客戶共同測試，預計於明年展開商用部署。</p> <p>Boston Dynamics是在1992年自麻省理工學院獨立而設立，在2013年的12月被Google X買下，但在2018年6月又將它出售給日本軟體銀行，不過，南韓現代汽車集團（Hyundai Motor Group）在去年12月以11億美元，向軟銀買下了Boston Dynamics的8成股權，取得了該公司的主導權。</p> <p>由於Boston Dynamics是以打造擅於活動的機器人聞名，因此Stretch自然也是個行動機器人，它具備一個小型的全方位行動基座，得以自由移動到卸貨平台，也能適應狹小的空間與倉儲布局的變化，並標榜業者將因此不再需要建置昂貴的固定式自動化基礎設施。</p> <p>此外，Stretch也整合了電腦視覺技術，可輕鬆辨識不同的包裝盒，可支援揀貨與置放的工作。</p> <p>Boston Dynamics表示，Stretch是該公司首個針對倉儲與物流中心設計的商用機器人，它能夠協助卡車卸載商品，將它們推放至貨盤，而且在任何倉儲內都能運作，可增加貨物的流動、改善員工在困難任務上的安全性，還能減少固定自動化成本的支出。</p> <p>COVID-19疫情突顯了電子商務的重要性，也讓倉儲的需求大增，根據Interact Analysis的統計，目前全球約有15萬個倉儲，且在未來5年還會增加2.85萬個，這也讓Boston Dynamics決定進軍倉儲市場，以迎合此一日益仰賴及時交貨的世界。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/3STtJhEANF0" title="YouTube video player" width="560px"></iframe></div> </div></div></div>
2021/3/30 14:26作者陳曉莉https://www.ithome.com.tw/news/143531
AI文字產生器GPT-3已被應用在逾300款程式上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧研究實驗室<a href="https://openai.com/blog/gpt-3-apps/" target="_blank">OpenAI上周宣布</a>，在去年6月釋出首個商用產品OpenAI API之後，迄今已有超過300個應用程式採用GPT-3文字產生器模型，全球亦有數萬開發者於該平台進行開發，目前每天平均產生45億個字。</p> <p>商用版的OpenAI API具備各種模型，以供用戶完成各種語言任務，包括語音搜尋、摘錄、情緒分析、內容生成或翻譯等，其中，最受矚目的模型即為內含1,750億個參數，現為全球最大語言模型的文字產生器GPT-3。</p> <p>OpenAI近日的揭露看似為了展現GPT-3的應用案例，從生產力、教育、創造力到遊戲等，且涵蓋不同的領域與行業，例如專門分析顧客意見的Viable就運用了GPT-3自調查中辨識主題與情緒，還能快速從這些資料中摘錄，因此，當業主詢問「顧客的結帳體驗為何不佳？」時，Viable可能可以得出「載入時間太長而且最好能儲存不同支付方法」的建議。</p> <p>這是因為GPT-3可辨識自然語言中的主題、情緒，還具備摘錄的能力，進而讓Viable提供建議。</p> <p>網頁搜尋服務Algolia則是在新的Algolia Answers產品中整合了GPT-3，該產品允許客戶以自然語言查詢並快速取得答案，當Algolia以210萬則新聞來測試GPT-3之後，發現GPT-3回答問題的準確度高達91%，對於複雜自然語言問題的回答能力<a href="https://www.ithome.com.tw/news/133855" target="_blank">是Google BERT的4倍</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0330-openai-2.png" style="width: 565px;" /></p> <p>OpenAI一方面藉由OpenAI API提供商用服務，另一方面也在去年9月<a href="https://www.ithome.com.tw/news/140140" target="_blank">與微軟簽署獨家合作協議</a>，允許微軟直接將GPT-3整合至該公司的產品及服務中。</p> </div></div></div>
2021/3/30 13:45作者陳曉莉https://www.ithome.com.tw/news/143530
資安一周第139期：Proxy漏洞修補完應清查受害情形。美保險公司CNA遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">3/25-3/31 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃挖礦攻擊＃漏洞攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">針對Exchange重大漏洞ProxyLogon，微軟警告用戶修補完要清查是否有受害情形</strong></h2> <p>3月初微軟發布修補的Exchange漏洞ProxyLogon，經過近一個月持續推出各式的緩解工具後，他們於3月23日宣稱，<a href="http://www.ithome.com.tw/news/143440">逾9成Exchange伺服器已完成ProxyLogon修補</a>。但近日該公司呼籲，Exchange用戶仍不能掉以輕心，因為駭客有可能已經在修補之前濫用相關漏洞入侵，所以企業或政府機關必須在修補完成後加以清查才行。</p> <p>此外，截至目前為止，已有2款勒索軟體<a href="https://www.ithome.com.tw/news/143218">DearCry</a>、<a href="http://www.ithome.com.tw/news/143413">Black Kingdom</a>（又稱DoejoCrypt、Pydomer），以及<a href="https://www.ithome.com.tw/news/143247">挖礦軟體Lemon Duck</a>濫用相關漏洞，微軟本次也公布他們調查所發現的細節。<strong><a href="https://www.ithome.com.tw/news/143514">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/139-1-exchange-exploit-chain.png" style="width: 400px; height: 154px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：微軟</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃金融業</strong></span></h3> <h2><strong style="vertical-align: top;">美國大型保險公司CNA遭勒索軟體攻擊</strong></h2> <p>金融業遭到勒索軟體攻擊的情況時有所聞，一旦遭到攻擊，很有可能導致用戶受到影響。根據資安新聞網站Bleeping Computer報導，美國大型保險公司CNA表明於3月21日遭到攻擊，導致網路中斷，以及影響包含電子郵件在內的部分系統。知情人士透露，CNA是受到名為Phoenix CryptoLocker的勒索軟體攻擊，至少有15,000臺電腦被加密，遠距工作員工的電腦也無法倖免於難。</p> <p>而這個新的勒索軟體家族的來歷為何？知情人士認為，很有可能與成員已遭到起訴的駭客組織Evil Corp有關。<strong><a href="https://www.ithome.com.tw/news/143474">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃勒索軟體攻擊＃供應鏈攻擊</strong></h3> <h2><strong style="vertical-align: top;">物聯網無線模組供應商Sierra Wireless因遭勒索軟體攻擊，被迫暫時停產</strong></h2> <p>加拿大物聯網解決方案供應商Sierra Wireless於3月23日宣布，該公司內部的IT系統在3月20日遭到勒索軟體攻擊，不僅造成內部的運作受損，網站呈現停擺狀態，該公司亦暫時關閉所有的生產基地。</p> <p>對於此次攻擊的受害情形，Sierra Wireless強調，僅危及內部系統，客戶所使用的產品及服務，與內部系統隔離而未受到影響。不過，該公司暫時停止所有工廠的生產，官網與內部的運作也因而中斷。<strong><a href="https://www.ithome.com.tw/news/143427">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃全磁碟加密</strong></span></h3> <h2><strong style="vertical-align: top;">Mamba勒索軟體結合開源磁碟加密工具DiskCryptor來襲</strong></h2> <p>勒索軟體攻擊的招式不斷翻新，攻擊者不只挾持資料進行雙重勒索，也結合全磁碟加密軟體（FDE）來增加破壞程度。美國聯邦調查局（FBI）發出警告，勒索軟體Mamba近日結合開源磁碟加密工具DiskCryptor肆虐，不幸感染的電腦，內部的所有磁碟都會被徹底加密。FBI呼籲，企業及政府部門應做好資料備份及復原規畫，實行網路隔離以免感染整個內部網路，也不要讓使用者私自安裝軟體。<strong><a href="https://www.ithome.com.tw/news/143499">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/139-2-mamba-ransomware.png" style="width: 400px; height: 266px;" /></p> <p><span style="color:#808080;">圖片來源：美國聯邦調查局</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃勒索軟體攻擊</strong></h3> <h2><strong style="vertical-align: top;">REvil勒索軟體衍生新功能，可重新啟動電腦進入安全模式運作</strong></h2> <p>REvil勒索軟體（又稱Sodinokibi）威脅越來越大，不只是多起事件與之相關，專門蒐集惡意程式的MalwareHunterTeam指出，REvil變得更進化，研究人員從新發現惡意軟體中，發現駭客開始利用具備網路功能的安全模式來發動攻擊。</p> <p>MalwareHunterTeam表示，使用者如果在Windows登錄檔發現*AstraZeneca，或是看到*franceisshit，就表示自己的電腦可能成為了攻擊目標。<strong><a href="https://www.ithome.com.tw/news/143489">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃惡意軟體攻擊＃Clubhouse</strong></span></h3> <h2><strong style="vertical-align: top;">駭客假借提供Clubhouse應用程式名義，騙取Android用戶逾400種帳密</strong></h2> <p>有惡意軟體攻擊者看上語音通訊軟體Clubhouse熱潮發動攻擊！ESET研究人員發現，駭客架設了一個冒牌Clubhouse網站，聲稱提供Android版應用程式，但實際上這款語音通訊軟體目前只支援iOS，且用戶必須得到邀請才能取得帳號。</p> <p>一旦用戶不慎下載並安裝冒牌App，這個冒牌App就會開始收集手機裡的個資，包含458個網站與應用程式的帳密。研究人員指出，這個冒牌的Android應用程式，實際上是名為BlackRock的惡意軟體，不只會竊密，還能繞過雙因素驗證（2FA）。<strong><a href="https://www.ithome.com.tw/news/143399">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/139-3-BlackRock-fake-clubhouse.png" style="width: 250px; height: 444px;" /></p> <p><span style="color:#808080;">圖片來源：ESET</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃惡意軟體攻擊＃Android</strong></span></h3> <h2><strong>竊密手法多元的Android間諜軟體，冒充系統更新程式誘騙使用者上當</strong></h2> <p>針對Android用戶攻擊的手法再度翻新！資安公司Zimperium揭露假冒通知系統更新的名義，而誘騙用戶下載的惡意軟體，但實際上，這是會竊取用戶各式資料的間諜軟體。</p> <p>由於上述通知出現在Android系統訊息，用戶很難分辨真偽。研究人員呼籲，用戶最好透過Google Play市集下載App，以減少下載到這類惡意軟體的機會。<strong><a href="https://www.ithome.com.tw/news/143511">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃iOS ＃網頁瀏覽器</strong></span></h3> <h2><strong style="vertical-align: top;">蘋果緊急修補WebKit漏洞</strong></h2> <p>蘋果iOS裝置的用戶要留意了，最近該公司修補有關WebKit的漏洞，編號為CVE-2021-1879，可在Safari瀏覽器存取惡意網頁內容時，觸發統合式跨網站指令碼（UXSS）弱點，而且，該漏洞已經出現攻擊行動。</p> <p>值得留意的是，蘋果不只對現行的iOS 14修補，也特別涵蓋無法執行新版作業系統的裝置，如iPhone 5S、iPad mini 2，以及第一代iPad Air，提供iOS 12.5.2。<strong><a href="https://www.ithome.com.tw/news/143513">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃視訊會議</strong></span></h3> <h2><strong style="vertical-align: top;">思科修補Windows版Jabber用戶端軟體重大漏洞</strong></h2> <p>思科於3月24日發出公告，針對旗下整合通訊平臺Jabber發布安全更新，修補5項漏洞，影響範圍涵蓋電腦版與行動版用戶端程式，這些漏洞都與軟體驗證XMPP訊息不當有關，攻擊者能用來傳送惡意的XMPP訊息。</p> <p>其中僅存在於Windows版的漏洞CVE-2021-1411最嚴重，所幸目前尚未發現相關攻擊活動，用戶應儘速修補。<strong><a href="https://www.ithome.com.tw/news/143502">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃惡意軟體攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">惡意軟體紫狐增加蠕蟲擴散能力，可大規模感染Windows電腦</strong></h2> <p>資安公司Guardicore揭露名為紫狐（Purple Fox）的惡意軟體，近日駭客在當中加入蠕蟲的能力，並以反覆執行多個MSI安裝檔的方式，在受害電腦的環境擴散，將這個惡意軟體散布到其他電腦上。<strong><a href="https://www.ithome.com.tw/news/143463">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/143441">駭客藉Google合法網域，隱藏鎖定Office 365用戶的網釣攻擊</a><br /> ●<a href="https://www.ithome.com.tw/news/143455">臉書封鎖對維吾爾族展開社交攻擊的中國駭客帳號</a><br /> ●<a href="https://www.ithome.com.tw/news/143446">兩大行動裝置市集出現逾200款訂閱詐騙程式</a><br /> ●<a href="https://www.ithome.com.tw/news/143428">Google預告新版Chrome預設使用HTTPS連線</a></h3> </div></div></div>
2021/3/30 10:10作者周峻佑https://www.ithome.com.tw/news/143527
