iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 06:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Have I Been Pwned開源了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲安全專家<a href="https://www.troyhunt.com/pwned-passwords-open-source-in-the-dot-net-foundation-and-working-with-the-fbi/" target="_blank">Troy Hunt今天（5/28）宣布</a>，已藉由.NET基金會開源Have I Been Pwned（HIBP），且未來美國聯邦調查局（FBI）也會將所查獲的外洩資料匯入HIBP專案。</p> <p>Have I Been Pwned專門蒐集全球的外洩資料庫，當使用者輸入自己的電子郵件帳號後，它就會告知該帳號是否曾出現在哪些資料外洩意外中，而外洩資料庫通常同時包含使用者的電子郵件與登入該服務的密碼。</p> <p>Hunt是在2013年以一己之力建立了HIBP，迄今已蒐集了來自538個網站的外洩資料庫，內含112億個外洩帳號，全球用戶每個月透過HIBP搜尋的次數接近10億次。原本Hunt打算出售HIBP，但因找不到合適的對象而決定將它開源。</p> <p>由於Hunt與.NET基金會的執行總監Claire Novotny是舊識，雙方經過數月的討論之後，決定將HIBP透過該基金會開源，.NET基金會雖然是由微軟在2014年所設立，主要代管由微軟所釋出的開源專案，但卻是一個獨立的非營利機構，<a href="https://dotnetfoundation.org/blog" target="_blank">HIBP也成為.NET基金會的第一個培育專案</a>。</p> <p>此外，FBI亦主動與Hunt接洽，準備貢獻FBI調查活動中所發現的外洩資料庫，預期將可提高HIBP的資料庫品質。Hunt亦鼓勵開發人員能夠參與建置Password Ingestion API，以利FBI與其它執法機關將外洩資料匯入HIBP。</p> </div></div></div>
2021/5/28 15:56作者陳曉莉https://www.ithome.com.tw/news/144690
釣魚信件有新手法，以電話客服誘騙用戶安裝惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應安全軟體愈來愈能過濾釣魚信件，歹徒也發展出新招數，以成功散佈惡意連結或惡意軟體。<a href="https://www.proofpoint.com/us/blog/threat-insight/bazaflix-bazaloader-fakes-movie-streaming-service" target="_blank">安全廠商Proofpoint發現</a>新的釣魚郵件攻擊，會結合電話客服中心誘使用戶下載惡意軟體。</p> <p>研究人員本月發現一批釣魚信件散佈名為BazaLoader的後門程式。該公司是於2020年4月首次觀察到BazaLoader，和Trickbot木馬程式有很強關聯性，目前也經常被歹徒用於下載Ryuk、Conti勒索軟體。</p> <p>今年2月，BazaLoader是經由釣魚信件傳佈，冒充藥商或內衣、鮮花服務，而最新的一波釣魚郵件則偽裝成串流影音娛樂服務BravoMovies，告知用戶免費試用的服務已經到期，將開始經由信用卡收費。信中告知，用戶如果不願訂閱，應以郵件所附電話號碼，聯絡客服中心取消。信以為真的用戶就會因此踏入陷阱。</p> <p>為取信於用戶，它和一般釣魚郵件一樣，利用網路上的資源製作精美的影片，但特別的是，它加入名為BazaCall的手法，引導用戶經由網站上FAQ頁的電話和歹徒互動。當用戶打電話給客服中心時，「客服人員」會引導用戶前往網站「取消訂閱頁」下載一個Excel檔（如下圖）。這個檔案含有巨集，一經開啟，就會下載BasaLoader。</p> <p class="rtecenter"><img alt="" src="https://www.proofpoint.com/sites/default/files/inline-images/F5.png" style="width: 468px;" /></p> <p><span style="color:#696969;">圖片來源_Proofpoint</span></p> <p>這個感染鏈需要用戶打電話和歹徒互動，還要下載軟體，和一般釣魚信件攻擊的手法看似相反。但研究人員指出，傳統釣魚信件以附件挾帶惡意程式，容易被安全軟體偵測攔截。透過將用戶引導離開郵件管道，再主動下載程式的手法看似更麻煩，但安裝成功機會更高。</p> <p class="rtecenter"><img alt="" src="https://www.proofpoint.com/sites/default/files/inline-images/infection%20chain.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Proofpoint</span></p> <p>使用客服中心並非釣魚攻擊的發明。<a href="https://www.ithome.com.tw/news/127399" target="_blank">數年前就有歹徒冒充</a>微軟、Google等技術支援服務，在用戶打電話時，由假客服人員引導用戶下載惡意程式，或引導他們開啟遠端連線，令其得以控制用戶電腦，或收取高費用。</p> </div></div></div>
2021/5/28 16:18作者林妍溱https://www.ithome.com.tw/news/144691
【臺灣資安大會直擊】對抗後疫情資安5大威脅，國泰金融集團靠3策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在2018年，國泰金融集團旗下多家子公司與海外子公司，便設立了各自的資安專責團隊，但遵循集團一致性的資安政策。隔年，集團資安重點是先提升各子公司防禦能力；到了2020年，再成立集團資安監控中心（SOC），7X24小時監控集團資安狀態。從今年開始到明年，國泰金融集團最新資安重點則是韌性（Resilience）。</p> <p>國泰金控副總經理林佩靜對外揭露自家集團如何由上而下推動資安，以及國泰對資安威脅的觀察。她表示，這一兩年間，特別是疫情發生以後，金融業的資安威脅層出不窮，且攻擊手法日新月異，國泰則觀察到5大資安威脅，包括遠距工作、BEC詐騙、供應鏈安全、雲端安全、物聯網（IoT）。</p> <p>她解釋，因為疫情關係，企業需啟動遠距工作連線，增加了未授權存取及外部入侵等風險，這是資安威脅之一；另一威脅則是BEC電子郵件詐騙攻擊。加上，現今所有金融業都在大力推動數位轉型，比如導入新興科技或提供顧客更多的遠端服務，連帶顧客與金融業的互動方式因而改變，使得企業面臨的資安威脅也越來越大。</p> <p>不管是員工工作模式的改變，還是顧客與企業互動模式的改變，林佩靜強調：「這些都讓金融業的邊界越趨模糊，企業資安負責人員的防守線，也越變越長。」。即便是金融業如此高度防護的產業，仍要有「威脅與攻擊一定會永遠存在且發生」的思維，企業資安主管更必須向經營者溝通與傳遞這項事實。</p> <p>「資安主管的第一件事，就是訂定企業資安目標。」不過，她認為，有別於企業訂定業績目標時，通常是高目標、高挑戰。但，「資安的目標訂定，需務實且可達成」，可達成的意思是，如果一定會發生資安事件，企業所要追求的是什麼？希望不影響營運？或是，一旦影響營運要多久時間能夠恢復？林佩靜提醒，不單只是文字上的目標，更重要的是要將量化的KPI，包括營運中斷的時間、資料回復的時間等都要明訂清楚。</p> <p>「訂出一個企業可達成的資安目標，代表資安主管與經營者的承諾，也是經營者對資安主管的支持，以及這家企業願意容忍與可接受的風險，究竟到何種程度。」這是一大重點，她強調。</p> <p>有了資安目標之後，下一步，資安主管就能針對企業現況，以及想要達成的目標，在這兩者間，評估自家資安防護的強處和弱點。能與不能之處，都需要一併盤點。如此一來，企業資安主管就會知道該如何訂定資安策略。林佩靜表示：「必須要有系統性的思考，來訂定資安目標與策略。」</p> <h3><span style="color:#0000FF;"><strong>系統面思維是集團資安聯防，更要做到主動防禦</strong></span></h3> <p>在金融業，可從系統、應用、人員3大面向的策略來看資安策略。首先，林佩靜提到，國泰在系統面的思維是「資安聯防」，集團旗下子公司採用一致性的資安政策，包括了系統架構，所採購的工具，以及工具背後的設定與檢核，都是一致。「目的是做到資安標準與防護水準一致，甚至，能做到主動的防禦。」她強調。</p> <p>為了達到一致性的資安政策，企業必須設有一個資安框架。她解釋，所謂的資安框架，是指企業需有一套資安防護機制的基準，以及有一致性的標準可供遵循與管控，比如導入ISO 27001，或用MITRE ATT&CK來思考企業的防禦。林佩靜再次強調：「企業必須找到一套邏輯或方法論，來思考最基本系統面的防禦框架或防護地圖。」然而，這只是第一個起點。</p> <p>訂定出資安框架後，企業更重要的是實行PDCA循環，林佩靜認為：「PDCA雖老套，卻是國泰確保整體資安防護有效性的心法。」尤其是在檢核（Check）環節特別重要，她舉例，國泰金融集團從基本的資安健檢到紅隊演練都實施，像是人壽與銀行已連續做了3年的紅隊演練，現在，包括產險、投信子公司也全面執行，目的就是要確保資安防護的有效性。此外，包括DDoS攻擊、ATM入侵等情境演練，企業都要不斷檢視。「資安不是一個買產品的過程，而是得確保整體機制與運作有效。」這是國泰由內而外，檢視自身資安到位程度的作法。</p> <p>另一方面，企業也可建置SOC，由外而內來檢視自家資安框架與防護的有效性，是否禁得起所有的資安風險。林佩靜表示，國泰委外建置了SOC，在2020年底正式運作，以監控集團資安狀態，掌握資安風險。她個人認為，委外建置有2大好處，其中一個重要價值是，因為資安態勢動態變化，而且攻擊手法日新月異，例如現在國泰的集團SOC設有一百多條監控規則，但還會隨著外面的攻擊手法持續更新，讓國泰的防禦能更加即時，更希望能做到主動預警。</p> <p>另一項好處是，國泰的資安人員每日會監看風險通報的狀況，也會針對每則事件進行回報與確認，林佩靖認為，這也能在無形中培養資安人才，及提升他們對資安攻擊事件的敏感度。</p> <p>除了系統面的策略，企業還需關注人員面的策略。不管是員工或顧客，在這數位當道的時代，國泰認為，都需要落實必要的確認機制，才能存取金融業的服務。「目的是建立所有關係人的資安意識與資安文化，做到全民資安。」</p> <p>像是近來因疫情，許多企業啟動居家上班的作法，林佩靜表示，這時正是重新檢視所有員工工作方式的好時機，包括員工工作時所使用的裝置，裝置存取的方式，以及溝通聯繫，協同合作與檔案交換等。長時間下來，便會在組織內埋下養成資安意識與文化的思維與習慣，她更認為：「即便經營者多麼支持資安投資，仍有它的極限，整體員工資安意識與文化的養成，才是防護的關鍵。」</p> <p>在資安人才部分，國泰也有一套「反求諸己」的思維，林佩靜拋出一個問題，資工資管領域的職場新鮮人，為何要選擇進入金融業？她坦言，企業需有整體資安目標或策略，目的是讓資安人才知道，個人目標與企業組織目標匹配。此外，也要培育人才在金融業的領域知識，以及資安的專業技術，並且在信任的前提下培養團隊，讓人才感受到加入該企業後能夠有所成長。她呼籲金融業的資安主管：「設立資安人才的職涯路徑是重要議題，需要再用心好好思考。」</p> <p>在顧客部分，隨著轉型的服務模式到裝置的提供越來越多，國泰在思考的是，如何在兼顧客戶體驗之下，與顧客互動的方式如App或簡訊，到金融業與顧客進行核身的方式，都能再增加更多確認機制，比如導入多因子認證，建立安全性提問，或像是重要交易強制採用生物辨識等。林佩靜認為，這是所有企業都要高度關注的議題。</p> <h3><span style="color:#0000FF;"><strong>從業務角度思考資安如何設計，更要關注供應商與雲端安全</strong></span></h3> <p>國泰在應用面策略則採取「設計預設資安（Security by Design）」原則，不只是資安管控、資安查核，尤其是企業在數位轉型的過程中，林佩靜表示，更應該從業務角度思考資安如何設計在新的轉型專案中，目的是要有預防勝於治療的概念，在所有服務或商業模式設計之初，就將安全考慮進去。</p> <p>因應數位轉型，不只軟體或程式得在一開始就安全開發，更重要的是，企業導入許多新興科技發展創新的服務模式或商業模式，比方說跨業合作。除了軟體開發外，還會牽涉到流程、資料流、資料的儲存管理等，都得基於安全來設計。她提到，國泰作法是每個專案開始，資安人員就加入討論服務模式與商業模式的創新，好處是資安人員能站在業務端立場進行安全設計，也會讓企劃人員理解資安人員關心的議題，進一步培養人員的資安意識與文化。</p> <p>除了App、API這兩項已有檢核標準或法遵規範之外，林佩靜更提到，國泰正在關注多項資安應用議題，包括供應商、雲端、資料、開源軟體。像是供應商資安，她提醒，企業與供應商合作時，可從前、中、後三階段來評估，前期可進行風險評估、遴選合格廠商、技術評選；中期則要設立開發標準、資料加密、查核；後期則需落實上線前的檢核，並要求供應商抹除資料與移除權限，或實地查核等，「得將這樣的制度都建立。」</p> <p>另一項雲端安全議題，林佩靜預期，金融業完成數位轉型後，會開始走向雲端發展，不管是使用雲端服務，或有上雲計畫。不過，她坦言，雲端安全的議題範圍非常大，甚至與地端系統面的管理全然不同，從存取控制、金鑰管理、資料保密、組態管理、持續監控等。因此，她強烈建議：「不管企業是否打算往雲端發展，資安主管現在可以開始思考與培養具備雲端安全的資安人員。」文⊙李靜宜</p> </div></div></div>
2021/5/28 10:32作者李靜宜https://www.ithome.com.tw/news/144681
Fintech周報第183期：虛擬通貨納管洗錢防制7月上路，共有5大類業者須遵循
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-weight: bold; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0522</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～0528</span></strong><br /><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 虛擬通貨 </span> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 洗錢防制 </span></strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">虛擬通貨納管洗錢防制7月上路，共有5大類業者須遵循</span></strong><br /><span style="font-size: 14pt;">行政院指定金管會為虛擬通貨平臺及交易業務事業的洗錢防制主管機關，金管會在5月25日宣布「虛擬通貨平臺及交易業務事業防制洗錢及打擊資恐辦法」草案，主要是參考防制洗錢金融行動工作組織（FATF）發布的建議來訂定，預告期為14天。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">該草案名列有5大類業者需納管，包括從事虛擬通貨與新臺幣、外幣之間的交換；從事虛擬通貨間的交換；進行虛擬通貨的移轉；保管、管理虛擬通貨或提供相關管理工具；參與及提供虛擬通貨發行或銷售的相關金融服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">虛擬通貨平臺及交易業務事業將於今年7月1日起納入洗錢防制管理，金管會表示，屆時將要求納管業者建立洗錢防制內部控制與稽核制度，進行確認客戶身分、記錄保存、一定金額以上通貨交易申報及疑似洗錢或資恐交易申報等。如果業者違反規定，將會依照洗錢防制法開罰。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">金管會更統整出草案4大重點，依照規定，第一項是相關業者建立業務關係時，需確認客戶身分，包括實質受益人辨識、姓名檢核、強化確認客戶身分等。第二項是，擔任轉出方的平臺，需將虛擬通貨移轉所涉及的轉出人及接收人資料，傳遞給擔任接收方之平臺。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">此外，對於新臺幣50萬元以上的現金交易，則需向法務部調查局申報；業者也需對客戶交易持續監控，若發現有可疑交易，也要向法務部調查局申報，這是第三大重點。第四點則是，業者需建立防制洗錢及打擊資恐內部控制與稽核制度。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 跨境移工匯款 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 永豐銀行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 移工仲介 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">永豐銀行與仲介業者合作推移工匯款服務，透過系統整合串接當日匯款便能到帳</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524%E6%96%B0%E8%81%9E%E7%85%A7%E7%89%87(%E8%B3%87%E6%96%99%E7%85%A7%E7%89%87).jpeg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">鎖定全臺70多萬名外籍移工跨境匯款需求，永豐銀行近期表示，已與移工仲介業者合作，透過系統整合串接，簡化從仲介業者代收移工款項到匯款等作業流程，提供快速到帳的海外匯款服務，當日匯款後便能當日到帳，並且降低匯款成本達4～5成，永豐銀行表示，目前已為超過11萬名移工完成匯款。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">永豐銀行解釋，移工因為工作性質而需長時間待在工廠或雇主家中，不易在營業時間到銀行辦理匯款，大多是透過合法仲介業者的系統，在完成會員註冊之後，由仲介業者協助辦理薪資結匯與匯款。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">永豐銀行提到，此次透過與仲介業者系統串接，從移工輸入匯款資訊，完成繳款到業者確認移工的款項入帳，目的是要降低匯款成本，並加速匯款處理時間。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，永豐銀行整合了防洗錢、法遵、風控、作業等制定標準化流程，替仲介業者執行匯款作業，包括審核仲介業者對移工會員要落實KYC（認識客戶），以及監控匯款交易需符合AML（反洗錢偵測）規範等。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 以太坊 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 權益證明 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">以太坊升級至權益證明2.0版後，至少可節省99.95%的能源</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-27%20%E4%B8%8B%E5%8D%8812_53_23.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">開源區塊鏈平臺以太坊（Ethereum，ETH）正從採用工作量證明（Proof of Work，PoW）的1.0版，升級到基於權益證明（Proof of Stake，PoS）的2.0版，近期，以太坊基金會ETH 2.0研究分析師Carl Beekhuizen 指出，比起PoW，PoS至少可節省99.95%的能源。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">PoW必須仰賴實體運算能力及電力來建置區塊，而PoS則是利用驗證者及存入以太幣來建置區塊，Beekhuizen估算，PoS大約消耗2.62 兆瓦（Megawatt）的電力，大概是美國2,100萬個家戶所使用的能源；但PoW所消耗的電力卻等同於一個中型國家所需的能源。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">對於PoW來說，以太幣的價格與採礦效能（hash rate）是正相關的，價格愈高，以太坊網路所消耗的能源也愈多；但在PoS的概念下，以太幣的價格愈高，以太坊網路的安全性也愈高，所消耗的能源則可維持不變。以太坊更預計幾個月後，便能完全轉移到更省能源的PoS。<a href="https://www.ithome.com.tw/news/144516"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融業 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 資安長 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會要求銀行業須指派副總層級擔任資安長，保險業資產總額達1兆元者比照辦理</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為進一步推動金融資安行動方案中，訂定的一定規模金融機構或純網銀設置資安長的措施。金管會在5月27 預告「金融控股公司及銀行業內部控制及稽核制度實施辦法」部分條文修正草案，主要增訂銀行業需指派副總經理以上或職責相當的人，來兼任資訊安全長，以統籌資安政策推動協調與資源調度，金管會給予6個月的緩衝期，讓業者可因應調整。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，金管會還研擬了「保險業內部控制及稽核制度實施辦法」草案，增訂保險業前一年度經會計師查核簽證的資產總額達新臺幣1兆元以上，需指派副總經理以上或職責相當的人，來兼任資訊安全長，綜理資訊安全政策推動及資源調度事務。金管會表示，保險業需在修正條文生效後，符合適用條件起6個月內調整。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 電支條例 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 電支電票整併 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會揭露電支條例修正重點，記名式儲值卡可跨境消費、比照數存帳戶強化身分驗證機制</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE%20Pay(1).jpeg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">新電子支付機構管理條例將在7月1日正式上路。金管會近期針對「電子支付機構管理條例」修正案，進行為期2周的預告，並對外揭露7大修正重點。其中較為重要的是，專營外籍移工國外小額匯兌業務的業者，最低實收資本額為新臺幣1億元；金管會核發的營業許可證為3年有效期；而且，業者收受的匯款交易款項須全數交付信託，或取得金融機構履約保證及限制匯款限額等管理機制；匯款上限為每筆3萬元、每月5萬元，每年上限為40萬元。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，金管會擬將第三方支付服務業者納管門檻從10億元拉高到20億元。另一項重點是，金管會將開放國內記名式儲值卡如悠遊卡、一卡通等，可到國外合作機構的特店消費或搭乘公共交通運輸工具。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">另外，金管會擬強化電子支付機構身分確認機制，比照銀行數存帳戶分類，身分確認強度也分為一到三類。其中，增訂確認使用者所提供行動電話號碼機制、核驗姓名程序，及排除第三類數位存款帳戶得作為身分確認的金融工具種類。此外，金管會還提高第一類電支帳戶儲值餘額上限，從現行的5萬元拉高到10萬元；國內外小額匯兌交易每筆限額則為10萬元。<a href="https://www.ithome.com.tw/news/144554"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 台新銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> PChome商店街 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">台新銀行與PChome商店街合作，賣家可直接在電商平臺申貸</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為因應數位零售通路在疫情期間交易量的大幅成長，台新銀行近期宣布與電商業者PChome合作，針對旗下商店街賣家，推出「商店街飛速貸」服務。台新銀行消費金融處副總經理吳良民表示，此次的合作，整合了雙方資源並串聯虛實通路，讓有資金需求的賣家可直接在PChome商店街的網站上申貸，並透過台新企業評分模型，量化客戶的評估結果，讓授信審核更加快速。台新銀行宣稱，審查時間縮短到4小時以內，最快1日內就可撥款。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，台新銀行表示，近期內部開始推動企業後臺數位化流程轉型，導入機器人流程自動化（RPA）系統，來檢視貸後案件，以提升案件管理的效率。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 加密貨幣 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 中國 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">中國三大金融機構出手，要求金融機構與支付機構不得進行與加密貨幣相關業務</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中國互聯網金融協會、中國銀行業協會，以及中國支付清算協會，於5月18日發布公告，指出最近加密貨幣的交易炒作活動有所反彈，嚴重侵害民眾的財產安全，擾亂經濟金融正常秩序，因而要求金融機構與支付機構不得進行與加密貨幣相關的業務，不管是加密貨幣的交易或清算，或者是以加密貨幣作為支付結算工具，都在禁止之列。這些金融機構強調，加密貨幣屬於虛擬商品，並非由貨幣當局所發行，不具有法償性與強制性等貨幣屬性，因此並非真正的貨幣，不能也不應作為貨幣在市場上流通或使用。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">繼特斯拉執行長馬斯克在13日宣布，暫停消費者以比特幣買車，且決定不再出售比特幣之後，加上中國三大金融機構的公告，使得比特幣的價格從12日的5.5萬美元一路下滑至3.7萬美元，下滑幅度超過30%。<a href="https://www.ithome.com.tw/news/144523"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源／永豐銀行、以太坊</span><span style="vertical-align: top; font-size: 18.6667px;">、LINE Pay</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="vertical-align: top; font-size: 18.6667px;">1. <a href="https://www.ithome.com.tw/news/144541">美國財政部：企業的加密貨幣交易金額超過1萬美元就必須申報</a></strong><br /><strong style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">2. 富邦產險與國際網路資安廠商合作，提供客戶網路資安風險分析與評估服務 </strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年5月</strong></p> </div></div></div>
2021/5/28 11:05作者李靜宜https://www.ithome.com.tw/news/144682
政大金融科技研究中心與勤業眾信聯手發表第一份臺灣金融科技趨勢展望報告，提出10項Fintech發展建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政大與勤業眾信合作日前發表了第一份臺灣金融科趨勢展望報告，盤點臺灣金融科技發展現況，並提出10項政策建言，期待金融主管機關今年盡快推動，多數與資料交換、個資合理共享的挑戰相關。</p> <p>政治大學金融科技研究中心主任王儷玲觀察全球金融科技四大領域的發展，她指出，在數位銀行方面，支付功能擴張到更多類型的情境，開放銀行策略和資料共享趨勢也開始創造更多元金融生態系的成形，在資產管理領域，理財平臺透過API串聯到更多應用，讓機器人理財逆勢成長，但需要發展新的監理機制保護投資人權益。</p> <p>而在保險科技（InsurTech）發展趨勢上，王儷玲認為，新型態的通路快速發展，也開始善用AI和大數據來分析和改善顧客體驗，像是結合IoT的使用者行為式保險（UBI）創造了新保險計價和服務模式，或是結合穿戴裝置，能提供健康促進創新服務的新型態外溢保單。這些新興科技趨勢也讓全球法遵科技投資大增，年成長率高達了119.1%，又以身分識別和洗錢防治相關科技的投資為主流。在監理科技領域下，跨平臺數位身分互通是監理科技發展關鍵，也開始出現用AI協助不正當行為的即時監測和預防詐欺，另外像是在數位申報和數據治理也有不錯的進展。</p> <p>政治大學和勤業眾信訪談了臺灣10家金融機構，包括多家金控、大型銀行和人壽，來了解他們對金融科技和未來趨勢的看法，來歸納政策建議。</p> <p>臺灣金融機構在FinTech技術面的發展上，目前主要聚焦在AI、雲和身分識別三大類，法規面最期待的是資料共享、上雲、監理科技這三類，可以有法規鬆綁或突破，例如業者期待雲端服務相關法規，能有更開發或更完整配套的辦法。臺灣金融業者在策略上也多半重新定位自己的金融科技發展策略，加快數位轉型的腳步，近兩年的疫情，更是加速了金融產品和服務數位化的發展，甚至是原有商業模式的轉型。</p> <p>不過，王儷玲指出，在臺金融科技發展上仍有許多挑戰，像是業者在資料蒐集和交換仍面臨不少個資法限制的挑戰，另外第三方服務業者（TSP）的管理成本仍然很高，影響參與者意願，進而侷限了臺灣開放銀行生態圈的發展。而保險業的挑戰則是新法遵，例如2026年正式接軌IFRS17和ICS 2.0等，業者得投入大量營運資源，排擠了數位發展的投入，而個資使用也仍既是保險科技發展的主要限制。</p> <p>資產管理業上，千禧世代投資人偏好線上服務，讓傳統理財顧問面臨轉型壓力，傳統資產管理公司營運成本也比過去更高，如何控制成本來維持獲利是重要課題，另外，消費者偏好落差很大，業者資源有限也不易調整通路和部署新投資工具。而在臺灣監理科技的發展上，不論監理機關或金融業者都需要更有效能的數據共享設計，但也都面臨了法遵合規的挑戰。</p> <p>因應這些局勢和挑戰，在這份報告中，也提出10項對主管機關的建議，其中不少是針對個資使用和資料共享的建議，例如像是建議主管機關要建立資料賦權機制，讓消費者可以在資安個資保護下合理使用自身數據，來促進資料共享與API經濟。也需要建立更明確的個資去識別化標準和資料交換中心。</p> <p>王儷玲表示，尤其像是個資去識別化標準流程，還有相關作業平臺和認證機制，也是加速業者雲端環境健全發展的配套之一，可以讓新創TSP透過合規雲端服務來與金融業者交換資料，不只是減少業者的資安成本，還可以降低TSP業者的進入門檻。更進一步，她也建議主管機關需要提升數據治理作為，來促進產業資料共享平臺的發展，像是指派單一專責機構負責資料數據治理策略，或設立數據治理委員會，從資料共享和交換的角度來界定資料分級等</p> <p>王儷玲指出，建議主管機關成立API管理專責機構長期負責開放銀行API標準，而TSP業者則可成立治理聯盟或協會，配合銀行公會和財金公司，共同建立一套TSP治理機制。未來可以把「試辦沙盒」的適用範圍擴大，尤其要納入金融業者最需要的行政規則及命令的鬆綁與調適。</p> <p>另外還有一項呼籲是，這份報告建議政府應該參考金融科技發展的標竿國家，也建立臺灣自己的大數據和AI新規範，像是可以參考歐盟的「可信任的AI倫理規範」、美國「演算法問責法案」或是新加坡的「AI監管模式框架」等。</p> <p>這份報告也有針對金融業者的建議，王儷玲指出，業者也要積極引進新興科技，例如生物辨識、區塊鏈和AI，來建立儀表板式的風險評分系統，這也有助於協助內部風控、稽核和法遵，可以有效降低法遵成本。</p> <p>王儷玲指出，這些對主管機關的建議，已有一些正在進行，例如同一金控子公司下資料交換的法規鬆綁，但對於其他策建議，她期待主管機關，都能盡快在1年內推動完成，來促進臺灣金融科技的發展。</p> <table border="1" cellpadding="1" cellspacing="1"><tbody><tr><td style="background-color: rgb(102, 153, 255);"> <h3><strong><span style="color:#FFFFFF;">臺灣金融科技發展10建議</span></strong></h3> </td> </tr><tr><td style="background-color: rgb(204, 255, 255);"> <p><strong>1.建立資料賦權機制以利資料共享與API經濟</strong></p> <p><strong>2.建立個資去識別化標準與資料交換中心</strong></p> <p><strong>3.提升數據治理促進跨產業資料共享平臺</strong></p> <p><strong>4.開放銀行應建立API管理專責機構與TSP治理機制</strong></p> <p><strong>5.借鏡國際制訂大數據與AI新規範以利創新落地</strong></p> <p><strong>6.鼓勵業者積極擁抱新科技創造新價值</strong></p> <p><strong>7.導入新技術提升業者法遵科技效能</strong></p> <p><strong>8.加速健全雲端環境之配套</strong></p> <p><strong>9.擴大金融業試辦範圍促進金融科技創新應用</strong></p> <p><strong>10.打造良好的產學合作平臺培育金融科技新人才</strong></p> <p>資料來源：政大金融科技研究中心，2021年4月</p> </td> </tr></tbody></table><p> </p> <p> </p> <p> </p> </div></div></div>
