iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 13:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【臺灣資安大會直擊】FireEye揭露與SolarWinds供應鏈攻擊對抗的秘辛，更提出4階段資安成熟度評估機制，幫助…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>供應鏈攻擊正在迅速成為一種流行的散播惡意軟體的新方式。去年底，美國政府機構遭遇史上最大的供應鏈攻擊事件，影響全球近1.8萬家政府機構及企業，舉報者也是受害者之一的安全廠商FireEye，5日也在臺灣資安大會上現身說法，實際就這起攻擊背後對抗秘辛揭露更多訊息，甚至該公司亞太區系統工程副總裁黃獻順，還親自錄了一段影片，以生動的情境模擬的演出方式，通過資訊長與資安部技術主管對話，來提出供應鏈攻擊發動的6階段步驟與企業該如何防禦的建議。</p> <p>根據FireEye於4月中旬所公布的M-Trends 2021年最新威脅報告指出，過去一年來，企業平均只須24天就能發現自己遭受攻擊，與2011年平均值相比，大幅減少了392天，代表企業已具備一定程度的入侵監測防護能力，能夠及早偵測到駭客入侵行為。</p> <p>儘管駭客無法像以前可蟄伏數月之久，但這將近一個月的潛伏期間，攻擊者通常只用幾天就能夠達到攻擊目的，企業還是防不勝防。例如以惡意程式感染竊取企業內部的重要資訊，或是發動勒索軟體攻擊，脅迫受駭企業支付高額贖金等。</p> <p>不僅如此，該報告更發現，過去一年來，供應鏈攻擊（Supply Chain Attacks ）的事件頻傳，其中又以SolarWinds軟體供應鏈攻擊為代表，可以說它是史上最大的供應鏈攻擊的事件一點也不為過，單就這起事件，影響全球接近1.8萬家政府機構及企業，不只美國，還有其他許多國家政府和大型企業都受波及，甚至連安全廠商FireEye、微軟等都遭到感染。</p> <p>供應鏈攻擊其實是一種網路攻擊手法，駭客藉由網路入侵攻擊目標上下游供應鏈廠商的資安防護最薄弱的環節，再將惡意程式利用這些受信任的管道進行散播，間接入侵目標。類似資安事件或入侵手法早有先例，如伊朗一座核設施十年前就曾遭到以色列以類似供應鏈攻擊的手法入侵，導製其設施癱瘓不能運作。在2008年，一家歐洲零售商也有遇到類似的情況，這家公司的前臺PoS機出廠前就已經預裝了駭客修改過的模組功能，使得該模組可以記錄顧客信用卡的資料，然後傳送其它國家，駭客再從中獲得不法利益。</p> <p>但過去這類供應鏈攻擊事件，受到外界關注程度並不高，直到近幾年，因與中國或俄羅斯有關的國家級駭客組織，採用以供應鏈式攻擊入侵目標越來越常見，才讓它開始逐漸受到重視，而在去年SolarWinds供應鏈攻擊發生後，更讓它成了當紅的熱門資安議題。且因為這起重大攻擊事件的發生，不只敲醒企業對於軟體供應商的信任的警鐘，也讓許多駭客因此看到了新商機。</p> <p>供應鏈攻擊有多難察覺？在整起SolarWinds供應鏈攻擊事件中，就連FireEye也未能在第一時間發現遭到入侵攻擊，使得自己的紅隊(Red Teaming) 演練工具遭竊。在影片中，黃獻順表示，直到後來在一個不容易發現的環節裡，他們通過內部員工登入使用的二次認證機制，偵測到有可疑行為，才得以找到對方入侵足跡。</p> <p>在發現自己遭到入侵後，緊接著，他們便對涉有重嫌的系統上所有安裝的軟體程式進行逆向工程，進而找到被植入木馬的證據，甚至為了向SolarWinds公司證明其系統已被駭客入侵感染，他們還動用數名逆向工程師，將當時這家公司可能有問題的軟體更新包下載後，逐一比對五萬多行程式碼，最後終於找到駭客暗中插入的外掛程式，SolarWinds工程師這才相信自己系統遭感染，在這之後，FireEye才對外公開，讓整起事件曝了光。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20210505_081851388(1).jpg" style="width: 600px; height: 338px;" /></p> <p>儘管無法透露太多交手細節，不過，黃獻順也指出，一般而言，在供應鏈攻擊的操作上，當發現目標對象不易攻破，攻擊者便會轉向其所信任的軟體供應商入侵，再透過軟體更新，或是連接外接式硬碟等設備間接地感染最終目標，</p> <p>在影片中，他進一步將整個攻擊鏈的生命周期，分成初步偵查、初步入侵點、建立立足點、權限升級、內部偵查、完成任務共6階段攻擊步驟。駭客一開始先透過反覆偵查，找到可以入侵和可用的入侵點，便會開始展開入侵行動，透過感染合法應用程式，散佈惡意程式碼到攻擊目標。在成功入侵之後，接著攻擊者會先在內部建立立足點，同時提升自己的權限，並在內部潛伏持續展開偵察，直到最終完成交付任務，如竊取敏感資料或發動勒索軟體攻擊。</p> <p>針對駭客入侵到完成任務這6個階段，企業在對抗作法上，也涵蓋了事前、事中及事後三個部分，舉例來說，在駭客入侵以前，企業資安防護是以防衛為主，但在入侵發生後則強調如MDR等端點檢測與事件調查、回應的能力，或是透過APT防護設備，持續偵測進出內外網路與橫向移動，找到APT入侵的足跡。不僅如此，他也強調，企業需建立屬於自己的威脅情報的來源管道，來幫助他們即時掌握最新技術威脅情資，以及營運威脅情資，如APT組織新的動向，或是最新的攻擊手法，作為企業規畫防禦策略。，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20210505_083041972.jpg" style="width: 600px; height: 325px;" /></p> <p>他還提出4階段的資安成熟評估模式，可供企業或供應商作為評估自己資安成熟度的參考，其中第一階段，指的是企業開始具備進階威脅防衛基礎，如展開情報觀察、完成端點偵測可視化、推出安全警示監測服務等，更進一步來說，他強調，資安業者還可通過MITRE的ATT&CK的資安驗證，作為向客戶驗證自身產品有效性的方法。他提到第二階段資安成熟模式，則是建立以情資為主的資安防禦機制，這個階段的資安完備重點，包括了完成進行威脅狩獵訓練與鑑識的準備，以及利用監控應變的紫隊（Purple Team|）協助洞察資安風險，還有設立駐點網路防禦營運中心，以及建立事件反應計畫與能力評估（Capability Assessment）等。</p> <p>至於第三階段則是持續提升資安情資能力，如加入威脅情資平臺（TIP）、建立策略威脅情資(Cyber Threat Intelligence)、持續提升情資能力等。最後一個階段則是朝向高階資安情資整合中心發展，有像是發展網路犯罪與數位詐騙案例、建立網路安全分析與資安協調、自動化及回應(SOAR)機制、推出網路安全危機溝通管道計畫與因變計畫、完成情資整合中心（Fusion Centre）的規畫與設計等等。</p> <p>黃獻順也說，當來到第4個階段，基本上，企業的資安完備成熟度已經能夠防禦大約7～8成，甚至9成以上的國家級駭客攻擊，但他也強調，整個發展過程中，企業可挑選適合自己的資安產品或技術，但企業所要考慮的，不僅僅是技術而已，其它像是人員培育、相關流程建立與情資的蒐集也同樣重要。</p> </div></div></div>
2021/5/6 03:21作者余至浩https://www.ithome.com.tw/news/144212
【臺灣資安大會直擊】因應重大網攻發生頻率增加，專家建議資安曝險評估每一周至少要做一次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為因應越來越頻繁的重大攻擊事件，曾任花旗銀行資安官，現在是OneDegre資安負責人的周彥儒，在資安大會的演講中建議企業，應該要全面進行曝險評估、弱點評估以及滲透測試，從各種層級和角度測試企業的弱點，並且阻斷駭客的攻擊鏈，以提升企業資訊安全。而隨著重大資安攻擊事件發生頻率增加，周彥儒也認為企業應該要增加測試系統脆弱性的頻率，才能跟上駭客的腳步。</p> <p>「企業和駭客攻防戰，存在不對等的戰爭」周彥儒點出了企業防禦駭客入侵的困難之處。企業在明駭客在暗，企業需要付出巨大的成本和精力，全面提升企業的資訊安全，而駭客只要從企業的系統中找到一個漏洞，就能夠利用該漏洞突破防禦，入侵企業重要的系統。周彥儒解釋了當前最流行的駭客攻擊模式，整個攻擊過程從針對員工的魚叉攻擊開始，突破企業的防火牆進到內網，駭客會選擇先在企業中較不重要的系統著陸建立持續性，並且開始橫向移動，逐漸提權最終攻下企業的關鍵系統。</p> <p>周彥儒強調，唯有從駭客的思維了解企業曝險，才能建構有效的防禦策略。以上述的例子來說，主要的弱點有兩個，第一個弱點是員工的資安意識，他引用ATT&CK框架的調查數據，當前有超過7成的網路攻擊事件，都是從釣魚郵件開始，另一個則是允許駭客在企業中橫向移動的弱點，即便駭客已經在企業的系統中建立持續性，但也僅是在權限較低的系統，唯有經過橫向移動，逐漸提升權限後，才會真正威脅到關鍵系統，因此周彥儒認為，企業可以投入更多的資源，對員工進行釣魚攻擊演練，並且在企業系統中找出能阻斷駭客橫向移動的方法。</p> <h2>曝險評估次數應增加至每周一次，弱點評估則至少每月一次</h2> <p>「企業不能僅是想要達到法遵要求，過去達法遵可能資安分數還及格，但現在可能只有30分」周彥儒舉例，從今年初以來的各重大資安事件，每一家企業皆滿足法規要求，但唯有在發生攻擊事件後，企業才會真正發現弱點所在。</p> <p>除了目前最流行的駭客攻擊模式，其他常見的攻擊手法還有包括盜取員工的VPN帳號，或是透過攻擊供應鏈等模式，他強調，企業應該從駭客的角度思考，強化容易受到攻擊的弱點，才能有效防堵攻擊，而企業通常以三種安全檢測方法來偵測不同特性的的弱點，分別為曝險評估、弱點評估以及滲透測試，這三種分法的廣度由寬到窄，但是深度則是由淺到深。</p> <p>不具侵入性，且自動化程度高的曝險評估，透過發現並且最大程度減少企業外部足跡，在ATT&CK框架中，進一步避免弱點被駭客探嗅到的機會，而弱點評估則是指利用自動化掃描，找出普遍已知的漏洞，特別是能夠發現Day 1漏洞，而滲透測試則更具針對性，有較高的侵入性，透過模擬攻擊來發現企業還未知的嚴重漏洞，這項測試需要專家人工進行，測試頻率也較低。</p> <p>由於駭客攻擊的頻率增加，周彥儒認為企業進行安全檢測的頻率也要增加，像是曝險評估不到一周應該就要執行一次，而弱點評估的頻率可從一季一次增加到一個月一次，滲透測試則可從每年一次提升到半年一次。</p> <p>但拉高偵測頻率，也就代表著成本增加，周彥儒整理了自建、委外專案和SaaS三種安全檢測執行方式的比較。自建需要企業自己培養人才並且購買工具，好處是可以頻繁地執行檢測，而周彥儒提到，不少企業都是採用委外專案，企業就不需要花費購買工具的成本，但是由於在計價上通常還是計算人力工作小時，雖然不及企業自己培養團隊，但仍需要付出較高的人事成本。</p> <p>而周彥儒提到人事成本和工具成本最低的是SaaS，以軟體即服務的形式按需進行安全偵測，可以達到跟自建相同的測試頻率，並且也能比委外專案還要快的速度拿到測試結果。從企業關注的成本來說，他認為SaaS低於委外專案，並且遠低於自建，而從敏捷性和彈性考量，SaaS安全測試服務與自建相當，都比委外專案更靈活，因此綜觀所有因素，採用SaaS是較佳的選擇。</p> </div></div></div>
2021/5/5 11:15作者李建興https://www.ithome.com.tw/news/144192
AI趨勢周報第167期：臉書新模型融合自監督和Transformer，不需標註資料還能揪出複製圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0430～0506)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">臉書 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自監督學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size: 22px;"><strong>臉書新模型融合自監督和Transformer，不需標註資料還能揪出複製圖</strong></span></p> <p>臉書聯手法國國家電腦科學研究院Inria，共同設計一套新訓練方法DINO，融合了自監督學習（Self-supervised learning）和Transformer的注意力機制優點，來訓練電腦視覺模型Vision Transformer（ViT），不需要標註資料就能完成訓練。用這個方法訓練出來的模型，能準確辨識圖片和影片中的物件，也能進行語意分割，完全不需標註資料。</p> <p>臉書指出，近幾年AI突破性的成就來自兩大技術，也就是自監督學習和Transformer。自監督學習的好處是，AI模型能從未標註的資料中學習，省下標註所需的人力和時間成本。而Transformer的優點是，AI模型可從輸入值中，將注意力聚焦於所選的區域，來更有效率地推論。</p> <p>於是，臉書結合這兩大技術，設計出DINO演算法。他們將自監督學習的兩大優點：老師網路（Momentum teacher）和多剪裁訓練（Multicrop training）整合到DINO框架中，來搭配ViT的自我注意力優勢。團隊發現，融合自監督學習和Transformer的DINO，對視覺世界的理解和人類很像，能辨識出物件的部分組成和圖片中的共同特徵；他們以ImageNet不同類別的影像來測試，發現DINO會以人能理解的方式，來分類影像，將相似的類別擺在一起。</p> <p>這個方法，能讓模型快速執行k-NN分類任務，且不需要繁瑣的微調或學習分類器。在ImageNet的測試中，團隊也發現DINO比其他自監督學習模型還要好，而且，DINO還有能力識破複製圖和本尊的差異，未來可用於版權保護的偵測器上。<a href="https://ai.facebook.com/blog/dino-paws-computer-vision-with-self-supervised-transformers-and-10x-more-efficient-training/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-4.fna.fbcdn.net/v/t39.2365-6/10000000_208749027394474_3359566853088796337_n.gif?_nc_cat=105&ccb=1-3&_nc_sid=ad8a9d&_nc_ohc=7mxnycNTONgAX_EkDT2&_nc_ht=scontent.ftpe7-4.fna&oh=413cb22a14cbf481abde7e55fb91ea6e&oe=60B6DBC7" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepRacer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 迷你賽車 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>擴大推廣AI賽車活動，AWS決定開源迷你賽車DeepRacer模擬器</strong></span></p> <p>AWS宣布要開源迷你賽車DeepRacer的裝置軟體，開發者可進一步擴展DeepRacer功能，讓賽車裝置可執行更多行為。DeepRacer是一個雲端虛擬賽車模擬器，開發者可在雲端上訓練、調校ML模型，並載入到1/18大小的迷你自駕車，讓它在設計好的軌道中行駛，克服各種轉彎與直線道路組合。</p> <p>DeepRacer所使用的機器作業系統ROS是用Ubuntu開發，而開源DeepRacer程式碼，可讓有Linux程式開發能力的開發者，創造出新的車輛用途，實現更多創意。開發者也可在社群媒體中，用#deepracerproject標籤分享自己的開發專案，AWS會將這些專案收集到DeepRacer GitHub Organization中，並在之後的部落格介紹。<a href="https://aws.amazon.com/tw/blogs/machine-learning/aws-deepracer-device-software-now-open-source/">（詳全文）</a></p> <div class="media_embed" height="281px" width="500px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="281px" src="https://www.youtube.com/embed/8U9pSWYJt1E" title="YouTube video player" width="500px"></iframe></div> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MIT </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電腦視覺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 材料壓力 </span></strong></span></p> <p><span style="font-size:22px;"><strong>MIT新材料分析AI工具，靠一張外觀照片就能估算出材料壓力</strong></span></p> <p>麻省理工學院（MIT）開發一套AI，可用電腦視覺辨識材料內部結構圖，來快速計算材料部份特性，像是應力（Stress）與應變（Strain）值，省下繁瑣的物理計算。</p> <p>MIT指出，一般來說，工程師需耗費大量時間來計算材料內力，就算有電腦輔助，還是會遇到長達數天甚至數月的模擬問題。為解決問題，研究團隊看上生成對抗網路（GAN），先使用上萬組圖像訓練網路，這些圖組由兩張圖組成，一張描繪材料內部在機械作用下的微觀結構，另一張則以顏色編碼標示該材料的應力和應變數值，讓AI網路反覆迭代，算出材料的幾何形狀和其所產生應力之間的關係。這個方法，讓AI只要看一張圖片，就能預測材質的內力，解決過去需要撰寫程式碼，求解偏微分方程式的麻煩。<a href="https://advances.sciencemag.org/content/7/15/eabd7416">（詳全文）</a></p> <p><img alt="" src="https://advances.sciencemag.org/content/advances/7/15/eabd7416/F2.large.jpg?width=800&height=600&carousel=1" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國衛生部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI策略 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料共享 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國衛生部揭露未來醫療AI布局</strong></span></p> <p>美國衛生部AI長Oki Mek日前揭露美國衛生部未來醫療AI佈局，要執行今年1月提出的AI策略，共有4大目標，包括成立AI委員會和AI實踐社群、做好AI治理和法遵，以及建立沙盒，來衡量AI成效和成本。</p> <p>進一步來說，美國衛生部一年有1.3兆美金預算，若以GDP排名來看，相當於全球第13大國。這個資金雄厚的衛生部，還有8萬多名職員來維持運作。在4大目標中，成立AI委員會的用意是做好AI發展所需的團隊合作。」再來，建立AI實踐社群是要交換AI實作心得、制定醫療AI規則，還要以此克服醫療AI的兩大難題，也就是資料取得和資料準備。</p> <p>而第3個目標是要確保醫療AI不違背法規，比如資料隱私、資安、程式碼偏差等。最後一個目標則是建立研發能力R&D，除了要建立沙盒實驗環境，還要藉機集中化管理一些作業，比如AI工作管線（Pipeline）和框架，並將一些該去中心化的作業去中心化。Oki Mek更強調，衛生部也想藉AI策略，來改變人們不想分享資料的心態。「沒有資料，就沒有AI，」衛生部希望在合法的前提下，來與相關組織共享資料。<a href="https://gtc21.event.nvidia.com/media/Presenting%20US%20HHS%20Artificial%20Intelligence%20Strategy%202021%3A%20AI%20Mission%20and%20Ambition%20Commentary%20by%20the%20CAIO%20%5BS33249%5D/1_wd8gsyz1/204678483">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-05-01%20at%205_23_12%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 商之器 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> UDE App </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療影像 </span></strong></span></p> <p><span style="font-size:22px;"><strong>商之器UDE App讓iPad Pro化身行動醫療影像伺服器，離線也能判讀影像</strong></span></p> <p>國內從事醫療影像儲存與傳輸及雲端醫療平臺開發的商之器，近期展示一款UDE App，能將iPad Pro平板電腦當成行動醫療影像伺服器，可在離線狀態下檢視乳房攝影影像，並由AI模型來輔助揪出乳房腫瘤。這個做法，可將原本需要2周以上的篩檢流程縮短為1周左右，目前已有一家北部醫學中心準備採用。</p> <p>這套UDE App不僅獲得美國FDA第二級認證，也通過臺灣TFDA認證。商之器解釋，這款乳癌判讀AI是去年與資策會聯手開發，結合iPad Pro內建的CoreML技術，即使不連網，也能即時進行AI判讀，商之器表示，今年不只在國內落地UDE App，還要推廣到國外。<a href="https://www.ithome.com.tw/news/144087">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/udeapp.jpg?itok=NHChxpPe" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">甲骨文</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 分析雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>甲骨文推出分析雲，強化ML可解釋性和自然語言搜尋資料特色</strong></span></p> <p>甲骨文日前推出分析雲服務（ Oracle Analytics Cloud），強化了機器學習（ML）模型的可解釋性，使用者可查看影響模型決策的原因說明，比如，銀行拒絕給特定對象申請貸款，使用者可查看占比最重的原因。此外，使用者也能手動微調模型，來查看產出結果和變化。</p> <p>而且，甲骨文分析雲也採用自然語言處理（NLP）技術，讓使用者用說的或打字就能查找所需的資訊，分析雲也會以自然語言方式回答。這是因為，甲骨文自建一套自然語言生成（NLG）引擎，可根據問題來掃描資料、圖表等，再組成答案給使用者。目前，該功能支援28種語言。</p> <p>除此之外，甲骨文分析雲還有其他特點，包括自動化資料前處理、文本分析、關聯分析、圖表分析和客製化的地圖分析。其中，自動化資料前處理的意思是，由內建的資料分析引擎來對使用者資料掃描、取樣，找出潛在的資料質量問題，並主動通知使用者，比如對信用卡資訊等敏感訊息進行混淆處理等。除了這些特點，甲骨文分析雲也推出行動版應用程式，使用者也能在行動版上使用這些功能。<a href="https://blogs.oracle.com/analytics/announcing-new-oracle-analytics-cloud-innovations">（詳全文）</a></p> <p><img alt="" src="https://cdn.app.compendium.com/uploads/user/e7c690e8-6ff9-102a-ac6d-e4aebca50425/6a206fcb-afad-45e5-b430-01d4d1919cc6/Image/40d75ed9091174d61115eddbc2951687/ol_blog_image_3.png" /></p> <p>攝影／蘇文彬</p> <p>圖片來源／MIT、AW、臉書、Nvidia、商之器、甲骨文</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 疫情升溫！AI Labs社交距離App告訴你防疫最佳距離</strong></p> <p><strong>2. 臉書發表半監督式學習新模型，影像辨識表現再突破</strong></p> <p>資料來源：iThome整理，2021年5月</p> </div></div></div>
2021/5/5 17:59作者王若樸https://www.ithome.com.tw/news/144208
Line啟用海外最大的臺灣新辦公室，年底將招募逾百位技術人員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著在臺灣的業務擴展，Line在臺灣啟用全新辦公室，將Line、Line Pay及Line Bank集中在一起，並準備在年底前招募逾百位技術人員，擴大工程團隊。</p> <p>Line來臺已進入第十年，目前月活躍用戶數達到2100萬，這幾年該公司不斷擴大在臺的經營業務，除了擴大Line TV、Line Music等數位內容業務，還跨足電信服務、電商，並將自身的技術力對外輸出推出AI服務，甚至前不久連線銀行Line Bank開行，正式進入金融科技。</p> <p>今天(5/5)啟用的新辦公室，位於臺北市內湖區的瑞光路上，為日本、韓國以上，海外最大的辦公室，這個全新辦公室集合了Line、Line Pay、Line Bank，共有7個層樓，超過3千坪，除了一、二樓打造為會議室、休憩區、員工專用咖啡廳、攝影棚等之外，3到7樓屬於辦公空間。</p> <p>Line臺灣區董事總經理陳立人表示，透過打造良好的工作空間，希望能吸引國內優秀的人才加入。除了今年將舉辦多場的社群活動外，5月下旬還會舉辦Line Developers Recruitment Day，包含line Bank、Line Pay及Line臺灣三家公司需要的技術人才，前端、後端、系統營運、AI、資料科學各方面人才。</p> <p>目前Line在臺灣合計有900多名員工，其中約一半為工程開發團隊，為總部以外，人員最多、編制最大的工程開發團隊。Line計畫在今年底再招募20種職缺逾百位的技術人員。除了工程團隊之外，其他如營運、設計團隊也準備擴大規模，Line在臺灣員工規模將突破1千人。</p> <p>Line在日本、韓國、泰國、印尼、臺灣、越南、中國、美國等地都設有工程團隊，臺灣的工程團隊除了和總部協作，參與更多平臺開發之外，也負責臺灣本地的核心業務服務的應用系統開發工作。目前臺灣的工程團隊包括Line Today、Line Shopping、QA、SRE、資料工程團隊等，還有近幾年開始啟動的Clova AI團隊，不過，Line並沒有透露每個團隊的規模。</p> <p>Line在臺灣的營收，約可分為B2C與B2B，其中對一般消費者的營收方面，包括貼圖、遊戲、影音娛樂等，2B則包括官方帳號，還有去年開始在臺灣推動的Clova AI、Line Brain等。除了繼續擴大數位內容，今年4月下旬甫開行的Line Bank，也是今後Line Bank在臺灣的發展重點之一。</p> <p>新的辦公室一樓入口，特別運用Line Clova FaceSign人臉辨識技術，讓員工靠刷臉就能進出辦公室，但目前員工使用人臉辨識需脫下口罩，如果辨識錯誤，也能使用員工識別證感應，從一旁的通道進出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1%20(2)(10).jpg" style="width: 600px; height: 399px;" /></p> <p> </p> <p>甫進入一樓映入眼簾的是高4公尺，百分百由臺灣打造的Mega Brown，巨型熊大，一旁則是員工專屬的咖啡廳。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1(85).jpg" style="width: 600px; height: 399px;" /></p> <p> </p> <p>二樓為公共空間，除了會議室，還有攝影棚，錄影來賓的化妝間，還有專門幫員工解決IT問題的Line Care服務櫃臺。</p> <div><img alt="" src="https://s4.itho.me/sites/default/files/images/1%20(1)(15).jpg" style="width: 600px; height: 399px;" /></div> </div></div></div>
2021/5/5 19:36作者蘇文彬https://www.ithome.com.tw/news/144209
【臺灣資安大會直擊】製造業與醫療業去年被攻擊次數大增！趨勢科技揭數位轉型下的製造思維，資安不是附加成本而是製程的一部分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為期3天的2021臺灣資安大會於4日正式展開，在第一天臺灣資安大會上，趨勢科技指出過去一年來，數位轉型的加速已經使得網路攻擊威脅變得更嚴峻，特別是製造業與醫療業遭受攻擊比例大增，其中OT安全議題倍受關注，尤其製造業，在他們近期的調查中，發現有4成5企業都因資安事件造成產線中斷。</p> <h2><strong>數位轉型的價值在於資料到決策，因此資料安全至關重要，而臺灣製造業其實也是關鍵</strong></h2> <p>關於過去一年的網路攻擊態勢，趨勢科技執行長陳怡樺表示，全球釣魚詐騙的攻擊活動，增加230%，再次暴增，而以目標式勒索攻擊而言，他們在2020年觀察到新的趨勢變化，雖然政府與銀行一直都是駭客主要攻擊目標，不過，去年製造業與醫療業遭受攻擊的次數較往年大增，值得重視。</p> <p>陳怡樺指出，過往製造業與醫療業可能認為，沒有人要攻擊自己，覺得自己含金量不高，但現實的狀況已經不是如此，除了遭受攻擊的事件頻傳，這兩個產業還有一個共同的特色，包括製造業的機臺，醫療業的X光機與核磁共振（MRI）等設備，過去企業可能認為他不是電腦，或是以為它是安全隔離的，但其實，現在都隨著大量使用IT技術而變得不同。</p> <p>不僅如此，在現今的數位轉型之下，已徹底轉變了傳統價值鏈模型，資料的重要性更是至關重要。陳怡樺指出，現在的數位轉型價值，是在於「資料」到「決策」的轉換過程，她並特別以智慧製造來舉例，包括最初的資料採集、資料的正確性，到資料連結整合與深度資料分析，來做正確的判斷以擬定有效策略。</p> <p>然而，只要有資料的地方，就必需要有安全的考量。否則可能發生蒐集不到資料，或是蒐集了錯誤的資料，甚至可能資料被鎖住不能用的情況。因此，在每一個環節都必須把資安做足，她強調：「資安不再只是獨立一個產業，而是所有產業裡面該有的基本內涵。」而以製造業而言，資安就是製程的一部分，絕不能把它想成附加的成本。</p> <p>觀念必須扭轉，產業須自覺，但陳怡樺認為，國內才剛剛開始想到這些事情，還有很長的路要走。</p> <p>同時，陳怡樺也以趨勢科技自身經驗為例，他們去年花最多時間架構的平臺Vision One，也就是希望從雲端、手機、網路到工廠設備，都能夠蒐集到足夠的資料，以此做到及早發現異常，進而防止勒索軟體、資料外洩問題。</p> <p>對於國內的醫療業與製造業而言，相關業者與政府都不可輕忽上述這樣的趨勢。如果醫院無法做好資安，這已經不是可用性的問題，而是人命的問題，先前國外已有例子，有醫院系統被勒索軟體癱瘓，使得重症病患只能轉診至別間醫院，但路途上發生人命來不及救的狀況。</p> <p>而資安對臺灣製造業同樣至關重要，陳怡樺指出，臺灣有3成的GDP都是來自於製造業，更重要的是，國內製造業其實也撐起了全世界數位轉型的半邊天，若是台積電停工半天，全球數位轉型也都會受影響。</p> <p>眼光若放遠一點，臺灣企業是否想過，在數位轉型上，我們必須有更重要的任務？陳怡樺更是強調，要讓臺灣製造的所有元件與成品，都能有資安在其中，才能夠幫助世界數位轉型的成功更安全。這一番話似乎也是個提醒，資安的價值，能夠讓國內產業的地位變得更穩固，讓臺灣製造成為全球IT可信賴的標誌。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%802021%E8%A3%BD%E9%80%A0%E6%A5%AD%E8%88%87OT%E5%AE%89%E5%85%A8.jpg" style="width: 600px;" /></p> <blockquote><p>政府與銀行一直都是駭客主要攻擊目標，但過去一年來，趨勢科技指出製造業與醫療業遭受攻擊次數出現大幅增長的情況。</p> </blockquote> <h2><strong>最新調查顯示6成1製造業者經歷過資安事件，其中每四家又有三家發生產線停擺情況</strong></h2> <p>對於製造業而言，儘管OT安全議題在近年已經不斷被探討，但從威脅帶來的實際危害來看，已是當務之急。</p> <p>趨勢科技副總經理暨工業物聯網公司TXOneNetworks執行長劉榮太指出，自從2019年開始，幾乎每個月都有大間的製造業或產業遭攻擊事件傳出，而他們在2020年關注到127個新的勒索軟體出現，整以整體來看，2020年的前10名勒索軟體中，就有8個曾在OT場域出現過，這樣的態勢，也反映出當OT環境採用大量IT技術，但也加速了駭客能夠對OT的危害。</p> <p>更嚴峻的是，在趨勢科技針對日本、德國及美國的工業網路資安調查顯示，有61%受訪製造業者表示經歷過資安事件，其中的75%因資安事件造成產線中止。換言之，有4成5的製造業者都會面對營運中斷的風險。</p> <p>而且，在遭遇資安事件的企業中，其中的43%的產線停擺是超過4天以上，這其實已經突顯資安事件帶來的可能影響，大大衝擊著製造業的營運，。</p> <p>對此，劉榮太除了說明OT環境在資安防護上所遇到的困難，同時也強調做好工控資安的5大策略，包括網路微分割、虛擬修補、信任名單、重要資產的強固，以及定期檢查。他強調，網路分割就是要做到零信任原則，不該連結到的端點就應該要阻斷，同時藉由虛擬修補來因應場域端點無法停機修補的困難，而信任名單也是要讓重要端點限制只能執行允許的應用程式；至於關鍵設備更是重要，包括所有機臺都要存取的資料庫、HMI等，可透過白名單與基於AI的防毒保護，同時，資料進出同樣也都要檢查。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）趨勢科技2021製造業與OT安全.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%802021%E8%A3%BD%E9%80%A0%E6%A5%AD%E8%88%87OT%E5%AE%89%E5%85%A8.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%802021%E8%A3%BD%E9%80%A0%E6%A5%AD%E8%88%87OT%E5%AE%89%E5%85%A8(1).jpg" style="width: 600px;" /></p> <blockquote><p>趨勢科技指出，在2020年10大勒索軟體中有8個曾在OT場域出現，此外，根據他們針對日本、德國及美國的工業網路資安調查顯示，有6成1受訪製造業者表示經歷過資安事件，其中的75%因資安事件造成產線中止，並有43%的產線停擺超過4天。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%802021%E8%A3%BD%E9%80%A0%E6%A5%AD%E8%88%87OT%E5%AE%89%E5%85%A8(1).jpg" style="width: 600px;" /></p> <blockquote><p>另外，劉榮太也以NIST CSF框架核心所具有的5大功能，來說明OT領域與IT領域的落差。他表示，在過去20年來，隨著時間的演進，在IT領域已經一步步將資安框架的5大功能走完，也就是從識別、保護、偵測、回應到復原，像是2003年發展保護、2011年重視偵測，現在則是強調復原；但相對來看OT領域的資安，2015年開始發展識別，而他認為現在也只是走到識別與保護之間。因此，不論是從威脅態勢與資安框架來看，OT領域的資安議題都將是接下來這幾年必須持續關注的重點。</p> </blockquote> </div></div></div>
