iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 26篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 21:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

新聞就是現成的資安意識培訓包
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-shu_zhai_-sheng_huo_zi_an_wu_si_san_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在生活上，從警方偵破的社會案件，也可認識不少與民眾使用網路服務安全有關的知識！</p> <p>例如，刑事警察局在2018 年9月5日宣布偵破一起網路犯罪事件，與一般民眾雲端服務帳戶被盜有關，甚至還會導致自己的網銀也被盜！在這個偵破的事件中，犯罪者利用許多民眾以電話號碼作為網路帳戶密碼的習慣，入侵用戶Google帳戶，進而盜領網銀存款。</p> <p>這樣的事件突顯了幾個問題，包括密碼設定不夠安全，兩步驟認證未開啟，以及主要電子郵件帳號外洩嚴重性。</p> <p>關於這起2018年的新聞事件如下：</p> <p><strong>刑事警察局公告：偵破黃○岳等8 人網路銀行盜轉集團案</strong></p> <p><strong>媒體新聞報導：使用者Google 帳戶密碼安全意識不足，導致網銀存款遭盜轉</strong></p> <p><strong>刑事警察局在9 月5日偵破一起網路犯罪事件，手法是利用許多民眾以電話號碼作為網路帳戶密碼的習慣，入侵用戶Google帳戶，進而將網路銀行存款盜領。（資料來源：刑事警察局與iThome）</strong></p> <p>這則新聞報導了警方的破案過程：</p> <p>（一）一開始有受害民眾報案，銀行帳戶被人盜用並轉帳</p> <p>（二）調查掌握情資後，偕同多個單位破案</p> <p>（三）破案後公布調查結果</p> <p>（四）呼籲民眾注意</p> <p>從這起社會案件新聞中所提供的調查結果，可以看出犯罪集團是如何進行網路犯罪。原來，犯罪集團是先鎖定了民眾的Google帳戶，用猜出帳號密碼的方式，來登入到民眾的雲端郵件Gmail與雲端硬碟。</p> <p>為什麼用戶的密碼會被猜出？犯罪集團可能從某個地下管道取得用戶已外洩的個資，包含姓名、郵件、電話等，進而使用這些資訊來嘗試猜出密碼，也真的有部分用戶密碼被猜到。</p> <p>之後，犯罪集團還會再從被害人的Gmail或雲端硬碟，找出重要個人資訊，包括金融往來資料、密碼，以及身分證件等資訊，目的是要冒用被害人身分，進而撥打電話給銀行客服，變更存戶聯絡電話，在變更成功之後，犯罪集團登入被害人網銀時，就能用變更後的人頭手機門號，接收動態密碼確認身分，來成功登入並盜轉金錢。</p> <p><span style="font-size:28px;"><strong>認識資料外洩現況</strong></span></p> <p>談到這裡，一般民眾可能要建立一些觀念，那就是過去網路服務興起，對個人資料保護較不足，所以許多個資可能早已經被竊取。儘管有些已經網路服務已經著手強化，但你可以想到的是，早期被竊取的資料仍有可能在外流竄。而且，隨著現在帳號越來越有價值，駭客攻擊不斷，因此新的資料外洩事件頻頻傳出。</p> <p>你可以想像一下，早年網路與數位化的興起，但網路安全的觀念還不興盛，當時資安防護應該比現在少，相對來說，駭客竊取資料會比現在更容易些。</p> <p>而且，若是這些服務網站在儲存用戶你的密碼時，完全沒有加密，也就是以「明文」的方式保存資料，這更是糟糕的情況，如果有對這些帳號的密碼加密保護，至少還好一點，但駭客仍然有機會去破解。</p> <p>無論如何，隨著攻擊趨勢不斷增加，儘管近年業者都開始更有意識要求做好資安，但一般民眾或許沒想過，資安真的如此容易就做好嗎？身在暗處的網路攻擊者，只要找到弱點並成功利用，就有機會突破，而相對地，你可以從防禦的角度來想像，只要有一次沒有防禦成功就失敗了。</p> <p>還有，使用新技術卻管理設定不當的狀況，也一再發生。因此，時至今日我們仍時常聽到，有業者公布資料外洩事件，或是有資料外洩相關事件被資安業者等揭露。</p> <p>或許你不清楚，資安其實是場不對等的攻防，攻擊方僅需單點突破，防守方卻需要全面防堵，即便現在資安防護越來越受重視，但，所有業者都能一下子就有辦法達到高防護能力嗎？這些業者也都是要逐步強化與提升（當然，很多狀況是業者遭遇後才改善）。因此，對於一般民眾而言，我想應該先對帳密外洩這件事，要有些認知，了解帳密外洩的現況，才會更知道為何要呼籲大家，在不同雲端服務最好不要使用同樣的密碼，以及要開啟雙因素驗證等。</p> <p>簡單來說，除了網站服務必須持續強化登入安全性的防護，個人同樣也要重視帳號安全。</p> <p><span style="color:#B22222;"><strong>又是輕忽密碼設定的問題</strong></span></p> <p>在刑事警察局偵破的這起網路犯罪事件，第二個要注意的焦點是，他們利用一般人可能用自己電話號碼當密碼的習慣，所以能夠成功登入受害民眾的Google帳號。事實上，許多人為了密碼要好記，就是用自己方便的生日、電話，但是，你想的到，別人也想的到。</p> <p>也因此，這起犯罪事件用上了這般並非高深技術的手法，卻依然能夠奏效。</p> <p><span style="color:#B22222;"><strong>資料外洩當心身分冒用風險</strong></span></p> <p>第三個要注意的焦點，之後犯罪集團更假冒被害人，撥打電話給銀行客服，變更存戶聯絡電話為犯罪集團持有的人頭電話號碼，然後就能接受認證簡訊，登入你的網路銀行盜轉，再將錢從人頭帳戶提領。</p> <p><span style="font-size:28px;"><strong>為何駭客能假冒被害人身分呢？</strong></span></p> <p>簡單來說，犯罪集團登入到你的Gmail 後，就發現裡面很多有趣的東西，像是有銀行的通知信，甚至也有更多個人資料，因此有機會去冒用你的身分，透過銀行客服打電話變更個人資訊，關鍵更是在變更用戶的手機號碼。因為，現代人的手機與手機號碼幾乎已經成為自己的分身。</p> <p>因此，對於銀行業者與金融監管機關，看到這樣的消息，就會想到，現在提供民眾方便的服務，透過銀行客服比對資料就能修改用戶電話號碼，是否太過方便而不夠安全，是否需要改成臨櫃持雙證件才能辦理。</p> <p>而個人也該注意到，你的資料的重要性，以及自己個人郵件電子信箱的重要性，要知道，不肖份子或者也能登入你的其他服務，因為可以用忘記密碼這招，將認證信寄到你的Email，然後重新設定。</p> <p>因此，對於一般民眾而言，事件中警方有提醒幾件事：</p> <p>（1）勿設定易於猜解的帳號密碼。</p> <p>（2）勿將個人資訊、密碼及私密檔案存放雲端，避免因帳號遭人破解後，取得相關資料用於詐騙或其他非法用途。</p> <p>（3）民眾若是發現銀行帳戶存款有遭盜領的異常情形，請向申設銀行反應及報案。</p> <p>總結來看，在這樣的社會新聞事件中，可以分成幾個要注意的點：</p> <p>1. 要先知道個資外洩的嚴重性，新聞幾乎常常都在報</p> <p>2. 密碼設定最好不要用簡單的生日、電話（也就是自己的個資），以及一些弱密碼</p> <p>3. 密碼不能太簡單還有很大的原因，這裡犯罪集團只是用很土法煉鋼的猜，其實還有很多自動化執行的工具，用你在其他服務外洩的帳密，去嘗試破解之類。</p> <p>4. 警方接受筆者採訪時曾說，這類事件受害者都沒有開啟兩步驟驗證。然而現在很多雲端服務其實都提供了較強的雙因素驗證，你曾經注意過嗎？<strong>（摘錄整理自第3章）</strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span><span style="background-color:#FFFFFF;"> </span></span></strong><a href="http://www.drmaster.com.tw/Bookinfo.asp?BookID=MP22126" target="_blank"><strong><span style="color:#3399ff;"><span style="font-size:20px;">生活資安五四三！從生活周遭看風險與資訊安全</span></span></strong></a></p> <p>羅正漢／著</p> <p>博碩文化出版</p> <p>售價：500元</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span><span style="background-color:#FFFFFF;"> </span></strong><strong><span style="color:#3399ff;">羅正漢</span></strong></p> <p>現於iThome電腦報週刊擔任資安主編，曾擔任技術編輯，負責iThome週刊、專刊與資安年鑑的內容，持續報導商用軟硬體、雲端服務、資訊安全等類型的企業IT解決，同時兼負近年Cyber IQ資安測驗企畫等相關工作，並在2020臺灣資安大會擔任防疫與防駭座談會講者及與談人。工作之餘，參與iT邦幫忙鐵人賽以<a href="https://ithelp.ithome.com.tw/users/20013608/ironman/2539" target="_blank">《生活資安五四三！從生活周遭看風險與資訊安全》</a>作為網路文章系列獲得Security組優選。</p> </div></div></div>
2021/5/9 07:00未署名https://www.ithome.com.tw/article/144116
一周大事：臺灣企業資安曝險大調查出爐。嬌生揭露AI擴大應用關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>蔡英文總統出席臺灣資安大會，首度揭櫫「資安即國安2.0」戰略</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0509-%E4%B8%80%E5%91%A8%E5%A4%A7%E4%BA%8B-%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83-450.png" style="width: 450px;" /></p> <p><span style="color:#696969;">圖片來源／iThome</span></p> <p>今年，全球第一場實體舉辦的資安活動「CyberSec 2021 臺灣資安大會」於今年5月4日～5月6日假南港展覽館二館舉辦，總統蔡英文亦第三度蒞臨臺灣資安大會致詞，並首度在公開場合揭櫫「資安即國安2.0」國安戰略內容，而美國在台協會處長酈英傑（William Brent Christensen）也首度蒞臨臺灣資安大會致詞。</p> <p>臺灣資安大會在去年，是全球暨美國RSA資安會議後，第二場可以實體舉辦的資安會議，因為臺灣民眾防疫有成，今年臺灣資安大會更是全球第一個可以實體舉辦的資安會議。今年，超過一萬名會眾報名三天議程與展覽，議程內容超過200軌，參與業者超過200家，展覽規模更是去年的1.5倍，場邊活動除了連續第四年舉辦的臺灣資安館外，更首度新增資安人才專區「Cyber Talent」、資安品牌日、US-Taiwan AIT Day等活動，「CyberSec Playgroung資安體驗區」的體驗活動，更從去年資安桌遊和知識問答外，擴增到7個體驗活動。<a href="https://www.ithome.com.tw/article/144263" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>KPMG企業曝險報告揭露臺灣產業資安危機</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0509-%E4%B8%80%E5%91%A8%E5%A4%A7%E4%BA%8B-960.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／KPMG</span></p> <p>高科技製造業是臺灣重要關鍵產業，近期卻發生宏碁電腦、廣達電腦遭到勒索軟體的威脅，以宏碁電腦為例，雖然拒絕支付駭客集團高額贖金，但從該公司系統遭植入勒索軟體看來，企業系統岌岌可危，才讓駭客如入無人之境。</p> <p>根據全球第一份針對臺灣企業的資安曝險大調查來看，KPMG安侯數位智能風險董事總經理謝昀澤便直言：「電腦及周邊設備製造業平均網路分數墊底，更有高達80%屬於該產業的企業，落在整體排名的最後15名。」該份調查顯示，通稱高科技業的「護國群山」們，於本次調查中的網路防護安全性分數，平均只有68分，遠低於50家大企業全體平均分數78分，除少數公司躋身領先群外，多數高科技業網路安全防護，都落後於臺灣其他產業。<a href="https://www.ithome.com.tw/news/144099" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>嬌生資訊長揭露AI擴大應用關鍵</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%BF%81%E8%8A%8A%E5%84%92-%E5%AC%8C%E7%94%9F%E8%B3%87%E8%A8%8A%E9%95%B7%20-%E5%9C%961%20%E2%80%93%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%20Johnson%20%26%20Johnson.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／嬌生</span></p> <p>醫藥產品大廠嬌生（Johnson & Johnson），近期釋出了全球首支只需施打一劑、且冷藏保存即可的COVID-19疫苗。嬌生資訊長Jim Swanson在今年Nvidia全球GPU技術大會（GTC）中表示，疫苗在短短一年半就研發成功的一大關鍵，正是AI結合數位分身的運用，先透過虛擬軟體模擬分子架構，再透過AI驗證模擬結果，大幅將疫苗生產效率提升4倍。<a href="https://www.ithome.com.tw/news/143953" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>Line啟用海外最大的臺灣新辦公室，年底將招募逾百位技術人員</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0509-line.png" style="width: 400px;" /></p> <p>隨著在臺灣的業務擴展，Line在臺灣啟用全新辦公室，將原本分開的Line、Line Bank團隊集中在一起，同時將在5月下旬舉辦Line Developers Recruitment Day，年底將招募逾百名技術人員，涵蓋AI、資料科學、前端、後端等。<a href="https://www.ithome.com.tw/news/144209" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>花慈App整合兩大核心系統和AI，靠行動裝置也能一手掌握病歷和就醫紀錄</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E6%B5%81%E7%A8%8B%E5%9C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%95%86%E4%B9%8B%E5%99%A8.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／商之器</span></p> <p>日前花蓮慈濟醫院揭露行動AI應用成果，他們將醫師專用的MobiHIS行動巡房App，整合醫院兩大核心系統，也就是醫療資訊系統（HIS）和醫療影像儲傳系統（PACS），來即時調閱患者病歷、就醫紀錄和醫學影像，同時也導入醫療AI開發框架Clara上的AI模型，讓醫師直接用行動裝置快速判讀疾病，像是肝臟腫瘤、COVID-19肺炎病灶等。接下來，花蓮慈濟還要用App上的標註系統，來訓練更多醫療AI，讓醫師用單一App掌握更多病況、及時診斷。<a href="https://www.ithome.com.tw/news/144151" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Windows 10用戶數破13億</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Windows%2010_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p>圖片來源／微軟</p> <p>微軟公布財報，過去一季營收成長19%，淨收入成長44%。Windows 10每月用戶數突破13億，Teams每日用戶數超過1.45億。<a href="https://www.ithome.com.tw/news/144078" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>木馬程式RotaJakiro潛伏在Linux系統長達3年</strong></span></p> <p>根據網路安全研究實驗室Netlab的分析，RotaJakiro為一針對Linux x64系統的木馬程式，它使用輪替加密，而且在執行後對於Root或非Root帳戶有不同的行為，猶如Dota遊戲中的雙頭龍（Jakiro），使得該團隊將它命名為RotaJakiro。在Netlab團隊取得的4個RotaJakiro惡意程式樣本之中，最早的一個是在3年前所創立，而其C&C伺服器最早建立的日期，卻能夠追溯到6年前。<a href="https://www.ithome.com.tw/news/144127" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>AWS開源迷你賽車DeepRacer裝置軟體</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_DeepRacer_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 300px;" /></p> <p>圖片來源／AWS</p> <p>DeepRacer是一個基於雲端的虛擬賽車模擬器，最近AWS宣布開源DeepRacer裝置軟體，讓開發者可以進一步擴展DeepRacer的功能，使車輛能夠執行更多的行為，或是產生新的跑法。<a href="https://www.ithome.com.tw/news/144126" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>MIT新AI工具可以只靠照片就算出材料承受的壓力</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_MIT%20AI%E7%A0%94%E7%A9%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_MIT.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／MIT</span></p> <p>為了讓設計中的橋樑，能承載一定車輛重量、抵擋強風，過去工程師得耗時計算材料的內力如應力（Stress）與應變（Strain）等。即便現在有電腦的幫忙，部分模擬依然需耗時數天甚至是數個月的時間。為此麻省理工學院（MIT）開發出一種人工智慧技術，可以根據材料內部結構的圖片，快速計算出材料的部份特性，可望消除繁瑣的物理計算，改以電腦視覺和機器學習即時生成估算值，加快設計雛形和檢查材料的速度。<a href="https://www.ithome.com.tw/news/144140" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>紅帽混合雲新策略聚焦邊緣</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94-%E8%87%B3%E6%B5%A9-%20OpenShift-%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.jpg" style="width: 500px;" /></p> <p>圖片來源／紅帽</p> <p>在4月底一場線上紅帽用戶大會上，紅帽一改以往聚焦雲端產品的策略，反倒是轉向大力的布局邊緣端功能及應用，甚至更宣布了一項Red Hat Edge啟動計畫，要將紅帽開放式混合雲產品進一步延伸到邊緣端，來支援完整邊緣軟體堆疊架構。而作為進軍邊緣運算兩大關鍵，就是企業級Linux作業系統RHEL與混合雲平臺OpenShift這兩大雲端主力產品，甚至在會後一場全球媒體線上會議中，紅帽執行長Paul Cormier也說：「OpenShift現在已經是一個邊緣運算平臺了」。<a href="https://www.ithome.com.tw/news/144133" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google GKE能讓多執行個體共享單一GPU</strong></span></p> <p>Google更新其Kubernetes服務GKE，提供多執行個體可共用單一Nvidia GPU的功能，透過在功能強大的GPU上，劃分出多個執行個體，讓用戶依照容器需求取用適當的運算資源。<a href="https://www.ithome.com.tw/news/144090" target="_blank">更多內容</a></p> </div></div></div>
2021/5/9 07:00未署名https://www.ithome.com.tw/news/144220
臺灣資安大會現場直擊系列報導
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/0509-zi_an_da_hui_zhuan_ti_-960.png?itok=wYd1W0-4" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年臺灣資安大會是全球第一個可以實體舉辦的資安會議，超過一萬名會眾報名三天議程與展覽，議程內容超過200軌，參與業者超過200家，展覽規模更是去年的1.5倍，場邊活動除了臺灣資安館、CYBERSEC Playground資安體驗區，更首度新增資安人才專區、資安品牌日以及US-Taiwan AIT Day等活動</p> </div></div></div>
2021/5/9 07:00未署名https://www.ithome.com.tw/article/144263
【臺灣資安大會直擊】讓推動國內資安環境更上層樓，促進資安新人吸取成功經驗，用多元遊戲使玩家接觸資安觀念
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安大會邁向第七屆，現場除了多項專業議程與資安能量展示之外，讓企業能夠一次掌握最新資安技術與瞭解資安解決方案，特別的是，今年大會還特別新規畫Cyber Talent資安人才論壇等一連串活動，並擴大CYBERSEC Playground規模，要讓未來資安人才獲得職能方向及發展寶貴的經驗，並讓現場所有與會者都能透過趣味方式，來體驗與接觸資安觀念。</p> <p>對於資安人才培育，一直是近年政府與產業都關注的議題，如何讓未來人才瞭解企業端與資安產業的人才需求，進一步關注資安產業趨勢與職能需求，成為當務之急。今年資安人才論壇共舉辦18場議程，多元面向是一大特色，透過產業現況、職能與職涯剖析，以及專家座談與經驗分享，讓對資安有興趣的人與新鮮人，更容易找出自己的發展方向。</p> <p>畢竟，資安領域技術範疇相當廣，必須檢視自身在技術面技能的興趣與不足之處，而在專業技能精進之外，興趣結合、心態與產業概況等不同面向，也都會是資安新血成就未來人才時所需考量。而現場也有招募攤位，同時促進人才媒合的機會。</p> <p>另一方面，為了引起更多人對於資安的興趣，以及提升大眾資安意識，今年CYBERSEC Playground提供了7大活動，讓現場所有與會者都能藉由遊戲方式接觸資安觀念。今年新增設有5項，包括「資安人生物語」、「1337 Operation搜索實境」、「Who's Lily？」、「SSS的奇幻冒險」與「Phishing Buster釣魚剋星」，以及<a href="https://www.ithome.com.tw/news/139426">去年臺灣資安大會即推出的CyberWar資安桌遊大戰與CYBER IQ數位帝國保衛戰</a>。</p> <p>可別小看這樣的遊戲，內容其實非常具有巧思，將生硬的資安知識與技術轉化成遊戲／競賽來推廣，透過寓教於樂的方式，讓玩家在遊戲過程中獲得收穫。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1s）資安人才論壇_攝影iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961s%EF%BC%89%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%AB%96%E5%A3%87_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）資安人才論壇與遊樂園_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%AB%96%E5%A3%87%E8%88%87%E9%81%8A%E6%A8%82%E5%9C%92_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h2><strong>將安全模型CDM概念融入桌遊，要讓玩家更懂企業資安防禦規畫</strong></h2> <p>以「Cybercans：資安人生物語」而言，這是一款大富翁遊玩形式的桌遊，由奧義智慧所設計，特別的是，當中引入了安全模型Cyber Defense Matrix（CDM）的觀念，讓玩家在遊戲中也能瞭解CDM的應用，可以如何讓防禦做得更有效。</p> <p>這是奧義智慧繼去年推出<a href="https://www.ithome.com.tw/news/139029">Cyber War卡牌類桌遊</a>，並將MITRE ATT&CK資安框架融入遊戲概念的另一力作。</p> <p>遊戲的核心玩法並不複雜，如同一般大富翁依骰子點數前進，走到格子抽起對應的牌執行指令，而每個玩家的角色，是扮演企業資安決策者，思考該如何決定配置策略抵禦攻擊。奧義智慧說明，遊戲一圈等同一年，如同模擬資安從業人員生活，這也是遊戲取名為資安人生物語的原因。</p> <p>由於大富翁的玩法多數人都能理解，根據奧義智慧的說明，玩家都會拿到一張CDM矩陣的卡片，只要稍微先認識CDM 矩陣的五種資產類別（設備、應用程式、網路，資料與人員），以及攻防中的五個階段（識別、保護、偵測、回應與復原），不懂資安的人也能遊玩。當然，對於已經對資安與CDM熟悉的人，玩起來會稍具優勢，能更快地上手與找到樂趣。</p> <p>如何從遊戲中認識企業防禦概念呢？基本上，遊戲中每次發生攻擊時，就會依照玩家手中的防禦卡來阻擋。舉例來說，如果玩家沒有購買「裝置」類別的防禦卡，在發生針對裝置的攻擊時，就會損失慘重，這可以讓玩家理解要購買不同資產的防禦，以及發現針對某些資產類別的攻擊較多，需花費多一點成本去防守，之後並體認到需要購買不同階段的防禦。奧義智慧表示，當玩家想把這款遊戲玩得更好的同時，其實等同於在利用CDM的概念去思考，如何把防禦做得更有效。</p> <p>特別的是，我們看到遊戲上一些有趣的設計，例如擺放著防禦卡、攻擊卡、事件卡與新聞卡這4類型卡片，走到農曆春節雙十國慶格子需翻起兩張攻擊卡，奧義智慧表示，這呼應現實中長假和政治活動的期間，臺灣會遭受較平常更多攻擊的狀態，同時，也有臺灣資安大會與HITCON的格子，讓玩家能多認識臺灣的資安活動。此外，還有像是新聞卡中有一張是資通安全管理法的修法，因應必須導入EDR，沒有相關防禦卡片的玩家則因為不合規將暫停行動一回合，還有現實中的重要資安漏洞，如ZeroLogon、Meltdown、HeartBleed、ShellShock等，卡片上有都有相關描述讓玩家多瞭解。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2s）資安遊樂園奧義_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962s%EF%BC%89%E8%B3%87%E5%AE%89%E9%81%8A%E6%A8%82%E5%9C%92%E5%A5%A7%E7%BE%A9_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3As）資安遊樂園奧義_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963As%EF%BC%89%E8%B3%87%E5%AE%89%E9%81%8A%E6%A8%82%E5%9C%92%E5%A5%A7%E7%BE%A9_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px; height: 368px;" /></a></p> <blockquote><p>在資安攻防桌遊體驗區中，這款名為資安人生物語的桌遊，採類似大富翁的遊戲方式，結合了安全模型Cyber Defense Matrix，要讓玩家擔當企業資安決策者，思考如何把防禦做得更有效，而每位玩家都會拿到一張CDM矩陣的卡片，以理解五種資產類別與攻防五個階段的關連。</p> </blockquote> <h2><strong>讓玩家透過實境遊戲來體驗企業資安事件調查</strong></h2> <p>另一名為「1337 Operation搜索實境」的體驗區，由TeamT5杜浦數位安全打造，透過調查勒索軟體事件的遊戲情境，帶來了張力十足的實際體驗與效果。</p> <p>最特別的是，TeamT5設計了遊戲的Line官方帳號，運用Line機器人串起整個遊戲過程，讓玩家透過手機就能暢完，相當別出心裁，並且在大會上布置了新聞事件播報、受害辦公室調查到駭客住所攻堅的場景。</p> <p>以遊戲背景而言，是有公司遭遇勒索軟體事件委託TeamT5處理，而攻擊的駭客族群其實相當惡名昭彰，受到FBI關注已久，因此雙方借此機會合作來追查駭客。</p> <p>當玩家來到本場活動攤位進行遊戲時，只要加入遊戲的Line官方帳號，就能讓玩家成為調查探員，並透過Line機器人以接收FBI調查負責人肯特的指令。例如，一開始肯特會詢問玩家是否看過相關新聞報導？玩家將在攤位上觀看國際新聞，從中得知臺灣一家遊戲公司遭到勒索軟體ColdLock攻擊，並有多家國際業者受害，在玩家向探員回報看過新聞後，就會收到進一步的命令，是要玩家去合作夥伴TeamT5據點（也就是廠商攤位），以判斷該新聞事件指的是那一個駭客組織，之後還要找出操作記錄、攻擊者ID、攻擊者打卡的國家等資訊。</p> <p>簡單來說，玩家只要回答出正確答案，化身為FBI負責人肯特的Line Bot，就會繼續引導玩家進入下一調查階段，若是答錯，則是會給予部分提示，讓玩家繼續摸索，同時遊戲內容也帶入了大地遊戲的概念，讓玩家在會場中需要跑來跑去。</p> <p>不僅如此，在這一連串的遊戲過程中，活動攤位後方也布置了受害企業辦公室的模擬場景，讓闖關玩家進入調查，在受害辦公電腦與機房電腦找出線索，看出這家公司是怎麼中勒索軟體，並解密勒索軟體，最後更是可以揪出駭客所在位址，讓玩家體驗執法人員破門而入的情境。</p> <p>特別的是，根據TeamT5的說明，他們在現場還準備了防彈衣、槍械等道具，在門外攻堅時還會設置一個可定時推門的小道具，當玩家順利破關後，主辦方為了讓玩家流深刻印象，在攻堅場景中其實架設了多臺攝影機，會錄製玩家破門的畫面，之後將會編輯成先前新聞的報續報導，讓玩家可以留下紀念。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5s）資安遊樂園TeamT5_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965s%EF%BC%89%E8%B3%87%E5%AE%89%E9%81%8A%E6%A8%82%E5%9C%92TeamT5_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6a）資安遊樂園TeamT5_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966a%EF%BC%89%E8%B3%87%E5%AE%89%E9%81%8A%E6%A8%82%E5%9C%92TeamT5_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖16s）資安遊樂園TeamT5_攝影羅正漢(2).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9616s%EF%BC%89%E8%B3%87%E5%AE%89%E9%81%8A%E6%A8%82%E5%9C%92TeamT5_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2(2).jpg" style="width: 295px;" /></a></p> <blockquote><p>在「1337 Operation搜索實境」體驗區中，玩家可以透過自己的手機，加入該遊戲的Line官方帳號，就能透過化身為FBI負責人肯特的Line Bot，依循指示針對勒索軟體事件進行調查。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967s%EF%BC%89%E8%B3%87%E5%AE%89%E9%81%8A%E6%A8%82%E5%9C%92TeamT5_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969s%EF%BC%89%E8%B3%87%E5%AE%89%E9%81%8A%E6%A8%82%E5%9C%92TeamT5_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>在1337 Operation活動中，不僅布置了受害公司辦公室的遊戲場景，特別是玩家順利破關找到駭客位置後要進行攻堅時，現場還會透過多臺攝影機錄下影像，將這段影像套用到後續的破案新聞影片中，並透過Line Bot傳給玩家留念。</p> </blockquote> <h2><strong>多元遊戲充滿挑戰性、趣味性與知識性，增進一般人資安意識同樣重要</strong></h2> <p>對於人員資安意識方面，同樣成為今年大會遊戲焦點之一。例如，由主辦單位iThome設計的「Phishing Buster釣魚剋星」，就是練習識別釣魚郵件網頁遊戲，題目中包含不少真實的釣魚郵件詐騙內容，目的是要提醒玩家，需仔細查看電子郵件所夾帶的超連結，是否不尋常，並學習判斷網域，同時也要知道可從寄件者發現異常，以及知道寄件者可能被偽造的問題。</p> <p>另一個由HITCON GIRLS策畫的「Who's Lily」，是希望藉由社交工程結合日常生活中，讓與會者體認到一些不以為意的舉動，都可能將自己的資料洩漏，甚至是洩漏公司商業資料。</p> <p>基本上，遊戲主軸就是要找出Lily的相關資訊，遊玩方式上會透過一個線上的問答平臺進行，讓與會者針對問題並嘗試找出正確答案。因此，玩家可以透過公開來源情報（OSINT）方法得到，也可能是在活動期間透過找到Lily本人來獲取。</p> <p>舉例來說，攤位現場布置了Lily的辦公桌，可以讓玩家找到線索，有部分題目也可透過FB、IG找到，目的就是希望一般人體認到保護資料的重要性，體驗到從一些簡單的小細節做起，就可以避免自己資料外洩、甚至是公司商業機密。例如，由於Lily的角色設定是公司資深高層主管，有一道題目是「請問Lily最近想拜訪的客戶？」而挑戰者可從Lily螢幕上的便條紙找到答案，還有題目是「Lily的FB ID是多少？」玩家將可在現場交換名片時，找到扮演Lily的工作人員，進而從名片取得資訊，或是透過HITCON GIRLS粉絲專頁找到曾經按讚的Lily帳號。同時，挑戰者還可以嘗試發送釣魚信件給Lily，從攻擊角度設想你要如何引誘Lily上當回應。根據HITCON GIRLS的說明，這個活動去年在HITCON曾舉辦，不過當時題目偏向CTF資安攻防賽的小技巧，這次則偏向日常生活中大家可能沒注意到的小問題。</p> <p>另外，還有AIS3所設計的「SSS的奇幻冒險」，更是考驗對資訊有興趣的玩家，遊戲目標是要從5張紙卡中找出一組IP位址，但同時也結合跑大地的概念，讓展場的看板、攤位遊戲、宣傳單具有遊戲的重點提示，而紙卡中也考驗玩家對網路層的理解，也會用上16進制轉10進制等概念。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖11s）資安遊樂園釣魚剋星_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9611s%EF%BC%89%E8%B3%87%E5%AE%89%E9%81%8A%E6%A8%82%E5%9C%92%E9%87%A3%E9%AD%9A%E5%89%8B%E6%98%9F_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <blockquote><p>在「Phishing Buster釣魚剋星」的體驗區中，為了讓與會者對釣魚郵件更有識別能力，透過一封封電子郵件讓玩家挑戰，判斷是正常郵件還是釣魚郵件。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/（圖12s）資安遊樂園Lily_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9612s%EF%BC%89%E8%B3%87%E5%AE%89%E9%81%8A%E6%A8%82%E5%9C%92Lily_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <blockquote><p>在「Who's Lily」的體驗區中，讓玩家瞭解可透過公開來源情報（OSINT）或在活動現場布置蒐集到資訊，藉此讓遊玩者體認到保護資料的重要性。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/（圖17）資安遊樂園AIS3_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9617%EF%BC%89%E8%B3%87%E5%AE%89%E9%81%8A%E6%A8%82%E5%9C%92AIS3_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <blockquote><p>在「SSS的奇幻冒險」的體驗區中，玩家從5張紙卡要找出一組IP位址才能過關，當中需運用到資訊相關技術的熟悉度，並且融合大地遊戲的概念。</p> </blockquote> </div></div></div>
2021/5/7 18:31作者羅正漢https://www.ithome.com.tw/news/144252
Cloud周報第104期：微軟喊出朝每年興建逾50座資料中心目標邁進，外加年砸10億美元強化機房資安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2021/04/15～2021/05/05）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> Azure資料中心 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 馬來西亞 </span></strong> </p> <p><span style="font-size: 22px;"><strong>微軟年底前將在10個新城市建置Azure資料中心</strong></span></p> <p>微軟近日宣布年底前，會在至少10個還未有Azure資料中心建設的國家，新增Azure資料中心，並且將朝每年興建50到100座資料中心的目標，來邁進。近日微軟在馬來西亞剛宣布的Azure資料中心建設計畫，就是今年建設10座Azure資料中心的一環。微軟將在吉隆坡新增地區級雲端資料中心，提供Azure、M365、D365和Power Platform，而距離該地區最近的是350公里之外的Azure現有新加坡地區，兩者可望互作為異地備援之用。目前微軟是雲端3巨頭中，唯一計畫在馬來西亞投資雲端資料中心的業者。</p> <p>為了維護資料中心內部儲存和處理之資料的安全性和隱私，微軟每年還會斥資逾10億美元，強化資料中心資安防護力，提升包含硬體設備、軟體、協定和人員等面向的防護。微軟技術長Mark Russinovich以升級伺服器為例，每當進行伺服器升級的動作，工程師會抹除舊驅動器上的資料，甚至粉碎驅動器，以確實銷毀資料。此外，為了讓外界可以一窺Azure資料中心內部的陳設和規畫，微軟日前打造了沉浸式虛擬資料中心體驗網站，供外界認識機房內的空間設計。<a href="https://news.microsoft.com/innovation-stories/microsofts-virtual-datacenter-grounds-the-cloud-in-reality/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端服務 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 調查報告 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 疫情 </span></strong></p> <p><strong style="font-size: 22px;"><strong>Canalys調查：全球雲端基礎設施市場規模單季突破400億美元</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_2021Q1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Canalys.jpg" style="width: 600px; height: 338px;" /></strong></strong></p> <p>市場研究機構Canalys近日公布今年度全球第一季雲端基礎設施服務市場調查報告，該季全球雲端服務市場規模達418億美元，同比成長35%，增加了近110億美元，而相比2020年第四季則增加了近20億美元。根據Canalys的觀察，過去一年來，大環境多面向變化都增加了企業簽訂雲端複數年合約的意願，企業必須適應動態變化的客戶關係、業務流程和供應鏈結構，促使加速數位轉型發展，提升雲端服務的需求，再加上政府為復甦經濟，隨疫苗接種率提升後，已開始逐步放寬社交限制。</p> <p>此次報告中，AWS在雲端基礎設施服務市場仍穩居第一位，占總體市場規模達32%，營收成長33%，其次是Azure占比為19%，排名第二，並已連續3季營收成長5成，排名第三的是Google雲，市占率為7%，單季營收成長達56%。Canalys研究員Blake Murray表示，儘管去年雲端基礎設施市場出現大規模的成長，大多數企業工作負載仍未上雲端，隨著2021年顧客信心指數提高，去年受疫情推遲的大型上雲計畫將浮出水面，且邊緣運算需求會再擴大市場規模。<a href=" https://www.canalys.com/newsroom/global-cloud-market-Q121?ctid=2048-939228c2c091da7d8a36c60eb59020ec">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 亞馬遜 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 財報 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端業務 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>AWS上季營收成長32%，全年營收預估達540億美元</strong></strong></p> <p>亞馬遜日前公布2021年第一季財報，該季營收達1,085億美元，相比2020年同期，成長44%，已連續兩季成長達44%，而淨收入則為81.07億美元，為去年同期的3倍。進一步來看，AWS營收達135億美元，成長32%，並穩坐最高營業利潤的寶座，成長35%，達41.6億美元。即將在夏天卸任的亞馬遜創辦人暨執行長Jeff Bezos在財報發布會上，特別點名了AWS，他表示，該業務在推出15年後，整體年營收已達540億美元，而且仍會持續加速成長。</p> <p>亞馬遜財務長Brian Olsavsky將AWS快速成長的業績歸因於疫情，他表示，在疫情催化下，所有產業和各規模企業都加速雲端採用的速度。不過，AWS成長幅度仍出現下滑的態勢，因為營收同比成長從2020年第一季度的33%，下降為本季度的32%，而雲端業務對整體亞馬遜營收的貢獻也下降了，從14%下滑為13%。亞馬遜預期下一季淨營收成長將介於1,100至1,160億美元，同比成長則預計達24%至30%。<a href="https://ir.aboutamazon.com/news-release/news-release-details/2021/Amazon.com-Announces-First-Quarter-Results/default.aspx">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 遠端協作工具 </span></strong> </p> <p><span style="font-size: 22px;"><strong>微軟商業雲端上季成長3成，其中Azure連續第3季成長達5成</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E5%BE%AE%E8%BB%9FTeams%E6%95%B8_%E6%93%B7%E5%8F%96.JPG" style="width: 600px; height: 230px;" /></strong></span></p> <p>微軟公布2021財年第三季財報，該季營收達417億美元，成長19%，淨收入為155億美元，成長44%，而Azure仍是成長幅度最大的單一產品，成長達5成。