iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

軟體開發人員踢爆阿里巴巴旗下UC瀏覽器，會把使用者資訊傳送到伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名軟體開發人員<a href="https://hookgab.medium.com/ucbrowser-privacy-study-ecff96fbcee4" target="_blank">Gabi Cirlig本周踢爆</a>，由阿里巴巴子公司UCWeb（優視）所開發的UC Browser行動瀏覽器，會將使用者的瀏覽紀錄與裝置資訊回傳至該公司的伺服器上，而且就算是使用者啟用了無痕模式也一樣，該現象同時出現在iOS與Android上的UC Browser。</p> <p>根據流量分析平臺<a href="https://gs.statcounter.com/browser-market-share/mobile/worldwide" target="_blank">StatCounter</a>的統計，UC Browser於行動瀏覽器市場的占有率為2.36%，身為全球第四大行動瀏覽器，次於Chrome（63.03%）、Safari（23.94%）與Samsung Internet（5.86%），此外，它也是印度與印尼市場最受歡迎的行動瀏覽器。</p> <p>Cirlig在iOS與Android平臺上安裝了最新的UC Browser版本，卻發現它會把使用者所造訪的網站資訊、搜尋字串、裝置的IMEI 與MAC、所在的位置、瀏覽的精確時間戳回傳至UCWeb的伺服器上，還替每名用戶設定了獨立的裝置序號，而且就算使用者啟用了無痕模式，程式所回傳的資料仍然一樣詳細。</p> <p>此外，UC Browser也未遵循蘋果藉由4月發表iOS 14.5，所推動的追蹤透明化政策，並未詢問使用者是否願意接受追蹤，或是公布追蹤內容。</p> <p>值得注意的是，其實中國政府曾經檢測境內行動程式違法蒐集用戶資訊的情形，並<a href="http://www.cac.gov.cn/2021-05/20/c_1623091083320667.htm" target="_blank">在5月21日公布</a>了一個長達105款程式的違法名單，要求這些程式限期改善，雖然優視也被點名，但涉及違法的是UC大字版，並非UC Browser。</p> </div></div></div>
2021/6/2 17:48作者陳曉莉https://www.ithome.com.tw/news/144776
Google發表新TPU加速器VM，訓練模型效能更好且使用成本更低
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/compute/introducing-cloud-tpu-vms" target="_blank">Google發布了最新的Cloud TPU虛擬機器</a>，供用戶以更簡單的方式，存取雲端TPU運算資源，新的Cloud TPU虛擬機器特色在於，讓用戶直接存取TPU主機，並且使開發者能在TPU上，使用TensorFlow、PyTorch和JAX進行開發和部署。</p> <p>過去，用戶只能遠端存取Cloud TPU，通常必須要創建一個或是多個虛擬機器，並且使用gRPC以網路與Cloud TPU主機通訊，但在新的Cloud TPU虛擬機器中，用戶不再以遠端的方式存取Cloud TPU，而是能在每臺TPU主機上，配置自己的互動式開發環境，因此用戶可以在單一TPU虛擬機器中，逐行編寫機器學習模型並且進行除錯，也能依照需要使用Cloud TPU Pod擴展規模，與其他TPU高速互連。</p> <p>用戶擁有每個TPU虛擬機器的根存取權限，所以可以在TPU加速器中安裝和執行任何程式，並且使用本地端儲存，在輸入的工作管線中自定義程式碼，甚至是將Cloud TPU整合到研究和生產的工作流程中。</p> <p>Google提到，這種全新的Cloud TPU系統架構，帶來更簡單和更靈活的使用方式，而且除了可用性的改善之外，也能提升效能，因為用戶的程式碼不需要在資料中心間往返，另外，用戶還會看到明顯的成本節省，由於過去用戶需要額外創建一組強大的Compute Engine虛擬機器，來準備資料傳送給Cloud TPU Pod切片中的遠端主機，但現在可以直接在Cloud TPU主機上處理資料，因而消除額外虛擬機器的成本。</p> <p>現在us-central1和europe-west4地區已經提供Cloud TPU虛擬機器預覽，用戶可以使用單個Cloud TPU裝置，以及Cloud TPU Pod切片，並且選用TPU v2或TPU v3加速器硬體。</p> </div></div></div>
2021/6/2 18:03作者李建興https://www.ithome.com.tw/news/144775
【疫情日報】政府宣布疫苗全面接種計畫，8月達每周百萬劑接種能力，還能一周前線上預約注射
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央疫情指揮中心首度公布COVID-19疫苗全面接種計畫，計畫在8月前啟動全面接種作業，達到每周100萬劑接種的能力。同時也公布了疫苗預約平臺的使用流程，以及疫苗注射護理人力的儲備情況，目前已超過7千7百多人。</p> <p>中央流行疫情指揮中心發言人莊人祥表示，疫苗足夠情況下，正規畫6～8月之間，利用既有醫療院所展開全面接種作業。接種單位包括了300家醫療院所，每日每院300人次，另有200家衛生所，則可提供每日100人次的接種。還有診所，6月先開設800家，8月將可達到全臺2,000家，每家單日可提供50人接種。這三類醫療院所的接種人數可以達到每周124萬人次接種的規模。</p> <p>除此之外，6都及各縣市會設置社區接種站，每場可提供200到400人次不等。還會提供外展服務（如機關、企業、軍營），到規模超過1千人的企業中，媒合醫療院所，提供疫苗，由醫事人員來實施接種注射。還將在假日到棒球場或體育場開設大型接種站，每周9場，一場可提供1千人次。這些接種站和外展服務預估可以提供47.4萬人次。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%96%AB%E8%8B%97%E6%8E%A5%E7%A8%AE%E8%A8%88%E7%95%AB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%A1%9B%E7%A6%8F%E9%83%A8.jpg" /></p> <h3><span style="color:#FF0000;"><strong>疫苗接種預約平臺規畫中，將可1周前線上預約接種</strong></span></h3> <p>政務委員唐鳳也正協助規畫疫苗接種預約平臺，可以透過健保快易通App或四大超商的KIOSK、藥局來進行預約申請。</p> <p>莊人祥表示，類似口罩預約購買的架構，讓民眾可以透過手機或電腦上網預約，附近醫療院所、社區或大型接種站都可利用同樣的管道，在接種一周前來申請。健保快易通App會可以查詢所在位置附近醫院的疫苗數和預約人數，完成接種後，民眾會領到接種記錄卡，健保卡則會貼上貼紙，也可以在快易通App上查詢施打記錄。</p> <p>為了支援大規模接種，政府也已經展開護理人力的儲備，目前已有7795人報名支援。成大護理系也正在準備注射護理人力線上培訓課程和作業指引，也建立了一套社區疫苗注射的醫護排班管理系統，作為日後各接種站人力調度管理之用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A4%BE%E5%8D%80%E7%96%AB%E8%8B%97%E6%B3%A8%E5%B0%84%E9%86%AB%E8%AD%B7%E6%8E%92%E7%8F%AD%E7%AE%A1%E7%90%86%E7%B3%BB%E7%B5%B1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%A1%9B%E7%A6%8F%E9%83%A8.jpg" /></p> <p>臺北市長柯文哲表示，臺北市也做好疫苗接種規畫了，目前第一線39家合約醫院可提供每天4～5萬劑施打，另外也會有12區門診部合約診所，以及第三線大型接種站（例如小巨蛋、世貿展覽館、區公所禮堂。），另外還會設置機動接種隊，針對服務行動不便者，到安養機構或到宅實施接種等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E5%8C%97%E5%A4%A7%E9%87%8F%E7%96%AB%E8%8B%97%E5%BF%AB%E6%89%93%E8%A8%88%E7%95%AB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%87%BA%E5%8C%97%E5%B8%82%E6%94%BF%E5%BA%9C.jpg" /></p> <p>中央疫情指揮中心今天（6月2日）也公布，新增了372個本土確診病例，和177例校正回歸的本土確診案例。</p> <p>陳時中表示，今天案例雖然比較多，但目前還不清楚是申報速度加快所致，還是真的病例數增加較多，還需要兩天觀察。</p> <p>今天以新北市310例確診案例最多，其次是臺北市152例，其他縣市依序是，桃園市有28例，基隆市18例，苗栗縣12例，彰化縣10例，高雄市5例，台東縣4例，臺中市3例，新竹縣和臺南市各2例，另外新竹市、南投縣和花蓮縣各1例。</p> <p>陳時中呼籲，前一段時間開始實施的人流管制奏效，確診人數下降，但最近又有點起伏，他強調，人流管制仍要繼續落實。</p> </div></div></div>
2021/6/2 16:31作者王宏仁https://www.ithome.com.tw/news/144774
AWS地理位置服務Amazon Location正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS用來與Google競爭的地圖與地理位置服務<a href="https://aws.amazon.com/tw/blogs/aws/amazon-location-service-is-now-generally-available-with-new-routing-and-satellite-imagery-capabilities/">Amazon Location</a>現在正式發布，供開發人員建置具地理位置功能的網頁和行動應用程式，而除了AWS在去年底所發表的Amazon Location預覽功能之外，正式版本還加入了路由和衛星圖像兩個新功能。</p> <p>Amazon Location服務可在應用程式中提供地圖和地理位置功能，包括顯示地、驗證地址、執行地理編碼、追蹤包裹，和裝置移動等常見的地圖功能。AWS與美國Esri Global和荷蘭HERE地理資訊公司合作，用戶可以自由地在兩供應商間，選擇地圖和樣式，而且客戶可以完全地控制他們的資料。</p> <p>Amazon Location服務的地圖功能，可以視覺化位置資訊，而地點功能，則可以讓應用程式提供興趣點搜尋功能，並且將經緯度和地址做雙向轉換。地理柵欄功能能夠讓用戶設置地理範圍，並且偵測裝置進入與離開的事件，該事件會被發送到Amazon EventBridge服務，以觸發諸如AWS Lambda和SNS等服務。Amazon Location還能在應用程式中，提供駕駛距離、方向和估計抵達時間計算。</p> <p>正式版本加入了兩個新功能，分別是衛星圖像和路由。使用者可以將衛星圖像打包進地圖，以提供應用程式用戶更多的資訊，回答像是「房屋的外觀是什麼樣子？」這類的問題。要使用衛星地圖，用戶必須要在Amazon Location控制臺創建新地圖時，選擇Esri供應的圖像。</p> <p>而新的路由功能，則讓應用程式可以請求兩個位置之間的旅行時間、距離和方向，這讓應用程式用戶可以根據實際道路和交通訊息，獲得準確旅行時間。在這個功能，用戶可以設定最多25個導航點，指定行經的路徑，也能設定出發時間，Amazon Location會根據這個時間的交通狀況，最佳化建議結果。另外，用戶也可以選擇所使用的交通工具，透過調整參數，Amazon Location能制定適合該交通工具的路線。</p> <p>目前Amazon Location服務已經在美東、美西、歐洲等地區上線，亞太部分則有新加坡、雪梨和東京地區。</p> </div></div></div>
2021/6/2 15:32作者李建興https://www.ithome.com.tw/news/144772
Microsoft Edge 92將開始預覽自動選用HTTPS功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/msedgedev/2021/06/01/available-for-preview-automatic-https-helps-keep-your-browsing-more-secure/" target="_blank">微軟本周宣布</a>，Microsoft Edge 92將開始允許使用者預覽自動化HTTPS功能，瀏覽器將會自動把使用者所造訪網站的連線，從HTTP切換成HTTPS。</p> <p>HTTPS為一嵌入加密機制的傳輸協定，確保使用者與網站之間的通訊安全，以預防中間人攻擊。根據<a href="https://w3techs.com/technologies/details/ce-httpsdefault" target="_blank">W3Techs</a>的調查，在全球網站中，已有72.7%的預設值為HTTPS。</p> <p>微軟則說，雖然絕大多數的網站都已支援HTTPS，但卻有不少網站並未要求HTTPS，並於網站將使用者導至更安全的協定之前出現短暫的空窗，而讓駭客有機可趁，還有些網站完全不會把使用者從HTTP導至HTTPS，使得微軟決定推出自動化HTTPS功能（Automatic HTTPS），新功能已現身於Microsoft Edge 92的Canary及Developer測試版。</p> <p>顧名思義，自動化HTTPS功能會主動把使用者的連線切換成HTTPS，前提是使用者所造訪的網站也支援HTTPS，代表它也會通融僅採用HTTP的網站，不過，使用者亦可強制將所有的HTTP連線轉換成HTTPS，但如此一來，倘若所造訪的網站並不支援HTTPS，就會出現連線錯誤。</p> <p>Google自今年3月釋出的Chrome 90，就<a href="https://www.ithome.com.tw/news/143428" target="_blank">於網址列上預設使用HTTPS</a>，瀏覽器用戶在輸入網址時，通常會省略前面的HTTP或HTTPS，而瀏覽器就會在網址列上自動補足該通訊協定，過去Chrome的網址列的預設為http://，自Chrome 90就變更為https://，這代表使用者造訪某個網站時會優先採用HTTPS連線，若該站並未支援HTTPS，Chrome則會自動退回HTTP。</p> <p>至於Mozilla也在今年3月於Firefox 76上新增了<a href="https://www.ithome.com.tw/news/136581" target="_blank">HTTPS-only模式</a>，若啟用了該模式，當使用者以HTTP造訪特定網站，Firefox會自動將它升級到HTTPS版本，若未發現HTTPS版，則會跳出提醒，提醒用戶留意連線安全。</p> </div></div></div>
2021/6/2 15:41作者陳曉莉https://www.ithome.com.tw/news/144773
Android木馬Teabot假冒廣告封鎖程式感染並竊取銀行資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全公司<a href="https://labs.bitdefender.com/2021/06/threat-actors-use-mockups-of-popular-apps-to-spread-teabot-and-flubot-malware-on-android/" target="_blank">Bitdefender近日發現一隻銀行木馬Teabot</a>，假冒廣告封鎖軟體Ad Blocker吸引用戶下載，以植入受害者電腦竊取銀行帳密。</p> <p>Teabot又名Anatsa，最早是由另一家<a href="https://www.cleafy.com/documents/teabot" target="_blank">安全公司Cleafy揭露</a>，據信今年年初開始流傳於歐洲。這隻銀行木馬主要藏身在冒牌的知名廠商App，並引導Android用戶從第三方網站，而非官方Google Play Store下載以提高安裝率。今年稍早，Teabot利用多個Android App包括山寨版UPS以及VLC Media Player、Mobdro、卡巴斯基、Uplift健身App、電子書閱讀器Bookmate等散布。</p> <p>最近一波攻擊中，Teabot則化身假廣告封鎖軟體Ad Blocker散布。一旦用戶安裝開啟，就會要求覆蓋在其他App上（即覆蓋攻擊）、顯示通知、以及從Google Play以外的網站下載的許可。在執行時，這隻假廣告封鎖軟體會顯示廣告，最後從外部網站下載Teabot以躲避Google過濾機制。</p> <p class="rtecenter"><img alt="" src="https://labs.bitdefender.com/wp-content/uploads/2021/05/2.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Bitdefender</span></p> <p class="rtecenter"><img alt="" src="https://labs.bitdefender.com/wp-content/uploads/2021/05/3.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Bitdefender</span></p> <p>一旦植入受害者裝置可進行Android輔助功能的覆蓋攻擊、攔截簡訊、鍵盤側錄及竊取Google Authentication驗證碼，甚至可遠端控制Android裝置，目的在竊取網銀帳密，或是攔截銀行簡訊向用戶詐騙。</p> <p>研究人員指出，和另一隻銀行木馬Flubot/Cabassous相比，Teabot更為複雜，因為它具有存取紀錄的能力，讓攻擊者能即時監控裝置活動。</p> <p>連同今年初以來，Teabot已在歐洲散布開來，涵括西班牙、義大利、荷蘭及比利時等地60多家銀行，包括德意志銀行、BBVA、CaixaBanks的用戶遭鎖定。雖然目前感染地區主要為歐洲，但研究人員相信這份名單可能會持續增長。</p> <p>研究人員警告，目前Teabot仍然持續散布中，呼籲用戶不要從官網以外的來源下載App，也不要輕易點選訊息夾帶的連結。</p> </div></div></div>
2021/6/2 14:38作者林妍溱https://www.ithome.com.tw/news/144770
Firefox 89出爐：具備更簡潔的介面，隱私瀏覽預設即啟用Total Cookie Protection
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla於6月1日<a href="https://www.mozilla.org/en-US/firefox/89.0/releasenotes/?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">釋出了Firefox 89</a>，此一新的瀏覽器版本大幅翻修了使用介面，有更簡潔的工具列及更直覺的選單，此外，它的隱私瀏覽模式預設值即啟用了於Firefox 86所發表的<a href="https://www.ithome.com.tw/news/142888" target="_blank">Total Cookie Protection</a>，號稱是所有主流瀏覽器的隱私瀏覽模式中，擁有最先進隱私保護的產品。</p> <p>Firefox 89簡化了工具列及網址列的介面，保留最重要的功能，並移除較少用的選項，以讓相關介面看起來更清爽，較特別的是全新的浮動分頁設計（如下圖），用來提醒使用者這些分頁是可移動及組織的，此外，該版本也改善了更新功能，讓所有型態的通知都占用較少的空間，減少對使用者的打擾，亦移除了不必要的通知，並在預設值就關閉了自動播放的媒體。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0602-firefox%20floating%20tabs.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Mozilla</span></p> <p>另一方面，Mozilla於Firefox 86中嵌入的Total Cookie Protection功能，現在成為Firefox 89隱私瀏覽的預設值。傳統的瀏覽器會將Cookie集結在一個餅乾罐中，以允許使用者所造訪的網站分享Cookie，而Total Cookie Protection則是讓每個網站使用自己的餅乾罐，避免遭到不同網站的追蹤。</p> <p>在Firefox 86時，只有使用者於增強追蹤保護（Enhanced Tracking Protection）中選取了嚴格選項，才會啟用Total Cookie Protection，但現在只要在Firefox 89中執行隱私瀏覽，就會自動進入Total Cookie Protection。</p> <p>Mozilla亦改善iOS版的Firefox，包括簡化介面，減少搜尋步驟，以及添加附加功能等。</p> </div></div></div>
2021/6/2 15:00作者陳曉莉https://www.ithome.com.tw/news/144771
大考中心驚傳資料外洩，2千考生受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大學入學考試中心即將於7月28日至30日，針對第一屆實施「十二年國民基本教育課程綱要」的學生，辦理試辦考試。不過，<a href="https://www.ceec.edu.tw/files/file_pool/1/0l152728574894433790/1100601_%e6%96%b0%e8%81%9e%e7%a8%bf.pdf">該單位於6月1日發布新聞稿證實</a>，試辦考試的報名系統，出現部分資料遭到不明人士瀏覽的情況，約有2千筆學生的報名資料受到影響。</p> <p>針對這起試辦考試的系統遭到入侵的事故，大考中心表示，他們在4月15日發現，有不明人士經由不當手段，進入試辦考試的報名系統，並觸及當時存放於資料庫裡部分學生的報名資料。該單位察覺此事後，依資通安全事件通報及應變辦法向權責主管機關通報，並實施緊急應變措施，同時亦委由第三方公正單位進行調查。不過，大考中心強調，指定科目考試的報名系統與試辦考試不同，不受此次事件波及。</p> <p>根據清查的結果，大考中心表示，疑似有少部分學生報名的資料經不明人士瀏覽，這些遭到異常存取的資料約有2千筆，占當時報名資料總數的2.76%。該單位已依據個人資料保護法第12條，以及個人資料保護法施行細則第22條等規定，通知相關當事人，提醒這些學生要留意資料外洩會衍生的事件，例如，可能會接到詐騙電話的情況。</p> <p>而對於本次事故事後的因應措施，大考中心指出，他們已經修正系統邏輯判斷的缺失，並強化集報單位的密碼強度，來防範類似的事件再度發生。不過，究竟資料外洩事故發生的原因為何？大學入學考試中心主任周兆民表示，基於全案已經進入司法調查程度，他們不便多做說明，但表明他們考慮加強密碼管理措施，且不排除採用雙因素驗證來加強防護。</p> <p>但為何在此次事件發生超過1個月才向大眾公告？周兆民指出，他們考慮到學生準備相關考試的報名流程，經過向主管機關報備、核可後，決定在指定科目考試報名系統於5月27日下線後，才公布此次資料外洩事故。</p> </div></div></div>
2021/6/2 13:54作者周峻佑https://www.ithome.com.tw/news/144769
JBS疑似遭到俄羅斯駭客的勒索軟體攻擊，美國政府介入協商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大肉品業者JBS在周日（5/30）傳出遭到網路攻擊，造成澳洲與北美地區的部分肉品處理產線中斷，<a href="https://www.whitehouse.gov/briefing-room/press-briefings/2021/06/01/press-gaggle-by-principal-deputy-press-secretary-karine-jean-pierre-aboard-air-force-one-en-route-tulsa-ok/" target="_blank">美國白宮在6月1日召開記者會時也提及了此事</a>，表示JBS應是遭到來自俄羅斯駭客的勒索軟體攻擊，且白宮已直接與俄羅斯政府聯繫，要求俄羅斯不應窩藏勒索軟體駭客。</p> <p>雖然JBS的總部位於巴西，但此次勒索軟體攻擊的受害者則是JBS的美國子公司JBS USA，因此，當JBS USA遭到攻擊時，也同時知會了美國政府，白宮與美國農業部皆已派員協助JBS USA，並得知提出贖金要求的很像是位於俄羅斯的駭客組織。</p> <p>此外，白宮也就此事直接與俄羅斯政府聯繫，希望俄羅斯秉持著負責任的態度，不要窩藏勒索軟體駭客，此外，CISA與FBI也一同提供技術支援，協助JBS的災後復原。</p> <p>對抗勒索軟體已成為美國政府的重要政策，美國總統拜登（Joe Biden）亦已啟動快速戰略審查，以解決日益增加的勒索軟體意外，包括與私人企業合作以了解勒索軟體架構的分布及參與者，建立一個全球聯盟以向窩藏罪犯的國家究責，擴大對加密貨幣的分析以發現及追查犯罪交易，以及重新審查美國政府的勒索軟體政策。</p> <p>此外，美國政府也再度呼籲各政府組織及私人企業，應嚴肅看待勒索軟體的威脅，並依照現代化的需求，改造其網路防禦機制。</p> <p>今年5月7日攻擊美國最大燃油管道系統Colonial Pipeline的駭客組織，據稱也來自俄羅斯，<a href="https://www.ithome.com.tw/news/144418" target="_blank">而且同樣引起了白宮的關注</a>，<a href="https://www.theverge.com/2021/5/19/22443933/colonial-pipeline-ransom-4-million-hack-gas-shortage" target="_blank">Colonial Pipeline向媒體證實</a>該公司支付了440萬美元的贖金以換得解密工具，但因該工具的速度太慢，促使Colonial Pipeline繼續利用自己的備份來復原系統，一直至5月15日才恢復正常運作。</p> </div></div></div>
2021/6/2 12:41作者陳曉莉https://www.ithome.com.tw/news/144768
iOS 14.6疑造成電池續航力大幅下降
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果五月中釋出的<a href="https://www.ithome.com.tw/news/144280" target="_blank">iOS 14.5.1才傳出</a>使iPhone及iPad效能下降，不料另一批用戶又發現上周釋出的iOS 14.6安裝後發生手機耗電更兇，充飽電的iPhone使用時間大幅變短。</p> <p><a href="https://discussions.apple.com/search?q=ios%2014.6%20battery&page=1&content=filterDiscussions" target="_blank">上周蘋果支援網站陸續有用戶抱怨</a>，在安裝iOS 14.6後，耗電量大增，<a href="https://discussions.apple.com/thread/252805883?answerId=255278609022#255278609022" target="_blank">有用戶</a>充飽電的iPhone 11手機在Wi-Fi、藍牙及手機熱點關閉情況下，隔了一晚16小時就沒電。<a href="https://discussions.apple.com/thread/252810204" target="_blank">另有人</a>iPhone 12充了一夜，電池電量顯示只有30%並且持續用電中。從iPhone XR到iPhone 12，都有災情回報。</p> <p>元兇可能是蘋果自己的App。<a href="https://discussions.apple.com/thread/252757953" target="_blank">數名用戶</a>相信是Siri吃掉大部份的電。<a href="https://discussions.apple.com/thread/252800088" target="_blank">另一些用戶</a>認為問題出在Podcast App上，可能和該App背景運作有關，移除後耗電情形也獲得改善。</p> <p>目前蘋果官方還未證實這個問題，最好的方法或許是等蘋果不久後釋出的iOS 14.6.1更新了。</p> </div></div></div>
2021/6/2 12:10作者林妍溱https://www.ithome.com.tw/news/144767