新世代主動式防禦興起，牽制駭客也成攻防手段之一（上）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-wei_diao_zheng_-1018feng_mian_p2_new.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了更好應對攻擊者的入侵行為，MITRE在2020年8月時，公布全新的主動式防禦知識庫，稱之為MITRE Shield，他們並在2021年3月於RSAC 365線上議程透露更多細節，當中指出他們希望進一步透過Shield的戰略與技術手法，扭轉過去網路攻防都是由攻擊者選擇時間、地點與交戰方式的劣勢。</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年資安防護策略的重點，除了從事前防護，延伸到事中偵測與回應，還有一股趨勢正隱隱成形，就是新世代的主動式防禦概念，而且這樣的防禦策略其實更是要與駭客鬥智。</p> <p>關於主動式防禦（Active Defense）一詞，很早就有不少人使用，來強調與傳統被動式防禦的不同。</p> <p>舉例來說，過去的定義中，主動式防禦多半強調主動察覺入侵者，而且不只是偵查，還要進行威脅獵捕，而有些基於國家安全的主動式防禦，會從攔截對方攻擊，進一步變成直接反擊破壞，癱瘓對方的基礎架構，然而這種作法並不普及，多數企業存在的本質是營利，而不是資安攻防，因此所謂的主動式防禦仍是處於兵來將擋的反應式處理。</p> <p>最近，我們看到新一代主動式防禦戰略被提出，雖然仍是採取在防禦範圍內採取有限的行動，但最特別的一點，就是試圖要改變傳統攻防不對等的問題。</p> <p>企業過去種種的主動式防禦，往往必須大費周章勞師動眾，駭客卻只是略施小計，針對共通性弱點就能大舉入侵，防不勝防。因此，企業除了基本的防護之外，就是要進一步採取主動的方式，透過偵測技術、資料分析與威脅獵捕等，找出入侵資訊或即將發生的網路攻擊，或是搭配威脅情資識別並瞭解攻擊者是誰，再針對敵人採行預防反制行動。然而，兵不厭詐，防禦端也有讓攻擊端摸不著頭緒的作法，例如欺敵技術，但先前只有少數廠商能提供此類解決方案，最近一年來，協助全球進行多項資安相關研究的美國非營利組織MITRE，有了新的答案，可能是扭轉敵暗我明的新機會。</p> <p><span style="font-size: 28px;"><strong>初探MITRE Shield主動式防禦，試圖打破傳統防守劣勢</strong></span></p> <p>這兩三年來，MITRE ATT&CK框架在資安界當紅，之所以受到重視，主要原因，該資安框架彙整了現實世界的駭客組織入侵技術，並建立共通語言，整合成一個攻擊知識庫，讓企業與資安產業都受益，值得關注的是，在2020年8月，MITRE又公布了一個關於主動式防禦（Active Defense）的知識庫，稱之為MITRE Shield，再次成為資安防護的新焦點。</p> <p>關於Shield知識庫的發展，MITRE指出，這個知識庫首先是從2019年由他們的交戰小組（engagement team）建立，目的是要改善作戰計畫，而當他們在整理這些技術手法清單時，他們有了進一步將之組織結構化的念頭。顯然，之前ATT&CK的經驗讓他們有很好的基礎。</p> <p>關於這個主動式防禦知識庫的不同，我們可從其定義看出差異。根據MITRE定義的主動式防禦範圍，分為三大構面，從基本的網路防護能力（General Cyber Defense），到網路欺敵（Cyber Deception），以及與攻擊對手的交戰行動（Adversary Engagement）。</p> <p>在今年3月，MITRE更是闡述了Shield的更多內涵。MITRE資安長William Hill在一場線上專題演講表示，他們一直在尋找主動式防禦的真正含意，但卻發現，不論是在網路或其他領域，都沒有完全適合的一種。</p> <p>而根據MITRE的經驗，他們在十年前處理一起APT事件時，由於對攻擊者的運作瞭解甚少，因此當時他們做出兩個重要的決定。首先，就是學習與觀察，到了足夠瞭解時可提高機會將攻擊者聚於門外，其次，一旦做到第一步，如果還想繼續學習又不希望本身的系統資料有危害，因此，他們建立了攻擊者交戰計畫（Adversary engagement program），目的是要幫助自己成為更好的防守者。</p> <p>隨著現在主動式防禦知識庫的建立，MITRE正試圖打破舊的「遊戲規則」。因為，過去的資安攻防，往往是攻擊者可以選擇時間、地點與交戰方式，同時攻擊者也會在入侵時，學習摸索企業組織的防禦環境，而William Hill指出，他們現在想要做的，是挑戰控制對手並開始影響時間、地點與交戰方式，然後盡可能最大化自己的學習，並拒絕對手的學習。顯然，要在防禦範圍內進一步控制對手，主動在內部網路環境與之互動及抗衡，就是MITRE對於主動式防禦的一大重點。</p> <p><span style="font-size: 28px;"><strong>剖析主動式防禦技術手法，已歸納8個戰略與36個不同技法</strong></span></p> <p>基本上，MITRE將主動式防禦的各種技術做了歸納，在他們提出的Shield矩陣（matrix）中，仿效了ATT&CK矩陣的設計，由戰略與技術手法構成，將主動式防禦的戰略分成8個階段，包括引導管道（Channel）、收集（Collect）、牽制（Contain）、偵測（Detect）、破壞（Disrupt）、促成（Facilitate）、合法化（Legitimize）、測試（Test）。</p> <p>而在這8項戰略階段之下，列出了各階段可使用的技術手法，目前MITRE總共歸納了36種。與ATT&CK矩陣相同的是，各項技術手法也可能同時出現在不同戰略階段當中。</p> <p>值得注意的是，在這36項技術手法中，我們發現有多個與欺敵誘餌有關，包括誘餌帳號、誘餌內容、誘餌帳密、誘餌多樣性、誘餌網路，以及誘餌角色、誘餌過程與誘餌系統等，不僅如此，從戰略階段的初期來看，就是要將敵人引導至特定路徑或特定方向，收集對手的工具、觀察戰術、活動與相關情報，之後再進行一連串的動作。顯然，引導與欺敵是主動式防禦的主軸之一。</p> <p>同時，MITRE網路智慧戰略長Christina Fowler也提出相關說明，她指出，前五個戰略階段可以適合所有人使用，而在與對手交戰之際，如果你想讓攻擊者留在環境中，以便做到更多的觀察，獲取更多對方攻擊戰術流程（Tactics、Techniques與Procedures，TTP）的資訊，之後可能就會需要使用後面三個戰略階段。</p> <p>綜合來看，這樣的主動式防禦更是要與入侵的攻擊者鬥智，當對方規避了防禦、進而滲透至內部網路環境之際，幫助企業組織可以更早發現，並在受到入侵時，因應上更具主導權。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/600B-1018%E5%B0%81%E9%9D%A2P2-1894X633(1).png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=1894,height=633'); return false;"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/600A-1018%E5%B0%81%E9%9D%A2P2.png" style="width: 600px;" /></strong></span></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>在Shield主動式防禦矩陣中，MITRE依據ATT&CK的經驗，將主動式防禦的戰略與技術手法歸納與整理，目前包含8個戰略階段，以及36項技術手法，當中可以看出除了安全控制、隔離、監控與分析，引導與誘餌，更是這個當中的一大焦點。</strong>（資料來源：MITRE，iThome整理，2021年3月）</span></p> <p><a href="https://www.ithome.com.tw/tech/143478" target="_blank"><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 本文未完，下半篇在這裡 </span></span></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/mitre">MITRE</a></div><div class="field-item odd"><a href="/tags/shield">Shield</a></div><div class="field-item even"><a href="/tags/%E4%B8%BB%E5%8B%95%E5%BC%8F%E9%98%B2%E7%A6%A6">主動式防禦</a></div><div class="field-item odd"><a href="/tags/active-defense">Active Defense</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E9%98%B2%E8%AD%B7%E7%AD%96%E7%95%A5">資安防護策略</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div></div></div>
2021/3/30 07:00作者羅正漢https://www.ithome.com.tw/tech/143477
新世代主動式防禦興起，牽制駭客也成攻防手段之一（下）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-1018feng_mian_p3.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/tech/143477" target="_blank"><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 本文上半在這裡 </span></span></strong></span></a></p> <p>為了更好應對攻擊者的入侵行為，MITRE在2020年8月時，公布全新的主動式防禦知識庫，稱之為MITRE Shield，他們並在2021年3月於RSAC 365線上議程透露更多細節，當中指出他們希望進一步透過Shield的戰略與技術手法，扭轉過去網路攻防都是由攻擊者選擇時間、地點與交戰方式的劣勢。</p> <p>對於MITRE Shield主動式防禦知識庫的發展，連續兩年參與ATT&&CK評估計畫的奧義智慧，也關注此一知識庫的發展，他們認為，在處理資安事件回應（IR）時，就有用到類似的概念。該公司資深研究員陳仲寬指出，欺敵確實在Shield佔了很大的部分，不過他也強調，整個過程的觀察，以及攻擊的互動，同樣是關鍵，尤其是在互動方面。</p> <p><span style="font-size: 28px;"><strong>欺敵、觀察與互動是重點，可視為企業進階的防禦戰略</strong></span></p> <p>就以往的資安框架來看，大部分都是聚焦保護、偵測與回應，但都沒有將互動這個要素放進去，因此，也許會需要有一個面向，像是偵測時同時需要互動，才能做到比較好的回應。</p> <p>更進一步而言，陳仲寬指出Shield的最大意義，是開啟了戰術層級的畫分。比如先引導、監控、互動、持續，再監控，MITRE從防禦者角度，將戰術層級拆分出來。</p> <p>而這樣的作法，顯然MITRE也是希望能夠複製ATT&CK的成功經驗。現在，MITRE將主動式防禦的各種技術手法有了系統性的歸納，同樣整理為一套知識庫，如此一來，將有助於我們理解主動式防禦中，可採用的戰略與技術手法。</p> <p>對於這套主動式防禦知識庫的理解，陳仲寬認為，搭配ATT&CK是更好的使用方式。他指出，單獨瞭解主動式防禦的技術手法也行得通，只是缺乏全局觀，雖然知道可採用這些主動式防禦的技術手法，但不知道做這些事情，可以防禦那些攻擊，因此同時參照ATT&CK來應用是更好的作法。而且，目前這個知識庫有許多部分是專注在欺敵，涵蓋面還不夠全面，例如仍缺乏最後階段通常要有的減緩與清除，而在Shield當中，目前只有牽制與破壞的概念較為接近。</p> <p>他提醒，主動式防禦只是一個面向，並不能完全代表整個防禦體系。更具體一點來看，Shield屬於較進階的防禦手法，所以可能不會是企業第一步就採用的防禦手段。</p> <p>對此，該公司共同創辦人叢培侃也指出，當企業IT架構與資安防護都已經成熟，想要更進階更主動一點，就可以往這方面思考。</p> <p>綜合而言，從一開始MITRE對於主動式防禦範圍的定義，我們除了看到欺敵與交戰的部分，同時也包含基本防禦技術與能力。若連基本的安全控制、隔離與監控等都沒有，單使用欺敵方面的技術手法，並不實際。</p> <p>特別的是，叢培侃也提及，當他們在看這樣的防禦戰略時，其實是倍感親切，原因在於，他們處理很多攻擊事件調查時，也會運用類似欺敵的方式，而他們會使用的場景，就是在處理資安事件回應時——當駭客已經入侵當前這個單位，因此接下來可能會與駭客有直接交戰的機會，就很適合使用，可以讓攻擊範圍及規模限縮，並迫使攻擊者拿出更多壓箱寶的手段。</p> <p><span style="font-size: 28px;"><strong>面對入侵攻擊手法，Shield與ATT&CK可交互運用驗證</strong></span></p> <p>另一方面，自從MITRE拓展ATT&CK框架與知識庫，解析了入侵攻擊面，現在他們更是認為，從ATT&CK發展到Shield是自然而然的過程，防禦方若同時使用兩者，其實更是可以有效增強防護能力，畢竟，針對攻擊者行動的ATT&CK，可經常提供防禦者反制的機會，而對於Shield的使用方式，MITRE現在已將主動式防禦的技術手法，對應到ATT&CK的攻擊技術手法，而且可以從攻擊者組織的角度來切入。</p> <p>陳仲寬舉例，以Chimera這個駭客組織為例，MITRE已經匯整該組織在入侵過程，曾使用過的各式攻擊技術手法，例如Scheduled Task/Job（T1053）就是其一，而要對應這個攻擊來做到主動式防禦的話，就可以使用Decoy System（DTE0017），透過這樣的欺敵技法來應對該攻擊手法。</p> <p>較特別的是，他還提到另一個由第三方研究人員提出的DeTTECT專案，與Shield的作用有些類似，目的是提供防禦者將ATT&CK攻擊技術手法，與防禦者技術手法作對應，因此也是企業在關注ATT&CK應用時，可以參考的資源。</p> <p><span style="font-size: 28px;"><strong>複製ATT&CK成功模式，Shield盼成進階防禦新利器</strong></span></p> <p>而其他臺灣業者又是如何看待Shield的應用呢？臺灣KPMG（安侯建業）顧問服務部執行副總經理謝昀澤表示，他們同樣關注Shield的發展，主要原因是，先前ATT&CK辨識了駭客可能的攻擊手法，相對地，企業防守方就可以透過ATT&CK的技術手法，反推組織內防禦縱深是否足夠，而這樣的思維，有如防火牆規則設計的反向表列的方式，例如設定拒絕的連線，除拒絕的連線外，其他都接受等。因此，如果攻擊者採用了比較奇特的攻擊方式，甚至是ATT&CK中尚未辨別的技術手法，此一攻擊就有可能實現。</p> <p>而就Shield而言，此一框架提供組織更積極的防守思維，比如臺灣目前的軍事戰略是「戰力防護、濱海決勝、灘岸殲敵」，與Shield裡面針對防守方「殲敵」的方式有共通性，有別於其他如NIST CSF等框架，MITRE Shield提出了Cyber Deception欺敵的概念，此種戰術就是要把敵人引進防禦框架中，除了可辨識敵人使用的工具、排程的作業等，更積極的將攻擊者加以隔絕與殲滅。</p> <p>因此，KPMG現在除了關注Shield知識庫所提及的機會空間（Opportunity space），也就是在對手採用攻擊技術時，將對方引導至高階主動式防禦的可能性，他們同時也關注使用情境，以及 Shield下一版本的發展。</p> <p>無論如何，目前MITRE Shield的發展還不到一年，過去ATT&CK在2015年發起後，也是直到2018年才開始廣受市場重視。而在ATT&CK的成功經驗後，Shield在此基礎之上的應用發展，確實也備受企業資安界關注。</p> <p>就現階段而言，此一主動式防禦在戰術與技術手法層面，都已經有了初步的統整，讓防禦者可以利用，更好地去建立主動式防禦解決方案，而MITRE也表示，未來將持續改進，甚至針對特定駭客組織建立主動式防禦的自動化腳本，因此，未來發展值得企業追蹤與關注。</p> <p><span style="color:#3399ff;"><strong><span style="font-size:36px;">MITRE ATT&CK整合Pre-ATT&CK，技術手法分類更細 </span></strong></span></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/600-BOX-1018%E5%B0%81%E9%9D%A2P3.png" style="width: 600px;" /></strong></p> <p><span style="color:#696969;"><strong>在關注MITRE Shield發展的同時，MITRE ATT&CK最近一年的新變化，同樣受到重視。最明顯的改變，就是將原先的Pre-ATT&CK，整合到ATT&CK Enterprise，成為最前兩個階段，分別是偵察（Reconnaissance）與資源開發（Resource Development），因此ATT＆CK現在總共畫分14個戰術階段。</strong></span></p> <p><span style="color:#696969;"><strong>而且，這裡同樣提供Shield與ATT&CK的對應，例如在偵察階段的攻擊技法Gather Victim Identity Information（T1589），其對應的主動式防禦技法，包含三種：分別是Decoy Account（DTE0010）、Decoy Persona（DTE0015），以及Network Monitoring（DTE0027）。 </strong></span></p> <p><span style="color:#696969;"><strong>在這樣的整合之下，顯然MITRE正持續將ATT&CK涵蓋面向擴大，不過，奧義智慧資深研究員陳仲寬提醒，日後企業組織在使用ATT&CK時可能需要注意，因為過去的ATT&CK主要聚焦端點偵測與反應（EDR）領域，而Pre-ATT&CK是聚焦威脅情資領域，比較像是與OSINT（Open source intelligence）相關，而使用者要能區分其差異，看待整體ATT&CK才不會誤解。</strong></span></p> <p><span style="color:#696969;"><strong>同時，我們也看到MITRE在將各種攻擊技術手法，有了子項目的細分方式。舉例來說，像是在Phishing（T1566）網釣攻擊手法之下，依據性質不同又可再區分為三種子項目，包含了Spearphishing Attachment（T1566.001）、Spearphishing Link（T1566.002），以及Spearphishing Via Service（T1566.003），而這樣具體的畫分，看起來是可以讓攻擊手法的資訊，能有更直觀的展現方式。</strong></span></p> <p><span style="color:#696969;"><strong>附帶一提的是，ATT&CK評估計畫第三輪在2020年下半已經展開，設想的攻擊對象是Carbanak與FIN7，兩者均是專門攻擊金融業的駭客組織，奧義智慧共同創辦人叢培侃表示，今年參與的資安業者又比上一輪更多，在3月底後應該就會發表評估結果。 </strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cyber-deception">Cyber Deception</a></div><div class="field-item odd"><a href="/tags/%E6%AC%BA%E6%95%B5">欺敵</a></div><div class="field-item even"><a href="/tags/mitre">MITRE</a></div><div class="field-item odd"><a href="/tags/shield">Shield</a></div><div class="field-item even"><a href="/tags/%E4%B8%BB%E5%8B%95%E5%BC%8F%E9%98%B2%E7%A6%A6">主動式防禦</a></div><div class="field-item odd"><a href="/tags/active-defense">Active Defense</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E9%98%B2%E8%AD%B7%E7%AD%96%E7%95%A5">資安防護策略</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7">奧義智慧</a></div><div class="field-item odd"><a href="/tags/%E8%87%BA%E7%81%A3kpmg">臺灣KPMG</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E6%A1%86%E6%9E%B6">資安框架</a></div></div></div>