2021/5/5 15:50作者羅正漢https://www.ithome.com.tw/news/144206
比利時政府被DDoS攻陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>比利時政府網路本周二遭到不明組織發動分散式阻斷攻擊（Distributed Denial of Service，DDoS），導致內外部連線服務中斷，迄今尚未完全修復。</p> <p>受到攻擊的是比利時政府資助，負責該國政府單位網路連線的ISP Belnet Network。<a href="https://status.belnet.be/incidents/71" target="_blank">根據Belnet網頁說明</a>，DDoS攻擊發生在當地時間5月4日中午左右，造成內部網站運作中斷，僅能仰賴手動更新。到當天晚上，Belnet表示經過「實作多項緩解措施」，問題「已逐漸縮小」，不過仍未能恢復正常營運。</p> <p>Belnet斷線據信影響200多個比國政府單位、科學研究機構及大學等。許多政府單位一度連視訊會議都被迫取消，包括國會針對中國維吾爾議題將展開的辯論。目前<a href="https://www.dekamer.be/kvvcr/index.cfm" target="_blank">比利時國會網站</a>、最高行政法院已恢復營運，但根據<a href="https://apnews.com/article/europe-science-education-technology-business-a348553f38de7897501ab3cbab051df0" target="_blank">美聯社</a>報導，其他單位如<a href="https://eservices.minfin.fgov.be/myminfin-web/" target="_blank">國稅局稅務及電子表單入口網站</a>、經濟事務部，以及疫情資訊網站，則仍處於斷線狀態。</p> <p>斷線尚未搶修完畢，比國政府尚未對DDoS攻擊公布說法。</p> <p>這是半年來最新一起西方政府網站遭到攻擊。<a href="https://www.ithome.com.tw/news/139438" target="_blank">加拿大政府</a>去年8月遭駭，導致當地公民身份驗證憑證外洩。<a href="https://www.ithome.com.tw/news/139761" target="_blank">挪威</a>及<a href="https://www.ithome.com.tw/news/141949" target="_blank">芬蘭</a>國會電子郵件系統，也在去年10月及12月被駭客入侵，竊取了議員信件。</p> </div></div></div>
2021/5/5 13:38作者林妍溱https://www.ithome.com.tw/news/144202
美國國防部擴大抓漏專案到所有對外網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國防部（Department of Defense，DOD）<a href="https://www.defense.gov/Explore/News/Article/Article/2595294/dod-expands-hacker-program-to-all-publicly-accessible-defense-information-syste/" target="_blank">周二（5/4）宣布</a>，將擴大該部門的漏洞揭露專案至所有可公開存取的DOD資訊系統，從各式網站、基於頻率的通訊、IoT裝置到工業控制系統等。</p> <p>DOD的首個抓漏專案為2016年發表的「入侵國防部」（Hack the Pentagon）計畫，當時的抓漏範圍僅限於DOD旗下的公開網頁，之後陸續擴大該專案至陸軍、海軍與國防部內部的IT系統，而今則延伸到所有可公開存取的DOD資訊系統。</p> <p>DOD表示，國防部的網站只是DOD所有攻擊表面的一小部份，此一擴張證明美國政府對安全的態度已然轉變，也是DOD現有內部技術狀態的大躍進。</p> <p>此外，從美國國防部展開抓漏專案以來，受邀的安全專家已提交超過2.9萬個漏洞報告，當中逾7成屬於有效漏洞，成效卓著。</p> <p>事實上，美國政府與國防部對資安的態度可說已提高到全新的層級，DOD甫於今年4月<a href="https://hackerone.com/dib-vdp-pilot?type=team&view_policy=true" target="_blank">透過HackerOne發表</a>了「國防工業基地漏洞揭露專案」（Defense Industrial Base Vulnerability Disclosure Program，DIB-VDP），而此一專案主要是替DOD的承包商抓漏，透露出DOD不僅要防範自家的網路遭受攻擊，也正努力避免從供應鏈而來的攻擊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0505-DIB-VDP.jpg" style="width: 600px;" /></p> </div></div></div>
2021/5/5 12:20作者陳曉莉https://www.ithome.com.tw/news/144198
Dell修補存在12年的驅動程式高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.dell.com/support/kbdoc/zh-tw/000186019/dsa-2021-088-dell-client-platform-security-update-for-dell-driver-insufficient-access-control-vulnerability" target="_blank">Dell周二發布安全公告</a>，修補一個存在長達12年的驅動程式漏洞，可能讓駭客在Dell裝置上執行惡意程式碼。該漏洞估計影響上千萬臺Dell筆電或桌機等產品。</p> <p>這項漏洞是<a href="https://labs.sentinelone.com/cve-2021-21551-hundreds-of-millions-of-dell-computers-at-risk-due-to-multiple-bios-driver-privilege-escalation-flaws/" target="_blank">由安全業者Sentinel揭露</a>並通報Dell。實際通報的瑕疵有5項，皆位於Dell驅動程式DBUtil（dbutil_2_3.sys）之中，但Dell將之統稱為CVE-2021-21551，歸屬於存取控管不足漏洞。</p> <p>5項瑕疵可讓具本機非管理員權限的攻擊者取得核心模式執行權限，以執行惡意程式碼。細分來看，4項會造成權限擴張，1項可引發阻斷服務（Denial of Service，DoS）攻擊。研究人員Kasif Dekel指出，該漏洞「很容易被開採」，也可能結合其他手法擴大傷害，像是在網路上橫向移動。由於需要本機權限，本漏洞風險層級被列為8.8。</p> <p>CVE-2021-21551的衝擊在於它從2009年就已存在DBUtil中，並透過Dell的程式發布給Dell消費及企業終端，包括筆電、桌機、平板等，估計可能數量達千萬甚至上億臺。可能散布問題驅動程式，並將之安裝在Dell用戶裝置上的程式包括韌體更新公用程式套件、Dell Command Update、Dell Update、Alienware Update、Dell System Inventory Agent或Dell Platform Tags等。</p> <p>受漏洞影響的軟體包括BIOS更新、Thunderbolt韌體、TPM韌體更新、dock韌體更新等。</p> <p>所幸SentinelOne研究人員未發現有開採漏洞的行為。Dell呼籲用戶儘速安裝更新版韌體，<a href="https://www.dell.com/support/kbdoc/zh-tw/000186020/additional-information-regarding-dsa-2021-088-dell-driver-insufficient-access-control-vulnerability" target="_blank">但也說明該漏洞只影響Windows裝置</a>，Linux平臺不受影響。</p> </div></div></div>
2021/5/5 12:50作者林妍溱https://www.ithome.com.tw/news/144199
遭到Twitter與臉書封殺，川普發表自己的通訊平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在同時遭到Twitter與臉書封殺之後，美國前任總統川普（Donald Trump）周二（5/4）發表了自己的通訊平臺<a href="https://www.donaldjtrump.com/desk" target="_blank">「From The Desk of Donald J. Trump」</a>，並讓使用者可透過臉書或Twitter分享他的言論，還能按下愛心。川普於該站最早的發言可追溯到今年3月24日，但一直到本周才正式對外公布。</p> <p>Twitter與臉書是在今年的1月6日相繼封鎖川普帳號，起因為這兩個平臺認為川普的煽動造成了美國國會大廈的暴動，且從暫時封鎖演變到無限期封鎖，不過，臉書的獨立監察委員會（Oversight Board）正在審核臉書此一決定，預計周三（5/5）公布是否持續封鎖川普。</p> <p>至於川普的通訊平臺充其量只是一個部落格，唯一的使用者為川普本人，它並不支援使用者留言，但允許使用者於臉書及Twitter分享他的言論，或者是按下愛心。</p> <p>對於川普的作法，Twitter向<a href="https://www.theverge.com/2021/5/4/22419850/donald-trump-social-media-platform-ban-twitter-facebook?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">The Verge</a>表示，該平臺允許使用者分享來自其它網站的內容，只要這些內容並未違反Twitter規定。只不過，這對川普而言似乎不太容易，此外，在川普下臺後，其言論所能發揮的影響力亦有待觀察。</p> </div></div></div>
2021/5/5 13:01作者陳曉莉https://www.ithome.com.tw/news/144200
Twitter買下無廣告內容平臺Scroll，替訂閱服務舖路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.twitter.com/en_us/topics/company/2021/a-better-way-to-publish-and-read-on-twitter.html" target="_blank">Twitter周二（5/4）宣布</a>，準備買下無廣告內容平臺Scroll，與全球的出版商合作，提供一個可同時造福出版商與讀者的無廣告閱讀經驗，而Scroll也將成為Twitter計畫中之訂閱服務的一部份。雙方並未公布交易金額。</p> <p>Scroll是個無廣告的內容訂閱平臺，它與逾300家出版商結盟，只要每月5美元的訂閱費用，使用者就能存取相關出版平臺的無廣告內容，而Scroll則會與出版商分享訂閱費用。此一商業模式一來可帶給使用者更好的閱讀經驗，二來標榜可替出版商提供更勝廣告的營收。</p> <p>Scroll並未公布現有的訂閱人數，僅說該服務發展的速度不夠快，導致每天都有記者失業，還有許多媒體被迫出售給不值得的買家，於是，當Twitter找上門來的時候，他們發現Twitter的野心比外界預期的還要大，而且它很可能是唯一一個可協助支撐新聞生態體系的大平臺。</p> <p>Twitter產品副總裁Mike Park表示，每天都有人在該平臺上出版、傳遞或討論新聞與各種議題，這使得Twitter認為自己更應建立一個更容易閱讀的模式，期望讓讀者可存取更廣泛的內容，而新聞產業亦應該有更好的未來，Scroll將協助Twitter達到此一目標，未來也將成為Twitter訂閱服務的一部份。</p> <p>Twitter並不隱藏想建立訂閱服務的企圖，也在今年1月初<a href="https://www.ithome.com.tw/news/142470" target="_blank">買下了荷蘭電子報平臺Revue</a>，只是迄今尚未揭露其訂閱服務的藍圖。身兼創業家與部落客的<a href="https://twitter.com/davewiner/status/1389612298730450945" target="_blank">Dave Winer猜測</a>，當使用者每月支付10美元予Twitter時，就能同時存取多個付費的內容服務，Twitter再與這些內容服務拆帳。</p> <p>由於之後Scroll將努力把該訂閱機制整合到Twitter上，因此目前已暫時不接受新用戶註冊。此外，Scroll在2018年買下了專門提供新聞情報服務的Nuzzel，Nuzzel可針對客戶的需求自全球數千個內容網站擷取特定主題的內容，功能類似Google News Alerts，根據Scroll的說法，當時若不買下Nuzzel，Nuzzel可能就要倒了，但在這次與Twitter討論後，還是決定關閉Nuzzel，但未來將把Nuzzel的功能整合到Twitter程式中，或以APIs的形式重生。</p> </div></div></div>
2021/5/5 11:30作者陳曉莉https://www.ithome.com.tw/news/144193
微軟開源AI安全風險評估工具Counterfit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周<a href="https://github.com/Azure/counterfit/" target="_blank">透過GitHub開源</a>了內部所使用的AI安全風險評估工具，這是一個基於命令列的工具，且為一通用自動化層，可用來評估各種機器學習系統的安全性，可用來執行紅隊演練、滲透測試、漏洞掃描，也能紀錄攻擊事件。</p> <p><a href="https://www.microsoft.com/security/blog/2021/05/03/ai-security-risk-assessment-using-counterfit/" target="_blank">微軟說明</a>，AI系統日益被應用在各種關鍵領域，諸如健康照護、金融或國防等，消費者必須確認這些關鍵領域的AI系統是安全的。根據Gartner的預測，在2024年時，未部署AI風險管理控制機制的組織，得到負面AI結果的風險是有部署相關機制者的兩倍，然而，在微軟針對28個組織所進行的調查中，有25個並未部署得以正確保全AI系統的安全機制，意謂著安全專家正在尋找該領域的具體方針。</p> <p>Counterfit是微軟為了評估內部AI系統漏洞所發展的工具，初期是為了對抗針對個別AI模型所撰寫的攻擊腳本程式，繼之擴大為可捍衛多個AI系統的通用自動化工具，現在微軟仍定期利用Counterfit作為AI的紅隊演練工具，亦可用來掃描生產AI服務的漏洞，或是在AI部署階段就逮住漏洞。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/wp-content/uploads/2021/05/Microsoft-Counterfit.gif" style="width: 500px;" /></p> <p>圖片來源＿微軟</p> <p>目前的Counterfit已可適用於不同的環境、不同的AI模型與資料格式，例如它能評估位於任何雲端環境、就地部署或是邊緣的AI模型，也可抽象化AI模型的內部作業以讓安全專家能專注於安全評估，並支援基於文字、影像或通用輸入等AI模型。</p> <p>微軟標榜Counterfit是替安全專家所設計，因此它能針對AI系統展開滲透測試及紅隊演練，還能掃描各種AI系統的安全漏洞，同時在AI系統遭到攻擊時進行紀錄。</p> <p>此外，微軟亦建議安全專家在使用Counterfit時可搭配其它資源，涵蓋<a href="https://github.com/mitre/advmlthreatmatrix" target="_blank">Adversarial ML Threat Matrix</a>、將攻擊分類的<a href="https://docs.microsoft.com/en-us/security/engineering/bug-bar-aiml" target="_blank">Bug Bar</a>、<a href="https://docs.microsoft.com/en-us/security/engineering/threat-modeling-aiml" target="_blank">威脅建模指南</a>，以及<a href="https://docs.microsoft.com/en-us/security/engineering/failure-modes-in-machine-learning" target="_blank">紀錄各種ML失敗模式的分類文件</a>。</p> </div></div></div>
2021/5/5 11:53作者陳曉莉https://www.ithome.com.tw/news/144196
【企業SRE實例：新加坡星展集團】頂尖數位銀行如何再進化，SRE轉型是變身科技公司的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「對星展來說，更強大的工程架構，變得非常重要，」星展集團企業架構暨SRE資深副總裁Harpreet Singh跨海視訊時強調：「這正是SRE引起星展關注的起點。」而他正是一手打造出星展SRE團隊的負責人。</p> <p>成立逾50年的星展集團，為了加快數位銀行的發展速度，從2014年開始全力擁抱新技術來改造銀行服務，是亞洲銀行界的數位化標竿，不只兩度被評選為全球最佳數位銀行，轉型經驗也是許多大型企業競相參考的對象。近3年，接連被多家國際金融雜誌評選為年度全球最佳銀行。</p> <p>走到了全球數位銀行發展的高點，星展的定位也開始轉變，2019年時，星展集團資訊長Jimmy Ng在年報中曾這麼說道：「星展現在是一家從事銀行業務的科技公司，而不是正尋求數位化的傳統銀行。」</p> <p>隨著星展集團開始內化科技公司的思維，也開始不斷尋找新角度，來讓銀行服務更簡單、順暢地融入客戶生活，實現高效率交易的顧客要求，而要達成目標，IT工程架構能力是關鍵，所以，Harpreet Singh透露，星展從2019年決定開始導入SRE。他們是全球金融業界中，第一批率先導入SRE的銀行。</p> <p>在2019年時，DBS開始規畫如何導入SRE方法論，來改變IT基礎設施和應用程式的維運，希望能兼顧擴充性和高度可靠性（reliability）。</p> <p><span style="font-size:28px;"><strong>實踐SRE挑戰：從何起頭？</strong></span></p> <p>萬事起頭難，與眾多企業一樣，星展集團也在初規畫SRE實踐時，遭遇了挑戰，那就是，不知從何開始展開這趟新旅程。</p> <p>星展擁抱SRE的第一步，Harpreet Singh指出，有兩個重點，第一，具備非常明確的意圖。他解釋，星展集團非常清楚，導入SRE後可以達成的目標，所以，他們有非常堅定的意圖，「必須行動，實現目標。」其次，再透過跨技術部門協作，快速建立一套可以向前推進的共同方法。</p> <p>2019年時，星展集團先成立了一個工作小組，召集各個技術部門主管組成，包含資安、企業架構、應用程式、基礎設施等，經過大量的討論、商議，建立一套自身實踐SRE的共同方法。有了明確的做法，工作小組再轉變為一個負責導入的核心團隊，向各部門推廣SRE作法，並設立多個SRE小組，進駐各個技術部門，來落實SRE作法。</p> <p>Harpreet Singh是催生星展SRE原則和導入藍圖的關鍵人物，他過去擔任星展集團科技服務部門也就是基礎架構團隊的副總裁時，是企業工具開發團隊的負責人，在星展開始全力數位轉型前期，打造出多種基礎架構自動化工具和平臺監控機制。</p> <p>他指出，星展集團導入SRE時，做了全盤性考量。先全面了解當時星展的營運和系統狀況，評估SRE可以為企業帶來的影響之後，才著手訂定出星展自己的SRE運作準則，先將SRE作法確實融入架構設計階段，再一路落實到維運工作上。</p> <p><strong><span style="font-size:28px;">星展集團SRE八大準則</span></strong></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 250px;"><tbody><tr><td> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/280%2B%E8%A1%A8%E6%A0%BC_Harpreet%20Singh_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%98%9F%E5%B1%95%E9%9B%86%E5%9C%98.png" style="width: 280px;" /></p> </td> </tr><tr><td> <p><strong style="color: rgb(105, 105, 105); font-size: 18px;">星展集團企業架構暨SRE資深副總裁Harpreet Singh 表示，SRE必須成為一種規範（SRE as a norm），唯有這樣，SRE才能無縫與工程結合，達成企業想要實現的目標。 </strong><span style="color: rgb(105, 105, 105);">圖片來源／星展集團</span></p> </td> </tr></tbody></table><p>各SRE團隊因各自支援的服務不同，在工作流程、優先事項和日常工作項目上也都不盡然相同，所以，星展集團訂出了一個通用的SRE八大準則，點出了從架構設計到維運，SRE工程師應該做的事，來統一各SRE團隊的運作。</p> <p>首先是架構準則，架構設計需採取「Design For Failure」（為因應失敗而設計））的設計概念。也就是，先假設任何可能發生的故障狀況，以全面思考如何處理問題，以及設計復原故障的作法。</p> <p>Harpreet Singh強調，系統一定會故障，追求具百分之百可用性（availability）的系統，是不切實際的想法。最好的作法是，在設計架構時，就要確保架構的品質，來思考系統損壞之後如何因應。</p> <p>第二項是開發和建置準則，開發新系統或應用時，星展要求SRE必須了解，系統開發方向會如何從上到下，影響整體軟體堆疊（Software Stack），以及會如何影響關鍵的可靠性指標。第三項是測試準則，Harpreet Singh表示，測試是一個非常關鍵的要素，可以預先解決很多系統的潛在問題。星展集團SRE也會利用混沌測試（Chaos Testing）工具來破壞系統，了解系統的弱點，並在系統正式投入生產環境前，修復大多數的問題。</p> <p>下一個準則是系統可觀測性（observability）準則，不是由外而內的監控，而是讓系統自己就具有足夠、豐富的資訊，可以對外提供各種系統資訊，方便觀測系統的狀態。尤其，隨著系統的部署後，SRE需掌握系統的運作狀況，一旦發現系統的效能不佳，需要進一步開始聚焦如何提升系統的穩定性。星展集團在提升系統穩定性的工作上，也應用了錯誤預算（Error Budget）概念，來預先訂定可以容忍的系統出錯空間。</p> <p>接著，第五項準則聚焦產品服務推出的作法，像是要建置自動化CI/CD工作流程，來快速地自動擴大部署（rollout）服務，還有自動還原服務為舊版（rollback）。</p> <p>等到一項產品服務投入生產環境之後，SRE關注的焦點則轉為第六項的事件應變準則，重點放在，當服務發生問題時，可以多快速地恢復正常。一旦系統發生狀況，SRE需快速偵測出問題，並找出相對應的補救措施，盡快修復系統的問題。</p> <p>第七項則是組織面要建立不究責文化，來進行「不究責事件回顧」（Blameless Incident Retrospective）準則。這是一種事件回溯的作法，星展SRE會聚焦了解事件始末，對事不對人來檢討，從問題中找出解決問題的辦法，而非著重於找出引起問題的人或組織。Harpreet Singh表示，不究責文化對每一個SRE作法都非常重要，處理問題的心態需從責怪轉換為不究責。</p> <p>最後一項是教育準則，星展集團通過建立SRE課程，讓人員了解SRE的含義，不管是概念、表達方式還是所用的技術。為此，星展集團還自己建立了一套SRE認證計畫（SRE Accreditation Programme）和課程，來鼓勵人員學習SRE作法。</p> <p>星展8大SRE準則，不只是一種SRE方法論的思考實作，也是涵蓋了整體開發設計乃至維運方式的流程。Harpreet Singh強調，SRE並非是一種「做完交付就結束」的專案，它會不斷地發展，然後，不斷地驅動價值、實現目標，以創造更好的客戶體驗。以開發工程師為例，當他撰寫程式碼時，必須知道自己開發的系統必須建立可觀測性，維運團隊才可以支援和管理。</p> <p>甚至，Harpreet Singh認為，SRE必須成為一種規範（SRE as a norm），唯有這樣，SRE才能無縫地與工程結合，達成企業想要實現的目標，所以，「星展就是將SRE視為規範來推行，甚至，內化為我們的DNA。」</p> <p><span style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加坡星展集團SRE八大準則 </span></strong></span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 1 </span> </strong></span><strong>架構準則：架構設計採取「Design For Failure」（為因應失敗而設計））的設計概念</strong>。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 2 </span> </strong></span><strong>開發和建置準則：開發新系統時，SRE須了解系統開發如何從上到下影響了整體軟體堆疊（Software Stack），以及如何影響關鍵的可靠性指標。</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 3 </span> </strong></span><strong>測試準則：透過測試預先解決系統潛在問題。星展會用混沌測試工具破壞系統，了解弱點，在部署到生產環境前修復。</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 4 </span> </strong></span><strong>系統可觀測性準則：讓系統自己對外提供各種系統資訊，方便觀測系統的運作狀態。也用錯誤預算（Error Budget）概念，預先訂定可容忍的系統出錯空間。</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 5 </span> </strong></span><strong>產品服務推出準則：建置自動化CI/CD流程，快速自動擴大部署服務或自動還原舊版的機制。</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 6 </span> </strong></span><strong>事件應變準則：系統發生狀況，SRE需快速偵測問題，找出對應補救措施，盡快修復問題。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 7 </span> </span>進行不究責事件回顧（Blameless Incident Retrospective）準則。建立不究責文化，聚焦事件始末，對事不對人，從問題中找出解法，而非著重於歸咎人或組織。</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 8 </span> </strong></span><strong>教育準則：設計SRE課程來培訓員工了解SRE的含義，星展還有一套SRE認證計畫，來鼓勵員工學習SRE作法。</strong></p> <p>資料來源：星展集團，iThome整理，2021年4月</p> <p><span style="font-size:28px;"><strong>從3面向推動SRE轉型計畫</strong></span></p> <p>為了建立SRE為一種規範的認知，星展集團進一步建立了一項SRE轉型計畫，來加快內部擁抱SRE作法的速度，也要用來改變技術團隊建置和設計應用程式的方式，建立和交付可高度觀測的系統，Harpreet Singh比喻這個新作法，就是讓工程師「配戴一副SRE鏡片」。</p> <p>星展集團三管齊下，推動SRE轉型工程。首先是技術轉型，星展也從數百個既有關鍵應用程式下手，來落實SRE作法，讓這些應用系統的運作，都能符合8大SRE準則。統計到去年，星展已成功的轉換了超過100個核心應用程式符合SRE準則，今年的目標是，再進一步完成上百個關鍵應用程式的SRE轉換。</p> <p>其次是人員轉型，星展集團規畫了SRE認證計畫和培訓課程，來培訓工程師具SRE知識和灌輸SRE思維，提高人員的技能。Harpreet Singh強調，人是實踐SRE的關鍵。</p> <p>通過這個認證計畫，光是去年，星展集團就培訓了4千名技術人員，讓他們更認識SRE，並了解星展導入SRE設定實現的目標，進而知道自己可以為這個目標做出什麼貢獻。</p> <p>最後一項轉型工程是打造各種SRE啟動器（SRE Enablers），聚焦於建立一批新工具和服務，來支援應用程式進行SRE技術轉型。不管是測試系統、觀測系統，還是自動化部署系統，Harpreet Singh直言，這些SRE實作都需要工具支援，因此，星展也要求SRE團隊自己開發新工具，來改善應用程式的可用性、延遲性和效能等。</p> <p><strong><span style="font-size:28px;">選擇自建工具，以確保符合自身環境需求</span></strong></p> <p>經過這兩年的開發，星展集團為測試、容量規畫、觀測追蹤等工作，都開發了一套內部的SRE工具和服務。</p> <p>星展集團決定自行開發SRE工具時，經過兩項考量，第一個考量是，不確定商用產品能否無縫地在自己的環境內運作。Harpreet Singh解釋，SRE對金融領域來說，仍是相當新穎的概念，市場上，還沒有很多相對應的金融領域產品，因此，他們也無法確定，這些商用產品能否完全符合星展的環境。再加上，他認為，不同企業賦予SRE的角色不盡相同，所以，星展也擔心採用外部解決方案，反而在導入前得需花上大把時間評估和討論。</p> <p>其次是，星展也衡量過自身的工程開發能力，是否能建立可在組織和系統中無縫正常運作的工具。Harpreet Singh表示，只有星展集團自己才能清楚掌握自身環境的樣貌，知道自身環境對工具設計上的要求，再加上星展擁有適當的工程實力，因此，星展集團最後決定按照自己的方式，開發符合自身環境及需求的SRE工具和服務。</p> <p>例如，星展有一套自製的自助式混沌工程（Chaos Engineering）服務Wreckoon，Harpreet Singh解釋，就算市場已有混沌工程產品，但，星展集團要自行建構自身混沌工程的作法，確保工具能模擬他們想的到的所有故障或攻擊方法，才能更好地偵測系統弱點，並強化整體應用程式的彈性。</p> <p>Wreckoon服務目前具有40種不同類型的測試技術，不僅具備混沌工程功能，還有其他破壞系統的攻擊方法，而且，想要測試自身系統的使用者，不需找技術部門來協助，使用者可以直接進入該工具後臺，設定想要攻擊的系統對象，就會自動部署需要的測試任務。</p> <p>除了混沌工程工具Wreckoon外，星展集團還自行開發了不少SRE工具，像是自動糾正引擎（Auto-Remediation Engine）、容量規畫預測機器學習模型，以及SRE追踪、評估和審查服務，還有錯誤預算工具。此外，更採用了資料導向技術發展自動化機制，來優化開發、維運的工作週期。星展自己內部經統計，這個資料導向自動化機制在18個月內，節省了近百萬小時的維運和開發工作。</p> <p>Harpreet Singh認為，通過這些自行開發的工具，星展集團不僅能避免遭遇重大事故的衝擊，更證明了星展自己的工程能力，可以快速開發客製的解決方案，並推動大規模採用。</p> <p>疫情衝擊下，去年，許多民眾無法上街至銀行臨櫃辦理銀行手續，紛紛轉向數位銀行，使得許多銀行業者面臨系統容量擴充的挑戰。星展集團數位平臺和通路，都可以安然處理激增的流量，就是仰賴SRE強化了系統彈性和可靠性，還可快速交付新功能，這正是彰顯SRE價值的最好例子。</p> <p>Harpreet Singh表示，擁有想要不斷發展的心態，再加上，具有實驗精神和學習文化，是促使星展集團保持創新，以及不斷思考下一步的關鍵，所以，「SRE將繼續保有創新的步伐。」星展集團將繼續改造既有的系統，讓更多關鍵應用程式擁抱SRE作法，持續尋找可以優化現有SRE作法的方法。</p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">【星展SRE負責人快問快答 1】企業如何快速上手SRE？</span></span></strong></span></p> <p><strong>企業要懂得善用外部的協助，有助於實踐SRE。企業也可以與業界技術領導者交流，像是星展準備建置自助式混沌工程服務Wreckoon時，就先花時間研究Netflix如何進行混沌工程，研讀他們分享做法的書籍，以從中吸取經驗，才來研究星展可以怎麼做。多虧許多科技巨頭提供了透明化的資訊，今日有很多SRE資訊都是公開可取得的資訊。</strong></p> <p><strong>Harpreet Singh提醒，只有企業最了解自身應用程式的運作狀況，外部人員無法了解整體狀況，所以，企業利用適合自身環境的外部知識，是跨出SRE實踐的第一步，也是最佳秘訣，這正是當時星展的做法，如此，才不會受限於自身視野，只關注同一事物。</strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【星展SRE負責人快問快答 2】</span></span></strong><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#3399ff;">如何培養好的SRE工程師？</span></span></strong></span></p> <p><strong>要成為一名SRE工程師，擁有正確的態度與思考模式，至關重要，而不是技能，技能可以不斷再學習。此外，還會特別注重工程師做事情的方式，有時，工程師過於專注研究問題的根本。然而，一位SRE工程師看待問題時，要看到更多元的面向，甚至要以360度視角來掌握問題的全貌。因此，擁有專業的技能，以及願意學習的態度作為成長的基礎，還有可從稍微不同的角度來看待事物的能力，是一位好的SRE工程師需具備3個關鍵條件。</strong></p> </div></div></div>