刑事局資安鑑識實驗室全球首創：將惡意程式分析流程標準化並取得ISO國際認證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>各種網路犯罪的惡意程式分析手法，都高度依賴各家業者的技術能力和工具設備，刑事局科技研發科科長林建隆表示，該中心從2019年底開始規畫，希望可以將日常累積的在微軟作業系統下的各種惡意程式分析手法，進行統整分析並找出一套標準化的作業方式，並且取得相關的國際認證。</p> <p>林建隆進一步指出，歷經一年半的努力，刑事局數位暨資安鑑識實驗室於日前（5月28日）經由全國認證基金會（TAF）審核通過，將所有實驗室都必須取得品管認證的ISO 17025，新增一個將惡意程式分析標準化的「Windows程式行為分析」認證，這是全球第一個將惡意行為分析標準化的認證，透過全國認證基金會與全世界六十多個國家的相互承認，不僅是全球第一個通過ISO 17025「Windows程式行為分析」認證的執法單位實驗室。</p> <p>他也說，未來這個Windows程式行為分析標準化的國際認證，也可以推廣到其他需要進行資安鑑識和惡意程式分析的資安實驗室，成為各種惡意程式鑑識和分析的共通準則，屆時，刑事局資安鑑識實驗室也可以作為取得相關認證的能力實驗室。</p> <h2><span style="color:#0000FF;"><strong>全球首創，將惡意程式分析流程標準化並通過國際認證</strong></span></h2> <p>根據刑事局科技研發科的統計，最近三年來，網路犯罪經常夾雜各種資安事件、詐欺犯罪、個資外洩等等，通常前端是資安事件的入侵案件，衍生後續的詐欺或個資外洩，而林建隆表示，科技研發科負責數位鑑識同仁只有8人，資安鑑識同仁7人，每年經手數位和資安鑑識案件超過300件，處理數位證物超過1,100個，該科的內勤人員平均兩天要出外勤一次，協助外勤同仁做各種犯罪現場的數位證物蒐證。</p> <p>因為資安事件越來越多，在進行鑑識分析時，經常會遇到當A電腦有惡意程式時，要怎麼驗證這個惡意程式是遙控的木馬程式呢？要如何驗證該惡意程式會對外連線，且會連接到惡意的中繼站呢？</p> <p>林建隆表示，科技研發科長期累積各種網路犯罪數位證據的處理經驗，為了要證明這個惡意程式有問題，在法院上必須提出一個公正、客觀可以被信任的報告；為了確保證據力，也必須證明，這個分析惡意程式的流程，也可以經由第三方認證實驗室，執行同樣的流程並得出相同的結果，因此，便開始思考，如何把處理資安事件分析的流程，用一個標準化的流程，透過實驗室品質管理的驗證方式去申請國際標準認證。</p> <p>目前警調單位都有各自通過ISO 17025實驗室認證的資安鑑識實驗室，這也可以確保實驗室的工作人員，都有足夠的技術能力和證照。只不過，林建隆意識到，目前世界各國執法機關以及資安業者，對於惡意程式分析的流程並沒有一套共通的作業標準，刑事局資安鑑識實驗室在參考國內外許多惡意程式分析的流程，並且和全國認證基金會多次討論後，歸納出一套可以用來驗證的標準流程ISO 17025「Windows程式行為分析」。</p> <p>因為這是一個全新的認證標準，在進行驗證的過程中，必須有一個比對實驗室，確保在同樣的作業流程下，可以得出相同的驗證結果。林建隆表示，幾經討論下，後來則委由處理資安事件經驗豐富且立場客觀的行政院資通安全會報技術服務中心扮演比對實驗室的角色。</p> <h2><span style="color:#0000FF;"><strong>惡意程式分析三階段，也可用於資安事件調查流程</strong></span></h2> <p>資安事件中，駭客經常透過社交工程的方式寄發電子郵件且內含惡意程式，林建隆表示，刑事局在制定這個惡意程式標準化分析流程時，把分析流程分成三個階段，第一個「準備」階段，就是查看微軟作業系統中的可疑程式是否有一些簽章驗證可以驗證，是否跟以前曾經存在的惡意程式類似，透過雜湊值查驗該可疑程式是否曾經上傳過VirusTotal，甚至判斷是否有加殼，畢竟，正常程式幾乎不加殼。</p> <p>第二個是「檔案行為分析」階段，主要是了解該可疑程式對電腦帶來什麼影響，例如，使用模擬環境確認該可疑程式，是否會新增、刪除、或是修改檔案，是否會因為註冊機碼增刪而重新開機，或者是惡意程式執行或呼叫奇怪執行程序等行為，有相關行為則是為可疑的惡意程式。</p> <p>第三個是「網路連線分析」階段，主要目的是做惡意程式偵查、溯源和追蹤分析，透過追查可疑程式是否連線到駭客的中繼站；因為駭客通常有其慣用網路名稱或IP網段，如果有可疑程式連線到相關網路連線，也可以進一步追查駭客族群，也可以避免損害範圍擴大。</p> <p>林建隆直言，這三個階段針對Windows可疑程式做的程式行為分析，經過ISO 17025認證通過後，不僅可以了解惡意程式對作業系統的影響、感染方式和破壞程度，也可以透過分析異常連線，做到溯源和偵查駭客來源並阻斷相關的駭客攻擊。</p> <p>「這個Windows程式行為分析手法，以前就曾經用來分析相關的資安事件，」林建隆以去年傳出，有駭客假冒總統府寄發社交工程郵件給立委並夾帶惡意程式，該惡意程式會連線到境外中繼站並下載惡意程式。他說，透過標準化的惡意程式分析，可以發現惡意程式對電腦造成的感染和破壞，也都會追查到對外的中繼站，呼籲民眾不要輕易點擊惡意郵件的連結，避免造成嚴重的資安事件。他也發現在疫情期間，駭客會假借疫情名義寄發電子郵件，都要審慎面對惡意電郵和相關連結。</p> <h2><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B5%81%E7%A8%8B%E5%9C%961.png" style="width: 876px; height: 681px;" /></h2> <blockquote><p>刑事局把惡意程式分析流程標準化並取得國際認證，其中也將ISO 17025「Windows程式行為分析」分成「準備」、「檔案行為分析」和「網路連線分析」等三個階段。</p> </blockquote> <h2><strong style="color: rgb(0, 0, 255); font-size: 13px;">缺乏過往參考經驗和摸索惡意程式分析標準化流程是兩大挑戰</strong></h2> <p>刑事局資安鑑識實驗室在2006年4月成立科技犯罪防制中心，並在其下的科技研發科成立數位鑑識實驗室，負責處理電腦主機及行動電話等數位裝置的採證鑑識分析；之後，2014年則成為數位鑑識概括授權鑑定機關，為了符合刑事訴訟法囑託鑑定的規定，並於2016年取得ISO 17025實驗室認證中的「資訊重現」認證，像是找出曾經儲存在電腦硬碟或是相關儲存媒體中的檔案關鍵字或圖片，用來提高數位證物在法院的證據力，經常用於一般刑事案件而非網路犯罪資安事件的調查。</p> <p>為了進一步強化資安事件調查與鑑識的能力，刑事局也在2017年增設專門處理駭客攻擊，進行各種Log（登錄檔）分析、程式行為分析、以及手機漏洞檢測的「資安鑑識實驗室」，並投入行政院國家資通安全發展方案中的「資安旗艦計畫」及「資安跨域整合聯防計畫」，打造符合ISO 17025的資安鑑識實驗室。</p> <p>到2018年11月，則開始規畫將多年累積的惡意程式分析經驗，透過標準化程序並取得國際認證。林建隆表示，這過程也是是要證明，刑事局長期在資安網路犯罪調查中，已經累積足夠的實力，並且具備相關的人員、技術和設備。</p> <p>他也坦言，在這個流程標準化並取得國際認證的過程中，因為沒有過往的經驗可以作為參考指引，如何摸索出一套可供驗證的標準化流程，也和全國認證基金會針對需求和平日的分析流程、方法與工具做長期討論，這是刑事局面臨的第一大挑戰；接下來，怎麼建立一套符合犯罪調查的目的和工作實務的標準化程序，則是第二個挑戰。</p> <p>林建隆指出，刑事局此次取得ISO 17025中的「Windows程式行為分析」國際認證同時，也通過App資安檢測，分析政府機關或者熱門App是否有惡意連線、是否有加密，以及App功能和使用權限宣是否有落差等，可以進一步做到犯罪防制和預防宣導的目的。他說，在取得App資安認證時，則以安碁公司作為流程比對的能力實驗室。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">。</span><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B5%81%E7%A8%8B%E5%9C%962.jpg" style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic; width: 917px; height: 682px;" /></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">刑事局惡意程式分析的的標準化流程，也用來追查去年駭客冒用總統府名義，寄送社交孤成郵件給立法委員的來龍去脈。</span></p> </blockquote> </div></div></div>
2021/6/2 03:53作者黃彥棻https://www.ithome.com.tw/news/144756
蔡英文總統首度在臺灣資安大會，揭櫫「資安即國安2.0」戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球第一場實體舉辦的資安活動「CyberSec 2021 臺灣資安大會」於今年5月4日～5月6日假南港展覽館二館舉辦，總統蔡英文亦第三度蒞臨臺灣資安大會致詞，並首度在公開場合揭櫫「資安即國安2.0」國安戰略內容，而美國在台協會處長酈英傑（William Brent Christensen）也首度蒞臨臺灣資安大會致詞。</p> <p>蔡英文表示，臺灣在資安即國安1.0的基礎上，推動資安即國安2.0資安戰略，不僅成立新設立的數位發展部，也會成立專責的資通安全署，將會提升對關鍵基礎設施及核心資料庫的防護，並且會持續強化組織、落實法制、培養人才及支持產業，政府和民間企業攜手打拼，共同建立堅韌、安全、可信賴的智慧國家。</p> <p>臺灣資安大會在去年，是全球暨美國RAS資安會議後，第二場可以實體舉辦的資安會議，因為臺灣民眾防疫有成，今年臺灣資安大會更是全球第一個可以實體舉辦的資安會議。今年，超過一萬名會眾報名三天議程與展覽，議程內容超過200軌，參與業者超過200家，展覽規模更是去年的1.5倍，場邊活動除了連續第四年舉辦的臺灣資安館外，更首度新增資安人才專區「Cyber Talent」、資安品牌日、US-Taiwan AIT Day等活動，「CyberSec Playgroung資安體驗區」的體驗活動，更從去年資安桌遊和知識問答外，擴增到7個體驗活動。</p> <h2><span style="color:#0000FF;"><strong>在資安即國安1.0基礎下，首度公開資安即國安2.0戰略</strong></span></h2> <p>蔡英文去年於臺灣資安大會致詞時，面對現場政府部門各個與資安相關的首長到場時曾表示，政府資安首長「傾巢而出」，今年與資安相關的部會首長、副首長也全員到齊，到場長官包括：國家安全會議秘書長顧立雄、行政院副院長沈榮津、國家發展委員會主委龔明鑫、行政院政務委員唐鳳、行政院政務委員郭耀煌、經濟部部長王美花、國防部中將李廷盛、科技部部長吳政忠、國家安全會議諮詢委員李漢銘、國家通訊傳播委員會主委陳耀祥、金融監督管理委員會副主委許永欽、行政院科技會報執行秘書葉哲良等人。蔡英文表示，資安部會首長到場表示，除了表示政府重視資安，更意味著，當資安列為國家重要戰略，在「資安即國安」戰略方針下，資安也是臺灣產業發展必須要把握的關鍵領域。</p> <p>蔡英文在去年520就職演說中提到，臺灣要在五加二產業創新的基礎上，打造六大核心戰略產業，更要在5G和數位轉型的浪潮中，全力打造可以保護自己、也能被世界所信賴的資安系統以及資安產業鏈。政府可以做出這樣宣示的前提在於，這幾年在政府和民間共同努力下，臺灣在資安領域上能量充沛。</p> <p>資安即國安戰略推動可以分成政府和民間兩個部分。蔡英文進一步指出，政府積極推動「資安即國安1.0」的國家戰略，除了成立資通安全處，國防部也成立資通電軍，法務部調查局打造資安工作站，而立法院也通過資通安全管理法的法案，政府積極從法制、組織一直到公部門資安人才面向，一一打下基礎。</p> <p>至於在民間部分，她指出，在產業界以及各界的支持下，臺灣的資安戰隊不斷在國際攻防比賽上取得好成績，像是在臺灣業者在Pwn2Own資安大賽奪冠、在臺灣資安團隊實力享譽國際的同時，也意味著，臺灣資安產業已經推出一批又一批優秀的資安人才。</p> <p>今年臺灣資安大會有超過二百個資安品牌參展，蔡英文表示，這些資安業者不僅有技術實力、創新想法，更可以提供解決方案，這就是臺灣發展資安產業的競爭力所在。她說，展望後疫情時代，可以預期，疫情階段所推廣、運用的各種資通訊技術，將會更深入日常生活中，因此，從AIoT應用普及到萬物聯網、萬物都需要做好資安，資安已經是日常所需。</p> <p>臺灣位於民主前緣，不只是國際上資安攻防的熱區，更是第一線的練兵場，在時代趨勢下，在我們所處的位置，蔡英文直言：「資安的挑戰，不只是挑戰，也是臺灣的機會。」她強調，臺灣要一起把挑戰轉換成機會，和國際夥伴共同創造網際空間繁榮，並且發展臺灣獨特優勢。</p> <p>接下來，政府進階推出「資安即國安2.0」國安戰略，蔡英文表示，透過規畫新成立的數位發展部，並且成立專責的資通安全署，提升對關鍵基礎設施及核心資料庫的防護能量，並且會透過持續強化組織、落實法制、培養人才，以及支持產業等方式，落實資安即國安2.0。她也期待，可以在政府部門和民間企業攜手努力下，共同建立堅韌、安全、可信賴的智慧國家。</p> <h2><span style="color:#0000FF;"><strong>美國AIT：公私協力才是解決資安問題最佳利器</strong></span></h2> <p>今年，酈英傑首度蒞臨臺灣資安大會致詞，貼切證明臺美合作日益密切的今日，資安合作已經是不可迴避的重要議題。他認為，優秀的資安要從高層做起，從臺灣資安官員共同參與盛會，不只是單純的象徵意義，也表示政府肯定資安的重要性。他表示，過去一年半以來，AIT與臺灣聯合舉辦許多重要資安活動和計畫，包括去年安排訪問團出席舊金山舉行的RSA資安會議，還一同舉辦關鍵基礎建設線上研討會，關鍵基礎設施資安戰略資安高峰論壇，並舉辦先進製造的資安防禦新思維論壇等等。</p> <p>美國持續高度重視資安，並研擬各種措施因應資安挑戰，事實上，針對公私部門不斷進行的各種網路攻擊，他認為，網路攻擊危害的不只是經濟成長和國家安全，隨著美臺經濟走向全面數位轉型，確保各種科技智能物聯網裝置可以保持安全，更是至關重要。</p> <p>他表示，資安無法只靠政府干預的單打獨鬥方式來完成，一定要有政府和民間合作的公私協力，才有辦法落實資安防護。像是美國政府先成立資安與基礎建設安全局，又進一步設立國家網路總監新職位，強化政府對資安防護的組織和能力，但他說：「資安無法只靠政府干預，這種單打獨鬥的作法來完成，」可以在臺灣最大的資安大會也是民間企業組織的商展上致詞，證明公私部門在資安領域共同合作的重要性。</p> <p>酈英傑表示，很多資安公私資安部門投入心血，研究資安弱點，研發科技，並且部署解決方案，大部分倍發現的資安弱點，包括近期的Solarwinds和微軟Exchange電子郵件漏洞，都是民間私人公司發現，所以，美國國會跨黨派議員也建議公私部門應該在資安領域攜手合作，而美國政府首席資訊安全長也公開表示，未來，白拜登政府也將致力為產業夥伴敞開大門。他也說，臺灣政府機關與民間企業攜手在臺灣資安大會的合作，更證明臺灣與美國在維護資安的作法上，與其他許多領域合作一樣密切。</p> <h2><span style="color:#0000FF;"><strong>展現臺灣資安實力，首度展示戰術偵搜無人直升機</strong></span></h2> <p>iThome總編輯暨臺灣資安大會主席吳其勳表示，感謝臺灣民眾守護疫情，讓臺灣資安大會成為全世界第一個實體舉辦大型資安會議，二百個參展業者中，臺灣資安品牌超過50個，其中更有幾個臺灣資安業者，已經展現出國際資安品牌氣勢，更足以見證臺灣資安產業近幾年的蓬勃發展。除美國外，包括英國、以色列、荷蘭、盧森堡、澳洲等駐臺代表都蒞臨現場，這也開啟國際資安合作大未來。</p> <p>他也說，全球疫情並沒有趨緩，資安威脅更形嚴峻，資安議題不僅是技術問題，更是重要的政治議題，像是目標式勒索軟體勒索企業的贖金屢創天價，特定國家幕後主導的供應鏈軟體攻擊，已經重創全球企業和政府機關，而境外敵對勢力對臺灣的威脅和各種假新聞、資安戰威脅更不曾稍歇。臺灣透過思考「TRUST: redefined 信任重構」，匯集各界專家智慧，找尋發揮臺灣資安優勢的新契機。</p> <p>第四屆舉辦的臺灣資安館，今年「臺灣資安自主研發特展」匯集超過50家臺灣資安業者，展現臺灣資安品牌實力；更在「智慧臺灣安全展」中，展示進階資安場域防護成果，更首度對外實機展出整合國產戰術偵搜無人直升機，結合5G高速通訊、5G高解機度攝影機，並採用安全晶片做無人機的身分驗證。</p> <p>今年首度新增的資安人才專區，透過資安人才論壇、資安女力論壇和各種產學對話、職職涯諮詢等活動，串連資安新鮮人與資安育才、用才單位，其中，獲得Pwn2Own破解大師、戴夫寇爾首席資安研究員Orange Tsai、國防部參謀本部資通電軍指揮部少校周文馨等人參與論壇，分享自身職涯經驗。另外在今年首度推出的活動還包括「US-Taiwan AIT Day」，如果在其他國家看到的美國館展覽區一樣，會場中帶來全球最新資安趨勢和前瞻技術，並促進臺美雙方資安產業合作交流。</p> <p> </p> </div></div></div>
2021/6/2 04:33作者黃彥棻https://www.ithome.com.tw/news/144757
台北市祭出科技防疫三箭，台北通實聯制開放民間採用、精進疫情數據儀表板、開放線上申請紓困
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全國疫情持續維持三級，雙北更成為高風險地區，除了限制餐飲內用、學校停課，民眾減少外出之外，仰賴資訊科技進行防疫工作的台北市今天（6/1）宣布升級科技防疫作為，包括和中央政府合作，開始整合行政院簡訊實聯制的台北通實聯制更新，開放民間業者申請整合型QR Code，另外也整合更多疫情相關數據，精進市府內部防疫決策使用的疫情儀表板，上周五推出的9項短期紓困措施也開放線上申請。另外，台北市柯文哲也計畫針對疫調不明郎的地區，派遣行動快篩隊前往。</p> <p>首先是台北通實聯制部分，原本的台北通App的實聯制以北市的公共場館區域實聯制使用為主，且為被掃模式，即民眾可利用App產生一個個人化的QR Code，讓場館掃描完成實聯登記。</p> <p>而新的台北通實聯制新增主掃功能，並強調和行政院的簡訊實聯制整合，提供實聯制整合型QR Code，這個新的整合型QR Code整合行政院簡訊實聯制，以及台北通實聯制。</p> <p>民眾如果使用Line疾管家或開啟手機的相機功能，掃描整合型QR Code，就會按行政院的簡訊實聯制，發送含有場所代碼的簡訊至1922。如果民眾原本就使用臺北通實聯制，只要更新台北通App，就會在App上新增一個掃碼功能，當進出連鎖超商、百貨公司或是一般商家，就能以台北通App掃描商家在門口提供的整合型QR Code。</p> <p><strong>台北市政府推動的實聯制掃碼，透過整合型QR Code，同時支援台北通實聯制與行政院簡訊實聯制：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CODE(1).jpg" style="width: 600px; height: 684px;" /></p> <p>換言之，這個整合型的QR Code能同時支援台北通實聯制及行政院的簡訊實聯制，當你以Line疾管家、手機上的相機掃描整合型的QR Code，就會啟動簡訊實聯制流程，發送簡訊即完成實聯制，民眾登記的實聯制資料都會保存在5大電信；如果是以台北通App掃碼登記實聯資料，資料儲存在臺北市政府的雲端資料庫，和簡訊實聯制一樣，強調資料不落地，店家無法取得資料，所有實聯資料保留28天，供中央進行疫調調閱之用。</p> <p>台北市政府祕書長陳志銘表示，台北通防疫實聯制的最大特色是簡單、方便，如果以台北通App掃描整合型實聯QR Code，只要掃碼、確認，3秒2步驟就能完成。民眾若和家人一同前往，只需要一位代表人使用台北通App掃碼登記即可，只要登記同行人數就能完成實聯登記。</p> <p>台北市政府也將北市實聯制，從北市的公共場館推到民間場域，即日起，與四大超商、超市量販店、百貨公司合作，民眾進入這些場所，若發現貼有北市整合型QR Code，就能使用Line疾管家、相機或是台北通App掃碼，完成實聯登記。台北市政府也表示，6月1日起開放一般民間場域<a href="https://mycode.gov.taipei/SiteQR" target="_blank">免費申請整合型QR Code</a>。因應民眾下載台北通的需求增加，北市府也擴充系統容量及優化，以新的架構及標準，因應需求量增加進行調整。</p> <p><span style="color:#B22222;"><strong>開放線上申請紓困、靠疫情數據儀表板掌握疫情發展</strong></span></p> <p>另一項和台北通App相關的是線上申請紓困，為減少民眾出門的風險，台北市政府在「市民服務大平台」的COVID-19紓困專區，開放線上申請，民眾欲申請紓困，可利用台北通App掃描網頁上QR Code，自動登錄系統，並帶入實名資料，加快線上申請程序。</p> <p>另外，去年台北市政府在成立大數據中心，整合國內外確診者、口罩、消毒、防疫旅館、公共場館進出人流等數據打造的疫情儀表板，供市府防疫決策參考。隨著最近幾周國內疫情升溫，台北市各區的確診者快速增加，市府也設置快篩站，提高快篩能量，並快速調整擴充醫療資源，北市整合更多疫情數據精進儀表板，包括PCR篩檢數量、PCR篩檢確診者數量，搭配視覺化的地圖，呈現各行政區篩檢量、確診者人數。</p> <p>北市府去年因應疫情監控決策需要，匯整中央及地方的疫情數據打造疫情總覽儀表板，除了呈現國內、國外COVID-19確診資訊，也整合台北市口罩、防疫旅館、公共場館進出人流、防疫旅館及消毒等資訊：</p> <p>因應最近疫情升溫，北市增加多個快篩站，擴大篩檢能量，在儀表板的風險評估底下，呈現PCR篩檢數量、PCR篩檢確診者、居家檢疫、居家隔離者分布情形：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dashboard.jpg" style="width: 600px; height: 338px;" /></p> <p> </p> <p>結合時間與空間，呈現30天內的趨勢變化：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dashboard-2.jpg" style="width: 600px; height: 332px;" /></p> <p>掌握高風險地區，市長柯文哲更透露已成立兩支行動快篩隊，針對高風險地區，例如疫調有問題的地區，派遣快篩隊前往，以科學為基礎，對疫調精準打擊，今天下午已示範，再檢討修正做法。</p> </div></div></div>
2021/6/1 21:23作者蘇文彬https://www.ithome.com.tw/news/144755
Elastic 7.13強化對開源主機檢測框架Osquery的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elastic發布了最新軟體堆疊<a href="https://www.elastic.co/blog/whats-new-elastic-7-13-0?elektra=home&storm=announcement">Elastic 7.13</a>版本，這個新版本在企業搜尋、可觀察性和安全解決方案，都加入新功能。除了提供正式的凍結層儲存服務外，還加入執行時欄位（Runtime Fields）功能，強化分析能力，並且改善開源主機檢測框架Osquery整合，提供用戶進行更強大的安全分析。</p> <p>現在Elastic凍結層（Frozen Tier）資料儲存服務已經正式上線，用戶不需要取捨要留下或是刪除的資料，能夠以凍結層低成本儲存PB級資料，並且以更具成本效益的方式，對儲存在物件儲存中的資料進行大規模搜尋。</p> <p>官方解釋，雖然物件儲存極具成本效益，但是這種儲存方式會影響搜尋效能，而Elastic則是會根據需要，從物件儲存中擷取必要的內容，並根據需要在本地端快取，以高效率低成本的方式完成資料查詢。無論用戶的使用情境是建構儀表板，還是針對龐大資料集進行查詢，官方強調，凍結層都能提供良好的搜尋體驗。</p> <p>Elastic 7.13強化了可觀察性功能，讓資料分析師可以運用Discover和Kibana Lens，在執行時額外加入資料欄位參與分析。這項功能適用的情境，官方舉例，當用戶有一個問題想要進行研究，而手中剛好沒有可使用的資料，則Discover和Kibana Lens的執行時欄位功能，就可以讓資料分析師快速產生需要的資料。</p> <p>執行時欄位供分析師探索和強化所使用的資料，透過執行時欄位編輯器，在Discover和Kibana Lens動態創建欄位，並且進行格式化、修改和轉換資料，以方便彈性的方式進行資料分析，而且不需要切換到其他畫面進行額外操作。這個靈活的資料分析功能，讓分析師獨立執行資料探索工作，並且在工作流程中直接修改使用的資料，當場查看結果。</p> <p>在安全性上，Elastic 7.13擴大支援開源主機檢測框架Osquery，供Elastic Agent能使用新的主機管理整合，透過結合Osquery主機資料來進行統一分析。Osquery主機管理整合讓企業安全團隊，可以用Osquery來解決網路威脅，用戶只需要點擊介面，就可以在Windows、macOS和Linux主機上安裝與調度Osquery。</p> <p>Osquery資料會儲存在Elasticsearch中，並且在Kibana中顯示，用戶可以使用一個或多個代理來執行即時查詢，並且定義排程查詢，以掌握組織系統的安全狀態，Osquery資料可與其他事件、威脅和異常資料進行綜合分析，提高主機可見性，增強企業安全分析和監控能力。</p> </div></div></div>
2021/6/1 21:05作者李建興https://www.ithome.com.tw/news/144754
微軟釋出Windows套件管理器Winget 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正式發布<a href="https://devblogs.microsoft.com/commandline/windows-package-manager-1-0/">Windows套件管理器（Windows Package Manager，Winget）1.0</a>，這是一個供使用者管理系統套件的工具，其包含命令列工具和一組應用程式安裝服務，獨立軟體開發商可以將軟體打包成套件，使用Windows套件管理器來發布，讓用戶能夠方便地快速安裝。</p> <p>用戶可以利用PowerShell在Windows終端執行Winget，微軟提到，Winget客戶端將會成為用戶管理機器上套件的主要工具。Winget能利用名稱或是標籤來搜尋套件，並且使用install指令來快速安裝，也能使用upgrade指令來檢查套件升級，IT只要使用winget upgrade --all指令，就能一次更新所有機器上的套件。設定新機器可以使用從舊電腦匯出的套件列表packages.json，快速地設定新環境，或是使用winget list功能管理系統安裝的套件。</p> <p>之前Winget透過Windows Insider版本釋出，而用戶註冊Winget Insider群組，也可能已經在電腦安裝Winget，現在隨著正式版發布，Winget 1.0版本將會透過微軟商店，以自動更新發布，凡是Windows 10 1809或是更新的版本，都可安裝使用Winget，對專業IT人員來說，可以使用群組政策管理Winget的訊息，並使用winget --info指令來確認正在生效的政策。</p> <p>除了Winget 1.0之外，微軟還發布了另一個開源工具Winget Manifest Creator，供開發者將套件提交到微軟社群儲存庫，開發者可以直接打開Winget，利用指令來安裝這個新工具，在工具安裝完成後，便會按照用戶給的URL下載安裝程式，解析並且找出可用的manifest值，引導用戶完成整個過程，以產生有效的manifest。當用戶提供了GitHub憑證，Winget Manifest Creator還會分叉儲存庫、創建新分支，並且提交拉取請求，還有提供用戶URL來追蹤進度。</p> <p>微軟還發布了REST API來源參照實作，讓開發者可以託管自己的私有儲存庫，官方提到，這是新型態的來源，Winget預設來源預索引透過微軟商店交付套件，但如果用戶實現基於JSON的REST API架構，也可以新增REST來源。</p> </div></div></div>
2021/6/1 18:45作者李建興https://www.ithome.com.tw/news/144753
Consul服務網格開始支援Amazon ECS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源基礎設施公司HashiCorp宣布要在自家服務網格<a href="https://www.hashicorp.com/blog/announcing-consul-service-mesh-for-amazon-ecs">Consul</a>中，加入對AWS容器服務的支援，要讓用戶可以選擇Consul作為ECS的服務網格。目前這項功能還在技術預覽階段，用戶現在可以透過無伺服器運算引擎AWS Fargate，在ECS上部署Consul預覽版本。</p> <p>Amazon ECS是AWS的全託管容器調度服務，對在AWS上建構基礎設施，並且大量使用其他AWS服務的企業來說，ECS是一個熱門的選擇，HashiCorp提到，他們考慮到有許多使用者在EC2或Fargate上的ECS，來管理容器部署，而且Kubernetes服務的使用率Amazon EKS又不斷的成長，因此他們認為，用戶傾向選擇多種服務調度方法。</p> <p>而由於Consul的目標便是要支援所有Runtime，成為真正多平臺的服務網格，因此添加ECS的支援，能夠使Consul更加接近此一目標。官方提供了使用者一致簡單的部署體驗，可以使用Hashicorp Terraform在Amazon ECS上部署Consul服務網格。</p> <p>官方提到，在ECS運作的Consul，可以供用戶執行零信任網路，任務之間的請求使用mTLS完全加密，可以防止潛在攻擊者，探嗅純文字流量，且因為請求流經邊車代理，Consul可以阻擋未授權服務的請求。</p> <p>同時這項支援也帶來了可觀察性和可靠性，邊車代理可以配置在所有服務之間，設定發出一致的請求指標，這代表用戶可以建構儀表板，並且創建自動警報，而不需要重新配置和編碼所有服務。此外，Consul的配置條目可以被用來配置代理行為，以設定重試失敗請求、逾時和未回應的斷路器（Circuit Break）服務，這些控制可以在不需要更改底層服務的前提下，提高微服務基礎設施的可靠性。</p> </div></div></div>
2021/6/1 17:33作者李建興https://www.ithome.com.tw/news/144749
全球最大肉品業者JBS遭網路攻擊，部分產線停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總部位於巴西的全球最大肉品業者JBS周日（5/30）傳出遭到網路攻擊，駭客攻陷了該公司用來支援北美與澳洲的IT系統，並導致部份的產線停擺。</p> <p>率先揭露並取得JBS聲明稿的，是澳洲的肉品產業媒體<a href="https://www.beefcentral.com/news/jbs-global-meat-processing-operations-paralysed-by-cyber-attack/" target="_blank">Beefcentral</a>。JBS S.A為全球最大的肉品供應商，專門銷售處理過的牛肉、雞肉、豬肉及相關副產品，旗下設有JBS USA、JBS Foods International與Seara三家子公司，而向Beefcentral證實攻擊事件的，則是隸屬於JBS USA的澳洲執行長Brent Eastwood。</p> <p>JBS USA於聲明中表示，該公司是在5月30日發現自己成為網路攻擊的受害者，該攻擊波及了支援北美與澳洲市場的IT系統，JBS立即關閉所有受影響的系統，通知執法機構，同時協同第三方資安專家以緩解攻擊事件。</p> <p>此外，JBS的備份伺服器並未受到波及，並正與事件應變業者合作恢復系統。JBS也強調尚未有證據顯示客戶、供應鏈或員工的資料遭到危害或濫用。</p> <p>然而，根據Beefcentral的報導，這波的攻擊行動已讓JBS暫停了澳洲及北美的肉品處理產線，而且並未訂出恢復正常運作的時間表。</p> <p>JBS USA並未公布是受到哪類的網路攻擊，也拒絕討論細節，不過外界幾乎一致地認為兇手應該是勒索軟體。</p> </div></div></div>
2021/6/1 17:48作者陳曉莉https://www.ithome.com.tw/news/144752
研究人員在GPU上執行生成對抗網路，加速高解析度宇宙模擬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>卡內基美隆大學和加州大學研究人員，合作開發出了一個<a href="https://developer.nvidia.com/blog/researchers-harness-gans-for-super-resolution-of-space-simulations/">深度學習模型，可以提升宇宙模擬的解析度</a>，將低解析度的模擬提升為高解析度模擬，使得科學家一天之內，就可以創造出複雜的模擬宇宙，並能探索更多的可能性。</p> <p>宇宙模擬對於人類了解宇宙是必要的方法，從宇宙的誕生到黑洞的形成，都需要經過模擬才能進一步探索未知，研究人員提到，宇宙研究用到大量的模擬，並且需要使用高解析度，來解決小規模星系形成的物理問題，但解決這些問題的方法，面臨巨大的運算挑戰。這種巨大的動態範圍運算，會帶來大量的計算成本，因此通常需要犧牲解析度或是尺寸，甚至必須要同時犧牲兩者。</p> <p>這個計算障礙攸關人類解開星系形成、暗物質和暗能量的奧秘，而現在研究人員建構了一個深度網路，來強化低解析度的暗物質模擬，產生超級解析度實作，透過在大宇宙體積中建構小規模星系的模型，達到高解析度且大尺寸的需求。</p> <p>該團隊的生成對抗網路（GAN）可以將全尺寸低解析度的模型，轉換成為具有512倍粒子數的模型，研究人員提到，雖然生成對抗網路僅使用小空間區域的資料進行訓練，但是該模型能夠複製出，只有在大規模模擬才能看到的大型結構。</p> <p>這個模型在德州高級計算中心的Frontera系統上，使用數百個GPU進行運算，但是新方法光使用一個GPU，就能帶來巨大的運算加速，研究人員提到，舊的模擬方法單個處理核心上，需要花費3個月才能創造1.34億個粒子的詳細模擬，但由GPU加速的深度學習方法，只要36分鐘就能完成，而對於1千倍大的模擬，過去舊方法在專用超級電腦上的模擬時間，需要耗時數個月，而運作在單一GPU上的新方法，卻只要16個小時。</p> <p>這種模擬方法可以幫助科學家進行更多種類的模擬，以預測宇宙在不同情境下的樣子，研究人員提到，在過去的研究，可以在模擬宇宙中，發現新的物理學，而利用這項新技術，可以加速驗證想法的速度。目前這項研究鎖定的目標，是重力隨時間移動暗物質的情況，超新星和黑洞的模擬還不在現在的研究範圍中，該團隊接下來會進一步擴展研究方法，以應用在其他的研究上。</p> </div></div></div>
2021/6/1 17:59作者李建興https://www.ithome.com.tw/news/144751
美國國家能源研究科學計算中心正式安裝全球最快AI超級電腦Perlmutter
