iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 11:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【臺灣資安大會直擊】目標式勒索病毒攻擊特徵大解析，混淆技術、無檔案式與修改OS內建程式受關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，勒索軟體結合APT攻擊手法，演進成目標式勒索攻擊，不只是加密受害者的資料，進而勒索贖金，同時也將會資料竊取，並揚言外洩企業資料索取更高額贖金，到底，這些勒索病毒的攻擊方式與行為有何特性？</p> <p>在今年臺灣資安大會上，精品科技資訊安全部副理楊庭瑋對此提出深入說明。該公司分析了超過20個勒索病毒家族，以及3百多支勒索病毒，從其攻擊行為歸納出不同的攻擊特徵，進而理解程式碼混淆後為何難以偵測。</p> <p>同時，他也具體介紹了無檔案式（Fileless）攻擊，以及利用系統內建白名單應用程式進行惡意的行為。</p> <h2><strong>目標式勒索軟體攻擊不僅加密與竊取，並已呈現高度模仿的趨勢</strong></h2> <p>目標式勒索攻擊防不勝防，楊庭瑋表示，基本上，現今的勒索病毒在發展上，已呈現相似度越來越高的趨勢。楊庭瑋指出，這些不同的勒索病毒族群，會互相學習、模仿，結果就是趨於雷同，或是慢慢變得一致。而這些目標式勒索病毒的共通點，就是不只是以加密來向受害者勒索，同時，還會竊取資料。</p> <p>進一步分析其技術手法後，他們統整出幾個駭客常用的攻擊行為特徵。例如，關於修改作業系統內建應用程式的手法，幾乎多數目標式勒索病毒都會採用，其他還包括無檔案、巨集型態、DLL注入脅持，以及迴避沙箱與虛擬機器等，也很常見。</p> <p>同時，為了具體說明這樣的攻擊流程，他以郵件攻擊的通用情境為例，讓大家較容易理解。簡單來說，當駭客寄送惡意郵件時，附件夾帶的型態分為兩種，一種是惡意程式（如EXE檔），一種是惡意Office巨集。</p> <p>上述惡意軟體的目的，就是要修改作業系統內建的白名單應用程式，而可以修改的內容很多，包括開機磁區、檔案權限、機碼，也能清除備份、刪除陰影快照與程序，以及加入惡意Script、執行惡意DLL等。因此，多半郵件防護系統偵測到，會直接擋掉這類惡意程式。</p> <p>另一種方式是透過惡意Office巨集散播，當中運用了無檔案式與混淆的技術來突破防護，進而能夠下載勒索程式，也可以做到上述的修改作業系統白名單。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E7%B2%BE%E5%93%81%E7%A7%91%E6%8A%80%E5%88%86%E6%9E%90%E7%9B%AE%E6%A8%99%E5%BC%8F%E5%8B%92%E7%B4%A2.jpg" style="width: 600px;" /></p> <blockquote><p>在目標式勒索攻擊的流程中，有幾個關鍵手法值得重視，精品科技資訊安全部副理楊庭瑋以通用郵件攻擊流程為例，指出無檔案式攻擊與程式碼混淆手法變得更普遍，以及作業系統內建白名單應用程式遭到利用的風險。</p> </blockquote> <h2><strong>為了規避防護，目標式勒索更常運用程式碼混淆技術</strong></h2> <p>在這樣的攻擊過程中，楊庭瑋特別說明幾個惡意軟體得以滲透的關鍵。例如，程式碼混淆（Obfuscated）的手法變得很普遍，許多勒索軟體都在運用此一方式，迴避安全機制與防護系統。</p> <p>關於程式碼混淆應用在攻擊的流程是如何進行？由於現在一些攻擊者會將PowerShell，利用在勒索軟體攻擊或入侵滲透的場景，因此，楊庭瑋以一段查看電腦資訊的PowerShell指令，來舉例說明，他說，當這段程式碼經過混淆一次後，整段指令內容就會變長，多出許多亂碼，使得可讀性變低，但這段程式碼在PowerShell執行時，最終還是可以得到同於未混淆之前的結果。</p> <p>值得我們注意的是，這類CMD與PowerShell的程式碼混淆方式，其實有非常多種。楊庭瑋表示，他自己就掌握了5到6種工具，可以直接將程式碼進行混淆。</p> <p>有那些常見的混淆方法？他舉例，包括：轉譯符號、base64編碼、編碼執行、別名編譯、Command編碼、工具混淆，還有Invoke-Expression、ToString、ASCII、Invoke置換、變換字串與環境變數等。</p> <p>當然，程式碼混淆也有程度差異，當使用多層次混淆後，整段程式碼不僅變得更長，幾乎也只會看到一堆亂碼，像楊庭瑋自己最多能做到6層的混淆。他強調，在多層次混淆下，程式碼將變得不易識別，也很難還原，現在駭客不少都會以此來迴避防守機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%B2%BE%E5%93%81%E7%A7%91%E6%8A%80%E5%88%86%E6%9E%90%E7%9B%AE%E6%A8%99%E5%BC%8F%E5%8B%92%E7%B4%A2.jpg" style="width: 600px;" /></p> <blockquote><p>現在有許多攻擊者將PowerShell利用在勒索病毒攻擊場景，同時搭配混淆技術來規避電腦的資安防護機制，楊庭瑋指出，混淆方式有相當多種，而且經過幾次混淆處理之後，資安人員或端點安全系統將不易識別其指令的作用。</p> <p>例如，上圖最左邊這段指令「Get-CimInstance -ClassName Win32_ComputerSystem」，作用是查看電腦資訊，在經過混淆兩次後，指令變成上圖最右邊看起來又長又是亂碼的指令，但執行後的效果與原本指令一模一樣。</p> </blockquote> <h2><strong>無檔案式攻擊也成目標式勒索的一大特徵，型態可分為3種</strong></h2> <p>另一現在目標式勒索攻擊常使用的技術手法，是無檔案式型態。對於無此種威脅，楊庭瑋引用了<a href="https://docs.microsoft.com/en-us/windows/security/threat-protection/intelligence/fileless-threats">微軟今年4月中旬公布的技術文件</a>，因為當中已提出系統化的歸納，解釋起來會更清楚。</p> <p>根據微軟的定義，無檔案式威脅可分為三種型態，包括：未執行的檔案活動、間接的檔案活動，以及操作所需的檔案。</p> <p>他解釋，以未執行檔案活動而言，攻擊者會利用像是系統的漏洞，透過一串腳本、或是一串指令碼，直接在核心記憶體傳遞執行，因此不會有檔案出現在你的電腦裡。例如，之前利用SMB協定的漏洞的WannaCry，就是透過無檔案來執行；或者是，攻擊者也可以利用硬體的漏洞，或是透過感染惡意程式的韌體來進行攻擊行為。</p> <p>在間接檔案活動的形態上，簡單來說，無檔案惡意程式碼並不會直接在檔案系統寫入檔案，但最終可能會間接使用檔案。他表示，攻擊者可使用Windows提供的JaveScript、VBScript，以及PowerShell指令，來發動攻擊，也就是說，可以間接使用作業系統的處理程序去進行攻擊。</p> <p>至於操作所需檔案的型態方面，攻擊者可利用作業系統、瀏覽器或Java引擎（編按：根據微軟Fileless threats的文件所示）等，去執行Shellcode，而能傳遞至電腦的記憶體中執行；或者是，利用Office的巨集功能，使用VBA語言進行攻擊。</p> <p>整體而言，楊庭瑋指出，這些攻擊型態的共通特點就是，都在記憶體執行，沒有任何一個檔案。他並舉出幾個常見的攻擊方式，包括：透過瀏覽器執行惡意程式碼，透過微軟Office巨集發動攻擊，以及使用PowerShell的腳本攻擊等</p> <p>其中，在PowerShell的使用方式上，有心人士又可以做出更多惡意行為，例如，使用程式漏洞攻擊、植入記憶體執行、安裝惡意腳本、潛伏於系統，以及利用白名單工具或程式攻擊。</p> <p>在此當中，他也特別透過幾個範例，展示無檔案式與Office巨集的結合應用，讓與會者看看如何利用混淆手法，迴避防護機制與人員監測。</p> <p>例如，他先以EPPlus工具製作一個有惡意巨集的Excel檔案，當使用者開啟該Excel檔案時，巨集功能也會啟動惡意腳本；此時，我們透過系統資源監控工具來觀察，可以發現：電腦在執行的Excel程序底下， PowerShell也正在執行，而進一步檢視其內容，將可看到這裡執行的程式碼，一旦該指令同時採用了混淆手法來遮蔽，我們將無法直接看出背後到底在做甚麼事。</p> <p>基本上，這樣的手法就是利用Office巨集的功能來寫入VBA的程式，因此VBA程式可以呼叫PowerShell或CMD，然後，這裡執行經過混淆的程式碼指令，將可從網路下載具有惡意攻擊的腳本，而這些腳本也會經過混淆來規避偵測，並透過PowerShell的指令，直接進入電腦的記憶體去執行。</p> <p>因此，楊庭瑋提醒，光是從郵件寄送的Office附檔來看，就能夾帶很多意想不到的資安威脅。因為，若使用者電腦不慎執行惡意的Excel檔案，其實背後都有大量風險存在，攻擊者將可做出各種惡意行為。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%B2%BE%E5%93%81%E7%A7%91%E6%8A%80%E5%88%86%E6%9E%90%E7%9B%AE%E6%A8%99%E5%BC%8F%E5%8B%92%E7%B4%A2.jpg" style="width: 600px;" /></p> <blockquote><p>利用作業系統白名單應用程式進行惡意行為，是現在目標式勒索病毒的一大特徵，楊庭瑋指出，他們的團隊分析了300多支勒索病毒，發現vssadmin、WMIC、bcdedit、wbadmin、icacl、cscript與rundll32，是被利用的次數最多的系統內建程式。</p> </blockquote> <h2><strong>作業系統內建程式被利用的情形，將是一大議題</strong></h2> <p>在目標式勒索病毒的攻擊行為中，楊庭瑋表示，還有一個常見的嚴重情形，那就是作業系統內建白名單應用程式，已經遭到駭客廣泛利用。</p> <p>而在精品分析的3百多支勒索病毒中，他們發現有7個白名單程式被利用的次數最多，分別是vssadmin、WMIC、bcdedit、wbadmin、icacl、cscript與rundll32，另外，PowerShell混淆也同樣值得關注。</p> <p>楊庭瑋表示，當這些白名單應用程式遭駭客利用，將破壞防毒及備份安全機制，也如同前述所提，攻擊者將可修改系統登錄機碼、檔案權限，以及加入惡意Script、執行惡意DLL等。他認為，以Windows 10作業系統本身的EXE執行檔，就有多達3千多支，該如何去防守與限制是很大的議題。</p> <p>因此，他們也藉由這樣的分析，找出現在普遍勒索軟體最常被利用的程式，才能進一步關注相對的防護方式與技術。</p> <p>另外，他也提醒，除了無檔案式攻擊與利用系統白名單進行惡意行為，在他們研究勒索病毒的攻擊行為中，DLL注入脅持手法的威脅也同樣值得注意，因為惡意DLL注入合法或白名單的程式內，將對系統造成很嚴重的破壞。</p> </div></div></div>
2021/6/3 22:12作者羅正漢https://www.ithome.com.tw/news/144813
臉書4,000個AI模型全使用PyTorch框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書在自家部落格，揭露使用深度學習函式庫PyTorch的情況，臉書已經進行了一年的模型搬遷工作，現在內外部總共有4,000個使用PyTorch的人工智慧模型，而生產環境則有1,700個PyTorch模型運作中，總共有超過93％的新模型訓練，包括辨識和分析臉書內容等任務的模型，都是運作在PyTorch之上。</p> <p>臉書的模型每天都要執行高達數兆次的推理操作，來服務數十億的用戶，因此臉書需要不斷發展改進人工智慧框架，而這也是他們要將所有人工智慧系統，都搬遷到PyTorch的原因。臉書認為，採用PyTorch作為預測的人工智慧框架，能夠確保所有技術都能在臉書規模的工作負載量運作良好，並且還能以更快的速度和靈活性進行創新。</p> <p>人工智慧從研究到生產的工作管線複雜且繁瑣，臉書提到，過去整個人工智慧產業的步驟、工具、程序破碎，幾乎不可能管理端到端工作流程，而臉書也面臨同樣的困境。為了解決這個問題，臉書從2016年開始尋找解決辦法，與人工智慧社群合作，研究並且發展出了PyTorch函式庫，在2018年的時候，PyTorch發布1.0版本。</p> <h2>縮小人工智慧模型研究到生產的差距</h2> <p>臉書中的PyTorch工程師，替每個開發階段都加入了一系列工具、函式庫、預訓練模型和資料集，使得開發人員能夠快速創建，並且大規模部署新的人工智慧應用。臉書希望透過使用單一平臺，來加速人工智慧研究到生產的流程，而搬遷所有臉書人工智慧模型使用PyTorch，可以讓工程師和開發人員，有更順暢的端到端開發體驗。</p> <p>脫離舊框架轉換採用標準PyTorch，臉書減少了維護兩個基礎設施的工程負擔，臉書表示，搬遷是一個持續的歷程，規模跨整個臉書產品團隊，而團隊處理搬遷的方法沒有萬用解決方案，各團隊模型的功能相異，包括排名、電腦視覺、自然語言和翻譯等，大小和複雜性也都不同，而且在搬遷的同時，還要確保模型的效能，也不能對下游產品流量造成影響。</p> <p>現在經過了一年的搬遷歷程，臉書每天平均有4,000個PyTorch模型在運作，臉書分享，在搬遷的過程，模型要歷經離線和線上測試、訓練、推理和發布，同時還必須要經過多項測試，來確保舊框架Caffe2和PyTorch之間的效能和正確性差異，工程師通常需要數周的時間，才能完成這個過程。</p> <p>臉書工程師開發了一個內部工作流程和自定義工具，來幫助各團隊決定搬遷的最佳方式，甚至決定系統不搬遷直接更換。臉書舉例，像是延遲是許多團隊關注的重點，會想了解模型轉移到PyTorch，是否有效能降低的可能性，因此臉書工程團隊便創建了內部基準測試工具，來比較原始模型和PyTorch模型的效能，以簡化評估工作。</p> <p>現在PyTorch已經成為支援臉書所有人工智慧負載的底層平臺，工程師可以在數分鐘內，就完成新模型的部署工作，而且模型也更容易建構、編寫、測試和除錯。臉書提到，PyTorch在各方面強化了人工智慧模型，包括能耗降低，而且能夠縮小機器學習研究和生產的差距，工程師還能以模型建構器的方法，方便地開發人工智慧應用。</p> <p>臉書工程師不再使用現成的解決方案，而是開發自己的機器學習解決方案，針對特定任務量身定做模型，從研究到測試都能無縫實作。這項將模型搬遷到PyTorch的計畫，讓工程師不需要每次更新模型，都要重複經歷一次實作模型的繁瑣過程，更快地讓模型從研究環境進到生產環境。</p> </div></div></div>
2021/6/3 20:23作者李建興https://www.ithome.com.tw/news/144806
Azure超級電腦等級的Nvidia A100 GPU雲端服務正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/en-gb/blog/azure-announces-general-availability-of-scaleup-scaleout-nvidia-a100-gpu-instances-claims-title-of-fastest-public-cloud-super/" target="_blank">微軟周三宣布</a>Azure ND A100 v4 Cloud GPU的雲端運算服務，正式在Azure公有雲平臺上線，號稱是速度最快的超級電腦。</p> <p>去年11月以預覽版問世的ND A100 v4搭載Nvidia A100 Tensor Core GPU，具備高擴充性提供超級電腦的運算效能，滿足高效能運算（HPC）及AI運算等高速需求的任務。A100 GPU效能是前代V100 GPU的1.7到3.2倍，而在加入新架構功能，像是混合精度模式、稀疏性處理（Sparsity）及多執行個體GPU（multi-instance GPU，MIG）後，則可達20倍。</p> <p>微軟指出，在一項HPL（High-Performance Linkpack，HPL）標竿測試下，運行於公有雲叢集上的164個ND A100 v4 VM，其運算速度達16.59 petaflops。若和去年11月公布的全球500大超級電腦來比較，這個HPL標竿測試約等同世界第20大，或歐洲第10大的超級電腦。</p> <p>若以AI和HPC的HPL分項測試項目，這164 VM測試結果為142.8 petaflop，更可躋身已知AI超級電腦的前五大。</p> <p>ND A100 v4基本服務是1VM 8顆Nvidia Ampere-based A100 Tensor Core GPU起跳，單一叢集甚至可擴充到數千顆GPU，搭載Nvidia HDR 200Gb/s InfiniBand連線，每VM互連頻寬可達到1.6T/s。此外，每8GPU的1VM還具備第3代Nvidia NVlink直接互連技術，使VM內的GPU和GPU連結速度，超過每秒600 Gigabytes。</p> <p>微軟強調，ND A100 v4採用產業標準的HPC和AI工具及函式庫（Nividia NCCL 2函式庫），用戶不需具備特別軟體或框架，就可使用它的GPU強大運算及互連能力。此外，如果企業在Azure原生部署AI或HPC應用，則Azure Machine Learning服務可提供專為ND A100 v4最佳化的VM及容器環境，內有範例、Jupyter Notebooks可方便快速使用PyTorch、Tensor等框架，用於訓練BERT等模型，和微軟內部工程團隊使用的是相同的Azure工具。</p> <p>ND A100 v4今天起在美東、美西、美中南及西歐4個Azure區域上線。</p> </div></div></div>