2021/5/5 11:00作者黃郁芸https://www.ithome.com.tw/news/144120
CDN網路CloudFront現支援在邊緣大規模執行程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS擴展其CDN服務CloudFront的功能，新推出<a href="https://aws.amazon.com/tw/blogs/aws/introducing-cloudfront-functions-run-your-code-at-the-edge-with-low-latency-at-any-scale/">CloudFront Functions</a>，讓用戶能夠在邊緣，以低延遲且大規模地執行輕量級JavaScript函式，也就是說，用戶現在可以操作流經CloudFront的請求和回應，執行像是基礎身分驗證，或是在邊緣產生HTTP回應等工作。</p> <p>Amazon CloudFront可以低延遲且快速地交付資料、影片、應用程式和API，但現在許多應用程式需要在邊緣執行部分邏輯，而使用案例主要有兩個類型，第一種是當物件不在快取中，而且要執行較複雜的運算時，另一種則是能以簡單函式處理的HTTP(S)請求和回應。</p> <p>針對第一種邊緣運算類型，AWS在2017年的時候推出Lambda＠Edge服務，提供可編寫程式且無伺服器的邊緣運算環境，讓用戶在邊緣實作各種自定義的複雜運算，Lambda＠Edge函式會在地區邊緣快取，通常是最靠近客戶端附近CloudFront邊緣地點的AWS地區。</p> <p>而第二種類型是需要低成本且高效能的邊緣程式化解決方案，因此AWS現在推出了CloudFront Functions來補充這個需求空缺，讓用戶可以在全球218個CloudFront邊緣地點，執行輕量級JavaScript程式碼，CloudFront Functions的價格約是Lambda＠Edge的六分之一。</p> <p>CloudFront Functions非常適合處理輕量網頁請求，像是能夠用來操作快取鍵值和正規化，轉換URL、標頭、Cookie和查詢字串等HTTP請求屬性，而且透過轉換請求屬性，用戶可將多個請求正規化成單一快取鍵值項目，以顯著提高快取命中率。</p> <p>CloudFront Functions還能用於URL改寫和重新導向，生成回應將請求重新導向其他URL，或是以URL改寫來進行A/B測試，另外，也能用於HTTP標頭操作，包括查看、新增、修改和刪除任何請求和回應標頭。CloudFront Functions也可創建和驗證用戶生成的權杖，以允許或拒絕請求，進而對透過CloudFront傳遞的內容進行管制和授權。</p> <p>AWS解釋，由於要滿足現代應用程式需要的效能和規模，CloudFront Functions採用流程隔離模型，與Lambda＠Edge所使用的虛擬機器隔離模式非常不同，因此他們實施了一些限制，包括避免存取網路和檔案系統，讓函式的執行時間能夠小於1毫秒，而且每秒可以處理數百萬個請求，也不會對整個內容交付網路的效能產生明顯的影響。</p> <p>和Lambda＠Edge相似的是，CloudFront Functions透過執行程式碼來回應CloudFront生成的事件，也就是說，當CloudFront收到來自瀏覽者的請求，JavaScript函式將會在CloudFront轉發回應前觸發，而且在CloudFront轉送請求到請求來源（Origin）之前，以及CloudFront收到來源（Origin）回應前，還能進一步觸發Lambda＠Edge函式。</p> <p>用戶可以考量快取以及要進行的操作，將CloudFront Functions和Lambda＠Edge一併使用，而當用戶需要一些CloudFront Functions所沒有的Lambda＠Edge功能，像是網路存取或是更長的執行時間，也可以在CloudFront快取內容前後使用Lambda＠Edge。</p> </div></div></div>
2021/5/5 11:08作者李建興https://www.ithome.com.tw/news/144190
【臺灣資安大會直擊】戴夫寇爾執行長翁浩正為何不想再當技術狂？溝通與管理才是他資安技能樹的新焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>戴夫寇爾（Devcore）執行長翁浩正，今年作為臺灣資安大會資安人才系列活動的開場講者，在活動上以自身經驗為例，分享要成為傑出資安人才可參考的幾種方法與心態。他尤其聚焦在資安技能的學習上，認為正在學習資安技能的人，應逐步找到自己在產業中的定位，並同步發展適合自己的資安技能樹；而在學習過程中，若以遊戲化的學習方法來精進技能，就能降低因缺乏動力而導致半途而廢的機會。</p> <h3><span style="color: rgb(255, 140, 0);">從自身經驗出發，每一位資安人才都應該找到自己的定位，培養資安技能樹</span></h3> <p>「Allen，你不再玩技術了嗎？」翁浩正一開始就以他人對他的疑問，來說明自己技能樹的轉變。他表示，自己十年前也是個資安技術的狂熱研究者，近年來雖然仍會花時間研究技術，但在開始經營公司後，受到工作需求驅使，也開始發展策略面、管理面的技能，在原有的技能樹上，長出其他能力。</p> <p>過程中，他逐步尋找自己的定位，更遭遇了挫折。他在活動上詢問現場與會者，身邊是否有一個天才朋友，對於某項技能的天賦極高，且令人絕望的事，這位天才朋友還比自己還更努力，「遇到這種情況，你要如何贏過他？」</p> <p>翁浩正點明，在這個情況下，其實可以轉念思考，如果無法在單一技能贏過對方，那何不與對方合作，比如推廣對方的研究成果讓更多人看見，「如何把天才的話語，翻譯成人類看得懂的話？這是我覺得我可以做的事。」他因此開始盤點自己的技能，找出可著力的方向。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/181800884_482260579645447_3984781427766528714_n.jpg" style="width: 700px;" /></p> <blockquote><p>翁浩正十年前的技能樹，有攻擊技術、防禦技術、事件調查、程式開發、專案管理、溝通演講、教育訓練、系統網管等技能。</p> </blockquote> <p>比如說，翁浩正發現，技術成果最終一定要靠溝通、演講來傳遞給更多人了解，因此，他強迫自己要培養溝通的技能，從過去至今累積發表超過300場演講，從5人到上千人規模的研討會皆有，希望透過更精確、易理解的話語來對話與溝通，「讓大家都能聽得懂、感興趣。」</p> <p>同時，翁浩正也意識到：「相較於一個人作戰，團體戰一定可以走的更遠。」因此，從學生時期開始，他就與學弟妹籌組相關社團，後來也加入HITCON帶領社群，更創辦了戴夫寇爾，參與臺灣駭客協會。過程中，他也重新思考自己的定位，開始精進領導、組織、管理、策略規劃等技能，促成資安圈用打群架的方式，增進群體的資安實力。</p> <p>「資安人才應去思考自己的優勢在哪裡？」從自身的經驗出發，翁浩正鼓勵，欲從事資安工作的人，應先盤點自己擁有的技能，找出自己的專長，尤其資安領域的技術範疇非常廣闊，從事滲透測試、資安研究、戰略擬定等不同工作者，所需的技能與知識素養都不同，「你要知道你感興趣的領域是什麼，才能專精技能來獲得更高的成就。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/181563527_512808340062599_1967739047323231813_n.jpg" style="width: 700px;" /></p> <h3><span style="color:#FF8C00;">培養資安技能的工具與方法</span></h3> <p>資安人才在發展自己技能樹的過程中，也有些資料與工具能利用。比如翁浩正就分享了<a href="https://blog.knownsec.com/Knownsec_RD_Checklist/index.html">中國一家駭客公司定出來的通用技能樹</a>，其中不只有技術面的必備專業能力，也列出了做事方法的準則、自我成長的心態要點、甚至對於任職企業的信念等，他鼓勵，資安人才可以透過表格來檢視自己，還有哪些不足的能力需要補強。</p> <p>至於在專業技能的部分，則有一份在Github上的 Hack with Github文件，其中有一個<a href="https://github.com/Hack-with-Github/Awesome-Hacking">Awesome Hacking</a>專區，當中羅列了不同資安相關技術可使用的工具、可參考的技術文章或書籍，讓資安人才可在了解自己感興趣的領域後，能針對該領域所需的技能來精進自己。</p> <p>在學會相關技能後，資安人員可能會透過考取相關證照，來證明自己的能力，但翁浩正也提醒，在考照之前，要先了解每張證照的定位，比如透過一份美國資安專家Paul Jerimy製作的<a href="https://pauljerimy.com/security-certification-roadmap/">資安證照地圖</a>，就能比對每一張證照分屬哪個技能類別，來了解每張證照的定位，「不是考了CEH（Certificated Ethical Hacker，道德駭客認證），就可以去當資安顧問或研究員了，這是不足的。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-05%20%E4%B8%8A%E5%8D%885_29_07.png" style="width: 700px;" /></p> <p>發展出自己的資安技能樹後，翁浩正認為，下一步，則是要盤點自己的能力，找出在資安業界的定位，才能了解自己適合哪種類型的企業，進而發揮所長。但客觀盤點自身能力的方法，不是靠自己嘴巴上說：「我很強！」而是要透過與身邊朋友或合作夥伴的對談，來了解自己在合作過程中展現了哪些更突出的能力，同時也要去思考：「有什麼事非我做不可？」來找出自己獨特的定位。</p> <p>翁浩正建議，可以用三個面向來找出自己在產業中的定位。首先，是盤點自己的資安能力，找出自己與他人差異化的技能。找出這項技能後，同時，也要從市場需求的角度來看業界是否具有這類職位，是否需要這類人才。最後，則是要對這項工作懷抱熱情，尤其在資安領域，每天都有新攻擊手法、技術的演進，「如果沒有熱情，就難以追求新知識，把資安當成職業來做。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/181499982_328255201963974_1203188543123286595_n.jpg" style="width: 700px;" /></p> <h3><span style="color:#FF8C00;">靠遊戲化學習方法，找出精進資安技能的動力</span></h3> <p>翁浩正也分享，在學習資安技能的過程中，如何能持續不斷的學習？「回想一下，你在做哪些事情的時候可以廢寢忘食？打遊戲就是一個例子。」他指出，遊戲讓人沈迷的原因，在於遊戲具有某些特質吸引人持續性地玩，比如每天都要登入領獎勵、角色被賦予神聖的任務等，讓人感覺自己比別人厲害，從中獲得成就感是一大關鍵。同理，若能將資安技能的學習「遊戲化」，持續學習並精進資安能力，就會變得更容易。</p> <p>翁浩正以自己學Python的經驗為例，指出自己本來沒有動力學Python，但一位朋友在網路投票的活動上請他幫忙灌票，在這個需求驅使之下，由於用Python寫程式的速度快、複雜性低，他也就以Python來協助完成這項任務。另一個動力，則是來自於過去看網路漫畫下載圖片速度慢，但用Python一次將漫畫抓下來，後續就能更順暢的閱讀。換句話說，學習Python帶來的使命感與成就感，就成為翁浩正精進Python技能的動力。</p> <p>「我覺得作為一個駭客的駭客精神，不只是要駭入一個系統，更要駭入你的人生（Life Hack）。」翁浩正指出，用遊戲化的精神來進行Life Hack，就能在人生中學習各種技能時，都能更加有動力，且這個論述不僅能套用在資安技能的學習，更可以套用在各類技能學習以及習慣的培養上，「為了健康去運動、跑步、健身房，大家一定都有失敗的經驗，但如果在過程中獲得成就感，就能更容易將習慣養成。」</p> <p>在培養資安技能的過程中，翁浩正也指出，每個人也要找出自己快速進入心流（Flow）的方法，也就是快速進入非常專注於某件事的狀態，才能更心無旁騖的追求、學習、精進技能。他也分享自己快速專注的方法，就是戴上耳機聽特定的幾首歌曲，而每個人都應有最適合自己的專注方法。</p> <p>翁浩正也發表看法，指出當前許多人都會以「斜槓」學習了很多技能為榮，但他提醒，不是會下Google廣告，就可以稱為行銷人，斜槓學習了很多技能，可能對每一個領域都只是略懂皮毛而已。因此他也呼籲，在學習資安技能的過程中，不要盲目地想要斜槓學習或發展，而是應該先培養自己精通的第一專長，再根據需求培養第二技能，「每個技能都是武器，武器越鋒利，才能去打仗，獲得很棒的成果。」</p> <h3><span style="color:#FF8C00;">跨入職場前可先評估能力與職位是否相符，更要思考興趣當工作的可行性</span></h3> <p>最後，對於要進入資安產業的求職者，翁浩正提供了相關工具，來輔助資安人才盤點各種工作所需的能力。比如透過國外<a href="https://www.cyberseek.org/">Cyberseek網站</a>，可以了解各種職業的薪資水平、所需的技能，資安人才就能藉此檢視，自己距離這個職位還有多遠，還要再學哪些技能、考取哪些證照，才能勝任這份工作，「除了薪資的部分，臺灣可能還沒跟上，但其他的資訊可以讓求職者知道自己的定位。」</p> <p>又比如<a href="https://s.itho.me/cybersec/2021/maps/iThome_Taiwan_Cyberscape_Apr2021.pdf">iThome繪製了一份資安地圖</a>，2021年4月更新到最新版，求職者也可以從中檢視各種資安服務與產品的供應廠商，根據自己想從事的工作類型，選擇有興趣就業的公司來應徵。</p> <p>翁浩正表示，資安人才的選擇工作時，也要考量到，興趣與職業的權衡，「要不要把興趣當成工作，這是沒有答案的。」他舉例說明，有些人喜歡做打網站，但當資安攻擊成為工作，就需要根據客戶要求來進行攻擊，除了有各種限制，還要公布攻擊工具、把攻擊的結果整理成報告呈現，這不一定求職者選擇這份工作的初衷。</p> <p>同樣的，喜歡挖漏洞的人，將資安研究當成工作後，每天都要從事資安研究，且一年產出的漏洞數量有限，大多時間是做白工，也不是每個人都能承擔這個壓力。「不要盲目覺得這個工作好棒，要思考，當它成為你的日常生活，你是不是能接受？」</p> <p>翁浩正最後也提醒：「人生中的每個歷練，都會成為成長的養分。」扣回一開始曾向觀眾提到的，他過去曾覺得自己的資安技術超強，但後來發現，許多努力的天才比自己更厲害，不過在找到自己的定位後，挫折就會成為進化的養分，重新化為成長的動力。</p> </div></div></div>
2021/5/5 08:44作者翁芊儒https://www.ithome.com.tw/news/144191
【臺灣資安大會直擊】如何量化資安風險？專家推薦ISACA COBIT評估框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>達文西個資暨高科技法律事務所所長葉奇鑫今（4日）在臺灣資安大會上，分享一款資安風險量化評估工具ISACA COBIT 2019，能根據不同企業的重點資產，來量身打造專屬資安評估和建議，比傳統的資安標準ISO 27001更靈活；即使企業面臨多種資安風險量化挑戰，如風險評估方法不一致、經驗不足造成資料分析限制，他建議，可以用ISAC COBIT 2019來改善。</p> <p><strong><span style="font-size:22px;">為何要量化？</span></strong></p> <p>葉奇鑫是臺灣少數同時具有法律、科技和金融實務經驗的專家，曾任法務部檢察官、eBay交易安全長、露天拍賣營運長，現在不只擔任律師事務所所長，還是永豐金控董事、電腦稽核協會的理事長等。</p> <p>在他看來，「量化是衡量事物最直覺的方法，有著一目了然、客觀且協助決策的優點。」比如以分數來表示信心程度，讓人一看就懂；或是以數學公式量化金融風險，客觀陳述；對企業決策者來說，量化可以協助主管快速決策，優先將資源投入需要修補之處。</p> <p><span style="font-size:22px;"><strong>資安風險量化的現實困境，IT和營運角度大不同</strong></span></p> <p>資安風險量化更是如此。但，資安風險量化還有不少現實困境，葉奇鑫舉例，像是風險級距劃分不統一，「有些太過籠統，有些太過細緻，」比如有些資安風險評估是1到5分，有些1到10分，其中每一分的級距就很難界定。</p> <p>此外，資安風險量化還有只重資料、輕忽分析的問題，以及資料認知偏差、資料規模和品質不理想等。這些看來也許抽象，葉奇鑫以自己過去在露天拍賣的經驗來說明，有天自家技術長告訴他，搜尋引擎的物件最高承載量只有400萬件，等於架上拍賣的物件一旦超過400萬件，「網站就會開不起來，」而且「明天就會發生。」</p> <p>這對任何一家企業來說，都是「巨大的IT安全挑戰。」當時技術長的解決方法是，利用開源框架重新開發一個搜尋引擎，但要花3個月。這在負責營運的葉奇鑫看來，IT人可以考慮這個選項，但對營運者來說完全不行。於是，他要求內部人員每天將最舊、未賣出的商品下架，來維持400萬件內的物件數，直到3個月後新引擎上線。</p> <p><strong><span style="font-size:22px;">或然率不確定性怎麼估風險？資安風險量化的實作挑戰還有這些</span></strong></p> <p>不只如此，在實作上，資安風險量化也有許多困難，比如或然率的不確定性。葉奇鑫指出，事件發生的可能性以機率表示，但機率本身是不確定的，比如他5年前進行證券商的IT系統評估，對方告訴他，系統承載量為每日1千多億元成交量，但證券商為了保險起見，會用3倍最大的，也就是3千億來設計最大承載量。</p> <p>「但最近的股市成交量高達5、6千億元，導致各券商的App幾乎都會出現不順的情況，」他認為，這是因為，5年前，證券商對5年後成交量超過5千億元的可能性評估是0，這就是或然率不確定性導致的風險。</p> <p>除此之外，實作困難還有多因素資料分析的協調難度、經驗不足導致資料分析不全面，以及相關人才稀缺等問題。其中，多因素資料分析協調困難的意思是，「公司越大，資料範圍就越廣，」比如金控底下有銀行、證券、保險，3種業務截然不同，要全面盤點資料來量化資安風險，也就越複雜。</p> <p><strong><span style="font-size:22px;">COBIT 2019風險量化框架可以怎麼用？</span></strong></p> <p>雖然資安風險量化有著種種困難，但葉奇鑫認為，每家企業還是得根據自家最重要的資產，來量身訂做最適合的風險量化評估，而且，「好的資安風險量化框架，能助企業扭轉劣勢。」他也盤點目前幾款主流的資安風險量化框架，像是國際電腦稽核協會（ISACA）的 COBIT 2019，以及常見的ISO 27005、NIST SP800-30、OCTAVE和OWASP等。其中，他特別推薦COBIT 2019。</p> <p>COBIT 2019以前一代COBIT 5為基礎，再加上新法規和社群貢獻內容設計而成。COBIT 2019架構龐大，包括核心元件、相關框架手冊、設計指南、聚焦領域，以及最終產物：客製化的企業IT治理系統。</p> <p>以核心元件來說，COBIT 2019有5大類核心模型，首先是EDM為編號的治理框架設計和維護、風險優化等，再來是APO為編號開頭的資料管理、預算成本控管、人力管理等，第3類則是編號BAI的託管計畫、託管IT變化、託管設置等，接著是DSS編號的託管安全服務、託管作業等，最後是編號MEA的託管內部控制系統、託管成效等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/723A0664-D3F1-4C4E-8537-BD01C04D4988.jpg" /></p> <p>以實作流程來說，COBIT 2019和常見的企業流程管理PDCA類似，「但步驟更細緻。」葉奇鑫解釋，COBIT 2019核心概念有7個步驟，包括起始計畫、定義問題和機會、設定藍圖、擬定計畫、執行計畫、實現益處、檢視成效等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/F4668286-63D6-4EA7-95A0-313785A6EF57.jpg" /></p> <p>針對資安治理，COBIT框架也特別涵蓋一套系統設計流程。這個流程有4大步驟，分別是瞭解企業處境和策略、決定初始治理系統範圍、精煉治理系統範圍、總結治理系統設計。在每一步驟中，又可再細分好幾個小步驟，讓企業按部就班設計最合適的系統。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/7D749786-0542-4597-AA1D-2225BC089C09.jpg" /></p> <p>另一方面，COBIT框架還有一套風險情境評分表，讓企業根據不同情境，來評估風險衝擊程度和發生的可能性。最後再以不同顏色，來標註該風險的程度高低。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/8873A4B3-F8A8-4443-990C-40B3F3F233F6.jpg" /></p> <p>接著，系統會根據上述風險評估結果，以一張視覺圖表來呈現。葉奇鑫解讀，圖表中的面積越大，就代表企業在該領域的表現越好。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1E312AA7-C711-44B5-B850-36D6C3AF7D82.jpg" /></p> <p>根據這個風險量化結果，COBIT也提供一套決策示例表，來解釋企業決策和企業內部人員的關係。表中涵蓋不同的決策主題和範圍，以及企業內部的負責單位，包括執行小組、IT治理董事會、企業風險小組、專案管理者、專案小組、IT管理、業務處理負責人和職員。</p> <p>而要考量風險的利害關係對象時，最重要的就是RACI模型，這4字分別是指執行者、稽核者、需諮詢的對象，以及需告知的對象。舉例來說，以下表第一項「治理」主題為例，執行小組和IT治理小組對應到R，代表這兩組負責執行決策，而企業風險小組則對應到C，也就是需要諮詢的單位。至於對應到I的職員，則是要被通知的單位。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/06CA8119-6681-461D-B91C-41B603FC9D28.jpg" /></p> <p>他希望，除了ISO 27001之外，這套資安風險量化評估框架，可以成為臺灣企業的另種選擇。</p> </div></div></div>
2021/5/4 21:38作者王若樸https://www.ithome.com.tw/news/144186
【臺灣資安大會直擊】中華電信揭露2021第一季台灣DDoS攻擊災情數據，3月攻擊近3百次，最高流量達273Gbps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每隔數日就會看到有企業貼出公告，說明自身遭受DDoS攻擊，如今，DDoS攻擊已成為新常態，但，你知道每個月有多少DDoS攻擊事件在臺灣發生嗎？中華電信今日（5/4）在臺灣資安大會揭露，今年第一季全臺DDoS攻擊數據，1月時，DDoS進階防護區防護了逾300次攻擊，其中，最大攻擊流量達58.1Gbps，而主要遭受攻擊的產業為金融保險和貿易銷售。</p> <p>回顧1至3月間臺灣DDoS攻擊趨勢，中華電信以兩個面向來分析，分別是旗下DDoS防護服務的進階防護區，以及HiNet接取網路部分。DDoS進階防護區的部分，1月份時，中華電信觀察到307次攻擊，進入2月後，攻擊次數較為減少，下降為243次，3月份再降為195次。</p> <p>單看3月份DDoS防護區的攻擊狀況，最長攻擊時間為74分鐘，平均攻擊時間則落在30分鐘內，而整體195次攻擊數相比2月份，減少了48次，降低近2成，但，單次最大攻擊流量達49.6Gbps，相比2月的16Gbps最大攻擊流量，增加逾兩倍。</p> <p>中華電信數據通信分公司資訊處資安產品與技術顧問組組長吳明峰表示，單看攻擊流量數值49.6Gbps，會感覺這流量不是特別大，但他指出，一般企業已無法承受這樣的攻擊流量，不僅沒有足夠的頻寬待命，後端伺服器也無法承受。</p> <p>接著，HiNet接取網路的部分（不包含DDoS進階防護區），也就是中華電信可看到的所有DDoS攻擊，1月份時，共觀察到121次攻擊，2月下降至77次，3月則回升至95次。相比2月份，3月份DDoS攻擊次數增加18次，成長23.37%，其中，單次最大攻擊流量達273Gbps，增加逾1倍，更遠遠高於同月DDoS防護區的最大攻擊流量49.6Gbps。</p> <p>接著，吳明峰以產業別遭受DDoS攻擊的影響，來分享第一季的DDoS攻擊趨勢。DDoS攻擊防護區內受攻擊的對象，1月份時，以金融保險業和貿易銷售業為主，分別占59.1%和31.8%，接續是資訊通信業、製造業，而2月份被DDoS大為攻擊的產業是金融保險業和資訊通信業，金融保險業受攻擊的占比更達76.9%，3月主要攻擊對象一樣是金融保險業和資訊通信業，接續是服務業、製造業。</p> <p>資訊通信業中，尤以遊戲、購物網站等，最常成為駭客攻擊的目標，吳明峰表示，玩家在玩遊戲時，無法接受任何延遲，因此，常成為駭客攻擊標的，他提到，4月份時，遊戲業也遭受大量的攻擊，其中更觀察到有攻擊的流量超過200Gbps。</p> <p>而HiNet接取網路的部分，1月份，DDoS攻擊對象以資訊通信業和學術教育產業為主，分別占40.9%和17.4%，接著是金融保險業、製造業、電信業和服務業，至2月份，主要攻擊對象變為資訊通信業和金融保險業，分別占43%和20%，緊接著是占比17%的學術教育，再來是服務業、製造業和電信業，3月主要攻擊對象又回到1月份的資訊通信業和學術教育產業，分別占27.3%和20.9%，接著是金融保險業、服務業、製造業、貿易銷售和電信業。</p> <p>第一季每月最高上看300次DDoS攻擊，在這數百次的DDoS攻擊背後，更藏著無數的攻擊方式，包含小封包、大封包、反射式攻擊、連線性消耗伺服器頻寬等方式。吳明峰表示，根據調查發現，傳統方式仍是最常發生的攻擊類型。</p> <p>以DDoS進階防護區來看，3月份195次的攻擊裡，以TCP RST Flooding、異常流量為主要的攻擊類型，分別發生83次和81次。</p> <p>吳明峰表示，TCP RST Flooding攻擊的特色是，具有非常小的攻擊封包與流量，所以，企業如果只監測流量變化，並無法察覺伺服器遭受攻擊，他指出，這些封包大小雖小，但因封包量大，會持續影響企業頻寬裡的所有網路設備，包含防火牆、伺服器等都會被攻擊拖垮。</p> <p>在中華電信接取網路服務方面，3月份近百次的攻擊量中，攻擊類型主要以異常流量為主，有63次攻擊都是採異常流量的攻擊方式。</p> <h2><strong>惡意連線在北市發生率最高，占全國惡意連線企業數近22%</strong></h2> <p>另外，吳明峰還揭露中華電信用情資掌握的惡意連線事件分析數據，來勾勒企業對外連線到惡意中繼站的輪廓。1到3月份間，全臺各地出現惡意連線事件的企業數超過1.6萬家。</p> <p>其中，臺北市占21.5%居冠，有3,531家企業連線到了惡意中繼站，其次是新北市，占17.78%，接著是，臺中市、桃園市、高雄市、臺南市、新竹、彰化，他們是企業出現惡意連線事件數量的前八大縣市。</p> <p>以產業別來看惡意連線事件的狀況，批發零售業受影響的企業數量最高，有近4千家零售企業與惡意中繼站連線，占24%，再來是製造業，有近3千家企業受感染，占18%，接著是，二類電信占18%、不動產業占5%，還有營造工程業占4%，相當於679家企業受惡意網站連線威脅。</p> <p>此外，中華電信也針對自身提供的兩種線路類型：非固定制線路和固定制線路，進行惡意活動分析。根據調查，中華電信發現非固定制線路的惡意活動較多，占連線惡意中繼站企業數的64%，是固定制線路36%占比的1.8倍。</p> <p>吳明峰表示，推測是因為大部分企業把資安防護設備放在固定制線路裡，並把非固定制線路放在外圍使用，所以，受到的資安防護相對少，惡意連線數量因而較多。</p> <p>除了DDoS攻擊、惡意連線事件外，吳明峰也點出今年企業應注意的其他主流資安威脅，包含了勒索病毒、APT攻擊、IoT裝置漏洞、供應鏈風險、網路釣魚和挖礦。</p> <p>日前，蘋果產品發表會前，駭客團體REvil以勒索軟體攻擊廣達，獲得蘋果產品資料。就是近期勒索軟體攻擊事件最具代表性的例子。吳明峰表示，勒索病毒對駭客來說是容易獲得豐厚報酬的方式，且開發一隻勒索病毒，僅需1至2個月，因此，勒索軟體會持續是威脅企業營運和整體安全的最大威脅。</p> <p>針對近期常出現的目標式勒索攻擊，吳明峰也向企業提出應對建議，從目標式勒索4階段的駭客攻擊方式，來面對風險。首先，在入侵階段，駭客會暴力密碼破解，還有透過社交工程與釣魚郵件，進行APT攻擊，對此，吳明峰建議企業建立持續性的弱點管理，還有盤點對外暴露的資產。其次，進入橫向擴散階段，駭客會利用無檔案攻擊，還有各式系統管理工具，像是WMI，來橫向擴散威脅。因應上述狀況，吳明峰表示，企業需建立資安監控與事件處理機制，還有隔離重要系統網段等。</p> <p>下一階段是資料竊取，駭客會通過資料庫存取、影子IT、各式加密通道等方式，傳輸企業裡的資料至外部。吳明峰提出幾點建議，包含導入資料外洩防護機制，還有監控異常存取行為，以及控管使用者權限。</p> <p>最後，當目標式勒索進入勒索軟體大規模加密階段後，駭客會先停止防毒軟體與安全防護機制，然後，透過大規模派送機制，入侵像是AD、資產管理系統等，來派送勒索軟體。所以，吳明峰建議企業建立備份及還原機制，以及防止駭客透過AD進行大規模派送，還有，需定時進行相關演練。文◎黃郁芸</p> </div></div></div>
2021/5/4 23:17作者黃郁芸https://www.ithome.com.tw/news/144188
【臺灣資安大會直擊】純網銀如何防範網路金融犯罪？樂天銀行總經理佐伯和彥揭露2大原則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安大會在今天（5/4）於南港展覽館二館正式登場，樂天國際銀行總經理佐伯和彥在大會進行主題演講時，以日本樂天銀行經營20年純網銀的經驗，分享樂天網銀的資安之道。</p> <p>佐伯和彥以行政院政務委員唐鳳先前的演講內容作為開場。當時，唐鳳在演講中曾提及，面對Covid-19 疫情，如果可以讓每個人的傳播能力，降低到1以下的話，就可以有效控制整體疫情。這樣簡單的公式，為佐伯和彥帶來很大的提醒，他認為，許多事情只要透過簡單公式，其實可以讓政策做更多有效的應用。即便是套用到銀行業的資安作法，也是相同的道理。</p> <p>佐伯和彥加入籌備臺灣這家樂天純網銀之前，早在2000年，就已經參與了日本樂天銀行的前身eBank籌備設立純網銀的過程，並在團隊中擔任行銷和營運的負責人，也在日本樂天併購eBank後，一路參與了日本樂天銀行的發展至今，可以說是日本樂天純網銀的元老級人物。</p> <p>佐伯和彥表示：「防範金融犯罪時，如何有效阻止網路犯罪，是非常重要的一件事。」在虛擬空間（Cyberspace），也就是以網路為平臺的人造空間中，會有危及電腦網路安全的犯罪行為，比如，來自電腦外部的不法入侵，竄改或破壞數據，或是洩露資訊，電腦病毒感染等。然而，在這個透過網路連結各種事物的世界，如果沒有將網路安全做好保障，會直接影響到我們每個人的日常生活。</p> <p>10年前，當時還在日本樂天銀行的佐伯和彥，整理出一張結構圖，是針對銀行業，駭客會鎖定的3大攻擊目標。他提到，銀行主要系統的伺服器（Main System Server）是駭客最大的目標，也是許多網路犯罪者最先攻擊的部分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_7396.JPG" /></p> <p>另外兩大攻擊目標，一個是銀行職員所使用的電腦，他提到，通常駭客會假冒社會人士，來侵入或攻擊銀行職員的電腦。另一個則是顧客所使用的載體，如手機、電腦，駭客會透過釣魚網站或是電腦病毒，對顧客端的載體進行攻擊。佐伯和彥表示，在防範政策上得有對應的作法，主要系統的伺服器會有伺服器的資安防範對策，對於銀行職員也有相關對資安防範對策與教育，就連顧客端也必須進行網路犯罪教育。</p> <p>他也提到，較為早期時，網路犯罪者是想展露自己擁有能駭入企業或組織的技術。或是對於一些組織或機關，有自己的社會理念，認為要透過攻擊這些組織或機關來實現自身的理念。但，針對金融機構的網路攻擊，最大目標是取得金錢。</p> <h3><span style="color:#0000FF;"><strong>樂天網銀防範網路金融犯罪首要原則，讓網路犯罪者的攻擊成本大於獲得利益</strong></span></h3> <p>佐伯和彥更進一步揭露日本樂天經營純網銀20幾年的經驗中，歸納出防範網路金融犯罪的2大基本原則。</p> <p>首先，「讓網路犯罪者或攻擊者會消耗的成本，大於他們所能夠得到的利益，就能有效遏止駭客入侵攻擊，這是樂天純網銀最大的原則。」佐伯和彥強調。</p> <p>他進一步解釋，當銀行談到資安防範或是網路犯罪時，通常會想到防洗錢（AML），或是如何做好資安的防備等作法。可是，回歸到上述的基本原則時，會發現不管是洗錢還是網路犯罪，都只有兩大切入口，一是加害者的帳戶，另一個是被害者的帳戶。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_7408.JPG" /></p> <p>佐伯和彥強調，駭客會分別從加害者帳戶或被害者帳戶入侵，唯一的防備方法只有一種，「那就是設法讓帳戶不要有任何動作產生」，這是防範網路犯罪的最大方法。他舉例，比如，樂天純網銀發現有人設法入侵或侵佔被害者帳戶時，銀行就要想辦法凍結該帳戶，讓被害者的金錢不會往其他不明的帳戶流動。或像是一旦發現某帳戶有洗錢的行為出現時，銀行也要設法阻止，避免讓金錢流向打算洗錢的帳戶。</p> <p>樂天純網銀在阻止網路犯罪上，基本有3項動作。佐伯和彥表示，第一項是不斷的隨時檢測加害者或被害者的帳戶；第二項是評斷帳戶是否正常運作；第三項則是，萬一發現有任何不正常的營運時，銀行就會實行各項措施並加以阻止。</p> <p>他坦言，在這整個過程中，銀行方得花上許多心力、時間與金錢來阻止犯罪產生。不過，相對的，這些從外部透過網路攻擊銀行的犯罪人士，也必須要消耗很大的成本，來破解銀行的防治方法。佐伯和彥表示，讓網路犯罪者消耗大量成本才能獲得利益，對於他們來說是一項不划算的行為，這也是樂天純網銀採取的重要原則，透過這樣的方式來減少駭客想攻擊銀行的企圖。</p> <h3><span style="color:#0000FF;"><strong>金融資安防範需銀行同業與顧客通力合作，才能發揮最大力量與效益</strong></span></h3> <p>樂天純網銀防範網路金融犯罪的另一基本原則是，「資安必須是社會全體具有共同合作、對抗犯罪的意識，企業則必須捨棄獨善其身的想法。」</p> <p>佐伯和彥談到，在企業中負責資安領域的人員，感受最深的應該是現在的網路犯罪手法，越趨高端化、複雜化。他認為，以銀行業界來說，包括銀行同業、顧客都要通力合作，才可以讓整體的力量大於犯罪人士。因為，資安的環節中，「只要其中一環斷裂或是薄弱，就會讓這些犯罪人士趁隙而入。」他強調。</p> <p>而隨著資訊技術不斷進化發展，網路犯罪更不再只是工程師需要面對的問題。因此，他認為，培育人才並不斷推動研究技術，是企業非常重要的任務。</p> <p>甚至，佐伯和彥也進一步透露樂天網銀未來在資安上將著重的重要課題。他表示，許多犯罪手法會發生在用戶使用的載體或空間，比如在手機、應用程式App，或是通訊軟體，而在這部分的犯罪事件也正快速增加中。主因是這些手機上的功能操作簡便且容易上手，當越來越多人使用後，對網路犯罪者來說，就有更多機會可以趁虛而入。</p> <p>另一項樂天網銀的重要課題是，必須在產業間加強合作的連結。佐伯和彥比喻：「就像一根筷子輕易就能被折斷，只有一個人單打獨鬥是絕對不夠，必須要有多雙筷子通力合作，才能產生最大的力量與效益。」</p> <p>佐伯和彥認為，防範網路犯罪沒有特效藥，加上犯罪手法日新月異，企業得像在玩打地鼠的遊戲一樣，當有任何犯罪冒出頭時，就得設法阻止並壓制下去，即便這個過程非常枯燥。他也提到，銀行得共同從小地方開始防範，一步步累積，力量才會更大，才能有效防止網路犯罪。</p> <p>最後，佐伯和彥談到，在疫情之下，防範最有效的地方就是臺灣。他認為，臺灣的防疫成果能如此顯著，並非只有政府呼籲就能做到，更重要的是每位臺灣國民、各個企業、機關大家齊心通力合作，才有這樣的防疫成效。同樣的，電腦病毒與網路犯罪也是病毒的一種，只是類型不同，樂天銀行也希望大家都能夠通力合作，防範網路犯罪。文⊙李靜宜</p> </div></div></div>
