iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

經常在臉書上分享不實資訊？你的所有貼文都會被調降觸及率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書本周針對該平臺的不實資訊分享<a href="https://about.fb.com/news/2021/05/taking-action-against-people-who-repeatedly-share-misinformation/" target="_blank">祭出了新政策</a>，一是當使用者要按讚或追蹤經常發布不實資訊的粉絲頁時，臉書將會跳出警告，二是該平臺的個人帳號若經常散布不實資訊，那麼所有的貼文都會被調降觸及率，以降低該平臺用戶接觸不實資訊的機率。</p> <p>根據臉書的說明，該平臺已經針對經常散布不實資訊的粉絲頁作了記號，因此，倘若有使用者追蹤這些粉絲頁或按讚，系統就會跳出警告視窗，說明該粉絲頁的某些貼文已被事實查核機構判定為不實資訊，希望使用者三思。不過，使用者仍能自由選擇按讚或追蹤。</p> <p>此外，臉書也將針對經常散布不實資訊的個人帳號作出懲處。過去臉書的作法只是降低不實資訊的觸及率，但即日起，若使用者經常散布不實資訊，這些個人帳號所發布的任何貼文的觸及率都會被調降，而不僅限於不實資訊。</p> <p>為了避免使用者在無意間分享了不實資訊，臉書進一步強化有關不實資訊的通知。當使用者企圖分享已被事實查核機構認定為不實資訊的貼文時，系統將會告知類似的貼文已被評為不實資訊，倘若使用者持續分享這類的貼文，可能會被調降所有貼文的觸及率。</p> </div></div></div>
2021/5/27 21:01作者陳曉莉https://www.ithome.com.tw/news/144666
微軟釋出自家OpenJDK建置版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布了<a href="https://devblogs.microsoft.com/java/announcing-general-availability-of-microsoft-build-of-openjdk/">自家OpenJDK建置版本</a>，該OpenJDK為開放原始碼版本，可供使用者免費部署。微軟提到，他們大量使用Java，內部執行超過500,000個JVM，因此微軟的Java工程小組便發展自家OpenJDK版本。這個微軟自建OpenJDK版本的特別之處，在於加入了他們認為對內部或是用戶，很重要的修補程式和增強功能，並且向後移植了部分更新。</p> <p>這項發布包含了基於OpenJDK 11.0.11+9 x64伺服器和桌面環境的Java 11二元檔，支援macOS、 Linux和Windows，另外，微軟也對在Arm上執行的Linux和Windows環境，發布了OpenJDK 16.0.1+9早期存取版本，官方提到，這個新的Java 16版本，已經被用於遊戲當個創世神（Minecraft）上，Java版本Minecraft Snapshot 21W19A，就已經綑綁了微軟OpenJDK建置版本的Java 16 Runtime。</p> <p>同時，微軟也將發布OpenJDK建置版本Docker映像檔和相對應的Dockerfile，可提供任何Java應用程式和Java元件用於包括Azure等各處。官方提到，現在釋出的這個OpenJDK 11版本將獲得長期支援，用戶會收到免費的季更新。</p> </div></div></div>
2021/5/27 21:03作者李建興https://www.ithome.com.tw/news/144651
是誰在臉書上操縱議題？前三名為俄羅斯、伊朗與緬甸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2021/05/influence-operations-threat-report/" target="_blank">臉書本周公布</a>了影響力活動（Influence Operations）威脅報告，統計了自2017年到2020年利用該平臺執行影響力活動的案件，顯示有150個相關網路從事了臉書所禁止的「協作不真實行為」（Coordinated Inauthentic Behavior，CIB）而被移除。</p> <p>根據臉書的定義，所謂的影響力活動指的是協作以操縱或破壞公共的辯論，來實現戰略目標。這些活動透過各種新興的社交平臺、部落格、報紙或雜誌上，針對公共辯論議題展開行動，活動的操作者有時來自政府，有時來自商業實體，或者是政客，也會有陰謀與政治團體。</p> <p>調查顯示，這150個CIB活動源自逾50個國家，它們通常使用假帳號來建立粉絲頁或社團，而且不僅操作自己國家的議題，也企圖操縱其它國家的議題，包括有45%的比例操縱國內議題，38%的比例操縱國外議題，另外的17%則同時涉及國內/外議題。</p> <p>最常在臉書上執行CIB的前五大國家為俄羅斯、伊朗、緬甸、美國與烏克蘭，至於最常成為操縱目標的前五名國家則是美國、烏克蘭、英國、利比亞與蘇丹。</p> <p>臉書僅公布被移除的CIB網路為150個，並未揭露因涉及相關CIB網路而被移除的帳號、粉絲頁或社團數量。</p> </div></div></div>
2021/5/27 21:22作者陳曉莉https://www.ithome.com.tw/news/144667
即日起，全球臉書與Instagram用戶都可藏匿按讚數
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Instagram（IG）<a href="https://about.instagram.com/blog/announcements/giving-people-more-control" target="_blank">於本周宣布</a>，即日起該平臺及臉書用戶都可選擇藏匿按讚數，包括拒絕看到動態消息上貼文的按讚數量，以及隱藏自己貼文的按讚數，正陸續於全球部署此一新功能。</p> <p><a href="https://www.ithome.com.tw/news/132820" target="_blank">臉書</a>與<a href="https://www.ithome.com.tw/news/134145" target="_blank">IG</a>自2019年就開始測試此一功能，當時IG曾透露，他們企圖替平臺減壓，讓它不再那麼競爭，使人們有更多的餘裕專注在喜歡或啟發他們的事物上，隱藏按讚數將能減少社會比較，亦能減輕人們的焦慮。</p> <p>儘管該功能從小規模的測試到現今的大規模部署，但這兩個平臺並不打算完全刪除按讚數的顯示，原因是有些人認為這些數字將可協助他們判斷市場趨勢，因而決定賦予使用者選擇權。</p> <p>現在使用者不僅能夠隱藏自己貼文的按讚數量，也能夠隱藏出現在動態消息上所有貼文的按讚數量，讓平臺上的用戶能夠專心享受貼文的內容，而非按讚數量。</p> </div></div></div>
2021/5/27 21:28作者陳曉莉https://www.ithome.com.tw/news/144668
DataBricks發表安全資料共享開源協定Delta Sharing
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Apache Spark技術團隊所創立的企業Databricks，現在啟動了一項新的開源專案<a href="https://databricks.com/blog/2021/05/26/introducing-delta-sharing-an-open-protocol-for-secure-data-sharing.html">Delta Sharing</a>，這是用於即時安全交換大型資料集的開放協定，官方表示，Delta Sharing是第一個實現跨產品的安全資料共享協定。目前Databricks正積極與全球軟體和資料供應商，合作發展並推廣Delta Sharing。</p> <p>企業存在與其客戶、供應商和合作夥伴安全交換資料的需求，以零售商為例，如此就可以和其供應商即時共享銷售資料，或是供應商也能與零售商共享即時庫存，但DataBricks提到，由於共享解決方案與廠商相關，因此資料共享便受到了限制，也對不同平臺的資料供應者與消費者帶來障礙。</p> <p>而透過Delta Sharing，資料使用者就可以在Pandas、Tableau或各種實作開源協定的系統，直接連接共享資料，而不需要特別部署特定的平臺，如此便能減少存取資料的準備時間，也最大程度減少資料供應者的工作。DataBricks舉例，過去零售商要跟供應商資料分析師共享資料，分析師必須與自家IT、安全和採購團隊合作，在公司部署與零售商相同的資料倉儲解決方案，才能從資料倉儲匯出資料到資料科學工具，而這個過程可能需要歷經數個月。</p> <p>Delta Sharing的目的就是要在不需複製資料的情況下，直接即時地共享資料，DataBricks指出，大多數企業的資料儲存在雲端資料湖系統，而Delta Sharing能夠讓企業安全地以Delta Lake或Apache Parquet格式共享任何既存的資料集。Delta Sharing適合大規模應用，支援TB級資料集等對傳統解決方案是一大挑戰的共享情境，Delta Sharing利用雲端儲存系統的低成本和靈活性，可靠地共享大規模資料集。</p> <p>資料接收者可以直接從選用的工具中使用資料，不需要安裝新的平臺，Delta Sharing協定的設計讓大多數工具容易實作，而且因為以Parquet為基礎，該格式已經受大多數工具支援，因此要實作連接器非常簡單。DataBricks也強調了Delta Sharing的安全性，該協定能滿足用戶對隱私和法規的要求，可讓用戶單點執行授權、追蹤和稽核共享資料存取。</p> <p>Delta Sharing是一個簡單的REST協定，能夠安全地分享部分雲端資料集的存取權限，其利用S3、ADLS或GCS等雲端系統，可靠地傳輸大型資料集。對資料提供者來說，Delta Sharing讓用戶可以共享以Delta Lake格式儲存在雲端上的資料表格。官方提到，Delta Lake表格其實就是Parquet檔案的集合，可以按需求將現有Parquet表格，簡單地打包到Delta Lake中。</p> <p>資料提供者可以決定要共享的資料，透過執行共享伺服器來實作Delta Sharing協定，並且管理資料接收者。DataBricks在發表Delta Sharing的同時，也開源了共享伺服器實作，可供雲端供應商提供托管主機服務。當資料提供者把共享資料環境架設完成，接受者就可以使用連接器，在Pandas、Apache Spark、Rust和Python上方便地存取資料。</p> </div></div></div>
2021/5/27 21:32作者李建興https://www.ithome.com.tw/news/144655
Google發布Analytics Hub供用戶大規模交換資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google現發表跨雲資料存取服務<a href="https://cloud.google.com/blog/products/data-analytics/introducing-analytics-hub-for-data-analytics-exchanges">Analytics Hub</a>，讓用戶可以利用全託管的服務來共享資料，Google預計這項服務將會在今年第三季的時候提供預覽。</p> <p>組織間交換資料是分析策略中重要的一環，但是Google表示，傳統資料交換方法，受不可靠的資料和流程限制，而且安全威脅和隱私法規又讓交換資料變得更加困難。傳統資料共享技術，使用批次處理工作管線，該公司提到，這些工作管線運作成本高昂，也無法提供即時新鮮的資料，而且只要來源資料變更，資料共享任務便會中斷。</p> <p>傳統方法還會產生多個資料副本，帶來不必要的管理成本，還有可能使資料治理流程出現漏洞，且不支援資料獲利模式，無法供其他組織訂閱。這些限制都嚴重阻礙了資料所能帶來的好處。</p> <p>為了解決這些問題，Google開發了Analytics Hub，讓使用者可以透過發布和訂閱的方式，交換豐富的資料，並且建構起資料生態系，而且因為組織的資料從同一處共享，所以可以方便地控制和監控資料的使用方式。</p> <p>Analytics Hub是一個自助服務，使用者可以簡單地存取有價值的資料資產，包括來自Google的資料，Google提到，他們會在上面提供搜尋趨勢資料集，用戶可以查詢該資料集，並且結合自家的資料進行綜合分析。另外，用戶也可以在Analytics Hub上，提供資料讓其他組織訂閱藉以獲利，且用戶不需要負擔建構和管理基礎設施的成本。</p> <p>Analytics Hub建立在Google的雲端資料倉儲BigQuery之上，官方提到，由於BigQuery的設計架構，把儲存和運算區分開來，因此讓資料發布者可以和任意數量的訂閱者共享資料，不必因為訂閱者多，而複製多個資料副本。在BigQuery中也無須部署和管理伺服器，用戶可立即共享資料，並且利用BigQuery內建的機器學習、地理空間和自然語言功能，執行資料分析。</p> </div></div></div>
2021/5/27 21:39作者李建興https://www.ithome.com.tw/news/144663
Google推智慧資料結構Dataplex，可跨雲整合資料破除資料孤島
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布了用來破除資料孤島的資料共享產品<a href="https://cloud.google.com/blog/products/data-analytics/introducing-google-cloud-dataplex">Dataplex</a>，Dataplex是一個提供整合式分析功能的智慧資料結構（Data Fabric），可將Google雲端和開源工具結合在一起使用，供用戶快速整理、保護、整合和分析大規模資料，官方提到，透過使用機器學習功能，以及具彈性的模型，能夠大幅減少用戶花在資料處理基礎設施上的時間。</p> <p>藉由Dataplex，用戶可以自由地選擇資料儲存的位置，以獲得合適的性能與價格，並且選用符合需求的工具，除了Google雲端服務之外，用戶也能使用Apache Spark和Presto等開源分析技術。Google提到，Dataplex的重點在於讓用戶，以有助於業務的方式組織和管理資料，而不需要移動或是複製資料，因此Dataplex提供像是湖泊、資料區域和資產等邏輯結構，這些邏輯結構能夠抽象化基礎設施系統，並成為設定資料政策、安全和生命周期的基礎。</p> <p>Dataplex主打其資料智慧功能，在用戶對資料進行管理時，Dataplex會使用內建的資料品質檢查功能，自動收集結構化和非結構化後設資料，所有後設資料會自動註冊到後設資料儲存中，可供用戶搜尋和探索，Google舉例，當用戶將Parquet格式資料，寫入到Google雲端儲存桶中的時候，Dataplex會自動擷取檔案後設資料、檢查表格格式，以及執行資料品質檢查，並使得這些資料可以被查詢。</p> </div></div></div>
2021/5/27 21:40作者李建興https://www.ithome.com.tw/news/144664
研究人員揭露PDF規格的兩個安全漏洞，將允許駭客偷偷竄改已認證文件內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自德國波鴻魯爾大學<a href="https://pdf-insecurity.org/download/pdf-certification/paper.pdf" target="_blank">（Ruhr-Universität Bochum）的研究人員於本周指出</a>，PDF規格含有兩個重大的安全漏洞，將允許駭客偷偷竄改已有認證簽章（Certiﬁcation Signatures）的文件內容，而且在所調查的26款PDF應用程式中，有24款至少含有其中一項漏洞。</p> <p>研究人員說明，在PDF的規格中，定義了兩種型態的數位簽章，一是批准簽章（Approval Signatures），用來證明特定的文件狀態，一份文件可有不同的簽章，但文件上任何的變更都會造成簽章無效或出現警告；另一個是認證簽章（Certiﬁcation Signatures），提供更彈性的數位簽章文件，它雖然只能有一個認證簽章，但允許文件所有人列出可變更的文件項目，例如填寫特定欄位、替文件下注解，或者是新增批准簽章。</p> <p>這使得研究人員對認證簽章的安全性產生興趣，並針對已認證文件的變更功能展開系統性分析，發現了該規格含有兩個安全漏洞，包括邪惡注解攻擊（ Evil Annotation Attack，EAA）漏洞與鬼祟簽章攻擊（Sneaky Signature Attack，SSA）。</p> <p>不管是EAA漏洞或是SSA漏洞都能夠變更已認證文件中的內容呈現，同時保留認證簽章的有效性，還不招來任何的警告，且在所測試的26款PDF應用程式中，有24款至少含有其中一種漏洞。</p> <p>此外，研究人員也分析這26款程式在允許注解與簽章的實現上，是否符合PDF規格，也發現有11款不符規定。</p> <p>另一方面，Adobe還含有一個額外的漏洞，允許駭客於已認證的文件中執行JavaScript程式碼，帶來程式碼注入攻擊的風險。</p> <p>目前已知Adobe、Foxit與LibreOffice皆已修補了相關漏洞，而研究人員也正與全球標準組織合作發展新一代的PDF規格，以解決現有規格的缺陷。</p> </div></div></div>
2021/5/27 21:54作者陳曉莉https://www.ithome.com.tw/news/144669
特斯拉北美部份車款新車將棄雷達，改用純電腦視覺、AI感測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般自駕車結合雷達、電腦視覺及光達作為駕駛感測，不過特斯拉<a href="https://www.tesla.com/support/transitioning-tesla-vision" target="_blank">（Tesla）本周宣布</a>從本月開始，北美市場出貨的二款Tesla新車將不再使用雷達，而全部使用以電腦視覺及人工智慧（AI）為基礎的感測技術。</p> <p>特斯拉指出，從2021年5月開始，為北美市場打造的Model 3和Model Y將不再使用雷達，這會是第一批車款轉移到電腦相機視覺及神經網路處理而成、特斯拉稱為Tesla Vision的感測技術，以提供Autopilot電腦輔助駕駛系統、全自主駕駛及特定主動性安全功能。</p> <p>而今年五月以前下單的買主若可配發到這最新車種，也會在交車前經由Tesla帳號獲得特斯拉通知。</p> <p>特斯拉的Autopilot雖然名稱像是自動駕駛，但其實只是輔助駕駛功能，仍需要車主手握方向盤。若車主需要完全自駕，則必須另外花1萬美元加購全自駕（Full Self-Driving，FSD）套件。</p> <p>而在轉移期間，特斯拉警告，現有配備Tesla Vision的車子可能會有部份功能受到限制或關閉狀況。包括自動巡航（autosteer）系統最高限速每小時75英哩（每小時120公里），與前車最低車距也會拉長。此外，出貨時智慧召喚（Smart Summon）和緊急車道偏移防止功能可能關閉。特斯拉表示，會在未來幾周陸續透過無線更新軟體來回復這些功能。</p> <p>而所有Model S和Model X，包括北美市場以外的所有Tesla的Autopilot功能則仍然持續使用雷達，直到特斯拉持評估適合轉移到Tesla Vision為止。</p> </div></div></div>
2021/5/27 18:28作者林妍溱https://www.ithome.com.tw/news/144656
Amazon要以84.5億美元買下米高梅，挑戰Netflix
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大的公有雲服務供應商，也是全球電子商務龍頭<a href="https://press.aboutamazon.com/news-releases/news-release-details/amazon-and-mgm-have-signed-agreement-amazon-acquire-mgm" target="_blank">Amazon在周三（5/26）宣布</a>，已與美國知名電影製作公司米高梅（Metro-Goldwyn-Mayer，MGM）簽署併購協議，準備以84.5億美元買下MGM，以強化自家Amazon Studios的實力。此外，納入米高梅的Amazon將更有機會動搖Netflix於串流影片市場的龍頭地位。</p> <p>米高梅成立於1924年，專門製作與發行影片，迄今已製作超過4,000部電影，以及1.7萬部的電視影集，曾獲頒逾180次的奧斯卡金像獎，以及100次的艾美獎。</p> <p>至於Amazon Studios則是Amazon在2010年成立的影像工作室，初期著重於開發電視節目，在2015年正式投入電影製作，負責Amazon Prime的影片服務。</p> <p>根據<a href="https://www.businessofapps.com/data/netflix-statistics/" target="_blank">BusinessofApps</a>的統計，在全球的串流影片市場中，以Netflix擁有超過2億的訂閱用戶居冠，而Amazon Prime則以1.5億訂閱用戶排名第二，第三名為Disney Plus的8,700萬用戶，Hulu與HBO Max則分別以3,900萬用戶及3,800萬用戶，位居四、五名。</p> <p>負責Prime Video與Amazon Studios的Amazon資深副總裁Mike Hopkins表示，此一交易真正的財務價值在於寶貴的智慧財產權，未來Amazon將於米高梅團隊攜手深入挖掘。</p> <p>根據美國媒體的報導，過去蘋果與Netflix都曾經對米高梅產生興趣，最後皆不了了之。Amazon與米高梅並未公布此一合併案的預計完成時間，僅說等待監管機關的核准，外界則揣測該交易可能引來反托拉斯調查。</p> </div></div></div>
2021/5/27 18:44作者陳曉莉https://www.ithome.com.tw/news/144657
行動程式要求用戶必須給先3顆星才能使用，疑已遭蘋果下架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名軟體工程師K<a href="https://twitter.com/keleftheriou/status/1397288720357679104" target="_blank">osta Eleftheriou本周透過Twitter揭露</a>，蘋果App Store上的UPNP Xtreme程式強迫用戶要先給予3顆星以上的評價才能使用，否則就無法運作，在被媒體披露之後，UPNP Xtreme的下載頁面不復存在，疑似已遭蘋果下架。</p> <p>UPNP Xtreme宣稱可協助使用者將iOS裝置上的影片串流到電視上，迄今已有超過1,500萬次的下載量。不過，當使用者安裝之後，它卻要求使用者必須先賦予3顆星以上的評價，否則就會一直停留在該評價視窗，而無法繼續使用。</p> <p><a href="https://www.theverge.com/2021/5/26/22454468/ios-app-scam-review-3-star-force-review-process-apple?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">The Verge</a>複製了Eleftheriou的行為，證實在開啟UPNP Xtreme之後，若是只給予一顆星或兩顆星，該程式將會不為所動，而且也無法關閉該評價視窗，除非選擇3顆星以上的評價才能開始使用程式。</p> <p>Eleftheriou指出，這代表使用者不應信任App Store的評價，更嚴重的是，任何開發者都可輕易部署詐騙評價，並不只有UPNP Xtreme；蘋果宣稱該公司對程式有強大的審核流程，但是假評價其實透過自動化機制就能查到，顯示蘋果一點都不在乎此事。</p> <p>其實<a href="https://developer.apple.com/documentation/storekit/skstorereviewcontroller/requesting_app_store_reviews" target="_blank">蘋果在提供給開發者的文件中</a>便有清楚的說明，指出開發者應該避免在使用者一開啟程式時就要求給予評價，就算不是第一次開啟也一樣。</p> </div></div></div>
2021/5/27 19:17作者陳曉莉https://www.ithome.com.tw/news/144660
疫情在臺擴散期間，記憶體大廠威剛公告部分資通系統遭病毒攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一年來，臺灣上市公司遭病毒攻擊事件不斷，最近疫情在臺擴散期間，又有國內科技大廠遇害。在昨日（26日）傍晚，記憶體大廠威剛（ADATA）於臺灣證券交易所發布重大訊息，揭露遭病毒攻擊事件，導致部分資通系統受影響。</p> <p>依據該公司所說明，這起事件發生在5月23日，當天是周日，他們偵測到有部分資通系統遭病毒攻擊，在事件發生後，他們的資安團隊當下已做出應變，包括啟動相關防禦機制與備援系統，並與專業資安人員合作進行事件處理，同時拉高公司本身的網路安全層級。</p> <p>為了確認此次病毒事件的狀況，我們也詢問威剛，該公司目前還沒有回應，無法肯定這次事件就是遭受勒索軟體攻擊，或是哪一隻勒索軟體所為，以及產線是否受影響。至於更多事件調查結果，仍有待業者公布。</p> <p>關於這次事件的影響，依據該公司的說明，雖然內部資通訊系統出狀況，不過目前受影響的伺服器陸續復原中，僅5月24日後的出貨作業受到些微延誤，但威剛表示影響不大，而這次事件也不會對公司造成重大影響。</p> <p>值得注意的是，由於臺灣在這兩周受到疫情擴散的影響，目前全國升至第三級疫情警戒，許多企業已經採取分流辦公，或是啟動在家上班來應變，恐變成近期常態，然而，近年來臺灣企業遭遇網路攻擊事件一再發生，企業在這個時期的安全防護，以及資安事件應變能力，可能成為一大隱憂，企業必須重視。</p> <p>另一焦點在於，自今年4月27日後，臺灣證券交易所宣布重大訊息處理程序有新的修訂，內容是當上市公司發生重大資安事件時，需發布重大訊息對外揭露。而威剛這次在證交所揭露遭病毒攻擊事件，也成為法規明訂後的第一起資安事件重大訊息。</p> </div></div></div>
2021/5/27 18:01作者羅正漢https://www.ithome.com.tw/news/144654
Google投資的自主飛行技術公司Merlin將投入空中運輸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研發定翼式無人機自主飛行系統的新創公司Merlin Labs，<a href="https://www.prnewswire.com/news-releases/merlin-labs-announces-25m-funding-round-and-partnership-to-bring-autonomy-to-55-aircraft-fleet-301300079.html" target="_blank">近日取得</a>Google旗下投資部門GV等公司注資2500萬美元，也將開始發展無人機空中運輸機隊。</p> <p>Merlin Labs這輪2500萬美元投資者除了GV（原Google Ventures），另有First Round Capital、西德州原油（WTI）及其他創投公司。</p> <p>Merlin Labs發展定翼式飛行器的自主系統，號稱已經示範過數百趟不同機型的自主飛行，包括雙渦輪螺旋槳發動機。該公司平臺可支援多種飛行器，仰賴機上自主系統，而非操作員遠端控制，現已整合到公、民用飛機上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-merlin%20labs-2.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Merlin labs</span></p> <p>Merlin Labs同時也宣布和空中運輸服務外包商Dynamic Aviation合作，將把其無人機飛行系統部署到後者King Air空中機隊的55架飛機上，支援公家及商業運輸任務。目前雙方已經在加州莫哈維太空發射中心（Mojave Air and Space Port）測試第一架King Air飛機的自主飛行。</p> </div></div></div>
2021/5/27 16:40作者林妍溱https://www.ithome.com.tw/news/144653
微軟於Microsoft Power Apps中嵌入GPT-3，以自然語言就能開發應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://powerapps.microsoft.com/en-us/blog/introducing-power-apps-ideas-ai-powered-assistance-now-helps-anyone-create-apps-using-natural-language/" target="_blank">微軟周二（5/25）宣布</a>，Microsoft Power Apps成為首個嵌入GPT-3自然語言模型功能的客戶端產品，將協助使用者以自然語言撰寫應用程式，完全不需要知道如何撰寫程式碼或公式。</p> <p>GPT-3為OpenAI所發表的自然語言模型，它受訓於1,750億個參數，能夠根據自然語言的提示來理解及產生類似人類的文本，現為全球最大的文字產生器模型，可用來寫詩、發表推文、寫文章、摘錄郵件、回答問題，還能把自然語言變成程式碼。</p> <p>去年9月，微軟宣布已取得GPT-3的獨家授權，此一授權允許微軟將GPT-3嵌入微軟的各式服務與產品中，而在Microsoft Power Apps中的新功能就是初期的應用之一。至於Microsoft Power Apps為微軟Power平臺的五大功能之一，主要用來撰寫低程式碼的客製化商業應用程式。</p> <p>因此，在Microsoft Power Apps中整合GPT-3的能力，即可協助只有少數程式撰寫能力，或是完全缺乏程式撰寫經驗的人建置應用程式，例如當員工要打造一個電子商務程式的時候，只要利用自然語言「找出名稱中以Kids開頭的產品」，一個已經過微調的GPT-3模型就能自動將它轉換成低程式碼語言Microsoft Power Fx的公式「Filter(‘BC Orders’ Left(‘Product Name’,4)=”Kids」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-powerapps-500.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://powerappsblogscdn.azureedge.net/wp-content/uploads/2021/05/GPT-3-GIF-2.gif" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>同樣的，企業員工也能用它來審查非營利機構的捐贈、管理疫情的出差事項，或是減少維護風力渦輪機所需的加班時間。</p> <p>不過，微軟強調，該功能並不能取代員工理解他們所導入程式碼的需求，而是用來協助正在學習Power Fx語言的員工，幫助他們選擇正確的公式以得到所需的結果。</p> <p>整合GPT-3的Microsoft Power Apps新功能，將在今年6月底前針對北美市場提供預覽版，目前僅支援英文。</p> </div></div></div>