與雲端服務相關的業務本季營收表現分別是，生產力與業務流程達136億美元，成長15%；更多個人運算為130億美元，成長19%；智慧雲端為151億美元，成長23%。微軟另外列出了含有Office 365商用版、Azure、Dynamics 365與其他雲端服務的商業雲端類別，該類別的營收為177億美元，成長了33%。</p> <p>從單一產品或服務的營收來看，成長最快的仍是Azure，該季營收成長了5成，居次的是Dynamics 365，成長了45%，而Xbox內容及服務成長了34%。微軟執行長Satya Nadella表示，疫情已持續一年多，但採用數位工具的上升曲線還未放緩，甚至，還在加速中，他更認為，這只是個開端。微軟亦於財報會議中透露，Microsoft 365 Consumer每月訂閱者數量突破5,000萬，還有Teams的每日用戶數更突破了1.45億，約是去年同期的兩倍。<a href="https://www.microsoft.com/en-us/Investor/earnings/FY-21-Q3/press-release-webcast">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 財報 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 疫情衝擊 </span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Google雲端營收成長逾45%，同期虧損降4成Anthos</strong></span></strong></p> <p>Google母公司Alphabet近日公布今年第一季財報，Google營收達552億美元，其中，Google雲端營收為40.47億美元，相比去年同期成長45.7%。Alphabet暨Google執行長Sundar Pichai表示，過去一年來，人們透過Google搜尋與其它服務來保持獲取資訊、聯繫親友，以及獲得娛樂，Alphabet將繼續提供可靠的產品給全球使用者，而Google雲端則會協助各種規模的企業，加速發展數位轉型。</p> <p>不過，Google雲端仍處於虧損狀態，第一季虧損了9.74億美元，好消息是，虧損程度相比去年同期的17.3億美元，已大幅減少。Google近期開始揭露雲端業務營運虧損的狀況，從而讓外業掌握廣告業務貼補雲端業務擴展的程度。整體而言，帶動Alphabet整體營收與獲利成長的依然是Google廣告服務，而Google雲端仍處於投資階段。Alphabet暨Google財務長Ruth Porat表示，儘管雲端市場規模不斷擴大的態勢，有助於雲端業務營運業績的提升，但，他強調，Google將持續投資雲端基礎設施，以促成長遠的績效表現。<a href=" https://abc.xyz/investor/static/pdf/2021Q1_alphabet_earnings_release.pdf?cache=0cd3d78">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 視覺特效 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 娛樂協作工具 </span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>針對內容生產、OTT串流需求，AWS打造雲端視覺特效協作工具Nimble Studio</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_NIMBLE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.JPG" style="width: 600px; height: 321px;" /></strong></span></strong></p> <p>AWS推出雲端視覺特效協作工具Nimble Studio，提供企業已準備好的IT基礎設施即服務，可按需存取包含虛擬工作站、彈性檔案儲存和渲染農場容量，同時還提供了IP安全性、權限和協作等內建自動化工具，來執行視覺特效運算，適合用於媒體和娛樂使用場景。Nimble Studio目前鎖定5大領域，分別是內容生產、OTT串流、廣播、媒體供應鏈及檔案保管，還有資料科學及分析。由於Nimble Studio建構在AWS基礎設施之上，因此可提供企業高效能運算資源，同時提供足夠的資料安全性。</p> <p>使用Nimble Studio時，企業可在EC2虛擬工作站上使用慣用的創作軟體工具，利用EC2進行運算，以及利用Amazon FSx儲存，還有使用AWS Single Sign-On來管理用戶，並使用AWS Thinkbox Deadline管理渲染農場。新工具可相容大多數支援NFS/SMB協定的儲存解決方案，所以企業也可以使用自己的儲存解決方案。Nimble Studio現在已經於美西、美東、加拿大、歐洲等地區提供，亞太地區則目前先在雪梨上線。<a href="https://aws.amazon.com/tw/blogs/aws/amazon-nimble-studio-build-a-creative-studio-in-the-cloud/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> GKE </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> A100 GPU </span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Google更新GKE，多執行實例現可共用單一個GPU </strong></span></strong></p> <p>Google雲端更新K8s服務GKE，新增多執行實例可共用單一Nvidia GPU的功能，在單一GPU上劃分多個執行實例，供企業依照容器需求取用適當的運算資源，提高資源利用率，以優化成本支出。以Nvidia A100 GPU為例，企業可劃分A100 GPU成7個執行實例，每個執行實例都有獨立的高頻寬記憶體、快取和運算核心，而每個執行實例可分配給1個容器，也就是說，每個A100 GPU最多可以分配7個容器。</p> <p>另外，多執行實例GPU間採用硬體隔離，增加了安全性，也替所有GPU上執行的容器提供一致且可預測的QoS。對CUDA應用程式來說，多執行實例GPU提供高透明度，每個GPU執行實例都會被視為常規的GPU資源，程式碼開發模型保持不變，Google提到，這個特點讓多執行實例GPU更容易使用。<a href="https://cloud.google.com/blog/products/containers-kubernetes/gke-now-supports-multi-instance-gpus">（詳全文）</a></p> <p><strong>圖片來源／微軟、Canalys、AWS</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></p> <p><strong>1. IBM專為金融服務打造的公有雲正式上線，部屬在紅帽OpenShift服務上</strong><a href=" https://newsroom.ibm.com/2021-04-07-IBM-Cloud-for-Financial-Services-Accelerates-Innovation-with-Support-for-Red-Hat-OpenShift-and-Other-Cloud-native-Services ">（詳全文）</a></p> <p><strong>2. Azure發布採第三代Xeon Scalable處理器的Dv5與Ev5系列新VM預覽版，提升15％效能</strong><a href=" https://azure.microsoft.com/zh-tw/blog/upgrade-your-infrastructure-with-the-latest-dv5ev5-azure-vms-in-preview/?cdn=disable">（詳全文）</a></p> <p><strong>3. AWS推出FSx File Gateway服務，供本地端應用程式快速存取雲端檔案伺服器資料</strong><a href=" https://aws.amazon.com/tw/blogs/aws/get-started-using-amazon-fsx-file-gateway-for-fast-cached-access-to-file-server-data-in-the-cloud/">（詳全文）</a></p> <p><strong>4. IBM預告下半年推出容器猿聲軟體定義儲存平臺Spectrum Fusion，簡化混合雲環境應用和資料的存取</strong><a href=" https://newsroom.ibm.com/2021-04-27-IBM-Launches-Advanced-Storage-Solutions-Designed-to-Simplify-Data-Accessibility-Availability-Across-Hybrid-Clouds">（詳全文）</a></p> <p><strong>5. Google文件在4月12日發生故障，導致數國數千萬名用戶受影響</strong><a href=" https://www.google.com/appsstatus#hl=en&v=issue&sid=5&iid=a456acfa5bae03b9075bec69695292c6">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2021年5月</strong></p> </div></div></div>
2021/5/7 15:30作者黃郁芸https://www.ithome.com.tw/news/144203
學生安裝盜版軟體惹禍，導致歐洲某研究單位淪為勒索軟體Ryuk首個攻擊對象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Sophos本周公布了一起<a href="https://news.sophos.com/en-us/2021/05/06/mtr-in-real-time-pirates-pave-way-for-ryuk-ransomware/" target="_blank">有關Ryuk勒索軟體的攻擊報告</a>，受害者為歐洲一家參與COVID-19及其它生命科學研究的生物分子研究中心，研究人員追蹤了Ryuk的源起，發現是一名學生想要安裝盜版軟體，而意外將Ryuk帶進了該研究中心。</p> <p>這家生物分子研究中心與當地的許多大學合作多項不同的專案，因此，參與專案的學生可透過Citrix Sessions遠端桌面服務存取研究中心的網路。調查顯示，其中有一名學生想要在自己的電腦上，安裝研究中心所使用的資料視覺化軟體，但該軟體每年的授權費高達數百美元，於是他至研究論壇求助，想請人介紹免費的類似工具，卻一無所獲，這名學生最後找到了該視覺化軟體的破解版。</p> <p>不過，此一破解版的資料視覺化軟體完全只是個惡意程式，在安裝時電腦上的Windows Defender馬上就跳出安全警告，但學生不僅關閉了Windows Defender，也關閉了防火牆，而使得它成功進駐系統。</p> <p>學生所安裝的是個專門竊取機密資訊的惡意程式，它可竊取學生的鍵盤輸入、瀏覽器紀錄、Cookie與剪貼簿內容，也包括學生存取生物分子研究中心的憑證。</p> <p>在安裝了惡意程式之後的第13天，該名學生的憑證就被用來存取生物分子研究中心的網路，然而，此一連線並非來自學生的電腦，而是來自一個使用俄文的電腦，再10天之後，該研究中心就遭到Ryuk勒索軟體攻擊了。</p> <p>Sophos經理Peter Mackenzie分析，仿冒資料視覺化軟體的惡意程式組織跟發動Ryuk勒索軟體的組織應是不同的，前者建立了初期的入侵管道，再於黑市兜售，在這期間以學生憑證存取研究中心網路，應該只是在測試該憑證的有效性，最後買家才針對研究中心發動勒索軟體攻擊。</p> <p>Sophos認為，這其實是個可預防的攻擊行動，包括啟用雙因素認證，採用強大的密碼政策，停用任何已不被支援的作業系統/程式，在所有電腦上安裝安全軟體，定期檢查所有電腦上的軟體狀態，限制遠端桌面存取，檢查防火牆配置，以及禁止不同使用者共享管理員帳號等。</p> <p>至於遭到勒索軟體攻擊的生物分子研究中心，幸好平常有備份的習慣，因此只遺失了還來不及備份的一周研究資料，此外，該研究中心也必須重建電腦與伺服器系統，再進行資料的復原。Sophos指出，這起攻擊事件最大的教訓應該是：其實只要採取較不信任與更健全的網路存取方法就能夠避免了。</p> </div></div></div>
2021/5/7 17:41作者陳曉莉https://www.ithome.com.tw/news/144251
向蘋果取經？Google Play也將有包含隱私聲明在內的安全項目
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2021/05/new-safety-section-in-google-play-will.html" target="_blank">Google周四（5/6）宣布</a>，Google Play上的程式將具備安全項目（Safety Section），以供開發者描述程式的隱私聲明與其它安全功能，正式的政策將會在今年第三季出爐，開發者於第四季就可於程式中嵌入安全項目，明年第二季即會強制實施。而此一安全項目的功用，與蘋果App Store在去年12月實施的隱私標籤如出一轍，都是為了讓使用者了解程式所蒐集的個資與用途。</p> <p>根據Google的說法，開發者必須於安全項目中分享程式所蒐集與儲存的資料，像是精確位置、通訊錄、個人資訊、照片/影片或聲音檔案等，也必須說明相關資料的用途，例如是為了滿足程式功能或執行個人化服務等。</p> <p>此外，Google也會在安全項目中提供許多開發者可自行決定是否添增的選項，例如有否加密資料，有否遵循家庭政策，標註程式需要某些資料才能運作，程式的安全項目是否經過獨立的第三方驗證，以及是否提供資料刪除能力等。</p> <p>由於對開發者而言，這是一個很大的變化，因此Google選擇在本周事先宣布，但正式的政策要到今年第三季才會出爐，從第四季開始，開發者就能在Google Play的控制台，看到此一資訊宣告功能，Google Play用戶則能在明年第一季看到安全項目，但一直到明年第二季才會強制執行。</p> <p>Google表示，到了明年第二季時，Google Play上所有的程式，都必須藉由安全項目來分享有關安全及隱私的資訊，包括Google自家的程式在內，屆時不管是新的程式或既有程式都必須符合此一規定，若是在Google要求下還不更新的，可能會被強制下架。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/-1PivrpxNn6o/YJQYoVutY_I/AAAAAAAAQe0/V7Z1-n1X5OMV1iwi3Sil62taO2wANAbUACLcBGAsYHQ/s0/Screen%2BShot%2B2021-05-06%2Bat%2B12.25.23%2BPM.png" style="width: 600px;" /></p> <p>Google準備在今年夏天公布正式的政策與相關資源，未來也會陸續改善該機制，以簡化使用者的控制與開發者的部署能力。</p> </div></div></div>
2021/5/7 15:18作者陳曉莉https://www.ithome.com.tw/news/144245
微軟將完全在歐盟境內處理和儲存歐盟客戶的資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推進對歐盟用戶的隱私承諾，實施一個被稱為<a href="https://blogs.microsoft.com/eupolicy/2021/05/06/eu-data-boundary/">歐盟資料邊界的解決方案（EU Data Boundary Solutions）</a>，該公司的所有核心雲端服務，包括Azure、Microsoft 365和Dynamics365將讓企業或是公部門，能夠更好地控制資料，這項工程會在2022年底完成。</p> <p>歐盟資料邊界解決方案，可讓位於歐盟的微軟商業和公部門客戶，能夠在歐盟境內處理和儲存所有的資料，換句話說，微軟不會將這些客戶的資料移出歐盟之外。</p> <p>微軟過去已經讓商業以及公部門，可以選擇將資料儲存在歐盟中，而有許多Azure雲端服務也讓用戶可以配置，在歐盟境內處理資料，此外，微軟也提供加密技術和加密箱（Lockbox）解決方案，來符合法規要求，並且使用由用戶管理的金鑰來加密服務的資料，避免用戶資料被不當的存取。</p> <p>而現在微軟要擴展這些資料控制功能，只要商業或是公部門願意，微軟的核心雲端服務將會在歐盟境內，同時儲存和處理所有的個人資料，這項計畫包括任何的診斷資料，以及服務生成資料中的個人資料，還有用來提供技術支援的個人資料。微軟同時也會擴展核心雲端服務中技術控制，強化像是加密箱以及由用戶管理金鑰的加密功能。</p> <p>除了強化歐盟商業和公部門對個人資料的控制外，微軟同時也宣布要在愛爾蘭都柏林建立一個隱私工程中心，該中心將會協助微軟歐盟客戶採用正確的解決方案，並在工作負載中建置強大的資料保護功能，以符合法規要求。</p> <p>歐盟資料邊界解決方案將會由微軟位於歐盟的資料中心基礎設施支援，包括丹麥、法國、德國、挪威、波蘭、西班牙和瑞士等，位在歐洲13個地區的資料中心，也就是說，除了歐盟成員國的微軟客戶之外，挪威和瑞士的客戶也將可取用歐盟資料邊界解決方案。</p> </div></div></div>
2021/5/7 15:24作者李建興https://www.ithome.com.tw/news/144244
2017年FCC的網路中立評論中，有接近82%是假的
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會（Federal Communications Commission，FCC）在2017年準備頒布《恢復網路自由命令》（Restoring Internet Freedom Order）以廢除網路中立政策之際，曾經開放外界評論，然而，總計超過2,200萬筆的評論卻充斥著假評論，縱使已經事過境遷，但紐約州檢察長Letitia James本周依然<a href="https://ag.ny.gov/press-release/2021/attorney-general-james-issues-report-detailing-millions-fake-comments-revealing" target="_blank">發布了調查報告</a>，顯示有接近82%的評論是假冒的，更對3家專門製造假評論的業者開罰，也督促美國建立更健全的評論系統。</p> <p>事實上，當時不管是FCC或支持網路中立的陣營，都曾互相指責對方發動假評論攻勢，例如紐約州發現有數萬名紐約人的身分遭到濫用，至少有9次要求FCC提供評論系統上的資料與紀錄，卻未得到回應；而FCC則說，在2,200萬筆評論中，約有756萬筆的評論僅來自5萬名使用者，或者當中有4萬名使用者都使用fakemailgenerator.com電子郵件服務。</p> <p>當時的假評論爭議，幾乎完全淹沒了評論取向。FCC強調，開放大眾評論並非是種投票機制，而是希望聽到不同的意見，但在2,200萬筆評論中，有1/3的比例以一模一樣的語言來支持網路中立，不論如何，最後決定通過《恢復網路自由命令》是基於事實及法律，而非評論的數量。</p> <p>總之，紐約州的深入調查報告一直到3年後，美國政黨都已輪替了之後才出爐，而調查結果非常有趣，顯示出不管是支持或反對網路中立的陣營，的確都發動了假評論攻勢。</p> <p>根據調查，美國各大寬頻業者共同贊助了一個秘密的行銷活動，以向FCC提交數百萬筆有關網路中立的評論，當中有許多是用來聲援FCC對網路中立政策的廢除；它們與多個行銷業者合作，透過禮品卡或抽獎來吸引使用者參與，然而，這些行銷業者並未真實招募使用者，而是捏造使用者的回應，向FCC提交了逾850萬個偽裝來自真實民眾的評論，也寄送了50萬封偽造郵件予國會。</p> <p>另一方面，也有930萬筆假評論是支持網路中立的，只是它們使用虛構的身分，且這930萬筆評論絕大多數都是由一名19歲的大學生以自動化軟體所送出。</p> <p>換句話說，在2017年FCC針對是否廢除網路中立的意見調查中，所收到的逾2,200萬筆評論，有接近1,800萬筆是假的，偽造的比例接近82%。</p> <p>於是，紐約州與散布假評論的三大行銷業者Fluent、Opt-Intelligence及React2Media簽署了和解協議，要求它們必須全面改革未來的宣傳活動，並支付逾440萬美元的罰款。</p> <p>由於公眾評論得以左右美國政府的政策，使得James建議美國政府應該改革評論機制以消除這類的詐欺行為，包括倡導組織要代替個人表態時，必須取得使用者的明確同意；管理評論系統的機構應該要各大倡導組織替所提出的評論負責；應透過立法來阻此這些涉及詐欺或未經授權的評論；部署安全機制來避免以自動化軟體提交的大量評論。</p> </div></div></div>
2021/5/7 15:03作者陳曉莉https://www.ithome.com.tw/news/144243
Google將強制用戶啟動帳號雙因素驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然Google提供雙因素驗證（2 Factor Authentication，2FA）或兩步驟驗證（two-step verification，2SV）作為取代密碼的帳號登入選項，但目前仍允許用戶自行選擇，<a href="https://blog.google/technology/safety-security/a-simpler-and-safer-future-without-passwords/" target="_blank">不過Google昨（6）日表示</a>，即將強制Google帳號用戶啟用2SV。</p> <p>Google身份與用戶安全產品管理總監Mark Risher昨日在世界密碼日（World Password Day）指出，密碼其實是用戶線上安全最大威脅之一，因為很容易被竊、難記、管理起來又麻煩。有人以為使用複雜密碼較安全，但複雜密碼導致用戶多個帳號共用同一組密碼，一旦密碼被竊就全部帳號淪陷。因此，透過2FA或2SV提供多一層驗證，是防止帳號因密碼被竊、被破解或強度太弱的最好方法。</p> <p>Google一直以來已提供並建議用戶啟用2SV，以便在以手機登入Google帳號時驗證身份，但是仍允許用戶只使用密碼登入。不過Risher說，Google「很快」就會自動將用戶註冊啟用2SV，只要他們的帳號已經組態正確。</p> <p>一旦Google帳號啟用2SV，用戶可以使用軟體或硬體方案作為第二層驗證。驗證App包括Google和微軟都有Authenticator App，硬體金鑰則有<a href="https://www.ithome.com.tw/news/125614" target="_blank">Google Titan</a>或Yubico等選項。<a href="https://www.ithome.com.tw/news/129915" target="_blank">Google 2019年還進一步</a>把FIDO 2/WebAuthn技術內建到Android 7，使Android 7以上的手機，可以直接啟動兩步驟驗證登入Google帳號。</p> <p>針對iPhone或iPad，則可使用Google Smart Lock，以iPhone非密碼登入Google帳號。</p> <p>Google同時也宣布針對密碼設計的新技術。Google現有的 Password Manager可自動產生複雜密碼，協助用戶登入第三方網站或App，又能免於記憶或重覆使用密碼。它原本內建於Android、Chrome，如今也支援iOS。此外，Google也宣布釋出一項免費的Password Import功能可儲存密碼，用戶一次最多匯入1000組不同網站的密碼。</p> </div></div></div>
2021/5/7 12:22作者林妍溱https://www.ithome.com.tw/news/144240
Twitter推出打賞功能Tip Jar
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Twitter周四（5/6）發表了<a href="https://blog.twitter.com/en_us/topics/product/2021/introducing-tip-jar.html" target="_blank">Tip Jar打賞功能</a>，以讓使用者能夠以實際的金錢來鼓勵創造議題或對話的用戶，目前該服務適用於全球的英文版Twitter用戶，且初期僅開放給創作者、記者、專家與非營利組織使用。</p> <p>當使用者於Twitter用戶的個人檔案上看到Tip Jar的圖示時，便知道該用戶可接受贊助，點擊圖示就可顯示各種支付工具，包括Bandcamp、Cash App、Patreon、PayPal與Venmo等，選擇支付工具再填入金額就能贊助該用戶，此一功能同時支援Android與iOS用戶，而且Twitter並不從中分潤。</p> <p>Twitter表示，Tip Jar將成為繼追隨、轉推或按讚之餘，另一個讓使用者可支持Twitter用戶的工具，而且將漸次開放更多的使用者於帳號中嵌入Tip Jar。</p> </div></div></div>
2021/5/7 12:45作者陳曉莉https://www.ithome.com.tw/news/144241
【臺灣資安大會直擊】金融資安行動方案發布9個月，金管會一次揭露最新執行成果與更多規畫細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「金融機構未來的發展，得靠金融科技這個武器才能取得競爭上的利基，金融機構在策略的設定，或是對顧客的分析、辨識顧客的身分，甚至，在中臺與後臺的風險控管，其實都有賴科技、技術與資訊。不過，要讓整體發揮效用，最重要的是得靠資訊安全作為支撐。」金管會副主委邱淑貞5月6日在臺灣資安大會金融安全論壇致詞時表示。</p> <p>去年8月初，金管會推出金融資安行動方案，以4大面向切入，包括強化主管機關資安監理、深化金融機構資安治理、精實金融機構資安作業韌性、發揮資安聯防功能，並聚焦8大亮點，要用4年時間來分階段推動，強化金融業資安防護能力。</p> <p>同月底，金管會更發布了金融科技發展路徑圖，以3年為期推動，並從8大面向推動，要藉由這套金融科技發展路徑圖，形塑友善的金融科技發展生態系，促進相關服務或商業模式的推出，提升金融服務的效率、可及性、使用性及品質。</p> <p>邱淑貞提到，這兩個方案是配套的，其中，金融資安行動方案的目的是達到安全便利不中斷的金融服務。當金融業有了資安這個重要基礎，才能在金融科技上有更好的發展，而金融科技發展路徑圖，就是臺灣推動金融科技的重要依據。</p> <p>金管會資訊服務處處長蔡福隆也出席論壇，進一步揭露金融資安行動方案從去年推出至今，這9個月以來的執行成效，以及金管會接下來的重點規畫細節。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/fulong%202.jpg" /></p> <p>金管會資訊服務處處長蔡福隆在臺灣資安大會金融安全論壇揭露金融資安行動方案最新進程。</p> </blockquote> <h4><span style="color:#0000FF;"><strong>金融機構是否落實資安管理，成為金管會業務准駁考量之一</strong></span></h4> <p>金融資安行動方案其中一項重點，是結合監理工具提供激勵誘因，蔡福隆表示，監管機關能做的就是政策上面的應用。所以，金融機構向金管會申請開辦業務的案件時，是否落實資訊安全管理，會作為金管會業務准駁的考量因素之一。「如此一來，金融機構就會更為重視資安。」他說。</p> <p>此外，金管會也同時給出一根蘿蔔及一根棒子。蔡福隆提到，針對資訊安全執行較好的金融機構，可酌減包括中央存款保險和保險安定基金的費率，這是金管會釋出的激勵誘因。但，做不好的金融機構，金管會則會提高該金融機構的作業風險法定資本之計提。他表示，金管會每年會檢視一次相關政策，要讓金融機構有感。</p> <h4><span style="color:#0000FF;"><strong>形塑金融機構重視資安的組織文化，已有12家金融機構由副總層級兼任資安長</strong></span></h4> <p>在型塑金融機構重視資安的組織文化的執行成效上，蔡福隆說明，截至今年Q1，已有12家金融機構由副總經理兼任資安長，另有34家金融機構遴聘資安背景的董事、顧問或設置資安諮詢小組。邱淑貞則表示：「之所以要讓金控有一位副總層級的資安長，目的就是讓資安長能夠由上而下調動各種資源，來支持組織資安的發展。」</p> <p>目前，金管會也正在研議修法，未來，希望所有本國銀行與一定規模以上的保險公司，需由副總層級兼任資安長，證券業者也要設置資安長。蔡福隆表示，金管會將先從鼓勵方式，慢慢變成一套相關規範。</p> <h4><span style="color:#0000FF;"><strong>強化金融供應鏈體系風險評估與管理，擬成立委外廠商聯盟並訂定資安規範</strong></span></h4> <p>強化新興科技的資安防護，也是金融資安行動方案力推重點之一。隨著金融機構導入多項新興科技，也伴隨諸多資安風險，金管會建議公會增修訂新興金融科技資安自律規範，納入行動App、雲端服務、開放銀行、網路身分驗證（eKYC）及資訊服務供應鏈的風險評估等。</p> <p>同時，金管會要求，金融機構運用新興科技發展創新業務的同時，必須考量相關資安風險，要兼顧服務創新與安全。此外，在因應委外與跨業合作，也要強化金融供應鏈體系風險評估與管理，降低體系風險。</p> <p>近期，發生不少駭客透過委外廠商的VPN，入侵某些機關資訊系統的資安事件。蔡福隆表示，這情況顯露出委外廠商的風險越來越高，金管會也在思考，可以制訂相關自律規範，對於委外廠商或分包廠商，給予較為嚴格的監督要求。</p> <p>他進一步舉例，像是<a href="https://www.ithome.com.tw/news/139644">台積電對其委外廠商成立了一個聯盟</a>，或許金管會之後也可針對承包金融機構業務的協力廠商或委外廠商，成立一個協會或聯盟，訂定一套資安規範或要求。只有具備符合規範的廠商，才能承作金融機構資訊系統或相關作業，這是金管會初步思考的方向。</p> <h4><span style="color:#0000FF;"><strong>近期將發布金融資安職能地圖，培育資安人才有2大推動方向</strong></span></h4> <p>金管會也要系統化培育金融資安專業人才，蔡福隆提到，前一陣子金管會邀集了各公會代表共同討論，依據金融資安職能需求，來訂定人才培訓地圖，等相關修正確定後，將會發布金融資安職能地圖。</p> <p>在培育金融資安專業人才部分，金管會分為兩部分來思考與推動，一方面是鼓勵金融機構的資安人員取得國際資安證照，未來，金管會希望，金融機構資安專責單位的資安人員，至少要具備一項國際資安證照。</p> <p>另一方面，是加強實務方面的訓練，蔡福隆進一步表示，其中又分為兩項作法。透過F-ISAC（金融資安資訊分享與分析中心）等組織，開設攻防演練、威脅獵捕等實務性的課程，來磨練資安人員在場域中如何處理相關問題，這是第一項。第二項考量是，每個機構都採購了許多資安設備，但，往往對這些設備的使用不夠深入，金管會希望，金融機構應該多開設自家所用資安設備的課程，讓設備功能參數調校更符合需求，才能發揮資安產品的效果。</p> <h4><span style="color:#0000FF;"><strong>金管會預計在今年建置攻防演練場域，強化資安人員處理資安事件應變能力</strong></span></h4> <p>在強化資安演練廣度與深度部分，蔡福隆強調，金管會非常重視攻防演練這發展方向，希望用「以戰代訓」，透過攻防演練來強化金融機構的資安能力。攻防演練則包括了DDoS演練、紅隊演練、紅隊演練、藍隊演練、網路攻防演練實作、威脅獵捕（Threat Hunting）。</p> <p>蔡福隆進一步透露，金管會預計今年要建置一個金融攻防演練場域，會由國內資安廠商協助建置與開發工作，基本上是以2019年參加行政院跨國攻防演練網站的情境腳本為基礎來發展，包括SQL Injection、木馬、勒索軟體等。他提到，此攻防演練場域，也會讓金融機構透過模擬演練，學習MITRE ATT&CK攻擊鏈知識；以強化金融機構資安人員處理資安事件的應變能力，提升資安人才培育容量。</p> <h4><span style="color:#0000FF;"><strong>F-ISAC正推動弱點管理自動化機制，二線F-SOC已有19家金融機構加入</strong></span></h4> <p>另外，金管會也要進一步發揮金融資安聯防功能，F-ISAC自2017年底成立至今，已有376家金融機構會員加入，發布威脅警訊共有939則，在推動會員情資分享總計有512則。</p> <p>蔡福隆透露，「弱點管理自動化機制」是目前金管會正在推動的重要方向，他解釋，F-ISAC是發布情資，可是情資如何自動化與金融機構介接，介接之後又如何變成一套弱點管理機制。金管會希望，金融機構本身要有一個管理系統，能自動找出該弱點相關的系統或設備，並自動通知管理的人員進行修補，且能即時管控修補進度。他強調：「透過由F-ISAC到金融機構，讓整個弱點管理整個一致化、自動化，而且是可以監控的機制。」</p> <p>此外，蔡福隆表示，金管會鼓勵金融機構自行建置第一線SOC（資訊安全監控中心）。F-ISAC則已建置二線F-SOC（金融資安聯防監控平臺），更制定了95條資安事件聯防監控規則，且規則正持續增加中；他提到，透過金融機構送過來的情資進行分析，比如有些是針對臺灣的攻擊態樣，二線F-SOC就會將這攻擊態樣，通知尚未遭受攻擊的金融機構，達到互相聯防的功能。目前已有19家金融機構加入二線F-SOC，今年還會有11家金融機構加入聯防SOC來協同運作。</p> <p>另外，針對全球金融產業發動多起攻擊事件的駭客組織APT 38，根據該組織的攻擊態樣，蔡福隆提到，將實作一個參照APT 38的自動化攻擊方式，且能運用在2項用途。其中一個用途，是在攻防演練中使用，假設模仿APT 38對金融機構的攻擊手法，在攻防演練場域中，資安人員是否有能力防禦，監控設施是否能監控到相關攻擊手法；另一用途是，提供給金融機構SOC運用，檢測是否有監控到相關攻擊態樣，並提供警訊。「強化監控的有效性，是我們的目的。」他強調。</p> <p>同時，金管會也要求金融機構建構資源共享的資安應變機制。包括個別金融機構組成金控集團應變小組，可以是以金控或銀行為主體；並由公會或周邊單位成立資安應變支援小組；F-ISAC與F-CERT（二線金融電腦緊急應變小組）則負責金融資安應變體系。</p> <h4><span style="color:#0000FF;"><strong>鼓勵金融機構在異地備援演練時納入實際業務運作驗證</strong></span></h4> <p>在落實災害應變復原運作機制上，金管會認為，「沒有百分之百的資訊安全，所以必須建立平時與終極防護能量。」作法上，蔡福隆表示，金管會將參考英國金融機構抵禦作業風險之能力的規範，來訂定核心業務識別、最大可容忍中斷時間，以及相關演練與壓力測試，作為業者遵循的依據。</p> <p>在備援環境，金管會鼓勵金融機構在異地備援演練時，可納入實際業務運作驗證。蔡福隆認為，金融機構平時如果只做本地與異地備援，等真正發生災害會沒有信心進行切換，因為，切換過去後影響的因素非常多，包括資料是否正確，切換過程中資料遺漏要如何處理，以及，切換回來會碰到的狀況，都是可能面臨的困難。「只有真正將實際環境切到備援環境運行，之後萬一發生災害事件，才會有信心切換過去。」</p> <p>此外，金管會正推動關鍵資料保全運作機制，包括資料保護、資料可移性、資料復原性及關鍵服務持續性等。</p> <h4><span style="color:#0000FF;"><strong>推動金融資安治理成熟度評估</strong></span></h4> <p>另外，金管會也正在推動金融資安治理成熟度評估，是參考美國聯邦金融機構檢查委員會（FFIEC）訂定的CAT（Cybersecurity Assessment Tool）。蔡福隆表示，希望透過金融資安治理成熟度評估，讓金融機構評估自身的資安狀態；去年，國內金融機構試做的結果是，在國外委外管理、自動化管理、資安創新部分，都是要待加強的部分。</p> <p>此外，截至去年底，金管會統計，國內已有超過8成（30家）的銀行業者，以及逾9成（39家）的保險業者，證券業則有13家業者，都已導入國際資安管理標準（ISMS）驗證；在持續不中斷部分，正推動國際營運持續管理標準（ISO 22301），以及將備援演練納入實際業務運作。</p> <p>針對農曆年前後不少家金融機構發生的簡訊詐欺事件，蔡福隆表示，除了金融機構在驗證部分要做得更加謹慎之外，也要提醒消費者提高警覺，不要隨意亂點網址。另外，F-ISAC也規畫建置偽冒網站偵測服務，避免民眾點擊到偽冒網站。文⊙李靜宜</p> </div></div></div>
2021/5/7 01:26作者李靜宜https://www.ithome.com.tw/news/144233
紅帽發布適用OpenShift的開發者沙盒簡化K8s應用程式開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽發布新工具來簡化Kubernetes應用程式的開發，該工具為<a href="https://www.redhat.com/en/about/press-releases/red-hat-breaks-down-barriers-building-applications-kubernetes-environments-developer-sandbox-red-hat-openshift">適用於OpenShift的開發者沙盒</a>，是一個基於OpenShift的開發環境，讓企業能夠加速Kubernetes應用程式從開發到生產的過程。OpenShift提供了一種簡單且免費的方法，供開發者可以使用與生產環境相同的基礎設施和工具建構應用程式，而不用擔心環境的配置。</p> <p>紅帽提到，當前開發人員面臨著需要更快交付應用程式，還要快速跟上技術發展的雙重壓力，企業的數位轉型強化了這樣的趨勢。而Kubernetes作為混合雲端基礎架構的基礎平臺，能夠消除建構Kubernetes應用程式的障礙，因此紅帽釋出開發者沙盒來加速Kubernetes應用開發。</p> <p>OpenShift開發者沙盒可以在有預配置開發者工具的多租戶叢集中，提供私密的OpenShift環境，由於基礎設施和工具緊密整合，因此能讓開發人員安全地設計和建構新應用程式、添加新服務，還能從程式碼創建容器或Dockerfiles等。沙盒中的預設工具，包括了一組Helm Chart以及紅帽建置映像檔、s2i建置工具以及CodeReady Workspaces。</p> <p>這項新功能與紅帽既有的開發工具結合，讓開發人員可以更方便快速地建構應用程式，為此紅帽也更新了一系列工具，這些更新建立在OpenShift GitOps和OpenShift Pipelines之上，因此IT團隊可以利用GitOps工作流程，來配置叢集和交付應用程式，並完全控制開發團隊的交付工作管線、套件和存取控制。</p> </div></div></div>
2021/5/7 11:49作者李建興https://www.ithome.com.tw/news/144228
推特冒犯性推文提示功能有效減少有害言論，現在正式向用戶推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特在2020年開始測試<a href="https://blog.twitter.com/en_us/topics/product/2021/tweeting-with-consideration.html">冒犯推文提示功能</a>，現在該功能正式向用戶推出。提示功能會在用戶點擊發送貼文時，要用戶重新考慮是否要繼續發送有害或是冒犯的回覆內容，這項功能會先從英文使用者開始，跨iOS和Android系統逐漸推出。</p> <p>用戶使用推特大量的談論時事，在討論自己所關心的議題時，用戶情緒可能會變得激烈，但之後又會對方才的發言感到後悔，為了減少冒犯性回覆，促進用戶之間的健康對話，在去年的時候，推特開始測試提示功能，鼓勵用戶在發推之前，先暫停一下，重新考慮貼文中可能出現的侮辱、粗俗和憎恨言論，在發文前收到提示，用戶就有額外的機會進行刪除、修改或是發送回覆。</p> <p>在早期的測試中，系統有時候會在不必要的時機提醒用戶，官方解釋，這是因為演算法難以捕捉到對話中細微的差異，並且無法分辨出潛在冒犯性語言、嘲諷或是友善的玩笑。官方在測試過程進一步分析了結果，同時收集公眾回饋，修正了包括檢測不一致等錯誤。</p> <p>這項提示功能確實有效，官方指出在測試中，確實讓整體服務所發送的冒犯性回覆量減少，改善了推特用戶的行為。在出現提示時，有34％的用戶選擇修改回覆或是決定不發送回覆，而且提示的效果也並非只有當次回覆有效，官方發現，一旦用戶曾經收過提示，往後的攻擊性回覆就會減少11％，也就是說，當提示出現，用戶就不太會收到冒犯性回覆。</p> <p>提示系統考量了多種影響因素，來決定提示發送的時機與方法。提示功能會考量原作者與回覆者之間的關係，包括雙方的互動頻率，當兩個帳戶互相追蹤並且經常互相回覆，代表雙方可能熟悉彼此的交流方式，因此感到冒犯的機會相對較低。</p> <p>官方也微調了提示系統，讓系統能夠考量對話情境，避免語言因為代表性的不足的社群而被扭曲，並且更能偵測褻瀆等激烈言詞，另外，官方也設計了回饋系統，更了解用戶收到提示的幫助或是適當性。</p> <p>推特會繼續研究回覆提示和推文提示，並且尋找更多能更鼓勵健康對話的方法，而這項提示功能則會逐漸擴展到其他語言用戶。</p> </div></div></div>
2021/5/7 11:52作者李建興https://www.ithome.com.tw/news/144230
開源農業基礎設施AgStack基金會成立，要借助開源之力提升農業效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非營利組織Linux基金會宣布啟動<a href="https://www.linuxfoundation.org/en/press-release/linux-foundation-launches-open-source-digital-infrastructure-project-for-agriculture-enables-global-collaboration-among-industry-government-and-academia/">AgStack基金會</a>，AgStack是針對全球農業生態系的開源數位基礎設施專案，將會創建、維護和強化用於農業資料和應用程式的開放數位基礎設施，來提高全球農業效率。</p> <p>AgStack基金會的創始成員來自各領域，除了科技公司之外，也有許多來自農業的企業，成員和合作夥伴包括Agralogics、Call for Code、Digital Green、Farm基金會、farmOS、HPE、IBM和NIAB等，另外還有來自加州大學農業與自然資源學院，和普渡大學農業資訊實驗室等學術單位。</p> <p>AgStack執行董事Sumer Johal提到，全球農業生態系統迫切需要數位化，因為缺乏可重複使用的工具和資料，因而損失許多生產力與創新力。官方提到，有三分之一的食物被浪費，但是全世界卻還有9％人飢餓和營養不良，導致這樣結果的原因之一，是太過緩慢且沒有效率的老舊技術系統，無法適應不斷成長且複雜化的農業供應鏈，AgStack會使用協作和開源軟體，來建立21世紀的農業數位基礎設施，這將會推動應用、效率和規模的創新。</p> <p>現在AgStack建立了公開儲存庫，能夠用來創建和發布模型，提供免費的公共資料，以及可互通的框架，還有可供跨專案使用，和特定目的的擴充套件和工具箱，這些會建構在現有的技術與基礎之上，包括AgGateway、UN-FAO和CAFA等農業基礎，Sentinel、NOAA和Soilgrids等公共資料，以及Hyperledger、Kubernetes、Open Horizon等開源專案。</p> </div></div></div>
2021/5/7 12:02作者李建興https://www.ithome.com.tw/news/144232