2021/6/3 20:56作者林妍溱https://www.ithome.com.tw/news/144812
Google推出全託管零信任安全解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正式推出<a href="https://cloud.google.com/blog/products/networking/traffic-director-integrates-with-ca-service">全託管零信任（Zero-Trust）安全解決方案</a>，該解決方案使用其開放服務網格流量管理服務Traffic Director、憑證頒發機構（Certificate Authority，CA）服務，以及和Kubernetes服務GKE建構而成。</p> <p>Google提到，企業在追求新的安全態勢（Security Posture），來改進應用程式安全性時，開始將零信任安全解決方案納入考慮。而零信任安全模型，指得是一種IT系統的設計和實作方法，預設不信任任何裝置，即便是連接著企業內網，或是之前經過認證的裝置都一樣，透過相互驗證（Mutual Authentication）確認雙放身份，並僅給使用者需要完成特定任務的權限，以強化資訊安全，進一步防止惡意程式在企業內部橫向移動。</p> <p>因此零信任安全態勢有幾個基本模塊，包括分配和身份確認方法，像是使用X.509憑證，還有使用相護驗證mTLS與伺服器身份驗證TLS協定，同時系統還需要加密所有流量，並且進行身份檢查和最低權限配置。基礎設施要能支援上述的所有功能，並且易於管理且具可靠性。</p> <p>Google則結合了Traffic Director和CA，來達成所有零信任安全態勢的要求。Traffic Director提供了易於使用的服務網格流量管理機制，該服務是一個全託管服務網格流量控制層，用戶可以使用Traffic Director在多個雲端地區，部署跨多個叢集和虛擬機器的全球負載平衡機制。而CA服務則是一個高可用度的私有CA，能夠頒發標示身份的私有憑證，並且提供完整憑證生命周期管理的mTLS憑證基礎設施。Traffic Director以及CA整合共同解決了憑證頒發，和CA輪替的複雜問題。</p> <p>透過Traffic Director來管理服務到服務（Service-to-Service）安全性，用戶能夠獲得服務網格的端到端加密、服務層級的身份驗證，以及高精細度身份驗證政策等功能。</p> <p>Google這個零信任解決方案，在用戶的服務間實作mTLS和TLS，包括憑證生命周期管理，且網格內的通訊也會經過身份驗證和加密，用戶也能啟用基於身份的驗證，以及基於請求方法等其他參數的驗證，Google解釋，這些驗證方法都是建立在基於角色的存取控制（RBAC）之上，讓用戶可以採取最低權限的設定，只有在經過授權的服務，才能根據規則允許或是拒絕相互通訊。</p> <p>無論用戶是在服務網格中使用Envoy，抑或是無代理gRPC，該零信任解決方案都支援mTLS，不過無代理gRPC的授權支援，將會在今年稍晚時釋出。</p> </div></div></div>
2021/6/3 21:05作者李建興https://www.ithome.com.tw/news/144811
Cloud周報第107期：AWS正式推出ECS Anywhere，企業能在自家資料中心執行Amazon ECS了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（2021/05/20～2021/06/03）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 容器調度服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 本地端 </span></strong></span></p> <p><strong style="font-size: 22px;">AWS ECS Anywhere</strong><strong style="font-size: 22px;">正式上線</strong><strong style="font-size: 22px;">，企業現可在本地端使用Amazon ECS</strong></p> <p>鎖定企業在本地端執行容器的需求，AWS近日正式推出Amazon ECS Anywhere，讓企業能夠在自家資料中執行Amazon ECS。Amazon ECS Anywhere將提供適用於所有基於容器應用程式的工具和ECS原生API，以及與Amazon ECS相同的叢集管理、工作負載調度和監控的經驗。企業需在自家資料中心安裝一個代理程式，以在本地端環境部署原生Amazon ECS任務（ECS容器映像檔）。AWS運算服務副總裁Deepak Singh在去年與iThome的專訪提到，ECS Anywhere產品偏似於以服務模式來提供，由AWS管理。企業於本地端資料中心機器上安裝ECS Anywhere代理程式後，將代理程式與距離最近的AWS區域連結，接著，執行於AWS區域中的控制層，會負責管理企業本地端資料中心內的所有容器，包含調度、排程等。Deepak Singh補充，因不清楚機器的規格和架構，AWS不會負責管理機器。</p> <p>其實，AWS已正式開賣的伺服器硬體AWS Outposts，也可讓企業在本地端Outposts上建立ECS叢集。究竟透過Outposts於本地端執行ECS，與通過ECS Anywhere在本地資料中心執行ECS，會有什麼差別，Deepak Singh當時也做了說明。Deepak Singh表示，Outposts是全託管服務，執行於AWS硬體上，通過AWS網路與AWS區域連接，因此，在Outposts上執行ECS與在AWS區域中使用該服務，體驗會非常相似，然而，使用ECS Anywhere情況會有所不同，他進一步表示，服務將不再執行於AWS網路，不再執行於AWS硬體，因此，一些可在Outposts和AWS區域獲得的功能，將無法通過ECS Anywhere取得。<a href=" https://aws.amazon.com/tw/blogs/aws/getting-started-with-amazon-ecs-anywhere-now-generally-available/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> K8s </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 混合雲 </span></strong></p> <p><strong style="font-size: 22px;">微軟發布Application Services預覽版，企業可在任何K8s環境執行Azure應用程式服務</strong></p> <p>微軟近日舉辦了線上Build開發者大會，微軟執行長Satya Nadella在大會主題演講宣布，將推出Azure Application Services。這項新服務一大特色就是讓企業可使用Azure Arc混合雲平臺，於任意K8s環境，不管是企業本地端、多雲混合雲或邊緣環境，執行Azure應用程式服務，包含Azure App Service、Azure Functions、Azure Logic Apps、Azure API Management 和 Azure Event Grid。Azure Application Services現處於預覽版階段，進一步來看，企業可以使用K8s容器調度服務，於AWS、GCP平臺和Azure，執行想要使用的 Azure 應用服務，而任何透過Azure Arc連接的K8s叢集，都是新服務支援的部署目標。</p> <p>另外，微軟也宣布正式推出AKS on Azure Stack HCI這個新服務。Satya Nadella強調，只要簡單幾個步驟，企業就可以在Azure Stack HCI平臺部署AKS叢集，來調度和管理容器化應用程式，以達到跨Azure雲端和多雲混合雲一致性的應用。<a href=" https://azure.microsoft.com/en-us/blog/build-cloudnative-applications-that-run-anywhere/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資料運用服務 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資料分析 </span></strong> </p> <p><span style="font-size: 22px;"><strong>Google雲端推出3項全新資料運用服務，可即時擷取MySQL資料至BigQuery</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/image2_1yjCKOY_max-800x800.png" style="width: 600px; height: 220px;" /></strong></span></p> <p>Google近期舉辦資料雲端高峰會（Data Cloud Summit），一口氣推出3項全新的資料運用服務：Dataplex、Datastream和Analytics Hub，協助企業強化多項資料運用的能力。Dataplex是一項整合式資料管理服務，打造了一個智慧資料網路架構，能將GCP平臺的BigQuery、Dataflow等服務，與開源工具結合在一起。通過Dataplex，企業可簡化資料管理作業，不用移動、複製資料，就能大規模的快速整理、保護、整合及分析其數據，縮減原本整合資料所需的時間，且資料科學家和分析師可利用自選工具，來確保資料的一致性。</p> <p>另外， Google還新推出異動資料擷取（CDC）和複製服務Datastream，企業可將非Google環境資料庫中的資料串流，即時擷取至GCP平臺服務，像是BigQuery、Google Cloud Storage和Cloud Spanner，獲得即時性數據的分析結果。Datastream是一項無伺服器服務，會根據企業的使用狀況自動進行水平擴充，而首波支援的資料庫來源有，甲骨文和MySQL資料庫。</p> <p>隨著企業間資料交換的需求日增，Google此次還推出了全新的資料交換服務Analytics Hub，供企業在組織內部或是與組織外部，交換資料和分析洞察，且服務支援的交換資源不僅是資料，也可共享動態儀表板和機器學習模型。<a href="https://cloud.google.com/press-releases/2021/0526/data-cloud-summit">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 無伺服器運算服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 擴充套件 </span></strong></span> </p> <p><strong style="font-size: 22px;">AWS正式釋出Lambda擴充套件，企業可整合維運工具強化監控力</strong></p> <p><strong style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/logs-api-concept-diagram.png" style="width: 600px; height: 225px;" /></strong></p> <p>AWS近期正式釋出無伺服器運算服務Lambda的擴充套件，企業可整合監控和維運相關工具，進行監控、安全和治理等任務。企業、AWS合作廠商和開源社群可使用Lambda 擴充套件 API，建置自身的擴充套件來擴充Lambda執行環境，而這些套件會在Lambda函式的執行流程中，協助增強函式功能。AWS Lambda擴充套件的使用情境包含在呼叫函式前、期間和之後擷取診斷資訊，還有自動檢測程式碼，也能利用安全代理來進行檢測和警告函式活動，以及發送遙測資料。</p> <p>相比預覽版，AWS Lambda擴充套件正式版在函式程式碼完成後，可立即送出回應，不需待擴充套件工作完成，所以，擴充套件可在函式回傳回應訊息後，執行發送遙測資料這類的工作。擴充套件採用與Lambda函式相同的計費方式，企業需按在Lambda生命周期使用的運算時間付費，而函式調用方面則按照服務請求，以及用於執行程式碼和所有擴充套件的運算時間來付費。企業可以從控制臺和命令列，安裝擴充套件，來擷取訊息、執行自動偵測程式碼等工作，而這項新功能目前在美東北維吉尼亞、愛爾蘭和米蘭的AWS地區，正式上線。<a href=" https://aws.amazon.com/tw/blogs/aws/getting-started-with-using-your-favorite-operational-tools-on-aws-lambda-extensions-are-now-generally-available/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TPU VM </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></p> <p><strong style="font-size: 22px;">Google雲端推出全新Cloud TPU系統架構，企業可直接存取TPU主機提升ML模型效能</strong></p> <p><strong style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/2_.jpg" style="width: 600px; height: 234px;" /></strong></p> <p>Google發布Cloud TPU VM，供企業直接存取TPU主機，使用雲端TPU運算資源，而開發者能在TPU上，使用TensorFlow、PyTorch和JAX進行開發和部署。通過Cloud TPU VM，企業不需要再以遠端的方式存取Cloud TPU，可直接在每臺TPU主機上，配置自己的互動式開發環境。因此，企業可以在單一TPU VM中，逐行編寫和除錯機器學習模型，也能依需求使用Cloud TPU Pod擴充規模，與其他TPU高速互連。</p> <p>企業會擁有每個TPU VM的最高管理權限，可以在TPU加速器中安裝和執行任何程式，並且使用本地端儲存，來在輸入管線中自定義程式碼，甚至可將Cloud TPU整合到研究和生產的工作流程中。Google表示，全新的Cloud TPU系統架構讓企業程式碼不需在資料中心間往返，可提升效能，且不需額外建立一組Compute Engine VM，來準備資料傳送給Cloud TPU Pod切片中的遠端主機，也可減少額外VM費用。Cloud TPU VM目前為預覽版階段，先在us-central1和europe-west4地區上線，提供企業選用單個Cloud TPU裝置、Cloud TPU Pod切片，還有選用TPU v2或TPU v3加速器硬體。<a href=" https://cloud.google.com/blog/products/compute/introducing-cloud-tpu-vms">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> Elastic解決方案 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 產品整合 </span></strong></p> <p><strong style="font-size: 22px;"><strong>Azure整合控管日誌工具Elastic，供企業直接從市集取得來部署</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/6(8).jpg" style="width: 600px; height: 433px;" /></strong></strong></p> <p>微軟宣布Azure整合Elastic 解決方案，包含Elastic Search、Kibana和Logstash軟體，省去企業部署Elastic產品的程序，目前先提供預覽版。以往企業要在Azure配置Elastic Stack相當耗時，且需要同時具備Elastic解決方案和Azure的技術能力，現在，企業可以直接從Azure市集中，取用Elastic解決方案，且產品整合面涵蓋解決方案的部署、計費和支援。</p> <p>企業可以使用Azure Control層，來控制Elastic SaaS解決方案，配置新的Elastic服務，並設定使用的Azure資源自動地傳送日誌和指標到Elastic。微軟表示，透過自動日誌轉發程序，企業能夠在Azure Portal使用Elastic配置資源日誌。安全性方面，企業可以利用Private Link來連接Azure虛擬網路與Elastic Cloud虛擬網路，並且使用單點登入（SSO）功能，在Azure和Elastic Cloud的轉換間使用統一憑證登入。