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國家能源研究科學計算中心（National Energy Research Scientific Computing Center，NERSC）在5月27日宣布，已於其勞倫斯伯克利國家實驗室正式安裝了全球最快的AI超級電腦Perlmutter，Perlmutter又名NERSC-9，是由HPE與Nvidia及AMD聯手打造的GPU加速超級電腦，理論上可提供接近3.8 exaflop/s的AI效能，或是60 petaflop/s的尖峰高效能運算。</p> <p>根據<a href="https://www.ithome.com.tw/news/141154" target="_blank">去年11月公布的</a>全球500大超級電腦名單，位居第一名的是日本的理化學研究所（RIKEN）和富士通共同合作打造的Fugaku，它的尖峰高效能運算為537 petaflop/s，HPL-AI效能為2 exaflop/s。</p> <p>至於Perlmutter的尖峰高效能運算在<a href="https://www.top500.org/lists/top500/list/2020/11/" target="_blank">500大超級電腦名單上</a>只能排在第十名左右（正式排行榜採用混合精度效能），但<a href="https://icl.bitbucket.io/hpl-ai/results/" target="_blank">HPL-AI效能直接超越Fugaku</a>。</p> <p><a href="https://icl.bitbucket.io/hpl-ai/" target="_blank">HPL-AI是在2019年11月才成為超級電腦排行榜的基準測試</a>，以彰顯新興的融合式高效能運算（HPC）與人工智慧（AI）任務。</p> <p>Perlmutter奠基於HPE的Cray Shasta平臺上，同時採用GPU加速器與CPU-only節點，<a href="https://www.nersc.gov/systems/perlmutter/" target="_blank">NERSC說</a>它的效能是該中心現有旗艦系統Cori的3倍以上，將分成兩階段部署，第一階段採用GPU加速器，今年春末就會開始進行科學運算，第二階段則會加入CPU-only節點，也預計在今年上線。</p> <p><a href="https://www.hpcwire.com/2021/05/27/nersc-debuts-perlmutter-worlds-fastest-ai-supercomputer/" target="_blank">根據HPE所揭露的規格</a>，Perlmutter採用了6,159個Nvidia A100 GPU，以及1,500個AMD Milan CPU，且該系統未來將支援專門探究暗能量對宇宙膨脹影響的暗能量光譜儀（Dark Energy Spectroscopic Instrument ，DESI）計畫，可用來協助描繪橫跨110億光年的宇宙圖，在早期的測試中，NERSC研究人員發現使用Perlmutter的GPU效能可達20倍，可將原本需要數周或數月的運算任務，大幅縮短至以小時計算。</p> <p>此外，材料科學也可能受惠於Perlmutter。NERSC的效能專家Brandon Cook表示，過去要針對諸如電池接口等大型系統進行全面的原子模擬是不可能的，但現在科學家計畫要利用Perlmutter來達成此事。</p> <p>另一方面，Nvidia早已是500大超級電腦排行榜的常勝軍，該公司所打造的Selene超級電腦系統，<a href="https://www.top500.org/lists/top500/2020/11/highs/" target="_blank">在去年11月的排行榜上名列第五</a>，且在500大排行榜中，有147個系統採用了加速器或協同處理器技術，當中就有132個使用Nvidia的晶片，比例接近90%。</p> </div></div></div>
2021/6/1 17:05作者陳曉莉https://www.ithome.com.tw/news/144750
【疫情日報】Rt值持續下降趨近1反映疫情趨緩，政府近日將公布企業快篩指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心指揮官陳時中1日宣布，近日單日新增確診個案數和校正回歸個案數下降，整體疫情走向趨緩、感染率指標數據Rt值持續走低, 將考慮不再公布校正回歸個案。統計至5月31日的Rt值是1.02，代表1位病人目前影響力下降到只會傳染1.02人。</p> <p>另外，指揮中心副指揮官陳宗彥在今日全國防疫會議會後記者會中表示，政府目前正制定企業快篩指引，完成後將盡速公告供各界遵循。</p> <p><strong><span style="font-size:22px;">Rt值下降，考慮不再公布校正回歸個案</span></strong></p> <p>今日新增262例本土案例、65例校正回歸本土個案，回歸至5月29日至5月31日。指揮官陳時中表示，這幾天單日新增本土病例降低、Rt值持續下降，而且，隨著檢驗通報流程的簡化，塞車的校正回歸案例也逐漸減少。如此，校正回歸個案對疫情影響不大，陳時中指出，指揮中心「考慮不再公布校正回歸個案。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/03_210601EIC4%E5%90%881-01.jpg" /></p> <p>指揮中心用來衡量疫情是否趨緩的指標，就是Rt值。但這得從R0值說起，也就是用來估算病毒傳播力的「基本再生數」；它的意思是，在疫情尚未爆發前、毫無任何免疫力的狀況下，病毒進入人群中，1位病人可感染多少人的估算值。數字越大，傳染力也就越強。</p> <p>而疫情發生後，出現了對病毒有抵抗力的人口，因此指揮中心改用Rt值來衡量傳染力，也就是「有效再生數」。指揮中心發言人莊人祥昨日表示，5月31日的Rt值為1.02，代表1位病人可傳染1.02人，而Rt值小於1時，就表示疫情開始好轉。</p> <p><strong><span style="font-size:22px;">指揮中心制定企業快篩指引，近日將公布</span></strong></p> <p>指揮中心今日早上召開例行全國22縣市防疫會議，陳宗彥於會後記者會上表示，目前指揮中心正針對5月30日公布的企業自主快篩一案討論，「正制定企業快篩指引中，」並表示將於近日公布指引，供各界遵循。</p> <p>不過，企業若要進行自主快篩，就得提供隔離安置場所，指揮中心補充，這些場所可以是可隔離的宿舍，或是以一人一室為原則的居家隔離，也可將快篩陽性的員工安置與防疫旅館。</p> </div></div></div>
2021/6/1 15:04作者王若樸https://www.ithome.com.tw/news/144748
小米展示8分鐘就能充飽手機電池的HyperCharge快充系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>小米周一（5/31）<a href="https://twitter.com/Xiaomi/status/1399186017421127680" target="_blank">透過Twitter展示</a>了最新的HyperCharge快充系統，它的有線充電系統擁有200W的充電能力，替具備4000mAh電池的客製化的Mi 11 Pro手機充電，8分鐘就充飽了手機電池，無線充電系統則有120W的充電能力，替同樣規格的Mi 11 Pro手機充電，用了15分鐘就充飽電，號稱刷新了世界紀錄。</p> <p>從小米的展示影片中可看出，200W有線充電系統44秒就可充電10%，3分鐘就能充50%，8分鐘達到100%；120W無線充電系統在1分鐘可充10%，7分鐘充50%，15分鐘達到100%。</p> <p>儘管快充可能傷害手機電池，但中國手機製造商似乎樂此不疲，小米與Oppo不斷在快充的速度上互相較勁。</p> <p>小米只是展示了HyperCharge系統的能力，並未公布它的上市日期。不過，<a href="https://www.xda-developers.com/xiaomi-200w-wired-120w-wireless-charging/" target="_blank">XDA-developers推測</a>，HyperCharge離上市可能還有一段時間，例如先前小米也曾推出120W的快充系統，可在23秒內充飽Mi 10 Ultra的4500mAh電池，但該快充系統只支援Mi 10 Ultra，並未支援其它小米手機。</p> <p>XDA-developers指出，這是因為快充系統將嚴重危害電池壽命，根據小米的內部測試，100W快充電池的容量，可能會比標準的30W充電電池還少20%。</p> </div></div></div>
2021/6/1 14:08作者陳曉莉https://www.ithome.com.tw/news/144745
SonicWall修補網管軟體指令執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sonicwall.com/support/product-notification/security-advisory-on-prem-sonicwall-network-security-manager-nsm-command-injection-vulnerability/210525121534120/" target="_blank">網路設備商SonicWall上周</a>（5/27）針對其設備管理軟體上，一個可能讓駭客在裝置上執行指令的重大漏洞，釋出修補程式。</p> <p>出現問題的是管理SonicWall所有裝置的網路安全管理員（Network Security Manager，NSM）軟體。編號CVE-2021-20026的漏洞是一指令注入漏洞，可能讓經過驗證的攻擊者發出假造的HTTP呼叫，而在作業系統上以根權限執行指令。此一漏洞CVSS 3.1風險評分為8.8。</p> <p>NSM可以在本地部署或以雲端（SaaS）執行，不過這次漏洞僅影響NSM本地部署版本2.2.0-R10及之前版本。SaaS版則不受影響。</p> <p>SonicWall已在本周釋出Network Security Manager (NSM) 2.2.1版，也呼籲本地部署NSM的SonicWall企業管理員儘速更新。</p> <p>這是SonicWall今年以來最新修補的產品漏洞。<a href="https://www.ithome.com.tw/news/142429" target="_blank">今年1月22日SonicWall公告</a>小型企業用SSL VPN產品SMA 100系列的漏洞遭駭客發動攻擊，之後則證明受影響裝置涵括MA200、210、400、410實體設備及SMA500v虛擬設備（Azure、AWS、AWS ESXi、HyperV），<a href="https://www.ithome.com.tw/news/142585" target="_blank">迫使該公司二度修補</a>。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 參考資料（如需詳細資訊請洽廠商）</span></strong></span></p> <p><strong>影響SonicWall Network Security Manager(NSM) 的CVE-2021-20026官方修補資訊（2021-05-27公告）：</strong><a href="https://www.sonicwall.com/support/product-notification/security-advisory-on-prem-sonicwall-network-security-manager-nsm-command-injection-vulnerability/210525121534120/">https://www.sonicwall.com/support/product-notification/security-advisory...</a></p> <p><strong>SMA 100 Series 10.X And 9.X Firmware官方修補資訊（2021-01-22公告、2021-04-29更新）：</strong><a href="https://www.sonicwall.com/support/product-notification/additional-sma-100-series-10-x-and-9-x-firmware-updates-required-updated-april-29-2021-12-30-p-m-cst/210122173415410/">https://www.sonicwall.com/support/product-notification/additional-sma-10...</a></p> </div></div></div>
2021/6/1 12:32作者林妍溱https://www.ithome.com.tw/news/144743
Amazon Sidewalk自6月8日起將與鄰近裝置分享用戶頻寬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/devices/introducing-amazon-sidewalk" target="_blank">Amazon在2019年9月發表了Amazon Sidewalk</a>，這是Amazon的網狀網路（Mesh Network）專案，允許取得Amazon認證的裝置以藍牙進行通訊，還可分享彼此的頻寬。Amazon預計自今年6月8日起，於各種裝置的預設值啟用Amazon Sidewalk，不過，美國媒體相繼奉勸使用者手動關閉Amazon Sidewalk。</p> <p><a href="https://www.amazon.com/Amazon-Sidewalk/b?ots=1&slotNum=1&imprToken=babce292-5ed2-d1d2-aef&tag=arstech20-20&linkCode=w50&node=21328123011">根據Amazon的解釋</a>，Amazon Sidewalk是個共享網路，擁有Sidewalk橋接裝置（Sidewalk Bridge）的用戶可貢獻自己的少數頻寬，以創造一個共享網路，並利用900 MHz的藍牙頻譜延伸網路的覆蓋能力，既有的橋接裝置包括許多Echo裝置，以及Ring Floodlight與Ring Spotlight 戶外監視器，而這些裝置自6月8日起就會預設啟用Amazon Sidewalk，自動成為該網狀網路的橋接裝置。</p> <p>Amazon Sidewalk的首個實際應用將與美國的追蹤器製造商Tiles合作，用來追蹤所有內建Find With Tile的裝置，類似蘋果的Find My網路。</p> <p>然而，有別於Find My的單向通訊，Amazon Sidewalk的通訊是雙向的，而且可以分享彼此的Wi-Fi頻寬；除了藍牙之外，Amazon Sidewalk也運用了名為LoRa的無線技術。根據Amazon的說明，當使用者把智慧裝置置放在家中網路的邊緣時，可能因為頻寬不穩定，而使得這些裝置無法接受重要的功能或安全更新，但透過Amazon Sidewalk，使用者將有機會利用鄰近裝置的頻寬，讓裝置保持隨時更新的狀態，此外，Amazon Sidewalk還能協助使用者設定新的裝置。</p> <p>不過，Amazon Sidewalk的頻寬分享是少量的，從Sidewalk Bridge傳輸到Sidewalk伺服器的最大頻寬為80Kbps，因此，當使用者的Sidewalk Bridge與Amazon Sidewalk分享頻寬時，每月所使用的最大頻寬為500MB，約等於高畫質影片串流10分鐘所使用的頻寬。</p> <p>與他人分享頻寬是一件事，美國媒體奉勸使用者關閉Amazon Sidewalk功能的另一個原因是隱私及安全性。<a href="https://arstechnica.com/gadgets/2021/05/amazon-devices-will-soon-automatically-share-your-internet-with-neighbors/" target="_blank">ArsTechnica</a>指出，不管是藍牙或Wi-Fi無線技術都有不安全的紀錄，例如之前用來保護Wi-Fi流量的加密機制WEP就可被第三方監控，而用來取代WEP的WPA也曾傳出安全漏洞，而藍牙也不相上下。</p> <p>此外，Amazon Sidewalk網路是由眾多可能涉及用戶隱私的裝置組成，像是Echo或Ring監視器，一旦被攻陷，使用者的隱私可能蕩然無存。</p> <p>目前Amazon Sidewalk服務只在美國市場推出，美國媒體則建議Amazon裝置用戶可透過Alexa程式的設定功能，關閉Amazon Sidewalk。</p> </div></div></div>
2021/6/1 12:45作者陳曉莉https://www.ithome.com.tw/news/144744
從企業資安直通國安的零信任架構
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年臺灣資安大會的主要標語「TRUST : redefined信任重構」，強調的IT安全議題，正是資安界這幾年來最熱門的防護概念之一：零信任（Zero Trust）。</p> <p>這樣的資安概念從逐漸成形，到如今成為廠商與專家必談的議題，其實花了不少時間。關於這樣的作法，最早可追溯至2003年、2004年，有個名為Jericho Forum的跨國工作小組，開始探討網路邊界消弭（De-perimeterisation）的議題。到了2009年，研究機構Forrester首席分析師John Kindervag提出了新的資安模式，稱為零信任（Zero Trust Model）。</p> <p>同年，網路巨擘Google也因為自身面臨「極光行動（Operation Aurora）」APT攻擊，於是在內部推動全新的安全架構發展計畫，稱為BeyondCorp，讓公司員工、連網設備存取內部應用系統時，不論其位於內部網路或公共網際網路，能夠透過這樣的機制與流程來確實驗證人與裝置的身分。經過幾年的研究，他們在2014年底公開BeyondCorp架構與存取流程，2016年第一季揭露自身設計與部署BeyondCorp架構的方式。</p> <p>2019年4月，Google成立專屬的聯盟，與5家端點安全與管理廠商合作，分別是：Check Point、Lookout、Palo Alto Networks、Symantec、VMware，希望能夠將資安產品偵測到的裝置安全防護態勢，餵送至Google的內容感知存取引擎，以此作為信任與否的判斷依據。隔年10月，Citrix、CrowdStrike、Jamf、Tanium等4家廠商，也宣布加入這個聯盟。今年1月，他們正式推出BeyondCorp Enterprise的雲端服務。而由於Google長期推動這個計畫，也讓各界每次一談到零信任的實際應用，就會馬上聯想到Google的BeyondCorp，甚至有人將兩者畫上等號。</p> <p>在這段期間，零信任概念仍在持續演化與普及，並且影響IT市場研究機構的資安議題設定。例如，在2017年底、2018年初，Forrester首席分析師Chase Cunningham提出了擴充概念，稱為零信任延伸（Zero Trust eXtended，ZTX）生態系統；2017年6月，Gartner基於他們先前提倡的自我調整安全架構（Adaptive Security Architecture），新推出一套資安防護策略，名為「持續適應風險和信任評估（Continuous Adaptive Risk and Trust Assessment，CARTA）」，當中也包含了與零信任相似的概念，於是，兩者經常被相提並論。</p> <p>到了2019年9月，美國國家標準暨技術研究院（NIST）針對零信任架構（Zero Trust Architecture），公布他們所制定的草案標準，廣邀各界評論，隔年2月推出第二版草案，8月拍板定案、正式頒布SP 800-207標準，也讓各界面對零信任架構時，有了共同討論與發展的基礎。</p> <p>而這項國家等級的資安標準，將聚焦在保護資源，而不只是網路分段──之所以如此，是因為現今的企業人員運作型態已趨向遠端使用者的配置，而且基於雲端服務而成的各種IT資產，也未必都設置在企業的網路邊界之內。NIST表示，美國聯邦政府在當前的網路安全政策，以及相關防護計畫的實施作為上，也已經將ZTA資安策略體現在其中，而他們所發布的這份標準文件內容，將會呈現零信任的抽象定義，以及通用的部署模式、應用案例，可協助企業改善整體IT資安態勢，並提供實作這項策略的高階發展藍圖。</p> <p>值得注意的是，零信任這項議題不只是資安界與企業關切，國家級安全機構也很重視。例如，美國國防部國防資訊系統局（DISA）在5月13日宣布，將提供零信任參考架構，希望協助美國軍方維持在數位戰場上的資訊優勢，而這項架構的內容擬定，主要由國防資訊系統局，以及國防部資訊長、網路作戰司令部、國家安全局來負責，而DISA的網路發展理事會，以及架構與標準工程辦公室，都將加入NSA與DISA聯合的零信任計畫辦公室。</p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>相關報導<a href="https://www.ithome.com.tw/article/144698" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1027-feng_mian_p1-opening-zheng_han_-960x420.jpg?itok=WL5O4nxS" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB">零信任</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">臺灣資安大會</a></div><div class="field-item odd"><a href="/tags/zero-trust">Zero Trust</a></div></div></div>
2021/6/1 07:00作者李宗翰https://www.ithome.com.tw/voice/144701
IETF發布QUIC正式版RFC 9000，Cloudflare：現約有12％流量為使用QUIC的HTTP/3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IETF（Internet Engineering Task Force）現在發布<a href="https://quicwg.org/base-drafts/rfc9000.html">RFC 9000</a>，這是QUIC傳輸通訊協定的正式標準化版本，並且獲得RFC 9001、RFC 9002和RFC 8999的支援，IETF的這項發布，代表著各組織原本所部署的QUIC草案，都會逐漸改為使用這個正式的第一版。根據<a href="https://blog.cloudflare.com/quic-version-1-is-live-on-cloudflare/">Cloudflare的分析</a>，現在網際網路上使用QUIC的HTTP/3流量約有12％。</p> <p>QUIC以UDP為基礎，是快速UDP網路連線（Quick UDP Internet Connections）的縮寫，與TCP比起來，QUIC在預設情況更具有安全性，可以保護資料在傳輸時不受窺探，而他的主要優點之一，便是高效能的交握能力，不只能夠快速連接交握，還可以減輕因為網路封包丟失或是延遲，所帶來的效能降低，當客戶端和伺服器端雙方曾經建立QUIC連線，則之後便不再需要進行任何交握，就可以直接傳輸資料。</p> <p>不過QUIC只是一個傳輸協定，要能發揮作用，必須映射到應用程式協定當中，與QUIC規範同時進行的HTTP/3，設計也已經完成，在經過完整的評估和測試之後，也會被發布為RFC，不過，有許多組織，早就開始提供QUIC和HTTP/3的支援。Cloudflare使用Radar工具分析網際網路的流量，目前有大約12％的網際網路流量，為使用QUIC的HTTP/3，Cloudflare提到，在RFC 9000發布之後，這個比例還會再往上增加。</p> <p>Cloudflare現在也宣布支援客戶端直接使用QUIC進行連接，並且使用ALPN識別符號h3標示使用QUIC第一版。Cloudflare提到，他們伺服器監聽UDP連接埠443的QUIC流量，當客戶端以UDP發送QUIC資料封包，就會啟動交握程序，而初始封包包含版本辨識符號，來告訴伺服器要使用的QUIC版本。</p> <p>過去QUIC歷經多個草案變化，因此發展出了辨識符號，以溝通客戶端和伺服器端使用一致的內容，RFC 9000版本識別符號為0x00000001。當客戶端的HTTP請求使用QUIC和HTTP/3時，Cloudflare會回傳ALT-SVC標頭，以確認要使用的QUIC版本，過去用戶想要在瀏覽器中測試QUIC，需要啟動實驗性功能，但現在許多瀏覽器已經預設支援QUIC。</p> <p>Cloudflare提到，從現在開始，他們為了要加速對QUIC的支援，因此改變Alt-SVC廣播，加入包括h3辨識符號。不過這些協定升級行為都是在後臺進行，使用者不需要做出任何改變。</p> </div></div></div>
2021/5/31 20:38作者李建興https://www.ithome.com.tw/news/144727
Kinesis Data Analytics Studio供用戶以SQL和Python操作串流資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出了串流資料分析工具<a href="https://aws.amazon.com/tw/blogs/aws/introducing-amazon-kinesis-data-analytics-studio-quickly-interact-with-streaming-data-using-sql-python-or-scala/">Amazon Kinesis Data Analytics Studio</a>，用戶現在可以從Amazon Kinesis控制臺選擇Kinesis資料串流，並且點擊啟動利用Apache Zeppelin和Apache Flink開發而來的Kinesis Data Analytics Studio筆記本，以互動的方式操作串流中的資料。</p> <p>官方提到，要對業務和應用程式所接收到的資料，做出即時且快速的反應，最佳的辦法是分析串流資料。這些串流資料通常會逐筆增加，或是以滾動時框的方式呈現，按順序或是漸增處理，可用於相關性、聚合、過濾和採樣等分析。</p> <p>而Kinesis Data Analytics Studio則能簡化串流資料分析工作，官方表示，這與用戶過去在Managed Streaming for Apache Kafka控制臺中選擇叢集，啟動筆記本分析Apache Kafka串流資料的方法相似，現在用戶可以從Kinesis Data Analytics Studio啟用一個筆記本，並且連接到自定義來源。</p> <p>在筆記本中，用戶可以使用SQL查詢，或是使用Python和Scala程式操作串流資料，並且在數秒中獲得結果，而當用戶試驗完成，也只需要點擊介面按鈕，就可以擴大程式運作，對生產環境中的資料串流進行處理，應用程式不需要額外的更改，就可以開始大規模運作。</p> <p>官方建議，用戶可在Kinesis Data Analytics for SQL Applications服務上，使用Kinesis Data Analytics Studio，這個新工具不只提供易用性，也具有一些進階功能，供用戶在數分鐘內建構複雜的串流資料處理應用程式。</p> <p>目前所有Kinesis Data Analytics正式上線的區域，都可以使用Kinesis Data Analytics Studio。官方提到，他們在Kinesis Data Analytics Studio中，使用開源Apache Zeppelin和Apache Flink，而他們也對這兩個專案做出貢獻，像是修正Zeppelin中的錯誤，以及在Flink專案中貢獻AWS連接器，並且正與社群討論可用性的改進。</p> </div></div></div>
2021/5/31 20:41作者李建興https://www.ithome.com.tw/news/144730
Databricks推AutoML簡化機器學習模型建置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Apache Spark技術團隊所創立的資料科學公司Databricks，發布了能夠簡化建置機器學習模型的工具<a href="https://databricks.com/blog/2021/05/27/introducing-databricks-automl-a-glass-box-approach-to-automating-machine-learning-development.html">AutoML</a>，AutoML可自動化進行預處理、特徵工程，以及模型訓練與調整，用戶能完全以使用者介面來選擇資料集、配置訓練，和部署模型。</p> <p>官方提到，現有許多AutoML工具都是黑盒子，用戶無法切確知道模型訓練的過程和方法，因此當需要進行特定領域的修改，或是出於監管理由，用在需要受稽核的產業時，這些工具的使用便會遭遇到困難。而資料團隊投入時間對這些AutoML工具創建的模型，進行逆向工程，則抵消了AutoML所帶來的生產力提升。</p> <p>Databricks則形容自家AutoML是一個玻璃盒，對每個經訓練的模型，都提供Python筆記本，資料科學家可以在這些筆記本中，添加或是修正單元格，並且還能利用這些筆記本快速開發，不需要重新編寫一些樣板程式碼。</p> <p>除了模型訓練和選擇之外，Databricks AutoML也提供方便的資料分析功能，該工具創建了一個資料探索筆記本，來提供資料集統計資訊，利用自動化來減少繁瑣的資料探索工作，Databricks AutoML可快速檢查資料集是否適合訓練，大幅減少資料科學家的時間。</p> <p>AutoML也與追蹤指標和參數API—MLflow整合，並使用機器學習最佳實踐來提高團隊的生產力，從實驗頁面，用戶就可以試驗模型，並且在Databricks模型註冊表內註冊和提供模型。AutoML會產生訓練筆記本，提供所有訓練模型的程式碼，從載入資料到分組測試模型，再到調整超參數，甚至是顯示可解釋性SHAP點圖，這每一個步驟用戶都可取得程式碼。</p> <p>目前Databricks AutoML進入公開預覽的階段，能平行訓練sklearn和xgboost模型，以解決分類和迴歸的問題，並且支援具有數值、分類和時間戳特徵的資料集，會自動處理獨熱編碼（One-Hot Encoding）和空值填充（Null Imputation）。</p> </div></div></div>
2021/5/31 18:01作者李建興https://www.ithome.com.tw/news/144725
微軟：Edge 91為Windows 10上效能最好的瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從微軟加入Chromium陣營之後，Microsoft Edge的版本更新就盡量與Chrome同步，例如在Google於5月25日釋出Chrome 91時，微軟也發表了<a href="https://blogs.windows.com/msedgedev/2021/05/25/whats-new-edge-build-2021/" target="_blank">Microsoft Edge 91</a>，並宣稱Edge 91為Windows 10上效能最好的瀏覽器。</p> <p>這是因為微軟持續在基於Chromium的Edge上添增新的功能，以強化其效能，例如Edge 89就上線的快速啟動與睡眠分頁，其中，快速啟動的原理是當使用者開啟Microsoft Edge（以下簡稱Edge）再關閉它之後，Edge的核心程序會持續於背景中運作，於是，假設使用者想再開啟Edge，或是點選另一程式中的連結，或者是想從工作列上進行搜尋，Edge便可快速啟動。</p> <p>睡眠分頁則是為了節省系統資源所設計的功能，在預設的情況下，只要某個分頁在兩小時內沒有活動，它就會進入睡眠狀態，釋出所使用的處理器與記憶體資源，分頁上則會出現「ZZZ...」的圖案，但點擊它即可瞬間恢復正常。</p> <p>微軟上周表示，讓Edge 91成為Windows 10上效能最佳瀏覽器的功臣，就是快速啟動及睡眠分頁。該公司並未特別說明快速啟動在兩個Edge版本上的差異，但指出現在的睡眠分頁最高可節省82%的記憶體，因為當使用者把分頁置於背景時，它會立即讓分頁中的廣告進入睡眠，此外，微軟也特別改善睡眠分頁，讓它進一步節省Windows上所使用的資源。</p> <p>在微軟於2019年正式擁抱Chromium專案後，迄今已貢獻5,300個提議。</p> <p>不過，根據<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-edge-91-brings-new-bugs-and-annoying-popup-messages/" target="_blank">BleepingComputer</a>的報導，Edge用戶似乎對Edge 91有些微詞，例如該版本瀏覽器會不斷跳出詢問使用者「是否要使用微軟所推薦的瀏覽器設定」的視窗，或者是當使用者設定了Edge的起始頁網站之後，Edge 91下一次開啟卻依然故我的，採用了該瀏覽器原本的預設起始頁面。</p> </div></div></div>
2021/5/31 13:32作者陳曉莉https://www.ithome.com.tw/news/144722
Google揭露新型態的Rowhammer記憶體漏洞技術：Half-Double可影響更遠的位元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球研究人員<a href="https://www.ithome.com.tw/news/109242" target="_blank">從2016年就開始討論DRAM記憶體的Rowhammer漏洞</a>，它能藉由重覆造訪目標記憶體列的隔壁列記憶元，造成電壓波動，影響目標記憶體列，導致位元翻轉現象，近日<a href="https://security.googleblog.com/2021/05/introducing-half-double-new-hammering.html" target="_blank">Google則揭露了Half-Double</a>，宣稱它是個新型態的Rowhammer技術，可把Rowhammer效應擴張到更遠的位元。</p> <p>Google說明，Rowhammer其實很像是CPU中的推測執行漏洞，它們皆破壞了底層硬體的安全保證，對於Rowhammer來說，由於矽本身的電耦合現象，它可能得以繞過硬體與軟體的記憶體保護政策，使得不可靠的程式碼能突破沙箱保護並取得系統的控制權。</p> <p>過去大家認為Rowhammer的執行距離只有一列，意即當重覆造訪記憶體的某一列時，就能讓它的隔壁列（兩列）造成位元翻轉現象，然而，Google的研究人員卻發現相關的攻擊其實能夠影響更遠的記憶體列。例如在A、B、C三個連續列中，若頻繁存取A列，不僅B列會受到影響，B列還會把Rowhammer效應傳送至C列，只是效果沒有那麼大，並將它稱之為Half-Double。</p> <p>Google指出，這似乎代表著造成Rowhammer的電耦合有著距離屬性，當記憶元縮小時，它的效果會變得更強大，也能傳遞得更遠。</p> <p>目前包括Google、半導體工程貿易組織，以及其它產業專家，都在研究Rowhammer現象的解決方案，同時也希望藉由類似的研究發表，協助研究人員及半導體產業尋得最終的解法。</p> <p>雖然迄今尚未傳出針對Rowhammer現象的實際攻擊行動，但阿姆斯特丹自由大學<a href="https://www.ithome.com.tw/news/136322" target="_blank">（Vrije Universiteit Amsterdam）的漏洞安全實驗室VUSec Lab</a>，已開發出可成功開採手機上DDR3與DDR4記憶體的攻擊工具。</p> </div></div></div>