2021/3/30 07:00作者羅正漢https://www.ithome.com.tw/tech/143478
Ziggy勒索軟體組織不只金盆洗手，還準備要還錢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ziggy勒索軟體組織在今年2月8日宣布將關閉營運，並釋出所有版本的解密金鑰，<a href="https://twitter.com/M_Shahpasandi/status/1376116414608736258" target="_blank">本周該組織正式公告</a>，將退還之前向受害者所收取的贖金。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/ExjxvlTXMAMSeHb?format=jpg&name=medium" style="width: 250px;" /></p> <p>根據資安業者<a href="https://blog.emsisoft.com/en/37722/emsisoft-releases-new-decryptor-for-ziggy-ransomware/" target="_blank">Emsisoft的追蹤</a>，Ziggy是在去年11月才開始展開攻擊行動，主要鎖定企業，在短短3個月的時間就捕獲了至少340個受害者。</p> <p>在宣布收山時，Ziggy管理員向<a href="https://www.bleepingcomputer.com/news/security/ziggy-ransomware-shuts-down-and-releases-victims-decryption-keys/" target="_blank">BleepingComputer</a>透露，他們當初會開發Ziggy並展開攻擊行動，是為了替第三世界國家籌措資金，但隨著全球執法機構聯手破獲<a href="https://www.ithome.com.tw/article/143063" target="_blank">Emotet</a>與<a href="https://www.ithome.com.tw/news/142494" target="_blank">NetWalker</a>之後，他們擔心也會被逮，於是決定退休，同時釋出所有Ziggy版本的解密金鑰，隔天Ziggy管理員即公布了內含922個解密金鑰的SQL檔案。</p> <p>繼之Ziggy在3月19日宣稱會歸還所勒索的金額，並於3月28日正式公告，表示只要曾受到Ziggy感染並支付贖金的使用者，只要把收據隨同電腦ID寄至特定信箱，他們將在兩周後把贖款匯回受害者的比特幣錢包網址。</p> </div></div></div>
2021/3/30 01:19作者陳曉莉https://www.ithome.com.tw/news/143526
Cloudflare新推出API濫用偵測服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare發布<a href="https://blog.cloudflare.com/api-abuse-detection/">API探索以及API濫用偵測服務</a>，供用戶找出被濫用的API，新的API解決方案、傳統的速率限制以及DDoS保護，都是API縱深防禦的一環，但是由於API通常是自動化的服務，也難以預測每個API的使用量，因此Cloudflare發展出更智慧的偵測方法，並透過疊加這些方法，全面提升API安全性。</p> <p>Cloudflare提到，API成為現今建構網頁服務的骨幹，提升了網際網路的可用性和可存取性，但是隨著技術的發展，API被攻擊濫用的表面也同時增加，傳統的速率限制和DDoS保護等安全工具，雖然仍是有效的保護手段，但是在部分情況，會遇到實際應用的問題，像是在限制API端點速率上，難以選擇恰當的閾值，在大規模的應用上容易發生造成問題，因為API可能受到分散式攻擊，處在速率低於閾值的情況，而也可能大量合法流量增加，使得速率超過閾值。</p> <p>而傀儡程式管理（Bot Management）雖然也提供一定程度的防護，但這僅限於API供瀏覽器使用的情況，因為自動化機器人與人類的行為有很大的差異，因此傀儡程式管理可以輕易地區分不同，但是當API是供自動化程式使用時，企業就必須在一群機器人中，區分出壞的機器人流量。</p> <p>為了解決這些問題，Cloudflare發展了新的API保護解決方案，這包含了API探索以及API濫用偵測兩部分。API探索主要功能，是要了解API的攻擊表面，能夠將api.example[.]com/login/237和api.example[.]com/login/415等看似不同的路徑，辨識為api.example[.]com/login/*，刪除用戶識別符號，這個折疊路徑的動作，官方稱之為路徑正規化，可以作為各種安全產品的基礎。</p> <p>在探索API之後，Cloudflare以兩種方法來發現API濫用，第一種是以流量作為偵測異常的基礎，也就是說，系統會猜測每條路徑的速率閾值，來達成自適應速率限制，Cloudflare使用非監督式學習來選擇路徑的閾值，可以為每個API算出單獨的基準，並嘗試預測請求的意圖，像是當系統發現有個不正常次數的重置密碼請求，便會懷疑帳戶被攻擊者接管，讓管理者立刻採取行動。而且系統還能透過配置上下文，來偵測API可能出現的爆量流量，並且更改相關的閾值，避免合法流量受到阻擋。</p> <p>另外，新的API濫用偵測方法，也會依照存取順序來偵測異常存取行為，像是網站的流量移動通常會經過一定的過程，終端用戶發送請求到A路徑，並且被重新導向B路徑，最終被導向C路徑，只要順著這個邏輯流程，就會被認為是正常流量，而直接存取C路徑，就可能是異常流量。Cloudflare同樣以非監督式學習，來學習這些邏輯流程，找出異常的存取行為。</p> </div></div></div>
2021/3/30 01:38作者李建興https://www.ithome.com.tw/news/143525
AWS推出可偵測指標異常的Lookout for Metrics服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在揭露電腦視覺服務Amazon Lookout for Vision和設備偵測服務Amazon Lookout for Equipment之後，AWS現在還發布了一個新的機器學習服務<a href="https://aws.amazon.com/tw/blogs/machine-learning/introducing-amazon-lookout-for-metrics-an-anomaly-detection-service-to-proactively-monitor-the-health-of-your-business/">Amazon Lookout for Metrics</a>，可自動監控指標，協助企業達到提升速度和精確度等目的，或者診斷異常現象，快速掌握像是收入意外大幅降低，或大量付款失敗等事件。</p> <p>資料中突如其來的模式改變，可能代表著異常事件發生，除了網站技術故障，但也或許是尚未開發的商機，AWS提到，隨著企業收集越來越多的資料，需要具備偵測資料的變化，並能及時做出反應的能力，但是要偵測這些資料變化並不是一件簡單的事情。而AWS所推出的Lookout for Metrics服務，可以讓企業更容易地使用機器學習技術來監控指標，以提高對事件的反應能力。</p> <p>Look for Metrics不僅能用於簡單的異常檢測，其提供開發人員與Amazon內部使用相同的技術來監控指標，只要透過點擊操作，就可以開始監控重要的指標，用戶不需要對機器學習有任何使用經驗與知識，就可以監控異常並發現造成異常的原因。</p> <p>為了要理解用戶的資料，Look for Metrics利用偵測器對資料進行學習，用戶可以創建偵測器，並且選擇5分鐘就是1天等不同的時間區間，決定偵測器匯入資料的頻率，根據用戶選擇的時間間隔，偵測器要能偵測異常，需花費數小時或是數天來學習資料，不過，用戶也能透過提供歷史資料，來加速學習歷程。</p> <p>該服務可以連接到19個資料來源，包括Amazon的服務S3、CloudWatch和RDS等，還有Salesforce、Marketo和Zendesk等應用程式，以持續監控業務上的指標，Lookout for Metrics能夠自動檢視和準備資料使用機器學習技術偵測異常，當有多個指標受到異常事件影響，相關的指標會被匯總在一起，並總結出造成異常的根本原因，另外，AWS提到，該服務還會按嚴重性對異常進行排名，讓用戶可以確認需要優先解決的問題。</p> <p>Lookout for Metrics也能被連接到通知和事件服務，諸如Amazon SNS、Slack、Pager Duty和AWS Lambda，進而使用戶可以創建自定義警示或是操作，自動產生錯誤報告，或是從產品目錄中刪除價格不正確的產品。當Lookout for Metrics服務開始回傳結果時，用戶可以在控制臺和API，取得異常相關性的回饋，而服務精確度也會隨著時間提高。</p> </div></div></div>
2021/3/30 01:42作者李建興https://www.ithome.com.tw/news/143520
去年美國花費最多政策遊說支出的前兩名為臉書與Amazon
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非營利的美國消費者權利擁護組織Public Citizen，近日公布了美國企業在2020年的<a href="https://www.citizen.org/article/big-tech-lobbying-update/" target="_blank">遊說支出調查報告</a>，指出就在Amazon、蘋果、臉書與Google正深受美國調查是否違反當地隱私、民主或競爭者時，它們同時也是花費最多遊說資金的一群。</p> <p>Public Citizen所引用的數據是來自另一非營利組織Center for Responsive Politics，這是一個政治研究中心，專門追蹤金錢與遊說活動對美國選舉及公共政策所造成的影響。</p> <p>在2020年針對美國聯邦政府政策的遊說支出最多的前五名業者，依序是臉書、Amazon、Comcast、Lockheed Martin及波音（Boeing），其中，臉書花了1,968萬美元，Amazon花了1,872萬美元，而第三名Comcast的遊說費用則是1,443萬美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-top%20lobbying%20spenders%20by%20Public%20Citizen.png" style="width: 600px;" /></p> <p>政治獻金、遊說與賄賂之間常常只有一線之隔，美國在1946年制定了《遊說法》（Lobbying Act of 1946），允許業者基於自己的立場遊說各項政策，但相關的支出與專案必須是公開透明的。</p> <p>Public Citizen統計了美國四大科技業者在2010年至2018年的遊說支出，顯示包括臉書、Amazon、蘋果與Google，在2010年的遊說總金額只有1,920萬美元，但到了2018年就增加到1.18億美元，而在這幾年之間，遊說支出增加最多的是Amazon，該公司在2016年至2018年間的遊說金額成長了一倍，趕上了Google，繼之更超越Google。</p> <p>有趣的是，隨著科技業者成為美國經濟的重要推手，它們同時也變成政策的重要推手。在2010年時，遊說支出的前五名為PG&E Corp、GE、FedEx、AARP與ConocoPhillips，2017年的前五名是Google、AT&T、波音、Open Society Policy Center與DowDuPont，但先前在排行榜上缺席的臉書和Amazon，在2020年就占據了排行榜的前兩名。</p> <p>Public Citizen說，這是因為從2018年開始，這四大科技巨頭就面臨嚴格的法律問題，去年底美國政府更針對臉書與Google展開反托拉斯調查，且預期相關調查在今年就會蔓延到Amazon與蘋果。此外，研究顯示，美國國會中負責隱私與反托拉斯的議員，有高達94%的比例曾經收受來自科技業者的金錢。</p> <p>此外，這些科技業者亦相繼招覽之前曾擔任議員、FTC官員或政府官員的員工，希望藉由他們的影響力來遊說仍在職的同事、長官或屬下，再加上不明的金流。</p> <p>Public Citizen擔心科技業者把對經濟的影響力延伸到政治，呼籲它們關閉政治行動委員會，不要再針對競選活動投入黑錢，完整揭露其政治獻金與所造成的結果。</p> </div></div></div>
2021/3/29 17:18作者陳曉莉https://www.ithome.com.tw/news/143519
WeWork宣布要借殼上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供辦公室空間租賃服務的<a href="https://www.wework.com/ideas/newsroom-landing-page/newsroom/posts/wework-to-become-publicly-traded-via-spac-merger-with-bowx-acquisition-corp" target="_blank">WeWork上周五（3/26）宣布</a>，將與特殊目的收購公司（Special Purpose Acquisition Company，SPAC）BowX Acquisitiona合併，以加速其上市時程。雙方的董事會皆已通過此一併購案，將待BowX股東同意及監管機關的審查後，於今年第三季完成併購。</p> <p>成立於2010年的WeWork頗具爭議，該公司曾在2019年8月提出上市申請，但當時該公司的財務、管理與經營模式遭到眾多批評，使得WeWork於同年9月自行撤回IPO申請書；再者WeWork的最大股東為日本軟體銀行，軟銀曾經因投資WeWork失利，而造成14年來的首度虧損，因為當初軟銀投資WeWork時是以470億美元的市值計算，但WeWork在2019年9月的市值卻只剩78億美元，且<a href="https://www.ithome.com.tw/news/136854" target="_blank">WeWork還曾一度與軟銀翻臉</a>。</p> <p>這次WeWork與BowX的合併協議中，所計算的WeWork市值為90億美元。</p> <p>至於BowX則是美國那斯達克的上市公司，這類的SPAC業者又被稱為空白支票公司，主要是藉由併購協助其它業者上市，例如加密貨幣暨股票交易平臺<a href="https://www.ithome.com.tw/news/143289" target="_blank">eToro也採行同樣的模式上市</a>。在要與WeWork合併的消息傳出後，BowX當天股價上漲了20.35%，以11.71美元作收。</p> <p>WeWork表示，該公司在2019年努力進行轉型，主要是強化費用管理能力，包括拋棄非核心業務，裁減人力，棄守營運不佳的場地，目前WeWork人力只剩2019年高峰時的33%。</p> <p>現在的WeWork於全球152個城市的851個區域，提供了超過100萬個行動辦公室，大型企業的長期租賃占了50%以上，只有10%的會員是採月費計算，去年不計中國市場的營收為32億美元，與2019年相當。WeWork認為這意謂著就算捨棄了非核心業務，再加上COVID-19疫情，該公司仍舊具備經營實力。</p> <p>此外，在完成與BowX的合併後，WeWork預計其資產負債表上將有19億美元的現金，若再加上軟銀所提供的5.5億美元，其流動資金將達到24億美元。</p> </div></div></div>
2021/3/29 15:38作者陳曉莉https://www.ithome.com.tw/news/143518