2021/5/27 15:23作者陳曉莉https://www.ithome.com.tw/news/144649
【疫情日報】紓困4.0準備中！行政院紓困金額加碼至6,300億元，紓困措施延長至明年6月30日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院會後記者會宣布通過特別條例修正草案，將疫情紓困方案將延長至明年6月30日，同時紓困預算上限從原本的4,200億元，修正提高到6,300億元，目前已送立法院審議。通過後，將立即針對符合條件的個人和團體來發放。</p> <p><strong><span style="font-size:22px;">3大紓困原則聚焦個人、產業和貸款，還要強化數位分流</span></strong></p> <p>行政院政務委員兼發言人羅秉成指出，近來疫情嚴峻，目前休閒娛業、觀展觀賽業和教育學習業等三大產業都已停業，而相關產業如餐飲、零售、運輸、旅遊、住宿業等也都受到波及，影響生計。</p> <p>為改善這個問題，行政院5月13日通過特別條例修正草案，將紓困措施延長至明年6月30日，此外也將紓困預算上限，從原本的4,200億元提高為6,300億元。羅秉成指出，行政院期望立院朝野黨團能盡速三讀通過，之後，行政院將在第一時間編制預算，經行政院會審核再送請立法院審議後，「在最短時間內啟動紓困作業。」</p> <p>行政院已經要求各部會統籌手邊資源、依照國發會紓困三原則進行細部規劃，包括個人要加快，以去年建立的發放制度為基礎，加速撥付；再來是產業要加強，立即寬列支援受影響的產業；最後是貸款要加碼，不僅要增加額度，也要進行數位分流，簡化申請、提高效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%89%E5%8E%9F%E5%89%87.PNG" /></p> <p><strong><span style="font-size:22px;">去年衝擊傳統製造業，今年則重挫內需消費型產業</span></strong></p> <p>國發會負責發起紓困方案計畫，國發會經濟發展處處長吳明蕙表示，據統計，因為防疫有成，臺灣去年啟動的紓困金額與GDP占比為2.1，是全球先進國家中最低。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GDP.PNG" /></p> <p>而從去年紓困金執行成果來看（至今年4月30日），共補助了524萬人、現金發放1,393億元，吳明蕙強調，臺灣去年經濟成長率居已開發國家之冠，達3.11％，今年第一季更衝高至8.16％。</p> <p>但是，近日疫情大爆發，對產業和個人的衝擊程度遠高於去年，因此需要一套新的紓困4.0方案來應對。吳明蕙分析，去年因國外疫情嚴峻，臺灣受衝擊的產業主要是傳統製造業，而今年國內疫情升溫，首當其衝的反而是內需消費型產業。</p> <p>不只如此，近幾周防疫措施嚴格，國內休閒娛業、觀展觀賽業和教育學習業等三大產業都已停業，而餐飲、零售、運輸、旅遊、住宿業等產業，也因不得群聚、移動的防疫規定而受到衝擊。</p> <p><strong><span style="font-size:22px;">三原則加碼紓困，針對200人以下中小企業加碼</span></strong></p> <p>國發會也提出紓困4.0的三原則，也就是個人要加速、產業要加強、貸款要加碼。吳明蕙解釋，個人部分有4大重點，包括針對弱勢加發生活補助、針對民眾發放急難紓困救助金，再來是給予農漁民生活補貼，第3是針對自營作業者和無一定雇主者給予勞工生活補貼，最後則是給予遊覽車、計程車司機、導遊等生活補助。</p> <p>國發會主委龔明鑫補充，個人紓困以去年機制為基礎，每個月加碼補助1,500元給中低收入戶，農漁民則是1萬元補助金。</p> <p>在產業部分，則是要加強紓困力道，「不管是營運資金還是薪資補助，都包含在內。」吳明蕙進一步指出，紓困產業涵蓋服務業、觀光運輸業、教育業、藝文業、農漁業等5大產業，其中，服務業紓困對象為商業服務業和會展業者，光觀運輸業則包含旅宿、旅行、觀光遊樂業者，而航空業和機場業者也能申請相關使用費和權利金補貼。同理，位於北中高國際航廈內的商業服務業者，也在紓困補貼對象內。</p> <p>再來，教育業紓困對象除了運動業、社大、留遊學業者外，受停課影響的私立幼稚園、短期補習班、課後照護中心也在範圍內，而高中以下學校的團膳業者也能申請補助。</p> <p>藝文業補助範圍則涵蓋藝文業者的薪資和營運補貼，以及藝文場館的租金減免和規費補貼。農漁業則針對農漁經營業者。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%94%A2%E6%A5%AD%E8%A3%9C%E8%B2%BC.PNG" /></p> <p>在紓困貸款方面，央行針對200人以下的中小企業貸款，加碼1,000億元額度。此外中小型企業、觀光業、航空業、大型藝文業和農業等也能獲得利息補貼。甚至，中央提高勞工個人紓困貸款金額，最高至10萬元。</p> <p>吳明蕙也強調，小規模攤販、小吃、商圈、藝文團體、社大、醫療團體和社福等業者，也在這次紓困貸款的受惠對象內。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B4%93%E5%9B%B0.PNG" /></p> <p><strong><span style="font-size:22px;">今日新增401例本土，中央強化第三級措施、更新解隔離</span></strong></p> <p>中央流行疫情指揮中心27日宣布新增401例本土案例、266例校正追加，另有5例境外移入，共671例。指揮中心也更新輕症處置和解除隔離條件，就輕症處置來說，退燒至少1天且症狀緩解、距發病日已滿10天，滿足這兩條件的無症狀或輕症患者得以返家、進行7天居家隔離，但不得搭乘大眾運輸工具。</p> <p>就解隔離條件來說，符合以下三條件即可解除：退燒至少1天且症狀緩解、距發病日已滿10天，且檢驗結果為陰性或CT值小於等於30。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/05_210527%E5%9A%B4%E9%87%8D%E7%89%B9%E6%AE%8A%E5%82%B3%E6%9F%93%E6%80%A7%E8%82%BA%E7%82%8E%E7%A2%BA%E8%A8%BA%E5%80%8B%E6%A1%88%E8%99%95%E7%BD%AE%E5%8F%8A%E8%A7%A3%E9%99%A4%E9%9A%94%E9%9B%A2%E6%B2%BB%E7%99%82%E6%A2%9D%E4%BB%B6_%E5%B7%A5%E4%BD%9C%E5%8D%80%E5%9F%9F%201.jpg" /></p> <p>鑒於國內疫情嚴峻，行政院政務委員兼發言人羅秉成指出，行政院宣布強化三級措施，包括外出全程配戴口罩，不再勸導、直接開罰；結婚不宴客、喪禮不公祭；宗教活動全面暫停辦理，宗教場所也暫停開放。</p> <p>另外中央也將鎖定不得營業的休閒娛樂場所，進行嚴查，若違反規定將嚴格法辦。第五項措施則是餐飲業一律外帶，賣場及超市加強人流管制，鼓勵「少去多買、一次買足。」</p> <div aria-describedby="bubble-14" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: 38px; top: 47px; opacity: 1;"> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowup" style="left: 622.5px;"> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2021/5/27 15:39作者王若樸https://www.ithome.com.tw/news/144650
微軟Microsoft 365團隊修補把自家郵件直接移至垃圾桶的臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Microsoft 365服務在臺灣時間<a href="https://twitter.com/MSFT365Status/status/1397664020828540930" target="_blank">今天凌晨五點左右出現了一個臭蟲</a>，會將可靠寄件者發送的郵件直接移至垃圾桶，包括來自微軟自家Outlook與Exchange Online的郵件，不過，微軟已修補了該臭蟲，並正在重新處理這些被錯放的郵件。</p> <p>其實Microsoft 365團隊在一小時後就找到了原因，回復了造成郵件被錯放的某項變更，並重新處理郵件，約莫在兩小時之後，絕大多數的郵件都已被重新寄至收件匣，但可能是因為郵件量太大，直至早上9點仍在陸續處理中。</p> <p>雖然時間很短暫，但已經有使用者抱怨員工收不到件，還說之前Microsoft 365才解決把正常郵件歸類為垃圾郵件，現在竟然直接把郵件移至垃圾桶。不論如何，倘若有Microsoft 365用戶今早未收到該收到的郵件，不妨先去垃圾桶看看。</p> </div></div></div>
2021/5/27 16:01作者陳曉莉https://www.ithome.com.tw/news/144652
iThome 2021 CIO大調查（上）一起抗疫靠IT
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1026-23-feng_mian_p1-dou_zi_-open-960x420_kao_bei_.jpg?itok=rM6idsQ0" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣COVID-19疫情擴大，全國五月下旬更提高到疫情警戒第三級，零接觸需求暴增，早在過去一年，許多企業不只加速數位轉型，更積極部署IT來抗疫</p> </div></div></div>
2021/5/27 07:00作者王宏仁https://www.ithome.com.tw/article/144549
淺談視覺化前的資料清理
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在面對真實資料來源時，我們可能思考如何轉換為程式中可運行的資料，這個過程往往比動手寫程式要花更多的時間，因為人類可讀的資料與機器可讀的資料，往往有著極大的不同。</p> <p><span style="font-size:28px;"><strong>機器資料？人的資料？</strong></span></p> <p>試著以繪圖為任務，把玩NumPy之類的資料處理程式庫時，雖說我有具體目標，在功能龐大的API中，逐漸熟悉基礎觀念，然而，說實話，這終究只是停留在使用API的程度，與資料處理有一段距離。</p> <p>這是因為以繪圖為任務時，多半涉及的是自動生成、自動衍生，也就是給幾個參數、產生一組資料，這些資料基本上就是由程式生成，因為要給程式中其他API使用，自然地會去符合API要求的格式；就算是讀入圖檔進行影像處理之類的任務，其資料來源本身通常也是某種圖檔格式，也就是多半已是機器可讀的形式，影像處理基本上是將之轉換為另一個機器可讀的格式。</p> <p>虛構的資料來源多半也接觸不到實際的資料處理，例如，虛構一個CSV檔案，欄位為「數學,英文,物理」，各列資料為「90,99,100」的格式，這樣的資料太乾淨了，某些程度上是先射箭再畫靶的概念，腦袋中已經被程式庫的API給框住，然後設計出一個虛假但符合程式庫格式的資料罷了。</p> <p>真實世界中的資料來源，不一定是專門為了給機器或程式庫判讀而設計，例如，以臺灣證券交易所的<a href="https://www.twse.com.tw/zh/page/trading/indices/MI_5MINS_HIST.html" target="_blank">發行量加權股價指數歷史資料</a>為例，下載的CSV檔案中第一列會有標題文字，日期欄位的內容會是"110/01/04"，而指數部份會是"14,720.25"的格式。</p> <p>這看來好像沒什麼，不過日期、指數等格式，其實都是給人看的資料，機器可不需要那些斜線、逗號之類的視覺輔助符號，如果以讀取後想要將資料視覺化，例如，以顯示指數線圖或K線圖之類的圖形為目標，也必須面對基本的資料清理問題。</p> <p><span style="font-size:28px;"><strong>純NumPy的方案</strong></span></p> <p>因為指數歷史資料是CSV檔案，第一個會想到Python內建的csv模組，然而，這免不了要使用for之類帶有迴圈概念的語法，若你使用NumPy，可能不想這麼做，而想要遵循陣列程式設計的典範，以便善用NumPy的一些特性。</p> <p>numpy模組的loadtxt函式可以載入文字檔案，預設會以空白、換行來切出列行，並轉換為np.float64形態；然而，可以使用delimiter參數指定分隔符，並使用converters參數指定行（column）轉換器，透過這兩個參數，基本上，就能自行剖析每一列文字。</p> <p>另一方式是透過numpy模組的fromregex函式，它可以指定規則表示式，用括號分組來捕捉資料，例如，regex=r'"(.+)","([\d,.]+)","(.+)","(.+)","(.+)",'，底下程式片段，就能捕捉到指數歷史資料的各個欄位：</p> <pre> hist = np.fromregex('MI_5MINS_HIST.csv', regex, encoding = 'Big5', dtype = np.str)</pre><p>hist是NumPy陣列，因而想取得第n行，就能透過hist[:,n]，但資料目前都是字串型態，若要在Matplotlib繪製線圖，須將"14,720.25"的數字格式剖析為浮點數，最簡單的方式是透過Python內建的locale 模組，設定區域化的數值格式，之後將locale.atof向量化，以便剖析NumPy陣列的元素，例如：</p> <pre> locale.setlocale(locale.LC_NUMERIC, 'zh_TW.UTF-8') atof = np.frompyfunc(locale.atof, 1, 1) # 向量化</pre><p>這麼一來，atof(hist[:,n])就可以將第n行的指數資料剖析為浮點數，然後用Matplotlib來繪製線圖了，若對完整程式實作有興趣，我們可參考<a href="https://bit.ly/2PEIzc4" target="_blank">〈NumPy載入文字檔〉</a>與<a href="https://bit.ly/3fMC0Px" target="_blank">〈Matplotlib軸的格式〉</a>。</p> <p><span style="font-size:28px;"><strong>透過Pandas的DataFrame</strong></span></p> <p>對於表格型態的資料，透過（基於NumPy的）Pandas處理會方便許多，畢竟Pandas的DataFrame型態，提供了許多（二維）NumPy陣列沒有的便捷方法，而且整合了Matplotlib的基本繪圖，很適合讀入CSV之類的資料並進行視覺化，而且Pandas提供了豐富的API，可以讀取各種格式的檔案，支援的檔案格式可以參考官方<a href="https://bit.ly/2RedOLH" target="_blank">〈Input/output〉文件</a>。</p> <p>然而，這並不表示現實生活的資料載入後，不用任何清理，例如，pandas模組的read_csv可以讀入CSV檔案傳回DataFrame，然而，若讀入方才的指數歷史資料CSV，最後一行會是NaN，這是因為來源CSV檔案每一列最後都有逗號，等於多一個欄位，而該欄位沒有資料，這時Pandas會自行補上NaN。</p> <p>因此，初步的清理，可以是透過DataFrame的iloc[:,:-1]來去除該行，或者是透過read_csv的usecols參數，指定要使用哪些欄位；另外，可指定read_csv的index_col參數為'日期'，DataFrame的plot方法繪圖時，索引行預設成為x軸，也就不用特別剖析日期。</p> <p>然而，指數的部份，需要數值才能繪圖。若是DataFrame，可以透過applymap方法，指定方才的atof函式，來套用全部的元素（索引行元素不會參與），後續呼叫DataFrame的plot方法時，就會自動將全部的行以線圖來繪製。</p> <p>既然股市的指數能以線圖方式展現，你可能會想，能否畫個K線圖（candlestick chart）？這需要<a href="https://bit.ly/3uvdGpu" target="_blank">Matplotlib的mplfinance</a>，不過，mpl-finance已無維護，在2019年，Daniel Goldfarb接手該專案，folk並更名為mplfinance。</p> <p>mplfinance會使用日期作為索引，來源DataFrame的索引行必須是DatetimeIndex實例，實作上可以透過read_csv的index_col參數指定索引行，雖然read_csv有個parse_date參數，不過因為指數歷史資料的CSV檔案中，日期使用的是民國年，而parse_date在剖析日期時必須使用西元年，因此必須改使用read_csv的date_parser參數，指定自訂的剖析器。</p> <p>mplfinance預設接受的DataFrame，欄位名稱與順序上必須是'open'、'high'、'low'、'close'，以及一個選擇性的'volume'，這可以直接更改DataFrame的columns，或是呼叫mplfinance的plot時，透過columns參數指定自訂的欄位名稱，要注意的是，雖然'volume'是選擇性的，不過呼叫mplfinance的plot時自訂欄位名稱時，必須都列出來。若想看看完整程式實作的樣貌，我們可以參考<a href="https://bit.ly/39PrjI7" target="_blank">〈Pandas輸入輸出〉</a>。</p> <p><span style="font-size:28px;"><strong>給人讀還是機器？</strong></span></p> <p>實際上，無論是NumPy、Pandas、Matplotlib或是mpl-finance，掌握基礎API的使用，都不算太難，然而，在面對真實資料來源時，就算只是要單純視覺化，如何轉換為程式中可運行的資料，這個思考過程，往往比動手寫程式前要花更多的時間。</p> <p>這是因為，有許多資料來源，往往是以人類易於閱讀或理解的觀點來規畫或格式化，因而經常會有多重的訊息，例如欄位中除了數值，可能還有附註、括號或其他視覺上輔助的符號，才會增加程式上清理的麻煩。</p> <p>從另一方面來說，如果產出的資料，本身就是打算給機器閱讀，或許就要對機器方面做些思考，而不是從人類的觀點來生成資料；當然，不見得會有完全適切的資料格式，試著多從現實來源的資料做練習，對清理方式做更多的思考，從中瞭解有哪些工具或策略可用，才是資料清理的不二法門吧！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/numpy">Numpy</a></div><div class="field-item odd"><a href="/tags/pandas">Pandas</a></div><div class="field-item even"><a href="/tags/matplotlib">Matplotlib</a></div><div class="field-item odd"><a href="/tags/mpl-finance%E8%B3%87%E6%96%99%E8%99%95%E7%90%86">mpl-finance資料處理</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div></div></div>
2021/5/27 07:00作者林信良https://www.ithome.com.tw/voice/144563
中榮試用新版快篩站系統，500筆資料上傳時間從2小時變10分鐘！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺中榮總24日率先試用改良版快篩站系統，只要10分鐘就能上傳500筆資料，遠比現行需要2小時的系統快上12倍。行政院也將視後續成效，來推廣這套新系統，解決檢驗通報塞車和校正回歸的問題。</p> <p><strong><span style="font-size:22px;">為什麼會塞車？原來是快篩站系統各家不一</span></strong></p> <p>近幾周全臺各地COVID-19篩檢量遽增，再加上原本通報流程繁瑣，造成各種塞車，指揮中心也因此提出校正回歸，將未能在2天內確認的個案回歸到推斷期間。但這一用詞引發各界爭議，行政院也請數位政委唐鳳改善快篩站通報系統。</p> <p>但快篩通報為什麼會塞車？臺中榮總資訊室主任賴來勳表示，由於現行快篩站系統由各醫院自行開發，臺中榮總亦是，因此使用介面和格式不一，難以與疾管署交換資料。此外，一般民眾進行快篩時，需由醫護人員花時間填妥民眾資料，因此無法立即採檢。</p> <p>疾管署也意識到這個問題，近日開始推動全國統一版本的快篩站系統。這次新系統經唐鳳改良，疾管署於上周五通知臺中榮總資訊室展開試用，臺中榮總也立即動員，與上周末配合測試新系統，並提供建議來精進這套國家版快篩站系統。</p> <p><strong><span style="font-size:22px;">利用簡訊實聯制概念，新版篩檢站系統掃QR Code就能快速填資料、串資料</span></strong></p> <p>這個國家版快篩站系統有如簡訊實聯制，只要掃QR Code就傳送資料。賴來勳指出，民眾在等待採檢期間，可先掃QR Code來填寫個人資料，輪到自己採檢時，告知醫護人員身分證字號即可。這時，醫護人員可透過身份證字號馬上調閱資料，省下原本手動填表的時間，也降低感染風險。</p> <p>對醫院來說，這個方法也能直接整批下載民眾填報的資料，而且「速度非常快。」賴來勳表示，這麽做大幅加速後續法定傳染病採檢資料的回報速度，「對醫院非常有幫助。」</p> <p>近來各地篩檢量和確診數大增，不少醫院傳出人力吃緊，臺中榮總也不例外。但他們院內快速調度，不少非醫護人員也投入第一線協助快篩作業，像是資訊室工程師不只寫程式，還進入快篩站幫忙作業。賴來勳本身更從5月10日開始，每天進入快篩站協助，至今沒有一日休息。他希望各方齊心一力，度過這個難關。</p> <p>而根據統計，臺中榮總24日採檢的211件中，有170件採用新系統通報，使用率高達8成。行政院也將視後續成效，來鼓勵其他醫院使用。</p> <p><strong><span style="font-size:22px;">檢驗通報流程還有這些地方卡，指揮中心也逐步改善</span></strong></p> <p>除了快篩站系統，中央流行疫情指揮中心指揮官陳時中也在23日解釋通報流程的塞車問題。他表示，民眾至社區採檢站或醫院採檢後，採檢單位通報時得填寫20多項欄位的資料，再將檢體採檢送到實驗室進行PCR檢驗。實驗室人員需登打檢驗結果，接著上傳到疾管署發布，再由人工研判個案，最後透過指揮中心在記者會上發布。（如下圖）</p> <p><img alt="https://s4.itho.me/sites/default/files/images/210523通報流程手版.jpg" src="https://s4.itho.me/sites/default/files/images/210523%E9%80%9A%E5%A0%B1%E6%B5%81%E7%A8%8B%E6%89%8B%E7%89%88.jpg" /></p> <p>而這個流程，有4個地方出問題。首先是通報階段，20多個欄位填錯1個就得全部重來，檢驗量大時非常耗時而造成塞車，目前，指揮中心已將這些欄位簡化為8個必填欄位。</p> <p>第2個問題出現在檢體送驗階段，因為送驗時，還需要多道程序才能取得條碼。指揮中心也正簡化這些程序，讓相關人員更容易取得條碼。</p> <p>第3個問題是登打檢驗結果，因為有多個欄位需重複登打，檢驗量暴增時就會拖慢登打時間。於是，指揮中心簡化登打流程，檢驗單位只需通報篩檢陽性個案即可，不需重複登打陰性個案資料。</p> <p>最後一個問題是人工判讀檢驗結果。陳時中解釋，當檢驗報告上傳至疾管署網站，地方衛生局和相關人員會進行疫調。但最後還是需要人力來綜合疫調結果、判定個案情況，才能進行下一步的法定程序，也就是開立居家隔離/檢疫書，或進行隔離治療。</p> <p>陳時中表示，在這重重判定的過程中，也有時間差產生，未來，指揮中心希望針對無異常的個案，採取自動直接判定的作法，只針對異常個案進一步檢查。</p> <div id="gtx-trans" style="position: absolute; left: 271px; top: 430px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2021/5/26 22:44作者王若樸https://www.ithome.com.tw/news/144642
Gartner：全球科技產業併購活動在去年第四季創下歷史紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場研究機構<a href="https://www.gartner.com/en/newsroom/press-releases/2021-05-24-gartner-says-global-tech-provider-mergers-and-acquisitions-activity-will-surpass-2018-highs-by-2022" target="_blank">Gartner</a>本周指出，去年第四季北美與歐洲的科技產業併購活動的交易規模達到1.264兆美元，超越了2018年第四季所創下的1.07兆美元，然而，此一紀錄的壽命可能很短暫，因為Gartner預期該產業的併購活動在2022年就會創下新高。</p> <p>Gartner資深研究總監Max Azaham表示，隨著COVID-19影響力的消退，交易的市場環境將逐漸改善，這同時也意味著收購方的競爭將日益激烈，必須以更好的條件來贏得賣家的青睞。</p> <p>從Gartner所公布的圖表可以看出，去年第一季時，北美與歐洲市場的科技產業併購規模為9,670億美元，第二季因受到疫情的影響，明顯萎縮至7,540億美元，但下半年即開始復甦，從第三季的1.026兆美元，成長到第四季的1.264兆美元。此外，在去年下半年的交易中，最受歡迎的併購標的為通訊服務供應商，其次則是服務業者與軟體業者。</p> <p>至於主要的買家則是金融服務業者，通常為私募股權公司，去年一整年有超過一半的併購對象為軟體供應商。</p> <p>另一個值得注意的趨勢是，在去年下半年的併購案中，服務市場及軟體市場交易上的收購方與賣方服務重疊的比例，各自增加了65%與40%，代表有許多交易是直接併購了競爭對手。</p> <p>Gartner認為，隨著經濟的復甦，全球（北美與歐洲）的併購活動也將快速的反彈，並在2022年創下新高峰。</p> </div></div></div>
2021/5/26 19:31作者陳曉莉https://www.ithome.com.tw/news/144640
微軟與Accenture共創綠色軟體基金會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟、Accenture、GitHub及ThoughtWorks周二（5/25）宣布成立<a href="https://blogs.microsoft.com/blog/2021/05/25/accenture-github-microsoft-and-thoughtworks-launch-the-green-software-foundation-with-the-linux-foundation-to-put-sustainability-at-the-core-of-software-engineering/" target="_blank">綠色軟體基金會</a>（Green Software Foundation），將與Linux基金會（Linux Foundation）及共同發展基金會專案（Joint Development Foundation Projects）合作，打造一個可靠的生態體系，訂出綠色軟體的標準，提供工具與最佳實作，以協助軟體產業也能跟上全球對保護環境的腳步，於2030年減少45%的溫室氣體排放。</p> <p>該基金會將致力於打造綠色軟體開發標準（Green Software Development Standard），以及支援綠色開源碼生態體系。微軟表示，倘若他們希望全球的企業都能打造綠色應用，這些企業便需要了解如何打造相關應用的開發者，因此，最重要的基礎即是訓練開發者建置綠色軟體及管理綠色專案。</p> <p>GitHub營運長Erica Brescia則說，當實現無碳軟體時，開發者在打造、部署或使用軟體時，無需是專家就能替全球環境保護貢獻一己之力。</p> <p>目前全球資料中心的耗電量約占全球所需電力的1%，而且在未來10年將成長到3~8%，該基金會的首要之務就是建立與公布各種運算及技術領域的綠色軟體標準與實作，同時培育支援綠色軟體應用的開源碼與開放資料專案，進而推動與倡導綠色軟體。</p> </div></div></div>