2021/5/28 08:50作者王宏仁https://www.ithome.com.tw/news/144679
【資安教戰守則：因應雙重勒索之道】目標式攻擊瞄準供應鏈脆弱環節，該如何因應？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0528-nian_jian_-gong_ying_lian_zi_an_-huang_ji_min_.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">SafetyDetectives、Coveware</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2020，充滿嚴峻考驗，在現實世界存在著COVID-19新冠病毒的生命威脅，而在數位世界，則有勒索病毒的資安威脅。因應勒索軟體之餘，我們也要注意此種威脅的發動，近期經常與目標式攻擊（Targeted Attacks）有關。事實上，目標式攻擊此一名詞常出現於APT事件，隨著攻擊威脅提升，「目標」已從指定的組織單位，更進一步去針對指定的產業、系統，以及供應鏈，而且，目標型態的轉變，與逐年增長的勒索攻擊及黑色產業都有關。</p> <p>而且從SafetyDetectives的調查，我們發現：駭客勒索攻擊對企業組織造成的經濟損失比贖金更大──全球於2019年因勒索攻擊的損失，高達2兆美元。</p> <p>就目標式攻擊趨勢而言，從金融證券業遭DDoS勒索攻擊、醫療單位的醫療工作系統加密勒索、教育學校的行政系統勒索，到2020年針對製造業發動攻擊，我們可發現犯罪者確實存在更精準有效率的目標式攻擊，別於過往隨機式攻擊（Opportunistic Attacks）。</p> <p>以去年國內幾起資安事件為例，網路犯罪者都是有計畫，且連續針對目標下手，從受駭的石油公司、自動化設備業者、半導體業者、電子製造業者等案例，都存在著一旦受駭則產線運作停擺的風險衝擊，而這就是犯罪者看準製造業不可承受的威脅痛點，因為產線運作的停擺，將造成無法正常生產、排程受阻、交貨延遲、設備受損等連串問題。</p> <p>此外，犯罪者常以點放曝光受害業者的內部資料來證明綁架成功，逼迫受害業者就範，甚至有二次勒索的打算。</p> <p>事實上，不僅這些見報的大型製造業者遭受勒索，有更多的相關產業中小型企業也在同期間受到相同的威脅，在他們負擔得起的情況下，往往選擇支付贖金來盡快恢復工作以息事寧人，這也跟現實生活中的情況類似。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0528-%E5%B9%B4%E9%91%91-%E4%BE%9B%E6%87%89%E9%8F%88%E8%B3%87%E5%AE%89-%E9%BB%83%E7%B9%BC%E6%B0%91.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／SafetyDetectives、Coveware</span></p> <p><span style="color:#696969;"><strong>駭客勒索攻擊導致資料毀損及營運停擺的事件，已經造成高達數百萬美元的損失；而根據Coveware組織對於2019到2020年勒索攻擊的統計分析，勒索贖金的支付數字在過去兩年持續增加，勒索支付於2020年第三季度達到平均為233,817美元，於第四季度則為154,108美元。</strong></span></p> <p><span style="font-size:28px;"><strong>目標式攻擊下一波：供應鏈</strong></span></p> <p>從2020年起，便有多個資安研究組織與專家呼籲：「供應鏈攻擊（Supply Chain Attacks）的資安風暴已到臨」，尤其是最近的SolarWinds供應鏈攻擊，不僅全球知名的APT資安防護大廠受駭，甚至多個美國政府機構及全球多家資安科技公司，也傳出存在SolarWinds後門木馬的疑慮；隨後當然有駭客組織，開始進行目標式攻擊（開採漏洞），直至目前仍未平息。整體而言，SolarWinds攻擊行動，躲過美國政府斥資數百億美元建造的網路攻擊防禦系統Einstein，而這也突顯：供應鏈攻擊引發的鏈狀連鎖反應，具備更大破壞力。</p> <p>「供應鏈」是指通過不同供應者（Vendors or Suppliers）連接產品或服務的作業流程，存在於各種產業、生產製造、系統、軟體、或委外服務架構中；至於「供應鏈攻擊」，則是指攻擊者利用我們對供應鏈合作夥伴的信任，來繞過安全防禦機制並造成大量危害，針對供應鏈中脆弱可利用的環節攻擊，並進而感染散播到下游其他地方。目前常見的供應鏈資安攻擊類型有：版本更新感染、派送脅持嫁接、程式庫感染、第三方元件感染、軟體漏洞及臭蟲等。</p> <p>由於供應鏈攻擊是針對存在的脆弱環節為攻擊目標，以2020年8月發生的Zerologon攻擊為例，若濫用CVE-2020-1472漏洞，可以讓駭客利用Windows Netlogon 遠端協定，針對Windows Active Directory DC主機完全控制，並且能任意將惡意程式安裝到網域下的所有裝置；而且，更有駭客組織結合Fortinet、MobileIron等網路安全閘道或VPN的漏洞來進行連續技。試問：這樣甜美的目標，又怎能不讓有心人士蠢蠢欲動，進而大量開採呢？！</p> <p>套用在2021年初爆發的ProxyLogon攻擊，目標則轉換到微軟Exchange Server漏洞，又發生一連串的駭客組織釋出攻擊包，以植入惡意Web Shell。</p> <p>針對供應鏈資安發動的目標式攻擊，具備3個特色：可利用性更佳、可下手的目標對象更多、可組合攻擊技更豐富，這對防守方而言，並非好消息。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(3)-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FSupplyChain247.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／SupplyChain247</span></p> <p><span style="color: rgb(105, 105, 105);"><strong>針對供應鏈安全（Supply Chain Cybersecurity），美國密歇根州立大學教授Steven A. Melnyk提出幾個關鍵問題。首先是「要保護什麼」，第二是「針對哪種類型的攻擊」，第三則是「考慮哪些網絡安全投資」。</strong></span></p> <p><span style="font-size:28px;"><strong>目標式攻擊的防禦戰略</strong></span></p> <p>面對今日的資安攻擊威脅，「防不勝防」肯定是所有守護方的心聲，因為要在有限的人力、物力、精力，以及時間下，做到絕對的防禦戰略，是緣木求魚、不切實際的浪漫理想。</p> <p>相對地，我們必須思考在常態的防禦基礎下，如何更精確、快速、有效率地即時反應部署資安結界，以展開闖入者的威脅獵捕。以下是可以思考的作法：</p> <p><strong>一、目標式防護</strong></p> <p>這並不是「單點式」的防護，而是站在攻擊方來檢視目標（自身）的供應鏈脆弱環節，部署、規畫適當資安機制。</p> <p>我們必須先針對脆弱環節本身及其前後關連者，（1）優先加強監測機制，其次（2）著手可快速補強的方式，然後才是（3）評估及執行更新修補，當然也需要思考（4）遭攻擊崩壞時的災損範圍控制，以及災變回復機制。</p> <p>傳統資安思維往往執著於「有洞就要補好補滿」，但補洞評估與程序經常費時，反讓駭客可將惡意程式安置妥當。</p> <p><strong>二、零信任安全架構</strong></p> <p>由Forrester Research前副總裁John Kindervag提出的Zero Trust概念，認為應預設任何的網路存取要求均不可信任，唯有經過認證之後，才可以依政策權限存取。此為逆向思考或者懷疑理論，畢竟資安沒有百分之百的保障，我們必須思考脆弱點及破口的存在。</p> <p>隨著現今雲端網路及行動應用的高度發展，更顯出傳統定義的企業網路安全邊界崩解；換言之，過往「企業內部網路的人、事、物就是安全可信任」，這類的資安思考方式，必須重新檢視。</p> <p>事實上，從近十年資安事件來看，都已驗證「零信任」安全概念的論點。</p> <p>就像美國國家標準技術研究所（NIST）的看法，他們在2020年2月公布的ZTA Draft 2（SP800-207）標準草案第2版，再次強調「零信任是以資源保護為核心的網路安全示範，前提是：信任從來不是默認的，而是須持續評估認證；將網路安全防禦政策從靜態的網路邊界防護改為關注使用者、數位資產與關鍵資料及資源的動態防護」。</p> <p><strong>三、持續、自適應的風險管理</strong></p> <p>如果你還在追求或要求百分之百的資安防護，或許應先停下來，重新思考一下這種資安防護的定義與目標。</p> <p>在2017年，Gartner研究組織提出全新戰略，那就是：持續、自適應的風險與信任評估（Continuous Adaptive Risk and Trust Assessment，CARTA），目的在於「控制風險，而不要去消滅風險」，面對越來越多資安漏洞被揭露的今日，這是值得思考的做法。</p> <p>以目前微軟Patch Day的每個月漏洞發布週期及數量，若採取現行的漏洞評估及修補機制，組織中的資安人員及IT人員根本無法負荷，因此，CARTA強調：要「持續和自適應地對風險和信任兩個要素，進行評估並取得平衡」。</p> <p>所謂的「自適應」是指在判斷風險時，不應一味追求完全無菌的零風險狀態，而是因應企業可接受或可控制的風險管理來達到平衡，並藉由「持續性」來針對風險和信任的研判過程以持續不斷並反覆多次監督，達到適當的調適。</p> <p>面對目標式攻擊，資安防護資源應該具備更彈性適切的機動調配，若能達到持續性自適應的風險管理，將有助於常保企業資安健康狀態。</p> <p><strong>四、多維度的防禦解決方案</strong></p> <p>資安防禦經常會提到防護三部曲「事前、事中、事後」，以及「縱深防禦、聯合防護」概念，但往往在實作上，卻又以單一維度的設計或滅火方式的應變處理。</p> <p>單一維度設計，是指網路邊際防禦、主機保護、網站應用防護、弱點評估、滲透測試、源碼檢測等等，再由個別中央管理或SIEM平臺，用於資安記錄訊息的收容蒐集，進行關聯分析後的結果再觸發行動。但這作法回應今日目標式攻擊的速度不足，大量事件警報也可能拖垮有限的資安資源。</p> <p>而滅火方式的應變處理是指，資安事件如同發生火警，當警報響起時，才能通知救災人員到場處理，但是事故現場的資訊缺乏下，救災人員只能消極地先到場察看，再行判斷處理。假如火警事故發生在不同的場域（例如一般民房、摩天大樓、化學工廠、核能電廠等），處理的器具、方法及人員就不盡相同。</p> <p>因此，現今面對目標式攻擊的防禦方案，須具備更為主動的第一線處理能力與智能智慧化設計，如XDR（Cross-Layered Detection and Response）技術，為跨層次的檢測與回應，其中的「檢測與回應」已廣泛用在新一代端點防駭EDR方案上，並正逐步延伸到邊際、網路、應用、雲等不同層次。</p> <p>而且XDR對目標式攻擊的威脅獵捕工作，提供更精準的偵測探查異常行為，若能同時結合威脅情資（Threat Intelligence）的事件分析及採樣，所回應的資安事件（Incidents）含金量更高，對資安人員在事件攻擊研判效率，以及應變處理情報的獲取，都更加有幫助，因通報傳至SIEM平臺所關聯分析並萃取出的，是更有意義的資安管理情報。</p> <p>舉例來說，當發生火警事故時，透過XDR這類型技術，將能把現場的情況透過感應器、監視器、GPS定位、場域識別、情報比對等有意義的訊息，通報給救災中心，以獲得正確合適的救災派遣，甚至可用於現場的防災輔助，也能做好啟動措施。</p> <p>因此，如果我們說XDR技術是提升更豐富的感知神經，那麼，新一代資安戰情中心（NG-SCO、NG-SIEM），結合資安協作自動化應變SOAR技術方案，就相當於具有邏輯判斷跟下達行動力的大腦與小腦，是建立多維度防禦的重要核心中樞。其他先進式防禦，包括：Segmentation Protect、Automated Penetration Testing、Secure Score、Risk-based Vulnerability Management，這些都將取代傳統的資安評估與管理模式，朝向更主動積極的新世代資安防護。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(2)-%E8%B3%87%E6%96%99%E4%BE%86%E6%BA%90%EF%BC%8FGartner%EF%BC%8CiThome%E8%A3%BD%E8%A1%A8(1).png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">2020年Gartner安全風險與管理大會中，資深分析師Brian Reed提出一份名為《Top Security Project for 2020 to 2021》的報告，他說，我們可能花費太多寶貴的時間，用在過度分析在安全性方面所做的選擇，努力實現這種根本不存在的完美保護；我們必須超越基本的保護決策，並通過創新的方法進行檢測和回應，最終從資安事件中恢復，進而提高組織的彈性。</span></strong>（<span style="color: rgb(105, 105, 105);">資料來源／Gartner，iThome製表</span>）</p> <p><span style="font-size:28px;"><strong>跨域思考，跨領域的防禦借鏡</strong></span></p> <p>資安雖然是一門專業，但這領域的發展歷史與成熟度，並不像醫學、法學、管理學等來得完整，相關理論方法都處於建構與發展中，此現象也是現今資安工作制訂及資安人才培育的問題瓶頸，因此「跨域思考」即是借鏡不同產業的資安經驗或不同領域的方法，套用於企業自身的參考模仿方式。</p> <p>如同金庸在《笑傲江湖》中「獨孤九劍」所傳達的意涵，面對不同兵器對陣時所採用的攻防觀念，講究的是劍術（駭客攻擊手法）而非劍招（駭客病毒工具），假如要針對各門派的武功招式都一一對抗克制，則永遠得要面對N+1的狀況，我們無法知道+1存在於何時、何處、何來，就像資安所面對的「未知攻擊」威脅；例如現今熱門的資安框架MITRE ATT&CK，對於識別威脅入侵的攻擊鏈描述具有更一致的標準，它就是值得被參考的方法，至少是集合已知的多樣化資安威脅之大成，比起更早之前各家資安業者訂定的Cyber Kill Chain，更有依循參考性。</p> <p>在國內IT領域資安工作，當屬金融業銀行單位的經驗值與管理方式，最為豐富，尤其是民營金融單位的務實性更高，對於其他各個產業領域在IT資安議題值得借鏡，因此，我們可以學習，思考如何應用在自身企業單位的環境，但千萬不可照樣模仿、照單全收！</p> <p>舉例來說，金融單位防範資料外洩的嚴謹度，若套在企業商業機敏資料，是可以適用的；電子商務參考網路銀行的方法也適用，另外，工控無人操作裝置可以參考銀行ATM管理防護──取其方法跟經驗做為跨領域的參考思考，建立合適防護與管理方法並做強度調整。</p> <p>但切忌不明就裡之下而照本宣科的模仿，比如IT、OT、IoT的資安防護設計，就是截然不同的思考模式。近年來，工業及關鍵基礎設施因OT與IoT資安攻擊而逐漸關注，最初雖借鏡IT的資安防護管理方法這帖藥，但這對於過往沒有資安基礎的OT與IoT領域而言，似乎藥性不對，反而產生困擾。</p> <p>隨著不同領域的經驗累積思索，IT、OT及IoT開始發展各自的資安認證標準，以及共通的資安治理與管理制度來同時對應相關的要求，相信更成熟健全的資安專業成熟度即將到臨<strong>。文⊙數聯資安資安管理平台發展處副處長黃繼民</strong></p> </div></div></div>
2021/5/28 07:00未署名https://www.ithome.com.tw/article/144112
當大數據遇到老大哥
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_yin_xing_lao_long_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">時報出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你是個好人嗎？你對社區和社會有正面還是負面影響？這些是多數人經常自問的問題。至目前為止，答案基本上很主觀也無法測量。中國的目標是徹底重新恢復個人私德與社會公益，不只是觀念，也包括實踐。中國領導人正設法對全國老百姓落實革命性的社會信用系統，有些人悲觀地稱此舉是「大數據遇到老大哥」：</p> <p><span style="color:#696969;"><strong>想像你在這麼一個世界，許多日常活動不停受到監控與分析：你在實體店面與網路商店買了什麼；在某個時間，你人在哪兒；你的朋友是誰，你如何和他們互動；你花多少時間上網、打電動；你支付了（或沒有支付）哪些帳單、繳了什麼稅……現在，想像有一個系統，上述這些行為會被評定為正或負，然後濃縮成一個數字，給分標準是根據政府制定的規則。</strong></span></p> <p>儘管國外批評人士擔心會出現最壞的情況，但中國政府將這定調為現代「社會主義」社會創新的一環。中國政府宣稱，這個以數據為本的「信用」制度勢在必行，「建立誠信文化，落實誠信與傳統美德，以守信的激勵和失信的約束為獎懲機制，目的是提高全社會的誠信意識和信用水平」。在實務上，不良的社會信用評分會限制你出遊，降低你的網速，你的小孩無法進入一流學校，你也無法找到好工作，無法進入高檔旅館，被貼上「壞公民」的羞辱標籤。</p> <p>在已開始實施社會信用制度的城市，一些公民已經見識到其正向成效。三十二歲的實業家陳先生表示：「我覺得過去六個月來，大家的行為愈來愈好。例如，我們開車時，現在一定會在行人穿越道前停下車禮讓路人。如果你不停車，你會被扣分。起初，我們是因為擔心被扣分，而今則是習慣停車禮讓了。」</p> <p><span style="font-size:28px;"><strong>社會信用評分天網將不再是中國獨有</strong></span></p> <p>儘管有人給予肯定，但這套系統依舊讓人打從心底擔心人類自由的未來。最起碼，它「讓人民承受成為模範公民的壓力」。它代表可能不是那麼混亂，但堪比二十一世紀的數位文化大革命，而且此現象不僅限於中國。誠如著名技術理論學家亞當．格林菲爾德（Adam Greenfield）所言：「這絕非中國所獨有，所以會擴大到其他地方，（一旦）別處的條件也成熟。社會信用的到來，預告了世界各城市的生活將會出現戲劇性的重大變化，這也包括你可能稱之為家的地方。」</p> <p>但是原則上，它也可以充當為一次激進的機會，藉由大數據讓企業和政府更負責，因為它們的數據必須被公開追蹤與分享。不過實務上，一個更壓榨的現實埋伏在角落，蠢蠢欲動。社會信用制度的政策在貴州這樣的窮鄉僻壤先行上路測試，並非巧合，這裡的規定少，公共關注度也低，所以吸引了科技巨擘，諸如谷歌、微軟、百度、華為、阿里巴巴，皆陸續在此成立研究機構與數據中心，蘋果（Apple）在二○一八年稍後跟進。就此而言，「作為中國數據中心的地位，貴州雀屏中選成為地方政府實驗社會信用制度的理想實驗室」。這點揭露了科技界試圖把對數據那種「多還要更多」的無止盡欲望，結合了追求社會進步與文化美德，這景象頗振奮人心，但聽起來也非常極權。</p> <p>中國的社會信用制度只是最新又最明顯的威脅，顯示全面可行、市場化的數位極權主義（digital authoritarianism）威脅並非空穴來風。這是當代的壓迫形式，建立的基礎是，我們生活裡有愈來愈多面向可被轉換為量化的數據，成為監控我們的主要資源。因此，「許多國家陷入陣痛期，辯論政府可對人民的監視程度。但是在其他國家，對國家監控權的約束少之又少（如果有的話），因此數據獨裁已經近在眼前」。同樣讓人不安的是，「大數據、老大哥、大把銀子」三者之間的關係日益綿密複雜，催生了「智慧」鎮壓。</p> <p>這些政策以及隨之而來可能成真的做法，再一次引起大家的疑慮，不禁要質疑演算法在人治（human governance）上的角色；演算法成了一種「迷思」，祕密控制我們的生活。各種演算法的影響力愈來愈大，規範我們的人際關係與社會，影響程度之大，前所未見。它們放棄使用數據調查所在的世界，改而愈來愈集中於「繪出」（mapping）我們生活、行動、想法的全貌；這麼做，靠的不是監獄的瞭望塔、政府到家裡安裝的電視監視器，或是街上的監視攝影機，而多半靠的是你手上行動裝置的應用程式，可能是你主動下載，但更常是你沒有掏錢買的程式。</p> <p><span style="font-size:28px;"><strong>新一代老大哥是無所不知的雲端</strong></span></p> <p>新的老大哥並非電影裡或海報上那個凶巴巴看著你的獨裁者，而是無所不知的數位「雲」，會「連續、全程、偷偷分析你的數位足跡，這些數據來自於你的種種行為，包括工作、購物、睡覺、飲食、運動、溝通」。這種侵入性監視受惠於我們持續產出的「數位軌跡」（digital tracks），這些數位軌跡是我們在線上凡走過必留下的痕跡，被資本主義體制下的政與商所用，進行經濟剝削。但我們也不用全然絕望，這些侵犯個人自由及隱私的行為，同時也助長了各種形式的反抗。對抗這種侵入式的監控，叫做反監控（sousveillance），亦即受監控的對象重新定位追蹤與監看的鏡頭，以便更清楚地「看見監控者」。例如現在有一種「haccessible」眼鏡，可以記錄你的活動與行為，萬一你被冤枉，被指控犯了罪，可以將此作為「數位不在場證明」，還自己清白。就政治上而言，手機讓每個市井小民可以拍下警察與政治人物，揭露他們濫權的一面，並將其醜行上傳到更大的網路世界。</p> <p>每個極權政府的夢想，也幾乎是每一位公民的夢魘，就是能夠在合法統轄範圍的內外，滴水不漏地監視每一個人、每一件事，在某種程度上，這等於是最極端的統治權類型。極權主義的動力也許是為了赤裸裸的權力，但深層的理由是掌握資訊，以利有效且睿智地統治。大數據讓這樣全面監控的渴望歷來首見地更進一步貼近現實，社會鼓勵監控現象，大家不僅會自我監控，也自願讓菁英監控他們。</p> <p>唯一逃過被監看命運的，似乎是菁英以及資本主義制度本身。</p> <p>這個更新版的老大哥標榜主動出擊，而非被動反應，鼓勵個體善用數據提升自己的狀態與福祉，全面監控成了個人獲得健康幸福和專業成就的先決條件。利用數據與自我追蹤技術，對自身及他人都是一種道德義務，以創新又有效的方式，「事半功倍」地提高自己對社會與職場的正面影響力。</p> <p>全面監控是全方位的公共症候群（public syndrome），大家集體憂慮自己被社會監控與公審。然而這種全面監控也可以透過各種自我監測的行為，包括使用線下或線上的「生活教練」、「電腦監控」工具追蹤各種進度，以激勵自己不斷提高個人目標。另一個較不明顯，但無損其影響力的是社群媒體的功能，可以被用來定期（往往是不知不覺中）規範我們的行為。藉由固定上網（寫日誌或登錄社群媒體），我們把真實人生的自我攤在明處與暗處的網路追蹤與教化的框架裡。我們透過自我監控，希望能打入不同的線上網絡、被這些網絡接納，而數位控制技術因為我們的自我監控被進一步強化，亦即，分享我們的成敗有助於建立支援網，激勵我們進一步朝實現個人及專業成就邁進。</p> <p>不過，數據監測最讓人察覺不到其存在之處，可能是它做起來方便得很。的確，捍衛網路隱私並非易事，但更難的是顛覆數位老大哥的監視。難怪大家乾脆接受這個事實：菁英擁有我們的數據，多數人是愛怎麼使用就怎麼使用。當局為了自己的利益，也會任意使用這些數據，其實不令人意外。要避開這些看似無所不在的數位控制愈來愈困難，除了讓人心煩，同時也讓人愈來愈不戰而潰，自願被監視。<strong>（摘錄整理自《隱形牢籠》，時報出版）</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <a href="https://shop.readingtimes.com.tw/SalePage/Index/7015383" target="_blank"><span style="color:#3399ff;"><strong>隱形牢籠：監控世代下，誰有隱私、誰又有不受控的自由？</strong></span></a></p> <p>彼德．布隆（Peter Bloom）／著；王曉伯、鍾玉玦／譯</p> <p>時報出版</p> <p>售價：450元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>彼德．布隆（Peter Bloom）</strong></span></p> <p>英國公開大學（Open University）人民與組織系的系主任及資深講師，REEF（Research into Employment, Empowerment, and Futures）研究團隊的共同創辦人。</p> <p>除了在國際知名期刊上發表學術著作之外，也曾在國際和國內頂級媒體上發表作品，包括《華盛頓郵報》、《衛報》、《獨立報》、《新政治家》、《周刊》（The Week）、對話網（The Conversation）、開放民主網（openDemocracy）等。</p> </div></div></div>
2021/5/28 07:00未署名https://www.ithome.com.tw/article/144564
Google一口氣推出3項全新資料運用服務，打造涵蓋資料湖、資料庫與資料倉儲的整合式資料管理架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周於線上舉辦資料雲端高峰會（Data Cloud Summit），一口氣推出3項全新的資料運用服務：Dataplex、Datastream和Analytics Hub，協助企業強化多項資料運用的能力，從分析資料、交換資料到擷取和複製資料。</p> <p>Google雲端資料庫、資料分析及Looker商業智慧平臺總經理暨副總裁Gerrit Kazmaier在視訊記者會上表示：「必須把資料視為一種能力，可以將所有相關面向整合為一。」因此，Google此次發布的三項新解決方案利基於自家整合式資料平臺，涵蓋了Google旗下多項資料庫和資料分析產品，要協助企業運用新服務打破資料孤島，在不斷變化的環境中，利用即時資料分析結果，動態地制定和調整決策。</p> <p>針對企業欲分析散落四處的資料的需求，Google推出了整合式資料管理服務Dataplex，打造了一個智慧資料網路架構，能將自家GCP平臺的資料倉儲服務BigQuery、資料分析服務Dataflow等，與開源工具結合在一起。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dataplex.png" style="width: 600px; height: 308px;" /></p> <blockquote><p>圖片來源：Google</p> </blockquote> <p>Google Cloud 資料分析產品管理總監 Irina Farqood表示，企業資料現分散於各處，包含資料倉儲、資料湖、資料市集和資料庫中，還橫跨本地和不同的雲端環境，而每一個儲存環境都有自身一套處理資料的方式，來確保資料的品質、資安和治理。</p> <p>因此，企業為了進行資料分析，時常需移動、複製資料，並需建立一套追蹤流程，掌握資料的使用狀況，以及資料的使用者。Irina Farqood表示，然而，許多時候待追蹤流程啟用時，流程已經不符合使用情境，導致使用者對資料的信任度降低。</p> <p>通過Dataplex，企業可簡化資料管理作業，不用移動、複製資料，就能大規模的快速整理、保護、整合及分析其數據，縮減原本整合資料所需的時間，且資料科學家和分析師可利用自選工具，來確保資料的一致性。</p> <p>目前Google釋出的是Dataplex的Beta 版，而美國消費者信用報告機構Equifax為第一批採用該服務的企業，已將 Dataplex 納入核心分析平臺，並建立所有內部分析資料都適用的單一指令控管及管理平臺。</p> <p>另外，為了讓企業在進行資料分析的工作上，可以獲得即時性數據的分析結果，Google還新推出異動資料擷取（CDC）和複製服務Datastream，企業可以將非Google環境資料庫中的資料串流，即時擷取至GCP平臺服務，像是BigQuery、可於PostgreSQL上執行的Cloud SQL、Google Cloud Storage和Cloud Spanner。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Datastream.png" style="width: 600px; height: 333px;" /></p> <blockquote><p>圖片來源：Google</p> </blockquote> <p>而Datastream是一項無伺服器服務，會根據企業的使用狀況自動進行水平擴充，因此，企業不需自行管理基礎設施的容量。除供企業強化即時性數據分析外，企業也可通過該服務，快速複製資料庫、建立資料工作流，以及建立事件驅動架構。</p> <p>新服務首先支援的資料庫來源有，甲骨文和MySQL資料庫。Google Cloud資料庫工程總經理暨副總裁 Andi Gutmans表示，未來幾個月內，Google還將持續增加服務支援的資料庫來源，以及資料複製到的目的地。Datastream目前也是處於Beta 版階段，已採用此服務的企業有美國連鎖超市 Schnuck Markets。</p> <p>隨著企業間資料交換的需求日增，Google此次還推出了全新的資料交換服務Analytics Hub，供企業在組織內部或是與組織外部，交換資料和分析洞察，且服務支援的交換資源不僅是資料，也可共享動態儀表板和機器學習模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Analytics%20Hub%20Diagram.png" style="width: 600px; height: 300px;" /></p> <blockquote><p>圖片來源：Google</p> </blockquote> <p>Google Cloud 資料分析工程總經理暨副總裁 Debanjan Saha 表示，資料交換不是新功能，BigQuery早已支援跨組織間的資料交換需求，所以，Analytics Hub聚焦的是資料交換功能的可擴展性。新服務能協助企業整合多項數據資產，包含Google平臺上的網頁分析、搜尋趨勢等數據，還有新聞訊息、公部門資料等公開數據。</p> <p>Debanjan Saha也分享近一周企業使用BigQuery資料共享功能的狀況。根據BigQuery後臺顯示的數據，過去一周，累計有3千家企業使用資料共享功能，並交換了高達200PB的資料，顯見企業對資料交換的需求非常龐大。新推出的Analytics Hub目前則處於Beta 版階段。</p> <p dir="ltr">在資料雲端高峰會舉辦期間，Google雲端也發布了多項既有資料庫和數據分析產品的更新消息，包含了繼去年推出支援AWS的BigQuery Omni後，再發布支援微軟Azure的BigQuery Omni的Beta版，而商業智慧平臺Looker 則可正式支援Azure，還有，串流分析解服務Dataflow預計在第三季推出Prime版本，將新增自動擴充和正確配置資料工作流等能力。此外，Google雲端降低了全代管關聯資料庫Cloud Spanner的入門價格，調幅達9成。文⊙黃郁芸</p> </div></div></div>
2021/5/27 23:07作者黃郁芸https://www.ithome.com.tw/news/144662
Amazon新執行長Andy Jassy將於7月5日上任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/142590" target="_blank">Amazon今年2月宣布</a>，執行長貝佐斯（Jeff Bezos）預計於今年交棒給AWS執行長Andy Jassy的消息，本周金融時報記者<a href="https://twitter.com/DaveLeeFT/status/1397603637501693957" target="_blank">Dave Lee</a>透過Twitter表示，Jassy將在今年7月5日走馬上任。</p> <p>Lee的消息來源是貝佐斯本人。貝佐斯表示，Amazon選在7月5日交接執行長，是因為當天為Amazon的27歲生日。此外，Jassy在Amazon任職的時間幾乎與他一樣久，大家都認識Jassy，相信他將成為一個傑出的領導者。</p> <p>貝佐斯還稱讚Jassy擁有超高標準與充沛的能量，將會讓Amazon變得更特別而不甘於平凡，雖然不容易，但Jassy應該會因此而感到滿足及有趣。</p> <p>Jassy於1997年加入Amazon，當時Amazon才成立3年，繼之於2003年建立AWS服務，在2016年成為AWS執行長。而貝佐斯屆時將轉任Amazon的執行主席，將著重於各種新產品及早期專案，也會參與重要的Amazon計畫，同時將付出更多的心力在他所創立的Day 1 Fund與Bezos Earth Fund基金會、衛星公司Blue Origin，以及以個人名義買下的華盛頓郵報。</p> </div></div></div>
2021/5/27 20:06作者陳曉莉https://www.ithome.com.tw/news/144661