<a href=" https://azure.microsoft.com/zh-tw/blog/search-made-simple-native-elastic-integration-with-azure-now-in-preview/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> SQL指令 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 機器學習模型 </span></strong> </p> <p><strong style="font-size: 22px;">AWS為資料倉儲Redshift新增機器學習功能，自動化ML模型建置工作</strong></p> <p>AWS雲端資料倉儲Amazon Redshift新增機器學習功能，供企業可以使用指令建立機器學習模型。進一步來看，企業現在可以使用SQL語法，查詢訓練資料以及指定預測的輸出值，不需要再將資料從Redshift匯出到S3儲存桶中，並且配置像SageMaker服務，就能快速啟動機器學習模型訓練流程。Redshift ML會自動將資料從Redshift匯出至S3儲存桶，並且呼叫SageMaker Autopilot來準備資料，進行預處理和特徵工程。接著，會選擇適當的預建置演算法，並在資料上使用該演算法以訓練模型，而企業也能選擇使用特定的演算法。</p> <p>這項新功能會自動處理Redshift、S3和SageMaker之間的所有操作，包含訓練和編輯牽涉的所有步驟。在模型完成訓練後，Redshift ML還會使用SageMaker Neo來最佳化模型進行部署，並且以SQL函式的形式來提供機器學習運算。因此，企業能夠使用SQL函式，在查詢、報告和儀表板的資料應用機器學習模型。Redshift ML現已在俄亥俄州、法蘭克福、新加坡、東京、雪梨等AWS地區上線。 <a href=" https://aws.amazon.com/tw/blogs/aws/amazon-redshift-ml-is-now-generally-available-use-sql-to-create-machine-learning-models-and-make-predictions-from-your-data/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融服務業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料交換 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google推出金融服務業專用資料交換解決方案Datashare，簡化資料發布者和消費者交付、轉換程序</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1(87).jpg" style="width: 600px; height: 246px;" /></strong></span></p> <p>Google日前推出專為金融服務打造的全新解決方案Datashare，供金融業資料發布者和資料消費者，可以在同一處交換資料。交易所、股票市場等單位的資料發布者需加入全球性資料，像是社交媒體、氣象資料和衛星圖像等，來提升產品競爭力，而Datashare會組織第三方資訊，供資料發布者和消費者都可以存取使用。Datashare有三種發布和消費資料的方法，第一種是批次交付，資料發布者可以透過BigQuery，批次交付他們的參照資料、歷史分筆資料、替代市場資料等。</p> <p>第二種則是即時資料串流交付，藉由事件資料交付頻道，以Pub/Sub快速變更價格、刻度和訂單等資訊，資料消費者能夠處理單個訊息，或是回到特定時間點，來測試模型變化。最後一種則是，讓資料發布者上傳有版權的資料，並透過Google雲端市集供其他消費者付費使用。對資料發布者來說，使用Datashare不需維護交付和授權基礎設施，而對資料消費者而言，可取用現成可分析和機器學習的資料，不用手動維護ETL工作管線，來載入檔案和轉換資料。<a href=" https://cloud.google.com/blog/topics/financial-services/announcing-the-general-availability-of-datashare">（詳全文）</a></p> <p>圖片來源／AWS、微軟、Google雲端</p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></span></strong></p> <p>1. AWS執行長Andy Jassy將在7月5日正式接任亞馬遜執行長<a href=" https://central.virtualshareholdermeeting.com/vsm/web?pvskey=AMZN2021">（詳全文）</a></p> <p>2. 甲骨文與晶片設計新創Ampere合作，要開始提供基於Arm處理器的雲端執行實例，提升運算服務性價比<a href=" https://blogs.oracle.com/cloud-infrastructure/arm-based-cloud-computing-is-the-next-big-thing-introducing-arm-on-oci">（詳全文）</a></p> <p>3. Google整合內部使用的ML工具推出全託管機器學習平臺Vertex AI，供企業加速AI模型的部署和維護<a href=" https://cloud.google.com/blog/products/ai-machine-learning/google-cloud-launches-vertex-ai-unified-platform-for-mlops">（詳全文）</a></p> <p>4. AWS地理位置服務Amazon Location正式上線，供開發人員建置具地理位置功能的網頁和行動應用程式<a href=" https://aws.amazon.com/tw/blogs/aws/amazon-location-service-is-now-generally-available-with-new-routing-and-satellite-imagery-capabilities/">（詳全文）</a></p> <p>資料來源：iThome整理，2021年6月</p> </div></div></div>
2021/6/3 16:07作者黃郁芸https://www.ithome.com.tw/news/144807
紓困4.0正式上路！月收少50%的企業可申辦、個人紓困明日開始發放
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院今（3日）宣布通過疫情紓困4.0專案，第一波預算規模2,400億元，最快明日開始發放紓困金。這次紓困針對個人、產業和貸款來實施，產業部分將發放補助給單月營收減少50%的企業，另也針對指揮中心要求停業的業者，發放停業補助和員工每人4萬元的補貼。</p> <p><strong><span style="font-size:22px;">紓困金發放有3個時間點，最快明日就可領</span></strong></p> <p>這波紓困金發放有3個時間點。首先，行政院長蘇貞昌表示，為避免群聚、降低地方政府負擔，自6月4日起，針對曾申請過補助、留有存摺資料且符合這次紓困資格的個人民眾，行政院將直接撥款匯入帳戶。</p> <p>再來，針對未曾留有資料的民眾，行政院將在6月7日提供線上申請書，供民眾線上申辦個人紓困金，不必至臨櫃處理。同時，行政院也將開放業者，來申辦事業紓困事宜。</p> <p>接下來，行政院將於6月15日發放孩童家庭防疫補貼，並開始受理勞工紓困貸款。（如圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%99%82%E9%96%93.png" /></p> <p><strong><span style="font-size:22px;">紓困4.0新增新一波疫情受損事業，月營收減少50%可申請</span></strong></p> <p>行政院政務委員暨國發會主委龔明鑫指出，這次新增新一波疫情受損事業補助辦法，企業只要在5、6、7月單月營收減少50%以上，就可申請紓困補助。</p> <p>補助行業類別包括商業服務（如餐飲、零售、批發、倉儲等）、觀光交通（如旅行、旅館、旅遊業和駕訓班）、教育事業（如學校廚工、幼稚園、社大與講師、補習班等）、藝文業（如出版、書店、展演等），以及長照托幼（如保母、托嬰中心、身障和長照等）。</p> <p>再來，若有業者受中央疫情指揮中心命令停業，而且給薪未達基本工資者，可領取停業補貼，補貼金額依雇員數量計算，每位雇員以1萬元為準，一次發放給企業。</p> <p>停業補貼除了發給企業，也會針對雇員發放員工補貼，每位雇員可一次領3萬元，且就業安定基金還會加發1萬元生活補貼，因此共有4萬元。（如圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BA%8B%E6%A5%AD1.png" /></p> <p>除了新增補貼類別，這次也將持續進行原有的補助類別，包括交通、客運、製造業和技術服務業、會展業和貿易服務業、社福團體等。其中，交通業依員工數，每位最高給予2萬元補助，而製造業和技術服務業、會展業和貿易服務業等，也是如此，但會額外補貼營運資金，由雇主轉發。（如圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BA%8B%E6%A5%AD2.png" /></p> <p><strong><span style="font-size:22px;">個人紓困條件出爐，家有國小以下孩童每人補助1萬元</span></strong></p> <p>在個人紓困方面，蘇貞昌針對3大重點說明，首先，自營業者、無一定雇主的勞工（也就是小攤販、小店家、接案工作者），投保超過2.4萬元，每人可領取1萬元，共領3個月，漁民也是如此。他解釋，在過去，這類補助只限於投保金額低於2.4萬元的民眾（補助金額為3萬元），但這次不僅原有族群可繼續領取，行政院還加碼，讓投保金額超過2.4萬元的民眾也能領取，「讓所有業者得到紓困，但有排富限制。」</p> <p>龔明鑫也補充，針對有工作但無勞保或非農漁民身分的民眾，比如臨時工、小攤販，將現金補助1萬元至3萬元不等。至於農民，則祭出每人1萬元補助。</p> <p>再來，自營或無一定雇主的藝文工作者，以及計程車、遊覽車和租賃車司機，還有導遊、領隊等，都能獲得每人每月1萬元的補助，共3個月。</p> <p>另外，行政院也補貼視障按摩師，每人每月可領1萬5千元，共3個月。</p> <p>另一方面，行政院也將發放家庭防疫補助。蘇貞昌指出，家中有國小以下孩童的家庭，每位孩童加發1萬元，此外，家中有就讀國高中、五專前3年的身心障礙子女，每位也補貼1萬元。行政院統計，該項補助將發放給250萬人。</p> <p>再來，中低收入戶、弱勢（兒童、老人和身障者）等對象，每月還會加發1,500元補貼，共發3個月。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%80%8B%E4%BA%BA1.png" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%80%8B%E4%BA%BA2.png" /></p> <p>最後，龔明鑫重申紓困4.0三原則，亦即個人加快、產業加強、貸款加碼，在貸款部分，涵蓋勞工、中小企業、公股銀行、農業和央行中小企業等對象，其中，勞工每人最多可申請10萬元貸款，且第一年免利息。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B2%B8%E6%AC%BE.png" /></p> </div></div></div>
2021/6/3 18:07作者王若樸https://www.ithome.com.tw/news/144810
IT人才月報第16期：如何找到合適的技術高階主管？Shopify從工作流程、團隊、技術三大面向檢視候選人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0507~0603)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 工程副總裁 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Shopify </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高階技術人才招募術 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>如何找到對的工程副總裁？Shopify招募框架涵蓋3大面向9個要點</strong></span></strong></p> <p>美國創投First Round Capital旗下的線上雜誌First Round Review，近期刊出一篇文章，介紹美國開店平臺龍頭Shopify，如何找出一位合適的工程副總裁（VP of Engineering，VPE ）。這套招募框架是來自於Shopify現任VPE Farhan Thawar的看法，他首先點出，企業要了解候選人的技能與興趣，可以請對方依據重要程度來排序三個技術，更能藉這個答案，梳理他的技能是否符合企業現階段的需求。這是因為，在企業發展初期，可能需要技術力強大的VPE，來協助定義早期的開發流程；然而，隨著企業規模擴大，團隊的技能與職涯發展成為重心，需求就可能轉向更以人為本的領導者。換句話說，「工程副總裁是否合適，取決於進入企業的時機，他的技能與興趣需要匹配企業現階段的需求。」</p> <p>這套招募框架，大致可以分為三大面向，分別從候選人面對工作流程、團隊以及技能來進行評估。比如在工作流程方面，需評估候選人是否具備最佳化流程的能力，其中又可以分為三個要點來檢視，包括需在開發過程中具有實驗性、能減少行政流程的負擔、能聚焦持續交付（continuously delivering）對於顧客的價值。</p> <p>在團隊的面向，則是要評估候選人的團隊建立能力，同樣可從三個方向著手，包括要能吸引優秀人才、體現團隊的價值，並具有好的領導力使團隊成員成功。最後在技術面向，則要評估候選人是否有深掘一項技術的能力，包括不怕深入提出並探討問題、對於技術不會限於自身經驗而有所偏見，且在交付團隊信任的同時，卻又能在關鍵時刻擔任好協調裁決的角色。（<a href="https://review.firstround.com/hiring-a-vp-of-engineering-use-this-framework-from-shopify%27s-vpe-to-get-it-right#process-assessing-a-candidates-optimization-skills#introduction" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 麥肯錫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 混合辦公模式 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生產力提升 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">麥肯錫：多數高管認為混合辦公提高了員工生產力，將成後疫工作常態</span></strong></p> <p>根據一份麥肯錫5月發表的報告，揭露CxO高管們在後疫情時代也更傾向採用混合辦公模式，且該模式確實帶來了企業生產力的提升。報告首先指出，在預測後疫情時代的工作模式時，只有1成的高管認為員工將花費高於80%的時間在辦公室，其他9成都認為，未來將走向線上與實體混合的辦公模式。然而，對於混合辦公的規劃與願景，三分之二的企業缺乏訂定詳細的計劃或願景，雖然三分之一已經有詳細計畫，卻只有十分之一的企業開始溝通與試行。</p> <p>在當前的混合辦公模式中，大多高管認為，企業生產力確實有所提升，若將各項工作指標量化統計，從個人生產力、多元化和包容性、團隊生產力、員工參與度到顧客滿意度，僅有不到2成高管認為各項表現在疫情後更差，3～5成認為與過去相差無幾，其餘則認可混合辦公模式帶來了更大的工作效益。（<a href="https://www.mckinsey.com/business-functions/organization/our-insights/what-executives-are-saying-about-the-future-of-hybrid-work?utm_campaign=TALENT%20EDGE%20WEEKLY&utm_medium=email&utm_source=Revue%20newsletter#" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-06-03%20%E4%B8%8B%E5%8D%884_11_36(1).png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Linkedin </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> InMail回覆率 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 個性化內文 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Linkedin揭露回覆率高的InMail特質，關鍵是簡潔與個性化的訊息內容</span></strong></p> <p>Linkedin近期發布一份關於自家InMail功能的調查，統計Linkedin成員收到招聘人員發送的InMail後，最高回覆比例的InMail具有哪些特質。