27萬個專案使用的npm套件netmask遭爆含有重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://sick.codes/universal-netmask-npm-package-used-by-270000-projects-vulnerable-to-octal-input-data-server-side-request-forgery-remote-file-inclusion-local-file-inclusion-and-more-cve-2021-28918/" target="_blank">一群安全研究人員於上周揭露</a>，熱門的npm套件netmask含有一個重大的安全漏洞CVE-2021-28918，可能衍生出伺服器端請求偽造（Server-Side Request Forgery，SSFR）或本地文件包含（Local File Inclusion，RFI）漏洞，而且全球有超過27萬個專案採用了netmask。</p> <p>Npm為Node.js套件管理工具，而netmask則可用來解析與理解IPv4無類別域間路由（Classless Inter-Domain Routing，CIDR）區塊，以讓它們能被利用或比較，例如它可在使用者輸入特定IP時，判斷它是否位於使用者所定義的區塊中，或者是列出所有包含在某一區塊中的IP。</p> <p>CVE-2021-28918漏洞出現在netmask的private-ip功能中，這個漏洞很簡單，它只是把應該視為8位元的IP位址第一節視為字串，當作是10位元，例如於private-ip中輸入0127.0.0.1時，它指的應該是81.0.0.1，但netmask卻自動忽略了前面的0，將它視為127.0.0.1，此一漏洞從netmask自9年前現身以來，便存在迄今。</p> <p>研究人員指出，該漏洞看起來不起眼，卻會造成巨大災難。如果瀏覽器能夠辨識8進位文字，但Node.js應用程式不行，代表使用者可提交任何看起來像是來自內部的網址，但事實上所存取的卻是遠端的惡意檔案，或者是使用者提交了看起來是公開的網址，但其實是私人網域，並因而衍生出SSFR或RFI攻擊。</p> <p>舉例來說，使用者在netmask中提交了012，該套件以為它屬於12公共IP，但它其實是10，為私人IP；或者使用者提交了010，netmask把它視為10私人IP，但它卻是8公共IP。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-netmask-500.jpg" style="width: 553px;" /></p> <p>研究人員警告，任何人都可以在netmask中提交一個看起來像是私人IP的位址，但它實際上卻連至公共IP以下載惡意檔案。</p> <p>迄今netmask的全球下載數量已超過312萬次，在GitHub上有27.8萬個專案採用netmask，相關專案是否受到CVE-2021-28918漏洞波及端看其應用方式，目前該漏洞已被修補，研究人員呼籲所有netmask用戶都應儘速更新。</p> </div></div></div>
2021/3/29 15:02作者陳曉莉https://www.ithome.com.tw/news/143516
微軟：修補完Exchange Server漏洞還不能掉以輕心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然絕大多數本地部署的Exchange Server都已經修補好ProxyLogon漏洞，<a href="https://www.microsoft.com/security/blog/2021/03/25/analyzing-attacks-taking-advantage-of-the-exchange-server-vulnerabilities/" target="_blank">但微軟警告</a>，這不表示事情就做完了，因為許多一開始被駭而不自知的企業，有許多未爆彈得解決，如駭客滲透進企業網路，或是以偷來的帳密駭入其他系統。</p> <p>三月初微軟公佈安全公告，警告駭客組織Hafnium正在開採本地部署Exchange Server上的四個合稱為ProxyLogon的零時差漏洞，同時針對Exchange Server 2013、2016和2019釋出第一波安全更新。之後就是一連串安全研究，揭露針對這組漏洞的威脅，包括勒索軟體、挖礦軟體，以及人為開採等。安全廠商ESET也指出至少有其他10組駭客組織早已動手。</p> <p>另一方面，微軟也不斷做出各種補救措施，包括涵蓋面更廣的第二波Exchange Server更新，以及一鍵式工具EOMT（Exchange On-premise Migration Tool）和<a href="https://www.ithome.com.tw/news/143246" target="_blank">更新Microsoft Defender Antivirus特徵檔</a>，而緩解四項漏洞中的CVE-2021-26855。<a href="https://www.ithome.com.tw/news/143440" target="_blank">微軟上周宣布</a>，經過一番努力，全球92%的Exchange Server已經修補漏洞或獲得緩解。</p> <p>但是根據微軟針對本地部署的Exchange Server做的調查，企業仍面臨不少威脅。例如許多一開始被駭的企業還沒被攻擊，像是以人為操作的勒索軟體攻擊或資料外洩，這表示攻擊者可能計畫即將展開下一波行動，他們可能採取滲透手法伺機而動，或利用偷來的帳密從其他管道駭入企業網路。</p> <p>微軟列舉的可能威脅包括Web Shell、人為植入勒索軟體，以及竊取登入憑證資料。微軟觀察到許多未修補的Exchange Server上被建立web shell程式，這種程式可能被駭客當成後門，以便用來竊取郵件、或執行程式碼。在勒索軟體方面，安全廠商至少發現有二隻勒索軟體如<a href="https://www.ithome.com.tw/news/143218" target="_blank">DearCry</a>、<a href="https://www.ithome.com.tw/pr/143486" target="_blank">Black Kingdom</a>（微軟稱為DoejoCrypt及Pydomer）已被駭客透過開採Exchange漏洞，以植入企業網路環境。</p> <p>其他已知的威脅，還包括散佈挖礦軟體的殭屍網路<a href="https://www.ithome.com.tw/news/143247" target="_blank">Lemon Duck</a>（黃色小鴨）。</p> <p>第三項風險是竊取登入憑證。雖然目前登入資料不是駭客首要目標，但是存取Exchange系統能讓他們取得重要憑證，用於日後其他攻擊。例如他們可能藉此取得網域管理員帳號，或是具備援權限的服務帳號。這樣一來，攻擊者就能Exchange事件之後許久，在網路環境下發動勒索軟體或竊密行動。</p> <p>為防止可能的後續攻擊，微軟建議企業應立即檢視Exchange Server是否有駭入跡象、web shell，並檢查用戶及用戶群組是否有可疑新增帳號，呼籲變更所有用戶帳號和本地管理員帳號密碼，而 Event ID 1102則意味駭客刪除事件log。另外也要留心滲透手法，如RDP、防火牆、WMI訂閱及WinRM組態可疑變更、新增的服務、排程或啟動物件，或是非微軟的RDP及遠端存取，以及不明的Exchange郵件轉寄政策變更等。</p> </div></div></div>
2021/3/29 12:26作者林妍溱https://www.ithome.com.tw/news/143514
紐約州發表採用IBM區塊鏈平臺的疫苗護照
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紐約州在上周五（3/26）發表了全新的疫<a href="https://www.governor.ny.gov/news/governor-cuomo-announces-launch-excelsior-pass-help-fast-track-reopening-businesses-and" target="_blank">苗護照Excelsior Pass</a>，得以存放民眾施打COVID-19疫苗或是檢測為陰性的結果，以利民眾進入各種人潮聚集的場合，推動及迎接經濟的復甦，也是全美第一個推出疫苗護照的州別。</p> <p>Excelsior Pass是以IBM的「數位健康通行證」（Digital Health Pass）解決方案為基礎，該解決方案奠基於區塊鏈技術上，再加上加密技術，得以在驗證使用者健康狀態的同時保障其隱私。使用者可下載支援Android或iOS的Excelsior Pass Wallet程式，它以QR碼來儲存COVID-19的疫苗施打與檢測結果，至於活動方則應下載Excelsior Pass Scanner，來掃描該QR碼以確認民眾的健康狀態。</p> <p>紐約州長Andrew Cuomo表示，隨著愈來愈多的紐約人施打疫苗，且關鍵的公共衛生指標也持續達到最近幾個月的低水平，Excelsior Pass將成為經濟復甦的下一步，在繼續對抗病毒的同時，也能安全地重返經濟活動，同時保障民眾的個人資訊安全。</p> <p>有了Excelsior Pass之後，活動方就能舉辦並邀請民眾參與大型聚會，並以它作為活動的入場券之一，像是體育館、婚禮招待處、餐廳，或是其它原本受限於聚會禁令的活動。民眾只要秀出手機上以QR碼呈現的Excelsior Pass，或是印出該QR碼，再輔以自己的身分證件，就能在不揭露自己其它健康資訊的狀態下，由活動方驗證與COVID-19有關的資訊。</p> <p>除了Excelsior Pass或Digital Health Pass之外，坊間也出現其它的疫苗護照解決方案，開發者認為，下一階段可能會面臨的問題便是，該如何整合這些不同的解決方案，讓使用者不必下載不同的程式，就能出入採用不同解決方案的場合。</p> <p><a href="https://www.emarketer.com/chart/245285/us-air-travelers-views-of-digital-vaccine-passports-feb-2021-of-respondents?_ga=2.132638857.660029365.1616990793-1905993076.1616990793" target="_blank">eMarketer在今年2月調查</a>美國民眾在境內航空旅行對疫苗護照的看法，顯示有33%認為這是必要的，應該強制執行，有32%認為這雖然是個好主意，但應該讓民眾自由選擇，只有19%認為不應實施疫苗護照。至於紐約州現在並未強制民眾使用Excelsior Pass。</p> </div></div></div>
2021/3/29 12:48作者陳曉莉https://www.ithome.com.tw/news/143515
蘋果緊急修補WebKit已遭開採的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT212256" target="_blank">蘋果周末緊急釋出</a>更新版iOS及iPadOS、watchOS，以修補一個已被開採的漏洞。</p> <p class="rtecenter"><a href="https://support.apple.com/en-us/HT212256" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-webkit%20%E8%98%8B%E6%9E%9C%E6%BC%8F%E6%B4%9E%E8%AA%AA%E6%98%8E.jpg" style="width: 400px;" /></a></p> <p>本波釋出的是iOS 14.4.2及iPadOS 14.4.2，以及watchOS 7.3.3版。此外，蘋果也針對舊版iOS產品，<a href="https://support.apple.com/en-us/HT212257" target="_blank">釋出了iOS 12.5.2</a> 。這波更新主要修補的是CVE-2021-1879，影響Safari的核心引擎WebKit。這項漏洞可在用戶Safari瀏覽器存取惡意網頁內容時，觸發統合式跨網站指令碼（universal cross-site scripting，UXSS）。</p> <p>蘋果並未詳細說明。但根據安全公司<a href="https://www.acunetix.com/blog/articles/universal-cross-site-scripting-uxss/" target="_blank">Acunetix掌握的資訊</a>，所謂UXSS類似跨網站指令碼（XSS）攻擊，但XSS攻擊的是Web應用及網站漏洞，UXSS攻擊目標則在瀏覽器或瀏覽器外掛的漏洞上。此類漏洞遭到開採時會影響瀏覽器行為，也會繞過或關閉安全功能，造成攻擊者得以存取同時間內由瀏覽器開啟（或快取）的其他網頁內容，或是執行惡意程式。</p> <p>這次WebKit上的漏洞，是由Google威脅分析小組的Clement Lecigne和Billy Leonard所發現。<a href="https://support.apple.com/en-us/HT212256" target="_blank">蘋果指出</a>，該公司得知已有針對這項漏洞的開採行動。</p> <p>蘋果已經改善WebKit上對物件存留期（lifetime）的管理，以解決這項漏洞。</p> <p>這次更新將會發送到iPhone 6S以上、iPad Pro所有機種、iPad Air2及第5代iPad 、iPad mini 4及iPod Touch 7以上的機種。iOS 12.5.2影響產品則包括iPhone 5S、iPhone 6/ 6 Plus、iPad Air、iPad mini 2、3及iPod touch 6。蘋果也呼籲用戶儘早更新。</p> </div></div></div>
2021/3/29 11:55作者林妍溱https://www.ithome.com.tw/news/143513
竊密手法多元的Android間諜軟體，冒充系統更新程式流傳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商發現一隻有多種惡意手法的間諜軟體，冒充Android系統更新程式誘騙用戶下載。</p> <p><a href="https://blog.zimperium.com/new-advanced-android-malware-posing-as-system-update/" target="_blank">Zimperium的掃瞄引擎偵測到</a>一隻遠端存取木馬（Remote Access Trojan，RAT），出現在非官方（即非Google Play Store）的線上軟體商店，偽裝成系統更新（System Update）程式誘使Android用戶下載。它在受害裝置上可執行多種行為，包括竊取訊息、圖片及各種資料，也能控制Android裝置。</p> <p>研究人員指出，這隻尚未命名的RAT程式，除了結合Firebase及專門的C&C伺服器外，還擁有少見的多種竊密手法。一旦安裝到用戶裝置，即利用受害裝置的WhatsApp線上/離線狀態、電池電量、儲存統計，或由Firebase通訊服務接到的令牌(token)及連線型態等資料，向Firebase C&C伺服器註冊。但是第一時間它能刻意不顯示於系統選單，以隱藏行蹤。</p> <p>在受害裝置上，這隻間諜軟體會在多種情形下觸發竊密和資料外洩行為，像是利用Android的contentObserver和Broadcast receiver新增聯絡人、接到新的簡訊、安裝新App等。Firebase通訊服務是用以接獲指令而啟動蒐集行為，像是麥克風錄音、或是外洩簡訊內容。其他目標資訊包括手機聯絡人、通話紀錄、搜尋特定副檔名（包括.PDF、docx、.xls、.xlsx）的檔案或剪貼簿資料、裝置資訊（如應用程式清單、裝置名稱）。</p> <p>所有裝置上搜尋到想要的資料，不論是對話內容、聯絡人或電話紀錄後，會立即以加密的ZIP檔案上傳到C&C伺服器。它還會挑選特定日期之前的資料不送，以免資料太舊。而為了不留下蹤跡，這隻間諜軟體會在接到C&C伺服器回應「行動成功」後，立即刪除檔案。</p> <p>此外，一旦它取得Android控制權，又能進行進一步竊密。像是錄音、拍照、濫用裝置的輔助服務（Accessibility Services），透過偵測螢幕內容以蒐集WhatsApp的交談、訊息內容及資料庫檔案（如果具根權限）、偷看Google Chrome、Mozilla Firefox或Samsung Internet Browser書籤和搜尋紀錄、監控GPS定位，連儲存在外部儲存裝置及快取中的資料都不放過。</p> <p>除了竊密外，這隻間諜程式也能執行任務排程，並請求手機核准忽略電池最佳化以免任務中斷。（如下圖所示）</p> <p class="rtecenter"><img alt="" src="https://blog.zimperium.com/wp-content/uploads/2021/03/Screen-Shot-2021-03-26-at-10.03.16-AM.png" style="width: 600px;" /></p> <p>Zimperium研究人員認為，從竊密手法多樣性及躲避偵測的技巧來看，這隻間諜軟體能力可謂罕見。該公司也公布了入侵指標（Indication of Compromise）及C&C伺服器網址，以供安全人員偵測。</p> </div></div></div>
2021/3/29 11:15作者林妍溱https://www.ithome.com.tw/news/143511