2021/5/31 13:56作者陳曉莉https://www.ithome.com.tw/news/144723
【臺灣資安大會直擊】增進外界對APT攻擊族群認識，TeamT5出奇招，將抽象的駭客組織化身展覽作品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於駭客組織的認識，大家可能常常在資安新聞或報告中，看到某些攻擊事件是由哪個駭客組織所為，然而，大家對於這些駭客組織的印象，可能多半不夠深刻，是否有更平易近人的方式，增進大眾對於一些駭客組織的認識呢？</p> <p>畢竟，網路攻擊日益複雜，這些有組織的駭客團體，花了很多心力了解企業，但是我們對這些駭客組織有概括性的了解嗎？長期進行駭客追蹤研究的TeamT5杜浦數位安全，在本月舉行的2021臺灣資安大會展區上，特別用上類似藝術展覽的形式，讓參觀的人能從不一樣的視角，認識APT族群的特性。</p> <p>在這樣的展區中，TeamT5打造出有如現代藝術博物館（MOMA）的布置場景，擺放著4座藝術品，將原本抽象的攻擊族群，具象化成為一座座藝術品來展現，同時，一旁牆面也有著對於APT族群一詞的中英文介紹，說明每個APT族群都有自己的地域性與慣用的攻擊手法，以及經常鎖定的國家與產業。</p> <p>在現場擺設的這些創作中，連結的APT攻擊族群共有4個，包括：Lazarus、HUAPI、AMOEBA與Nian。</p> <h2><span style="color:#0000FF;"><strong>駭客組織：Lazarus</strong></span></h2> <h3><span style="color:#B22222;">也被稱為APT38、HiddenCobra</span></h3> <p>舉例來說，以Lazarus駭客組織所具象成為的作品來看，呈現了多個保險箱被打開，鈔票散落在外的場景，同時還有一塊虎紋毛毯批在保險箱上。</p> <p>或許，國內對於這個Lazarus駭客組織都有點印象，因為它就是2017年臺灣遠東商銀SWIFT系統入侵盜轉攻擊事件的幕後黑手，是北韓的駭客組織，又名APT38，或是HiddenCobra。</p> <p>Lazarus駭客組織有何特性？根據現場一旁導覽小卡的介紹，他們的攻擊目標全世界都有，受害產業以金融、媒體、航空為主。最受關注的是，Lazarus具有多次攻擊金融產業的記錄，尤其是針對SWIFT跨國轉帳交易系統，以及ATM自動櫃員機系統進行攻擊。</p> <p>由於他們的攻擊不只是選擇金融產業，還包括與具有關鍵技術的私人企業，推測是為了替北韓政權措資金，好發展武器與實驗。而且，在他們過往的攻擊行動中，會在惡意程式內參雜俄文，企圖混淆分析人員。</p> <p>對於此作品的意象，TeamT5提出說明，讓我們對Lazarus有更深刻的印象。他們表示，此作品以保險箱來象徵各大銀行的概念，如同北方猛虎化身的虎皮肆無忌憚的入侵了各大銀行，而保險箱的各國貨幣也傳達了Lazarus鎖定全世界攻擊。此外，由於Lazarus為北韓的駭客組織，因此他們保險箱使用了藍紅藍配色，這其實也與北韓國旗有呼應。</p> <p>另外值得注意的是，在TeamT5於本月揭露的2020年臺灣APT網路攻擊態勢的報告中，當中也有提到上述駭客組織的相關活動。</p> <p>例如，他們在去年曾在國內發現Lazarus使用的Linux後門工具，雖然沒有進一步的資訊，可以確認受害者身份資訊，但他們也提醒，偵測到此樣本，可能是該組織在臺灣又有活動跡象的警訊。</p> <h2><span style="color: rgb(0, 0, 255);"><strong>駭客組織：</strong></span><strong><span style="color:#0000FF;">AMOEBA</span></strong></h2> <h3><span style="color:#B22222;">也被稱為Winnti、APT41、BARIUM</span></h3> <p>接下來的作品是象徵著AMOEBA駭客組織，主體以黑色為意象，透明箱子裝著許多黑色盒子與黑色吊牌。</p> <p>乍聽之下，AMOEBA似乎有點陌生，他們有另一廣為人知的名稱是「Winnti」，此一命名與他們知名的後門程式有關，另也被稱作APT41、BARIUM。</p> <p>值得我們關注的是，AMOEBA是經常鎖定臺灣的中國駭客族群。例如：在2019年，華碩遭遇的ShadowHammer Operation供應鏈攻擊事件，以及在2020年，臺灣能源業者遭入侵加密攻擊事件，都是AMOEBA所為。</p> <p>在作品展示小卡中，對於AMOEBA的特性有更多介紹。基本上，這個駭客組織在過去已經展現強大的攻擊破壞力，近年該組織並不斷擴大攻擊範圍，從博弈產業擴及電信、化學能源及科技產業。特別的是，AMOEBA具備精準的供應鏈攻擊能量，這是與其他駭客最大的不同之處。</p> <p>基本上，HUAPI主要攻擊國家臺灣、日本、美國與南韓，在攻擊鎖定的產業方面，除了博弈之外，還有化學、航太、能源、媒體與電信等。</p> <p>關於此作品所代表的含意，TeamT5解釋，阿米巴本身是一種不太具有形體的生物，所以用試管將其保存起來，就像是抓到了阿米巴並好好觀察與研究一番。而垂墜下來黑色牌子上的程式碼，則代表用以辨識出阿米巴的重要元素。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89TeamT5%20MOMA.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965s%EF%BC%89TeamT5%20MOMA.jpg" style="width: 600px;" /></p> <blockquote><p>幫助外界了解駭客組織，將抽象的APT攻擊族群化為一個個作品，並透過導覽與桌上小卡來增進大家對於這幾個駭客組織的背景與特性。</p> </blockquote> <h2><span style="color:#0000FF;"><strong>駭客組織HUAPI</strong></span></h2> <h3><span style="color:#B22222;">也被稱為PLEAD、BlackTech與黑风梨</span></h3> <p>另一個命名為畫皮的作品，是以駭客組織HUAPI所描繪的具象，作品以一張白色面具為主體，面具上並有著豔麗的裝扮。根據TeamT5的說明，畫皮一詞來自聊齋誌異，內容描述女鬼以披在身上的人皮，偽裝成絕世美女。比喻掩蓋猙獰面目或醜陋本質的美麗外表。</p> <p>同樣地，臺灣對於HUAPI應要有所認知，因為，近十年來，這個中國駭客族群不斷針對臺灣發動入侵攻擊行動。</p> <p>HUAPI有哪些特性與危害？在作品展示簡介中，說明了該組織也被稱為PLEAD、BlackTech與黑风梨，其中Plead是他們常使用的惡意程式。他們的厲害之處，在於擅長利用各式的軟體加殼技術，用以隱蔽惡意程式，並藉此躲避防毒軟體的偵測。</p> <p>關於HUAPI近年重大攻擊事件中，以臺灣受害企業而言，2019年華碩網路硬碟服務WebStorage遭中間人攻擊散布後門程式，就是一例。最近幾年，他們也開始攻擊與臺灣鄰近或關係相對友好的國家，像是2020年三菱電機發生200MB機密資料遭竊事件，也是他們所為。</p> <p>至於他們經常鎖定的國家與產業上，HUAPI與AMOEBA同樣是針對日本、臺灣、南韓與美國，但目標產業有明顯差異，尤其是他們會特別針對政府、軍方、高科技攻擊，相當值得注意，此外還有電信與研究單位。</p> <h2><span style="color:#0000FF;"><strong>駭客組織：Nian</strong></span></h2> <h3><span style="color:#B22222;">也被稱為Tick Group、Bronze Butler、RedBald Knight</span></h3> <p>最後一個展示作品，是以中國傳統故事中的年獸為主題，這是因為Nian是一個經常利用新年賀卡，進行魚叉式社交攻擊的中國駭客組織。而他們也被稱為Tick Group、Bronze Butler或RedBald Knight。</p> <p>關於Nian的特性，與上述3個這個駭客組織不同，從他們攻擊鎖定的國家與產業來看，主要是針對日本與韓國的航太、重工業與電信產業，而軍方與國防也是他們有興趣的目標。</p> <p>而在慣用的攻擊手法上，Nian具備了優於其他駭客組織的社交工程能力，時常會發現他們的攻擊中，出現了變種的後門，顯示他們會持續將現有武器提升進化。</p> <p>綜合來看，全球被發現與已識別出的駭客組織並不少，還有不少屬於國家級駭客組織，若以近年當紅的MITRE ATT&CK攻防知識庫來看，我們可以看到現已歸納出122個駭客組織（至2021年5月）。在此次會場中，TeamT5雖只展示介紹了4個攻擊族群，但這種藝廊呈現方式相當新穎，可用較不同與輕鬆的角度，讓一般的人，對駭客組織不瞭解的人，至少對某些與臺灣相關的APT攻擊族群，能有多些瞭解與認識。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964s%EF%BC%89TeamT5%20MOMA.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963s%EF%BC%89TeamT5%20MOMA.jpg" style="width: 600px;" /></p> <blockquote><p>長期進行駭客追蹤研究的TeamT5杜浦數位安全，在本月舉行的臺灣資安大會的展場上，特別布置了類似現代藝術博物館（MOMA）的場景，並將攻擊族群用具體形式呈現，並藉由這樣的展覽，增進外界對一些APT族群，能瞭解其經常鎖定的國家、產業與其特性。</p> </blockquote> </div></div></div>
2021/5/31 12:30作者羅正漢https://www.ithome.com.tw/news/144717
文件顯示Google刻意隱藏Android定位設定頁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/unredacted-google-lawsuit-docs-detail-efforts-to-collect-user-location-2021-5" target="_blank">Business Insider</a>上周報導，一項法院文件顯示，Google刻意使Android的定位設定頁面很難找到，讓手機使用者無法輕易關閉地點定位蒐集。</p> <p>這項文件是<a href="https://www.ithome.com.tw/news/144711" target="_blank">去年五月美國亞歷桑納州對Google提出的告訴文件</a>，該州控告Google未取得用戶同意下非法追蹤Android用戶。上周在產業組織要求下，法官要求公開最新一批原本被修改隱藏的細節。</p> <p>文件指出，Google用了許多方法蒐集用戶所在地點，同時設法讓用戶難以關閉這個選項。首先，Google利用Wi-Fi以及第三方App來蒐集用戶資料，即使這App並未和Google合作。文件顯示，一名不知名的Google員工在內部提出質疑，用戶不可能只提供第三方App資訊但跳過Google，這件事可不能讓媒體知道。</p> <p>此外，為了讓用戶難以找到並關閉定位，Google刻意將Android的地點資訊蒐集設定藏在層層選單中，還以各種資料操弄手法，說服手機製造商隱藏地點蒐集的設定頁。文件顯示，Google員工其實知道用戶被他們蒐集資料的手法搞得很挫折，而且其中錯綜複雜的關係，連Google 員工自己都搞不清。</p> <p><a href="https://www.theverge.com/2021/5/29/22460070/google-difficult-android-privacy-settings-arizona" target="_blank">The Verge</a>引述Google方面反駁這些指控，認為亞利桑納州檢察官Mark Brnovich及競爭者曲解了Google服務，強調該公司產品隱私功能向來提供用戶極大的地點資訊控制權，期待有機會將這些誤解匡正。</p> </div></div></div>
2021/5/31 13:11作者林妍溱https://www.ithome.com.tw/news/144721
【客座文章】健全的資訊系統也是防疫重要的一環
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/guest-post/144718"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/yun_xiang_ke_ji_zhi_xing_chang_xie_zhao_yuan_yi_shi_.png?itok=e5yjJRTr" width="960" height="420" alt="" /></a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="color:#FF8C00;">本文獲授權轉載自</span><a href="https://www.facebook.com/ChaoyuanYeh/posts/10225289254837741"><span style="color:#FF8C00;">葉肇元臉書</span></a></strong></p> <p>從台灣疫情升溫到現在，各式專家、非專家的文章滿天飛，都要可以集結成書了。流行病學、醫學檢驗、疫苗實在非我專長，我不敢吭甚麼聲，但我注意到有個問題，沒有太多人發聲，我想從一個醫療軟體廠商的角度來討論。</p> <p>從5/22疫情指揮中心用了校正回歸這個詞之後，大家開始注意到檢驗量能的問題，指揮中心甚至宣布，要補助一個醫院五百萬元來採購高通量的PCR設備，台大甚至要徵召校內科學研究用的設備投入檢驗用。</p> <h3><strong><span style="color:#FF0000;">第1個問題：流程瓶頸是資料登錄</span></strong></h3> <p>但是從醫院病毒室實際上得到的資訊是這樣的，至少在那個醫院內，PCR反應本身並不是整個流程的瓶頸，瓶頸實際上在於資料登錄。這個資訊可能會令人瞠目結舌，對吧？這都甚麼年代了，資料登錄還會是個瓶頸？在醫院第一線的朋友整理了這一張圖放在網路上讓大家了解這個流程實際上的樣子。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/eusAwFW_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%91%89%E8%82%87%E5%85%83.jpg" /></p> <p>這裡面的人工登打，每打一欄，系統就轉個圈圈，每輸入一個案例可以花上將近兩小時的時間。大醫院的病毒室裡面必須要安排三到四個醫檢師來輸入資料，每天都要做到半夜。</p> <p>所以大家在看校正回歸這個問題的時候，可能少看了一環，我們加了很多機器，加了很多人力，但最後卻被一個很沒有效率的資訊系統卡住。一個會浪費人力的資訊系統，尤其是在這個疫情嚴峻，醫療人力吃緊的當下，真的是一件很要不得的事情。（想要知道這些系統建置案的相關資訊，可以到政府電子採購網上面，查詢從107年度開始的，疾病管制署的實驗室資訊管理系統的相關標案。）</p> <h3><span style="color:#FF0000;"><strong>第2個問題：國內疫情資訊及醫療資源現況彙整落差</strong></span></h3> <p>另外一個問題是國內疫情資訊以及醫療資源現況的彙整。中央流行疫情指揮中心每天雖然公布了新的數字，但這些數字都只有在新聞稿裡面，要做後續的統計分析非常困難。非常關心疫情的人可以到政府開放資料平台嘗試去找COVID-19相關的資料集，但這個平台有許多問題。首先是這些資料集都只提供當日的資料，並無歷史資料，再者當日資料有許多明顯錯誤的地方。</p> <p>例如 “地區年齡性別統計表-嚴重特殊傳染性肺炎-依個案研判日統計”這個資料集，就”個案研判日2021/5/25彰化縣/男/30-34歲”這個區間來說，下載資料的資料所顯示的病例數為106514，這就很明顯是錯的。</p> <p>我實際上用了這個平台的感想是，這個政府資料開放平台，只是因應行政院第3465次院會議決議做個有把資料公開的樣子，並沒有真的想要透過資料開放讓全民對於國家治理有更多的參與。(想了解這個建置案，可以到政府電子採購網上查訊國家發展委員會的政府資料開放委外專案。)</p> <p>關於疫情資訊，還有中央跟地方資訊不一致的問題。就台北市的確診人數而言，每日中央公布的數量跟台北市公布的數量都是有落差的，最大可以到達400例！問題出在哪呢？這個資訊收集的流程不透明所以也很難推測。</p> <p>至於醫療資源現況彙整的問題，從5/29中央和台北疫情記者會所公布的數字有很大的落差，還有救護車在街上像無頭蒼蠅一樣找不到醫院可去，就可以明顯的看出。因為沒有太多公開資訊可以作為參考，我的討論大多也只能流於猜測，就不多說了。</p> <h3><span style="color:#FF0000;"><strong>第3個問題：疫苗分配缺乏有效的資訊系統</strong></span></h3> <p>第三個大的問題是關於疫苗分配的問題。現在要進行大規模的疫苗施打，除了要有疫苗，要有醫護人員，這兩個問題要解決之外，還有一個大問題是，得要有一個有效的資訊系統來做疫苗施打的排程。</p> <p>因為我符合公費疫苗施打的身分，曾經試著要預約疫苗門診。疾管署網頁上列了有執行公費疫苗接種的醫療院所，以及約診的連結，但僅止於此。從疾管署的網頁上無法看出到底還有哪邊有公費疫苗可以打，因此我只能逐一的點進各個約診連結去嘗試。</p> <p>我相信有很多人在跟我做一樣的事情，因為當我點到南投醫院的時候，發現還可以約就馬上約了。過了半小時之後再看，就滿了。這是一個非常沒有效率的做法，無數人浪費寶貴的時間在看是否還有診可以約。後來因為疫苗只給第一線醫護人員打，我的約診自然是被取消了。但接下來還是看到一些很誇張的狀況。基層診所的醫護人員不知道可以到哪裡去打疫苗，線上約診不是滿了就是暫時關閉。於是他們用了一個最古老的方式，聽說哪裡有得打，就親自去現場排隊。聽成功打到疫苗的朋友分享，大概是要等兩到四小時可以打得到。這不是在浪費時間而且又造成群聚的風險嗎？</p> <p>好了，問題說完了。我想給一些建設性的意見。</p> <p>關於案例及檢驗結果通報的問題，前幾天有看到新聞報導蘇貞昌院長責成唐鳳政委協助改善通報系統，在台中榮總試行的結果，把原本一個案例兩小時的流程縮短成十分鐘上傳五百個案例。</p> <p>我很希望這個問題就這樣被解決了，但是有寫過程式的都知道，做構想驗證(proof-of-concept)，只試用過一次可行的程式碼，跟全面上線可以承擔滿載工作的，可量產的程式碼 (production code) 是有非常大的差距的。</p> <p>再者，在醫院端，還有跟醫院的實驗室資訊系統整合的工作要做，並不是中央端程式改完就可以了。在台灣幾乎每個醫院都用不一樣的資訊系統，而且醫院資訊室的人力也非常有限，如果要請廠商幫忙還有採購流程的問題，因此醫院端的整合要在短時間之內完成會是非常大的挑戰。</p> <h3><strong><span style="color:#FF0000;">建立開源專案，讓公民工程師參與</span></strong></h3> <p>如果要在短時間達到效果，我的建議，將此專案做成一個開源專案，讓民間工程師參與。開源專案必須要由中央統籌規劃(比如說由唐鳳政委召集的資訊小組，並且包含疾管署的資訊人員)，將資訊流，程式架構與模組，模組介面，以及資料傳輸協議規劃好之後，將工作拆成小的區塊讓志願者認領。醫院端則要把既有的資訊系統介面規格寫清楚，讓志願者可以明確的知道該怎麼幫忙。 </p> <p>關於疫情資訊彙整，醫療資源彙整以及政府資料公開的部分，我的建議也還是一樣。既然想要把資料公開，那就乾脆做成一個開源專案，至少就 COVID-19的資訊彙整這件事情，讓公民工程師有參與的機會吧。</p> <p>其實說起來現在也不是沒有，有興趣的人可以看: <a href="https://github.com/GOV-TW">https://github.com/GOV-TW </a>但這大概也是做做樣子而已，裡面COVID-19 相關的最後一次更新是去年的三月。真的要做政府資訊公開，就因應這次疫情真的變得很嚴重了，資訊系統可以發揮很大效益的時候，把它做好吧。即便敏感資訊不能透過開源專案公開，程式架構還是可以透過開源專案完成的。 </p> <p>最後關於疫苗分配需要資訊系統的問題，我的建議也還是一樣，做成開源專案吧。</p> <p>我先解釋一下，為什麼我對這些問題的建議幾乎都是一模一樣的？最重要的原因是，這些問題的根源其實都很像。</p> <h3><span style="color:#FF0000;"><strong>疊床架屋的系統，只能靠人工彌補系統不足</strong></span></h3> <p>這些問題的根源，在於各機構對於資訊系統的輕視，投入的資源不足（編列的預算很少），因此許多重要系統都由不同的小廠商建置，或是因為經費實在太有限，接案廠商實在無法用足夠的工程人力來處理，只能在很勉強的狀況下驗收。長期下來，產業界沒有辦法得到好的發展，生態系破碎，各機構內就用了很多很毫無架構可言，疊床架屋的系統，然後用寶貴的人的時間去彌補資訊系統的不足。</p> <h3><span style="color:#FF0000;"><strong>疫情嚴峻沒時間重來，跳過框架解燃眉之急</strong></span></h3> <p>因為都是不同的廠商做的系統，機構之間，甚至機構內的資訊系統的對接其實都非常困難。在疫情嚴峻的當下，我們沒有時間從頭來過，修正過去台灣資訊產業發展所衍生的種種問題。我們只能先另闢蹊徑，跳過過去框架的束縛，先解決當下燃眉之急。我相信台灣有為數眾多的宅宅工程師，都會願意在這個時刻，為了全民，也為了自己，奉獻程式設計的專長。</p> <p>如果我們可以成功地透過公民參與，解決疫情嚴峻時資訊系統的重大需求，這可以做為未來數位發展部在國家數位治理上的一個借鏡，也為台灣資訊產業未來的發展作為一個好的示範。</p> <p>最後，筆者才疏學淺，醫療及衛福資訊體系複雜，我也只窺得其中一貌，撰文難免掛一漏萬，敬請各位先進不吝指教。</p> <p><strong>本文作者是雲象科技的執行長，葉肇元醫師。雲象科技是台灣醫療影像AI新創公司，成立滿五年半，產品及服務受到各大醫學中心採用。</strong></p> </div></div></div>
2021/5/31 07:55作者王宏仁https://www.ithome.com.tw/guest-post/144718
美軍核武機密因人員使用線上字卡App外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼太難記會促使用戶將密碼寫在便利貼上。軍事機構則有更複雜的安全代碼要記憶，這也會引發用戶類似，但後果更嚴重的行為，像是核彈部署的地點。<a href="https://www.bellingcat.com/news/2021/05/28/us-soldiers-expose-nuclear-weapons-secrets-via-flashcard-apps/" target="_blank">媒體Bellingcat報導</a>，一些負責看管美國位於歐洲地區核武的美軍，卻利用線上字卡App來記錄軍事資訊，導致這些國防機密已經曝露在網路上。</p> <p>字卡App是數位學習像是背誦單字常用的工具，可在一面寫題目，翻面寫答案，現在也有許多線上App，如Chegg、 Cram和Quizlet等。這些App以關鍵字搜尋，就可以找到不少資訊。媒體記者發現，輸入以核武常見的詞彙搜尋，即可找到歐洲六個存放核武的軍事基地的服役人員所使用的字卡。</p> <p>他們從中發現裏面包含大量安全資訊及祕密，像是攝影機設置地點、存放核武地點的巡邏頻率、當守衛被脅迫使的暗號、以及出入軍事重地的通關密語等。</p> <p><a href="https://www.washingtonpost.com/world/2019/07/16/location-us-nuclear-weapons-europe-accidentally-revealed-report-nato-body/" target="_blank">2019年華盛頓郵報報導</a>，美軍存放150枚核彈在歐洲，而北約議會一份報告不慎公佈了位於比利時、德國、義大利、荷蘭等國地點，不過美國並未證實或否認。</p> <p>媒體報導，有些字卡從2013年就公開於網路上，而另一些字卡則記錄了今年4月的詳細資料。至於這些資訊是否仍然在使用中則不得而知。</p> <p>在Bellington聯絡北約組織（NATO）及美國陸軍後，這些字卡已在公開報導前從網路上撤下。</p> <p>報導引述美國空軍發言人說法，美國空軍注意到這些字卡牽涉「許多主題」，但美國國防部及空軍沒有使用這些線上字卡App，但會調查這些App分享的資訊的「合宜性」。</p> <p>這並不是美國軍事機密首次疑似公開於網路上。2017年就有安全人員發現<a href="https://www.ithome.com.tw/news/114567" target="_blank">存放美國軍事衛星影像資訊</a>及<a href="https://www.ithome.com.tw/news/118756" target="_blank">其他軍事機密</a>的AWS S3資料庫未設密碼，只要找到路徑就可能存取。</p> </div></div></div>
2021/5/30 22:16作者林妍溱https://www.ithome.com.tw/news/144711
WhatsApp政策轉彎，不接受新條款的用戶功能也不會被限制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WhatsApp喧騰5個月的新用戶條款，於上周六（5月15日）上路。在經過和主管單位溝通及用戶反彈下，WhatsApp態度進一步軟化，對於不接受新版條款的用戶，也不會限制或縮減功能。</p> <p>一月初WhatsApp公布新用戶條款，希望欲使用WhatsApp的用戶同意在幾種使用情境，包括點入WhatsApp、臉書及IG廣告，在這三個平臺上購物，以及和三個平臺上店家直接通訊時，允許WhatsApp蒐集部份個資、上網紀錄及軟、硬體資訊並分享給臉書其他服務，以便顯示個人化廣告。這幾個月來，面對外界反彈，WhatsApp先是將新版用戶條款上路時程推遲到5月15日，也表明那些不同意新條款的用戶，也不會被刪除帳號，但會限制功能，像是無法存取對話清單，過幾週後這些用戶將無法接聽來電、接收通知和傳送訊息。</p> <p>不過<a href="https://thenextweb.com/news/whatsapp-says-it-wont-limit-functionality-if-you-refuse-its-privacy-policy-for-now" target="_blank">The Next Web</a>上周首先報導，WhatsApp政策急轉彎，用戶即使不接受新條款，也不會被限制功能。報導引述WhatsApp官方發言人表示，近日該公司和多個主管機關及隱私專家討論的結果，WhatsApp目前沒有計畫針對未接受新版條款的用戶，限制WhatsApp的功能。</p> <p>根據<a href="https://faq.whatsapp.com/general/security-and-privacy/what-happens-when-our-terms-and-privacy-policy-updates-take-effect/?lang=en" target="_blank">WhatsApp近日更新的網頁版說明</a>，到了新版條款生效日，沒有人因為這個新版本而發生帳號被刪或功能喪失。</p> <p>WhatsApp表示，大部份看到新版條款的用戶都已經接受了。為此WhatsApp將持續在App中不時發出提醒，請未接受的用戶接受新版條款。此外，用戶首次使用平臺購物、點入廣告或直接聯絡WhatsApp平臺上的店家等功能，以及新註冊的用戶，也會看到這項通知。</p> <p>WhatsApp改變心意，除了考量用戶可能轉向加密通訊軟體如Telegram、Signal外，主管機關的行政手段將是主要因素。<a href="https://www.ithome.com.tw/news/144349" target="_blank">本月中，德國資料保護主管機關下令</a>臉書不得處理WhatsApp用戶個資，意在阻撓新版用戶條款在德國實行，而且德國政府也企圖將之擴大到全歐洲27個會員國。</p> <p>不過WhatsApp表示，由於德國政府誤解了WhatsApp新版用戶條款，故稱該命令不會影響新版用戶條款的部署。</p> </div></div></div>
2021/5/30 22:41作者林妍溱https://www.ithome.com.tw/news/144716
【疫情日報】企業可自主快篩了，有4點要注意
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">中央流行疫情指揮中心30日宣布，企業可自主執行抗原快篩、自費採檢，但須由醫事人員執行。若企業有需要，指揮中心會協助媒合醫療機構。另一方面，指揮中心昨日已於新北市試辦到院前遠距檢傷分流，透過24小時急診視訊平臺，來優化居家隔離和檢疫民眾的健康照護。</p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);"><strong><span style="font-size:22px;">企業可自主快篩，有4要點要注意</span></strong></p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">指揮中心指揮官陳時中指出，今（29日）新增266例本土案例，另有88例校正回歸至5月25日至5月29日。他認為，就整體疫情發展看來，確診數有下降趨勢，但仍須嚴謹看待。</p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">同時，他公布企業可自主進行COVID-19抗原快篩，但有4要點要注意。首先是企業自主快篩、採檢自費，且須由醫事人員來執行。如果企業找不到合適醫事人員，指揮中心可協助企業，來媒合醫療機構。</p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">第三，如果快篩呈陽性，就必須通報並進行PCR檢驗。陳時中提醒，企業展開自主快篩前，須備妥隔離安置場所，「才不會措手不及。」</p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">最後，要是快篩結果為陰性，仍須進行自我健康監測，以防偽陰性的可能。</p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);"><img alt="" src="https://s4.itho.me/sites/default/files/images/13_0530_%E4%BC%81%E6%A5%AD%E5%BF%AB%E7%AF%A9%E5%9F%B7%E8%A1%8C%E5%8E%9F%E5%89%87_(%E6%89%8B%E6%9D%BF).jpg" style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);" /></p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);"><strong><span style="font-size:22px;">昨起試辦遠距檢傷分流，可透過平臺問診、拿處方</span></strong></p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">衛福部常務次長石崇良指出，為照護居家隔離和檢疫民眾的健康狀況，指揮中心昨日開始試辦遠距檢傷分流，也就是透過急診醫學會提供的24小時急診視訊諮詢平臺，來讓居家隔離和檢疫民眾進一步與專科醫師問診。</p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">要是醫師判定需就醫，則安排當地衛生局立即後送；若無需就醫但有用藥需求，可透過平臺醫師開立處方簽。指揮中心指出，遠距視訊檢傷分流已於新北市試辦。（如下圖）</p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);"><img alt="" src="https://s4.itho.me/sites/default/files/images/12_0530%E5%88%B0%E9%99%A2%E5%89%8D%E9%81%A0%E8%B7%9D%E6%AA%A2%E5%82%B7%E5%88%86%E6%B5%81.jpg" style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);" /></p> </div></div></div>