這項分析是根據從2020年4月到2021年2月期間，統計全球企業招聘人員發送的數千萬份InMail得到的結果。</p> <p>這項分析指出，回覆率最高的InMail有四點特質。其一，是訊息內容簡潔且字數少於400字，這類InMail回覆率比起平均值高出16%，甚至比1,400字以上的訊息多出41%的回覆率，介於400～800字的訊息，回覆率也高於平均值。換句話說，短InMail更可能被回覆。其二，是根據統計，星期一是一周內最適合發送InMail的日子，收信者的回覆率最高，但若在其他日子發送，回覆率也相差無幾，只要避開周六即可。</p> <p>其三，是個性化的InMail內容也比大量重複發送的InMail更容易收到回覆，且比例高出20%，Linkedin也提醒，這裡的個性化不只是沒有套用既有內文格式來發送InMail，招聘者同時也應該在內容表明對收信者感興趣。其四，若收件者本身是能夠隨時上工、待業的身份，InMail回覆率也會高出75%，顯示招聘者不應該忽視收信者本身對於一份尋找新工作的積極程度。（<a href="https://www.linkedin.com/business/talent/blog/talent-strategy/these-inmails-get-best-response-rates" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Inmail.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 街口支付 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT編制 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PM </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">街口支付2個月完成1專案的關鍵：靠業務與技術PM提升IT開發效率</span></strong></p> <p>街口電子支付技術長林世鵬，剖析自家IT團隊提升開發效率的關鍵，就是靠PM與開發人員深度溝通，來釐清開發需求。他提到，IT必須要與PM深入溝通，以釐清業務流程的訴求與目標，因為街口支付只有一個60人的IT團隊，不像一些大公司動輒有上百名IT與充足資源，「我們每一行程式碼都要敲在刀口上。」以不重工為原則，寧願多花3天～1周，進行需求分析與討論，來明確業務價值，也不要日後發生需要重構、合併、打掉重練的狀況。</p> <p>街口支付的開發流程一開始，會有專案啟動會議，由PM向所有參與方，說明本次專案的業務價值、目標，以及接下來要做的事情。約莫2周後，PM會將產品需求文檔（Product Requirement Document，PRD）開發出來，並與所有開發、測試的工程師進行多輪PRD檢視，直到PRD凍版，完成功能明確的線框稿（Wireframe）。待PRD明確後，才會開始進行技術方案的設計。</p> <p>甚至，在整個開發過程中，街口支付會指派一位技術專案經理（Technical Project Manager，TPM），負責整體專案中包括基礎架構，各類型資源如前端、研發、PM與AM資源的調配，以及整體風險的管理，確保業務導向的PM在執行專案過程中，部分技術面的堅持及較好的作法，不會因而被犧牲。目前，街口支付大約2個月便能完成一個專案。（<a href="https://www.ithome.com.tw/people/143882" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/960-lin_shi_peng_-she_ying_hong_zheng_wei_.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 後疫情時代 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 混合辦公模式 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距工作成常態 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">調查：70%歐美企業將轉為線上與實體交錯的混合辦公模式</span></strong></p> <p>隨著疫苗開打，歐美國家COVID-19疫情漸平穩，企業開始恢復部分員工進公司上班。但市場研究機構<a href="https://www.prnewswire.com/news-releases/forrester-only-30-of-companies-will-embrace-a-full-return-to-office-model-post-pandemic-301299937.html">Forrester預測</a>，即使如此，高達7成的歐美企業在後疫情時代，將轉向兼具遠距、進公司上班的混合辦公模式，讓一部份員工至少一周兩天在任何地方作業，其他天到公司上班。研究更指出，善用混合辦公的企業不只對員工有好處，對公司也有強化員工向心力、降低人員流動率的效益。</p> <p>而且，疫情也已經對企業工作型態及員工的工作思維帶來變化。根據<a href="https://www.businesswire.com/news/home/20210525005061/en/Born-Digital-Poised-to-Deliver-Substantial-Economic-Gains-%E2%80%93-But-They%E2%80%99ll-Need-Some-Help">Citrix近日一項調查</a>，雖然有58%的企業主管相信年輕員工想在公司辦公，但員工並不這麼想，1980年以後出生的「數位原生」（Born Digital）員工，較偏好混合式辦公型態。若進一步細分，半數員工希望大部分工作都能在家辦公，18%希望在公司時間多一點，21%偏好兩地均分，只有10%的人希望在公司待上一整天。（<a href="https://www.ithome.com.tw/news/144689" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gartner </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 後疫情時代 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 員工科技力 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Gartner：自動化、AI採用率提升，HR應培養員工使用科技工具的能力</span></strong></p> <p>Gartner 6月發布的HR領導者月刊建議，HR應透過培育員工使用各類科技工具的能力，幫助員工建立與科技工具的深度連結。月刊首先指出，受到疫情的影響，企業對於自動化與AI相關科技的應用都更踴躍，比如在自動化的採用上，疫情迫使許多企業裁員，導入自動化工具來取代原有的勞動力，但一份調查發現，32～42%受到疫情影響的裁員是永久的，顯示這些工作將永遠被自動化取代；而在AI的採用上，企業也預估在三年後，AI執行的任務將會從當前的17%提高到35%。</p> <p>不過，面對新科技的加速採用，員工對於運用這些工具的信心程度仍有待提升。比如在與工作相關的任務上，僅50%員工信任機器可以傳送溝通訊息、43%信任機器能安排工作會議與電話、41%信任機器能進行簡單決策。對於這個結果，報告認為，HR應想出如何強化員工與科技連結的方法，讓員工進一步與科技合作來最大化工作潛能與表現，而非與科技相競爭。</p> <p>報告也提出了三個方法，其一，教育員工了解各項工具的用途、如何利用才能發揮優勢，讓員工能在個人生活中使用這些工具。其二，透過工具本身建立起與員工的深度連結，比如讓員工實際了解機器能減少的人工作業時間，來獲得額外的效益，比如將時間花在家庭、社群、與同事的連結上，或是能處理更感興趣或優先度更高的工作。其三，清楚定義科技與人角色定位的差異，當採用機器人或AI來執行特定自動化任務時，人們將成為這些自動化任務的管理者，而企業必須建立起一套做法，規範科技無法如預期執行任務時，人們該如何因應，來確保人與科技達到適切合作。（<a href="https://emtemp.gcom.cloud/ngw/globalassets/en/human-resources/documents/trends/hr-leaders-monthly-magazine-june.pdf" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 工作技能萎縮 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 後疫情時代 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 職場技能培力 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">後疫時代遭裁員者如何回歸職場，軟實力將成接軌職場關鍵</span></strong></p> <p>不僅要提升在職員工與新科技的連結，疫情衝擊下的被裁員者，同樣也得重拾工作能力才能回歸職場。MIT史隆管理評論（MIT Sloan Management Review）近日發布一篇文章，指出在疫情期間，美國的長期失業者（27周以上）人數從100萬激增到400萬人，雖然疫苗的推出將逐步推動社會回歸正軌，但員工在失業期間卻可能遭遇工作技能萎縮問題，而較難回歸職場。</p> <p>文章指出，除了部分技能可以像許久未騎自行車一樣，在短時間內重新上手，仍有些技能受到疫情衝擊而削弱，尤其在以AI與ML推動更多自動化任務的時代中，人們獨有的同理心、溝通、傾聽、協作和反饋能力等軟實力，已經變得更加重要，卻容易受到疫情影響，「我們微妙且不可避免的，正在失去社交場合中的靈活與敏捷。」</p> <p>爲此，企業可以採取三項步驟，協助員工重新培養失去的技能。第一，提供容易接觸與使用的學習工具，比如線上學習平臺，且確保每個人都擁有高速的網路、足夠的頻寬可以接觸這些資源；第二，當企業重新聘回這群員工時，確保員工不只進行線上學習，同時也要花時間接受同事的指導，來幫助他們適應企業新的變動，並學習新技能；第三，將這群員工分配到跨職能的專案，將不同能力的員工分配在一起，不僅能在過程中互相提供有用的反饋，也有利於新員工認識更多同事，並進一步了解企業的運作方式。（<a href="https://sloanreview.mit.edu/article/how-to-address-worker-skill-gaps-in-the-return-to-work/?utm_campaign=TALENT%20EDGE%20WEEKLY&utm_medium=email&utm_source=Revue%20newsletter" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多IT人才動態 </span></strong></span></strong></p> <p><strong>1.104最新趨勢：資安人力供給嚴重不足，平均4家企業搶一個資安人才（<a href="https://www.ithome.com.tw/news/144629" target="_blank">詳全文</a>）</strong></p> <p><strong>2.【跨界資安人才】跨國跨產業資安職涯動力曲線大分享，先輩給資安新血的2大職涯發展心法（<a href="https://www.ithome.com.tw/news/144617" target="_blank">詳全文</a>）</strong></p> <p>責任編輯／翁芊儒</p> <p>攝影／iThome</p> <p>圖片來源／Linkedin、麥肯錫</p> <p>資料來源：iThome整理，2021年6月</p> </div></div></div>
2021/6/3 15:43作者翁芊儒https://www.ithome.com.tw/news/144801
F8：臉書釋出Messenger API for Instagram，更新WhatsApp Business API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2021/06/f8-refresh-developer-conference/" target="_blank">臉書周三（6/2）於線上舉行了F8年度開發者大會，發表了</a>全新的Messenger API for Instagram與Login Connect with Messenger，並更新WhatsApp Business API。</p> <p>Instagram的照片分享特色讓9成的IG用戶都至少追蹤一個品牌，且這些品牌已可透過IG既有的限時動態（Stories）、直接訊息（DM）或標記（Mentions）與用戶交流，不過，在IG上整合Messenger將能帶來更強大的溝通能力。</p> <p>臉書自去年10月就開始測試<a href="https://messengernews.fb.com/2021/06/02/the-wait-is-over-messenger-api-for-instagram-is-now-available-to-all-developers/" target="_blank">Messenger API for Instagram</a>，並有超過30名開發者與700個品牌參與該測試，顯示出該API將可協助企業從單一平臺管理所有的通訊，也能有效地結合企業既有的工作流程與工具，並帶來高品質的客戶體驗。其中，參與測試的服飾品牌H&M即表示，把Messenger API for Instagram整合到客戶作業流程之後，效率提高了31%，客戶滿意度也增加了9.45個百分點。</p> <p>本周臉書已開放所有開發者與企業帳號用戶，使用Messenger API for Instagram。</p> <p>至於<a href="https://developers.facebook.com/blog/post/2021/06/02/introducing-login-connect-messenger/" target="_blank">Login Connect with Messenger</a>則是Facebook Login的衍生產品，它同樣採用Facebook Login的流程，讓使用者以臉書帳號登入企業服務，但額外增加一個允許企業透過Messenger與使用者交流的選項，並讓雙方直接透過Messenger溝通。</p> <p class="rtecenter"><img alt="" src="https://scontent.ftpe8-3.fna.fbcdn.net/v/t39.2365-6/192797199_1096444707545948_163718335407068481_n.jpg?_nc_cat=107&ccb=1-3&_nc_sid=ad8a9d&_nc_ohc=gi1DEZXUPDcAX_DaGAE&_nc_ht=scontent.ftpe8-3.fna&oh=703d46983533ae846733ea6cf672e82c&oe=60DCBF4B" style="width: 500px;" /></p> <p>臉書表示，在測試Login Connect with Messenger時，有超過7成的使用者都選擇啟用該服務，對企業而言是個與客戶建立關係的強大入口，可強化與使用者的交流並提升客戶滿意度。參與測試的線上購票平臺eTicket表示，有85%的客戶啟用了Messenger，當中有6成客戶的問題可直接由聊天機器人回答，另有22%的客戶藉由Messenger與之聯繫。</p> <p>不過，Login Connect with Messenger目前仍處於封閉測試階段，預計未來幾個月才會開放。</p> <p>WhatsApp Business API亦是企業在WhatsApp平臺上，用來與客戶建立連結的API，允許企業輸入品牌、產品及服務的介紹資訊，亦可直接與客戶交流。新版的最大改善是把企業使用該API所需的程序從數周縮短為5分鐘，亦強化企業與客戶溝通的方式，除了即時通知之外，將支援更多類型的訊息，例如通知消費者商品已重新補貨等，另也針對消費者提供了智慧回覆選單。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0603-WhatsAppBusiness%20API.jpg" style="width: 500px;" /></p> </div></div></div>
2021/6/3 16:35作者陳曉莉https://www.ithome.com.tw/news/144808