比利時內政部網路也因Exchange Server漏洞遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼本月初政府網路遭攻擊後，比利時內政部也曾遭駭客利用Exchange Server漏洞駭入網路。</p> <p><a href="https://www.ibz.be/fr/presse/le-spf-interieur-a-fait-face-a-une-cyberattaque-et-modernise-son-infrastructure-informatique" target="_blank">比利時內政部周三指出</a>，今年3月2日微軟公布的Exchange Server漏洞，影響了全球數萬組織。而比利時內政部也用了Exchange Server，也和其他數萬組織一樣受害，並在內部網路上發現後門程式。</p> <p>此外，比國政府網路安全中心（CCB）還進一步發現內政部網路上有其他可疑對外連線。初步調查顯示入侵最早可追溯到2019年4月，依據手法的複雜性，研判攻擊者有強大網路攻擊能力及豐沛資源，且依其精準攻擊策略來看，可能是樁間諜性質的竊密行動。</p> <p>比國內政部表示，發現資安問題後即在資安單位協助下採取緊急行動，制止攻擊者，移除惡意程式，並採取重要資料防護措施，同時通知該國國家危機中心、資料防護機關、比國情報機關（SGRS）、聯邦警察、聯邦檢察官辦公室、國安單位及外交事務處等單位。本案並由聯邦檢察官辦公室啟動調查。</p> <p><a href="https://www.helpnetsecurity.com/2021/05/26/belgium-interior-ministry-cyberattack/" target="_blank">比利時媒體報導</a>，該國內政部主管警務、移民、選務單位及身份證派發等相關敏感資料庫。但調查的CCB指出，比國民眾和內政部服務並未受到影響，但攻擊者確已存取了地方資料。</p> <p>在三、四月間的Exchange Server攻擊中受害政府單位成千上萬，光是美國就有三萬家組織受到影響，波及州／市政府、信用合作社、警察局、電信公司、銀行、消防單位及非營利機構。<a href="https://www.ithome.com.tw/news/144605" target="_blank">一項研究</a>解釋，這是因為在微軟公布ProxyLogon漏洞後5分鐘，駭客就已在網路上掃瞄可能的攻擊目標了，才導致那麼多組織被駭。</p> <p><a href="https://www.ithome.com.tw/news/144202" target="_blank">比利時政府網路Belnet二周前</a>才遭到不明組織發動分散式阻斷攻擊（Distributed Denial of Service，DDoS），導致內外部連線服務中斷，影響國會、研究機構等200多個單位。</p> </div></div></div>
2021/5/27 20:45作者林妍溱https://www.ithome.com.tw/news/144665
經常在臉書上分享不實資訊？你的所有貼文都會被調降觸及率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書本周針對該平臺的不實資訊分享<a href="https://about.fb.com/news/2021/05/taking-action-against-people-who-repeatedly-share-misinformation/" target="_blank">祭出了新政策</a>，一是當使用者要按讚或追蹤經常發布不實資訊的粉絲頁時，臉書將會跳出警告，二是該平臺的個人帳號若經常散布不實資訊，那麼所有的貼文都會被調降觸及率，以降低該平臺用戶接觸不實資訊的機率。</p> <p>根據臉書的說明，該平臺已經針對經常散布不實資訊的粉絲頁作了記號，因此，倘若有使用者追蹤這些粉絲頁或按讚，系統就會跳出警告視窗，說明該粉絲頁的某些貼文已被事實查核機構判定為不實資訊，希望使用者三思。不過，使用者仍能自由選擇按讚或追蹤。</p> <p>此外，臉書也將針對經常散布不實資訊的個人帳號作出懲處。過去臉書的作法只是降低不實資訊的觸及率，但即日起，若使用者經常散布不實資訊，這些個人帳號所發布的任何貼文的觸及率都會被調降，而不僅限於不實資訊。</p> <p>為了避免使用者在無意間分享了不實資訊，臉書進一步強化有關不實資訊的通知。當使用者企圖分享已被事實查核機構認定為不實資訊的貼文時，系統將會告知類似的貼文已被評為不實資訊，倘若使用者持續分享這類的貼文，可能會被調降所有貼文的觸及率。</p> </div></div></div>
2021/5/27 21:01作者陳曉莉https://www.ithome.com.tw/news/144666
微軟釋出自家OpenJDK建置版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布了<a href="https://devblogs.microsoft.com/java/announcing-general-availability-of-microsoft-build-of-openjdk/">自家OpenJDK建置版本</a>，該OpenJDK為開放原始碼版本，可供使用者免費部署。微軟提到，他們大量使用Java，內部執行超過500,000個JVM，因此微軟的Java工程小組便發展自家OpenJDK版本。這個微軟自建OpenJDK版本的特別之處，在於加入了他們認為對內部或是用戶，很重要的修補程式和增強功能，並且向後移植了部分更新。</p> <p>這項發布包含了基於OpenJDK 11.0.11+9 x64伺服器和桌面環境的Java 11二元檔，支援macOS、 Linux和Windows，另外，微軟也對在Arm上執行的Linux和Windows環境，發布了OpenJDK 16.0.1+9早期存取版本，官方提到，這個新的Java 16版本，已經被用於遊戲當個創世神（Minecraft）上，Java版本Minecraft Snapshot 21W19A，就已經綑綁了微軟OpenJDK建置版本的Java 16 Runtime。</p> <p>同時，微軟也將發布OpenJDK建置版本Docker映像檔和相對應的Dockerfile，可提供任何Java應用程式和Java元件用於包括Azure等各處。官方提到，現在釋出的這個OpenJDK 11版本將獲得長期支援，用戶會收到免費的季更新。</p> </div></div></div>
2021/5/27 21:03作者李建興https://www.ithome.com.tw/news/144651
是誰在臉書上操縱議題？前三名為俄羅斯、伊朗與緬甸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2021/05/influence-operations-threat-report/" target="_blank">臉書本周公布</a>了影響力活動（Influence Operations）威脅報告，統計了自2017年到2020年利用該平臺執行影響力活動的案件，顯示有150個相關網路從事了臉書所禁止的「協作不真實行為」（Coordinated Inauthentic Behavior，CIB）而被移除。</p> <p>根據臉書的定義，所謂的影響力活動指的是協作以操縱或破壞公共的辯論，來實現戰略目標。這些活動透過各種新興的社交平臺、部落格、報紙或雜誌上，針對公共辯論議題展開行動，活動的操作者有時來自政府，有時來自商業實體，或者是政客，也會有陰謀與政治團體。</p> <p>調查顯示，這150個CIB活動源自逾50個國家，它們通常使用假帳號來建立粉絲頁或社團，而且不僅操作自己國家的議題，也企圖操縱其它國家的議題，包括有45%的比例操縱國內議題，38%的比例操縱國外議題，另外的17%則同時涉及國內/外議題。</p> <p>最常在臉書上執行CIB的前五大國家為俄羅斯、伊朗、緬甸、美國與烏克蘭，至於最常成為操縱目標的前五名國家則是美國、烏克蘭、英國、利比亞與蘇丹。</p> <p>臉書僅公布被移除的CIB網路為150個，並未揭露因涉及相關CIB網路而被移除的帳號、粉絲頁或社團數量。</p> </div></div></div>
2021/5/27 21:22作者陳曉莉https://www.ithome.com.tw/news/144667
即日起，全球臉書與Instagram用戶都可藏匿按讚數
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Instagram（IG）<a href="https://about.instagram.com/blog/announcements/giving-people-more-control" target="_blank">於本周宣布</a>，即日起該平臺及臉書用戶都可選擇藏匿按讚數，包括拒絕看到動態消息上貼文的按讚數量，以及隱藏自己貼文的按讚數，正陸續於全球部署此一新功能。</p> <p><a href="https://www.ithome.com.tw/news/132820" target="_blank">臉書</a>與<a href="https://www.ithome.com.tw/news/134145" target="_blank">IG</a>自2019年就開始測試此一功能，當時IG曾透露，他們企圖替平臺減壓，讓它不再那麼競爭，使人們有更多的餘裕專注在喜歡或啟發他們的事物上，隱藏按讚數將能減少社會比較，亦能減輕人們的焦慮。</p> <p>儘管該功能從小規模的測試到現今的大規模部署，但這兩個平臺並不打算完全刪除按讚數的顯示，原因是有些人認為這些數字將可協助他們判斷市場趨勢，因而決定賦予使用者選擇權。</p> <p>現在使用者不僅能夠隱藏自己貼文的按讚數量，也能夠隱藏出現在動態消息上所有貼文的按讚數量，讓平臺上的用戶能夠專心享受貼文的內容，而非按讚數量。</p> </div></div></div>
2021/5/27 21:28作者陳曉莉https://www.ithome.com.tw/news/144668
DataBricks發表安全資料共享開源協定Delta Sharing
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Apache Spark技術團隊所創立的企業Databricks，現在啟動了一項新的開源專案<a href="https://databricks.com/blog/2021/05/26/introducing-delta-sharing-an-open-protocol-for-secure-data-sharing.html">Delta Sharing</a>，這是用於即時安全交換大型資料集的開放協定，官方表示，Delta Sharing是第一個實現跨產品的安全資料共享協定。目前Databricks正積極與全球軟體和資料供應商，合作發展並推廣Delta Sharing。</p> <p>企業存在與其客戶、供應商和合作夥伴安全交換資料的需求，以零售商為例，如此就可以和其供應商即時共享銷售資料，或是供應商也能與零售商共享即時庫存，但DataBricks提到，由於共享解決方案與廠商相關，因此資料共享便受到了限制，也對不同平臺的資料供應者與消費者帶來障礙。</p> <p>而透過Delta Sharing，資料使用者就可以在Pandas、Tableau或各種實作開源協定的系統，直接連接共享資料，而不需要特別部署特定的平臺，如此便能減少存取資料的準備時間，也最大程度減少資料供應者的工作。DataBricks舉例，過去零售商要跟供應商資料分析師共享資料，分析師必須與自家IT、安全和採購團隊合作，在公司部署與零售商相同的資料倉儲解決方案，才能從資料倉儲匯出資料到資料科學工具，而這個過程可能需要歷經數個月。</p> <p>Delta Sharing的目的就是要在不需複製資料的情況下，直接即時地共享資料，DataBricks指出，大多數企業的資料儲存在雲端資料湖系統，而Delta Sharing能夠讓企業安全地以Delta Lake或Apache Parquet格式共享任何既存的資料集。Delta Sharing適合大規模應用，支援TB級資料集等對傳統解決方案是一大挑戰的共享情境，Delta Sharing利用雲端儲存系統的低成本和靈活性，可靠地共享大規模資料集。</p> <p>資料接收者可以直接從選用的工具中使用資料，不需要安裝新的平臺，Delta Sharing協定的設計讓大多數工具容易實作，而且因為以Parquet為基礎，該格式已經受大多數工具支援，因此要實作連接器非常簡單。DataBricks也強調了Delta Sharing的安全性，該協定能滿足用戶對隱私和法規的要求，可讓用戶單點執行授權、追蹤和稽核共享資料存取。</p> <p>Delta Sharing是一個簡單的REST協定，能夠安全地分享部分雲端資料集的存取權限，其利用S3、ADLS或GCS等雲端系統，可靠地傳輸大型資料集。對資料提供者來說，Delta Sharing讓用戶可以共享以Delta Lake格式儲存在雲端上的資料表格。官方提到，Delta Lake表格其實就是Parquet檔案的集合，可以按需求將現有Parquet表格，簡單地打包到Delta Lake中。</p> <p>資料提供者可以決定要共享的資料，透過執行共享伺服器來實作Delta Sharing協定，並且管理資料接收者。DataBricks在發表Delta Sharing的同時，也開源了共享伺服器實作，可供雲端供應商提供托管主機服務。當資料提供者把共享資料環境架設完成，接受者就可以使用連接器，在Pandas、Apache Spark、Rust和Python上方便地存取資料。</p> </div></div></div>
2021/5/27 21:32作者李建興https://www.ithome.com.tw/news/144655
Google發布Analytics Hub供用戶大規模交換資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google現發表跨雲資料存取服務<a href="https://cloud.google.com/blog/products/data-analytics/introducing-analytics-hub-for-data-analytics-exchanges">Analytics Hub</a>，讓用戶可以利用全託管的服務來共享資料，Google預計這項服務將會在今年第三季的時候提供預覽。</p> <p>組織間交換資料是分析策略中重要的一環，但是Google表示，傳統資料交換方法，受不可靠的資料和流程限制，而且安全威脅和隱私法規又讓交換資料變得更加困難。傳統資料共享技術，使用批次處理工作管線，該公司提到，這些工作管線運作成本高昂，也無法提供即時新鮮的資料，而且只要來源資料變更，資料共享任務便會中斷。</p> <p>傳統方法還會產生多個資料副本，帶來不必要的管理成本，還有可能使資料治理流程出現漏洞，且不支援資料獲利模式，無法供其他組織訂閱。這些限制都嚴重阻礙了資料所能帶來的好處。</p> <p>為了解決這些問題，Google開發了Analytics Hub，讓使用者可以透過發布和訂閱的方式，交換豐富的資料，並且建構起資料生態系，而且因為組織的資料從同一處共享，所以可以方便地控制和監控資料的使用方式。</p> <p>Analytics Hub是一個自助服務，使用者可以簡單地存取有價值的資料資產，包括來自Google的資料，Google提到，他們會在上面提供搜尋趨勢資料集，用戶可以查詢該資料集，並且結合自家的資料進行綜合分析。另外，用戶也可以在Analytics Hub上，提供資料讓其他組織訂閱藉以獲利，且用戶不需要負擔建構和管理基礎設施的成本。</p> <p>Analytics Hub建立在Google的雲端資料倉儲BigQuery之上，官方提到，由於BigQuery的設計架構，把儲存和運算區分開來，因此讓資料發布者可以和任意數量的訂閱者共享資料，不必因為訂閱者多，而複製多個資料副本。在BigQuery中也無須部署和管理伺服器，用戶可立即共享資料，並且利用BigQuery內建的機器學習、地理空間和自然語言功能，執行資料分析。</p> </div></div></div>
2021/5/27 21:39作者李建興https://www.ithome.com.tw/news/144663
Google推智慧資料結構Dataplex，可跨雲整合資料破除資料孤島
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布了用來破除資料孤島的資料共享產品<a href="https://cloud.google.com/blog/products/data-analytics/introducing-google-cloud-dataplex">Dataplex</a>，Dataplex是一個提供整合式分析功能的智慧資料結構（Data Fabric），可將Google雲端和開源工具結合在一起使用，供用戶快速整理、保護、整合和分析大規模資料，官方提到，透過使用機器學習功能，以及具彈性的模型，能夠大幅減少用戶花在資料處理基礎設施上的時間。</p> <p>藉由Dataplex，用戶可以自由地選擇資料儲存的位置，以獲得合適的性能與價格，並且選用符合需求的工具，除了Google雲端服務之外，用戶也能使用Apache Spark和Presto等開源分析技術。Google提到，Dataplex的重點在於讓用戶，以有助於業務的方式組織和管理資料，而不需要移動或是複製資料，因此Dataplex提供像是湖泊、資料區域和資產等邏輯結構，這些邏輯結構能夠抽象化基礎設施系統，並成為設定資料政策、安全和生命周期的基礎。</p> <p>Dataplex主打其資料智慧功能，在用戶對資料進行管理時，Dataplex會使用內建的資料品質檢查功能，自動收集結構化和非結構化後設資料，所有後設資料會自動註冊到後設資料儲存中，可供用戶搜尋和探索，Google舉例，當用戶將Parquet格式資料，寫入到Google雲端儲存桶中的時候，Dataplex會自動擷取檔案後設資料、檢查表格格式，以及執行資料品質檢查，並使得這些資料可以被查詢。</p> </div></div></div>
2021/5/27 21:40作者李建興https://www.ithome.com.tw/news/144664
研究人員揭露PDF規格的兩個安全漏洞，將允許駭客偷偷竄改已認證文件內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自德國波鴻魯爾大學<a href="https://pdf-insecurity.org/download/pdf-certification/paper.pdf" target="_blank">（Ruhr-Universität Bochum）的研究人員於本周指出</a>，PDF規格含有兩個重大的安全漏洞，將允許駭客偷偷竄改已有認證簽章（Certiﬁcation Signatures）的文件內容，而且在所調查的26款PDF應用程式中，有24款至少含有其中一項漏洞。</p> <p>研究人員說明，在PDF的規格中，定義了兩種型態的數位簽章，一是批准簽章（Approval Signatures），用來證明特定的文件狀態，一份文件可有不同的簽章，但文件上任何的變更都會造成簽章無效或出現警告；另一個是認證簽章（Certiﬁcation Signatures），提供更彈性的數位簽章文件，它雖然只能有一個認證簽章，但允許文件所有人列出可變更的文件項目，例如填寫特定欄位、替文件下注解，或者是新增批准簽章。</p> <p>這使得研究人員對認證簽章的安全性產生興趣，並針對已認證文件的變更功能展開系統性分析，發現了該規格含有兩個安全漏洞，包括邪惡注解攻擊（ Evil Annotation Attack，EAA）漏洞與鬼祟簽章攻擊（Sneaky Signature Attack，SSA）。</p> <p>不管是EAA漏洞或是SSA漏洞都能夠變更已認證文件中的內容呈現，同時保留認證簽章的有效性，還不招來任何的警告，且在所測試的26款PDF應用程式中，有24款至少含有其中一種漏洞。</p> <p>此外，研究人員也分析這26款程式在允許注解與簽章的實現上，是否符合PDF規格，也發現有11款不符規定。</p> <p>另一方面，Adobe還含有一個額外的漏洞，允許駭客於已認證的文件中執行JavaScript程式碼，帶來程式碼注入攻擊的風險。</p> <p>目前已知Adobe、Foxit與LibreOffice皆已修補了相關漏洞，而研究人員也正與全球標準組織合作發展新一代的PDF規格，以解決現有規格的缺陷。</p> </div></div></div>
2021/5/27 21:54作者陳曉莉https://www.ithome.com.tw/news/144669
特斯拉北美部份車款新車將棄雷達，改用純電腦視覺、AI感測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般自駕車結合雷達、電腦視覺及光達作為駕駛感測，不過特斯拉<a href="https://www.tesla.com/support/transitioning-tesla-vision" target="_blank">（Tesla）本周宣布</a>從本月開始，北美市場出貨的二款Tesla新車將不再使用雷達，而全部使用以電腦視覺及人工智慧（AI）為基礎的感測技術。</p> <p>特斯拉指出，從2021年5月開始，為北美市場打造的Model 3和Model Y將不再使用雷達，這會是第一批車款轉移到電腦相機視覺及神經網路處理而成、特斯拉稱為Tesla Vision的感測技術，以提供Autopilot電腦輔助駕駛系統、全自主駕駛及特定主動性安全功能。</p> <p>而今年五月以前下單的買主若可配發到這最新車種，也會在交車前經由Tesla帳號獲得特斯拉通知。</p> <p>特斯拉的Autopilot雖然名稱像是自動駕駛，但其實只是輔助駕駛功能，仍需要車主手握方向盤。若車主需要完全自駕，則必須另外花1萬美元加購全自駕（Full Self-Driving，FSD）套件。</p> <p>而在轉移期間，特斯拉警告，現有配備Tesla Vision的車子可能會有部份功能受到限制或關閉狀況。包括自動巡航（autosteer）系統最高限速每小時75英哩（每小時120公里），與前車最低車距也會拉長。此外，出貨時智慧召喚（Smart Summon）和緊急車道偏移防止功能可能關閉。特斯拉表示，會在未來幾周陸續透過無線更新軟體來回復這些功能。</p> <p>而所有Model S和Model X，包括北美市場以外的所有Tesla的Autopilot功能則仍然持續使用雷達，直到特斯拉持評估適合轉移到Tesla Vision為止。</p> </div></div></div>
2021/5/27 18:28作者林妍溱https://www.ithome.com.tw/news/144656
Amazon要以84.5億美元買下米高梅，挑戰Netflix
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大的公有雲服務供應商，也是全球電子商務龍頭<a href="https://press.aboutamazon.com/news-releases/news-release-details/amazon-and-mgm-have-signed-agreement-amazon-acquire-mgm" target="_blank">Amazon在周三（5/26）宣布</a>，已與美國知名電影製作公司米高梅（Metro-Goldwyn-Mayer，MGM）簽署併購協議，準備以84.5億美元買下MGM，以強化自家Amazon Studios的實力。此外，納入米高梅的Amazon將更有機會動搖Netflix於串流影片市場的龍頭地位。</p> <p>米高梅成立於1924年，專門製作與發行影片，迄今已製作超過4,000部電影，以及1.7萬部的電視影集，曾獲頒逾180次的奧斯卡金像獎，以及100次的艾美獎。</p> <p>至於Amazon Studios則是Amazon在2010年成立的影像工作室，初期著重於開發電視節目，在2015年正式投入電影製作，負責Amazon Prime的影片服務。</p> <p>根據<a href="https://www.businessofapps.com/data/netflix-statistics/" target="_blank">BusinessofApps</a>的統計，在全球的串流影片市場中，以Netflix擁有超過2億的訂閱用戶居冠，而Amazon Prime則以1.5億訂閱用戶排名第二，第三名為Disney Plus的8,700萬用戶，Hulu與HBO Max則分別以3,900萬用戶及3,800萬用戶，位居四、五名。</p> <p>負責Prime Video與Amazon Studios的Amazon資深副總裁Mike Hopkins表示，此一交易真正的財務價值在於寶貴的智慧財產權，未來Amazon將於米高梅團隊攜手深入挖掘。</p> <p>根據美國媒體的報導，過去蘋果與Netflix都曾經對米高梅產生興趣，最後皆不了了之。Amazon與米高梅並未公布此一合併案的預計完成時間，僅說等待監管機關的核准，外界則揣測該交易可能引來反托拉斯調查。</p> </div></div></div>
2021/5/27 18:44作者陳曉莉https://www.ithome.com.tw/news/144657
行動程式要求用戶必須給先3顆星才能使用，疑已遭蘋果下架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名軟體工程師K<a href="https://twitter.com/keleftheriou/status/1397288720357679104" target="_blank">osta Eleftheriou本周透過Twitter揭露</a>，蘋果App Store上的UPNP Xtreme程式強迫用戶要先給予3顆星以上的評價才能使用，否則就無法運作，在被媒體披露之後，UPNP Xtreme的下載頁面不復存在，疑似已遭蘋果下架。</p> <p>UPNP Xtreme宣稱可協助使用者將iOS裝置上的影片串流到電視上，迄今已有超過1,500萬次的下載量。不過，當使用者安裝之後，它卻要求使用者必須先賦予3顆星以上的評價，否則就會一直停留在該評價視窗，而無法繼續使用。</p> <p><a href="https://www.theverge.com/2021/5/26/22454468/ios-app-scam-review-3-star-force-review-process-apple?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">The Verge</a>複製了Eleftheriou的行為，證實在開啟UPNP Xtreme之後，若是只給予一顆星或兩顆星，該程式將會不為所動，而且也無法關閉該評價視窗，除非選擇3顆星以上的評價才能開始使用程式。</p> <p>Eleftheriou指出，這代表使用者不應信任App Store的評價，更嚴重的是，任何開發者都可輕易部署詐騙評價，並不只有UPNP Xtreme；蘋果宣稱該公司對程式有強大的審核流程，但是假評價其實透過自動化機制就能查到，顯示蘋果一點都不在乎此事。</p> <p>其實<a href="https://developer.apple.com/documentation/storekit/skstorereviewcontroller/requesting_app_store_reviews" target="_blank">蘋果在提供給開發者的文件中</a>便有清楚的說明，指出開發者應該避免在使用者一開啟程式時就要求給予評價，就算不是第一次開啟也一樣。</p> </div></div></div>
2021/5/27 19:17作者陳曉莉https://www.ithome.com.tw/news/144660
疫情在臺擴散期間，記憶體大廠威剛公告部分資通系統遭病毒攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一年來，臺灣上市公司遭病毒攻擊事件不斷，最近疫情在臺擴散期間，又有國內科技大廠遇害。在昨日（26日）傍晚，記憶體大廠威剛（ADATA）於臺灣證券交易所發布重大訊息，揭露遭病毒攻擊事件，導致部分資通系統受影響。</p> <p>依據該公司所說明，這起事件發生在5月23日，當天是周日，他們偵測到有部分資通系統遭病毒攻擊，在事件發生後，他們的資安團隊當下已做出應變，包括啟動相關防禦機制與備援系統，並與專業資安人員合作進行事件處理，同時拉高公司本身的網路安全層級。</p> <p>為了確認此次病毒事件的狀況，我們也詢問威剛，該公司目前還沒有回應，無法肯定這次事件就是遭受勒索軟體攻擊，或是哪一隻勒索軟體所為，以及產線是否受影響。至於更多事件調查結果，仍有待業者公布。</p> <p>關於這次事件的影響，依據該公司的說明，雖然內部資通訊系統出狀況，不過目前受影響的伺服器陸續復原中，僅5月24日後的出貨作業受到些微延誤，但威剛表示影響不大，而這次事件也不會對公司造成重大影響。</p> <p>值得注意的是，由於臺灣在這兩周受到疫情擴散的影響，目前全國升至第三級疫情警戒，許多企業已經採取分流辦公，或是啟動在家上班來應變，恐變成近期常態，然而，近年來臺灣企業遭遇網路攻擊事件一再發生，企業在這個時期的安全防護，以及資安事件應變能力，可能成為一大隱憂，企業必須重視。</p> <p>另一焦點在於，自今年4月27日後，臺灣證券交易所宣布重大訊息處理程序有新的修訂，內容是當上市公司發生重大資安事件時，需發布重大訊息對外揭露。而威剛這次在證交所揭露遭病毒攻擊事件，也成為法規明訂後的第一起資安事件重大訊息。</p> </div></div></div>
2021/5/27 18:01作者羅正漢https://www.ithome.com.tw/news/144654
Google投資的自主飛行技術公司Merlin將投入空中運輸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研發定翼式無人機自主飛行系統的新創公司Merlin Labs，<a href="https://www.prnewswire.com/news-releases/merlin-labs-announces-25m-funding-round-and-partnership-to-bring-autonomy-to-55-aircraft-fleet-301300079.html" target="_blank">近日取得</a>Google旗下投資部門GV等公司注資2500萬美元，也將開始發展無人機空中運輸機隊。</p> <p>Merlin Labs這輪2500萬美元投資者除了GV（原Google Ventures），另有First Round Capital、西德州原油（WTI）及其他創投公司。</p> <p>Merlin Labs發展定翼式飛行器的自主系統，號稱已經示範過數百趟不同機型的自主飛行，包括雙渦輪螺旋槳發動機。該公司平臺可支援多種飛行器，仰賴機上自主系統，而非操作員遠端控制，現已整合到公、民用飛機上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-merlin%20labs-2.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Merlin labs</span></p> <p>Merlin Labs同時也宣布和空中運輸服務外包商Dynamic Aviation合作，將把其無人機飛行系統部署到後者King Air空中機隊的55架飛機上，支援公家及商業運輸任務。目前雙方已經在加州莫哈維太空發射中心（Mojave Air and Space Port）測試第一架King Air飛機的自主飛行。</p> </div></div></div>
2021/5/27 16:40作者林妍溱https://www.ithome.com.tw/news/144653
微軟於Microsoft Power Apps中嵌入GPT-3，以自然語言就能開發應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://powerapps.microsoft.com/en-us/blog/introducing-power-apps-ideas-ai-powered-assistance-now-helps-anyone-create-apps-using-natural-language/" target="_blank">微軟周二（5/25）宣布</a>，Microsoft Power Apps成為首個嵌入GPT-3自然語言模型功能的客戶端產品，將協助使用者以自然語言撰寫應用程式，完全不需要知道如何撰寫程式碼或公式。</p> <p>GPT-3為OpenAI所發表的自然語言模型，它受訓於1,750億個參數，能夠根據自然語言的提示來理解及產生類似人類的文本，現為全球最大的文字產生器模型，可用來寫詩、發表推文、寫文章、摘錄郵件、回答問題，還能把自然語言變成程式碼。</p> <p>去年9月，微軟宣布已取得GPT-3的獨家授權，此一授權允許微軟將GPT-3嵌入微軟的各式服務與產品中，而在Microsoft Power Apps中的新功能就是初期的應用之一。至於Microsoft Power Apps為微軟Power平臺的五大功能之一，主要用來撰寫低程式碼的客製化商業應用程式。</p> <p>因此，在Microsoft Power Apps中整合GPT-3的能力，即可協助只有少數程式撰寫能力，或是完全缺乏程式撰寫經驗的人建置應用程式，例如當員工要打造一個電子商務程式的時候，只要利用自然語言「找出名稱中以Kids開頭的產品」，一個已經過微調的GPT-3模型就能自動將它轉換成低程式碼語言Microsoft Power Fx的公式「Filter(‘BC Orders’ Left(‘Product Name’,4)=”Kids」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-powerapps-500.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://powerappsblogscdn.azureedge.net/wp-content/uploads/2021/05/GPT-3-GIF-2.gif" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>同樣的，企業員工也能用它來審查非營利機構的捐贈、管理疫情的出差事項，或是減少維護風力渦輪機所需的加班時間。</p> <p>不過，微軟強調，該功能並不能取代員工理解他們所導入程式碼的需求，而是用來協助正在學習Power Fx語言的員工，幫助他們選擇正確的公式以得到所需的結果。</p> <p>整合GPT-3的Microsoft Power Apps新功能，將在今年6月底前針對北美市場提供預覽版，目前僅支援英文。</p> </div></div></div>
2021/5/27 15:23作者陳曉莉https://www.ithome.com.tw/news/144649