2021/5/30 15:28作者王若樸https://www.ithome.com.tw/news/144707
AI趨勢周報第169期：KPMG全美950家企業AI大調查：人才是挑戰、多數還沒建好AI底層架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0507～0514)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">KPMG </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業AI大調查 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 底層架構 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>KPMG全美950家企業AI大調查：培養人才仍是挑戰、多數還沒建好底層基礎架構</strong></span></p> <p>KPMG最近<a href="https://advisory.kpmg.us/articles/2021/thriving-in-an-ai-world.html">公布今年份的企業AI大調查結果</a>，發現企業擁抱AI時仍有AI人才不足、工具選擇和基礎架構不足的挑戰。這份調查於今年1月展開，針對全美950家來自製造、科技、金融、醫療、生命科學、零售和政府等領域的企業來詢問，這些企業年收必須超過10億美元，但醫療和生命科學除外，門檻為1億美元。</p> <p>調查發現，高達9成受訪企業下功夫讓員工跟上AI趨勢、努力讓員工學習新AI技能，但對醫療和政府單位來說，分別只有8成和約7成的執行長做到這2點。不過，在這9成中，高達97%的製造業執行長稱自家員工大致具備AI所需的技能；調查也發現，比起經理等級的主管，上層CXO對自家人才的AI技能反而更樂觀。不過，KPMG指出，調查中仍有許多企業難以招募所需人才，來發展企業AI策略並實踐。</p> <p>另一方面，調查也發現，企業還有2個技術挑戰，也就是找到合適的AI工具和平臺，以及建立發展AI所需的底層架構。針對第一點，KPMG解釋，這是因為市場變化快速，大部分企業擔心今天購買採用的工具，到明天又有更好更快的工具、平臺或API出現，這就造成投資錯誤，就連推動AI發展的科技業，也有6成執行長同意。</p> <p>再來，許多企業尚未投資時間和金錢，來打造底層資料處理架構，甚至還有滿多企業未將IT系統上雲（比起老舊運算環境，雲更容易擴展AI、進入生產）。KPMG指出，這些企業不情願上雲的主因是，建立模型治理制度來保護資料太繁瑣，而且，整理這些資料來訓練模型、維護模型，也太耗費心力。 <a href="https://advisory.kpmg.us/content/dam/advisory/en/pdfs/2021/thrivingai2021.pdf">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MUM </span></strong></span></p> <p><span style="font-size: 22px;"><strong>屢屢突破NLP天花板，Google發表比BERT強1,000倍的Transformer模型</strong></span></p> <p>Google在年度開發者大會上發表基於Transformer架構的NLP模型MUM，號稱比NLP里程碑模型BERT還要強上1,000倍，不只能理解語言，還能生成各種回答，更可一次讀懂文字和圖像。</p> <p>Google近年屢屢突破NLP天花板，從2013年發表Word2vec演算法、靠著將文字轉換為向量提高精準度，再到2017年提出Transformer架構、發表NLP大型訓練模型BERT，一舉拿下各種測試的SOTA後，最近又一口氣發表可理解、可生成的模型MUM，以及可順暢進行開放式對話的LaMDA。</p> <p>以MUM來說，Google一次用75種語言和多種任務來訓練MUM，來讓模型發展完整的理解力和世界知識，這是前幾代模型做不到的。再來，MUM是多模態模型，也就是說，它可一次理解語言和影像這2種型態的資料，而且，「未來還能理解音訊和影片，」Google強調。</p> <p>但Google會怎麼運用MUM呢？Google解釋，由於MUM可理解文字和圖片，因此可同時分析網頁和圖片資訊，改善搜尋體驗。比如，使用者可拍一張登山靴照片，然後問Google：「我可以穿這雙靴子登富士山嗎？」這時，MUM會分析照片和問題、給出回答，甚至帶使用者到專門介紹登山裝備的部落格。 <a href="https://blog.google/products/search/introducing-mum/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/MUM_GIF04_01_1_1.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 對話模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LaMDA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google再推可聊各種話題的開放式對話模型LaMDA</strong></span></p> <p>Google在自家開發者大會I/O上，揭露一款基於Transformer架構的自然語言預訓練模型LaMDA，可順暢進行各種議題的開放式對話，打破傳統Chatbot的限制。</p> <p>Google表示，有別於其他Transformer模型（如BERT、GPT-3），LaMDA用對話資料訓練而成，並用幾個特徵來確認輸入值是不是開放式對話，其一就是「有沒有道理」。在I/O上，Google就用LaMDA來模擬冥王星與紙飛機的對話，比如能回答「我知道你很好奇，儘管問吧」、「（你來冥王星的話）你會看到一個大峽谷和一些冰山」，比現有Chatbot表現要好。目前LaMDA仍處於研究階段，未來Google將用來改善搜尋服務和語音助理，就像用BERT來改善Google搜尋的內容品質那樣。<a href="https://blog.google/technology/ai/lamda/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/1_Welcome_GenerativeMeena_CL_V02_150521_v2_720_25fps.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 新創基金 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></p> <p><span style="font-size:22px;"><strong>1億美金支援還有專屬系統、Azure點數可以用！OpenAI推出AI新創基金專案</strong></span></p> <p>OpenAI近日啟動OpenAI新創基金專案，投資1億美元來扶植幾家「對世界有深遠、正面影響的AI新創」，特別是醫療、氣候變遷、教育和個人服務等能帶來變革的領域。</p> <p>這些基金由微軟等OpenAI的合作夥伴提供，並由OpenAI管理。獲選的新創不只能得到OpenAI團隊支援，還可使用OpenAI新系統，並獲得微軟Azure服務點數。OpenAI還有2個招募準則，一是歡迎採用他們API的新創，二是歡迎來自少數群體的創辦人。<a href="https://openai.com/fund/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 非監督式學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音辨識 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 轉錄資料 </span></strong></span></p> <p><span style="font-size:22px;"><strong>不用轉錄資料就能自己學習、效能媲美監督式模型！臉書發表非監督式語音辨識模型</strong></span></p> <p>臉書發表一套非監督式語音辨識技術Wav2vec-U，不需把語音轉錄成文字資料，就能訓練模型。而且Wav2vec-U的效能，比幾年前用1,000小時轉錄語音資料訓練的監督式模型還要好。</p> <p>臉書指出，目前語音辨識系統只對少數主流語言友善，這是因為，這些主流語言有大量的轉錄音訊資料，可用來訓練高品質的模型。但對其他語言、方言來說，就難以取得足夠資料。</p> <p>因此臉書開發Wav2vec-U，結合k-平均演算法，能從未標記的音訊中學習語音結構，將語音分割出各對應的語音單元，因此不需要轉錄音訊資料。為學習辨識語音中的單詞，團隊利用GAN中的生成器產生音位序列，再透過鑑別器來判別相似度，直到生成器成功騙過鑑別器。後來，臉書也在Swahili和Tatar等小眾語言測試模型，並與其他模型比較。在TIMIT基準測試中，與最佳的非監督式方法相比，Wav2vec-U錯誤率降低57％。<a href="https://ai.facebook.com/blog/wav2vec-unsupervised-speech-recognition-without-supervision/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe3-1.fna.fbcdn.net/v/t39.2365-6/185911567_1930754773744348_4077514865307512480_n.jpg?_nc_cat=100&ccb=1-3&_nc_sid=ad8a9d&_nc_ohc=ddtpB5jZU50AX_k6vnf&_nc_ht=scontent.ftpe3-1.fna&oh=fffd87f476deee4b1956ae8aeafe8313&oe=60D6E197" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">ML生命週期</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ML平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MLOps </span></strong></span></p> <p><span style="font-size:22px;"><strong>如何有效管理ML生命周期？Google推出一站式ML平臺</strong></span></p> <p>Google在開發者大會I/O上，正式推出全託管機器學習平臺Vertex AI，由一系列Google內部所使用的機器學習工具組成，提供統一的UI和API來操作Google雲端服務，加速企業AI模型訓練、部署和維護。</p> <p>Google指出，不少資料科學家採用拼接的ML解決方案和不順暢的開發流程，導致模型開發和實驗受阻，而Vertex AI可解決這個問題。Vertex AI包括原用於Google內部的AI工具，如電腦視覺、語言處理、對話和結構化資料等。</p> <p>該平臺也提供一系列MLOps工具，強調不具專業ML經驗也可使用，像是可提高實驗速度的Vertex Vizie，和用來共享、重用ML功能的Vertex Feature Store，以及可加速生產環境模型部署的Vertex Experiments。Vertex AI也支援邊緣AI應用，Vertex ML Edge Manager讓用戶可使用自動化流程和API，在邊緣部署和監控模型。Vertex Model Monitoring、ML Metadata與Pipelines等，主打自助模型維護和可重複功能來簡化端到端ML工作流程。<a href="https://cloud.google.com/vertex-ai">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Google Health </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI工具 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網頁版 </span></strong></span></p> <p><span style="font-size:22px;"><strong>皮膚有問題怎麼辦？Google今年要發表網頁版的皮膚病AI工具</strong></span></p> <p>Google Health開發一套可幫忙診斷皮膚病的AI，使用者只要用手機拍下患部，再回答相關資訊，這個AI工具就能分析可能的疾病。目前，這套AI已取得歐盟一級醫療裝置的CE認證，Google也準備在今年發表網頁版應用。</p> <p>Google Health說明，每年Google搜尋數據中有10億次是關於皮膚、指甲和頭髮的問題，而且全球有20億民眾深受皮膚病之苦，卻沒有足夠的皮膚病專家。為緩解問題，Google開發這套模型，使用者只要拍攝和上傳有狀況的皮膚、頭髮或指甲等3個不同角度的照片，再回答如年紀、性別、種族、皮膚類型、狀況維持多久等問題，或提供其它症狀等資訊來縮小範圍，AI工具就會分析，從288種皮膚疾病中找出適合的幾種狀況供參考，並提供這些疾病的醫生見解、常見問題，以及網路上的相關照片。 <a href="https://blog.google/technology/health/ai-dermatology-preview-io-2021/">（詳全文）</a></p> <p>圖片來源／KPMG、Google、臉書</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1.微軟Power Apps嵌入GPT-3，把自然語言變成程式碼來開發應用</strong></p> <p><strong>2. AWS ECS Anywhere正式GA！</strong></p> <p>資料來源：iThome整理，2021年5月</p> </div></div></div>
2021/5/29 23:13作者王若樸https://www.ithome.com.tw/news/144704
主導SolarWinds攻擊的俄羅斯駭客集團Nobelium透過郵件行銷平臺Constant Contact，發送惡意…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2021/05/27/nobelium-cyberattack-nativezone-solarwinds/" target="_blank">微軟上周指出</a>，主導SolarWinds供應鏈攻擊行動的俄羅斯駭客集團Nobelium，其實從2019年以來便陸續展開攻擊，除了SolarWinds攻擊之外，最新的一波出現在5月25日，Nobelium透過郵件行銷平臺Constant Contact發送惡意郵件予全球150個組織，而且<a href="https://www.microsoft.com/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/" target="_blank">其中一個例子還利用了美國國際開發署（USAID）</a>的Constant Contact帳號。</p> <p>根據微軟的追蹤，Nobelium的攻擊目標涵蓋了政府組織、非政府組織（NGO）、智庫組織、軍方、IT服務供應商、健康科技與研究機構，以及電信業者，目的是竊取各種情報。</p> <p>Constant Contact為一美國的線上行銷業者，主要協助各大組織發送行銷電子郵件，這次Nobelium利用了Constant Contact平臺，發送惡意郵件予全球24個國家逾150個組織的3,000個電子郵件帳號，當中至少有1/4的組織涉及國際發展、人道主義與人權運作。</p> <p>在這波攻擊中，Nobelium取得了USAID所使用的Constant Contact 帳號，並以USAID的名義發送網釣郵件，郵件內容是個警告，表示「川普已公布了有關選舉詐騙的新文件」（Donald Trump has published new documents on election fraud），並嵌入兩個連結，一個是檢視文件，另一個則是造訪USAID網站。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0529-usaid%20phishing.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>不管是點選了哪個連結，使用者都會先被導至合法的Constant Contact服務，再被轉至由駭客掌控的網址，接著就會被植入一個惡意的ISO檔案，讓駭客於受害者系統上部署長駐能力，之後再伺機於受害者的系統上橫向移動、竊取資料，或者是遞送更多的惡意程式。</p> <p>微軟也公布了Nobelium此波攻擊行動的入侵指標，包括收到來自<a href="mailto:[email protected]">[email protected]</a>或<a href="mailto:[email protected]">[email protected]</a>的郵件，或是在系統上偵測到惡意的ISO檔案與Cobalt Strike Beacon惡意程式，以及由駭客所掌控的網域。</p> <p>微軟指出，從Nobelium以往的行動來看，該集團採用一貫的攻擊策略，先取得可靠技術供應商的存取能力，再進一步危害這些供應商的客戶。</p> </div></div></div>
2021/5/29 16:51作者陳曉莉https://www.ithome.com.tw/news/144699
Google發表Datashare簡化金融服務資料交換
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布推出<a href="https://cloud.google.com/blog/topics/financial-services/announcing-the-general-availability-of-datashare">金融服務用Datashare</a>，這是一個新的Google雲端解決方案，讓資料發布者和資料消費者，可以在同一處簡單地交換資料。Datashare會組織第三方財務資訊，供資料發布者和消費者都可以存取使用。</p> <p>金融資訊透過雲端技術在全球交流，而與此同時，Google提到，全球金融資料的格局，也因為加入其他的資料來源，像是社交媒體、氣象資料和衛星圖像等，而產生變化。交易所和市場資料發布者，現在需要加入這些新的資料集，以增加自家產品競爭力。</p> <p>Datashare在雲端，提供資料市場一個靈活的資料發布與消費方法，資料發布者和消費者可以在Datashare上安全有效率地處理授權資料集。Google表示，他們開源整個Datashare解決方案，讓市場資料發布者，可以將授權的資料集載入到Google雲端，而資料消費者則可以使用自己喜好的資料工具，以資料即服務的形式來使用資料</p> <p>在Datashare有三種發布資料和消費資料的方法，第一種是批次資料交付，Datashare提供資料發布者一個批次資料交付機制，可以透過BigQuery交付他們的參照資料和替代市場資料等，進而降低資料消費者分析資料的負擔。</p> <p>第二種則是即時資料串流交付，藉由事件資料交付頻道，以Pub/Sub快速變更價格、刻度資料和訂單等資訊，資料消費者能夠可靠地處理單個訊息，或是回退到特定時間點，以重播市場情境和測試模型變化。最後一種，則是讓資料發布者可以上傳有版權的資料，並透過Google雲端市集上供其他消費者付費使用。</p> <p>Datashare對資料發布者來說，好處是不需要自己維護交付和授權基礎設施，並且可以用SQL來打包和交付資料產品，而對資料消費者而言，優點是可取用現成可分析和機器學習的資料，不用手動維護ETL工作管線，來載入檔案和轉換資料，也不用付出維護多個大型資料檔案副本的費用和負擔。</p> </div></div></div>
2021/5/29 14:30作者李建興https://www.ithome.com.tw/news/144693
Docker推出發布者驗證計畫提升容器生態系安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了強化Docker容器生態系的安全性，宣布推出<a href="https://www.docker.com/press-release/docker-expands-trusted-content-offerings">Docker發布者驗證計畫</a>，該計畫讓開發者存取受信任的內容，使其有信心將其用作建構應用程式的模塊。目前這項計畫已經有100家企業加入，最新加入的企業包括Datadog、紅帽和VMware。</p> <p>官方提到，安全的軟體供應鏈在現今變得越來越重要，因為能夠降低在建構應用程式時，暴露在惡意內容的風險，而在建構應用程式每一個階段都使用可靠的內容，將可以大幅減少企業為解決安全問題，所花費的時間與金錢。發布者驗證計畫讓開發者不需要擔心映像檔來源，可以快速且有信心地，從已知來源探索建構應用程式需要的映像檔。</p> <p>藉由Docker發布者驗證計畫，開發者可以有信心地建置、共享和執行應用程式，確保軟體供應鏈每個階段，所使用的元件都是安全的。官方提到，開發人員很快就可以在所選用的註冊表中下載這些映像檔，包括在AWS ECR Public和Mirantis Secure Registry的公開和私人註冊表，都將會提供Docker官方映像檔，</p> <p>Docker執行長Scott Johnston也表示，甫發布的Docker發布者驗證計畫，現在向更多的映像檔發布者開放，並在更多的註冊表中發布Docker官方映像檔，這項政策極大程度補充了Docker官方映像檔的選擇，使得Docker平臺和Docker Hub能成為可信且安全的容器映像檔標準。</p> </div></div></div>
2021/5/29 14:38作者李建興https://www.ithome.com.tw/news/144695
Kotlin將會添加新編譯器和支援WebAssembly
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Jetbrains的Kotlin程式語言開發團隊更新了2021年與之後的<a href="https://blog.jetbrains.com/kotlin/2021/05/nine-highlights-from-the-kotlin-roadmap/">發展路線計畫</a>，包括要加入新的Kotlin編譯器，並且增加WebAssembly支援，以及提高IDE效能與穩定性。該團隊在Kotlin部落格中列出了近期的優先事項，致力於強化這個與Java生態系相容的開源程式碼。</p> <p>Kotlin總專案經理Egor Tolstoy提到了幾項重點工作，第一項便是新的編譯器，他提到，新Kotlin編譯器是一個龐大的專案，其中包括要重寫JVM和JS後端，以及一個全新的基礎架構前端。當新的編譯器完成後，Kotlin專案的效能將會有顯著的提升。而透過啟用編譯器擴充套件API支援，可以在Kotlin編譯器加入新的語言功能。</p> <p>官方剛完成了編譯器JVM後端部分，現在正著手進行其他工作，Egor Tolstoy表示，為了提高效能，Kotlin還需要一個新的編譯器前端，他們研究了一段時間，這項工作已經接近Alpha版本，在啟用新的前端後，將會讓編譯速度提高一倍。</p> <p>另一項重點則是對WebAssembly的支援，Egor Tolstoy表示，他們認為WebAssembly會成為未來創建豐富網頁應用程式的新標準，而Kotlin必須要能夠完美的提供支援。因此官方現在正火力全開，建立一個專門的團隊開發Kotlin/Wasm工作，並且與WebAssembly垃圾回收提案作者緊密合作，要實現Kotlin語言的基本功能、函式庫和基本Gradle的支援，還要新增實驗性JavaScript互通操作功能。</p> <p>而官方也致力於改善IDE的效能與流暢度，Egor Tolstoy提到，雖然要提高IDE回應能力，根本的解決方案是使用新的編譯器，但是他們仍繼續對當前的工具，尋找提高效能的方法。由於IntelliJ IDEA和Android Studio的Kotlin擴充套件，使用了30幾種不同的索引，因此他們透過重構索引系統，來提高程式碼分析速度和穩定性。</p> <p>而且針對開發者使用Apple Silicon裝置的比例增加，官方也在Kotlin多平臺工具中，加入Apple Silicon的支援。目前Kotlin/Native已經可以在該平臺運作，但是要讓開發者的專案都充分獲得Apple Silicon支援，他們計畫還要在Kotlin多平臺Gradle擴充套件，以及所有Kotlinx函式庫中提供支援。</p> </div></div></div>
2021/5/29 14:39作者李建興https://www.ithome.com.tw/news/144696
2021臺灣資安大會直擊（下）從信任到零信任！
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1027-feng_mian_p1-opening-zheng_han_-960x420.jpg?itok=WL5O4nxS" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年臺灣資安大會主題聚焦「TRUST: redefined 信任重構」，呼應了近年最熱門的資安防護議題「零信任」，現場有多位專家，強調零信任架構的重要性，也揭示了資安產業與產業資安的發展方向</p> </div></div></div>
2021/5/28 21:33未署名https://www.ithome.com.tw/article/144698
Twitter訂閱服務Twitter Blue悄悄上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <script type="text/javascript" src="https://gc.kis.v2.scr.kaspersky-labs.com/FD126C42-EBFA-4E12-B309-BB3FDD723AC1/main.js?attr=hL-3ziHVKMAX5_pACVBN69wy3yJRi7iHCgPWAvQHpCuK7CH4cCaDOmFcqr8964MxTpCgSxXRK8kHVCxlypSb5A" charset="UTF-8"></script><link crossorigin="anonymous" href="https://gc.kis.v2.scr.kaspersky-labs.com/E3E8934C-235A-4B0E-825A-35A08381A191/abn/main.css?attr=aHR0cHM6Ly93d3cuaXRob21lLmNvbS50dy9ja2VkaXRvci94c3M" rel="stylesheet" /><script type="text/javascript" src="https://gc.kis.v2.scr.kaspersky-labs.com/FD126C42-EBFA-4E12-B309-BB3FDD723AC1/main.js?attr=lgCwOTx9Ozljms9Si3FDDQVCyBlxHguzAFSe2FOyxSDNl1Ia4y6enJnwqer9uu2jXw5hATwWhtaqoZimylyL6g" charset="UTF-8"></script><link crossorigin="anonymous" href="https://gc.kis.v2.scr.kaspersky-labs.com/E3E8934C-235A-4B0E-825A-35A08381A191/abn/main.css?attr=aHR0cHM6Ly93d3cuaXRob21lLmNvbS50dy9ja2VkaXRvci94c3M" rel="stylesheet" /><script type="text/javascript" src="https://gc.kis.v2.scr.kaspersky-labs.com/FD126C42-EBFA-4E12-B309-BB3FDD723AC1/main.js?attr=2M-ITflTIUL9a7kPRjN9qhTse4DLZkPC6XTgfqA7m8D5lQjmGLvfk_ULIECwp2CbMDlOLrgWo_Yzf14vbnobgA" charset="UTF-8"></script><link crossorigin="anonymous" href="https://gc.kis.v2.scr.kaspersky-labs.com/E3E8934C-235A-4B0E-825A-35A08381A191/abn/main.css?attr=aHR0cHM6Ly93d3cuaXRob21lLmNvbS50dy9ja2VkaXRvci94c3M" rel="stylesheet" /><script type="text/javascript" src="https://gc.kis.v2.scr.kaspersky-labs.com/FD126C42-EBFA-4E12-B309-BB3FDD723AC1/main.js?attr=hSnWXIsbzZaezKfeeSzPnSy1eOLDnVAjht7zluTfxJItyR87wwq0dmOZFrL5dMaOI3NkjivBADeekXvlt81T7w" charset="UTF-8"></script><link crossorigin="anonymous" href="https://gc.kis.v2.scr.kaspersky-labs.com/E3E8934C-235A-4B0E-825A-35A08381A191/abn/main.css?attr=aHR0cHM6Ly93d3cuaXRob21lLmNvbS50dy9ja2VkaXRvci94c3M" rel="stylesheet" /><script type="text/javascript" src="https://gc.kis.v2.scr.kaspersky-labs.com/FD126C42-EBFA-4E12-B309-BB3FDD723AC1/main.js?attr=3wxma0-MqMn4tSWkOhjeksVMMq5IY96wW6EJJTumwlXjgykufDptasJmGApgcdKhLnv5AbN_bTZDlQP0CNUcJg" charset="UTF-8"></script><link crossorigin="anonymous" href="https://gc.kis.v2.scr.kaspersky-labs.com/E3E8934C-235A-4B0E-825A-35A08381A191/abn/main.css?attr=aHR0cHM6Ly93d3cuaXRob21lLmNvbS50dy9ja2VkaXRvci94c3M" rel="stylesheet" /><script type="text/javascript" src="https://gc.kis.v2.scr.kaspersky-labs.com/FD126C42-EBFA-4E12-B309-BB3FDD723AC1/main.js?attr=PPjc51sMtiGjUBXnL3DFuR972XLflSM8Rrnpmz2sh522hOL4f2PKAhHfCFk2pAsem38hqObG1a69zbUXEerzIA" charset="UTF-8"></script><link crossorigin="anonymous" href="https://gc.kis.v2.scr.kaspersky-labs.com/E3E8934C-235A-4B0E-825A-35A08381A191/abn/main.css?attr=aHR0cHM6Ly93d3cuaXRob21lLmNvbS50dy9ja2VkaXRvci94c3M" rel="stylesheet" /><p>一名研究人員J<a href="https://twitter.com/wongmjane/status/1398022730553860102" target="_blank">ane Manchun Wong 在本周發現</a>，Twitter已悄悄地在iOS版的行動程式中，添加了Twitter Blue訂閱服務，每月費率為2.99美元，而她為了一探究竟就付費了。</p> <p>根據Wong的測試，Twitter Blue提供了貼文的撤銷（<a href="https://twitter.com/wongmjane/status/1367704041942179841" target="_blank">Undo</a>）功能，但它只是在要送出貼文時，會倒數計時以讓使用者有後悔的機會；並具備收藏（<a href="https://twitter.com/wongmjane/status/1393287285156859911" target="_blank">Collections</a>）功能，讓使用者可收藏及組織喜愛的貼文，如同瀏覽器的書籤般；還能客製化Twitter圖示的顏色，並即將推出閱讀模式。</p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en"><a href="https://twitter.com/wongmjane/status/1367704041942179841" target="_blank">Twitter is working on “Undo Send” timer for tweets </a><a href="https://t.co/nS0kuijPK0">pic.twitter.com/nS0kuijPK0</a></p> <p>— Jane Manchun Wong (@wongmjane) <a href="https://twitter.com/wongmjane/status/1367704041942179841?ref_src=twsrc%5Etfw">March 5, 2021</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p><a href="https://twitter.com/wongmjane/status/1367704041942179841" target="_blank"><span style="color:#696969;">圖片來源＿Jane Manchun Wong</span></a></p> <p> <a href="https://twitter.com/wongmjane/status/1393287285156859911" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0528-twitter%20blue%20bookmark.jpg" style="width: 500px;" /></a></p> <p><a href="https://twitter.com/wongmjane/status/1393287285156859911/photo/1" target="_blank"><span style="color: rgb(105, 105, 105);">圖片來源＿Jane Manchun Wong</span></a></p> <p>目前Twitter最大的收入來源為廣告，根據該公司<a href="https://s22.q4cdn.com/826641620/files/doc_financials/2021/q1/Q1'21-Earnings-Release.pdf" target="_blank">今年第一季的財報</a>，該季Twitter締造了10.4億美元的營收，成長28%，其中有8.99億美元為廣告營收，成長32%，並占整體收入的86.4%。此外，該季Twitter的淨收入為6,800萬美元，去年同期Twitter還虧損了800萬美元。</p> </div></div></div>