【臺灣資安大會直擊】未來基金會創辦人陳浩維點出臺灣資安環境三大認知斷層，要從4面向養成資安文化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國Amazon資訊安全部總監陳浩維，在臺灣資安大會上以臺灣未來基金會董事長的身份發表演講。他直接點明臺灣資安發展過程中面臨了三大斷層，來自於消費者端缺乏資安意識、企業端缺乏對資安的當責性（Accountability）、資安人才職涯發展也面臨挑戰，但在這些問題背後，更隱藏著一大關鍵因素，正是在臺灣社會中，尚未養成良好的資安文化。因此，他也從四個層面提出觀察，來提供資安文化的養成方法。</p> <h3><span style="color:#FF8C00;">臺灣資安發展面臨三大挑戰</span></h3> <p>陳浩維指出，臺灣資安發展面臨了三大挑戰。第一，民眾與消費者缺乏對資安的意識與素養，他用幾個數據來看臺灣民眾與其他國家的資安意識差距。</p> <p>消基會在2017年資安意識調查發現，40%民眾選擇網路商店消費時，不將資安防護納入考量，33%民眾上網時不在意網址列是否加密或為可疑網站。</p> <p>但在美國，2018年IBM資安與隱私研究報告發現，79%美國民眾不會購買資安能力不可信的網路品牌商品，上網路購物前，也會先了解網站是否有能力保護他的個資。甚至，去年的Fiserv金融數據公司調查指出，5成民眾會在企業發生個資外洩事件後，立即尋找替代品牌。</p> <p>「美國的消費者、網路使用者，越來越重視資安。」陳浩維說，相較之下，臺灣民眾網路購物的資安意識較為缺乏。</p> <p>第二項挑戰，他認為，台灣的企業沒有負起應有的資安責任。他舉例，只有少數臺灣企業積極處理資安外洩對用戶帶來的影響，主動通知用戶重設密碼，同時對用戶清楚說明事件始末。</p> <p>他更以2018年的一場訴訟為例，消基會提出了個資法通過後的首宗個資外洩事件的團體訴訟，控告某旅行社外洩36萬筆個資，造成25人受到詐騙，但法院最終仍判消基會敗訴，認為企業也是受害者，不需負擔賠償責任。</p> <p>相較於臺灣免賠償，但在國外，陳浩維列出近年各國資料外洩事件的賠償金額，比如臉書曾賠償50億美元，Uber與英國航空也分別賠償了超過1億美元與1億英鎊，日本資料外洩事件則賠償每人大約為500～10,000日圓不等的金額，而2019年Citrix公告公司內部被國際駭客集團入侵，旗下共有2.4萬名員工對公司提起集體訴訟，Citrix最後也以228萬美元，支付相關費用與賠償。</p> <p>陳浩維點出，臺灣企業對於資安事件的當責性不足，且政府在裁罰判決的腳步也較為落後。</p> <p>上述兩個原因，更導致第三大挑戰，他強調，臺灣資安人才在進入企業的職涯發展就會受限。陳浩維解釋，雖然臺灣資安人才具有世界級的技術能量，但業界不一定有同等資安思維來聘僱資安人員，學校與政府辛苦培育的資安人才，卻可能在接軌業界時遭遇挑戰。</p> <p>他點出，臺灣資安人才職涯有4大落差，一是供需落差，像是企業不清楚資安業務需求和需要哪一種人才。其次是職涯發展問題，資安人員無法清楚知道自己未來的職涯發展，更實際第三個問題是薪資競爭力，IC設計工程師、軟體工程師的薪資水平高於資安工程師，難得的資安人才就可能因為薪水的誘因而轉職。最後一項人才投資落差，他認為，企業不能把資安人才培育都推給政府，「因為資安真正戰場是企業環境，這才是資安人才實際鍛鍊技能的所在，企業也有一定程度的責任，來協助培育資安人才。」這些問題導致了資安人才與業界接軌的斷層。</p> <p>陳浩維更認為，而造成這三大問題的隱藏關鍵因子，可能在於臺灣尚未在社會中養成資安文化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0024.JPG" style="width: 700px;" /></p> <h3><span style="color:#FF8C00;">建立資安文化第一步：檢視相關法規是否健全</span></h3> <p>體認到臺灣資安文化不足成為資安發展挑戰，陳浩維也從四個面向來提出，他認為，促成臺灣資安文化轉變的方法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0070.JPG" style="width: 700px;" /></p> <blockquote><p>陳浩維分四個面向來探討促成臺灣資安文化轉變的方法，分別是法規與需求（Regulation and Requirements）、企業資安責任與期許（Accountability and Expectations）、人才與資源（Talents and Resources）、資安文化（Cybersecurity Culture）。</p> </blockquote> <p>第一個層次是檢視法規面，他從實務經驗來討論，個資法對資安事件因應方式的規範問題。陳浩維認為，個資法還有幾項待完善之處。比如個資法第27條就寫到，非公務機關保有個人資料檔案者，應採取適當之安全措施。但法規中沒有未指明適當安全措施的定義，「如何可以稱為適當？又該如何評斷是否達成？」他點出許多企業的疑問。</p> <p>且第45條指出，違反27條者將處新臺幣兩萬元以上、二十萬元以下罰鍰，陳浩維質疑，這個罰鍰金額遠低於聘僱一個資安人力的成本，他開玩笑的說：「那是不是可以把罰鍰列入公司年度預算，反正每年只要繳罰鍰，就不用聘僱資安人才？」</p> <p>第28條則規範，企業對個人進行損害賠償時，每人每一事件以新臺幣500元～2萬元來計，但陳浩維指出，目前不同法院對舉證責任，仍存在分歧意見，且大多民眾不了解如何在技術上進行舉證，還需要請其他專業人士或律師協助，這就導致，每人至多兩萬的賠償金額，可能還比不上舉證請人所需的費用，「偏低的賠償導致，民眾對資安事件求償缺乏誘因。」</p> <p>而且，臺灣當前的司法人員也不一定具有專業的資安知識，比如先前消基會提告某旅行社的案子裡，合議庭判決文書就寫道：「本案是第三人惡意入侵，且駭客攻擊時有耳聞，當今科技也無法完全避免。」因而裁決消基會敗訴。或像是有律師認為，企業網路漏洞的資安外洩事件這類情境較不用追究，真正不可原諒的是個資的故意洩露，陳浩維認為，這些都顯示出，法學專家也可能對資安有錯誤理解。</p> <p>儘管法規面仍有許多不足，但陳浩維也肯定，臺灣證交所不久前修訂重大訊息處理程序發布，要求未來上市公司發生重大資安事件時，需發布重大訊息對外揭露，「這是非常重要的里程碑。」</p> <h3><span style="color:#FF8C00;">建立資安文化第二步：加強企業資安責任意識</span></h3> <p>第二個層面，則要加強企業對於資安事件發生的當責性，「企業要了解，今天資安攻擊事件發生，不只是資安團隊的責任，也不只是領導階層的責任，更是企業內每一個人的責任。」陳浩維說。</p> <p>陳浩維指出，資料外洩的衝擊，包括攻擊者可以將不同網站的資料進行媒合，取得更詳細的個人資料，還能將靜態資料轉換成動態的監控來蒐集情報，向特定對象進行更進階的攻擊，甚至是冒充身份、竊取身份，造成不只是財務上的損失，因此，企業應該理解資安攻擊的嚴重性，進而轉變對於資安防護的態度。</p> <p>他建議，企業面對資安攻擊事件應持以正向的態度，雖然沒辦法百分之百防止資安事件發生，更重要的是從事件中學習，進而檢討如何更全面地進行防禦，而非一味責怪資安人員。</p> <p>陳浩維過去經驗指出，企業發生顧客資料外洩事件，可以有4個流程來因應，一是驗證外洩資料，啟動事件響應機制；二是調查破口，找出攻擊入口點進行證物的蒐集與分析，同時導入防禦機制讓攻擊失效；三是進行漏洞修復，並謹慎進行安全驗證；四是要主動通報顧客資料外洩事件，應重設帳號密碼，並通知司法單位進行調查。</p> <p>「消費者可以理解，資安事件會一直發生，所以更重要的是你的處理方式跟作為。」陳浩維說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0042(1).JPG" style="width: 700px;" /></p> <p>甚至更進一步，他指出，投入資安防護來保護顧客資料，可以為企業的品牌加值、累積客戶信任。陳浩維表示，以美國來看，民眾對於品牌的信任，很容易因為資安事件而消失，「一次資安事件就可能造成30%顧客流失，50%以上的流量損失，這也是為何美國品牌願意投入資安防護的原因。」所以他建議，臺灣企業也應該體認到這一點，將顧客資料置於資安防護的第一位，來贏得顧客的信任。</p> <p>尤其，美國企業發生資安攻擊事件，若無法立即阻斷攻擊，為了避免用戶資料外洩，大多美國企業會直接將網路服務關閉，而非先權衡服務停擺可能帶來的損失，「因為企業重視資安、更重視顧客資料安全。」</p> <h3><span style="color:#FF8C00;">建立資安文化第三步：重視資安人才與挹注資源</span></h3> <p>第三個層面，則是企業應重視資安人才並投入足夠的資安資源。陳浩維引述一份美國資安媒體Help Net Securuty 2018年的調查指出，美國擁有兩萬六千名員工的大型企業，平均配置17.5位資安專職人員，擁有兩千五百名員工的企業，平均配置13.3個資安人員，這些資安人員中，約5～7成從事防禦相關工作，且越大型的公司，越願意把資源投注在威脅情資蒐集、鑑識、威脅獵捕的領域。</p> <p>根據報告的調查結果，可以了解到，不同規模企業對於資安人才的需求類型與數量都不同，願意投入的資源也不同。針對企業如何建構資安環境，陳浩維提出了四大原則性建議。第一，是要制定政策，確實建立、維護並執行內部資安政策；第二，是要嵌入文化，取得高階管理者的支持，並透過資安教育與宣傳，來喚起全體員工對資安的了解與重視；第三，則是要訂定目標，進行產品安全與風險評估，設定短、中、長期的資安團隊執行目標；第四，則是要投入資源，在人力及預算的許可範圍內，部署人員來實踐資安防禦策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0055(3).JPG" style="width: 700px;" /></p> <p>「企業很難百分之百的防堵資安攻擊事件，但能增加駭客的攻擊成本，」陳浩維要提醒企業，若能獲得充足的資安能量來進行資安防護，就能增加攻擊者要駭入自家系統或網站的難度，藉此來減少暴露在資安威脅下的風險，以及發生資安事件造成的損失。</p> <p>在資安人才的聘僱方面，陳浩維也描繪了美國資安人才的搶手狀況，除了具備資安技能的人才，幾乎零失業之外，由於人才市場供不應求，資安人才的薪資更是超越了軟體工程師，他引述了美國薪資資訊平臺levels.fyi的資料指出，若在科技巨頭工作，剛畢業的新鮮人（Entry Level）年薪約有15萬美金，兩三年工作經歷（Mid Level）約能領到30萬，資深工程師（Senior）大約為50萬，主管（Principal）可以高達70萬。</p> <p>因此，他也鼓勵，資安技術不分國界，臺灣人才的戰場不應侷限在國內，更應放眼全世界。</p> <h3><span style="color: rgb(255, 140, 0);">建立資安文化第四步：建立良好資安文化</span></h3> <p>第四個層面，則是要建立起資安文化。陳浩維引述了資安專家Bruce Schneier表示：「資安是一段過程，不是一個產品。」因為隨著工程師開發新系統或功能，不可避免地會持續產生漏洞，就需要長期努力來投入資安防禦。</p> <p>要形塑正確的資安觀念與文化，陳浩維提出了6個要點。其一，是要建立起每個人都要為資安負責的觀念；其二，要聚焦培養資安意識，更要採取行動，比如進行資安事件回報；其三，要建立起資安發展的生命週期；其四，要獎勵並認可在資安防護上做對事情的人；其五，建立起資安社群；最後，讓資安變得有趣，來提昇參與意願。</p> <p>陳浩維指出，當臺灣有健全的資安法規，民眾、企業、政府也對資安產生正確的認知，形成良好的資安意識後，才能創造誘因，驅使企業來投注資源，進一步促進資安產業與人才的發展，最後建立起良好的資安文化。</p> <p>最後，他更表露對臺灣資安人才的期許，除了要推動資安文化的建立，更要透過臺灣未來基金會，協助臺灣人才往海外發展，同時還要將海外的經驗挹注回臺灣資安產業，「在海外流浪，是為了找回家的路，還要把回家的路變得更好，」未來，他希望集結眾人之力，組成臺灣隊進軍世界舞臺，讓臺灣資安人才能在世界上發揮更大的影響力。</p> </div></div></div>
2021/5/6 17:45作者翁芊儒https://www.ithome.com.tw/news/144216
SRE風潮吹進臺灣企業
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1023-28-feng_mian_p1-open-960x420.jpg?itok=wUw-ydd6" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何更有效確保系統的可靠性？國外火紅的Google SRE方法論，終於吹進臺灣大型企業，不只網路原生公司，連大型金控、零售通路、高科技製造業都要開始用</p> </div></div></div>
2021/5/7 05:00作者黃郁芸https://www.ithome.com.tw/article/144124
【臺灣資安大會直擊】企業採用5G專網就安全了嗎？專家告訴你哪裡不夠安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業建置5G專網，理論上，專網和公共網路區隔，機敏資料在企業專網內傳輸，擁有較高的安全性，但5G專網可能沒有想像的那麼安全，趨勢科技研究員Philippe Lin指出，5G專網仍存在資安風險，企業應注意專網的安全性。</p> <p>所謂的企業專網，是指小型、地區性（Local）的專用網路，相較之下，一般的5G網路為共用的公眾電信網路。專網依照企業的實際需要，有多種布建方式，根據5G ACIA(5G Alliance for Connected Industries and Automation)的定義，可概分為4種布建方式，第1種是完全自建專用網路，包括基地臺，自行控制管理control plane、Data plane，第2種是和電信商合作，專網和公眾網路共用基地臺，但公網與私網仍然各自分開管理，第3種則除了共用基地臺，還將SIM卡認證及使用紀錄等control plane交由電信商管理，資料仍留在企業內部，第4種則將專網部署在公共網路，即全部委由電信商的公網提供，再拉VPN至企業。</p> <p>另外，由於既存的龐大4G網路，短時間不會一下子就切換到純5G網路，因此依照網路架構的差異，可分為4G網路、5G NSA非獨立組網網路、5G SA獨立組網網路。其中4G網路指的是從核網、基地臺到UE終端裝置都使用4G技術，如果是4G核網與4G基地臺，搭配5G基地臺，則是5G NSA非獨立組網網路，這是現今大多數5G服務的架構；至於5G SA獨立組網則是核網、基地臺、UE都使用5G技術。</p> <p>理論上，和公網相區隔的專網有更高的安全性，但實際上存在一些安全風險。Philippe Lin以Open5GS的4G、5G網路control plane架構圖為例，每個功能區塊均以定義好的界面彼此聯繫，但對駭客而言，這些界面都是能被攔截的，因為在3GPP的規範中，4G並沒有要求control plane信令加密，而是要求訊息的完整性，在data plane方面，根據R15或R16，也是不加密的，若要加密只能從應用層著手。</p> <p>至於5G標準，雖然按照規定，5G的control plane需用HTTP/2，以TLS加密，但Philippe Lin指出，最近Positive Technology釋出的白皮書，他們和10多家電信商合作，測試電信商的核心網路，發現即使依規定必需加密，但很多業者還是沒有加密。換言之，只要駭客入侵，核網內所有環節界面都可能被竊聽。</p> <p>趨勢科技利用開放原始碼的核網技術，加上國產小型5G基地臺，自行組建的一套小型5G實驗網路，經過測試證實確實聽得到，當手機等使用者裝置(User Equitment)註冊電信網路，就會發送內含手機的IMSI或TMSI的封包，經過測試，他們發現確實能聽到封包內容。</p> <p>相同的問題也發生在5G專網對外的出口，Philippe Lin指出，如果將專網想像為相當高級的Wi-Fi，Wi-Fi通過小烏龜對外連接internet，若資料沒有經過加密，連上internet就會有被竊聽的風險。相似的，由於data plane所使用的通訊協定設計上也沒有加密，存在相同的資安風險。</p> <p>「大家可能會認為4G LTE或5G好像很安全，別人無法從電波聽到我打的密碼，因此，有些企業自建服務可能僅使用HTTP，而不用HTTPS，這是不安全的」，他提醒企業還是要使用HTTPS。</p> <p>另一個容易被忽略的是OAM(Operation Administration and Management)的安全。管理者通常透過Orchestration，以管理網路從遠端更改基地臺或核網的設定，因為管理網路通常在內網，多會認為比較安全，而使用簡單的密碼例如admin123456，實際上，有可能管理網路已被攻陷。Philippe Lin表示，在NIST SP 800-187文件即指出，OAM的安全性經常被忽略，但曾被使用過。</p> <p><span style="color:#B22222;"><strong>投入5G專網前可先建小型實驗網測試</strong></span></p> <p>前面提到的不同5G專網布建方式，可能面臨不同的資安風險。Philippe Lin建議在投入數千萬元到上億元布建5G專網之前，企業可先花費數百萬元，以先建置一個小型的5G實驗網路，通過實驗室先了解5G在企業場域可能發生的問題。</p> <p>他以過來人的身分分享建置小型5G實驗網路的經驗，體會到建置CT電信網路和企業所熟悉的IT或OT有很大的不同，包含無線頻率的調整，天線的調整等等，這些都需要專業的知識經驗，企業可找有經驗的系統整合商協助建置網路。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5GNPN.jpg" style="width: 600px; height: 429px;" /></p> <p>趨勢科技打造的小型5G實驗網路，涵蓋核心網路、控制網路和現場網路，由於是實驗網路，非正式網路，不能違法放送電波，因此需要購置法拉第籠，目前國內有多家業者，價位因隔絕器而有變動，若購買的法拉第籠太小，天線和天線就容易產生干擾。</p> <p>此外，該實驗網採用國產的小基5G基地臺，以及實驗用的5G基地臺、SIM卡、工業用路由器，伺服器則使用汰換的舊桌機，搭配汰換的思科路由器。核網方面，因沒有和系統整合商合作，他們使用開源的核網，目前國內外已有一些開源核網可供選擇，考慮到支援度較高，他們採用Open5GS。</p> <p>建置5G專網需要考量許多層面，例如是否要支援SMS簡訊，有些工業會用簡訊作為備援，因原生4G網路並不支援簡訊，需要額外加掛才能支援。</p> <p>他們運用一些工具，攻擊實驗網路的核網，以了解駭客入侵核網之後，可能的攻擊行為。由於趨勢打造的5G實驗網路使用的是實驗用的基地臺，安全性仍有不足，Philippe Lin建議企業將來若想打造實驗網，應儘可能使用量產的小型基地臺，才能對專網的資安風險有比較客觀的評估。</p> </div></div></div>
2021/5/7 02:50作者蘇文彬https://www.ithome.com.tw/news/144231
【臺灣資安大會直擊】5G資安場域無人機產業鏈首亮相，4大資安場域展示臺灣核心產業防護新成果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>第七屆臺灣資安大會於5月4日～5月6日假南港展覽館二館舉辦，現場不只是包括資安專業論壇與國內外資安品牌展覽，會場中並展現了國內資安自主研發能量，包括臺灣資安館今年匯集50家本土業者，而第二屆的舉辦的「智慧臺灣安全展」，更是展現了我國核心產業在資安場域防護上的新成果。</p> <p>在今年度的「智慧臺灣安全展」中，以4大資安場域為主題，包含5G、智慧交通、工控安全與智慧工廠，讓外界能近距離了解臺灣在專業領域資安防護應用的新能量。</p> <p>一直以來，跨域的資安整合協作是臺灣所缺乏的，不過在今年的展示中，我們看到5G資安場域的推動上，特別以安全無人機產業鏈為主軸，相當難得一見。</p> <h2><strong>5G資安場域：聚焦無人機產業鏈安全</strong></h2> <p>在5G資安場域方面，現場實際展出了一臺國產戰術偵搜的無人直升機，相當吸睛。</p> <p>這是國內最新的概念驗證（POC）成果，概念上是要無人機連接的5G網路是乾淨的，以及無人機上攝影機空拍監測畫面的資料安全，還有無人機本身的安全防護，從晶片、5G網路到資安解決方案，每個環節都能是安全的可被信賴，並且都是國產。</p> <p>例如，包含經緯航太的戰術偵搜無人直升機，中華電信的5G專網，而提供物聯網資安解決方案的尚承科技，也將用於防範空拍時資料傳輸過程中資料被截取或竄改的危險，之後也將進一步與華邦電子IC設計整合，透過安全晶片做無人機的身分驗證，讓無人機的資訊傳輸都會經過一個安全裝置來做到保護。而在威脅情境的設想上，包括無人機被控制摔落，以及空拍影像遭竄改。</p> <p>經濟部工業局表示，過去不同領域發展各自的設備，隨著這次幾家公司能一起整合，之後有機會生產出實際產品，不僅讓國內使用可以更安心，也期望以此進軍國際市場。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962s%EF%BC%89%E7%AC%AC%E4%BA%8C%E5%B1%86%E8%87%BA%E7%81%A3%E6%99%BA%E6%85%A7%E5%AE%89%E5%85%A8%E5%B1%95.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%AC%AC%E4%BA%8C%E5%B1%86%E8%87%BA%E7%81%A3%E6%99%BA%E6%85%A7%E5%AE%89%E5%85%A8%E5%B1%95.jpg" style="width: 600px;" /></p> <blockquote><p>在2021臺灣資安大會現場舉行的資安展覽「2021智慧臺灣安全展」，從4大資安場域為主題，總統蔡英文也於本屆大會參觀國內在各核心產業正發展<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">的資安能量</span>。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）第二屆臺灣智慧安全展.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E7%AC%AC%E4%BA%8C%E5%B1%86%E8%87%BA%E7%81%A3%E6%99%BA%E6%85%A7%E5%AE%89%E5%85%A8%E5%B1%95.jpg" style="width: 600px;" /></a></p> <blockquote><p>對於無人機公安、飛安與空拍資料傳輸安全，跨產業合作是焦點，結合晶片、5G網路設備、到資安解決方案，本次大會上特別展現出打造無人機產業鏈安全的新成果。</p></blockquote> <h2><strong>工控安全資安場域：天然氣實驗模擬機櫃成新重點</strong></h2> <p>在工控安全資安場域中，主辦單位將實際建置的工控模擬實景搬到會場，讓與會者能夠一睹天然氣、水廠領域工控安全場域，是如何透過實驗環境模擬用於關鍵基礎設施防護措施。</p> <p>今年的新焦點是天然氣實驗模擬機櫃，現場布置的一個機櫃內，設有PLC控制器、I/O接點以及HMI等，一旁則是普遍工廠內都會有氣體儲槽，包含兩個儲存槽（Tank），可以同時或單一儲存氣體，以及可控制的洩氣閥。在這樣的環境中，主要利用空壓機模擬天然氣廠的天然氣體，透過管線輸送至氣體儲槽，透過現場另一端的圖控系統，監控儲槽內的氣體壓力變化，</p> <p>這套設備資策會資安所去年底才打造出，根據現場人員的說明，目前正嘗試模擬攻擊情境，例如當設備明明是近端操作，但透過網路封包入侵改成可遠端操作，並且使HMI顯示仍為近端操作。</p> <p>由於這類工控設備，一般企業或資安領域可能都不易能接觸，而打造這樣的實驗場域，希望能幫助國內認識可能風險，並期望協助業者驗證工控資安解決方案，並可做為資安攻擊模擬訓練。</p> <p>另外，去年已亮相的水廠安全化工串級控制，也同樣在這次大會中再次展示。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964s%EF%BC%89%E7%AC%AC%E4%BA%8C%E5%B1%86%E8%87%BA%E7%81%A3%E6%99%BA%E6%85%A7%E5%AE%89%E5%85%A8%E5%B1%95.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5s）第二屆臺灣智慧安全展.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965s%EF%BC%89%E7%AC%AC%E4%BA%8C%E5%B1%86%E8%87%BA%E7%81%A3%E6%99%BA%E6%85%A7%E5%AE%89%E5%85%A8%E5%B1%95.jpg" style="width: 295px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E7%AC%AC%E4%BA%8C%E5%B1%86%E8%87%BA%E7%81%A3%E6%99%BA%E6%85%A7%E5%AE%89%E5%85%A8%E5%B1%95.jpg" style="width: 295px;" /></p> <blockquote><p>對於關鍵基礎設施的資安防護，已是近年各國防範網路攻擊重點，在工控安全資安場域中，今年新展示了<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">天然氣串級控制的模擬實驗環境。</span></p> </blockquote> <h2><strong>智慧交通資安場域：已發布車載機與智慧站牌產業標準</strong></h2> <p>在智慧交通資安場域上，本場展示的智慧巴士系統相關的應用，說明透過超前部署的資安檢測，為未來城市智慧交通提供安全。</p> <p>對於物聯網資安的議題，政府這幾年已經提出辦法，制定認驗證標準並推動「物聯網資安檢測認證標準」，而車載機與智慧站牌都是關鍵之一，前者會定期將巴士所在位置資訊回傳後臺，再推播到智慧站牌顯示到站時間，目前國內已發布這兩項的產業標準，現場並展示目前桃園市政府正布建的智慧站牌，螢幕上可顯示公車到站時間與市政資訊。</p> <p>根據現場人員的說明，政府在應用新技術時存在可能風險，若是這些設備的資訊若被駭客竄改，將影響便民服務信心程度，因此資策會資安所發展相關資安檢測，了解是否有攻擊介面或威脅模型會導致攻擊行為發生，透過滲透測試結果轉換資安標準，讓相關產品通過標準後，為政府未來採購帶來助益。</p> <p>特別的是，前一陣子還有兩項新的產業標準發布，一是「空氣品質微型感測裝置」產業標準，2020年11月底發布，另一是「消費性網路攝影機」產業標準，在今年2月初發布，成為我們另一關注的焦點。</p> <p>特別的是，前者與民生公共物聯網有關，而環保署現已列為要求的項目，目的是為了避免這類物聯網產品成為資安破口，因為目前全國各地都有布建空氣品質盒子，一旦被當作DDoS攻擊跳板，恐帶來相當大的危害：後者顧名思義為消費級網路攝影機，但其實過去已有影像監控系統標準，但該標準對於家用產品的防護規格太高，主因在於家用產品本來就便宜，因此參考歐盟ETSI發布的EN 303645消費型物聯網資安標準而制定，讓工業用、商用的產品，與家用產品能有畫分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9611s%EF%BC%89%E7%AC%AC%E4%BA%8C%E5%B1%86%E8%87%BA%E7%81%A3%E6%99%BA%E6%85%A7%E5%AE%89%E5%85%A8%E5%B1%95.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968s%EF%BC%89%E7%AC%AC%E4%BA%8C%E5%B1%86%E8%87%BA%E7%81%A3%E6%99%BA%E6%85%A7%E5%AE%89%E5%85%A8%E5%B1%95.jpg" style="width: 295px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969s%EF%BC%89%E7%AC%AC%E4%BA%8C%E5%B1%86%E8%87%BA%E7%81%A3%E6%99%BA%E6%85%A7%E5%AE%89%E5%85%A8%E5%B1%95.jpg" style="width: 295px;" /></p> <blockquote><p>智慧站牌與聯網巴士等車聯網相關應用，這些新技術將提供於未來大眾日廠生活環境，但其安全性是否能一開始就有規範？近年國內已經推動公布<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">車載機與智慧站牌的產業標準。</span></p> </blockquote> <h2><strong>智慧工廠資安場域：打造場域實證示範案</strong></h2> <p>在智慧工廠資安場域方面，隨著傳統工廠走向智慧聯網，資安也必須要跟上升級，會場上也展示了三個大螢幕畫面，來說明現在的智慧工廠的管理方式。例如，其中一個畫面是研華科技林口廠每月電量監控的實際儀表板，另一個他們透過合作夥伴協助做到外部網路DDoS監控，最後一個是中控儀表板，當裝置、資安事件發現異常時都會警示，並且傳送到手機。同時，現場也展示其工業私有雲方案，包括由三臺伺服器所建構的私有雲架構，提供種種智慧工廠相關的服務，以及一臺UTM設備，可設於內部網路可用於集中管理威脅防止惡意程式擴散的。</p> <p>而在這樣的場域實證示範案下，政府也期望國內業者在數位轉型時，能了解國產資安解決方案並導入。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9612s%EF%BC%89%E7%AC%AC%E4%BA%8C%E5%B1%86%E8%87%BA%E7%81%A3%E6%99%BA%E6%85%A7%E5%AE%89%E5%85%A8%E5%B1%95.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9613s%EF%BC%89%E7%AC%AC%E4%BA%8C%E5%B1%86%E8%87%BA%E7%81%A3%E6%99%BA%E6%85%A7%E5%AE%89%E5%85%A8%E5%B1%95.jpg" style="width: 600px; height: 338px;" /></p> <blockquote><p>製造業佔國內GDP三成比重，是臺灣經濟支柱之一，隨著供應鏈安全與智慧製造對資安的需求。顯然政府也期望透過建立場域實證示範案，來引領國內產業強化資安防護能力。</p> </blockquote> </div></div></div>
2021/5/6 17:48作者羅正漢https://www.ithome.com.tw/news/144227
Dell服務化方案Apex正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/140676" target="_blank">Dell去年10月公布</a>產品服務化Project Apex，昨（5）日在Dell Technologies World 2021<a href="https://www.delltechnologies.com/zh-tw/events/delltechnologiesworld/index.htm" target="_blank">宣布正式上線</a>。</p> <p>去年Dell發布全產品線服務化策略Project Apex，將所有運算、儲存等產品皆以as a Service的服務形式提供，採使用量計價，並以雲端入口網站提供企業採購、管理及部署本地企業IT基礎架構。不過現在起，Dell將使用Apex作為該公司統括as a Service服務的品牌名。</p> <p>Apex也是Dell 相繼分拆<a href="https://www.ithome.com.tw/news/143848" target="_blank">VMware</a>及<a href="https://www.ithome.com.tw/news/144182" target="_blank">Boomi</a>等業務後，全力衝刺銷售的新產品策略。</p> <p>去年Apex宣布時，Dell僅預覽第一項產品Dell Technologies Cloud Console控制臺，並預告未來產品。今天大會上則一口氣推出4項產品。</p> <p>其中第一項是<a href="https://www.delltechnologies.com/en-us/apex/data-storage-services.htm#pricing&accordion0&tab0=0&accordion1" target="_blank">Apex Data Storage Service</a>，它提供本地部署或資料中心代管方案，根據儲存空間及讀寫效能分成三種等級，最小50TB起跳。<a href="https://www.delltechnologies.com/en-us/blog/a-radically-simplified-storage-experience-apex-data-storage-services/" target="_blank">Dell指出</a>Apex Data Storage Service可提供99.9999%高可用性。同時Dell也預告和大型資料中心Equinix合作的代管Apex Data Storage Services即將開賣。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-dell%20apex-2.jpg" style="width: 600px;" /></p> <p>其次是<a href="https://www.delltechnologies.com/en-us/blog/apex-cloud-services-for-all-your-essential-workloads/" target="_blank">Apex Cloud Services</a>，它是由現有Dell Technologies Cloud Platform (DTCP)改名而成，分成APEX私有雲及APEX混合雲兩類，全部都經由APEX Console下單及提供。服務以執行個體為形式提供，分成25、50、100、200及500不同規模。</p> <p class="rtecenter"><img alt="" src="https://www.delltechnologies.com/uploads/2021/05/APEX-Cloud-Services-Image-1-640x279.png" style="width: 500px;" /></p> <p><a href="https://www.delltechnologies.com/en-us/blog/apex-custom-solutions-enable-relatecare-to-deliver-wellness-faster/" target="_blank">Apex Custom Solutions</a>則屬於以用量計價的基礎架構即服務。其中Apex Flex On Demand提供純Dell伺服器、儲存、資料防護及超融合環境，而Apex Data Center Utility則另外提供計價及代管服務的彈性選項。</p> <p>Apex Console則是去年公布的管理控制臺Dell Technologies Cloud Console改名而成，作為企業跨本地及混合雲環境的統一IT及雲端訂閱、部署、管理、監控、最佳化。而未來由Equinix提供的Storage Service，客戶也可由Apex Console控管。</p> </div></div></div>
2021/5/6 17:15作者林妍溱https://www.ithome.com.tw/news/144226
Google放寬遠端工作政策，將允許20%員工遠端工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google執行長Sundar Pichai<a href="https://blog.google/inside-google/life-at-google/hybrid-approach-work/" target="_blank">本周更新了該公司的工作政策</a>，將提供更具彈性的工作模式，預計未來全球可能有20%的員工在家工作，20%可能在新的辦公位置工作，還有60%每周只需要進辦公室幾天。</p> <p>COVID-19疫情讓在家工作成為常態，但在疫情之後，企業必須重新調整工作政策，諸如Twitter與Square等企業，乾脆讓員工得以選擇永遠遠端工作；微軟則允許員工50%以下的工作時間，可選擇遠端工作；Amazon希望員工回到辦公室上班；Google原本對遠端工作的限制較多，但已於本周放寬。</p> <p>Pichai強調，辦公室園區一直是Google社群的核心，員工有時會在園區的咖啡廳或沙灘排球比賽中共同解決問題，絕大多數的員工仍然希望有時可以在辦公室裡，由於疫情的關係，這一年來負責規畫與打造Google工作場所的REWS團隊，已在重新構想混合型的工作場所，以讓員工在返回辦公室時能夠有更多的選擇。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-google%20REWS.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>新的工作政策有幾項主要原則，一是更具彈性的工作周，員工每周只要花3天的時間在辦公室，其餘2天可以隨便選擇工作場所；二是允許員工申請新的工作地點，只要是Google在當地設有辦公室，還能支援其任務即可；三是得以申請永遠遠端工作，且Google還準備建立更多遠端工作的職缺。</p> <p>不過，不管是選擇永遠遠端工作或是遷移到其它地點的辦公室，員工的福利也會根據其所在地點而隨之變動。</p> <p>除了上述以外，Google員工每年還可申請最長4周的遠端工作時間，以更靈活地安排度假或旅行。</p> </div></div></div>
2021/5/6 16:28作者陳曉莉https://www.ithome.com.tw/news/144225
Google擴大客服中心AI方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Cloud持續擴大客服中心結合AI，<a href="https://cloud.google.com/blog/products/ai-machine-learning/contact-center-ai-agent-assist-for-chat-is-now-in-public-preview" target="_blank">昨（5）日宣布</a>Agent Assist for Chat服務預覽版，支援企業客服前臺作業。</p> <p>Agent Assist for Chat是Google Cloud客服中心（Contact Center AI，CCAI）服務的一部份，後者是去年春天推出的AI客服中心方案，目前已經超過上千家企業部署使用。而Agent Assist for Chat是CCAI的最新功能，可在客服人員和客戶通話及線上通訊時提供持續支援。它可以分析來電客戶的意向，並即時提供推薦，像是文件或FAQ，或是回應客戶的對話內容，以協助解決客戶問題。</p> <p>具體功能方面，Agent Assist for Chat包含二個主要元件。一是智慧回覆（Smart Reply），可提供對話建議，幫助客服人員更快、更適切和客戶對話。它的建議資料庫可以集結頂尖客服的回答，也可以以預設題庫針對公司品牌風格修改。它底層的AI模型會不斷吸收使用企業的資料訓練、學習，漸進發展出更精準的建議內容。其次是知識輔助（Knowledge Assist），該模組同時搜尋多個應用和資料庫，以便在客服人員講電話時，即時提供對的文件或FAQ建議，縮短客服電話所需時間。</p> <p>Google表示，之前試用Agent Assist for Chat的企業，同時管理的對話增加28%，也提高客戶滿意度10%，而且客服人員反應時間也加快15%，有助減少電話放棄率，更能解決客戶問題。</p> <p>Agent Assist for Chat現已以<a href="https://cloud.google.com/agent-assist" target="_blank">預覽版</a>開放公測。</p> <p>Agent Assist for Chat能和<a href="https://www.ithome.com.tw/news/142508" target="_blank">Google Dialogflow CX</a>虛擬助理流暢整合，在需要即時線上助理的情境中，Agent Assist可以很快找出適切答案，提高即時客服對話的效果。</p> <p>Agent Assist for Chat也提供一組API以整合第三方客服前臺軟體，目前Google已經和對話式AI雲平臺<a href="https://www.prnewswire.com/news-releases/liveperson-and-google-cloud-team-up-to-supercharge-agents-for-stellar-customer-experiences-301284470.html" target="_blank">LivePerson</a> 及客服方案業者247.ai 合作，將Agent Assist直接整合進到其客服軟體中。</p> <p>Agent Assist for Chat先導客戶包括澳洲電信公司Optus及旅遊業者LoveHolidays等。</p> <p>將AI整合客服方案，是雲端巨人如微軟、Google、AWS的共同趨勢。<a href="https://www.ithome.com.tw/news/143790" target="_blank">微軟今年以197億美元收購 Nuance</a>，也計畫將Nuance的AI及語音方案，包括整合語音回應（IVR）、虛擬助理、數位與生物辨識方案，和Teams、Office 365等整合成AI客服方案。<a href="https://www.ithome.com.tw/news/139021" target="_blank">AWS則有</a>AI客服、轉錄與分析服務Contact Lens。</p> </div></div></div>
2021/5/6 16:07作者林妍溱https://www.ithome.com.tw/news/144223
監察委員會維持將川普停權，把發言不當帳號管束責任踢回給臉書
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在歷時逾3個月的審查之後，臉書監察委員會（Oversight Board）周三（5/5）針對是否繼續封鎖美國前任總統川普（Donald Trump）<a href="https://oversightboard.com/news/226612455899839-oversight-board-upholds-former-president-trump-s-suspension-finds-facebook-failed-to-impose-proper-penalty/" target="_blank">一案作出裁決</a>，維持臉書對川普的停權，但說臉書從暫時封鎖到無限期封鎖川普，是個開放性且不適當的處分，要求臉書在6個月內作出真正的決定。</p> <p>美國國會在今年的1月6日，準備認證新當選的美國總統之際，處於劣勢的川普在臉書上接連發表了兩篇文章，宣稱他的選舉被偷走了，當天臉書以相關內容違反臉書社群守則為由，不僅刪除了這兩篇文章，還將川普暫時停權24小時，隔天進一步宣布無限期延長停權川普帳號的時間，至少至政權成功轉移為止，接著將此案交由監察委員會審理。迄今川普的臉書與Instagram帳號仍被封鎖。</p> <p>事實上，臉書在1月6日停權川普的最大原因，是外界認為川普的言論激發了當天的國會暴動事件，因為根據臉書的調查，在這之前，川普就有5篇文章因違反該平台的社群守則而被移除，但當時臉書並未對川普的帳號作出懲處。</p> <p>不論如何，監察委員會認為，臉書不應對一個帳號施以不確定性、且無確切標準的無限停權處分，亦未提供回復帳號的標準與時間表，因而要求臉書應該重新審查此事，並在6個月內提出一個清楚且合適的政策，等於是將皮球踢回給臉書。</p> <p>另一方面，由另一群學者及專家組成、號稱是「真正的臉書監察委員會」（Real Facebook Oversight Board）<a href="https://rfob.medium.com/facebook-oversight-board-proves-its-pointlessness-1ff987ac72f8" target="_blank">也對此事表達了看法</a>，指出川普一而再地違反了臉書的社群守則，但監察委員會卻只是「維持」臉書封鎖川普的決定，再將決定權交還給臉書，而無法實際決定是否要永遠封鎖川普，顯示出該委員會的存在毫無意義。</p> <p><a href="https://about.fb.com/news/2021/05/facebook-oversight-board-decision-trump/" target="_blank">臉書則說</a>，該平臺將會根據監察委員會的建議，作出一個合理且明確的決定，在這之前，將繼續停權川普在臉書與Instagram的帳號。</p> </div></div></div>
2021/5/6 13:40作者陳曉莉https://www.ithome.com.tw/news/144221
Signal下IG廣告曝露臉書蒐集個資技倆
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書蒐集用戶個資似乎已是公開祕密，但是講求隱私的通訊軟體Signal希望更明白突顯這點，因此下了一批Instagram（IG）廣告，說明用戶何以會看到特定廣告。不過這招被臉書封鎖了。</p> <p><a href="https://signal.org/blog/the-instagram-ads-you-will-never-see/" target="_blank">Signal周三指出</a>，臉書旗下服務包括FB、IG和WhatsApp盡一切所能蒐集用戶資料，以便將用戶及其生活方式賣給第三方廣告主。臉書以極其複雜的系統和晦澀的語言，隱藏蒐集用戶個資的行為，不過倒也不是完全無跡可循：臉書平臺上顯示給用戶的廣告，即可看出這家社群平臺蒐集了用戶什麼個資。</p> <p>為了突顯這點，Signal最近就在IG下了目標式廣告，廣告中的文字顯示臉書知道用戶職業、婚姻狀態、喜好、地點、看了哪些網站，以及生活需求為何。例如，用戶是新婚彼拉提斯教練，喜歡動畫，住在加州聖地牙哥附近，最近造訪養小孩的部落格，考慮領養小孩。另一則廣告則告知用戶，臉書知道她是一名化學工程師，喜歡K-Pop，人住在柏林，剛懷上寶寶，並搬了家，最近迷上孕期運動。不過Signal也說，臉書不太欣賞這個想法，這些廣告因過於露骨說明廣告如何使用用戶個資，而遭到了臉書封鎖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-signal%20fb%20ad.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Signal</span></p> <p>臉書蒐集用戶個資來銷售精準廣告的商業模式，是Signal、Telegram等隱私通訊軟體崛起主因。一月間<a href="https://www.ithome.com.tw/news/142081" target="_blank">WhatsApp宣布</a>變更用戶服務條款，要求用戶同意它蒐集資訊才能使用，促使用戶流向Signal及Telegram。市調公司Sensor Tower今年初估計，Signal全球包括iOS及Android 版下載次數來到1億。 </p> <p>此外，臉書蒐集用戶個資的作法，也受阻於蘋果的應用程式追蹤透明度（ATT）政策。蘋果4月底透過<a href="https://www.ithome.com.tw/news/144059" target="_blank">iOS 14.5啟動ATT隱私政策</a>，這項政策要求應用程式需明白說明蒐集哪些個資，且必須取得用戶同意。這使得臉書和蘋果執行長祖克柏和庫克多次公開較勁，<a href="https://about.fb.com/news/2020/12/speaking-up-for-small-businesses/" target="_blank">臉書上周改打軟性訴求希望用戶同意</a>，以支持臉書平臺上仰賴廣告的小型店家。</p> </div></div></div>