衛福部：遠距醫療下一步要擴大適用場域、攻區域聯防計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部醫事司司長劉越萍27日在遠距醫療國際論壇上表示，衛福部遠距醫療下一步除了要鬆綁法規來擴大適用場域、減少限制條件外，還要推動更多區域聯防計畫，也就是以醫院、基層醫療機構、長照與照護機構為節點，發展出涵蓋急性、亞急性、社區和長照照護的連續性服務，以遠距會診、諮詢、轉診、照護和遠距藥局等手段來實現，織起一張綿密的醫療照護網。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">從1960到2021：國際遠距醫療的演變和模式</span></span></strong></p> <p>但，遠距醫療究竟從何而來？劉越萍指出，1960年代，NASA首次使用衛星通訊和監測工具，從地面監控太空人的身體狀態，成為遠距醫療濫觴。後來，美國一次太空梭爆炸，暫停將太空人送往宇宙，便將這套遠距醫療轉移到偏鄉地區來施行。</p> <p>但他們發現，技術雖然可行，但透過衛星傳輸的成本實在太高，因此未大規模推動。</p> <p>直到2010年，遠距醫療才有明朗的發展。那年，WHO給出明確定義，指遠距醫療是實現健康照護時，醫護人員受到距離影響，以資通訊科技（ICT）來交換資料，達到治療、預防疾病和傷害、研究、評估，甚至衛生人員繼續教育的目的，實現個人與社區健康利益。</p> <p>同時，WHO也訂出遠距醫療4大目標，包括提供臨床支援、克服地理限制、使用不同形式的ICT，以及改善健康。</p> <p>在那之後，WHO陸續發布各種遠距醫療策略，像是數位健康報告、數位醫療指南，還有全球數位醫療指標（GHID），來掌握各國數位醫療發展。</p> <p>特別的是，2020年全球歷經COVID-19疫情衝擊，對ICT進行醫療照護的呼聲比以往更強烈，WHO也頒布另一套策略報告《Global Strategy on Digital Health 2020-2025》（2020-2025年全球數位健康策略），提供詳盡的策略規畫，供想發展遠距醫療的政府參考。</p> <p>一向是臺灣醫療策略實施參考對象的美國，也在此時提出3種遠距醫療應用模式。首先是醫生與醫生間的溝通，比如透過Email或視訊，來提供醫療照護服務，如外科手術指導或急重症照護等。再來是醫生與病人間的溝通，比如透過視訊、手機、Email或遠距無線監控等方式，來進行慢性病和傷口照護、用藥監控、出院後照護等。最後則是病人與行動醫療科技間的溝通，如透過穿戴式裝置、智慧型手機、Apps、視訊或遊戲等，來進行衛教、生理活動監測、飲食監控等。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">臺灣推動遠距醫療障礙：政策法規</span></span></strong></p> <p>「遠距醫療範圍如此廣泛，推動上就有許多障礙，」劉越萍舉例，政策法規就是其一。1986年，臺灣出現第一個遠距醫療法規。當時，政府修訂醫事法第11條，規範醫生必須親自看診，否則不得治療、開藥或交付診斷書。但對於山區、離島、偏僻地區，或有特殊、急迫情形患者，醫生得以通訊方式診療。</p> <p>後來，政府在1995年和2006年，制定山地離島地區的通訊醫療實施地點和實施方式。</p> <p>直到2018年，法規才開始鬆綁，政府祭出通訊診察治療辦法。該辦法開放5類可進行通訊診療的特殊患者，包括健保居家醫療照護計畫患者、家庭醫師照護計畫患者、急性住院後3個月內須追蹤的患者，以及居住於長照機構的長者和國際病患。</p> <p>但這項辦法有兩個限制，也就是除偏鄉、急迫情形和國際患者外，初診病人不能接受通訊診療；另一個是除偏鄉、急迫情形外，醫生不得開藥。而開藥限制，正是衛福部想改善的目標。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-03-28%20at%201_25_41%20PM.png" /></p> <p>2020年出現另一波鬆綁。為因應COVID-19疫情，衛福部在2月兩次函釋，放寬讓居家檢疫和隔離民眾成為通訊診療對象。當時，全臺269家醫院、近34萬家診所和189家衛生所，都加入遠距醫療行列。</p> <p>而今年，健保署更推動遠距醫療健保給付計畫，開放遠距專科門診會診（限眼科、耳鼻喉科、皮膚科）和急診遠距會診（不限科別）申請健保給付，堪稱是遠距醫療健保元年。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">臺大雲林分院開遠距醫療區域聯防第一槍，其他區域也跟進</span></span></strong></p> <p>隨著第一波法規鬆綁，臺灣開始出現遠距醫療新應用。比如2019年底，衛福部推動智慧醫療區域聯防試辦計畫，選擇人口極速高齡化、醫療資源不足的雲林縣作為試辦場域（安心雲林e院聯防），以臺大雲林分院為中心，聯合成大醫院、若瑟醫院、虎尾醫院、雲林彰基等10家醫院、診所、長照中心和ICT業者，來發展遠距眼科、高危出院照護和傷口照護等遠距醫療服務。</p> <p>2020年也出現更多遠距醫療應用，比如5月發展偏遠地區遠距專科會診，6月施行臺東縣5G衛生所照護網，透過5G網路，串聯11個鄉鎮市衛生所和臺東馬偕、高醫和花蓮慈濟，來進行眼、耳鼻喉科、皮膚科的高解析度視訊診療。同年7月，衛福部也與4大醫學中心、ICT業者打造一套緊急醫療創新平臺，來因應海外居家檢疫和隔離民眾就醫需求；今年更延伸出部桃專案緊急醫療諮詢平臺。</p> <p>在劉越萍看來，「臺大雲林分院區域聯防，帶動了其他醫院對遠距醫療，」特別是花東地區的遠距會診落地。比如臺東去年5月開診的遠距專科會診，以ICT設備協助醫院與衛生所進行皮膚科、眼科、耳鼻喉科通訊會診；又或是11月開診的慢性病篩檢，花蓮秀林鄉衛生所以眼底鏡篩檢，再針對異常民眾，來安排遠距會診，也就是以五官鏡與花蓮慈濟專科醫生複診。</p> <p>另一個例子則是罕病諮詢，透過醫院與醫院間遠距溝通的模式，來進行小兒科罕見疾病諮詢，降低專科醫生缺乏的痛點。其他應用還包括醫院與醫院間的遠距急診後送、特定疾病照護的衛教諮詢等。</p> <p>然而，推動遠距醫療的主導醫院不只一家，比如花東地區可能就有花蓮慈濟主導的計畫，或是高醫、馬偕、長庚醫院等各自主導的計畫，其中又涉及許多重複的衛生所。劉越萍點出，這些醫療機構的整合，勢必是推動遠距醫療的另一關鍵。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">衛福部遠距醫療下一步：推動以區域聯防為基礎的醫療網、鬆綁法規</span></span></strong></p> <p>也因此，整合不同醫院的雲林遠距醫療區域聯防計畫，正是參考對象，也是衛福部接下來要積極推廣的計畫。</p> <p>其中，遠距醫療區域聯防是指，以醫學中心、區域/地區醫院、基層醫療機構（如診所、衛生所）、長照與照護機構為節點，以遠距會診、遠距諮詢、遠距轉診、遠距照護和遠距藥局等手段，來實現涵蓋急性、亞急性、急性後期照護，以及社區和長照照護的連續性服務。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-03-28%20at%208_42_50%20PM.png" /></p> <p>當然，衛福部推動遠距醫療的下一步，還有法規鬆綁、給付問題和科技應用。劉越萍指出，法規鬆綁重點有3個，也就是擴大適用場域、減少限制條件，以及跟上國際醫療模式；「雖然大方向是鬆綁，但有待醫院凝聚共識。」</p> <p>至於給付，目前偏鄉遠距醫療給付仍靠健保，但衛福部目標是建立永續營運的經費來源，「私人保險是否也能加入這一塊？」劉越萍認為這是值得考慮的。文◎王若樸</p> <div id="gtx-trans" style="position: absolute; left: 48px; top: 47px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2021/3/28 21:03作者王若樸https://www.ithome.com.tw/news/143510
一周大事：行政院通過組改法案，設數位發展部、科技部改制。AMD新伺服器CPU核心改採Zen 3新架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size: 28px;"><strong>行政院通過組改法案! 設數位發展部、科技部改制為國家科學及技術委員會</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0325%E7%B5%84%E6%94%B9.png" style="width: 400px;" /></p> <p>行政院長蘇貞昌表示，組改法案包括新設數位發展部、科技部改為國家科學及技術委員會，以及國防部設後備動員署。其中數位發展部為政府優先成立的專責機關，該部將整合電信、資訊、資安、網路與傳播五大領域，統籌基礎建設、環境整備、資源運用等工作，並將會擴增些許前瞻型任務，期待這次組改，促進國家數位轉型，做好相關資通安全維護工作。<a href="https://www.ithome.com.tw/news/143456" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>AMD第三代EPYC伺服器處理器改採Zen 3新架構，效能提升19%</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-AMD-EPYC-3rd-1920x600.jpg" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源／AMD</span></p> <p>PC桌上處理器市占才剛超越英特爾， AMD隨後也推出該公司第3代伺服器處理器產品系列EPYC 7003，希望將這股氣勢延續到伺服器市場。與前一代EPYC產品相比，新款處理器同樣擁有多達64個核心，但CPU升級為Zen 3核心架構，效能因此提高19%，並且一口氣推出多達19款產品型號，其中最便宜版本售價約900美元，最高階的EPYC 7763處理器則要7,890美元。<a href="https://www.ithome.com.tw/news/143415" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>跟進蘋果，谷歌安卓App抽成比例將砍半</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_App%E6%8A%BD%E6%88%90_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>繼蘋果今年調降iOS App的「蘋果稅」後，Google也預告7月起App開發商在Play Store年營收100萬美元以內的抽成比例，將從現行的30%，調降至15%。外界則認為蘋果和Google的降稅措施，是為了避免歐美的反托拉斯調查。<a href="https://www.ithome.com.tw/news/143272" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>現在AWS用戶能以Lambda函式處理S3檢索的資料</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_S3%20Object%20Lambda_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 358px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／AWS</span></p> <p>物件儲存服務AWS S3現在提供額外的物件處理功能，Object Lambda這項新功能可以讓用戶添加程式碼，來處理S3檢索的資料，並將處理後的結果回傳給應用程式。<a href="https://www.ithome.com.tw/news/143342" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google預告疫後在美投資70億美元，新增1萬名員工</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-google%20Photo%20credit%20C_%20McAnneny%20of%20Heatherwick%20Studio.png" style="width: 500px;" /></p> <p><span style="color:#696969;">Photo credit: C. McAnneny of Heatherwick Studio</span></p> <p>在COVID-19疫情因疫苗的現身而逐漸緩解之後，Google計畫投入70億美元興建更多辦公室、資料中心，同時招聘1萬名新員工，以協助美國經濟的復甦。<a href="https://www.ithome.com.tw/news/143341" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>疫情趨緩微軟將部分重啟總部，混合上班模式成新常態</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%B7%B7%E5%90%88%E8%81%B7%E5%A0%B4%E9%87%8F%E8%A1%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>因應疫情，微軟發展出混合職場量表（Hybrid Workplace Dial），根據特定地區的確診、死亡案例及政府指引，以及該分公司的準備度，畫分成6個階段，每個階段都有相應的政策和行為。微軟總部3月29日的開放，是從「強烈建議在家作業」的第3階段，調升到第4階段「輕度開放」。<a href="https://www.ithome.com.tw/news/143397" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>假帳號有多猖狂？臉書第四季撤銷13億個假帳號</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E8%99%9B%E5%81%87%E8%B3%87%E8%A8%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%87%89%E6%9B%B8.png" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／臉書</span></p> <p>面對國會質疑掃蕩假消息不力，臉書公布該平臺對於打擊不實資訊所作的努力，宣稱平均每天封鎖數百萬個假帳號，而且大多數都是在建立之初就被封鎖，並強調沒有人能完全消除網路上的假消息。<a href="https://www.ithome.com.tw/news/143411" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>Google找來英特爾老將主導自製SoC開發</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_SoC%E9%96%8B%E7%99%BC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.jpg" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Google</span></p> <p>積極投入晶片研發的Google，現在目標轉向系統單晶片（System of Chip，SoC），並為此找來擁有近25年自製CPU設計和開發經驗的英特爾老將，擔任工程部門副總裁。<a href="https://www.ithome.com.tw/news/143403" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>Mozilla等科技組織呼籲拜登時代的FCC重返網路中立</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E6%8B%9C%E7%99%BB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%BE%8E%E5%9C%8B%E7%99%BD%E5%AE%AE.jpg" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／美國白宮</span></p> <p>2年前川普以推動寬頻投資為由廢除網路中立政策，現在維基媒體等6家科技組織發布公開信，建議拜登政府恢復網路中立。<a href="https://www.ithome.com.tw/news/143381" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>臉書將測試出版平臺以支持獨立寫手</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E7%8D%A8%E7%AB%8B%E5%AF%AB%E6%89%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Christin%20Hume%20on%20unsplash.jpg" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源／Christin Hume on unsplash</span></p> <p>幾個月後臉書將於美國市場推出一個新平臺來培養獨立的寫手，包括專家、作家與記者等，透過提供各種出版、行銷工具，協助他們觸及新的讀者並擴大其業務。<a href="https://www.ithome.com.tw/news/143278" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>資安廠商揭ProxyLogon漏洞對策</strong></span></p> <p>自3月初微軟推出修補程式的Exchange重大漏洞，企業與政府機關應該要如何因應？不少廠商都提出建議做法，其共同點是優先安裝修補程式，或者是調整會受到漏洞波及的功能。<a href="https://www.ithome.com.tw/news/143305" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Mirai變種病毒濫用漏洞攻擊網路及資安設備</strong></span></p> <p>殭屍網路Mirai又有新的攻擊行動了！Palo Alto Networks近日指出，他們發現新的Mirai變種病毒，鎖定企業多種類型的網路設備與應用系統下手，包含SSL VPN設備、網路防火牆、網路交換器、無線路由器，以及裝置管理平臺等。<a href="https://www.ithome.com.tw/news/143288" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>駭客投惡意廣告散布冒牌IM軟體</strong></span></p> <p>以提供合法軟體的名義架設網站，讓使用者上當的情況相當常見，但近期有研究人員發現，駭客同時透過在Google搜尋投放惡意廣告來發動攻擊，誘使用戶下載偽裝成Telegram安裝程式的惡意軟體。<a href="https://www.ithome.com.tw/news/143326" target="_blank">更多內容</a></p> </div></div></div>
2021/3/28 07:00未署名https://www.ithome.com.tw/news/143443