【疫情日報】紓困4.0準備中！行政院紓困金額加碼至6,300億元，紓困措施延長至明年6月30日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院會後記者會宣布通過特別條例修正草案，將疫情紓困方案將延長至明年6月30日，同時紓困預算上限從原本的4,200億元，修正提高到6,300億元，目前已送立法院審議。通過後，將立即針對符合條件的個人和團體來發放。</p> <p><strong><span style="font-size:22px;">3大紓困原則聚焦個人、產業和貸款，還要強化數位分流</span></strong></p> <p>行政院政務委員兼發言人羅秉成指出，近來疫情嚴峻，目前休閒娛業、觀展觀賽業和教育學習業等三大產業都已停業，而相關產業如餐飲、零售、運輸、旅遊、住宿業等也都受到波及，影響生計。</p> <p>為改善這個問題，行政院5月13日通過特別條例修正草案，將紓困措施延長至明年6月30日，此外也將紓困預算上限，從原本的4,200億元提高為6,300億元。羅秉成指出，行政院期望立院朝野黨團能盡速三讀通過，之後，行政院將在第一時間編制預算，經行政院會審核再送請立法院審議後，「在最短時間內啟動紓困作業。」</p> <p>行政院已經要求各部會統籌手邊資源、依照國發會紓困三原則進行細部規劃，包括個人要加快，以去年建立的發放制度為基礎，加速撥付；再來是產業要加強，立即寬列支援受影響的產業；最後是貸款要加碼，不僅要增加額度，也要進行數位分流，簡化申請、提高效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%89%E5%8E%9F%E5%89%87.PNG" /></p> <p><strong><span style="font-size:22px;">去年衝擊傳統製造業，今年則重挫內需消費型產業</span></strong></p> <p>國發會負責發起紓困方案計畫，國發會經濟發展處處長吳明蕙表示，據統計，因為防疫有成，臺灣去年啟動的紓困金額與GDP占比為2.1，是全球先進國家中最低。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GDP.PNG" /></p> <p>而從去年紓困金執行成果來看（至今年4月30日），共補助了524萬人、現金發放1,393億元，吳明蕙強調，臺灣去年經濟成長率居已開發國家之冠，達3.11％，今年第一季更衝高至8.16％。</p> <p>但是，近日疫情大爆發，對產業和個人的衝擊程度遠高於去年，因此需要一套新的紓困4.0方案來應對。吳明蕙分析，去年因國外疫情嚴峻，臺灣受衝擊的產業主要是傳統製造業，而今年國內疫情升溫，首當其衝的反而是內需消費型產業。</p> <p>不只如此，近幾周防疫措施嚴格，國內休閒娛業、觀展觀賽業和教育學習業等三大產業都已停業，而餐飲、零售、運輸、旅遊、住宿業等產業，也因不得群聚、移動的防疫規定而受到衝擊。</p> <p><strong><span style="font-size:22px;">三原則加碼紓困，針對200人以下中小企業加碼</span></strong></p> <p>國發會也提出紓困4.0的三原則，也就是個人要加速、產業要加強、貸款要加碼。吳明蕙解釋，個人部分有4大重點，包括針對弱勢加發生活補助、針對民眾發放急難紓困救助金，再來是給予農漁民生活補貼，第3是針對自營作業者和無一定雇主者給予勞工生活補貼，最後則是給予遊覽車、計程車司機、導遊等生活補助。</p> <p>國發會主委龔明鑫補充，個人紓困以去年機制為基礎，每個月加碼補助1,500元給中低收入戶，農漁民則是1萬元補助金。</p> <p>在產業部分，則是要加強紓困力道，「不管是營運資金還是薪資補助，都包含在內。」吳明蕙進一步指出，紓困產業涵蓋服務業、觀光運輸業、教育業、藝文業、農漁業等5大產業，其中，服務業紓困對象為商業服務業和會展業者，光觀運輸業則包含旅宿、旅行、觀光遊樂業者，而航空業和機場業者也能申請相關使用費和權利金補貼。同理，位於北中高國際航廈內的商業服務業者，也在紓困補貼對象內。</p> <p>再來，教育業紓困對象除了運動業、社大、留遊學業者外，受停課影響的私立幼稚園、短期補習班、課後照護中心也在範圍內，而高中以下學校的團膳業者也能申請補助。</p> <p>藝文業補助範圍則涵蓋藝文業者的薪資和營運補貼，以及藝文場館的租金減免和規費補貼。農漁業則針對農漁經營業者。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%94%A2%E6%A5%AD%E8%A3%9C%E8%B2%BC.PNG" /></p> <p>在紓困貸款方面，央行針對200人以下的中小企業貸款，加碼1,000億元額度。此外中小型企業、觀光業、航空業、大型藝文業和農業等也能獲得利息補貼。甚至，中央提高勞工個人紓困貸款金額，最高至10萬元。</p> <p>吳明蕙也強調，小規模攤販、小吃、商圈、藝文團體、社大、醫療團體和社福等業者，也在這次紓困貸款的受惠對象內。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B4%93%E5%9B%B0.PNG" /></p> <p><strong><span style="font-size:22px;">今日新增401例本土，中央強化第三級措施、更新解隔離</span></strong></p> <p>中央流行疫情指揮中心27日宣布新增401例本土案例、266例校正追加，另有5例境外移入，共671例。指揮中心也更新輕症處置和解除隔離條件，就輕症處置來說，退燒至少1天且症狀緩解、距發病日已滿10天，滿足這兩條件的無症狀或輕症患者得以返家、進行7天居家隔離，但不得搭乘大眾運輸工具。</p> <p>就解隔離條件來說，符合以下三條件即可解除：退燒至少1天且症狀緩解、距發病日已滿10天，且檢驗結果為陰性或CT值小於等於30。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/05_210527%E5%9A%B4%E9%87%8D%E7%89%B9%E6%AE%8A%E5%82%B3%E6%9F%93%E6%80%A7%E8%82%BA%E7%82%8E%E7%A2%BA%E8%A8%BA%E5%80%8B%E6%A1%88%E8%99%95%E7%BD%AE%E5%8F%8A%E8%A7%A3%E9%99%A4%E9%9A%94%E9%9B%A2%E6%B2%BB%E7%99%82%E6%A2%9D%E4%BB%B6_%E5%B7%A5%E4%BD%9C%E5%8D%80%E5%9F%9F%201.jpg" /></p> <p>鑒於國內疫情嚴峻，行政院政務委員兼發言人羅秉成指出，行政院宣布強化三級措施，包括外出全程配戴口罩，不再勸導、直接開罰；結婚不宴客、喪禮不公祭；宗教活動全面暫停辦理，宗教場所也暫停開放。</p> <p>另外中央也將鎖定不得營業的休閒娛樂場所，進行嚴查，若違反規定將嚴格法辦。第五項措施則是餐飲業一律外帶，賣場及超市加強人流管制，鼓勵「少去多買、一次買足。」</p> <div aria-describedby="bubble-14" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: 38px; top: 47px; opacity: 1;"> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowup" style="left: 622.5px;"> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2021/5/27 15:39作者王若樸https://www.ithome.com.tw/news/144650
微軟Microsoft 365團隊修補把自家郵件直接移至垃圾桶的臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Microsoft 365服務在臺灣時間<a href="https://twitter.com/MSFT365Status/status/1397664020828540930" target="_blank">今天凌晨五點左右出現了一個臭蟲</a>，會將可靠寄件者發送的郵件直接移至垃圾桶，包括來自微軟自家Outlook與Exchange Online的郵件，不過，微軟已修補了該臭蟲，並正在重新處理這些被錯放的郵件。</p> <p>其實Microsoft 365團隊在一小時後就找到了原因，回復了造成郵件被錯放的某項變更，並重新處理郵件，約莫在兩小時之後，絕大多數的郵件都已被重新寄至收件匣，但可能是因為郵件量太大，直至早上9點仍在陸續處理中。</p> <p>雖然時間很短暫，但已經有使用者抱怨員工收不到件，還說之前Microsoft 365才解決把正常郵件歸類為垃圾郵件，現在竟然直接把郵件移至垃圾桶。不論如何，倘若有Microsoft 365用戶今早未收到該收到的郵件，不妨先去垃圾桶看看。</p> </div></div></div>
2021/5/27 16:01作者陳曉莉https://www.ithome.com.tw/news/144652
iThome 2021 CIO大調查（上）一起抗疫靠IT
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1026-23-feng_mian_p1-dou_zi_-open-960x420_kao_bei_.jpg?itok=rM6idsQ0" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣COVID-19疫情擴大，全國五月下旬更提高到疫情警戒第三級，零接觸需求暴增，早在過去一年，許多企業不只加速數位轉型，更積極部署IT來抗疫</p> </div></div></div>
2021/5/27 07:00作者王宏仁https://www.ithome.com.tw/article/144549
淺談視覺化前的資料清理
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在面對真實資料來源時，我們可能思考如何轉換為程式中可運行的資料，這個過程往往比動手寫程式要花更多的時間，因為人類可讀的資料與機器可讀的資料，往往有著極大的不同。</p> <p><span style="font-size:28px;"><strong>機器資料？人的資料？</strong></span></p> <p>試著以繪圖為任務，把玩NumPy之類的資料處理程式庫時，雖說我有具體目標，在功能龐大的API中，逐漸熟悉基礎觀念，然而，說實話，這終究只是停留在使用API的程度，與資料處理有一段距離。</p> <p>這是因為以繪圖為任務時，多半涉及的是自動生成、自動衍生，也就是給幾個參數、產生一組資料，這些資料基本上就是由程式生成，因為要給程式中其他API使用，自然地會去符合API要求的格式；就算是讀入圖檔進行影像處理之類的任務，其資料來源本身通常也是某種圖檔格式，也就是多半已是機器可讀的形式，影像處理基本上是將之轉換為另一個機器可讀的格式。</p> <p>虛構的資料來源多半也接觸不到實際的資料處理，例如，虛構一個CSV檔案，欄位為「數學,英文,物理」，各列資料為「90,99,100」的格式，這樣的資料太乾淨了，某些程度上是先射箭再畫靶的概念，腦袋中已經被程式庫的API給框住，然後設計出一個虛假但符合程式庫格式的資料罷了。</p> <p>真實世界中的資料來源，不一定是專門為了給機器或程式庫判讀而設計，例如，以臺灣證券交易所的<a href="https://www.twse.com.tw/zh/page/trading/indices/MI_5MINS_HIST.html" target="_blank">發行量加權股價指數歷史資料</a>為例，下載的CSV檔案中第一列會有標題文字，日期欄位的內容會是"110/01/04"，而指數部份會是"14,720.25"的格式。</p> <p>這看來好像沒什麼，不過日期、指數等格式，其實都是給人看的資料，機器可不需要那些斜線、逗號之類的視覺輔助符號，如果以讀取後想要將資料視覺化，例如，以顯示指數線圖或K線圖之類的圖形為目標，也必須面對基本的資料清理問題。</p> <p><span style="font-size:28px;"><strong>純NumPy的方案</strong></span></p> <p>因為指數歷史資料是CSV檔案，第一個會想到Python內建的csv模組，然而，這免不了要使用for之類帶有迴圈概念的語法，若你使用NumPy，可能不想這麼做，而想要遵循陣列程式設計的典範，以便善用NumPy的一些特性。</p> <p>numpy模組的loadtxt函式可以載入文字檔案，預設會以空白、換行來切出列行，並轉換為np.float64形態；然而，可以使用delimiter參數指定分隔符，並使用converters參數指定行（column）轉換器，透過這兩個參數，基本上，就能自行剖析每一列文字。</p> <p>另一方式是透過numpy模組的fromregex函式，它可以指定規則表示式，用括號分組來捕捉資料，例如，regex=r'"(.+)","([\d,.]+)","(.+)","(.+)","(.+)",'，底下程式片段，就能捕捉到指數歷史資料的各個欄位：</p> <pre> hist = np.fromregex('MI_5MINS_HIST.csv', regex, encoding = 'Big5', dtype = np.str)</pre><p>hist是NumPy陣列，因而想取得第n行，就能透過hist[:,n]，但資料目前都是字串型態，若要在Matplotlib繪製線圖，須將"14,720.25"的數字格式剖析為浮點數，最簡單的方式是透過Python內建的locale 模組，設定區域化的數值格式，之後將locale.atof向量化，以便剖析NumPy陣列的元素，例如：</p> <pre> locale.setlocale(locale.LC_NUMERIC, 'zh_TW.UTF-8') atof = np.frompyfunc(locale.atof, 1, 1) # 向量化</pre><p>這麼一來，atof(hist[:,n])就可以將第n行的指數資料剖析為浮點數，然後用Matplotlib來繪製線圖了，若對完整程式實作有興趣，我們可參考<a href="https://bit.ly/2PEIzc4" target="_blank">〈NumPy載入文字檔〉</a>與<a href="https://bit.ly/3fMC0Px" target="_blank">〈Matplotlib軸的格式〉</a>。</p> <p><span style="font-size:28px;"><strong>透過Pandas的DataFrame</strong></span></p> <p>對於表格型態的資料，透過（基於NumPy的）Pandas處理會方便許多，畢竟Pandas的DataFrame型態，提供了許多（二維）NumPy陣列沒有的便捷方法，而且整合了Matplotlib的基本繪圖，很適合讀入CSV之類的資料並進行視覺化，而且Pandas提供了豐富的API，可以讀取各種格式的檔案，支援的檔案格式可以參考官方<a href="https://bit.ly/2RedOLH" target="_blank">〈Input/output〉文件</a>。</p> <p>然而，這並不表示現實生活的資料載入後，不用任何清理，例如，pandas模組的read_csv可以讀入CSV檔案傳回DataFrame，然而，若讀入方才的指數歷史資料CSV，最後一行會是NaN，這是因為來源CSV檔案每一列最後都有逗號，等於多一個欄位，而該欄位沒有資料，這時Pandas會自行補上NaN。</p> <p>因此，初步的清理，可以是透過DataFrame的iloc[:,:-1]來去除該行，或者是透過read_csv的usecols參數，指定要使用哪些欄位；另外，可指定read_csv的index_col參數為'日期'，DataFrame的plot方法繪圖時，索引行預設成為x軸，也就不用特別剖析日期。</p> <p>然而，指數的部份，需要數值才能繪圖。若是DataFrame，可以透過applymap方法，指定方才的atof函式，來套用全部的元素（索引行元素不會參與），後續呼叫DataFrame的plot方法時，就會自動將全部的行以線圖來繪製。</p> <p>既然股市的指數能以線圖方式展現，你可能會想，能否畫個K線圖（candlestick chart）？這需要<a href="https://bit.ly/3uvdGpu" target="_blank">Matplotlib的mplfinance</a>，不過，mpl-finance已無維護，在2019年，Daniel Goldfarb接手該專案，folk並更名為mplfinance。</p> <p>mplfinance會使用日期作為索引，來源DataFrame的索引行必須是DatetimeIndex實例，實作上可以透過read_csv的index_col參數指定索引行，雖然read_csv有個parse_date參數，不過因為指數歷史資料的CSV檔案中，日期使用的是民國年，而parse_date在剖析日期時必須使用西元年，因此必須改使用read_csv的date_parser參數，指定自訂的剖析器。</p> <p>mplfinance預設接受的DataFrame，欄位名稱與順序上必須是'open'、'high'、'low'、'close'，以及一個選擇性的'volume'，這可以直接更改DataFrame的columns，或是呼叫mplfinance的plot時，透過columns參數指定自訂的欄位名稱，要注意的是，雖然'volume'是選擇性的，不過呼叫mplfinance的plot時自訂欄位名稱時，必須都列出來。若想看看完整程式實作的樣貌，我們可以參考<a href="https://bit.ly/39PrjI7" target="_blank">〈Pandas輸入輸出〉</a>。</p> <p><span style="font-size:28px;"><strong>給人讀還是機器？</strong></span></p> <p>實際上，無論是NumPy、Pandas、Matplotlib或是mpl-finance，掌握基礎API的使用，都不算太難，然而，在面對真實資料來源時，就算只是要單純視覺化，如何轉換為程式中可運行的資料，這個思考過程，往往比動手寫程式前要花更多的時間。</p> <p>這是因為，有許多資料來源，往往是以人類易於閱讀或理解的觀點來規畫或格式化，因而經常會有多重的訊息，例如欄位中除了數值，可能還有附註、括號或其他視覺上輔助的符號，才會增加程式上清理的麻煩。</p> <p>從另一方面來說，如果產出的資料，本身就是打算給機器閱讀，或許就要對機器方面做些思考，而不是從人類的觀點來生成資料；當然，不見得會有完全適切的資料格式，試著多從現實來源的資料做練習，對清理方式做更多的思考，從中瞭解有哪些工具或策略可用，才是資料清理的不二法門吧！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/numpy">Numpy</a></div><div class="field-item odd"><a href="/tags/pandas">Pandas</a></div><div class="field-item even"><a href="/tags/matplotlib">Matplotlib</a></div><div class="field-item odd"><a href="/tags/mpl-finance%E8%B3%87%E6%96%99%E8%99%95%E7%90%86">mpl-finance資料處理</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div></div></div>
2021/5/27 07:00作者林信良https://www.ithome.com.tw/voice/144563
中榮試用新版快篩站系統，500筆資料上傳時間從2小時變10分鐘！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺中榮總24日率先試用改良版快篩站系統，只要10分鐘就能上傳500筆資料，遠比現行需要2小時的系統快上12倍。行政院也將視後續成效，來推廣這套新系統，解決檢驗通報塞車和校正回歸的問題。</p> <p><strong><span style="font-size:22px;">為什麼會塞車？原來是快篩站系統各家不一</span></strong></p> <p>近幾周全臺各地COVID-19篩檢量遽增，再加上原本通報流程繁瑣，造成各種塞車，指揮中心也因此提出校正回歸，將未能在2天內確認的個案回歸到推斷期間。但這一用詞引發各界爭議，行政院也請數位政委唐鳳改善快篩站通報系統。</p> <p>但快篩通報為什麼會塞車？臺中榮總資訊室主任賴來勳表示，由於現行快篩站系統由各醫院自行開發，臺中榮總亦是，因此使用介面和格式不一，難以與疾管署交換資料。此外，一般民眾進行快篩時，需由醫護人員花時間填妥民眾資料，因此無法立即採檢。</p> <p>疾管署也意識到這個問題，近日開始推動全國統一版本的快篩站系統。這次新系統經唐鳳改良，疾管署於上周五通知臺中榮總資訊室展開試用，臺中榮總也立即動員，與上周末配合測試新系統，並提供建議來精進這套國家版快篩站系統。</p> <p><strong><span style="font-size:22px;">利用簡訊實聯制概念，新版篩檢站系統掃QR Code就能快速填資料、串資料</span></strong></p> <p>這個國家版快篩站系統有如簡訊實聯制，只要掃QR Code就傳送資料。賴來勳指出，民眾在等待採檢期間，可先掃QR Code來填寫個人資料，輪到自己採檢時，告知醫護人員身分證字號即可。這時，醫護人員可透過身份證字號馬上調閱資料，省下原本手動填表的時間，也降低感染風險。</p> <p>對醫院來說，這個方法也能直接整批下載民眾填報的資料，而且「速度非常快。」賴來勳表示，這麽做大幅加速後續法定傳染病採檢資料的回報速度，「對醫院非常有幫助。」</p> <p>近來各地篩檢量和確診數大增，不少醫院傳出人力吃緊，臺中榮總也不例外。但他們院內快速調度，不少非醫護人員也投入第一線協助快篩作業，像是資訊室工程師不只寫程式，還進入快篩站幫忙作業。賴來勳本身更從5月10日開始，每天進入快篩站協助，至今沒有一日休息。他希望各方齊心一力，度過這個難關。</p> <p>而根據統計，臺中榮總24日採檢的211件中，有170件採用新系統通報，使用率高達8成。行政院也將視後續成效，來鼓勵其他醫院使用。</p> <p><strong><span style="font-size:22px;">檢驗通報流程還有這些地方卡，指揮中心也逐步改善</span></strong></p> <p>除了快篩站系統，中央流行疫情指揮中心指揮官陳時中也在23日解釋通報流程的塞車問題。他表示，民眾至社區採檢站或醫院採檢後，採檢單位通報時得填寫20多項欄位的資料，再將檢體採檢送到實驗室進行PCR檢驗。實驗室人員需登打檢驗結果，接著上傳到疾管署發布，再由人工研判個案，最後透過指揮中心在記者會上發布。（如下圖）</p> <p><img alt="https://s4.itho.me/sites/default/files/images/210523通報流程手版.jpg" src="https://s4.itho.me/sites/default/files/images/210523%E9%80%9A%E5%A0%B1%E6%B5%81%E7%A8%8B%E6%89%8B%E7%89%88.jpg" /></p> <p>而這個流程，有4個地方出問題。首先是通報階段，20多個欄位填錯1個就得全部重來，檢驗量大時非常耗時而造成塞車，目前，指揮中心已將這些欄位簡化為8個必填欄位。</p> <p>第2個問題出現在檢體送驗階段，因為送驗時，還需要多道程序才能取得條碼。指揮中心也正簡化這些程序，讓相關人員更容易取得條碼。</p> <p>第3個問題是登打檢驗結果，因為有多個欄位需重複登打，檢驗量暴增時就會拖慢登打時間。於是，指揮中心簡化登打流程，檢驗單位只需通報篩檢陽性個案即可，不需重複登打陰性個案資料。</p> <p>最後一個問題是人工判讀檢驗結果。陳時中解釋，當檢驗報告上傳至疾管署網站，地方衛生局和相關人員會進行疫調。但最後還是需要人力來綜合疫調結果、判定個案情況，才能進行下一步的法定程序，也就是開立居家隔離/檢疫書，或進行隔離治療。</p> <p>陳時中表示，在這重重判定的過程中，也有時間差產生，未來，指揮中心希望針對無異常的個案，採取自動直接判定的作法，只針對異常個案進一步檢查。</p> <div id="gtx-trans" style="position: absolute; left: 271px; top: 430px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2021/5/26 22:44作者王若樸https://www.ithome.com.tw/news/144642
Gartner：全球科技產業併購活動在去年第四季創下歷史紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場研究機構<a href="https://www.gartner.com/en/newsroom/press-releases/2021-05-24-gartner-says-global-tech-provider-mergers-and-acquisitions-activity-will-surpass-2018-highs-by-2022" target="_blank">Gartner</a>本周指出，去年第四季北美與歐洲的科技產業併購活動的交易規模達到1.264兆美元，超越了2018年第四季所創下的1.07兆美元，然而，此一紀錄的壽命可能很短暫，因為Gartner預期該產業的併購活動在2022年就會創下新高。</p> <p>Gartner資深研究總監Max Azaham表示，隨著COVID-19影響力的消退，交易的市場環境將逐漸改善，這同時也意味著收購方的競爭將日益激烈，必須以更好的條件來贏得賣家的青睞。</p> <p>從Gartner所公布的圖表可以看出，去年第一季時，北美與歐洲市場的科技產業併購規模為9,670億美元，第二季因受到疫情的影響，明顯萎縮至7,540億美元，但下半年即開始復甦，從第三季的1.026兆美元，成長到第四季的1.264兆美元。此外，在去年下半年的交易中，最受歡迎的併購標的為通訊服務供應商，其次則是服務業者與軟體業者。</p> <p>至於主要的買家則是金融服務業者，通常為私募股權公司，去年一整年有超過一半的併購對象為軟體供應商。</p> <p>另一個值得注意的趨勢是，在去年下半年的併購案中，服務市場及軟體市場交易上的收購方與賣方服務重疊的比例，各自增加了65%與40%，代表有許多交易是直接併購了競爭對手。</p> <p>Gartner認為，隨著經濟的復甦，全球（北美與歐洲）的併購活動也將快速的反彈，並在2022年創下新高峰。</p> </div></div></div>
2021/5/26 19:31作者陳曉莉https://www.ithome.com.tw/news/144640
微軟與Accenture共創綠色軟體基金會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟、Accenture、GitHub及ThoughtWorks周二（5/25）宣布成立<a href="https://blogs.microsoft.com/blog/2021/05/25/accenture-github-microsoft-and-thoughtworks-launch-the-green-software-foundation-with-the-linux-foundation-to-put-sustainability-at-the-core-of-software-engineering/" target="_blank">綠色軟體基金會</a>（Green Software Foundation），將與Linux基金會（Linux Foundation）及共同發展基金會專案（Joint Development Foundation Projects）合作，打造一個可靠的生態體系，訂出綠色軟體的標準，提供工具與最佳實作，以協助軟體產業也能跟上全球對保護環境的腳步，於2030年減少45%的溫室氣體排放。</p> <p>該基金會將致力於打造綠色軟體開發標準（Green Software Development Standard），以及支援綠色開源碼生態體系。微軟表示，倘若他們希望全球的企業都能打造綠色應用，這些企業便需要了解如何打造相關應用的開發者，因此，最重要的基礎即是訓練開發者建置綠色軟體及管理綠色專案。</p> <p>GitHub營運長Erica Brescia則說，當實現無碳軟體時，開發者在打造、部署或使用軟體時，無需是專家就能替全球環境保護貢獻一己之力。</p> <p>目前全球資料中心的耗電量約占全球所需電力的1%，而且在未來10年將成長到3~8%，該基金會的首要之務就是建立與公布各種運算及技術領域的綠色軟體標準與實作，同時培育支援綠色軟體應用的開源碼與開放資料專案，進而推動與倡導綠色軟體。</p> </div></div></div>
2021/5/26 19:38作者陳曉莉https://www.ithome.com.tw/news/144641
看上Arm趨勢，甲骨文也開始提供Arm雲端執行個體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文現在發布使用Arm晶片的全新<a href="https://blogs.oracle.com/cloud-infrastructure/arm-based-cloud-computing-is-the-next-big-thing-introducing-arm-on-oci">甲骨文雲端基礎設施（OCI）Ampere A1運算平臺</a>。甲骨文在AWS之後，也要開始提供基於Arm處理器的雲端執行個體，但有別於AWS自己設計的作法，甲骨文選擇與CPU設計新創Ampere合作，要共同開發伺服器Arm晶片。</p> <p>Arm從原本低成本低功耗的晶片，開始走向能與其他晶片供應商競爭效能的階段，甲骨文提到，在不久之後，Arm伺服器將會成為效能領導者，且具有效能一致性和高安全性的優點。過去幾十年間，伺服器CPU架構競爭激烈，競爭者包括SPARC、MIPS、POWER和x86等，但是最終由X86站上伺服器處理器主導位置，該公司認為，這個現象消滅了大多數應用程式和函式庫，跨多架構運作的需求。</p> <p>而甲骨文看到了Arm趨勢，開始投資Arm開發和執行環境，並發展Arm相關的平臺、工具和社群。現在甲骨文使用Ampere Altra伺服器處理器，先推出了Ampere A1運算平臺，該平臺能以裸機形式提供高效能運算，其具有160個單執行緒核心，核心時脈達到3.0 Ghz，並且擁有1 TB記憶體，甲骨文解釋，每個核心在設計上都是單執行緒的，具有獨立的64 KB L1 I-Cache快取、64 KB L1 D-Cache以及1 MB L2 D-Cache，可在100％的時間提供可預測的效能。</p> <p>該平臺也能以甲骨文獨家的彈性架構，靈活地調整虛擬機器規格，可選用1到80個核心，每個核心搭配1到64 GB記憶體，以良好地符合用戶的工作負載。Ampere A1運算平臺還與GitHub、GitLab和Jenkins完全整合，能夠無縫地開發和部署應用程式到Ampere A1中。</p> <p>Ampere A1運算平臺所使用的Ampere Altra處理器，每核心提供一致的效能，能以接近線性的方式縮放，因此可解決應用程式爭奪核心的問題，讓特定資源使用專用核心，並且一致地以高時脈運算。甲骨文還提到，與x86執行個體比較，Altra處理器讓應用程式只要更多執行緒，就能線性增加效能。</p> <p>Ampere A1是一個通用平臺，可以用於許多應用情境，像是執行NGINX，支援網頁伺服器、微服務和API閘道器等高吞吐工作負載，還能用於像是影片編碼，以及人工智慧推理等這類高CPU密集的工作負載。</p> <p>甲骨文表示，OCI Ampere A1的價格便宜，每核心每小時僅為0.01美元，而每小時每GB記憶體為0.0015美元，用戶可以從使用免費計畫開始。該公司表示，根據產業標準的SpecInt和SpecFP基準，Ampere A1的性價比是同類Arm的伺服器執行個體的2.5倍，而且更是同類基於x86的Intel Skylake或AMD Naples執行個體的4倍。</p> </div></div></div>
2021/5/26 19:44作者李建興https://www.ithome.com.tw/news/144636