2021/5/6 12:25作者林妍溱https://www.ithome.com.tw/news/144219
臉書新的電腦視覺技術DINO以自我監督式學習，學會精確分割影片和圖像中物體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書與法國國家信息與自動化研究所（Inria）合作，開發了一種稱為<a href="https://ai.facebook.com/blog/dino-paws-computer-vision-with-self-supervised-transformers-and-10x-more-efficient-training">DINO</a>的人工智慧演算法，使用無監督式方法來訓練Vision Transformers (ViT)，也就是說，這個新模型將可以在沒有監督且沒有目標分割物體的情況，從影片或是圖像中發現和分割出物體。</p> <p>分割物體有助於簡化任務，像是要置換視訊通話的背景，或是訓練機器人在環境中正確的導航，都會用到該項技術，研究人員提到，過去分割物體被視為電腦視覺中困難的挑戰之一，因為要求人工智慧必須要真正了解圖像內容。</p> <p>過去分割物體都要採監督式學習，並使用龐大帶有註解的訓練資料，像是需要使用帶有狗標籤的圖片，來教人工智慧模型辨識狗。而研究人員現在所發布的DINO，證明只需要自我監督和合適的架構，就能夠精確地分割物體，透過結合Transformers以及自我監督式學習，DINO已能夠深度理解圖像和影片。</p> <p>Transformers被大量應用在自然語言處理上，而在過去一年更有許多開創性的發展，像是Transformers已經被用於圖像分類和偵測物體等電腦視覺應用，而研究人員提到，使用大量非監督資料來預訓練基於Transformer的圖像表達，在這個研究領域帶來了新的進展。用DINO演算法訓練ViT，研究人員觀察到模型會自動學習可解釋的表達，並將主要物體和雜亂背景分開，還學會在沒有任何人為註解下分割物體。</p> <p>另外，雖然高效能運算在電腦視覺應用中是重要的部分，但是高效率演算法也非常重要，讓開發人員可以不需使用大規模運算資源，就能夠訓練模型，在公開DINO的同時，研究人員也分享了有關新模型訓練方法PAWS，該方法能使用較少的計算量獲得良好的結果。</p> <p>研究人員表示，使用PAWS來訓練標準ResNet-50模型，只要使用ImageNet中百分之一的標籤，就可以獲得絕佳的準確性，且預訓練步驟能比過去的方法減少10倍。人工智慧研究團隊可以利用DINO和PAWS來建置最新的電腦視覺系統，而這些系統可以大幅降低對標籤資料以及大量運算資源的依賴。</p> </div></div></div>
2021/5/6 12:05作者李建興https://www.ithome.com.tw/news/144210
DevOps後疫情時代，GitLab：高達60％受訪者發布程式碼速度是過去的2倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitLab調查全球DevOps團隊，發布<a href="https://about.gitlab.com/blog/2021/05/04/gitlabs-2021-survey-uncovers-a-new-devops-maturity-model/">《2021年全球DevSecOps調查》</a>報告書，調查發現在疫情的驅使下，人們發展出新的工作方式，使得過去一年DevOps的成熟度有了超出預期的成長，無論是自動化程度、發布節奏、持續部署和安全性狀態（Security Posture），抑或是人工智慧和機器學習等先進技術，都有大幅進步。</p> <p>GitLab以統計數據來說明新的DevOps成熟度模型（DevOps Maturity Model），首先，開發人員的程式碼發布速度更快了，由於得利於DevOps，有60％開發人員發布程式碼的速度是過去的2倍速，這個數字比2020年成長了25％。在自動化方面，56％的營運團隊表示組織已經「完全」或是「大部分」自動化，比2020年成長10％。</p> <p>在安全性上也有長足的進步，在2021年，72％的安全專業人員，評估自己的組織安全等級為「好」或是「強健」，比2020年成長了14％。現在也有75％的團隊，在「使用」或是「計畫使用」人工智慧和機器學習，來測試和審查程式碼，而在2020年時，這個比例只有34％。</p> <p>在去年時，無論是開發者、安全人員還是營運人員，都表示自己的職業需要更好的溝通和協作技能，但這些目標在過去一年受環境影響，經半強迫性的訓練之後，DevOps相關人員已經把職業技能目標轉移到人工智慧和機器學習、主題專業知識和進階程式開發上。</p> <p>從去年的DevOps調查來看，DevOps的角色不斷變化，與開發人員有關的通常是測試和營運任務，而營運的重點通常在雲端和基礎設施，而安全性則是跨功能團隊的一部分。GitLab提到，DevOps不斷變化發展並不奇怪，在今年的調查中，發現有43％的受訪者，已經從事3到5年的DevOps工作，並且繼續投入在SCM、CI/CD和自動化測試等DevOps實踐。</p> <p>DevOps團隊仍在追求更好的DevOps成熟度模型，主要目標是要提升程式碼品質、上市時間以及安全性，GitLab表示，測試仍然是DevOps重要的問題，測試常是發布延遲的最大原因，不過顯然這個問題在今年已經有所改善，擁有完全自動化測試的團隊比例是去年的2倍以上，而且也越來越多的團隊計畫使用人工智慧和機器學習，而專家們和受訪者，也都認同這2項技術將會改變軟體測試方法。</p> <p>從調查中，也能看出受訪者對Kubernetes熱度，在2020年的調查，只有38％的受訪者使用過Kubernetes，但這個數字在今年成長到了46％，而目前還未使用Kubernetes的受訪者，也都表示會儘快採用。</p> <p>在去年的時候，受訪者將發展重點放在自動化、CI/CD和整體DevOps基礎工作上，而這些努力在今年都明顯反應在數字上，而在今年的調查中，受訪者表示將把投資主力放在雲端上，其次是人工智慧，有趣的是，人工智慧在2020年只有第8名。</p> </div></div></div>
2021/5/6 12:09作者李建興https://www.ithome.com.tw/news/144214
【臺灣SRE實例：17Live集團】多功能型SRE化身內部信心來源，天天成為開發團隊後盾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>17Live集團旗下服務的使用者超過5千萬人，遍及全球，如何持續地提供穩定的直播服務，靠的是背後一支強而有力的團隊，隨時洞察系統狀況，發生異常時，第一時間查找問題，並即時回報各單位，快速採取應變措施，他們就是SRE團隊。</p> <p>2017年時，17Live關注到Google大力推行的SRE維運方法，切中他們想強化服務可靠度的目標，希望維運人員可以跳脫維運工作上的傳統框架，不再只是負責管理機器，而是更密切地與不同單位的人員接觸，提供他們需要的基礎架構支援，因而決定將DevOps團隊轉型為SRE團隊。</p> <p>過去曾有維運工作經驗的17Live集團工程總監林毅民，現負責率領這個SRE團隊。他指出，傳統維運團隊多是負責一些例行工作，例如，主機監控。他指出，這樣的工作內容讓維運團隊像是一個後勤單位，不容易彰顯價值。但是，「導入SRE作法，可讓維運工作變得有價值、有意義，不可被取代。」林毅民強調。</p> <p>尤其他想要以研發角度開發內部軟體，來取代高度重複的例行維運工作項目。像是監控工作，SRE工程師可以建立自動化監控機制，只有當流量超過設定門檻，維運人員收到警急警報後，再展開行動，不需像過去得時時待在機房監控狀況。</p> <p>不僅改變維運工作的執行方式，林毅民更要塑造SRE團隊成為，「17Live內部的信心來源、可信任的對象」，來支援開發團隊在每個上班日發布部署服務新版本。</p> <p>他解釋，SRE團隊要帶給工程團隊的，不單是做事方法、做事原則，而是，一份可靠度、信任感，讓開發團隊感受到，有SRE在，他們可以放心地交付功能、服務。</p> <p><span style="font-size:28px;"><strong>5大角色組成SRE團隊</strong></span></p> <p>17Live所打造的SRE團隊是多功能團隊，可以分為5個組別，第一個是資料庫團隊，負責管理各類資料庫，包含了RDB、NoSQL、Redis等，負責建立機制來監控資料庫的各種指標，並與開發工程師討論如何優化查詢；第二組是基礎架構團隊，負責支援兩種雲端環境：GCP和AWS，以及配置公有雲環境裡的容器，並打造完整的監控系統，來確保叢集的穩定性；另外，還有自動化團隊，利用軟體開發概念來改善基礎架構的開發工作，像是自製各種Slackbot。</p> <p>再來，還有一組資安團隊，負責從系統、應用程式和容器不同面向，強化資訊安全，確保有效阻擋潛在風險或外來攻擊，如DDoS、SQL Injection等，還有培養全體企業人員正確的資安觀念，無論工程人員或非工程人員，都須落實資安防護作為；最後一組人馬是技術服務團隊，相當於一般企業服務內部員工的IT部門，負責提供全球17Live人員的資訊服務，目標提升全體人員的個人生產力，及提高內部溝通效率，並協助各部門盤點系統採購的需求。</p> <p>這種多工型的技術服務團隊出現在SRE編制中，相當特別，林毅民解釋，他們扮演的是各部門的IT諮詢顧問，要賦予內部人員使用的資訊產品信賴感，他提到，以往IT都是用傳統、簡單的方式驅動內部資訊化建設，他以監控工具使用狀況的工作為例，IT人員多僅確認各單位人員有沒有使用生產力工具。</p> <p>在17Live，SRE團隊要利用自身維運經驗，向內部各單位不管是業務、人資，還是財務部門，提供更敏捷的工作方法，來提高工作生產力，進而營造SRE是一個可信賴的單位，除了確保服務可靠性，還可增進人員的工作效率。</p> <p><span style="font-size:28px;"><strong>從4階層訂定SLI，監控服務穩定性</strong></span></p> <p>隨著17Live決策團隊開始採用目標與關鍵結果（Objectives and Key Results，OKR）的管理方法，訂定全公司的共同目標，而各事業單位也需要量測指標作為基準，來衡量不同時間點的服務狀態，與預期目標上的差距。</p> <p>因此，SRE團隊在去年制定了服務穩定性指標（Service Level Indicator，SLI），從4個層級：叢集、系統、應用程式和原始碼邏輯，來監控服務的穩定性。除了偵測CPU、記憶體或磁碟容量等常見資源的指標外，還會偵測網路I/O、磁碟I/O等。另外，目前在監控系統運作上，17Live使用的是監控服務Datadog，也透過VividCortex更細微地監控MySQL 指標。</p> <p>林毅民表示，任何細節對17Live來說，都至關重要，SRE會與開發人員一同建置這些監控指標。這些SLI指標除了是各單位衡量OKR的參考標準，更是SRE團隊在服務發生異常時，找出影響服務穩定性肇因的主要依據。</p> <p>以應用程式自身發生異常的狀況為例，SRE團隊有時無法從系統上直接看到異常的流量情況，必須透過監控機制的指標才能判斷，究竟是服務的哪個層級發生問題。</p> <p>甚至，過去17Live曾遇到雲端供應商服務出現問題，但警報系統沒有發現流量下滑的異常，直到用戶抱怨無法登入，他們才意識到問題。林毅民提到，後來，一旦發現了異常警報機制無法掌握的情況，SRE團隊就會盡快增加更多監控指標和警急通報，希望能在用戶反饋前即發現問題。</p> <p>除了針對系統運作狀態制定監控指標，17Live SRE團隊還建立了另一套，從營運端角度來觀測服務穩定性的燈號儀表板。該機制羅列服務會發生的各錯誤，再依錯誤的嚴重程度分級為P0、P1、P2、P3，而每一個分級都有自己的加權分數。</p> <p>這個燈號監控機制背後有一支程式，每天會計算，當日往前推30天內，服務發生了多少次的錯誤，再從100分往下扣除所有錯誤加權分數的總和，來代表整體服務狀態的總分數。這個分數不只用來觀察服務狀態，也會影響17Live工程團隊的開發優先順序。</p> <p>這個總分數若大於80分，儀表板會顯示綠燈，代表17Live現在可以開發一些風險比較高的新功能；黃燈是介於60到80分，代表SRE團隊以及後端工程師必須投入在維持系統穩定性；紅燈則是低於60分，代表工程團隊全體成員都必須花更多時間優化穩定性，並且，調整部分工作排程，盡可能避免高風險的新功能上線。</p> <p><span style="font-size:28px;"><strong>待命機制每15分鐘更新一次當前問題處理狀況</strong></span></p> <p>有了完善的SLI，一旦SRE團隊監控指標的數值，超過設定的水位，就會觸發待命（On-call）機制，通知當日值班待命的SRE人員，或是後端工程師。林毅民表示，後端工程師也須待命輪班，來了解SRE如何排除問題。</p> <p>有時待命機制發送了錯誤警報，為了避免「狼來了效應」發生，每一次都會找來後端工程師比對，確認和修正警報的正確性，他強調，每次警報觸發都需待命人員，扎扎實實的排查問題。</p> <p>為了有效啟動待命機制，17Live SRE團隊還整合了警報和待命管理工具Opsgenie，以撥打電話或是發送簡訊的方式，自動通知輪值的待命人員。</p> <p>待命者收到警報後，5分鐘內必須立即上線，開始調查當前問題發生的狀況，排除問題。若判斷疑似是當日服務發布的新版本造成問題，為了快速修復，值班人員甚至有權限直接退版，還原到前一版功能，不需先向主管報備。</p> <p>如果不是服務上新版的問題時，值班人員需監控其他資源的指標，例如資料庫、基礎設施等，通知指定相關人員上線排解。一旦，經10分鐘仍然無法解決問題，17Live要求，必須即刻通報SRE主管及工程團隊技術副總，向上拉高事故處理的層級。</p> <p>接著，SRE主管會隨即成立緊急應變小組，以15分鐘為單位，持續向17Live全球人員更新問題的最新狀況，讓所有人員同步了解當前狀態、處理狀況，以及預期服務可回復的時間。</p> <p>林毅民表示，每15分鐘發布一次問題狀況，可以讓全體人員安心，了解當前處境，知道應如何安撫自身面對的用戶，像是VIP觀眾、直播主等都需要了解狀況。</p> <p>等到問題都順利排解後，SRE團隊還需知會此問題的相關人員，來撰寫檢討報告（Postmortem，又稱驗屍報告）。林毅民表示，這是取經自Google的SRE作法，應用到17Live整個工程團隊上。</p> <p>不過，17Live沒有照單全收，而是將Google原始的檢討報告作法精簡濃縮。撰寫時主要聚焦4大要點，包含整起事件的時間軸，從故障何時發生，到修復過程各時間點做了哪些事情；再來是背景資訊，說明問題的根本原因，故障造成了哪些狀況；</p> <p>還需要撰寫改善事項（action item），需採取哪些動作來防範類似問題再次發生；最後一項是從這次經驗中學習到的事（lesson we learned），未來若遇到相同情況應如何解決。</p> <p>林毅民表示，撰寫檢討報告可帶來許多好處，讓工程團隊知道如何解決問題，以及改善，避免問題再次發生，甚至可以幫助提早預知問題，提前做相應的對策。</p> <p>不過，他強調，故障發生當下，SRE團隊不會馬上花力氣找根本原因，而是先降低故障機率，或是減輕影響範圍。等到故障都排除之後，再回頭查找根本原因，撰寫檢討報告，而公告檢討報告後，還會召開檢討報告結案會議，來確保已確切執行各改善事項，並持續提升系統的穩定度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E6%9E%97%E6%AF%85%E6%B0%91_17LIVE_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>17Live集團工程總監，同時也是SRE團隊主管的林毅民表示，傳統維運團隊做的多是例行工作，無法彰顯工作價值，導入SRE作法後，以軟體工程角度來解決基礎架構面臨的問題，「可讓維運工作變得有意義，不可取代。」</strong>（攝影／洪政偉）</span></p> <p><span style="font-size:28px;"><strong>SRE團隊已經歷4階段挑戰，首先，面對公有雲環境轉移工程</strong></span></p> <p>17Live SRE團隊成立4年多來，已經歷了4大階段性的挑戰。首先，隨著業務規模持續擴大，開發需求越來越多樣化，為了使用GKE來獲得更好的Docker支援，讓容器化開發環境更具彈性，整合每日處理資料量多達1TB的GCP資料分析工具，如BigQuery，17Live在2018年5月時，用3天時間，將服務從AWS遷移到GCP。</p> <p>能夠3天完成這項搬遷工程的背後推手正是SRE團隊，這也是SRE團隊頭一次面對如此大型的搬遷工程，因此，團隊早從前一年就開始著手準備，討論如何做才能減少中斷時間，降低兩大使用者：直播主和觀眾，在使用服務上面臨的影響，足足耗時約半年才完成了縝密的搬遷工程計畫。</p> <p>SRE團隊先在雲端測試環境中，藉由不斷測試不同的搬遷方式，來計算中斷時間，也一步一步抽絲剝繭，尋找潛在的風險。</p> <p>為了避免一次性搬遷後，單一服務在新環境中，被湧入的正式流量衝爆，導致整個伺服器當機，最後，決定分3天進行搬遷工程，依序搬遷MongDB、MySQL，還有最後一天遷移了應用程式和Redis。</p> <p>確立搬遷方式後，SRE團隊還進行了約10次的演練，模擬整體服務的搬遷過程，就是要確保所有流程順利。最後，17Live不但順利將服務搬家，且歷時3天的搬遷工程，每天中斷時間都介於5到10分鐘。</p> <p>藉由這次的雲端遷移經驗，SRE團隊建立起執行大型搬遷、升級任務的能力，知道每個環節從事前規畫、測試到執行，需要思考、準備哪些細節，再加上如何執行數次扎實的演練，才能最大的減少中斷時間，以及排除最多的可預期狀況。</p> <p>除了通過自我不斷演練來確保搬遷工程順利，SRE團隊還建立了與各事業單位溝通工程內容的能力。林毅民表示，工程團隊過去因公司初創立組織規模較小，執行技術轉換工程時，不需考慮太多面向，可以直接切換，然而，隨著組織擴編，產品和使用者數量大幅增加，執行任何工程需考量的風險和溝通對象也增加。</p> <p>進一步看，SRE團隊與各個事業單位事先宣布了工程技術轉換的時間點，確認服務用量在該時間是不是最低，並溝通轉換工程期間會發生哪些狀況，還有說明回溯計畫。林毅民解釋，不斷演練，還有溝通回溯計畫，就是為了讓內部有信心，讓大家知道，若不小心發生問題，甚至是失敗，還是可以回復。</p> <p><span style="font-size:28px;"><strong>挑戰2：轉換應用程式語言，減少重複性維運工作</strong></span></p> <p>相隔一個月，同年6月，為了落實SRE的另一項維運理念，也就是「減少做重複性工作項目」，17Live把所有應用程式從Node.js，統一改為後端常用語言Go語言。SRE團隊與後端工程師一起前後花了一年的時間，轉換程式語言，一邊更換既有應用程式語言的同時，一邊用Go語言寫新功能。</p> <p>轉換期間，不同語言開發的新舊版API同時混雜，為了讓新服務可以更順暢在Go語言的環境上運作，SRE團隊特別開發了一層類似API閘道的監控工具，確保新版服務API能循著正確的程式語言途徑來執行。林毅民解釋，有時改變應用程式語言，不一定能提升應用程式效能，所以，必須監控。</p> <p><span style="font-size:28px;"><strong>挑戰3：雲端服務故障逾10小時，促展開多雲架構布局</strong></span></p> <p>搬遷服務至GCP後，17Live以GKE執行容器來負擔各種線上服務，然而，強調高可用性的雲端服務，不會百分百正常運作，SRE團隊需要隨時監控系統狀況，因應突發事件。</p> <p>林毅民印象最深刻的一次，2019年11月萬聖節隔天，GCP發生大規模故障長達12小時，導致17Live無法新增機器，來滿足當日直播服務尖峰時段的使用需求，這是SRE團隊成立以來遭遇的第三大挑戰。</p> <p>SRE團隊雖在GCP發生故障之初，即發現問題，然而，此次事件卻大大衝擊17Live服務。因為，故障事發當下為午間時段，17Live系統正處於離峰狀態，無法正常擴充容量，晚上就是高峰期，現有的系統資源肯定支撐不住流量。</p> <p>再加上，17Live主要功能都集中在少數服務上，所以，一旦服務內部分功能耗盡了運算資源，例如CPU，也會連帶影響到該服務的其他功能，造成全面性的災難。</p> <p>SRE團隊雖很快採取多項應變措施，像是限制用戶數、關閉次要功能，或是移除運算需求低的容器，挪出更多運算資源，來接手執行關鍵容器，林毅民坦言，但是仍舊缺乏可以積極、主動排除問題的方式，現在回想起來，他苦笑的說：「面對GCP故障，他們只能雙手一攤，無盡的等待Google修復服務。」</p> <p>這次災難應變經驗促使SRE團隊意識到，如果只採用單一雲服務環境，當雲端業者發生問題，他們能做的事其實不多。林毅民表示，那次的故障事件，讓17Live正視只用單一雲端環境的風險，開始布局多雲架構的策略。</p> <p>於是，SRE團隊重回AWS環境，建立災難備援機制，來因應雲端服務的突發狀況。現在，17Live只需要一個腳本程式，就能在20分鐘內，建置好AWS EKS環境，30分鐘內可以將大部分的服務完全重建。</p> <p><span style="font-size:28px;"><strong>挑戰4：資料庫達吞吐量逼近上限，切分資料庫</strong></span></p> <p>由於用戶及功能數量不斷的增加，17Live資料庫資料量和吞吐量也越來越大，逼著SRE團隊在去年11月，面臨拆分資料庫的壓力。林毅民表示，如今資料庫用量為2018年的3倍，已經達到單一叢集的吞吐能力上限，而且當單一叢集發生問題，整個API服務會無法正常運作。</p> <p>SRE團隊規畫了服務降級的解決方案，與後端工程師一同以功能面來切割資料庫，將資料庫一分為五，其中最大的難題是，如何有效以功能面切割資料庫，因此，也請測試工程師加入，一起將功能切成不同種類的測試案例，來不斷測試，確認功能是否達預期表現。</p> <p><span style="font-size:28px;"><strong>SRE須勇於分享、發問，從不同角度切入問題</strong></span></p> <p>林毅民強調，SRE人員必須要具有勇於分享、勇於發問的態度。</p> <p>他表示，17Live SRE團隊由不同背景的人員組成，有些人過去是銷售工程師、機房維運人員或是資料庫管理人員，每個人有不同的領域知識。因此，成員會用不同的思維切入問題，不管是從資料庫、維運端或是用戶的角度思考，所以，林毅民尤為注重勇於發問和勇於分享的態度，他表示，只要人員敢問，別人也分享給你，如此，就可以塑造正向分享、發問的循環。</p> <p>對於想導入SRE工作方法的企業，林毅民建議，參考Google SRE作法，但，他強調，不應完全套用所有作法，因各企業不管是組織規模、協同方式、產品都與Google不同，因此，企業須將SRE作法轉換為自己的東西。他點出SRE實作的唯一重點是，不能有怕事的態度，要勇於跟其他部門溝通，如果害怕踩到其他部門的界線，就無法成就任何事。</p> </div></div></div>
2021/5/6 11:00作者黃郁芸https://www.ithome.com.tw/news/144122
【CTO看SRE：17Live集團技術副總經理徐永吉】SRE如何成為營運和工程單位的橋樑就靠2關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「SRE團隊是營運和工程單位間的橋梁，」17Live集團技術副總經理徐永吉如此形容，在這個服務數千萬直播觀眾的企業裡，有一個專門負責維持服務穩定性的技術特別團隊。</p> <p>平日，這支SRE團隊不斷蒐集營運單位需求，轉化為系統建置的工程指標，也須根據營運需求，事先訂定對應的標準操作程序。一旦服務發生中斷或是事故，SRE團隊還得從保證企業營運穩定性的角度來排除緊急狀況。</p> <p>徐永吉指出，有別於傳統工程師作法，先找問題再想辦法回復系統，SRE團隊要優先思考如何阻斷問題擴散，讓系統盡快恢復運作。</p> <p>17Live每一季回顧會議上，SRE團隊除了得掌握系統所有問題造成的情況，以及問題復原時間和速度外，還需了解服務延遲、中斷等狀況對營運表現造成的影響，徐永吉指出，SRE也要知道突發事件實際對企業造成的營運損失。</p> <p><span style="font-size:28px;"><strong>關鍵做法1：定義服務關鍵路徑</strong></span></p> <p>為了確保突發事件發生時，直播主仍可以開播，而觀眾也可以順利地進入直播間，來最大地降低影響，去年，SRE團隊定義出了17Live的服務關鍵路徑（Critical Path）。這份資料列出了觀眾和直播主在流量尖峰期間最常使用的功能，以及進入直播間的各種方式。</p> <p>以觀眾為例，SRE團隊先從流量分析資料找出，尖峰期間，觀眾進入直播間後會看播、追蹤、送禮、留言等，而進入直播間的方式主要則有兩種，一是通過首頁點選，二是接到追蹤者開播通知後，點選進入直播間。接著，再與營運團隊討論，確認這些路徑和進入方式是否可納入服務關鍵路徑，另外，也會列出非關鍵路徑（Non-critical Path）的功能，例如動態頁面、貼文分享等。</p> <p>一旦遇到突發事件時，SRE團隊首要工作是盡可能降低問題對關鍵路徑的衝擊，徐永吉表示，SRE不只是保證服務品質，而是確保突發事件對服務造成的影響能最小化，甚至有時SRE不得不關閉部分功能，「事先定義的關鍵路徑就是優先修復的依據。」</p> <p>過去遇到突發事件時，沒有特別考慮受影響功能的修復順序，掌握關鍵路徑涵蓋的功能後，徐永吉表示，SRE可以明確判定問題的嚴重程度，來決定是否需要公告，並以恢復關鍵路徑為第一優先，若多項功能都屬關鍵路徑，則可進一步根據流量多寡，來確立修復順序，甚至，能藉此決定可先行犧牲的功能。在服務恢復正常的過程中，大量流量會持續湧入，也需仰賴SRE團隊設計斷路器，來阻斷流量湧入，讓服務有足夠時間擴充執行實例。</p> <p>為實現以SRE為導向的開發需求，去年底，17Live將SRE審閱（review）納入軟體開發生命週期（SDLC），在每個Sprint中，加入基礎設施強健審閱（Infra Robust Review）和資料庫審閱（Database Review）兩個環節，由SRE工程師參與設計審閱（Design Review），來確保新功能在開發初期就加入營運穩定性的設計考量，讓開發端和SRE有一致的設計思維。</p> <p>SRE團隊若發現新功能會影響關鍵路徑的順暢性，會建議工程師調整，並在有風險疑慮的系統環節上，及早放入追蹤器，或設定日誌紀錄機制，還有，在新規畫的SDLC管理上，SRE和工程師需一起計算每一個程序查詢量（QPS）的預估值，來掌握系統穩定度的警界線，作為待命（On-call）機制緊急警報的依據。徐永吉表示，通過新規畫的SDLC，工程師會更清楚開發時如何加入流量因應的設計，SRE則會更清楚工程師如何設計新功能，來加強自身在系統設計上的經驗。</p> <p><span style="font-size:28px;"><strong>關鍵做法2：以營運損失呈現意外事件造成的服務衝擊</strong></span></p> <p>去年底開始，17Live對於意外事件嚴重程度的衡量，採取了新的衡量方式，改以企業營運損失來呈現問題造成的影響。徐永吉表示，過去，SRE設定服務級別目標（SLO），是以時間來描述服務的期望狀態，也就是以時間為單位，來描述系統的中斷容忍度，各部門團隊多半可以接受。後來，改以實際營運損失來呈現中斷延遲時間造成的影響，各團隊更加能體認到，每一個問題的嚴重性，也更願意配合SRE團隊所推廣的因應措施。</p> <p>然而，量測意外事件造成的營運損失不容易，需衡量每單位時間轉換營收後代表的價值，還有每項問題改善行為的價值，讓時間與營收損失對應後，再對應SRE團隊採取的行為，最後，才能得出一起意外事件造成的企業營收損失。</p> <p>除了讓各單位更具體掌握故障造成的影響外，徐永吉提到另一個以營運損失衡量意外事件衝擊的好處，那就是，有時工程師為系統新增了保護措施，SLO不會有任何改變，但，現可從營運損失的變化，來代表新增保護機制的效益。</p> <p>不只用營運術語，取代工程術語來描述事件的衝擊，17Live SRE團隊也加強了工程與營運部門間的互動，今年，建立了工程與營運部門共用的儀表板，轉換工程部門檢視的重要指標，包含查詢量、SLO、延遲時間等，成為營運部門易懂的指標，供營運部門檢視，建立工程及營運部門間的互信與合作。</p> <p><strong><span style="font-size:28px;">利用服務觀測資料打造AIOps系統，預先偵測異常狀況</span></strong></p> <p>收集了數年SRE監測的系統可靠性資料，下一步，17Live計畫彙整SRE現有知識和經驗，建立具推論能力的災害預警及復原系統。徐永吉表示，SRE很仰賴經驗累積，需不斷處理事件來訓練判斷力，容易有一種盲點，僅熟悉特定事件的標準操作程序來照做，遇到例外，因無法全面地掌握過去所有事件的因應作法，也就無法按照標準程序處理。</p> <p>所以，17Live希望利用AIOps建立推論系統，自動偵測異常流量狀況，再主動向相關負責人員發送通知，提醒近日該進行的檢查作業，檢查時若發現可疑徵兆，AIOps系統還可依照過往類似問題的相關處理經驗，提供相對應的解決措施。徐永吉表示，許多問題其實早在系統異常前一周，就會出現微小的徵兆，透過系統及早發現就能嘗試修復。「許多狀況等到SRE上場時，已來不及有效及時處理。」</p> <p>SRE團隊會先列出過往檢討報告（Postmortem）涵蓋的所有改善行為，像是修改程式碼、修改配置等，並將以文字描述的解方轉化為數字，再規畫推論系統需要哪些資料來訓練，以及系統應採取那些復原動作。</p> <p>推論系統除了可輔助SRE及早掌握問題外，還可在問題尚未造成系統出現異常前，緊急通知有問題的程式碼或配置的擁有者，讓工程師知道所上傳的程式有潛在風險。特別的是，不同於利用規則訓練模型的方式，17Live採用增強式學習來訓練這個推論系統，再由SRE團隊持續向系統反饋其採取行為的正確性，讓這個AIOps系統不斷學習新經驗，再轉換為日常預測動作的一環。</p> <p>徐永吉表示，每當SRE團隊掌握到問題的起始時間點，就能將當日查詢量資料匯入給模型，讓AI模型學習查詢量和改善行為的關連性，希望可以訓練這套系統，有能力知道應往前回溯多少時間，才可掌握問題造成的影響，讓它建立預測該類型問題的能力。</p> <p>他坦言，系統建置工程相當困難，需多方確保模型可順暢地運作，但，他相信，17Live多年累積的追蹤、監測資料將是訓練模型的最佳基礎，再加上，他們有從不同維度監控異常影響範圍的機制，所以，他有信心能打造出，有能力細緻判斷問題的模型。如此一來，日後就可以不用再擔心SRE新人因缺乏經驗，而判斷不準確，讓新系統成為新人的最佳助力，協助判斷問題，找出相對應的對策，讓新人慢慢累積自身的判斷經驗。</p> <p>目前，17Live正在規畫推論系統的建置工程，先由SRE團隊確立系統應採取的復原動作有哪些，從而確定需利用哪些資料來訓練模型，接著，再交給工程團隊協助開發。</p> <p>17Live為了讓SRE團隊與工程團隊更緊密合作，讓SRE更清楚開發、設計的原理及方向，來採取相對應的維運、監控策略。為此，今年，17Live首度嘗試讓SRE工程師擔任Scrum專案領導者，參與開發，從SRE角度推行專案，確保系統或功能在設計上，能達到組織期望的穩定度。</p> <p>徐永吉表示，過去，SRE很少參與開發，不清楚工程師的開發考量，同樣的，工程師也不清楚SRE推動維運的方式，常造成雙方有很多的誤解，他指出，透過新的專案領導方式，兩方可相互學習，打破孤島（Silo），一旦服務出現問題，各團隊可一起發想解決方案，讓每個人都有機會幫忙排除問題，而SRE審閱開發設計時，只需給予大方向的指導，有助於提升整體團隊的表現。</p> <p><span style="font-size:28px;"><strong>SRE人才難尋，從3大特質發掘潛力新人</strong></span></p> <p>找尋合適、能力強的SRE人才，不容易，徐永吉直言，「超難找，」一位好的SRE工程師需具備系統維運及開發的雙重經驗。17Live現找尋SRE團隊的新成員時，會專注於發掘可塑人才的潛力，從3個面向觀察應徵者是否具實踐SRE文化的特質，第一，關注應徵者面對利害關係人時，是否尊重對方；第二，是否會同時聚焦自身和團隊的目標；最後，面對問題時，是不是能主動發想新解方。</p> <p>對於想要導入SRE作法的企業，徐永吉提出了兩點建議。第一，他建議企業了解清楚什麼是SRE，確定SRE的價值。他強調，SRE不是單純的維運團隊，而是可賦予系統可靠性的團隊，他指出，應建立測試、開發和維運三位一體的思維，因為，SRE唯有了解系統狀況，掌握功能放上系統發布的品質，才可以保護系統，所以，SRE需從開發端直接給予功能設計上的建議，參與功能品質的驗證，並與營運單位接觸，才能掌握服務的實際運作狀況。</p> <p>去年，17Live合併品質保證（QA）和SRE兩個工程團隊，成立可靠性部門，就是為了結合測試、開發和維運，來重新定義系統可靠度為，「在完整的系統架構設計下，經完善的機制驗證，產生符合企業營運標準的系統。」徐永吉表示，17Live希望透過兩團隊的整合，有效地達成企業穩定營運的目標，同時，兼具系統及效能持續演進的優勢。</p> <p>第二點建議是，賦予SRE正確的定位。他表示， SRE不只是負責維運工作，需連結開發和維運才能展現SRE的價值，他強調，SRE的價值不在替企業節省多少基礎設施成本，也不是訂出系統可用性，或故障後修復時間的目標，而是要讓SRE聚焦，如何強健系統來降低營運損失，才能活化SRE在保護系統上的責任。</p> </div></div></div>
2021/5/6 11:00作者黃郁芸https://www.ithome.com.tw/news/144123
【臺灣資安大會直擊】防堵遠端工作抗疫成網路資安新破口，工研院建議企業擁抱零信任網路架構來因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當前社會狀況與網路安全的發展有著密不可分的關係，一年過去，疫情仍未遠離，遠端工作已成為新常態，而企業為提升韌性改變營運作為，這些變化隨之而來的是，企業網路邊界出現了許多防護上的新挑戰。</p> <p>工研院產業與經濟研究中心電子與系統研究組研究經理徐富桂今日（5/5）在資安大會上，介紹零信任網路安全的發展趨勢，他點出目前疫情仍為現在進行式，企業面對了遠端接入需求衍伸的許多資安問題，正是實施零信任網路架構的最佳發展時機。</p> <p>面對反覆捲起的疫情，企業被迫改變營運作為，搭配各類型數位技術的投資，以提升企業營運韌性，從而帶動資安需求。徐富桂分享了一份市調機構Gartner的調查，根據調查，為支持遠端工作者需求，全球IT總支出在2020年成長了2.3%，其中，企業為確保遠距協作工具和數位客戶體驗所增加的資安破口，不影響自身營運網路的資訊安全，在資安軟體上的支出成長7.1%，且預期今年的投資額還會成長12%。</p> <p>疫情下，遠端辦公加速企業大量部署雲端服務、資料中心，徐富桂表示，零信任網路安全架構提供人員無論位於任何地點，可以安全地存取任何數位服務與應用程式，為未來趨勢。</p> <p>其實，零信任安全架構不是一個新概念，早在2010年，Forrester在研究報告中首次提出「零信任」概念；至2014年，開始有雲端業者在自家服務中實做零信任架構，那就是Google雲端推出的BeyondCorp專案，聚焦解決雲端服務的安全網路存取問題；再到去年，NIST發布SP800-207 ZTA，強調信任必須持續評估認證。</p> <p>以往企業以防火牆作為邊界，保護內網安全，在面對遠端工作者的連線需求時，徐富桂表示，企業會在防火牆上打一些洞，讓遠端工作者以VPN連回牆內，與牆內人員取得一致的權限與保護。</p> <p>然而，隨著遠端工作者數量上升，再加上搬遷應用和資料上雲端或IDC機房的需求成長，徐富桂歸納了企業面臨的3項網路邊界防護上的挑戰。首先，大量遠端工作者以VPN回連，造成網路流量暴增，進而影響存取速度；其次，網路上增加不同類型的使用者，包含IoT設備、第三方供應商等；第三，企業大量部署雲端服務、資料中心，而不同使用者須有不一樣的權限與存取保護。</p> <p>徐富桂表示，零信任網路架構概念從以「網路」為中心，走向以「人」為中心，進行存取控制，他進一步道，零信任以「應用安全」為目標，「最小存取權限」為手段，在不可信的網路環境中，以使用者身份為核心，控制、管理基於認證和授權的存取，來重構可信任、安全的網路框架，解決因網路環境開放、使用者角色複雜，而引發的各種身份安全風險、設備安全風險和行為安全風險。</p> <p>實際做法是，「不信任任何遠端連線要求，」包含應用程式執行、資料存取、網路使用等，都需經過嚴格的身分、設備認證，而認證過程需要縝密的政策設定，徐富桂指出，這不同於以往網路邊界通過辨識IP、MAC Address，來確認遠端連線的可信任性。</p> <p>如何訂定政策？徐富桂提到可以參考NIST發布的SP800-207。為了使策略引擎能夠做出合理的存取決策，企業須收集多項評估依據，包含用戶身分、設備類型、設備運行狀況、應用程式類型、數位簽章證書等資料，才能進行身分驗證和合理存取授權的主題微網段組合。徐富桂表示，政策需隨時動態調整，是零信任網路安全架構的核心。</p> <p>市調機構MarketsandMarkets發布的全球零信任網路安全架構市場調查報告，也反映企業對零信任網路安全架構的需求，正快速成長。根據MarketsandMarkets的調查，全球零信任網路安全架構相關市場成長快速，預測2020年至2026年的年複合成長率將達17.4%。</p> <p>去年該市場規模為197億美元，所以待2026年，市場規模推估可達516億美元，其中，以人員帳號安全和資料安全相關解決方案的市場占比最大。徐富桂表示，這兩個面向的解決方案相對成熟，所以，市場占比相對大。</p> <p>零信任安全市場未來成長可期，臺灣資安廠商也沒有缺席。徐富桂表示，已看到有廠商投入人員帳號認證、網路安全、資料保護、整合ZTN方案等面向相關機制的開發，他也進一步點出臺灣廠商的2大機會。</p> <p>第一，在統一用戶、設備的身分驗證機制上，他認為，臺灣廠商仍有機會投入，以「人」為中心，建立多因素身分認證機制；第二個機會是在應用安全上，他認為，臺灣廠商有機會從邊緣端切入，建立零信任安全網路存取代理，作為使用者端與伺服器端的中繼</p> <p>另外，打造以AI為中心的零信任大腦，來主動推斷網路安全政策、人員、設備等的信任狀態，目前是零信任網路架構技術重要的演進方向。徐富桂表示，雲端服務大廠是投入該方向開發工作的主要業者，但，這個技術發展的方向值得臺灣廠商關注。</p> <p>且徐富桂強調，零信任網路安全架構涉及身分驗證、網路安全、資料安全、安全分析等眾多面相，單一業者的產品無法完整涵蓋所有面向，所以，各產品有待整合，因此，他認為，不同業者通過開放API協作，是未來趨勢。文◎黃郁芸</p> </div></div></div>
2021/5/6 01:29作者黃郁芸https://www.ithome.com.tw/news/144213
建立服務信賴感也有專業
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2016年，Google在舊金山碼頭旁倉庫，舉辦了第一次的全球雲端用戶大會NEXT 2016，其中有場特別的演講，Google儲存SRE團隊第一次對外亮相，吸引了滿滿的聽眾，我也是其中之一。</p> <p>Google的使命是彙整全世界的資料，也打造出許多上億人，甚至是十億人使用的服務，如何確保這些服務的運作如常，Google很早就有一套自己的做法，就稱為網站可靠性工程（Site Reliability Engineering），簡稱SRE。</p> <p>早在2003年，Google就設立了第一個SRE團隊，現任Google工程副總裁Ben Treynor Sloss當時負責Google搜尋服務的全天候維運工作，他提出了SRE維運理念，將「可靠性」視為「任何產品設計的最基本概念。」</p> <p>但是，一直要到2016年，為了搶攻企業雲端市場，Google才開始對外公開，甚至大力推廣這套SRE方法論，還找來70名SRE團隊成員彙整了500工作年的第一手維運經驗，寫成了一本書《網站可靠性工程：Google的系統管理之道》。</p> <p>那天登場的是Google儲存服務SRE部門總監Melissa Binde，她的團隊負責維運Google雲端平臺中，所有與儲存有關的服務，像是Bigtable、SQL服務、GCS等。</p> <p>Melissa Binde第一句話，就吸引了全場目光，「突然發現Gmail用戶能看到他人信件內容，若你是Gmail維運人員，該怎麼辦？」她說：「正確答案是立刻關掉Gmail。」全場一片譁然。</p> <p>不用通知主管，不需經過層層通報，就算這名維運人員只是剛拿到第一個月薪水的新人，只要他擔任SRE，「為了保護Google，SRE維運人員擁有做任何決定的權力，甚至必須關閉整個Google.com網站，公司高層都會支持。」一句話，點出了SRE職務對Google的重要性和影響力。</p> <p>Google將網站或服務的可靠性，提升到前所未有的高度，甚至有一整套的工程方法和人員組織方式，就是要確保自家服務的正常運作，這是Google自家管理產品可靠度的方法，用來創造出一種「雲端服務永遠都會在」的使用者信賴感。</p> <p>後來許多大型網路公司，科技公司競相仿效Google成立了SRE團隊，甚至隨著數位服務、數位經濟當道，許多大型傳統企業，也導入SRE來確保自家網站、數位通路、主要產品App的正常運作。</p> <p>甚是不少積極發展數位金融的銀行，就像新加坡星展銀行，2019年也決定擁抱SRE，他們稱為SRE轉型，將其視為是數位轉型之後的下一個轉型戰略。「星展要將SRE視為一種規範，內化為星展的DNA。」星展集團企業架構暨SRE資深副總裁Harpreet Singh這樣對我們說。星展是全球金融界，第一批擁抱SRE的銀行。</p> <p>星展集團找來各技術部門主管，如企業架構、資安部門、應用系統團隊、基礎設施團隊的主管，共同建立了一套自己的SRE發展藍圖，提出8大SRE準則，作為各部門落實的指導原則，還自行開發了多種SRE工具，例如自助式混沌工程（Chaos Engineering）服務Wreckoon、容量規畫預測AI模型、錯誤預算工具等。光是這些工具就節省了近百萬小時的維運和開發時間。</p> <p>但是在臺灣，前幾年，只有網路科技公司，開始嘗試這個國外火紅的維運新方法，直到去年，開始有大型金控、零售通路，甚至今年，還看到了高科技製造業要招募SRE工程師，來維運部署在K8s上的製造生產系統，就怕系統故障影響了產線運作。SRE也成了製造業確保產線正常運作的方法。</p> <p><a href="https://www.ithome.com.tw/article/144124" target="_blank">這一期封面故事</a>，正是介紹這一股SRE風潮開始吹進臺灣，我們不只跨海專訪新加坡星展集團SRE負責人，還歸納臺灣SRE的先行者直播平臺17Live集團和Line臺灣的SRE經驗，一窺他們如何建立網站服務信賴感的SRE專業心法。</p> <p><a href="https://www.ithome.com.tw/article/144124" style="font-size: 16px;" target="_blank"><strong><span style="color: rgb(51, 153, 255);">相關報導請見</span></strong></a><a href="https://www.ithome.com.tw/article/144124" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1023-28-%E5%B0%81%E9%9D%A2P1-OPEN-960X420.jpg" style="width: 400px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B6%B2%E7%AB%99%E5%8F%AF%E9%9D%A0%E6%80%A7%E5%B7%A5%E7%A8%8B">網站可靠性工程</a></div><div class="field-item odd"><a href="/tags/google">google</a></div><div class="field-item even"><a href="/tags/sre">SRE</a></div><div class="field-item odd"><a href="/tags/site-reliability-engineering">Site Reliability Engineering</a></div></div></div>
2021/5/6 07:00作者王宏仁https://www.ithome.com.tw/voice/144114