2021/5/26 19:38作者陳曉莉https://www.ithome.com.tw/news/144641
看上Arm趨勢，甲骨文也開始提供Arm雲端執行個體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文現在發布使用Arm晶片的全新<a href="https://blogs.oracle.com/cloud-infrastructure/arm-based-cloud-computing-is-the-next-big-thing-introducing-arm-on-oci">甲骨文雲端基礎設施（OCI）Ampere A1運算平臺</a>。甲骨文在AWS之後，也要開始提供基於Arm處理器的雲端執行個體，但有別於AWS自己設計的作法，甲骨文選擇與CPU設計新創Ampere合作，要共同開發伺服器Arm晶片。</p> <p>Arm從原本低成本低功耗的晶片，開始走向能與其他晶片供應商競爭效能的階段，甲骨文提到，在不久之後，Arm伺服器將會成為效能領導者，且具有效能一致性和高安全性的優點。過去幾十年間，伺服器CPU架構競爭激烈，競爭者包括SPARC、MIPS、POWER和x86等，但是最終由X86站上伺服器處理器主導位置，該公司認為，這個現象消滅了大多數應用程式和函式庫，跨多架構運作的需求。</p> <p>而甲骨文看到了Arm趨勢，開始投資Arm開發和執行環境，並發展Arm相關的平臺、工具和社群。現在甲骨文使用Ampere Altra伺服器處理器，先推出了Ampere A1運算平臺，該平臺能以裸機形式提供高效能運算，其具有160個單執行緒核心，核心時脈達到3.0 Ghz，並且擁有1 TB記憶體，甲骨文解釋，每個核心在設計上都是單執行緒的，具有獨立的64 KB L1 I-Cache快取、64 KB L1 D-Cache以及1 MB L2 D-Cache，可在100％的時間提供可預測的效能。</p> <p>該平臺也能以甲骨文獨家的彈性架構，靈活地調整虛擬機器規格，可選用1到80個核心，每個核心搭配1到64 GB記憶體，以良好地符合用戶的工作負載。Ampere A1運算平臺還與GitHub、GitLab和Jenkins完全整合，能夠無縫地開發和部署應用程式到Ampere A1中。</p> <p>Ampere A1運算平臺所使用的Ampere Altra處理器，每核心提供一致的效能，能以接近線性的方式縮放，因此可解決應用程式爭奪核心的問題，讓特定資源使用專用核心，並且一致地以高時脈運算。甲骨文還提到，與x86執行個體比較，Altra處理器讓應用程式只要更多執行緒，就能線性增加效能。</p> <p>Ampere A1是一個通用平臺，可以用於許多應用情境，像是執行NGINX，支援網頁伺服器、微服務和API閘道器等高吞吐工作負載，還能用於像是影片編碼，以及人工智慧推理等這類高CPU密集的工作負載。</p> <p>甲骨文表示，OCI Ampere A1的價格便宜，每核心每小時僅為0.01美元，而每小時每GB記憶體為0.0015美元，用戶可以從使用免費計畫開始。該公司表示，根據產業標準的SpecInt和SpecFP基準，Ampere A1的性價比是同類Arm的伺服器執行個體的2.5倍，而且更是同類基於x86的Intel Skylake或AMD Naples執行個體的4倍。</p> </div></div></div>
2021/5/26 19:44作者李建興https://www.ithome.com.tw/news/144636
資安一周第147期：臺灣入口網站蕃薯藤被駭資料流入駭客論壇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">5/20-5/26 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">臺灣入口網站蕃薯藤被駭資料流入駭客論壇</strong></h2> <p>許多臺灣用戶曾經使用過的入口網站，竟傳出個資在駭客論壇流竄。密碼外洩查詢網站Have I Been Pwned（HIBP）近日接獲臺灣威脅情報研究人員Still Hsu通報，駭客論壇出現來自臺灣入口網站蕃薯藤的外洩資料，而究竟有多少資料外洩？HIBP表示，該資料庫內含超過1,300萬名用戶資料。</p> <p>HIBP進一步指出，這批資料的外洩時間點為2013年6月，內含13,258,797筆電子郵件，以及這些帳號的用戶名稱、姓名、生日、電話號碼、地址，以及未加鹽的密碼MD5雜湊值。<strong><a href="https://www.ithome.com.tw/news/144589">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/147-1-yam-pwned.png" style="width: 400px; height: 420px;" /></p> <p><span style="color:#808080;">圖片來源：Still Hsu</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃醫療機構＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">愛爾蘭健康服務管理署遭勒索軟體攻擊，駭客要脅將出售民眾個資</strong></h2> <p>愛爾蘭健康服務管理署（HSE）於5月14日證實，他們遭勒索軟體攻擊，勒索近2千萬美元，此事引起當局重視，並表明不會支付贖金。當地國家網路安全中心（NCSC）介入調查，發現駭客組織Conti在成功攻擊HSE後，<a href="http://www.ithome.com.tw/news/144469">亦企圖對其主管機關衛生部（DoH）下手未果</a>。而對於HSE，駭客近期有了新的動作──他們在19日公布解密金鑰，但強調若不願付贖金，將會出售或是公布竊得的資料。</p> <p>根據新聞網站SiliconANGLE報導，駭客宣稱握有HSE超過700GB資料，涵括病患住址、電話號碼，以及員工合約、薪資、財務資料。駭客公布了27個檔案，而這些資料與12人有關。<strong><a href="https://www.ithome.com.tw/news/144555">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃關鍵基礎設施＃供應鏈攻擊</strong></h3> <h2><strong style="vertical-align: top;">險被水中下毒的佛州淨水廠事故，外包商也被駭</strong></h2> <p>今年2月，佛州奧德馬爾（Oldsmar）市淨水處理廠員工發現，有不明人士入侵公司網路，企圖調高淨水過程的氫氧化鈉，使其濃度調高到正常值的100倍，幸好及時修正而未釀成大錯。資安業者Dragos著手調查後發現，該淨水廠的外包商也被捲入攻擊事件。</p> <p>該資安業者指出，在淨水廠遭到攻擊之前，其中一家營建基礎架構外包商的WordPress網站上，出現惡意程式碼，攻擊者當時用這個網站來進行水坑式攻擊，並從連向該網站的相關系統收集資料。此外，淨水廠被駭事故當日，也出現從奧德馬市存取該網站的異常連線。<strong><a href="https://www.ithome.com.tw/news/144595">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/147-2-WWH-Picture1_Dragos.png" style="width: 400px; height: 164px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：Dragos</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">受SITA供應鏈攻擊波及，印度航空外洩450萬名乘客資料</strong></h2> <p>全球航空業知名IT服務供應商國際航空電訊集團（SITA），在3月坦承，旗下專營航空公司乘客處理系統的子公司Passenger Service System（PSS）遭到駭客入侵，此事揭露後，多家航空公司隨即發出聲明，表明受影響的程度。但直至5月19日，印度航空（Air India）才宣布自己是受害者，約有450萬名乘客的資料外洩。</p> <p>印度航空表示，他們在2月25日就收到SITA通知，但到了5月才確認所有受到影響的旅客，這些人是在2011年8月26日至2021年2月3日之間，向印度航空登記有關資料。<strong><a href="https://www.ithome.com.tw/news/144587">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞攻擊＃作業系統</strong></h3> <h2><strong style="vertical-align: top;">針對甫修補的Windows 10漏洞，研究人員公布概念性驗證攻擊程式</strong></h2> <p>研究人員Axel Souchet於5月22日，在GitHub發布概念性驗證攻擊程式，針對微軟甫於5月定期修補（Patch Tuesday）公布的重大漏洞CVE-2021-31166而來，使得資安社群紛紛呼籲Windows 10用戶，應儘速修補。</p> <p>該漏洞與HTTP協定堆疊有關，攻擊者可藉由傳送特製的封包，來濫用這項漏洞，而此漏洞一旦遭到濫用，亦可能具有蠕蟲的大量散播與感染能力。受到這項漏洞影響的範圍，包含了所有的20H2、2004版的Windows 10，以及Windows Server，且無論是Arm或x86架構的電腦都存在相關風險。<strong><a href="https://www.ithome.com.tw/news/144390">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃物聯網裝置</strong></span></h3> <h2><strong style="vertical-align: top;">Eufy監視攝影機的臭蟲導致部分用戶隱私曝光</strong></h2> <p>德國媒體MacErkopf於5月17日報導，中國安克創新（Anker）旗下的智慧家庭暨保全品牌Eufy，最近出現臭蟲，使得監視器用戶透過Eufy Security行動程式，竟能看到其他用戶家裡的監視畫面，包括即時與儲存的畫面。</p> <p>針對此事Eufy也於同日做出回應，表示當天伺服器更新的軟體存在臭蟲，而該公司於2小時內修復，他們說，只有0.001%的用戶受到影響，同時也未影響嬰兒監視器或智慧鎖等其它產品。<strong><a href="https://www.ithome.com.tw/news/144476">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃Android</strong></span></h3> <h2><strong>甫修補的Android漏洞已有4個被用於攻擊行動</strong></h2> <p>Google於5月初公布Android安全性公告，修補約50個安全漏洞。該公司近期再度更新公告內容，原因是有4個漏洞可能已經遭到濫用。Project Zero資安研究員Maddie Stone指出，相關漏洞皆存在於GPU，包含兩個源自高通GPU的CVE-2021-1905與CVE-2021-1906，另外兩個則是存在於Arm Mali GPU中的CVE-2021-28663，以及CVE-2021-28664。Maddie Stone認為，這些漏洞很可能被用於目標式攻擊。<strong><a href="https://www.ithome.com.tw/news/144536">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/147-3-android-gpu-4vul.png" style="width: 400px; height: 337px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：Maddie Stone</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃雲端配置不當＃Android</strong></span></h3> <h2><strong style="vertical-align: top;">23款Android應用程式雲端配置錯誤， 1億用戶資料曝險</strong></h2> <p>雲端服務配置錯誤的現象，很可能導致用戶存放的資料面臨曝光的風險。資安業者Check Point發現，有23款Android應用程式所使用的第三方雲端服務配置錯誤，可能讓全球超過1億的Android用戶個資曝險，包括13款程式的即時雲端資料庫缺乏密碼保護，同時，還有一些程式的開發者，把登入雲端服務的帳號密碼直接置放在程式碼內。<strong><a href="https://www.ithome.com.tw/news/144556">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">藍牙的核心與Mesh規格含有7個安全漏洞，允許駭客冒充合法裝置</strong></h2> <p>藍牙技術聯盟（Bluetooth SIG）在5月24日，揭露了7個有關藍牙規格的安全漏洞，存在於核心及Mesh Profile規格中，將允許駭客冒充合法裝置，這項弱點波及Android開源專案、思科、Cradlepoint、英特爾、Microchip，以及紅帽的相關產品。<strong><a href="https://www.ithome.com.tw/news/144613">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃法規遵循＃金融產業</strong></span></h3> <h2><strong style="vertical-align: top;">金管會揭露電支條例子法重點驗證機制</strong></h2> <p>新電子支付機構管理條例將在7月1日正式上路，對此，金管會與央行近日皆對外預告需配合修訂的授權相關子法，其中，對於電子支付的部分，要求強化電子支付機構的用戶身分確認機制，相關規範將比照銀行數位存款帳戶的分類，其身分確認強度亦分為一到三類。<strong><a href="https://www.ithome.com.tw/news/144554">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/144605">ProxyLogon公布5分鐘後，駭客就尋找攻擊目標</a><br /> ●<a href="https://www.ithome.com.tw/news/144491">Google強化Chrome密碼防護功能，能一鍵改掉外洩密碼</a><br /> ●<a href="https://www.ithome.com.tw/news/144552">微軟開源SimuLand專案，可用來部署模擬網路攻擊</a></h3> </div></div></div>
2021/5/26 15:58作者周峻佑https://www.ithome.com.tw/news/144632
Google Photos壓縮相片儲存將不再稱「高品質」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不到一周後，Google Photos無上限硬碟空間服務將終止，一般用戶最多只能免費上傳最多15GB的相片、影片及文件檔案。報導指出，為更清楚說明，Google終於將「高品質」儲存改成比較貼近真實的「Storage Saver」。</p> <p>因應去年11月宣布的政策變更，從6月1日起Google Photos將只允許用戶免費上傳最多15GB的相片和文件檔案。6月1日前上傳的任何影片或相片都不計入所占空間。<a href="https://support.google.com/photos/answer/6220791?co=GENIE.Platform%3DDesktop&hl=zh-Hant&oco=1#zippy=" target="_blank">根據Google網頁</a>，此後包括原始畫質（original quality）相片、壓縮到16MB以下的「高畫質」相片及更低的「快速備份畫質」相片及影片，全部都會計入15GB的免費儲存空間。</p> <p>為節省儲存空間，Google呼籲用戶將「原始畫質」備份的相片和影片，改壓縮為高畫質。</p> <p><a href="https://www.theverge.com/2021/5/24/22451607/google-photos-high-quality-storage-saver-tool-free-space-blurry-screenshots" target="_blank">The Verge本周報導</a>，「高畫質」有誤導之嫌，因為它指的是壓縮到16MB以下的相片，因此「很快」Google就會將之改名為「Storage Saver」。</p> <p>Google 對Pixel手機用戶也有一些優待。根據Google臺灣網頁，經由Pixel 1、Pixel 2 或 Pixel 3手機（優惠服務期間）上傳的原始畫質影片和相片，「系統不會將這些內容變更為高畫質」。</p> <p>至於Pixel 2和Pixel 3的原始畫質優惠期間，Google臺灣網頁並沒有說明。但根據<a href="https://support.google.com/photos/answer/6220791?co=GENIE.Platform%3DAndroid&hl=en#zippy=%2Coriginal-quality%2Cexp[…]high-quality%2Cpixel%2Cpixel-a-" target="_blank">Google美國網頁</a>說明，Pixel 3上傳原始影像的期限是到2022年1月1日。Pixel 2的優惠期限則已經過了：2021年1月16日。第一代Pixel 則是在手機壞掉前，都可無限上傳原始畫質影像。</p> <p>6月1日以後，除了第一代Pixel外，從Pixel 2到Pixel 5仍然保有無限雲端空間（即Storage Saver），可儲存以壓縮檔形式儲存的相片、影片及文件。</p> <p>其他手機，包括Pixel 5a、Pixel 6或未來的Pixel手機，也和iPhone、其他Android手機一樣無福享受這好康，不論是原始畫質、或壓縮的相片影片、以及Gmail、Google Drive中的文件、試算檔、簡報檔，都會計入15GB免費儲存空間的限額中。</p> <p>配合即將到來的措施，Google Photos也推出管理功能，標示出較大檔案或模糊相片以方便用戶刪除並騰出空間，還有工具告知使用者Google帳號剩餘多少免費空間。</p> <p>用戶如果希望自由上傳影片和相片，可以趁剩下的幾天時間，不然也可以如Google希望的購買Google One付費服務。</p> <p> </p> </div></div></div>
2021/5/26 16:27作者林妍溱https://www.ithome.com.tw/news/144635
【跨界資安人才】跨國跨產業資安職涯動力曲線大分享，先輩給資安新血的2大職涯發展心法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">日本知名網站資安社群OWASP中，有一名活躍的臺灣人。早在2013年，他就熱心翻譯現在業界年年必看的英文版OWASP網站十大安全風險名單，帶進日本資安圈，讓日本社群驚訝不已。他就是現在任職永豐金證券資訊安全部協理的謝佳龍，不只與OWASP結緣近10年，更兼具企業端與廠商端的海內外資安工作經驗，近日他在臺灣資安大會中，以自身經驗為例，向3年以下資歷年輕資安人才分享磨練資安技能及心態養成的作法，盼更多新血加入，為資安領域貢獻。</p> <h3 dir="ltr"><span style="color:#FF8C00;">繪製資安職涯動力曲線，詮釋自身職涯發展的困境與收穫</span></h3> <p dir="ltr">謝佳龍過去曾在日本求學與工作長達11年。他大學時就讀美國卡內基·梅隆大學的日本神戶分校，而後在攻讀碩、博士時，開始學習資安，研究了數位隱私權的相關議題。畢業後，進入一家臺灣資料外洩防護（DLP）廠商的日本分公司，接著先後進入日本最大電信集團的資安子公司以及日本最大電商企業的資安辦公室。回到臺灣之後，曾在臺灣最大電信集團內工作，也短暫在日商銀行工作，目前為永豐金證券的資安主管。</p> <p dir="ltr">為了更進一步說明每個工作經歷所面臨的困境與收穫，謝佳龍繪製出自己的資安職涯動力曲線，來剖析從事資安工作的動力起伏。比如剛開始在唸研究所時，謝佳龍對於資安領域的興趣濃厚，卻在實際接軌就業時，發現日本企業聘用博士生的意願低，加上非本國籍的身份，使他求職面臨求職不易的困境。因此，他的動力曲線在歷經第一個高峰之後，逐漸走下坡。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/188069145_1186730841755692_1192077909756117926_n.jpg" style="width: 700px;" /></p> <p dir="ltr">進入臺灣DLP企業的日本子公司工作後，雖然與客戶逐漸建立起信任關係，動力曲線稍微回升，但在公司撤出日本市場後，又開始下降。直到謝佳龍重新找了一份工作，進入了日本最大電信集團的資安子公司任職，他的動力曲線才又開始穩定成長。</p> <p dir="ltr">這份在日本電信業的工作，讓謝佳龍接觸了滲透測試、弱點掃描等資安檢測工作，也巧合地加入了資安社群OWASP（Open Web Application Security Project，開放Web軟體安全計畫），開始與社群產生連結。當時，他甚至翻譯了著名的2013年OWASP Top 10，從英文翻譯成日文版本，「連社群的人都一嚇一跳，日文版居然是外國人翻的！」</p> <p dir="ltr">在社群耕耘的經驗，也將謝佳龍帶到了第三份工作，進入日本最大電商企業的資安辦公室。原先工作是執行滲透測試，後來受到主管指示，他開始對內部員工進行資安教育訓練，對象從開發者、系統維運人員，陸續擴大到全公司，工作之餘也持續在社群中活躍，他的動力曲線也在這時候達到第二個高峰。</p> <p dir="ltr">離開這份工作後，他在日本的職涯也告一段落，選擇搬回臺灣。謝佳龍比喻，在日本找工作遭遇了一次文化衝擊，但回到臺灣工作後，卻又面臨了一次「逆文化衝擊」，「因為我已經習慣日本產業了，回來臺灣的第一份工作就感受到思維的不同。」由於在臺灣零工作經驗，他在面對臺灣客戶時，發現客戶所在意之處與過去從業經驗有許多不同，需要重新適應。過程中，他也接觸到銀行資安專案，開始對金融界資安有更多了解。</p> <p dir="ltr">這時，他的動力曲線也因逆文化衝擊而下降，不過就在進入現任職場，擔任永豐金證券資訊安全部協理後，動力曲線也持續回升，來到第三個高峰。</p> <p dir="ltr">謝佳龍解釋，在金控公司任職資安主管一職，工作內容與過去有很大差別。比如需要全盤式的進行策略規劃，來決定組織該如何分工，甚至得進行決策；還有一個與過去截然不同的學習，是以往不曾任主管時，總是想著要做什麼，但任職主管後，反而得決定哪些事不要做，「主管時間非常有限，要把精力花在對公司有幫助的地方。」</p> <p dir="ltr">這份工作，更讓謝佳龍深刻體悟了溝通的重要性，從部門內、跨部門溝通，到與資訊單位、業務單位協調，更需向上級報告。由於溝通的對象不一定具有資安背景，為了讓對方能了解自己的想法，就需要培養自己的溝通技巧。</p> <p dir="ltr">至此，謝佳龍曾任前端的售前規劃顧問（Pre-Sales），負責與客戶討論需求、規劃架構，也曾任後端技術支援的溝通協調者，向開發團隊反應客戶使用上的問題、需客製化的功能；後續也曾在企業內辦理資安教育訓練、進行資安推廣，更熟悉安全系統發展生命週期（SSDLC）的流程。這些橫跨廠商與企業兩端的工作經驗，以及從日本到臺灣的廣闊視野，都是他累積至今奠下的能力基石。</p> <h3 dir="ltr"><span style="color:#FF8C00;">以自身經驗出發，提供資安初階人員技能與心態養成建議</span></h3> <p dir="ltr">面對學生、或工作未滿三年資安人才新鮮人，謝佳龍建議，每個人都得規劃自己的職涯發展方向，「雖然計劃很常趕不上變化，但不代表就不用規劃，自己的職涯該怎麼走。」</p> <p dir="ltr">除了了解自己的職涯發展方向，也需要培養自己的技能（Skillset），從技術到軟實力都得具備。在技術方面，可以分為包括密碼學、網路安全、逆向工程、程式安全、數位鑑識等領域，而要熟悉這些知識或技能，謝佳龍建議，透過參與社群來學習是一個切入點，國內外社群包括包括UCCU、TDOH、BambooFox、AIS3、OWASP、HITCON等，都能積極參與來深化技術實力，因為在職場上，「沒有人會平白無故的教你東西，老闆、前輩都不會！」</p> <p dir="ltr">在軟實力方面，則是要具備五大技能。一是溝通能力，無論在企業端或廠商端都同等重要，若身為企業端，需透過溝通來說服上級或其他員工，也能認同自己的決策或建議，如果身為廠商端，更得具備溝通技巧，才能說服企業採用自家的服務。二則是要具備團隊合作能力，才能在資安領域合作對抗敵人，比如透過不同角色分工來蒐集情資、布建資安防護、監控防火牆Log、進行事件回應等，分工合作來面對駭客集團的攻擊。</p> <p dir="ltr">三是適應性（Adaptability），指的是面對不同產業的客戶，或是在身處不同產業從事資安工作時，不能用同一套思維套用到所有場景，要根據不同產業或環境的需求，來提供服務。四與五，則是需具備解決衝突的能力，以及領導能力。</p> <p dir="ltr">「Fit yourself/security into scenarios.（調整自己，適應不同的資安場景。）」謝佳龍以這句英文來強調，在投入職場的過程中，關鍵是要先讓自己適應不同的資安場景，才能進一步發揮自身的經驗與能力。</p> <p dir="ltr">另外，考取證照也是一大重點，網路上也有些整理圖表，告訴資安人在不同能力程度及不同專業下，應該考取哪些證照較為合適。比如美國計算機行業協會CompTIA 2019年更新的IT證照地圖（IT Certification Roadmap），就可以做為參考標準；此外，美國國家標準暨技術研究院（NIST）也公佈了國家網路安全教育倡議框架（National Initiative for Cybersecurity Education，NICE框架），將資安工作分為7大類33個專業領域，詳細查看NIST SP 800-181的規範，還能了解不同工作角色的任務，成為技能學習的參考依據。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-25%20%E4%B8%8B%E5%8D%884_45_54.png" style="width: 700px;" /></p> <p dir="ltr">除了資安技能之外，心態養成（Mindset）也是重要的一環。謝佳龍提出了一個資安VIP的心法。他解釋，這裡的VIP指的是專業（Professional）、正直（Integrity）與價值（Value）。首先，從事資安工作要具備專業性，再來，則是要將專業用在光明面，做正直的事，才能進一步產生價值，「專業與正直結合，來產生價值，就是資安VIP。」為企業帶來價值的同時，也會為自己帶來價值，讓職涯發展更進一步。</p> <p dir="ltr">選擇進入廠商端與企業端也需有不同的心態，謝佳龍以他自身經驗來看，他建議，若進入廠商端工作，「用專業解決問題，成為企業的夥伴。」有了這個態度，才能讓企業感到信任，在面對資安需求的時候，訴諸自家服務來解決問題。</p> <p dir="ltr">而在企業端資安職場工作時，謝佳龍則建議：「應用問題來培養專業，」由於資安專業領域的範圍太廣泛，但不同產業面臨的挑戰不同，因此，身在不同產業的資安工作者，不需要什麼專業都得學會，而是得根據身處不同情境下面臨的挑戰，來培養專業能力。同時，也要具備「被討厭的勇氣」，他指出，許多人不了解資安人員的工作，時常覺得資安人員無所事事，只會突然丟漏洞要開發人員修補，而面對他人的不理解，資安人員需要具備良好的心態來面對。</p> <h3 dir="ltr"><span style="color:#FF8C00;">點明資安產業零失業率、高人才缺口，盼更多新血投身貢獻</span></h3> <p dir="ltr">雖然資安工作辛苦，但謝佳龍也提出幾項數據，來增加新鮮人跨進資安產業的動力。首先，是根據美國資安研究與出版商Cybersecurity Ventures的一項數據，顯示到2019年為止，美國資安工作者的失業率已經連續8年為零，同時，2021年的資安職缺將達到350萬個，相較於2014年的100萬個，在7年之間成長了3.5倍。</p> <p dir="ltr">「哪一個產業能成長的如此快速？」他鼓勵學生與資安初階人員，要有被討厭的勇氣、努力追求新知，更要加強技術與軟實力，從各方面精進自身能力，來滿足資安人力需求的大量缺口。</p> <p dir="ltr">同時，他也引述金管會去年8月發布的金融資安行動方案，其中規定，具一定規模的金融機構，必須設置副總經理層級的資安長，這意味著，未來金融資安領域的從業工作者，有一定程度的機會，能擔任主管職，來承擔金融機構需肩負的資安重任。他藉此給予資安人員一個願景，盼人才更有動力留在資安產業耕耘。</p> <p dir="ltr">最後，謝佳龍也點明：「資安非常重要，不只是對金融重要，更是國家安全的一環。」他期許有更多資安新血，願意秉持著資安與每個人同在的精神，持續對資安產業投注心力與貢獻。</p> </div></div></div>
2021/5/26 16:31作者翁芊儒https://www.ithome.com.tw/news/144617
PyTorch推出企業支援計畫，服務供應商所開發的修補程式需回饋社群