資安一周第147期：臺灣入口網站蕃薯藤被駭資料流入駭客論壇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">5/20-5/26 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">臺灣入口網站蕃薯藤被駭資料流入駭客論壇</strong></h2> <p>許多臺灣用戶曾經使用過的入口網站，竟傳出個資在駭客論壇流竄。密碼外洩查詢網站Have I Been Pwned（HIBP）近日接獲臺灣威脅情報研究人員Still Hsu通報，駭客論壇出現來自臺灣入口網站蕃薯藤的外洩資料，而究竟有多少資料外洩？HIBP表示，該資料庫內含超過1,300萬名用戶資料。</p> <p>HIBP進一步指出，這批資料的外洩時間點為2013年6月，內含13,258,797筆電子郵件，以及這些帳號的用戶名稱、姓名、生日、電話號碼、地址，以及未加鹽的密碼MD5雜湊值。<strong><a href="https://www.ithome.com.tw/news/144589">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/147-1-yam-pwned.png" style="width: 400px; height: 420px;" /></p> <p><span style="color:#808080;">圖片來源：Still Hsu</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃醫療機構＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">愛爾蘭健康服務管理署遭勒索軟體攻擊，駭客要脅將出售民眾個資</strong></h2> <p>愛爾蘭健康服務管理署（HSE）於5月14日證實，他們遭勒索軟體攻擊，勒索近2千萬美元，此事引起當局重視，並表明不會支付贖金。當地國家網路安全中心（NCSC）介入調查，發現駭客組織Conti在成功攻擊HSE後，<a href="http://www.ithome.com.tw/news/144469">亦企圖對其主管機關衛生部（DoH）下手未果</a>。而對於HSE，駭客近期有了新的動作──他們在19日公布解密金鑰，但強調若不願付贖金，將會出售或是公布竊得的資料。</p> <p>根據新聞網站SiliconANGLE報導，駭客宣稱握有HSE超過700GB資料，涵括病患住址、電話號碼，以及員工合約、薪資、財務資料。駭客公布了27個檔案，而這些資料與12人有關。<strong><a href="https://www.ithome.com.tw/news/144555">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃關鍵基礎設施＃供應鏈攻擊</strong></h3> <h2><strong style="vertical-align: top;">險被水中下毒的佛州淨水廠事故，外包商也被駭</strong></h2> <p>今年2月，佛州奧德馬爾（Oldsmar）市淨水處理廠員工發現，有不明人士入侵公司網路，企圖調高淨水過程的氫氧化鈉，使其濃度調高到正常值的100倍，幸好及時修正而未釀成大錯。資安業者Dragos著手調查後發現，該淨水廠的外包商也被捲入攻擊事件。</p> <p>該資安業者指出，在淨水廠遭到攻擊之前，其中一家營建基礎架構外包商的WordPress網站上，出現惡意程式碼，攻擊者當時用這個網站來進行水坑式攻擊，並從連向該網站的相關系統收集資料。此外，淨水廠被駭事故當日，也出現從奧德馬市存取該網站的異常連線。<strong><a href="https://www.ithome.com.tw/news/144595">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/147-2-WWH-Picture1_Dragos.png" style="width: 400px; height: 164px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：Dragos</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">受SITA供應鏈攻擊波及，印度航空外洩450萬名乘客資料</strong></h2> <p>全球航空業知名IT服務供應商國際航空電訊集團（SITA），在3月坦承，旗下專營航空公司乘客處理系統的子公司Passenger Service System（PSS）遭到駭客入侵，此事揭露後，多家航空公司隨即發出聲明，表明受影響的程度。但直至5月19日，印度航空（Air India）才宣布自己是受害者，約有450萬名乘客的資料外洩。</p> <p>印度航空表示，他們在2月25日就收到SITA通知，但到了5月才確認所有受到影響的旅客，這些人是在2011年8月26日至2021年2月3日之間，向印度航空登記有關資料。<strong><a href="https://www.ithome.com.tw/news/144587">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞攻擊＃作業系統</strong></h3> <h2><strong style="vertical-align: top;">針對甫修補的Windows 10漏洞，研究人員公布概念性驗證攻擊程式</strong></h2> <p>研究人員Axel Souchet於5月22日，在GitHub發布概念性驗證攻擊程式，針對微軟甫於5月定期修補（Patch Tuesday）公布的重大漏洞CVE-2021-31166而來，使得資安社群紛紛呼籲Windows 10用戶，應儘速修補。</p> <p>該漏洞與HTTP協定堆疊有關，攻擊者可藉由傳送特製的封包，來濫用這項漏洞，而此漏洞一旦遭到濫用，亦可能具有蠕蟲的大量散播與感染能力。受到這項漏洞影響的範圍，包含了所有的20H2、2004版的Windows 10，以及Windows Server，且無論是Arm或x86架構的電腦都存在相關風險。<strong><a href="https://www.ithome.com.tw/news/144390">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃物聯網裝置</strong></span></h3> <h2><strong style="vertical-align: top;">Eufy監視攝影機的臭蟲導致部分用戶隱私曝光</strong></h2> <p>德國媒體MacErkopf於5月17日報導，中國安克創新（Anker）旗下的智慧家庭暨保全品牌Eufy，最近出現臭蟲，使得監視器用戶透過Eufy Security行動程式，竟能看到其他用戶家裡的監視畫面，包括即時與儲存的畫面。</p> <p>針對此事Eufy也於同日做出回應，表示當天伺服器更新的軟體存在臭蟲，而該公司於2小時內修復，他們說，只有0.001%的用戶受到影響，同時也未影響嬰兒監視器或智慧鎖等其它產品。<strong><a href="https://www.ithome.com.tw/news/144476">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃Android</strong></span></h3> <h2><strong>甫修補的Android漏洞已有4個被用於攻擊行動</strong></h2> <p>Google於5月初公布Android安全性公告，修補約50個安全漏洞。該公司近期再度更新公告內容，原因是有4個漏洞可能已經遭到濫用。Project Zero資安研究員Maddie Stone指出，相關漏洞皆存在於GPU，包含兩個源自高通GPU的CVE-2021-1905與CVE-2021-1906，另外兩個則是存在於Arm Mali GPU中的CVE-2021-28663，以及CVE-2021-28664。Maddie Stone認為，這些漏洞很可能被用於目標式攻擊。<strong><a href="https://www.ithome.com.tw/news/144536">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/147-3-android-gpu-4vul.png" style="width: 400px; height: 337px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：Maddie Stone</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃雲端配置不當＃Android</strong></span></h3> <h2><strong style="vertical-align: top;">23款Android應用程式雲端配置錯誤， 1億用戶資料曝險</strong></h2> <p>雲端服務配置錯誤的現象，很可能導致用戶存放的資料面臨曝光的風險。資安業者Check Point發現，有23款Android應用程式所使用的第三方雲端服務配置錯誤，可能讓全球超過1億的Android用戶個資曝險，包括13款程式的即時雲端資料庫缺乏密碼保護，同時，還有一些程式的開發者，把登入雲端服務的帳號密碼直接置放在程式碼內。<strong><a href="https://www.ithome.com.tw/news/144556">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">藍牙的核心與Mesh規格含有7個安全漏洞，允許駭客冒充合法裝置</strong></h2> <p>藍牙技術聯盟（Bluetooth SIG）在5月24日，揭露了7個有關藍牙規格的安全漏洞，存在於核心及Mesh Profile規格中，將允許駭客冒充合法裝置，這項弱點波及Android開源專案、思科、Cradlepoint、英特爾、Microchip，以及紅帽的相關產品。<strong><a href="https://www.ithome.com.tw/news/144613">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃法規遵循＃金融產業</strong></span></h3> <h2><strong style="vertical-align: top;">金管會揭露電支條例子法重點驗證機制</strong></h2> <p>新電子支付機構管理條例將在7月1日正式上路，對此，金管會與央行近日皆對外預告需配合修訂的授權相關子法，其中，對於電子支付的部分，要求強化電子支付機構的用戶身分確認機制，相關規範將比照銀行數位存款帳戶的分類，其身分確認強度亦分為一到三類。<strong><a href="https://www.ithome.com.tw/news/144554">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/144605">ProxyLogon公布5分鐘後，駭客就尋找攻擊目標</a><br /> ●<a href="https://www.ithome.com.tw/news/144491">Google強化Chrome密碼防護功能，能一鍵改掉外洩密碼</a><br /> ●<a href="https://www.ithome.com.tw/news/144552">微軟開源SimuLand專案，可用來部署模擬網路攻擊</a></h3> </div></div></div>
2021/5/26 15:58作者周峻佑https://www.ithome.com.tw/news/144632
Google Photos壓縮相片儲存將不再稱「高品質」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不到一周後，Google Photos無上限硬碟空間服務將終止，一般用戶最多只能免費上傳最多15GB的相片、影片及文件檔案。報導指出，為更清楚說明，Google終於將「高品質」儲存改成比較貼近真實的「Storage Saver」。</p> <p>因應去年11月宣布的政策變更，從6月1日起Google Photos將只允許用戶免費上傳最多15GB的相片和文件檔案。6月1日前上傳的任何影片或相片都不計入所占空間。<a href="https://support.google.com/photos/answer/6220791?co=GENIE.Platform%3DDesktop&hl=zh-Hant&oco=1#zippy=" target="_blank">根據Google網頁</a>，此後包括原始畫質（original quality）相片、壓縮到16MB以下的「高畫質」相片及更低的「快速備份畫質」相片及影片，全部都會計入15GB的免費儲存空間。</p> <p>為節省儲存空間，Google呼籲用戶將「原始畫質」備份的相片和影片，改壓縮為高畫質。</p> <p><a href="https://www.theverge.com/2021/5/24/22451607/google-photos-high-quality-storage-saver-tool-free-space-blurry-screenshots" target="_blank">The Verge本周報導</a>，「高畫質」有誤導之嫌，因為它指的是壓縮到16MB以下的相片，因此「很快」Google就會將之改名為「Storage Saver」。</p> <p>Google 對Pixel手機用戶也有一些優待。根據Google臺灣網頁，經由Pixel 1、Pixel 2 或 Pixel 3手機（優惠服務期間）上傳的原始畫質影片和相片，「系統不會將這些內容變更為高畫質」。</p> <p>至於Pixel 2和Pixel 3的原始畫質優惠期間，Google臺灣網頁並沒有說明。但根據<a href="https://support.google.com/photos/answer/6220791?co=GENIE.Platform%3DAndroid&hl=en#zippy=%2Coriginal-quality%2Cexp[…]high-quality%2Cpixel%2Cpixel-a-" target="_blank">Google美國網頁</a>說明，Pixel 3上傳原始影像的期限是到2022年1月1日。Pixel 2的優惠期限則已經過了：2021年1月16日。第一代Pixel 則是在手機壞掉前，都可無限上傳原始畫質影像。</p> <p>6月1日以後，除了第一代Pixel外，從Pixel 2到Pixel 5仍然保有無限雲端空間（即Storage Saver），可儲存以壓縮檔形式儲存的相片、影片及文件。</p> <p>其他手機，包括Pixel 5a、Pixel 6或未來的Pixel手機，也和iPhone、其他Android手機一樣無福享受這好康，不論是原始畫質、或壓縮的相片影片、以及Gmail、Google Drive中的文件、試算檔、簡報檔，都會計入15GB免費儲存空間的限額中。</p> <p>配合即將到來的措施，Google Photos也推出管理功能，標示出較大檔案或模糊相片以方便用戶刪除並騰出空間，還有工具告知使用者Google帳號剩餘多少免費空間。</p> <p>用戶如果希望自由上傳影片和相片，可以趁剩下的幾天時間，不然也可以如Google希望的購買Google One付費服務。</p> <p> </p> </div></div></div>
2021/5/26 16:27作者林妍溱https://www.ithome.com.tw/news/144635
【跨界資安人才】跨國跨產業資安職涯動力曲線大分享，先輩給資安新血的2大職涯發展心法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">日本知名網站資安社群OWASP中，有一名活躍的臺灣人。早在2013年，他就熱心翻譯現在業界年年必看的英文版OWASP網站十大安全風險名單，帶進日本資安圈，讓日本社群驚訝不已。他就是現在任職永豐金證券資訊安全部協理的謝佳龍，不只與OWASP結緣近10年，更兼具企業端與廠商端的海內外資安工作經驗，近日他在臺灣資安大會中，以自身經驗為例，向3年以下資歷年輕資安人才分享磨練資安技能及心態養成的作法，盼更多新血加入，為資安領域貢獻。</p> <h3 dir="ltr"><span style="color:#FF8C00;">繪製資安職涯動力曲線，詮釋自身職涯發展的困境與收穫</span></h3> <p dir="ltr">謝佳龍過去曾在日本求學與工作長達11年。他大學時就讀美國卡內基·梅隆大學的日本神戶分校，而後在攻讀碩、博士時，開始學習資安，研究了數位隱私權的相關議題。畢業後，進入一家臺灣資料外洩防護（DLP）廠商的日本分公司，接著先後進入日本最大電信集團的資安子公司以及日本最大電商企業的資安辦公室。回到臺灣之後，曾在臺灣最大電信集團內工作，也短暫在日商銀行工作，目前為永豐金證券的資安主管。</p> <p dir="ltr">為了更進一步說明每個工作經歷所面臨的困境與收穫，謝佳龍繪製出自己的資安職涯動力曲線，來剖析從事資安工作的動力起伏。比如剛開始在唸研究所時，謝佳龍對於資安領域的興趣濃厚，卻在實際接軌就業時，發現日本企業聘用博士生的意願低，加上非本國籍的身份，使他求職面臨求職不易的困境。因此，他的動力曲線在歷經第一個高峰之後，逐漸走下坡。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/188069145_1186730841755692_1192077909756117926_n.jpg" style="width: 700px;" /></p> <p dir="ltr">進入臺灣DLP企業的日本子公司工作後，雖然與客戶逐漸建立起信任關係，動力曲線稍微回升，但在公司撤出日本市場後，又開始下降。直到謝佳龍重新找了一份工作，進入了日本最大電信集團的資安子公司任職，他的動力曲線才又開始穩定成長。</p> <p dir="ltr">這份在日本電信業的工作，讓謝佳龍接觸了滲透測試、弱點掃描等資安檢測工作，也巧合地加入了資安社群OWASP（Open Web Application Security Project，開放Web軟體安全計畫），開始與社群產生連結。當時，他甚至翻譯了著名的2013年OWASP Top 10，從英文翻譯成日文版本，「連社群的人都一嚇一跳，日文版居然是外國人翻的！」</p> <p dir="ltr">在社群耕耘的經驗，也將謝佳龍帶到了第三份工作，進入日本最大電商企業的資安辦公室。原先工作是執行滲透測試，後來受到主管指示，他開始對內部員工進行資安教育訓練，對象從開發者、系統維運人員，陸續擴大到全公司，工作之餘也持續在社群中活躍，他的動力曲線也在這時候達到第二個高峰。</p> <p dir="ltr">離開這份工作後，他在日本的職涯也告一段落，選擇搬回臺灣。謝佳龍比喻，在日本找工作遭遇了一次文化衝擊，但回到臺灣工作後，卻又面臨了一次「逆文化衝擊」，「因為我已經習慣日本產業了，回來臺灣的第一份工作就感受到思維的不同。」由於在臺灣零工作經驗，他在面對臺灣客戶時，發現客戶所在意之處與過去從業經驗有許多不同，需要重新適應。過程中，他也接觸到銀行資安專案，開始對金融界資安有更多了解。</p> <p dir="ltr">這時，他的動力曲線也因逆文化衝擊而下降，不過就在進入現任職場，擔任永豐金證券資訊安全部協理後，動力曲線也持續回升，來到第三個高峰。</p> <p dir="ltr">謝佳龍解釋，在金控公司任職資安主管一職，工作內容與過去有很大差別。比如需要全盤式的進行策略規劃，來決定組織該如何分工，甚至得進行決策；還有一個與過去截然不同的學習，是以往不曾任主管時，總是想著要做什麼，但任職主管後，反而得決定哪些事不要做，「主管時間非常有限，要把精力花在對公司有幫助的地方。」</p> <p dir="ltr">這份工作，更讓謝佳龍深刻體悟了溝通的重要性，從部門內、跨部門溝通，到與資訊單位、業務單位協調，更需向上級報告。由於溝通的對象不一定具有資安背景，為了讓對方能了解自己的想法，就需要培養自己的溝通技巧。</p> <p dir="ltr">至此，謝佳龍曾任前端的售前規劃顧問（Pre-Sales），負責與客戶討論需求、規劃架構，也曾任後端技術支援的溝通協調者，向開發團隊反應客戶使用上的問題、需客製化的功能；後續也曾在企業內辦理資安教育訓練、進行資安推廣，更熟悉安全系統發展生命週期（SSDLC）的流程。這些橫跨廠商與企業兩端的工作經驗，以及從日本到臺灣的廣闊視野，都是他累積至今奠下的能力基石。</p> <h3 dir="ltr"><span style="color:#FF8C00;">以自身經驗出發，提供資安初階人員技能與心態養成建議</span></h3> <p dir="ltr">面對學生、或工作未滿三年資安人才新鮮人，謝佳龍建議，每個人都得規劃自己的職涯發展方向，「雖然計劃很常趕不上變化，但不代表就不用規劃，自己的職涯該怎麼走。」</p> <p dir="ltr">除了了解自己的職涯發展方向，也需要培養自己的技能（Skillset），從技術到軟實力都得具備。在技術方面，可以分為包括密碼學、網路安全、逆向工程、程式安全、數位鑑識等領域，而要熟悉這些知識或技能，謝佳龍建議，透過參與社群來學習是一個切入點，國內外社群包括包括UCCU、TDOH、BambooFox、AIS3、OWASP、HITCON等，都能積極參與來深化技術實力，因為在職場上，「沒有人會平白無故的教你東西，老闆、前輩都不會！」</p> <p dir="ltr">在軟實力方面，則是要具備五大技能。一是溝通能力，無論在企業端或廠商端都同等重要，若身為企業端，需透過溝通來說服上級或其他員工，也能認同自己的決策或建議，如果身為廠商端，更得具備溝通技巧，才能說服企業採用自家的服務。二則是要具備團隊合作能力，才能在資安領域合作對抗敵人，比如透過不同角色分工來蒐集情資、布建資安防護、監控防火牆Log、進行事件回應等，分工合作來面對駭客集團的攻擊。</p> <p dir="ltr">三是適應性（Adaptability），指的是面對不同產業的客戶，或是在身處不同產業從事資安工作時，不能用同一套思維套用到所有場景，要根據不同產業或環境的需求，來提供服務。四與五，則是需具備解決衝突的能力，以及領導能力。</p> <p dir="ltr">「Fit yourself/security into scenarios.（調整自己，適應不同的資安場景。）」謝佳龍以這句英文來強調，在投入職場的過程中，關鍵是要先讓自己適應不同的資安場景，才能進一步發揮自身的經驗與能力。</p> <p dir="ltr">另外，考取證照也是一大重點，網路上也有些整理圖表，告訴資安人在不同能力程度及不同專業下，應該考取哪些證照較為合適。比如美國計算機行業協會CompTIA 2019年更新的IT證照地圖（IT Certification Roadmap），就可以做為參考標準；此外，美國國家標準暨技術研究院（NIST）也公佈了國家網路安全教育倡議框架（National Initiative for Cybersecurity Education，NICE框架），將資安工作分為7大類33個專業領域，詳細查看NIST SP 800-181的規範，還能了解不同工作角色的任務，成為技能學習的參考依據。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-25%20%E4%B8%8B%E5%8D%884_45_54.png" style="width: 700px;" /></p> <p dir="ltr">除了資安技能之外，心態養成（Mindset）也是重要的一環。謝佳龍提出了一個資安VIP的心法。他解釋，這裡的VIP指的是專業（Professional）、正直（Integrity）與價值（Value）。首先，從事資安工作要具備專業性，再來，則是要將專業用在光明面，做正直的事，才能進一步產生價值，「專業與正直結合，來產生價值，就是資安VIP。」為企業帶來價值的同時，也會為自己帶來價值，讓職涯發展更進一步。</p> <p dir="ltr">選擇進入廠商端與企業端也需有不同的心態，謝佳龍以他自身經驗來看，他建議，若進入廠商端工作，「用專業解決問題，成為企業的夥伴。」有了這個態度，才能讓企業感到信任，在面對資安需求的時候，訴諸自家服務來解決問題。</p> <p dir="ltr">而在企業端資安職場工作時，謝佳龍則建議：「應用問題來培養專業，」由於資安專業領域的範圍太廣泛，但不同產業面臨的挑戰不同，因此，身在不同產業的資安工作者，不需要什麼專業都得學會，而是得根據身處不同情境下面臨的挑戰，來培養專業能力。同時，也要具備「被討厭的勇氣」，他指出，許多人不了解資安人員的工作，時常覺得資安人員無所事事，只會突然丟漏洞要開發人員修補，而面對他人的不理解，資安人員需要具備良好的心態來面對。</p> <h3 dir="ltr"><span style="color:#FF8C00;">點明資安產業零失業率、高人才缺口，盼更多新血投身貢獻</span></h3> <p dir="ltr">雖然資安工作辛苦，但謝佳龍也提出幾項數據，來增加新鮮人跨進資安產業的動力。首先，是根據美國資安研究與出版商Cybersecurity Ventures的一項數據，顯示到2019年為止，美國資安工作者的失業率已經連續8年為零，同時，2021年的資安職缺將達到350萬個，相較於2014年的100萬個，在7年之間成長了3.5倍。</p> <p dir="ltr">「哪一個產業能成長的如此快速？」他鼓勵學生與資安初階人員，要有被討厭的勇氣、努力追求新知，更要加強技術與軟實力，從各方面精進自身能力，來滿足資安人力需求的大量缺口。</p> <p dir="ltr">同時，他也引述金管會去年8月發布的金融資安行動方案，其中規定，具一定規模的金融機構，必須設置副總經理層級的資安長，這意味著，未來金融資安領域的從業工作者，有一定程度的機會，能擔任主管職，來承擔金融機構需肩負的資安重任。他藉此給予資安人員一個願景，盼人才更有動力留在資安產業耕耘。</p> <p dir="ltr">最後，謝佳龍也點明：「資安非常重要，不只是對金融重要，更是國家安全的一環。」他期許有更多資安新血，願意秉持著資安與每個人同在的精神，持續對資安產業投注心力與貢獻。</p> </div></div></div>
2021/5/26 16:31作者翁芊儒https://www.ithome.com.tw/news/144617
PyTorch推出企業支援計畫，服務供應商所開發的修補程式需回饋社群
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書與微軟合作，推出深度學習函式庫<a href="https://pytorch.org/blog/announcing-pytorch-enterprise/">PyTorch企業支援計畫（Enterprise Support Program）</a>，這項計畫讓服務供應商可以對自家用戶量身訂做企業級支援。官方提到，該計畫回應PyTorch企業用戶的需求，有助企業在關鍵任務應用上，使用PyTorch大規模開發模型。</p> <p>所有服務供應商都可以加入PyTorch企業支援計畫，計畫目的是要透過共享和改進PyTorch長期支持（LTS），使得所有計畫參與者互利互惠，這包括共享服務供應商與用戶合作時，所開發的漏洞修補程式和各種改進。所有經由參與者開發的修補程式，都會經過開發測試，並透過PyTorch的標準拉取請求程序，回饋到之後PyTorch版本。</p> <p>服務供應商想要參與PyTorch企業支援計畫，需要提出申請，並且滿足一系列計畫條款和認證，一旦被接受，服務供應商就會成為計畫參與者，可提供帶有LTS支援的PyTorch企業服務、優先排解疑難雜症和有用的整合等。</p> <p>微軟作為PyTorch企業支援計畫創始者之一，也宣布開始在Azure上提供企業級PyTorch，微軟提到，雖然PyTorch容易上手，但是用戶還是可能遇到困難，在生產中使用PyTorch需要幫助，所以他們催生了企業版PyTorch。</p> <p>微軟依據PyTorch企業支援計畫，會對每一個PyTorch版本提供支援，但每年都會選擇特定的PyTorch版本，提供2年的支援服務，而微軟的Premier和Unified Support用戶，不需支付額外費用，就能自動獲得PyTorch企業支援，Azure中專門的PyTorch團隊，將會根據優先等級，開發臭蟲與安全性修補程式。</p> <p>最新版本的PyTorch將與Azure機器學習，並和ONNX Runtime等其他PyTorch附加元件整合，以加速推理運算速度，而微軟也承諾將會繼續投資ONNX標準，以提高PyTorch推理和訓練速度。微軟在Azure上提供的企業級PyTorch支援，不只其用戶可以獲得更新，整個PyTorch社群也都受益，所有更新經過測試之後，都會回饋到之後的PyTorch版本，以便讓社群所有成員都可以使用。</p> </div></div></div>
2021/5/26 17:26作者李建興https://www.ithome.com.tw/news/144630
【臺灣資安大會直擊】從管理與信任本質去思考，KPMG解析零信任架構設計與實踐方式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，企業面對現今複雜的資安威脅，零信任的相關議題就不斷被提出，而隨著疫情加速改變IT作業型態，又再提高企業實際面臨的風險態勢，零信任架構（Zero trust architecture，ZTA）更是受到各界看重，屬於下一代網際安全設計的架構。</p> <p>為何越來越多資安廠商、雲端服務大廠都擁抱這個概念？企業對於ZTA又該有那些認知？對此，KPMG安侯建業數位科技安全服務團隊副總經理邱述琛指出，信任其實是件困難的事，我們不僅需要思考到底要和誰互相信任，信任什麼事物，而在了解ZTA的定義與原則之外，對於ZTA參考架構與實行，也需關注該如何能徹底發揮效果，更要注意在業務推動與安全考量間取得平衡，並透過持續監控來與檢討精進。</p> <h2><strong>企業運作環境正在改變，未來組織內外資安管控應要一致</strong></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖s）KPMG零信任_攝影iThome.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96s%EF%BC%89KPMG%E9%9B%B6%E4%BF%A1%E4%BB%BB_%E6%94%9D%E5%BD%B1iThome.JPG" style="width: 220px; float: right;" /></a></p> <p>近年來，隨著數位轉型、自攜裝置、遠端工作、COVID-19，以及遠端存取需求大增，都驅動著企業的運作環境迅速改變，促使資安防護需重新考量。邱述琛指出，隨著網路向外延伸，如今將更趨向扁平與變動式網路架構，所以，可存取組織內部資源的網路，都應包含在管控範疇之中，因此需考量內外安全防護應該一致。</p> <p>再者，過去存取管控可能是全有或全無，也就是當使用者經過第一關識別身分後，就獲得所有權限。不過，他以實體安全管控方式為例，像是任何人員進入IDC機房時，需要先換證，若進入更機密的地方，將搭配刷卡或更多生物驗證機制，網路世界卻沒有這麼做，原因可能是受到過去IT使用太便利的影響。至於其他考量重點，還包括像是橫向移動、內部威脅與嚴格的存取。</p> <p>因此，近期談到零信任概念，就會同時強調「永不信任，始終驗證」。就其定義來看，簡單而言，它是以一個資料為核心，更著重身分驗證的模型，其設計目的，就是應對當今無邊界網路世界下的挑戰，同時，永遠不信任組織資安邊界內外的任何事務，並且必須驗證試圖連接到組織系統的所有連線，通過後才授與存取權限。</p> <h2><strong>ZTA是整體性概念，理解原則與信任關係，才能決定參考架構</strong></h2> <p>對於零信任，企業要有什麼樣的認知？邱述琛表示，從KPMG的角度來看，ZTA是一個整體性的概念，不是專屬的一種技術，而且，在不同情境下，將產生不同的零信任需求，很難透過一個解決方案適用到所有情境。</p> <p>因此，在零信任的世界裡，「原則」就是關鍵，以此作為標準來驗證，才能符合整體企業對零信任的願景。在KPMG的定義中，ZTA有8大原則，包括：無邊界的設計、環境感知、動態的存取控制、持續評估、精密的區隔、以及動態的風險分析、實施及審查信任與即時監督。</p> <p>以環境感知為例，邱述琛表示，存取服務的授予，是基於企業對員工本身，以及對個別裝置的了解。不僅是對人與對裝置的授權有所不同，還有對於非存取裝置的管理，像是接收OTP的裝置，因此他強調，企業需要先知道管理的是什麼，才能設計出管理的情境。</p> <p>在零信任世界裡面，所謂的信任關係，遠比大家想得複雜。他說，若是自己加密一份資料傳給自己，這是儲存的需求，還是傳輸的需求？如果使用者加密的資料只能自己解開，但又往外傳送，這樣的情境是否合理？若不合理，企業應該就要管控，就像一個人偷了公司營業祕密，先將資料加密後往外傳送，之後人被抓到，但沒有金鑰無法解開，組織對於這樣的風險，是否可能要採取加密金鑰備份與託管來因應，或是禁止自己加密資料傳給自己的功能，實務上，就已有企業這樣管控。</p> <p>也因為零信任架構並不是指特定的技術，因此，企業在選擇參考架構時，邱述琛認為，必須要有整體設計觀。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1s）KPMG零信任_攝影iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961s%EF%BC%89KPMG%E9%9B%B6%E4%BF%A1%E4%BB%BB_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 600px;" /></a></p> <blockquote><p>企業在選擇零信任參考架構時，KPMG強調應從網路、身分、裝置／工作負載與資料這四大構面來剖析，並要考量到是否需透過自動化進行，並重視可見度與分析能力，才能有效達到零信任的防護策略。</p> </blockquote> <p>基本上，將IT資產分成網路、身分、裝置／工作負載與資料，這四大構面與其中的因子，都將是在設計有效的零信任模型與解決方案時，需要考量的重點。不過，企業一開始可能無從下手，邱述琛表示，此時其實可用簡單的方式將情境畫出，再予以考量。舉例而言，像是企業有3個網路、4個裝置、3個不同人員，以及2種資料等級畫分，全部相乘後的結果，就代表有多少路徑。接下來，企業就可以從路徑中識別最高風險，找出控制方法。</p> <p>在四大構面中，邱述琛針對身分識別與資料方面提出更詳細的說明。他強調，沒有身分識別，就不會有存取控制，不論是人與裝置等，都要先知道是誰，否則後續也都沒辦法驗證。他強調，我們必須思考其本質，包括要和誰信任？信任的又是什麼？以及管理的意義到底在哪裡？企業必須要先搞清楚。</p> <p>同時，對於異常偵測，他提到美國軍方曾使用一項技術，可藉由偵測使用者按鍵盤的習慣，進而持續驗證是否為本人，一旦發現異常，就會啟動查核機制，查看坐在電腦前的人。</p> <p>在資料方面，國內企業普遍存在資料分級做不好的問題，儘管資訊安全管理制度（ISMS）已有這樣的要求，但執行上仍有很多狀況。</p> <p>相較之下，美軍的作法或許值得參考。他們在資料分級好後，機密資料只會透過機密網路傳送，非機密資料則在非機密網路傳送，若資料交換需要透過安全閘道去控制，因此這就是用資料等級區分。然而，臺灣企業卻習慣用業務角度區分，之後再分成機密與非機密，這種作法並非不可以，但會增加管理複雜度。</p> <p>另外，他也提醒，除了與業務流程之間與安全的綜合考量，在零信任架構中，必須要有自動化工具的輔助，以及具備可見度與分析能力，都是相當重要的一環，是企業在參考設計階段必須重視的部分。而在零信任的高階級設計中，身分識別代理更是關鍵。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4s）KPMG零信任_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964s%EF%BC%89KPMG%E9%9B%B6%E4%BF%A1%E4%BB%BB_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <blockquote><p>無論如何，零信任已經成為現在企業組織面對當今複雜威脅的重要概念。不過，要邁向零信任環境，並不是立馬就可以做到，透過循序漸進一步步走向進階階段，可以使得威脅將更容易被偵測，同時也能更快速去因應資安事件，但企業也要有所覺悟，這段過程中將有四大挑戰需要克服。</p> </blockquote> <h2><strong>邁向零信任將是一段旅程，同時也要覺悟有4大挑戰</strong></h2> <p>整體而言，零信任是以假設資安事件已發生的思維來設計，在其核心概念中，持續驗證是一大主軸，同時也仰賴即時資訊來提供判斷，以及細膩的存取控制方案，綜合多方資源的配合，而遵循最小權限原則更是關鍵。例如，只給予完成任務必須要有的最低權限、持續判斷時否要給予權限，並透過網路分割來降低橫向移動攻擊的機率，才能達到核心概念的要求。</p> <p>對於零信任的實踐，邱述琛直言，整個零信任無法一步到位，因此需要從基礎打好做起。哪些是基礎項目？具體而言，包括：登入安全的單一登入整合（SSO）與多因素身分驗證（MFA），資料與資產分類，以角色為基礎的存取控制（RBAC），資料外洩防護（DLP），以及基礎的加密防護，還要有零信任任務分組。</p> <p>奠定良好的基礎之後，企業可以逐步邁向發展階段，其中情境感知認證與異常偵測，是他特別強調的項目，同時還包括資料與資產的區隔、資料流與流量、端點偵測與回應（EDR）、雲端存取安全代理（CASB），以及零信任架構與發展藍圖。</p> <p>最後就是要讓安全性走向成熟，在進階階段中，企業要投入的重點包括：FIDO無密碼登入與持續核准、微切分、執行期加密，以及整合威脅情資的日誌管理，與自動化資產與服務的監督。</p> <p>整體而言，要走向成熟的零信任環境，企業將有不少挑戰需要克服，邱述琛引用了美國NSA的一份報告來借鏡，當中指出實施的四大困難，包括：未具備完全的支持、資源規模化的困難、無法持續堅持零信任，以及對組織的不了解。</p> <p>邱述琛解釋，導入零信任架構之後的第一個衝擊，就是會帶來降低便利性的影響，包括領導階層、管理人員與一般使用者，可能很多人都不會支持，這是企業必須面對的第一個挑戰；而要持續去判斷是否給予存取權，將需要考量資源部署，也就是要花錢投入，之後人員也可能對於零信任的持續實施感到疲憊。此外，若是不夠了解企業內部的資產、使用者與商業流程，會讓評估存取需求的效力受限。</p> <h1 class="rtecenter"><strong><span style="color:#0099ff;">ZTA最終目標：降低資料外洩、橫向移動攻擊的機率</span></strong></h1> <p>面對當今複雜的資安威脅，近年強調的零信任架構（ZTA），就是為了因應現在的局面，對於企業而言，採取ZTA將有何優點與結果？KPMG數位科技安全服務團隊副總經理邱述琛</p> <p>指出：「零信任的最終目標，是降低資料外洩、橫向移動攻擊的機率。」</p> <p>他解釋，由於ZTA的持續驗證，優點是可以給予資安防護人員，更多偵測最新威脅的機會，也因此擁有更多可快速部署的策略，進而因應資安事件，此外，也能夠讓資安人員可以更敏銳辨認細微的資安威脅。他提醒，企業並不是做完ZTA，就等於擁有金剛不壞之身，在資安的世界，並沒有這種事情。</p> <p>而ZTA為運作環境帶來的改變結果？邱述琛表示，首先，是簡化的整體安全架構，以及應用程式與基礎架構，將更緊密結合，同時也將改善使用者體驗，並使體驗更值得信任，不僅如此，零信任也將透過自動化方面的技術，做到營運流程、法規遵循與審核要求的精簡。</p> </div></div></div>