【臺灣資安大會直擊】5G最大價值在垂直場域，NCC正研擬5G專網管理辦法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內正加速5G網路建設，隨著網路涵蓋率逐漸提升，不少企業對5G專網(5G private network)感興趣，其中政府準備釋出專頻供企業架構專網，目前已有業者展開實驗。今年資安大會第二天主題演講中，NCC委員孫雅麗揭露，NCC正研擬專網管理辦法，並提醒外界應正視專網潛在的資安風險。</p> <p>全球行動電信市場從2020年加速步入5G時代，臺灣也在2019年首次啟動5G頻譜釋出作業，2020年初完成頻譜釋照，去年6月底中華電信搶下頭香，搶先其他業者之前先一步提供5G服務，爾後，其他電信業者也在下半年間先後開臺，臺灣行動通訊市場正式邁入5G時代。為了讓5G儘快普及，今年政府祭出數百億元的5G標金，補助電信業者加速基地臺建設，以加速加量方式，期望能擴大國內5G網路涵蓋。</p> <p>儘管5G帶來比4G更快的網速，讓消費者在追劇、玩遊戲、直播有更好的體驗之外，但5G的潛力不僅於此。「5G是一種賦能科技，是帶動產業數位轉型的驅動力。5G通訊的最大價值在於垂直場域，包括智慧工廠(Smart Factory)、智慧健康(Smart Healthcare)、智慧城市(Smart City)等各種Smart X的智慧化應用」，孫雅麗說。</p> <p>外界多看好5G在非公眾網路(non-public network)潛力，即在企業的特定場域中建置5G專用網路。3GPP對非公眾網路定義為供專屬單位(例如企業)單獨使用，以虛擬或實體方式組態布建，可以布建為完全獨立網路，或是公眾電信網路(PLMN)或以公眾電信網路切片提供非公眾網路。</p> <p><span style="color:#B22222;"><strong>研擬我國專網管理辦法</strong></span></p> <p>以目前專網的兩種建置方式來看，第一種是以電信業者競標取得的商業頻率及網路提供場域使用，也就是共頻專網，第二種是申請專用頻率，建立完全獨立網路，隔離、自主獨立運作的「行動寬頻專用電信網路」，即專頻專網。其中，第一種布建方式，隨著去年國內電信業者以商業頻率，開通5G服務，目前已開始提供5G共頻共網服務，而第二種方式，行政院在2019年拍板定案，準備在2020年到2021年之間釋出，規畫釋出4.8到4.9GHz的100MHz頻寬，國內已開放申請進行PoC的場域實驗。</p> <p>按現行電信管理法，依是否使用專頻專網，有不同的監管法規，第一種布建因是以公眾網路提供企業5G網路，按電信管理法規管，而第二種布建方式，因採用專頻專網建置專用的電信網路，NCC正擬定行動寬頻專網管理方法，以訂定企業專頻專網的義務及責任。</p> <p><span style="color:#B22222;"><strong>現行法規對專網使用的限制</strong></span></p> <p>孫雅麗透露制定中的行動寬頻專網管理方法部分方向，例如現行的電信法規對專網使用設有限制。依據電信管理法，原則上，專用電信網路是不能連接公眾電信網路，或是設置目的之外的使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-1035-%E5%AD%AB%E9%9B%85%E9%BA%97_210506_0-2.jpg" style="width: 600px; height: 400px;" /></p> <p>儘管如此，企業如果在臺北、高雄兩地各自建設專網，中間以VPN虛擬專線作為兩地專網的通訊，孫雅麗認為，因VPN連線至internet接取企業網路，並沒有透過internet連接第三地或其他服務，用途僅在不同專網間的通訊應無禁止的必要。</p> <p>而上下游供應鏈間使用多個專網，彼此間以VPN連接交換資料，因用途僅作為企業與企業之間，不同地點的通訊，孫雅麗表示，未來在行動寬頻專網辦法中，沒有禁止連接公眾網路的必要。</p> <p>而企業在雲端進行資料分析的需求之下，將資料蒐集儲存在雲端，中間需要連接公眾電信網路進行數據傳輸，考量到可能是企業運作的方式之一，依照電信管理法第50條第5項，得由NCC以專案核准方式，同意企業專網連接公眾電信網路。</p> <p>另外，企業布建專網及管控也有不同的方式，例如5G基地臺、MEC、核心網路等設備都建置在大型企業的場域，由企業自行管理維運，或是5G基地臺、MEC、核心網路等設備都建置在企業的場域，但維運管理都在雲端，委托給業者，中小型企業的布建方式，將資料傳輸留在場域，控制及管理都在雲端。</p> <p>在電信業者以商用頻段提供企業專網服務(國內為3.5GHz及28GHz兩個頻段)，電信業者主要提供4種共頻專網建置方式，包括以網路切片提供專網，只在企業場域建置基地臺，以及在企業場域建置基地臺與MEC，還有在企業場域建置完整的基地臺、MEC、核網的小型獨立網路。</p> <p>孫雅麗指出，未來在擬定專網管理辦法時，應將企業運作及布建的方式一併納入考慮。</p> <p>NCC也同時參照國際上各國對5G專網的監理做法，例如法國、德國、香港、英國、日本釋出的專頻專網頻段，有的地區釋出低頻段，也有的釋出高頻段供專頻專網使用，各國對專頻專網的監理政策也有差異，例如排除取得商用頻段的電信業者或全國性電信業者申請，專網的網路涵蓋範圍，以及是否能連接公眾電信網路等等。</p> <p><span style="color:#B22222;"><strong>應重視5G專網相關的資安議題</strong></span></p> <p>然而，孫雅麗認為，各國對專網的法規及監理做法上缺少一塊拼圖，那就是對資安議題的重視。</p> <p>她以總統過去提出的資安即國安1.0為例，政府投入資源，確保8大關鍵基礎設施的資通安全，但有不少資安事件發生在私部門，如同總統所言，公私領域協力合作變得很重要，特別是對國家而言，重要的產業，資安的維護更是重中之重。當進入數位時代，數位升級，完全自動化及智能化，所曝露的威脅和風險將會更大。</p> <p>未來有幾個值得重視的資安議題，例如在5G專網下，如何確保連接專網的用戶裝置(User Equitment, UE)是安全的，可被信賴的，在5G的大規模連網、低延遲特性下，用戶可能並非是人，而是機器設備，企業要如何確保接入專網的設備是安全的、來自可信賴的供應鏈，設備裝置上執行的應用是否安全。</p> <p>UE的安全性，有兩項重要的議題：如何避免不被授權的裝置連結5G專網？如何在5G專網中驗證連結裝置？</p> <p>第一個議題衍生相關的問題，例如，過去由電信商提供SIM卡，以作為用戶身分識別的依據，未來在5G專網下，SIM卡可能更換頻繁，如何確保SIM卡的製作是安全的？或是合法的SIM卡轉至非法的設備使用，還有SIM卡可能被複製，濫用於存取5G專網等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC03929-1.jpg" style="width: 600px; height: 399px;" /></p> <p>第二個議題則關係到裝置的身分認證機制，目前已有一些建議採用PKI的身分認證架構。</p> <p>至於5G的大規模連結，帶動大量的IoT裝置連結5G專網，應如何確保IoT裝置的身分安全？孫雅麗建議採Security by design的思維，採用Root of Trust（RoT），尤其是獨立硬體如安全元件，從根本上確保IoT裝置的身分安全，從硬體、韌體向上到作業系統、應用、數據，層層建構信賴鏈(Chain of Trust)。</p> <p>未來，5G帶動萬物聯網，但IoT裝置布署環境多變且複雜，其資安防護不比IT設備，使裝置曝露更多的安全威脅，更易受到攻擊，她引用NIST的文件，未來在物聯網時代，IoT設備製造商對裝置的安全是有責任（例如設計安全元件、修補漏洞），並非單靠使用者自己去防護。</p> <p>另外，企業5G專網，如涵蓋室外的環境，則容易受到節訊號壅塞攻擊（Signal Jamming Attack），大量的非法訊號阻斷攻擊，可能使得仰賴5G專網的工廠自動化被癱瘓。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC03939-3.jpg" style="width: 600px; height: 399px;" /></p> <p>目前國內即將釋出的專頻專網，正在公開徵詢意見中，基於企業及業者的需求，政府也規畫3.7到3.8GHz（實驗頻譜）的專頻。「5G標準仍在持續演進中，未來期待5G成為帶動國家發展的重要驅動力」，孫雅麗說。</p> </div></div></div>
2021/5/6 04:26作者蘇文彬https://www.ithome.com.tw/news/144215
NumPy與海龜繪圖
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去有段時間，我對資料運算都不太有慧根，最大的原因在於，我總認為自己沒有什麼需要分析的資料，雖然介紹NumPy工具之類的文件或書籍，會使用一些開源或虛擬的資料集，接下來就是一連串的資料處理流程，然而，那些並不是我的需求。</p> <p>而我始終的疑問就是，資料處理的需求本身，真的會直接面對資料嗎？</p> <p><span style="font-size:28px;"><strong>Matplotlib與海龜</strong></span></p> <p>不久前，我接觸到陣列程式設計的觀念（參考先前<a href="https://www.ithome.com.tw/voice/143745" target="_blank">專欄〈陣列程式設計〉</a>），於是，我重新以這個典範來認識NumPy，在資料運用上，算是有了些手感，因為我沒什麼想分析的資料。</p> <p>另一方面，也基於個人的興趣，我突發奇想，試著用NumPy典範，以及Matplotlib，來實作繪圖相關的議題，而為了能夠在Matplotlib進行繪圖處理，因此，我必須透過NumPy，來產生繪圖時所需的相關資料。</p> <p>事實上，有些繪圖上必要的資料，可以來自另一筆資料的轉換，像是Perlin噪聲，是從座標資訊轉換為噪聲值。</p> <p>然而，有些需求就不是這樣了，像是實現海龜繪圖，舉例來說，Python內建的turtle模組，提供了海龜繪圖的實作，若匯入turtle全部的函式後，以下可以畫出星狀圖：</p> <p>for _ in range(37):</p> <p> forward(200)</p> <p> left(170)</p> <p>想試著用Matplotlib來繪出相同圖案的話，直覺上是用plot畫出線圖，這需要收集海龜每次移動後的座標資訊。</p> <p>暫且不管NumPy的話，這個需求並不難，我們可以在上面的for迴圈中，透過turtle模組的pos函式取得座標，將座標收集在list，之後，從中將x座標與y座標分離出來，作為plot兩個軸的引數，就能在Matplotlib畫出相同的星狀圖。</p> <p><span style="font-size:28px;"><strong>NumPy與海龜</strong></span></p> <p>海龜繪圖一開始看似沒有資料，然而方才簡單的分析初步找到了資料的來源，也就是海龜的座標資訊，接著，我們要將座標轉換為x軸與y軸，可以用for迴圈來處理，或者透過NumPy。</p> <p>例如，如果將座標收集在coord，此時，我們可以使用arr=np.array(coord)，來建立NumPy陣列，而這麼一來，arr[0:,0]就會是x軸資料，arr[0:,1]就會是y軸資料。</p> <p>但是，在我看來，這不夠NumPy，因為那個for _ in range(37)用到了迴圈，而我想消除迴圈的使用。之所以要避免迴圈的意義，其實，是在於想要儘量透過Universal函式來處理資料，也就是獨立地看待每一筆資料。</p> <p>只不過，為了能透過Universal函式，表示在操作海龜前，還須有一筆資料作為來源，這該是什麼資料呢？</p> <p>觀察上面的程式，你迭代了37次，而每次迭代會取得一次海龜座標，也就是說，實際上，是將數字0到36逐一轉換為海龜座標，因此，一開始的資料來源，就只是s=np.arange(37)。如果我們使用以下的程式片段：</p> <p>def fd_lt(_, leng, a):</p> <p> forward(leng); left(a)</p> <p> return np.array(pos())</p> <p>fd_lt = np.frompyfunc(fd_lt, 3, 1)</p> <p>coord = np.array(fd_lt(s, 200, 170).</p> <p>tolist())</p> <p>就可以不透過迴圈取得coord了，如果fd_lt不是你實作的，只要將之視為黑箱，當它是個接受引數、傳回運算後結果的函式，就可以了；只不過fd_lt是我實作的，它使用了forward、left、pos，讓我感覺是有點作弊的方式。</p> <p>畢竟，前兩者是有副作用的函式，改變了內部海龜的狀態，而且，實際上也沒用第一個引數，這些在我看來，都……很不NumPy！</p> <p><span style="font-size:28px;"><strong>轉換為向量資料</strong></span></p> <p>所謂很不NumPy的意思是，forward、left看來只是指令，並不像是在做資料的處理與轉換，如果我們想變得更NumPy一些，就要設法知道forward、left對於海龜的狀態做了什麼，也就是，必須先定義海龜的狀態。</p> <p>海龜狀態基本上要有目前的座標與方向，在資料的表現上，我們直覺會想到，座標是二維座標，而方向用角度來表示，不過，採用向量來表現，將會變得更直覺，也就是，關於座標與方向，我們都用向量來表現。</p> <p>這是因為進一步地，位移也就可以使用向量來表示，新座標就是座標向量與位移向量相加後的結果，想要得到位移向量的話，方向向量若是單位向量，只要乘上前進的長度就可以取到，而海龜在旋轉時，會改變方向向量，方向向量的旋轉可以藉由乘上旋轉矩陣來得到。</p> <p>也就是說，forward、left指令，其實可以轉換為一連串的運算，而如果我們將一切組合起來之後，就可以將s=np.arange(37)以純計算的方式，轉換為x軸與y軸的資料：</p> <p> angle = s * 170</p> <p> dx = 200 * np.cos(angle)</p> <p> dy = 200 * np.sin(angle)</p> <p> x, y = np.cumsum(dx), np.cumsum(dy)</p> <p>單就繪製星狀圖而言，分析到這邊就可以了，只不過談到海龜繪圖，進一步地會令人想到碎形，如果我們想以海龜來繪製碎形，往往又會涉及遞迴，然而，遞迴的運用在概念上，與使用了迴圈類似，但就NumPy風格而言，應該避免，這時，我們該怎麼做？</p> <p>其實，指令本身可以看成符號，符號其實是一種資料，遞迴則是代表著符號的擴展，而這就讓我想到了L-system（可參考先前<a href="https://www.ithome.com.tw/voice/137795" target="_blank">專欄〈碎形與L-system〉</a>）。</p> <p>例如，遞迴樹的L-system，可以從X開始，以規則X→F[+X][-X]擴展，若擴展為F[+F[+F][-F]][-F[+F][-F]]，就可以進一步想辦法對應至資料處理，最後得到x軸與y軸的資料。</p> <p><span style="font-size:28px;"><strong>一切皆為資料</strong></span></p> <p>使用NumPy這類資料處理工具，並不在於API如何使用，而在於如何重新看待需求。</p> <p>有時，你會直接面對資料，然而，我們必須重新看待資料處理的過程，而透過陣列程式設計的典範來約束，可以是這個過程中非常好的輔助。</p> <p>不過，有時你面對的需求，似乎不是直接面對資料？其實，並非如此，確切地來說，你只是沒看出資料在哪，畢竟在電腦中，一切都是資料。</p> <p>就陣列程式設計的典範而言，也是「一切皆為資料」，只不過找出資料前的分析過程，往往會比實作程式來得耗費時間。</p> <p>這時，若我們只想使用NumPy的部份特性（像是廣播機制），或者方便的API來解決需求……基本上，這本身並不是難事，卻會失去進一步認識需求，或理解資料的可能性。</p> <p>找出資料前的分析、將一切視為資料的過程，雖然耗費時間，卻有機會更深入地思考、挖掘需求或更多資料，也會是使用NumPy這類工具真正有趣的地方。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/numpy">Numpy</a></div><div class="field-item odd"><a href="/tags/%E6%B5%B7%E9%BE%9C%E7%B9%AA%E5%9C%96">海龜繪圖</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/matplotlib">Matplotlib</a></div></div></div>
2021/5/6 05:00作者林信良https://www.ithome.com.tw/voice/144115
靠AIoT和5G邁向智慧校園，逢甲還要用雲端彈性化IT架構
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>逢甲大學今年有一個大目標，要打造出一個5G實驗場域，不只是供校內開發智慧城市防救災、智慧工廠等5G應用，甚至未來還要能開放企業研發之用。但是，要達到這個目標可不簡單，除了架設起傳輸速度更快的5G通訊架構，還要有IoT技術能力，才能蒐集到各種裝置端數據，同時還需建立AI運算基礎架構，來滿足校內各類AI開發與資料分析的需求。</p> <p>早在幾年前，逢甲就展開一系列布局，2019年著手打造了IoT平臺與AI運算環境，受到疫情衝擊也沒有停下腳步，今年更啟動了5G專網架設，要完成智慧應用開發的最後一哩。</p> <p>要讓這些新興技術落地，背後靠的是一支56人的IT團隊運籌帷幄，領軍者正是逢甲大學資訊處資訊長王履梅。</p> <p>不像許多大學資訊長身兼教授的身份，每周還是得進行教學或研究，王履梅是專責的資訊長，能將全部心力投注在資訊事務的推動。她率領的這支資訊團隊，不僅人數規模比一般大專院校更為龐大，業務上除了支援了校內行政、教學與研究三大IT服務，更有一隊11人小組，專門負責對外技術服務的提供。換句話說，逢甲IT不只服務校內，更是中臺灣資服業者之一。</p> <p>在2019年上任資訊長之前，王履梅也曾在逢甲產學合作處服務，經手全校各單位分別對外承接的大小專案，管理了每年上看8～9億元的委辦及補助計畫。這些管理經驗，都成為她領導資訊團隊的一大助力。比如處理各種產學合作案件時，能深入了解不同教師在執行計畫過程中，遭遇了哪些難題，後續接任資訊長後，更能從IT角度來協助計畫執行；同時，在產合處接觸大量教師，後續推動資訊服務時，也更能貼近第一線使用者的需求，對於教學、研究類資訊服務的改善，帶來不同角度的視野。</p> <p>「在產合處了解到老師們執行計畫的痛點，後來提供IT服務就會更到位。」比如逢甲近兩年建置的全校AI基礎架構與申請機制，就是王履梅看到教師對運算資源的需求日漸增加，決定建立的服務，更奠下日後智慧校園的發展基礎。</p> <p><span style="font-size:28px;"><strong>打造全校AI基礎架構與申請機制，助AI研究發展</strong></span></p> <p>王履梅觀察到，老師們過去從事AI研究，時常需要自行採購運算資源，但各系所經費有限，採購的設備不一定可以滿足專案的算力需求，設備管理需要不斷電的機房提供24小時維運，也增加了經費與人力成本，而且，各系所自行採購的運算資源，也難以與其他系所共享。這些挑戰，導致光是AI運算架構的建置，就成為研究執行的一大阻礙。</p> <p>看到這個痛點，逢甲資訊處一肩扛起打造全校性AI運算架構的重任，學校機房集中布建全校共用的GPU運算資源。過程中，資訊處也取得了教師們的共識，來加速計畫的施行，「老師們逐漸認同，由IT來建置並維運AI基礎架構的優勢，透過各司其職、資源共享的做法，來發揮最大的效益。」王履梅說。</p> <p>不過，建置好AI硬體環境後，更大的挑戰，在於如何讓不諳AI技術但有應用需求的教師，也能順利進行研究？因為除了電機、資工這類科系的教授之外，校內還有如從事建設、土木、水利、GIS研究的教授，以及工學院從事智慧製造、商學院從事商業分析課題的教授，大多並不具AI開發經驗。</p> <p>為了降低教授們開發AI應用的門檻，逢甲資訊處自己跳下來，向硬體設備供應商及校內AI專家取經，不斷學習並內化AI環境建置與操作經驗，再進一步協助個別教授，依據對方的需求建立起AI研究環境。</p> <p>過程中，資訊處不只準備需要的虛擬機環境，協助安裝不同的AI開發軟體、編譯器，也會評估教師申請的運算資源，是否符合專案需求，比如有些教師申請了GPU，但其專案可能CPU就夠用了，就會建議他們調整。另外，資訊單位也建立了校內的AI開發社群，讓老師相互交流、分享AI開發經驗。</p> <p>除了準備AI運算資源，校內各類資料的蒐集，也是AI應用的一大關鍵。為此，逢甲建立起一個集中式校務資料儲存的關聯式資料庫，來蒐集兩大類資料，一是線上交易處理資料（OLTP），蒐集後會依照資料分析的屬性，來建立資料倉儲，以利後續更容易取用；另一類則是近兩年，導入了市售IoT平臺，開始蒐集校內特定場域的物聯網資料。</p> <p>王履梅指出，之所以能整合大量資料到集中式資料庫，原因是逢甲校務系統大多自行開發，較能自己客製化來取出數據，與原有的資料來比對整合；後續進行AI研究，資訊處也能快速配合研究主題，提供相應資料。</p> <p>比如說，逢甲資訊處與AI研究中心有項專案，要透過過去30年累積的資料，進行學生休退學的關鍵因子分析。資訊處提供的相關資料，包括學生成績、課堂表現、出缺席等學習行為資料，學生參與社團等課外活動資料，還有學生登入校內平臺使用線上服務的情形，都能用來建立與休退學之間的關聯性。</p> <p>王履梅表示，這項研究已經有初步成果，預計在今年，就會將這項分析機制結合到系統中，若自動偵測到學生的行為模式有異狀，就會提醒教師盡早介入與關心。</p> <p><span style="font-size:28px;"><strong>IoT平臺擔任數據蒐集要角，結合AI、5G奠下智慧校園基礎</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 250px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/280%2B%E8%A1%A8%E6%A0%BC-%E7%8E%8B%E5%B1%A5%E6%A2%85-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 280px;" /></td> </tr><tr><td> <p><strong><span style="color:#696969;">逢甲大學資訊處資訊長王履梅表示，IT統一建置</span></strong><strong><span style="color:#696969;">和維運AI基礎架構的優勢，不只能發揮IT專長，</span></strong><strong><span style="color:#696969;">更能透過資源共享發揮硬體資源最大效益。　</span></strong><span style="color: rgb(105, 105, 105);">（攝影／洪政偉）</span></p> </td> </tr></tbody></table><p>不只在校務研究方面有所進展，逢甲建置的IoT平臺，也在邁向智慧校園的路上扮演關鍵角色。比如逢甲前年在電腦教室設置了空氣盒子，原先是要透過空氣品質的監測，提供良好舒適的環境，來提升學生的學習成效，但在疫情爆發後，為了增加空氣流通來避免群聚感染，逢甲更擴大蒐集教室內的空氣品質資訊，同時在部分教室中，試行自動監測並觸發空氣交換器的機制，預計等試驗結束後，擴大布建到其他教室中。</p> <p>逢甲也不只蒐集空氣品質數據，從資訊相關設備比如主機、無線存取點（Wireless AP），到所有門禁系統的資料、電錶資料，還有教室內的電燈、冷氣等設備，都布建了IoT裝置，一方面提供行政管理使用，另一方面也能作為師生研究與教學用途的資料來源。</p> <p>建置IoT平臺後，逢甲訂定了一個物聯網管理辦法，要求所有新購設備應優先考慮具有IoT的功能，且必須先向資訊處申請，使用另一個獨立於校園網路的IoT專用網路，來進行資料傳輸，除了讓所有IoT設備蒐集的數據，都能連到同一個平臺中，透過更高安全性的資安防護措施，也能降低IoT設備受到攻擊的風險。</p> <p>比如說，逢甲今年計畫更新校內部分監視系統，同時將監控設備連網，整合各種系統規格的監視影像到同一個平臺中。過去校內各單位自行採購了不同的監控系統，影像資料分散儲存在各自的平臺，但在未來，逢甲資訊處計畫透過單一OT平臺來蒐集所有監控影像，不僅資料取得更方便，也能藉由更全面影像資料的掌控，來保障校園安全。</p> <p>近期，逢甲也宣布打造校內5G專網，除了要利用硬體建設的開發，讓校內的通訊、資工等5G設備相關系所，能在此進行教學與研究，更將結合IoT數據與AI的運用，讓其他如都市計畫與空間資訊學系、建築系等5G技術應用系所，也能進一步透過新一代通訊架構，開發結合自身專業的應用，補足智慧應用開發的最後一塊拼圖。</p> <p>王履梅指出，逢甲的智慧校園藍圖，不只是要建立起各項智慧應用開發的基礎建設，也要從資料找出洞察，改變校園的管理方法，比如透過IoT平臺的建置，提升對OT設備的掌握；或是運用AI來進行校務分析，找出過於繁冗的行政流程並進一步改善；更重要的，是要在學生的學習歷程中，透過資料來反映學生需求，讓老師有機會針對每位學生提供適性化教育。</p> <p><span style="font-size:28px;"><strong>疫情促IT策略轉變，將更善用公有雲打造彈性IT架構</strong></span></p> <p>在推動智慧校園的同時，逢甲也開始積極擁抱雲端。2018年開始，逢甲將全校學生電子郵件，從原先的Mail2000轉換為微軟O365信箱，並提供One Drive個人儲存空間，也將教師及行政人員常用的辦公室軟體Lotus Notes，其中Notes開發的應用系統功能，整併到逢甲的個人化資訊入口MyFCU，協同合作與訊息傳遞功能，則以Teams來取代，可說是擴大公有雲服務採用的一年。</p> <p>不只是用戶端服務的汰換，逢甲資訊處也從2018年開始，嘗試將部分資訊服務搬上公有雲，今年2月已將全校網頁服務，改用雲端來提供。</p> <p>資訊處也正在規畫，要將教學平臺iLearn往雲端搬遷，來因應期中、期末考前學生的爆量使用需求，像是將三層式架構中的應用程式伺服器（AP Server）上雲，要利用更彈性的雲端擴充機制，來克服瞬間爆量的流量負載。</p> <p>不過，王履梅表示，AP Server上雲後還得評估，雲端伺服器讀取地端資料庫時，如何維持與過去相同的效能；或是比較雲端與地端的建置成本效益，做為更多校務系統上雲規畫的參考。</p> <p>去年疫情爆發，也加速了逢甲對於公有雲服務採用。比如說，為了在短時間內快速擬定遠距教學的配套方案，逢甲落實了透過雲端視訊服務來進行遠距教學，更為了難以連上教學平臺、無法操作校內授權軟體的境外學生，運用公有雲建立起獨立的虛擬環境，讓學生自行安裝相關軟體來配合線上教學使用。</p> <p>過去，逢甲IT大多仰賴自行開發，較少採用現成的公有雲服務或市售資訊系統，但在經歷了這次疫情帶來的緊急應變情境後，王履梅重新反思了逢甲的IT策略，尤其在外部資訊服務採購上，應在具備自行開發系統的能力之餘，也要兼容外部系統服務的應用。</p> <p>「公有雲服務不是想用就馬上能用，需要學習如何使用，也要評估該如何採用。」王履梅坦言，這次疫情讓資訊處體認到，逢甲平時就需要培養熟悉公有雲技能的人才，在面臨短時間上線的壓力時，才能快速採購公有雲的資源，打造更彈性的IT服務架構。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> CIO小檔案 </span></span></strong></p> <p><strong>逢甲大學資訊處資訊長王履梅</strong></p> <p>學歷：東海大學工業工程與經營資訊學系博士</p> <p>經歷：從1992年起進入逢甲大學資訊處，擔任過專案經理、研究發展組組長、副資訊長，2014年從副資訊長卸任後，轉而進入產學合作處，5年之間擔任過技術授權與商業化中心主任、共同貴重儀器中心主任、研究推動組組長等職務，而後在2019年回到資訊處，升任資訊長一職至今</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 機關檔案 </span></span></strong></p> <p><strong>逢甲大學</strong></p> <p>● 地址：臺中市西屯區文華路100號</p> <p>● 成立時間：1961年</p> <p>● 全校教職員人數：1,600人</p> <p>● 學生人數：21,059人（2020年）</p> <p>● 校長：李秉乾</p> <p>● 董事長：高承恕</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資訊部門檔案 </span></strong></p> <p>● 資訊部門名稱：資訊處</p> <p>● 資訊部門人數：56人</p> <p>● 每年IT預算：4,200萬元</p> <p>● 資訊部門分工：資訊處下設處本部、系統發展組、系統維運組、資源管理中心、資訊技術服務中心</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> IT大事記 </span></span></strong></p> <p>● 1969年：電算中心成立</p> <p>● 2002年：改組為資訊處，通過ISO 9001品質管理系統認證，IDC機房正式啟用</p> <p>● 2010年：啟動雲端天籟計畫，發行校園e卡，建構雲機房，實體主機虛擬化，規劃三網共構資訊系統架構</p> <p>● 2011年：行動逢甲App（iOS & Android）上架</p> <p>● 2014年：全校通過BS10012個資管理系統驗證</p> <p>● 2015年：網路教室iLearn 2.0版上線</p> <p>● 2016年：逢甲資訊服務入口MyFCU上線</p> <p>● 2017年：建置行動支付機制與環境，實現無現金校園</p> <p>● 2018年：全校學生電子郵件採用微軟O365 服務，全面使用公有雲資源</p> <p>● 2019年：AI深度學習教學與研究平臺正式啟用，提供GPU運算資源；校園物聯網平臺正式啟用；推出大學個人申請線上評分系統</p> <p>● 2020年：因應COVID-19疫情，導入實時線上教學系統，及開發自主健康管理及體溫量測系統，建置多層次加密技術數位證書查驗平臺</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-wang_lu_mei_-she_ying_hong_zheng_wei_.png" width="960" height="420" alt="" title="逢甲大學資訊處資訊長王履梅　（攝影／洪政偉）" /></div></div></div>
2021/5/6 05:00作者翁芊儒https://www.ithome.com.tw/people/144118
【臺灣SRE實例：Line臺灣】如何確保Line服務天天不中斷，專責SRE扮演開發與維運的橋樑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Line在臺灣每天傳遞的訊息量，多達10億則，臺灣人的生活可說是離不開Line。為了服務超過2,100萬名的臺灣活躍用戶，3年前，Line臺灣工程團隊就擁抱Kubernetes（簡稱K8s），來提升開發速度，以及因應瞬間流量的挑戰，去年，他們更成立一支專責的SRE維運團隊，就是要為各服務的專案團隊找到開發和維運的最佳作法。</p> <p><span style="font-size:28px;"><strong>為何Line決定擁抱SRE？得從2018年K8s導入的故事說起。</strong></span></p> <p>為了管理大量雲端原生應用，Line臺灣展開K8s導入，要透過微服務、容器和DevOps，更即時調度基礎設施資源的需求。</p> <p>當時負責開發新服務Line Now、Line Spot應用的Line臺灣資深工程師蔡智強，率先嘗試K8s，發現擴充彈性確實可以更自由，促使Line臺灣技術長陳鴻嘉決定擴大導入。</p> <p>起初，Line臺灣採取單一叢集的部署策略，各服務共用同一個K8s叢集。然而，陳鴻嘉回顧，這個部署方式，沒有建立一套通用的維運實作範例，導致不同團隊各自調校自身的應用程式時，就可能會影響其他團隊應用程式的運作。後來，各團隊改採自建專用叢集的方式，來避免相互影響，但，專案團隊自建的叢集缺乏穩定度，仍非最佳作法。</p> <p>2019年年底，Line總部在自家IaaS雲端基礎設施服務Verda平臺上，開發了一套K8s平臺提供容器服務Verda K8s Services（簡稱VKS），而VKS平臺穩定性越趨成熟。在2020年第二季時，陳鴻嘉決定把Line臺灣本地容器化開發專案，全部轉移到VKS上，就不需再自行維護底層K8s叢集，且各團隊可在VKS上使用自己專用的叢集。</p> <p>為了降低容器化專案轉移到VKS的門檻，陳鴻嘉成立了DevOps任務小組，找來蔡智強擔任組長，教導各專案團隊派出的種子成員，如何轉移專案上VKS，以及如何使用VKS，並幫助專案團隊解決搬遷過程遭遇的問題，所以，小組還扮演著與總部溝通的統一窗口，收集各種VKS使用問題反饋給總部。</p> <p>然而，考驗緊接而來，越來越多應用搬上容器環境後，不同專案在軟體架構上開始遇到類似的問題，而且都是棘手維運問題。DevOps任務小組開始討論，需要打造哪些工具和維運作法，但小組成員仍各自有專案開發工作，遲遲無法抽身來投入維運工具的開發。</p> <p>陳鴻嘉表示，那時發現，必須有專職維運團隊，才能滿足各專案共同的維運需求。</p> <p>所以，2020年第三季，Line臺灣正式成立了SRE團隊，由蔡智強領導這個專職團隊，來打造共用工具，建立一套維運管理作法，來減少各團隊部署容器化應用的時間，加快開發和交付服務的速度，另一方面，也負責彙整VKS平臺使用狀況，回報總部。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-Line%E6%87%89%E7%94%A8%E9%83%A8%E7%BD%B2%E7%99%BC%E5%B1%95_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Line%E8%87%BA%E7%81%A3.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>為求更即時調度基礎設施資源的彈性，Line臺灣從2018年開始，採用容器來取代VM，先自行建置一套K8叢集，而待總部在基礎設施平臺Verda上，建置了容器服務VKS，去年第二季，更把全部容器化開發專案，搬上VKS，來省去維護K8s叢集的工作，未來，還要進一步轉移所有專案到VKS。</strong>（圖片來源／Line臺灣）</span></p> <p><span style="font-size:28px;"><strong>Line臺灣SRE團隊3大責任</strong></span></p> <p>進一步來看，Line臺灣SRE團隊身負3大責任，第一項是負責開發跨服務共用工具，是現階段主要工作，占了SRE逾一半的工作時間。目前正聚焦觀測（Observability）平臺的開發，再陸續開發追蹤方面的共用工具。</p> <p>第二項責任是支援開發工作。例如在新服務架構設計階段，協助解決架構問題。或是協助評估新開發項目所需的資源，協助規畫未來的容量需求，或幫忙審視新服務中是否有老舊技術債。特別的是，SRE還會與開發團隊討論新服務的開發作法。</p> <p>蔡智強解釋，SRE會提出一些與日後維運有關的開發建議，開發團隊若採用，一旦有狀況發生，SRE才可以快速地介入，觀測服務的運作狀況，找出問題，他強調，統一相同開發需求的作法，才可以用最少的資源，並提供最多的支援。</p> <p>最後一項責任就是，支援維運工作，協助專案團隊處理維運問題，像是調整參數。陳鴻嘉表示，排除問題是SRE的重要工作之一，因為大部分應用程式開發者不熟悉軟體堆疊中，應用層以下每一層的狀況，像是網路層、OS層、容器層等，需要SRE團隊幫忙，在軟體堆疊每一層中找尋問題，再反映給該層的負責人。</p> <p>Line臺灣向來特別重視工程師文化推廣，因此，陳鴻嘉還找來目前領導DevOps任務小組的Line臺灣首席工程師劉栢峰，協助SRE團隊推廣他們建置的共用工具。劉栢峰過去是QA架構師，也熟悉DevOps、CI/CD、自動化測試等，他以長久累積的經驗，把SRE建立的工具和維運作法，串連成一套流程，讓這一套作法更有效率，方便推廣到每一個專案團隊。</p> <p>現階段，Line臺灣SRE團隊已經從DevOps任務小組中獨立出來，但與任務小組間的關係仍密不可分，成員會參加彼此的周會。蔡智強表示，SRE需要知道各專案推行上遇到那些問題，才可以找尋解決方式，或是建立工具、機制來幫助他們，相反地，SRE建立了新工具，也需要DevOps任務小組協助推廣。</p> <h2><span style="font-size:28px;"><strong>SE、SRE和DevOps大不同</strong></span></h2> <p>其實一開始，Line並不是要設立一個專責SRE團隊，而是要設立服務工程師（SE）的角色。但後來陳鴻嘉發現，SE角色同樣也沒有餘力開發新工具。因為SE不只要管理底層基礎架構資源，還要處理許多日常維運工作，或是應用程式工程師的需求，像是準備雲端資源，甚至，服務發生故障時，需第一時間查找問題，所以需隨時待命。</p> <p>陳鴻嘉指出，建立DevOps文化，也涵蓋開發和維運的流程、機制，但這對Line臺灣來說，還不夠，因為應用程式的需求和變化非常複雜，還需要一套標準化、自動化作法。「要達到自動化，就需要最佳實作的範例。」</p> <p>因此，Line臺灣決定在開發者和基礎架構團隊中間，設立專責團隊，也就是SRE，來從開發者角度找出基礎設施資源的運用模式，建立標準程序。陳鴻嘉表示，SRE做的不是服務工程師的工作，不會為服務準備機器，在他的規畫中，SRE應是應用程式工程師與服務工程師之間的橋樑，要建立雙邊共通的作法，並以實現自動化作法為目標。</p> <p>陳鴻嘉形容SRE與DevOps的關係，「如果DevOps是一個架設精緻的時鐘，每一個環節緊密相扣，那麼SRE就是提供源源不絕的動力的軸心，讓每個環節能夠完美結合。」</p> <p>而和SE（服務工程師）相比，蔡智強解釋，SRE聚焦的是，如何訂定服務的可靠性指標，以持續觀測，再進一步來提升每個服務的效能，SRE（服務可靠性工程師）多了R（可靠性），就是將R可靠性放進組織定位中，他強調，可靠性是Line臺灣SRE工作的主軸。</p> <p>特別的是，Line這個SRE團隊的成員，全端工程師比例很高。陳鴻嘉解釋，他期望臺灣工程團隊，要有能力鑽研軟體堆疊底層，也從整體堆疊架構角度來思考所開發的服務，才更容易發覺問題，因此，他從先SRE團隊開始，提高Line臺灣工程團隊的全端工程師比例。</p> <p>另外，DevOps任務小組裡來自各團隊的成員，也肩負了推廣SRE作法的任務，將這些SRE的知識帶回各自的專案團隊，再由擅長全端能力的SRE團隊，從旁協助專案團隊排除問題。</p> <p>陳鴻嘉表示，SRE沒有交付服務功能的時間壓力，可投入更多精神處理專案團隊的問題，他提到，這也是為什麼他沒有交予SRE服務維運待命（On-call）的輪班工作，他不想將SRE變成了SE。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-Line%20SRE%20Team_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Line%E8%87%BA%E7%81%A3.jpg" style="width: 599px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Line臺灣工程團隊有三大組織策略，其中，新建立的SRE團隊扮演著與總部溝通的統一窗口，反饋各專案使用容器服務VKS平臺的狀況給總部，並進一步建立一套各專案共用的維運管理作法，來加快開發和交付服務的速度。</strong>（圖片來源／Line臺灣）</span></p> <p><span style="font-size:28px;"><strong>先打造服務觀測平臺，再統一量測標準</strong></span></p> <p>有了專責團隊，就可以展開SRE共用工具的開發。Line臺灣SRE團隊首先打造的工具就是，可掌握各服務運作狀況的觀測（Observability）平臺，更進一步再來訂定服務統一的監控量測指標，包含可用性、延遲時間等，來持續觀測服務的可靠度，還有收集服務的量測數值。Line也將觀測平臺打包成容器映像檔，讓開發團隊建立新服務時，直接使用，嵌入服務底層中，不需重新開發，還可加快新服務開發速度，減少了自建追蹤機制的開發工作。</p> <p>蔡智強解釋，上了雲端，再加上採用容器取代VM，環境變得非常複雜，一個服務可能有30至50個容器，必須深入服務內，觀察每個容器的運作情況，才能掌握整體服務的健康狀況。陳鴻嘉補充，觀測平臺不是單純的console.log追蹤機制，而是日誌和報表系統間的一種觀測工具。</p> <p>Line臺灣過去缺乏統一的服務觀測方式，導致各專案團隊各自從不同的角度觀測服務，缺少了一致的觀測標準。陳鴻嘉坦言，在管理面上，這個不一致帶來了兩大挑戰，第一，和利害關係人、業務團隊主管溝通系統運作狀況時，缺乏可描述系統穩定性的依據，也缺乏一套比較系統間穩定性差距的統一標準。第二個挑戰是，無法評斷哪個專案團隊的開發效能較好，也缺少最佳實作範例供團隊間相互學習。</p> <p>蔡智強表示，SRE團隊要通過觀測平臺，來量化服務的可靠度。除了從各方面觀測系統數據的變化之外，還要從同一個角度來觀測服務，像是服務可用程度、回應正確率、回應時間都有一致標準時，就可以供專案團隊對內提升可靠度，或是讓團隊間對外比較可靠度。</p> <p>但是，要統一各種服務的觀測標準，不是一件容易的事，每個服務面對的狀況不相同。Line SRE團隊會與業務團隊討論，先找出最有價值產品（MVP），再找出單一服務中最重要的功能，然後，從使用者的角度觀測這些功能，來確認這些服務是不是活著。</p> <p>以觀測網路服務的可用性為例，監控程式會啟動實地測試，掌握連線速度，確認能不能載入服務，再統計單日總測試數中失敗的比例，來了解服務的可用性。目前Line臺灣設定的可用性標準為，至少需達99.95％以上，也就是單日1萬次測試，最多只能有5次失敗。</p> <p><span style="font-size:28px;"><strong>從使用者角度下手，建立業務有感的量測值</strong></span></p> <p>不只是建立觀測標準，陳鴻嘉還期待，SRE要進一步做到，從使用者角度，來量化服務效能或體驗的指標，讓業務團隊也能掌握這些觀測數值所代表的服務實際運作狀況。他解釋，以往與業務團隊溝通服務的可靠度時，像是提出服務延遲時間為0.8秒，然而，業務團隊往往難以了解，這個0.8秒延遲對用戶體驗的影響。為此，Line臺灣工程師早在去年就開始研究Google Web Vitals指標，要來找出如何用指標描述使用者的使用體驗，再進一步連結這些數值和使用體驗間的關連。</p> <p>不過，去年設計觀測標準時，Line臺灣手上缺少了，以相同標準觀測各服務運作狀況的數值，這也是SRE團隊選擇優先打造觀測平臺的原因，就是為了先蒐集足夠的服務運作狀況數據，才能與業務團隊討論，如何訂定從使用者角度出發的量測指標，來媒合使用者體驗與量化數值。</p> <p>目前，Line SRE團隊仍在持續擴充觀測平臺的功能，平臺儀表板功能除了可以顯示服務可靠性的各種觀測指標外，還可以呈現所用機器的記憶體用量、CPU數量等資訊，且因這些容器化服務都部署在VKS平臺，也嵌入了VKS相關指標，包含了節點數量、Pod數量、執行效能等。Line臺灣的目標是，將總部基礎設施和網路的相關數據，全部都整合進這個自建的觀測平臺，方便追蹤更多細節。</p> <p>除了建置觀測工具，SRE團隊還利用開源軟體開發了多種工具，其中，為因應各團隊部署K8s的需求，使用了持續派送工具ArgoCD，結合Git儲存庫，可以做到GitOps。K8s搭配GitOps作法可帶來許多的好處，蔡智強舉例，可以將直接操作K8s叢集的行為最小化，進而降低手動操作造成的叢集不確定因素，還可以追蹤所有叢集的變動及變動的時間點，並可以在同一處管理配置。為了避免發生人工操作的錯誤，來開發更自動化的工具，也是Line SRE確保服務可靠性的一種作法。</p> <p><span style="font-size:28px;"><strong>專責SRE團隊創造三大價值</strong></span></p> <p>Line臺灣SRE團隊成立不到一年，蔡智強表示，但已經帶來了三大價值。首先，專案團隊使用VKS遭遇問題，SRE團隊會收集這些問題與總部討論，找出解決方法。尤其，去年，Line臺灣將所有容器化專案轉移到VKS的初期，遇到了很多除錯需求，許多問題出現在軟體堆疊的底層和中層，都是靠SRE團隊直接向總部反映。</p> <p>陳鴻嘉表示，專案團隊忙於開發應用，沒有時間查找問題，過去沒有SRE作為中介，每次解法就是重新啟動，所以，現集中透過SRE與總部討論問題，不僅可加快問題查找的速度，各團隊也可更快獲得新作法，大大提升效率。</p> <p>VKS平臺上線後，過去一年來持續在擴充，有許多異動，經驗豐富的Line臺灣SRE團隊，除協助自家專案團隊排除VKS的使用問題，反過來也協助了不少總部VKS平臺的優化工作。蔡智強道，總部常開玩笑說，我們是他們的SRE。</p> <p>Line總部建置VKS平臺所用的技術，與Line臺灣早期建立K8s共用叢集的技術類似，兩個團隊經常交流，臺灣SRE團隊也加入了總部VKS維運問題的討論，每周都會討論和交流技術。陳鴻嘉笑言，總部很喜歡我們，因我們不僅常回報問題，且會與他們一起討論、解決。</p> <p>在技術類似的基礎上，Line臺灣SRE團隊有時可直接向總部提供，平臺建置方式的建議，協助提升平臺的效能，有時會提出應用程式開發端在採用K8s上的需求。蔡智強解釋，因總部從建置基礎架構的角度出發，聚焦提升平臺的效能，缺少與專案團隊直接接觸的機會，而會忽略應用程式端的需求。</p> <p>VKS平臺穩定性如今大幅提升，起初，臺灣SRE團隊每周需審視兩到三個VKS事故，如今已下降為，每一兩個月審視一到兩個事故。</p> <p>SRE帶給Line臺灣的第二個價值是，提升工程團隊與利害關係人及使用者的溝通順暢度。工程團隊與利害關係人描述服務的可靠度時，可利用觀測平臺收集的數值，作為依據，不過，SRE仍在持續優化觀測平臺，還有統一量測標準。陳鴻嘉表示，目前還未能完全實現溝通上的價值。</p> <p>第三個價值是，Line臺灣SRE團隊會逐步打造一套容器化服務的統一自動擴充機制，平時就不需再準備眾多的待命機器，進而節省了基礎設施的花費。但是，Line臺灣目前各專案團隊大多採用自己的擴充作法，還沒有完全統一，也常用手動方式來啟動擴充功能，導致擴充速度還不夠快。</p> <p>未來，Line臺灣SRE計畫要整合各服務的共通需求，來訂定出可以自動判斷需擴充容量的一套規則，進一步打造最佳化自動擴充機制，以節省各服務的成本。陳鴻嘉表示，流量峰值瞬間可達平時的20倍，甚至100倍，需隨時準備較平時使用量多10倍的機器待命，有了自動擴充機制後，最少可以省下一半待命機器的數量。</p> <p><span style="font-size:28px;"><strong>解決問題是SRE須具備的核心能力</strong></span></p> <p>問及SRE須具備什麼樣的能力？陳鴻嘉不假思索的回答，「很簡單，那就是解決問題的能力。」他表示，SRE需永遠清楚怎麼找到問題，接著，還需知道如何找解決方案，並思考什麼方案才是問題的最佳解，而不是採權宜措施（workaround），把問題留著，服務能繼續運作就好，「這很危險，問題留到最後，會累積大量技術債，反而隨時會出問題。」他強調，找出問題的根本原因，才能長治久安。</p> <p>成立還未滿一年的Line臺灣SRE團隊，未來將持續開發更多的共用工具，還有建立更多的最佳實作範例。對於SRE下一階段的發展，陳鴻嘉設定了兩大目標，要借助SRE團隊建立的共用工具和作法，新工程師入職當天，如應用程式出現問題，需救服務，新人5分鐘就可進入開發環境，協助排除問題，不像過去得花半天裝環境。如果，需處理新專案，新人也只需半天就可建立模型。</p> <p>第二個目標是，為了因應流量高峰，每一個容器化的服務都要具備自動擴充功能。去年，Line臺灣先推行每個服務做到具可擴充性，今年進一步針對服務建立最佳化的自動擴充能力，預計明年可以完成。</p> </div></div></div>
2021/5/6 05:00作者黃郁芸https://www.ithome.com.tw/news/144121