Google更新加密貨幣廣告條款，只放行符合規定的交易平臺與錢包廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/adspolicy/answer/10688110?hl=en&ref_topic=29265" target="_blank">Google本周更新</a>其金融產品與服務的廣告政策，重新闡明可於該平臺上操作廣告的加密貨幣服務，只放行符合規定的交易平臺與錢包廣告，且新政策將於今年8月3日正式上路。</p> <p>Google在2018年6月曾一度全面封鎖任何的加密貨幣廣告，但在9月放寬相關規定，允許通過Google認證的加密貨幣交易平臺於Google的各式服務中刊登廣告。然而，持續出現的加密貨幣詐騙廣告卻令Google臉上無光。</p> <p>根據最新政策，業者所有先前向Google取得的加密貨幣交易認證，都會在今年的8月3日被撤銷，要在Google上刊登廣告必須重新申請全新的加密貨幣交易與錢包認證。</p> <p>新認證要求業者必須向美國金融犯罪執法網路（FinCEN）註冊為貨幣服務企業（Money Services Business），或者身為聯邦與各州特許的銀行實體，也必須遵守聯邦或各州法令。</p> <p>對於加密貨幣廣告，Google禁止的比放行的來得多。例如首次代幣發行（Initial Coin Offering，ICO），DeFi交易協定，或者是推廣加密貨幣及相關產品銷售的廣告都在禁止之列，並不允許諸如加密貨幣投資建議、加密貨幣交易訊號，或者是名人代言的加密貨幣廣告。</p> </div></div></div>
2021/6/3 15:30作者陳曉莉https://www.ithome.com.tw/news/144805
蘋果希望員工在今年9月以後每周至少進公司3天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theverge.com/2021/6/2/22465846/apple-employees-return-office-three-days-week-september?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">The Verge</a>近日取得了蘋果執行長Tim Cook寄給員工的內部信件，要求員工在今年9月之後，每周至少要進辦公室3天，若是屬於必須面對面合作的團隊，每周待在辦公室的時間應該是4到5天。</p> <p>Cook向員工表示，即便大家在分離的狀態下也一同達到了許多成就，但還是缺乏了某些重要的東西：彼此。他認為儘管視訊會議能夠縮短大家的距離，有些事仍然無法複製；而且他想念大家一起行動、創造與合作的吵雜聲，以及因此而建立的社群意識。</p> <p>看起來蘋果與Google及Amazon的立場較為一致，Google也要求員工應該要自今年9月1日起回到辦公室，且一周至少要進辦公室3天，而Amazon則說，該公司將重返以辦公室為中心的文化，因為這才是能讓員工更有效地發明、協作與學習的方式。</p> <p>至於微軟及臉書都準備讓遠端工作成為常態，<a href="https://www.ithome.com.tw/news/140455" target="_blank">微軟已公布了「彈性工作場所」指南</a>，指出員工50%以下的工作時間可採行遠端工作，也可向部門主管申請完全遠距辦公的作業模式；<a href="https://www.ithome.com.tw/news/137796" target="_blank">臉書執行長祖克柏（Mark Zuckerberg）則說</a>，在未來的5到10年間，可讓50%員工在遠端工作。</p> <p>還有一些科技業者更傾向於遠端工作，例如檔案代管服務業者Dropbox已宣布將採用遠端優先工作政策，Twitter與Square則說員工可以選擇永遠遠端工作。</p> </div></div></div>
2021/6/3 14:35作者陳曉莉https://www.ithome.com.tw/news/144802
富士軟片遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本相機大廠富士軟片<a href="https://www.fujifilm.com/us/en">（Fujifilm）本周公布</a>遭勒索軟體攻擊，迫使公司關閉部份網路及對外連線。</p> <p>富士軟片是在本周二晚間發現可能的勒索軟體攻擊。事件造成公司網路問題，部分系統受到影響。有些據點則是所有通訊，包括電子郵件和經由網路系統打入的電話都受影響。事發當時，該公司已採取措施，與全球多個營運實體配合，暫停所有受影響的系統。</p> <p>富士將此事定調為源自公司外部的伺服器非授權存取行為，也正在著手調查事件規模和影響層面。在調查期間，也關閉部份網路、切斷對外連線。</p> <p>富士作為跨國集團，目前除了相機和光學事業外，還包括藥廠、儲存業務、全錄影印機及印表機業務等。</p> <p><a href="https://www.bleepingcomputer.com/news/security/fujifilm-shuts-down-network-after-suspected-ransomware-attack/" target="_blank">BleepingComputer</a>引述外部安全業者Advanced Intel執行長Vitali Kremez指出，富士上個月感染Qbot木馬。被Qbot感染的網路，未來很容易遭勒索軟體攻擊。</p> <p>他並指出，Qbot背後的操作組織之前是和ProLock或Egregor合作，但現在改和REvil勒索軟體合作，意謂著富士這次可能也是遭REVil攻擊。</p> <p>這是日本公司近日第二起重大資安事件。<a href="https://www.ithome.com.tw/news/144686" target="_blank">上周日本資訊大廠富士通代管的ProjectWEB專案資訊共享平臺</a>遭到不明人士未授權存取，讓使用同一平臺單位包括內閣官房網路安全中心（NISC）、國土交通省及外務省資料外洩。</p> </div></div></div>
2021/6/3 14:54作者林妍溱https://www.ithome.com.tw/news/144803
歐洲科技巨頭Prosus將以18億美元買下Stack Overflow
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prosus.com/news/prosus-to-acquire-stack-overflow-for-us18-billion/" target="_blank">歐洲最大的網路公司Prosus周三（6/2）宣布</a>，已與程式開發者社群Stack Overflow簽署併購協議，準備以18億美元買下Stack Overflow，雙方預計於今年第三季完成交易。</p> <p>Prosus是在2019年自跨國網路暨媒體集團Naspers拆分的公司，總部設於荷蘭，該公司握有騰訊的31%股權，百分之百持有荷蘭電子商務公司OLX，占南非電子商務平臺Takealot.com的9成股份，握有金融新創PayU的98.8%股份，對iFood、Delivery Hero與Swiggy等食物外送平臺的持股介於22%~54%之間，占電子商務整合平臺Etail的8成股份，亦為巴基斯坦物流業者Prosus的大股東，因而被視為歐洲最大的網際網路公司。</p> <p>至於2008年設立的Stack Overflow則為程式設計領域的問答網站，提供各種程式語言的討論，為一知識分享平臺，現為全球前五十大熱門網站，每月造訪人數超過1億人，成立13年迄今，已累積了逾5,200萬則的問題與答案。此外，該公司還打造了Stack Overflow for Teams協作平臺，低於50人還可免費使用。</p> <p>Prosus表示，該公司期望可加速Stack Overflow的成長，觸及更廣泛的全球社群，也將進一步擴充Stack Overflow的產品，重新將它定位為全球主要的企業產品與技術開發中心。</p> <p>Prosus的EdTech執行長Larry Illg表示，隨著科技組織不斷變更的需求與技術的短缺，技術培訓已成為企業學習與發展中成長最快且規模最大的領域，他們理解市場對技術人員與開發人員的需求，特別是在高度成長的地區，期望Stack Overflow團隊未來將可協助企業解決其技術學習與協作上的不足。</p> <p>Stack Overflow執行長Prashanth Chandrasekar則說，未來Stack Overflow for Teams將能藉助Prosus的勢力，擴大到全球數千家的企業，同時加速產品的創新與生產力。</p> </div></div></div>
2021/6/3 15:04作者陳曉莉https://www.ithome.com.tw/news/144804
2021年5月10大資安新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這個月裡，勒索軟體駭客鎖定關鍵基礎設施（CI）下手的情況，可說是相當頻繁，包含了美國大型燃油供應業者Colonial Pipeline遭攻擊的事故，還有愛爾蘭衛生單位遇害的情況等，這些攻擊都引發兩個國家政府的高度重視。再者，可能是因為勒索軟體攻擊的贖金變本加厲，開始疑似有保險業者打算將這種費用排除在資安險的理賠範圍，影響駭客的收入而成為遭到攻擊的對象。</p> <p>而另一方面也相當值得留意的部分，是有關物聯網裝置漏洞，這包含了上市不久的蘋果AirTag，還有與無線傳輸協定有關的漏洞：如存在於Wi-Fi裝置的FragAttacks，以及涉及藍牙規格的漏洞等，廠商後續的修補情況有待觀察。</p> <h2><strong><span style="color: rgb(178, 34, 34);">01.</span><a href="https://www.ithome.com.tw/news/144327">美國最大燃油供應商Colonial Pipeline遭勒索軟體攻擊，美國宣布進入緊急狀態</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-05-01.png" style="width: 400px; height: 162px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">02.</span></strong><a href="https://www.ithome.com.tw/news/144555"><strong style="vertical-align: top;">愛爾蘭健康服務管理署傳出遭重大勒索軟體攻擊，駭客要脅公布民眾個資</strong></a></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-05-02.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">03.</span><a href="https://www.ithome.com.tw/news/144457">歐洲大型保險業者AXA遭勒索軟體攻擊，疑似與保單不再理賠贖金有關</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-05-03.jpg" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">04.</span><a href="https://www.ithome.com.tw/news/144595">險被水中下毒的佛州淨水廠事故，外包商也被駭</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-05-04.png" style="width: 400px; height: 164px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">05.</span><a href="https://www.ithome.com.tw/news/144589">臺灣入口網站蕃薯藤被駭資料流入駭客論壇</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-05-05.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">06.</span><a href="https://www.ithome.com.tw/news/144202">比利時ISP被DDoS攻陷，200多個政府與學術單位網路中斷</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-05-06.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">07.</span><a href="https://www.ithome.com.tw/news/144390">研究人員掀蘋果AirTag與Find My安全漏洞</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-05-07.jpg" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">08.</span><a href="https://www.ithome.com.tw/news/144352">存在於所有Wi-Fi裝置的FragAttacks漏洞，可被駭客用來竊取個人資訊和攻擊裝置</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-05-08.png" style="width: 400px; height: 151px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">9.</span><a href="https://www.ithome.com.tw/news/144613">藍牙的核心與Mesh規格含有7個安全漏洞，允許駭客冒充合法裝置</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-04-09.jpg" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">10.</span><a href="https://www.ithome.com.tw/news/144263">臺灣資安大會於5月4日舉行，新增資安人才專區</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-05-10-.jpg" style="width: 400px; height: 175px;" /></p> </div></div></div>
2021/6/3 11:16作者周峻佑https://www.ithome.com.tw/news/144796
FireEye產品、名稱以12億美元出售，將專注安全服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商<a href="https://investors.fireeye.com/news-releases/news-release-details/fireeye-announces-sale-fireeye-products-business-symphony" target="_blank">FireEye昨（2）日宣布</a>將以全現金交易方式，將FireEye產品部門，包括FireEye名稱，以12億美元的代價出售私募股權公司Symphony Technology Group (STG) 為主的投資團隊，未來將專注於企業安全服務。</p> <p>這樁交易將使FireEye的網路、郵件、端點、雲端產品及相關安全管理及協作平臺，與該公司旗下的Mandiant軟體和服務切分開來，FireEye表示將可加速兩項業務的成長、加速產品上市及專注各自解決方案的創新。</p> <p><a href="https://www.ithome.com.tw/node/84651" target="_blank">Mandiant為FireEye 2014年買下的端點安全產品和安全事件回應管理業者</a>。雙方合併後，Mandiant執行長Kevin Mandia也成為新公司的執行長。Madiant主要服務企業、政府和法律事務所等企業客戶，也多次在重大安全事件，包括去年底SolarWinds及油管業者Colonial Pipeline駭入事件，協助事件分析及復原。</p> <p>Madia表示，透過出售FireEye產品，將使公司專注在透過SaaS平臺Madiant Advantage提供前線威脅情報、自動化警示調查、及各廠商安全控制產品的有效性驗證服務。</p> <p>出售的FireEye產品包括涵括網路、電子郵件、端點及雲端安全等進階威脅偵測、防護與回應產品。</p> <p>這項交易包括經銷和市場與策略合作，兩家公司未來也將共享技術、遙測技術、威脅情報等相關技能。本案預計2021年第4季完成，並使FireEye產品成為STG旗下獨立實體。在此之前，FireEye產品業務和Mandiant解決方案仍將以單一實體運作</p> <p>FireEye的買主STG近年積極收購安全業者。分別在去年及今年3月以20.75億和40億美元，買下<a href="https://www.ithome.com.tw/news/135901" target="_blank">加密驗證技術RSA</a>及<a href="https://www.ithome.com.tw/news/143106" target="_blank">McAfee企業安全業務</a>。</p> </div></div></div>