2021/5/26 17:46作者羅正漢https://www.ithome.com.tw/news/144637
歷經快6年醞釀，微軟CEO預告：下一代Windows產品即將問世，將迎來重大更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儘管因為疫苗的施打，使得美國疫情近來有逐漸緩和的趨勢，但今年微軟Build開發者大會仍維持全程線上舉行，在大會首日主題演講中，微軟執行長Satya Nadella不只發表眾多服務和重要更新，他更預告不久即將推出下一代Windows產品，他指出，這將是十年來最重大一次Windows的改版更新。</p> <p>單是這次Build開發者大會，微軟就一連發布超過100多項服務和重要更新，涵蓋了開發者工具、AI工具和框架、雲端原生應用、雲端SaaS應用，溝通協作App，以及數位雙生及混合實境等六大面向。首先在開發者工具部分，微軟以GitHub、Azure、Visual Studio以及Power Platform建構完整的開發者工具鏈，提高應用開發速度。像是在Power Platform方面，該公司首度將自然語言的應用開發，帶進低程式碼Power Apps，甚至可將超大自然語言預訓練模型GPT-3轉換成以Low-Code程式語言Power Fx來描述的形式，方便開發者在Power Platform上進行自然語言應用的開發。</p> <p>在AI工具和框架也有相應更新，除了現有已推出的AI Service、Azure Cognitive Service、Azure Machine Learning以及AI Infrastructure等，Satya Nadella表示，越來越多企業開始善用數據推出各種結合AI的智慧原生雲端應用，舉例來說，Twitter就使用了其語音轉文字服務，讓Twitter可針對語音對話內容即時生成字幕，方便使用者觀看。</p> <p>值得一提的是，微軟這次還推出企業版PyTorch Enterprise on Azure雲端深度學習服務，可讓企業或組織更可靠地使用PyTorch框架進行數據科學研究與深度學習模型的開發。他也強調，它是第一家推出該服務的雲端業者。</p> <p>另外在資料庫部分，Azure的Cosmos DB非關聯式資料庫服務，也將提供Serverless無伺服器的支援，可為企業用戶提高資源使用效率，以降低雲端成本開銷，該服務業整合快取以及加入更多功能。目前已有Walmart.com利用Azure Cosmos DB 來處理電商平臺單日尖峰數十億筆交易請求。除此之外，針對Azure SQL關聯式資料庫服務，微軟也將提供區塊鏈的帳本紀錄(Ledger）功能，可在Azure SQL中提供加密驗證的數據。另外，PostgreSQL也有所更新，支撐超大規模資料庫部署。</p> <p>在雲端服務方面，該公司今日也推出Azure Application Services，該服務一大特色就是讓企業可使用Azure Arc混合雲平臺，於任意K8s環境執行Azure應用程式服務，不分是企業本地端、多雲混合雲、或邊緣環境。甚至借助AKS on Azure Stack HCI這個新服務，Satya Nadella強調，只要簡單幾個步驟，企業就可以在Azure Stack HCI平臺部署AKS叢集，來調度和管理容器化應用程式，以達到跨Azure雲端和多雲混合雲一致性的應用。</p> <p>除此之外，因應這波全球疫情帶來混合辦公需求的爆增，他也揭露目前為止的Teams協作服務的使用情況，他表示，截至目前，Teams每日有1.45億活躍用戶，數量幾乎是一年前的翻倍。而在今年大會裡，微軟更進一步在Teams增加流體（fluid components ）功能元件，讓企業或開發者可整合自己應用到Teams meetings，另外他們也為Teams與Outlook提供通用開發模型，作為訊息傳遞的擴充功能，方便開發者開發自己的Teams應用。像是美國軟體公司ServiceNow就以Teams作為UI介面，構建可用於事件回應的協作應用。或是透過Microsoft Graph的API串接，找到要找的對象，另外還可結合聊天機器人程式Bots對使用者發出提醒，通知團隊成員參加會議等。另外，因應遠端或混合辦公需求的增長，微軟這次新增一個跨裝置的協作應用的類別，從裝置OS、UX介面，到邏輯、數據、通訊以及身分驗證都包含其內。</p> <p>最後他提到，全球Windows 10用戶累計至今已有超過13億人，將它用於工作、連結、學習與影音播放，隨著Windows 10推出至今已將近6年，他也預告不久即將推出下一代Windows產品，他指出，這將是十年來最重要的一次Windows的改版更新，但並未透露更多細節。</p> </div></div></div>
2021/5/26 17:52作者余至浩https://www.ithome.com.tw/news/144633
美國議員提案斥資520億美元投入半導體生產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.reuters.com/technology/us-chip-funding-could-result-seven-10-new-factories-officials-2021-05-24/" target="_blank">路透社</a>與<a href="https://www.cnbc.com/2021/05/25/chip-shortage-democrats-gop-team-up-to-target-china.html" target="_blank">CNBC</a>的報導，美國參議院民主黨領袖Chuck Schumer在5月中旬提出了《2021年美國創新與競爭法案》<a href="https://www.democrats.senate.gov/newsroom/press-releases/schumer-files-bipartisan-us-innovation-and-competition-act-of-2021-as-substitute-amendment-to-endless-frontier-act" target="_blank">（U.S. Innovation and Competition Act of 2021）</a>，將撥款520億美元以支持美國境內的半導體生產，緩解美國與全球的半導體供應不足問題。</p> <p>《2021年美國創新與競爭法案》編列了大約2,000億美元的預算，一方面是用來鞏固美國在全球的競爭能力，另一方面則是為了解決晶片短缺問題。Schumer表示，這520億美元屬於緊急資金，目的是用來支持半導體的生產，以滿足汽車、軍方與其它重要產業的晶片需求。</p> <p>不只是Schumer，美國商業部部長Gina Raimondo在接受CNBC專訪時也透露，全球各個產業的晶片短缺問題，顯示出美國必須要提高國內的生產能力，同時再度成為市場的領先者，美國毫無其它選擇，因為當半導體供應鏈遭到破壞時，經濟也會受到影響。</p> <p>Raimondo亦向路透社表示，這520億美元的經費，將可推動7~10個新半導體工廠的生產與研發，一旦該法案通過，商務部將會建立一個透明的程序來進行撥款。</p> <p>CNBC報導，美國參議院可望於本周通過《2021年美國創新與競爭法案》。</p> </div></div></div>
2021/5/26 18:04作者陳曉莉https://www.ithome.com.tw/news/144638
Chrome 91來了：可以凍結分頁群組，封鎖TLS 1.0/1.1與10080傳輸埠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在本周二（5/25）釋出了<a href="https://www.chromestatus.com/features/schedule" target="_blank">Chrome 91</a>，<a href="https://9to5google.com/2021/05/25/chrome-91-mac-windows-stable/" target="_blank">新版本主要的特點</a>包括可凍結分頁群組（Tab groups），封鎖了TLS 1.0/1.1與10080傳輸埠，啟用對抗量子電腦攻擊的安全能力，以及修補32個安全漏洞。</p> <p>Google在去年8月發布的Chrome 85加入了分頁群組（Tab groups）功能，它可替分頁設定主題與顏色，以整理雜亂的分頁，使用者可將同一主題的分頁收起或展開。Chrome 91則可自動凍結被收起的分頁群組，以減少CPU與電源的損耗，但該功能並不會凍結正在播放聲音、連結USB裝置、被鏡射或是正在擷取視訊或音訊的分頁。</p> <p>雖然自去年7月釋出的Chrome 84就不再支援TLS 1.0/1.1，會在使用者造訪採用TLS 1.0/1.1的網頁時跳出警告，原本使用者還可利用SSLVersionMin政策來啟用最低版本的SSL/TLS，但自Chrome 91開始，Chrome 91也不再允許該政策將最低版本設為TLS 1.0/1.1，管理人員必須將任何採用TLS 1.0/1.1的伺服器升級到TLS 1.2。</p> <p>Chrome 91亦封鎖了10080傳輸埠，這是為了緩解NAT Slipstreaming 2.0攻擊，該傳輸埠的功能是用來自動化備份網路磁碟，而NAT Slipstreaming 2.0則是一個跨協定的偽造請求，將讓惡意的網路伺服器攻擊位於NAT裝置後的私有網路電腦，為了防範相輟攻擊，去年11月問世的Chrome 87，已先行封鎖了69、137、161、1719、1720、1723與6566傳輸埠。</p> <p>此外，Chrome 91在與特定網域通訊時，將支援TLS中的後量子金鑰協議演算法，以預防用來破解加密的量子電腦運算攻擊，此一名為CECPQ2設定的預設值是啟用，由於它會帶來較大的TLS訊息量，在極少數的案例中可能造成某些網路硬體的臭蟲，因此也能將它關閉。</p> <p>Google表示，此一於預設中啟用CECPQ的政策為暫時性措施，將會在未來的Chrome版本將它移除。</p> <p>新的Chrome版本修補了32個安全漏洞，當中有8個屬於高度風險漏洞。</p> </div></div></div>
2021/5/26 16:03作者陳曉莉https://www.ithome.com.tw/news/144634
Fuchsia OS正式版出爐，率先應用在Nest Hub上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://9to5google.com/2021/05/25/google-releases-fuchsia-os-nest-hub/" target="_blank">9to5Google</a>於本周報導，該站在本月初就發現Google於第一代的Nest Hub採用了全新的Fuchsia 1.0平臺，而Fuchsia OS負責人<a href="https://twitter.com/petrh/status/1397088244337049603" target="_blank">Petr Hosek</a>周二（5/25）即透過Twitter證實了此事。</p> <p>Google自2016年便投入Fuchsia OS的研發，<a href="https://www.ithome.com.tw/news/131547" target="_blank">於2019年發布</a>Fuchsia OS開發者官網，但一直<a href="https://www.ithome.com.tw/news/141544" target="_blank">到去年底</a>才對外公開該專案，指出Fuchsia是個通用的開源作業系統，但尚未成為一般產品的開發目標，而本周的揭露代表Fuchsia OS已邁入新的里程碑。</p> <p>儘管外界曾繪聲繪影地描述Fuchsia OS的遠大願景，包括它將是一個支援各種裝置的單一作業系統，涵蓋手機、聲控喇叭，或是原本仰賴Android與Chrome OS的第三方裝置，也計畫將它嵌入筆電，甚至是取代Android。</p> <p>不過，首個採用Fuchsia 1.0的裝置卻是使用者較不熟悉的Google Nest Hub。Google Nest Hub原名為Google Home Hub，它是一個具備7吋觸控螢幕的聲控喇叭，也可作為其它智慧家庭裝置的控制及管理裝置，第一代產品於2018年10月問世，具備10吋螢幕的Nest Hub Max在2019年9月推出，第二代的7吋Google Home Hub則是在今年3月底出爐。</p> <p>此外，Fuchsia 1.0目前只出現在第一代的Google Nest Hub上，並未支援Nest Hub Max或第二代Google Home Hub。</p> <p>外界分析，切換作業系統並不像更新一樣簡單，因此Google需要小心應對，才會只在舊版的Google Nest Hub上部署Fuchsia 1.0，至於未來Fuchsia的命運如何仍有待觀察。</p> </div></div></div>
2021/5/26 15:10作者陳曉莉https://www.ithome.com.tw/news/144631
華為6月2日將展示鴻蒙作業系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在被美國封鎖Android技術出口二年後，<a href="https://weibo.com/huaweidevice?is_all=1" target="_blank">華為本周宣布</a>將在6月2日產品發表大會上，正式公開自行開發以Android為基礎的鴻蒙作業系統（HarmonyOS）。</p> <p>2019年五月美國商務部將華為及關係企業列為限制技術輸出的「實體清單」中，也切斷了華為取得Google、高通等關鍵智慧型手機軟、硬體的管道。同年8月華為公布自行開發，以Android Open Source Project（AOSP）為核心開發的作業系統鴻蒙（HarmonyOS）。華為計畫鴻蒙將支援包括PC、智慧喇叭、穿戴裝置、工業設備或車機上，並非為智慧型手機設計，但「必要時」也可以跑在手機上。</p> <p>在經過多次公布<a href="https://www.ithome.com.tw/news/132354" target="_blank">內建HarmonyOS的產品</a>後，華為在官方微博上以「萬物皆鴻蒙」標語，宣布鴻蒙本尊將在6月初正式公開，以及內建鴻蒙的多樣化硬體產品。華為也在今年4月公布<a href="https://www.ithome.com.tw/news/142882" target="_blank">HarmonyOS-based Mate X2</a>。</p> <p><a href="https://www.163.com/tech/article/GAR2P8MD00097U7S.html" target="_blank">中國媒體</a>引述華為消費業務副總裁楊海松指出，鴻蒙將對第三方廠商開放生產記憶體容量在128MB-4GB的設備，今年10月後則向4GB以上的設備開源。此外，華為也積極和全球主要App廠商合作開發相容應用。</p> <p>報導指出，華為預計今年底搭載鴻蒙作業系統的設備數量將達3億臺，其中華為自有產品超過2億台，第三方廠商合作的各類終端設備預計超過1億。</p> <p>除了Android及Google 套件軟體外，華為另外也面臨美國政府的手機晶片輸出封鎖令。根據<a href="https://www.idc.com/promo/smartphone-market-share" target="_blank">IDC</a>估計，在軟、硬體封鎖令影響下，華為在全球智慧型手機市占，已從2019年的20%，萎縮到2020年底的8%，首次跌出前五大廠商之列。<a href="https://www.canalys.com/newsroom/canalys-worldwide-smartphone-market-Q1-2021" target="_blank">Canalys</a>最新數據顯示，今年第一季，華為名列全球第七，落在蘋果、三星、小米、Oppo之後。</p> </div></div></div>
2021/5/26 13:33作者林妍溱https://www.ithome.com.tw/news/144628
Google拒絕移除「非法」內容遭俄羅斯罰款，最終可能被降速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯當局周二以Google拒絕移除非法內容為由，罰款600萬盧布（約227萬臺幣），最終Google可能進一步遭降速處份。</p> <p><a href="https://www.reuters.com/technology/russia-gives-google-one-day-delete-banned-content-threatens-slowdown-2021-05-24/" target="_blank">路透社報導</a>，俄羅斯聯邦通訊、科技資訊和大眾媒體監督局（Roskomnandzor）周一宣稱，已經要求Google移除包括毒品、暴力與「極端組織」相關違法內容2.6萬件，並揚言如果俄羅斯Google分公司不在24小時內移除內容，最高將處以年營收10%的罰款，並且調降Google對外連線速度。</p> <p><a href="https://www.reuters.com/technology/russia-fines-google-4-mln-roubles-failing-delete-content-tass-2021-05-25/" target="_blank">路透社周二報導</a>，俄羅斯當局當天發出三張各200萬盧布，共600萬盧布的罰單。除了Google平臺上的內容，當局也要求Google移除數家俄國媒體的YouTube頻道。</p> <p>在此之前，<a href="https://www.ithome.com.tw/news/143149" target="_blank">推特（Twitter）</a>也拒絕刪除當局認定的違法內容，而遭俄國當局降速。</p> <p>這也是Google和俄羅斯當局為了移除內容而起的最新爭議。一月間俄羅斯民眾上街示威，要求俄國政府釋放反對派領袖Alexei Navalny，Roskomnadzor要求Google移除12則由Navalny主持的YouTube頻道發布的影片，當局隨後控告Google/YouTube拒絕移除煽動叛亂的非法內容。Google則在五月中，向俄羅斯法院上訴Roskomnadzor移除YouTube內容的不合理要求。</p> </div></div></div>
2021/5/26 11:17作者林妍溱https://www.ithome.com.tw/news/144626
【iThome 2021 CIO大調查(上) 一起抗疫靠IT】企業未來1年如何靠IT來因應新常態？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1026-cover4-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠端工作是後疫新常態的典型。企業內部，第一個必須有能力遠端工作的部門，就是確保全公司遠端工作環境的IT部門。在未來十大IT抗疫重點作法中，強化IT部門遠端工作能力是排名第一的優先工作。未來1年，有高達67.9%的企業列為抗疫重點對策。這些企業不只是讓IT具備遠端能力就夠了，而是要在未來1年持續「強化」。疫情未來變化仍有許多未知，臺灣這一波疫情何時舒緩？疫苗何時發揮作用？能阻斷大規模流行？沒有人有答案。企業得考量更嚴峻的疫情風險，來要求IT自己先做好準備。而且，IT還要同時強化開發即戰力，過半企業未來1年，也要提高IT敏捷性，讓內部應用更模組化和彈性化。</p> <p>從各產業IT抗疫對策來看，重度依賴數位通路和線上服務的產業，如金融業和服務業，都同樣將強化IT遠端能力和內部流程優化，列為未來1年的前兩項重點，但有過半金融業要強化全公司的數位化環境，而服務業則要提高IT敏捷性，另外也要提高IT上雲的比重。醫療業未來1年IT抗疫首要，則是要先加速內部流程數位化和自動化，而高科技業者則有近3成企業，要擴大上雲的比重。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover4-600-1.png" style="width: 557px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover4-600-2.png" style="width: 557px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover4-600-3.png" style="width: 557px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover4-600-4.png" style="width: 584px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問卷說明 </span></strong></span></p> <p><span style="color: rgb(51, 153, 255);"><strong>大調查執行期間從2021年3月8日到4月5日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷439家，其中74.3%填答者為企業IT最高主管。</strong></span></p> </div></div></div>
2021/5/26 07:00作者王宏仁https://www.ithome.com.tw/article/144548
GitLab 13.12加入按需動態應用程式安全測試服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最新的<a href="https://about.gitlab.com/releases/2021/05/22/gitlab-13-12-released/#on-demand-dast-ga-launch">GitLab 13.12</a>獲得可用性和工作管線管理功能更新，不只要讓程式碼部署更安全，還要提升團隊協作效率。該平臺新版重要更新包括GitLab Ultimate用戶，可以開始使用按需動態應用程式安全測試（DAST）掃描，還有新版也更新工作管線編輯器，並且持續新增DORA4指標支援。</p> <p>現在所有GitLab Ultimate用戶可按需使用DAST掃描（下圖），在CI/CD工作管線外任何已配置環境，都能使用DAST掃描已部署的應用程式和API，用戶不需要進行任何程式碼變更或合併請求，就能立刻開始掃描。官方持續更新DAST掃描功能，在先前的13.11版本中，官方在按需DAST網站的配置檔案，添加特定身分驗證資訊、排除URL、新增額外請求標頭，以及切換網頁應用程式與API掃描等功能。官方提到，他們還會增加諸如掃描排程等功能，以涵蓋大部分用戶的需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/dast_on_demand_auth.png" style="width: 580px;" /></p> <p>在安全掃描功能方面，除了DAST，用於JavaScript、TypeScript和Python的Semgrep SAST分析器，現在也發布正式版本。Semgrep靈活的規則語法，能簡化GitLab自定義規則及功能，以擴充和修改檢測規則，並且讓GitLab用戶存取Semgrep社群規則。</p> <p>另外，GitLab更新向DAST用戶，推出了瀏覽器爬蟲Beta測試版，新的爬蟲工具經特別設計，可以在JavaScript應用程式中發現，可能會被傳統基於代理爬蟲程式忽略的頁面，使得新的排蟲程式有能力提升應用程式的測試覆蓋率。</p> <p>官方提到，現在網頁使用越來越多的JavaScript，甚至有一些是專滿足JavaScript和單頁應用程式開發的工具。但是重度依賴JavaScript的網頁，卻會增加爬蟲掃描頁面的困難度，在官方的基準測試裡，基於瀏覽器的爬蟲程式，與當前基於代理的爬蟲程式相比，爬蟲覆蓋率明顯提高。</p> <p>除了安全性更新之外，官方也簡化了工作管線管理來增加可用性，工作管線編輯器現在帶有可摺疊指南說明面板，可以快速帶新手入門。同時官方還新增在規則中定義變數的功能，供用戶能夠在滿足特定條件時，靈活地配置工作管線變數。</p> <p>而13.12版本在原生支援DORA4指標的工作，現在加入群組部署頻率圖表，該圖表可以讓用戶了解部署狀況以利發現瓶頸，並改進跨專案和團隊的效率。部署頻率圖表顯示所有專案的匯總部署頻率指標，用戶可以更全面了解多個專案的和團隊的部署頻率，以精確掌握部署效率。</p> <p>GitLab的價值串流（Value Stream）分析功能也獲得更新，價值串流分析能協助用戶在工作流程中，找出效能低落的根本問題，而在13.12中，官方加入了工作流程項目的分頁和排序功能，視覺呈現更清楚，用戶也能對特定階段視覺化並且排序項目，以方便查明瓶頸所在。</p> </div></div></div>
2021/5/25 23:10作者李建興https://www.ithome.com.tw/news/144618
木馬程式開採MacOS零時差漏洞暗中錄製螢幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.jamf.com/blog/zero-day-tcc-bypass-discovered-in-xcsset-malware/" target="_blank">安全廠商Jamf Protect偵測小組發現</a>，一隻名為XCSSET的木馬程式，可開採作業系統安全漏洞，繞過Mac電腦內建安全防護，偷偷錄製電腦螢幕取得敏感資料。所幸蘋果今天釋出macOS Big Sur 11.4更新解決該問題。</p> <p>這隻<a href="https://www.ithome.com.tw/news/139432" target="_blank">XCSSET是去年趨勢科技首先發現</a>。一開始，研究人員知道它專門利用兩個零時差漏洞。第一個用來竊取Safari瀏覽器cookies，蒐集重要資訊，包括帳號、密碼等，另一個則是繞過用戶通知，以安裝開發商版本的Safari應用程式。</p> <p>Jamf團隊則在近日研究中，發現XCSSET作者還利用第三個零時差漏洞CVE-2021-30713，來繞過蘋果的透明度同意與控管（Transparency Consent and Control，TCC）框架。TCC主要用以控制應用可存取資源，像是同意影像協同軟體存取網路攝影機和麥克風，以進行虛擬會議。CVE-2021-30713漏洞可讓攻擊者未獲得用戶明顯同意下，取得完整硬碟存取、螢幕錄製或其他授權。</p> <p>Jamf研究人員近日偵測到XCSSET變種活動有上升的情形，這隻惡意程式著重錄製螢幕畫面。XCSSET進入Mac電腦中後，會搜尋受害者電腦中常獲得螢幕共享的其他App，像是Zoom、WhatsApp和Slack，並在這些App中注射錄製螢幕的程式碼。這就等於附身在合法App上，並承襲它們的權限。然後又繼續以新的憑證簽發App bundle，以躲過macOS內建的公證（notarization）機制。</p> <p>研究人員提醒，比起XCSSET，更需注意CVE-2021-30713這項漏洞，因為它能給予麥克風、Web攝影機及側盤側錄的存取權限，而進行錄音、監控或竊取信用卡帳號及密碼。</p> <p>蘋果則於今天<a href="https://developer.apple.com/documentation/macos-release-notes/macos-big-sur-11_4-release-notes" target="_blank">（5/25）釋出的macOS 11.4更新版</a>中修補該漏洞，其他功能則包括強化數款AMD GPU、Podcast App中的付費訂閱支援，並修補了Safari、Preview在搜尋PDF文件時、Photos匯出等問題。</p> </div></div></div>
2021/5/25 23:30作者林妍溱https://www.ithome.com.tw/news/144624
FBI警告：美國占Conti全球受害單位一半以上，公布感染指標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>五月中駭客利用Conti勒索軟體攻擊愛爾蘭衛生機關，而本周<a href="https://www.aha.org/system/files/media/file/2021/05/fbi-tlp-white-report-conti-ransomware-attacks-impact-healthcare-and-first-responder-networks-5-20-21.pdf" target="_blank">美國聯邦調查局則警告</a>，美國醫療界、消防、警察單位也無法倖免於Conti攻擊，美國受害者甚至占了全球超過一半，將近3/4。</p> <p>愛爾蘭健康服務管理署（Health Service Executive，HSE）IT系統五月遭遇Conti勒索軟體攻擊，勒索2000萬美元，駭客宣稱握有700多GB的資料，涵括病患住址、電話號碼以及員工合約、薪資及財務資料，揚言若拿不到贖金就會出售或公布資料。HSE營運受到重大影響。HSE預防性關閉所有IT系統及切斷網路，造成一家都柏林醫院暫時關閉了所有科別門診，該國COVID-19篩檢服務也被迫取消。同時間HSE主管機關愛爾蘭衛生部（Department of Health，DoH）也遭同一批歹徒以Conti發動襲擊，所幸未成功。</p> <p>FBI本周指出，去年至少辨識出有16起Conti勒索軟體攻擊，是針對美國健康照護業與緊急派遣單位的網路，包括執法機關、急救、911派遣中心及市政府等等。而Conti在全球400多個攻擊目標中，超過290個位於美國。</p> <p>Conti背後的駭客可能以惡意連結、附件或竊來的RDP (Remote Desktop Protocol)密碼進入受害者網路。它可能在Word檔中嵌入Powershell script，一開始經由Word檔發動Cobalt Strike，然後在網路上植入Emotet使門戶洞開，讓攻擊者得以部署勒索軟體。攻擊者可能會在受害者網路上潛伏4天到3個星期，再使用DLL部署Conti，必要時則以其他合法工具，如Sysinternal和Mimikatz來升高權限及在網路上橫向移動，然後進行資料外洩和加密，有時也會使用TrickBot等木馬程式。而Conti植入受害者網路後，可能長期留在企業網路內，以Anchor DNS對外伺服器連線。</p> <p>FBI並公布Conti的攻擊指標，包括在感染機器上從port 80、443、8080和8443，來對國內、國際虛擬伺服器(VPS)發出beacon訊息，或以port 53進行滲透攻擊，此外，也會對雲端儲存商MegaNZ和pCloud伺服器發送大量HTTPS資料連線。如果有偵測到可疑新增帳號、端點偵測被關閉、或是不斷有HTTP或DNS beacon，都表示可能已感染Conti。</p> </div></div></div>
2021/5/26 00:10作者林妍溱https://www.ithome.com.tw/news/144625