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書與微軟合作，推出深度學習函式庫<a href="https://pytorch.org/blog/announcing-pytorch-enterprise/">PyTorch企業支援計畫（Enterprise Support Program）</a>，這項計畫讓服務供應商可以對自家用戶量身訂做企業級支援。官方提到，該計畫回應PyTorch企業用戶的需求，有助企業在關鍵任務應用上，使用PyTorch大規模開發模型。</p> <p>所有服務供應商都可以加入PyTorch企業支援計畫，計畫目的是要透過共享和改進PyTorch長期支持（LTS），使得所有計畫參與者互利互惠，這包括共享服務供應商與用戶合作時，所開發的漏洞修補程式和各種改進。所有經由參與者開發的修補程式，都會經過開發測試，並透過PyTorch的標準拉取請求程序，回饋到之後PyTorch版本。</p> <p>服務供應商想要參與PyTorch企業支援計畫，需要提出申請，並且滿足一系列計畫條款和認證，一旦被接受，服務供應商就會成為計畫參與者，可提供帶有LTS支援的PyTorch企業服務、優先排解疑難雜症和有用的整合等。</p> <p>微軟作為PyTorch企業支援計畫創始者之一，也宣布開始在Azure上提供企業級PyTorch，微軟提到，雖然PyTorch容易上手，但是用戶還是可能遇到困難，在生產中使用PyTorch需要幫助，所以他們催生了企業版PyTorch。</p> <p>微軟依據PyTorch企業支援計畫，會對每一個PyTorch版本提供支援，但每年都會選擇特定的PyTorch版本，提供2年的支援服務，而微軟的Premier和Unified Support用戶，不需支付額外費用，就能自動獲得PyTorch企業支援，Azure中專門的PyTorch團隊，將會根據優先等級，開發臭蟲與安全性修補程式。</p> <p>最新版本的PyTorch將與Azure機器學習，並和ONNX Runtime等其他PyTorch附加元件整合，以加速推理運算速度，而微軟也承諾將會繼續投資ONNX標準，以提高PyTorch推理和訓練速度。微軟在Azure上提供的企業級PyTorch支援，不只其用戶可以獲得更新，整個PyTorch社群也都受益，所有更新經過測試之後，都會回饋到之後的PyTorch版本，以便讓社群所有成員都可以使用。</p> </div></div></div>
2021/5/26 17:26作者李建興https://www.ithome.com.tw/news/144630
【臺灣資安大會直擊】從管理與信任本質去思考，KPMG解析零信任架構設計與實踐方式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，企業面對現今複雜的資安威脅，零信任的相關議題就不斷被提出，而隨著疫情加速改變IT作業型態，又再提高企業實際面臨的風險態勢，零信任架構（Zero trust architecture，ZTA）更是受到各界看重，屬於下一代網際安全設計的架構。</p> <p>為何越來越多資安廠商、雲端服務大廠都擁抱這個概念？企業對於ZTA又該有那些認知？對此，KPMG安侯建業數位科技安全服務團隊副總經理邱述琛指出，信任其實是件困難的事，我們不僅需要思考到底要和誰互相信任，信任什麼事物，而在了解ZTA的定義與原則之外，對於ZTA參考架構與實行，也需關注該如何能徹底發揮效果，更要注意在業務推動與安全考量間取得平衡，並透過持續監控來與檢討精進。</p> <h2><strong>企業運作環境正在改變，未來組織內外資安管控應要一致</strong></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖s）KPMG零信任_攝影iThome.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96s%EF%BC%89KPMG%E9%9B%B6%E4%BF%A1%E4%BB%BB_%E6%94%9D%E5%BD%B1iThome.JPG" style="width: 220px; float: right;" /></a></p> <p>近年來，隨著數位轉型、自攜裝置、遠端工作、COVID-19，以及遠端存取需求大增，都驅動著企業的運作環境迅速改變，促使資安防護需重新考量。邱述琛指出，隨著網路向外延伸，如今將更趨向扁平與變動式網路架構，所以，可存取組織內部資源的網路，都應包含在管控範疇之中，因此需考量內外安全防護應該一致。</p> <p>再者，過去存取管控可能是全有或全無，也就是當使用者經過第一關識別身分後，就獲得所有權限。不過，他以實體安全管控方式為例，像是任何人員進入IDC機房時，需要先換證，若進入更機密的地方，將搭配刷卡或更多生物驗證機制，網路世界卻沒有這麼做，原因可能是受到過去IT使用太便利的影響。至於其他考量重點，還包括像是橫向移動、內部威脅與嚴格的存取。</p> <p>因此，近期談到零信任概念，就會同時強調「永不信任，始終驗證」。就其定義來看，簡單而言，它是以一個資料為核心，更著重身分驗證的模型，其設計目的，就是應對當今無邊界網路世界下的挑戰，同時，永遠不信任組織資安邊界內外的任何事務，並且必須驗證試圖連接到組織系統的所有連線，通過後才授與存取權限。</p> <h2><strong>ZTA是整體性概念，理解原則與信任關係，才能決定參考架構</strong></h2> <p>對於零信任，企業要有什麼樣的認知？邱述琛表示，從KPMG的角度來看，ZTA是一個整體性的概念，不是專屬的一種技術，而且，在不同情境下，將產生不同的零信任需求，很難透過一個解決方案適用到所有情境。</p> <p>因此，在零信任的世界裡，「原則」就是關鍵，以此作為標準來驗證，才能符合整體企業對零信任的願景。在KPMG的定義中，ZTA有8大原則，包括：無邊界的設計、環境感知、動態的存取控制、持續評估、精密的區隔、以及動態的風險分析、實施及審查信任與即時監督。</p> <p>以環境感知為例，邱述琛表示，存取服務的授予，是基於企業對員工本身，以及對個別裝置的了解。不僅是對人與對裝置的授權有所不同，還有對於非存取裝置的管理，像是接收OTP的裝置，因此他強調，企業需要先知道管理的是什麼，才能設計出管理的情境。</p> <p>在零信任世界裡面，所謂的信任關係，遠比大家想得複雜。他說，若是自己加密一份資料傳給自己，這是儲存的需求，還是傳輸的需求？如果使用者加密的資料只能自己解開，但又往外傳送，這樣的情境是否合理？若不合理，企業應該就要管控，就像一個人偷了公司營業祕密，先將資料加密後往外傳送，之後人被抓到，但沒有金鑰無法解開，組織對於這樣的風險，是否可能要採取加密金鑰備份與託管來因應，或是禁止自己加密資料傳給自己的功能，實務上，就已有企業這樣管控。</p> <p>也因為零信任架構並不是指特定的技術，因此，企業在選擇參考架構時，邱述琛認為，必須要有整體設計觀。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1s）KPMG零信任_攝影iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961s%EF%BC%89KPMG%E9%9B%B6%E4%BF%A1%E4%BB%BB_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 600px;" /></a></p> <blockquote><p>企業在選擇零信任參考架構時，KPMG強調應從網路、身分、裝置／工作負載與資料這四大構面來剖析，並要考量到是否需透過自動化進行，並重視可見度與分析能力，才能有效達到零信任的防護策略。</p> </blockquote> <p>基本上，將IT資產分成網路、身分、裝置／工作負載與資料，這四大構面與其中的因子，都將是在設計有效的零信任模型與解決方案時，需要考量的重點。不過，企業一開始可能無從下手，邱述琛表示，此時其實可用簡單的方式將情境畫出，再予以考量。舉例而言，像是企業有3個網路、4個裝置、3個不同人員，以及2種資料等級畫分，全部相乘後的結果，就代表有多少路徑。接下來，企業就可以從路徑中識別最高風險，找出控制方法。</p> <p>在四大構面中，邱述琛針對身分識別與資料方面提出更詳細的說明。他強調，沒有身分識別，就不會有存取控制，不論是人與裝置等，都要先知道是誰，否則後續也都沒辦法驗證。他強調，我們必須思考其本質，包括要和誰信任？信任的又是什麼？以及管理的意義到底在哪裡？企業必須要先搞清楚。</p> <p>同時，對於異常偵測，他提到美國軍方曾使用一項技術，可藉由偵測使用者按鍵盤的習慣，進而持續驗證是否為本人，一旦發現異常，就會啟動查核機制，查看坐在電腦前的人。</p> <p>在資料方面，國內企業普遍存在資料分級做不好的問題，儘管資訊安全管理制度（ISMS）已有這樣的要求，但執行上仍有很多狀況。</p> <p>相較之下，美軍的作法或許值得參考。他們在資料分級好後，機密資料只會透過機密網路傳送，非機密資料則在非機密網路傳送，若資料交換需要透過安全閘道去控制，因此這就是用資料等級區分。然而，臺灣企業卻習慣用業務角度區分，之後再分成機密與非機密，這種作法並非不可以，但會增加管理複雜度。</p> <p>另外，他也提醒，除了與業務流程之間與安全的綜合考量，在零信任架構中，必須要有自動化工具的輔助，以及具備可見度與分析能力，都是相當重要的一環，是企業在參考設計階段必須重視的部分。而在零信任的高階級設計中，身分識別代理更是關鍵。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4s）KPMG零信任_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964s%EF%BC%89KPMG%E9%9B%B6%E4%BF%A1%E4%BB%BB_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <blockquote><p>無論如何，零信任已經成為現在企業組織面對當今複雜威脅的重要概念。不過，要邁向零信任環境，並不是立馬就可以做到，透過循序漸進一步步走向進階階段，可以使得威脅將更容易被偵測，同時也能更快速去因應資安事件，但企業也要有所覺悟，這段過程中將有四大挑戰需要克服。</p> </blockquote> <h2><strong>邁向零信任將是一段旅程，同時也要覺悟有4大挑戰</strong></h2> <p>整體而言，零信任是以假設資安事件已發生的思維來設計，在其核心概念中，持續驗證是一大主軸，同時也仰賴即時資訊來提供判斷，以及細膩的存取控制方案，綜合多方資源的配合，而遵循最小權限原則更是關鍵。例如，只給予完成任務必須要有的最低權限、持續判斷時否要給予權限，並透過網路分割來降低橫向移動攻擊的機率，才能達到核心概念的要求。</p> <p>對於零信任的實踐，邱述琛直言，整個零信任無法一步到位，因此需要從基礎打好做起。哪些是基礎項目？具體而言，包括：登入安全的單一登入整合（SSO）與多因素身分驗證（MFA），資料與資產分類，以角色為基礎的存取控制（RBAC），資料外洩防護（DLP），以及基礎的加密防護，還要有零信任任務分組。</p> <p>奠定良好的基礎之後，企業可以逐步邁向發展階段，其中情境感知認證與異常偵測，是他特別強調的項目，同時還包括資料與資產的區隔、資料流與流量、端點偵測與回應（EDR）、雲端存取安全代理（CASB），以及零信任架構與發展藍圖。</p> <p>最後就是要讓安全性走向成熟，在進階階段中，企業要投入的重點包括：FIDO無密碼登入與持續核准、微切分、執行期加密，以及整合威脅情資的日誌管理，與自動化資產與服務的監督。</p> <p>整體而言，要走向成熟的零信任環境，企業將有不少挑戰需要克服，邱述琛引用了美國NSA的一份報告來借鏡，當中指出實施的四大困難，包括：未具備完全的支持、資源規模化的困難、無法持續堅持零信任，以及對組織的不了解。</p> <p>邱述琛解釋，導入零信任架構之後的第一個衝擊，就是會帶來降低便利性的影響，包括領導階層、管理人員與一般使用者，可能很多人都不會支持，這是企業必須面對的第一個挑戰；而要持續去判斷是否給予存取權，將需要考量資源部署，也就是要花錢投入，之後人員也可能對於零信任的持續實施感到疲憊。此外，若是不夠了解企業內部的資產、使用者與商業流程，會讓評估存取需求的效力受限。</p> <h1 class="rtecenter"><strong><span style="color:#0099ff;">ZTA最終目標：降低資料外洩、橫向移動攻擊的機率</span></strong></h1> <p>面對當今複雜的資安威脅，近年強調的零信任架構（ZTA），就是為了因應現在的局面，對於企業而言，採取ZTA將有何優點與結果？KPMG數位科技安全服務團隊副總經理邱述琛</p> <p>指出：「零信任的最終目標，是降低資料外洩、橫向移動攻擊的機率。」</p> <p>他解釋，由於ZTA的持續驗證，優點是可以給予資安防護人員，更多偵測最新威脅的機會，也因此擁有更多可快速部署的策略，進而因應資安事件，此外，也能夠讓資安人員可以更敏銳辨認細微的資安威脅。他提醒，企業並不是做完ZTA，就等於擁有金剛不壞之身，在資安的世界，並沒有這種事情。</p> <p>而ZTA為運作環境帶來的改變結果？邱述琛表示，首先，是簡化的整體安全架構，以及應用程式與基礎架構，將更緊密結合，同時也將改善使用者體驗，並使體驗更值得信任，不僅如此，零信任也將透過自動化方面的技術，做到營運流程、法規遵循與審核要求的精簡。</p> </div></div></div>
2021/5/26 17:46作者羅正漢https://www.ithome.com.tw/news/144637
歷經快6年醞釀，微軟CEO預告：下一代Windows產品即將問世，將迎來重大更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儘管因為疫苗的施打，使得美國疫情近來有逐漸緩和的趨勢，但今年微軟Build開發者大會仍維持全程線上舉行，在大會首日主題演講中，微軟執行長Satya Nadella不只發表眾多服務和重要更新，他更預告不久即將推出下一代Windows產品，他指出，這將是十年來最重大一次Windows的改版更新。</p> <p>單是這次Build開發者大會，微軟就一連發布超過100多項服務和重要更新，涵蓋了開發者工具、AI工具和框架、雲端原生應用、雲端SaaS應用，溝通協作App，以及數位雙生及混合實境等六大面向。首先在開發者工具部分，微軟以GitHub、Azure、Visual Studio以及Power Platform建構完整的開發者工具鏈，提高應用開發速度。像是在Power Platform方面，該公司首度將自然語言的應用開發，帶進低程式碼Power Apps，甚至可將超大自然語言預訓練模型GPT-3轉換成以Low-Code程式語言Power Fx來描述的形式，方便開發者在Power Platform上進行自然語言應用的開發。</p> <p>在AI工具和框架也有相應更新，除了現有已推出的AI Service、Azure Cognitive Service、Azure Machine Learning以及AI Infrastructure等，Satya Nadella表示，越來越多企業開始善用數據推出各種結合AI的智慧原生雲端應用，舉例來說，Twitter就使用了其語音轉文字服務，讓Twitter可針對語音對話內容即時生成字幕，方便使用者觀看。</p> <p>值得一提的是，微軟這次還推出企業版PyTorch Enterprise on Azure雲端深度學習服務，可讓企業或組織更可靠地使用PyTorch框架進行數據科學研究與深度學習模型的開發。他也強調，它是第一家推出該服務的雲端業者。</p> <p>另外在資料庫部分，Azure的Cosmos DB非關聯式資料庫服務，也將提供Serverless無伺服器的支援，可為企業用戶提高資源使用效率，以降低雲端成本開銷，該服務業整合快取以及加入更多功能。目前已有Walmart.com利用Azure Cosmos DB 來處理電商平臺單日尖峰數十億筆交易請求。除此之外，針對Azure SQL關聯式資料庫服務，微軟也將提供區塊鏈的帳本紀錄(Ledger）功能，可在Azure SQL中提供加密驗證的數據。另外，PostgreSQL也有所更新，支撐超大規模資料庫部署。</p> <p>在雲端服務方面，該公司今日也推出Azure Application Services，該服務一大特色就是讓企業可使用Azure Arc混合雲平臺，於任意K8s環境執行Azure應用程式服務，不分是企業本地端、多雲混合雲、或邊緣環境。甚至借助AKS on Azure Stack HCI這個新服務，Satya Nadella強調，只要簡單幾個步驟，企業就可以在Azure Stack HCI平臺部署AKS叢集，來調度和管理容器化應用程式，以達到跨Azure雲端和多雲混合雲一致性的應用。</p> <p>除此之外，因應這波全球疫情帶來混合辦公需求的爆增，他也揭露目前為止的Teams協作服務的使用情況，他表示，截至目前，Teams每日有1.45億活躍用戶，數量幾乎是一年前的翻倍。而在今年大會裡，微軟更進一步在Teams增加流體（fluid components ）功能元件，讓企業或開發者可整合自己應用到Teams meetings，另外他們也為Teams與Outlook提供通用開發模型，作為訊息傳遞的擴充功能，方便開發者開發自己的Teams應用。像是美國軟體公司ServiceNow就以Teams作為UI介面，構建可用於事件回應的協作應用。或是透過Microsoft Graph的API串接，找到要找的對象，另外還可結合聊天機器人程式Bots對使用者發出提醒，通知團隊成員參加會議等。另外，因應遠端或混合辦公需求的增長，微軟這次新增一個跨裝置的協作應用的類別，從裝置OS、UX介面，到邏輯、數據、通訊以及身分驗證都包含其內。</p> <p>最後他提到，全球Windows 10用戶累計至今已有超過13億人，將它用於工作、連結、學習與影音播放，隨著Windows 10推出至今已將近6年，他也預告不久即將推出下一代Windows產品，他指出，這將是十年來最重要的一次Windows的改版更新，但並未透露更多細節。</p> </div></div></div>
2021/5/26 17:52作者余至浩https://www.ithome.com.tw/news/144633
美國議員提案斥資520億美元投入半導體生產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.reuters.com/technology/us-chip-funding-could-result-seven-10-new-factories-officials-2021-05-24/" target="_blank">路透社</a>與<a href="https://www.cnbc.com/2021/05/25/chip-shortage-democrats-gop-team-up-to-target-china.html" target="_blank">CNBC</a>的報導，美國參議院民主黨領袖Chuck Schumer在5月中旬提出了《2021年美國創新與競爭法案》<a href="https://www.democrats.senate.gov/newsroom/press-releases/schumer-files-bipartisan-us-innovation-and-competition-act-of-2021-as-substitute-amendment-to-endless-frontier-act" target="_blank">（U.S. Innovation and Competition Act of 2021）</a>，將撥款520億美元以支持美國境內的半導體生產，緩解美國與全球的半導體供應不足問題。</p> <p>《2021年美國創新與競爭法案》編列了大約2,000億美元的預算，一方面是用來鞏固美國在全球的競爭能力，另一方面則是為了解決晶片短缺問題。Schumer表示，這520億美元屬於緊急資金，目的是用來支持半導體的生產，以滿足汽車、軍方與其它重要產業的晶片需求。</p> <p>不只是Schumer，美國商業部部長Gina Raimondo在接受CNBC專訪時也透露，全球各個產業的晶片短缺問題，顯示出美國必須要提高國內的生產能力，同時再度成為市場的領先者，美國毫無其它選擇，因為當半導體供應鏈遭到破壞時，經濟也會受到影響。</p> <p>Raimondo亦向路透社表示，這520億美元的經費，將可推動7~10個新半導體工廠的生產與研發，一旦該法案通過，商務部將會建立一個透明的程序來進行撥款。</p> <p>CNBC報導，美國參議院可望於本周通過《2021年美國創新與競爭法案》。</p> </div></div></div>
2021/5/26 18:04作者陳曉莉https://www.ithome.com.tw/news/144638
Chrome 91來了：可以凍結分頁群組，封鎖TLS 1.0/1.1與10080傳輸埠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在本周二（5/25）釋出了<a href="https://www.chromestatus.com/features/schedule" target="_blank">Chrome 91</a>，<a href="https://9to5google.com/2021/05/25/chrome-91-mac-windows-stable/" target="_blank">新版本主要的特點</a>包括可凍結分頁群組（Tab groups），封鎖了TLS 1.0/1.1與10080傳輸埠，啟用對抗量子電腦攻擊的安全能力，以及修補32個安全漏洞。</p> <p>Google在去年8月發布的Chrome 85加入了分頁群組（Tab groups）功能，它可替分頁設定主題與顏色，以整理雜亂的分頁，使用者可將同一主題的分頁收起或展開。Chrome 91則可自動凍結被收起的分頁群組，以減少CPU與電源的損耗，但該功能並不會凍結正在播放聲音、連結USB裝置、被鏡射或是正在擷取視訊或音訊的分頁。</p> <p>雖然自去年7月釋出的Chrome 84就不再支援TLS 1.0/1.1，會在使用者造訪採用TLS 1.0/1.1的網頁時跳出警告，原本使用者還可利用SSLVersionMin政策來啟用最低版本的SSL/TLS，但自Chrome 91開始，Chrome 91也不再允許該政策將最低版本設為TLS 1.0/1.1，管理人員必須將任何採用TLS 1.0/1.1的伺服器升級到TLS 1.2。</p> <p>Chrome 91亦封鎖了10080傳輸埠，這是為了緩解NAT Slipstreaming 2.0攻擊，該傳輸埠的功能是用來自動化備份網路磁碟，而NAT Slipstreaming 2.0則是一個跨協定的偽造請求，將讓惡意的網路伺服器攻擊位於NAT裝置後的私有網路電腦，為了防範相輟攻擊，去年11月問世的Chrome 87，已先行封鎖了69、137、161、1719、1720、1723與6566傳輸埠。</p> <p>此外，Chrome 91在與特定網域通訊時，將支援TLS中的後量子金鑰協議演算法，以預防用來破解加密的量子電腦運算攻擊，此一名為CECPQ2設定的預設值是啟用，由於它會帶來較大的TLS訊息量，在極少數的案例中可能造成某些網路硬體的臭蟲，因此也能將它關閉。</p> <p>Google表示，此一於預設中啟用CECPQ的政策為暫時性措施，將會在未來的Chrome版本將它移除。</p> <p>新的Chrome版本修補了32個安全漏洞，當中有8個屬於高度風險漏洞。</p> </div></div></div>
2021/5/26 16:03作者陳曉莉https://www.ithome.com.tw/news/144634
Fuchsia OS正式版出爐，率先應用在Nest Hub上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://9to5google.com/2021/05/25/google-releases-fuchsia-os-nest-hub/" target="_blank">9to5Google</a>於本周報導，該站在本月初就發現Google於第一代的Nest Hub採用了全新的Fuchsia 1.0平臺，而Fuchsia OS負責人<a href="https://twitter.com/petrh/status/1397088244337049603" target="_blank">Petr Hosek</a>周二（5/25）即透過Twitter證實了此事。</p> <p>Google自2016年便投入Fuchsia OS的研發，<a href="https://www.ithome.com.tw/news/131547" target="_blank">於2019年發布</a>Fuchsia OS開發者官網，但一直<a href="https://www.ithome.com.tw/news/141544" target="_blank">到去年底</a>才對外公開該專案，指出Fuchsia是個通用的開源作業系統，但尚未成為一般產品的開發目標，而本周的揭露代表Fuchsia OS已邁入新的里程碑。</p> <p>儘管外界曾繪聲繪影地描述Fuchsia OS的遠大願景，包括它將是一個支援各種裝置的單一作業系統，涵蓋手機、聲控喇叭，或是原本仰賴Android與Chrome OS的第三方裝置，也計畫將它嵌入筆電，甚至是取代Android。</p> <p>不過，首個採用Fuchsia 1.0的裝置卻是使用者較不熟悉的Google Nest Hub。Google Nest Hub原名為Google Home Hub，它是一個具備7吋觸控螢幕的聲控喇叭，也可作為其它智慧家庭裝置的控制及管理裝置，第一代產品於2018年10月問世，具備10吋螢幕的Nest Hub Max在2019年9月推出，第二代的7吋Google Home Hub則是在今年3月底出爐。</p> <p>此外，Fuchsia 1.0目前只出現在第一代的Google Nest Hub上，並未支援Nest Hub Max或第二代Google Home Hub。</p> <p>外界分析，切換作業系統並不像更新一樣簡單，因此Google需要小心應對，才會只在舊版的Google Nest Hub上部署Fuchsia 1.0，至於未來Fuchsia的命運如何仍有待觀察。</p> </div></div></div>
2021/5/26 15:10作者陳曉莉https://www.ithome.com.tw/news/144631
華為6月2日將展示鴻蒙作業系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在被美國封鎖Android技術出口二年後，<a href="https://weibo.com/huaweidevice?is_all=1" target="_blank">華為本周宣布</a>將在6月2日產品發表大會上，正式公開自行開發以Android為基礎的鴻蒙作業系統（HarmonyOS）。</p> <p>2019年五月美國商務部將華為及關係企業列為限制技術輸出的「實體清單」中，也切斷了華為取得Google、高通等關鍵智慧型手機軟、硬體的管道。同年8月華為公布自行開發，以Android Open Source Project（AOSP）為核心開發的作業系統鴻蒙（HarmonyOS）。華為計畫鴻蒙將支援包括PC、智慧喇叭、穿戴裝置、工業設備或車機上，並非為智慧型手機設計，但「必要時」也可以跑在手機上。</p> <p>在經過多次公布<a href="https://www.ithome.com.tw/news/132354" target="_blank">內建HarmonyOS的產品</a>後，華為在官方微博上以「萬物皆鴻蒙」標語，宣布鴻蒙本尊將在6月初正式公開，以及內建鴻蒙的多樣化硬體產品。華為也在今年4月公布<a href="https://www.ithome.com.tw/news/142882" target="_blank">HarmonyOS-based Mate X2</a>。</p> <p><a href="https://www.163.com/tech/article/GAR2P8MD00097U7S.html" target="_blank">中國媒體</a>引述華為消費業務副總裁楊海松指出，鴻蒙將對第三方廠商開放生產記憶體容量在128MB-4GB的設備，今年10月後則向4GB以上的設備開源。此外，華為也積極和全球主要App廠商合作開發相容應用。</p> <p>報導指出，華為預計今年底搭載鴻蒙作業系統的設備數量將達3億臺，其中華為自有產品超過2億台，第三方廠商合作的各類終端設備預計超過1億。</p> <p>除了Android及Google 套件軟體外，華為另外也面臨美國政府的手機晶片輸出封鎖令。根據<a href="https://www.idc.com/promo/smartphone-market-share" target="_blank">IDC</a>估計，在軟、硬體封鎖令影響下，華為在全球智慧型手機市占，已從2019年的20%，萎縮到2020年底的8%，首次跌出前五大廠商之列。<a href="https://www.canalys.com/newsroom/canalys-worldwide-smartphone-market-Q1-2021" target="_blank">Canalys</a>最新數據顯示，今年第一季，華為名列全球第七，落在蘋果、三星、小米、Oppo之後。</p> </div></div></div>
2021/5/26 13:33作者林妍溱https://www.ithome.com.tw/news/144628
Google拒絕移除「非法」內容遭俄羅斯罰款，最終可能被降速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯當局周二以Google拒絕移除非法內容為由，罰款600萬盧布（約227萬臺幣），最終Google可能進一步遭降速處份。</p> <p><a href="https://www.reuters.com/technology/russia-gives-google-one-day-delete-banned-content-threatens-slowdown-2021-05-24/" target="_blank">路透社報導</a>，俄羅斯聯邦通訊、科技資訊和大眾媒體監督局（Roskomnandzor）周一宣稱，已經要求Google移除包括毒品、暴力與「極端組織」相關違法內容2.6萬件，並揚言如果俄羅斯Google分公司不在24小時內移除內容，最高將處以年營收10%的罰款，並且調降Google對外連線速度。</p> <p><a href="https://www.reuters.com/technology/russia-fines-google-4-mln-roubles-failing-delete-content-tass-2021-05-25/" target="_blank">路透社周二報導</a>，俄羅斯當局當天發出三張各200萬盧布，共600萬盧布的罰單。除了Google平臺上的內容，當局也要求Google移除數家俄國媒體的YouTube頻道。</p> <p>在此之前，<a href="https://www.ithome.com.tw/news/143149" target="_blank">推特（Twitter）</a>也拒絕刪除當局認定的違法內容，而遭俄國當局降速。</p> <p>這也是Google和俄羅斯當局為了移除內容而起的最新爭議。一月間俄羅斯民眾上街示威，要求俄國政府釋放反對派領袖Alexei Navalny，Roskomnadzor要求Google移除12則由Navalny主持的YouTube頻道發布的影片，當局隨後控告Google/YouTube拒絕移除煽動叛亂的非法內容。Google則在五月中，向俄羅斯法院上訴Roskomnadzor移除YouTube內容的不合理要求。</p> </div></div></div>