2021/6/3 11:21作者林妍溱https://www.ithome.com.tw/news/144797
微軟下一代Windows直播發表會將在6月24日舉行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟執行長<a href="https://www.ithome.com.tw/news/144633" target="_blank">Satya Nadella日前於Build開發者大會上預告</a>，該公司不久之後就會推出下一代的Windows產品，也是這十年來最重要的Windows改版更新，<a href="https://www.microsoft.com/en-us/windows/event" target="_blank">本周，微軟便宣布</a>即將於美東時間（ET）6月24日上午11點（臺灣時間6月23日晚間11點），舉行新一代Windows的線上直播發表會，並歡迎全球用戶參與。</p> <p>Nadella並未揭露下一代Windows的任何功能，但微軟的邀請頁面上呈現了從窗戶溢進的彩色曙光，外界揣測這應該是Windows的最新圖示，也暗示著該版本可能帶來視覺化介面的大幅革新。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/windows-10-sun-valley-everything-you-need-to-know/" target="_blank">BleepingComputer</a>取得了微軟的內部文件，再根據微軟列出的求才需求，指出新一代Windows的內部代號為Sun Valley與Windows 10++，應該也是原本的21H2版本，預計於今年下半年問世，且正準備全面翻修Windows的視覺介面。</p> <p>根據報導，新一代Windows的介面變更，將從檔案總管、開始功能表、Action Center、工作列，到其它重要元件。</p> <p>除了介面的大規模變更之外，<a href="https://www.windowscentral.com/windows-10-sun-valley-features-everything-we-know" target="_blank">Windows Central</a>則報導，Windows將會有強化工作流程並提高生產力的新功能，新增電池使用圖表以讓用戶檢視各程式的電力損耗，還會有一個整合微軟個人或企業帳號的儀表板，可一次檢視最近的行事曆、文件、電子郵件或待辦事項，並更新語音與觸控筆輸入功能。</p> <p>不論如何，使用者對於新一代Windows的疑惑或期待，應該都能在微軟的全球直播發表會上獲得些許的解答。</p> </div></div></div>
2021/6/3 12:19作者陳曉莉https://www.ithome.com.tw/news/144799
Google Cloud SQL中的PostgreSQL資料庫服務現提供變更資料擷取功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在自家PostgreSQL關聯式資料庫服務提供更多的功能，Cloud SQL for PostgreSQL現在新增PostgreSQL常用的<a href="https://cloud.google.com/blog/products/databases/you-can-now-use-cdc-from-cloudsql-for-postgresql">邏輯複製（Logical Replication）和解碼（Decoding）功能</a>，官方提到，透過加入邏輯複製和邏輯解碼，在Cloud SQL for PostgreSQL中啟用變更資料擷取（Change Data Capture，CDC）功能，來滿足用戶無縫整合PostgreSQL生態系的需求。</p> <p>邏輯複製讓兩個Postgres執行個體，能夠以儲存系統無關的方式，進行鏡像資料庫變更，邏輯複製使得無論是在選擇執行個體間複製的資料，或是執行個體所使用的版本，都更具靈活性。而透過JSON或是純文字等各種格式，邏輯解碼能夠擷取資料表的所有變更，當資料庫擷取到了變更，便能夠使用串流協定或是SQL介面進行處理。</p> <p>邏輯複製和解碼功能可以讓用戶在執行個體間，選擇性複製多組表格，只共享相關資料集，而且也因為資料表的選擇性複製，能夠大幅減少資料傳輸大小，並且能夠僅共享重要的資料，移除其他的敏感資料。用戶可以從多個來源收集，並且合併資料成為資料湖，而且新資料從營運資料庫，以串流的方式傳輸到資料倉儲，就能支援接近即時的分析。</p> <p>Google以零售商的電子商務系統為例，客戶的每筆訂單都會儲存到營運資料庫中，而將訂單存入資料庫，僅是訂單處理的一部分，利用CDC功能，下游系統可以立刻收到訂單通知，並且執行相對應措施，像是更新倉儲中的庫存等。</p> <p>CDC的另一個常見使用案例，便是用於資料分析工作管線，讓企業以最新的資料進行分析，在部分產品低庫存時，就可即時啟動特定物流流程，像是補貨或是發出通知提醒，藉由Cloud SQL for PostgreSQL新功能，用戶能以低延遲將資料從系統、工作管線傳送到分析平臺。</p> </div></div></div>
2021/6/3 09:48作者李建興https://www.ithome.com.tw/news/144784
微軟發布簡化微服務開發的VS Code擴充套件Tye
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出適用於VS Code的<a href="https://devblogs.microsoft.com/dotnet/announcing-visual-studio-code-extension-for-tye/">Tye擴充套件</a>，該工具能夠簡化微服務開發工作，讓開發者更簡單地查看、執行和除錯程式碼。官方提到，這個擴充套件源自於他們之前對雲端原生工具的研究Tye專案。</p> <p>由於在建置由多個專案構成的應用程式，開發者通常會希望一次執行多個程式，讓這些網站和服務能夠互相溝通，以方便地進行開發和除錯工作，但是開發者要進行這樣的配置並不容易，而且要將分散式應用程式，移植到Kubernetes平臺更是困難。Tye專案便是要來解決在微服務和分散式應用程式開發上，開發者所會遇到的種種困難。</p> <p>Tye是一個開發者工具，其最主要有兩個目的，第一是要讓微服務和分散式應用程式的開發、測試和部署變得容易，第二則是能自動將應用程式部署到Kubernetes上。Tye專案包含了一個本地端調度程式，讓微服務開發更簡單，並且讓用戶能夠以簡單的配置，就將微服務部署到Kubernetes。</p> <p>而現在微軟推出的這個適用於VS Code新的Tye擴充套件，便是用來支援使用Tye專案的應用程式，讓Tye專案應用程式，在開發、執行、查看和管理都更容易，一旦Tye應用程式啟動並開始執行，所有服務便會在Tye Explorer中顯示。</p> <p>從Tye Explorer中，開發者可以查看任何服務的日誌，也能瀏覽可存取端點的服務，甚至將除錯器附加到任何.NET服務上，微軟還提供了一個連結，導覽開發者到愛用的Tye儀表板。</p> <p>這個Tye擴充套件支援各種除錯情境，開發者除了可以在非除錯模式下執行Tye應用程式，也能對所有或是部分服務進行除錯，另外，還允許開發者在監控模式下除錯服務，微軟解釋，在監控模式下，除錯器會監控所有程式碼更新，並且重新附加到程序中，讓開發者可以在不重新啟動應用程式的情況，繼續程式碼除錯工作，以加速開發循環。</p> </div></div></div>
2021/6/3 09:44作者李建興https://www.ithome.com.tw/news/144781
Nvidia推出破百Peta級DGX SuperPOD超級電腦叢集雲端訂閱服務，預計今夏稍晚上線，月租費240萬元起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年Computex期間，Nvidia正式推出了訂閱制的DGX SuperPOD超級電腦叢集雲端運算新服務，讓企業用戶不用購買整套超級電腦叢集，就能使用其提供的破百Peta級的運算能力，來訓練龐大的AI應用模型，該服務預計今夏稍晚推出上線，但僅開放北美用戶先採用。另外該公司也宣布將擴大Nvidia Certified認證適用範圍，不只是內含GPU的AI伺服器，還包括了內含DPU的設備，明年更要擴大提供基於Arm架構的設備認證。</p> <p>DGX SuperPOD是Nvidia去年所推出最新的AI超級電腦叢集系統，在單一模組整合了至少20臺DGX A100建立高效能運算叢集，其AI運算效能可達100 petaFLOPS，甚至最高可擴充至 700 petaFLOPS運算效能。但其價格也相當昂貴，一套系統至少數百萬美元起，門檻與進入成本很高，因此，迄今只有少數大型企業才能夠採用。</p> <p>新推出訂閱制的DGX SuperPOD雲端運算服務，則是對於有超大型AI模型訓練需求的AI新創或中小型企業，帶來了一些新的機會，現在也能用它提供的高效能運算，加快完成如大型自然語言AI模型的訓練與應用開發，加速將服務推向市場。</p> <p>至於訂閱收費機制，Nvidia表示，未來將採用按月計費方式，每月收費90,000美元起，相當於臺幣約240萬元，大約是單機DGX A100的一半價格，但是具備更高算力及擴充能力，甚至不只能整套租，企業用戶一次也可以DGX SuperPOD裡一部分運算叢集做租用，而不用租整套叢集，在節省成本的同時，也有助於降低進入門檻。</p> <p>另外，所有硬體設備皆託管於Equinix 雲端資料中心，該叢集運算服務也使用了儲存廠商NetApp提供的全快閃儲存設備，作為大量資料儲存和管理之用。DGX SuperPOD叢集雲端運算服務，預計今年夏季稍晚推出上線。目前已開放早期測試，但僅在北美提供。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-05-28%20%E4%B8%8A%E5%8D%8811_06_17.png" /></p> <p>為方便管理DGX SuperPOD運算叢集，Nvidia還推出了一個Base Command軟體管理新介面，不僅提供多租戶、多團隊AI應用開發的支援，企業用戶在使用與調度DGX SuperPOD資源用於AI開發也更容易，同時簡化SuperPOD的叢集管理。Base Command介面操作起來相當容易，不僅提供GUI介面，還配備了Jupyter Notebook等各種工具，能使用專屬Registry和訓練模型，以及還整合AI生命周期人員協作的MLOPs API。另外還提供一個監控和報告的視覺化儀表板，方便使用者管理。</p> <p>此外，Base Command介面本身也可支援在AWS和Google兩大公有雲平臺上來使用，讓用戶用單一介面就能夠提交AI任務，並且跨本地端或多雲混合雲。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-05-28%20%E4%B8%8A%E5%8D%8811_18_09.png" /></p> <p>另外，Nvidia這次還發起新的Nvidia Certified硬體認證專案計畫，讓系統製造商可以參考它所提供的設計藍圖，開發出符合Nvidia認證的AI專用伺服器或系統，並提供官方認證，作為企業未來在添購AI伺服器設備時可參考的依據。</p> <p>除了有通過其認證的AI硬體，在AI軟體方面，Nvidia也發布Nvidia AI Enterprise軟體整合平臺，主要是將該公司多年來推出的眾多AI軟體、開發工具或框架，整合到單一平臺，讓企業更容易用它做視覺或語音AI應用開發。</p> <p>進一步來看，該平臺整合了許多企業常用AI軟體或開發工具，像是在基礎架構管理優化工具方面，提供了Nvidia vGPU、Nvidia Magnum IO、Nvidia Cuda-X AI、Nvidia DOCA等軟體堆疊或開發工具。而在AI與資料科學應用方面，也整合了如Nvidia Triton Inference Server、Nvidia TensorRT函式庫元件與GPU加速函式庫Rapids等。還有加入各種主流AI框架，如TensorFlow、PyTorch，以及Nvidia Transfer Learning Toolkit等都包含在內。該軟體平臺亦可架構在通過Nvidia認證的AI伺服器上，並支援完整VMware vSphere虛擬化環境。</p> <p>除了提供通過Nvidia認證的AI設備HGX、EGX，Nvidia表示，接下來，更將其認證適用範圍，擴大涵蓋到內含有DPU的伺服器設備，預計將於今年秋天開始提供，包括Asus、Dell、技嘉、雲達、Supermicro都將推出搭載Bluefield-2 DPU的伺服器產品，目前都與Nvidia正在展開合作，以取得其認證，另外不只x86架構，Nvidia明年也擴大提供基於Arm架構的設備認證。</p> <p>由於Nvidia的Arm CPU將於2023年推出，為了早一步建立生態系，Nvidia也與技嘉合作，宣布推出以Arm為基礎的加速運算開發套件，除了提供軟體，硬體部分則內含有Arm CPU與GPU，可提供全球250萬名CUDA平臺開發者，來提前針對Arm架構運算環境，進行相關開發與應用測試。</p> </div></div></div>
2021/6/3 07:21作者余至浩https://www.ithome.com.tw/news/144791
教育部靠AI打造自主學習平臺，竟成防疫居家遠距學習關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月下旬，COVID-19疫情驟然升溫，不只全臺進入三級警戒，全國各級學校也停止到校，全面改為線上學習，畢業考形式必須跟著調整，甚至連畢業典禮都線上化，這是第一群，因疫情而沒有實體畢業典禮的畢業生。但學生的學習沒有中斷，各種數位學習資源成為學生在家學習的關鍵工具。</p> <p>其中最重要的一項，就是教育部早從2017年就開始打造的數位學習平臺「因材網」，這是一個利用AI和大數據技術，想要實現「因材施測」與「因材施教」的平臺，提供超過7千8百份教材和教學影片、4萬多題測驗題，涵蓋國中小到高中的主要科目，包括國文、數學、英文到自然。在這一波疫情中，將3千6百多間學校，都變成了同一間線上大學校的師生。</p> <p>光是去年疫情初襲，就有超過4萬5千多位老師，93萬多名學生開帳號來學習。一手打造出這間大學校平臺的就是教育部資訊及科技教育司司長郭伯臣。因材網是他過去多年數位學習研究成果中最關鍵的一項。</p> <p>以IT產業揚名全球的臺灣，資訊融入教學已發展超過了20年，而郭伯臣很早就加入推動數位學習的行列。聯合國教科文組織在2019年時提議，國家需要提供AI技術支持的教育，建議各國要用AI工具來提供個人化的學習內容，不只靠大數據制訂政策，更要培養老師運用AI工具的能力。這正是郭伯臣多年來投身數位學習的初衷，只是技術從過去的IT技術，變成了現在當紅的AI和大數據。</p> <p>郭伯臣回憶，早期，從老師使用投影機逐漸普及，到現在，轉為使用電子白板。過去幾年來，課堂上，光是資訊設備融入教學的形式，就有很大的改變。</p> <p>但，他認為，這樣的教學模式還有缺點，尤其每位學生的學習進度有落差，老師以同樣的速度講課，有些學生覺得簡單，但也有些人會覺得太難而跟不上。「要靠科技來輔助自主學習。」他解釋，自主學習就是，要讓學生有能力自己訂定學習目標、懂得選擇學習策略、監控評價成果，甚至能訂定調節機制，不斷循環來達到目標。</p> <p>這正是郭伯臣過去的研究方向。他曾在臺中教育大學任教，2013年接任教育學院院長，推動了多項數位學習方面的計畫和研究，其中，他大力為提升教師適性教學及數位科技教學專業而努力，促成因材網在2017年上線，依學生學習程度調整學習路徑，以及給予測驗試題，更成為教育部官方學習平臺之一。</p> <p>因材網上線後，獲得許多正面回響，2019年時，教育部部長延攬郭伯臣接任資科司司長，賦予他帶領資科司建立更完善的數位學習建設的任務。進入資科司後，許多老師和學生向他建議，除了因材網，教育部還有2個數位學習平臺，因各有不同功能，導致他們需在平臺間切換使用，非常不便。</p> <p>所以，上任後的第一件事，郭伯臣就開始進行官方學習平臺的整合工程，將被整併平臺的功能模組化後，再放入因材網中，來簡化使用者操作的程序。他表示，平臺整併後，使用者只需登入單一平臺就可使用所有功能，且維護單一網站的經濟效益也較高。</p> <p>單是整合數位學習平臺還不夠，怎樣讓更多老師在課堂上使用，才能發揮數位學習資源真正的價值，郭伯臣決心提升數位平臺融入課堂的比例，培養教師運用數位學習平臺資源的能力。</p> <p>過去10年多來，教育部推動數位學習的計畫內容，隨時間演進，不斷優化，從2009年推行電子書包，將教科書轉化為電子版放入行動載具，之後，對應國際數位學習發展趨勢，在2012年至2019年期間，推動中小學行動學習計畫，鼓勵各校融入資訊科技在教學中，在不管是課堂內還是課堂外的學習活動中，都利用行動載具來協助學生學習。</p> <p>郭伯臣加入資科司時，正值行動學習計畫的最後一年，他發現，該計畫在推動過程上，教師多利用行動載具在學習活動中，比如植物觀察、社區訪問等，但是，實際融入行動載具於主科含國、英、數、自和社的課堂學習，很少見，大部分使用投影機和電子白板，讓全班級一起學習。</p> <p>他認為，每位學生的學習進度不同，使用行動載具推動個人化學習，就可讓每位學生訂定自身的學習進度，且除了在教室內學習，學生回到家，也可繼續進行學習進度，讓學習不受時空限制。