為何將來銀行最晚開業？資訊長周旺暾親上火線，揭露1年來資訊團隊的挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣3家純網銀中，已有一家開業2個多月，另一家在近日正式展開試營運，唯獨將來銀行至今尚未取得金管會核發純網銀營業執照，進度上似乎慢了許多？這過程中，都發生了哪些事情，將來銀行資訊處資訊長周旺暾親上火線說明。</p> <p>周旺暾提到，2020年1月31日，將來銀行正式取得經濟部核准公司設立登記，他們才真正開始大舉招募人力。主因是籌備處期間長，經費不允許他們再大量擴張人力。所以，當時才向股東爭取盡快登記成立公司，讓資金能夠進來。</p> <h3><span style="color:#0066ff;"><strong>資訊部分４部門，來自科技業、金融業、電信業人才</strong></span></h3> <p>為了讓這家新銀行能有所創新，周旺暾表示，人力組織一開始就刻意安排來自科技業、金融業、電信業等不同產業的人才，「希望讓不同來源的人，在此激盪火花。」</p> <p>他進一步揭露人力組成，將來銀行資訊部總共分為4個部門：金融系統部門、開發部門、資安部門、基礎建設部門。金融系統部門主要是負責銀行核心、交易面相關的系統，成員絕大部分是來自銀行，因為該部門需要懂得金融領域知識的人力，比如將來銀行內部有在銀行10年反洗錢（AML）實戰經驗的人員。</p> <p>開發部門則負責自主開發純網銀網站和App等用戶端系統，他提到，開發成員不少是來自銀行，參與過數位銀行開發過程；另一些則來自承接過銀行專案的業者端，再加上科技業過來的開發人力。資安部門的人員則無領域之分，以資安經歷為主要考量，大多是從金融或電信領域來的人才。</p> <p>而將來銀行基礎建設部門的成員，周旺暾表示，以電信業的比例較高，因為電信業基礎建設走在市場領先群。該團隊也是負責將來銀行建置百分之百虛擬化機房的團隊。</p> <h3><span style="color:#0066ff;"><strong>2020年上半年2大考驗，IT內部溝通陣痛期與開發能量不足</strong></span></h3> <p>然而，周旺暾坦言，2020年上半年，資訊部面臨了一個大挑戰。去年1月開始招募，這些人力在2月過完年後陸續到職，直到3月、4月，團隊才真正建立。不過，由於不同領域的人進來後，初期溝通產生了許多摩擦，所以，「這過程中的確流失了部分人力。」</p> <p>去年4月，正是將來銀行建置機房的時候。此刻的將來，尚未形成明確的組織文化，成員合作默契也不夠，例如有些人認為口頭交付就好，但當事人則以為只是諮詢而非指派工作，導致有些交辦任務落空無人處理，但又沒有立刻追蹤到這類情況，甚至產生了一些衝突，造成初期內部部分成員的不適應。</p> <p>周旺暾提到，特別是開發團隊人力進來後，得全面從頭建立Scrum流程，可是，他沒料想到的是，每個人對敏捷開發有不同的作法。他事後回想，正因為不是每個人都歷經過敏捷的全部過程，導致，甚至有敏捷開發經驗的人在一塊工作時，卻互相覺得對方並不敏捷。</p> <p>他舉例，當時找了有2到3年專職Scrum Master經驗的人進來，卻有成員認為，Scrum Master沒什麼事情做，抱怨Scrum Master不稱職，應該把Scrum Master改成SA，來負責更多工作。後來，周旺暾才理解到，提出這樣抱怨的人，待過的敏捷團隊，沒有設置Scrum Master角色，因為那家公司沒有投資這類人力，所以，才會覺得每個人都可以兼任這樣的工作。周旺暾一開始並未察覺到這類衝突，等到他發現時，已過了一兩個禮拜。</p> <p>他坦言，一開始的確沒有預料到，曾做過Scrum的人，彼此的想法還是有出入。周旺暾認為，這並非協同工具的問題，而是團隊成員因新流程或是不熟悉流程，心理上產生了不確定性，「這種不確定感造成了衝突。」在這過程中，讓他體認到，面對全新的團隊，一開始想得不夠透徹，他不該在一開始太輕忽流程建立的過程。</p> <p>為了要讓團隊達成共識，並增加信心與對彼此的信任感，周旺暾的解決方法是，在每兩周的Sprint衝刺過程中，明確特別重視Demo與Review階段，除了需求單位，也邀請不同單位參與，他更親自參與。在Demo過程中，他提到，不斷產出成果讓大家看到，交付的成員心中會比較踏實，來落實聚焦最小可行產品（Minimum Viable Product，MVP）、快速的階段性交付，藉此讓團隊能更專注在產出。</p> <p>而在Review流程中，周旺暾提到，Scrum最後一個流程是回顧會議（Retrospective），目的是藉由回顧來學習，但起初的回顧會議，大多成了各成員抒發感受的場合，不夠具體，他決定跳下來扮演黑臉，他與團隊重要資深成員進行Review，一一檢視當初訂定的開發任務，找出未完成的原因，比如是規格不清楚，或是預先規劃不足等，也進一步釐清後續Sprint的目標，精簡該放進去那些任務，來引導開發團隊在這過程中思考並真正學習，讓下一次Sprint都能更接近目標。周旺暾透露，光是在這件事，大概就耽擱了一個多月。</p> <p>當時，將來銀行開發部門人力約莫30人，還分為開發人力（iOS、Android、Web開發各有專職開發人力）、SA、測試人力。然而，周旺暾提到，暴增的開發任務卻還是與人力不成正比，短期內開發能量不夠，除了，重新建立開發團隊的工作節奏，去年5月，他向董事會爭取額外的短期開發人力，獲得同意後，6月就從外部廠商找來7到8名臨時開發人力，進來與內部團隊共同開發。解決了資訊團隊的問題後，就開始要與各部門開始建立合作的默契，周旺暾表示，直到今年年初，彼此的合作默契才較為通暢。</p> <h3><strong><span style="color:#0066ff;">將來銀行30套金融系統，從外部採購有2大遵循標準</span></strong></h3> <p>對於金融系統的部分，周旺暾提到，除了用戶端網站和App自行開發之外，將來銀行後端30幾個金融系統都對外採購，由SI負責系統整合的開發，比如，貸款系統、銀行總帳、法務報表都採購現成系統，或像核心系統採用了Temenos，由臺灣代理商與原廠人力一同建置將來銀行的核心。</p> <p>不過，周旺暾在選商時訂出兩大要求，一是，購買的系統必須在臺灣仍有銀行實際運作中的產品，他解釋，目的是外購的系統在臺灣不要有水土不服的問題。二是盡量買套裝軟體，不要有太多客製化，他解釋，除非客製化是為了法規的要求，或是為了打造銀行特色產品，才會進行客製。將來銀行的考量是，過多客製化會造成產品失控，尤其客製越多，測試負擔也會越重，就會拖慢上線速度。</p> <p>這些外購系統必須進行系統整合，將來銀行由大股東中華電信來作為系統整合的主要統包商，再分包給各系統的廠商，但周旺暾仍要求開發團隊直接與各廠商開發團隊合作，而非只透過中華電信的統包團隊，間接管理合作廠商，需要討論系統相關議題時，周旺暾表示，由將來銀行、中華電信、廠商三方一同討論。有些SI廠商後來更成了中華電信旗下公司，例如負責Temenos核心系統的資拓宏宇。</p> <h3><span style="color:#0066ff;"><strong>金管會先前要求已經修正完成，暫時沒有進一步要求</strong></span></h3> <p>此外，談到目前開業的進度，周旺暾表示，今年過完年後，金管會對於將來銀行的所有要求，他們都已修正完畢，也都交給金管會做進一步討論。目前，將來銀行從金管會得到的回應是，暫時沒有進一步的修正要求。相關開發工作也進入了凍版階段，不再新增功能，進入優化階段。另外也開始建立分支版本，開發下一版的純網銀App。</p> <p>與財金公司的測試，則已在今年3月完成遠端的回歸測試，確認API相容，同時也做完壓力測試。後續，如果金管會順利核發營業執照後，財金公司會再來做實地安全檢查，審查機房的建置、人員的管理和各種機制，以符合規範。文⊙李靜宜</p> </div></div></div>
2021/3/26 20:54作者李靜宜https://www.ithome.com.tw/news/143505
AI趨勢周報第162期：台灣大車隊用8千萬趟乘車資料，練出90%準確率的載客熱區預測AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0320～0326 )</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">台灣大車隊 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 叫車熱點 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 載客熱區 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>台灣大車隊用8千萬趟乘車資料，練出90%準確率的載客熱區預測AI</strong></span></p> <p>作為本土最大計程車品牌，台灣大車隊旗下有2萬多名司機、每年產出8千萬趟乘車數據，他們利用這些數據打造一套AI系統，來預測叫車熱點和載客熱區，準確率達90%。</p> <p>進一步來說，為開發這套系統，台灣大車隊找來CloudMile，建立一套雲端資料倉儲，並以45人的機器學習團隊，來交叉分析這8千萬趟乘車數據中的地點、天氣、時間等因素，同時加入臺灣節慶活動數據，作為模型參數，來多方計算乘車決策與環境因素，打造出叫車熱點和載客熱區的預測服務。</p> <p>而小黃或多元計程車司機，都能以這套系統的即時資料分析，來支援決策。這個方法，不只讓司機不再靠運氣，乘客等待時間也能縮短。<a href="https://www.taiwantaxi.com.tw/Article?fid=70&sid=10619&tid=10623">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生物材料 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 惡魔鐵鎧甲蟲</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基因演算法 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>受車壓不死的惡魔甲蟲啟發，臺、清、成師法自然用AI、3D列印開發新材料</strong></span></p> <p>惡魔鐵鎧甲蟲有著非常耐壓的外殼，踩不扁、捏不碎、大頭針無法刺穿，就算被汽車輾過也還能存活。這個特性，正是許多材料工程專家的目標，要打造又輕、又強韌的材料。</p> <p>但要開發這種兼具輕巧和堅韌的材料，通常得在性質和材料間取捨。有別於人造材料、著重於材料選擇，生物材料看重結構設計，清大材料工程系教授陳柏宇就師法自然，聯手臺大、成大團隊，利用機器學習、3D列印、功能驗證和多階層結構分析等技術，來研究多種生物材料。</p> <p>他們的成果，包括受貝類珍珠層微觀結構啟發，以機器學習設計出高韌性的複合材料，還有受甲蟲外殼啟發，設計出耐衝擊的螺旋梯度結構，甚至是仿蜻蜓翅膀，利用基因演算法生成輕巧強韌的二維材料。同時，他們也建立生物材料結構與性質資料庫，並開發一套材料性質預測系統和設計平臺，要用來開發自行車、汽車、航太、智慧機械等產業的材料。最近，陳柏宇也獲國際期刊《Nature》邀請，來分享這項觀點。<a href="https://www.most.gov.tw/folksonomy/detail/50a53bfc-3e78-4d49-a627-aeb800ce6cb3?l=ch">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢報告</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高科技製造業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI成熟度 </span></strong></span></p> <p><span style="font-size:22px;"><strong>2021年臺灣企業AI趨勢報告出爐！高科技製造業應用腳步最快，金融業AI整體成熟度最高</strong></span></p> <p>臺灣人工智慧學校和創投公司Hive Ventures共同發布一份長達69頁的2021年臺灣企業AI趨勢報告，這份報告反應出臺灣各產業在AI導入最新情況，也得出不同行業當前AI發展的成熟程度。</p> <p>這份企業AI報告從今年1月開始調查，至2月結束，一共有247家企業參與。受訪者橫跨不同行業，一半屬於中大型企業，多數為破千人的大型企業，另一半則是200人以下中小企業。</p> <p>該報告依據各家企業在資料、團隊、營運準備完備程度來綜合評分，得出企業的整體AI成熟度。以產業來看，金融業的AI整體成熟度最高，製造業的成熟度雖然因不同公司發展分化，有相當程度落差而排名居中，但製造業中的高科技製造業的成熟度很高，不少都是AI已經落地的企業，至於AI整體成熟度最低則是零售業。<a href="https://www.ithome.com.tw/news/143475">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI證照 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>想證明你的Azure AI能力？微軟推出三款AI證照課程來評估</strong></span></p> <p>微軟首次推出AI證照課程，瞄準三大領域，包括Azure AI基礎應用（AI-900）、Azure雲端服務基礎（AZ-900）、Azure雲端資料庫應用（DP-900），學員上完線上課程後，可報考證照。</p> <p>就AI-900來說，課程聚焦於Azure機器學習原理，還有Azure實作電腦視覺、自然語言處理（NLP）和對話式AI工作負載功能的基礎知識。微軟指出，就算沒有資料科學或軟體工程背景，也能考取這張證照。</p> <p>AZ-900則針對雲端服務新手所設計，聚焦於基礎建設服務（IaaS）、平臺服務（PaaS）、軟體服務（SaaS）介紹，以及雲端服務基礎概念、Azure解決方案和管理工具等內容，資安、隱私、合規性也包含在內。</p> <p>DP-900則適合已經開始使用雲端資料庫的學員，著重於雲端資料庫的基礎知識，以及如何運用Azure雲端資料服務來處理關聯、非關聯式資料。這三大主題課程目前免費，但報考須收費。</p> <p>除此之外，微軟原有的免費學習平臺Microsoft Learn、LinkedIn Learning、GitHub學習實驗室賦能數位人才，也會持續提供相似的學習內容。<a href="https://www.microsoft.com/taiwan/citizenship/microsoft-skilling.aspx">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Deep01 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 腦出血 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 歐盟CE認證 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>臺醫療AI新創取得歐盟認證，技術更輸出20多國</strong></span></p> <p>臺灣醫療AI新創Deep01主打腦出血偵測AI，繼去年拿下美國FDA和臺灣食藥署TFDA認證後，今年也獲得歐盟CE認證，更與20多個國家代理商簽約獨家代理，涵蓋亞洲、中東和非洲，如日本、馬來西亞、泰國等。</p> <p>Deep01這套腦出血偵測AI是以5、6萬張經標註的腦部電腦斷層掃描（CT）影像訓練而成，準確率達95%。在臺灣，Deep01腦出血偵測AI已經有10多家醫院使用，醫學中心、中小型醫院都包括在內，而且已用於2萬多名病例。</p> <p>接下來，他們要通過這些合約國家的法規認證，再正式銷售。Deep01也預計，要在未來三年銷售1,000套產品。<a href="https://www.deep01.com/press">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 物件偵測模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 輕量化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中華電信 </span></strong></span></p> <p><span style="font-size:22px;"><strong>物件偵測模型如何輕量化？中華電信研究院分享自家3秘訣</strong></span></p> <p>中華電信研究院日前分享物件模型輕量化經驗，按照模型的骨幹、頸部、頭部組成和損失函數，可分為3大輕量化重點。進一步來說，物件偵測模型的骨幹負責收集特徵，頸負責連結、融合骨幹抽取的特徵，頭則是預測物件。</p> <p>通常，骨幹需要大量資料來進行預訓練，比如用ImageNet，因此要改用其他資料來訓練，成本會非常高。於是，中華電信直接採用新技術，比如Google的EfficientNet-Lite作為骨幹。</p> <p>再來，頸部和頭部都需要運算成本非常高的卷積（Convolution），才能讓不同的長、寬、Channel數一致，來融合骨幹抽取的特徵。而這些卷積，也是中華電信輕量化的重點。他們改用差值讓長、寬一致，再用一層卷積讓Channel數一致，來大量減少參數量和運算量。</p> <p>至於頭部，則由深度可分離卷積來重組。同時，他們也把損失函數納入輕量化設計，將難以訓練的損失函數，融合到其他損失函數中，直到收斂為止。<a href="https://www.ithome.com.tw/news/143462">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">蘋果 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI公司 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>超越Google、微軟、臉書，蘋果在4年內買25家AI公司</strong></span></p> <p>資料分析暨顧問業者GlobalData日前公布2016至2020年間的AI併購活動，前5大買家有4家是美國科技企業，其中又以蘋果買下25家AI公司居冠。</p> <p>這五名依序是蘋果、Accenture、Google、微軟和臉書，其中，除了蘋果的25家之外，身為愛爾蘭企業的Accenture買下17家AI公司，Google買下14家，微軟買下12家，臉書則是9家。GlobalData表示，這5大買家不只併購AI公司，還大舉招募AI人才，根據GlobalData的統計，這5家業者光在2020年就張貼了1.4萬多個AI職缺。<a href="https://www.globaldata.com/apple-top-acquirer-ai-companies-us-tech-giants-also-among-forerunners-says-globaldata/">（詳全文）</a></p> <p><img alt="" src="https://www.globaldata.com/wp-content/uploads/2021/03/PR12465.png" /></p> <p>圖片來源 / GlobalData</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 新北市警察靠AI頭盔過濾可疑車輛，臺北市與業者聯手測試智慧水表</strong></p> <p><strong>2. 中華電信聯手中華徵信所用AI打造企金電信信評服務</strong></p> <p><strong>3. 由AI控制的F-16戰鬥機，可在模擬環境團隊合作並與敵機纏鬥</strong></p> <p>資料來源：iThome整理，2021年3月</p> </div></div></div>