2021/5/26 11:17作者林妍溱https://www.ithome.com.tw/news/144626
【iThome 2021 CIO大調查(上) 一起抗疫靠IT】企業未來1年如何靠IT來因應新常態？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1026-cover4-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠端工作是後疫新常態的典型。企業內部，第一個必須有能力遠端工作的部門，就是確保全公司遠端工作環境的IT部門。在未來十大IT抗疫重點作法中，強化IT部門遠端工作能力是排名第一的優先工作。未來1年，有高達67.9%的企業列為抗疫重點對策。這些企業不只是讓IT具備遠端能力就夠了，而是要在未來1年持續「強化」。疫情未來變化仍有許多未知，臺灣這一波疫情何時舒緩？疫苗何時發揮作用？能阻斷大規模流行？沒有人有答案。企業得考量更嚴峻的疫情風險，來要求IT自己先做好準備。而且，IT還要同時強化開發即戰力，過半企業未來1年，也要提高IT敏捷性，讓內部應用更模組化和彈性化。</p> <p>從各產業IT抗疫對策來看，重度依賴數位通路和線上服務的產業，如金融業和服務業，都同樣將強化IT遠端能力和內部流程優化，列為未來1年的前兩項重點，但有過半金融業要強化全公司的數位化環境，而服務業則要提高IT敏捷性，另外也要提高IT上雲的比重。醫療業未來1年IT抗疫首要，則是要先加速內部流程數位化和自動化，而高科技業者則有近3成企業，要擴大上雲的比重。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover4-600-1.png" style="width: 557px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover4-600-2.png" style="width: 557px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover4-600-3.png" style="width: 557px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover4-600-4.png" style="width: 584px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問卷說明 </span></strong></span></p> <p><span style="color: rgb(51, 153, 255);"><strong>大調查執行期間從2021年3月8日到4月5日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷439家，其中74.3%填答者為企業IT最高主管。</strong></span></p> </div></div></div>
2021/5/26 07:00作者王宏仁https://www.ithome.com.tw/article/144548
GitLab 13.12加入按需動態應用程式安全測試服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最新的<a href="https://about.gitlab.com/releases/2021/05/22/gitlab-13-12-released/#on-demand-dast-ga-launch">GitLab 13.12</a>獲得可用性和工作管線管理功能更新，不只要讓程式碼部署更安全，還要提升團隊協作效率。該平臺新版重要更新包括GitLab Ultimate用戶，可以開始使用按需動態應用程式安全測試（DAST）掃描，還有新版也更新工作管線編輯器，並且持續新增DORA4指標支援。</p> <p>現在所有GitLab Ultimate用戶可按需使用DAST掃描（下圖），在CI/CD工作管線外任何已配置環境，都能使用DAST掃描已部署的應用程式和API，用戶不需要進行任何程式碼變更或合併請求，就能立刻開始掃描。官方持續更新DAST掃描功能，在先前的13.11版本中，官方在按需DAST網站的配置檔案，添加特定身分驗證資訊、排除URL、新增額外請求標頭，以及切換網頁應用程式與API掃描等功能。官方提到，他們還會增加諸如掃描排程等功能，以涵蓋大部分用戶的需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/dast_on_demand_auth.png" style="width: 580px;" /></p> <p>在安全掃描功能方面，除了DAST，用於JavaScript、TypeScript和Python的Semgrep SAST分析器，現在也發布正式版本。Semgrep靈活的規則語法，能簡化GitLab自定義規則及功能，以擴充和修改檢測規則，並且讓GitLab用戶存取Semgrep社群規則。</p> <p>另外，GitLab更新向DAST用戶，推出了瀏覽器爬蟲Beta測試版，新的爬蟲工具經特別設計，可以在JavaScript應用程式中發現，可能會被傳統基於代理爬蟲程式忽略的頁面，使得新的排蟲程式有能力提升應用程式的測試覆蓋率。</p> <p>官方提到，現在網頁使用越來越多的JavaScript，甚至有一些是專滿足JavaScript和單頁應用程式開發的工具。但是重度依賴JavaScript的網頁，卻會增加爬蟲掃描頁面的困難度，在官方的基準測試裡，基於瀏覽器的爬蟲程式，與當前基於代理的爬蟲程式相比，爬蟲覆蓋率明顯提高。</p> <p>除了安全性更新之外，官方也簡化了工作管線管理來增加可用性，工作管線編輯器現在帶有可摺疊指南說明面板，可以快速帶新手入門。同時官方還新增在規則中定義變數的功能，供用戶能夠在滿足特定條件時，靈活地配置工作管線變數。</p> <p>而13.12版本在原生支援DORA4指標的工作，現在加入群組部署頻率圖表，該圖表可以讓用戶了解部署狀況以利發現瓶頸，並改進跨專案和團隊的效率。部署頻率圖表顯示所有專案的匯總部署頻率指標，用戶可以更全面了解多個專案的和團隊的部署頻率，以精確掌握部署效率。</p> <p>GitLab的價值串流（Value Stream）分析功能也獲得更新，價值串流分析能協助用戶在工作流程中，找出效能低落的根本問題，而在13.12中，官方加入了工作流程項目的分頁和排序功能，視覺呈現更清楚，用戶也能對特定階段視覺化並且排序項目，以方便查明瓶頸所在。</p> </div></div></div>
2021/5/25 23:10作者李建興https://www.ithome.com.tw/news/144618
木馬程式開採MacOS零時差漏洞暗中錄製螢幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.jamf.com/blog/zero-day-tcc-bypass-discovered-in-xcsset-malware/" target="_blank">安全廠商Jamf Protect偵測小組發現</a>，一隻名為XCSSET的木馬程式，可開採作業系統安全漏洞，繞過Mac電腦內建安全防護，偷偷錄製電腦螢幕取得敏感資料。所幸蘋果今天釋出macOS Big Sur 11.4更新解決該問題。</p> <p>這隻<a href="https://www.ithome.com.tw/news/139432" target="_blank">XCSSET是去年趨勢科技首先發現</a>。一開始，研究人員知道它專門利用兩個零時差漏洞。第一個用來竊取Safari瀏覽器cookies，蒐集重要資訊，包括帳號、密碼等，另一個則是繞過用戶通知，以安裝開發商版本的Safari應用程式。</p> <p>Jamf團隊則在近日研究中，發現XCSSET作者還利用第三個零時差漏洞CVE-2021-30713，來繞過蘋果的透明度同意與控管（Transparency Consent and Control，TCC）框架。TCC主要用以控制應用可存取資源，像是同意影像協同軟體存取網路攝影機和麥克風，以進行虛擬會議。CVE-2021-30713漏洞可讓攻擊者未獲得用戶明顯同意下，取得完整硬碟存取、螢幕錄製或其他授權。</p> <p>Jamf研究人員近日偵測到XCSSET變種活動有上升的情形，這隻惡意程式著重錄製螢幕畫面。XCSSET進入Mac電腦中後，會搜尋受害者電腦中常獲得螢幕共享的其他App，像是Zoom、WhatsApp和Slack，並在這些App中注射錄製螢幕的程式碼。這就等於附身在合法App上，並承襲它們的權限。然後又繼續以新的憑證簽發App bundle，以躲過macOS內建的公證（notarization）機制。</p> <p>研究人員提醒，比起XCSSET，更需注意CVE-2021-30713這項漏洞，因為它能給予麥克風、Web攝影機及側盤側錄的存取權限，而進行錄音、監控或竊取信用卡帳號及密碼。</p> <p>蘋果則於今天<a href="https://developer.apple.com/documentation/macos-release-notes/macos-big-sur-11_4-release-notes" target="_blank">（5/25）釋出的macOS 11.4更新版</a>中修補該漏洞，其他功能則包括強化數款AMD GPU、Podcast App中的付費訂閱支援，並修補了Safari、Preview在搜尋PDF文件時、Photos匯出等問題。</p> </div></div></div>
2021/5/25 23:30作者林妍溱https://www.ithome.com.tw/news/144624
FBI警告：美國占Conti全球受害單位一半以上，公布感染指標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>五月中駭客利用Conti勒索軟體攻擊愛爾蘭衛生機關，而本周<a href="https://www.aha.org/system/files/media/file/2021/05/fbi-tlp-white-report-conti-ransomware-attacks-impact-healthcare-and-first-responder-networks-5-20-21.pdf" target="_blank">美國聯邦調查局則警告</a>，美國醫療界、消防、警察單位也無法倖免於Conti攻擊，美國受害者甚至占了全球超過一半，將近3/4。</p> <p>愛爾蘭健康服務管理署（Health Service Executive，HSE）IT系統五月遭遇Conti勒索軟體攻擊，勒索2000萬美元，駭客宣稱握有700多GB的資料，涵括病患住址、電話號碼以及員工合約、薪資及財務資料，揚言若拿不到贖金就會出售或公布資料。HSE營運受到重大影響。HSE預防性關閉所有IT系統及切斷網路，造成一家都柏林醫院暫時關閉了所有科別門診，該國COVID-19篩檢服務也被迫取消。同時間HSE主管機關愛爾蘭衛生部（Department of Health，DoH）也遭同一批歹徒以Conti發動襲擊，所幸未成功。</p> <p>FBI本周指出，去年至少辨識出有16起Conti勒索軟體攻擊，是針對美國健康照護業與緊急派遣單位的網路，包括執法機關、急救、911派遣中心及市政府等等。而Conti在全球400多個攻擊目標中，超過290個位於美國。</p> <p>Conti背後的駭客可能以惡意連結、附件或竊來的RDP (Remote Desktop Protocol)密碼進入受害者網路。它可能在Word檔中嵌入Powershell script，一開始經由Word檔發動Cobalt Strike，然後在網路上植入Emotet使門戶洞開，讓攻擊者得以部署勒索軟體。攻擊者可能會在受害者網路上潛伏4天到3個星期，再使用DLL部署Conti，必要時則以其他合法工具，如Sysinternal和Mimikatz來升高權限及在網路上橫向移動，然後進行資料外洩和加密，有時也會使用TrickBot等木馬程式。而Conti植入受害者網路後，可能長期留在企業網路內，以Anchor DNS對外伺服器連線。</p> <p>FBI並公布Conti的攻擊指標，包括在感染機器上從port 80、443、8080和8443，來對國內、國際虛擬伺服器(VPS)發出beacon訊息，或以port 53進行滲透攻擊，此外，也會對雲端儲存商MegaNZ和pCloud伺服器發送大量HTTPS資料連線。如果有偵測到可疑新增帳號、端點偵測被關閉、或是不斷有HTTP或DNS beacon，都表示可能已感染Conti。</p> </div></div></div>
2021/5/26 00:10作者林妍溱https://www.ithome.com.tw/news/144625
AWS Lambda現可安裝擴充套件強化處理能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布現在<a href="https://aws.amazon.com/tw/blogs/aws/getting-started-with-using-your-favorite-operational-tools-on-aws-lambda-extensions-are-now-generally-available/">Lambda擴充套件</a>正式釋出，該功能讓用戶可以在無伺服器運算服務Lambda中，整合自己愛用的工具，以進行監控、安全性和治理等任務。用戶可以使用控制臺和命令列工具，簡單地安裝擴充套件，以執行訊息擷取或是自動偵測程式碼等需求。目前這項功能已經在美東北維吉尼亞地區，以及歐洲的愛爾蘭和米蘭地區正式上線。</p> <p>官方表示，Lambda擴充套件提供了一個容易擴充Lambda執行環境的方法，AWS用戶、AWS合作廠商和開源社群，都可以使用Lambda Extensions API來建構擴充套件，這些套件能在Lambda函式的執行流程中，提供增強功能。</p> <p>比起在2020年10月所釋出的AWS Lambda擴充套件預覽版，在正式版本有了功能調整，用戶的程式碼執行完後，可立即送出回應，而不需要等待擴充套件工作完成，如此，擴充套件就可以在函式回傳回應訊息後，執行像是發送遙測資料這類的工作。</p> <p>官方提到，AWS Lambda擴充套件的使用情境，可以包括在呼叫函式前、期間和之後擷取診斷資訊，或是以擴充套件自動檢視程式碼，也能利用安全代理來進行檢測和警告函式活動，以及將遙測資料，用非同步的方式，發送到S3和Kinesis等自定義目標。</p> <p>AWS Lambda擴充套件的安裝與配置管理簡單易用，用戶可以使用Lambda圖層將工具加到函式中，或是將其新增至函式映像檔，以容器的方式來部署。Lambda擴充套件使用擴充API來註冊功能和執行環境生命周期事件，並且啟動新的程序或是執行邏輯，來回應這些事件。而Lambda擴充套件也可以使用Runtime Logs API來訂閱，從Lambda執行環境送往Amazon CloudWatch的日誌串流，Lambda串流這些日誌到擴充套件，以進行處理、過濾和發送等任務。</p> <p>多數用戶不需要了解API的運作，可以僅透過配置Lambda函式中的選項使用擴充套件，用戶使用在Lambda控制臺、命令列工具、基礎設施即程式碼服務，以及像是AWS CloudFormation和Terraform等工具，安裝和管理擴充套件。AWS與HashiCorp、Datadog和Splunk等企業合作，在Lambda上提供擴充套件，另外，AWS也提供了4款自家服務的擴充套件，分別是AppConfig、CodeGuru Profiler、CloudWatch Lambda Insights和Distro for OpenTelemetry。</p> <p>Lambda擴充套件與函式共用計費模型，AWS會收取Lambda生命周期中的運算時間，在函式呼叫方面，用戶需要支付服務請求、程式碼執行以及所有擴充套件運算時間的費用。官方也提醒，Lambda擴充套件因為與函式共用CPU、記憶體和儲存資源，因此可能會影響效能，而且擴充套件會在函式程式碼之前初始化，因此函式的執行時間也會跟著增加。</p> </div></div></div>
2021/5/25 16:35作者李建興https://www.ithome.com.tw/news/144615
藍牙的核心與Mesh規格含有7個安全漏洞，允許駭客冒充合法裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bluetooth.com/learn-about-bluetooth/key-attributes/bluetooth-security/reporting-security/" target="_blank">藍牙技術聯盟（Bluetooth SIG）在24日揭露</a>了7個有關藍牙規格的安全漏洞，這些安全漏洞存在於Core及Mesh Profile規格中，將允許駭客冒充合法裝置，波及Android開源專案、思科、Cradlepoint、英特爾、Microchip與紅帽的相關產品。</p> <p>Bluetooth Core與Bluetooth Mesh Profile都是用來定義各種，企圖利用藍牙進行連線的裝置政策及技術需求的規格，在本周揭露的漏洞中，與Mesh Profile規格有關的為CVE-2020-26559、CVE-2020-26556、CVE-2020-26557與CVE-2020-26560；而CVE-2020-26555、CVE-2020-26558與另一個尚未具備編號的漏洞，則涉及Core規格。</p> <p>根據卡內基梅隆大學<a href="https://www.kb.cert.org/vuls/id/799380/" target="_blank">CERT協調中心</a>的說明，相關漏洞將可用來執行冒充攻擊並揭露驗證值（AuthValue），允許駭客在執行藍牙配對時，假冒為合法裝置。</p> <p>這些漏洞同時波及了採用藍牙規格的作業系統與硬體，其中，Android開源專案受到當中3個漏洞的影響，Google已準備藉由下一次的Android安全更新修補；紅帽至少受到兩個漏洞的影響，尚未提出修補時程。</p> <p>思科則說受到兩個漏洞的影響，正在等待個別產品團隊的回報以提供軟體更新；專門開發雲端無線邊緣網路設備的Cradlepoint，以及英特爾亦受到兩個漏洞的波及；美國微控制器與半導體製造商Microchip已確定其中的兩個漏洞，影響該公司的部分藍牙產品，並已<a href="http://aem-origin.microchip.com/en-us/products/wireless-connectivity/software-vulnerability-response/anssi-bluetooth-core-vulnerabilities" target="_blank">訂出修補計畫</a>。</p> </div></div></div>
2021/5/25 15:44作者陳曉莉https://www.ithome.com.tw/news/144613
Container周報第138期：德國鐵路公司擁抱GitOps關鍵大公開，OCI容器映像檔分散規格1.0出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong>4/16~5/16 精選容器新聞</strong></h3> <h3><span style="color:#0000FF;"><strong>#GitOps #德國鐵路</strong></span><br /><span style="color:#FF8C00;"><strong>德國鐵路公司如何擁抱GitOps，靠單一K8s命名空間結合自動化工具來實現維運免手動</strong></span></h3> <p>德國鐵路集團旗下DB Systel公司是德鐵集團的IT團隊，負責所有全集團數位轉型和IT戰略。最近在KubeCon歐洲場研討會中，DB Systel雲端首席架構師Schlomo Schapiro首度公開了德鐵集團擁抱GitOps，讓IT戰略更高度自動化的經驗。他強調，走向GitOps是DevOps實踐中自然演化的結果。</p> <p>為了數位轉型，許多企業將流程自動化列入IT的重要戰略之一，例如想要建立更多標準化流程、減少不必要流程、減少維運和變動的成本、擁抱雲端運算，全面都自動化等。他坦言，但要做到這些目標，實務上有很多挑戰，因為IT需求暴增，所有流程都要整合API、IT複雜的成長超過IT人力的成長，更多IT人力投入業務部門的優化（BizDevOps）、但對IT法遵要求卻越來越多，又要求要善用雲端來創新。「不管IT團隊怎麼努力，似乎永遠都無法跟上需求。」他表示。</p> <p>對IT部門來說，他指出，IT的期待是，聚焦在產品和服務，打造最好的服務，使用最好的工具，更容易實現法遵，和其他團隊沒有相依性而被拖累。「這不是無解難題，必須同時考量組織面和技術面，將所有的問題，都視為自動化挑戰。」他指出。</p> <p>德鐵IT整合組織框架和技術框架，以人為核心來聚焦6大目標，簡化政策、法遵可接受的作法、工具標準化、法遵自動化預算、政策程式碼化（Policy as Code）以及免手動維運（Hands-Off Operations）。「這其中最關鍵的IT策略就是免手動維運，」他強調。這一項正是德鐵發展GitOps的核心原則。</p> <p>為何不講維運自動化而要講免手動維運，他強調，因為這不只是技術議題，而且還是組織文化的議題，就像敏捷不只是工具，也要養成文化面的風氣。許多企業發展各種持續整合、派送自動化，「這只是CI維運，需要結合GitOps，進一步來建免手動維運的文化。」</p> <p>他指出，免手動維運思維包括了正式環境禁止人工介入，不論開發或維運團隊都預設零產品權限（不能插手線上環境），全力發展自動化（法遵治理、更新升級、復原等都自動化）、測試驅動所有事、工具標準化，「GitOps工具就是為了實現免手動維運。」實務上，德鐵利用K8s來執行各種應用，透過單一K8s命名空間，來管理本地端K8s叢集和雲端基礎架構環境，再搭配ArgoCD、Flux第二版來落實GitOps。</p> <h3><span style="color:#0000FF;"><strong>#K8s開發 #除錯工具</strong></span><br /><span style="color:#FF8C00;"><strong>K8s應用除錯工具Pixi宣布開源，可快速建立效能追蹤機制</strong></span></h3> <p>知名美國雲端監控服務商New Relic最近宣布開源釋出了一款K8s應用除錯工具Pixi，採Apache 2.0授權。Pixi提供了一套建立應用程式效能追蹤，監測矩陣、網路層資料蒐集的儀表板工具，也定義了一套自動蒐集各種效能數據的基礎設計，可以完全透過腳本程式來存取所蒐集的各種資料。運作架構上，採取叢集內邊緣運算架構，可將遠端監測所需的各種資料儲存在K8s叢集內而不用回傳來避免遭攔截。主要元件包括了叢集內資料蒐集和查詢引擎Vizier，應用程式和用戶管理後臺Pixie Cloud平臺。</p> <h3><span style="color:#0000FF;"><strong>#Anthos #跨雲平臺</strong></span><br /><span style="color:#FF8C00;"><strong>GCP混合雲平臺Anthos推出1.7版，終於支援Windows容器也可整合跨公雲日誌</strong></span></h3> <p>日前GCP推出新版混合雲平臺Anthos 1.7版，主要增加了三大特性，第一是雲端日誌機制Cloud Logging可以支援Anthos on AWS，等於監測矩陣可以跨本地端、GCP環境和AWS環境來追蹤了。另一個新特色是終於支援Windows容器，可派送Windows容器到vSphere環境中。Anthos配置管理機制ACM也支援更多種叢集類型，包括EKS 1.19、AKS 1.19、OpenShift 4.5、KIND 0.10和Rancher 1.2.4的叢集。第三項新特色是工作量身分識別機制（Workload Identity）可以支援本地端部署或AWS環境的工作量識別管理了，可以用來確保在不同混合雲環境中執行服務時，能有適當的權限控管。</p> <h3><span style="color:#0000FF;"><strong>#GitOps #OpenShift</strong></span><br /><span style="color:#FF8C00;"><strong>瞄準開發部署自動化風潮，紅帽OpenShift正式推出CI整合機制和GitOps功能</strong></span></h3> <p>最近紅帽宣布旗下企業級K8s平臺OpenShift正式推出CI整合機制OpenShift Pipelines，以及用於應用程式部署與配置自動化的OpenShift GitOps功能。OpenShift Pipelines功能使用了開源的持續派送基礎專案Tekton，可自動派送雲端K8s原生應用，到K8s叢集上的POD環境上部署。因此也可以支援可使用Tekton CLI命令列的IDE開發工具，例如Visual Studio Code和IntelliJ的Tekton外掛。而OpenShift GitOps功能則源自另一個CNCF開源專案Argo CD，可建立一個以Git PR指令來驅動的自動化流程，可跨不同K8s叢集來部署和配置應用程式。</p> <h3><span style="color:#0000FF;"><strong>#容器交換 #OCI</strong></span><br /><span style="color:#FF8C00;"><strong>OCI容器映像檔分散規格1.0正式出爐，跨平臺交換容器映像檔也有標準作法</strong></span></h3> <p>容器標準推動組織OCI最近正式宣布，容器分散規格OCI Distribution Specification正式釋出1.0版。這是一個源自Docker Registry HTTP API V2的容器映像檔交換協定，用來規範不同容器儲存庫上推和下拉映象檔的方式。<br /> OCI技術監督委員會主席Phil Estes指出，先前定義的runtime規格界定了容器的定義和執行方式，容器映像檔規格定義了封裝的方式，而現在這個分散規格的訂定，有助於建立一個在各種儲存庫和runtimePhil Estes工具間傳遞容器的標準作法。Docker技術長Justin Cormack更直言這是另一個里程碑的重大進展。</p> <h3><span style="color:#0000FF;"><strong>#IaaS #Pulumi</strong></span><br /><span style="color:#FF8C00;"><strong>基礎設施即程式碼工具Pulumi大改版，3.0也能原生支援Azure和GCP</strong></span></h3> <p>基礎設施即程式碼工具Pulumi 3.0帶來非常多的功能更新，包括了正式加入Pulumi自動化API，讓開發者可以在應用程式中嵌入Pulumi功能，而且除了AWS，Pulumi也開始原生支援Azure和Google雲端平臺，在語言的支援上，Pulumi試圖整合多語言元件，讓各種語言的套件能夠互通。開發者可透過自動化API將Pulumi功能，嵌入到自己的應用程式中，因此可以不使用命令列工具或是撰寫腳本來操作CI/CD，改用Pulumi部署引擎，更多元的方式控制工作流程。Pulumi自動化API支援多種語言，包括TypeScript/JavaScript、Python、Go以及C#。</p> <h3> <span style="color:#0000FF;"><strong>#K8s開發 #OpenShift</strong></span><br /><span style="color:#FF8C00;"><strong>為簡化K8s開發，紅帽發布OpenShift開發者沙盒</strong></span></h3> <p>紅帽推出了一款新開發工具稱為OpenShift開發者沙盒，可以在有預配置開發者工具的多租戶叢集中，提供私密的OpenShift環境，由於基礎設施和工具緊密整合，因此能讓開發人員安全地設計和建構新應用程式、添加新服務，還能從程式碼創建容器或Dockerfiles等。沙盒中的預設工具，包括了一組Helm Chart以及紅帽建置映像檔、s2i建置工具以及CodeReady Workspaces。紅帽也更新了一系列工具，這些更新建立在OpenShift GitOps和OpenShift Pipelines之上，因此IT團隊可以利用GitOps工作流程，來配置叢集和交付應用程式，並完全控制開發團隊的交付工作管線、套件和存取控制。</p> <h3><span style="color:#0000FF;"><strong>#生命週期管理 #雲端原生應用</strong></span><br /><span style="color:#FF8C00;"><strong>雲端生命周期管理系統Airship大進展，2.0新推更方便的命令列新工具</strong></span></h3> <p>新版Airship 2.0提供了宣告式的命令列工具Airshipctl，讓用戶組合和調度雲端原生建置模組，來供應或是管理Kubernetes，以及其衍生的軟體堆疊。透過直覺且簡單易用的介面，方便地操作其他開源專案，包括Cluster API、Metal Kubed、Kustomize和kubeadm等。Airshipctl可以從版本化的Git存儲庫，以Kubernetes資源檔案的形式，擷取宣告式意圖，並且透過與Kustomize的整合，Airshipctl能將行動（Action）的任意部分，轉出為文件包。新版能支援各種基礎設施後端和作業系統，從Azure、Google等公有雲，到虛擬機器Openstack，甚至是裸機環境。</p> <h3><span style="color:#0000FF;"><strong>#GCP #Azure #AWS</strong></span><br /><span style="color:#FF8C00;"><strong>GCP容器相關服務的競爭產品是甚麼？一張表快速比較三大雲端容器服務</strong></span></h3> <p>GCP、AWS和Azure大比對公有雲的容器相關服務越來越多，種類也很雜，不只是純容器服務，有些列在資安服務，有的則屬於無伺服器服務，不同業者對於類似功能的服務，也各有不同的命名，更難比較同樣功能的服務有何差異，最近Google<a href="https://cloud.google.com/free/docs/aws-azure-gcp-service-comparison?utm_source=google&utm_medium=blog&utm_campaign=FY21-Q2-Product-Mapping-Blog&utm_content=documentation">更新了</a>一份與其他兩家公有雲服務競爭對手的產品對照表，雖然這是Google觀點的產品表，意味著會完整列出GCP自家功能，但不一定會列出對手的服務，對手可能也不見得同意GCP的分類，不過，這倒是一份可以一窺GCP自家產品有哪些競爭服務，可供有意採用的企業產品評估之用，Azure也有<a href="https://docs.microsoft.com/zh-tw/azure/architecture/aws-professional/services">類似的產品比較表可參考</a>。整體來看，Google與容器應用相關的服務，近來以容器資安和無伺服器應用類型上的新增服務較多，這也是GCP近來的產品發展重點。</p> <h3><span style="color:#0000FF;"><strong>#GPU #GKE</strong></span><br /><span style="color:#FF8C00;"><strong>GKE現讓多執行個體共享單一GPU</strong></span></h3> <p>Google更新其Kubernetes服務GKE，提供多執行個體可共用單一Nvidia GPU的功能。Nvidia A100 GPU最多可以劃分成7個執行個體，每個執行個體都有獨立的高頻寬記憶體、快取和運算核心，每個執行個體可以分配給1個容器，每個A100 GPU最多可以分配7個容器，另外，多執行個體GPU間由於採用硬體隔離來增加了安全性，也替所有GPU上執行的容器提供一致且可預測的QoS。</p> <p><strong>責任編輯：王宏仁</strong></p> <h3><strong>更多容器新聞 </strong></h3> <p>●VMware的Tanzu SQL服務正式新增MySQL，可在K8s環境上大規模部署MySQL<br /> ●GKE推出Dataplane第二版新版，可即時顯示GKE或Anthos叢集的網路活動情況<br /> ●紅帽執行長Paul Cormier宣布新混合雲戰略，要將OpenShift延伸到邊緣<br /> ●HashiCorp成Codecov供應鏈攻擊受災戶，導致加密金鑰外流<br /> ●Google函式即服務Cloud Functions開始支援PHP</p> </div></div></div>