</p> <p>不過，行動載具要走進課堂學習，並不容易，郭伯臣點出教學現場面臨了3大困難。首先，要有完善的數位學習內容，來取代紙本的教學教材，其次，班級內每位學生都需有行動載具，最後，連老師都需要改變教學方法，來因應學生各自訂定的學習進度。</p> <p>郭伯臣表示，從傳統上以同樣進度授課，轉變為讓學生在課堂上，進行個人化學習，下放主導權給學生，以學生為學習中心，對教學情境來說，教師需提升運用IT教學的能力，這是很大的躍進，他坦言，推動上很困難，必須向教師證明這樣的轉變，有助於提升學生的學習成效，也就是可提高學習成績。</p> <p><span style="font-size:28px;"><strong>推動數位學習新計畫，將數位學習資源融入主科教學</strong></span></p> <p>郭伯臣先著手將行動學習轉聚焦在適性學習和個人化學習，在2019年11月進一步啟動「科技輔助自主學習計畫」，要透過行動載具將數位學習平臺帶進主科課堂，養成學生自主學習的能力，並藉由AI推動適性化學習，而教育部會提供參與計畫的學生，一人一臺平板，降低數位學習推動的門檻。</p> <p>以適性學習理念設計，具有主科學習教材，並應用AI、大數據技術診斷學生學習弱點，來提供個人化學習路徑的因材網，便成為推動新計畫的最佳平臺。</p> <p>郭伯臣指出，適性學習和自主學習是兩個不同的概念，適性學習藉數位學習平臺來依學生學習能力與需求，提供個人化的學習資源，而自主學習則是讓學生成為學習的主人，他必須自行管理學習、訂定學習策略，以及為學習負責。</p> <p>他坦言，原有的因材網是為了適性學習而打造，沒有考慮到自主學習的功能。所以，計畫施行後，老師們開始反映這個平臺不敷所需，這也讓郭伯臣決定進一步改版因材網。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500-%E9%83%AD%E4%BC%AF%E8%87%A3_%E6%95%99%E8%82%B2%E9%83%A8_%E5%8F%B8%E9%95%B7.jpg" style="width: 500px;" /></p> <p><span style="font-size: 20px;"><span style="color: rgb(105, 105, 105);"><strong>教育部資訊及科技教育司司長郭伯臣表示，IT是用來服務數位學習，IT基礎工程沒有做好，其他都免談。</strong></span></span></p> <p><span style="font-size:28px;"><strong>大幅調整因材網設計，符合自主學習需要</strong></span></p> <p>收集多方教師的使用反饋後，不同於只提供影片和題目的傳統數位學習平臺，因材網提供適性化學習路徑與學習內容也已經不夠，現在還要能協助師生在課堂上進行4種自主學習活動，除了學生自學之外，還要支援組內共學、組間互學和教師導學。</p> <p>資科司IT團隊花了不少力氣擴編因材網的功能，像是新增行事曆讓學生自訂學習進度，還有可供學生相互討論，進行組內共學和組間互學的提問功能。</p> <p>「行事曆功能是學生自學活動的重要功能，」郭伯臣強調，除了可以讓學生規畫每個學習任務的完成時間，IT團隊還打造了追蹤機制，若發現學生未按規畫完成進度，系統還會主動發送通知提醒。行事曆和提問雖是網路平臺常見的功能，但是，郭伯臣表示，這些都是傳統學習平臺欠缺的。</p> <p>為確保系統開發工程符合教學現場的需求，資科司除實際與教師訪談，也通過通訊軟體群組，隨時掌握教學現場使用平臺的狀況。郭伯臣坦言，要讓平臺融入整個教學流程，真的不容易。</p> <p>教育部IT團隊還需依照學習和教學流程情境，來開發、整合相對應的功能，像是因應教學檢核流程，打造檢核機制，讓老師可以跟進學生的學習進度。</p> <p>花了近一年開發時間，因材網終於在今年4月完成改版，串接所有自主學習功能，如今，平臺不僅能依學生學習能力提供個人化學習資源，還可協助學生實現自主學習的目標。新版平臺除了可提供監控評價的結果，讓學生掌握自身學習的狀況，還會應用AI和大數據分析技術，提供學生學習上和教師教學上的建議。</p> <p>因材網也採用了自然語言處理技術，打造了能以文字對話的教學助理，學生只要把數學解題過程輸入對話框後，AI教學助理可以根據學生的解題過程，以文字與學生對話，來給予學生解題方法的提示。</p> <p>另外，因材網還利用大數據技術，分析學生影片瀏覽行為，例如一些播放、快轉、暫停、回放等動作，來分析學習成效較好的學生觀看影片的典型行為，可以用來比較其他學生的觀看行為，供老師判斷學生學習情況的參考。</p> <p>科技輔助自主學習計畫推動至今逾一年半，全國共有319所學校安排校內一至兩個班級參與，並已獲得不少成果。郭伯臣興奮地表示，學習落後學生使用因材網4小時後，相較於無使用者，國文測驗通過率增加約19.9%。</p> <p><span style="font-size:28px;"><strong>打好教學現場IT基礎設施基礎，支援教師教學</strong></span></p> <p>為了讓這樣的數位學習可以順利在校園內進行，資科司也在全臺各級學校的IT基礎設施下費了一番工夫。像是近期，資科司剛完成22縣市中小學校園機房，向上集中至所屬縣市教育網路中心的工程，來減輕各校資訊老師維護機房的壓力，也降低資安隱憂。資科司更在今年3月啟動了全國校園智慧網管系統，幫助校內資訊組長快速掌握網路連線狀況，遇到校內網路出狀況時也能及時排除問題。</p> <p>郭伯臣表示，以往校園面臨網路連線問題時，資訊組長無法立即知道問題發生在何處，還需與所屬縣市網的網管人員聯繫，等待他們到現場找問題，有時可能需數天才能找到問題的根源，如今，通過新系統的視覺化管理機制，資訊組長自己就可以掌握發生異常的網路節點，大幅縮短問題排除時間。</p> <p>未來兩年，資科司還會在全臺22縣市提升CDN頻寬，以更快速地派送數位學習內容至觀看地。郭伯臣表示，教育部打造的數位學習內容，目前靠資科司機房伺服器支援各校的存取，未來，學校可就近至縣市網存取，提升連線效率。他強調：「IT是用來服務數位學習，IT基礎工程沒有做好，其他都免談。」</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>郭伯臣</strong></p> <p><strong>教育部資訊及科技教育司司長</strong></p> <p>學歷：普渡大學電機及資訊工程學院博士</p> <p>經歷：過去在國立臺中教育大學教授數位學習、統計資訊等課程，逾25年，曾擔任該校教師專業能力測驗中心、測驗統計與適性學習研究中心的主任，並在2013年接任教育學院院長，推動多項數位學習計畫和研究，於2019年，接任教育部資訊及科技教育司司長，聚焦推動數位學習建設</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>教育部</strong></p> <p>● 主要業務：為主管教育學術、體育及青年事務的最高行政機關</p> <p>● 成立時間：1911年</p> <p>● 地址：臺北市中正區中山南路5號</p> <p>● 機關首長：潘文忠</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>● 資訊部門名稱：資訊及科技教育司</p> <p>● 資訊部門主管姓名：郭伯臣</p> <p>● 資訊部門網址：<a href="https://depart.moe.edu.tw/ed2700/">https://depart.moe.edu.tw/ed2700/</a></p> <p>● 資訊部門地址：臺北市大安區和平東路二段106號12樓</p> <p>● 資訊部門人數：約90人</p> <p>● 資訊部門分工：綜合企劃及人文教育科、科技教育科、數位學習科、網路及資通安全科、資訊系統科、環境及防災教育科</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>● 2017年：校園數位學習普及服務計畫啟動，提供教育體系單一簽入服務環境；臺灣學術網路（TANet）全面啟動100G光網骨幹；TANet SOC啟動DDoS偵測服務；前瞻基礎建設國民中小學校園數位建設計畫啟動</p> <p>● 2018年：教育雲教育體系身分認證服務上線運作；數位學習深耕計畫啟動，發展中小學主題跨域課程數位科技應用；TANet全國22縣市國內骨幹提升達12GE</p> <p>● 2019年：中小學科技輔助自主學習計畫實施，推動學生適性、自主學習及教師數位教學發展；TANet骨幹提升達20GE</p> <p>● 2020年：完成TANet國際訊務百Gbps傳輸頻寬與服務的建置</p> <p>● 2021年：因材網改版上線，符合學生自主學習的需求</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-guo_bo_chen_jiao_yu_bu_si_chang_.png" width="960" height="420" alt="" title="教育部資訊及科技教育司司長郭伯臣" /></div></div></div>
2021/6/3 07:00作者黃郁芸https://www.ithome.com.tw/people/144702
資安一周第148期：富士通專案代管平臺被駭波及眾多日本公部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">5/27-6/2 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩＃政府機關</strong></span></h3> <h2><strong style="vertical-align: top;">富士通代管平臺被駭，影響眾多日本政府單位</strong></h2> <p>日本資訊業者富士通於5月25日發布公告，由該公司代管的ProjectWEB專案資訊共享平臺，遭到不明人士未授權存取。富士通已緊急關閉以防範損害擴大，並著手調查資訊外洩事件影響範圍及原因。</p> <p>此次事件中遭資料外洩的單位，包括內閣官房網路安全中心（NISC）、國土交通省，以及外務省。上述單位陸續於25日、26日發出公告，證實受到波及。<strong><a href="https://www.ithome.com.tw/news/144686">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/148-1-projectweb-leakage.png" style="width: 400px; height: 218px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：富士通</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃ProxyLogon</strong></span></h3> <h2><strong style="vertical-align: top;">比利時內政部網路因ProxyLogon漏洞遭駭</strong></h2> <p>比利時內政部於5月26日證實，該單位遭到駭客利用Exchange重大漏洞「ProxyLogon」入侵，並在內部網路上發現後門程式。比利時政府網路安全中心（CCB）調查後發現，該單位的網路環境存在可疑的對外連線，初步的分析結果顯示，入侵活動最早可追溯到2019年4月，而且，手法相當複雜，因此，這意味著攻擊者可能有強大網路攻擊能力，以及豐沛資源，此外，對方的攻擊策略很精準，所以有可能是間諜性質的竊密行動。<strong><a href="https://www.ithome.com.tw/news/144665">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃網路釣魚攻擊</strong></h3> <h2><strong style="vertical-align: top;">俄羅斯駭客集團鎖定全球150個組織發動釣魚信件攻擊</strong></h2> <p>微軟於5月27日指出，主導SolarWinds供應鏈攻擊行動的俄羅斯駭客集團Nobelium，最新的一波攻擊行動出現在5月25日，透過郵件行銷平臺Constant Contact，發送惡意郵件予逾150個組織、約3千個電子郵件帳號，攻擊者的目標遍布全球24個國家，當中至少有四分之一組織的性質，涉及國際發展、人道主義，以及人權運作等領域。</p> <p>在這波攻擊中，Nobelium冒用美國國際開發署（USAID）的Constant Contact 帳號，以該單位的名義發送網釣郵件，而這些信件的內容宣稱：川普公布總統大選舞弊的新文件。<strong><a href="https://www.ithome.com.tw/news/144699">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/148-2-USAID-Nobelium.png" style="width: 400px; height: 316px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：微軟</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃密碼管理＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">美軍核武機密外洩，起因是員工使用線上字卡App</strong></h2> <p>英國新聞網站Bellingcat揭露，他們近日找到美軍核武管理人員記錄在單字卡App的資訊，內容是該國軍方人士出入軍事重地的通關密語等機密。發現這些資訊的方法並不困難，因為他們竟是使用核武常見詞彙進行網路搜尋，結果就找到公開於網際網路的記憶練習快閃字卡（Flashcard）。</p> <p>該新聞網站發現了哪些機密？當中包含了攝影機設置地點、存放核武地點的巡邏頻率、當守衛受到脅迫時所使用的暗號，以及出入軍事重地的通關密語等。關於這些狀況，Bellingcat已聯絡北約組織（NATO）及美國陸軍，目前這些字卡已經移除。<strong><a href="https://www.ithome.com.tw/news/144711">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞攻擊＃Rowhammer</strong></h3> <h2><strong style="vertical-align: top;">Google揭露新型態Rowhammer記憶體漏洞攻擊手法</strong></h2> <p>自2016年引起資安研究人員關注的DRAM記憶體漏洞「Rowhammer」，近期Google發現了名為Half-Double新手法，一旦被用於發動攻擊，將會使得Rowhammer影響的效應更加擴大。</p> <p>Google指出，過去研究人員認為Rowhammer的運作範圍只有一列，如果重覆存取某一列記憶體時，就能讓鄰近的兩列造成位元翻轉現象。然而，他們發現，相關攻擊其實能夠影響的範圍更廣，並將這種現象稱為Half-Double。<strong><a href="https://www.ithome.com.tw/news/144723">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃PDF</strong></span></h3> <h2><strong style="vertical-align: top;">研究人員揭露PDF規格漏洞，駭客可竄改認證文件的內容</strong></h2> <p>德國波鴻魯爾大學（Ruhr-Universität Bochum）研究人員近期發布論文指出，PDF規格含有2個重大的安全漏洞，一旦被濫用，將允許駭客偷偷竄改含有認證簽章（Certiﬁcation Signatures）的文件內容。在該大學調查的26款PDF應用程式中，24款至少含有其中一項漏洞。</p> <p>研究人員向軟體開發者通報後，Adobe、Foxit，以及文件基金會等，皆已修補了相關漏洞。研究人員亦參與下一代PDF規格的制訂，從而消除有關缺陷。<strong><a href="https://www.ithome.com.tw/news/144669">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/148-3-PDF-certificate-sign.png" style="width: 400px; height: 227px;" /></p> <p><span style="color:#808080;">圖片來源：德國波鴻魯爾大學</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃macOS</strong></span></h3> <h2><strong>木馬程式鎖定macOS漏洞發動攻擊，錄製螢幕竊密</strong></h2> <p>資安廠商Jamf Protect發現，近日木馬程式Xcsset濫用macOS作業系統漏洞CVE-2021-30713，繞過Mac電腦內建安全防護機制TCC框架，偷偷錄製電腦螢幕取得敏感資料。對此，蘋果釋出macOS Big Sur 11.4更新修補相關漏洞。</p> <p>研究人員認為，比起上述發動攻擊的木馬程式，使用者更需注意CVE-2021-30713，因為攻擊者一旦濫用，就能取得麥克風、Web攝影機，以及鍵盤側錄的存取權限，而進行錄音、監控、竊取信用卡帳號及密碼等行為。