AWS Lambda現可安裝擴充套件強化處理能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布現在<a href="https://aws.amazon.com/tw/blogs/aws/getting-started-with-using-your-favorite-operational-tools-on-aws-lambda-extensions-are-now-generally-available/">Lambda擴充套件</a>正式釋出，該功能讓用戶可以在無伺服器運算服務Lambda中，整合自己愛用的工具，以進行監控、安全性和治理等任務。用戶可以使用控制臺和命令列工具，簡單地安裝擴充套件，以執行訊息擷取或是自動偵測程式碼等需求。目前這項功能已經在美東北維吉尼亞地區，以及歐洲的愛爾蘭和米蘭地區正式上線。</p> <p>官方表示，Lambda擴充套件提供了一個容易擴充Lambda執行環境的方法，AWS用戶、AWS合作廠商和開源社群，都可以使用Lambda Extensions API來建構擴充套件，這些套件能在Lambda函式的執行流程中，提供增強功能。</p> <p>比起在2020年10月所釋出的AWS Lambda擴充套件預覽版，在正式版本有了功能調整，用戶的程式碼執行完後，可立即送出回應，而不需要等待擴充套件工作完成，如此，擴充套件就可以在函式回傳回應訊息後，執行像是發送遙測資料這類的工作。</p> <p>官方提到，AWS Lambda擴充套件的使用情境，可以包括在呼叫函式前、期間和之後擷取診斷資訊，或是以擴充套件自動檢視程式碼，也能利用安全代理來進行檢測和警告函式活動，以及將遙測資料，用非同步的方式，發送到S3和Kinesis等自定義目標。</p> <p>AWS Lambda擴充套件的安裝與配置管理簡單易用，用戶可以使用Lambda圖層將工具加到函式中，或是將其新增至函式映像檔，以容器的方式來部署。Lambda擴充套件使用擴充API來註冊功能和執行環境生命周期事件，並且啟動新的程序或是執行邏輯，來回應這些事件。而Lambda擴充套件也可以使用Runtime Logs API來訂閱，從Lambda執行環境送往Amazon CloudWatch的日誌串流，Lambda串流這些日誌到擴充套件，以進行處理、過濾和發送等任務。</p> <p>多數用戶不需要了解API的運作，可以僅透過配置Lambda函式中的選項使用擴充套件，用戶使用在Lambda控制臺、命令列工具、基礎設施即程式碼服務，以及像是AWS CloudFormation和Terraform等工具，安裝和管理擴充套件。AWS與HashiCorp、Datadog和Splunk等企業合作，在Lambda上提供擴充套件，另外，AWS也提供了4款自家服務的擴充套件，分別是AppConfig、CodeGuru Profiler、CloudWatch Lambda Insights和Distro for OpenTelemetry。</p> <p>Lambda擴充套件與函式共用計費模型，AWS會收取Lambda生命周期中的運算時間，在函式呼叫方面，用戶需要支付服務請求、程式碼執行以及所有擴充套件運算時間的費用。官方也提醒，Lambda擴充套件因為與函式共用CPU、記憶體和儲存資源，因此可能會影響效能，而且擴充套件會在函式程式碼之前初始化，因此函式的執行時間也會跟著增加。</p> </div></div></div>
2021/5/25 16:35作者李建興https://www.ithome.com.tw/news/144615
藍牙的核心與Mesh規格含有7個安全漏洞，允許駭客冒充合法裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bluetooth.com/learn-about-bluetooth/key-attributes/bluetooth-security/reporting-security/" target="_blank">藍牙技術聯盟（Bluetooth SIG）在24日揭露</a>了7個有關藍牙規格的安全漏洞，這些安全漏洞存在於Core及Mesh Profile規格中，將允許駭客冒充合法裝置，波及Android開源專案、思科、Cradlepoint、英特爾、Microchip與紅帽的相關產品。</p> <p>Bluetooth Core與Bluetooth Mesh Profile都是用來定義各種，企圖利用藍牙進行連線的裝置政策及技術需求的規格，在本周揭露的漏洞中，與Mesh Profile規格有關的為CVE-2020-26559、CVE-2020-26556、CVE-2020-26557與CVE-2020-26560；而CVE-2020-26555、CVE-2020-26558與另一個尚未具備編號的漏洞，則涉及Core規格。</p> <p>根據卡內基梅隆大學<a href="https://www.kb.cert.org/vuls/id/799380/" target="_blank">CERT協調中心</a>的說明，相關漏洞將可用來執行冒充攻擊並揭露驗證值（AuthValue），允許駭客在執行藍牙配對時，假冒為合法裝置。</p> <p>這些漏洞同時波及了採用藍牙規格的作業系統與硬體，其中，Android開源專案受到當中3個漏洞的影響，Google已準備藉由下一次的Android安全更新修補；紅帽至少受到兩個漏洞的影響，尚未提出修補時程。</p> <p>思科則說受到兩個漏洞的影響，正在等待個別產品團隊的回報以提供軟體更新；專門開發雲端無線邊緣網路設備的Cradlepoint，以及英特爾亦受到兩個漏洞的波及；美國微控制器與半導體製造商Microchip已確定其中的兩個漏洞，影響該公司的部分藍牙產品，並已<a href="http://aem-origin.microchip.com/en-us/products/wireless-connectivity/software-vulnerability-response/anssi-bluetooth-core-vulnerabilities" target="_blank">訂出修補計畫</a>。</p> </div></div></div>
2021/5/25 15:44作者陳曉莉https://www.ithome.com.tw/news/144613
Container周報第138期：德國鐵路公司擁抱GitOps關鍵大公開，OCI容器映像檔分散規格1.0出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong>4/16~5/16 精選容器新聞</strong></h3> <h3><span style="color:#0000FF;"><strong>#GitOps #德國鐵路</strong></span><br /><span style="color:#FF8C00;"><strong>德國鐵路公司如何擁抱GitOps，靠單一K8s命名空間結合自動化工具來實現維運免手動</strong></span></h3> <p>德國鐵路集團旗下DB Systel公司是德鐵集團的IT團隊，負責所有全集團數位轉型和IT戰略。最近在KubeCon歐洲場研討會中，DB Systel雲端首席架構師Schlomo Schapiro首度公開了德鐵集團擁抱GitOps，讓IT戰略更高度自動化的經驗。他強調，走向GitOps是DevOps實踐中自然演化的結果。</p> <p>為了數位轉型，許多企業將流程自動化列入IT的重要戰略之一，例如想要建立更多標準化流程、減少不必要流程、減少維運和變動的成本、擁抱雲端運算，全面都自動化等。他坦言，但要做到這些目標，實務上有很多挑戰，因為IT需求暴增，所有流程都要整合API、IT複雜的成長超過IT人力的成長，更多IT人力投入業務部門的優化（BizDevOps）、但對IT法遵要求卻越來越多，又要求要善用雲端來創新。「不管IT團隊怎麼努力，似乎永遠都無法跟上需求。」他表示。</p> <p>對IT部門來說，他指出，IT的期待是，聚焦在產品和服務，打造最好的服務，使用最好的工具，更容易實現法遵，和其他團隊沒有相依性而被拖累。「這不是無解難題，必須同時考量組織面和技術面，將所有的問題，都視為自動化挑戰。」他指出。</p> <p>德鐵IT整合組織框架和技術框架，以人為核心來聚焦6大目標，簡化政策、法遵可接受的作法、工具標準化、法遵自動化預算、政策程式碼化（Policy as Code）以及免手動維運（Hands-Off Operations）。「這其中最關鍵的IT策略就是免手動維運，」他強調。這一項正是德鐵發展GitOps的核心原則。</p> <p>為何不講維運自動化而要講免手動維運，他強調，因為這不只是技術議題，而且還是組織文化的議題，就像敏捷不只是工具，也要養成文化面的風氣。許多企業發展各種持續整合、派送自動化，「這只是CI維運，需要結合GitOps，進一步來建免手動維運的文化。」</p> <p>他指出，免手動維運思維包括了正式環境禁止人工介入，不論開發或維運團隊都預設零產品權限（不能插手線上環境），全力發展自動化（法遵治理、更新升級、復原等都自動化）、測試驅動所有事、工具標準化，「GitOps工具就是為了實現免手動維運。」實務上，德鐵利用K8s來執行各種應用，透過單一K8s命名空間，來管理本地端K8s叢集和雲端基礎架構環境，再搭配ArgoCD、Flux第二版來落實GitOps。</p> <h3><span style="color:#0000FF;"><strong>#K8s開發 #除錯工具</strong></span><br /><span style="color:#FF8C00;"><strong>K8s應用除錯工具Pixi宣布開源，可快速建立效能追蹤機制</strong></span></h3> <p>知名美國雲端監控服務商New Relic最近宣布開源釋出了一款K8s應用除錯工具Pixi，採Apache 2.0授權。Pixi提供了一套建立應用程式效能追蹤，監測矩陣、網路層資料蒐集的儀表板工具，也定義了一套自動蒐集各種效能數據的基礎設計，可以完全透過腳本程式來存取所蒐集的各種資料。運作架構上，採取叢集內邊緣運算架構，可將遠端監測所需的各種資料儲存在K8s叢集內而不用回傳來避免遭攔截。主要元件包括了叢集內資料蒐集和查詢引擎Vizier，應用程式和用戶管理後臺Pixie Cloud平臺。</p> <h3><span style="color:#0000FF;"><strong>#Anthos #跨雲平臺</strong></span><br /><span style="color:#FF8C00;"><strong>GCP混合雲平臺Anthos推出1.7版，終於支援Windows容器也可整合跨公雲日誌</strong></span></h3> <p>日前GCP推出新版混合雲平臺Anthos 1.7版，主要增加了三大特性，第一是雲端日誌機制Cloud Logging可以支援Anthos on AWS，等於監測矩陣可以跨本地端、GCP環境和AWS環境來追蹤了。另一個新特色是終於支援Windows容器，可派送Windows容器到vSphere環境中。Anthos配置管理機制ACM也支援更多種叢集類型，包括EKS 1.19、AKS 1.19、OpenShift 4.5、KIND 0.10和Rancher 1.2.4的叢集。第三項新特色是工作量身分識別機制（Workload Identity）可以支援本地端部署或AWS環境的工作量識別管理了，可以用來確保在不同混合雲環境中執行服務時，能有適當的權限控管。</p> <h3><span style="color:#0000FF;"><strong>#GitOps #OpenShift</strong></span><br /><span style="color:#FF8C00;"><strong>瞄準開發部署自動化風潮，紅帽OpenShift正式推出CI整合機制和GitOps功能</strong></span></h3> <p>最近紅帽宣布旗下企業級K8s平臺OpenShift正式推出CI整合機制OpenShift Pipelines，以及用於應用程式部署與配置自動化的OpenShift GitOps功能。OpenShift Pipelines功能使用了開源的持續派送基礎專案Tekton，可自動派送雲端K8s原生應用，到K8s叢集上的POD環境上部署。因此也可以支援可使用Tekton CLI命令列的IDE開發工具，例如Visual Studio Code和IntelliJ的Tekton外掛。而OpenShift GitOps功能則源自另一個CNCF開源專案Argo CD，可建立一個以Git PR指令來驅動的自動化流程，可跨不同K8s叢集來部署和配置應用程式。</p> <h3><span style="color:#0000FF;"><strong>#容器交換 #OCI</strong></span><br /><span style="color:#FF8C00;"><strong>OCI容器映像檔分散規格1.0正式出爐，跨平臺交換容器映像檔也有標準作法</strong></span></h3> <p>容器標準推動組織OCI最近正式宣布，容器分散規格OCI Distribution Specification正式釋出1.0版。這是一個源自Docker Registry HTTP API V2的容器映像檔交換協定，用來規範不同容器儲存庫上推和下拉映象檔的方式。<br /> OCI技術監督委員會主席Phil Estes指出，先前定義的runtime規格界定了容器的定義和執行方式，容器映像檔規格定義了封裝的方式，而現在這個分散規格的訂定，有助於建立一個在各種儲存庫和runtimePhil Estes工具間傳遞容器的標準作法。Docker技術長Justin Cormack更直言這是另一個里程碑的重大進展。</p> <h3><span style="color:#0000FF;"><strong>#IaaS #Pulumi</strong></span><br /><span style="color:#FF8C00;"><strong>基礎設施即程式碼工具Pulumi大改版，3.0也能原生支援Azure和GCP</strong></span></h3> <p>基礎設施即程式碼工具Pulumi 3.0帶來非常多的功能更新，包括了正式加入Pulumi自動化API，讓開發者可以在應用程式中嵌入Pulumi功能，而且除了AWS，Pulumi也開始原生支援Azure和Google雲端平臺，在語言的支援上，Pulumi試圖整合多語言元件，讓各種語言的套件能夠互通。開發者可透過自動化API將Pulumi功能，嵌入到自己的應用程式中，因此可以不使用命令列工具或是撰寫腳本來操作CI/CD，改用Pulumi部署引擎，更多元的方式控制工作流程。Pulumi自動化API支援多種語言，包括TypeScript/JavaScript、Python、Go以及C#。</p> <h3> <span style="color:#0000FF;"><strong>#K8s開發 #OpenShift</strong></span><br /><span style="color:#FF8C00;"><strong>為簡化K8s開發，紅帽發布OpenShift開發者沙盒</strong></span></h3> <p>紅帽推出了一款新開發工具稱為OpenShift開發者沙盒，可以在有預配置開發者工具的多租戶叢集中，提供私密的OpenShift環境，由於基礎設施和工具緊密整合，因此能讓開發人員安全地設計和建構新應用程式、添加新服務，還能從程式碼創建容器或Dockerfiles等。沙盒中的預設工具，包括了一組Helm Chart以及紅帽建置映像檔、s2i建置工具以及CodeReady Workspaces。紅帽也更新了一系列工具，這些更新建立在OpenShift GitOps和OpenShift Pipelines之上，因此IT團隊可以利用GitOps工作流程，來配置叢集和交付應用程式，並完全控制開發團隊的交付工作管線、套件和存取控制。</p> <h3><span style="color:#0000FF;"><strong>#生命週期管理 #雲端原生應用</strong></span><br /><span style="color:#FF8C00;"><strong>雲端生命周期管理系統Airship大進展，2.0新推更方便的命令列新工具</strong></span></h3> <p>新版Airship 2.0提供了宣告式的命令列工具Airshipctl，讓用戶組合和調度雲端原生建置模組，來供應或是管理Kubernetes，以及其衍生的軟體堆疊。透過直覺且簡單易用的介面，方便地操作其他開源專案，包括Cluster API、Metal Kubed、Kustomize和kubeadm等。Airshipctl可以從版本化的Git存儲庫，以Kubernetes資源檔案的形式，擷取宣告式意圖，並且透過與Kustomize的整合，Airshipctl能將行動（Action）的任意部分，轉出為文件包。新版能支援各種基礎設施後端和作業系統，從Azure、Google等公有雲，到虛擬機器Openstack，甚至是裸機環境。</p> <h3><span style="color:#0000FF;"><strong>#GCP #Azure #AWS</strong></span><br /><span style="color:#FF8C00;"><strong>GCP容器相關服務的競爭產品是甚麼？一張表快速比較三大雲端容器服務</strong></span></h3> <p>GCP、AWS和Azure大比對公有雲的容器相關服務越來越多，種類也很雜，不只是純容器服務，有些列在資安服務，有的則屬於無伺服器服務，不同業者對於類似功能的服務，也各有不同的命名，更難比較同樣功能的服務有何差異，最近Google<a href="https://cloud.google.com/free/docs/aws-azure-gcp-service-comparison?utm_source=google&utm_medium=blog&utm_campaign=FY21-Q2-Product-Mapping-Blog&utm_content=documentation">更新了</a>一份與其他兩家公有雲服務競爭對手的產品對照表，雖然這是Google觀點的產品表，意味著會完整列出GCP自家功能，但不一定會列出對手的服務，對手可能也不見得同意GCP的分類，不過，這倒是一份可以一窺GCP自家產品有哪些競爭服務，可供有意採用的企業產品評估之用，Azure也有<a href="https://docs.microsoft.com/zh-tw/azure/architecture/aws-professional/services">類似的產品比較表可參考</a>。整體來看，Google與容器應用相關的服務，近來以容器資安和無伺服器應用類型上的新增服務較多，這也是GCP近來的產品發展重點。</p> <h3><span style="color:#0000FF;"><strong>#GPU #GKE</strong></span><br /><span style="color:#FF8C00;"><strong>GKE現讓多執行個體共享單一GPU</strong></span></h3> <p>Google更新其Kubernetes服務GKE，提供多執行個體可共用單一Nvidia GPU的功能。Nvidia A100 GPU最多可以劃分成7個執行個體，每個執行個體都有獨立的高頻寬記憶體、快取和運算核心，每個執行個體可以分配給1個容器，每個A100 GPU最多可以分配7個容器，另外，多執行個體GPU間由於採用硬體隔離來增加了安全性，也替所有GPU上執行的容器提供一致且可預測的QoS。</p> <p><strong>責任編輯：王宏仁</strong></p> <h3><strong>更多容器新聞 </strong></h3> <p>●VMware的Tanzu SQL服務正式新增MySQL，可在K8s環境上大規模部署MySQL<br /> ●GKE推出Dataplane第二版新版，可即時顯示GKE或Anthos叢集的網路活動情況<br /> ●紅帽執行長Paul Cormier宣布新混合雲戰略，要將OpenShift延伸到邊緣<br /> ●HashiCorp成Codecov供應鏈攻擊受災戶，導致加密金鑰外流<br /> ●Google函式即服務Cloud Functions開始支援PHP</p> </div></div></div>
2021/5/25 14:27作者王宏仁https://www.ithome.com.tw/news/144609
【疫情日報】全國第三級警戒延長至6月14日，全國各級學校停課亦延長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心今（25日）宣布單日新增281例本土案例，以及校正追加261例，而且全國三級警戒延長至6月14日，全國停課措施也一併延長至6月14日。</p> <p><span style="font-size:22px;"><strong>單日新增281例，校正追加261例</strong></span></p> <p>指揮中心指揮官陳時中指出，本日新增個案分布以新北市154例最多，其次為臺北市49例，其他分佈縣市包括桃園市16例，臺南市、基隆市及彰化縣各10例，臺中市9例，屏東縣及新竹市各4例，高雄市、宜蘭縣各3例，臺東縣、南投縣及苗栗縣各2例、新竹縣、雲林縣及花蓮縣各1例。</p> <p>另外校正追加的261例中，以臺北市155例最多，其次為新北市89例，宜蘭縣、桃園市各5例，基隆市及彰化縣各3例，臺中市1例。這些案例追加回5月16日至5月24日。</p> <p><strong><span style="font-size:22px;">全國三級警戒延長至6月14日，全國各級學校停課同步延長</span></strong></p> <p>陳時中也宣布全國疫情第三級警戒延長至6月14日，也呼籲企業持續落實人員分流、異地辦公等營運指引措施。另由於第三級警戒延長，影響不少產業，行政院正積極討論紓困方案，日後將儘早公佈相關措施。</p> <p>今日，教育部部長潘文忠也宣布全國停課時間延長至6月14日，範圍涵蓋全國各級學校及公私立幼兒園，兒童課後照顧服務中心、補習班等各類教育機構也包括在內。</p> <p>為因應遠距教學需求，教育部持續擴大線上教學資源，包括在教育部因材網YouTube頻道擴充各類課程單元的學習資源、國家教育研究院聯手台達電子文教基金會開發專屬YouTube頻道，提供高中學科學習資源。此外，教育部也請公視3臺播放「疫起線上看」教學節目，來提供師生更多居家學習管道。</p> <p>教育部也建議，教師要是遭遇線上教學問題，也可參考教育部線上教學便利包，或加入臉書「台灣線上同步教學社群」，來查詢輔助資源或尋找諮詢協助。</p> </div></div></div>
2021/5/25 14:34作者王若樸https://www.ithome.com.tw/news/144610
佛州簽署新法令，禁止科技平臺封鎖政治候選人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國佛羅里達州州長Ron DeSantis在24日<a href="https://www.flgov.com/2021/05/24/governor-ron-desantis-signs-bill-to-stop-the-censorship-of-floridians-by-big-tech/" target="_blank">簽署了Senate Bill 7072法案</a>，要求大型科技業者必須維護當地民眾存取相關平臺的能力，並採用高度透明化的政策，同時禁止相關平臺封鎖政治候選人，這是美國首個針對科技平臺封鎖政策祭出規定的州政府，美國媒體評論它可能受到違反美國《第一修正案》的考驗，而臉書及Twitter等平臺則尚未針對此一新法案發表評論。</p> <p>DeSantis與美國前任總統川普（Donald Trump）同屬共和黨，該法案很可能是因為Twitter與臉書同時封鎖了川普帳號而誕生，佛州議員Blaise Ingoglia即表示，保守派言論日益受到矽谷大型科技業者的攻擊，然而，佛州認為這種偏見沈默不應被容許，此一具有歷史意義的立法將確保人們的聲音被聽見，捍衛言論自由。</p> <p>州長DeSantis也說，假如這些大型科技業者的言論審查行為不一致，偏袒了主導市場的矽谷意識型態，那麼它們將會被究責。</p> <p>根據新法案，這些大型科技平臺必須平等對待所有的州民，在實行內容審核時必須基於一致的政策且透明化，否則人們有權可以控告它們，還能請求損害賠償；假設這些業者違反了當地的反托拉斯法令，便不得與任何公共實體簽訂合作協議。</p> <p>而最受到矚目的規定則是，相關平臺不得封鎖佛州的任何政治候選人，一旦違反該規定，佛州的選舉委員會每日最高可向其開罰25萬美元。該州強調，任何州民都能夠選擇封鎖任何不想看到或聽到的候選人，因為這是每個州民的權利，然而，這並不是大型科技業者得以決定的。</p> <p>不過，佛州以言論自由為名，禁止科技平臺封鎖政治候選人，也可能違反要求政府不得干預企業言論自由的美國憲法《第一修正案》，而遭到法院推翻。</p> </div></div></div>
2021/5/25 15:04作者陳曉莉https://www.ithome.com.tw/news/144612
1年1.6億次攻擊如何擋？三總從實戰練出7措施11方法打造更強防禦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三總是全臺最大軍醫院，也屢屢成為資安攻擊的標靶，曾經1年遭受過上億次攻擊。在這些經驗中，三總先是以切割DMZ、分割網段等7個措施，再進一步用11個方法來圍堵缺口，最後收緊USB的使用，才維持每個季度病毒量在200、300以下。三總總結醫療資安3心法：可視監控、隔離管制、關鍵保護，未來還要建置自動化資安應變系統。</p> <p><strong><span style="font-size:22px;">醫療資安事件頻傳，2019年國家級資安事件讓醫院加碼重視</span></strong></p> <p>三總是國防部所屬14家國軍醫院之一，不僅是北部醫院中心，也是全臺最大的軍醫院。三總醫療資訊組系統工程組組長林靖指出，近年醫療資安事件頻傳，像是新加坡醫療系統遭駭外洩150萬筆個資，或是德國醫院因勒索病毒發生病患死亡事件，甚至像在臺灣，2019年勒索軟體侵襲全臺30多家醫院，造成了國家級醫療資安事件。</p> <p>2019年那次攻擊之所以影響多家醫院，是因為駭客入侵健保VPN網路，再從衛福部電子病歷交換中心的EEC閘道器，蔓延到多家醫院。林靖解釋，攻擊者透過遠端桌面連線和暴力破解，入侵了健保申報主機，再橫向擴散到不同的EEC閘道器，也就是醫院與衛福部交換電子病歷的平臺。</p> <p>駭客等於是攻進了健保內網，在醫院與健保署共用的內部網路擴散，才導致30多家醫院受到攻擊。這次事件後，全臺醫院更加注重資安，紛紛投入資安防護建設，衛福部也開始改善EEC內網安全。</p> <p><strong><span style="font-size:22px;">身為全臺最大軍醫院成為攻擊標靶，AD都曾遭駭變成散播跳板</span></strong></p> <p>但對三總來說，「資安攻擊司空見慣。」林靖指出，早從2004年開始，三總就不斷受到攻擊，尤其在2018年，全臺軍醫院頻頻遭受攻擊，甚至，「一年共有1.6億次攻擊，大多針對三總。」</p> <p>不過，他認為，最嚴重的攻擊發生在2013年，中國網軍透過社交工程，把醫院最重要的網域主控站（AD）「打掛了」。駭客取得AD控制權後，在內部網路環境部署多個控制管道來擴散。</p> <p>事後，三總統計，當時高達46個惡意程式和36個駭客工具，入侵了59臺電腦和伺服主機，而且在網站主機上，還發現了7種不同功能類型的後門程式。</p> <p>林靖分析，那次災情只因一封電子郵件而起。收信者開啟信中檔案，後門程式順勢觸發，駭客便透過中繼站操控受害電腦，來下載破解密碼的惡意程式，對AD展開攻擊。</p> <p>當駭客掌握AD控制權後，也就取得醫院網域內所有帳號密碼資訊，開始在內網橫向擴散，攻擊其他電腦和伺服器。不只如此，駭客還透過跳板程式來操控這些電腦、上傳資料。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%94%BB%E6%93%8A.jpg" /></p> <p><strong><span style="font-size:22px;">三總第一次調整，用7招防護措施來改善</span></strong></p> <p>2013年事件發生前，三總原有資安架構是，外部設置一套入侵防護系統（IPS），來管理對外網路區域（DMZ），包括了AD、網路、郵件主機和網域名稱伺服器DNS。IPS下還建置了外部防火牆和網頁內容過濾器，對內則有2套不同型號的內部防火牆搭配，來保護三總不同院區（包括臺北門診中心、松山院區、北投院區、澎湖院區）以及國防醫學院的資訊安全。（如下圖，不過，IPS位置錯置，應位於更外層）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9E%B6%E6%A7%8B.jpg" /></p> <p>內部防火牆之後設有閘道器，除了一端連接到健保VPN外，還有一端連接到緊急醫療網與伺服器運算農場（Server Farm），其下有內部的AD、交換主機、急診系統等。三總還有另一個閘道器來連結汀州院區、行政網、醫療網和資管室網段。</p> <p>林靖解釋，採用不同型號防火牆的原因，是為了預防一款遭攻陷，還有另一款可防護。即使做到了如此的防禦縱深，但那起事件中，駭客還是能入侵，三總認為，這代表當時的架構不夠強韌。因此找來資安業者討論，用了幾個方法來更進一步來精進資安架構。</p> <p>第1個方法是將DMZ按業務特性和風險程度細分，再切割成多個DMZ區，比如將提供外部服務的網路掛號等主機，移到外部DMZ區，或是將伺服器農場再分割，比如分為行政網DMZ區、內部網路DMZ區等。</p> <p>再來，三總也隔離了外部郵件，不讓外部信件進入醫院內部。</p> <p>第3，為確保分院和總院安全，各院區（包括汀州院區、國防醫學院、臺北門診中心、松山院區、北投院區、澎湖院區）改由總院單一閘道連線至網路。同時，各院區專線應經過防火牆把關，而且要在防火牆內限定可存取的指定資源。</p> <p>接下來，則是在網段間設置存取控制清單（ACL），包括醫療網、行政網、資管處網段、緊急醫療網和伺服器農場等。第5個方法則是在伺服器農場中，將醫療系統和資料獨立出一個網段，安裝防火牆來限定可存取來源和協定。不只如此，三總對外也採取更嚴格的措施，比如院外連線需透過VPN，而且還要雙因數認證。</p> <p>此外，三總也逐年改善資安防護措施，比如在DMZ區前增加防護、在後端也增設APT防火牆等更多系統來防護。</p> <p>「加了這麼多層的縱深防禦架構，就夠了嗎？」林靖坦言，在2017年，三總再次遭到攻擊，來自內部國防醫學院網路滲透過來的攻擊，成功入侵了三總系統。</p> <p><strong><span style="font-size:22px;">三總第二次調整，11措施全面防堵醫院資安缺口</span></strong></p> <p>這起事件發生後，國防部緊急要求三總再次盤點所有資安缺口。林靖指出，醫院端使用網路的單位包括了臨床醫療、教學部、研究部，其中「教學和研究部，與國防醫學院完全分不開，」因為國防醫學院每年都派實習生到醫院受訓，而三總主治醫師，也經常要到國防醫學院教課，雙方需要資訊可共享的網路服務。</p> <p>三總原本就將醫院內網封閉、只開放虛擬桌面VDI連接，但卻未將國防醫學院的路徑隔離在外，因此造成缺口，才釀成了這起攻擊事件，駭客入侵後便橫向擴散到醫院其他主機。</p> <p>三總盤點缺口後，開始進行防堵，要建造完善的醫療資安防禦網。他們採取11項措施，首先是網系隔離，這次將國防醫學院學術網實體隔離，徹底與三總分割。再來是網路管理方面，醫療網電腦對外連線，只開放給白名單上醫療業務所需的IP，其他對外連線一律禁止。如果需使用網路資源，只能透過虛擬桌面方式上網，並進行黑名單管制，甚至使用完立即中斷連線。</p> <p>第3個措施是，全院管控行動儲存設備，比如隨身碟。三總管控之嚴，連醫師用隨身碟都必須先註冊，來掌握每一個使用者。</p> <p>再來是安裝檔案加解密系統。安裝系統後，資料攜出三總時會經過加密，讀取者需要解密才行，林靖指出，若連這麽做都發生資料外洩，那就表示有人刻意為之，這也是三總想要杜絕的事。</p> <p>除此之外，三總也全面建構端點防護作為，不只在使用者端，全面安裝防毒軟體，來防範已知病毒，也安裝資安監控軟體，透過滲透行為鑑識，來辨識未知的攻擊行為。</p> <p>其他措施還包括禁止非必要性軟體安裝（如Line）、管制高危連接埠和指令碼（如網路芳齡139和445、PowerShell）、定期資安健檢和醫護人員資安訓練等。另外，由於當時資訊工程師只有4位，人力不足，因此委外資安廠商來建置SOC機制。</p> <p>另一個措施是定期更新作業系統修補檔。「我相信許多醫療院所都對這點很頭痛，」林靖解釋，因為一般PC有更新程式可修補，但醫療電腦連接了大型醫療裝備，這類電腦的作業系統多半為Windows XP，「根本更換不了，」除非連醫療裝備一起汰換。即便如此，三總還是找到方法來解決，也計畫採購IoT資安閘道器來應對。</p> <p>三總用內部偵測到的病毒程式量，來觀察資安架構對外的防護強度，數量越少，代表多數病毒程式被層層攔截了。三總統計後發現，2013年第三季，內部監測到的病毒數量高達4,500支，資安架構經過第一次調整後，每季度的病毒量下降至500支以下，而2017年第二次調整後，每季度病毒量也微幅下降。最近在2020年的第三次調整，三總更決定全院封鎖外部USB，只保留一個簡易站電腦，需使用USB的醫護人員，得將自帶USB的檔案先拷貝到這臺電腦，再用公發USB來存取，才能到內部使用，來降低惡意程式的攻擊。此時，每季內部偵測到的病毒量已經小於200支。（如下圖）</p> <p><strong><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B5%B1%E8%A8%88(2).jpg" /></span></strong></p> <p><strong><span style="font-size:22px;">醫療資安3大心法：可視監控、隔離管制、關鍵保護</span></strong></p> <p>「因為嚴格的防護措施，2019年勒索軟體攻擊全臺醫院事件中，三總反而沒有受到影響。」三總經過多次攻擊、久病成良醫，林靖也分享醫療資安的3大心法，也就是可視監控、隔離管制、關鍵保護。</p> <p>可視監控的第一步，「網路是駭客攻擊的第一目標，因此要建立網路可視化系統，來監控異常流量。」他提醒，傳統網路流量監控的設備，無法監控SSDL加密資料，因此，三總也採購了進階的加密資料監控設備，能解開加密式內容，來加強監控。</p> <p>再者，三總也鎖定醫療裝備等物聯網設備，要採購IoT資安閘道器，來掃描IoT設備狀況，進而實現可視監控。再來，三總也建立SIEM平臺，來彙整上述兩種資料，來進行即時性分析，未來還要導入AI大數據分析，來自動找出異常活動，降低人力負荷。</p> <p>而第2個心法「隔離管制」則要做到4個要件，也就是邊界防護（防火牆）、網路區段隔離，比如分行政網、醫療網等，再來是實體隔離和單機隔離，像三總就將國防醫學院的網路直接切割，進行實體隔離。</p> <p>至於關鍵保護，首先在程式面，三總要建立零信任監控，針對PC、伺服器等，建立應用程式白名單，來有效避免惡意程式。再來是帳號權限管控，因為，三總經歷過AD遭控制、帳號密碼權限全失的事件，因此借助不同資安軟體來管控帳號。</p> <p>林靖推薦各家醫療院所，參考衛福部去年8月發布的「基層醫療院所資安防護參考指引」，「醫院只要做到指引中的措施，就能大幅提高資安層級。」他指出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6651.jpg" /></p> <p><strong><span style="font-size:22px;">與攻擊共存，把資安當作一種管理流程</span></strong></p> <p>他也坦言，不管任何產業，都沒有絕對安全的系統，因此，「學習接受可接受的風險，與攻擊共存，」當遇到駭客發動攻擊時，有能力儘早找出問題點，解決問題。</p> <p>在他看來，資安就是一種管理流程，包括預防、偵測、控制、復原、修正。預防要做到的是，避免未授權而獲取資料或資源；偵測則是找出資訊系統內的不法案件；控制是要啟動安全措施，遏止不法事件發生；而復原則是要建立資安事件後的復原能力，最後的修正，則是加強管理工作，一有缺失就立即更正。如此，醫院才能盡情發展智慧醫療應用。</p> <p>未來，三總還要建立自動化資安應變系統，透過大數據分析來快速掌握資安情資，此外還要透過微分割和SDN機制，來即時響應告警，快速阻止有限和無線網路中的威脅。</p> <div id="gtx-anchor" style="position: absolute; visibility: hidden; left: 878px; top: 2126px; width: 27px; height: 15px;"> </div> <div aria-describedby="bubble-2" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: 287px; top: 2151px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-2"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowup" style="left: 871.5px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2021/5/25 13:48作者王若樸https://www.ithome.com.tw/news/144606