2021/5/25 14:27作者王宏仁https://www.ithome.com.tw/news/144609
【疫情日報】全國第三級警戒延長至6月14日，全國各級學校停課亦延長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心今（25日）宣布單日新增281例本土案例，以及校正追加261例，而且全國三級警戒延長至6月14日，全國停課措施也一併延長至6月14日。</p> <p><span style="font-size:22px;"><strong>單日新增281例，校正追加261例</strong></span></p> <p>指揮中心指揮官陳時中指出，本日新增個案分布以新北市154例最多，其次為臺北市49例，其他分佈縣市包括桃園市16例，臺南市、基隆市及彰化縣各10例，臺中市9例，屏東縣及新竹市各4例，高雄市、宜蘭縣各3例，臺東縣、南投縣及苗栗縣各2例、新竹縣、雲林縣及花蓮縣各1例。</p> <p>另外校正追加的261例中，以臺北市155例最多，其次為新北市89例，宜蘭縣、桃園市各5例，基隆市及彰化縣各3例，臺中市1例。這些案例追加回5月16日至5月24日。</p> <p><strong><span style="font-size:22px;">全國三級警戒延長至6月14日，全國各級學校停課同步延長</span></strong></p> <p>陳時中也宣布全國疫情第三級警戒延長至6月14日，也呼籲企業持續落實人員分流、異地辦公等營運指引措施。另由於第三級警戒延長，影響不少產業，行政院正積極討論紓困方案，日後將儘早公佈相關措施。</p> <p>今日，教育部部長潘文忠也宣布全國停課時間延長至6月14日，範圍涵蓋全國各級學校及公私立幼兒園，兒童課後照顧服務中心、補習班等各類教育機構也包括在內。</p> <p>為因應遠距教學需求，教育部持續擴大線上教學資源，包括在教育部因材網YouTube頻道擴充各類課程單元的學習資源、國家教育研究院聯手台達電子文教基金會開發專屬YouTube頻道，提供高中學科學習資源。此外，教育部也請公視3臺播放「疫起線上看」教學節目，來提供師生更多居家學習管道。</p> <p>教育部也建議，教師要是遭遇線上教學問題，也可參考教育部線上教學便利包，或加入臉書「台灣線上同步教學社群」，來查詢輔助資源或尋找諮詢協助。</p> </div></div></div>
2021/5/25 14:34作者王若樸https://www.ithome.com.tw/news/144610
佛州簽署新法令，禁止科技平臺封鎖政治候選人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國佛羅里達州州長Ron DeSantis在24日<a href="https://www.flgov.com/2021/05/24/governor-ron-desantis-signs-bill-to-stop-the-censorship-of-floridians-by-big-tech/" target="_blank">簽署了Senate Bill 7072法案</a>，要求大型科技業者必須維護當地民眾存取相關平臺的能力，並採用高度透明化的政策，同時禁止相關平臺封鎖政治候選人，這是美國首個針對科技平臺封鎖政策祭出規定的州政府，美國媒體評論它可能受到違反美國《第一修正案》的考驗，而臉書及Twitter等平臺則尚未針對此一新法案發表評論。</p> <p>DeSantis與美國前任總統川普（Donald Trump）同屬共和黨，該法案很可能是因為Twitter與臉書同時封鎖了川普帳號而誕生，佛州議員Blaise Ingoglia即表示，保守派言論日益受到矽谷大型科技業者的攻擊，然而，佛州認為這種偏見沈默不應被容許，此一具有歷史意義的立法將確保人們的聲音被聽見，捍衛言論自由。</p> <p>州長DeSantis也說，假如這些大型科技業者的言論審查行為不一致，偏袒了主導市場的矽谷意識型態，那麼它們將會被究責。</p> <p>根據新法案，這些大型科技平臺必須平等對待所有的州民，在實行內容審核時必須基於一致的政策且透明化，否則人們有權可以控告它們，還能請求損害賠償；假設這些業者違反了當地的反托拉斯法令，便不得與任何公共實體簽訂合作協議。</p> <p>而最受到矚目的規定則是，相關平臺不得封鎖佛州的任何政治候選人，一旦違反該規定，佛州的選舉委員會每日最高可向其開罰25萬美元。該州強調，任何州民都能夠選擇封鎖任何不想看到或聽到的候選人，因為這是每個州民的權利，然而，這並不是大型科技業者得以決定的。</p> <p>不過，佛州以言論自由為名，禁止科技平臺封鎖政治候選人，也可能違反要求政府不得干預企業言論自由的美國憲法《第一修正案》，而遭到法院推翻。</p> </div></div></div>
2021/5/25 15:04作者陳曉莉https://www.ithome.com.tw/news/144612
1年1.6億次攻擊如何擋？三總從實戰練出7措施11方法打造更強防禦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三總是全臺最大軍醫院，也屢屢成為資安攻擊的標靶，曾經1年遭受過上億次攻擊。在這些經驗中，三總先是以切割DMZ、分割網段等7個措施，再進一步用11個方法來圍堵缺口，最後收緊USB的使用，才維持每個季度病毒量在200、300以下。三總總結醫療資安3心法：可視監控、隔離管制、關鍵保護，未來還要建置自動化資安應變系統。</p> <p><strong><span style="font-size:22px;">醫療資安事件頻傳，2019年國家級資安事件讓醫院加碼重視</span></strong></p> <p>三總是國防部所屬14家國軍醫院之一，不僅是北部醫院中心，也是全臺最大的軍醫院。三總醫療資訊組系統工程組組長林靖指出，近年醫療資安事件頻傳，像是新加坡醫療系統遭駭外洩150萬筆個資，或是德國醫院因勒索病毒發生病患死亡事件，甚至像在臺灣，2019年勒索軟體侵襲全臺30多家醫院，造成了國家級醫療資安事件。</p> <p>2019年那次攻擊之所以影響多家醫院，是因為駭客入侵健保VPN網路，再從衛福部電子病歷交換中心的EEC閘道器，蔓延到多家醫院。林靖解釋，攻擊者透過遠端桌面連線和暴力破解，入侵了健保申報主機，再橫向擴散到不同的EEC閘道器，也就是醫院與衛福部交換電子病歷的平臺。</p> <p>駭客等於是攻進了健保內網，在醫院與健保署共用的內部網路擴散，才導致30多家醫院受到攻擊。這次事件後，全臺醫院更加注重資安，紛紛投入資安防護建設，衛福部也開始改善EEC內網安全。</p> <p><strong><span style="font-size:22px;">身為全臺最大軍醫院成為攻擊標靶，AD都曾遭駭變成散播跳板</span></strong></p> <p>但對三總來說，「資安攻擊司空見慣。」林靖指出，早從2004年開始，三總就不斷受到攻擊，尤其在2018年，全臺軍醫院頻頻遭受攻擊，甚至，「一年共有1.6億次攻擊，大多針對三總。」</p> <p>不過，他認為，最嚴重的攻擊發生在2013年，中國網軍透過社交工程，把醫院最重要的網域主控站（AD）「打掛了」。駭客取得AD控制權後，在內部網路環境部署多個控制管道來擴散。</p> <p>事後，三總統計，當時高達46個惡意程式和36個駭客工具，入侵了59臺電腦和伺服主機，而且在網站主機上，還發現了7種不同功能類型的後門程式。</p> <p>林靖分析，那次災情只因一封電子郵件而起。收信者開啟信中檔案，後門程式順勢觸發，駭客便透過中繼站操控受害電腦，來下載破解密碼的惡意程式，對AD展開攻擊。</p> <p>當駭客掌握AD控制權後，也就取得醫院網域內所有帳號密碼資訊，開始在內網橫向擴散，攻擊其他電腦和伺服器。不只如此，駭客還透過跳板程式來操控這些電腦、上傳資料。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%94%BB%E6%93%8A.jpg" /></p> <p><strong><span style="font-size:22px;">三總第一次調整，用7招防護措施來改善</span></strong></p> <p>2013年事件發生前，三總原有資安架構是，外部設置一套入侵防護系統（IPS），來管理對外網路區域（DMZ），包括了AD、網路、郵件主機和網域名稱伺服器DNS。IPS下還建置了外部防火牆和網頁內容過濾器，對內則有2套不同型號的內部防火牆搭配，來保護三總不同院區（包括臺北門診中心、松山院區、北投院區、澎湖院區）以及國防醫學院的資訊安全。（如下圖，不過，IPS位置錯置，應位於更外層）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9E%B6%E6%A7%8B.jpg" /></p> <p>內部防火牆之後設有閘道器，除了一端連接到健保VPN外，還有一端連接到緊急醫療網與伺服器運算農場（Server Farm），其下有內部的AD、交換主機、急診系統等。三總還有另一個閘道器來連結汀州院區、行政網、醫療網和資管室網段。</p> <p>林靖解釋，採用不同型號防火牆的原因，是為了預防一款遭攻陷，還有另一款可防護。即使做到了如此的防禦縱深，但那起事件中，駭客還是能入侵，三總認為，這代表當時的架構不夠強韌。因此找來資安業者討論，用了幾個方法來更進一步來精進資安架構。</p> <p>第1個方法是將DMZ按業務特性和風險程度細分，再切割成多個DMZ區，比如將提供外部服務的網路掛號等主機，移到外部DMZ區，或是將伺服器農場再分割，比如分為行政網DMZ區、內部網路DMZ區等。</p> <p>再來，三總也隔離了外部郵件，不讓外部信件進入醫院內部。</p> <p>第3，為確保分院和總院安全，各院區（包括汀州院區、國防醫學院、臺北門診中心、松山院區、北投院區、澎湖院區）改由總院單一閘道連線至網路。同時，各院區專線應經過防火牆把關，而且要在防火牆內限定可存取的指定資源。</p> <p>接下來，則是在網段間設置存取控制清單（ACL），包括醫療網、行政網、資管處網段、緊急醫療網和伺服器農場等。第5個方法則是在伺服器農場中，將醫療系統和資料獨立出一個網段，安裝防火牆來限定可存取來源和協定。不只如此，三總對外也採取更嚴格的措施，比如院外連線需透過VPN，而且還要雙因數認證。</p> <p>此外，三總也逐年改善資安防護措施，比如在DMZ區前增加防護、在後端也增設APT防火牆等更多系統來防護。</p> <p>「加了這麼多層的縱深防禦架構，就夠了嗎？」林靖坦言，在2017年，三總再次遭到攻擊，來自內部國防醫學院網路滲透過來的攻擊，成功入侵了三總系統。</p> <p><strong><span style="font-size:22px;">三總第二次調整，11措施全面防堵醫院資安缺口</span></strong></p> <p>這起事件發生後，國防部緊急要求三總再次盤點所有資安缺口。林靖指出，醫院端使用網路的單位包括了臨床醫療、教學部、研究部，其中「教學和研究部，與國防醫學院完全分不開，」因為國防醫學院每年都派實習生到醫院受訓，而三總主治醫師，也經常要到國防醫學院教課，雙方需要資訊可共享的網路服務。</p> <p>三總原本就將醫院內網封閉、只開放虛擬桌面VDI連接，但卻未將國防醫學院的路徑隔離在外，因此造成缺口，才釀成了這起攻擊事件，駭客入侵後便橫向擴散到醫院其他主機。</p> <p>三總盤點缺口後，開始進行防堵，要建造完善的醫療資安防禦網。他們採取11項措施，首先是網系隔離，這次將國防醫學院學術網實體隔離，徹底與三總分割。再來是網路管理方面，醫療網電腦對外連線，只開放給白名單上醫療業務所需的IP，其他對外連線一律禁止。如果需使用網路資源，只能透過虛擬桌面方式上網，並進行黑名單管制，甚至使用完立即中斷連線。</p> <p>第3個措施是，全院管控行動儲存設備，比如隨身碟。三總管控之嚴，連醫師用隨身碟都必須先註冊，來掌握每一個使用者。</p> <p>再來是安裝檔案加解密系統。安裝系統後，資料攜出三總時會經過加密，讀取者需要解密才行，林靖指出，若連這麽做都發生資料外洩，那就表示有人刻意為之，這也是三總想要杜絕的事。</p> <p>除此之外，三總也全面建構端點防護作為，不只在使用者端，全面安裝防毒軟體，來防範已知病毒，也安裝資安監控軟體，透過滲透行為鑑識，來辨識未知的攻擊行為。</p> <p>其他措施還包括禁止非必要性軟體安裝（如Line）、管制高危連接埠和指令碼（如網路芳齡139和445、PowerShell）、定期資安健檢和醫護人員資安訓練等。另外，由於當時資訊工程師只有4位，人力不足，因此委外資安廠商來建置SOC機制。</p> <p>另一個措施是定期更新作業系統修補檔。「我相信許多醫療院所都對這點很頭痛，」林靖解釋，因為一般PC有更新程式可修補，但醫療電腦連接了大型醫療裝備，這類電腦的作業系統多半為Windows XP，「根本更換不了，」除非連醫療裝備一起汰換。即便如此，三總還是找到方法來解決，也計畫採購IoT資安閘道器來應對。</p> <p>三總用內部偵測到的病毒程式量，來觀察資安架構對外的防護強度，數量越少，代表多數病毒程式被層層攔截了。三總統計後發現，2013年第三季，內部監測到的病毒數量高達4,500支，資安架構經過第一次調整後，每季度的病毒量下降至500支以下，而2017年第二次調整後，每季度病毒量也微幅下降。最近在2020年的第三次調整，三總更決定全院封鎖外部USB，只保留一個簡易站電腦，需使用USB的醫護人員，得將自帶USB的檔案先拷貝到這臺電腦，再用公發USB來存取，才能到內部使用，來降低惡意程式的攻擊。此時，每季內部偵測到的病毒量已經小於200支。（如下圖）</p> <p><strong><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B5%B1%E8%A8%88(2).jpg" /></span></strong></p> <p><strong><span style="font-size:22px;">醫療資安3大心法：可視監控、隔離管制、關鍵保護</span></strong></p> <p>「因為嚴格的防護措施，2019年勒索軟體攻擊全臺醫院事件中，三總反而沒有受到影響。」三總經過多次攻擊、久病成良醫，林靖也分享醫療資安的3大心法，也就是可視監控、隔離管制、關鍵保護。</p> <p>可視監控的第一步，「網路是駭客攻擊的第一目標，因此要建立網路可視化系統，來監控異常流量。」他提醒，傳統網路流量監控的設備，無法監控SSDL加密資料，因此，三總也採購了進階的加密資料監控設備，能解開加密式內容，來加強監控。</p> <p>再者，三總也鎖定醫療裝備等物聯網設備，要採購IoT資安閘道器，來掃描IoT設備狀況，進而實現可視監控。再來，三總也建立SIEM平臺，來彙整上述兩種資料，來進行即時性分析，未來還要導入AI大數據分析，來自動找出異常活動，降低人力負荷。</p> <p>而第2個心法「隔離管制」則要做到4個要件，也就是邊界防護（防火牆）、網路區段隔離，比如分行政網、醫療網等，再來是實體隔離和單機隔離，像三總就將國防醫學院的網路直接切割，進行實體隔離。</p> <p>至於關鍵保護，首先在程式面，三總要建立零信任監控，針對PC、伺服器等，建立應用程式白名單，來有效避免惡意程式。再來是帳號權限管控，因為，三總經歷過AD遭控制、帳號密碼權限全失的事件，因此借助不同資安軟體來管控帳號。</p> <p>林靖推薦各家醫療院所，參考衛福部去年8月發布的「基層醫療院所資安防護參考指引」，「醫院只要做到指引中的措施，就能大幅提高資安層級。」他指出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6651.jpg" /></p> <p><strong><span style="font-size:22px;">與攻擊共存，把資安當作一種管理流程</span></strong></p> <p>他也坦言，不管任何產業，都沒有絕對安全的系統，因此，「學習接受可接受的風險，與攻擊共存，」當遇到駭客發動攻擊時，有能力儘早找出問題點，解決問題。</p> <p>在他看來，資安就是一種管理流程，包括預防、偵測、控制、復原、修正。預防要做到的是，避免未授權而獲取資料或資源；偵測則是找出資訊系統內的不法案件；控制是要啟動安全措施，遏止不法事件發生；而復原則是要建立資安事件後的復原能力，最後的修正，則是加強管理工作，一有缺失就立即更正。如此，醫院才能盡情發展智慧醫療應用。</p> <p>未來，三總還要建立自動化資安應變系統，透過大數據分析來快速掌握資安情資，此外還要透過微分割和SDN機制，來即時響應告警，快速阻止有限和無線網路中的威脅。</p> <div id="gtx-anchor" style="position: absolute; visibility: hidden; left: 878px; top: 2126px; width: 27px; height: 15px;"> </div> <div aria-describedby="bubble-2" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: 287px; top: 2151px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-2"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowup" style="left: 871.5px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2021/5/25 13:48作者王若樸https://www.ithome.com.tw/news/144606
【臺灣資安大會直擊】資安攻擊防不勝防，白名單是打造零信任資安環境的利器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期國內資安攻擊事件頻傳，尤其是高科技製造業屢屢成為駭客攻擊目標，企業資安防護應如何自保，今年資安大會中，曾任美國賽門鐵克核心研究實驗室總監的工研院資通所所長的闕志克認為，企業應建立零信任的安全機制，白名單即是一個相當重要的手段。</p> <p>「零信任就是一開始對任何行為都不信任」，闕志克直接點出零信任安全機制的精神，所有系統行為都需經過批准，唯有通過批准的行為才能被執行，這點正和白名單的安全機制不謀而合，白名單概念是只有正面列出的應用可被允許，其他未被列入者則不被允許。</p> <p>傳統資安攻擊手法可歸納為三步驟，駭客利用軟體漏洞入侵裝置，員工在不覺之下將被入侵的BYOD裝置帶到企業環境內使用，導致惡意程式攻擊在企業內部橫向擴散。換言之，只要中止這個過程中的步驟，就能降低攻擊造成的損害。資安攻擊過程大多是，駭客利用漏洞將shellcode植入系統，進而讓系統下載安裝惡意程式，可能造成任何的損害，例如破壞系統的正常運行或是竊取資料等等。</p> <p>闕志克指出，傳統防毒軟體多運用黑名單機制，建立禁止執行的惡意程式名單，一旦發現黑名單中的程式即中止執行；相反地，應用程式白名單機制，只有被允許者能夠執行，名單外的程式都禁止。</p> <p><span style="color:#B22222;"><strong>白名單適合保護特定功能的系統</strong></span></p> <p>對個人使用的電腦或筆電採取白名單機制，可能因太嚴格的限制，造成使用者的不便，但闕志克指出，白名單非常適合無線路由器、無人機、自駕車等特定用途的裝置採用，其他例如企業工業控制系統等OT的保護，也相當適合。</p> <p>美國NCCIC(國家安全暨通訊整合中心)曾對工業控制系統保護提出7項建議，應用程式白名單機制名列第一，重要性可見一斑。「白名單機制雖然不是萬靈丹，卻是最需要先做的事」，闕志克說。</p> <p>要對特定功能的伺服器建立白名單，得先知道這臺伺服器提供哪些功能，先設妥哪些應用程式必需執行或可允許，將其列入白名單中。他以工研院這幾年所開發的Windows-based AWL為例，針對可執行的二元碼（Binary Code）、共享函式、核心模組、驅動程式，甚至是Script程式進行檢查，建立應用程式白名單機制</p> <p>「白名單從哪裡來」，闕志克點出這個機制第一個挑戰，當一臺全新、從來沒有連接過網路的Windows server 2020，最初的白名單如何設定，才能確保Windows server必要的應用被允許執行。</p> <p>當建立白名單機制後，接下來的問題是如何維護？白名單上的應用如有任何更新，白名單沒有同步調整，就可能發生應用更新後無法執行的問題，目前工研院致力於研究如何讓白名單保護機制與時俱進，例如讓白名單的調整和Windows Update流程結合，或是企業以AD主機安裝的應用，也能同時更改應用程式白名單。否則，當Chrome瀏覽器自動更新版本，若白名單沒有同步調整，就可能出現更新後無法執行的問題。</p> <p>即使建立應用程式白名單，但闕志克提醒，白名單中的程式也不代表就是安全，如同前面所說的，當駭客利用應用程式的漏洞植入shellcode，仍舊會造成損害，簡言之，如何發現白名單內的應用程式已經「變質」，是強化白名單機制安全性的一大挑戰。</p> <p>目前工研院已研發一套檢查工具，針對白名單應用程式的系統呼叫行為模式進行檢查，比對編譯期和runtime的系統呼叫行為是否出現異常，作為判別被植入shellcode的依據。</p> <p>另外，也可用Android Kernel框架慣用的控制流程(control flow)檢查，透過檢查比對執行時的控制流程是否異常，來判斷白名單所允許的應用程式是否被駭。</p> <p><span style="color:#B22222;"><strong>以正面表列規範應用程式應有的行為</strong></span></p> <p>闕志克表示，白名單機制不應只是設定哪些應用程式可執行，還應包括程式的正常行為模式，例如系統呼叫、控制流程行為也一併記錄，這麼做的好處是，只要描述好的應用程式應有的行為，不需去定義壞的應用程式有哪些不好的行為。在一般資安系統設計思維裡，多傾向思考壞人有哪些不好的行為，較少思考好人應有的好行為是什麼。「這就是正面表列、零信任的精神」。</p> <p>他認為，正面表列的安全機制尤其適合ATM、無人機、自駕車這類固定功能的系統，這些系統因為特定用途，可採用多層次的白名單檢查，包括允許安裝執行的應用程式二元碼檢查，事先定義每個程式對系統資源的使用行為，還有程式的系統呼叫、控制流程圖等，就能降低被攻擊風險。「在多層次的保護機制下，即使白名單允許的程式因漏洞遭植入shellcode，也能阻斷攻擊過程」。</p> <p>企業資安防護使用白名單機制時，闕志克建議，不只是一臺伺服器上有哪些應用可執行，這些應用能用哪些系統資源，還有哪些外部伺服器或用戶端電腦被允許和這一臺伺服器的應用互動等，都要列入白名單中。</p> <p>同樣地，對員工的BYOD裝置也應採取零信任的態度，只允許裝置上的少數應用能用企業資源，例如在員工手機上部署虛擬行動基礎架構(VMI)，僅允許虛擬手機使用企業內部的資源。</p> <p><strong>闕志克建議企業可將白名單視為一種通用的資安防護策略，並採取層層定義的方式，對應用程式、程式應有資源使用行為、網路通訊、可與之互通的BYOD裝置程式定義清楚：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/whitelising-1.jpg" style="width: 600px; height: 411px;" /></p> <p>若是不幸地，惡意程式入侵，為了阻擋惡意程式在企業內部擴散，並進一步限縮可能造成的損害，他也建議，企業應建立應用感知的網路切片(Application-aware network segment)，讓不同的應用使用個別的網路切片，甚至進一步對虛擬機器或容器間的網路通訊行為模式，建立應用層級的白名單機制，以形成防火牆規則，限縮惡意攻擊的影響性。</p> <p>闕志克總結，企業規畫資訊系統應納入零信任精神，先考慮想提供那些功能，這些功能可允許哪些行為，包括哪些程式可允許執行，允許哪些裝置和這些程式互動等等。</p> <p>「企業應將白名單機制視為一種通用資安防禦策略，多數企業規畫資安系統時，不斷嚐試找出哪裡有漏洞，但漏洞是人為錯誤的結果，漏洞是無限的挑戰，企業反而應該思考，允許哪些行為就足以滿足營運需要，同時將影響限縮到最小」，他說。</p> <p> </p> </div></div></div>
2021/5/25 10:14作者蘇文彬https://www.ithome.com.tw/news/144553
14年玩成全球頂尖駭客，戴夫寇爾首席資安研究員親身分享5階段心路轉折