2021/5/4 19:06作者李靜宜https://www.ithome.com.tw/news/144184
AWS針對金融服務推資料管理和分析工具Amazon FinSpace
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出了一項金融資料管理和分析解決方案<a href="https://aws.amazon.com/tw/blogs/aws/amazon-finspace-simplifies-data-management-and-analytics-for-financial-services/">Amazon FinSpace</a>，簡化儲存、分類、準備和分析金融資料的工作。Amazon FinSpace是專為金融服務產業（FSI）打造的資料管理和分析服務，該服務能夠在數分鐘內，查詢和準備數PB可供分析的財務資料。</p> <p>官方提到，資料管理是金融服務業的核心，而所要分析的資料來自內外部，包含投資組合、精算和風險管理系統等內部資料儲存的資料，還有來自證券交易所的歷史證券資料等，第三方資料來源的PB級資料，分析師要從這些資料中找出正確的資料，並且以相容的方式取得存取資料的權限，這個準備分析資料的過程可能需要耗費數個月。</p> <p>在資料合併和分析之前，資料分析師需要花數周或數個月的時間，才能從各個部門中，查詢和存取資料，而每個部門都是按照市場、工具和地理位置設置，除了邏輯上的隔離之外，資料還可能存在物理隔離的挑戰，分開儲存在不同的IT系統、檔案系統和網路中，而且因為資料的存取受到治理和政策的控管，因此分析師必須向法遵部門解釋存取請求，這個過程通常是手動且繁瑣的程序。</p> <p>在取得授權之後，分析師才能開始對大型資料集執行運算邏輯，以準備進行分析，或是擷取資料的衍生資料，AWS提到，這些工作通常會在容量有限的伺服器上執行，因為這些伺服器並非設計來處理現代規模的金融服務工作負載。</p> <p>在準備資料所遇到的各種挑戰，都可能成為金融服務發展的阻礙，而AWS現在新推出Amazon FinSpace服務，便是要來解決這些問題，透過自動尋找資料並且準備分析資料，以消除儲存、準備、管理和審核對資料存取所需要的繁瑣工作。</p> <p>Amazon FinSpace使用了產業和內部資料分類約定，來儲存和組織資料，分析師能夠連接到Amazon FinSpace網頁介面，使用S&P500、CAC40等商業術語搜尋資料，還可以使用內建函式庫所提供的100多個時間序列資料功能，來處理準備分析的資料集，並在整合的Jupyter筆記本進行資料實驗，以雲端規模平行化運算，就能在數分鐘內完成財務資料轉換。</p> <p>另外，Amazon FinSpace還提供了一個框架來管理資料存取，並審查存取資料的身分和地點，在追蹤資料使用後，產生法遵和稽核報告。</p> </div></div></div>
2021/5/4 17:23作者李建興https://www.ithome.com.tw/news/144183
微軟共同創辦人Bill Gates宣布結束27年的婚姻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟共同創辦人比爾.蓋茲（Bill Gates）與妻子Melinda Gates今天（5/4）<a href="https://twitter.com/BillGates/status/1389316412259270657" target="_blank">透過Twitter宣布</a>，雙方決定結束這場27年的婚姻，也要求外界給予他們空間及隱私，好讓他們展開新的人生。這是繼Amazon創辦人<a href="https://www.ithome.com.tw/news/128174" target="_blank">貝佐斯（Jeff Bezos）</a>之後，科技產業另一起聚集眾人目光的離婚事件。</p> <p>Bill Gates表示，經過對彼此關係的努力與深思熟慮後，他們決定結束婚姻，在這27年來，他們共同養大了3個很棒的孩子，還建立一個基金會，以協助全球人類更健康及更有生產力，未來他們將繼續共享這個使命，共同為基金會努力，但下一階段已無法再以夫妻的角色共同成長。</p> <p>Bill Gates在1975年創辦微軟，Melinda Gates則是在1987年進入微軟擔任產品經理，兩人相戀後在1994年結婚。目前Bill與Melinda Gates仍然共同經營全球最大的慈善基金會Bill & Melinda Gates Foundation（BMGF），BMGF的基金規模高達468億美元，而且未來兩人也會繼續共同經營該基金會。</p> <p>現年65歲的<a href="https://www.forbes.com/billionaires/" target="_blank">Bill Gates為全球第四大富豪</a>，擁有1,240億美元的身價，落後貝佐斯的1,770億美元、馬斯克（Elon Musk）的1,510億美元，以及法國首富Bernard Arnault的1,500億美元。</p> <p>Bill Gates並未公布與Melinda Gates的財產分配。不過，Jeff Bezos的前妻MacKenzie Scott，在離婚後分得大筆的財產，<a href="https://www.forbes.com/profile/mackenzie-scott/?list=billionaires&sh=1b400abd243d" target="_blank">現居全球富豪排行榜上的第22名</a>，身價為530億美元。</p> </div></div></div>
2021/5/4 16:23作者陳曉莉https://www.ithome.com.tw/news/144181
Dell以40億美元出售雲端資產Boomi
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼分拆VMware之後，<a href="https://corporate.delltechnologies.com/en-us/newsroom/announcements/detailpage.press-releases~usa~2021~05~may-03-2021-announcement.htm#/filter-on/Country:en-us" target="_blank">Dell周日（5/2）宣布</a>將以40億美元，出售旗下雲端資產Boomi，買家為投資公司Francisco Partners與私募基金TPG Capital，預計於今年底前完成交易。</p> <p>成立於2007年的Boomi為一整合平臺暨服務（integration platform as a service，iPaaS）業者，專門協助客戶解決不同系統的整合問題，在2010年被Dell買下，全球有超過1.5萬家客戶。</p> <p>Dell營運長Jeff Clarke表示，未來Dell將繼續發展核心基礎設施與PC業務，同時擴張優先領域，包括混合與私有雲端、邊緣、電信，以及加速企業數位轉型的APEX專案。</p> <p>不過，外界認為Dell不管是分拆VMware，或是出脫Boomi，都是為了應付<a href="https://www.ithome.com.tw/news/99332" target="_blank">併購EMC</a>之後的沈重財務負擔。</p> <p>另一方面，買家之一的 TPG Capital指出，現在比任何時候都需要應用程式的自動化與資料整合，Boomi雲端平臺讓商業流程更順暢，也是推動數位轉型的要件，將與Boomi團隊及Francisco Partners合作，扶植Boomi成為一獨立的實體。</p> </div></div></div>
2021/5/4 16:37作者陳曉莉https://www.ithome.com.tw/news/144182
Epic告蘋果壟斷案，卻翻出賈伯斯無意從App Store獲利的歷史
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名的美國遊戲暨平臺開發商Epic Games去年8月，在Android及iOS版的《要塞英雄》（Fortnite）遊戲中，添增了自家的Epic Direct Payment支付機制，結果因違反蘋果與Google的程式市集規定而被下架，隨後Epic Games同時控告蘋果與Google妨礙市場競爭，<a href="https://s2.q4cdn.com/470004039/files/doc_financials/2021/q2/_10-Q-Q2-2021-(As-Filed).pdf" target="_blank">與蘋果之間的訴訟</a>在周一（5/3）正式開庭，這起訴訟案讓許多蘋果內部文件曝光，透露出App Store的獲利其實是蘋果無心插柳柳成蔭的結果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0814-epic-direct-pay.png?itok=ECxcTu1i" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Epic Games</span></p> <p>蘋果要求App Store上的程式必須透過蘋果的支付機制向用戶徵收費用，不管是訂閱或是程式內購買，且在第一年由蘋果取得30%的拆帳，第二年或是其它符合小型企業資格的開發者，則僅需支付15%的費用。此舉被Epic Games認定是蘋果濫用其市場壟斷地位的作法，聲稱蘋果建立了高牆花園，其專家證人<a href="https://www.theverge.com/2021/5/1/22414402/epic-expert-apple-app-store-fortnite-court-profit" target="_blank">Ned Barnes分析蘋果財報之後推估</a>，App Store在2019年的營業利潤率（operating margin）高達77.8%。</p> <p>有趣的是，在Epic Games翻出的蘋果內部文件中，顯示出蘋果創辦人賈伯斯（Steve Jobs）在2008年發表App Store時，表示蘋果並不打算自該程式市集賺錢，建立App Store是為了提高iPhone的價值，推動iPhone銷售。但接著蘋果在2009年開始，要求開發者必須透過蘋果的支付機制向使用者收費，並徵收30%的分潤。</p> <p>蘋果文件亦透露，當時負責產品行銷的蘋果副總裁Phil Schiller曾提議，是否在App Store的獲利達到10億美元時，降低拆帳比例。</p> <p>根據截至3月27日的蘋果2021財年第二季財報，在該季896億美元的總營收中，服務營收為169億美元，約占蘋果總營收的19%。蘋果並未單獨列出App Store營收，而所謂的服務營收，除了App Store之外，還涵蓋了AppleCare、Maps、Siri、iCloud與App TV+等。該季蘋果的總獲利為236億美元，但蘋果亦未公布產品及服務的各別獲利，使得儘管外界相信App Store的獲利頗豐，卻無確切的佐證數據。</p> <p>不論如何，蘋果駁斥了Barnes的說法，一來蘋果並未針對App Store建立獨立的損益表，二來App Store是建立在龐大的蘋果生態體系上，必須計入成本。</p> <p>有別於Google允許使用者自Google Play以外的平臺下載Android程式，反觀基於iOS的蘋果生態體系，只能從App Store下載程式，而讓Epic Games把矛頭對準蘋果，Epic Games更說，此次的訴訟並不只是為了該公司本身，也為了廣大的開發者。</p> <p>蘋果以安全為由，禁止使用者透過第三方下載iOS程式，或是禁止程式於App Store上使用第三方支付系統，且認為法律保障蘋果對封閉系統的選擇，<a href="https://www.theverge.com/2021/5/3/22417725/apple-vs-epic-full-trial-slideshows-opening-arguments" target="_blank">如同保障Sony與任天堂</a>。</p> <p><a href="https://www.ithome.com.tw/news/144152" target="_blank">日前歐盟</a>才對蘋果發出異議聲明書（Statement of Objections），認為蘋果要求Spotify等第三方程式使用其支付機制，是濫用其獨大地位以扭曲市場競爭秩序的行為。不管是Spotify或Epic Games攻擊的，都是蘋果App Store的支付政策，歐盟目前傾向於支持Spotify，而Epic Games與蘋果之間的訴訟結果，則頗令人好奇。</p> </div></div></div>
2021/5/4 15:31作者陳曉莉https://www.ithome.com.tw/news/144173
蘋果修補4個已遭開採的WebKit漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周一<a href="https://support.apple.com/en-us/HT201222" target="_blank">（5/3）緊急釋出安全更新</a>，修補4個已遭開採的WebKit漏洞，本周釋出的新版分別是iOS/PadOS 14.5.1、macOS Big Sur 11.3.1、iOS 12.5.3與watchOS 7.4.1。</p> <p>這4個漏洞分別是CVE-2021-30661、CVE-2021-30663、CVE-2021-30665與CVE-2021-30666，皆與Safari瀏覽器引擎WebKit有關，而且都已經被開採。</p> <p>其中，CVE-2021-30661位於WebKit Storage，屬於釋放後使用漏洞，CVE-2021-30663則為WebKit的整數溢位漏洞，CVE-2021-30665為WebKit的記憶體毀損漏洞，CVE-2021-30666是緩衝區溢位漏洞，駭客只要利用特製的惡意網頁內容就能開採上述4個漏洞。</p> <p>這些漏洞影響了不同的平臺，只有iOS 12.5.3同時修補了4個漏洞，iOS/PadOS 14.5.1與macOS Big Sur 11.3.1則修補了CVE-2021-30663與CVE-2021-30665兩個漏洞，watchOS 7.4.1僅修補CVE-2021-30665漏洞。</p> </div></div></div>
2021/5/4 16:09作者陳曉莉https://www.ithome.com.tw/news/144180
微軟7月將擴大強制移除Flash Player
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/msedgedev/2020/09/04/update-adobe-flash-end-support/" target="_blank">微軟低調公布</a>，從7月擴大強制從Windows 10移除Flash Player。</p> <p>基於安全性、穩定性等理由，Adobe於2020年底終止支援Flash Player，並以kill switch（緊急關閉）版本，使所有Flash Player從今年1月12日起無法播放。</p> <p>在微軟方面，去年10月對Windows 10電腦以選擇性(optional)更新方式釋出KB4577586，這是專門移除Flash Player的更新版，尚不強制安裝。不過<a href="https://www.ithome.com.tw/news/142773" target="_blank">今年2月</a>，有使用者發現KB4577586未經用戶同意，就安裝到Windows 10 1809、1903、1909、2004、20H2的桌機，以及跑Server 2019的伺服器上。不過當時微軟沒有證實此事。</p> <p>在最新公告下微軟將再更進一步，擴大KB4577586的安裝。首先，微軟公告從6月起，KB4577586更新將會包含於Windows 10預覽更新（非強制），對1809以後的平臺釋出，之後累積性更新（即所謂的C release）也都會有這個版本。而從7月起，KB4577586就會經由強制性累積更新，部署到Windows 10 1507及1607，也會經由每月更新（monthly rollup）及純安全更新（security-only updates），擴大部署到Windows 8.1、Server 2012及Windows Embedded 8 Standard。</p> <p>最後，即將於本月釋出的Windows 21H1也會包含KB4577586。只要有這個版本，Windows電腦中的Flash Player都會被移除。沒有在排定名單中的平臺用戶，也可以手動到<a href="https://www.catalog.update.microsoft.com/Search.aspx?q=4577586" target="_blank">微軟網站</a>下載安裝。</p> <p>這麼一來，<a href="https://www.ithome.com.tw/news/144078" target="_blank">安裝數超過13億</a>的Windows 10平臺，今年7月起大部分都看不到Adobe Flash Player了。</p> </div></div></div>
2021/5/4 13:35作者林妍溱https://www.ithome.com.tw/news/144171
蔡英文總統首度在臺灣資安大會，揭櫫「資安即國安2.0」戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球第一場實體舉辦的資安活動「CyberSec 2021 臺灣資安大會」於今年5月4日～5月6日假南港展覽館二館舉辦，總統蔡英文亦第三度蒞臨臺灣資安大會致詞，並首度在公開場合揭櫫「資安即國安2.0」國安戰略內容，而美國在台協會處長酈英傑（William Brent Christensen）也首度蒞臨臺灣資安大會致詞。</p> <p>蔡英文表示，臺灣在資安即國安1.0的基礎上，推動資安即國安2.0資安戰略，不僅成立新設立的數位發展部，也會成立專責的資通安全署，將會提升對關鍵基礎設施及核心資料庫的防護，並且會持續強化組織、落實法制、培養人才及支持產業，政府和民間企業攜手打拼，共同建立堅韌、安全、可信賴的智慧國家。</p> <p>臺灣資安大會在去年，是全球暨美國RAS資安會議後，第二場可以實體舉辦的資安會議，因為臺灣民眾防疫有成，今年臺灣資安大會更是全球第一個可以實體舉辦的資安會議。今年，超過一萬名會眾報名三天議程與展覽，議程內容超過200軌，參與業者超過200家，展覽規模更是去年的1.5倍，場邊活動除了連續第四年舉辦的臺灣資安館外，更首度新增資安人才專區「Cyber Talent」、資安品牌日、US-Taiwan AIT Day等活動，「CyberSec Playgroung資安體驗區」的體驗活動，更從去年資安桌遊和知識問答外，擴增到7個體驗活動。</p> <h2><span style="color:#0000FF;"><strong>在資安即國安1.0基礎下，首度公開資安即國安2.0戰略</strong></span></h2> <p>蔡英文去年於臺灣資安大會致詞時，面對現場政府部門各個與資安相關的首長到場時曾表示，政府資安首長「傾巢而出」，今年與資安相關的部會首長、副首長也全員到齊，到場長官包括：國家安全會議秘書長顧立雄、行政院副院長沈榮津、國家發展委員會主委龔明鑫、行政院政務委員唐鳳、行政院政務委員郭耀煌、經濟部部長王美花、國防部中將李廷盛、科技部部長吳政忠、國家安全會議諮詢委員李漢銘、國家通訊傳播委員會主委陳耀祥、金融監督管理委員會副主委許永欽、行政院科技會報執行秘書葉哲良等人。蔡英文表示，資安部會首長到場表示，除了表示政府重視資安，更意味著，當資安列為國家重要戰略，在「資安即國安」戰略方針下，資安也是臺灣產業發展必須要把握的關鍵領域。</p> <p>蔡英文在去年520就職演說中提到，臺灣要在五加二產業創新的基礎上，打造六大核心戰略產業，更要在5G和數位轉型的浪潮中，全力打造可以保護自己、也能被世界所信賴的資安系統以及資安產業鏈。政府可以做出這樣宣示的前提在於，這幾年在政府和民間共同努力下，臺灣在資安領域上能量充沛。</p> <p>資安即國安戰略推動可以分成政府和民間兩個部分。蔡英文進一步指出，政府積極推動「資安即國安1.0」的國家戰略，除了成立資通安全處，國防部也成立資通電軍，法務部調查局打造資安工作站，而立法院也通過資通安全管理法的法案，政府積極從法制、組織一直到公部門資安人才面向，一一打下基礎。</p> <p>至於在民間部分，她指出，在產業界以及各界的支持下，臺灣的資安戰隊不斷在國際攻防比賽上取得好成績，像是在臺灣業者在Pwn2Own資安大賽奪冠、在臺灣資安團隊實力享譽國際的同時，也意味著，臺灣資安產業已經推出一批又一批優秀的資安人才。</p> <p>今年臺灣資安大會有超過二百個資安品牌參展，蔡英文表示，這些資安業者不僅有技術實力、創新想法，更可以提供解決方案，這就是臺灣發展資安產業的競爭力所在。她說，展望後疫情時代，可以預期，疫情階段所推廣、運用的各種資通訊技術，將會更深入日常生活中，因此，從AIoT應用普及到萬物聯網、萬物都需要做好資安，資安已經是日常所需。</p> <p>臺灣位於民主前緣，不只是國際上資安攻防的熱區，更是第一線的練兵場，在時代趨勢下，在我們所處的位置，蔡英文直言：「資安的挑戰，不只是挑戰，也是臺灣的機會。」她強調，臺灣要一起把挑戰轉換成機會，和國際夥伴共同創造網際空間繁榮，並且發展臺灣獨特優勢。</p> <p>接下來，政府進階推出「資安即國安2.0」國安戰略，蔡英文表示，透過規畫新成立的數位發展部，並且成立專責的資通安全署，提升對關鍵基礎設施及核心資料庫的防護能量，並且會透過持續強化組織、落實法制、培養人才，以及支持產業等方式，落實資安即國安2.0。她也期待，可以在政府部門和民間企業攜手努力下，共同建立堅韌、安全、可信賴的智慧國家。</p> <h2><span style="color:#0000FF;"><strong>美國AIT：公私協力才是解決資安問題最佳利器</strong></span></h2> <p>今年，酈英傑首度蒞臨臺灣資安大會致詞，貼切證明臺美合作日益密切的今日，資安合作已經是不可迴避的重要議題。他認為，優秀的資安要從高層做起，從臺灣資安官員共同參與盛會，不只是單純的象徵意義，也表示政府肯定資安的重要性。他表示，過去一年半以來，AIT與臺灣聯合舉辦許多重要資安活動和計畫，包括去年安排訪問團出席舊金山舉行的RSA資安會議，還一同舉辦關鍵基礎建設線上研討會，關鍵基礎設施資安戰略資安高峰論壇，並舉辦先進製造的資安防禦新思維論壇等等。</p> <p>美國持續高度重視資安，並研擬各種措施因應資安挑戰，事實上，針對公私部門不斷進行的各種網路攻擊，他認為，網路攻擊危害的不只是經濟成長和國家安全，隨著美臺經濟走向全面數位轉型，確保各種科技智能物聯網裝置可以保持安全，更是至關重要。</p> <p>他表示，資安無法只靠政府干預的單打獨鬥方式來完成，一定要有政府和民間合作的公私協力，才有辦法落實資安防護。像是美國政府先成立資安與基礎建設安全局，又進一步設立國家網路總監新職位，強化政府對資安防護的組織和能力，但他說：「資安無法只靠政府干預，這種單打獨鬥的作法來完成，」可以在臺灣最大的資安大會也是民間企業組織的商展上致詞，證明公私部門在資安領域共同合作的重要性。</p> <p>酈英傑表示，很多資安公私資安部門投入心血，研究資安弱點，研發科技，並且部署解決方案，大部分倍發現的資安弱點，包括近期的Solarwinds和微軟Exchange電子郵件漏洞，都是民間私人公司發現，所以，美國國會跨黨派議員也建議公私部門應該在資安領域攜手合作，而美國政府首席資訊安全長也公開表示，未來，白拜登政府也將致力為產業夥伴敞開大門。他也說，臺灣政府機關與民間企業攜手在臺灣資安大會的合作，更證明臺灣與美國在維護資安的作法上，與其他許多領域合作一樣密切。</p> <h2><span style="color:#0000FF;"><strong>展現臺灣資安實力，首度展示戰術偵搜無人直升機</strong></span></h2> <p>iThome總編輯暨臺灣資安大會主席吳其勳表示，感謝臺灣民眾守護疫情，讓臺灣資安大會成為全世界第一個實體舉辦大型資安會議，二百個參展業者中，臺灣資安品牌超過50個，其中更有幾個臺灣資安業者，已經展現出國際資安品牌氣勢，更足以見證臺灣資安產業近幾年的蓬勃發展。除美國外，包括英國、以色列、荷蘭、盧森堡、澳洲等駐臺代表都蒞臨現場，這也開啟國際資安合作大未來。</p> <p>他也說，全球疫情並沒有趨緩，資安威脅更形嚴峻，資安議題不僅是技術問題，更是重要的政治議題，像是目標式勒索軟體勒索企業的贖金屢創天價，特定國家幕後主導的供應鏈軟體攻擊，已經重創全球企業和政府機關，而境外敵對勢力對臺灣的威脅和各種假新聞、資安戰威脅更不曾稍歇。臺灣透過思考「TRUST: redefined 信任重構」，匯集各界專家智慧，找尋發揮臺灣資安優勢的新契機。</p> <p>第四屆舉辦的臺灣資安館，今年「臺灣資安自主研發特展」匯集超過50家臺灣資安業者，展現臺灣資安品牌實力；更在「智慧臺灣安全展」中，展示進階資安場域防護成果，更首度對外實機展出整合國產戰術偵搜無人直升機，結合5G高速通訊、5G高解機度攝影機，並採用安全晶片做無人機的身分驗證。</p> <p>今年首度新增的資安人才專區，透過資安人才論壇、資安女力論壇和各種產學對話、職職涯諮詢等活動，串連資安新鮮人與資安育才、用才單位，其中，獲得Pwn2Own破解大師、戴夫寇爾首席資安研究員Orange Tsai、國防部參謀本部資通電軍指揮部少校周文馨等人參與論壇，分享自身職涯經驗。另外在今年首度推出的活動還包括「US-Taiwan AIT Day」，如果在其他國家看到的美國館展覽區一樣，會場中帶來全球最新資安趨勢和前瞻技術，並促進臺美雙方資安產業合作交流。</p> <p> </p> </div></div></div>
2021/5/4 14:00作者黃彥棻https://www.ithome.com.tw/news/144172
Angular 12停止支援老舊View Engine工作管線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在最新的<a href="https://blog.angular.io/upcoming-improvements-to-angular-library-distribution-76c02f782aa4">Angular 12</a>中，官方將棄用稱為View Engine的舊版編譯和渲染工作管線，這項更改不需要開發者執行任何的動作，而相依於View Engine的函式庫，則能透過相容性編譯器ngcc繼續正常運作。</p> <p>從去年開始，Angular就開始預設使用新的渲染和編譯工作管線Ivy，希望讓Angular能夠更簡單、快速，而且易於維護，官方一直在微調靜態檢查和動態建構的平衡，確保Angular能夠提供良好的類型檢查、建構最佳化，並且快速偵測變更。從版本9開始，新的Angular應用程式便已經預設啟用Ivy。</p> <p>而為了讓先前使用View Engine函式庫的應用程式也能向後相容，官方開發了ngcc的相容編譯器，開發者會在創建新專案或安裝相依項目的時候，看到ngcc的運作。官方解釋，ngcc是編譯View Engine函式庫的方法，可以讓Ivy應用程式方便地使用，ngcc運作非常高效能，而且只會在必要的時候被呼叫，不過仍是安裝相依項目和執行專案額外的一個步驟。</p> <p>由於存在相依於View Engine函式庫的意思，代表官方無法移除舊的實作，這樣不只增加維護成本，也是拖慢整體Angular發展的速度，所以作為轉換過渡時期，官方制定了Ivy函式庫發布計畫，來加速這個過程。當前開發人員可以將Ivy或View Engine用於應用程式或函式庫，而要將整個生態系統搬遷到Ivy，開發人員需要一個平滑的更新過程，官方觀察到，當前絕大多數的應用程式，都已經使用Ivy。</p> <p>但是與此同時，所有的函式庫仍均為View Engine格式，透過相容性編譯器，開發人員可以在Ivy應用程式和函式庫中使用這些函式庫，而反過來View Engine是無法相依於Ivy。綜合以上結果，並且參考函式庫和應用程式作者的回饋，官方決定在Angular 12啟動加速轉移的計畫，官方棄用了View Engine，並且禁止使用View Engine創建應用程式的功能，而且新函式庫專案將預設使用Ivy。</p> <p>為了確保相依Angular框架和元件的函式庫可以平穩過渡，官方會繼續使用View Engine格式發布，但是到了Angular 13，當大多數第三方函式庫已經使用Ivy時，官方便會計畫過渡Angular和元件。</p> <p>目前所有專案都不需要為這些改變採取任何新措施，不會影響應用程式開發人員的日常開發工作，但建議仍在使用View Engine的開發者轉移到Ivy，而對於View Engine應用程式或是函式庫所相依的函式庫，官方建議作者繼續以View Engine格式發布，在所有相依的函式庫和應用程式搬遷到Ivy前，不要以Ivy函式庫發布。</p> </div></div></div>
2021/5/4 11:41作者李建興https://www.ithome.com.tw/news/144167
Google推遊戲專用雲端儲存開源專案Open Saves
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端與知名遊戲開發商2K合作，推出全新開源且雲端原生的遊戲儲存<a href="https://cloud.google.com/blog/products/media-entertainment/introducing-open-saves">Open Saves</a>，這是一個專門為多儲存後端設計的單一介面，遊戲開發團隊可以不需要對特定解決方案，諸如Cloud Storage、Memorystore或Firestore做出技術決策，就能夠簡單地儲存遊戲資料。</p> <p>Google提到，現在的遊戲內容非常豐富，遊戲需要有大量儲存技術來確保遊戲資料，可以達到玩家對於遊戲的要求，開發人員不僅需要儲存像是進度檔、清單、重播等不同類型的遊戲資料，同時也需要高效能、高可用、高可擴展性且符合成本效益的儲存系統。</p> <p>現在遊戲開發團隊可以使用Open Saves儲存來保存遊戲資料，而且不用擔心後端所使用的儲存解決方案，Open Saves的開源核心運作在Kubernetes之上，可處理快取儲存、結構化儲存和大量資料儲存（Bulk Store），當對應GCP服務時，則能使用Cloud Memorystore、Cloud Datastore以及Cloud Storage。</p> <p>Open Saves提供遊戲開發人員一個雲端原生遊戲儲存系統，由於該儲存提供元數據，結構化和非結構化物件所有操作，一個統一且定義明確的gRPC端點，因此使用起來簡單，且Open Saves內建快取系統，能夠根據存取頻率和資料大小最佳化資料留存，因此能夠提供小型二元物件低延遲存取，而且對較大物件也能實現高吞吐量。</p> <p>Open Saves採用了高度靈活且彈性的架構，Open Saves API伺服器可在Google Kubernetes Engine或Cloud Run上運作，這兩個平臺都能夠快速擴展，應付每秒數十萬個請求，而且Open Saves還能將資料儲存在Firestore和Cloud Storage中，每秒可處理數百GB的資料，以及高達數百萬個請求。Google提到，在設計Open Saves時，就考慮到了可擴展性，並且能夠靈活地整合到任何遊戲上，無論是行動還是主機、單人或多人遊戲，也支援在企業內部部署和混合架構的基礎設施上執行。</p> <p>Open Saves伺服器以Go語言編寫，但由於API被定義在gRPC中，因此開發者可以使用多種程式語言，並且從客戶端或是伺服器連接。</p> </div></div></div>
2021/5/4 11:50作者李建興https://www.ithome.com.tw/news/144168