2021/3/27 01:02作者王若樸https://www.ithome.com.tw/news/143507
思科修補Jabber Windows用戶端軟體App重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cisco-jabber-PWrTATTC" target="_blank">思科本周釋出安全更新</a>，以修補整合通訊平臺Jabber的Windows、Mac及Android、iOS版用戶端軟體的5項漏洞，包括一個風險層級高達9.9的重大漏洞。</p> <p>Jabber為思科旗下的整合通訊系統（Unified Communication），可提供即時傳訊、語音與視訊電話、語音訊息、桌面共享、線上會議及臨場（presence）等服務。本周修補的5個漏洞中都是出現軟體驗證XMPP訊息不當，讓攻擊者傳送惡意XMPP訊息開採。</p> <p>其中最嚴重的是CVE-2021-1411。成功開採可讓攻擊者在裝置上的Jabber Windows用戶端軟體，以用戶帳號權限執行任意程式碼。本漏洞僅影響Windows桌機版本。</p> <p>其餘4項漏洞風險分別是中到高度等級，包括可造成任意程式碼執行的CVE-2021-1469（7.2）、洩露隱私資訊的CVE-2021-1417（6.5）、使遠端攻擊者得以攔截流量的CVE-2021-1471（5.6）以及可讓駭客引發阻斷服務（DoS）攻擊的CVE-2021-1418（4.3）</p> <p>這5個漏洞全部都影響Cisco Jabber for Windows用戶端軟體。MacOS及Android、iOS版軟體，則受到CVE-2021-1418及CVE-2021-1471的影響。</p> <p>思科表示尚未發現這些漏洞被開採的活動跡象。思科已經釋出更新版本，也呼籲用戶儘速安裝。</p> </div></div></div>
2021/3/26 20:32作者林妍溱https://www.ithome.com.tw/news/143502
三星發表512GB的DDR5記憶體，宣稱效能是DDR4的兩倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星於周四（3/25）發表了全球首個基於高介電質金屬閘極（High-K Metal Gate，HKMG）製程技術的512GB DDR5記憶體模組，其最高效能為每秒7,200Mb，是DDR4的兩倍，適用於超級運算、人工智慧、機器學習及資料分析等，各種需要密集運算與高頻寬的應用中。</p> <p>HKMG是以金屬蛤（Hafnium）的氧化物作為柵極電介質，取代傳統以二氧化硅氧化物打造的柵極結構，可減少柵極漏電流，還能有效降低柵極電容，通常被應用在邏輯半導體中，三星已於2018年將HKMG應用在GDDR6記憶體，此次則擴大其應用至DDR5。</p> <p>三星指出，有鑑於記憶體架構持續縮小，絕緣層變薄的結果造成更高的漏電流，以HKMG作為絕緣層將減少DDR5記憶體的漏電流，同時達到更高的效能，且所使用的電力也減少了13%。</p> <p>負責記憶體的<a href="https://news.samsung.com/global/samsung-develops-industrys-first-hkmg-based-ddr5-memory-ideal-for-bandwidth-intensive-advanced-computing-applications" target="_blank">三星副總裁Young-Soo Sohn表示</a>，三星是唯一一家把HKMG技術導入記憶體產品開發的業者，將讓三星得以提供高效能又省電的記憶體解決方案予醫藥研究、金融市場、自駕車與智慧城市等領域的客戶。</p> <p>根據外電報導，三星已開始送樣予客戶，採用HKMG版DDR5記憶體的桌上型電腦可望於今年底或明年問世</p> </div></div></div>
2021/3/26 20:43作者陳曉莉https://www.ithome.com.tw/news/143503
Cloudflare發表可預防線上側錄的Page Shield服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供內容遞送網路與網站安全服務的Cloudflare，於本周發表了新的<a href="https://blog.cloudflare.com/introducing-page-shield/" target="_blank">Page Shield服務</a>，該服務主要用來避免網站被植入惡意JavaScript，造成使用者金融卡或機密資訊被側錄，目前該服務仍為測試版，凡是Cloudflare的商用或企業用戶皆可登入試用。</p> <p>資安社群把線上側錄的攻擊行動統稱為Magecart，這類的駭客集團通常先以惡意程式感染購物網站的第三方相依程式，且是使用者的瀏覽器會請求的程式，執行時便可存取使用者於網頁上所輸入的資訊，例如金融卡資訊等，再於黑市銷售或執行身分竊盜。</p> <p>例如英國航空（British Airways，BA）<a href="https://www.ithome.com.tw/news/125825" target="_blank">在2018年發生的資料外洩事件</a>，便是駭客竄改了BA官網上的第三方JavaScript函式庫，進而盜走了43萬名乘客與員工的付款資訊、管理員憑證及個人資料。</p> <p>Cloudflare表示，光是撰寫組織所使用的程式碼就夠累人了，遑論還要擔心第三方業者的程式碼，此外，許多軟體即服務（SaaS）平台所提供的程式碼，可能一次供應數百萬個網站，代表只要有一組程式碼出錯，後果便不堪設想，而Page Shield即可協助客戶端解決此事。</p> <p>Page Shield的首個功能為Script Monitor，它能偵測與紀錄網站上所使用的JavaScript相依套件，一旦有新的JavaScript相依套件出現，就會送出提醒，以協助網站辨識該新檔案是否合法；未來Page Shield還會新增JavaScript檔案的智慧分析功能，比對市場上已知的惡意JavaScript樣本，直接針對惡意樣本提出警告。</p> </div></div></div>
2021/3/26 20:53作者陳曉莉https://www.ithome.com.tw/news/143504
微軟公布Microsoft Teams抓漏獎勵專案，最高獎金3萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc-blog.microsoft.com/2021/03/24/introducing-bounty-awards-for-teams-desktop-client-security-research/" target="_blank">微軟本周揭露</a>了全新的應用程式抓漏專案（<a href="https://www.microsoft.com/en-us/msrc/bounty-applications" target="_blank">Applications Bounty Program</a>），準備針對微軟的各種應用程式祭出抓漏獎勵，獎金從500美元到3萬美元不等，第一個上線的是Microsoft Teams。</p> <p>雖然Teams具備支援Windows、macOS與Linux的桌機版，也提供支援Android及iOS的行動版，但本周微軟揭露的抓漏專案僅適用於桌機版，至於Teams Online線上版的漏洞，則被隸屬於線上服務抓漏專案（Online Services Bounty Program）。</p> <p>Teams抓漏方案主要分為高影響力的情境獎勵（Scenario Awards）與一般獎勵（General Awards），情境獎勵的獎金從6千美元到3萬美元不等，漏洞範圍包括：發現XSS或其它的程式注入途徑，而得以執行任意腳本程式（需或不需要使用者互動）、可穿越作業系統使用者邊界的權限擴張漏洞、非利用網釣而能取得其他使用者憑證的漏洞，以及不需使用者互動就能執行遠端程式攻擊。</p> <p>至於一般獎勵則涵蓋竄改、欺騙、資訊揭露、權限擴張到遠端程式攻擊等漏洞，獎勵金額則視漏洞嚴重程度，從500美元到1.5萬美元不等。</p> <p>微軟表示，上述為既定的獎金標準，但該公司也可根據漏洞的嚴重性、影響力，甚至是研究人員所提交的研究品質，授予更高的獎金。</p> </div></div></div>
2021/3/26 21:07作者陳曉莉https://www.ithome.com.tw/news/143506
不實資訊聽證會：祖克柏宣稱川普應為國會暴動前所發表的言論負責
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書執行長祖克柏（Mark Zuckerberg）、Google執行長Sundar Pichai與Twitter執行長Jack Dorsey，在本周四（3/25）出席了<a href="https://www.youtube.com/watch?v=dw6wJ7dFiPs" target="_blank">由美國眾議院能源與商業委員會旗下兩個小組所召開的聽證會</a>，主題為線上平臺在散布不實資訊及虛假資訊上所扮演的角色，這是一場馬拉松聽證會，歷時超過5個小時，當中被拷問最久的為祖克柏，議員們指責臉書在國會暴動事件上扮演了重要的角色，而祖克柏則說，他認為前總統（川普，Donald Trump）應該為自己的言論負責，而違反法令的人則應為自己的行為負責。</p> <p>臉書遭到鎖定的原因之一是，在1月6日發生的國會暴動事件中，美國起訴了223人，而臉書則是在這些起訴書中最常被提到的社交平臺。然而，祖克柏解釋，這是因為臉書積極配合執法機關的調查所致，並指出是川普拒絕接受大選結果，疾呼人民抗爭，才造成令人遺憾的暴動事件。</p> <p>不過，祖克柏隨後又遭到其它證據打臉。根據Avaaz發布的研究報告，臉書平臺上有267個美化暴力的組織，總計凝聚了3,200萬名粉絲，而且這些組織與粉絲之間的交流日益頻繁，其中有188個組織明顯違反了臉書政策，但即便是在Avaaz通知臉書之後，仍有97個組織繼續活躍於臉書平臺。</p> <p>此外，華爾街日報亦曾引用臉書資料科學家的數據報導，在臉書上最活躍的100個公民組織中，有70%充滿著仇恨言論、不實資訊、霸凌與騷擾。</p> <p>周四聽證會的議題還包括與COVID-19有關的不實資訊、網路霸凌或騷擾等內容，這些議題除了將影響《通訊規範法》（Communications Decency Act）第230條（Section 230）的改革之外，也可能會衍生出涉及反托拉斯法的解決方案。</p> <p>在此一聽證會中，隨興的Twitter執行長Jack Dorsey也成為媒體焦點。這是一個虛擬聽證會，三大執行長都在家中參與，其中，祖克柏與Pichai都穿著正式服裝在家中的辦公室回答問題，但Dorsey的背景卻是在廚房裡，雖然Dorsey的穿著也算正式，只是沒有打領帶，但他蓄著落腮鬍、戴著鼻環、站在廚房裡，相較之下便顯得突兀。</p> <p>媒體還注意到Dorsey的廚房裡有一個「區塊鐘」（BlcokClock），可用來追蹤比特幣的交易價格以及礦工所發表的區塊。Dorsey為比特幣的愛好者，他在Twitter帳號個人檔案的描述上，只用了#bitcoin再加上一個比特幣符號，而且同樣由Dorsey 所創辦的Square亦於去年以5,000萬美元，<a href="https://www.ithome.com.tw/news/140441" target="_blank">買進了4,709個比特幣</a>。</p> <p>由於議員們原本要求各執行長只以「是」（Yes）或「不是」（No）來回答問題，使得Dorsey也在聽證會期間於Twitter上，<a href="https://twitter.com/jack/status/1375152199433527296" target="_blank">發動網友投票「Yes or No」</a>，以諷刺議員們的要求，還有空回應網友的問題，而被議員虧他「很多工」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0326-%E8%81%BD%E8%AD%89%E6%9C%83-2.png" style="width: 434px;" /></p> </div></div></div>
2021/3/26 19:31作者陳曉莉https://www.ithome.com.tw/news/143498
FBI警告Mamba勒索軟體結合開源加密工具DiskCryptor來襲，可加密整個磁碟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦調查局<a href="https://www.ic3.gov/Media/News/2021/210323.pdf" target="_blank">（FBI）本周發出公告警告企業及政府單位</a>，一隻名為Mamba（曼巴）的勒索軟體結合開源加密工具DiskCryptor肆虐，不幸感染的電腦將會被加密整個磁碟。</p> <p>Mamba是以全磁碟加密聞名的惡意程式，至少在2017年便流傳在網路上，受害者涵括地方政府、公眾運輸、法院、IT服務業者、製造、營建、商業及能源業，如舊金山地鐵曾遭其攻擊而故障兩天。Mamba近日又捲土重來，並結合原本無害的開源全磁碟加密軟體DiskCryptor。</p> <p>受害者電腦一旦執行Mamba，Mamba會先解開一組檔案，安裝DiskCryptor。攻擊者會先利用指令行參數[Ransomware Filename].exe <password>傳送金鑰。解開後的DiskCryptor於背景安裝，並以駭客使用的金鑰加密受害機器。DiskCryptor安裝驅動程式完成後2分鐘重新啟動受害電腦，開始執行加密，並在第二次重啟電腦時完成全磁碟加密，受害者也會在螢幕同時看到勒索訊息。</p> <p>Mamba加密時，加密金鑰和電腦關閉時間變數，會被儲存在組態檔(myConf.txt)中。這個檔案在第二次電腦重啟前都還可讀取，如果使用者能及時找到這個檔案，並立即做出應變，也許可以在不付贖金情況下回復密碼。</p> <p>根據FBI提供的資訊，DiskCryptor的執行檔、勒索軟體log檔、及組檔文字，都是位於C:\User\Public\路徑下。所有被加密的磁碟根目錄都會存在$dcsys$檔，DiskCryptor驅動程式則會儲存在如下路徑：C:\Windows\System32\Drivers\dcrypt.sys。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0326-DiskCryptor-1.png" style="width: 600px;" /></p> <p>FBI再次呼籲企業及政府部門應做好資料備份及復原規畫，實行網路隔離以免感染全網路，也不要私自安裝軟體。</p> </div></div></div>
2021/3/26 19:51作者林妍溱https://www.ithome.com.tw/news/143499
蘋果在4年內買了25家AI公司，超越Google、微軟及臉書
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料分析暨顧問業者<a href="https://www.globaldata.com/apple-top-acquirer-ai-companies-us-tech-giants-also-among-forerunners-says-globaldata/" target="_blank">GlobalData本周公布</a>了2016到2020年間，在人工智慧（AI）領域的併購活動，指出在這期間全球AI公司的前五大買家中，就有4家為美國科技企業，其中又以蘋果買下25家AI公司居冠。</p> <p>前五名的AI公司買家依序是蘋果、Accenture、Google、微軟及臉書，其中，除了蘋果的25家之外，Accenture為愛爾蘭公司，買下了17家AI公司，Google買下14家，微軟買下12家，臉書則是9家。</p> <p>GlobalData的首席商業基礎分析師Aurojyoti Bose表示，AI已是科技巨頭的兵家必爭之地，競爭的結果帶來了大規模的收購活動。</p> <p>另一名分析師Nicklas Nilsson則說，美國為AI領域的領導者，相關的併購意味著這些業者已有明確的AI應用發展目標，例如蘋果的許多收購案，都是為了改善Siri或替iPhone帶來更新的功能。</p> <p>Nilsson分析，雖然蘋果的Siri是市場上最早出現的數位語音助理，但它的智慧能力卻落後晚進的Google Assistant與Amazon Alexa，而這也是蘋果的聲控喇叭銷售量不如Google與Amazon的原因之一。</p> <p>這五個全球最大的買家不只併購AI公司，它們也大舉招募AI人才，根據GlobalData的統計，這5家業者光是在2020年，便張貼了超過1.4萬個AI領域的職缺。</p> </div></div></div>
2021/3/26 20:01作者陳曉莉https://www.ithome.com.tw/news/143500