2021/5/28 17:51作者陳曉莉https://www.ithome.com.tw/news/144694
Nvidia財報出爐，挖礦專用CMP處理器賣出1.55億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繪圖晶片龍頭Nvidia周三（5/26）公布了該公司截至今年5月2日的<a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-first-quarter-fiscal-2022" target="_blank">2022財年第一季財報</a>，顯示該季創造56.6億美元的營收，成長84%，其中，遊戲與資料中心營收雙雙刷新各自的營收紀錄。此外，Nvidia甫於今年2月中旬發表的<a href="https://www.ithome.com.tw/news/142796" target="_blank">挖礦專用CMP處理器</a>，也在問世不到3個月的時間就售出1.55億美元。</p> <p>Nvidia最近這幾季的營收都有著亮眼的表現，56.6億的總營收比起去年同期成長了84%。其中，遊戲營收為27.6億美元，成長106%；資料中心營收為20.5億美元，成長79%；專業視覺化營收為3.72億美元，成長21%；汽車營收為1.54億美元，下滑1%。該季Nvidia的淨收入也達23.13億美元，成長107%，每股盈餘為3.66美元。</p> <p>Nvidia創辦人暨執行長黃仁勳表示，Nvidia RTX繪圖處理器重塑了電腦繪圖體驗，而且推動了遊戲與設計市場的升級，另一方面，該公司的資料中心業務也隨著各界開始利用Nvidia AI，來處理視覺、對話式AI、自然語言理解及推薦系統而日益擴張。</p> <p>此外，儘管Nvidia並未特別在財報新聞稿中提及甫於今年2月發表的挖礦專用CMP處理器，但在提交給美國證券交易委員會的<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001045810/0300b6e7-15e9-4ec4-b2d1-42e41b6eb121.pdf" target="_blank">10-Q季報中則透露</a>，上市不到3個月的CMP處理器，已替Nvidia帶進1.55億美元的營收。</p> <p>Nvidia不只替挖礦者設計了CMP處理器，也限制了新一代GeForce RTX 3060繪圖處理器在挖礦上的效能，以避免挖礦者與遊戲玩家搶購繪圖處理器。</p> </div></div></div>
2021/5/28 18:37作者陳曉莉https://www.ithome.com.tw/news/144697
【臺灣資安大會直擊】樂屋網揭自身IaC資安作法，轉移安全性監控至基礎架構程式碼層
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「做資安時常是事後的想法。」房仲資訊平臺服務樂屋網的MIS資深經理吳菖育，在資安大會議程一開場，就點出資安人推動安全防護面對的困境。他表示，因業務壓力，開發團隊在推動產品的過程中，往往會不斷地加快開發速度，而忽略安全性議題，導致資安風險常埋藏在環境內。</p> <p>因此，資安人員常覺得開發人員忽略安全性議題，不負責任，造成雙方有矛盾，欠缺溝通，直到資安問題爆發後，兩方才會檢視應該如何合作以強化安全性，吳菖育表示，這時安全性推動的困難度已變得非常高。</p> <p>針對資安推動的困境，吳菖育分享樂屋網利用IaC資安作法，來提升基礎架構環境安全性的經驗。</p> <p>什麼是IaC？這是一個以處理應用程式程式碼的方式，配置基礎架構環境的過程。吳菖育表示，IaC就是程式化基礎架構環境的過程，把基礎架構環境轉換成程式碼，用程式碼部署包含應用服務、資料庫、VM環境等基礎設施。</p> <p>樂屋網目前已在開發環境實作IaC部署，開發單位在撰寫應用程式程式碼，而維運單位在撰寫基礎架構配置程式碼時，雙方就會共同建置基礎架構環境，定義每一個部署的政策。吳菖育表示，IaC文件化基礎環境，把所有設定轉變為配置，包含網路、儲存等都用程式碼呈現。</p> <p>之後，開發單位與維運單位會不斷測試程式碼是否可在環境中正常運作，待程式碼測試運作完畢後，再將這份程式碼加入版本控管；接著，資訊團隊會把程式碼測試結果融入自動化CI/CD流程，最後，將測試結果推上產品線。</p> <h2><strong>IaC具4大特點：可視性、恢復性、實行快、一致性</strong></h2> <p>吳菖育點出IaC工作流可為企業帶來的4大好處。第一個好處是可視性，基礎架構環境程式化後，資訊團隊可從程式碼清楚掌握環境裡所有的配置，包含每一個參數設定代表的意義，且程式碼加入版本控管後，資訊團隊在追溯基礎環境架構上，也更具有可視性。</p> <p>第二個好處是恢復性。吳菖育表示，當服務出現非預期崩潰，企業可以利用版本控管裡的同一份程式碼，重新快速建立一模一樣的環境。另外， IaC還具有實行快的特點，因為程式碼包含了所有配置，資訊團隊可省略所有配置設定的步驟，快速推動產品開發，也節省了人力成本。第四大好處則是一致性，程式在加入版本控管後，可確保環境一致。吳菖育表示，在部署過程中，把環境變為一致，能避免人為介入操作，產生雪花效應，出現組態飄移的情況。</p> <p>實踐IaC可獲得許多好處，不過，吳菖育提到，做IaC在導入自動化的過程，可能會遇到「自動化恐懼循環」。這份恐懼來自環境不一致性的狀況，因資訊團隊可能曾手動修正主機設定檔，所以，當要自動化撒下一個部署腳本，會擔心主機的參數不一致，吳菖育表示，這樣的恐懼會導致團隊對自動化產生排斥感。</p> <p>因此，吳菖育建議，從小步驟開始導入自動化，再慢慢擴散自動化進所有專案，像是從重啟服務的動作開始，他強調，從小地方著手，讓自動化一步步成為常態，才有辦法跨出自動化的第一步，不然，永遠會落在恐懼螺旋中。</p> <h2><strong>掌握系統環境隱藏的資安風險，來把安全性注入IaC</strong></h2> <p>突破對自動化恐懼的關卡，建立IaC工作流後，更重要的是進一步實踐IaC資安，借助IaC的特性，做好資安防範。吳菖育表示，要將安全性注入IaC，需先掌握系統環境裡有哪些資安風險，才能把安全性強化在配置設定裡，再進一步將檢測方法放入工作流。</p> <p>吳菖育羅列了基礎架構環境中，需受檢視的主要4項環節。第一項，使用資源本身的乾淨度。吳菖育表示，部署用的容器映像檔是否含惡意程式碼，或是第三方套件是否安全等，需經過驗證確認來源的合法性，才不會成為資安漏洞。</p> <p>其次，憑證管理狀況。吳菖育表示，需確保IaC溝通過程建立的金鑰和密碼，在部署時有被妥善存放，並落實加密動作，才不會讓攻擊者有竊取金鑰或密碼的機會。下一項，通訊架構。吳菖育表示，因IaC走向自動化，使用主從式架構，需特別注意主節點的安全性，因為，攻擊者一旦駭入主節點，就可以駭入所有的子節點。</p> <p>最後一項是，使用者權限管理。吳菖育表示，處理每一件事情都需採最小特權的設定原則，來給予帳號存取權限，不然的話，攻擊者只要拿到一個權限很大的帳號，就可以做很多攻擊。</p> <p>樂屋網在IaC流程裡安排資安測試，來排除資安風險。進一步來看，每一次處理程式開發、IaC部署，樂屋網都會傳送指令，讓專案掛勾（hook）已寫好的多項資安政策，來藉由這些政策檢查部署、開發的各種資安要求，並以紅綠燈號來顯示專案是否符合要求。吳菖育表示，一旦有一項政策亮紅燈，就會退回該專案給開發等相關單位，進行修正、重構，直到程式符合全部政策的要求，全亮綠燈，才會合併提交（merge）到master分支。</p> <p>除透過IaC資安作法把安全性政策導入環境以外，吳菖育也相當重視開發團隊與資安團隊間的溝通。他提到，雙方溝通常會劃清工作責任，且當有風險暴露影響產品線時，會不自覺建立自己的堡壘，他表示，雙方應共同思考如何一起制定安全性政策，共同處理問題，而不是從單一團隊應怎麼做的角度出發，歸屬責任。</p> <p>他強調，做資安，在產品開發初期時，資安單位就必須與開發單位溝通，了解潛在風險，以規畫如何規避風險，並採IaC建立程式化基礎架構環境，以借助自動化腳本部署環境，再把安全因素導入工作流，才能塑造良性的循環，他提到，如此不僅可把時間利用在更有價值的工作項目上，做資安也變得更為輕鬆，不用事後再從邊緣阻隔。文◎黃郁芸</p> </div></div></div>
2021/5/28 15:00作者黃郁芸https://www.ithome.com.tw/news/144639
FBI警告APT組織廣泛開採各類已知漏洞，廠商給修補但使用者無作為，等於坐等被入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/Media/News/2021/210527.pdf" target="_blank">美國聯邦調查局（FBI）本周指出</a>，已有美國政府機關疑因未修補FortiOS上的安全漏洞，而遭到駭客入侵，再度呼籲各大組織應儘速修補。</p> <p><a href="https://www.ithome.com.tw/news/143629" target="_blank">FBI早在今年4月就警告</a>，已有國家級駭客正大規模掃描藏匿在FortiOS上的CVE-2018-13379、CVE-2019-5591與CVE-2020-12812上的安全漏洞，並提醒各界修補。</p> <p>FortiOS為網路安全解決方案供應商Fortinet所打造的安全作業系統，可用來控制與管理企業網路上的所有FortiGates防火牆。不過，Fortinet已於2019年及2020年修補了上述漏洞。</p> <p>FBI則說，他們是在今年5月偵測到有個國家級的持續性進階威脅（APT）組織開採了FortiGates設備的漏洞，成功入侵一個美國地方政府的網路，此一APT組織還建立了一個以「elie」為名的新帳號，伺機於該網路展開進一步的惡意行動。進入組織網路之後，APT組織將可竊取資料、加密資料或進行其它的惡意行動。</p> <p>不過，FBI認為，這些APT組織廣泛地開採相關漏洞，而且不分領域，看起來並沒有特定的目標。</p> <p>FBI針對此一駭進美國政府機關的APT組織提供了入侵指標，包括突然出現的新帳號、系統內含有特定的執行檔與工具、透過443傳輸埠的FTP流量，以及非預期的任務排程等。</p> <p>（編按：針對美國政府提出的漏洞修補警告，Fortinet先前便發出聲明表示，他們在2019年5月，已對CVE-2018-13379漏洞發布<a href="https://www.fortiguard.com/psirt/FG-IR-18-384">產品資安事件應變小組通報（PSIRT Advisory）</a>，並於<a href="https://www.fortinet.com/blog/psirt-blogs/fortios-ssl-vulnerability">2019年8月</a>與<a href="https://www.fortinet.com/blog/psirt-blogs/atp-29-targets-ssl-vpn-flaws">2020年7月</a>，陸續發布部落格文章提醒用戶採取修補行動。<br /> 另外兩個漏洞的處理，Fortinet也在前兩年發布相關的PSIRT通報，例如，<a href="https://www.fortiguard.com/psirt/FG-IR-19-037">CVE-2019-5591</a>的問題說明與解法是在2019年7月公布，<a href="https://www.fortiguard.com/psirt/FG-IR-19-283">CVE-2020-12812</a>是在2020年7月公布。整理⊙iThome副總編輯李宗翰） </p> </div></div></div>
2021/5/28 16:58作者陳曉莉https://www.ithome.com.tw/news/144692
Amazon Redshift機器學習功能正式推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現在用戶可以直接在AWS雲端資料倉儲Amazon Redshift中，以SQL指令創建機器學習模型。這項稱作<a href="https://aws.amazon.com/tw/blogs/aws/amazon-redshift-ml-is-now-generally-available-use-sql-to-create-machine-learning-models-and-make-predictions-from-your-data/">Redshift ML</a>的功能，讓用戶可以使用SQL語法，查詢訓練資料以及指定預測的輸出值，不需要麻煩地人工移動資料，就能快速啟動機器學習模型訓練流程。現在Redshift ML已經在美東、美西、歐洲和南美上線，而亞太則在香港、東京與雪梨地區提供。</p> <p>Amazon Redshift是AWS的雲端資料倉儲服務，供用戶以SQL跨資料倉儲、營運資料庫和資料湖等EB級儲存，對結構化和半結構化資料進行查詢，AWS提到，當用戶要使用這些資料，訓練機器學習模型時，需要將資料從Amazon Redshift匯出到物件儲存S3儲存桶中，並且配置像是Amazon SageMaker服務，來啟動機器學習訓練流程，這個過程繁瑣且需要多項技能，通常要集結多人才能完成。</p> <p>為了簡化使用Amazon Redshift資料，進行機器學習運算的麻煩，AWS在Redshift加入機器學習功能，供用戶直接從Redshift叢集創建、訓練和部署機器學習模型，透過SQL指令創建模型後，Redshift ML會自動將資料從Redshift匯出至S3儲存桶，並且呼叫SageMaker Autopilot來準備資料，進行預處理和特徵工程。接著會選擇適當的預建置演算法，並在資料上使用該演算法以訓練模型，當然，用戶也能選擇使用特定的演算法。</p> <p>Redshift ML功能自動處理了Redshift、S3和SageMaker之間的所有交互操作，包括訓練和編譯牽涉到的所有步驟。在模型訓練完成後，Redshift ML還會使用SageMaker Neo來最佳化模型進行部署，並且以SQL函式的形式，來提供機器學習運算，因此用戶就能夠使用SQL函式，將機器學習模型用於查詢、報告和儀表板上的資料。</p> <p>另外，用戶可以匯入SageMaker模型到Redshift叢集中，執行本地端推理，也能夠創建在既有SageMaker端點執行遠端推理的SQL函式，不過，在後者的模式，Redshift ML將會進行批次處理，以加速處理速度。</p> </div></div></div>
2021/5/28 17:14作者李建興https://www.ithome.com.tw/news/144687
【疫情日報】企業和地方政府可採購疫苗！指揮中心公布疫苗輸入專案流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心28日指出，地方政府與企業可申請COVID-19疫苗輸入專案，有4大步驟，包括委託藥廠、檢送執行計畫書等資料，再來由衛福部食藥署召開專家會議審查，最後才能使用。</p> <p><span style="font-size:22px;"><strong>疫情態勢惡化，疫苗為最後一道防線</strong></span></p> <p>指揮中心指揮官陳時中28日宣布新增297例本土案例、校正回歸258例，總計555例本土案例。這校正的258例回歸到5月17日至5月28日，因此就校正後的整體疫情趨勢來看，自確診數劇增的5月17日至今成平均分佈，「雖未突然攀升，但整體趨勢並未下降，」表示社區仍有潛藏的COVID-19患者，因此要加速熱區快篩，儘早找出確診者、阻斷傳播。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/04_210528%E7%A2%BA%E8%A8%BA%E7%97%85%E4%BE%8B%E6%A0%A1%E6%AD%A3%E5%9B%9E%E6%AD%B8%E6%83%85%E5%BD%A2.jpg" /></p> <p><span style="font-size:22px;"><strong>開放地方政府與民間企業申請疫苗輸入</strong></span></p> <p>在這個情形下，疫苗似乎成為最後一道防線，一些縣市政府和企業有意引進國外疫苗，各界對疫苗的呼聲也越來越高。指揮中心今日就宣布開放地方政府和民間企業申請COVID-19疫苗輸入，並公佈4大申請流程。</p> <p>首先，申請單位得委託藥廠，並備妥8種資料，包括執行計畫書、藥品說明書、數量及計算依據、冷鏈和倉儲設備、供貨期程、原廠授權書、有效期限，以及國外上市證明或替代文件，將這些資料檢送政府。</p> <p>接著，第3步，食藥署會召開專家會議審核，通過後，申請單位須按照指揮中心防疫政策，來使用疫苗。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/08_COVID-19%E7%96%AB%E8%8B%97%E5%B0%88%E6%A1%88%E8%BC%B8%E5%85%A5%E7%94%B3%E8%AB%8B%E6%B5%81%E7%A8%8B_%E6%89%8B%E6%9D%BF_20210528V4.jpg" /></p> <p>另一方面，指揮中心也公布進一步簡化的通報流程，將原本快篩採檢後所需的通報步驟免除，只需送驗即可。而透過醫療機構以健保系統上傳檢驗資料，依然能累計國內檢驗總量，可看出動態發展趨勢。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/06_210528%E9%80%9A%E5%A0%B1.jpg" /></p> </div></div></div>
2021/5/28 15:00作者王若樸https://www.ithome.com.tw/news/144684
富士通代管平臺被駭，影響眾多日本政府單位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>富士通代管的協同平臺近日傳出遭駭，影響國土交通省、外務省等多個使用平臺的政府部門及民間機關。</p> <p>由日本資訊業者富士通<a href="https://pr.fujitsu.com/jp/news/2021/05/25.html" target="_blank">本周二發佈公告</a>，該公司代管的ProjectWEB專案資訊共享平臺遭到不明人士未授權存取。富士通已緊急關閉平臺以防範損害擴大。</p> <p>ProjectWEB是由富士通導入，並於2001年向政府、企業等提供的雲端資訊備份及代管平臺。</p> <p>此次事件中，使用同一平臺而遭資料外洩的單位包括內閣官房網路安全中心<a href="https://assets.documentcloud.org/documents/20791612/japanese-cabinet-cyber-security-center-warning-about-projectweb-leaks-part-1.pdf" target="_blank">（NISC）</a>、<a href="https://www.mlit.go.jp/report/press/joho02_hh_000004.html" target="_blank">國土交通省</a>及<a href="https://www.mofa.go.jp/mofaj/press/release/press4_009061.html" target="_blank">外務省</a>，其中日本NISC的IT系統架構及相關資訊被竊，國土交通省初步判定該省的IT系統架構、員工郵件信箱、郵件群組中登錄的外部用戶信箱等約7.6萬筆。外務省則有數位化治理機關及相關個人等其他資訊受到影響，還不確定系統及業務資訊是否外洩。這些單位已分別在本周二、三發出公告。</p> <p><a href="https://smbiz.asahi.com/article/14358046" target="_blank">日本媒體報導</a>，成田機場也遭駭客存取並竊走飛航控管資料、航班及相關業務資訊。受害單位還有另一中央省級部會及一家機構。</p> <p>富士通表示已著手調查資訊外洩事件影響範圍及原因。</p> <p>這是日本政府遭到最新一起資訊外洩案件。<a href="https://www.ithome.com.tw/news/137745" target="_blank">三菱電機2019年</a>發生系統非授權入侵，該公司導彈資訊外洩，雖然三菱並未取得政府採購案，但日本政府的導彈需求規格可能因此洩露。</p> </div></div></div>
2021/5/28 15:17作者林妍溱https://www.ithome.com.tw/news/144686
Chrome 91速度最多比前一代快上23%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/144634" target="_blank">Google於5月25日釋出了Chrome 91</a>，兩天後，<a href="https://blog.chromium.org/2021/05/chrome-is-faster-in-m91.html" target="_blank">Chrome產品經理Thomas Nattestad才披露</a>該版本的速度最多可比上一版快上23%，原因是該團隊改善了Chrome所使用的V8 JavaScript編譯器。</p> <p>V8是個由Google打造的開源 JavaScript引擎，在瀏覽器中負責處理網頁上的JavaScript，根據Google的統計，Chrome每天約要執行等同於78年的JavaScript程式碼，因此，速度改善了23%，代表每天可節省全球用戶17年的CPU時間。</p> <p>使V8速度大增的功臣，是Sparkplug與Short Builtin兩個新增的元件。</p> <p>V8引擎使用多個不同的編譯器，以在執行JavaScript的不同階段發揮作用，例如既有的Ignition是個位元組碼編譯器，任務是儘可能不延遲地執行JavaScript，或者是Turbofan是個最佳化編譯器，能夠根據JavaScript執行時所蒐集的資訊產生高效能的機器碼，因此，Turbofan開始的時間比Ignition晚了許多，而<a href="https://v8.dev/blog/sparkplug" target="_blank">Sparkplug</a>則填補了Ignition與Turbofan之間的缺口，它不必仰賴JavaScript執行時的資訊就能產生原生機器碼，意謂著它能夠快速執行，還能較快產生機器碼。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0528-chrome%2091%20Sparkplug.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p><a href="https://v8.dev/blog/short-builtin-calls" target="_blank">Short Builtin</a>則可最佳化V8引擎的記憶體配置。Nattestad說明，當V8引擎自JavaScript產生CPU專用的程式碼時，它會把程式碼置放於記憶體中，此一程式碼經常會呼叫內建函數，對某些CPU而言，若所呼叫的函數距離該程式碼太遠，可能會造成CPU內部的最佳化功能失敗，因此，Short Builtin即是把內建的函數複製到與所生成程式碼的同一記憶體區域。而且，此一變更對於蘋果最新發表的M1晶片影響特別明顯。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0528-Short%20Builtin%20M1.jpg" style="width: 591px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Google</span></p> </div></div></div>
2021/5/28 15:34作者陳曉莉https://www.ithome.com.tw/news/144688
調查：70%歐美企業將轉為遠距、居家交錯的混合辦公模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著疫苗開打，歐美國家COVID-19疫情漸平穩，企業也開始恢復部分員工回到公司上班。但市場研究機構<a href="https://www.prnewswire.com/news-releases/forrester-only-30-of-companies-will-embrace-a-full-return-to-office-model-post-pandemic-301299937.html" target="_blank">Forrester預測</a>，即使如此，在後COVID-19時代，高達七成的歐美企業將轉向遠距、到公司上班的混合式辦公模式。另一調查顯示90%的員工不想在公司待一整天。</p> <p>Forrester指出，在混合式辦公模式下，一部份員工可以至少一周兩天在任何地方作業，其他天到公司上班。Forrester研究指出，善用混合辦公的企業不只對員工有好處，對公司也有強化員工向心力、降低人員流動率的效益。</p> <p>根據Forrester調查，即使疫情過後，希望更常在家上班的美國員工高達55%。這也和員工對疫苗的感受有關。根據調查，47%的美國員工及54%的歐洲員工相信疫苗無法完全有效阻止COVID-19病毒的蔓延。相信公司有計畫提供疫苗接種的美國和歐洲員工，僅39%和34%。</p> <p>另外，歐、美企業都有高達2/3的員工對公司蒐集疫情有關的個資不放心。</p> <p>疫情已對企業工作型態及人們工作思維帶來變化。根據<a href="https://www.businesswire.com/news/home/20210525005061/en/Born-Digital-Poised-to-Deliver-Substantial-Economic-Gains-%E2%80%93-But-They%E2%80%99ll-Need-Some-Help">Citrix近日一項調查</a>，雖然有58%的企業主管相信年輕員工想在公司辦公，但實際上員工並不這麼想。</p> <p>根據Citrix調查，1980年以後出生的「數位原生」（Born Digital）員工，不想再回到過去全職在公司上班的工作型態，而偏好混合式辦公型態。細分而言，一半員工希望在家作業的時間比例佔大部份甚至全部，18%希望在公司時間多一點，21%偏好兩地均分。只有10%的人希望在公司待上一整天。</p> </div></div></div>
2021/5/28 15:42作者林妍溱https://www.ithome.com.tw/news/144689
Have I Been Pwned開源了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲安全專家<a href="https://www.troyhunt.com/pwned-passwords-open-source-in-the-dot-net-foundation-and-working-with-the-fbi/" target="_blank">Troy Hunt今天（5/28）宣布</a>，已藉由.NET基金會開源Have I Been Pwned（HIBP），且未來美國聯邦調查局（FBI）也會將所查獲的外洩資料匯入HIBP專案。</p> <p>Have I Been Pwned專門蒐集全球的外洩資料庫，當使用者輸入自己的電子郵件帳號後，它就會告知該帳號是否曾出現在哪些資料外洩意外中，而外洩資料庫通常同時包含使用者的電子郵件與登入該服務的密碼。</p> <p>Hunt是在2013年以一己之力建立了HIBP，迄今已蒐集了來自538個網站的外洩資料庫，內含112億個外洩帳號，全球用戶每個月透過HIBP搜尋的次數接近10億次。原本Hunt打算出售HIBP，但因找不到合適的對象而決定將它開源。</p> <p>由於Hunt與.NET基金會的執行總監Claire Novotny是舊識，雙方經過數月的討論之後，決定將HIBP透過該基金會開源，.NET基金會雖然是由微軟在2014年所設立，主要代管由微軟所釋出的開源專案，但卻是一個獨立的非營利機構，<a href="https://dotnetfoundation.org/blog" target="_blank">HIBP也成為.NET基金會的第一個培育專案</a>。</p> <p>此外，FBI亦主動與Hunt接洽，準備貢獻FBI調查活動中所發現的外洩資料庫，預期將可提高HIBP的資料庫品質。Hunt亦鼓勵開發人員能夠參與建置Password Ingestion API，以利FBI與其它執法機關將外洩資料匯入HIBP。</p> </div></div></div>
2021/5/28 15:56作者陳曉莉https://www.ithome.com.tw/news/144690
釣魚信件有新手法，以電話客服誘騙用戶安裝惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應安全軟體愈來愈能過濾釣魚信件，歹徒也發展出新招數，以成功散佈惡意連結或惡意軟體。<a href="https://www.proofpoint.com/us/blog/threat-insight/bazaflix-bazaloader-fakes-movie-streaming-service" target="_blank">安全廠商Proofpoint發現</a>新的釣魚郵件攻擊，會結合電話客服中心誘使用戶下載惡意軟體。</p> <p>研究人員本月發現一批釣魚信件散佈名為BazaLoader的後門程式。該公司是於2020年4月首次觀察到BazaLoader，和Trickbot木馬程式有很強關聯性，目前也經常被歹徒用於下載Ryuk、Conti勒索軟體。</p> <p>今年2月，BazaLoader是經由釣魚信件傳佈，冒充藥商或內衣、鮮花服務，而最新的一波釣魚郵件則偽裝成串流影音娛樂服務BravoMovies，告知用戶免費試用的服務已經到期，將開始經由信用卡收費。信中告知，用戶如果不願訂閱，應以郵件所附電話號碼，聯絡客服中心取消。信以為真的用戶就會因此踏入陷阱。</p> <p>為取信於用戶，它和一般釣魚郵件一樣，利用網路上的資源製作精美的影片，但特別的是，它加入名為BazaCall的手法，引導用戶經由網站上FAQ頁的電話和歹徒互動。當用戶打電話給客服中心時，「客服人員」會引導用戶前往網站「取消訂閱頁」下載一個Excel檔（如下圖）。這個檔案含有巨集，一經開啟，就會下載BasaLoader。</p> <p class="rtecenter"><img alt="" src="https://www.proofpoint.com/sites/default/files/inline-images/F5.png" style="width: 468px;" /></p> <p><span style="color:#696969;">圖片來源_Proofpoint</span></p> <p>這個感染鏈需要用戶打電話和歹徒互動，還要下載軟體，和一般釣魚信件攻擊的手法看似相反。但研究人員指出，傳統釣魚信件以附件挾帶惡意程式，容易被安全軟體偵測攔截。透過將用戶引導離開郵件管道，再主動下載程式的手法看似更麻煩，但安裝成功機會更高。</p> <p class="rtecenter"><img alt="" src="https://www.proofpoint.com/sites/default/files/inline-images/infection%20chain.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Proofpoint</span></p> <p>使用客服中心並非釣魚攻擊的發明。<a href="https://www.ithome.com.tw/news/127399" target="_blank">數年前就有歹徒冒充</a>微軟、Google等技術支援服務，在用戶打電話時，由假客服人員引導用戶下載惡意程式，或引導他們開啟遠端連線，令其得以控制用戶電腦，或收取高費用。</p> </div></div></div>