Verizon又要把Yahoo賣掉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>買入Yahoo後不到5年，<a href="https://www.verizon.com/about/news/verizon-media-be-acquired-apollo-funds" target="_blank">Verizon周一宣布</a>將之出售。</p> <p>Verizon以50億美元的代價，把包括Yahoo在內的Verizon Media賣給資產管理顧問公司Apollo Global Management。而Verizon也將藉此出售案，獲得42.5億美元的現金入袋。</p> <p>本案預計今年第二季交易完成。Verizon未來將對現名Verizon Media新公司持股10%。Verizon Media現任執行長Guru Gowrappan則仍持續掌理新公司。</p> <p>Verizon於<a href="https://www.ithome.com.tw/news/107349" target="_blank">2016年7月宣布</a>以48.3億美元買下Yahoo，但因同年爆發洩密案，最後<a href="https://www.ithome.com.tw/news/112264" target="_blank">收購價縮水</a>3.5億美元來到44.8億美元。Verizon買下Yahoo大部份資產，包括入口網站、搜尋引擎等，改名為Verizon Media。</p> <p>除了Yahoo外，Verizon Media業務還包括AOL及廣告科技、媒體平臺服務。<a href="https://money.cnn.com/2015/05/12/investing/verizon-buys-aol/index.html" target="_blank">2015年Verizon</a>斥資了44億美元買下AOL。透過這樁收購，Verizon也掌握了知名媒體包括The Huffington Post、 TechCrunch 與Engadget。</p> <p>Verizon指出，出售Verizon Media將可加速公司成長，為員工、廣告商、出版商夥伴及全球每月近9億的用戶帶來利益。</p> <p>Verizon表示，Verizon Media在廣告、消費電子商務、訂閱及策略合作帶動下，過去兩季接連營收成長。Yahoo作為全球知名數位媒體品牌，是全球造訪人次第4大的線上資產，尤其以理財服務和年輕世代新聞受到歡迎。</p> <p>這項出售也顯示Verizon想出脫媒體業務，專注在<a href="https://www.ithome.com.tw/news/129336" target="_blank">5G</a>等電信業務上。對前網路巨人Yahoo而言，這可能又將重啟經營獲利的求生挑戰，至少過去幾年證明，即使找來Google前高層Marissa Mayer也未能脫胎換骨，才淪為賣給Verizon的結果。</p> </div></div></div>
2021/5/4 12:13作者林妍溱https://www.ithome.com.tw/news/144170
SonicWall SSL VPN設備漏洞被用於勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>濫用SSL VPN設備漏洞作為發動勒索軟體攻擊的入侵手段，已有數起事故發生，許多廠牌的設備接連成為攻擊目標。<a href="https://www.fireeye.com/blog/threat-research/2021/04/unc2447-sombrat-and-fivehands-ransomware-sophisticated-financial-threat.html">FireEye於4月29日揭露濫用Fivehands勒索軟體的攻擊行動</a>，駭客目標是歐洲和北美的組織，一旦勒索軟體攻擊成功，駭客不只會藉由媒體的關注來向受害者施加壓力，還會在駭客論壇出售資料獲利。而攻擊者入侵企業的管道，就是透過SonicWall SSL VPN設備的重大漏洞CVE-2021-20016，然後在受害電腦植入名為SombRAT的後門程式，並展開勒索軟體攻擊。</p> <p>關於CVE-2021-20016，這是與SQL注入攻擊有關的漏洞，CVSS風險評分為9.8分。該漏洞存在於SonicWall的SMA 100系列設備，雖然SonicWall在2月已著手修補，並發布更新軟體與<a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0001">資安通告</a>，但在駭客濫用的時候，這仍是未知漏洞。</p> <p>而對於此起攻擊行動背後的攻擊者，FireEye認為是他們自2020年11月開始追蹤的UNC2447。過往該組織曾經使用Ragnar Locker勒索軟體，較為近期運用的勒索軟體則是HelloKitty，以及本次揭露的Fivehands。FireEye認為，UNC2447自2020年5月至12月使用HelloKitty，到了2021年1月開始轉換並改用Fivehands。</p> <p>關於HelloKitty這款勒索軟體，FireEye指出UNC2447曾經用來攻擊知名遊戲開發商CD Projekt。不過，<a href="http://www.ithome.com.tw/news/142720">CD Projekt公布遭到駭客勒索的時間是今年2月</a>，根據FireEye推斷駭客使用HelloKitty的時間點，那麼CD Projekt很有可能在2020年5月至12月之間就遭到攻擊。</p> <p>除了HelloKitty與Fivehands是同一組駭客前後使用的勒索軟體，FireEye也指出這2款勒索軟體的共通特點。該公司經分析程式碼後發現，HelloKitty與Fivehands都是從一款名為DeathRansom的勒索軟體衍生而來的變種，且具備許多共通之處，例如，這些勒索軟體都使用相同的程式碼來刪除磁碟區陰影複製（Volume Shadow Copy）的備份資料，再者，在加密的過程中，它們對於被加密的檔案，會產生唯一對稱金鑰。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/sonicwall-vpn-hellokitty.png" style="width: 580px; height: 411px;" /></p> <blockquote><p>對於UNC2447本次攻擊事故所使用的勒索軟體Fivehands，以及該組織先前運用的另一款勒索軟體HelloKitty之間的關連，FireEye也公布了一張螢幕截圖，內容是Fivehands提供受害者與駭客討論付贖金事宜的Tor網站畫面，其網站圖示就是凱蒂貓（箭頭處）。</p> </blockquote> <p>至於此起攻擊事故受害規模為何？FireEye沒有進一步說明，但公布入侵指標讓企業管理人員可加以防範。</p> </div></div></div>
2021/5/3 16:39作者周峻佑https://www.ithome.com.tw/news/144166
紐約州強制ISP業者優待低收入戶，被告了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紐約州州長Andrew Cuomo於4月中旬<a href="https://www.ithome.com.tw/news/143924" target="_blank">簽署一項法案</a>，要求ISP業者只能向當地符合資格的低收入戶，收取每月最高15美元的寬頻費用，不過，美國紐約州電信協會（NYSTA）、美國無線產業協會（CTIA）及美國通訊協會ACA Connects等6個集結眾多ISP業者的組織，在4月30日<a href="https://api.ctia.org/wp-content/uploads/2021/04/new-york-telecom-complaint.pdf" target="_blank">告上了法院</a>，要求法院禁止該法案的執行。</p> <p>紐約州州長Cuomo宣稱該法案是全美第一個平價網路規定，估計可造福紐約州270萬個家庭的700萬名民眾。</p> <p>然而，NYSTA、CTIA、ACA Connects、USTelecom、NTCA與SBCA這6個代表美國ISP業者的協會指出，儘管該法案立意良善，但對費率的規定與FCC在2018年的決定相牴觸，當時美國巡迴法院把寬頻視為州際通訊服務而非公用服務，此外，紐約州對費率的規定侵犯了聯邦的獨有管轄權，沒有任何一州曾經成功制定相關法令，紐約州越權了。</p> <p>Cuomo新簽署的法案，原本預計要在今年的6月15日以前執行。<a href="https://www.ctia.org/news/statement-on-challenge-to-new-york-broadband-law" target="_blank">CTIA批評</a>，此一法案不僅應為聯邦先占，同時紐約州還忽略了國會近日頒布的每月50美元寬頻補貼政策，以及自疫情蔓延時，ISP業者所捐贈或祭出的各種優惠方案。</p> <p>在得知ISP業者提出訴訟後，Cuomo態度強硬。<a href="https://www.governor.ny.gov/news/statement-governor-andrew-m-cuomo-telecom-companies-fighting-against-new-yorks-groundbreaking" target="_blank">Cuomo認為</a>，不論是從遠距學習、醫療或工作的觀點來看，寬頻都是一項不可或缺的服務，而這也是為什麼要確保紐約州的低收入戶能夠負擔寬頻服務，他知道電信業者會因此而沮喪，然而，要在紐約提供網路服務並非是件理所當然的事，假使電信業者想挑起戰火，阻礙數百萬紐約人取得此一基本服務的能力，那就放馬過來吧！</p> </div></div></div>
2021/5/3 14:31作者陳曉莉https://www.ithome.com.tw/news/144163
中國有33款過度蒐集個人資訊的行動程式被勒令整改
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國今年5月1日才開始實施<a href="http://www.cac.gov.cn/2021-04/28/c_1621189343818638.htm" target="_blank">有關行動程式的隱私法令</a>，同一天就警告了<a href="http://www.cac.gov.cn/2021-04/30/c_1621370239178608.htm" target="_blank">違反相關法令的33款行動程式</a>，它們主要為輸入法、地圖/導航與即時通訊程式。</p> <p>中國互聯網信息辦公室、工業和信息化部、公安部與國家市場監督管理總局，在今年3月共同發布《常見類型移動互聯網應用程序必要個人信息範圍規定》，主要用來規範行動程式的個人資訊蒐集行為，它明訂了地導/導航、網路叫車、即時通訊及網路購物的39類行動程式所必要蒐集的個人資訊，也要求開發者不得因為用戶不提供非必要的個人資訊，而拒絕提供程式的基本功能，該規定於今年5月1日正式上路。</p> <p>同一天中國互聯網信息辦公室就公布了33款蒐集過量用戶資訊的行動程式，當中有15款為輸入法程式，包括搜狗、百度、章魚及QQ輸入法等，被點名的還有17款地圖與導航程式，涵蓋高德地圖、百度、騰訊、北斗導航與導航犬等，違反原因都是蒐集了與服務無關的個人資訊。唯一一款即時通訊程式為連信，該程式由浙江簡信科技所開發，它不僅誘導用戶同意其存取手機通訊錄，還向通訊錄的聯絡人寄送行銷簡訊。</p> <p>中國政府指出，行動程式過度蒐集個人資訊，或是強制授權與過度索權等現象大量存在，違規使用個人資訊的問題十分明顯，也造成使用者強烈的反彈。</p> <p>該規定要求各大行動程式商店在5月1日之後，必須根據新的規定審核申請上架的程式，除了禁止違規的程式上架之外，也應將已上架的違規程式下架。首波遭到點名的33款程式必須在10個工作天之內完成整改，否則便將受罰。</p> </div></div></div>
2021/5/3 14:53作者陳曉莉https://www.ithome.com.tw/news/144164
SAP坦承非法出貨給伊朗，付給美國政府逾800萬美元的罰金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-ma/pr/sap-admits-thousands-illegal-exports-its-software-products-iran-and-enters-non" target="_blank">美國司法部於4月29日宣布</a>，德國軟體業者SAP因違反美國的《出口管制條例》（Export Administration Regulations，EAR）與《伊朗貿易制裁規定》（Iranian Transactions and Sanctions Regulations），同意支付逾800萬美元的罰金予美國司法部、商務部及財政部。</p> <p>美國司法部說，由於SAP是自願揭露，且全面配合美國的調查，再加上已耗資超過2,700萬美元進行補救，使得美國麻州的檢察官辦公室與司法部的國家安全部門同意與SAP簽署不起訴協議，同時SAP亦將交出514萬美元的不法所得。</p> <p>調查顯示，SAP與其全球合作夥伴，在2010年至2017年間，釋出源自美國的軟體予伊朗的使用者，期間的更新或修補超過2萬次，下載相關更新或修補程式的主要是位於伊朗的14家業者，且SAP在土耳其、阿拉伯聯合大公國、德國或馬來西亞的合作夥伴，都知道它們是伊朗公司。</p> <p>此外，大約從2011年到2017年，SAP雲端業務部門旗下的公司，也允許2,360名伊朗使用者存取位於美國的雲端服務，主要是其中許多公司在SAP收購時，並未適當稽核其出口管制，也缺乏制裁合規流程，再加上SAP允許這些公司維持獨立運作，而形成缺口。</p> <p>不過，美國認為SAP不但自願揭露此事，也相當配合調查，同時已耗費2,700萬美元的成本來進行補救，包括導入IP封鎖功能，停用數千名伊朗用戶存取SAP雲端服務的能力，開始稽核雲端公司及其合作夥伴的出口管制，並更注重之後併購公司的合規細節，因而決定不予起訴。</p> <p>美國麻州代理檢察官Nathaniel Mendell表示，SAP承認該公司在這6年來違反美國對伊朗的制裁，並危及美國的國家安全，此一和解協議也可供其它業者參考：在網路上所發布的軟體、銷售的服務或產品，都應遵守美國的出口法令與規定。</p> </div></div></div>
2021/5/3 11:47作者陳曉莉https://www.ithome.com.tw/news/144162
花蓮慈濟用一支App整合兩大醫院核心系統，更導入醫療專用AI框架Clara判讀PACS影像
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://gtc21.event.nvidia.com/media/Turnkey%20AI-Assisted%20Solution%20Speeds%20Diagnosis%20%5BS34520%5D/1_x0hmfn9e/205808283">花蓮慈濟醫院日前揭露行動AI應用成果</a>，他們將醫師專用的MobiHIS行動巡房App，整合醫院兩大核心系統：醫療資訊系統（HIS）和醫療影像儲傳系統（PACS），來即時調閱患者病歷、就醫紀錄和醫學影像，同時也導入在醫療AI開發框架Clara上訓練的AI模型，來讓醫師直接在手機或平板上快速判讀疾病，像是肝臟腫瘤、COVID-19肺炎病灶等。接下來，花蓮慈濟還要用App上的標註系統，來訓練更多醫療AI，讓醫師用單一App掌握更多病況、及時診斷。</p> <p><strong><span style="font-size: 22px;">全力發展醫療AI，要用單一App串接HIS、PACS和AI</span></strong></p> <p>花蓮慈濟去年開始全力發展醫療AI，先是在2020年中買下Nvidia超級電腦系統DGX A100，再利用Nvidia NGC雲端平臺上的預訓練模型和醫療AI開發框架Clara，來打造AI模型。他們首先導入應用的AI，就是2020年下半年，在NGC平臺上開發的COVID-19肺炎偵測AI，以及另一套能從電腦斷層掃描（CT）中，揪出微小病灶的肝臟腫瘤偵測AI。</p> <p>這些模型，全都導入到花蓮慈濟原有的行動巡房App，也就是他們發展行動醫療和AI的核心。花蓮慈濟醫院資訊部副主任Andy Chen指出，這款App是他們與PACS大廠商之器一起開發，整合了醫院兩大核心系統HIS和PACS，讓醫師不受時間和地理位置限制，就能直接在行動裝置上查看關鍵資訊，像是病歷資料、護理紀錄、用藥紀錄、手術紀錄、檢查檢驗報告，甚至是CT、X光片、MRI、超音波等醫學影像。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HIS.png" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/eg.png" /></p> <p>在這些基礎上，他們進一步整合Nvidia NGC和Clara，將微調過的平臺預訓練模型導入行動巡房App，讓醫師用手機或平板就能查看AI判斷的結果。不只如此，為加速影像標記作業，他們還在App中加入自動輔助標記系統XAnnotation，結合Nvidia的AI自動輔助標註（AIAA）機制，來讓醫師利用零碎時間，標記AI學習所需的影像材料。</p> <p>Andy Chen指出，XAnnotation除了能自定義AI標籤外，還可讀取不同格式的醫學影像，像是DICOM、JSON和PNG等。對醫師來說，他們也可手繪來標註影像，而且，醫院也能選擇要在雲端或本地端使用XAnnotation。</p> <p>最後，醫師能看見AI判讀結果，還有賴於行動巡房App整合的另一個系統，也就是獲得臺美TFDA和FDA認證的UDE App。UDE App由商之器研發，除了串接了PACS，也整合Clara AI模型，將模型判讀結果呈現給醫師。</p> <p>這個流程聽來也許複雜，但從下圖可看出，當醫院PACS產出醫學影像後，會送至商之器的小型醫療影像儲傳系統mini-PACS，再以DICOM格式送到商之器的AI整合引擎。此時，影像會再送到Clara平臺，讓平臺模型來判讀，並將輸出值傳送至UDE App，讓醫師查看判讀結果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/workflow.png" /></p> <p>要是AI判讀有誤、須重新標記，就可透過XAnnotation App來操作，而XAnootation也會呼叫AIAA來自動輔助標記。標記過的資料，就會送至Clara平臺，作為模型反饋，讓模型更精進。</p> <p>這支App推動花蓮慈濟醫療行動化的同時，也用SSL加密方法來兼顧資安，因此醫師不會有一套固定的密碼，而是每次登入時，都得使用不同的密碼，來保障資料不外洩。</p> </div></div></div>
2021/5/3 00:27作者王若樸https://www.ithome.com.tw/news/144151
卡巴斯基發現疑似CIA工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>卡巴斯基近日公布一隻惡意程式樣本的分析研究，顯示可能是美國中情局（CIA）發展的攻擊工具。</p> <p>這隻後門程式為2019年2月卡巴斯基及多家防毒廠商蒐集到的樣本之一，它的手法之複雜引起了研究人員的注意。根據分析，這隻程式是在2014年組譯而成，並可能在2014年、最遲2015年底部署於網路上。雖然它的程式碼未見於任何已知惡意程式，但是編碼型態和所用技巧，則和卡巴斯基發現的Lambert家族惡意程式有多處共通性，因此他們將之命名為<a href="https://securelist.com/apt-trends-report-q1-2021/101967/" target="_blank">Purple Lambert</a>。</p> <p>Lambert是卡巴斯基用以追蹤中情局駭客行動的代號。它等於賽門鐵克2017年分析維基解密（Wikileaks）揭露的中情局Vault7檔案中，<a href="https://www.ithome.com.tw/news/113377" target="_blank">所發現到的Longhorn</a>，都指向和CIA有關的駭客工具或組織。</p> <p>卡巴斯基掌握的Lambert家族包含多種顏色的惡意程式，從最早<a href="https://www.ithome.com.tw/news/94142" target="_blank">開採Windows TrueType字型零時差漏洞</a>的BlackLambert，再發展出藍、綠、白、灰，以及最新的紫色。</p> <p>卡巴斯基指出，Purple Lambert包含多種模組，以網路模組被動聽取魔法封包（magic packet，用以遠端電腦開機）。Purple Lambert類似Lambert家族下的使用者模式被動聽取程式Gray Lambert，後者則是用以取代核心模式的被動聽取器White Lambert。而Purple Lambert則兼具Gray及White Lambert的特色。它可將感染系統的基本資訊提供給攻擊者，並執行由外部接收到的惡意酬載。</p> <p>這是CIA工具少數被揭露的駭客工具。除了維基解密外，安全公司分別只在2018年的<a href="https://securelist.com/apt-slingshot/84312/" target="_blank">Slingshot</a>、2019年的<a href="https://www.welivesecurity.com/2019/11/21/deprimon-default-print-monitor-malicious-downloader/" target="_blank">DePriMon</a>惡意程式中，偵測到和Lambert相關的證據。去年中國資安業者<a href="https://www.ithome.com.tw/news/136154" target="_blank">奇虎360公布報告</a>，顯示CIA從2008年到2019年間，持續針對中國的航太組織、科學研究機構、石油產業、網路公司與政府部門發動網路攻擊。</p> </div></div></div>
2021/5/3 10:30作者林妍溱https://www.ithome.com.tw/news/144154
歐盟：蘋果以獨大地位扭曲串流音樂市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_21_2061" target="_blank">歐盟周五表示</a>，蘋果要求iOS串流音樂App使用它的支付機制，是以獨大地位扭曲市場競爭秩序的行為。</p> <p>歐盟2019年針對串流音樂平臺Spotify控訴蘋果壟斷行為展開調查，並在上周五公佈異議聲明（Statement of Objection）顯示初步裁決。歐盟調查重點之一，是蘋果強制iOS App業者使用其程式內購買（in-app purchase，IAP）機制，並從IAP銷售的所有訂閱內容收入分帳30%。另一調查重點，是蘋果對App開發商施加種種限制，不允許他們告知iPhone或iPad用戶有其他更便宜的支付選項，即「限制引導條款」（Anti-steering provisions）。</p> <p>歐盟競爭委員會初步判定，由於蘋果要求App開發商使用其獨家IAP，來散佈付費內容以從中收取30%的佣金，讓大部份串流內容供應商必須抬高價格，將費用轉嫁到使用者身上。第二，針對「限制引導條款」，歐盟認為雖然蘋果允許用戶在其他管道購買音樂訂閱內容，但卻不允許開發商主動告知用戶其他、通常也較便宜的支付選項，這使得蘋果裝置用戶得付更高費用訂閱音樂服務，或者不得直接在iOS App中購買特定訂閱內容。</p> <p>因此歐盟競爭委員會初步認為，蘋果的規定造成競爭者提高音樂價格，扭曲串流音樂服務市場競爭，進而造成以IAP購買訂閱內容的消費者得付更高價格。此外，蘋果也成為所有IAP交易的中介平臺，掌管競爭者和消費者之間的支付關係及相關通訊。</p> <p>主管歐盟競爭委員會的執行副總裁Margrethe Vestager指出，歐盟初步調查顯示蘋果透過App Store成為iPhone及iPad用戶的守門者；而利用App Music，蘋果也同時和音樂串流供應商競爭。藉由設立嚴格的App Store規定置競爭者於不利，蘋果向競爭者每筆App Store交易收取高額佣金，禁止它們告知客戶有其他訂閱選擇，最終剝奪使用者享用便宜串流選擇的權利，妨礙競爭。</p> <p>歐盟將持續調查，一旦最後證實上述行為屬實，將違反禁止濫用市場獨大地位的歐盟法律。</p> <p><a href="https://twitter.com/eldsjal/status/1388077786494029828" target="_blank">Spotify執行長Daniel Ek指出</a>，透過歐盟發出的異議聲明，市場向建立公平競爭更邁進一步，這對歐盟開發商整體生態體系至關重要。</p> <p>不過蘋果對此不服。<a href="https://techcrunch.com/2021/04/30/europe-charges-apple-with-antitrust-breach-citing-spotify-app-store-complaint/" target="_blank">蘋果發出聲明指出</a>，Spotify已是全球最大音樂訂閱服務商。Spotify 對99%的訂閱用戶交易都沒有付錢給蘋果，而剩下經由App Store服務的使用者，也只付了15%的佣金。本案的核心根本就是Spotify要求在其iOS App中提供廣告另類交易管道，全世界的軟體市集都不會允許。因此，蘋果認為Spotify只是想占盡App Store所有好處，但卻不想付出任何代價，而歐盟委員會偏袒Spotify的論點，實是公平競爭的相反寫照。</p> <p>Spotify告歐盟一案之外，蘋果還面臨遊戲業者如Epic Games在美國提出的反托拉斯官司，在一系列以iMessage指涉<a href="https://www.ithome.com.tw/news/143781" target="_blank">蘋果以壟斷為最高目的的文件</a>曝光後，後者也將在五月於加州法院進行審理。</p> </div></div></div>
2021/5/3 10:02作者林妍溱https://www.ithome.com.tw/news/144152
臺灣大型企業如何上手SRE，Google建議先做這4件事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以製造GPS聞名的Garmin，今年3月，在人力銀行網站發布了SRE（Site Reliability Engineering，服務可靠性工程師）招募資訊，要來負責維運在K8s環境上運作的製造管理系統，希望能確保系統的服務可靠性。</p> <p>但他們不是唯一一家要招募SRE的臺灣大型企業。根據Google臺灣的調查，去年，臺灣傳統大型企業，特別是製造業和金融業，開始接觸SRE維運理念，甚至開始嘗試導入SRE方法論。</p> <p>盛行國外多時的SRE作法，如今，在臺灣，不僅可在數位原生企業裡找到蹤影，這波SRE風潮也開始吹進傳統大型企業。根據iThome今年度的CIO大調查，有2.3%企業今年有意導入SRE。</p> <p>臺灣也有不少數位原生企業，早就開始實踐SRE，例如，17Live集團、91App、MaiCoin、生活市集等，都已採用SRE作法多時，或像Line臺灣也在去年，建立了本地的SRE團隊。</p> <p>從104人力銀行的SRE職缺數來看，今年4月，隨時都有逾70筆招募資訊，且發布職缺的企業橫跨各產業，從對SRE接受度較高的網路服務業，到銀行業、零售流通業、高科技製造業等產業，都可見對SRE人才的高度需求。像是中國信託、玉山、國泰世華等銀行業者，最近都在人力銀行上招募SRE人才。</p> <p>SRE是一種維運心態，以及確保系統可靠性的一系列實作、指標和慣例方法，但它不是最近出現的維運工程新作法，早在國外盛行了五、六年。</p> <p>2003年時，全球第一個SRE團隊誕生於Google，當時負責Google搜尋服務全天候維運工作的現任Google工程副總裁Ben Treynor Sloss，也就是SRE名稱的發明者，提出SRE理念，他宣稱，「可靠性應是任何產品設計的最基本概念。」</p> <p>Google有多重視和倚賴SRE一職，可從SRE在Google握有多大的權力，一窺究竟。時任Google儲存服務SRE部門總監Melissa Binde在一場演講中曾說，Google SRE維運人員「有做任何決定的權力，甚至，可關閉Google搜尋、Gmail等，都會獲公司高層的支持。」</p> <p>起初，SRE的出現是為了維持Google.com正常運作，隨著時間演進，Google SRE逐漸接管了Google內部絕大部分的正式系統，包含Gmail、GCP服務等，到了2014年後，Google開始對外揭露這個強而有力的維運工程職務，還有SRE作法，引起外界關注，並陸續有知名企業導入SRE，像是LinkedIn、Netflix等。</p> <p>觀察企業導入SRE的態勢，可從兩個企業屬性一探，分別是數位原生企業和傳統大型企業，而SRE導入過程則可大略分為三階段，第一，認識SRE方法論；第二，讓組織接受SRE文化；第三，在生產環節採用SRE作法。</p> <p>Google Cloud客戶解決方案經理林書平觀察，整體來看，臺灣數位原生企業導入SRE步調較快，包含了新創、媒體、遊戲等。林書平表示，數位原生企業多已跨過了，組織接受SRE文化的第二階段，開始開發符合SRE方法論的工具和服務，甚至，有些領先者已經在生產環境採用SRE作法。</p> <p>相較之下，臺灣傳統大型企業的採用腳步較慢，去年開始，才慢慢形成採用SRE的具體想法，多為製造業和金融業企業，其中又以高科技製造企業和銀行業的採用態度最為積極。</p> <p><span style="font-size:28px;"><strong>導入SRE前，企業需先丟掉舊包袱</strong></span></p> <p>傳統企業受舊技術和既有組織文化的束縛，導入SRE的過程中，相較數位原生企業，會面臨更多的挑戰，林書平點出Google臺灣觀察到的三大挑戰。第一個是流程面的挑戰，SRE須參與服務開發流程，與開發和IT維運團隊緊密合作，所以，面臨平衡開發和IT維運團隊間衝突的挑戰。</p> <p>開發團隊求的是持續創新，會不斷推出新功能，但，連帶影響了服務的穩定性，因此，與IT維運團隊求服務穩定的目標衝突。林書平表示，SRE會參與開發周期來掌握開發團隊設計功能的方式，還有整合自動化維運機制進原有IT維運程序，因此，企業需從流程角度切入，來平衡兩團隊目標上的衝突。</p> <p>其次是人員組織上的挑戰，傳統企業的各部門不旦龐大且各自為政，所以，部門間缺乏緊密的溝通，是推行SRE作法的阻力。林書平表示，傳統企業開發新功能時，各部門需利用工單溝通，過程冗長、耗時，違背SRE推行開發、維運和營運三方敏捷溝通的作法。</p> <p>第三點為文化面的挑戰，多數傳統企業面對意外事件時，會找出應承擔責任的團隊或人員，這與SRE推行的不究責文化（Blameless Culture）背離。SRE在意外事件發生後，會進行問題根源分析（Root Cause Analysis，RCA），講求對事不對人檢討，因為，在SRE概念裡，發生問題是正常的，而找出問題的改善方式是讓系統持續演進的動力來源。</p> <p>林書平表示，如果團隊因擔心究責，而相互卸責，並找方法掩蓋問題，便很難找出問題的真正原因，所以，企業想實踐SRE，需建立不究責文化，才能落實問題根源分析。不過，要形塑新的組織文化，單靠學習文化概念行不通。</p> <p>因此，林書平建議企業導入一些SRE實作，來開始慢慢建立SRE程序，逐步改變組織的文化思維。比如說，導入問題根源分析作法，回溯問題時，把焦點從討論問題的原因，轉為討論應採取哪些改善措施，來避免問題再度發生。</p> <p><span style="font-size:28px;"><strong>用SRE建立自動化維運機制</strong></span></p> <p>傳統維運工作多需仰賴人工手動操作，非常耗時，且工作項目高度重複，因此，SRE聚焦從軟體工程角度出發，開發自動化維運機制，來降低手動操作需求，提高維運效率。林書平表示，SRE方法論所設目標為，手動作業占5成以下SRE整體工作時間。</p> <p>但林書平表示，SRE團隊不會取代傳統IT維運團隊。SRE是從軟體工程角度思考，如何提升服務的可用性和可靠度，與傳統IT維運非常不一樣，且不會實際維運基礎設施的硬體，無法取代傳統IT維運團隊。</p> <p>相反的，SRE需與傳統IT維運團隊合作，了解傳統IT維運團隊如何維運硬體，來進一步將自動化維運機制與原有IT程序整合，還有與開發團隊合作，了解服務的設計方式，以知道如何維運、監控服務。</p> <p><span style="font-size:28px;"><strong>上手SRE，Google建議先做這4件事</strong></span></p> <p>如何上手SRE是不少有意採用企業苦惱的事，林書平建議，需先確立導入SRE的目標和目的，再行動。他提出4項SRE上手建議。首先，設定服務級別目標（Service-level Objective，SLO）。企業可從定義SLO開始，串聯SRE、營運、開發和IT維運單位一起討論，全體共同的服務預期狀態目標，再延伸定義服務水準指標（Service Level Indicator，SLI），決定監控機制需收集系統的哪些運作指標，來確立需觀測系統的哪些運作數據。</p> <p>其次，建立SRE強大的軟體工程開發能力。因SRE從軟體工程角度出發，開發維運工具，還有設計自動化維運機制，所以，組織內需有堅強的軟體開發工程人才。林書平提醒，SRE工程師不是單純的系統工程師或系統管理員，他們聚焦以軟體工程方式開發SRE工具。</p> <p>第三，企業管理高層應扮演強力後盾，全力支援SRE實踐。當SRE掌握的錯誤預算（Error Budget）已瀕臨臨界點時，需判斷如何調整系統運作狀況，或是新功能發布步調，來確保服務的穩定性。林書平表示，企業高層需賦予SRE相關決定權限，像是新功能發布權限，才可確保系統的穩定性，不然，SRE團隊就會淪為一般的維運團隊。</p> <p>第四點建議是，建立完善的反饋迴圈（Feedback Loop）。若發生意外事件，完成問題根源分析後，SRE需把改善行動反饋給所屬的職責團隊，像是向軟體開發部門提出軟體品質需改善的反饋，來避免相同事件再發生。</p> <p>比如累績逾3年SRE經驗的17Live，近期已開始規畫運用AIOps概念，建立具推論能力的災害預警及復原系統，自動偵測異常流量狀況，來協助SRE及早排除問題。</p> <p>為了呈現企業實踐SRE的經驗、方法和影響，iThome專訪了兩家臺灣企業分別是17Live和Line臺灣，請他們現身分享在地的SRE導入經驗，另外，還跨海視訊全球金融業界中，導入SRE的銀行先驅新加坡星展集團，向讀者揭露他們擁抱SRE的8大準則。儘管因企業屬性、系統運作狀況等各有不同，造就3家企業實踐SRE的做法不一樣，但，可以肯定的是，在這個需快速交付新功能的數位化時代，SRE已成為他們確保系統可靠性和可用性的靈魂人物。</p> </div></div></div>
2021/5/3 05:00作者黃郁芸https://www.ithome.com.tw/news/144119