【臺灣資安大會直擊】FireEye揭露與SolarWinds供應鏈攻擊對抗的秘辛，更提出4階段資安成熟度評估機制，幫助…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>供應鏈攻擊正在迅速成為一種流行的散播惡意軟體的新方式。去年底，美國政府機構遭遇史上最大的供應鏈攻擊事件，影響全球近1.8萬家政府機構及企業，舉報者也是受害者之一的安全廠商FireEye，5日也在臺灣資安大會上現身說法，實際就這起攻擊背後對抗秘辛揭露更多訊息，甚至該公司亞太區系統工程副總裁黃獻順，還親自錄了一段影片，以生動的情境模擬的演出方式，通過資訊長與資安部技術主管對話，來提出供應鏈攻擊發動的6階段步驟與企業該如何防禦的建議。</p> <p>根據FireEye於4月中旬所公布的M-Trends 2021年最新威脅報告指出，過去一年來，企業平均只須24天就能發現自己遭受攻擊，與2011年平均值相比，大幅減少了392天，代表企業已具備一定程度的入侵監測防護能力，能夠及早偵測到駭客入侵行為。</p> <p>儘管駭客無法像以前可蟄伏數月之久，但這將近一個月的潛伏期間，攻擊者通常只用幾天就能夠達到攻擊目的，企業還是防不勝防。例如以惡意程式感染竊取企業內部的重要資訊，或是發動勒索軟體攻擊，脅迫受駭企業支付高額贖金等。</p> <p>不僅如此，該報告更發現，過去一年來，供應鏈攻擊（Supply Chain Attacks ）的事件頻傳，其中又以SolarWinds軟體供應鏈攻擊為代表，可以說它是史上最大的供應鏈攻擊的事件一點也不為過，單就這起事件，影響全球接近1.8萬家政府機構及企業，不只美國，還有其他許多國家政府和大型企業都受波及，甚至連安全廠商FireEye、微軟等都遭到感染。</p> <p>供應鏈攻擊其實是一種網路攻擊手法，駭客藉由網路入侵攻擊目標上下游供應鏈廠商的資安防護最薄弱的環節，再將惡意程式利用這些受信任的管道進行散播，間接入侵目標。類似資安事件或入侵手法早有先例，如伊朗一座核設施十年前就曾遭到以色列以類似供應鏈攻擊的手法入侵，導製其設施癱瘓不能運作。在2008年，一家歐洲零售商也有遇到類似的情況，這家公司的前臺PoS機出廠前就已經預裝了駭客修改過的模組功能，使得該模組可以記錄顧客信用卡的資料，然後傳送其它國家，駭客再從中獲得不法利益。</p> <p>但過去這類供應鏈攻擊事件，受到外界關注程度並不高，直到近幾年，因與中國或俄羅斯有關的國家級駭客組織，採用以供應鏈式攻擊入侵目標越來越常見，才讓它開始逐漸受到重視，而在去年SolarWinds供應鏈攻擊發生後，更讓它成了當紅的熱門資安議題。且因為這起重大攻擊事件的發生，不只敲醒企業對於軟體供應商的信任的警鐘，也讓許多駭客因此看到了新商機。</p> <p>供應鏈攻擊有多難察覺？在整起SolarWinds供應鏈攻擊事件中，就連FireEye也未能在第一時間發現遭到入侵攻擊，使得自己的紅隊(Red Teaming) 演練工具遭竊。在影片中，黃獻順表示，直到後來在一個不容易發現的環節裡，他們通過內部員工登入使用的二次認證機制，偵測到有可疑行為，才得以找到對方入侵足跡。</p> <p>在發現自己遭到入侵後，緊接著，他們便對涉有重嫌的系統上所有安裝的軟體程式進行逆向工程，進而找到被植入木馬的證據，甚至為了向SolarWinds公司證明其系統已被駭客入侵感染，他們還動用數名逆向工程師，將當時這家公司可能有問題的軟體更新包下載後，逐一比對五萬多行程式碼，最後終於找到駭客暗中插入的外掛程式，SolarWinds工程師這才相信自己系統遭感染，在這之後，FireEye才對外公開，讓整起事件曝了光。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20210505_081851388(1).jpg" style="width: 600px; height: 338px;" /></p> <p>儘管無法透露太多交手細節，不過，黃獻順也指出，一般而言，在供應鏈攻擊的操作上，當發現目標對象不易攻破，攻擊者便會轉向其所信任的軟體供應商入侵，再透過軟體更新，或是連接外接式硬碟等設備間接地感染最終目標，</p> <p>在影片中，他進一步將整個攻擊鏈的生命周期，分成初步偵查、初步入侵點、建立立足點、權限升級、內部偵查、完成任務共6階段攻擊步驟。駭客一開始先透過反覆偵查，找到可以入侵和可用的入侵點，便會開始展開入侵行動，透過感染合法應用程式，散佈惡意程式碼到攻擊目標。在成功入侵之後，接著攻擊者會先在內部建立立足點，同時提升自己的權限，並在內部潛伏持續展開偵察，直到最終完成交付任務，如竊取敏感資料或發動勒索軟體攻擊。</p> <p>針對駭客入侵到完成任務這6個階段，企業在對抗作法上，也涵蓋了事前、事中及事後三個部分，舉例來說，在駭客入侵以前，企業資安防護是以防衛為主，但在入侵發生後則強調如MDR等端點檢測與事件調查、回應的能力，或是透過APT防護設備，持續偵測進出內外網路與橫向移動，找到APT入侵的足跡。不僅如此，他也強調，企業需建立屬於自己的威脅情報的來源管道，來幫助他們即時掌握最新技術威脅情資，以及營運威脅情資，如APT組織新的動向，或是最新的攻擊手法，作為企業規畫防禦策略。，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20210505_083041972.jpg" style="width: 600px; height: 325px;" /></p> <p>他還提出4階段的資安成熟評估模式，可供企業或供應商作為評估自己資安成熟度的參考，其中第一階段，指的是企業開始具備進階威脅防衛基礎，如展開情報觀察、完成端點偵測可視化、推出安全警示監測服務等，更進一步來說，他強調，資安業者還可通過MITRE的ATT&CK的資安驗證，作為向客戶驗證自身產品有效性的方法。他提到第二階段資安成熟模式，則是建立以情資為主的資安防禦機制，這個階段的資安完備重點，包括了完成進行威脅狩獵訓練與鑑識的準備，以及利用監控應變的紫隊（Purple Team|）協助洞察資安風險，還有設立駐點網路防禦營運中心，以及建立事件反應計畫與能力評估（Capability Assessment）等。</p> <p>至於第三階段則是持續提升資安情資能力，如加入威脅情資平臺（TIP）、建立策略威脅情資(Cyber Threat Intelligence)、持續提升情資能力等。最後一個階段則是朝向高階資安情資整合中心發展，有像是發展網路犯罪與數位詐騙案例、建立網路安全分析與資安協調、自動化及回應(SOAR)機制、推出網路安全危機溝通管道計畫與因變計畫、完成情資整合中心（Fusion Centre）的規畫與設計等等。</p> <p>黃獻順也說，當來到第4個階段，基本上，企業的資安完備成熟度已經能夠防禦大約7～8成，甚至9成以上的國家級駭客攻擊，但他也強調，整個發展過程中，企業可挑選適合自己的資安產品或技術，但企業所要考慮的，不僅僅是技術而已，其它像是人員培育、相關流程建立與情資的蒐集也同樣重要。</p> </div></div></div>
2021/5/6 03:21作者余至浩https://www.ithome.com.tw/news/144212
【臺灣資安大會直擊】因應重大網攻發生頻率增加，專家建議資安曝險評估每一周至少要做一次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為因應越來越頻繁的重大攻擊事件，曾任花旗銀行資安官，現在是OneDegre資安負責人的周彥儒，在資安大會的演講中建議企業，應該要全面進行曝險評估、弱點評估以及滲透測試，從各種層級和角度測試企業的弱點，並且阻斷駭客的攻擊鏈，以提升企業資訊安全。而隨著重大資安攻擊事件發生頻率增加，周彥儒也認為企業應該要增加測試系統脆弱性的頻率，才能跟上駭客的腳步。</p> <p>「企業和駭客攻防戰，存在不對等的戰爭」周彥儒點出了企業防禦駭客入侵的困難之處。企業在明駭客在暗，企業需要付出巨大的成本和精力，全面提升企業的資訊安全，而駭客只要從企業的系統中找到一個漏洞，就能夠利用該漏洞突破防禦，入侵企業重要的系統。周彥儒解釋了當前最流行的駭客攻擊模式，整個攻擊過程從針對員工的魚叉攻擊開始，突破企業的防火牆進到內網，駭客會選擇先在企業中較不重要的系統著陸建立持續性，並且開始橫向移動，逐漸提權最終攻下企業的關鍵系統。</p> <p>周彥儒強調，唯有從駭客的思維了解企業曝險，才能建構有效的防禦策略。以上述的例子來說，主要的弱點有兩個，第一個弱點是員工的資安意識，他引用ATT&CK框架的調查數據，當前有超過7成的網路攻擊事件，都是從釣魚郵件開始，另一個則是允許駭客在企業中橫向移動的弱點，即便駭客已經在企業的系統中建立持續性，但也僅是在權限較低的系統，唯有經過橫向移動，逐漸提升權限後，才會真正威脅到關鍵系統，因此周彥儒認為，企業可以投入更多的資源，對員工進行釣魚攻擊演練，並且在企業系統中找出能阻斷駭客橫向移動的方法。</p> <h2>曝險評估次數應增加至每周一次，弱點評估則至少每月一次</h2> <p>「企業不能僅是想要達到法遵要求，過去達法遵可能資安分數還及格，但現在可能只有30分」周彥儒舉例，從今年初以來的各重大資安事件，每一家企業皆滿足法規要求，但唯有在發生攻擊事件後，企業才會真正發現弱點所在。</p> <p>除了目前最流行的駭客攻擊模式，其他常見的攻擊手法還有包括盜取員工的VPN帳號，或是透過攻擊供應鏈等模式，他強調，企業應該從駭客的角度思考，強化容易受到攻擊的弱點，才能有效防堵攻擊，而企業通常以三種安全檢測方法來偵測不同特性的的弱點，分別為曝險評估、弱點評估以及滲透測試，這三種分法的廣度由寬到窄，但是深度則是由淺到深。</p> <p>不具侵入性，且自動化程度高的曝險評估，透過發現並且最大程度減少企業外部足跡，在ATT&CK框架中，進一步避免弱點被駭客探嗅到的機會，而弱點評估則是指利用自動化掃描，找出普遍已知的漏洞，特別是能夠發現Day 1漏洞，而滲透測試則更具針對性，有較高的侵入性，透過模擬攻擊來發現企業還未知的嚴重漏洞，這項測試需要專家人工進行，測試頻率也較低。</p> <p>由於駭客攻擊的頻率增加，周彥儒認為企業進行安全檢測的頻率也要增加，像是曝險評估不到一周應該就要執行一次，而弱點評估的頻率可從一季一次增加到一個月一次，滲透測試則可從每年一次提升到半年一次。</p> <p>但拉高偵測頻率，也就代表著成本增加，周彥儒整理了自建、委外專案和SaaS三種安全檢測執行方式的比較。自建需要企業自己培養人才並且購買工具，好處是可以頻繁地執行檢測，而周彥儒提到，不少企業都是採用委外專案，企業就不需要花費購買工具的成本，但是由於在計價上通常還是計算人力工作小時，雖然不及企業自己培養團隊，但仍需要付出較高的人事成本。</p> <p>而周彥儒提到人事成本和工具成本最低的是SaaS，以軟體即服務的形式按需進行安全偵測，可以達到跟自建相同的測試頻率，並且也能比委外專案還要快的速度拿到測試結果。從企業關注的成本來說，他認為SaaS低於委外專案，並且遠低於自建，而從敏捷性和彈性考量，SaaS安全測試服務與自建相當，都比委外專案更靈活，因此綜觀所有因素，採用SaaS是較佳的選擇。</p> </div></div></div>
2021/5/5 11:15作者李建興https://www.ithome.com.tw/news/144192
AI趨勢周報第167期：臉書新模型融合自監督和Transformer，不需標註資料還能揪出複製圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0430～0506)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">臉書 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自監督學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size: 22px;"><strong>臉書新模型融合自監督和Transformer，不需標註資料還能揪出複製圖</strong></span></p> <p>臉書聯手法國國家電腦科學研究院Inria，共同設計一套新訓練方法DINO，融合了自監督學習（Self-supervised learning）和Transformer的注意力機制優點，來訓練電腦視覺模型Vision Transformer（ViT），不需要標註資料就能完成訓練。用這個方法訓練出來的模型，能準確辨識圖片和影片中的物件，也能進行語意分割，完全不需標註資料。</p> <p>臉書指出，近幾年AI突破性的成就來自兩大技術，也就是自監督學習和Transformer。自監督學習的好處是，AI模型能從未標註的資料中學習，省下標註所需的人力和時間成本。而Transformer的優點是，AI模型可從輸入值中，將注意力聚焦於所選的區域，來更有效率地推論。</p> <p>於是，臉書結合這兩大技術，設計出DINO演算法。他們將自監督學習的兩大優點：老師網路（Momentum teacher）和多剪裁訓練（Multicrop training）整合到DINO框架中，來搭配ViT的自我注意力優勢。團隊發現，融合自監督學習和Transformer的DINO，對視覺世界的理解和人類很像，能辨識出物件的部分組成和圖片中的共同特徵；他們以ImageNet不同類別的影像來測試，發現DINO會以人能理解的方式，來分類影像，將相似的類別擺在一起。</p> <p>這個方法，能讓模型快速執行k-NN分類任務，且不需要繁瑣的微調或學習分類器。在ImageNet的測試中，團隊也發現DINO比其他自監督學習模型還要好，而且，DINO還有能力識破複製圖和本尊的差異，未來可用於版權保護的偵測器上。<a href="https://ai.facebook.com/blog/dino-paws-computer-vision-with-self-supervised-transformers-and-10x-more-efficient-training/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-4.fna.fbcdn.net/v/t39.2365-6/10000000_208749027394474_3359566853088796337_n.gif?_nc_cat=105&ccb=1-3&_nc_sid=ad8a9d&_nc_ohc=7mxnycNTONgAX_EkDT2&_nc_ht=scontent.ftpe7-4.fna&oh=413cb22a14cbf481abde7e55fb91ea6e&oe=60B6DBC7" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepRacer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 迷你賽車 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>擴大推廣AI賽車活動，AWS決定開源迷你賽車DeepRacer模擬器</strong></span></p> <p>AWS宣布要開源迷你賽車DeepRacer的裝置軟體，開發者可進一步擴展DeepRacer功能，讓賽車裝置可執行更多行為。DeepRacer是一個雲端虛擬賽車模擬器，開發者可在雲端上訓練、調校ML模型，並載入到1/18大小的迷你自駕車，讓它在設計好的軌道中行駛，克服各種轉彎與直線道路組合。</p> <p>DeepRacer所使用的機器作業系統ROS是用Ubuntu開發，而開源DeepRacer程式碼，可讓有Linux程式開發能力的開發者，創造出新的車輛用途，實現更多創意。開發者也可在社群媒體中，用#deepracerproject標籤分享自己的開發專案，AWS會將這些專案收集到DeepRacer GitHub Organization中，並在之後的部落格介紹。<a href="https://aws.amazon.com/tw/blogs/machine-learning/aws-deepracer-device-software-now-open-source/">（詳全文）</a></p> <div class="media_embed" height="281px" width="500px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="281px" src="https://www.youtube.com/embed/8U9pSWYJt1E" title="YouTube video player" width="500px"></iframe></div> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MIT </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電腦視覺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 材料壓力 </span></strong></span></p> <p><span style="font-size:22px;"><strong>MIT新材料分析AI工具，靠一張外觀照片就能估算出材料壓力</strong></span></p> <p>麻省理工學院（MIT）開發一套AI，可用電腦視覺辨識材料內部結構圖，來快速計算材料部份特性，像是應力（Stress）與應變（Strain）值，省下繁瑣的物理計算。</p> <p>MIT指出，一般來說，工程師需耗費大量時間來計算材料內力，就算有電腦輔助，還是會遇到長達數天甚至數月的模擬問題。為解決問題，研究團隊看上生成對抗網路（GAN），先使用上萬組圖像訓練網路，這些圖組由兩張圖組成，一張描繪材料內部在機械作用下的微觀結構，另一張則以顏色編碼標示該材料的應力和應變數值，讓AI網路反覆迭代，算出材料的幾何形狀和其所產生應力之間的關係。這個方法，讓AI只要看一張圖片，就能預測材質的內力，解決過去需要撰寫程式碼，求解偏微分方程式的麻煩。<a href="https://advances.sciencemag.org/content/7/15/eabd7416">（詳全文）</a></p> <p><img alt="" src="https://advances.sciencemag.org/content/advances/7/15/eabd7416/F2.large.jpg?width=800&height=600&carousel=1" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國衛生部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI策略 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料共享 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國衛生部揭露未來醫療AI布局</strong></span></p> <p>美國衛生部AI長Oki Mek日前揭露美國衛生部未來醫療AI佈局，要執行今年1月提出的AI策略，共有4大目標，包括成立AI委員會和AI實踐社群、做好AI治理和法遵，以及建立沙盒，來衡量AI成效和成本。</p> <p>進一步來說，美國衛生部一年有1.3兆美金預算，若以GDP排名來看，相當於全球第13大國。這個資金雄厚的衛生部，還有8萬多名職員來維持運作。在4大目標中，成立AI委員會的用意是做好AI發展所需的團隊合作。」再來，建立AI實踐社群是要交換AI實作心得、制定醫療AI規則，還要以此克服醫療AI的兩大難題，也就是資料取得和資料準備。</p> <p>而第3個目標是要確保醫療AI不違背法規，比如資料隱私、資安、程式碼偏差等。最後一個目標則是建立研發能力R&D，除了要建立沙盒實驗環境，還要藉機集中化管理一些作業，比如AI工作管線（Pipeline）和框架，並將一些該去中心化的作業去中心化。Oki Mek更強調，衛生部也想藉AI策略，來改變人們不想分享資料的心態。「沒有資料，就沒有AI，」衛生部希望在合法的前提下，來與相關組織共享資料。<a href="https://gtc21.event.nvidia.com/media/Presenting%20US%20HHS%20Artificial%20Intelligence%20Strategy%202021%3A%20AI%20Mission%20and%20Ambition%20Commentary%20by%20the%20CAIO%20%5BS33249%5D/1_wd8gsyz1/204678483">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-05-01%20at%205_23_12%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 商之器 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> UDE App </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療影像 </span></strong></span></p> <p><span style="font-size:22px;"><strong>商之器UDE App讓iPad Pro化身行動醫療影像伺服器，離線也能判讀影像</strong></span></p> <p>國內從事醫療影像儲存與傳輸及雲端醫療平臺開發的商之器，近期展示一款UDE App，能將iPad Pro平板電腦當成行動醫療影像伺服器，可在離線狀態下檢視乳房攝影影像，並由AI模型來輔助揪出乳房腫瘤。這個做法，可將原本需要2周以上的篩檢流程縮短為1周左右，目前已有一家北部醫學中心準備採用。</p> <p>這套UDE App不僅獲得美國FDA第二級認證，也通過臺灣TFDA認證。商之器解釋，這款乳癌判讀AI是去年與資策會聯手開發，結合iPad Pro內建的CoreML技術，即使不連網，也能即時進行AI判讀，商之器表示，今年不只在國內落地UDE App，還要推廣到國外。<a href="https://www.ithome.com.tw/news/144087">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/udeapp.jpg?itok=NHChxpPe" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">甲骨文</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 分析雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>甲骨文推出分析雲，強化ML可解釋性和自然語言搜尋資料特色</strong></span></p> <p>甲骨文日前推出分析雲服務（ Oracle Analytics Cloud），強化了機器學習（ML）模型的可解釋性，使用者可查看影響模型決策的原因說明，比如，銀行拒絕給特定對象申請貸款，使用者可查看占比最重的原因。此外，使用者也能手動微調模型，來查看產出結果和變化。</p> <p>而且，甲骨文分析雲也採用自然語言處理（NLP）技術，讓使用者用說的或打字就能查找所需的資訊，分析雲也會以自然語言方式回答。這是因為，甲骨文自建一套自然語言生成（NLG）引擎，可根據問題來掃描資料、圖表等，再組成答案給使用者。目前，該功能支援28種語言。</p> <p>除此之外，甲骨文分析雲還有其他特點，包括自動化資料前處理、文本分析、關聯分析、圖表分析和客製化的地圖分析。其中，自動化資料前處理的意思是，由內建的資料分析引擎來對使用者資料掃描、取樣，找出潛在的資料質量問題，並主動通知使用者，比如對信用卡資訊等敏感訊息進行混淆處理等。除了這些特點，甲骨文分析雲也推出行動版應用程式，使用者也能在行動版上使用這些功能。<a href="https://blogs.oracle.com/analytics/announcing-new-oracle-analytics-cloud-innovations">（詳全文）</a></p> <p><img alt="" src="https://cdn.app.compendium.com/uploads/user/e7c690e8-6ff9-102a-ac6d-e4aebca50425/6a206fcb-afad-45e5-b430-01d4d1919cc6/Image/40d75ed9091174d61115eddbc2951687/ol_blog_image_3.png" /></p> <p>攝影／蘇文彬</p> <p>圖片來源／MIT、AW、臉書、Nvidia、商之器、甲骨文</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 疫情升溫！AI Labs社交距離App告訴你防疫最佳距離</strong></p> <p><strong>2. 臉書發表半監督式學習新模型，影像辨識表現再突破</strong></p> <p>資料來源：iThome整理，2021年5月</p> </div></div></div>
2021/5/5 17:59作者王若樸https://www.ithome.com.tw/news/144208
Line啟用海外最大的臺灣新辦公室，年底將招募逾百位技術人員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著在臺灣的業務擴展，Line在臺灣啟用全新辦公室，將Line、Line Pay及Line Bank集中在一起，並準備在年底前招募逾百位技術人員，擴大工程團隊。</p> <p>Line來臺已進入第十年，目前月活躍用戶數達到2100萬，這幾年該公司不斷擴大在臺的經營業務，除了擴大Line TV、Line Music等數位內容業務，還跨足電信服務、電商，並將自身的技術力對外輸出推出AI服務，甚至前不久連線銀行Line Bank開行，正式進入金融科技。</p> <p>今天(5/5)啟用的新辦公室，位於臺北市內湖區的瑞光路上，為日本、韓國以上，海外最大的辦公室，這個全新辦公室集合了Line、Line Pay、Line Bank，共有7個層樓，超過3千坪，除了一、二樓打造為會議室、休憩區、員工專用咖啡廳、攝影棚等之外，3到7樓屬於辦公空間。</p> <p>Line臺灣區董事總經理陳立人表示，透過打造良好的工作空間，希望能吸引國內優秀的人才加入。除了今年將舉辦多場的社群活動外，5月下旬還會舉辦Line Developers Recruitment Day，包含line Bank、Line Pay及Line臺灣三家公司需要的技術人才，前端、後端、系統營運、AI、資料科學各方面人才。</p> <p>目前Line在臺灣合計有900多名員工，其中約一半為工程開發團隊，為總部以外，人員最多、編制最大的工程開發團隊。Line計畫在今年底再招募20種職缺逾百位的技術人員。除了工程團隊之外，其他如營運、設計團隊也準備擴大規模，Line在臺灣員工規模將突破1千人。</p> <p>Line在日本、韓國、泰國、印尼、臺灣、越南、中國、美國等地都設有工程團隊，臺灣的工程團隊除了和總部協作，參與更多平臺開發之外，也負責臺灣本地的核心業務服務的應用系統開發工作。目前臺灣的工程團隊包括Line Today、Line Shopping、QA、SRE、資料工程團隊等，還有近幾年開始啟動的Clova AI團隊，不過，Line並沒有透露每個團隊的規模。</p> <p>Line在臺灣的營收，約可分為B2C與B2B，其中對一般消費者的營收方面，包括貼圖、遊戲、影音娛樂等，2B則包括官方帳號，還有去年開始在臺灣推動的Clova AI、Line Brain等。除了繼續擴大數位內容，今年4月下旬甫開行的Line Bank，也是今後Line Bank在臺灣的發展重點之一。</p> <p>新的辦公室一樓入口，特別運用Line Clova FaceSign人臉辨識技術，讓員工靠刷臉就能進出辦公室，但目前員工使用人臉辨識需脫下口罩，如果辨識錯誤，也能使用員工識別證感應，從一旁的通道進出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1%20(2)(10).jpg" style="width: 600px; height: 399px;" /></p> <p> </p> <p>甫進入一樓映入眼簾的是高4公尺，百分百由臺灣打造的Mega Brown，巨型熊大，一旁則是員工專屬的咖啡廳。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1(85).jpg" style="width: 600px; height: 399px;" /></p> <p> </p> <p>二樓為公共空間，除了會議室，還有攝影棚，錄影來賓的化妝間，還有專門幫員工解決IT問題的Line Care服務櫃臺。</p> <div><img alt="" src="https://s4.itho.me/sites/default/files/images/1%20(1)(15).jpg" style="width: 600px; height: 399px;" /></div> </div></div></div>
2021/5/5 19:36作者蘇文彬https://www.ithome.com.tw/news/144209
【臺灣資安大會直擊】製造業與醫療業去年被攻擊次數大增！趨勢科技揭數位轉型下的製造思維，資安不是附加成本而是製程的一部分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為期3天的2021臺灣資安大會於4日正式展開，在第一天臺灣資安大會上，趨勢科技指出過去一年來，數位轉型的加速已經使得網路攻擊威脅變得更嚴峻，特別是製造業與醫療業遭受攻擊比例大增，其中OT安全議題倍受關注，尤其製造業，在他們近期的調查中，發現有4成5企業都因資安事件造成產線中斷。</p> <h2><strong>數位轉型的價值在於資料到決策，因此資料安全至關重要，而臺灣製造業其實也是關鍵</strong></h2> <p>關於過去一年的網路攻擊態勢，趨勢科技執行長陳怡樺表示，全球釣魚詐騙的攻擊活動，增加230%，再次暴增，而以目標式勒索攻擊而言，他們在2020年觀察到新的趨勢變化，雖然政府與銀行一直都是駭客主要攻擊目標，不過，去年製造業與醫療業遭受攻擊的次數較往年大增，值得重視。</p> <p>陳怡樺指出，過往製造業與醫療業可能認為，沒有人要攻擊自己，覺得自己含金量不高，但現實的狀況已經不是如此，除了遭受攻擊的事件頻傳，這兩個產業還有一個共同的特色，包括製造業的機臺，醫療業的X光機與核磁共振（MRI）等設備，過去企業可能認為他不是電腦，或是以為它是安全隔離的，但其實，現在都隨著大量使用IT技術而變得不同。</p> <p>不僅如此，在現今的數位轉型之下，已徹底轉變了傳統價值鏈模型，資料的重要性更是至關重要。陳怡樺指出，現在的數位轉型價值，是在於「資料」到「決策」的轉換過程，她並特別以智慧製造來舉例，包括最初的資料採集、資料的正確性，到資料連結整合與深度資料分析，來做正確的判斷以擬定有效策略。</p> <p>然而，只要有資料的地方，就必需要有安全的考量。否則可能發生蒐集不到資料，或是蒐集了錯誤的資料，甚至可能資料被鎖住不能用的情況。因此，在每一個環節都必須把資安做足，她強調：「資安不再只是獨立一個產業，而是所有產業裡面該有的基本內涵。」而以製造業而言，資安就是製程的一部分，絕不能把它想成附加的成本。</p> <p>觀念必須扭轉，產業須自覺，但陳怡樺認為，國內才剛剛開始想到這些事情，還有很長的路要走。</p> <p>同時，陳怡樺也以趨勢科技自身經驗為例，他們去年花最多時間架構的平臺Vision One，也就是希望從雲端、手機、網路到工廠設備，都能夠蒐集到足夠的資料，以此做到及早發現異常，進而防止勒索軟體、資料外洩問題。</p> <p>對於國內的醫療業與製造業而言，相關業者與政府都不可輕忽上述這樣的趨勢。如果醫院無法做好資安，這已經不是可用性的問題，而是人命的問題，先前國外已有例子，有醫院系統被勒索軟體癱瘓，使得重症病患只能轉診至別間醫院，但路途上發生人命來不及救的狀況。</p> <p>而資安對臺灣製造業同樣至關重要，陳怡樺指出，臺灣有3成的GDP都是來自於製造業，更重要的是，國內製造業其實也撐起了全世界數位轉型的半邊天，若是台積電停工半天，全球數位轉型也都會受影響。</p> <p>眼光若放遠一點，臺灣企業是否想過，在數位轉型上，我們必須有更重要的任務？陳怡樺更是強調，要讓臺灣製造的所有元件與成品，都能有資安在其中，才能夠幫助世界數位轉型的成功更安全。這一番話似乎也是個提醒，資安的價值，能夠讓國內產業的地位變得更穩固，讓臺灣製造成為全球IT可信賴的標誌。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%802021%E8%A3%BD%E9%80%A0%E6%A5%AD%E8%88%87OT%E5%AE%89%E5%85%A8.jpg" style="width: 600px;" /></p> <blockquote><p>政府與銀行一直都是駭客主要攻擊目標，但過去一年來，趨勢科技指出製造業與醫療業遭受攻擊次數出現大幅增長的情況。</p> </blockquote> <h2><strong>最新調查顯示6成1製造業者經歷過資安事件，其中每四家又有三家發生產線停擺情況</strong></h2> <p>對於製造業而言，儘管OT安全議題在近年已經不斷被探討，但從威脅帶來的實際危害來看，已是當務之急。</p> <p>趨勢科技副總經理暨工業物聯網公司TXOneNetworks執行長劉榮太指出，自從2019年開始，幾乎每個月都有大間的製造業或產業遭攻擊事件傳出，而他們在2020年關注到127個新的勒索軟體出現，整以整體來看，2020年的前10名勒索軟體中，就有8個曾在OT場域出現過，這樣的態勢，也反映出當OT環境採用大量IT技術，但也加速了駭客能夠對OT的危害。</p> <p>更嚴峻的是，在趨勢科技針對日本、德國及美國的工業網路資安調查顯示，有61%受訪製造業者表示經歷過資安事件，其中的75%因資安事件造成產線中止。換言之，有4成5的製造業者都會面對營運中斷的風險。</p> <p>而且，在遭遇資安事件的企業中，其中的43%的產線停擺是超過4天以上，這其實已經突顯資安事件帶來的可能影響，大大衝擊著製造業的營運，。</p> <p>對此，劉榮太除了說明OT環境在資安防護上所遇到的困難，同時也強調做好工控資安的5大策略，包括網路微分割、虛擬修補、信任名單、重要資產的強固，以及定期檢查。他強調，網路分割就是要做到零信任原則，不該連結到的端點就應該要阻斷，同時藉由虛擬修補來因應場域端點無法停機修補的困難，而信任名單也是要讓重要端點限制只能執行允許的應用程式；至於關鍵設備更是重要，包括所有機臺都要存取的資料庫、HMI等，可透過白名單與基於AI的防毒保護，同時，資料進出同樣也都要檢查。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）趨勢科技2021製造業與OT安全.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%802021%E8%A3%BD%E9%80%A0%E6%A5%AD%E8%88%87OT%E5%AE%89%E5%85%A8.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%802021%E8%A3%BD%E9%80%A0%E6%A5%AD%E8%88%87OT%E5%AE%89%E5%85%A8(1).jpg" style="width: 600px;" /></p> <blockquote><p>趨勢科技指出，在2020年10大勒索軟體中有8個曾在OT場域出現，此外，根據他們針對日本、德國及美國的工業網路資安調查顯示，有6成1受訪製造業者表示經歷過資安事件，其中的75%因資安事件造成產線中止，並有43%的產線停擺超過4天。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%802021%E8%A3%BD%E9%80%A0%E6%A5%AD%E8%88%87OT%E5%AE%89%E5%85%A8(1).jpg" style="width: 600px;" /></p> <blockquote><p>另外，劉榮太也以NIST CSF框架核心所具有的5大功能，來說明OT領域與IT領域的落差。他表示，在過去20年來，隨著時間的演進，在IT領域已經一步步將資安框架的5大功能走完，也就是從識別、保護、偵測、回應到復原，像是2003年發展保護、2011年重視偵測，現在則是強調復原；但相對來看OT領域的資安，2015年開始發展識別，而他認為現在也只是走到識別與保護之間。因此，不論是從威脅態勢與資安框架來看，OT領域的資安議題都將是接下來這幾年必須持續關注的重點。</p> </blockquote> </div></div></div>
2021/5/5 15:50作者羅正漢https://www.ithome.com.tw/news/144206
比利時政府被DDoS攻陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>比利時政府網路本周二遭到不明組織發動分散式阻斷攻擊（Distributed Denial of Service，DDoS），導致內外部連線服務中斷，迄今尚未完全修復。</p> <p>受到攻擊的是比利時政府資助，負責該國政府單位網路連線的ISP Belnet Network。<a href="https://status.belnet.be/incidents/71" target="_blank">根據Belnet網頁說明</a>，DDoS攻擊發生在當地時間5月4日中午左右，造成內部網站運作中斷，僅能仰賴手動更新。到當天晚上，Belnet表示經過「實作多項緩解措施」，問題「已逐漸縮小」，不過仍未能恢復正常營運。</p> <p>Belnet斷線據信影響200多個比國政府單位、科學研究機構及大學等。許多政府單位一度連視訊會議都被迫取消，包括國會針對中國維吾爾議題將展開的辯論。目前<a href="https://www.dekamer.be/kvvcr/index.cfm" target="_blank">比利時國會網站</a>、最高行政法院已恢復營運，但根據<a href="https://apnews.com/article/europe-science-education-technology-business-a348553f38de7897501ab3cbab051df0" target="_blank">美聯社</a>報導，其他單位如<a href="https://eservices.minfin.fgov.be/myminfin-web/" target="_blank">國稅局稅務及電子表單入口網站</a>、經濟事務部，以及疫情資訊網站，則仍處於斷線狀態。</p> <p>斷線尚未搶修完畢，比國政府尚未對DDoS攻擊公布說法。</p> <p>這是半年來最新一起西方政府網站遭到攻擊。<a href="https://www.ithome.com.tw/news/139438" target="_blank">加拿大政府</a>去年8月遭駭，導致當地公民身份驗證憑證外洩。<a href="https://www.ithome.com.tw/news/139761" target="_blank">挪威</a>及<a href="https://www.ithome.com.tw/news/141949" target="_blank">芬蘭</a>國會電子郵件系統，也在去年10月及12月被駭客入侵，竊取了議員信件。</p> </div></div></div>
2021/5/5 13:38作者林妍溱https://www.ithome.com.tw/news/144202
美國國防部擴大抓漏專案到所有對外網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國防部（Department of Defense，DOD）<a href="https://www.defense.gov/Explore/News/Article/Article/2595294/dod-expands-hacker-program-to-all-publicly-accessible-defense-information-syste/" target="_blank">周二（5/4）宣布</a>，將擴大該部門的漏洞揭露專案至所有可公開存取的DOD資訊系統，從各式網站、基於頻率的通訊、IoT裝置到工業控制系統等。</p> <p>DOD的首個抓漏專案為2016年發表的「入侵國防部」（Hack the Pentagon）計畫，當時的抓漏範圍僅限於DOD旗下的公開網頁，之後陸續擴大該專案至陸軍、海軍與國防部內部的IT系統，而今則延伸到所有可公開存取的DOD資訊系統。</p> <p>DOD表示，國防部的網站只是DOD所有攻擊表面的一小部份，此一擴張證明美國政府對安全的態度已然轉變，也是DOD現有內部技術狀態的大躍進。</p> <p>此外，從美國國防部展開抓漏專案以來，受邀的安全專家已提交超過2.9萬個漏洞報告，當中逾7成屬於有效漏洞，成效卓著。</p> <p>事實上，美國政府與國防部對資安的態度可說已提高到全新的層級，DOD甫於今年4月<a href="https://hackerone.com/dib-vdp-pilot?type=team&view_policy=true" target="_blank">透過HackerOne發表</a>了「國防工業基地漏洞揭露專案」（Defense Industrial Base Vulnerability Disclosure Program，DIB-VDP），而此一專案主要是替DOD的承包商抓漏，透露出DOD不僅要防範自家的網路遭受攻擊，也正努力避免從供應鏈而來的攻擊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0505-DIB-VDP.jpg" style="width: 600px;" /></p> </div></div></div>
2021/5/5 12:20作者陳曉莉https://www.ithome.com.tw/news/144198
Dell修補存在12年的驅動程式高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.dell.com/support/kbdoc/zh-tw/000186019/dsa-2021-088-dell-client-platform-security-update-for-dell-driver-insufficient-access-control-vulnerability" target="_blank">Dell周二發布安全公告</a>，修補一個存在長達12年的驅動程式漏洞，可能讓駭客在Dell裝置上執行惡意程式碼。該漏洞估計影響上千萬臺Dell筆電或桌機等產品。</p> <p>這項漏洞是<a href="https://labs.sentinelone.com/cve-2021-21551-hundreds-of-millions-of-dell-computers-at-risk-due-to-multiple-bios-driver-privilege-escalation-flaws/" target="_blank">由安全業者Sentinel揭露</a>並通報Dell。實際通報的瑕疵有5項，皆位於Dell驅動程式DBUtil（dbutil_2_3.sys）之中，但Dell將之統稱為CVE-2021-21551，歸屬於存取控管不足漏洞。</p> <p>5項瑕疵可讓具本機非管理員權限的攻擊者取得核心模式執行權限，以執行惡意程式碼。細分來看，4項會造成權限擴張，1項可引發阻斷服務（Denial of Service，DoS）攻擊。研究人員Kasif Dekel指出，該漏洞「很容易被開採」，也可能結合其他手法擴大傷害，像是在網路上橫向移動。由於需要本機權限，本漏洞風險層級被列為8.8。</p> <p>CVE-2021-21551的衝擊在於它從2009年就已存在DBUtil中，並透過Dell的程式發布給Dell消費及企業終端，包括筆電、桌機、平板等，估計可能數量達千萬甚至上億臺。可能散布問題驅動程式，並將之安裝在Dell用戶裝置上的程式包括韌體更新公用程式套件、Dell Command Update、Dell Update、Alienware Update、Dell System Inventory Agent或Dell Platform Tags等。</p> <p>受漏洞影響的軟體包括BIOS更新、Thunderbolt韌體、TPM韌體更新、dock韌體更新等。</p> <p>所幸SentinelOne研究人員未發現有開採漏洞的行為。Dell呼籲用戶儘速安裝更新版韌體，<a href="https://www.dell.com/support/kbdoc/zh-tw/000186020/additional-information-regarding-dsa-2021-088-dell-driver-insufficient-access-control-vulnerability" target="_blank">但也說明該漏洞只影響Windows裝置</a>，Linux平臺不受影響。</p> </div></div></div>
2021/5/5 12:50作者林妍溱https://www.ithome.com.tw/news/144199
遭到Twitter與臉書封殺，川普發表自己的通訊平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在同時遭到Twitter與臉書封殺之後，美國前任總統川普（Donald Trump）周二（5/4）發表了自己的通訊平臺<a href="https://www.donaldjtrump.com/desk" target="_blank">「From The Desk of Donald J. Trump」</a>，並讓使用者可透過臉書或Twitter分享他的言論，還能按下愛心。川普於該站最早的發言可追溯到今年3月24日，但一直到本周才正式對外公布。</p> <p>Twitter與臉書是在今年的1月6日相繼封鎖川普帳號，起因為這兩個平臺認為川普的煽動造成了美國國會大廈的暴動，且從暫時封鎖演變到無限期封鎖，不過，臉書的獨立監察委員會（Oversight Board）正在審核臉書此一決定，預計周三（5/5）公布是否持續封鎖川普。</p> <p>至於川普的通訊平臺充其量只是一個部落格，唯一的使用者為川普本人，它並不支援使用者留言，但允許使用者於臉書及Twitter分享他的言論，或者是按下愛心。</p> <p>對於川普的作法，Twitter向<a href="https://www.theverge.com/2021/5/4/22419850/donald-trump-social-media-platform-ban-twitter-facebook?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">The Verge</a>表示，該平臺允許使用者分享來自其它網站的內容，只要這些內容並未違反Twitter規定。只不過，這對川普而言似乎不太容易，此外，在川普下臺後，其言論所能發揮的影響力亦有待觀察。</p> </div></div></div>