2021/5/28 16:18作者林妍溱https://www.ithome.com.tw/news/144691
【臺灣資安大會直擊】對抗後疫情資安5大威脅，國泰金融集團靠3策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在2018年，國泰金融集團旗下多家子公司與海外子公司，便設立了各自的資安專責團隊，但遵循集團一致性的資安政策。隔年，集團資安重點是先提升各子公司防禦能力；到了2020年，再成立集團資安監控中心（SOC），7X24小時監控集團資安狀態。從今年開始到明年，國泰金融集團最新資安重點則是韌性（Resilience）。</p> <p>國泰金控副總經理林佩靜對外揭露自家集團如何由上而下推動資安，以及國泰對資安威脅的觀察。她表示，這一兩年間，特別是疫情發生以後，金融業的資安威脅層出不窮，且攻擊手法日新月異，國泰則觀察到5大資安威脅，包括遠距工作、BEC詐騙、供應鏈安全、雲端安全、物聯網（IoT）。</p> <p>她解釋，因為疫情關係，企業需啟動遠距工作連線，增加了未授權存取及外部入侵等風險，這是資安威脅之一；另一威脅則是BEC電子郵件詐騙攻擊。加上，現今所有金融業都在大力推動數位轉型，比如導入新興科技或提供顧客更多的遠端服務，連帶顧客與金融業的互動方式因而改變，使得企業面臨的資安威脅也越來越大。</p> <p>不管是員工工作模式的改變，還是顧客與企業互動模式的改變，林佩靜強調：「這些都讓金融業的邊界越趨模糊，企業資安負責人員的防守線，也越變越長。」。即便是金融業如此高度防護的產業，仍要有「威脅與攻擊一定會永遠存在且發生」的思維，企業資安主管更必須向經營者溝通與傳遞這項事實。</p> <p>「資安主管的第一件事，就是訂定企業資安目標。」不過，她認為，有別於企業訂定業績目標時，通常是高目標、高挑戰。但，「資安的目標訂定，需務實且可達成」，可達成的意思是，如果一定會發生資安事件，企業所要追求的是什麼？希望不影響營運？或是，一旦影響營運要多久時間能夠恢復？林佩靜提醒，不單只是文字上的目標，更重要的是要將量化的KPI，包括營運中斷的時間、資料回復的時間等都要明訂清楚。</p> <p>「訂出一個企業可達成的資安目標，代表資安主管與經營者的承諾，也是經營者對資安主管的支持，以及這家企業願意容忍與可接受的風險，究竟到何種程度。」這是一大重點，她強調。</p> <p>有了資安目標之後，下一步，資安主管就能針對企業現況，以及想要達成的目標，在這兩者間，評估自家資安防護的強處和弱點。能與不能之處，都需要一併盤點。如此一來，企業資安主管就會知道該如何訂定資安策略。林佩靜表示：「必須要有系統性的思考，來訂定資安目標與策略。」</p> <h3><span style="color:#0000FF;"><strong>系統面思維是集團資安聯防，更要做到主動防禦</strong></span></h3> <p>在金融業，可從系統、應用、人員3大面向的策略來看資安策略。首先，林佩靜提到，國泰在系統面的思維是「資安聯防」，集團旗下子公司採用一致性的資安政策，包括了系統架構，所採購的工具，以及工具背後的設定與檢核，都是一致。「目的是做到資安標準與防護水準一致，甚至，能做到主動的防禦。」她強調。</p> <p>為了達到一致性的資安政策，企業必須設有一個資安框架。她解釋，所謂的資安框架，是指企業需有一套資安防護機制的基準，以及有一致性的標準可供遵循與管控，比如導入ISO 27001，或用MITRE ATT&CK來思考企業的防禦。林佩靜再次強調：「企業必須找到一套邏輯或方法論，來思考最基本系統面的防禦框架或防護地圖。」然而，這只是第一個起點。</p> <p>訂定出資安框架後，企業更重要的是實行PDCA循環，林佩靜認為：「PDCA雖老套，卻是國泰確保整體資安防護有效性的心法。」尤其是在檢核（Check）環節特別重要，她舉例，國泰金融集團從基本的資安健檢到紅隊演練都實施，像是人壽與銀行已連續做了3年的紅隊演練，現在，包括產險、投信子公司也全面執行，目的就是要確保資安防護的有效性。此外，包括DDoS攻擊、ATM入侵等情境演練，企業都要不斷檢視。「資安不是一個買產品的過程，而是得確保整體機制與運作有效。」這是國泰由內而外，檢視自身資安到位程度的作法。</p> <p>另一方面，企業也可建置SOC，由外而內來檢視自家資安框架與防護的有效性，是否禁得起所有的資安風險。林佩靜表示，國泰委外建置了SOC，在2020年底正式運作，以監控集團資安狀態，掌握資安風險。她個人認為，委外建置有2大好處，其中一個重要價值是，因為資安態勢動態變化，而且攻擊手法日新月異，例如現在國泰的集團SOC設有一百多條監控規則，但還會隨著外面的攻擊手法持續更新，讓國泰的防禦能更加即時，更希望能做到主動預警。</p> <p>另一項好處是，國泰的資安人員每日會監看風險通報的狀況，也會針對每則事件進行回報與確認，林佩靖認為，這也能在無形中培養資安人才，及提升他們對資安攻擊事件的敏感度。</p> <p>除了系統面的策略，企業還需關注人員面的策略。不管是員工或顧客，在這數位當道的時代，國泰認為，都需要落實必要的確認機制，才能存取金融業的服務。「目的是建立所有關係人的資安意識與資安文化，做到全民資安。」</p> <p>像是近來因疫情，許多企業啟動居家上班的作法，林佩靜表示，這時正是重新檢視所有員工工作方式的好時機，包括員工工作時所使用的裝置，裝置存取的方式，以及溝通聯繫，協同合作與檔案交換等。長時間下來，便會在組織內埋下養成資安意識與文化的思維與習慣，她更認為：「即便經營者多麼支持資安投資，仍有它的極限，整體員工資安意識與文化的養成，才是防護的關鍵。」</p> <p>在資安人才部分，國泰也有一套「反求諸己」的思維，林佩靜拋出一個問題，資工資管領域的職場新鮮人，為何要選擇進入金融業？她坦言，企業需有整體資安目標或策略，目的是讓資安人才知道，個人目標與企業組織目標匹配。此外，也要培育人才在金融業的領域知識，以及資安的專業技術，並且在信任的前提下培養團隊，讓人才感受到加入該企業後能夠有所成長。她呼籲金融業的資安主管：「設立資安人才的職涯路徑是重要議題，需要再用心好好思考。」</p> <p>在顧客部分，隨著轉型的服務模式到裝置的提供越來越多，國泰在思考的是，如何在兼顧客戶體驗之下，與顧客互動的方式如App或簡訊，到金融業與顧客進行核身的方式，都能再增加更多確認機制，比如導入多因子認證，建立安全性提問，或像是重要交易強制採用生物辨識等。林佩靜認為，這是所有企業都要高度關注的議題。</p> <h3><span style="color:#0000FF;"><strong>從業務角度思考資安如何設計，更要關注供應商與雲端安全</strong></span></h3> <p>國泰在應用面策略則採取「設計預設資安（Security by Design）」原則，不只是資安管控、資安查核，尤其是企業在數位轉型的過程中，林佩靜表示，更應該從業務角度思考資安如何設計在新的轉型專案中，目的是要有預防勝於治療的概念，在所有服務或商業模式設計之初，就將安全考慮進去。</p> <p>因應數位轉型，不只軟體或程式得在一開始就安全開發，更重要的是，企業導入許多新興科技發展創新的服務模式或商業模式，比方說跨業合作。除了軟體開發外，還會牽涉到流程、資料流、資料的儲存管理等，都得基於安全來設計。她提到，國泰作法是每個專案開始，資安人員就加入討論服務模式與商業模式的創新，好處是資安人員能站在業務端立場進行安全設計，也會讓企劃人員理解資安人員關心的議題，進一步培養人員的資安意識與文化。</p> <p>除了App、API這兩項已有檢核標準或法遵規範之外，林佩靜更提到，國泰正在關注多項資安應用議題，包括供應商、雲端、資料、開源軟體。像是供應商資安，她提醒，企業與供應商合作時，可從前、中、後三階段來評估，前期可進行風險評估、遴選合格廠商、技術評選；中期則要設立開發標準、資料加密、查核；後期則需落實上線前的檢核，並要求供應商抹除資料與移除權限，或實地查核等，「得將這樣的制度都建立。」</p> <p>另一項雲端安全議題，林佩靜預期，金融業完成數位轉型後，會開始走向雲端發展，不管是使用雲端服務，或有上雲計畫。不過，她坦言，雲端安全的議題範圍非常大，甚至與地端系統面的管理全然不同，從存取控制、金鑰管理、資料保密、組態管理、持續監控等。因此，她強烈建議：「不管企業是否打算往雲端發展，資安主管現在可以開始思考與培養具備雲端安全的資安人員。」文⊙李靜宜</p> </div></div></div>
2021/5/28 10:32作者李靜宜https://www.ithome.com.tw/news/144681
Fintech周報第183期：虛擬通貨納管洗錢防制7月上路，共有5大類業者須遵循
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-weight: bold; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0522</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～0528</span></strong><br /><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 虛擬通貨 </span> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 洗錢防制 </span></strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">虛擬通貨納管洗錢防制7月上路，共有5大類業者須遵循</span></strong><br /><span style="font-size: 14pt;">行政院指定金管會為虛擬通貨平臺及交易業務事業的洗錢防制主管機關，金管會在5月25日宣布「虛擬通貨平臺及交易業務事業防制洗錢及打擊資恐辦法」草案，主要是參考防制洗錢金融行動工作組織（FATF）發布的建議來訂定，預告期為14天。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">該草案名列有5大類業者需納管，包括從事虛擬通貨與新臺幣、外幣之間的交換；從事虛擬通貨間的交換；進行虛擬通貨的移轉；保管、管理虛擬通貨或提供相關管理工具；參與及提供虛擬通貨發行或銷售的相關金融服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">虛擬通貨平臺及交易業務事業將於今年7月1日起納入洗錢防制管理，金管會表示，屆時將要求納管業者建立洗錢防制內部控制與稽核制度，進行確認客戶身分、記錄保存、一定金額以上通貨交易申報及疑似洗錢或資恐交易申報等。如果業者違反規定，將會依照洗錢防制法開罰。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">金管會更統整出草案4大重點，依照規定，第一項是相關業者建立業務關係時，需確認客戶身分，包括實質受益人辨識、姓名檢核、強化確認客戶身分等。第二項是，擔任轉出方的平臺，需將虛擬通貨移轉所涉及的轉出人及接收人資料，傳遞給擔任接收方之平臺。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">此外，對於新臺幣50萬元以上的現金交易，則需向法務部調查局申報；業者也需對客戶交易持續監控，若發現有可疑交易，也要向法務部調查局申報，這是第三大重點。第四點則是，業者需建立防制洗錢及打擊資恐內部控制與稽核制度。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 跨境移工匯款 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 永豐銀行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 移工仲介 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">永豐銀行與仲介業者合作推移工匯款服務，透過系統整合串接當日匯款便能到帳</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524%E6%96%B0%E8%81%9E%E7%85%A7%E7%89%87(%E8%B3%87%E6%96%99%E7%85%A7%E7%89%87).jpeg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">鎖定全臺70多萬名外籍移工跨境匯款需求，永豐銀行近期表示，已與移工仲介業者合作，透過系統整合串接，簡化從仲介業者代收移工款項到匯款等作業流程，提供快速到帳的海外匯款服務，當日匯款後便能當日到帳，並且降低匯款成本達4～5成，永豐銀行表示，目前已為超過11萬名移工完成匯款。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">永豐銀行解釋，移工因為工作性質而需長時間待在工廠或雇主家中，不易在營業時間到銀行辦理匯款，大多是透過合法仲介業者的系統，在完成會員註冊之後，由仲介業者協助辦理薪資結匯與匯款。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">永豐銀行提到，此次透過與仲介業者系統串接，從移工輸入匯款資訊，完成繳款到業者確認移工的款項入帳，目的是要降低匯款成本，並加速匯款處理時間。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，永豐銀行整合了防洗錢、法遵、風控、作業等制定標準化流程，替仲介業者執行匯款作業，包括審核仲介業者對移工會員要落實KYC（認識客戶），以及監控匯款交易需符合AML（反洗錢偵測）規範等。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 以太坊 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 權益證明 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">以太坊升級至權益證明2.0版後，至少可節省99.95%的能源</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-27%20%E4%B8%8B%E5%8D%8812_53_23.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">開源區塊鏈平臺以太坊（Ethereum，ETH）正從採用工作量證明（Proof of Work，PoW）的1.0版，升級到基於權益證明（Proof of Stake，PoS）的2.0版，近期，以太坊基金會ETH 2.0研究分析師Carl Beekhuizen 指出，比起PoW，PoS至少可節省99.95%的能源。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">PoW必須仰賴實體運算能力及電力來建置區塊，而PoS則是利用驗證者及存入以太幣來建置區塊，Beekhuizen估算，PoS大約消耗2.62 兆瓦（Megawatt）的電力，大概是美國2,100萬個家戶所使用的能源；但PoW所消耗的電力卻等同於一個中型國家所需的能源。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">對於PoW來說，以太幣的價格與採礦效能（hash rate）是正相關的，價格愈高，以太坊網路所消耗的能源也愈多；但在PoS的概念下，以太幣的價格愈高，以太坊網路的安全性也愈高，所消耗的能源則可維持不變。以太坊更預計幾個月後，便能完全轉移到更省能源的PoS。<a href="https://www.ithome.com.tw/news/144516"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融業 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 資安長 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會要求銀行業須指派副總層級擔任資安長，保險業資產總額達1兆元者比照辦理</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為進一步推動金融資安行動方案中，訂定的一定規模金融機構或純網銀設置資安長的措施。金管會在5月27 預告「金融控股公司及銀行業內部控制及稽核制度實施辦法」部分條文修正草案，主要增訂銀行業需指派副總經理以上或職責相當的人，來兼任資訊安全長，以統籌資安政策推動協調與資源調度，金管會給予6個月的緩衝期，讓業者可因應調整。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，金管會還研擬了「保險業內部控制及稽核制度實施辦法」草案，增訂保險業前一年度經會計師查核簽證的資產總額達新臺幣1兆元以上，需指派副總經理以上或職責相當的人，來兼任資訊安全長，綜理資訊安全政策推動及資源調度事務。金管會表示，保險業需在修正條文生效後，符合適用條件起6個月內調整。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 電支條例 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 電支電票整併 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會揭露電支條例修正重點，記名式儲值卡可跨境消費、比照數存帳戶強化身分驗證機制</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE%20Pay(1).jpeg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">新電子支付機構管理條例將在7月1日正式上路。金管會近期針對「電子支付機構管理條例」修正案，進行為期2周的預告，並對外揭露7大修正重點。其中較為重要的是，專營外籍移工國外小額匯兌業務的業者，最低實收資本額為新臺幣1億元；金管會核發的營業許可證為3年有效期；而且，業者收受的匯款交易款項須全數交付信託，或取得金融機構履約保證及限制匯款限額等管理機制；匯款上限為每筆3萬元、每月5萬元，每年上限為40萬元。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，金管會擬將第三方支付服務業者納管門檻從10億元拉高到20億元。另一項重點是，金管會將開放國內記名式儲值卡如悠遊卡、一卡通等，可到國外合作機構的特店消費或搭乘公共交通運輸工具。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">另外，金管會擬強化電子支付機構身分確認機制，比照銀行數存帳戶分類，身分確認強度也分為一到三類。其中，增訂確認使用者所提供行動電話號碼機制、核驗姓名程序，及排除第三類數位存款帳戶得作為身分確認的金融工具種類。此外，金管會還提高第一類電支帳戶儲值餘額上限，從現行的5萬元拉高到10萬元；國內外小額匯兌交易每筆限額則為10萬元。<a href="https://www.ithome.com.tw/news/144554"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 台新銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> PChome商店街 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">台新銀行與PChome商店街合作，賣家可直接在電商平臺申貸</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為因應數位零售通路在疫情期間交易量的大幅成長，台新銀行近期宣布與電商業者PChome合作，針對旗下商店街賣家，推出「商店街飛速貸」服務。台新銀行消費金融處副總經理吳良民表示，此次的合作，整合了雙方資源並串聯虛實通路，讓有資金需求的賣家可直接在PChome商店街的網站上申貸，並透過台新企業評分模型，量化客戶的評估結果，讓授信審核更加快速。台新銀行宣稱，審查時間縮短到4小時以內，最快1日內就可撥款。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，台新銀行表示，近期內部開始推動企業後臺數位化流程轉型，導入機器人流程自動化（RPA）系統，來檢視貸後案件，以提升案件管理的效率。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 加密貨幣 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 中國 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">中國三大金融機構出手，要求金融機構與支付機構不得進行與加密貨幣相關業務</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中國互聯網金融協會、中國銀行業協會，以及中國支付清算協會，於5月18日發布公告，指出最近加密貨幣的交易炒作活動有所反彈，嚴重侵害民眾的財產安全，擾亂經濟金融正常秩序，因而要求金融機構與支付機構不得進行與加密貨幣相關的業務，不管是加密貨幣的交易或清算，或者是以加密貨幣作為支付結算工具，都在禁止之列。這些金融機構強調，加密貨幣屬於虛擬商品，並非由貨幣當局所發行，不具有法償性與強制性等貨幣屬性，因此並非真正的貨幣，不能也不應作為貨幣在市場上流通或使用。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">繼特斯拉執行長馬斯克在13日宣布，暫停消費者以比特幣買車，且決定不再出售比特幣之後，加上中國三大金融機構的公告，使得比特幣的價格從12日的5.5萬美元一路下滑至3.7萬美元，下滑幅度超過30%。<a href="https://www.ithome.com.tw/news/144523"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源／永豐銀行、以太坊</span><span style="vertical-align: top; font-size: 18.6667px;">、LINE Pay</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="vertical-align: top; font-size: 18.6667px;">1. <a href="https://www.ithome.com.tw/news/144541">美國財政部：企業的加密貨幣交易金額超過1萬美元就必須申報</a></strong><br /><strong style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">2. 富邦產險與國際網路資安廠商合作，提供客戶網路資安風險分析與評估服務 </strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年5月</strong></p> </div></div></div>
2021/5/28 11:05作者李靜宜https://www.ithome.com.tw/news/144682
政大金融科技研究中心與勤業眾信聯手發表第一份臺灣金融科技趨勢展望報告，提出10項Fintech發展建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政大與勤業眾信合作日前發表了第一份臺灣金融科趨勢展望報告，盤點臺灣金融科技發展現況，並提出10項政策建言，期待金融主管機關今年盡快推動，多數與資料交換、個資合理共享的挑戰相關。</p> <p>政治大學金融科技研究中心主任王儷玲觀察全球金融科技四大領域的發展，她指出，在數位銀行方面，支付功能擴張到更多類型的情境，開放銀行策略和資料共享趨勢也開始創造更多元金融生態系的成形，在資產管理領域，理財平臺透過API串聯到更多應用，讓機器人理財逆勢成長，但需要發展新的監理機制保護投資人權益。</p> <p>而在保險科技（InsurTech）發展趨勢上，王儷玲認為，新型態的通路快速發展，也開始善用AI和大數據來分析和改善顧客體驗，像是結合IoT的使用者行為式保險（UBI）創造了新保險計價和服務模式，或是結合穿戴裝置，能提供健康促進創新服務的新型態外溢保單。這些新興科技趨勢也讓全球法遵科技投資大增，年成長率高達了119.1%，又以身分識別和洗錢防治相關科技的投資為主流。在監理科技領域下，跨平臺數位身分互通是監理科技發展關鍵，也開始出現用AI協助不正當行為的即時監測和預防詐欺，另外像是在數位申報和數據治理也有不錯的進展。</p> <p>政治大學和勤業眾信訪談了臺灣10家金融機構，包括多家金控、大型銀行和人壽，來了解他們對金融科技和未來趨勢的看法，來歸納政策建議。</p> <p>臺灣金融機構在FinTech技術面的發展上，目前主要聚焦在AI、雲和身分識別三大類，法規面最期待的是資料共享、上雲、監理科技這三類，可以有法規鬆綁或突破，例如業者期待雲端服務相關法規，能有更開發或更完整配套的辦法。臺灣金融業者在策略上也多半重新定位自己的金融科技發展策略，加快數位轉型的腳步，近兩年的疫情，更是加速了金融產品和服務數位化的發展，甚至是原有商業模式的轉型。</p> <p>不過，王儷玲指出，在臺金融科技發展上仍有許多挑戰，像是業者在資料蒐集和交換仍面臨不少個資法限制的挑戰，另外第三方服務業者（TSP）的管理成本仍然很高，影響參與者意願，進而侷限了臺灣開放銀行生態圈的發展。而保險業的挑戰則是新法遵，例如2026年正式接軌IFRS17和ICS 2.0等，業者得投入大量營運資源，排擠了數位發展的投入，而個資使用也仍既是保險科技發展的主要限制。</p> <p>資產管理業上，千禧世代投資人偏好線上服務，讓傳統理財顧問面臨轉型壓力，傳統資產管理公司營運成本也比過去更高，如何控制成本來維持獲利是重要課題，另外，消費者偏好落差很大，業者資源有限也不易調整通路和部署新投資工具。而在臺灣監理科技的發展上，不論監理機關或金融業者都需要更有效能的數據共享設計，但也都面臨了法遵合規的挑戰。</p> <p>因應這些局勢和挑戰，在這份報告中，也提出10項對主管機關的建議，其中不少是針對個資使用和資料共享的建議，例如像是建議主管機關要建立資料賦權機制，讓消費者可以在資安個資保護下合理使用自身數據，來促進資料共享與API經濟。也需要建立更明確的個資去識別化標準和資料交換中心。</p> <p>王儷玲表示，尤其像是個資去識別化標準流程，還有相關作業平臺和認證機制，也是加速業者雲端環境健全發展的配套之一，可以讓新創TSP透過合規雲端服務來與金融業者交換資料，不只是減少業者的資安成本，還可以降低TSP業者的進入門檻。更進一步，她也建議主管機關需要提升數據治理作為，來促進產業資料共享平臺的發展，像是指派單一專責機構負責資料數據治理策略，或設立數據治理委員會，從資料共享和交換的角度來界定資料分級等</p> <p>王儷玲指出，建議主管機關成立API管理專責機構長期負責開放銀行API標準，而TSP業者則可成立治理聯盟或協會，配合銀行公會和財金公司，共同建立一套TSP治理機制。未來可以把「試辦沙盒」的適用範圍擴大，尤其要納入金融業者最需要的行政規則及命令的鬆綁與調適。</p> <p>另外還有一項呼籲是，這份報告建議政府應該參考金融科技發展的標竿國家，也建立臺灣自己的大數據和AI新規範，像是可以參考歐盟的「可信任的AI倫理規範」、美國「演算法問責法案」或是新加坡的「AI監管模式框架」等。</p> <p>這份報告也有針對金融業者的建議，王儷玲指出，業者也要積極引進新興科技，例如生物辨識、區塊鏈和AI，來建立儀表板式的風險評分系統，這也有助於協助內部風控、稽核和法遵，可以有效降低法遵成本。</p> <p>王儷玲指出，這些對主管機關的建議，已有一些正在進行，例如同一金控子公司下資料交換的法規鬆綁，但對於其他策建議，她期待主管機關，都能盡快在1年內推動完成，來促進臺灣金融科技的發展。</p> <table border="1" cellpadding="1" cellspacing="1"><tbody><tr><td style="background-color: rgb(102, 153, 255);"> <h3><strong><span style="color:#FFFFFF;">臺灣金融科技發展10建議</span></strong></h3> </td> </tr><tr><td style="background-color: rgb(204, 255, 255);"> <p><strong>1.建立資料賦權機制以利資料共享與API經濟</strong></p> <p><strong>2.建立個資去識別化標準與資料交換中心</strong></p> <p><strong>3.提升數據治理促進跨產業資料共享平臺</strong></p> <p><strong>4.開放銀行應建立API管理專責機構與TSP治理機制</strong></p> <p><strong>5.借鏡國際制訂大數據與AI新規範以利創新落地</strong></p> <p><strong>6.鼓勵業者積極擁抱新科技創造新價值</strong></p> <p><strong>7.導入新技術提升業者法遵科技效能</strong></p> <p><strong>8.加速健全雲端環境之配套</strong></p> <p><strong>9.擴大金融業試辦範圍促進金融科技創新應用</strong></p> <p><strong>10.打造良好的產學合作平臺培育金融科技新人才</strong></p> <p>資料來源：政大金融科技研究中心，2021年4月</p> </td> </tr></tbody></table><p> </p> <p> </p> <p> </p> </div></div></div>
2021/5/28 08:50作者王宏仁https://www.ithome.com.tw/news/144679