微軟在IoT與OT裝置上發現一系列記憶體分配漏洞，可用來執行惡意程式或造成系統崩潰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Azure負責IoT安全研究的Section 52團隊，最近於物聯網（Internet of Things，IoT）與營運技術（Operational Technology，OT）裝置上，<a href="https://msrc-blog.microsoft.com/2021/04/29/badalloc-memory-allocation-vulnerabilities-could-affect-wide-range-of-iot-and-ot-devices-in-industrial-medical-and-enterprise-networks/" target="_blank">發現了一系列的記憶體分配漏洞</a>，可用來執行惡意程式或造成系統崩潰，這群漏洞被Section 52統稱為BadAlloc，由逾25個各別的漏洞所組成。</p> <p>其實Section 52團隊所發現的漏洞，是存在於各種平臺的記憶體分配功能中，從即時作業系統（RTOS）、嵌入式軟體開發套件（SDKs），以及C標準函式庫（libc）實作等，而這些平臺又被應用在消費者IoT裝置、醫療IoT裝置、工業IoT裝置、工業控制系統，以及OT裝置上。</p> <p>Section 52團隊說明，BadAlloc漏洞都是肇因於使用了含有漏洞的記憶體功能，涵蓋malloc、calloc、realloc、memalign、valloc與pvalloc等，研究顯示，作為物聯網裝置與嵌入式軟體的一部分，多年來的記憶體分配實作並未執行適當的輸入驗證，缺乏輸入驗證便將允許駭客開採記憶體分配功能，造成堆積溢位，進而讓駭客可於目標裝置上執行任意程式。</p> <p><a href="https://us-cert.cisa.gov/ics/advisories/icsa-21-119-04" target="_blank">美國國土安全部已列出了所有的BadAlloc漏洞</a>，以及受到BadAlloc漏洞波及的各式產品（如下圖），從Amazon FreeRTOS、Apache Nuttx OS、Google Cloud IoT Device SDK、Media Tek LinkIt SDK、IOT OS、到德儀的SimpleLink都在風險名單中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-IoT%20BadAlloc.png" style="width: 574px;" /></p> <p>由於含有BadAlloc漏洞的 IoT與OT 裝置非常普及，倘若被成功開採將對組織造成巨大的安全風險，幸好微軟迄今尚未看到BadAlloc遭到開採的跡象。</p> <p>微軟在公布漏洞之前便已先行知會各平臺或SDK的開發商，目前多數業者皆已釋出更新程式，Section 52團隊建議部署相關IoT與OT裝置的組織應儘速更新，假設無法立即更新，也應監控裝置的行為，並移除相關裝置不必要的連網能力以減少攻擊表面，或是透過防火牆把IoT/OT裝置網路與企業IT網路隔離。</p> </div></div></div>
2021/5/2 14:24作者陳曉莉https://www.ithome.com.tw/news/144150
一周大事：保險區塊鏈共享資料延伸到醫院。Ubuntu整合AD還支援SQL Server
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>證交所重大訊息處理程序修訂，上市公司發生重大資安事件應揭露於重訊，即日起實施</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-%E8%AD%89%E4%BA%A4%E6%89%80%E5%85%AC%E5%91%8AV2.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">iThome檔案照</span></p> <p>對於上市公司重大資安事件的揭露，在4月27日傍晚，臺灣證券交易所發布公告指出，由於發生資安事件對公司財務業務的影響，已是越來越高，同時也對公司商譽等可能有重大影響。因此，資安事件重大訊息發布與揭露相當重要，同時為了更有明確的法源依據，證交所已修訂重大訊息處理程序，明訂上市公司發生重大資通安全事件應發布重大訊息，即日起生效。<a href="https://www.ithome.com.tw/news/144098" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>保險區塊鏈共享資料機制納入醫療院所，民眾可授權醫院傳遞診斷證明與收據給保險公司</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0430-%E4%BF%9D%E9%9A%AA%E8%81%AF%E7%9B%9F%E9%8F%88-%E7%90%86%E8%B3%A0%E9%86%AB%E8%B5%B7%E9%80%9A%E7%A4%BA%E6%84%8F%E5%9C%96-%E7%BF%BB%E6%94%9D%E8%87%AA%E5%9C%8B%E6%B3%B0%E4%BA%BA%E5%A3%BD%E7%B6%B2%E7%AB%99.png" style="width: 600px;" /></p> <p><span style="color:#696969;">保險理賠醫起通示意圖／翻攝自國泰人壽網站</span></p> <p>今年初正式上線的保全／理賠聯盟鏈服務，讓保戶只需向聯盟鏈其中一家保險公司提出個人資料變更或理賠申請，並同意由首家保險公司，透過聯盟鏈傳送申請資料，由壽險公會建置的保險區塊鏈聯盟科技運用共享平臺，便能通報其他業者受理，同時啟動鏈中所有投保的保險公司的申請作業。</p> <p>現在，保險區塊鏈服務又更進一步，串連到了醫院資料。壽險公會、臺北市政府、4家醫療機構與14家產壽險公司，在4月23日共同宣布推出「保險理賠醫起通」服務，未來，民眾向保險公司申請理賠時，便能直接授權醫院將診斷證明書與費用收據證明等資料，傳遞給保險公司。<a href="https://www.ithome.com.tw/news/144034" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>今年首次開放手機報稅，行動電話身分認證一併登場</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-%E6%89%8B%E6%A9%9F%E5%A0%B1%E7%A8%85.png" style="width: 587px;" /></p> <p><span style="color:#696969;">圖片來源／財政部</span></p> <p>又到每年5月報稅的季節，為了方便民眾報稅，除了傳統的電腦上網報稅之外，今年政府首次開放民眾使用手機報稅，並新增門號身分驗證方式，憑個人使用的手機門號（限報稅人申辦之門號），就能通過身分驗證，快速完成手機報稅。<a href="https://www.ithome.com.tw/news/144097" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>NCC：國內5G總用戶數達193萬</strong></span></p> <p>在5G開臺近十個月後，近日NCC公布國內5G總用戶數，五家電信業者合計5G總用戶數達193.1萬戶。另外，最新4G網速量測結果出爐，4G平均下載網速提升9.84%，達到119Mbps。對於5G何時納入量測，NCC副主委兼發言人翁柏宗解釋，由於國內5G仍在建設階段，涵蓋率仍不足，今年可能先以試驗性質，在都會地區進行量測，至於正式的納入量測可能要等明年。<a href="https://www.ithome.com.tw/news/143980" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>威聯通NAS遭勒索軟體攻擊，疑與重大漏洞有關</strong></span></p> <p>臺灣NAS製造商威聯通科技（QNAP）再傳用戶遭到勒索軟體攻擊！根據資安新聞網站Bleeping Computer報導，自4月19日起，駭客鎖定該廠牌NAS設備發動攻擊，並透過名為Qlocker的勒索軟體將檔案加密，檔案的副檔名全部變成7Z，且留下勒索訊息要求受害者支付0.01個比特幣（約相當於557.74美元）來解鎖。</p> <p>針對這起事故的導火線，威聯通向Bleeping Computer表示，很有可能與2個重大漏洞有關，這些漏洞允許任意人士取得完整的存取權限，並在NAS上執行勒索軟體。<a href="https://www.ithome.com.tw/news/144004" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>KPMG企業曝險報告：超過三成大型公司漏洞修補管理不及格</strong></span></p> <p>KPMG公布第一個企業網路曝險調查報告，選定臺灣50家大型企業針對隱私性、韌性、聲譽以及安全性等四大面向、共20個檢測項目做檢測。調查結果發現，漏洞修補管理（Patch Management）是全臺50間大型企業中，整體表現最差的項目，有35％企業不及格，更有24％的企業，在這個項目拿零分。<a href="https://www.ithome.com.tw/news/144100" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>與微軟合作，Ubuntu整合AD還支援SQL Server</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Ubuntu3_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Ubuntu.png" style="width: 500px;" /></p> <p>圖片來源／Ubuntu</p> <p>日前Canonical發布了一個Ubuntu重要更新版本21.04，整合了微軟Active Directory。Canonical和微軟還共同宣布，在Ubuntu上對SQL Server提供效能最佳化和聯合支援。現在SQL Server資料庫管理系統和其命令列工具，已經可於Azure上的Ubuntu映像檔中用到，用戶還能夠獲得長達10年的安全性維護。<a href="https://www.ithome.com.tw/news/144018" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Node.js 16開始支援Apple Silicon</strong></span></p> <p>日前Node.js發布了最新的第16主要版本，將JavaScript引擎V8更新成9.0版，並提供預建置的Apple Silicon二進位檔案。新版的V8引擎帶來了更高的效能與功能改進，並且提供Node.js最新的JavaScript語言功能，因此Node.js會常態性升級V8版本。<a href="https://www.ithome.com.tw/news/143996" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>松下電器將收購美國軟體業者Blue Yonder</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E6%9D%BE%E4%B8%8B%E9%9B%BB%E5%99%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%9D%BE%E4%B8%8B%E9%9B%BB%E5%99%A8.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／松下電器</span></p> <p>Blue Yonder主要開發各種商用軟體，包括供應鏈管理、生產計畫、零售計畫、商店經營及類別管理等。松下電器計畫明年將Panasonic Group轉為控股公司，並成立Panasonic Connect，未來Blue Yonder將併入負責供應鏈創新及自動化業務的Panasonic Connect。<a href="https://www.ithome.com.tw/news/144043" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google函式即服務Cloud Functions開始支援PHP</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Cloud%20Functions%20PHP.png" style="width: 500px;" /></p> <p>現在Google的函式即服務Cloud Functions開始支援熱門的通用程式語言PHP，開發者透過PHP函式開發框架可以編寫PHP函式，進而在雲端建構重要的應用和整合層程式。<a href="https://www.ithome.com.tw/news/144041" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>蘋果發表物件追蹤器AirTag</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_AirTag_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%98%8B%E6%9E%9C.jpg" style="width: 333px;" /></p> <p><span style="color:#696969;">圖片來源／蘋果</span></p> <p>使用者可把AirTag裝置加入蘋果的Find My功能中，該功能可用來尋找iPhone、iPad、Mac，以及最新的AirTag，AirTag利用藍牙技術進行追蹤，使用者只要把追蹤器繫在鑰匙、包包或其它物件上，就能夠用手機來追蹤這些物品的位置。<a href="https://www.ithome.com.tw/news/143968" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Visual Studio 2022將在今夏登場</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_VS%202022%2Bdot%20NET%206_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 324px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>微軟預告最新的Visual Studio 2022，將會在今年的暑假發布，供開發者預覽測試。除了承諾將讓Visual Studio 2022更好地整合GitHub，也讓2022版成為史上第一個64位元的Visual Studio， devenv.exe程序將不會受限於4gb記憶體，在Windows上執行64位元Visual Studio，即便是複雜且大型的解決方案，開發者都可以高效地編輯、執行和除錯，不用擔心耗盡記憶體。<a href="https://www.ithome.com.tw/news/143949" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>歐盟公布AI立法框架，將嚴格限制生物辨識的使用</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_AI%E7%AB%8B%E6%B3%95%E6%A1%86%E6%9E%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%AD%90%E7%9B%9F.jpg" style="width: 427px;" /></p> <p><span style="color:#696969;">圖片來源／歐盟</span></p> <p>四月歐盟公布了首個針對人工智慧（AI）的立法框架，以及與會員國的協調計畫，明確定義AI的風險，並將禁止或嚴格限制高風險的AI應用，而所有的遠端生物辨識系統全都被歐盟列為高風險，只能在有限的狀況下使用。<a href="https://www.ithome.com.tw/news/144009" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>iMac與iPad Pro加入蘋果自製M1晶片家族</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_M1%20iMac_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%98%8B%E6%9E%9C.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／蘋果</span></p> <p>去年底蘋果發表Arm架構的自製晶片M1，當時首波推出的M1裝置為MacBook Air、13吋MacBook Pro與Mac mini，這個月蘋果再發表了採用M1的iMac電腦，以及iPad Pro。配備M1的iMac為24吋的版本，首度在iMac上嵌入Touch ID指紋辨識功能，不僅螢幕更輕薄，而且推出7種新顏色。<a href="https://www.ithome.com.tw/news/143964" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>供應鏈攻擊事件又一樁！軟體測試服務業者Codecov被駭</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%8A_%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%892021%E5%B9%B4Codecov%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E5%85%AC%E5%91%8A.jpg" style="width: 415px;" /></p> <p>繼SolarWinds後，又有駭客意圖滲透軟體廠商以發動供應鏈攻擊，美國提供軟體開發測試服務的Codecov今年初遭到駭客入侵，Codecov公司擁有P&G、GoDaddy等2.9萬家客戶，促使美國警方介入調查。Codecov是在4月1日發現，該公司的Bash Uploader script遭未經授權存取與修改。駭客利用Codecov公司Docker映像檔建立過程中一項瑕疵，取得修改Bash Uploader script必要的登入密碼，並將Bash Uploader script中的IP位址，由Codecov改為駭客控制的伺服器，藉此竊取Codecov客戶的重要憑證。<a href="https://www.ithome.com.tw/news/143963" target="_blank">更多內容</a></p> <p><span style="font-size:20px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多重要新聞 </span></strong></span></span></p> <p><a href="https://www.ithome.com.tw/news/144079" target="_blank"><span style="color:#3399ff;"><span style="font-size:20px;"><strong>Line Bank開業5天開戶人數突破4萬</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/news/144039" target="_blank"><span style="color:#3399ff;"><span style="font-size:20px;"><strong>軟體臭蟲導致帳面出現短缺，害39名英國郵局分局長坐冤獄</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/news/144089" target="_blank"><span style="color:#3399ff;"><span style="font-size:20px;"><strong>殭屍網路Emotet握有4百多萬個E-mail帳號，現在可上Have I Been Pwned（HIBP）查詢你的帳號是否淪為駭客幫兇</strong></span></span></a></p> </div></div></div>
2021/5/2 05:00未署名https://www.ithome.com.tw/news/144141
美國衛生部揭露未來醫療AI佈局，臺灣跟上了嗎？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國衛生部（HHS）AI長Oki Mek日前在一場<a href="https://gtc21.event.nvidia.com/media/Presenting%20US%20HHS%20Artificial%20Intelligence%20Strategy%202021%3A%20AI%20Mission%20and%20Ambition%20Commentary%20by%20the%20CAIO%20%5BS33249%5D/1_wd8gsyz1/204678483">線上論壇</a>上，揭露美國衛生部未來醫療AI佈局，不只在今年1月發布AI策略，還鎖定4大目標，包括成立AI委員會和AI實踐社群、做好AI治理和法遵，以及建立沙盒，來衡量AI成效和成本。他也期望透過這個策略，在符合法規的前提下，來改變人們不願分享資料的心態，「因為沒有資料，就沒有AI。」</p> <p><strong><span style="font-size:22px;">一年預算等於世界第13大GDP國家，AI策略有4大目標</span></strong></p> <p>Oki Mek表示，美國衛生部旨在於保障美國人民的健康福祉，而衛生部本身是一個有1.3兆美金預算的部門，「若以GDP排名來看，我們相當於全球第13大國家。」這個資金雄厚的衛生部，還有8萬多名職員來維持運作。</p> <p>衛生部今年1月發布AI策略，共有4大目標，首先是成立AI委員會（AI Council），「來做好AI發展所需的團隊合作。」Oki Mek解釋，他們希望整合不同政府部會的專家，來協助衛生部執行AI策略。再來，他們要建立AI實踐社群（AI Community of Practice），來交換AI實作心得、制定醫療AI規則，更重要的是，他們要以此克服醫療AI的兩大難題，也就是資料取得和資料準備（Data preparation）。</p> <p>衛生部AI策略的第3個目標，則是要做好AI的治理和法遵，確保醫療AI不違背相關法規，比如資料隱私、資安、程式碼偏差等。</p> <p>AI策略的最後一個目標，是要建立研發能力R&D，要透過沙盒實驗環境，來了解AI應用的成效和成本。而且，衛生部還要藉此集中化管理作業，比如「AI工作管線（Pipeline）、框架，」並將一些該去中心化的作業去中心化，像是應用案例等。</p> <p>Oki Mek更強調，衛生部也想藉AI策略，來改變人們不想分享資料的心態。「沒有資料，就沒有AI，」衛生部希望在合法的前提下，來與相關組織共享資料。</p> <p>與此同時，衛生部也將聚焦AI可解釋性，以及利用區塊鏈技術，來實現可信任的AI機制。他們參考了聯合國的Building Blocks專案，聯合國先用虹膜辨識技術，來辨識沒有身分證的難民，再透過區塊鏈，來交易難民所需的食物和捐款，免除與中介機構（如銀行）的酬庸。</p> <p>Oki Mek感性表示，自己從小就是難民，4歲時隨著父母從寮國逃到泰國難民營，過了3年才有幸來到美國。因此他對這樣的應用特別有感觸，也希望用這種技術組合，來實踐可信任AI。上述這4大目標，就是美國衛生部AI策略要實現的核心概念。</p> <p><strong><span style="font-size:22px;">美國政府大力推動AI，國家計畫還要廢除不必要的法規</span></strong></p> <p>美國衛生部這項AI策略並非空穴來風，他們延續了2年前美國白宮發布的《美國AI計畫》（American AI Initiative）和美國國防部的AI計畫（DoD AI Strategy），以及《使用可信任AI》和《以AI維持美國領先地位》等2大行政命令。</p> <p><a href="https://trumpwhitehouse.archives.gov/ai/">《美國AI計畫》</a>可說是美國政府推動AI的核心。它涵蓋4大面向，像是AI創新研究、產業AI應用、工作場所AI應用和可信任AI。以AI創新研究來說，白宮以2倍預算加碼投資非國防AI研究，包括核心AI技術研發、創新AI應用研發、支援AI的運算系統研究，以及AI所需的網路基礎設施和資料集。</p> <p>在產業AI應用上，則聚焦於交通、航太、自駕車、醫療、製造業，以及金融、農業、氣象預測和國防等。特別的是，在金融方面，<a href="https://trumpwhitehouse.archives.gov/ai/ai-american-industry/">政府希望加速金融業者採用AI和機器學習技術，同時要廢除不必要的法規限制</a>。</p> <p>另一項則要改善美國人工作場所的AI應用上，要透過自動化，來降低處理例行繁瑣作業的勞動力，讓美國人可進行更多有價值的工作。而可信任AI的重點，則在於建立透明、可解釋且穩健安全的AI系統，並且要考量這種AI對工作環境的影響。</p> <p>美國政府也在今年初，為《美國AI計劃》成立國家專案辦公室，作為跨聯邦政府、學術界、產業界的技術研發和政策制定核心，來實現以上重點AI研究。</p> </div></div></div>
2021/5/1 18:39作者王若樸https://www.ithome.com.tw/news/144147
紅帽祭出新混合雲戰略，擴大將RHEL與OpenShift混合雲平臺延伸到邊緣，還發布Red Hat Edge計畫方案，…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在4月底舉行的紅帽用戶大會上，紅帽一改以往聚焦雲端產品策略，反倒是轉向大力的布局邊緣端應用，甚至更宣布了一項Red Hat Edge啟動計畫，要將紅帽開放式混合雲產品進一步延伸到邊緣端，來支援完整邊緣軟體堆疊架構。而作為進軍邊緣兩大關鍵，就是企業級Linux作業系統RHEL與混合雲平臺OpenShift這兩大雲端主力產品，甚至在會後一場全球媒體線上會議中，紅帽執行長Paul Cormier也說：「OpenShift現在已經是一個邊緣運算平臺了」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-04-28%20%E4%B8%8B%E5%8D%8812_59_06.png" style="width: 600px; height: 317px;" /></p> <p>其實，早在兩年前，紅帽就已經為擴大混合雲戰地在積極布局，搶進邊緣運算。而且不同雲端巨頭，該公司一開始便從Kubernetes層管理需求角度切入，要把混合雲的容器管理與調度能力，更進一步延伸到邊緣端，經過兩年的投入發展，如今，邊緣更成為了這家公司開放混合雲策略重要一環，希望透過雲端技術，將各種容器化應用移轉到靠近資料源的邊緣平臺來部署，要通吃實體伺服器、VM、混合雲，以及邊緣應用市場。</p> <p>紅帽提供邊緣運算服務，其涵蓋範圍也相當廣，從核心資料中心到最遙遠的邊緣位置都是其服務範疇，一共分成三個邊緣運算層，分別是Operations edge層（包括裝置邊緣層（如邊緣伺服器或閘道器）、用戶端邊緣層（如邊緣基礎架構））、Provider edge 層（含far edge、acess edge以及aggregation edge)，以及Enterprise edge 層 (含核心或區域級資料中心)。</p> <p>而作為進軍邊緣兩大關鍵，就是紅帽兩大雲端主力產品RHEL 與OpenShift。以企業級Linux OS來說，早在去年底前一版RHEL釋出時，就已經開始支緣邊緣運算功能，包括遠端裝置安裝、部署及無線更新等，在新版RHEL 8.4中，該公司增強了許多對於邊緣的支援。</p> <p>像是針對Red Hat通用基礎映像檔（UBI)推出了瘦身的版本，使得UBI現在可以輕量級映像提供，讓即使運算有限的邊緣設備，也能夠執行它。企業只須將雲端Linux程式碼與執行環境打包成一個容器映像檔後，再送到邊緣端設備來執行，有助於加速雲端到邊緣應用的部署。</p> <p>紅帽還宣布了對於開源容器引擎Podman的更新，該更新使RHEL用戶現在可以用單一控制介面，就能管所有部署的Linux容器，不只是核心資料中心，還包括了遠端邊緣位置上的容器，並也提供如自動容器更新等功能，讓企業在處理跨不同位置的工作負載的構建、部署和維護變得更容易。</p> <p>不僅如此，即使是在無網路環境下，現在企業也能透過新版RHEL 8.4裡的Image Builder工具，來快速提供邊緣架構包含裸機在內的作業系統映像的安裝與部署，來因應各種邊緣運算任務的需求。新版RHEL 預計未來幾周內推出。</p> <p>另外在OpenShift平臺方面，雖然這次並未釋出新版本，不過早在去年OpenShift 4.6平臺推出時，該公司也持續提高該平臺對於容器化Edge應用部署和管理能力，甚至在最新版OpenShift 中，用於邊緣部署時，已經可以支援多達三節點叢集，讓Kubernetes平臺也能在不同網路Edge位置上執行，並且也能透過遠端工作節點擴大邊緣架構。企業現在也能用跟雲端一樣的Kubernetes管理方式來管容器化Edge應用。</p> <p>不只是邊緣應用部署，還要能做到自動化維運。紅帽開始透過自動化平臺Ansible將邊緣軟體堆疊作業流程自動化，用於Edge的自動化維運，另外也將透過Red Hat Data Services服務，來提供跨核心資料中心與邊緣的數據儲存、分析和數據分散處理。</p> <p>不僅如此，紅帽還宣布了Red Hat Edge計畫，該計畫旨在將紅帽混合雲產品進一步延伸到邊緣端，涵蓋電信、運輸、智慧汽車以及企業邊緣設備等，來支援完整邊緣技術的堆疊，Red Hat Edge計劃的骨幹，便是紅帽雲端主力產品，包括企業級Linux OS、OpenShift 、Ansible自動化平臺等產品，以滿足企業混合雲、裸機伺服器到邊緣不同應用需求。</p> <p>紅帽表示，目前已和企業客戶及生態系就Red Hat Edge計畫持續展開合作，以推出適合不同產業的邊緣解決方案。舉例來說，目前已有韓國ICT業者Posco IC、瑞士聯邦鐵路以及英國電信業者Vodafone等業者採用其邊緣產品方案。另外該公司近日正式加入Linux基金會旗下的開源專案ELISA，共同推動發展基於Linux的安全關鍵應用程式和系統，使企業更容易打造安全的關鍵系統，例如使用Linux的機器人設備、醫療設備、智慧工廠、運輸系統和自動駕駛等。除了紅帽之外，其他加入該專案的新公司，還包括Nvidia、華為等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-04-28%20%E4%B8%8B%E5%8D%8812_46_20.png" style="width: 600px; height: 330px;" /></p> <p>另外在企業OpenShift混合雲產品方面，紅帽也特別強化資安防護能力，除了現有的OpenShift Kubernetes引擎、OpenShift容器平臺之外，該公司還推出了融合DevSecOps資訊安全的OpenShift Platform Plus平臺產品，該平臺主要是建立在OpenShift容器平臺的基礎上，增強了安全性，整合了更進階資安防護能力，包括加入TDR（威脅偵測與反應）功能，以及將聲明式安全整合到開發人員工具和工作流中，並通過DevSecOps方法論，將資安融入到開發流程，藉此來強化軟體堆疊乃至原生雲應用在內整體生命週期的安全性。</p> <p>新OpenShift Plus平臺還加入了名為 Red Hat Advanced Cluster Security for Kubernetes的K8s原生叢集管理安全功能，該技術是來自該公司先前買下的容器安全平臺商StackRox，可以提供內建Kubernetes原生安全功能，來確保應用任務的安全性。</p> </div></div></div>
2021/5/1 09:14作者余至浩https://www.ithome.com.tw/news/144133
勒索軟體Hello/WickrMe瞄準微軟SharePoint伺服器漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體持續開採常見企業軟體的漏洞以威脅企業。<a href="https://www.trendmicro.com/en_us/research/21/d/hello-ransomware-uses-updated-china-chopper-web-shell-sharepoint-vulnerability.html" target="_blank">安全廠商近日發現</a>名為Hello/WickrMe的勒索軟體不斷變種，而持續開採SharePoint一個舊漏洞蔓延。</p> <p>安全廠商<a href="https://www.pondurance.com/blog/new-ransomware-variant-hello-ransomware/" target="_blank">Pondurance</a>於一月發現Hello勒索軟體開採SharePoint漏洞的行動後，<a href="https://www.trendmicro.com/en_us/research/21/d/hello-ransomware-uses-updated-china-chopper-web-shell-sharepoint-vulnerability.html" target="_blank">趨勢科技</a>近日發現這隻勒索軟體迄今仍然持續在網路上活動，除了勒索訊息檔用了.hello的新副檔名，也新增WickrMe的用戶帳號。這是因為駭客要求受害者使用Wickr通訊軟體與之聯繫贖付金事宜，因此新版本Hello又被稱為WickrMe。</p> <p>Hello/WickrMe開採的是微軟協同平臺SharePoint的CVE-2019-0604。事實上2019年該漏洞就遭不知名駭客開採。這項漏洞去年被美國網路安全暨基礎架構安全署列為2016年到2019年間，<a href="https://www.ithome.com.tw/news/137594" target="_blank">最常遭到駭客開採的十大安全漏洞</a>之一。微軟已在當時就修補了這項漏洞。</p> <p>趨勢科技偵測到這次駭客利用Cobalt Strike滲透工具，攻擊未修補CVE-2019-0604安全漏洞的SharePoint伺服器，而且如同兩年前一樣，駭客植入名為China Chopper的webshell程式，後者屬於一種後門程式，最後植入的惡意程式為Hello/WickrMe。</p> <p class="rtecenter"><img alt="" src="https://www.trendmicro.com/content/dam/trendmicro/global/en/research/21/d/hello-ransomware-uses-updated-china-chopper-web-shell-sharepoint-vulnerability/figure3-hello-ransomware-wickrme-china-chopper-cve-2019-0604.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／趨勢科技</span></p> <p>目前，勒索軟體是直接駭入SharePoint伺服器植入，還是經由initial access broker駭客服務存取SharePoint不得而知。因為Cobalt Strike beacon可在網上免費取得，故無法追溯出Hello/WickrMe駭客。</p> <p>一旦Hello/WickrMe進入SharePoint伺服器，即會以RSA演算法加密檔案，產生.hello副檔名的勒索訊息。但同時它還能刪除備份、關閉終止行程以干擾防範機制。它能加密Office、.pdf、.7z等10多種格式檔案，以及MySQL、Microsoft SQL、Oracle、PostgreSQL、Veeam等資料庫。</p> <p>一如所有勒索軟體，趨勢科技也呼籲用戶更新及建置多層次安全防護、不要隨意點選不明連結、並做好不同格式的備份。</p> </div></div></div>