【臺灣資安大會直擊】資安攻擊防不勝防，白名單是打造零信任資安環境的利器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期國內資安攻擊事件頻傳，尤其是高科技製造業屢屢成為駭客攻擊目標，企業資安防護應如何自保，今年資安大會中，曾任美國賽門鐵克核心研究實驗室總監的工研院資通所所長的闕志克認為，企業應建立零信任的安全機制，白名單即是一個相當重要的手段。</p> <p>「零信任就是一開始對任何行為都不信任」，闕志克直接點出零信任安全機制的精神，所有系統行為都需經過批准，唯有通過批准的行為才能被執行，這點正和白名單的安全機制不謀而合，白名單概念是只有正面列出的應用可被允許，其他未被列入者則不被允許。</p> <p>傳統資安攻擊手法可歸納為三步驟，駭客利用軟體漏洞入侵裝置，員工在不覺之下將被入侵的BYOD裝置帶到企業環境內使用，導致惡意程式攻擊在企業內部橫向擴散。換言之，只要中止這個過程中的步驟，就能降低攻擊造成的損害。資安攻擊過程大多是，駭客利用漏洞將shellcode植入系統，進而讓系統下載安裝惡意程式，可能造成任何的損害，例如破壞系統的正常運行或是竊取資料等等。</p> <p>闕志克指出，傳統防毒軟體多運用黑名單機制，建立禁止執行的惡意程式名單，一旦發現黑名單中的程式即中止執行；相反地，應用程式白名單機制，只有被允許者能夠執行，名單外的程式都禁止。</p> <p><span style="color:#B22222;"><strong>白名單適合保護特定功能的系統</strong></span></p> <p>對個人使用的電腦或筆電採取白名單機制，可能因太嚴格的限制，造成使用者的不便，但闕志克指出，白名單非常適合無線路由器、無人機、自駕車等特定用途的裝置採用，其他例如企業工業控制系統等OT的保護，也相當適合。</p> <p>美國NCCIC(國家安全暨通訊整合中心)曾對工業控制系統保護提出7項建議，應用程式白名單機制名列第一，重要性可見一斑。「白名單機制雖然不是萬靈丹，卻是最需要先做的事」，闕志克說。</p> <p>要對特定功能的伺服器建立白名單，得先知道這臺伺服器提供哪些功能，先設妥哪些應用程式必需執行或可允許，將其列入白名單中。他以工研院這幾年所開發的Windows-based AWL為例，針對可執行的二元碼（Binary Code）、共享函式、核心模組、驅動程式，甚至是Script程式進行檢查，建立應用程式白名單機制</p> <p>「白名單從哪裡來」，闕志克點出這個機制第一個挑戰，當一臺全新、從來沒有連接過網路的Windows server 2020，最初的白名單如何設定，才能確保Windows server必要的應用被允許執行。</p> <p>當建立白名單機制後，接下來的問題是如何維護？白名單上的應用如有任何更新，白名單沒有同步調整，就可能發生應用更新後無法執行的問題，目前工研院致力於研究如何讓白名單保護機制與時俱進，例如讓白名單的調整和Windows Update流程結合，或是企業以AD主機安裝的應用，也能同時更改應用程式白名單。否則，當Chrome瀏覽器自動更新版本，若白名單沒有同步調整，就可能出現更新後無法執行的問題。</p> <p>即使建立應用程式白名單，但闕志克提醒，白名單中的程式也不代表就是安全，如同前面所說的，當駭客利用應用程式的漏洞植入shellcode，仍舊會造成損害，簡言之，如何發現白名單內的應用程式已經「變質」，是強化白名單機制安全性的一大挑戰。</p> <p>目前工研院已研發一套檢查工具，針對白名單應用程式的系統呼叫行為模式進行檢查，比對編譯期和runtime的系統呼叫行為是否出現異常，作為判別被植入shellcode的依據。</p> <p>另外，也可用Android Kernel框架慣用的控制流程(control flow)檢查，透過檢查比對執行時的控制流程是否異常，來判斷白名單所允許的應用程式是否被駭。</p> <p><span style="color:#B22222;"><strong>以正面表列規範應用程式應有的行為</strong></span></p> <p>闕志克表示，白名單機制不應只是設定哪些應用程式可執行，還應包括程式的正常行為模式，例如系統呼叫、控制流程行為也一併記錄，這麼做的好處是，只要描述好的應用程式應有的行為，不需去定義壞的應用程式有哪些不好的行為。在一般資安系統設計思維裡，多傾向思考壞人有哪些不好的行為，較少思考好人應有的好行為是什麼。「這就是正面表列、零信任的精神」。</p> <p>他認為，正面表列的安全機制尤其適合ATM、無人機、自駕車這類固定功能的系統，這些系統因為特定用途，可採用多層次的白名單檢查，包括允許安裝執行的應用程式二元碼檢查，事先定義每個程式對系統資源的使用行為，還有程式的系統呼叫、控制流程圖等，就能降低被攻擊風險。「在多層次的保護機制下，即使白名單允許的程式因漏洞遭植入shellcode，也能阻斷攻擊過程」。</p> <p>企業資安防護使用白名單機制時，闕志克建議，不只是一臺伺服器上有哪些應用可執行，這些應用能用哪些系統資源，還有哪些外部伺服器或用戶端電腦被允許和這一臺伺服器的應用互動等，都要列入白名單中。</p> <p>同樣地，對員工的BYOD裝置也應採取零信任的態度，只允許裝置上的少數應用能用企業資源，例如在員工手機上部署虛擬行動基礎架構(VMI)，僅允許虛擬手機使用企業內部的資源。</p> <p><strong>闕志克建議企業可將白名單視為一種通用的資安防護策略，並採取層層定義的方式，對應用程式、程式應有資源使用行為、網路通訊、可與之互通的BYOD裝置程式定義清楚：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/whitelising-1.jpg" style="width: 600px; height: 411px;" /></p> <p>若是不幸地，惡意程式入侵，為了阻擋惡意程式在企業內部擴散，並進一步限縮可能造成的損害，他也建議，企業應建立應用感知的網路切片(Application-aware network segment)，讓不同的應用使用個別的網路切片，甚至進一步對虛擬機器或容器間的網路通訊行為模式，建立應用層級的白名單機制，以形成防火牆規則，限縮惡意攻擊的影響性。</p> <p>闕志克總結，企業規畫資訊系統應納入零信任精神，先考慮想提供那些功能，這些功能可允許哪些行為，包括哪些程式可允許執行，允許哪些裝置和這些程式互動等等。</p> <p>「企業應將白名單機制視為一種通用資安防禦策略，多數企業規畫資安系統時，不斷嚐試找出哪裡有漏洞，但漏洞是人為錯誤的結果，漏洞是無限的挑戰，企業反而應該思考，允許哪些行為就足以滿足營運需要，同時將影響限縮到最小」，他說。</p> <p> </p> </div></div></div>
2021/5/25 10:14作者蘇文彬https://www.ithome.com.tw/news/144553
14年玩成全球頂尖駭客，戴夫寇爾首席資安研究員親身分享5階段心路轉折
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「雖然說我的成就看似光鮮亮麗，全世界可以相比的人也屈指可數，但我也有自己的課題要面對。」今年剛率領戴夫寇爾（Devcore）資安研究團隊，在全球頂尖白帽駭客比賽Pwn2Own中奪冠的戴夫寇爾首席資安研究員Orange Tsai，近日在臺灣資安大會上，分享自己一路成長為世界頂尖駭客的心路歷程。</p> <p>他大方揭露，自己也經歷所謂的「萌新」時期，從找不出錯誤的程式碼，一步步學習、成長、歷練，才能達到現在的成就；而在各大比賽中嶄露頭角後，頂著資安新星的光環，卻也有遭遇挫折的時候，這時就需要重新找到動力，才能堅定的持續前行。這些一路走來面臨的轉捩點與課題，都是他不斷精進自我的關鍵。</p> <h3><span style="color:#FF8C00;">以數碼寶貝的進化5階段，回顧自己14年駭客學習歷程</span></h3> <p>Orange Tsai演講過程中，以卡通數碼寶貝的5個進化階段，分別是幼年期、成長期、成熟期、完全體到究極體，來回顧自身14年來的駭客技能學習歷程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-24%20%E4%B8%8A%E5%8D%8810_33_03.png" style="width: 700px;" /></p> <p>「大部分人可能會好奇，我以前如何接觸電腦？如何想當駭客？」Orange Tsai表示，開始接觸電腦的契機，是在小學四年級，接觸到知名電腦補習班補助弱勢孩童的電腦課程，儘管已記不得當時所學內容，但是過程中「很好玩」的感覺，開啟了他摸索電腦的興趣。</p> <p>這段學習電腦的「幼年期」，Orange Tsai表示，自己也曾經是個「萌新」，就像是遊戲中的新手玩家，還在不斷學習探索。遇到問題，也會到「Yahoo奇摩知識+」徵求網友解答，比如詢問該如何打開「命令提示字元」；或是自學C語言時，把整段程式碼貼上詢問錯誤之處。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-24%20%E4%B8%8A%E5%8D%8810_34_14.png" style="width: 700px;" /></p> <p>直到2007年底，他看到新聞正在播送一個轟動全臺的駭客新聞，因而萌生了一個想法：「如果可以在網路世界中，神不知鬼不覺地來去自如，應該帥爆了！」至此，他立下了要當駭客的目標。</p> <p>在興起這個念頭後，Orange Tsai的駭客生涯進入「成長期」。回想成長期的學習歷程，他認為，「學習一門技術，就像玩遊戲的過程，」比如任天堂在2017年發行的遊戲薩爾達傳說，讓玩家在開放世界的地圖中探索，就像學習一門新領域時，從最熟悉的地方逐漸向外探索的過程，「如果你在探索某塊地圖、打倒某隻怪物的過程中感到好玩，代表你已經開始樂在學習了。」</p> <p>Orange Tsai在成長期的時候，正是秉持著探索的精神，開始學習各種駭客攻擊手法，無論是木馬程式、逆向工程、網路攻防各類知識，都主動接觸，若遇到看不懂的內容，就先筆記下來，「每隔一段時間重看一次，直到看懂為止。」</p> <p>持續摸索一、兩年後，由於一個人學習有其侷限性，也缺乏與他人的交流，Orange Tsai主動與當年在資安圈小有名氣、現在則是戴夫寇爾執行長翁浩正聯繫，進而加入了他在輔仁大學創辦的資安研究社團NISRA。</p> <p>當時，Orange Tsai只是高中生，但每週都會固定到輔大的資安社團學習，他也因此接觸到更多資源，比如開始迷上鼓勵駭客思維的Wargame比賽，也曾經為了某個挑戰茶不思飯不想，渾然投入其中。這些學習經歷，更讓他在2009年，第一次以高中生身份參加臺灣駭客年會時，就一舉奪下冠軍。</p> <p>「我從最初覺得駭客很帥，到學習駭客技術上癮，又因為冠軍引起關注，這對一個高中生來說，自信心是很大的膨脹。」Orange Tsai說。</p> <h3><span style="color:#FF8C00;">開始歷經挫折，卻從中找回屬於自己的駭客精神</span></h3> <p>以奪獎作為分界點，Orange Tsai的學習歷程進入「成熟期」。在這段時期，為了獲得更多認同感，他開始刻意訓練自己的演講能力，也投稿各類研討會，來分享自己習得的知識或資訊。</p> <p>「雖然當時是因為認同感才決定演講，但回想起來，這是我做過最正確的一件事。」Orange Tsai指出，一場演講的準備，就是進行一次小型研究的過程，為了確保演講內容精彩且正確，得不斷地對同一個主題深究，過程中，會將雜亂的資料整理成有用的資訊，內化成自己的知識，再向觀眾解釋，「這些能力對我日後有很大的幫助。」</p> <p>除了對外尋求認同感，Orange Tsai也對內尋求自我的認同。當時，由於好奇自己的極限，他開始駭入曾經使用過的服務，「我不是要搞破壞或從中獲利，我也知道這會為自己帶來很多麻煩，可是這個挑戰非常吸引人。」剖析當時的心境，他也坦言，駭入時，會在滿滿的罪惡感與成就感之間徘徊，甚至會為了要不要按下Enter鍵猶豫許久。</p> <p>雖然Orange Tsai找到了漏洞後，都會向提供服務的企業回報，但是，這類攻擊舉動仍對這些企業造成困擾。他強調：「這是不好的示範，我不鼓勵大家這麼做。」尤其，當時他剛加入戴夫寇爾不久，公司剛逐漸上軌道，他才驚覺，自己一時錯誤的決定，可能會因此連累所屬公司的名譽受損。「這件事情帶給我很大的反思，後來，不輕易造成別人的誤會與困擾，成為我的重要原則。」</p> <p>Orange Tsai建議，若新手駭客要練功，無論是CTF或是Bug Bounty之類的挑戰，都是很好的方向。就像當時，他對於駭客技術的追求，轉而透過CTF這類比賽來實現，「CTF更專注技術，且自帶競爭感，跟我當時的想要聚焦技術、追求成就感的想法不謀而合。」</p> <p>這段參加CTF競賽的時期，被Orange Tsai劃分為進入「完全體」的階段。藉由競賽，他獲得了非常豐碩的成果，比如學習還原只剩一半的QR Code、學習開鎖技能、甚至透過逆向工程使吃餃子老虎機中大獎等，「在CTF可以挑戰各式各樣新穎有趣，甚至一輩子都碰不到的技術。」甚至，在CTF上斐然的成績，還讓他與戰隊成員，受到總統接見的殊榮。</p> <p>但在這時，Orange Tsai卻開始遭遇了另一個挫折，「雖然CTF帶給我很大的成就感，但也要承認，永遠會有比你天才的存在。」這個認知，甚至讓他開始質疑自己：「為什麼要這麼努力？自己的價值到底在哪裡？」</p> <p>經過一段時間的反思，Orange Tsai逐漸體認到，在真實世界的駭客攻防中，除了技術之外，更重要的是經驗，「我這幾年的經驗累積，是對方單靠技術無法碾壓的。」他為自己打氣，只要不停止接觸資安，在攻擊的經驗上，自己肯定能佔據優勢。</p> <p>對此，他更引述一位駭客余弦（EvilCos）所說的話，來勉勵自己與觀眾：「哪怕再小，也要讓自己成為某一點的No.1。」哪怕再小，每一次成為第一名的過程中，就是一次自我學習的實現，「當你可以說服自己在某一點擁有價值的時候，心中就能更踏實的走下去。」他坦然的說。</p> <h3><span style="color:#FF8C00;">站在世界舞臺，使命感油然而生</span></h3> <p>當了多年的電競選手後，Orange Tsai發現，CTF的成就感逐漸滿足不了自己，因而開始往更大的目標挑戰，這是他的學習歷程中最後一個階段「究極體」。</p> <p>這個時期，Orange Tsai陸續挑戰了各種駭客領域中，自己尚未拿過獎項的比賽，不只近日在Pwn2Own比賽中獲得破解大師（Master of Pwn）的桂冠殊榮，2019年也與同為戴夫寇爾資安研究員的Meh Chang，獲得漏洞界奧斯卡獎Pwnie Awards「最佳伺服器漏洞獎」的肯定，過去也曾擔任世界級駭客大會如Black Hat USA、Defcon、HITB的講者。</p> <p>「當眼界放大到世界，使命感會慢慢地浮現，尤其在國際舞臺上，臺灣常遭鄰居打壓，如果可以大聲講出你來自臺灣，心裡就會莫名的爽。」Orange Tsai毫無保留的說出，要讓世界看見臺灣的決心；不只如此，他的使命感，還在於對臺灣資安人才的培育，近年來參與了政府辦理的資安人才培育計畫，要透過自身力量，幫助臺灣年輕駭客成長。</p> <p>不過，走到這個階段的Orange Tsai，看似已經達到旁人不能及的高度，仍舊遭遇了更多課題需要自我克服，「雖然說我的成就看似光鮮亮麗，全世界可以相比的人也屈指可數，但我也有自己的課題要面對。」</p> <p>比如追逐成就感的過程，是驅使他不斷向高處攀登的動力，但有時也讓他陷入鑽牛角尖的循環。他舉例，為了讓自己產出比前一年更傑出的研究成果，去年一整年，他每天都強迫自己找漏洞，也因此，找漏洞變成一件痛苦的事。經過一段時間沈澱後，他才發現，有趣的不是挖漏洞的過程，這是別人花時間也能做到的事，反而是創造出新的攻擊手法，才能更能彰顯他的價值，也是他真正感興趣的事。</p> <p>「很多人問我，你會不會有一天不做資安？」Orange Tsai鄭重地說，若做資安的動機，只是單純因為帥、或是覺得好玩，將來就可能被更有趣的事吸引而放棄，不過，他總結自己學習資安的過程，從一開始覺得駭客很帥、學習技術很好玩，逐漸感受到認同感、成就感與使命感，不同階段目標的疊加成就了現在的自己，「套一句某個前輩說過的話，駭客是終身職，我為什麼會放棄資安？」</p> <h3><span style="color:#FF8C00;">找到學習動機、刻意練習，每個人都有機會成為第一</span></h3> <p>最後，Orange Tsai給所有對資安有興趣的年輕學子一個變強公式，儘管不一定適用所有人，但他建議，在學習資安的路上，首先要找到學習的動機，「有夠強的動機，才能驅使你不怕任何事情持續前進。」再者，則是要刻意練習、刻意挑戰，持續挑戰比現在水平更難一點的題目，若挑戰成功，就能從解題過程中獲得樂趣與成就感，若挑戰失敗，也能檢討反思，來避免日後犯下同樣的錯誤。</p> <p>Orange Tsai說，就像自己過去，也曾循序挑戰更難的題目、刻意練習演講的能力，「持之以恆，就能在某個領域中成為第一名。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-24%20%E4%B8%8A%E5%8D%8811_18_23.png" style="width: 700px;" /></p> </div></div></div>
2021/5/25 09:50作者翁芊儒https://www.ithome.com.tw/news/144565
【iThome 2021 CIO大調查(上) 一起抗疫靠IT】企業如何更重視IT抗疫的價值？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1026-cover3-960-2.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>後疫新常態中，IT對企業的價值，遠比過去更加重要。CIO的影響力也比過去更高、也更廣。尤其，許多企業總經理，執行長，都比過去更重視IT。從iThome 2021年CIO大調查發現，可以明顯看到，IT地位和價值向上提高的改變。</p> <p>高達68.7%企業的CEO，比過去更加重視IT，尤其是金融業和高科技業，本來就高度重視IT的金融業，在疫情衝擊下，32.6%金融業CEO明顯增加與CIO的互動。而過去常將IT視為支援單位的一般製造業，現在也有高達62.5%的企業主，開始認真看重IT的價值。</p> <p>過去一年疫情發生後，CIO與CEO的互動也比過去更頻繁，根據我們的調查，近6成企業都如此，CEO越來越需要借重CIO的知識和經驗，用IT來對抗疫情，或者協助企業數位發展的決策，甚至有1成的一般製造業CEO，明顯增加了與IT部門主管溝通。</p> <p>在企業實際營運上，CIO的影響力也比過去更大。過半數企業的CIO們，都因企業抗疫需求，而有更多機會參與企業高層的營運決策，其中又以金融業CIO最多，高達76.7%金融CIO更是高度參與營運決策。就連一般製造業，也有38.5%的IT主管，因抗疫而參與更多高層決策。</p> <p>CIO不只是向上影響力的提升，對於其他部門的影響力也比過去更大，不論是金融、政府機關與學校、高科技、醫療業，都有超過6成企業的CIO，比過去更能影響其他部門。</p> <p>因為不只是企業主更加看重IT，其他部門也更能感受到IT的價值，不管是外部營運環境、面對顧客的服務通路、上下游的供應鏈，都需要IT。根據今年大調查，2成高科技業或醫院CIO明顯感受到自己對其他部門影響力大幅提升，而有同樣感受的金融CIO和政府部門CIO的比例，更是超過了3成。</p> <p>而且不只為了被動的因應疫情，甚至IT可以變成掌握新商機或發展新商業模式的助力，這也是為何6成企業的業務主管，比過去更重視IT的緣故，就連一般製造業中，也有近半企業的業務主管改變對IT的態度，比過去更重視。</p> <p>在後疫新常態時代中，IT在企業中的角色大幅改變了。不論從企業主、營運決策、其他部門，甚至是業務單位，都更能感受到IT的價值，也更重用IT。60.8%企業都開始指派IT負責更有價值，或是更有戰略性的任務。雖然IT抗疫，是一場現在還沒看見終點的硬仗，但這也是IT發揮戰功的時機。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover3-600-1.png" style="width: 580px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover3-600-2.png" style="width: 596px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-cover3-600-3.png" style="width: 596px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問卷說明 </span></strong></span></p> <p><span style="color: rgb(51, 153, 255);"><strong>大調查執行期間從2021年3月8日到4月5日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷439家，其中74.3%填答者為企業IT最高主管。</strong></span></p> </div></div></div>
2021/5/25 07:00作者王宏仁https://www.ithome.com.tw/article/144546
臉書發布高效能完全非監督式語音辨識模型Wav2vec-U
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書發表最新的語音辨識技術<a href="https://ai.facebook.com/blog/wav2vec-unsupervised-speech-recognition-without-supervision">Wav2vec-U</a>，這是Wav2vec非監督式版本，可以讓研究人員不需要將語音轉錄成文字資料，就可以訓練模型的方法，Wav2vec-U的效能已經可媲美幾年前，使用1,000小時轉錄語音資料訓練的監督式模型。</p> <p>無論是回答問題還是執行請求，語音辨識技術已經被廣泛地應用在各種情境，但現今的語音辨識系統，僅對少數語言友善，研究人員解釋，這是因為需要大量的轉錄音訊，才能夠訓練出高品質的語音辨識系統，但是每種語言、方言或是說話方式並無法輕易的取得這樣的資料。</p> <p>因此臉書開發了Wav2vec-U，這是一種不需要轉錄資料的語音辨識系統方法，臉書已經在Swahili和Tatar等語言測試該模型，由於這些語言缺乏大量帶有標籤的訓練資料，因此一直沒有高品質的語音辨識模型。</p> <p>Wav2vec-U能純粹從錄製的語音音訊和未配對的文字中學習，過程不需要進行任何轉錄的工作，與過去的自動語音辨識系統相比，臉書採用了一種新方法，能夠從未標記的音訊中學習語音結構，結合Wav2vec-U和k-平均演算法，就能將語音分割出各個對應的語音單元，像是把CAT這個詞分割成/K/、/AE/和/T/。</p> <p>為了要學習辨識語音中的單詞，研究人員訓練了由生成網路（Generator）和判別網路（Discriminator）組成的生成對抗網路（GAN），其生成網路使用嵌入在自我監督表示中的每個音訊片段，並預測和語言中聲音相對符的音位（Phoneme），目的是要試圖欺騙判別網路來進行訓練，判別網路會評估預測的音位序列是否逼真。最初生成網路產生的結果很差，但是經過判別網路的回饋，生成網路產生的結果會更加準確。</p> <p>研究人員提到，判別網路本身也是一個神經網路，透過將生成網路的輸出當做輸入，以及來自各種音元化的真實文本，能訓練判別網路學會區分由生成網路產生的輸出和真實文本。</p> <p>研究人員將Wav2vec-U與其他模型比較，以評估Wav2vec-U的效能，在TIMIT基準測試中，與最佳的非監督式方法相比，Wav2vec-U錯誤率降低57％，而在更大型的Librispeech基準測試中，Wav2vec-U與基準中歷年最佳效能的監督式模型相比（下圖），Wav2vec-U在沒有任何轉錄資料訓練下，和2019年使用960小時轉錄資料訓練的模型效能不相上下。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/185911567_1930754773744348_4077514865307512480_n.jpg" style="width: 580px;" /></p> <p>TIMIT和Librispeech都是用來評估英文系統的基準測試，但英文由於有大量的標籤資料集，已經存在極佳的語音辨識技術，而非監督式語音辨識，將對於缺乏標籤資料的語言，產生極大的影響。因此研究人員也開始在Swahili、Tatar和Kyrgyz等標籤資源匱乏的語言中，研究使用Wav2vec-U。</p> <p>臉書提到，Wav2vec-U是他們在語音辨識、自我監督學習和非監督式機器翻譯上多年的成果，讓模型僅透過觀察就可以習得解決任務的能力，這項成果將使得語音技術為更多人所用。</p> </div></div></div>
2021/5/24 22:35作者李建興https://www.ithome.com.tw/news/144599
Exchange漏洞公布5分鐘就被駭客掃描
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商Palo Alto發現，現在駭客攻擊更勤快、更快速，RDP漏洞占了1/3，而8成重大漏洞和雲端有關。今年三月微軟Exchange Server漏洞公布後， 5分鐘內駭客就開始掃描網路上可能的攻擊目標了。</p> <p><a href="https://www.ithome.com.tw/news/143001" target="_blank">微軟三月初公告</a>，名為Hafnium的中國駭客組織積極活動，透過統稱為ProxyLogon的4項零時差漏洞對本地部署的Exchange Server發動攻擊。不到一周，估計光是美國就有3萬公立和民營組織遭駭。<a href="https://www.ithome.com.tw/news/143210" target="_blank">安全廠商研判</a>有至少10組駭客企圖以木馬、勒索軟體、DDoS攻擊程式攻擊Exchange Server用戶。</p> <p>Palo Alto Networks從今年一月到三月分析了網路上對全球50家企業共5000萬個IP的掃描活動，並發表<a href="https://start.paloaltonetworks.com/asm-report" target="_blank">《Cortex Xpanse 攻擊表面威脅報告》</a>，顯示駭客24x7掃描網路尋找受害機器，平常情況下攻擊者每小時掃一次，反觀全球化企業可能要好幾周才會掃完公司有漏洞的機器。此外，駭客動作極快，在漏洞CVE公開後，一般零時差漏洞，平均15分鐘就開始掃描了，而對Exchange Server這麼普及的機器，微軟3月2日公布後，駭客5分鐘內就開始行動。</p> <p>研究人員還發現，全球企業每12小時就發現到重大漏洞，包括RDP、Telnet、SNMP、VNC等不安全的遠端存取漏洞、資料庫伺服器及Exchange Server或F5負載平衡器上的零時差漏洞，速度之快反映今天IT及漏洞的複雜性。研究也顯示，在所有安全問題中，RDP漏洞占了1/3，而重大漏洞中，和雲端相關的占了79%，顯示雲端對現代企業基礎架構帶來的風險，特別是疫情下，企業加速將營運環境搬上雲端。</p> <p>研究人員解釋，駭客活動升高是現在資訊設備及運算服務愈來愈便宜之故，駭客只要花個10美元租用雲端掃描服務，只要大致掃描網路看看有哪些未補漏洞的Exchange Server，使攻擊的門檻大為降低。現在一些免費搜尋引擎，像是Shodan和GrayHatWarfare更被駭客濫用來查詢連網潛在目標機器。</p> <p>報告顯示，從大量成功的攻擊來看，駭客發動攻擊已經比企業修補漏洞還快。</p> </div></div></div>
2021/5/24 22:58作者林妍溱https://www.ithome.com.tw/news/144605
Google更新Jetpack，原生UI工具包Compose將在7月釋出1.0版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其I/O大會上發布了<a href="https://android-developers.googleblog.com/2021/05/whats-new-in-jetpack.html" target="_blank">Jetpack的更新消息</a>， Android Jetpack是一套函式庫、工具和指南，可讓開發人員依循最佳實踐，開發適用於各Android版本和裝置之間的應用程式。Google也預告目前處於測試階段，用來建構Android原生UI的工具包的Jetpack Compose，將會在7月的時候發布1.0版本。</p> <p>這次更新的函式庫包括CameraX，該函式庫提供統一的API介面，可用於跨作業系統版本存取攝影機，其提供裝置的相容性修補程式，減少應用程式支援不同版本和裝置的麻煩。這次CameraX的更新支援調整曝光補償，以及讓開發人員得以存取相機的相關狀態，而且也能在攝影機執行時，使用Camera2Interop方法控制諸如FPS範圍等攝影機設定。除了新功能之外，Google持續提升CameraX的運作效能，特別是增加舊裝置相機初始化和拍攝速度。</p> <p>Paging函式庫則推出3.0版本，Paging讓開發者可以載入和顯示小資料塊，以改善網路和系統資源消耗的函式庫，這個新版本提供完全使用Kotlin重寫的版本，並且完整支援協程和Flow，使用RxJava與Guava元語進行非同步載入。</p> <p>而在新版Jetpack中，進入Beta測試的函式庫包含DataStore，其提供了一個強健的資料儲存解決方案，保持簡單且高度可用的API介面，並且也以Flow和RxJava支援Kotlin協程等最佳實踐。DataStore讓開發者透過Preference DataStore或協定緩衝來儲存鍵值對，而用戶也可以使用像是Kotlin序列化等自己偏好的序列化解決方案。</p> <p>Jetpack加入了新的AppSearch函式庫，該函式庫提供高效能且功能豐富的全文本搜尋功能，與SQLite相比，AppSearch支援多種世界語言，簡化查詢結果排名，並且也能以較低的延遲，搜尋和索引大型資料集。</p> </div></div></div>
2021/5/24 23:02作者李建興https://www.ithome.com.tw/news/144604
在Windows 10及Linux上執行Chrome會當掉？Google修補了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近這幾天相繼<a href="https://support.google.com/chrome/thread/110605125/chrome-crashing-unable-to-access-anything-not-even-settings?hl=en" target="_blank">有Chrome用戶抱怨</a>，在Windows 10與Linux上啟用chrome時，不但網頁當掉了、分頁當了，甚至無法載入設定或書籤，而且不管是重新安裝Chrome或重新啟動電腦也無效，不過，Google已快速更新Chrome，修補了相關臭蟲。</p> <p>在短短的2天內，總計有超過100個用戶回應遇到類似的問題，還有使用者表示，他與太太使用同樣的Chrome版本，但他的Chrome無法使用，太太的Chrome卻能正常運作，顯示並非每個Chrome用戶都受到影響。</p> <p>Chrome支援經理Rebecca Resnick則回應，他們是自5月21日陸續收到使用者的舉報，發現Windows版與Linux版的Chrome會無預警地當掉，已經找到原因並發布更新。</p> <p>不過，Windows用戶必須關閉並重新開啟Chrome視窗，開啟後仍會看到破碎的Chrome，讓它停留5分鐘，再結束Chrome並重新啟用Chrome，繼之就會恢復正常。Linux用戶的重新啟用程序則稍微複雜，但Resnick也列出了詳細的步驟。</p> </div></div></div>
2021/5/24 16:55作者陳曉莉https://www.ithome.com.tw/news/144598