【資安教戰守則：因應雙重勒索之道】目標式攻擊瞄準供應鏈脆弱環節，該如何因應？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0528-nian_jian_-gong_ying_lian_zi_an_-huang_ji_min_.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">SafetyDetectives、Coveware</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2020，充滿嚴峻考驗，在現實世界存在著COVID-19新冠病毒的生命威脅，而在數位世界，則有勒索病毒的資安威脅。因應勒索軟體之餘，我們也要注意此種威脅的發動，近期經常與目標式攻擊（Targeted Attacks）有關。事實上，目標式攻擊此一名詞常出現於APT事件，隨著攻擊威脅提升，「目標」已從指定的組織單位，更進一步去針對指定的產業、系統，以及供應鏈，而且，目標型態的轉變，與逐年增長的勒索攻擊及黑色產業都有關。</p> <p>而且從SafetyDetectives的調查，我們發現：駭客勒索攻擊對企業組織造成的經濟損失比贖金更大──全球於2019年因勒索攻擊的損失，高達2兆美元。</p> <p>就目標式攻擊趨勢而言，從金融證券業遭DDoS勒索攻擊、醫療單位的醫療工作系統加密勒索、教育學校的行政系統勒索，到2020年針對製造業發動攻擊，我們可發現犯罪者確實存在更精準有效率的目標式攻擊，別於過往隨機式攻擊（Opportunistic Attacks）。</p> <p>以去年國內幾起資安事件為例，網路犯罪者都是有計畫，且連續針對目標下手，從受駭的石油公司、自動化設備業者、半導體業者、電子製造業者等案例，都存在著一旦受駭則產線運作停擺的風險衝擊，而這就是犯罪者看準製造業不可承受的威脅痛點，因為產線運作的停擺，將造成無法正常生產、排程受阻、交貨延遲、設備受損等連串問題。</p> <p>此外，犯罪者常以點放曝光受害業者的內部資料來證明綁架成功，逼迫受害業者就範，甚至有二次勒索的打算。</p> <p>事實上，不僅這些見報的大型製造業者遭受勒索，有更多的相關產業中小型企業也在同期間受到相同的威脅，在他們負擔得起的情況下，往往選擇支付贖金來盡快恢復工作以息事寧人，這也跟現實生活中的情況類似。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0528-%E5%B9%B4%E9%91%91-%E4%BE%9B%E6%87%89%E9%8F%88%E8%B3%87%E5%AE%89-%E9%BB%83%E7%B9%BC%E6%B0%91.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／SafetyDetectives、Coveware</span></p> <p><span style="color:#696969;"><strong>駭客勒索攻擊導致資料毀損及營運停擺的事件，已經造成高達數百萬美元的損失；而根據Coveware組織對於2019到2020年勒索攻擊的統計分析，勒索贖金的支付數字在過去兩年持續增加，勒索支付於2020年第三季度達到平均為233,817美元，於第四季度則為154,108美元。</strong></span></p> <p><span style="font-size:28px;"><strong>目標式攻擊下一波：供應鏈</strong></span></p> <p>從2020年起，便有多個資安研究組織與專家呼籲：「供應鏈攻擊（Supply Chain Attacks）的資安風暴已到臨」，尤其是最近的SolarWinds供應鏈攻擊，不僅全球知名的APT資安防護大廠受駭，甚至多個美國政府機構及全球多家資安科技公司，也傳出存在SolarWinds後門木馬的疑慮；隨後當然有駭客組織，開始進行目標式攻擊（開採漏洞），直至目前仍未平息。整體而言，SolarWinds攻擊行動，躲過美國政府斥資數百億美元建造的網路攻擊防禦系統Einstein，而這也突顯：供應鏈攻擊引發的鏈狀連鎖反應，具備更大破壞力。</p> <p>「供應鏈」是指通過不同供應者（Vendors or Suppliers）連接產品或服務的作業流程，存在於各種產業、生產製造、系統、軟體、或委外服務架構中；至於「供應鏈攻擊」，則是指攻擊者利用我們對供應鏈合作夥伴的信任，來繞過安全防禦機制並造成大量危害，針對供應鏈中脆弱可利用的環節攻擊，並進而感染散播到下游其他地方。目前常見的供應鏈資安攻擊類型有：版本更新感染、派送脅持嫁接、程式庫感染、第三方元件感染、軟體漏洞及臭蟲等。</p> <p>由於供應鏈攻擊是針對存在的脆弱環節為攻擊目標，以2020年8月發生的Zerologon攻擊為例，若濫用CVE-2020-1472漏洞，可以讓駭客利用Windows Netlogon 遠端協定，針對Windows Active Directory DC主機完全控制，並且能任意將惡意程式安裝到網域下的所有裝置；而且，更有駭客組織結合Fortinet、MobileIron等網路安全閘道或VPN的漏洞來進行連續技。試問：這樣甜美的目標，又怎能不讓有心人士蠢蠢欲動，進而大量開採呢？！</p> <p>套用在2021年初爆發的ProxyLogon攻擊，目標則轉換到微軟Exchange Server漏洞，又發生一連串的駭客組織釋出攻擊包，以植入惡意Web Shell。</p> <p>針對供應鏈資安發動的目標式攻擊，具備3個特色：可利用性更佳、可下手的目標對象更多、可組合攻擊技更豐富，這對防守方而言，並非好消息。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(3)-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FSupplyChain247.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／SupplyChain247</span></p> <p><span style="color: rgb(105, 105, 105);"><strong>針對供應鏈安全（Supply Chain Cybersecurity），美國密歇根州立大學教授Steven A. Melnyk提出幾個關鍵問題。首先是「要保護什麼」，第二是「針對哪種類型的攻擊」，第三則是「考慮哪些網絡安全投資」。</strong></span></p> <p><span style="font-size:28px;"><strong>目標式攻擊的防禦戰略</strong></span></p> <p>面對今日的資安攻擊威脅，「防不勝防」肯定是所有守護方的心聲，因為要在有限的人力、物力、精力，以及時間下，做到絕對的防禦戰略，是緣木求魚、不切實際的浪漫理想。</p> <p>相對地，我們必須思考在常態的防禦基礎下，如何更精確、快速、有效率地即時反應部署資安結界，以展開闖入者的威脅獵捕。以下是可以思考的作法：</p> <p><strong>一、目標式防護</strong></p> <p>這並不是「單點式」的防護，而是站在攻擊方來檢視目標（自身）的供應鏈脆弱環節，部署、規畫適當資安機制。</p> <p>我們必須先針對脆弱環節本身及其前後關連者，（1）優先加強監測機制，其次（2）著手可快速補強的方式，然後才是（3）評估及執行更新修補，當然也需要思考（4）遭攻擊崩壞時的災損範圍控制，以及災變回復機制。</p> <p>傳統資安思維往往執著於「有洞就要補好補滿」，但補洞評估與程序經常費時，反讓駭客可將惡意程式安置妥當。</p> <p><strong>二、零信任安全架構</strong></p> <p>由Forrester Research前副總裁John Kindervag提出的Zero Trust概念，認為應預設任何的網路存取要求均不可信任，唯有經過認證之後，才可以依政策權限存取。此為逆向思考或者懷疑理論，畢竟資安沒有百分之百的保障，我們必須思考脆弱點及破口的存在。</p> <p>隨著現今雲端網路及行動應用的高度發展，更顯出傳統定義的企業網路安全邊界崩解；換言之，過往「企業內部網路的人、事、物就是安全可信任」，這類的資安思考方式，必須重新檢視。</p> <p>事實上，從近十年資安事件來看，都已驗證「零信任」安全概念的論點。</p> <p>就像美國國家標準技術研究所（NIST）的看法，他們在2020年2月公布的ZTA Draft 2（SP800-207）標準草案第2版，再次強調「零信任是以資源保護為核心的網路安全示範，前提是：信任從來不是默認的，而是須持續評估認證；將網路安全防禦政策從靜態的網路邊界防護改為關注使用者、數位資產與關鍵資料及資源的動態防護」。</p> <p><strong>三、持續、自適應的風險管理</strong></p> <p>如果你還在追求或要求百分之百的資安防護，或許應先停下來，重新思考一下這種資安防護的定義與目標。</p> <p>在2017年，Gartner研究組織提出全新戰略，那就是：持續、自適應的風險與信任評估（Continuous Adaptive Risk and Trust Assessment，CARTA），目的在於「控制風險，而不要去消滅風險」，面對越來越多資安漏洞被揭露的今日，這是值得思考的做法。</p> <p>以目前微軟Patch Day的每個月漏洞發布週期及數量，若採取現行的漏洞評估及修補機制，組織中的資安人員及IT人員根本無法負荷，因此，CARTA強調：要「持續和自適應地對風險和信任兩個要素，進行評估並取得平衡」。</p> <p>所謂的「自適應」是指在判斷風險時，不應一味追求完全無菌的零風險狀態，而是因應企業可接受或可控制的風險管理來達到平衡，並藉由「持續性」來針對風險和信任的研判過程以持續不斷並反覆多次監督，達到適當的調適。</p> <p>面對目標式攻擊，資安防護資源應該具備更彈性適切的機動調配，若能達到持續性自適應的風險管理，將有助於常保企業資安健康狀態。</p> <p><strong>四、多維度的防禦解決方案</strong></p> <p>資安防禦經常會提到防護三部曲「事前、事中、事後」，以及「縱深防禦、聯合防護」概念，但往往在實作上，卻又以單一維度的設計或滅火方式的應變處理。</p> <p>單一維度設計，是指網路邊際防禦、主機保護、網站應用防護、弱點評估、滲透測試、源碼檢測等等，再由個別中央管理或SIEM平臺，用於資安記錄訊息的收容蒐集，進行關聯分析後的結果再觸發行動。但這作法回應今日目標式攻擊的速度不足，大量事件警報也可能拖垮有限的資安資源。</p> <p>而滅火方式的應變處理是指，資安事件如同發生火警，當警報響起時，才能通知救災人員到場處理，但是事故現場的資訊缺乏下，救災人員只能消極地先到場察看，再行判斷處理。假如火警事故發生在不同的場域（例如一般民房、摩天大樓、化學工廠、核能電廠等），處理的器具、方法及人員就不盡相同。</p> <p>因此，現今面對目標式攻擊的防禦方案，須具備更為主動的第一線處理能力與智能智慧化設計，如XDR（Cross-Layered Detection and Response）技術，為跨層次的檢測與回應，其中的「檢測與回應」已廣泛用在新一代端點防駭EDR方案上，並正逐步延伸到邊際、網路、應用、雲等不同層次。</p> <p>而且XDR對目標式攻擊的威脅獵捕工作，提供更精準的偵測探查異常行為，若能同時結合威脅情資（Threat Intelligence）的事件分析及採樣，所回應的資安事件（Incidents）含金量更高，對資安人員在事件攻擊研判效率，以及應變處理情報的獲取，都更加有幫助，因通報傳至SIEM平臺所關聯分析並萃取出的，是更有意義的資安管理情報。</p> <p>舉例來說，當發生火警事故時，透過XDR這類型技術，將能把現場的情況透過感應器、監視器、GPS定位、場域識別、情報比對等有意義的訊息，通報給救災中心，以獲得正確合適的救災派遣，甚至可用於現場的防災輔助，也能做好啟動措施。</p> <p>因此，如果我們說XDR技術是提升更豐富的感知神經，那麼，新一代資安戰情中心（NG-SCO、NG-SIEM），結合資安協作自動化應變SOAR技術方案，就相當於具有邏輯判斷跟下達行動力的大腦與小腦，是建立多維度防禦的重要核心中樞。其他先進式防禦，包括：Segmentation Protect、Automated Penetration Testing、Secure Score、Risk-based Vulnerability Management，這些都將取代傳統的資安評估與管理模式，朝向更主動積極的新世代資安防護。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(2)-%E8%B3%87%E6%96%99%E4%BE%86%E6%BA%90%EF%BC%8FGartner%EF%BC%8CiThome%E8%A3%BD%E8%A1%A8(1).png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">2020年Gartner安全風險與管理大會中，資深分析師Brian Reed提出一份名為《Top Security Project for 2020 to 2021》的報告，他說，我們可能花費太多寶貴的時間，用在過度分析在安全性方面所做的選擇，努力實現這種根本不存在的完美保護；我們必須超越基本的保護決策，並通過創新的方法進行檢測和回應，最終從資安事件中恢復，進而提高組織的彈性。</span></strong>（<span style="color: rgb(105, 105, 105);">資料來源／Gartner，iThome製表</span>）</p> <p><span style="font-size:28px;"><strong>跨域思考，跨領域的防禦借鏡</strong></span></p> <p>資安雖然是一門專業，但這領域的發展歷史與成熟度，並不像醫學、法學、管理學等來得完整，相關理論方法都處於建構與發展中，此現象也是現今資安工作制訂及資安人才培育的問題瓶頸，因此「跨域思考」即是借鏡不同產業的資安經驗或不同領域的方法，套用於企業自身的參考模仿方式。</p> <p>如同金庸在《笑傲江湖》中「獨孤九劍」所傳達的意涵，面對不同兵器對陣時所採用的攻防觀念，講究的是劍術（駭客攻擊手法）而非劍招（駭客病毒工具），假如要針對各門派的武功招式都一一對抗克制，則永遠得要面對N+1的狀況，我們無法知道+1存在於何時、何處、何來，就像資安所面對的「未知攻擊」威脅；例如現今熱門的資安框架MITRE ATT&CK，對於識別威脅入侵的攻擊鏈描述具有更一致的標準，它就是值得被參考的方法，至少是集合已知的多樣化資安威脅之大成，比起更早之前各家資安業者訂定的Cyber Kill Chain，更有依循參考性。</p> <p>在國內IT領域資安工作，當屬金融業銀行單位的經驗值與管理方式，最為豐富，尤其是民營金融單位的務實性更高，對於其他各個產業領域在IT資安議題值得借鏡，因此，我們可以學習，思考如何應用在自身企業單位的環境，但千萬不可照樣模仿、照單全收！</p> <p>舉例來說，金融單位防範資料外洩的嚴謹度，若套在企業商業機敏資料，是可以適用的；電子商務參考網路銀行的方法也適用，另外，工控無人操作裝置可以參考銀行ATM管理防護──取其方法跟經驗做為跨領域的參考思考，建立合適防護與管理方法並做強度調整。</p> <p>但切忌不明就裡之下而照本宣科的模仿，比如IT、OT、IoT的資安防護設計，就是截然不同的思考模式。近年來，工業及關鍵基礎設施因OT與IoT資安攻擊而逐漸關注，最初雖借鏡IT的資安防護管理方法這帖藥，但這對於過往沒有資安基礎的OT與IoT領域而言，似乎藥性不對，反而產生困擾。</p> <p>隨著不同領域的經驗累積思索，IT、OT及IoT開始發展各自的資安認證標準，以及共通的資安治理與管理制度來同時對應相關的要求，相信更成熟健全的資安專業成熟度即將到臨<strong>。文⊙數聯資安資安管理平台發展處副處長黃繼民</strong></p> </div></div></div>
2021/5/28 07:00未署名https://www.ithome.com.tw/article/144112
當大數據遇到老大哥
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_yin_xing_lao_long_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">時報出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你是個好人嗎？你對社區和社會有正面還是負面影響？這些是多數人經常自問的問題。至目前為止，答案基本上很主觀也無法測量。中國的目標是徹底重新恢復個人私德與社會公益，不只是觀念，也包括實踐。中國領導人正設法對全國老百姓落實革命性的社會信用系統，有些人悲觀地稱此舉是「大數據遇到老大哥」：</p> <p><span style="color:#696969;"><strong>想像你在這麼一個世界，許多日常活動不停受到監控與分析：你在實體店面與網路商店買了什麼；在某個時間，你人在哪兒；你的朋友是誰，你如何和他們互動；你花多少時間上網、打電動；你支付了（或沒有支付）哪些帳單、繳了什麼稅……現在，想像有一個系統，上述這些行為會被評定為正或負，然後濃縮成一個數字，給分標準是根據政府制定的規則。</strong></span></p> <p>儘管國外批評人士擔心會出現最壞的情況，但中國政府將這定調為現代「社會主義」社會創新的一環。中國政府宣稱，這個以數據為本的「信用」制度勢在必行，「建立誠信文化，落實誠信與傳統美德，以守信的激勵和失信的約束為獎懲機制，目的是提高全社會的誠信意識和信用水平」。在實務上，不良的社會信用評分會限制你出遊，降低你的網速，你的小孩無法進入一流學校，你也無法找到好工作，無法進入高檔旅館，被貼上「壞公民」的羞辱標籤。</p> <p>在已開始實施社會信用制度的城市，一些公民已經見識到其正向成效。三十二歲的實業家陳先生表示：「我覺得過去六個月來，大家的行為愈來愈好。例如，我們開車時，現在一定會在行人穿越道前停下車禮讓路人。如果你不停車，你會被扣分。起初，我們是因為擔心被扣分，而今則是習慣停車禮讓了。」</p> <p><span style="font-size:28px;"><strong>社會信用評分天網將不再是中國獨有</strong></span></p> <p>儘管有人給予肯定，但這套系統依舊讓人打從心底擔心人類自由的未來。最起碼，它「讓人民承受成為模範公民的壓力」。它代表可能不是那麼混亂，但堪比二十一世紀的數位文化大革命，而且此現象不僅限於中國。誠如著名技術理論學家亞當．格林菲爾德（Adam Greenfield）所言：「這絕非中國所獨有，所以會擴大到其他地方，（一旦）別處的條件也成熟。社會信用的到來，預告了世界各城市的生活將會出現戲劇性的重大變化，這也包括你可能稱之為家的地方。」</p> <p>但是原則上，它也可以充當為一次激進的機會，藉由大數據讓企業和政府更負責，因為它們的數據必須被公開追蹤與分享。不過實務上，一個更壓榨的現實埋伏在角落，蠢蠢欲動。社會信用制度的政策在貴州這樣的窮鄉僻壤先行上路測試，並非巧合，這裡的規定少，公共關注度也低，所以吸引了科技巨擘，諸如谷歌、微軟、百度、華為、阿里巴巴，皆陸續在此成立研究機構與數據中心，蘋果（Apple）在二○一八年稍後跟進。就此而言，「作為中國數據中心的地位，貴州雀屏中選成為地方政府實驗社會信用制度的理想實驗室」。這點揭露了科技界試圖把對數據那種「多還要更多」的無止盡欲望，結合了追求社會進步與文化美德，這景象頗振奮人心，但聽起來也非常極權。</p> <p>中國的社會信用制度只是最新又最明顯的威脅，顯示全面可行、市場化的數位極權主義（digital authoritarianism）威脅並非空穴來風。這是當代的壓迫形式，建立的基礎是，我們生活裡有愈來愈多面向可被轉換為量化的數據，成為監控我們的主要資源。因此，「許多國家陷入陣痛期，辯論政府可對人民的監視程度。但是在其他國家，對國家監控權的約束少之又少（如果有的話），因此數據獨裁已經近在眼前」。同樣讓人不安的是，「大數據、老大哥、大把銀子」三者之間的關係日益綿密複雜，催生了「智慧」鎮壓。</p> <p>這些政策以及隨之而來可能成真的做法，再一次引起大家的疑慮，不禁要質疑演算法在人治（human governance）上的角色；演算法成了一種「迷思」，祕密控制我們的生活。各種演算法的影響力愈來愈大，規範我們的人際關係與社會，影響程度之大，前所未見。它們放棄使用數據調查所在的世界，改而愈來愈集中於「繪出」（mapping）我們生活、行動、想法的全貌；這麼做，靠的不是監獄的瞭望塔、政府到家裡安裝的電視監視器，或是街上的監視攝影機，而多半靠的是你手上行動裝置的應用程式，可能是你主動下載，但更常是你沒有掏錢買的程式。</p> <p><span style="font-size:28px;"><strong>新一代老大哥是無所不知的雲端</strong></span></p> <p>新的老大哥並非電影裡或海報上那個凶巴巴看著你的獨裁者，而是無所不知的數位「雲」，會「連續、全程、偷偷分析你的數位足跡，這些數據來自於你的種種行為，包括工作、購物、睡覺、飲食、運動、溝通」。這種侵入性監視受惠於我們持續產出的「數位軌跡」（digital tracks），這些數位軌跡是我們在線上凡走過必留下的痕跡，被資本主義體制下的政與商所用，進行經濟剝削。但我們也不用全然絕望，這些侵犯個人自由及隱私的行為，同時也助長了各種形式的反抗。對抗這種侵入式的監控，叫做反監控（sousveillance），亦即受監控的對象重新定位追蹤與監看的鏡頭，以便更清楚地「看見監控者」。例如現在有一種「haccessible」眼鏡，可以記錄你的活動與行為，萬一你被冤枉，被指控犯了罪，可以將此作為「數位不在場證明」，還自己清白。就政治上而言，手機讓每個市井小民可以拍下警察與政治人物，揭露他們濫權的一面，並將其醜行上傳到更大的網路世界。</p> <p>每個極權政府的夢想，也幾乎是每一位公民的夢魘，就是能夠在合法統轄範圍的內外，滴水不漏地監視每一個人、每一件事，在某種程度上，這等於是最極端的統治權類型。極權主義的動力也許是為了赤裸裸的權力，但深層的理由是掌握資訊，以利有效且睿智地統治。大數據讓這樣全面監控的渴望歷來首見地更進一步貼近現實，社會鼓勵監控現象，大家不僅會自我監控，也自願讓菁英監控他們。</p> <p>唯一逃過被監看命運的，似乎是菁英以及資本主義制度本身。</p> <p>這個更新版的老大哥標榜主動出擊，而非被動反應，鼓勵個體善用數據提升自己的狀態與福祉，全面監控成了個人獲得健康幸福和專業成就的先決條件。利用數據與自我追蹤技術，對自身及他人都是一種道德義務，以創新又有效的方式，「事半功倍」地提高自己對社會與職場的正面影響力。</p> <p>全面監控是全方位的公共症候群（public syndrome），大家集體憂慮自己被社會監控與公審。然而這種全面監控也可以透過各種自我監測的行為，包括使用線下或線上的「生活教練」、「電腦監控」工具追蹤各種進度，以激勵自己不斷提高個人目標。另一個較不明顯，但無損其影響力的是社群媒體的功能，可以被用來定期（往往是不知不覺中）規範我們的行為。藉由固定上網（寫日誌或登錄社群媒體），我們把真實人生的自我攤在明處與暗處的網路追蹤與教化的框架裡。我們透過自我監控，希望能打入不同的線上網絡、被這些網絡接納，而數位控制技術因為我們的自我監控被進一步強化，亦即，分享我們的成敗有助於建立支援網，激勵我們進一步朝實現個人及專業成就邁進。</p> <p>不過，數據監測最讓人察覺不到其存在之處，可能是它做起來方便得很。的確，捍衛網路隱私並非易事，但更難的是顛覆數位老大哥的監視。難怪大家乾脆接受這個事實：菁英擁有我們的數據，多數人是愛怎麼使用就怎麼使用。當局為了自己的利益，也會任意使用這些數據，其實不令人意外。要避開這些看似無所不在的數位控制愈來愈困難，除了讓人心煩，同時也讓人愈來愈不戰而潰，自願被監視。<strong>（摘錄整理自《隱形牢籠》，時報出版）</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <a href="https://shop.readingtimes.com.tw/SalePage/Index/7015383" target="_blank"><span style="color:#3399ff;"><strong>隱形牢籠：監控世代下，誰有隱私、誰又有不受控的自由？</strong></span></a></p> <p>彼德．布隆（Peter Bloom）／著；王曉伯、鍾玉玦／譯</p> <p>時報出版</p> <p>售價：450元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>彼德．布隆（Peter Bloom）</strong></span></p> <p>英國公開大學（Open University）人民與組織系的系主任及資深講師，REEF（Research into Employment, Empowerment, and Futures）研究團隊的共同創辦人。</p> <p>除了在國際知名期刊上發表學術著作之外，也曾在國際和國內頂級媒體上發表作品，包括《華盛頓郵報》、《衛報》、《獨立報》、《新政治家》、《周刊》（The Week）、對話網（The Conversation）、開放民主網（openDemocracy）等。</p> </div></div></div>
2021/5/28 07:00未署名https://www.ithome.com.tw/article/144564
Google一口氣推出3項全新資料運用服務，打造涵蓋資料湖、資料庫與資料倉儲的整合式資料管理架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周於線上舉辦資料雲端高峰會（Data Cloud Summit），一口氣推出3項全新的資料運用服務：Dataplex、Datastream和Analytics Hub，協助企業強化多項資料運用的能力，從分析資料、交換資料到擷取和複製資料。</p> <p>Google雲端資料庫、資料分析及Looker商業智慧平臺總經理暨副總裁Gerrit Kazmaier在視訊記者會上表示：「必須把資料視為一種能力，可以將所有相關面向整合為一。」因此，Google此次發布的三項新解決方案利基於自家整合式資料平臺，涵蓋了Google旗下多項資料庫和資料分析產品，要協助企業運用新服務打破資料孤島，在不斷變化的環境中，利用即時資料分析結果，動態地制定和調整決策。</p> <p>針對企業欲分析散落四處的資料的需求，Google推出了整合式資料管理服務Dataplex，打造了一個智慧資料網路架構，能將自家GCP平臺的資料倉儲服務BigQuery、資料分析服務Dataflow等，與開源工具結合在一起。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dataplex.png" style="width: 600px; height: 308px;" /></p> <blockquote><p>圖片來源：Google</p> </blockquote> <p>Google Cloud 資料分析產品管理總監 Irina Farqood表示，企業資料現分散於各處，包含資料倉儲、資料湖、資料市集和資料庫中，還橫跨本地和不同的雲端環境，而每一個儲存環境都有自身一套處理資料的方式，來確保資料的品質、資安和治理。</p> <p>因此，企業為了進行資料分析，時常需移動、複製資料，並需建立一套追蹤流程，掌握資料的使用狀況，以及資料的使用者。Irina Farqood表示，然而，許多時候待追蹤流程啟用時，流程已經不符合使用情境，導致使用者對資料的信任度降低。</p> <p>通過Dataplex，企業可簡化資料管理作業，不用移動、複製資料，就能大規模的快速整理、保護、整合及分析其數據，縮減原本整合資料所需的時間，且資料科學家和分析師可利用自選工具，來確保資料的一致性。</p> <p>目前Google釋出的是Dataplex的Beta 版，而美國消費者信用報告機構Equifax為第一批採用該服務的企業，已將 Dataplex 納入核心分析平臺，並建立所有內部分析資料都適用的單一指令控管及管理平臺。</p> <p>另外，為了讓企業在進行資料分析的工作上，可以獲得即時性數據的分析結果，Google還新推出異動資料擷取（CDC）和複製服務Datastream，企業可以將非Google環境資料庫中的資料串流，即時擷取至GCP平臺服務，像是BigQuery、可於PostgreSQL上執行的Cloud SQL、Google Cloud Storage和Cloud Spanner。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Datastream.png" style="width: 600px; height: 333px;" /></p> <blockquote><p>圖片來源：Google</p> </blockquote> <p>而Datastream是一項無伺服器服務，會根據企業的使用狀況自動進行水平擴充，因此，企業不需自行管理基礎設施的容量。除供企業強化即時性數據分析外，企業也可通過該服務，快速複製資料庫、建立資料工作流，以及建立事件驅動架構。</p> <p>新服務首先支援的資料庫來源有，甲骨文和MySQL資料庫。Google Cloud資料庫工程總經理暨副總裁 Andi Gutmans表示，未來幾個月內，Google還將持續增加服務支援的資料庫來源，以及資料複製到的目的地。Datastream目前也是處於Beta 版階段，已採用此服務的企業有美國連鎖超市 Schnuck Markets。</p> <p>隨著企業間資料交換的需求日增，Google此次還推出了全新的資料交換服務Analytics Hub，供企業在組織內部或是與組織外部，交換資料和分析洞察，且服務支援的交換資源不僅是資料，也可共享動態儀表板和機器學習模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Analytics%20Hub%20Diagram.png" style="width: 600px; height: 300px;" /></p> <blockquote><p>圖片來源：Google</p> </blockquote> <p>Google Cloud 資料分析工程總經理暨副總裁 Debanjan Saha 表示，資料交換不是新功能，BigQuery早已支援跨組織間的資料交換需求，所以，Analytics Hub聚焦的是資料交換功能的可擴展性。新服務能協助企業整合多項數據資產，包含Google平臺上的網頁分析、搜尋趨勢等數據，還有新聞訊息、公部門資料等公開數據。</p> <p>Debanjan Saha也分享近一周企業使用BigQuery資料共享功能的狀況。根據BigQuery後臺顯示的數據，過去一周，累計有3千家企業使用資料共享功能，並交換了高達200PB的資料，顯見企業對資料交換的需求非常龐大。新推出的Analytics Hub目前則處於Beta 版階段。</p> <p dir="ltr">在資料雲端高峰會舉辦期間，Google雲端也發布了多項既有資料庫和數據分析產品的更新消息，包含了繼去年推出支援AWS的BigQuery Omni後，再發布支援微軟Azure的BigQuery Omni的Beta版，而商業智慧平臺Looker 則可正式支援Azure，還有，串流分析解服務Dataflow預計在第三季推出Prime版本，將新增自動擴充和正確配置資料工作流等能力。此外，Google雲端降低了全代管關聯資料庫Cloud Spanner的入門價格，調幅達9成。文⊙黃郁芸</p> </div></div></div>
2021/5/27 23:07作者黃郁芸https://www.ithome.com.tw/news/144662
Amazon新執行長Andy Jassy將於7月5日上任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/142590" target="_blank">Amazon今年2月宣布</a>，執行長貝佐斯（Jeff Bezos）預計於今年交棒給AWS執行長Andy Jassy的消息，本周金融時報記者<a href="https://twitter.com/DaveLeeFT/status/1397603637501693957" target="_blank">Dave Lee</a>透過Twitter表示，Jassy將在今年7月5日走馬上任。</p> <p>Lee的消息來源是貝佐斯本人。貝佐斯表示，Amazon選在7月5日交接執行長，是因為當天為Amazon的27歲生日。此外，Jassy在Amazon任職的時間幾乎與他一樣久，大家都認識Jassy，相信他將成為一個傑出的領導者。</p> <p>貝佐斯還稱讚Jassy擁有超高標準與充沛的能量，將會讓Amazon變得更特別而不甘於平凡，雖然不容易，但Jassy應該會因此而感到滿足及有趣。</p> <p>Jassy於1997年加入Amazon，當時Amazon才成立3年，繼之於2003年建立AWS服務，在2016年成為AWS執行長。而貝佐斯屆時將轉任Amazon的執行主席，將著重於各種新產品及早期專案，也會參與重要的Amazon計畫，同時將付出更多的心力在他所創立的Day 1 Fund與Bezos Earth Fund基金會、衛星公司Blue Origin，以及以個人名義買下的華盛頓郵報。</p> </div></div></div>
2021/5/27 20:06作者陳曉莉https://www.ithome.com.tw/news/144661
比利時內政部網路也因Exchange Server漏洞遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼本月初政府網路遭攻擊後，比利時內政部也曾遭駭客利用Exchange Server漏洞駭入網路。</p> <p><a href="https://www.ibz.be/fr/presse/le-spf-interieur-a-fait-face-a-une-cyberattaque-et-modernise-son-infrastructure-informatique" target="_blank">比利時內政部周三指出</a>，今年3月2日微軟公布的Exchange Server漏洞，影響了全球數萬組織。而比利時內政部也用了Exchange Server，也和其他數萬組織一樣受害，並在內部網路上發現後門程式。</p> <p>此外，比國政府網路安全中心（CCB）還進一步發現內政部網路上有其他可疑對外連線。初步調查顯示入侵最早可追溯到2019年4月，依據手法的複雜性，研判攻擊者有強大網路攻擊能力及豐沛資源，且依其精準攻擊策略來看，可能是樁間諜性質的竊密行動。</p> <p>比國內政部表示，發現資安問題後即在資安單位協助下採取緊急行動，制止攻擊者，移除惡意程式，並採取重要資料防護措施，同時通知該國國家危機中心、資料防護機關、比國情報機關（SGRS）、聯邦警察、聯邦檢察官辦公室、國安單位及外交事務處等單位。本案並由聯邦檢察官辦公室啟動調查。</p> <p><a href="https://www.helpnetsecurity.com/2021/05/26/belgium-interior-ministry-cyberattack/" target="_blank">比利時媒體報導</a>，該國內政部主管警務、移民、選務單位及身份證派發等相關敏感資料庫。但調查的CCB指出，比國民眾和內政部服務並未受到影響，但攻擊者確已存取了地方資料。</p> <p>在三、四月間的Exchange Server攻擊中受害政府單位成千上萬，光是美國就有三萬家組織受到影響，波及州／市政府、信用合作社、警察局、電信公司、銀行、消防單位及非營利機構。<a href="https://www.ithome.com.tw/news/144605" target="_blank">一項研究</a>解釋，這是因為在微軟公布ProxyLogon漏洞後5分鐘，駭客就已在網路上掃瞄可能的攻擊目標了，才導致那麼多組織被駭。</p> <p><a href="https://www.ithome.com.tw/news/144202" target="_blank">比利時政府網路Belnet二周前</a>才遭到不明組織發動分散式阻斷攻擊（Distributed Denial of Service，DDoS），導致內外部連線服務中斷，影響國會、研究機構等200多個單位。</p> </div></div></div>
2021/5/27 20:45作者林妍溱https://www.ithome.com.tw/news/144665