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「雖然說我的成就看似光鮮亮麗，全世界可以相比的人也屈指可數，但我也有自己的課題要面對。」今年剛率領戴夫寇爾（Devcore）資安研究團隊，在全球頂尖白帽駭客比賽Pwn2Own中奪冠的戴夫寇爾首席資安研究員Orange Tsai，近日在臺灣資安大會上，分享自己一路成長為世界頂尖駭客的心路歷程。</p> <p>他大方揭露，自己也經歷所謂的「萌新」時期，從找不出錯誤的程式碼，一步步學習、成長、歷練，才能達到現在的成就；而在各大比賽中嶄露頭角後，頂著資安新星的光環，卻也有遭遇挫折的時候，這時就需要重新找到動力，才能堅定的持續前行。這些一路走來面臨的轉捩點與課題，都是他不斷精進自我的關鍵。</p> <h3><span style="color:#FF8C00;">以數碼寶貝的進化5階段，回顧自己14年駭客學習歷程</span></h3> <p>Orange Tsai演講過程中，以卡通數碼寶貝的5個進化階段，分別是幼年期、成長期、成熟期、完全體到究極體，來回顧自身14年來的駭客技能學習歷程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-24%20%E4%B8%8A%E5%8D%8810_33_03.png" style="width: 700px;" /></p> <p>「大部分人可能會好奇，我以前如何接觸電腦？如何想當駭客？」Orange Tsai表示，開始接觸電腦的契機，是在小學四年級，接觸到知名電腦補習班補助弱勢孩童的電腦課程，儘管已記不得當時所學內容，但是過程中「很好玩」的感覺，開啟了他摸索電腦的興趣。</p> <p>這段學習電腦的「幼年期」，Orange Tsai表示，自己也曾經是個「萌新」，就像是遊戲中的新手玩家，還在不斷學習探索。遇到問題，也會到「Yahoo奇摩知識+」徵求網友解答，比如詢問該如何打開「命令提示字元」；或是自學C語言時，把整段程式碼貼上詢問錯誤之處。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-24%20%E4%B8%8A%E5%8D%8810_34_14.png" style="width: 700px;" /></p> <p>直到2007年底，他看到新聞正在播送一個轟動全臺的駭客新聞，因而萌生了一個想法：「如果可以在網路世界中，神不知鬼不覺地來去自如，應該帥爆了！」至此，他立下了要當駭客的目標。</p> <p>在興起這個念頭後，Orange Tsai的駭客生涯進入「成長期」。回想成長期的學習歷程，他認為，「學習一門技術，就像玩遊戲的過程，」比如任天堂在2017年發行的遊戲薩爾達傳說，讓玩家在開放世界的地圖中探索，就像學習一門新領域時，從最熟悉的地方逐漸向外探索的過程，「如果你在探索某塊地圖、打倒某隻怪物的過程中感到好玩，代表你已經開始樂在學習了。」</p> <p>Orange Tsai在成長期的時候，正是秉持著探索的精神，開始學習各種駭客攻擊手法，無論是木馬程式、逆向工程、網路攻防各類知識，都主動接觸，若遇到看不懂的內容，就先筆記下來，「每隔一段時間重看一次，直到看懂為止。」</p> <p>持續摸索一、兩年後，由於一個人學習有其侷限性，也缺乏與他人的交流，Orange Tsai主動與當年在資安圈小有名氣、現在則是戴夫寇爾執行長翁浩正聯繫，進而加入了他在輔仁大學創辦的資安研究社團NISRA。</p> <p>當時，Orange Tsai只是高中生，但每週都會固定到輔大的資安社團學習，他也因此接觸到更多資源，比如開始迷上鼓勵駭客思維的Wargame比賽，也曾經為了某個挑戰茶不思飯不想，渾然投入其中。這些學習經歷，更讓他在2009年，第一次以高中生身份參加臺灣駭客年會時，就一舉奪下冠軍。</p> <p>「我從最初覺得駭客很帥，到學習駭客技術上癮，又因為冠軍引起關注，這對一個高中生來說，自信心是很大的膨脹。」Orange Tsai說。</p> <h3><span style="color:#FF8C00;">開始歷經挫折，卻從中找回屬於自己的駭客精神</span></h3> <p>以奪獎作為分界點，Orange Tsai的學習歷程進入「成熟期」。在這段時期，為了獲得更多認同感，他開始刻意訓練自己的演講能力，也投稿各類研討會，來分享自己習得的知識或資訊。</p> <p>「雖然當時是因為認同感才決定演講，但回想起來，這是我做過最正確的一件事。」Orange Tsai指出，一場演講的準備，就是進行一次小型研究的過程，為了確保演講內容精彩且正確，得不斷地對同一個主題深究，過程中，會將雜亂的資料整理成有用的資訊，內化成自己的知識，再向觀眾解釋，「這些能力對我日後有很大的幫助。」</p> <p>除了對外尋求認同感，Orange Tsai也對內尋求自我的認同。當時，由於好奇自己的極限，他開始駭入曾經使用過的服務，「我不是要搞破壞或從中獲利，我也知道這會為自己帶來很多麻煩，可是這個挑戰非常吸引人。」剖析當時的心境，他也坦言，駭入時，會在滿滿的罪惡感與成就感之間徘徊，甚至會為了要不要按下Enter鍵猶豫許久。</p> <p>雖然Orange Tsai找到了漏洞後，都會向提供服務的企業回報，但是，這類攻擊舉動仍對這些企業造成困擾。他強調：「這是不好的示範，我不鼓勵大家這麼做。」尤其，當時他剛加入戴夫寇爾不久，公司剛逐漸上軌道，他才驚覺，自己一時錯誤的決定，可能會因此連累所屬公司的名譽受損。「這件事情帶給我很大的反思，後來，不輕易造成別人的誤會與困擾，成為我的重要原則。」</p> <p>Orange Tsai建議，若新手駭客要練功，無論是CTF或是Bug Bounty之類的挑戰，都是很好的方向。就像當時，他對於駭客技術的追求，轉而透過CTF這類比賽來實現，「CTF更專注技術，且自帶競爭感，跟我當時的想要聚焦技術、追求成就感的想法不謀而合。」</p> <p>這段參加CTF競賽的時期，被Orange Tsai劃分為進入「完全體」的階段。藉由競賽，他獲得了非常豐碩的成果，比如學習還原只剩一半的QR Code、學習開鎖技能、甚至透過逆向工程使吃餃子老虎機中大獎等，「在CTF可以挑戰各式各樣新穎有趣，甚至一輩子都碰不到的技術。」甚至，在CTF上斐然的成績，還讓他與戰隊成員，受到總統接見的殊榮。</p> <p>但在這時，Orange Tsai卻開始遭遇了另一個挫折，「雖然CTF帶給我很大的成就感，但也要承認，永遠會有比你天才的存在。」這個認知，甚至讓他開始質疑自己：「為什麼要這麼努力？自己的價值到底在哪裡？」</p> <p>經過一段時間的反思，Orange Tsai逐漸體認到，在真實世界的駭客攻防中，除了技術之外，更重要的是經驗，「我這幾年的經驗累積，是對方單靠技術無法碾壓的。」他為自己打氣，只要不停止接觸資安，在攻擊的經驗上，自己肯定能佔據優勢。</p> <p>對此，他更引述一位駭客余弦（EvilCos）所說的話，來勉勵自己與觀眾：「哪怕再小，也要讓自己成為某一點的No.1。」哪怕再小，每一次成為第一名的過程中，就是一次自我學習的實現，「當你可以說服自己在某一點擁有價值的時候，心中就能更踏實的走下去。」他坦然的說。</p> <h3><span style="color:#FF8C00;">站在世界舞臺，使命感油然而生</span></h3> <p>當了多年的電競選手後，Orange Tsai發現，CTF的成就感逐漸滿足不了自己，因而開始往更大的目標挑戰，這是他的學習歷程中最後一個階段「究極體」。</p> <p>這個時期，Orange Tsai陸續挑戰了各種駭客領域中，自己尚未拿過獎項的比賽，不只近日在Pwn2Own比賽中獲得破解大師（Master of Pwn）的桂冠殊榮，2019年也與同為戴夫寇爾資安研究員的Meh Chang，獲得漏洞界奧斯卡獎Pwnie Awards「最佳伺服器漏洞獎」的肯定，過去也曾擔任世界級駭客大會如Black Hat USA、Defcon、HITB的講者。</p> <p>「當眼界放大到世界，使命感會慢慢地浮現，尤其在國際舞臺上，臺灣常遭鄰居打壓，如果可以大聲講出你來自臺灣，心裡就會莫名的爽。」Orange Tsai毫無保留的說出，要讓世界看見臺灣的決心；不只如此，他的使命感，還在於對臺灣資安人才的培育，近年來參與了政府辦理的資安人才培育計畫，要透過自身力量，幫助臺灣年輕駭客成長。</p> <p>不過，走到這個階段的Orange Tsai，看似已經達到旁人不能及的高度，仍舊遭遇了更多課題需要自我克服，「雖然說我的成就看似光鮮亮麗，全世界可以相比的人也屈指可數，但我也有自己的課題要面對。」</p> <p>比如追逐成就感的過程，是驅使他不斷向高處攀登的動力，但有時也讓他陷入鑽牛角尖的循環。他舉例，為了讓自己產出比前一年更傑出的研究成果，去年一整年，他每天都強迫自己找漏洞，也因此，找漏洞變成一件痛苦的事。經過一段時間沈澱後，他才發現，有趣的不是挖漏洞的過程，這是別人花時間也能做到的事，反而是創造出新的攻擊手法，才能更能彰顯他的價值，也是他真正感興趣的事。</p> <p>「很多人問我，你會不會有一天不做資安？」Orange Tsai鄭重地說，若做資安的動機，只是單純因為帥、或是覺得好玩，將來就可能被更有趣的事吸引而放棄，不過，他總結自己學習資安的過程，從一開始覺得駭客很帥、學習技術很好玩，逐漸感受到認同感、成就感與使命感，不同階段目標的疊加成就了現在的自己，「套一句某個前輩說過的話，駭客是終身職，我為什麼會放棄資安？」</p> <h3><span style="color:#FF8C00;">找到學習動機、刻意練習，每個人都有機會成為第一</span></h3> <p>最後，Orange Tsai給所有對資安有興趣的年輕學子一個變強公式，儘管不一定適用所有人，但他建議，在學習資安的路上，首先要找到學習的動機，「有夠強的動機，才能驅使你不怕任何事情持續前進。」再者，則是要刻意練習、刻意挑戰，持續挑戰比現在水平更難一點的題目，若挑戰成功，就能從解題過程中獲得樂趣與成就感，若挑戰失敗，也能檢討反思，來避免日後犯下同樣的錯誤。</p> <p>Orange Tsai說，就像自己過去，也曾循序挑戰更難的題目、刻意練習演講的能力，「持之以恆，就能在某個領域中成為第一名。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-24%20%E4%B8%8A%E5%8D%8811_18_23.png" style="width: 700px;" /></p> </div></div></div>
2021/5/25 09:50作者翁芊儒https://www.ithome.com.tw/news/144565
【iThome 2021 CIO大調查(上) 一起抗疫靠IT】企業如何更重視IT抗疫的價值？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1026-cover3-960-2.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>後疫新常態中，IT對企業的價值，遠比過去更加重要。CIO的影響力也比過去更高、也更廣。尤其，許多企業總經理，執行長，都比過去更重視IT。從iThome 2021年CIO大調查發現，可以明顯看到，IT地位和價值向上提高的改變。</p> <p>高達68.7%企業的CEO，比過去更加重視IT，尤其是金融業和高科技業，本來就高度重視IT的金融業，在疫情衝擊下，32.6%金融業CEO明顯增加與CIO的互動。而過去常將IT視為支援單位的一般製造業，現在也有高達62.5%的企業主，開始認真看重IT的價值。</p> <p>過去一年疫情發生後，CIO與CEO的互動也比過去更頻繁，根據我們的調查，近6成企業都如此，CEO越來越需要借重CIO的知識和經驗，用IT來對抗疫情，或者協助企業數位發展的決策，甚至有1成的一般製造業CEO，明顯增加了與IT部門主管溝通。</p> <p>在企業實際營運上，CIO的影響力也比過去更大。過半數企業的CIO們，都因企業抗疫需求，而有更多機會參與企業高層的營運決策，其中又以金融業CIO最多，高達76.7%金融CIO更是高度參與營運決策。就連一般製造業，也有38.5%的IT主管，因抗疫而參與更多高層決策。</p> <p>CIO不只是向上影響力的提升，對於其他部門的影響力也比過去更大，不論是金融、政府機關與學校、高科技、醫療業，都有超過6成企業的CIO，比過去更能影響其他部門。</p> <p>因為不只是企業主更加看重IT，其他部門也更能感受到IT的價值，不管是外部營運環境、面對顧客的服務通路、上下游的供應鏈，都需要IT。根據今年大調查，2成高科技業或醫院CIO明顯感受到自己對其他部門影響力大幅提升，而有同樣感受的金融CIO和政府部門CIO的比例，更是超過了3成。</p> <p>而且不只為了被動的因應疫情，甚至IT可以變成掌握新商機或發展新商業模式的助力，這也是為何6成企業的業務主管，比過去更重視IT的緣故，就連一般製造業中，也有近半企業的業務主管改變對IT的態度，比過去更重視。</p> <p>在後疫新常態時代中，IT在企業中的角色大幅改變了。不論從企業主、營運決策、其他部門，甚至是業務單位，都更能感受到IT的價值，也更重用IT。60.8%企業都開始指派IT負責更有價值，或是更有戰略性的任務。雖然IT抗疫，是一場現在還沒看見終點的硬仗，但這也是IT發揮戰功的時機。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover3-600-1.png" style="width: 580px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover3-600-2.png" style="width: 596px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover3-600-3.png" style="width: 596px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問卷說明 </span></strong></span></p> <p><span style="color: rgb(51, 153, 255);"><strong>大調查執行期間從2021年3月8日到4月5日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷439家，其中74.3%填答者為企業IT最高主管。</strong></span></p> </div></div></div>
2021/5/25 07:00作者王宏仁https://www.ithome.com.tw/article/144546
臉書發布高效能完全非監督式語音辨識模型Wav2vec-U
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書發表最新的語音辨識技術<a href="https://ai.facebook.com/blog/wav2vec-unsupervised-speech-recognition-without-supervision">Wav2vec-U</a>，這是Wav2vec非監督式版本，可以讓研究人員不需要將語音轉錄成文字資料，就可以訓練模型的方法，Wav2vec-U的效能已經可媲美幾年前，使用1,000小時轉錄語音資料訓練的監督式模型。</p> <p>無論是回答問題還是執行請求，語音辨識技術已經被廣泛地應用在各種情境，但現今的語音辨識系統，僅對少數語言友善，研究人員解釋，這是因為需要大量的轉錄音訊，才能夠訓練出高品質的語音辨識系統，但是每種語言、方言或是說話方式並無法輕易的取得這樣的資料。</p> <p>因此臉書開發了Wav2vec-U，這是一種不需要轉錄資料的語音辨識系統方法，臉書已經在Swahili和Tatar等語言測試該模型，由於這些語言缺乏大量帶有標籤的訓練資料，因此一直沒有高品質的語音辨識模型。</p> <p>Wav2vec-U能純粹從錄製的語音音訊和未配對的文字中學習，過程不需要進行任何轉錄的工作，與過去的自動語音辨識系統相比，臉書採用了一種新方法，能夠從未標記的音訊中學習語音結構，結合Wav2vec-U和k-平均演算法，就能將語音分割出各個對應的語音單元，像是把CAT這個詞分割成/K/、/AE/和/T/。</p> <p>為了要學習辨識語音中的單詞，研究人員訓練了由生成網路（Generator）和判別網路（Discriminator）組成的生成對抗網路（GAN），其生成網路使用嵌入在自我監督表示中的每個音訊片段，並預測和語言中聲音相對符的音位（Phoneme），目的是要試圖欺騙判別網路來進行訓練，判別網路會評估預測的音位序列是否逼真。最初生成網路產生的結果很差，但是經過判別網路的回饋，生成網路產生的結果會更加準確。</p> <p>研究人員提到，判別網路本身也是一個神經網路，透過將生成網路的輸出當做輸入，以及來自各種音元化的真實文本，能訓練判別網路學會區分由生成網路產生的輸出和真實文本。</p> <p>研究人員將Wav2vec-U與其他模型比較，以評估Wav2vec-U的效能，在TIMIT基準測試中，與最佳的非監督式方法相比，Wav2vec-U錯誤率降低57％，而在更大型的Librispeech基準測試中，Wav2vec-U與基準中歷年最佳效能的監督式模型相比（下圖），Wav2vec-U在沒有任何轉錄資料訓練下，和2019年使用960小時轉錄資料訓練的模型效能不相上下。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/185911567_1930754773744348_4077514865307512480_n.jpg" style="width: 580px;" /></p> <p>TIMIT和Librispeech都是用來評估英文系統的基準測試，但英文由於有大量的標籤資料集，已經存在極佳的語音辨識技術，而非監督式語音辨識，將對於缺乏標籤資料的語言，產生極大的影響。因此研究人員也開始在Swahili、Tatar和Kyrgyz等標籤資源匱乏的語言中，研究使用Wav2vec-U。</p> <p>臉書提到，Wav2vec-U是他們在語音辨識、自我監督學習和非監督式機器翻譯上多年的成果，讓模型僅透過觀察就可以習得解決任務的能力，這項成果將使得語音技術為更多人所用。</p> </div></div></div>
2021/5/24 22:35作者李建興https://www.ithome.com.tw/news/144599
Exchange漏洞公布5分鐘就被駭客掃描
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商Palo Alto發現，現在駭客攻擊更勤快、更快速，RDP漏洞占了1/3，而8成重大漏洞和雲端有關。今年三月微軟Exchange Server漏洞公布後， 5分鐘內駭客就開始掃描網路上可能的攻擊目標了。</p> <p><a href="https://www.ithome.com.tw/news/143001" target="_blank">微軟三月初公告</a>，名為Hafnium的中國駭客組織積極活動，透過統稱為ProxyLogon的4項零時差漏洞對本地部署的Exchange Server發動攻擊。不到一周，估計光是美國就有3萬公立和民營組織遭駭。<a href="https://www.ithome.com.tw/news/143210" target="_blank">安全廠商研判</a>有至少10組駭客企圖以木馬、勒索軟體、DDoS攻擊程式攻擊Exchange Server用戶。</p> <p>Palo Alto Networks從今年一月到三月分析了網路上對全球50家企業共5000萬個IP的掃描活動，並發表<a href="https://start.paloaltonetworks.com/asm-report" target="_blank">《Cortex Xpanse 攻擊表面威脅報告》</a>，顯示駭客24x7掃描網路尋找受害機器，平常情況下攻擊者每小時掃一次，反觀全球化企業可能要好幾周才會掃完公司有漏洞的機器。此外，駭客動作極快，在漏洞CVE公開後，一般零時差漏洞，平均15分鐘就開始掃描了，而對Exchange Server這麼普及的機器，微軟3月2日公布後，駭客5分鐘內就開始行動。</p> <p>研究人員還發現，全球企業每12小時就發現到重大漏洞，包括RDP、Telnet、SNMP、VNC等不安全的遠端存取漏洞、資料庫伺服器及Exchange Server或F5負載平衡器上的零時差漏洞，速度之快反映今天IT及漏洞的複雜性。研究也顯示，在所有安全問題中，RDP漏洞占了1/3，而重大漏洞中，和雲端相關的占了79%，顯示雲端對現代企業基礎架構帶來的風險，特別是疫情下，企業加速將營運環境搬上雲端。</p> <p>研究人員解釋，駭客活動升高是現在資訊設備及運算服務愈來愈便宜之故，駭客只要花個10美元租用雲端掃描服務，只要大致掃描網路看看有哪些未補漏洞的Exchange Server，使攻擊的門檻大為降低。現在一些免費搜尋引擎，像是Shodan和GrayHatWarfare更被駭客濫用來查詢連網潛在目標機器。</p> <p>報告顯示，從大量成功的攻擊來看，駭客發動攻擊已經比企業修補漏洞還快。</p> </div></div></div>
2021/5/24 22:58作者林妍溱https://www.ithome.com.tw/news/144605
Google更新Jetpack，原生UI工具包Compose將在7月釋出1.0版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其I/O大會上發布了<a href="https://android-developers.googleblog.com/2021/05/whats-new-in-jetpack.html" target="_blank">Jetpack的更新消息</a>， Android Jetpack是一套函式庫、工具和指南，可讓開發人員依循最佳實踐，開發適用於各Android版本和裝置之間的應用程式。Google也預告目前處於測試階段，用來建構Android原生UI的工具包的Jetpack Compose，將會在7月的時候發布1.0版本。</p> <p>這次更新的函式庫包括CameraX，該函式庫提供統一的API介面，可用於跨作業系統版本存取攝影機，其提供裝置的相容性修補程式，減少應用程式支援不同版本和裝置的麻煩。這次CameraX的更新支援調整曝光補償，以及讓開發人員得以存取相機的相關狀態，而且也能在攝影機執行時，使用Camera2Interop方法控制諸如FPS範圍等攝影機設定。除了新功能之外，Google持續提升CameraX的運作效能，特別是增加舊裝置相機初始化和拍攝速度。</p> <p>Paging函式庫則推出3.0版本，Paging讓開發者可以載入和顯示小資料塊，以改善網路和系統資源消耗的函式庫，這個新版本提供完全使用Kotlin重寫的版本，並且完整支援協程和Flow，使用RxJava與Guava元語進行非同步載入。</p> <p>而在新版Jetpack中，進入Beta測試的函式庫包含DataStore，其提供了一個強健的資料儲存解決方案，保持簡單且高度可用的API介面，並且也以Flow和RxJava支援Kotlin協程等最佳實踐。DataStore讓開發者透過Preference DataStore或協定緩衝來儲存鍵值對，而用戶也可以使用像是Kotlin序列化等自己偏好的序列化解決方案。</p> <p>Jetpack加入了新的AppSearch函式庫，該函式庫提供高效能且功能豐富的全文本搜尋功能，與SQLite相比，AppSearch支援多種世界語言，簡化查詢結果排名，並且也能以較低的延遲，搜尋和索引大型資料集。</p> </div></div></div>
2021/5/24 23:02作者李建興https://www.ithome.com.tw/news/144604
在Windows 10及Linux上執行Chrome會當掉？Google修補了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近這幾天相繼<a href="https://support.google.com/chrome/thread/110605125/chrome-crashing-unable-to-access-anything-not-even-settings?hl=en" target="_blank">有Chrome用戶抱怨</a>，在Windows 10與Linux上啟用chrome時，不但網頁當掉了、分頁當了，甚至無法載入設定或書籤，而且不管是重新安裝Chrome或重新啟動電腦也無效，不過，Google已快速更新Chrome，修補了相關臭蟲。</p> <p>在短短的2天內，總計有超過100個用戶回應遇到類似的問題，還有使用者表示，他與太太使用同樣的Chrome版本，但他的Chrome無法使用，太太的Chrome卻能正常運作，顯示並非每個Chrome用戶都受到影響。</p> <p>Chrome支援經理Rebecca Resnick則回應，他們是自5月21日陸續收到使用者的舉報，發現Windows版與Linux版的Chrome會無預警地當掉，已經找到原因並發布更新。</p> <p>不過，Windows用戶必須關閉並重新開啟Chrome視窗，開啟後仍會看到破碎的Chrome，讓它停留5分鐘，再結束Chrome並重新啟用Chrome，繼之就會恢復正常。Linux用戶的重新啟用程序則稍微複雜，但Resnick也列出了詳細的步驟。</p> </div></div></div>
2021/5/24 16:55作者陳曉莉https://www.ithome.com.tw/news/144598
Google公共雲端資料集解決方案現加入商業資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="http://cloud.google.com/blog/products/data-analytics/datasets-for-enriching-analytics-ai-initiatives" target="_blank">更新雲端資料集解決方案</a>，讓企業用戶能以更加統一的方式，同時取用公共和商業資料。另外，Google還開源公共資料集參照基礎架構，使得公開資料來源更透明，用戶也可以分叉到自己的Google帳戶，以便上線私有資料集並將其用於商業目的。</p> <p>Google這項針對企業的雲端資料集解決方案，是建立在現有的公共資料集計畫之上，只是現在將應用的範圍，從公共資料擴展到商業資料集、綜合資料集和第一方Google資料資產上，來增加分析和人工智慧服務的價值。</p> <p>在2016年的時候，Google公共資料集計畫和美國國家海洋暨大氣總署（NOAA）、美國國家研究院等許多資料供應商合作，將經過格式最佳化的資料放在BigQuery和雲端儲存上，作為精選公共資料資產目錄，Google提到，許多資料可供各行業進行各種分析，像是NOAA的嚴重風暴事件的公共資料集，在結合零售商自己的庫存資料後，就可以分析惡劣天氣對銷售與庫存的影響。</p> <p>而透過將商業、合成以及第一方的資料加到計畫中，用於資料分析和人工智慧，可進一步強化分析的能力，另外，用戶也可以透過Earth Engine和Kaggle的目錄，來探索並且取用這些資料集。</p> <p>除了豐富雲端的資料集之外，Google還發布用於資料匯入的開源參照基礎架構，這樣即便用戶不將企業私人資料放到Google雲端上，也能使用這些資料進行綜合分析。Google提到，可以把新的參照基礎架構想成網頁框架，網頁框架可以用來處理建構網頁應用程式所要進行的繁瑣工作，而參照基礎架構，則可以用來減少開發和維護資料工作管線的額外工作。</p> <p>參照基礎架構是一個資料集上線的工作管線基礎架構，使用YAML配置檔案來簡化控制。Google宣布將公共資料集的參照基礎架構開源，讓使用者不只可以清楚資料來源，並且也讓有意想要公開資料集的組織，能夠研究利用該架構，將資料放上Google雲端，而企業也可以藉由分叉基礎架構專案，並在自有的Google雲端帳戶上線資料集進行商業使用。</p> </div></div></div>
2021/5/24 17:33作者李建興https://www.ithome.com.tw/news/144596
Snap：沒有iPhone就沒有Snap，很願意支付30%佣金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在美國遊戲暨平臺開發商Epic Games控告蘋果App Store之際，雖然不少開發者都希望Epic Games可以勝訴，迫使蘋果調降30%的交易佣金，甚至允許iOS用戶自App Store以外下載程式，然而，Snap執行長Evan Spiegel近日接受CNBC專訪時卻吐露：沒有iPhone就沒有Snap，很願意支付30%的佣金予蘋果。</p> <p>Snap為2011年成立的影像分享平臺，除了開發多媒體傳訊程式Snapchat之外，也打造可錄製影片的Spectacles智慧眼鏡，在2016年收購了允許使用者自製漫畫頭像的Bitstrips，於2017年登上美國紐約股市，目前全球的每月用戶數已超過5億。</p> <p><a href="https://www.cnbc.com/video/2021/05/21/snap-ceo-apple-app-store-fees.html" target="_blank">Spiegel向CNBC表示</a>，他認為如果沒有蘋果所建立的平臺，或者是沒有iPhone，Snap就不會存在，因此，他不確定對於30%的佣金是否有所選擇，但他們是很樂意支付的，用以交換蘋果所提供的先進軟體與硬體。</p> <p>Spiegel的說法與其它的開發者大相逕庭，除了Epic Games之外，全球影片串流龍頭<a href="https://www.ithome.com.tw/news/125408" target="_blank">Netflix</a>曾企圖繞過蘋果App Store的拆帳機制，全球音樂串流龍頭<a href="https://www.ithome.com.tw/news/129325" target="_blank">Spotify</a>甚至直接向歐盟投訴，指控蘋果App Store以不合理的佣金與措施來排擠競爭對手。</p> <p>此外，有別於<a href="https://www.ithome.com.tw/news/141713" target="_blank">臉書</a>大作廣告來抨擊蘋果隨著iOS 14.5上線的<a href="https://www.ithome.com.tw/news/144059" target="_blank">追蹤透明化政策</a>，Spiegel也稱讚蘋果的作法是正確的，因為它替使用者帶來了更多的隱私保護。</p> <p>Epic Games與蘋果之間的辯論將於本周結束，而法官則可望於未來幾個月作出裁決。</p> </div></div></div>
2021/5/24 16:27作者陳曉莉https://www.ithome.com.tw/news/144597
險被水中下毒的佛州淨水廠外包商也被駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年初美國佛羅里達州一家淨水廠被駭，<a href="https://www.ithome.com.tw/news/142702" target="_blank">差點導致淨水下毒事件</a>。安全公司又發現案外案，連淨水廠外包商也被捲入安全事件。</p> <p>今年二月佛州奧德馬爾（Oldsmar）市一家淨水處理廠員工發現，有不明人士入侵公司網路及電腦軟體，企圖調高淨水過程的氫氧化鈉，使其濃度調高到正常值的100倍，幸好及時修正，未釀成大錯。</p> <p>消息見報後安全廠商Dragos研究發現，似乎在主要攻擊之前，這家淨水處理廠還陷入另一樁安全事件。Dragos發現到，淨水廠的一家營建基礎架構外包商的WordPress網站上有段惡意程式碼，並在當時進行水坑式攻擊（watering hole），即從所有連向該WordPress程式碼的電腦系統蒐集資料。從時間點來看，淨水廠被駭事件發生當天，也有一個瀏覽器從奧德馬市存取該網站。</p> <p>細究發現，這段程式碼蒐集資料起自去年12月20日，到Dragos介入修正問題前已活動58天。研究人員研判攻擊者是開採了WordPress多項漏洞，成功植入該段數位指紋（fingerprinting）script。近二個月期間內和該網站有過互動的電腦包括淨水廠、美國州政府、市政府單位以及和水資源有關的民營公司，以及一般合法網頁機器人和網站爬蟲程式。那段時間被這段程式碼分析過的用戶電腦超過上千臺，多數來自美國境內，特別是佛州。</p> <p>進一步分析這段數位指紋script，研究人員追蹤到和殭屍網路程式TofSee的關聯性。他們發現這惡意數位指紋script是代管在一個網路黑市，但這個黑市網站似乎真正身份是殭屍網路病毒TofSee感染裝置的「報到」網站。Dragos分析TofSee已感染了1.3萬臺電腦，</p> <p>Dragos推斷，2月5日早上將近10點存取外包商WordPress網站的瀏覽器，和該淨水廠同一網路。巧合的是，當天早上不明人士透過淨水廠控制電腦的人機介面，也在這個時間點駭入企圖在水中下毒。</p> <p>但是研究人員強調，淨水廠外包商網站的水坑式攻擊和淨水廠被駭似乎沒有直接關聯。該水坑攻擊並未釋出開採程式，也未存取連結的受害者電腦。研究人員推斷攻擊者挑選這個外包商網站，可能是想在低調一點的地方蒐集資料。</p> <p>但研究人員仍相信這代表水資源產業的安全風險，也突顯對使用營運科技（operational technology，OT）及工控電腦的企業而言，控管未受信任的網站存取行為的重要性。</p> </div></div></div>
2021/5/24 15:32作者林妍溱https://www.ithome.com.tw/news/144595
GitHub發布構件匯出工具Artifact Exporter