2021/5/5 13:01作者陳曉莉https://www.ithome.com.tw/news/144200
Twitter買下無廣告內容平臺Scroll，替訂閱服務舖路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.twitter.com/en_us/topics/company/2021/a-better-way-to-publish-and-read-on-twitter.html" target="_blank">Twitter周二（5/4）宣布</a>，準備買下無廣告內容平臺Scroll，與全球的出版商合作，提供一個可同時造福出版商與讀者的無廣告閱讀經驗，而Scroll也將成為Twitter計畫中之訂閱服務的一部份。雙方並未公布交易金額。</p> <p>Scroll是個無廣告的內容訂閱平臺，它與逾300家出版商結盟，只要每月5美元的訂閱費用，使用者就能存取相關出版平臺的無廣告內容，而Scroll則會與出版商分享訂閱費用。此一商業模式一來可帶給使用者更好的閱讀經驗，二來標榜可替出版商提供更勝廣告的營收。</p> <p>Scroll並未公布現有的訂閱人數，僅說該服務發展的速度不夠快，導致每天都有記者失業，還有許多媒體被迫出售給不值得的買家，於是，當Twitter找上門來的時候，他們發現Twitter的野心比外界預期的還要大，而且它很可能是唯一一個可協助支撐新聞生態體系的大平臺。</p> <p>Twitter產品副總裁Mike Park表示，每天都有人在該平臺上出版、傳遞或討論新聞與各種議題，這使得Twitter認為自己更應建立一個更容易閱讀的模式，期望讓讀者可存取更廣泛的內容，而新聞產業亦應該有更好的未來，Scroll將協助Twitter達到此一目標，未來也將成為Twitter訂閱服務的一部份。</p> <p>Twitter並不隱藏想建立訂閱服務的企圖，也在今年1月初<a href="https://www.ithome.com.tw/news/142470" target="_blank">買下了荷蘭電子報平臺Revue</a>，只是迄今尚未揭露其訂閱服務的藍圖。身兼創業家與部落客的<a href="https://twitter.com/davewiner/status/1389612298730450945" target="_blank">Dave Winer猜測</a>，當使用者每月支付10美元予Twitter時，就能同時存取多個付費的內容服務，Twitter再與這些內容服務拆帳。</p> <p>由於之後Scroll將努力把該訂閱機制整合到Twitter上，因此目前已暫時不接受新用戶註冊。此外，Scroll在2018年買下了專門提供新聞情報服務的Nuzzel，Nuzzel可針對客戶的需求自全球數千個內容網站擷取特定主題的內容，功能類似Google News Alerts，根據Scroll的說法，當時若不買下Nuzzel，Nuzzel可能就要倒了，但在這次與Twitter討論後，還是決定關閉Nuzzel，但未來將把Nuzzel的功能整合到Twitter程式中，或以APIs的形式重生。</p> </div></div></div>
2021/5/5 11:30作者陳曉莉https://www.ithome.com.tw/news/144193
微軟開源AI安全風險評估工具Counterfit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周<a href="https://github.com/Azure/counterfit/" target="_blank">透過GitHub開源</a>了內部所使用的AI安全風險評估工具，這是一個基於命令列的工具，且為一通用自動化層，可用來評估各種機器學習系統的安全性，可用來執行紅隊演練、滲透測試、漏洞掃描，也能紀錄攻擊事件。</p> <p><a href="https://www.microsoft.com/security/blog/2021/05/03/ai-security-risk-assessment-using-counterfit/" target="_blank">微軟說明</a>，AI系統日益被應用在各種關鍵領域，諸如健康照護、金融或國防等，消費者必須確認這些關鍵領域的AI系統是安全的。根據Gartner的預測，在2024年時，未部署AI風險管理控制機制的組織，得到負面AI結果的風險是有部署相關機制者的兩倍，然而，在微軟針對28個組織所進行的調查中，有25個並未部署得以正確保全AI系統的安全機制，意謂著安全專家正在尋找該領域的具體方針。</p> <p>Counterfit是微軟為了評估內部AI系統漏洞所發展的工具，初期是為了對抗針對個別AI模型所撰寫的攻擊腳本程式，繼之擴大為可捍衛多個AI系統的通用自動化工具，現在微軟仍定期利用Counterfit作為AI的紅隊演練工具，亦可用來掃描生產AI服務的漏洞，或是在AI部署階段就逮住漏洞。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/wp-content/uploads/2021/05/Microsoft-Counterfit.gif" style="width: 500px;" /></p> <p>圖片來源＿微軟</p> <p>目前的Counterfit已可適用於不同的環境、不同的AI模型與資料格式，例如它能評估位於任何雲端環境、就地部署或是邊緣的AI模型，也可抽象化AI模型的內部作業以讓安全專家能專注於安全評估，並支援基於文字、影像或通用輸入等AI模型。</p> <p>微軟標榜Counterfit是替安全專家所設計，因此它能針對AI系統展開滲透測試及紅隊演練，還能掃描各種AI系統的安全漏洞，同時在AI系統遭到攻擊時進行紀錄。</p> <p>此外，微軟亦建議安全專家在使用Counterfit時可搭配其它資源，涵蓋<a href="https://github.com/mitre/advmlthreatmatrix" target="_blank">Adversarial ML Threat Matrix</a>、將攻擊分類的<a href="https://docs.microsoft.com/en-us/security/engineering/bug-bar-aiml" target="_blank">Bug Bar</a>、<a href="https://docs.microsoft.com/en-us/security/engineering/threat-modeling-aiml" target="_blank">威脅建模指南</a>，以及<a href="https://docs.microsoft.com/en-us/security/engineering/failure-modes-in-machine-learning" target="_blank">紀錄各種ML失敗模式的分類文件</a>。</p> </div></div></div>
2021/5/5 11:53作者陳曉莉https://www.ithome.com.tw/news/144196
【企業SRE實例：新加坡星展集團】頂尖數位銀行如何再進化，SRE轉型是變身科技公司的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「對星展來說，更強大的工程架構，變得非常重要，」星展集團企業架構暨SRE資深副總裁Harpreet Singh跨海視訊時強調：「這正是SRE引起星展關注的起點。」而他正是一手打造出星展SRE團隊的負責人。</p> <p>成立逾50年的星展集團，為了加快數位銀行的發展速度，從2014年開始全力擁抱新技術來改造銀行服務，是亞洲銀行界的數位化標竿，不只兩度被評選為全球最佳數位銀行，轉型經驗也是許多大型企業競相參考的對象。近3年，接連被多家國際金融雜誌評選為年度全球最佳銀行。</p> <p>走到了全球數位銀行發展的高點，星展的定位也開始轉變，2019年時，星展集團資訊長Jimmy Ng在年報中曾這麼說道：「星展現在是一家從事銀行業務的科技公司，而不是正尋求數位化的傳統銀行。」</p> <p>隨著星展集團開始內化科技公司的思維，也開始不斷尋找新角度，來讓銀行服務更簡單、順暢地融入客戶生活，實現高效率交易的顧客要求，而要達成目標，IT工程架構能力是關鍵，所以，Harpreet Singh透露，星展從2019年決定開始導入SRE。他們是全球金融業界中，第一批率先導入SRE的銀行。</p> <p>在2019年時，DBS開始規畫如何導入SRE方法論，來改變IT基礎設施和應用程式的維運，希望能兼顧擴充性和高度可靠性（reliability）。</p> <p><span style="font-size:28px;"><strong>實踐SRE挑戰：從何起頭？</strong></span></p> <p>萬事起頭難，與眾多企業一樣，星展集團也在初規畫SRE實踐時，遭遇了挑戰，那就是，不知從何開始展開這趟新旅程。</p> <p>星展擁抱SRE的第一步，Harpreet Singh指出，有兩個重點，第一，具備非常明確的意圖。他解釋，星展集團非常清楚，導入SRE後可以達成的目標，所以，他們有非常堅定的意圖，「必須行動，實現目標。」其次，再透過跨技術部門協作，快速建立一套可以向前推進的共同方法。</p> <p>2019年時，星展集團先成立了一個工作小組，召集各個技術部門主管組成，包含資安、企業架構、應用程式、基礎設施等，經過大量的討論、商議，建立一套自身實踐SRE的共同方法。有了明確的做法，工作小組再轉變為一個負責導入的核心團隊，向各部門推廣SRE作法，並設立多個SRE小組，進駐各個技術部門，來落實SRE作法。</p> <p>Harpreet Singh是催生星展SRE原則和導入藍圖的關鍵人物，他過去擔任星展集團科技服務部門也就是基礎架構團隊的副總裁時，是企業工具開發團隊的負責人，在星展開始全力數位轉型前期，打造出多種基礎架構自動化工具和平臺監控機制。</p> <p>他指出，星展集團導入SRE時，做了全盤性考量。先全面了解當時星展的營運和系統狀況，評估SRE可以為企業帶來的影響之後，才著手訂定出星展自己的SRE運作準則，先將SRE作法確實融入架構設計階段，再一路落實到維運工作上。</p> <p><strong><span style="font-size:28px;">星展集團SRE八大準則</span></strong></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 250px;"><tbody><tr><td> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/280%2B%E8%A1%A8%E6%A0%BC_Harpreet%20Singh_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%98%9F%E5%B1%95%E9%9B%86%E5%9C%98.png" style="width: 280px;" /></p> </td> </tr><tr><td> <p><strong style="color: rgb(105, 105, 105); font-size: 18px;">星展集團企業架構暨SRE資深副總裁Harpreet Singh 表示，SRE必須成為一種規範（SRE as a norm），唯有這樣，SRE才能無縫與工程結合，達成企業想要實現的目標。 </strong><span style="color: rgb(105, 105, 105);">圖片來源／星展集團</span></p> </td> </tr></tbody></table><p>各SRE團隊因各自支援的服務不同，在工作流程、優先事項和日常工作項目上也都不盡然相同，所以，星展集團訂出了一個通用的SRE八大準則，點出了從架構設計到維運，SRE工程師應該做的事，來統一各SRE團隊的運作。</p> <p>首先是架構準則，架構設計需採取「Design For Failure」（為因應失敗而設計））的設計概念。也就是，先假設任何可能發生的故障狀況，以全面思考如何處理問題，以及設計復原故障的作法。</p> <p>Harpreet Singh強調，系統一定會故障，追求具百分之百可用性（availability）的系統，是不切實際的想法。最好的作法是，在設計架構時，就要確保架構的品質，來思考系統損壞之後如何因應。</p> <p>第二項是開發和建置準則，開發新系統或應用時，星展要求SRE必須了解，系統開發方向會如何從上到下，影響整體軟體堆疊（Software Stack），以及會如何影響關鍵的可靠性指標。第三項是測試準則，Harpreet Singh表示，測試是一個非常關鍵的要素，可以預先解決很多系統的潛在問題。星展集團SRE也會利用混沌測試（Chaos Testing）工具來破壞系統，了解系統的弱點，並在系統正式投入生產環境前，修復大多數的問題。</p> <p>下一個準則是系統可觀測性（observability）準則，不是由外而內的監控，而是讓系統自己就具有足夠、豐富的資訊，可以對外提供各種系統資訊，方便觀測系統的狀態。尤其，隨著系統的部署後，SRE需掌握系統的運作狀況，一旦發現系統的效能不佳，需要進一步開始聚焦如何提升系統的穩定性。星展集團在提升系統穩定性的工作上，也應用了錯誤預算（Error Budget）概念，來預先訂定可以容忍的系統出錯空間。</p> <p>接著，第五項準則聚焦產品服務推出的作法，像是要建置自動化CI/CD工作流程，來快速地自動擴大部署（rollout）服務，還有自動還原服務為舊版（rollback）。</p> <p>等到一項產品服務投入生產環境之後，SRE關注的焦點則轉為第六項的事件應變準則，重點放在，當服務發生問題時，可以多快速地恢復正常。一旦系統發生狀況，SRE需快速偵測出問題，並找出相對應的補救措施，盡快修復系統的問題。</p> <p>第七項則是組織面要建立不究責文化，來進行「不究責事件回顧」（Blameless Incident Retrospective）準則。這是一種事件回溯的作法，星展SRE會聚焦了解事件始末，對事不對人來檢討，從問題中找出解決問題的辦法，而非著重於找出引起問題的人或組織。Harpreet Singh表示，不究責文化對每一個SRE作法都非常重要，處理問題的心態需從責怪轉換為不究責。</p> <p>最後一項是教育準則，星展集團通過建立SRE課程，讓人員了解SRE的含義，不管是概念、表達方式還是所用的技術。為此，星展集團還自己建立了一套SRE認證計畫（SRE Accreditation Programme）和課程，來鼓勵人員學習SRE作法。</p> <p>星展8大SRE準則，不只是一種SRE方法論的思考實作，也是涵蓋了整體開發設計乃至維運方式的流程。Harpreet Singh強調，SRE並非是一種「做完交付就結束」的專案，它會不斷地發展，然後，不斷地驅動價值、實現目標，以創造更好的客戶體驗。以開發工程師為例，當他撰寫程式碼時，必須知道自己開發的系統必須建立可觀測性，維運團隊才可以支援和管理。</p> <p>甚至，Harpreet Singh認為，SRE必須成為一種規範（SRE as a norm），唯有這樣，SRE才能無縫地與工程結合，達成企業想要實現的目標，所以，「星展就是將SRE視為規範來推行，甚至，內化為我們的DNA。」</p> <p><span style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加坡星展集團SRE八大準則 </span></strong></span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 1 </span> </strong></span><strong>架構準則：架構設計採取「Design For Failure」（為因應失敗而設計））的設計概念</strong>。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 2 </span> </strong></span><strong>開發和建置準則：開發新系統時，SRE須了解系統開發如何從上到下影響了整體軟體堆疊（Software Stack），以及如何影響關鍵的可靠性指標。</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 3 </span> </strong></span><strong>測試準則：透過測試預先解決系統潛在問題。星展會用混沌測試工具破壞系統，了解弱點，在部署到生產環境前修復。</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 4 </span> </strong></span><strong>系統可觀測性準則：讓系統自己對外提供各種系統資訊，方便觀測系統的運作狀態。也用錯誤預算（Error Budget）概念，預先訂定可容忍的系統出錯空間。</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 5 </span> </strong></span><strong>產品服務推出準則：建置自動化CI/CD流程，快速自動擴大部署服務或自動還原舊版的機制。</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 6 </span> </strong></span><strong>事件應變準則：系統發生狀況，SRE需快速偵測問題，找出對應補救措施，盡快修復問題。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 7 </span> </span>進行不究責事件回顧（Blameless Incident Retrospective）準則。建立不究責文化，聚焦事件始末，對事不對人，從問題中找出解法，而非著重於歸咎人或組織。</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 8 </span> </strong></span><strong>教育準則：設計SRE課程來培訓員工了解SRE的含義，星展還有一套SRE認證計畫，來鼓勵員工學習SRE作法。</strong></p> <p>資料來源：星展集團，iThome整理，2021年4月</p> <p><span style="font-size:28px;"><strong>從3面向推動SRE轉型計畫</strong></span></p> <p>為了建立SRE為一種規範的認知，星展集團進一步建立了一項SRE轉型計畫，來加快內部擁抱SRE作法的速度，也要用來改變技術團隊建置和設計應用程式的方式，建立和交付可高度觀測的系統，Harpreet Singh比喻這個新作法，就是讓工程師「配戴一副SRE鏡片」。</p> <p>星展集團三管齊下，推動SRE轉型工程。首先是技術轉型，星展也從數百個既有關鍵應用程式下手，來落實SRE作法，讓這些應用系統的運作，都能符合8大SRE準則。統計到去年，星展已成功的轉換了超過100個核心應用程式符合SRE準則，今年的目標是，再進一步完成上百個關鍵應用程式的SRE轉換。</p> <p>其次是人員轉型，星展集團規畫了SRE認證計畫和培訓課程，來培訓工程師具SRE知識和灌輸SRE思維，提高人員的技能。Harpreet Singh強調，人是實踐SRE的關鍵。</p> <p>通過這個認證計畫，光是去年，星展集團就培訓了4千名技術人員，讓他們更認識SRE，並了解星展導入SRE設定實現的目標，進而知道自己可以為這個目標做出什麼貢獻。</p> <p>最後一項轉型工程是打造各種SRE啟動器（SRE Enablers），聚焦於建立一批新工具和服務，來支援應用程式進行SRE技術轉型。不管是測試系統、觀測系統，還是自動化部署系統，Harpreet Singh直言，這些SRE實作都需要工具支援，因此，星展也要求SRE團隊自己開發新工具，來改善應用程式的可用性、延遲性和效能等。</p> <p><strong><span style="font-size:28px;">選擇自建工具，以確保符合自身環境需求</span></strong></p> <p>經過這兩年的開發，星展集團為測試、容量規畫、觀測追蹤等工作，都開發了一套內部的SRE工具和服務。</p> <p>星展集團決定自行開發SRE工具時，經過兩項考量，第一個考量是，不確定商用產品能否無縫地在自己的環境內運作。Harpreet Singh解釋，SRE對金融領域來說，仍是相當新穎的概念，市場上，還沒有很多相對應的金融領域產品，因此，他們也無法確定，這些商用產品能否完全符合星展的環境。再加上，他認為，不同企業賦予SRE的角色不盡相同，所以，星展也擔心採用外部解決方案，反而在導入前得需花上大把時間評估和討論。</p> <p>其次是，星展也衡量過自身的工程開發能力，是否能建立可在組織和系統中無縫正常運作的工具。Harpreet Singh表示，只有星展集團自己才能清楚掌握自身環境的樣貌，知道自身環境對工具設計上的要求，再加上星展擁有適當的工程實力，因此，星展集團最後決定按照自己的方式，開發符合自身環境及需求的SRE工具和服務。</p> <p>例如，星展有一套自製的自助式混沌工程（Chaos Engineering）服務Wreckoon，Harpreet Singh解釋，就算市場已有混沌工程產品，但，星展集團要自行建構自身混沌工程的作法，確保工具能模擬他們想的到的所有故障或攻擊方法，才能更好地偵測系統弱點，並強化整體應用程式的彈性。</p> <p>Wreckoon服務目前具有40種不同類型的測試技術，不僅具備混沌工程功能，還有其他破壞系統的攻擊方法，而且，想要測試自身系統的使用者，不需找技術部門來協助，使用者可以直接進入該工具後臺，設定想要攻擊的系統對象，就會自動部署需要的測試任務。</p> <p>除了混沌工程工具Wreckoon外，星展集團還自行開發了不少SRE工具，像是自動糾正引擎（Auto-Remediation Engine）、容量規畫預測機器學習模型，以及SRE追踪、評估和審查服務，還有錯誤預算工具。此外，更採用了資料導向技術發展自動化機制，來優化開發、維運的工作週期。星展自己內部經統計，這個資料導向自動化機制在18個月內，節省了近百萬小時的維運和開發工作。</p> <p>Harpreet Singh認為，通過這些自行開發的工具，星展集團不僅能避免遭遇重大事故的衝擊，更證明了星展自己的工程能力，可以快速開發客製的解決方案，並推動大規模採用。</p> <p>疫情衝擊下，去年，許多民眾無法上街至銀行臨櫃辦理銀行手續，紛紛轉向數位銀行，使得許多銀行業者面臨系統容量擴充的挑戰。星展集團數位平臺和通路，都可以安然處理激增的流量，就是仰賴SRE強化了系統彈性和可靠性，還可快速交付新功能，這正是彰顯SRE價值的最好例子。</p> <p>Harpreet Singh表示，擁有想要不斷發展的心態，再加上，具有實驗精神和學習文化，是促使星展集團保持創新，以及不斷思考下一步的關鍵，所以，「SRE將繼續保有創新的步伐。」星展集團將繼續改造既有的系統，讓更多關鍵應用程式擁抱SRE作法，持續尋找可以優化現有SRE作法的方法。</p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">【星展SRE負責人快問快答 1】企業如何快速上手SRE？</span></span></strong></span></p> <p><strong>企業要懂得善用外部的協助，有助於實踐SRE。企業也可以與業界技術領導者交流，像是星展準備建置自助式混沌工程服務Wreckoon時，就先花時間研究Netflix如何進行混沌工程，研讀他們分享做法的書籍，以從中吸取經驗，才來研究星展可以怎麼做。多虧許多科技巨頭提供了透明化的資訊，今日有很多SRE資訊都是公開可取得的資訊。</strong></p> <p><strong>Harpreet Singh提醒，只有企業最了解自身應用程式的運作狀況，外部人員無法了解整體狀況，所以，企業利用適合自身環境的外部知識，是跨出SRE實踐的第一步，也是最佳秘訣，這正是當時星展的做法，如此，才不會受限於自身視野，只關注同一事物。</strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【星展SRE負責人快問快答 2】</span></span></strong><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#3399ff;">如何培養好的SRE工程師？</span></span></strong></span></p> <p><strong>要成為一名SRE工程師，擁有正確的態度與思考模式，至關重要，而不是技能，技能可以不斷再學習。此外，還會特別注重工程師做事情的方式，有時，工程師過於專注研究問題的根本。然而，一位SRE工程師看待問題時，要看到更多元的面向，甚至要以360度視角來掌握問題的全貌。因此，擁有專業的技能，以及願意學習的態度作為成長的基礎，還有可從稍微不同的角度來看待事物的能力，是一位好的SRE工程師需具備3個關鍵條件。</strong></p> </div></div></div>
2021/5/5 11:00作者黃郁芸https://www.ithome.com.tw/news/144120
CDN網路CloudFront現支援在邊緣大規模執行程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS擴展其CDN服務CloudFront的功能，新推出<a href="https://aws.amazon.com/tw/blogs/aws/introducing-cloudfront-functions-run-your-code-at-the-edge-with-low-latency-at-any-scale/">CloudFront Functions</a>，讓用戶能夠在邊緣，以低延遲且大規模地執行輕量級JavaScript函式，也就是說，用戶現在可以操作流經CloudFront的請求和回應，執行像是基礎身分驗證，或是在邊緣產生HTTP回應等工作。</p> <p>Amazon CloudFront可以低延遲且快速地交付資料、影片、應用程式和API，但現在許多應用程式需要在邊緣執行部分邏輯，而使用案例主要有兩個類型，第一種是當物件不在快取中，而且要執行較複雜的運算時，另一種則是能以簡單函式處理的HTTP(S)請求和回應。</p> <p>針對第一種邊緣運算類型，AWS在2017年的時候推出Lambda＠Edge服務，提供可編寫程式且無伺服器的邊緣運算環境，讓用戶在邊緣實作各種自定義的複雜運算，Lambda＠Edge函式會在地區邊緣快取，通常是最靠近客戶端附近CloudFront邊緣地點的AWS地區。</p> <p>而第二種類型是需要低成本且高效能的邊緣程式化解決方案，因此AWS現在推出了CloudFront Functions來補充這個需求空缺，讓用戶可以在全球218個CloudFront邊緣地點，執行輕量級JavaScript程式碼，CloudFront Functions的價格約是Lambda＠Edge的六分之一。</p> <p>CloudFront Functions非常適合處理輕量網頁請求，像是能夠用來操作快取鍵值和正規化，轉換URL、標頭、Cookie和查詢字串等HTTP請求屬性，而且透過轉換請求屬性，用戶可將多個請求正規化成單一快取鍵值項目，以顯著提高快取命中率。</p> <p>CloudFront Functions還能用於URL改寫和重新導向，生成回應將請求重新導向其他URL，或是以URL改寫來進行A/B測試，另外，也能用於HTTP標頭操作，包括查看、新增、修改和刪除任何請求和回應標頭。CloudFront Functions也可創建和驗證用戶生成的權杖，以允許或拒絕請求，進而對透過CloudFront傳遞的內容進行管制和授權。</p> <p>AWS解釋，由於要滿足現代應用程式需要的效能和規模，CloudFront Functions採用流程隔離模型，與Lambda＠Edge所使用的虛擬機器隔離模式非常不同，因此他們實施了一些限制，包括避免存取網路和檔案系統，讓函式的執行時間能夠小於1毫秒，而且每秒可以處理數百萬個請求，也不會對整個內容交付網路的效能產生明顯的影響。</p> <p>和Lambda＠Edge相似的是，CloudFront Functions透過執行程式碼來回應CloudFront生成的事件，也就是說，當CloudFront收到來自瀏覽者的請求，JavaScript函式將會在CloudFront轉發回應前觸發，而且在CloudFront轉送請求到請求來源（Origin）之前，以及CloudFront收到來源（Origin）回應前，還能進一步觸發Lambda＠Edge函式。</p> <p>用戶可以考量快取以及要進行的操作，將CloudFront Functions和Lambda＠Edge一併使用，而當用戶需要一些CloudFront Functions所沒有的Lambda＠Edge功能，像是網路存取或是更長的執行時間，也可以在CloudFront快取內容前後使用Lambda＠Edge。</p> </div></div></div>
2021/5/5 11:08作者李建興https://www.ithome.com.tw/news/144190
【臺灣資安大會直擊】戴夫寇爾執行長翁浩正為何不想再當技術狂？溝通與管理才是他資安技能樹的新焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>戴夫寇爾（Devcore）執行長翁浩正，今年作為臺灣資安大會資安人才系列活動的開場講者，在活動上以自身經驗為例，分享要成為傑出資安人才可參考的幾種方法與心態。他尤其聚焦在資安技能的學習上，認為正在學習資安技能的人，應逐步找到自己在產業中的定位，並同步發展適合自己的資安技能樹；而在學習過程中，若以遊戲化的學習方法來精進技能，就能降低因缺乏動力而導致半途而廢的機會。</p> <h3><span style="color: rgb(255, 140, 0);">從自身經驗出發，每一位資安人才都應該找到自己的定位，培養資安技能樹</span></h3> <p>「Allen，你不再玩技術了嗎？」翁浩正一開始就以他人對他的疑問，來說明自己技能樹的轉變。他表示，自己十年前也是個資安技術的狂熱研究者，近年來雖然仍會花時間研究技術，但在開始經營公司後，受到工作需求驅使，也開始發展策略面、管理面的技能，在原有的技能樹上，長出其他能力。</p> <p>過程中，他逐步尋找自己的定位，更遭遇了挫折。他在活動上詢問現場與會者，身邊是否有一個天才朋友，對於某項技能的天賦極高，且令人絕望的事，這位天才朋友還比自己還更努力，「遇到這種情況，你要如何贏過他？」</p> <p>翁浩正點明，在這個情況下，其實可以轉念思考，如果無法在單一技能贏過對方，那何不與對方合作，比如推廣對方的研究成果讓更多人看見，「如何把天才的話語，翻譯成人類看得懂的話？這是我覺得我可以做的事。」他因此開始盤點自己的技能，找出可著力的方向。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/181800884_482260579645447_3984781427766528714_n.jpg" style="width: 700px;" /></p> <blockquote><p>翁浩正十年前的技能樹，有攻擊技術、防禦技術、事件調查、程式開發、專案管理、溝通演講、教育訓練、系統網管等技能。</p> </blockquote> <p>比如說，翁浩正發現，技術成果最終一定要靠溝通、演講來傳遞給更多人了解，因此，他強迫自己要培養溝通的技能，從過去至今累積發表超過300場演講，從5人到上千人規模的研討會皆有，希望透過更精確、易理解的話語來對話與溝通，「讓大家都能聽得懂、感興趣。」</p> <p>同時，翁浩正也意識到：「相較於一個人作戰，團體戰一定可以走的更遠。」因此，從學生時期開始，他就與學弟妹籌組相關社團，後來也加入HITCON帶領社群，更創辦了戴夫寇爾，參與臺灣駭客協會。過程中，他也重新思考自己的定位，開始精進領導、組織、管理、策略規劃等技能，促成資安圈用打群架的方式，增進群體的資安實力。</p> <p>「資安人才應去思考自己的優勢在哪裡？」從自身的經驗出發，翁浩正鼓勵，欲從事資安工作的人，應先盤點自己擁有的技能，找出自己的專長，尤其資安領域的技術範疇非常廣闊，從事滲透測試、資安研究、戰略擬定等不同工作者，所需的技能與知識素養都不同，「你要知道你感興趣的領域是什麼，才能專精技能來獲得更高的成就。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/181563527_512808340062599_1967739047323231813_n.jpg" style="width: 700px;" /></p> <h3><span style="color:#FF8C00;">培養資安技能的工具與方法</span></h3> <p>資安人才在發展自己技能樹的過程中，也有些資料與工具能利用。比如翁浩正就分享了<a href="https://blog.knownsec.com/Knownsec_RD_Checklist/index.html">中國一家駭客公司定出來的通用技能樹</a>，其中不只有技術面的必備專業能力，也列出了做事方法的準則、自我成長的心態要點、甚至對於任職企業的信念等，他鼓勵，資安人才可以透過表格來檢視自己，還有哪些不足的能力需要補強。</p> <p>至於在專業技能的部分，則有一份在Github上的 Hack with Github文件，其中有一個<a href="https://github.com/Hack-with-Github/Awesome-Hacking">Awesome Hacking</a>專區，當中羅列了不同資安相關技術可使用的工具、可參考的技術文章或書籍，讓資安人才可在了解自己感興趣的領域後，能針對該領域所需的技能來精進自己。</p> <p>在學會相關技能後，資安人員可能會透過考取相關證照，來證明自己的能力，但翁浩正也提醒，在考照之前，要先了解每張證照的定位，比如透過一份美國資安專家Paul Jerimy製作的<a href="https://pauljerimy.com/security-certification-roadmap/">資安證照地圖</a>，就能比對每一張證照分屬哪個技能類別，來了解每張證照的定位，「不是考了CEH（Certificated Ethical Hacker，道德駭客認證），就可以去當資安顧問或研究員了，這是不足的。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-05%20%E4%B8%8A%E5%8D%885_29_07.png" style="width: 700px;" /></p> <p>發展出自己的資安技能樹後，翁浩正認為，下一步，則是要盤點自己的能力，找出在資安業界的定位，才能了解自己適合哪種類型的企業，進而發揮所長。但客觀盤點自身能力的方法，不是靠自己嘴巴上說：「我很強！」而是要透過與身邊朋友或合作夥伴的對談，來了解自己在合作過程中展現了哪些更突出的能力，同時也要去思考：「有什麼事非我做不可？」來找出自己獨特的定位。</p> <p>翁浩正建議，可以用三個面向來找出自己在產業中的定位。首先，是盤點自己的資安能力，找出自己與他人差異化的技能。找出這項技能後，同時，也要從市場需求的角度來看業界是否具有這類職位，是否需要這類人才。最後，則是要對這項工作懷抱熱情，尤其在資安領域，每天都有新攻擊手法、技術的演進，「如果沒有熱情，就難以追求新知識，把資安當成職業來做。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/181499982_328255201963974_1203188543123286595_n.jpg" style="width: 700px;" /></p> <h3><span style="color:#FF8C00;">靠遊戲化學習方法，找出精進資安技能的動力</span></h3> <p>翁浩正也分享，在學習資安技能的過程中，如何能持續不斷的學習？「回想一下，你在做哪些事情的時候可以廢寢忘食？打遊戲就是一個例子。」他指出，遊戲讓人沈迷的原因，在於遊戲具有某些特質吸引人持續性地玩，比如每天都要登入領獎勵、角色被賦予神聖的任務等，讓人感覺自己比別人厲害，從中獲得成就感是一大關鍵。同理，若能將資安技能的學習「遊戲化」，持續學習並精進資安能力，就會變得更容易。</p> <p>翁浩正以自己學Python的經驗為例，指出自己本來沒有動力學Python，但一位朋友在網路投票的活動上請他幫忙灌票，在這個需求驅使之下，由於用Python寫程式的速度快、複雜性低，他也就以Python來協助完成這項任務。另一個動力，則是來自於過去看網路漫畫下載圖片速度慢，但用Python一次將漫畫抓下來，後續就能更順暢的閱讀。換句話說，學習Python帶來的使命感與成就感，就成為翁浩正精進Python技能的動力。</p> <p>「我覺得作為一個駭客的駭客精神，不只是要駭入一個系統，更要駭入你的人生（Life Hack）。」翁浩正指出，用遊戲化的精神來進行Life Hack，就能在人生中學習各種技能時，都能更加有動力，且這個論述不僅能套用在資安技能的學習，更可以套用在各類技能學習以及習慣的培養上，「為了健康去運動、跑步、健身房，大家一定都有失敗的經驗，但如果在過程中獲得成就感，就能更容易將習慣養成。」</p> <p>在培養資安技能的過程中，翁浩正也指出，每個人也要找出自己快速進入心流（Flow）的方法，也就是快速進入非常專注於某件事的狀態，才能更心無旁騖的追求、學習、精進技能。他也分享自己快速專注的方法，就是戴上耳機聽特定的幾首歌曲，而每個人都應有最適合自己的專注方法。</p> <p>翁浩正也發表看法，指出當前許多人都會以「斜槓」學習了很多技能為榮，但他提醒，不是會下Google廣告，就可以稱為行銷人，斜槓學習了很多技能，可能對每一個領域都只是略懂皮毛而已。因此他也呼籲，在學習資安技能的過程中，不要盲目地想要斜槓學習或發展，而是應該先培養自己精通的第一專長，再根據需求培養第二技能，「每個技能都是武器，武器越鋒利，才能去打仗，獲得很棒的成果。」</p> <h3><span style="color:#FF8C00;">跨入職場前可先評估能力與職位是否相符，更要思考興趣當工作的可行性</span></h3> <p>最後，對於要進入資安產業的求職者，翁浩正提供了相關工具，來輔助資安人才盤點各種工作所需的能力。比如透過國外<a href="https://www.cyberseek.org/">Cyberseek網站</a>，可以了解各種職業的薪資水平、所需的技能，資安人才就能藉此檢視，自己距離這個職位還有多遠，還要再學哪些技能、考取哪些證照，才能勝任這份工作，「除了薪資的部分，臺灣可能還沒跟上，但其他的資訊可以讓求職者知道自己的定位。」</p> <p>又比如<a href="https://s.itho.me/cybersec/2021/maps/iThome_Taiwan_Cyberscape_Apr2021.pdf">iThome繪製了一份資安地圖</a>，2021年4月更新到最新版，求職者也可以從中檢視各種資安服務與產品的供應廠商，根據自己想從事的工作類型，選擇有興趣就業的公司來應徵。</p> <p>翁浩正表示，資安人才的選擇工作時，也要考量到，興趣與職業的權衡，「要不要把興趣當成工作，這是沒有答案的。」他舉例說明，有些人喜歡做打網站，但當資安攻擊成為工作，就需要根據客戶要求來進行攻擊，除了有各種限制，還要公布攻擊工具、把攻擊的結果整理成報告呈現，這不一定求職者選擇這份工作的初衷。</p> <p>同樣的，喜歡挖漏洞的人，將資安研究當成工作後，每天都要從事資安研究，且一年產出的漏洞數量有限，大多時間是做白工，也不是每個人都能承擔這個壓力。「不要盲目覺得這個工作好棒，要思考，當它成為你的日常生活，你是不是能接受？」</p> <p>翁浩正最後也提醒：「人生中的每個歷練，都會成為成長的養分。」扣回一開始曾向觀眾提到的，他過去曾覺得自己的資安技術超強，但後來發現，許多努力的天才比自己更厲害，不過在找到自己的定位後，挫折就會成為進化的養分，重新化為成長的動力。</p> </div></div></div>
2021/5/5 08:44作者翁芊儒https://www.ithome.com.tw/news/144191
【臺灣資安大會直擊】如何量化資安風險？專家推薦ISACA COBIT評估框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>達文西個資暨高科技法律事務所所長葉奇鑫今（4日）在臺灣資安大會上，分享一款資安風險量化評估工具ISACA COBIT 2019，能根據不同企業的重點資產，來量身打造專屬資安評估和建議，比傳統的資安標準ISO 27001更靈活；即使企業面臨多種資安風險量化挑戰，如風險評估方法不一致、經驗不足造成資料分析限制，他建議，可以用ISAC COBIT 2019來改善。</p> <p><strong><span style="font-size:22px;">為何要量化？</span></strong></p> <p>葉奇鑫是臺灣少數同時具有法律、科技和金融實務經驗的專家，曾任法務部檢察官、eBay交易安全長、露天拍賣營運長，現在不只擔任律師事務所所長，還是永豐金控董事、電腦稽核協會的理事長等。</p> <p>在他看來，「量化是衡量事物最直覺的方法，有著一目了然、客觀且協助決策的優點。」比如以分數來表示信心程度，讓人一看就懂；或是以數學公式量化金融風險，客觀陳述；對企業決策者來說，量化可以協助主管快速決策，優先將資源投入需要修補之處。</p> <p><span style="font-size:22px;"><strong>資安風險量化的現實困境，IT和營運角度大不同</strong></span></p> <p>資安風險量化更是如此。但，資安風險量化還有不少現實困境，葉奇鑫舉例，像是風險級距劃分不統一，「有些太過籠統，有些太過細緻，」比如有些資安風險評估是1到5分，有些1到10分，其中每一分的級距就很難界定。</p> <p>此外，資安風險量化還有只重資料、輕忽分析的問題，以及資料認知偏差、資料規模和品質不理想等。這些看來也許抽象，葉奇鑫以自己過去在露天拍賣的經驗來說明，有天自家技術長告訴他，搜尋引擎的物件最高承載量只有400萬件，等於架上拍賣的物件一旦超過400萬件，「網站就會開不起來，」而且「明天就會發生。」</p> <p>這對任何一家企業來說，都是「巨大的IT安全挑戰。」當時技術長的解決方法是，利用開源框架重新開發一個搜尋引擎，但要花3個月。這在負責營運的葉奇鑫看來，IT人可以考慮這個選項，但對營運者來說完全不行。於是，他要求內部人員每天將最舊、未賣出的商品下架，來維持400萬件內的物件數，直到3個月後新引擎上線。</p> <p><strong><span style="font-size:22px;">或然率不確定性怎麼估風險？資安風險量化的實作挑戰還有這些</span></strong></p> <p>不只如此，在實作上，資安風險量化也有許多困難，比如或然率的不確定性。葉奇鑫指出，事件發生的可能性以機率表示，但機率本身是不確定的，比如他5年前進行證券商的IT系統評估，對方告訴他，系統承載量為每日1千多億元成交量，但證券商為了保險起見，會用3倍最大的，也就是3千億來設計最大承載量。</p> <p>「但最近的股市成交量高達5、6千億元，導致各券商的App幾乎都會出現不順的情況，」他認為，這是因為，5年前，證券商對5年後成交量超過5千億元的可能性評估是0，這就是或然率不確定性導致的風險。</p> <p>除此之外，實作困難還有多因素資料分析的協調難度、經驗不足導致資料分析不全面，以及相關人才稀缺等問題。其中，多因素資料分析協調困難的意思是，「公司越大，資料範圍就越廣，」比如金控底下有銀行、證券、保險，3種業務截然不同，要全面盤點資料來量化資安風險，也就越複雜。</p> <p><strong><span style="font-size:22px;">COBIT 2019風險量化框架可以怎麼用？</span></strong></p> <p>雖然資安風險量化有著種種困難，但葉奇鑫認為，每家企業還是得根據自家最重要的資產，來量身訂做最適合的風險量化評估，而且，「好的資安風險量化框架，能助企業扭轉劣勢。」他也盤點目前幾款主流的資安風險量化框架，像是國際電腦稽核協會（ISACA）的 COBIT 2019，以及常見的ISO 27005、NIST SP800-30、OCTAVE和OWASP等。其中，他特別推薦COBIT 2019。</p> <p>COBIT 2019以前一代COBIT 5為基礎，再加上新法規和社群貢獻內容設計而成。COBIT 2019架構龐大，包括核心元件、相關框架手冊、設計指南、聚焦領域，以及最終產物：客製化的企業IT治理系統。</p> <p>以核心元件來說，COBIT 2019有5大類核心模型，首先是EDM為編號的治理框架設計和維護、風險優化等，再來是APO為編號開頭的資料管理、預算成本控管、人力管理等，第3類則是編號BAI的託管計畫、託管IT變化、託管設置等，接著是DSS編號的託管安全服務、託管作業等，最後是編號MEA的託管內部控制系統、託管成效等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/723A0664-D3F1-4C4E-8537-BD01C04D4988.jpg" /></p> <p>以實作流程來說，COBIT 2019和常見的企業流程管理PDCA類似，「但步驟更細緻。」葉奇鑫解釋，COBIT 2019核心概念有7個步驟，包括起始計畫、定義問題和機會、設定藍圖、擬定計畫、執行計畫、實現益處、檢視成效等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/F4668286-63D6-4EA7-95A0-313785A6EF57.jpg" /></p> <p>針對資安治理，COBIT框架也特別涵蓋一套系統設計流程。這個流程有4大步驟，分別是瞭解企業處境和策略、決定初始治理系統範圍、精煉治理系統範圍、總結治理系統設計。在每一步驟中，又可再細分好幾個小步驟，讓企業按部就班設計最合適的系統。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/7D749786-0542-4597-AA1D-2225BC089C09.jpg" /></p> <p>另一方面，COBIT框架還有一套風險情境評分表，讓企業根據不同情境，來評估風險衝擊程度和發生的可能性。最後再以不同顏色，來標註該風險的程度高低。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/8873A4B3-F8A8-4443-990C-40B3F3F233F6.jpg" /></p> <p>接著，系統會根據上述風險評估結果，以一張視覺圖表來呈現。葉奇鑫解讀，圖表中的面積越大，就代表企業在該領域的表現越好。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1E312AA7-C711-44B5-B850-36D6C3AF7D82.jpg" /></p> <p>根據這個風險量化結果，COBIT也提供一套決策示例表，來解釋企業決策和企業內部人員的關係。表中涵蓋不同的決策主題和範圍，以及企業內部的負責單位，包括執行小組、IT治理董事會、企業風險小組、專案管理者、專案小組、IT管理、業務處理負責人和職員。</p> <p>而要考量風險的利害關係對象時，最重要的就是RACI模型，這4字分別是指執行者、稽核者、需諮詢的對象，以及需告知的對象。舉例來說，以下表第一項「治理」主題為例，執行小組和IT治理小組對應到R，代表這兩組負責執行決策，而企業風險小組則對應到C，也就是需要諮詢的單位。至於對應到I的職員，則是要被通知的單位。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/06CA8119-6681-461D-B91C-41B603FC9D28.jpg" /></p> <p>他希望，除了ISO 27001之外，這套資安風險量化評估框架，可以成為臺灣企業的另種選擇。</p> </div></div></div>