2021/4/30 16:45作者林妍溱https://www.ithome.com.tw/news/144143
臉書加入Rust基金會，取得一席董事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust程式語言專案在今年2月脫離Mozilla，成立獨立的Rust基金會，當時該基金會的創始白金（Founding Platinum）會員包括Mozilla、AWS、微軟、Google與華為，而<a href="https://developers.facebook.com/blog/post/2021/04/29/facebook-joins-rust-foundation/" target="_blank">臉書也在本周宣布</a>，已加入Rust基金會並成為白金會員（Platinum）。</p> <p>Rust程式語言最早為Mozilla員工Graydon Hoare的私人計畫，它是個通用型編譯程式語言，Mozilla在2009年開始贊助該計畫，於2015年正式發表Rust 1.0，此外，Rust程式語言已連續5年，成為<a href="https://insights.stackoverflow.com/survey/2020#technology-most-loved-dreaded-and-wanted-languages-loved" target="_blank">Stack Overflow調查</a>中，開發者最愛的程式語言榜首。</p> <p>在臉書負責開源碼生態體系的Joel Marcey表示，臉書從2016年就開始擁抱Rust，並全方位使用它，從原始碼控制到編輯器，該公司將協助貢獻與改善此一受到全球開發者愛戴的程式語言。</p> <p>在成為Rust基金會的白金會員之後，Marcey也將加入該基金會的董事會，同時臉書亦於今年在內部成立一個Rust團隊，主要負責企業內部的Rust開發，或是將成果貢獻給各式Rust專案，並強化與Rust社群的交流。</p> <p>除了5家創始白金會員、一家白金會員之外，另有4家業者也於近日成為Rust基金會的銀級（Silver）會員，它們分別是專門打造開源碼同態加密解決方案的Zama、提供Rust培訓與服務的Ferrous Systems、提倡開源碼的技術顧問公司Tag1Consulting，以及IT自動化平臺CleverCloud。</p> </div></div></div>
2021/4/30 17:06作者陳曉莉https://www.ithome.com.tw/news/144144
IST呼籲美國與同盟國家應共同對抗勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>著重於建立科技界及立法者之間橋梁，以解決緊急安全威脅的安全暨科技研究所（Institute for Security+Technology，IST），<a href="https://securityandtechnology.org/ransomwaretaskforce/report/" target="_blank">在本周發表了一份研究報告</a>，針對勒索軟體對全球所造成的威脅提出了48項建議，呼籲全球一同對抗愈來愈嚴重的勒索軟體攻擊趨勢。</p> <p>該報告是由IST的勒索軟體任務小組所撰寫，他們諮詢了各領域的專家，產出此一名為「打擊勒索軟體：全方位的行動框架」（Combating Ransomware：A comprehensive Framework for Action）報告。</p> <p>根據Group-IB的調查，去年勒索軟體攻擊事件增加了150%，而Coveware的統計數據則顯示，今年第一季駭客所勒索的平均贖金為22萬美元，比去年第四季高出43%，此外，幾乎每天都可看到來自不同國家、不同領域的業者遭到勒索軟體攻擊的消息。</p> <p>這使得IST認為全球聯手打擊勒索軟體的計畫已刻不容緩。這48項建議主要圍繞在4個目標，一是藉由全球的合作與所制定的政策來阻止勒索軟體攻擊，二是破壞勒索軟體的商業模式並降低其犯罪獲利，三為協助組織防範勒索軟體攻擊，最後則是讓全球能夠更有效率地回應勒索軟體攻擊。</p> <p>IST希望全球執法機構可將勒索軟體視為優先處理對象，聯手摧毀勒索軟體網路，也應向成為勒索軟體避風港的國家施壓；另應破壞勒索軟體的支付系統，包括要求加密貨幣交易平台必須貫徹諸如確認用戶身分等法令，同時打擊勒索軟體的供應鏈，從勒索軟體作者、犯罪聯盟與支付基礎設施等。</p> <p>此外，各組織應有完善的教育訓練以講求網路衛生，各級政府與MSPs業者都應導入最基本的安全機制，開發出能夠緩解、回應與復原勒索軟體攻擊的框架；IST還呼籲各國都應建立勒索軟體緊急回應機構與基金，來協助拒絕支付贖金的受害者，建立全球化的勒索軟體意外回應網路，也應要求受害者在支付贖金之前，必須檢視是否有其它替代方案。</p> <p>值得注意的是，專家們發現，許多勒索軟體犯罪份子逍遙法外的原因，是因為有些國家不願意或無法起訴這類形式的犯罪行動，還有些勒索軟體攻擊根本是特定國家贊助的。</p> <p>IST期望可藉由防堵、打擊獲利、摧毀供應鏈，以及將駭客繩之以法等途徑，來降低勒索軟體對駭客的吸引力，不過，IST的努力能帶來多大的影響力，尚不得而知。</p> </div></div></div>
2021/4/30 16:12作者陳曉莉https://www.ithome.com.tw/news/144142
MIT開發新AI工具可以只靠照片就算出材料承受的壓力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://advances.sciencemag.org/content/7/15/eabd7416">麻省理工學院</a>（MIT）的研究人員，開發出一種人工智慧技術，可以根據材料內部結構的圖片，快速計算出材料的部份特性，像是應力（Stress）與應變（Strain）值，這個方法可以消除繁瑣的物理計算，透過電腦視覺和機器學習，即時生成估算值。這個物理計算方法的改進，可以加快設計雛形和檢查材料的速度，研究人員Zhenze Yang提到，這是一種全新的方法，因為完成整個計算過程並不需要任何物理領域的知識。</p> <p>過去工程師花費大量的時間解決方程式，以計算材料的內力，包括應力和應變這些可能造成材料變形和破裂的內力，應用包括設計橋樑以承載行駛在上面的車輛重量，或是在大風中保持穩固。即便現在有電腦的幫忙，工程師可以使用電腦來計算這些方程式，但是這仍是一個棘手的問題，因為部分模擬可能非常耗時，需要幾天甚至是數個月的時間。</p> <p>為了加速計算過程，研究人員使用人工智慧來解決這個問題，他們使用了生成對抗網路（GAN）機器學習技術。先使用上萬組圖像訓練網路，圖組由兩張圖構成，一張圖像描繪材料內部在機械作用下的微觀結構，另一張圖則以顏色編碼標示該材料的應力和應變數值，神經網路使用賽局理論規則，反覆迭代計算出材料的幾何形狀和其所產生應力之間的關係。</p> <p>麻省理工研究人員所提出的新方法，只需要一張圖片，人工智慧就能預測材質的內力，解決過去需要撰寫程式碼，求解偏微分方程式的麻煩，研究人員解釋，這種以圖像計算內力的方法，對於複雜的複合材料特別有用。由於材料上力的作用在原子微觀尺度，可能不同於宏觀尺度，研究人員舉例，就像是一架飛機，可能由金屬、聚合物和黏著劑構成，求得的解必須要能涵蓋不同的面向和尺度。</p> <p>研究人員指出，神經網路擅長解決多種尺度的問題，因為其透過一系列卷積處理資訊，這些卷積會漸進地擴大尺度來分析圖像，因此能夠良好地描述材料特性。經過充分訓練的神經網路在測試實驗中表現良好，能夠對各種軟複合材料微觀結構的特寫圖像，繪製應力和應變值，甚至能夠找出奇異點，像是材料中出現的裂縫處，神經網路能夠準確地重現這些點。</p> <p>這個研究成果可以減少設計產品的迭代次數，節省工程師的時間和金錢，新技術也可以使非IT人員簡單地取用材料計算，像是建築師或是產品設計師，就能在把設計專案交給工程團隊之前，先試算其可行性。神經網路在經過訓練後，模型可以在消費級電腦上即時處理，降低診斷問題的門檻。</p> </div></div></div>
2021/4/30 16:18作者李建興https://www.ithome.com.tw/news/144140
美勞工部有意將打工仔視為員工，Uber與Lyft股價應聲下跌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國勞工部長Marty Walsh周四（4/29）<a href="https://www.reuters.com/article/us-usa-labor-exclusive-idUSKBN2CG1ZS" target="_blank">接受路透社專訪時透露</a>，他們正在研究，是否應將只於特定時間工作的打工仔歸類為員工，賦予員工福利。Walsh這番話使得Uber與Lyft的股價在當天，分別大跌了6.01%與9.94%。</p> <p>其實<a href="https://www.ithome.com.tw/news/133015" target="_blank">加州在2019年就通過</a>了新的勞工法案Assembly Bill 5，要求企業將代雇司機、食物外送員、建築工及其他型態的臨時工視為員工，賦予與員工同樣的福利，然而，包括Uber、Lyft或DoorDash等提供共享汽車或食物外送服務的業者，則大力推動把食物外送員或Uber司機身分定義為約聘人員的Proposition 22提案，並<a href="https://www.ithome.com.tw/news/140936" target="_blank">在去年的加州選民公投中獲得勝利</a>。</p> <p>Walsh則說，有很多案例的打工仔應被視為員工，有些則否，但最終應達成一致，此外，這些公司已經開始獲利，得確保工作者也能分享公司的成功。</p> <p>由於美國總統拜登（Joy Biden）正在擴大對勞工的保護，再加上Walsh的態度明顯，而提供員工福利予龐大的司機及外送人員將會增加Uber、Lyft與DoorDash等業者的人力成本，消息曝光的當天，相關業者的股價都受到衝擊。</p> <p>另一方面，英國就業法庭在2016年便裁決，Uber應提供司機類似員工的待遇，Uber上訴失敗後，<a href="https://www.ithome.com.tw/news/143275" target="_blank">已於今年1月宣布</a>其英國市場的司機，將享有最低薪資與假期薪資等部份員工福利，還會將符合資格的司機，納入Uber退休金計畫。</p> </div></div></div>
2021/4/30 13:44作者陳曉莉https://www.ithome.com.tw/news/144139
Amazon首季財報出爐：營收成長44%，淨收入為去年同期3倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon在29日公布<a href="https://ir.aboutamazon.com/news-release/news-release-details/2021/Amazon.com-Announces-First-Quarter-Results/default.aspx" target="_blank">該公司今年第一季財報</a>，該季Amazon的總營收為1,085億美元，比去年同期成長44%，淨收入（Net income）為81.07億美元，超過去年同期的3倍。</p> <p>從財報上可看出，該季Amazon在電子商務與AWS服務的營收都是正成長。北美電子商務的營收為644億美元，成長40%，營業利潤（Operating income）為34.5億美元，成長163%；國際電子商務營收為306億美元，成長60%，營業利潤為12.5億美元，去年該類別還虧損了4億美元。</p> <p>至於AWS的營收為135億美元，成長32%，其營業利潤則是41.6億美元，成長35%。</p> <p>Amazon創辦人暨執行長Jeff Bezos在財報上點名了兩項服務，分別是10歲的Prime Video與15歲的AWS。他說，過去一年有超過1.75億的Prime會員使用Prime Video串流服務，且觀賞時間增加了70%；至於AWS在推出15年後，其預估的年收入已達540億美元，而且仍在加速成長中。</p> <p>Amazon的股價在財報當天的盤後上漲了2.38%，每股達3,554美元。</p> </div></div></div>
2021/4/30 13:30作者陳曉莉https://www.ithome.com.tw/news/144138
AWS開源迷你賽車DeepRacer裝置軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布要<a href="https://aws.amazon.com/tw/blogs/machine-learning/aws-deepracer-device-software-now-open-source/">開源DeepRacer裝置軟體</a>，讓開發者可以進一步擴展DeepRacer的功能，使車輛能夠執行更多的行為或是產生新的跑法。DeepRacer是一個基於雲端的虛擬賽車模擬器，開發者可以在雲端上訓練並且調校機器學習模型，並載入到1/18大小的自動駕駛車上，讓迷你自動駕駛車可以在設計的軌道中行駛，克服各種轉彎與直線道路組合，而AWS以及大專院校也會定期舉辦DeepRacer競賽，讓隊伍互相較量增加趣味性。</p> <p>DeepRacer其實是一臺有輪子的電腦，其所使用的機器作業系統ROS是以Ubuntu為基礎開發，AWS提到，透過開源DeepRacer程式碼，可以讓具有Linux程式開發能力的開發人員，創造出新的或是更有趣的車輛用途，讓開發人員將腦中汽車的點子，能夠在DeepRacer中實現。</p> <p>AWS從DeepRacer團隊和社群成員收集到6個示範專案，包括由AWS所創建的Follow the leader、Mapping和Off Road，由開源社群創建的專案則有RoboCat、DeepBlaster和DeepDriver，供開發者能夠更簡單地開始探索新的車輛可能性，開發者可以嘗試使用DeepBlaster專案，在DeepRacer上安裝Nerf大炮，或是使用Mapping專案創建房屋或辦公室的視覺化圖像，也能以DeepDriver專案創造出新的賽車跑法。</p> <p>AWS建議開發者可以從Follow the leader開始，這個專案可以訓練汽車來偵測並跟隨物體，這是最能快速建立並且開始執行的專案。</p> <p>透過改寫DeepRacer裝置原始碼，開發者可以更改當前以追蹤為主的賽車行為，部署自己的演算法，在跑道上採取策略阻擋其他汽車超車，或是透過特殊的演算法，在特定的路況組合採用獨家的跑法。開發者現在就能取用這些開源程式碼以及文件，並且在DeepRacer Slack頻道中與其他社群成員交流。</p> <p>當開發者在社交媒體中，使用#deepracerproject標籤分享自己開發的專案，AWS會將這些專案收集到DeepRacer GitHub Organization中，並在之後的部落格文章加以介紹。搭配軟體開源的消息，AWS現在提供25％的DeepRacer折扣，相當於AWS DeepRacer降價100美元，AWS DeepRacer Evo降價150美元，這個折扣活動到5月27日為止。</p> </div></div></div>
2021/4/30 12:09作者李建興https://www.ithome.com.tw/news/144126
Google更新Assistant，現在你可以教它怎麼唸名字
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/assistant/loud-and-clear-ai-improving-assistant-conversations/" target="_blank">Google本周發表了</a>數位語音助理Assistant的新功能，將允許使用者教Assistant如何正確地唸出各種名字，並藉由機器學習技術<a href="https://www.ithome.com.tw/news/133855" target="_blank">BERT來改善</a>Assistant的計時器與鬧鐘設定，以及讓Assistant更能理解與人們之間的對話。</p> <p>儘管不同業者所開發的數位語音助理不斷地進步，但Google產品管理總監Yury Pinsky直言，要讓Google Assistant完成任務，不應該要求使用者說出正確的指令，而是應該讓Google Assistant理解人們說出的每一個字，以及這些字所代表的意思；理解人們說的語言是困難的，因為它不僅牽涉到脈絡，還因人而異，例如有些名字雖然拼法相同，但發音卻不同。</p> <p>因此，Google準備更新Google Assistant，讓使用者指導它如何唸出正確的名字，它會聆聽並記得使用者的發音，使得它未來既可以辨識使用者所唸出的名字，也能讀出正確的名字。</p> <p></p><div class="media_embed" height="506px" width="900px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="506px" src="https://www.youtube.com/embed/6Hw6sywPYY0" title="YouTube video player" width="900px"></iframe></div> <p>另一方面，Google也將利用BERT來改善Google Assistant對自然語言脈絡的理解，並應用在Google Assistant上。BERT是以自然語言處理（NPL）預先訓練的機器學習技術，它能夠考量關鍵字的上、下文來理解文字的意義，並在2019年率先將它應用在搜尋服務上。</p> <p>這次Google則以BERT來強化Google Assistant的理解能力，包括改善鬧鐘與計時器的設定，以及提高使用者與Google Assistant的對話品質。</p> <p>在嵌入BERT之後，Google Assistant現在能夠百分之百精確回應使用者要求它所設定的計時器或是鬧鐘，例如同時設定多個鬧鐘或計時器，或者是在設錯之後修改，以及刪除所設的計時器。</p> <p>此外，Google Assistant也更能應對使用者的提問脈絡，例如在詢問邁阿密的天氣之後，要是使用者接著問，最棒的海灘或是最高的建築物，它都可自動假設使用者詢問的是邁阿密，讓彼此間的對話更自然。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Contextual_follow_up_queries.gif" style="width: 324px;" /></p> <p>可指導Google Assistant唸名字的功能目前將只支援英文，未來才會擴充至其它語言，至於設定鬧鐘與計時器的功能，則會率先出現在Google的智慧喇叭上，但初期也只會支援美國市場與英文，之後才會支援手機與智慧螢幕。</p> </div></div></div>
2021/4/30 12:28作者王珮瑤https://www.ithome.com.tw/news/144135
Google更新Assistant，現在你可以教它怎麼唸名字
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/assistant/loud-and-clear-ai-improving-assistant-conversations/" target="_blank">Google本周發表了</a>數位語音助理Assistant的新功能，將允許使用者教Assistant如何正確地唸出各種名字，並藉由機器學習技術<a href="https://www.ithome.com.tw/news/133855" target="_blank">BERT來改善</a>Assistant的計時器與鬧鐘設定，以及讓Assistant更能理解與人們之間的對話。</p> <p>儘管不同業者所開發的數位語音助理不斷地進步，但Google產品管理總監Yury Pinsky直言，要讓Google Assistant完成任務，不應該要求使用者說出正確的指令，而是應該讓Google Assistant理解人們說出的每一個字，以及這些字所代表的意思；理解人們說的語言是困難的，因為它不僅牽涉到脈絡，還因人而異，例如有些名字雖然拼法相同，但發音卻不同。</p> <p>因此，Google準備更新Google Assistant，讓使用者指導它如何唸出正確的名字，它會聆聽並記得使用者的發音，使得它未來既可以辨識使用者所唸出的名字，也能讀出正確的名字。</p> <p class="rtecenter"> </p> <div class="media_embed" height="281px" width="500px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="281px" src="https://www.youtube.com/embed/6Hw6sywPYY0" title="YouTube video player" width="500px"></iframe></div> <p> </p> <p>另一方面，Google也將利用BERT來改善Google Assistant對自然語言脈絡的理解，並應用在Google Assistant上。BERT是以自然語言處理（NPL）預先訓練的機器學習技術，它能夠考量關鍵字的上、下文來理解文字的意義，並在2019年率先將它應用在搜尋服務上。</p> <p>這次Google則以BERT來強化Google Assistant的理解能力，包括改善鬧鐘與計時器的設定，以及提高使用者與Google Assistant的對話品質。</p> <p>在嵌入BERT之後，Google Assistant現在能夠百分之百精確回應使用者要求它所設定的計時器或是鬧鐘，例如同時設定多個鬧鐘或計時器，或者是在設錯之後修改，以及刪除所設的計時器。</p> <p class="rtecenter"> </p> <div class="media_embed" height="281px" width="500px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="281px" src="https://www.youtube.com/embed/b9xXeXxxckc" title="YouTube video player" width="500px"></iframe></div> <p> </p> <p>此外，Google Assistant也更能應對使用者的提問脈絡，例如在詢問邁阿密的天氣之後，要是使用者接著問，最棒的海灘或是最高的建築物，它都可自動假設使用者詢問的是邁阿密，讓彼此間的對話更自然。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Contextual_follow_up_queries.gif" style="width: 324px;" /></p> <p>可指導Google Assistant唸名字的功能目前將只支援英文，未來才會擴充至其它語言，至於設定鬧鐘與計時器的功能，則會率先出現在Google的智慧喇叭上，但初期也只會支援美國市場與英文，之後才會支援手機與智慧螢幕。</p> </div></div></div>
2021/4/30 12:31作者陳曉莉https://www.ithome.com.tw/news/144136
Google雲端與Workspace新增多項安全功能，可自定義應用程式流程並避免敏感資料流出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google持續在雲端以及生產力套裝Workspace加入新的<a href="https://cloud.google.com/blog/products/identity-security/google-cloud-security-feature-rollout-for-spring-2021">安全功能</a>，來提高整體服務的安全性，這次的更新包括讓用戶能夠使用身分平臺（Identity Platform）自定義應用程式授權流程，也加入一系列機器學習模型，來預防用戶洩漏敏感資料。</p> <p>身分平臺是Google的身分和存取管理解決方案，讓用戶可以在應用程式中添加IAM功能，而現在阻擋功能正式上線，阻擋功能可以讓用戶自定義應用程式流程，用作Hook或是觸發系統，以Cloud Functions中的Node.js程式碼，對特定的身分驗證事件設定Hook，並且觸發函式來回應這些事件。</p> <p>Google提到，這項功能可以應用在一些實際的使用情境中，像是當用戶的應用程式允許使用者以電子郵件地址與密碼自助註冊，就可以使用阻擋功能來避免使用者使用不好的電子郵件網域，又或是當使用者註冊或是登入到應用程式中，並且獲得admin或是premium_user角色分配時，就可以使用阻擋功能來控制應用程式的特權存取。</p> <p>在內容阻擋功能上，Cloud DLP現在提供了一組應用機器學習模型的文件分類器，可以辨識敏感檔案類型，Google提到，這項功能可以檢驗檔案中的部分資料，藉以篩選出敏感文件，像是原始碼、帳號或是財務檔案。Cloud DLP這項功能也可以單獨使用，並且與個人資訊、企業憑證和機密檢查整合使用，更好地理解和保護敏感資料。</p> <p>Google還擴展了外部金鑰管理Cloud EKM支援的服務，去年推出的Cloud EKM，讓用戶可以使用完全託管在Google雲端架構之外的金鑰，來儲存和處理Google雲端中的資料。最初Cloud EKM僅支援BigQuery和Compute Engine，而現在擴大支援的範圍，Cloud SQL、GKE、Dataflow Shuffle和Secret Manager服務都能使用Cloud EKM。</p> <p>Google還在VPC服務控制（VPC-SC）加入新的方向性政策，VPC-SC可讓管理員在Google託管的服務中定義安全範圍（Security Perimeter），以控制服務之間的通訊，而現在VPC-SC的方向性控制，則是新的安全資料交換功能，可以讓用戶在隔離的環境間，配置私密且安全的資料交換方法，政策會從VPC服務控制範圍，應用到流入（Ingress）和流出（Egress）控制，可以對既有的安全範圍進行配置，也能夠創建新的範圍。</p> <p>另外，現在用戶在Google Workspace中，可以使用經強化的Vault服務，Google Vault是一個Workspace的資訊治理和探索工具，而現在Vault新增支援Google Voice資料，用戶可以使用Vault來留存、搜尋和匯出Google Voice資料，其包括了文字訊息、電話日誌、語音信件和語音信件轉錄的文字，透過擴展Vault的功能，用戶可以對更多的資料類型進行治理和稽核，以確保資料處理符合法遵要求。</p> </div></div></div>
2021/4/30 12:43作者李建興https://www.ithome.com.tw/news/144131
Spotify今年首季訂閱用戶成長21%，每名使用者所帶進的營收卻下滑7%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>串流音樂龍頭Spotify在28日<a href="https://newsroom.spotify.com/2021-04-28/spotify-reports-first-quarter-2021-earnings/" target="_blank">公布了今年第一季的財報</a>，顯示該季營收為21.5億歐元，成長16%，付費訂閱用戶數為1.5億，成長21%，營業利益為1,400萬歐元。</p> <p>然而，由於用戶成長不如華爾街分析師的預期，再加上Spotify每名付費用戶所帶進的平均營收（Average Revenue per Premium User，ARPU）為4.12歐元，比去年同期下滑7%，使得當天Spotify股價重挫了12.32%，以256.84美元作收。</p> <p>根據財報，今年第一季Spotify的每月用戶數為3.56億人，成長了24%，當中有1.58億屬於付費訂閱用戶，成長21%，有2.08億屬於廣告支撐用戶，增加27%，雖然付費訂閱用戶只占Spotify總用戶數的44.4%，但所帶進的營收為19.3億歐元，占Spotify總營收近90%。</p> <p>不過，雖然付費訂閱用戶的數量成長了21%，但所締造的營收卻只成長14%，反而是廣告營收成長了46%，達到2.16億歐元。</p> <p>這是因為Spotify每名付費用戶所帶進的平均營收（Average Revenue per Premium User，ARPU）下滑了，該平台在今年第一季的ARPU為4.12歐元，比去年同期下滑7%，也比上一季下滑3%，而這是因為產品方案所造成的。</p> <p>目前Spotify提供4種訂閱方案，以美國為例，個人方案的每月費率為9.99美元，兩人方案每月為12.99美元，可支援6人的家庭方案每月為14.99美元，至於學生方案則是半價，每人每月只需支付4.99美元。</p> <p>外界分析指出，有愈來愈多的Spotify用戶選擇了兩人、家庭或學生方案，使得Spotify的ARPU下滑。事實上，為了因應ARPU下滑的事實，Spotify去年10月就開始調漲各市場的價格，今年第一季已有超過30個市場漲價，且在今年的4月26日，再度調漲其它12個市場的價格。</p> <p>不過，價格的調漲顯然跟不上ARPU下滑的速度，值得慶幸的是，Spotify發現漲價並沒有造成退訂潮。</p> </div></div></div>
2021/4/30 13:04作者陳曉莉https://www.ithome.com.tw/news/144137
AWS推出雲端視覺特效協作工具Nimble Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出了<a href="https://aws.amazon.com/tw/blogs/aws/amazon-nimble-studio-build-a-creative-studio-in-the-cloud/">Amazon Nimble Studio服務</a>，透過使用既有的工作站、儲存和渲染等IT基礎設施即服務，來執行視覺特效運算，特別適合用於媒體和娛樂使用場景。Nimble Studio現在已經於美西、美東、加拿大、歐洲等地區提供，亞太地區則目前先在雪梨上線。</p> <p>Amazon Nimble Studio是一項AWS新服務，讓創意工作室可以從故事板草稿開始，生產出最終成品，這個過程完全在AWS雲端進行，包括生成視覺效果、動畫和互動式內容。Nimble Studio提供用戶按需存取虛擬工作站、彈性檔案儲存和渲染農場容量，同時還提供了IP安全性、權限和協作等內建自動化工具。</p> <p>AWS提到，傳統的創意工作室經常面臨人力方面的挑戰，特別是讓位在遠端的藝術家，也可以像是處在同一處工作的藝術家一樣高效率，而且希望能良好地支援分散式團隊，可以使用相同的工作流程、軟體、授權和工具工作，並且同時確保所有資產的安全。</p> <p>另外，當傳統創意工作室考慮購買、租借本地端渲染農場硬體，或是以雲端資源來擴充渲染容量時，AWS提到，用戶雖然有各式各樣的解決方案選擇，但最後考量其複雜性，可能還是傾向選擇傳統方案。因此為了解決這些問題，AWS推出了Amazon Nimble Studio服務。</p> <p>Nimble Studio是一組專為媒體和娛樂目的，特別預建置的AWS功能組合，目前鎖定5大領域，包括內容生產、OTT串流、廣播、媒體供應鏈和封存，以及資料科學和分析。由於Nimble Studio建構在AWS基礎設施之上，因此可以使用高效能運算資源，同時也有足夠的資料安全性，並能按照需求，彈性地縮放藝術家使用的工作站、儲存和渲染需求。</p> <p>使用Nimble Studio時，藝術家可以在EC2虛擬工作站上使用慣用的創作軟體工具，Nimble Studio使用EC2進行運算，並且以Amazon FSx提供儲存，以AWS Single Sign-On來進行用戶管理，渲染農場管理則是使用AWS Thinkbox Deadline。AWS提到，Nimble Studio開放且與大多數支援NFS/SMB協定的儲存相容，所以用戶也可以使用自己的儲存解決方案。</p> <p>得利於可由全球存取資料所提供的共享資產能力，Nimble Studio讓創意工作室能夠支援散布在全球的創作者，而Nimble Studio集中管理軟體授權的優點，則能減少新手入職的摩擦。Nimble Studio還提供了適合藝術家使用的控制臺，使用者不需要擁有AWS帳號或是使用AWS管理控制臺，就能方便地開始工作。</p> </div></div></div>
2021/4/30 13:17作者李建興https://www.ithome.com.tw/news/144132
Mighty發表支援macOS的串流版瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果有一個超快的串流瀏覽器，你願意付費訂閱嗎？由Suhail Doshi所創辦的Mighty在本周<a href="https://blog.mightyapp.com/mightys-secret-plan-to-invent-the-future-of-computing/" target="_blank">發表了同名的雲端瀏覽器</a>，它是個奠基於Chromium專案的新型態瀏覽器服務，只要使用者有足夠的頻寬，就算沒有充足的記憶體或CPU效能，都能透過雲端執行快速的瀏覽經驗。</p> <p>如同串流遊戲一般，Mighty瀏覽器也是在雲端提供服務，它現在用來執行瀏覽器的實例，採用了16個時脈高達4GHz的英特爾處理器、Nvidia GPU與16GB記憶體，在同時開啟50個分頁時，於使用者電腦上只會耗費不到500MB的記憶體，以及不到30%的CPU資源，還可延長個人電腦的電池壽命。</p> <p>Doshi表示，當初他創立Mighty時，原本是想要串流微軟的Windows作業系統，後來他發現人們更仰賴瀏覽器，因為人們已經開始捨棄桌面程式而轉向網頁程式，新的程式經常是採用整合Chromium渲染引擎的Electron開源碼框架，從使用者的觀點來看，瀏覽器就是作業系統，且相較於企業，消費者迄今仍較難享受雲端運算的好處。</p> <p>Doshi宣稱，現在及未來的頻寬將足以支撐Mighty串流瀏覽服務，使用者不必再升級硬體就能享受快速的瀏覽服務，以及各種先進的網路應用。</p> <p>Mighty串流瀏覽器目前仍處於邀請試用階段，每月的訂閱費用可能落在30美元左右，不過，有媒體認為，使用者可能情願升級電腦或記憶體，不見得願意用來支付瀏覽器服務。</p> </div></div></div>