Twitter地下市長Chrissy Teigen因不堪網路霸凌而關閉帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Twitter上擁有超過1,370萬名粉絲，還享有Twitter地下市長稱號的美國模特兒Chrissy Teigen，因不堪騷擾而在本周三（3/24）宣布關閉她的Twitter帳號，<a href="https://twitter.com/chrissyteigen" target="_blank">現在Teigen的帳號已不復存在</a>。</p> <p>1985年出生的Teigen是美國的模特兒，曾主持電視節目，也是一名作家，她在2009年5月加入Twitter，透過該平台分享自己的生活與心得，這十多年來累積了逾1,370萬名粉絲。她在Twitter上的著名事蹟至少有兩項，一是在2017年遭到美國總統川普（Donald Trump）封鎖，二是在2019年得到Twitter官方<a href="https://twitter.com/Twitter/status/1092845570694307842" target="_blank">認證為「Twitter的地下市長」稱號</a>。</p> <p>川普在2017年時於自己的Twitter發表感想，表示共和黨員幾乎沒有採取任何措施來保護自己的總統，讓他覺得很傷心，結果Teigen發表了「沒人喜歡你」（Lolllllll no one likes you.）的評論，使得川普直接將她封鎖。</p> <p>不過，樹大招風的結果讓Teigen也飽受騷擾之苦，除了專門散布陰謀論的川普支持組織QAnon的成員，會不斷攻擊與批評Teigen之外，另一個陰謀論組織Pizzagate也找上門，去年中Teigen就說她刪除了數千則推文，也封鎖數百萬個Twitter帳號，自己也已傷痕累累。</p> <p><a href="https://web.archive.org/web/20210325015153/https://twitter.com/chrissyteigen/status/1374898752545169409" target="_blank">本周三Teigen在最後一串推文中表示</a>，這十多年來粉絲就是她的世界，但現在這對她來說已弊大於利，大家都把她當作是會強力反擊的女生，但其實她不是。Teigen亦重申她在這幾年經歷了數不清的打擊，真的非常累，是時候說再見了。</p> </div></div></div>
2021/3/26 20:19作者陳曉莉https://www.ithome.com.tw/news/143501
2021智慧城市展直擊：新北市警察靠AI頭盔過濾可疑車輛，臺北市與業者聯手測試智慧水表
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>聯合國預測，2050年全球將有2/3的人居住在城市，高密度的人口居住，意謂著城市在交通、安防、教育、民生等各方面需要高度的智慧化管理才行。本周舉行的2021智慧城市展，國內不少廠商、市政府參展，展出智慧城市的最新應用。</p> <p>在智慧城市展中，不少業者展示無人機應用，從道路、橋樑等公共基礎設施的巡檢、企業廠區的空中巡檢，到智慧農業協助噴灑農藥等等。新北市警察局也展示最新的無人機應用，他們在去年成立國內第一支警用無人機隊，可應用在刑事、環境、交通及救災上，結合AI辨識人、車或特殊物件，用於犯罪偵防、環境監控、路況車流分析，以及災難救援上。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4855-1.jpg" style="width: 600px; height: 399px;" /></p> <p>而在此次智慧城市展中，除了展示警用無人機，還有另一項最新應用，警察智能頭盔，去年新北市警局開始一項專案，名為警蜂計畫，警局花費200萬元採購40頂智能頭盔及後端系統，每頂頭盔前方均配置了一個鏡頭，當員警騎機車巡邏時，頭盔上的鏡頭同時紀錄街道畫面，並將影像傳到頭盔後方的小盒子。</p> <p>警用智能頭盔前方的鏡頭，頭盔後方則有一個小盒子，負責辨識比對汽機車的車牌：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4853.jpg" style="width: 600px; height: 399px;" /></p> <p>這個小盒子發揮邊緣運算的功能，內建電池及4G連網功能，可即時過濾比對鏡頭紀錄的影像，以AI辨識鏡頭紀錄的影像，過濾比對路上的汽車，以及路邊併排停放的機車車牌，員警不需要特別擺頭讓鏡頭對準特定的車輛，頭盔就能辨識過濾影像中的車牌，即使是路邊停放機車，只要紀錄到車牌影像，即便是較斜的角度也能辨識、比對車牌，當發現可疑車輛或贓車，頭盔會以語音提醒巡邏的員警，相較之下，目前警察騎車巡邏，需要手動輸入車牌，智能頭盔大幅提升員警的工作效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4850.jpg" style="width: 600px; height: 399px;" /></p> <p>現場展示人員解釋，頭盔後方配置的小盒子採用Android系統，除了具備邊緣運算功能，比對過濾車牌之外，還能連接4G行動網路，將比對結果回傳至警局後檯，也能接收警局更新的可疑車輛清單。</p> <p>目前新北市警局經過測試，警員騎乘警用機車巡邏時，可辨識路上的行車車牌及路邊停放的機車車牌，未來不排除擴大採購警用智能頭盔。</p> <p><span style="color:#B22222;"><strong>臺北市和多家業者合作試驗智慧水表</strong></span></p> <p>臺北市今年也在智慧城市展中，展示智慧城市最新應用，其中在水資源管理部分，北市自來水事業處（北水處）正推動智慧水表，以取代傳統水表，需要每個月或兩個月派人逐戶抄表，根據統計，每年委外人工抄表次數超過1千萬次，未來北水處希望推動智慧水表普及，結合自動讀表系統，自動回傳用水度數，同時降低對用戶的干擾。</p> <p>為推動智慧水表普及，臺北市從2020年開始便要求新建案，必需採用智慧水表，去年已有6千多戶新建案用戶採用智慧水表。更大的目標是要讓現有約170萬只的傳統水表也能汰換，臺北市已規畫從2020年開始，規畫分12年投入48億元，要將170萬傳統水表汰換為智慧水表。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4825.jpg" style="width: 300px; height: 451px;" /></p> <p>為了先瞭解國內智慧水表技術，同時提供國內業者場域測試，北水處和多家廠商合作進行實際場域的技術試煉，2019年到2020之間，媒合10組團隊共18家廠商投入智慧水表場域試煉，以北市公有國宅為試煉地點，提供11組共660只表位讓不同團隊進行試煉。</p> <p>除了智慧水表測試，北水處也建置臺北智慧水網示範區，以高低起伏的丘陵地用水戶，建立智慧水網示範區，因地形因素，在通訊技術上富有挑戰性，試驗如何運用資通訊技術、數據分析，掌握示範區內的用水戶類型、設備使用、安裝、數據回傳等情形，透過數據分析訓練進水模型、漏水預測等應用。</p> <p>北水處未來規畫再舉行營運測試，希望在不同的場域下找出最適合的管理及執行方式，評估商轉管理的可行性，滾動性調整作法。</p> <p>在智慧城市展現場，北水處展示各種通訊讀表功能的智慧水表，通訊技術上包括RF、NB-IoT、4G、sigfox等，以及照相、脈衝等讀表技術。</p> <p>民眾使用智慧水表，現在可透過北水處的智慧水管家，掌握每月用水情形，比較去年同一個月份的用水情形；北水處從後端發現用水異常增加，也能向用戶示警，讓用戶提早發現是否有管線漏水。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4830(1).jpg" style="width: 600px; height: 399px;" /></p> <p><span style="color:#B22222;"><strong>新一代公共自行車YouBike 2.0</strong></span></p> <p>去年初，臺北市在公館一帶開始試辦新一代的公共自行車YouBike 2.0，目前已在臺北、高雄、嘉義部分地區推廣，YouBike 2.0還只是小規模部署，車輛數量並不多，以臺北市為例，目前只有約600輛YouBike 2.0車輛，約102個站點。值得注意的是，由於YouBike 2.0車輛無法在YouBike 1.0站點還車，因此在2.0剛推出時曾因民眾租用YouBike2.0無法還車，需要到YouBike2.0站點才能還車，致使民眾被收取更多費用而引發不小的批評。</p> <p>目前較普及的YouBike 1.0，由於車椿需要介接市電，設罝上較為不易，也需佔用較大的空間，而YouBike 2.0最大特色是採用了輕椿設計，不需介接市電，改採小型太陽能面板供電，椿體也更小，可望突破YouBike 1.0設站不易的限制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4841(1).jpg" style="width: 600px; height: 399px;" /></p> <p>另外，YouBike 2.0在車輛上採用車上機，在自行車龍頭的位置裝置車機，民眾租還車，可在車機上選擇使用悠遊卡感應，或是手機QR Code掃碼租借車輛。</p> <p>車上機利用太陽能面板供電，除了提供租借的功能，車上機還有GPS、通訊功能，並可透過螢幕面板顯示操作文字。由於YouBike 2.0車上機已具備連網功能，因此具備車聯網的基礎，搭配GPS，未來將能蒐集數據、分析，作為城市交通施政的參考。</p> <p><span style="color:#B22222;"><strong>遠距視訊診療拉近病人和醫生的距離</strong></span></p> <p>在智慧城市展中同步展出的智慧醫療區，廣達近幾年積極切入智慧醫療市場，此次他們展示了旗下的雲端智慧醫療服務QOCA，在遠距醫療方面，廣達和臺大醫院雲林分院合作遠距視訊診療平臺，透過該平臺，病人在當地醫生協助之下，將數位五官鏡如眼底鏡、皮膚鏡的檢查影像，和遠處另一名專科醫生分享，該平臺還可整合病人的病歷，方便醫師會診。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4787.jpg" style="width: 600px; height: 399px;" /></p> <p>這套系統被用於2019年啟動的安心雲林e院聯防體系，由於雲林縣為衛福部公告醫療資源不足的地區，加上國內遠距醫療相關法規鬆綁，臺大醫院雲林分院和成大醫院斗六分院、雲林基督教醫院等幾家醫院及長照機構建立聯防體系，在較為匱乏的醫療資源上建立聯防，降低民眾就醫的奔波之苦。</p> <p>今年初中華電信也和廣達簽署備忘錄，兩家公司希望以雲林為第一站，向衛福部爭取偏鄉地區的5G遠距醫療經費補助，以推廣5G遠距醫療，未來結合5G將遠距醫療擴大至偏鄉衛生所。</p> </div></div></div>
2021/3/26 18:24作者蘇文彬https://www.ithome.com.tw/news/143496
Google成立數位金鑰聯盟，向OEM招手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google三年前開發出安全晶片Titan M的數位金鑰技術，但Google認為數位金鑰有一天可以取代傳統車、門鑰、紙本駕照或實體錢包，<a href="https://security.googleblog.com/2021/03/announcing-android-ready-se-alliance.html" target="_blank">本周宣佈</a>Android Ready SE聯盟結盟相關業者以開發相關技術，同時也計畫將這些技術用於OEM生產的裝置上。</p> <p>2018年推出的Google Pixel 3手機，<a href="https://www.ithome.com.tw/news/126487" target="_blank">內建防止竄改資料的硬體隔離區（enclave）技術的Titan M晶片</a>。Titan M除了提供Pixel軟體、韌體信任根外，也可利用StrongBox技術來確保Android App的金鑰儲存安全。StrongBox是Keymaster HAL在硬體安全模組中的實作。Google指出StrongBox大幅提升了Android裝置的安全性，也促使他們想像更多可能性。</p> <p>Google認為StrongBox和防竄改硬體具有用於數位金鑰（如車子、家中或公司）、行動駕照（mDL）、國民身分證、電子護照、數位貨幣（如電子錢包）等的潛力。上述這些功能都必須跑在可防竄改的硬體上，確保應用執檔和用戶資料、金鑰、電子錢包等安全性。現在最新型手機都還另外加入名為Secure Element (SE)的防竄改硬體。Google相信SE是Android裝置加入新式消費應用的最佳路徑。</p> <p>而為加速這類Android應用的普及，Google宣佈成立Android Ready SE聯盟。加入該聯盟的合作夥伴將和Google合作開發一組經驗證、立即可用的開源SE Applet（小型應用程式）。目前的成員包括Thales、STMcroelectronics、Kigen、NXP、Giesecke+Devrient及Kigen。</p> <p>昨日該聯盟也釋出第一個SE Applet，稱為StrongBox for SE的GA（General Availability）版。新功能不僅可用於Android手機或平台，也可用於其他平台，包括WearOS、Android Auto Embedded和Android TV等。</p> <p>而在前述的潛力領域中，Google會將行動駕駛及身份證、以及數位車鑰的Applet列為優先發展項目。</p> <p>如果OEM想要在其裝置中使用Android Ready SE的研發技術，有以下事項要做。他們必須先選擇其SE供應商經驗證的硬體元件、設定從啟動程式（bootloader）開啟SE並從SPI介面或密碼綁定（cryptographic binding）提供信任根（root of trust）參數。此外還必須和Google配合，提供SE工廠的驗證金鑰／憑證。利用GA版的StrongBox for SE applet，再改成自己的SE，整合HAL碼，啟動SE升級機制，最後對StrongBox執行CTS/VTS測試，以驗證整合的正確性。</p> <p>Google聲稱，目前已經有數家Android OEM業者，在其裝置內使用Android Ready SE技術，也有意接觸更多硬體製造商。</p> </div></div></div>
2021/3/26 19:03作者林妍溱https://www.ithome.com.tw/news/143497
美大型保險公司CNA傳出遭勒索軟體Phoenix CryptoLocker攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國大型保險業者CNA近日表示他們於3月21日遭到網路攻擊，導致網路中斷，影響部分系統運作，<a href="https://www.ithome.com.tw/news/143459">傳出這起事故疑似是遭到勒索軟體攻擊</a>。現在消息人士透露更多訊息，包含勒索軟體相關的螢幕截圖，以及背後發動攻擊的駭客組織身分等。<a href="https://www.bleepingcomputer.com/news/security/insurance-giant-cna-hit-by-new-phoenix-cryptolocker-ransomware/">根據Bleeping Computer於東部標準時間（EST）3月25日下午2時（臺灣時間26日凌晨2時）的報導</a>，有知情人士告訴他們，CNA遭到名為Phoenix CryptoLocker的勒索軟體攻擊，並公布一張勒索訊息的截圖。</p> <p>這名知情人士指出，駭客在3月21日於CNA的內部網路部署勒索軟體，並加密了超過15,000臺裝置。此外，受害範圍還包含透過VPN遠端存取公司資源的員工，他們的電腦檔案也遭到加密。一旦電腦遭到Phoenix CryptoLocker攻擊，被加密的檔案副檔名會變成.phoenix，該勒索軟體也會在電腦裡留下勒索訊息的純文字檔案「PHOENIX-HELP.txt」。</p> <p>不過，從這名人士提供的螢幕截圖來看，似乎不像其他勒索軟體留下的訊息會提及受害公司的名稱，駭客僅提供聯繫的管道，包含Telegram網址與電子郵件信箱。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/phoenix-cna-ransom-note-s.png" style="width: 580px; height: 420px;" /></p> <p>至於攻擊者的身分為何？其中一個消息來源透露，從勒索軟體的程式碼來分析，他們研判Phoenix CryptoLocker是出自駭客組織Evil Group。這個駭客組織之前曾使用另一個勒索軟體WastedLocker，先後對<a href="https://www.ithome.com.tw/news/138706">美國大型企業</a>、<a href="https://www.ithome.com.tw/news/139043">臺灣GPS大廠Garmin</a>發動攻擊，但他們為何要換另一個勒索軟體來發動攻擊？很有可能與<a href="https://www.ithome.com.tw/news/134646">該組織成員自2019年底遭到美國起訴</a>有關。</p> <p><a href="https://www.bleepingcomputer.com/news/security/us-govt-warns-of-sanction-risks-for-facilitating-ransomware-payments/">Bleeping Computer指出</a>，自從Evil Corp遭到起訴後，許多居間於駭客和受害者之間的談判公司，為了避免遭到美國政府處罰，他們不願碰觸WastedLocker有關的談判案件。而該新聞網站也引用<a href="https://www.crowdstrike.com/blog/hades-ransomware-successor-to-indrik-spiders-wastedlocker/">資安公司CrowdStrike的研究指出</a>，Evil Corp很有可能是因為規避上述收不到贖金、甚至面臨法律治裁的情況，而開始換用名為Hades的新勒索軟體家族，但CrowdStrike分析後發現，這其實只是WastedLocker更名版本的勒索軟體。</p> <p>因此，消息來源的人士認為，Phoenix CryptoLocker很有可能是Evil Corp使用的另一個勒索軟體。</p> <p>不過，當Bleeping Comupter向CNA確認是否就是遭到Evil corp攻擊時，CNA認為使用Phoenix CryptoLocker的駭客組織是「Phoenix」，但他們還無法確定是否與Evil Corp有關。不過，這也形同CNA間接承認遭到勒索軟體攻擊，以及發起攻擊的駭客組織名為Phoenix。</p> </div></div></div>
2021/3/26 15:01作者周峻佑https://www.ithome.com.tw/news/143474