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub建構並開源了構件匯出工具<a href="https://github.blog/2021-05-18-github-artifact-exporter-open-source-release/">GitHub Artifact Exporter</a>，可讓報告團隊不用使用API下，取得需要的資料。GitHub Artifact Exporter提供了命令列和簡單的GUI工具，用戶可以依照範圍日期，匯出GitHub的問題（Issue）以及相關註解（Comment），而且工具還支援GitHub全文搜尋語法，可根據搜尋參數過濾結果。</p> <p>官方提到，在較大的組織中，可能有專門負責報告的團隊，能夠以不同精細度匯出活動，供修改或是稽核之用。GitHub雖提供了API，讓團隊成員透過程式開發方法存取資料，但是對許多使用者來說，這樣的方式存在一定的技術門檻，不少情況用戶僅是要將問題和其他儲存庫資料，下載為CSV檔。</p> <p>為此，GitHub開發了Artifact Exporter，供用戶使用更簡單的介面，來取用需要的資料，Artifact Exporter可以匯出提交、歷程碑（Milestone）、專案、拉取請求和發布版本等資料，命令列和GUI工具都支援匯出JSON和CSV檔案。</p> <p>在使用GUI工具時，用戶會需要填寫個人存取權杖、儲存庫擁有者和儲存庫本身的名字，用戶可以輸入搜尋字串過濾儲存庫的問題之後，選擇以CSV或是JSON輸出，而命令列工具除了可以跟GUI一樣產生JSON和CSV資料外，還能被用來實作成其他搜尋類型。</p> </div></div></div>
2021/5/24 15:52作者李建興https://www.ithome.com.tw/news/144593
美國運通發送大量垃圾郵件，遭英國判罰9萬英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以服務為名發送行銷郵件的業者要小心了，英國的資料保護組織ICO（Information Commissioner's Office，資訊專員辦公室）近日<a href="https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2021/05/amex-fined-for-sending-four-million-unlawful-emails/?utm_source=twitter&utm_medium=iconews&utm_term=5186cf95-3253-4458-a3b6-9750afae2f84&utm_content=&utm_campaign=" target="_blank">針對歐洲美國運通（Amex）祭出9萬英鎊（約363萬元新台幣）的罰款</a>，原因是美國運通所發出的服務郵件遭到客訴，這些使用者認為他們已明白表示拒絕接收行銷郵件，但還是收到了，ICO認定這些郵件屬於行銷郵件，而非美國運通所宣稱的服務郵件。</p> <p>有少數的美國運通客戶向ICO投訴，他們已經選擇退出了美國運通的行銷郵件名單，但還是陸續收到廣告信件，儘管美國運通認為，這些郵件屬於服務郵件（Servicing Emails），並非行銷郵件（Marketing Emails），是根據與使用者簽署的信用協議（Credit Agreements）所發送，如果使用者不知道相關的訊息可能會吃虧，但ICO不為所動。</p> <p>ICO的調查顯示，在2018年6月1日到2019年的5月21日之間，美國運通至少送出了5,000萬封所謂的服務郵件予客戶，但當中有超過400萬封郵件屬於行銷郵件，專門用來鼓勵用戶以美國運通信用卡來消費，以讓美國運通可以增加業績。</p> <p>美國運通的信用卡用戶所收到的郵件，包括描述以該信用卡在網路上消費所能得到的獎勵，或者是鼓勵使用者充份利用美國運通信用卡並下載Amex程式。</p> <p>事實上，ICO明確定義了服務郵件與行銷郵件，若是付款條件及付款計畫上的變更，或是服務中斷通知，就屬於服務郵件；而舉凡針對特定使用者的廣告或行銷上的通訊，即會被歸類為行銷郵件。</p> <p>ICO也藉此奉勸所有的業者都應重新審視其發送郵件的程序，理解服務與行銷郵件的差異，以避免違反當地的法令。</p> </div></div></div>
2021/5/24 14:28作者陳曉莉https://www.ithome.com.tw/news/144591
【疫情日報】疫情持續發生，專家會議建議延長三級警戒，陳時中坦言正在研議中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心揭露今天（5/24）COVID-19確診病例，今天本土新增了334例，校正回歸的個案數也仍有256例。陳時中今天透露，專家會議建議延長第三級警戒期間，目前正在研議中。</p> <p>今天本土確診案例中，以新北市最多，達到177例，又以板橋區43例最多。臺北次今天則新增99例，以萬華區38例最多。校正回歸的個案中，則以臺北市最多（其中萬華區校正回歸了76例，而新北則追加99例，同樣以板橋區34例最多。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/210524%E7%A2%BA%E8%A8%BA%E7%97%85%E4%BE%8B%E6%A0%A1%E6%AD%A3%E5%9B%9E%E6%AD%B8%E6%83%85%E5%BD%A2_%E8%B3%87%E6%96%99%E4%BE%86%E6%BA%90_%E8%A1%9B%E7%A6%8F%E9%83%A8.jpg" /></p> <p>陳時中表示，校正回歸的情況，希望在這一周全部補齊，讓疫情數據更正確。但他強調，目前來看，確診病例數的趨勢有穩定持續發生的情況。原訂第三級警戒時間在5月28日結束，但陳時中表示，專家會議建議要延長三級警戒期間，目前正在研議中。而疫苗進度跟原先掌握的進度一樣，國產疫苗以七月底施打為目標。</p> </div></div></div>
2021/5/24 14:46作者王宏仁https://www.ithome.com.tw/news/144592
臺灣入口網站蕃薯藤在2013年的被駭資料流入駭客論壇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自臺灣的威脅情報研究人員<a href="https://twitter.com/StillAzureH/status/1383234219153846276" target="_blank">StillAzureH近日向Have I Been Pwned（HIBP）舉報</a>，已於駭客論壇上發現來自臺灣入口網站蕃薯藤的外洩資料，而<a href="https://haveibeenpwned.com/" target="_blank">HIBP則說</a>，該資料庫內含超過1,300萬用戶的資料。</p> <p>成立於1997年的蕃薯藤（<a data-sk="tooltip_parent" data-stringify-link="http://yam.com" delay="150" href="http://yam.com/" rel="noopener noreferrer" target="_blank">yam.com</a>）是臺灣的第一個入口網站，與Yahoo!奇摩及PChome同為臺灣的三大入口網站，過去的入口網站主要提供各式的網路資源，從搜尋、電子郵件、新聞到分類服務等，如今，大概只剩Yahoo!奇摩稱得上是入口網站，PChome已轉型為電子商務網站，而蕃薯藤則在2006年賣給了網絡數碼（現為天空傳媒），內容服務也已大幅縮小。</p> <p>StillAzureH已驗證這批資料的真實性，他說，他在臺灣認識的人當中，有8成出現在該資料庫。</p> <p>HIBP已發送郵件予訂閱該站外洩通知服務的使用者，表示這批資料的外洩時間點為2013年的6月，內含13,258,797筆的不重覆電子郵件，以及這些帳號的用戶名稱、姓名、生日、電話號碼、實體地址與未加鹽的MD5雜湊密碼，已於今年流入駭客論壇。</p> <p>使用者除了應該變更於蕃薯藤所使用的密碼之外，也得變更在其它網路服務所使用的同樣密碼，並儘量在所有網路服務啟用雙因素認證，同時留意各種網釣或詐騙郵件，也應注意自己的身分是否遭到濫用。</p> </div></div></div>
2021/5/24 12:43作者陳曉莉https://www.ithome.com.tw/news/144589
SITA供應鏈被駭受害者：印度航空外洩450萬名乘客資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球航空業知名的IT與電信服務供應商<a href="https://www.ithome.com.tw/news/143092" target="_blank">SITA（國際航空電訊集團）在今年3月坦承</a>，旗下專門經營航空公司乘客處理系統的子公司Passenger Service System（PSS）遭到駭客入侵，而<a href="http://www.airindia.in/images/pdf/Data-Breach-Notification.pdf" target="_blank">印度航空（Air India）直至上周才宣布自己是受害者</a>，約有450萬名乘客的資料外洩。</p> <p>PSS主要提供各大航空公司的乘客處理服務，從到櫃臺報到至登機，亦支援生物辨識系統，估計每年有來自各大航空公司的10億名乘客使用PSS服務。</p> <p>印度航空表示，他們雖然是在2月25日就收到通知，但一直到5月才確認受到影響的乘客資料，所以才在上周統一公布。受影響的450萬乘客是在2011年8月26日至2021年2月3日間註冊的，涵蓋乘客的姓名、生日、聯絡資訊、護照資訊、機票資訊、信用卡資料，並未包含信用卡的安全代碼，或是使用者密碼。</p> <p>至於SITA PSS在被駭之後，馬上就展開調查，修補受駭的伺服器，與安全專家合作，通知信用卡發行銀行，也重設所有密碼。</p> <p>SITA PSS並未公布受到波及的航空公司名單，而是由各大航空公司自行宣布，除了印度航空之外，<a href="https://www.bleepingcomputer.com/news/security/air-india-data-breach-impacts-45-million-customers/" target="_blank">Bleeping Computer</a>則報導包括紐西蘭航空（Air New Zealand）、國泰航空（Cathay Pacific）、新加坡航空（Singapore Airlines）、北歐航空（SAS - Scandinavian Airline）、濟州航空（Jeju Air）、馬來西亞航空（Malaysia Airlines）、芬蘭航空（Finnair）與漢莎航空（Lufthansa）亦為這波供應鏈攻擊的間接受害者，另外全日空與日本航空也在受害之列。</p> </div></div></div>
2021/5/24 11:34作者陳曉莉https://www.ithome.com.tw/news/144587
【臺灣資安大會直擊】物聯網裝置要如何做到端點的威脅偵測？研究人員打算透過韌體虛擬化來檢測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>物聯網設備的資安近年來可說是越來越嚴峻，攻擊事件頻傳，不少廠商提供類似入侵偵測系統（IDS）的機制，藉由網路層面提供防護，來防堵這些裝置遭到攻擊。然而，若要找出有關於系統層面的威脅，這樣的機制可能很難進一步察覺異狀。在臺灣資安大會的議程中，臺灣科技大學資訊工程系副教授鄭欣明針對物聯網設備的防護，介紹該校連網實驗室（Connectivity Lab）旗下的物聯網子團隊（IoT subgroup），正在研究以「韌體虛擬化」的方式，來實現物聯網的端點偵測與回應（EDR）機制。</p> <p>在臺灣資安大會上介紹相關技術的目的，我們會後也向鄭欣明詢問，他表示希望能在大會上推廣物聯網虛擬化技術，協助連網設備開發業者強化裝置安全。而對於相關的研究成果，鄭欣明表示日後會將核心技術與公司合作來發表專利，應用層面的部分亦會發表有關論文。</p> <p>關於投入物聯網虛擬化技術研究的動機為何？鄭欣明認為，面對各式各樣類型、運算資源相當有限的物聯網裝置，採用經由網路層面來加以防範的措施，透過監控網路流量是否存在惡意內容，比對特徵碼做為攔截與警示的依據，可說是相當理所當然的做法，但這樣的防護機制，管理者很難得知攻擊者在端點上的行蹤，而成為防禦上的死角。例如，駭客濫用連網裝置的漏洞，甚至是入侵裝置本身，IDS很難察覺這樣的行蹤。</p> <p>因此，若要得知攻擊者究竟在物聯網裝置做了什麼，勢必要透過對於端點裝置本身下手，而在一般端點電腦上相當常見的做法，就是名為端點偵測與回應（EDR）的機制。然而，物聯網裝置往往運算能力有限，管理介面可能不甚友善，以及架構上也有各式各樣的形態，使得這種原本運用在電腦上的防護機制，無法套用到這些物聯網裝置上。例如，電腦的EDR系統普遍會在端點部署代理程式的做法，物聯網裝置就無法比照辦理。</p> <p>針對這樣的情況，鄭欣明說，最近2年開始有研究人員提出將這些裝置「虛擬化」方式，來突破無法直接在原本的物聯網裝置監控的現象。而在將這些裝置的韌體虛擬化之後，就可以利用虛擬化平臺較為強大的效能，來對於虛擬的物聯網設備韌體部署感測器，並檢查是否流量中出現攻擊者濫用裝置漏洞，或者是意圖入侵的跡象。</p> <p>而這種虛擬物聯網裝置的做法，依據程度上的不同，鄭欣明也舉出目前研究人員可能會運用的方法。首先，較早出現的是使用虛擬化軟體（如QEMU），模擬物聯網裝置處理器和記憶體的方式來進行測試。這種方法能應用於較有效率的重度資安測試工作，卻因為沒有真實模擬韌體、核心系統，以及相關元件（如監視器的鏡頭）運作，而效果有限。</p> <p>因此，這也衍生出第2種做法：模擬的物聯網裝置再搭配真實的硬體元件，來形成更真實的裝置模擬。然而，鄭欣明說，這種做法所需面臨的問題，就是這些硬體元件很可能難以部署。</p> <p>對此，在鄭欣明的研究團隊所進行研究中，他們採用的是「完整系統模擬（Full System Emulation）」：不只模擬裝置的處理器，還同時模擬韌體的運作，這樣製作出來的虛擬連網設備，才能在沒有真實硬體設備搭配的情況下，較為完整呈現實際設備的樣貌。但對於如何在沒有連接硬體設備的情況下，達到更為真實運作情境的模擬？鄭欣明沒有進一步說明。</p> <p>有了虛擬化的物聯網裝置，鄭欣明究竟要如何用來進行端點的偵測與回應呢？他說，他們利用自己開發的設備分流，在傳送網路流量給受保護的設備之餘，也將流量鏡像一份到EDR系統，由EDR系統利用虛擬化的物聯網設備進行檢測，模擬在端點設備上執行的可能情形，一旦發現像是濫用設備漏洞的跡象，就將這樣的檢查結果製作成IDS特徵碼，由IDS攔截相關威脅。</p> <p>鄭欣明也透過影片展示他們的研究成果，該團隊利用他們的EDR系統保護2款設備以進行實驗，這些設備是可取國際（iCatch）監視器主機設備KMH-0428，以及思科路由器RV110W，他們使用了這些設備的已知漏洞CVE-2020-10514、CVE-2020-3331來發動模擬攻擊，結果EDR系統藉由模擬的監視器主機和路由器，得知攻擊者濫用相關漏洞，並製作特徵碼給IDS進行防禦。而這些物聯網設備的韌體取得方式，鄭欣明指出，他們是從設備廠商的網站下載檔案來進行研究，並未對其執行漏洞分析，較無影響商譽之疑慮。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IoT-EDR-Emulation.png" style="width: 580px; height: 324px;" /></p> <p>雖然這樣的做法算是對物聯網資安的重大進展，但鄭欣明說他們還是有一些需要突破的地方，像是希望日後能做到大部分的物聯網裝置韌體模擬，能由EDR系統自行分析、匯入，製作成虛擬設備，而非像現行多數是透過研究人員針對每個設備逐一製作，如此他們的EDR系統才能真正用於保護於大多數的物聯網裝置。</p> </div></div></div>
2021/5/24 11:41作者周峻佑https://www.ithome.com.tw/news/144538
肚肚靠技術融合連鎖餐飲經驗，打通B2C發展POS平臺新商模
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一支App和一套後臺，可以支援小至路邊早餐店，大到擁有300家分店、20種品牌的連鎖餐飲經營型態，甚至只需要1個工程師，就能支援2,000家餐廳的IT維運，肚肚這家雲端POS新創靠的就是技術力。</p> <p>肚肚本來是鴻海內部創業計畫孵育的一款美食搜尋引擎App，為了讓用戶找到餐廳後可以直接從App預約，再將通知送到店家POS機，肚肚執行長孫和翊找遍了全臺灣，「竟然有1百多種餐飲POS！根本無法不可行。」</p> <p>孫和翊原本是個徹底的技術人，2010年就進入鴻海研究IaaS雲端專利，不只鑽研公有雲架構，也打造過貨櫃式機房、虛擬化核心Hypervisor。在一次鴻海內部年輕人創業提案簡報時，以美食搜尋App的點子，大獲郭台銘賞識，而組成團隊在高雄鴻海大樓開始開發「巴豆妖」這支免費的美食搜尋App，可以依據定位自動推薦附近美食，大獲好評，很快就超過10萬人下載。</p> <p>但免費的2C服務終究不是長遠之道，孫和翊轉而聚焦企業端的2B收費模式，先前App預約功能整合上百款餐廳POS的開發難題，讓孫和翊嗅到了一個餐飲2B市場的資訊需求缺口。</p> <p>「不同餐飲系統各自獨立、破碎化無法整合，讓IT部門很痛苦。」他指出。一家稍具規模的餐廳，常見作業流程，從預約、排隊、點餐、結帳、外送接單到後臺帳務管理，得靠多套系統才能實現，因疫情爆紅的幾家外送平臺也無法整合，顯示餐廳資料有整合斷點。「甚至看過數百家分店規模的連鎖咖啡店，乾脆靠『人肉API』，由店員手工輸入來跨系統拋轉訂單資料。」</p> <p>所以，孫和翊決定自己跳下來開發POS，但他的願景「不只是POS軟體，而是變成打通C和B的橋樑。」從一款搜尋App，轉而要打造一個可以整合所有餐飲商家資訊和顧客需求的大平臺。</p> <p><span style="font-size:28px;"><strong>融合連鎖餐飲業Know-how，將POS功能參數化滿足多元業態需求</strong></span></p> <p>整合破碎化資訊流的策略，更吸引了臺灣餐飲龍頭王品集團的目光。旗下超過400家分店的王品，近幾年大力發展雲端化和行動化，2019年，決定和鴻海聯手投資肚肚的大平臺新戰略，發展未來10年用的新一代POS系統。所以，肚肚在2019年脫離了鴻海新創孵育階段，正式成立公司。</p> <p>不只出資，孫和翊點出，產品開發過程中，王品連鎖餐飲Know-how更扮演了至關重要的角色。王品旗下超過20個子品牌，幾乎涵蓋了市場上各種不同的餐飲類型，POS的操作流程也更為複雜，這讓肚肚取得了第一線真實的多樣化POS需求，來進行產品架構與功能設計。王品集團這套大型連鎖餐飲IT系統知識和管理經驗，成了肚肚開發POS系統的重要基礎，也是目標。</p> <p>不過，想要實現餐飲資訊系統All-in-One不是一件容易的事，市面上早有不少平板化、App化的POS產品，但鮮少有人能通吃大小規模、各種業態和所有流程。孫和翊表示，餐飲業POS的複雜之處，是難以透過一個統一的POS版本，來滿足所有餐廳業者的需求。例如西式餐廳點餐單位是個人，但中餐廳卻以桌次為主，或像結帳流程有先結帳、後結帳，桌邊結帳等形式。</p> <p>曾在王品集團擔任多年IT最高主管，現為肚肚資深副總鄭榮輝解釋，餐飲業的規模與類型多元，因為現成套裝POS無法涵蓋所有需求，通常得客製化來開發特定版本，或是由餐飲業自家IT自行修改客製。</p> <p>「為了打造出一套餐飲界通用的OS，發展出餐飲圈App Store，」這個大願景讓孫和翊成立了一個規模在同業少見的研發團隊，至今已經投入了40個研發人力，花了數年時間專注在一套系統上。鴻海集團旗下卓越中心更擔任技術輔導角色，找來產學界專家強化肚肚的軟體開發能力，例如導入了網頁自動化測試與電腦視覺系統自動化測試等技術。</p> <p>參考王品的大型連鎖餐飲經驗，再補上早餐店和飲料店經營型態，肚肚將各類型餐飲樣態的需求先標準化，設計成不同的功能模組，再採取參數化設計，來提供自助式設定。鄭榮輝比喻，這像是一種服務隨選（Service on Demand）設計，一般不具備程式開發技能的店家，也可以在後臺自己設定。</p> <p>統計至今，採用肚肚POS的店家已經達到2千3百家，全都用同一套POS版本來滿足不同餐廳經營業態的需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-500-%E7%8E%8B%E5%93%81%E7%BF%94_%E6%8A%80%E8%A1%93%E9%95%B7_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></p> <p><span style="font-size:20px;"><span style="color: rgb(105, 105, 105);"><strong>在發展POS功能的過程中，技術當然很重要，但更重要的是餐飲業者的Know-how。</strong>─── 肚肚技術長王品翔</span></span></p> <p><span style="font-size:28px;"><strong>雲端基礎架構從IaaS改用PaaS，將IT維運人力大幅降低至一人</strong></span></p> <p>前端只靠同一支App，後端系統為了維運彈性，肚肚一開始就全面上雲端，採用雲端原生技術，部署在AWS上來運作。這是以研發雲端技術起家的孫和翊最熟悉的形式。</p> <p>不過，「剛開始使用雲端時，我們沒有正確的利用雲端的力量。」肚肚技術長王品翔回憶，他去年一進入肚肚時任職的第一件事，就是將原先部署在AWS EC2上的資料庫系統，改用AWS關聯式資料庫服務RDS來重構。</p> <p>一開始肚肚上雲以IaaS服務為主，仍自行設計和維運基礎架構，就像傳統使用本地端主機一樣。「隨著客戶數不斷成長，產品功能也不斷改版擴充，連帶開發人力的需求增加，」種種因素讓王品翔意識到，「技術人力應該更專注投入在產品開發上，而非基礎架構的維運。」像是他們若要自行設計資料庫的高可用性，就需要投入許多人力與時間成本。後來，肚肚決定善用AWS的PaaS服務，將資料庫改用RDS，後續要建立高可用性架構，就會更便利。</p> <p>不過，資料庫遷移是個大挑戰。去年5月，肚肚直接使用廠商提供的資料庫遷移工具，在雲端資料庫服務建立與原先同樣欄位架構的資料庫，再將資料同步搬遷，只停機10分鐘就完成轉換。</p> <p>改用雲端資料庫服務後，肚肚也進一步升級所用的MySQL資料庫版本，後續，還建立起讀寫分離的機制，來提升資料庫讀取效能。王品翔指出，客戶數還只有300∼400家時，使用單一資料庫來提供服務，足以因應工作負載，但是，客戶大幅增長上千家後，每逢晚上九點到十點的尖峰關帳時間，出現了大量提交營業報表的分析請求，爆量工作負載就會影響POS功能。所以，肚肚將資料庫用途分為線上交易處理（OLTP）與線上分析處理（OLAP）系統，分別處理交易面與分析面的請求。</p> <p>另外，肚肚也同步運用雲端監控服務Data Dog以及AWS本身的監控服務，建立雲端服務的監控機制，將維運人力大幅降低至一人，就足以管理數千家餐廳使用POS的全部雲端維運工作。</p> <p>轉換了資料庫後，肚肚也陸續導入DevOps、CI/CD、自動化測試的機制，來加速產品功能的交付與版本更新，後續更調整了RD團隊的組織架構，打破前端與後端的隔閡，來凝聚團隊向心力。</p> <p><span style="font-size:28px;"><strong>靠前端分散式資料處理架構，在無外網情況維持POS服務不中斷</strong></span></p> <p>不過，上雲端雖然提供了擴充彈性，卻也增加了營運不中斷的外部風險，像是對外網路斷線無法連上雲端，或是雲端業者當機的情況。王品翔指出，相較小店家，大型連鎖餐飲業者對營運不中斷有更高的要求。</p> <p>尤其，許多大型餐廳，除了櫃檯結帳POS機，也會需要多臺iPad讓店員桌邊點餐，原本靠雲端集中整合地端所有iPad的資料，但遇到SaaS服務中斷，還是得想辦法靠本地端設備和資料同步方式來運作。</p> <p>所以，肚肚發展出了前端分散式資料處理架構，靠本地端iPad互相同步資料來點餐和結帳，就算斷網也能繼續維持POS的運作。在架構上，肚肚將多臺iPad其中一臺指定為主機，其餘是子機，兩種角色皆可用於點餐、結帳，差異之處是主機是資料同步的主體，所有資料會率先同步於主機，再分別與其他子機同步。也採取高可用設計，主機故障時，可以自動切換到任何一臺子機來擔任主機的角色。</p> <p>設計分散式系統的資料同步機制時，會遇到CAP定理的兩難挑戰，只能在資料的一致性（Consistency）與可用性（Availability）之間取得平衡，無法同時兼顧。因此，王品翔指出，需要根據POS使用場景來判斷，資料一致性或是可用性的需求，何者更為重要。</p> <p>為了確保點餐和結帳工作的進行，多數時候以服務可用性優先，容許各子機的資料同步有時間差，不需等待各子機資料先同步到主機，再更新到各子機上，就能進行各項POS操作。但是有三個關鍵必須確保資料一致性優先，一個是點單時，肚肚會鎖定同一時間，同一桌點餐只能用同一臺iPad，來避免重複下單的問題。其次是每日關帳時，為了避免帳務資料發生錯誤，這時得禁止任何子機進行開桌或點餐。另外還有遇到數值不能重複的資料欄位，例如訂單單號，會讓子機統一向主機上的App請求，集中產生單號編號，再回傳給子機開單使用。</p> <p>多臺iPad平行運作時，單靠一臺iPad主機來負荷資料中心和運算中心的功能，「主機很容易成為效能的瓶頸。」王品翔解釋，為避免主機工作負載過重的問題，主子機的工作要能進行動態切換，將部分主機功能，轉移到子機來處理。例如由子機完成點餐後，將原先由主機自動運算生成圖像化出單單據的任務，直接交給子機負責，再將單據圖檔回傳主機，來指定出單機列印，減輕主機的負擔。「因為我們無法做出一種架構滿足所有情境，所以，一定要設計彈性的轉換機制。」</p> <p>這些克服現場挑戰的產品創新設計，王品翔坦言，關鍵並非技術上的挑戰，而是需要實際場域的知識經驗，才能理解大型連鎖餐飲業者的痛點，來調整功能，「技術當然重要，但更重要的是餐飲業Know-how。」</p> <p><span style="font-size:28px;"><strong>整合破碎化資訊流，目標成為餐飲業OS與App Store</strong></span></p> <p>建立了一套可以涵蓋前臺到後臺所有餐飲作業的POS系統之後，肚肚想做的是打通所有的資訊流，先推出了可串接自家POS的訂位、訂餐、候位與餐券App，集中管理各類服務的資訊流。不只如此，孫和翊更計畫，訂定標準化的公開API規格，開放讓第三方服務與POS系統串接，目標是讓肚肚POS能成為餐飲界的作業系統與App Store，來建立自己的餐飲服務生態系。</p> <p>「未來獲客量達到一定規模後，取得顧客同意後，還可以進一步建立顧客消費歷程，發展顧客大數據的應用。」這是孫和翊更長遠的願景，他透露，未來考慮發展跨業合作，讓店家下載肚肚平臺上的顧客消費歷程資料，用實際售前到售後的營業數據向銀行申請貸款。他更計畫要整合歷史訂單資料來推估餐廳食材用量，不只供店家事前採購參考，甚至統一向食品供應商集材議價來降低成本，讓肚肚平臺也成為餐飲業供應鏈更上游的食材平臺。</p> <p>技術人出身的孫和翊，現在滿口都是餐飲經，站在鴻海和王品的肩膀上，肚肚想要靠硬底子的40人規模研發力，建立自己的餐飲大平臺。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>肚肚</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 關鍵人物 </span></span></strong></p> <p> <strong>肚肚執行長孫和翊</strong></p> <p><strong> 肚肚技術長王品翔</strong></p> <p><strong> 肚肚資深副總鄭榮輝</strong></p> <p>● 成立時間：獨立成立時間為2019年5月</p> <p>● 地址：高雄市前鎮區成功二路25號11之2A</p> <p>● 執行長：孫和翊</p> <p>● 員工人數：100人</p> <p>● 年營收：6,000萬</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 技術部門小檔案 </span></strong></p> <p>肚肚的研發部門（RD），現有人數約40人，分為前、後端研發、QA測試、UI/UX設計、大型客戶導入輔導與專案管理等小組。肚肚近期也進行組織調整，將RD進一步分為開發與維運團隊，將每一位RD人員分派開發或維運的任務，來加強前、後端人員協作。RD的研發預算每年超過6,000萬，未來一年，將聚焦自動化測試、維運自動化管理，作為技術發展重點。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事紀 </span></strong></span></p> <p>● 2015年5月：肚肚找美食App上架</p> <p>● 2016年12月：肚肚當家App上架</p> <p>● 2017年5月：肚肚POS 1.0上架</p> <p>● 2018年4月：肚肚POS 2.0進化版</p> <p>● 2018年6月：開發POS多機智能自動溝通機制</p> <p>● 2019年5月：公司獨立成立</p> <p>● 2019年6月：EDC控制器（Banapi）整合串連iPad POS與銀行傳統刷卡機設備</p> <p>● 2020年4月：雲端大數據監控與分析平臺導入</p> <p>● 2020年7月：外送平臺整合上線</p> <p>● 2020年8月：iOS & Web自動化測試導入</p> <p>● 2020年9月：桌邊點餐與中餐廚房管理系統（KDS）產品推出</p> <p>● 2020年10月：批次叫餐與自助掃碼點餐服務推出</p> <p>● 2021年1月：西餐廚房管理系統（KDS）產品推出</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0527_du_du_hong_zheng_wei_she_-960.png" width="960" height="420" alt="" title="肚肚技術長王品翔／肚肚資深副總鄭榮輝／肚肚執行長孫和翊　　（攝影／洪政偉）" /></div></div></div>
2021/5/24 09:26作者翁芊儒https://www.ithome.com.tw/people/144585