2021/4/30 12:04作者陳曉莉https://www.ithome.com.tw/news/144134
不拚短期獲客，樂天銀行要以電商生態圈打長期仗，目標3年半要轉虧為盈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣金融市場已有2家純網銀加入戰局，相較已開業3個多月的樂天國際銀行（簡稱樂天銀行），才開業1周的Line Bank，開戶數已超越樂天銀行。</p> <p>面對競爭對手來勢洶洶，樂天國際銀行資金運用處處長林寶宏今天（4/29）在國票金控法說會表示，幾家純網銀的商業模式並不相同，像是Line Bank就是以社群平臺獲客，而樂天銀行的發展策略是以樂天生態圈為主，由臺灣的樂天市場、樂天信用卡、樂天桃猿隊這3大基礎的會員、卡友、粉絲，作為樂天銀行的潛在發展顧客。</p> <p>林寶宏進一步提到，日本樂天銀行今年初開戶數已超過1千萬人，等於在日本1.26億的人口中，有1成民眾在日常生活中使用他們的純網銀App。日本樂天銀行發展策略，就是以電商模式展開用戶群，所以，樂天認為，比起以社群獲客，以電商模式獲取顧客後，顧客的黏著度會很長、很久，而且效果會比較好。</p> <p>由於樂天生態圈在臺的服務，皆由單一的樂天會員ID制度串起。因此，林寶宏解釋，如果從電商生態圈著墨，這名消費者如果已是樂天市場的會員，便可以馬上轉換成樂天銀行的顧客，這兩者會搭配串連在一起。等於消費者用同一個ID，同時可以是樂天市場會員、樂天信用卡卡友與樂天銀行用戶等。</p> <p>他表示，消費者在這整個樂天生態圈不管使用哪項服務，最後都會是整個樂天集團的貢獻，這也是為何樂天認為電商對消費者的黏著度，會比社群平臺黏著度高的關鍵。</p> <p>不過，林寶宏提到，臺灣使用者習慣與日本並不相同，不可能將日本樂天銀行的模式全部引進臺灣。所以，發展策略會加入在地使用者體驗元素，如，臺灣消費者很喜歡消費回饋這項元素。</p> <p>林寶宏表示，樂天銀行初期投資資訊成本很高，日方希望先讓用戶感到安心、安全、便利為主。所以，在手機App優化使用者介面與使用者體驗，也是樂天銀行的重點之一。比如，樂天銀行近期推出線上大額轉帳約定功能，用戶事先約定帳戶跨行轉帳單筆可轉200萬元，一天最高可轉帳300萬元，且全程可線上完成，無須到實體分行臨櫃辦理。</p> <p>樂天銀行打算開業前3年半穩紮穩打，將這些事情做穩做好。林寶宏表示，預期在開業3年半後，可以單月轉虧為盈，這是樂天銀行的目標。此外，樂天銀行的大股東國票金控，其董事長魏啟林則依舊期望，樂天銀行能與國票金控旗下3家子公司有整合來發揮綜效。</p> <p>目前，樂天銀行鎖定30～50歲消費者族群，林寶宏提到，要逐漸拓展樂天生態圈的所有顧客使用樂天銀行，目前，正透過各式活動推廣消費者使用銀行App的習慣。</p> <p>樂天銀行開業至今，已推出線上開戶、定存、信貸、線上約定大額轉帳、生活繳費、金融卡管理、新信貸產品等，連日本ATM提款服務也開通，可在日本便利商店7-Eleven、Lawson及郵局ATM提領日幣現鈔。</p> <p>林寶宏預告，樂天銀行即將與合作夥伴推出行動支付服務，未來，可用銀行App在商店掃碼付款。此外，也正同步規畫外匯、投資、保險、企金業務。</p> <p>目前樂天銀行員工人數為130人，其中IT人員超過50人，客服人員則為十幾名。文⊙李靜宜</p> </div></div></div>
2021/4/29 20:35作者李靜宜https://www.ithome.com.tw/news/144130
研究人員揪出潛伏在Linux系統中長達3年的木馬程式RotaJakiro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國資安業者360旗下的網路安全研究實驗室Netlab在本周指出，有一木馬程式RotaJakiro潛伏在Linux系統中至少長達3年。</p> <p>根據Netlab的分析，RotaJakiro為一針對Linux x64系統的木馬程式，它使用輪替加密，而且在執行後對於Root或非Root帳戶有不同的行為，猶如Dota遊戲中的雙頭龍（Jakiro），使得該團隊將它命名為RotaJakiro。</p> <p>RotaJakiro不僅以AES來加密惡意程式內的資訊，其與命令&控制（C&C）伺服器的通訊，更採用了AES、XOR、ROTATE與ZLIB壓縮等加密演算法，此外，RotaJakiro支援12種指令，其中有3種是執行特定的外掛程式，Netlab團隊目前尚未得知RotaJakiro的目的，推測其指令可能具備回報裝置資訊、竊取機密資訊、查詢/下載/刪除檔案，以及執行特定外掛程式等功能。</p> <p>Netlab團隊追蹤到RotaJakiro的C&C伺服器，發現這些伺服器存在的年代更久，在他們取得的4個RotaJakiro樣本中，最早的一個是在2018年創立，而其C&C伺服器最早建立的日期，卻是在2015年。</p> <p class="rtecenter"><a href="https://blog.netlab.360.com/stealth_rotajakiro_backdoor_cn/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0429-RotaJakiro%E6%A8%A3%E6%9C%AC.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源／Netlab</span></p> <p>此外，該團隊也相信RotaJakiro與Torii傀儡網路有關，因為它們使用了很多一樣的命令，建構的方式也非常的類似，同樣利用各種加密演算法來掩飾行蹤與來源，也都採用老派的長駐與結構化的流量手法。</p> <p>資安業者<a href="https://blog.avast.com/new-torii-botnet-threat-research" target="_blank">Avast曾在2018年揭露Torii的存在</a>，指稱它是個複雜的IoT傀儡網路，可入侵包括MIPS、Arm、x86、x64、PowerPC與SuperH等架構的裝置，且相信它至少自2017年便開始活動。</p> </div></div></div>
2021/4/29 18:43作者陳曉莉https://www.ithome.com.tw/news/144127
臉書公布首季財報，每月用戶數增加10%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書在28日公布<a href="https://s21.q4cdn.com/399680738/files/doc_news/Facebook-Reports-First-Quarter-2021-Results-2021.pdf" target="_blank">今年第一季的財報</a>，顯示該季創下262億美元的營收，比去年同期成長48%，淨收入為95億美元，大增94%。廣告仍為臉書最大的收入來源，帶進254億美元的營收，占臉書總營收的97%。</p> <p>此外，<a href="https://s21.q4cdn.com/399680738/files/doc_financials/2021/FB-Earnings-Presentation-Q1-2021.pdf" target="_blank">臉書的全球用戶數</a>仍在持續增加中，每日用戶數為18.8億，增加8%，每月用戶數則達28.5億，增加10%。</p> <p>由於該季臉書不管是在營收或獲利上，都超越了分析師的期待，使得當天臉書的盤後股價上揚6.15%，達326美元。臉書主要的營收依然來自北美市場，為124億美元，歐洲以65億美元居次，亞太地區則占了48億美元。</p> <p>臉書財務長David Wehner說明，第一季的強勁成長，有賴於廣告的平均價格增加了30%，且廣告的遞送數量也成長12%，預期在受到廣告價格上揚的激勵下，今年的廣告營收將會持續成長。</p> <p>另一方面，受到疫情的影響，使得臉書去年前兩季的營收與獲利成長幅度變小，Wehner認為，這也讓臉書今年前兩季可能會出現相對大幅度的成長，到下半年才會趨緩。</p> <p>儘管如此，臉書亦提及蘋果在<a href="https://www.ithome.com.tw/news/144059" target="_blank">iOS 14.5所祭出的新隱私政策</a>，可能會影響臉書的廣告營收，為該平臺的風險之一。</p> </div></div></div>
2021/4/29 15:13作者陳曉莉https://www.ithome.com.tw/news/144117
蘋果財報出爐：營收成長54%，獲利翻倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2021/04/apple-reports-second-quarter-results/" target="_blank">蘋果周三（4/28）公布</a>該公司截至3月27日的2021財年第二季財報，指出該季創下了896億美元的營收，成長54%，淨收入為236.3億美元，比去年同期的112.49億美元多出一倍，當天蘋果盤後股價上漲了2.36%，每股價格為136.73美元。</p> <p>蘋果財務長Luca Maestri表示，該季蘋果不僅在每個地區的營收都創下新紀錄，且每個產品類別的銷售都有兩位數的成長。</p> <p>根據蘋果財報，896億美元的營收中，有479.4億美元是由iPhone所貢獻，成長66%；服務營收則是169億美元，成長27%；Mac為91億美元，成長70%；穿戴式/家用/配件為78.4億美元，成長25%；iPad為78.1億美元，成長79%，其中以iPad、Mac與iPhone的成長幅度最大。</p> <p>若從市場來看，在896億美元的營收中，有343億美元來自美洲市場，成長35%；223億美元來自歐洲市場，成長56%；177億美元來自中國市場，成長87%；日本占了77億美元，成長49%；其它的亞太地區則占了75億美元，成長94%。</p> <p>這一年來，蘋果的業務受到疫情的推動而大幅成長，被限制只能在家中活動的人們採購各種工作與娛樂裝置，最新一季的財報顯示這股趨勢尚未停歇。</p> </div></div></div>
2021/4/29 13:52作者陳曉莉https://www.ithome.com.tw/news/144108
Windows 10 21H1定名為May 2021 Update
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2021/04/28/preparing-the-windows-10-may-2021-update-for-release/" target="_blank">微軟宣布</a>今年上半年代號21H1的Windows 10更新，正式定名為May 2021 Update，並在本周稍早將測試版本釋出給開發人員。</p> <p>沒有意外的話，Build 19043.928將是Windows 10 May 2021 Update的最終版本。目前這個版本的媒體安裝工具已經可在<a href="https://www.microsoft.com/en-us/software-download/windowsinsiderpreviewiso" target="_blank">微軟網站</a>下載。至於May 2021 Update正式釋出時間，微軟並未說明，但<a href="https://www.zdnet.com/article/microsoft-finalizes-windows-10-21h1-as-the-may-2021-update/" target="_blank">ZDNet猜測</a>可能連同5月11日Patch Tuesday一同釋出。</p> <p>負責Windows Insider測試方案的資深計畫經理Brandon LeBlanc指出，微軟持續透過現有發布管道提供更新May 2021 Update。本周稍早微軟已經將更新一點的版本Build 19043.964，透過Beta及Release Preview通道，釋出給Windows Insiders測試方案的人員。</p> <p>已加入Release Preview通道的測試人員若希望先睹為快，可以透過「設定」、「更新&安全性」、「Windows Update」選項，來下載安裝May 2021 Update。參加Insider方案的測試人員第一次安裝後，未來就會自動接收新版本，包括Build 19043.964，一如每月更新的模式</p> <p>至於參加Windows Insider Program for Business的企業用戶，則已從三月即可測試21H1，並要求微軟支援團隊的協助，這部份僅限Windows 10 Enterprise及Pro版本用戶。</p> <p>21H1應該只會是小幅更新版本，是所謂的enablement package update。主要新功能包括：Windows Hello多相機支援會在同時有內、外Windows Hello相機時，預設啟用外部相機；提升Windows Defender Application Guard的效能，包括最佳化文件開啟時間；以及提升WMI（Windows Management Instrumentation）群組服務的更新效能，以支援遠距作業。</p> <p>微軟今天也同時釋出下一版LTSC（Long Term Servicing Channel）伺服器Windows Server 2022的<a href="https://techcommunity.microsoft.com/t5/windows-server-insiders/announcing-windows-server-preview-build-20344/m-p/2303472" target="_blank">build 20344版本</a>。Windows Server 2022正式版本預計今年下半釋出。</p> </div></div></div>
2021/4/29 12:34作者林妍溱https://www.ithome.com.tw/news/144106
AI趨勢周報第166期：盤點那些Nvidia在GTC上一口氣發布的50多個新版AI工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0423～0429)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI開發框架 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 對話式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>一口氣發布50多個新版AI工具，盤點那些Nvidia在技術年會上推出的新工具</strong></span></p> <p>Nvidia在日前落幕的全球技術年會GTC上，一口氣發布50多個AI新工具SDK和學習教材，範圍涵蓋高效能運算（HPC）、電腦視覺、資料科學、推薦系統、對話式AI等，以及新的Nvidia深度學習研究院線上課程。</p> <p>就SDK來說，Nvidia這次新推出的是TAO，是一款能簡化、加速企業級AI模型開發的圖形使用者介面（GUI）工具。企業可透過遷移學習或聯合學習，來將預訓練模型微調成特定領域的模型，將原本需要幾個月的大規模訓練過程縮短為數小時。</p> <p>其他新發布的SDK（有些是版本更新）還包括對話式AI框架Jarvis、即時視訊開發工具Maxine、推薦系統開發工具Merlin、AI即時串流分析工具DeepStream、模型加速推論框架TensorRT，以及用來強化光影追蹤和畫面渲染的遊戲開發AI工具RTX。</p> <p>在課程方面，Nvidia也新增兩大類內容，一類是給自學者自修的線上課程，範圍涵蓋深度學習導論、資料科學工作流程加速等，另一類是Nvidia即將開設的全日制實體與虛擬工作坊，內容有加速資料工程流程、打造對話式AI應用程式。<a href="https://blogs.nvidia.com/blog/2021/04/19/new-updated-ai-tools-developer-training/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CNN </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影像辨識 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Swin Transformer </span></strong></span></p> <p><span style="font-size: 22px;"><strong>再見了CNN？微軟開源影像辨識預訓練模型，多項電腦視覺任務完勝CNN </strong></span></p> <p>微軟上個月發表一套影像辨識預訓練模型Swin Transformer，是一個通用的電腦視覺骨幹，不只拿下多項電腦視覺任務榜首，最近也在GitHub開源。</p> <p>Transformer是近年興起的類神經網路架構，有著無方向分析的優點，因此特別適合序列性任務，比如自然語言處理（NLP），Google在2018年提出的NLP預訓練模型BERT，就是一個劃時代的代表。</p> <p>近來，不少開發者開始將Transformer運用於電腦視覺領域，像是OpenAI年初發表的DALL·E，可透過文字來產生圖片，又或是去年底Google發表的ViT（Vision Transformer），可達到如CNN般準確的影像分類水準，又能大幅降低運算成本。</p> <p>在這個基礎上，微軟同樣以Transformer架構開發出影像辨識預訓練模型Swin Transformer，與ViT不同的是，它以CNN常見的分層方法來辨識圖片，也就是從一小塊Patch開始辨識，然後將附近的Patch聯合起來，輸入到更深的Transformer層中。特別的是，它透過變換視窗（Shift windows）的方法，來限制對非重疊視窗的自我注意力運算，從而降低運算資源的耗費。經測試，Swin Transformer在COCO minival和COCO tes-dev資料集基準測試上，都達到SOTA表現。<a href="https://github.com/microsoft/Swin-Transformer">（詳全文）</a></p> <p><img alt="" src="https://github.com/microsoft/Swin-Transformer/raw/main/figures/teaser.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 歐盟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI立法框架 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生物辨識 </span></strong></span></p> <p><span style="font-size:22px;"><strong>歐盟公布AI立法框架，生物辨識幾乎不准用</strong></span></p> <p>歐盟日前公布首套AI立法框架以及與會員國的協調計畫，明確定義AI風險，並將禁止或嚴格限制高風險的AI應用，其中，所有的遠端生物辨識系統都被歐盟列為高風險，只能在特定情況下使用。</p> <p>框架中的AI風險可分為4種，包括不可接受的風險、高風險、有限風險，以及最小風險。其中，任何明顯威脅人身安全或生活權利的AI系統，將會絕對禁止，比如以語音來鼓勵未成年人進行危險行為的玩具，或是政府用來進行社會評分的系統。</p> <p>至於只要是應用在重要架構的AI系統都被視為高風險，像是重大基礎設施、教育/職業訓練、產品的安全元件、招募/員工管理系統、必要的私人與公共服務、執法、移民/庇護/邊境管制管理，以及司法與民主程序等。<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_21_1682">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 新藥開發</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CPA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臉書 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臉書開源新藥開發模型CPA，數小時就能得知百種藥物測試結果</strong></span></p> <p>臉書聯手德國Helmholtz Zentrum München研究中心，開發一種新藥物預測模型CPA，可加速探索新藥組合來打擊複雜的疾病。CPA可預測藥物組合、劑量、服藥時機，甚至是可採取的介入措施。</p> <p>CPA採用自監督學習方法，可觀察有限數量的藥物組合來治療細胞，並預測未被發現的藥物組合效果。比如，資料集中有A、B、C和A+B等多種藥物對不同類型細胞產生的影響，CPA模型能了解每種藥物對特定細胞類型的個體影響，然後重組，推斷出藥物A+C、B+C，甚至是A+B與C+D的交互作用。</p> <p>藥物研究者可用CPA產生假設，來設計實驗過程，縮小數十億種的選擇範圍，以便在實驗室中實驗。這個方法，可將過去需要數年細胞實驗，才能測試100種藥物的過程縮短為數小時，而且還能選擇最佳的組合結果來驗證。研究團隊已開源這個模型，包括API和Python程式，來讓其他組織用來研究藥物使用。<a href="https://ai.facebook.com/blog/ai-predicts-effective-drug-combinations-to-fight-complex-diseases-faster/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-4.fna.fbcdn.net/v/t39.2365-6/171087538_450600859331481_6143082134857039741_n.jpg?_nc_cat=107&ccb=1-3&_nc_sid=ad8a9d&_nc_ohc=IK-aCjpAeUgAX_ERlqM&_nc_ht=scontent.ftpe7-4.fna&oh=6a0051d58d3509caf877494e7489527e&oe=60AEF282" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GAN </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GANverse3D </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 渲染 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia用GAN打造新AI模型，可快速將平面物體轉換成3D模型</strong></span></p> <p>Nvidia開發了一種新的深度學習引擎GANverse3D，可將標準的2D圖像，轉換成3D物體模型，還能當作虛擬協作模擬平臺Nvidia Omniverse的擴充套件，將3D模型渲染成光影逼真的樣子。其實，在開發GANverse3D時，模型缺乏訓練資料，團隊就用生成對抗網路（GAN）當作資料產生器，來生成同一物體、但不同視角的圖片，就像是攝影師繞著車輛，從不同角度拍攝的一樣。</p> <p>接著，這些多重視角圖片會加入反轉圖像（Inverse Graphics）用的渲染框架加以訓練。之後，GANverse3D只需要單張2D圖像就可快速創建出3D模型，這些模型可用於3D神經渲染器上，讓開發者控制自定義物件和變換背景。<a href="https://blogs.nvidia.com/blog/2021/04/16/gan-research-knight-rider-ai-omniverse/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="413px" width="733px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="413px" src="https://www.youtube.com/embed/gz5E9wszZSI" title="YouTube video player" width="733px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">臺中榮總 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 陽明交大 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺中榮總聯手陽明交大，為醫療AI布局還要培育更多懂AI的醫師</strong></span></p> <p>臺中榮總日前與陽明交大簽署MOU，要一起專攻醫療AI、精準醫學、精準健康和醫療大數據應用等4大領域，要以大型整合計畫、產學合作、智慧醫療人才培訓和實習，以及共享教學研究資源等方法來實踐。</p> <p>臺中榮總院長陳適安指出，臺中榮總在前院長許惠恒的帶領下，推動一部一科一室一AI專案，已有100多位職員取得AI結業證書，而他上任後，也盤點全院各醫療行政科室的AI專案、成立智慧醫療委員會，要繼續發展醫療AI應用。</p> <p>交大陽明校長林奇宏也指出，陽明在高齡長照、腫瘤、腦科學、醫學工程等領域有著深厚基礎，交大則專精電子、資通訊與管理、科學與工程等領域，他也著手盤點校內智慧醫療發展，要與臺中榮總規畫客製化AI進階班教學課程，鼓勵更多醫師就讀AI碩博士班。<a href="https://www.nycu.edu.tw/press/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 西門子 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 工廠自動化 </span></strong></span></p> <p><span style="font-size:22px;"><strong>西門子聯手Google雲端，要用ML讓工廠產線更自動化</strong></span></p> <p>西門子宣布聯手Google雲端，要用Google雲端的資料雲和機器學習等技術，來加速工廠產線流程的自動化。西門子解釋，要開發如Industrial Edge這樣的製造業產線自動化解決方案很複雜，借助Google雲端後，可將Industrial Edge的管理大規模擴展，讓更多產線作業自動化。對使用者來說，也能利用雲端ML模型來即時分析工廠產線資料，提高產品品質。<a href="https://press.siemens.com/global/en/pressrelease/siemens-and-google-cloud-cooperate-ai-based-solutions-manufacturing">（詳全文）</a></p> <p><img alt="" src="https://assets.new.siemens.com/siemens/assets/api/uuid:eb2e1448-3ac5-4f34-bc61-c62c9569d38b/width:1024/HQDIPR202104196186-Siemens-Google-Cloud.png" /></p> <p>圖片來源／臉書、Nvidia、西門子、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 西雅圖Whole Foods導入Amazon One掌紋支付</strong></p> <p><strong>2. 嬌生靠AI加速疫苗生產效率，先建立可迭代的AI開發流程，再培養「雙語」資料科學家</strong></p> <p>資料來源：iThome整理，2021年4月</p> <div id="gtx-anchor" style="position: absolute; visibility: hidden; left: 20px; top: 3875.89px; width: 616.694px; height: 24.4444px;"> </div> <div aria-describedby="bubble-18" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: -350px; top: 3910px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-18"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowup" style="left: 308.5px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2021/4/29 13:09作者王若樸https://www.ithome.com.tw/news/144107
AWS推出Amazon FSx File Gateway服務，供用戶快速存取雲端檔案伺服器資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出<a href="https://aws.amazon.com/tw/blogs/aws/get-started-using-amazon-fsx-file-gateway-for-fast-cached-access-to-file-server-data-in-the-cloud/">了Amazon FSx File Gateway</a>服務，這是一種新型態的AWS Storage Gateway，供用戶取用儲存在適用於Windows檔案伺服器的Amazon FSx（Amazon FSx for Windows File Server）中的資料，AWS提到，因為Amazon FSx File Gateway經過網路最佳化且使用快取技術，因此用戶和應用程式能夠像是在本地端共享資料一樣使用這個新服務。</p> <p>Amazon FSx for Windows File Server本身是一個全託管且高度可靠的檔案系統，能夠讓用戶方便地配置和操作檔案伺服器、儲存磁碟和備份。Amazon FSx for Windows File Server在雲端完整地提供Windows檔案系統，並且支援SMB協定，可以由雲端或是本地端的Windows、Linux和macOS系統存取，Amazon FSx for Windows File Server運作在Windows Server之上，提供豐富的管理功能，包括檔案還原、重複資料刪除、Active Directory整合和ACL存取控制。</p> <p>AWS提到，傳統工作負載逐漸上雲，部分的用戶無法使用原生雲端服務，託管企業就地部署檔案系統中的資料，原因可能像是企業本地端和雲端間，存在的延遲和頻寬的限制，因此團隊專案文件和內容系統共享的資料，都需要留在本地端。</p> <p>而AWS新推出的Amazon FSx File Gateway服務，就是要來解決這個問題，讓企業可以快速地從雲端檔案伺服器存取資料，其提供低延遲存取功能，讓企業可以將該服務用於需要低延遲的本地端應用程式，而且其快取機制可以節省企業和雲端之間的共享頻寬，這對於有許多用戶要直接存取共享資料的情境尤為重要。</p> <p>用戶可以附加Amazon FSx檔案系統，只要在同一個AD（Active Directory）網域的成員，就可以透過閘道器將資料提供給應用程式和用戶使用，而且AD基礎設施還可以被託管在AWS Directory Service或是本地端部署。</p> <p>AWS說明了Amazon S3 File Gateway和新的Amazon FSx File Gateway服務選用時機，Amazon S3 File Gateway讓用戶能以檔案的形式，存取儲存在S3中的資料，也能作為將檔案放進S3中的解決方案，執行諸如物件工作負載、分析，以及處理位在本地端檔案中的資料。</p> <p>而Amazon FSx File Gateway則是另一種儲存解決方案，相當於把NAS（Network-Attached Storage）移動到了雲端，但同時又可提供本地用戶低延遲的無縫存取，能夠支援終端使用者家目錄以及團隊檔案共享等，這兩個主要使用SMB檔案協定的通用NAS使用情境。</p> <p>Amazon FSx File Gateway的功能包括多用戶共享檔案，還有進階資料管理功能，像是存取控制、資料保護快照和整合備份等。AWS提到，Amazon FSx File Gateway與備份整合是該服務的一項特點，整合備份包括在Amazon FSx內進行的備份以及由AWS Backup協調的備份。在開始備份之前，Amazon FSx for Windows File Server會與每一個附加的閘道器通訊，以確保所有的資料都已提交，這有助於減少用戶在管理上的麻煩，使得雲端檔案共享更可靠。</p> </div></div></div>
2021/4/29 10:22作者李建興https://www.ithome.com.tw/news/144101
Spotify發表播客付費訂閱服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.spotify.com/2021-04-27/spotify-ushers-in-new-era-of-podcast-monetization-with-new-tools-for-all-creators/" target="_blank">Spotify在27日發表</a>了播客（Podcast）付費訂閱服務，首波有12名創作者參與，每月訂閱費用落在2.99美元、4.99美元或7.99美元，且Spotify宣布該服務上線的兩年內，都不會向創作者收取手續費或平臺費，就算至2023年開始向創作者徵收費用，也只會是訂閱費用的5%。</p> <p>被許多人視為數位廣播服務的播客，其實早在2000年就現身，且蘋果也在2005年釋出的iTunes開始支援播客，但一直到這幾年，在Spotify的推波助瀾下，才逐漸成為顯學。</p> <p>不只是Spotify，蘋果也在4月20日發表了播客訂閱服務（Apple Podcasts Subscriptions），預計於今年5月於全球170個市場同步推出。</p> <p>不過，創作者透過蘋果平臺提供播客訂閱服務，通常必須在第一年支付蘋果30%的費用，第二年為15%。而Spotify則直接以免費來招攬創作者，同時擴大市占。</p> <p>Spotify是透過於2019年收購的廣播平臺Anchor，來提供播客付費訂閱服務，創作者可藉由Anchor平臺，把特定的內容設為「僅限訂閱者」，目前僅於美國市場試行，預計於未來幾個月逐漸擴張至全球市場。</p> <p>根據Spotify去年第四季的財報，在該平臺3.4億的全球用戶中，已有25%存取播客內容，高於前一季的22%。</p> </div></div></div>
2021/4/29 09:31作者陳曉莉https://www.ithome.com.tw/news/144103