2021/5/4 21:38作者王若樸https://www.ithome.com.tw/news/144186
【臺灣資安大會直擊】中華電信揭露2021第一季台灣DDoS攻擊災情數據，3月攻擊近3百次，最高流量達273Gbps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每隔數日就會看到有企業貼出公告，說明自身遭受DDoS攻擊，如今，DDoS攻擊已成為新常態，但，你知道每個月有多少DDoS攻擊事件在臺灣發生嗎？中華電信今日（5/4）在臺灣資安大會揭露，今年第一季全臺DDoS攻擊數據，1月時，DDoS進階防護區防護了逾300次攻擊，其中，最大攻擊流量達58.1Gbps，而主要遭受攻擊的產業為金融保險和貿易銷售。</p> <p>回顧1至3月間臺灣DDoS攻擊趨勢，中華電信以兩個面向來分析，分別是旗下DDoS防護服務的進階防護區，以及HiNet接取網路部分。DDoS進階防護區的部分，1月份時，中華電信觀察到307次攻擊，進入2月後，攻擊次數較為減少，下降為243次，3月份再降為195次。</p> <p>單看3月份DDoS防護區的攻擊狀況，最長攻擊時間為74分鐘，平均攻擊時間則落在30分鐘內，而整體195次攻擊數相比2月份，減少了48次，降低近2成，但，單次最大攻擊流量達49.6Gbps，相比2月的16Gbps最大攻擊流量，增加逾兩倍。</p> <p>中華電信數據通信分公司資訊處資安產品與技術顧問組組長吳明峰表示，單看攻擊流量數值49.6Gbps，會感覺這流量不是特別大，但他指出，一般企業已無法承受這樣的攻擊流量，不僅沒有足夠的頻寬待命，後端伺服器也無法承受。</p> <p>接著，HiNet接取網路的部分（不包含DDoS進階防護區），也就是中華電信可看到的所有DDoS攻擊，1月份時，共觀察到121次攻擊，2月下降至77次，3月則回升至95次。相比2月份，3月份DDoS攻擊次數增加18次，成長23.37%，其中，單次最大攻擊流量達273Gbps，增加逾1倍，更遠遠高於同月DDoS防護區的最大攻擊流量49.6Gbps。</p> <p>接著，吳明峰以產業別遭受DDoS攻擊的影響，來分享第一季的DDoS攻擊趨勢。DDoS攻擊防護區內受攻擊的對象，1月份時，以金融保險業和貿易銷售業為主，分別占59.1%和31.8%，接續是資訊通信業、製造業，而2月份被DDoS大為攻擊的產業是金融保險業和資訊通信業，金融保險業受攻擊的占比更達76.9%，3月主要攻擊對象一樣是金融保險業和資訊通信業，接續是服務業、製造業。</p> <p>資訊通信業中，尤以遊戲、購物網站等，最常成為駭客攻擊的目標，吳明峰表示，玩家在玩遊戲時，無法接受任何延遲，因此，常成為駭客攻擊標的，他提到，4月份時，遊戲業也遭受大量的攻擊，其中更觀察到有攻擊的流量超過200Gbps。</p> <p>而HiNet接取網路的部分，1月份，DDoS攻擊對象以資訊通信業和學術教育產業為主，分別占40.9%和17.4%，接著是金融保險業、製造業、電信業和服務業，至2月份，主要攻擊對象變為資訊通信業和金融保險業，分別占43%和20%，緊接著是占比17%的學術教育，再來是服務業、製造業和電信業，3月主要攻擊對象又回到1月份的資訊通信業和學術教育產業，分別占27.3%和20.9%，接著是金融保險業、服務業、製造業、貿易銷售和電信業。</p> <p>第一季每月最高上看300次DDoS攻擊，在這數百次的DDoS攻擊背後，更藏著無數的攻擊方式，包含小封包、大封包、反射式攻擊、連線性消耗伺服器頻寬等方式。吳明峰表示，根據調查發現，傳統方式仍是最常發生的攻擊類型。</p> <p>以DDoS進階防護區來看，3月份195次的攻擊裡，以TCP RST Flooding、異常流量為主要的攻擊類型，分別發生83次和81次。</p> <p>吳明峰表示，TCP RST Flooding攻擊的特色是，具有非常小的攻擊封包與流量，所以，企業如果只監測流量變化，並無法察覺伺服器遭受攻擊，他指出，這些封包大小雖小，但因封包量大，會持續影響企業頻寬裡的所有網路設備，包含防火牆、伺服器等都會被攻擊拖垮。</p> <p>在中華電信接取網路服務方面，3月份近百次的攻擊量中，攻擊類型主要以異常流量為主，有63次攻擊都是採異常流量的攻擊方式。</p> <h2><strong>惡意連線在北市發生率最高，占全國惡意連線企業數近22%</strong></h2> <p>另外，吳明峰還揭露中華電信用情資掌握的惡意連線事件分析數據，來勾勒企業對外連線到惡意中繼站的輪廓。1到3月份間，全臺各地出現惡意連線事件的企業數超過1.6萬家。</p> <p>其中，臺北市占21.5%居冠，有3,531家企業連線到了惡意中繼站，其次是新北市，占17.78%，接著是，臺中市、桃園市、高雄市、臺南市、新竹、彰化，他們是企業出現惡意連線事件數量的前八大縣市。</p> <p>以產業別來看惡意連線事件的狀況，批發零售業受影響的企業數量最高，有近4千家零售企業與惡意中繼站連線，占24%，再來是製造業，有近3千家企業受感染，占18%，接著是，二類電信占18%、不動產業占5%，還有營造工程業占4%，相當於679家企業受惡意網站連線威脅。</p> <p>此外，中華電信也針對自身提供的兩種線路類型：非固定制線路和固定制線路，進行惡意活動分析。根據調查，中華電信發現非固定制線路的惡意活動較多，占連線惡意中繼站企業數的64%，是固定制線路36%占比的1.8倍。</p> <p>吳明峰表示，推測是因為大部分企業把資安防護設備放在固定制線路裡，並把非固定制線路放在外圍使用，所以，受到的資安防護相對少，惡意連線數量因而較多。</p> <p>除了DDoS攻擊、惡意連線事件外，吳明峰也點出今年企業應注意的其他主流資安威脅，包含了勒索病毒、APT攻擊、IoT裝置漏洞、供應鏈風險、網路釣魚和挖礦。</p> <p>日前，蘋果產品發表會前，駭客團體REvil以勒索軟體攻擊廣達，獲得蘋果產品資料。就是近期勒索軟體攻擊事件最具代表性的例子。吳明峰表示，勒索病毒對駭客來說是容易獲得豐厚報酬的方式，且開發一隻勒索病毒，僅需1至2個月，因此，勒索軟體會持續是威脅企業營運和整體安全的最大威脅。</p> <p>針對近期常出現的目標式勒索攻擊，吳明峰也向企業提出應對建議，從目標式勒索4階段的駭客攻擊方式，來面對風險。首先，在入侵階段，駭客會暴力密碼破解，還有透過社交工程與釣魚郵件，進行APT攻擊，對此，吳明峰建議企業建立持續性的弱點管理，還有盤點對外暴露的資產。其次，進入橫向擴散階段，駭客會利用無檔案攻擊，還有各式系統管理工具，像是WMI，來橫向擴散威脅。因應上述狀況，吳明峰表示，企業需建立資安監控與事件處理機制，還有隔離重要系統網段等。</p> <p>下一階段是資料竊取，駭客會通過資料庫存取、影子IT、各式加密通道等方式，傳輸企業裡的資料至外部。吳明峰提出幾點建議，包含導入資料外洩防護機制，還有監控異常存取行為，以及控管使用者權限。</p> <p>最後，當目標式勒索進入勒索軟體大規模加密階段後，駭客會先停止防毒軟體與安全防護機制，然後，透過大規模派送機制，入侵像是AD、資產管理系統等，來派送勒索軟體。所以，吳明峰建議企業建立備份及還原機制，以及防止駭客透過AD進行大規模派送，還有，需定時進行相關演練。文◎黃郁芸</p> </div></div></div>
2021/5/4 23:17作者黃郁芸https://www.ithome.com.tw/news/144188
【臺灣資安大會直擊】純網銀如何防範網路金融犯罪？樂天銀行總經理佐伯和彥揭露2大原則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安大會在今天（5/4）於南港展覽館二館正式登場，樂天國際銀行總經理佐伯和彥在大會進行主題演講時，以日本樂天銀行經營20年純網銀的經驗，分享樂天網銀的資安之道。</p> <p>佐伯和彥以行政院政務委員唐鳳先前的演講內容作為開場。當時，唐鳳在演講中曾提及，面對Covid-19 疫情，如果可以讓每個人的傳播能力，降低到1以下的話，就可以有效控制整體疫情。這樣簡單的公式，為佐伯和彥帶來很大的提醒，他認為，許多事情只要透過簡單公式，其實可以讓政策做更多有效的應用。即便是套用到銀行業的資安作法，也是相同的道理。</p> <p>佐伯和彥加入籌備臺灣這家樂天純網銀之前，早在2000年，就已經參與了日本樂天銀行的前身eBank籌備設立純網銀的過程，並在團隊中擔任行銷和營運的負責人，也在日本樂天併購eBank後，一路參與了日本樂天銀行的發展至今，可以說是日本樂天純網銀的元老級人物。</p> <p>佐伯和彥表示：「防範金融犯罪時，如何有效阻止網路犯罪，是非常重要的一件事。」在虛擬空間（Cyberspace），也就是以網路為平臺的人造空間中，會有危及電腦網路安全的犯罪行為，比如，來自電腦外部的不法入侵，竄改或破壞數據，或是洩露資訊，電腦病毒感染等。然而，在這個透過網路連結各種事物的世界，如果沒有將網路安全做好保障，會直接影響到我們每個人的日常生活。</p> <p>10年前，當時還在日本樂天銀行的佐伯和彥，整理出一張結構圖，是針對銀行業，駭客會鎖定的3大攻擊目標。他提到，銀行主要系統的伺服器（Main System Server）是駭客最大的目標，也是許多網路犯罪者最先攻擊的部分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_7396.JPG" /></p> <p>另外兩大攻擊目標，一個是銀行職員所使用的電腦，他提到，通常駭客會假冒社會人士，來侵入或攻擊銀行職員的電腦。另一個則是顧客所使用的載體，如手機、電腦，駭客會透過釣魚網站或是電腦病毒，對顧客端的載體進行攻擊。佐伯和彥表示，在防範政策上得有對應的作法，主要系統的伺服器會有伺服器的資安防範對策，對於銀行職員也有相關對資安防範對策與教育，就連顧客端也必須進行網路犯罪教育。</p> <p>他也提到，較為早期時，網路犯罪者是想展露自己擁有能駭入企業或組織的技術。或是對於一些組織或機關，有自己的社會理念，認為要透過攻擊這些組織或機關來實現自身的理念。但，針對金融機構的網路攻擊，最大目標是取得金錢。</p> <h3><span style="color:#0000FF;"><strong>樂天網銀防範網路金融犯罪首要原則，讓網路犯罪者的攻擊成本大於獲得利益</strong></span></h3> <p>佐伯和彥更進一步揭露日本樂天經營純網銀20幾年的經驗中，歸納出防範網路金融犯罪的2大基本原則。</p> <p>首先，「讓網路犯罪者或攻擊者會消耗的成本，大於他們所能夠得到的利益，就能有效遏止駭客入侵攻擊，這是樂天純網銀最大的原則。」佐伯和彥強調。</p> <p>他進一步解釋，當銀行談到資安防範或是網路犯罪時，通常會想到防洗錢（AML），或是如何做好資安的防備等作法。可是，回歸到上述的基本原則時，會發現不管是洗錢還是網路犯罪，都只有兩大切入口，一是加害者的帳戶，另一個是被害者的帳戶。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_7408.JPG" /></p> <p>佐伯和彥強調，駭客會分別從加害者帳戶或被害者帳戶入侵，唯一的防備方法只有一種，「那就是設法讓帳戶不要有任何動作產生」，這是防範網路犯罪的最大方法。他舉例，比如，樂天純網銀發現有人設法入侵或侵佔被害者帳戶時，銀行就要想辦法凍結該帳戶，讓被害者的金錢不會往其他不明的帳戶流動。或像是一旦發現某帳戶有洗錢的行為出現時，銀行也要設法阻止，避免讓金錢流向打算洗錢的帳戶。</p> <p>樂天純網銀在阻止網路犯罪上，基本有3項動作。佐伯和彥表示，第一項是不斷的隨時檢測加害者或被害者的帳戶；第二項是評斷帳戶是否正常運作；第三項則是，萬一發現有任何不正常的營運時，銀行就會實行各項措施並加以阻止。</p> <p>他坦言，在這整個過程中，銀行方得花上許多心力、時間與金錢來阻止犯罪產生。不過，相對的，這些從外部透過網路攻擊銀行的犯罪人士，也必須要消耗很大的成本，來破解銀行的防治方法。佐伯和彥表示，讓網路犯罪者消耗大量成本才能獲得利益，對於他們來說是一項不划算的行為，這也是樂天純網銀採取的重要原則，透過這樣的方式來減少駭客想攻擊銀行的企圖。</p> <h3><span style="color:#0000FF;"><strong>金融資安防範需銀行同業與顧客通力合作，才能發揮最大力量與效益</strong></span></h3> <p>樂天純網銀防範網路金融犯罪的另一基本原則是，「資安必須是社會全體具有共同合作、對抗犯罪的意識，企業則必須捨棄獨善其身的想法。」</p> <p>佐伯和彥談到，在企業中負責資安領域的人員，感受最深的應該是現在的網路犯罪手法，越趨高端化、複雜化。他認為，以銀行業界來說，包括銀行同業、顧客都要通力合作，才可以讓整體的力量大於犯罪人士。因為，資安的環節中，「只要其中一環斷裂或是薄弱，就會讓這些犯罪人士趁隙而入。」他強調。</p> <p>而隨著資訊技術不斷進化發展，網路犯罪更不再只是工程師需要面對的問題。因此，他認為，培育人才並不斷推動研究技術，是企業非常重要的任務。</p> <p>甚至，佐伯和彥也進一步透露樂天網銀未來在資安上將著重的重要課題。他表示，許多犯罪手法會發生在用戶使用的載體或空間，比如在手機、應用程式App，或是通訊軟體，而在這部分的犯罪事件也正快速增加中。主因是這些手機上的功能操作簡便且容易上手，當越來越多人使用後，對網路犯罪者來說，就有更多機會可以趁虛而入。</p> <p>另一項樂天網銀的重要課題是，必須在產業間加強合作的連結。佐伯和彥比喻：「就像一根筷子輕易就能被折斷，只有一個人單打獨鬥是絕對不夠，必須要有多雙筷子通力合作，才能產生最大的力量與效益。」</p> <p>佐伯和彥認為，防範網路犯罪沒有特效藥，加上犯罪手法日新月異，企業得像在玩打地鼠的遊戲一樣，當有任何犯罪冒出頭時，就得設法阻止並壓制下去，即便這個過程非常枯燥。他也提到，銀行得共同從小地方開始防範，一步步累積，力量才會更大，才能有效防止網路犯罪。</p> <p>最後，佐伯和彥談到，在疫情之下，防範最有效的地方就是臺灣。他認為，臺灣的防疫成果能如此顯著，並非只有政府呼籲就能做到，更重要的是每位臺灣國民、各個企業、機關大家齊心通力合作，才有這樣的防疫成效。同樣的，電腦病毒與網路犯罪也是病毒的一種，只是類型不同，樂天銀行也希望大家都能夠通力合作，防範網路犯罪。文⊙李靜宜</p> </div></div></div>
2021/5/4 19:06作者李靜宜https://www.ithome.com.tw/news/144184
AWS針對金融服務推資料管理和分析工具Amazon FinSpace
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出了一項金融資料管理和分析解決方案<a href="https://aws.amazon.com/tw/blogs/aws/amazon-finspace-simplifies-data-management-and-analytics-for-financial-services/">Amazon FinSpace</a>，簡化儲存、分類、準備和分析金融資料的工作。Amazon FinSpace是專為金融服務產業（FSI）打造的資料管理和分析服務，該服務能夠在數分鐘內，查詢和準備數PB可供分析的財務資料。</p> <p>官方提到，資料管理是金融服務業的核心，而所要分析的資料來自內外部，包含投資組合、精算和風險管理系統等內部資料儲存的資料，還有來自證券交易所的歷史證券資料等，第三方資料來源的PB級資料，分析師要從這些資料中找出正確的資料，並且以相容的方式取得存取資料的權限，這個準備分析資料的過程可能需要耗費數個月。</p> <p>在資料合併和分析之前，資料分析師需要花數周或數個月的時間，才能從各個部門中，查詢和存取資料，而每個部門都是按照市場、工具和地理位置設置，除了邏輯上的隔離之外，資料還可能存在物理隔離的挑戰，分開儲存在不同的IT系統、檔案系統和網路中，而且因為資料的存取受到治理和政策的控管，因此分析師必須向法遵部門解釋存取請求，這個過程通常是手動且繁瑣的程序。</p> <p>在取得授權之後，分析師才能開始對大型資料集執行運算邏輯，以準備進行分析，或是擷取資料的衍生資料，AWS提到，這些工作通常會在容量有限的伺服器上執行，因為這些伺服器並非設計來處理現代規模的金融服務工作負載。</p> <p>在準備資料所遇到的各種挑戰，都可能成為金融服務發展的阻礙，而AWS現在新推出Amazon FinSpace服務，便是要來解決這些問題，透過自動尋找資料並且準備分析資料，以消除儲存、準備、管理和審核對資料存取所需要的繁瑣工作。</p> <p>Amazon FinSpace使用了產業和內部資料分類約定，來儲存和組織資料，分析師能夠連接到Amazon FinSpace網頁介面，使用S&P500、CAC40等商業術語搜尋資料，還可以使用內建函式庫所提供的100多個時間序列資料功能，來處理準備分析的資料集，並在整合的Jupyter筆記本進行資料實驗，以雲端規模平行化運算，就能在數分鐘內完成財務資料轉換。</p> <p>另外，Amazon FinSpace還提供了一個框架來管理資料存取，並審查存取資料的身分和地點，在追蹤資料使用後，產生法遵和稽核報告。</p> </div></div></div>
2021/5/4 17:23作者李建興https://www.ithome.com.tw/news/144183
微軟共同創辦人Bill Gates宣布結束27年的婚姻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟共同創辦人比爾.蓋茲（Bill Gates）與妻子Melinda Gates今天（5/4）<a href="https://twitter.com/BillGates/status/1389316412259270657" target="_blank">透過Twitter宣布</a>，雙方決定結束這場27年的婚姻，也要求外界給予他們空間及隱私，好讓他們展開新的人生。這是繼Amazon創辦人<a href="https://www.ithome.com.tw/news/128174" target="_blank">貝佐斯（Jeff Bezos）</a>之後，科技產業另一起聚集眾人目光的離婚事件。</p> <p>Bill Gates表示，經過對彼此關係的努力與深思熟慮後，他們決定結束婚姻，在這27年來，他們共同養大了3個很棒的孩子，還建立一個基金會，以協助全球人類更健康及更有生產力，未來他們將繼續共享這個使命，共同為基金會努力，但下一階段已無法再以夫妻的角色共同成長。</p> <p>Bill Gates在1975年創辦微軟，Melinda Gates則是在1987年進入微軟擔任產品經理，兩人相戀後在1994年結婚。目前Bill與Melinda Gates仍然共同經營全球最大的慈善基金會Bill & Melinda Gates Foundation（BMGF），BMGF的基金規模高達468億美元，而且未來兩人也會繼續共同經營該基金會。</p> <p>現年65歲的<a href="https://www.forbes.com/billionaires/" target="_blank">Bill Gates為全球第四大富豪</a>，擁有1,240億美元的身價，落後貝佐斯的1,770億美元、馬斯克（Elon Musk）的1,510億美元，以及法國首富Bernard Arnault的1,500億美元。</p> <p>Bill Gates並未公布與Melinda Gates的財產分配。不過，Jeff Bezos的前妻MacKenzie Scott，在離婚後分得大筆的財產，<a href="https://www.forbes.com/profile/mackenzie-scott/?list=billionaires&sh=1b400abd243d" target="_blank">現居全球富豪排行榜上的第22名</a>，身價為530億美元。</p> </div></div></div>
2021/5/4 16:23作者陳曉莉https://www.ithome.com.tw/news/144181
Dell以40億美元出售雲端資產Boomi
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼分拆VMware之後，<a href="https://corporate.delltechnologies.com/en-us/newsroom/announcements/detailpage.press-releases~usa~2021~05~may-03-2021-announcement.htm#/filter-on/Country:en-us" target="_blank">Dell周日（5/2）宣布</a>將以40億美元，出售旗下雲端資產Boomi，買家為投資公司Francisco Partners與私募基金TPG Capital，預計於今年底前完成交易。</p> <p>成立於2007年的Boomi為一整合平臺暨服務（integration platform as a service，iPaaS）業者，專門協助客戶解決不同系統的整合問題，在2010年被Dell買下，全球有超過1.5萬家客戶。</p> <p>Dell營運長Jeff Clarke表示，未來Dell將繼續發展核心基礎設施與PC業務，同時擴張優先領域，包括混合與私有雲端、邊緣、電信，以及加速企業數位轉型的APEX專案。</p> <p>不過，外界認為Dell不管是分拆VMware，或是出脫Boomi，都是為了應付<a href="https://www.ithome.com.tw/news/99332" target="_blank">併購EMC</a>之後的沈重財務負擔。</p> <p>另一方面，買家之一的 TPG Capital指出，現在比任何時候都需要應用程式的自動化與資料整合，Boomi雲端平臺讓商業流程更順暢，也是推動數位轉型的要件，將與Boomi團隊及Francisco Partners合作，扶植Boomi成為一獨立的實體。</p> </div></div></div>
2021/5/4 16:37作者陳曉莉https://www.ithome.com.tw/news/144182
Epic告蘋果壟斷案，卻翻出賈伯斯無意從App Store獲利的歷史
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名的美國遊戲暨平臺開發商Epic Games去年8月，在Android及iOS版的《要塞英雄》（Fortnite）遊戲中，添增了自家的Epic Direct Payment支付機制，結果因違反蘋果與Google的程式市集規定而被下架，隨後Epic Games同時控告蘋果與Google妨礙市場競爭，<a href="https://s2.q4cdn.com/470004039/files/doc_financials/2021/q2/_10-Q-Q2-2021-(As-Filed).pdf" target="_blank">與蘋果之間的訴訟</a>在周一（5/3）正式開庭，這起訴訟案讓許多蘋果內部文件曝光，透露出App Store的獲利其實是蘋果無心插柳柳成蔭的結果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0814-epic-direct-pay.png?itok=ECxcTu1i" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Epic Games</span></p> <p>蘋果要求App Store上的程式必須透過蘋果的支付機制向用戶徵收費用，不管是訂閱或是程式內購買，且在第一年由蘋果取得30%的拆帳，第二年或是其它符合小型企業資格的開發者，則僅需支付15%的費用。此舉被Epic Games認定是蘋果濫用其市場壟斷地位的作法，聲稱蘋果建立了高牆花園，其專家證人<a href="https://www.theverge.com/2021/5/1/22414402/epic-expert-apple-app-store-fortnite-court-profit" target="_blank">Ned Barnes分析蘋果財報之後推估</a>，App Store在2019年的營業利潤率（operating margin）高達77.8%。</p> <p>有趣的是，在Epic Games翻出的蘋果內部文件中，顯示出蘋果創辦人賈伯斯（Steve Jobs）在2008年發表App Store時，表示蘋果並不打算自該程式市集賺錢，建立App Store是為了提高iPhone的價值，推動iPhone銷售。但接著蘋果在2009年開始，要求開發者必須透過蘋果的支付機制向使用者收費，並徵收30%的分潤。</p> <p>蘋果文件亦透露，當時負責產品行銷的蘋果副總裁Phil Schiller曾提議，是否在App Store的獲利達到10億美元時，降低拆帳比例。</p> <p>根據截至3月27日的蘋果2021財年第二季財報，在該季896億美元的總營收中，服務營收為169億美元，約占蘋果總營收的19%。蘋果並未單獨列出App Store營收，而所謂的服務營收，除了App Store之外，還涵蓋了AppleCare、Maps、Siri、iCloud與App TV+等。該季蘋果的總獲利為236億美元，但蘋果亦未公布產品及服務的各別獲利，使得儘管外界相信App Store的獲利頗豐，卻無確切的佐證數據。</p> <p>不論如何，蘋果駁斥了Barnes的說法，一來蘋果並未針對App Store建立獨立的損益表，二來App Store是建立在龐大的蘋果生態體系上，必須計入成本。</p> <p>有別於Google允許使用者自Google Play以外的平臺下載Android程式，反觀基於iOS的蘋果生態體系，只能從App Store下載程式，而讓Epic Games把矛頭對準蘋果，Epic Games更說，此次的訴訟並不只是為了該公司本身，也為了廣大的開發者。</p> <p>蘋果以安全為由，禁止使用者透過第三方下載iOS程式，或是禁止程式於App Store上使用第三方支付系統，且認為法律保障蘋果對封閉系統的選擇，<a href="https://www.theverge.com/2021/5/3/22417725/apple-vs-epic-full-trial-slideshows-opening-arguments" target="_blank">如同保障Sony與任天堂</a>。</p> <p><a href="https://www.ithome.com.tw/news/144152" target="_blank">日前歐盟</a>才對蘋果發出異議聲明書（Statement of Objections），認為蘋果要求Spotify等第三方程式使用其支付機制，是濫用其獨大地位以扭曲市場競爭秩序的行為。不管是Spotify或Epic Games攻擊的，都是蘋果App Store的支付政策，歐盟目前傾向於支持Spotify，而Epic Games與蘋果之間的訴訟結果，則頗令人好奇。</p> </div></div></div>
2021/5/4 15:31作者陳曉莉https://www.ithome.com.tw/news/144173
蘋果修補4個已遭開採的WebKit漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周一<a href="https://support.apple.com/en-us/HT201222" target="_blank">（5/3）緊急釋出安全更新</a>，修補4個已遭開採的WebKit漏洞，本周釋出的新版分別是iOS/PadOS 14.5.1、macOS Big Sur 11.3.1、iOS 12.5.3與watchOS 7.4.1。</p> <p>這4個漏洞分別是CVE-2021-30661、CVE-2021-30663、CVE-2021-30665與CVE-2021-30666，皆與Safari瀏覽器引擎WebKit有關，而且都已經被開採。</p> <p>其中，CVE-2021-30661位於WebKit Storage，屬於釋放後使用漏洞，CVE-2021-30663則為WebKit的整數溢位漏洞，CVE-2021-30665為WebKit的記憶體毀損漏洞，CVE-2021-30666是緩衝區溢位漏洞，駭客只要利用特製的惡意網頁內容就能開採上述4個漏洞。</p> <p>這些漏洞影響了不同的平臺，只有iOS 12.5.3同時修補了4個漏洞，iOS/PadOS 14.5.1與macOS Big Sur 11.3.1則修補了CVE-2021-30663與CVE-2021-30665兩個漏洞，watchOS 7.4.1僅修補CVE-2021-30665漏洞。</p> </div></div></div>
2021/5/4 16:09作者陳曉莉https://www.ithome.com.tw/news/144180
微軟7月將擴大強制移除Flash Player
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/msedgedev/2020/09/04/update-adobe-flash-end-support/" target="_blank">微軟低調公布</a>，從7月擴大強制從Windows 10移除Flash Player。</p> <p>基於安全性、穩定性等理由，Adobe於2020年底終止支援Flash Player，並以kill switch（緊急關閉）版本，使所有Flash Player從今年1月12日起無法播放。</p> <p>在微軟方面，去年10月對Windows 10電腦以選擇性(optional)更新方式釋出KB4577586，這是專門移除Flash Player的更新版，尚不強制安裝。不過<a href="https://www.ithome.com.tw/news/142773" target="_blank">今年2月</a>，有使用者發現KB4577586未經用戶同意，就安裝到Windows 10 1809、1903、1909、2004、20H2的桌機，以及跑Server 2019的伺服器上。不過當時微軟沒有證實此事。</p> <p>在最新公告下微軟將再更進一步，擴大KB4577586的安裝。首先，微軟公告從6月起，KB4577586更新將會包含於Windows 10預覽更新（非強制），對1809以後的平臺釋出，之後累積性更新（即所謂的C release）也都會有這個版本。而從7月起，KB4577586就會經由強制性累積更新，部署到Windows 10 1507及1607，也會經由每月更新（monthly rollup）及純安全更新（security-only updates），擴大部署到Windows 8.1、Server 2012及Windows Embedded 8 Standard。</p> <p>最後，即將於本月釋出的Windows 21H1也會包含KB4577586。只要有這個版本，Windows電腦中的Flash Player都會被移除。沒有在排定名單中的平臺用戶，也可以手動到<a href="https://www.catalog.update.microsoft.com/Search.aspx?q=4577586" target="_blank">微軟網站</a>下載安裝。</p> <p>這麼一來，<a href="https://www.ithome.com.tw/news/144078" target="_blank">安裝數超過13億</a>的Windows 10平臺，今年7月起大部分都看不到Adobe Flash Player了。</p> </div></div></div>
2021/5/4 13:35作者林妍溱https://www.ithome.com.tw/news/144171
蔡英文總統首度在臺灣資安大會，揭櫫「資安即國安2.0」戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球第一場實體舉辦的資安活動「CyberSec 2021 臺灣資安大會」於今年5月4日～5月6日假南港展覽館二館舉辦，總統蔡英文亦第三度蒞臨臺灣資安大會致詞，並首度在公開場合揭櫫「資安即國安2.0」國安戰略內容，而美國在台協會處長酈英傑（William Brent Christensen）也首度蒞臨臺灣資安大會致詞。</p> <p>蔡英文表示，臺灣在資安即國安1.0的基礎上，推動資安即國安2.0資安戰略，不僅成立新設立的數位發展部，也會成立專責的資通安全署，將會提升對關鍵基礎設施及核心資料庫的防護，並且會持續強化組織、落實法制、培養人才及支持產業，政府和民間企業攜手打拼，共同建立堅韌、安全、可信賴的智慧國家。</p> <p>臺灣資安大會在去年，是全球暨美國RAS資安會議後，第二場可以實體舉辦的資安會議，因為臺灣民眾防疫有成，今年臺灣資安大會更是全球第一個可以實體舉辦的資安會議。今年，超過一萬名會眾報名三天議程與展覽，議程內容超過200軌，參與業者超過200家，展覽規模更是去年的1.5倍，場邊活動除了連續第四年舉辦的臺灣資安館外，更首度新增資安人才專區「Cyber Talent」、資安品牌日、US-Taiwan AIT Day等活動，「CyberSec Playgroung資安體驗區」的體驗活動，更從去年資安桌遊和知識問答外，擴增到7個體驗活動。</p> <h2><span style="color:#0000FF;"><strong>在資安即國安1.0基礎下，首度公開資安即國安2.0戰略</strong></span></h2> <p>蔡英文去年於臺灣資安大會致詞時，面對現場政府部門各個與資安相關的首長到場時曾表示，政府資安首長「傾巢而出」，今年與資安相關的部會首長、副首長也全員到齊，到場長官包括：國家安全會議秘書長顧立雄、行政院副院長沈榮津、國家發展委員會主委龔明鑫、行政院政務委員唐鳳、行政院政務委員郭耀煌、經濟部部長王美花、國防部中將李廷盛、科技部部長吳政忠、國家安全會議諮詢委員李漢銘、國家通訊傳播委員會主委陳耀祥、金融監督管理委員會副主委許永欽、行政院科技會報執行秘書葉哲良等人。蔡英文表示，資安部會首長到場表示，除了表示政府重視資安，更意味著，當資安列為國家重要戰略，在「資安即國安」戰略方針下，資安也是臺灣產業發展必須要把握的關鍵領域。</p> <p>蔡英文在去年520就職演說中提到，臺灣要在五加二產業創新的基礎上，打造六大核心戰略產業，更要在5G和數位轉型的浪潮中，全力打造可以保護自己、也能被世界所信賴的資安系統以及資安產業鏈。政府可以做出這樣宣示的前提在於，這幾年在政府和民間共同努力下，臺灣在資安領域上能量充沛。</p> <p>資安即國安戰略推動可以分成政府和民間兩個部分。蔡英文進一步指出，政府積極推動「資安即國安1.0」的國家戰略，除了成立資通安全處，國防部也成立資通電軍，法務部調查局打造資安工作站，而立法院也通過資通安全管理法的法案，政府積極從法制、組織一直到公部門資安人才面向，一一打下基礎。</p> <p>至於在民間部分，她指出，在產業界以及各界的支持下，臺灣的資安戰隊不斷在國際攻防比賽上取得好成績，像是在臺灣業者在Pwn2Own資安大賽奪冠、在臺灣資安團隊實力享譽國際的同時，也意味著，臺灣資安產業已經推出一批又一批優秀的資安人才。</p> <p>今年臺灣資安大會有超過二百個資安品牌參展，蔡英文表示，這些資安業者不僅有技術實力、創新想法，更可以提供解決方案，這就是臺灣發展資安產業的競爭力所在。她說，展望後疫情時代，可以預期，疫情階段所推廣、運用的各種資通訊技術，將會更深入日常生活中，因此，從AIoT應用普及到萬物聯網、萬物都需要做好資安，資安已經是日常所需。</p> <p>臺灣位於民主前緣，不只是國際上資安攻防的熱區，更是第一線的練兵場，在時代趨勢下，在我們所處的位置，蔡英文直言：「資安的挑戰，不只是挑戰，也是臺灣的機會。」她強調，臺灣要一起把挑戰轉換成機會，和國際夥伴共同創造網際空間繁榮，並且發展臺灣獨特優勢。</p> <p>接下來，政府進階推出「資安即國安2.0」國安戰略，蔡英文表示，透過規畫新成立的數位發展部，並且成立專責的資通安全署，提升對關鍵基礎設施及核心資料庫的防護能量，並且會透過持續強化組織、落實法制、培養人才，以及支持產業等方式，落實資安即國安2.0。她也期待，可以在政府部門和民間企業攜手努力下，共同建立堅韌、安全、可信賴的智慧國家。</p> <h2><span style="color:#0000FF;"><strong>美國AIT：公私協力才是解決資安問題最佳利器</strong></span></h2> <p>今年，酈英傑首度蒞臨臺灣資安大會致詞，貼切證明臺美合作日益密切的今日，資安合作已經是不可迴避的重要議題。他認為，優秀的資安要從高層做起，從臺灣資安官員共同參與盛會，不只是單純的象徵意義，也表示政府肯定資安的重要性。他表示，過去一年半以來，AIT與臺灣聯合舉辦許多重要資安活動和計畫，包括去年安排訪問團出席舊金山舉行的RSA資安會議，還一同舉辦關鍵基礎建設線上研討會，關鍵基礎設施資安戰略資安高峰論壇，並舉辦先進製造的資安防禦新思維論壇等等。</p> <p>美國持續高度重視資安，並研擬各種措施因應資安挑戰，事實上，針對公私部門不斷進行的各種網路攻擊，他認為，網路攻擊危害的不只是經濟成長和國家安全，隨著美臺經濟走向全面數位轉型，確保各種科技智能物聯網裝置可以保持安全，更是至關重要。</p> <p>他表示，資安無法只靠政府干預的單打獨鬥方式來完成，一定要有政府和民間合作的公私協力，才有辦法落實資安防護。像是美國政府先成立資安與基礎建設安全局，又進一步設立國家網路總監新職位，強化政府對資安防護的組織和能力，但他說：「資安無法只靠政府干預，這種單打獨鬥的作法來完成，」可以在臺灣最大的資安大會也是民間企業組織的商展上致詞，證明公私部門在資安領域共同合作的重要性。</p> <p>酈英傑表示，很多資安公私資安部門投入心血，研究資安弱點，研發科技，並且部署解決方案，大部分倍發現的資安弱點，包括近期的Solarwinds和微軟Exchange電子郵件漏洞，都是民間私人公司發現，所以，美國國會跨黨派議員也建議公私部門應該在資安領域攜手合作，而美國政府首席資訊安全長也公開表示，未來，白拜登政府也將致力為產業夥伴敞開大門。他也說，臺灣政府機關與民間企業攜手在臺灣資安大會的合作，更證明臺灣與美國在維護資安的作法上，與其他許多領域合作一樣密切。</p> <h2><span style="color:#0000FF;"><strong>展現臺灣資安實力，首度展示戰術偵搜無人直升機</strong></span></h2> <p>iThome總編輯暨臺灣資安大會主席吳其勳表示，感謝臺灣民眾守護疫情，讓臺灣資安大會成為全世界第一個實體舉辦大型資安會議，二百個參展業者中，臺灣資安品牌超過50個，其中更有幾個臺灣資安業者，已經展現出國際資安品牌氣勢，更足以見證臺灣資安產業近幾年的蓬勃發展。除美國外，包括英國、以色列、荷蘭、盧森堡、澳洲等駐臺代表都蒞臨現場，這也開啟國際資安合作大未來。</p> <p>他也說，全球疫情並沒有趨緩，資安威脅更形嚴峻，資安議題不僅是技術問題，更是重要的政治議題，像是目標式勒索軟體勒索企業的贖金屢創天價，特定國家幕後主導的供應鏈軟體攻擊，已經重創全球企業和政府機關，而境外敵對勢力對臺灣的威脅和各種假新聞、資安戰威脅更不曾稍歇。臺灣透過思考「TRUST: redefined 信任重構」，匯集各界專家智慧，找尋發揮臺灣資安優勢的新契機。</p> <p>第四屆舉辦的臺灣資安館，今年「臺灣資安自主研發特展」匯集超過50家臺灣資安業者，展現臺灣資安品牌實力；更在「智慧臺灣安全展」中，展示進階資安場域防護成果，更首度對外實機展出整合國產戰術偵搜無人直升機，結合5G高速通訊、5G高解機度攝影機，並採用安全晶片做無人機的身分驗證。</p> <p>今年首度新增的資安人才專區，透過資安人才論壇、資安女力論壇和各種產學對話、職職涯諮詢等活動，串連資安新鮮人與資安育才、用才單位，其中，獲得Pwn2Own破解大師、戴夫寇爾首席資安研究員Orange Tsai、國防部參謀本部資通電軍指揮部少校周文馨等人參與論壇，分享自身職涯經驗。另外在今年首度推出的活動還包括「US-Taiwan AIT Day」，如果在其他國家看到的美國館展覽區一樣，會場中帶來全球最新資安趨勢和前瞻技術，並促進臺美雙方資安產業合作交流。</p> <p> </p> </div></div></div>
2021/5/4 14:00作者黃彥棻https://www.ithome.com.tw/news/144172
Angular 12停止支援老舊View Engine工作管線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在最新的<a href="https://blog.angular.io/upcoming-improvements-to-angular-library-distribution-76c02f782aa4">Angular 12</a>中，官方將棄用稱為View Engine的舊版編譯和渲染工作管線，這項更改不需要開發者執行任何的動作，而相依於View Engine的函式庫，則能透過相容性編譯器ngcc繼續正常運作。</p> <p>從去年開始，Angular就開始預設使用新的渲染和編譯工作管線Ivy，希望讓Angular能夠更簡單、快速，而且易於維護，官方一直在微調靜態檢查和動態建構的平衡，確保Angular能夠提供良好的類型檢查、建構最佳化，並且快速偵測變更。從版本9開始，新的Angular應用程式便已經預設啟用Ivy。</p> <p>而為了讓先前使用View Engine函式庫的應用程式也能向後相容，官方開發了ngcc的相容編譯器，開發者會在創建新專案或安裝相依項目的時候，看到ngcc的運作。官方解釋，ngcc是編譯View Engine函式庫的方法，可以讓Ivy應用程式方便地使用，ngcc運作非常高效能，而且只會在必要的時候被呼叫，不過仍是安裝相依項目和執行專案額外的一個步驟。</p> <p>由於存在相依於View Engine函式庫的意思，代表官方無法移除舊的實作，這樣不只增加維護成本，也是拖慢整體Angular發展的速度，所以作為轉換過渡時期，官方制定了Ivy函式庫發布計畫，來加速這個過程。當前開發人員可以將Ivy或View Engine用於應用程式或函式庫，而要將整個生態系統搬遷到Ivy，開發人員需要一個平滑的更新過程，官方觀察到，當前絕大多數的應用程式，都已經使用Ivy。</p> <p>但是與此同時，所有的函式庫仍均為View Engine格式，透過相容性編譯器，開發人員可以在Ivy應用程式和函式庫中使用這些函式庫，而反過來View Engine是無法相依於Ivy。綜合以上結果，並且參考函式庫和應用程式作者的回饋，官方決定在Angular 12啟動加速轉移的計畫，官方棄用了View Engine，並且禁止使用View Engine創建應用程式的功能，而且新函式庫專案將預設使用Ivy。</p> <p>為了確保相依Angular框架和元件的函式庫可以平穩過渡，官方會繼續使用View Engine格式發布，但是到了Angular 13，當大多數第三方函式庫已經使用Ivy時，官方便會計畫過渡Angular和元件。</p> <p>目前所有專案都不需要為這些改變採取任何新措施，不會影響應用程式開發人員的日常開發工作，但建議仍在使用View Engine的開發者轉移到Ivy，而對於View Engine應用程式或是函式庫所相依的函式庫，官方建議作者繼續以View Engine格式發布，在所有相依的函式庫和應用程式搬遷到Ivy前，不要以Ivy函式庫發布。</p> </div></div></div>
2021/5/4 11:41作者李建興https://www.ithome.com.tw/news/144167
Google推遊戲專用雲端儲存開源專案Open Saves
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端與知名遊戲開發商2K合作，推出全新開源且雲端原生的遊戲儲存<a href="https://cloud.google.com/blog/products/media-entertainment/introducing-open-saves">Open Saves</a>，這是一個專門為多儲存後端設計的單一介面，遊戲開發團隊可以不需要對特定解決方案，諸如Cloud Storage、Memorystore或Firestore做出技術決策，就能夠簡單地儲存遊戲資料。</p> <p>Google提到，現在的遊戲內容非常豐富，遊戲需要有大量儲存技術來確保遊戲資料，可以達到玩家對於遊戲的要求，開發人員不僅需要儲存像是進度檔、清單、重播等不同類型的遊戲資料，同時也需要高效能、高可用、高可擴展性且符合成本效益的儲存系統。</p> <p>現在遊戲開發團隊可以使用Open Saves儲存來保存遊戲資料，而且不用擔心後端所使用的儲存解決方案，Open Saves的開源核心運作在Kubernetes之上，可處理快取儲存、結構化儲存和大量資料儲存（Bulk Store），當對應GCP服務時，則能使用Cloud Memorystore、Cloud Datastore以及Cloud Storage。</p> <p>Open Saves提供遊戲開發人員一個雲端原生遊戲儲存系統，由於該儲存提供元數據，結構化和非結構化物件所有操作，一個統一且定義明確的gRPC端點，因此使用起來簡單，且Open Saves內建快取系統，能夠根據存取頻率和資料大小最佳化資料留存，因此能夠提供小型二元物件低延遲存取，而且對較大物件也能實現高吞吐量。</p> <p>Open Saves採用了高度靈活且彈性的架構，Open Saves API伺服器可在Google Kubernetes Engine或Cloud Run上運作，這兩個平臺都能夠快速擴展，應付每秒數十萬個請求，而且Open Saves還能將資料儲存在Firestore和Cloud Storage中，每秒可處理數百GB的資料，以及高達數百萬個請求。Google提到，在設計Open Saves時，就考慮到了可擴展性，並且能夠靈活地整合到任何遊戲上，無論是行動還是主機、單人或多人遊戲，也支援在企業內部部署和混合架構的基礎設施上執行。</p> <p>Open Saves伺服器以Go語言編寫，但由於API被定義在gRPC中，因此開發者可以使用多種程式語言，並且從客戶端或是伺服器連接。</p> </div></div></div>
2021/5/4 11:50作者李建興https://www.ithome.com.tw/news/144168