<strong><a href="https://www.ithome.com.tw/news/144624">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">SonicWall修補網管軟體指令執行漏洞</strong></h2> <p>網路設備商SonicWall於5月27日發布公告，針對其設備管理軟體NSM上，可讓駭客在裝置上以root權限執行指令的重大漏洞CVE-2021-20026，釋出修補程式。這項漏洞影響內部部署的NSM軟體，SaaS版本不受影響。</p> <p>CVE-2021-20026是指令注入漏洞，可能讓經過驗證的攻擊者發出假造的HTTP呼叫，而以root權限在作業系統執行指令。此漏洞CVSS風險評分為8.8分。<strong><a href="https://www.ithome.com.tw/news/144743">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路釣魚攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">釣魚信件結合電話客服，誘騙用戶安裝惡意程式</strong></h2> <p>Proofpoint揭露新的釣魚郵件攻擊手法，駭客結合電話客服中心引誘用戶下載惡意軟體，以躲避資安防護設備的攔截。該公司於今年2月，發現駭客藉由免費試用服務到期的名義，使用釣魚郵件散布BazaLoader木馬程式，攻擊者加入名為BazaCall的手法，引導用戶經由FAQ網頁的電話和歹徒互動。</p> <p>一旦用戶信以為真打電話給「客服中心」時，「客服人員」會引導用戶前往網站「取消訂閱頁」下載含有巨集的Excel檔案。使用者若是不慎開啟，電腦就會下載BasaLoader。<strong><a href="https://www.ithome.com.tw/news/144691">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路攻擊＃高科技產業</strong></span></h3> <h2><strong style="vertical-align: top;">記憶體大廠威剛科技公告部分資通系統遭病毒攻擊</strong></h2> <p>記憶體大廠威剛科技在5月26日，於臺灣證券交易所發布重大訊息，揭露於23日遭病毒攻擊事件，導致部分資通系統受影響。此起事故造成該公司5月24日以後的出貨作業面臨一些延誤，威剛表示，這次事件不會對公司造成重大影響。<strong><a href="https://www.ithome.com.tw/news/144654">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/144625">美國占勒索軟體Conti全球受害單位逾半數</a><br /> ●<a href="https://www.ithome.com.tw/news/144690">密碼外洩查詢網站Have I Been Pwned開源</a><br /> ●<a href="https://www.ithome.com.tw/news/144634">Chrome 91全面封鎖TLS 1.0、1.1連線</a></h3> </div></div></div>
2021/6/2 18:30作者周峻佑https://www.ithome.com.tw/news/144777
軟體開發人員踢爆阿里巴巴旗下UC瀏覽器，會把使用者資訊傳送到伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名軟體開發人員<a href="https://hookgab.medium.com/ucbrowser-privacy-study-ecff96fbcee4" target="_blank">Gabi Cirlig本周踢爆</a>，由阿里巴巴子公司UCWeb（優視）所開發的UC Browser行動瀏覽器，會將使用者的瀏覽紀錄與裝置資訊回傳至該公司的伺服器上，而且就算是使用者啟用了無痕模式也一樣，該現象同時出現在iOS與Android上的UC Browser。</p> <p>根據流量分析平臺<a href="https://gs.statcounter.com/browser-market-share/mobile/worldwide" target="_blank">StatCounter</a>的統計，UC Browser於行動瀏覽器市場的占有率為2.36%，身為全球第四大行動瀏覽器，次於Chrome（63.03%）、Safari（23.94%）與Samsung Internet（5.86%），此外，它也是印度與印尼市場最受歡迎的行動瀏覽器。</p> <p>Cirlig在iOS與Android平臺上安裝了最新的UC Browser版本，卻發現它會把使用者所造訪的網站資訊、搜尋字串、裝置的IMEI 與MAC、所在的位置、瀏覽的精確時間戳回傳至UCWeb的伺服器上，還替每名用戶設定了獨立的裝置序號，而且就算使用者啟用了無痕模式，程式所回傳的資料仍然一樣詳細。</p> <p>此外，UC Browser也未遵循蘋果藉由4月發表iOS 14.5，所推動的追蹤透明化政策，並未詢問使用者是否願意接受追蹤，或是公布追蹤內容。</p> <p>值得注意的是，其實中國政府曾經檢測境內行動程式違法蒐集用戶資訊的情形，並<a href="http://www.cac.gov.cn/2021-05/20/c_1623091083320667.htm" target="_blank">在5月21日公布</a>了一個長達105款程式的違法名單，要求這些程式限期改善，雖然優視也被點名，但涉及違法的是UC大字版，並非UC Browser。</p> </div></div></div>
2021/6/2 17:48作者陳曉莉https://www.ithome.com.tw/news/144776
Google發表新TPU加速器VM，訓練模型效能更好且使用成本更低
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/compute/introducing-cloud-tpu-vms" target="_blank">Google發布了最新的Cloud TPU虛擬機器</a>，供用戶以更簡單的方式，存取雲端TPU運算資源，新的Cloud TPU虛擬機器特色在於，讓用戶直接存取TPU主機，並且使開發者能在TPU上，使用TensorFlow、PyTorch和JAX進行開發和部署。</p> <p>過去，用戶只能遠端存取Cloud TPU，通常必須要創建一個或是多個虛擬機器，並且使用gRPC以網路與Cloud TPU主機通訊，但在新的Cloud TPU虛擬機器中，用戶不再以遠端的方式存取Cloud TPU，而是能在每臺TPU主機上，配置自己的互動式開發環境，因此用戶可以在單一TPU虛擬機器中，逐行編寫機器學習模型並且進行除錯，也能依照需要使用Cloud TPU Pod擴展規模，與其他TPU高速互連。</p> <p>用戶擁有每個TPU虛擬機器的根存取權限，所以可以在TPU加速器中安裝和執行任何程式，並且使用本地端儲存，在輸入的工作管線中自定義程式碼，甚至是將Cloud TPU整合到研究和生產的工作流程中。</p> <p>Google提到，這種全新的Cloud TPU系統架構，帶來更簡單和更靈活的使用方式，而且除了可用性的改善之外，也能提升效能，因為用戶的程式碼不需要在資料中心間往返，另外，用戶還會看到明顯的成本節省，由於過去用戶需要額外創建一組強大的Compute Engine虛擬機器，來準備資料傳送給Cloud TPU Pod切片中的遠端主機，但現在可以直接在Cloud TPU主機上處理資料，因而消除額外虛擬機器的成本。</p> <p>現在us-central1和europe-west4地區已經提供Cloud TPU虛擬機器預覽，用戶可以使用單個Cloud TPU裝置，以及Cloud TPU Pod切片，並且選用TPU v2或TPU v3加速器硬體。</p> </div></div></div>
2021/6/2 18:03作者李建興https://www.ithome.com.tw/news/144775
【疫情日報】政府宣布疫苗全面接種計畫，8月達每周百萬劑接種能力，還能一周前線上預約注射
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央疫情指揮中心首度公布COVID-19疫苗全面接種計畫，計畫在8月前啟動全面接種作業，達到每周100萬劑接種的能力。同時也公布了疫苗預約平臺的使用流程，以及疫苗注射護理人力的儲備情況，目前已超過7千7百多人。</p> <p>中央流行疫情指揮中心發言人莊人祥表示，疫苗足夠情況下，正規畫6～8月之間，利用既有醫療院所展開全面接種作業。接種單位包括了300家醫療院所，每日每院300人次，另有200家衛生所，則可提供每日100人次的接種。還有診所，6月先開設800家，8月將可達到全臺2,000家，每家單日可提供50人接種。這三類醫療院所的接種人數可以達到每周124萬人次接種的規模。</p> <p>除此之外，6都及各縣市會設置社區接種站，每場可提供200到400人次不等。還會提供外展服務（如機關、企業、軍營），到規模超過1千人的企業中，媒合醫療院所，提供疫苗，由醫事人員來實施接種注射。還將在假日到棒球場或體育場開設大型接種站，每周9場，一場可提供1千人次。這些接種站和外展服務預估可以提供47.4萬人次。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%96%AB%E8%8B%97%E6%8E%A5%E7%A8%AE%E8%A8%88%E7%95%AB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%A1%9B%E7%A6%8F%E9%83%A8.jpg" /></p> <h3><span style="color:#FF0000;"><strong>疫苗接種預約平臺規畫中，將可1周前線上預約接種</strong></span></h3> <p>政務委員唐鳳也正協助規畫疫苗接種預約平臺，可以透過健保快易通App或四大超商的KIOSK、藥局來進行預約申請。</p> <p>莊人祥表示，類似口罩預約購買的架構，讓民眾可以透過手機或電腦上網預約，附近醫療院所、社區或大型接種站都可利用同樣的管道，在接種一周前來申請。健保快易通App會可以查詢所在位置附近醫院的疫苗數和預約人數，完成接種後，民眾會領到接種記錄卡，健保卡則會貼上貼紙，也可以在快易通App上查詢施打記錄。</p> <p>為了支援大規模接種，政府也已經展開護理人力的儲備，目前已有7795人報名支援。成大護理系也正在準備注射護理人力線上培訓課程和作業指引，也建立了一套社區疫苗注射的醫護排班管理系統，作為日後各接種站人力調度管理之用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A4%BE%E5%8D%80%E7%96%AB%E8%8B%97%E6%B3%A8%E5%B0%84%E9%86%AB%E8%AD%B7%E6%8E%92%E7%8F%AD%E7%AE%A1%E7%90%86%E7%B3%BB%E7%B5%B1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%A1%9B%E7%A6%8F%E9%83%A8.jpg" /></p> <p>臺北市長柯文哲表示，臺北市也做好疫苗接種規畫了，目前第一線39家合約醫院可提供每天4～5萬劑施打，另外也會有12區門診部合約診所，以及第三線大型接種站（例如小巨蛋、世貿展覽館、區公所禮堂。），另外還會設置機動接種隊，針對服務行動不便者，到安養機構或到宅實施接種等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E5%8C%97%E5%A4%A7%E9%87%8F%E7%96%AB%E8%8B%97%E5%BF%AB%E6%89%93%E8%A8%88%E7%95%AB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%87%BA%E5%8C%97%E5%B8%82%E6%94%BF%E5%BA%9C.jpg" /></p> <p>中央疫情指揮中心今天（6月2日）也公布，新增了372個本土確診病例，和177例校正回歸的本土確診案例。</p> <p>陳時中表示，今天案例雖然比較多，但目前還不清楚是申報速度加快所致，還是真的病例數增加較多，還需要兩天觀察。</p> <p>今天以新北市310例確診案例最多，其次是臺北市152例，其他縣市依序是，桃園市有28例，基隆市18例，苗栗縣12例，彰化縣10例，高雄市5例，台東縣4例，臺中市3例，新竹縣和臺南市各2例，另外新竹市、南投縣和花蓮縣各1例。</p> <p>陳時中呼籲，前一段時間開始實施的人流管制奏效，確診人數下降，但最近又有點起伏，他強調，人流管制仍要繼續落實。</p> </div></div></div>
2021/6/2 16:31作者王宏仁https://www.ithome.com.tw/news/144774
AWS地理位置服務Amazon Location正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS用來與Google競爭的地圖與地理位置服務<a href="https://aws.amazon.com/tw/blogs/aws/amazon-location-service-is-now-generally-available-with-new-routing-and-satellite-imagery-capabilities/">Amazon Location</a>現在正式發布，供開發人員建置具地理位置功能的網頁和行動應用程式，而除了AWS在去年底所發表的Amazon Location預覽功能之外，正式版本還加入了路由和衛星圖像兩個新功能。</p> <p>Amazon Location服務可在應用程式中提供地圖和地理位置功能，包括顯示地、驗證地址、執行地理編碼、追蹤包裹，和裝置移動等常見的地圖功能。AWS與美國Esri Global和荷蘭HERE地理資訊公司合作，用戶可以自由地在兩供應商間，選擇地圖和樣式，而且客戶可以完全地控制他們的資料。</p> <p>Amazon Location服務的地圖功能，可以視覺化位置資訊，而地點功能，則可以讓應用程式提供興趣點搜尋功能，並且將經緯度和地址做雙向轉換。地理柵欄功能能夠讓用戶設置地理範圍，並且偵測裝置進入與離開的事件，該事件會被發送到Amazon EventBridge服務，以觸發諸如AWS Lambda和SNS等服務。Amazon Location還能在應用程式中，提供駕駛距離、方向和估計抵達時間計算。</p> <p>正式版本加入了兩個新功能，分別是衛星圖像和路由。使用者可以將衛星圖像打包進地圖，以提供應用程式用戶更多的資訊，回答像是「房屋的外觀是什麼樣子？」這類的問題。要使用衛星地圖，用戶必須要在Amazon Location控制臺創建新地圖時，選擇Esri供應的圖像。</p> <p>而新的路由功能，則讓應用程式可以請求兩個位置之間的旅行時間、距離和方向，這讓應用程式用戶可以根據實際道路和交通訊息，獲得準確旅行時間。在這個功能，用戶可以設定最多25個導航點，指定行經的路徑，也能設定出發時間，Amazon Location會根據這個時間的交通狀況，最佳化建議結果。另外，用戶也可以選擇所使用的交通工具，透過調整參數，Amazon Location能制定適合該交通工具的路線。</p> <p>目前Amazon Location服務已經在美東、美西、歐洲等地區上線，亞太部分則有新加坡、雪梨和東京地區。</p> </div></div></div>
2021/6/2 15:32作者李建興https://www.ithome.com.tw/news/144772
Microsoft Edge 92將開始預覽自動選用HTTPS功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/msedgedev/2021/06/01/available-for-preview-automatic-https-helps-keep-your-browsing-more-secure/" target="_blank">微軟本周宣布</a>，Microsoft Edge 92將開始允許使用者預覽自動化HTTPS功能，瀏覽器將會自動把使用者所造訪網站的連線，從HTTP切換成HTTPS。</p> <p>HTTPS為一嵌入加密機制的傳輸協定，確保使用者與網站之間的通訊安全，以預防中間人攻擊。根據<a href="https://w3techs.com/technologies/details/ce-httpsdefault" target="_blank">W3Techs</a>的調查，在全球網站中，已有72.7%的預設值為HTTPS。</p> <p>微軟則說，雖然絕大多數的網站都已支援HTTPS，但卻有不少網站並未要求HTTPS，並於網站將使用者導至更安全的協定之前出現短暫的空窗，而讓駭客有機可趁，還有些網站完全不會把使用者從HTTP導至HTTPS，使得微軟決定推出自動化HTTPS功能（Automatic HTTPS），新功能已現身於Microsoft Edge 92的Canary及Developer測試版。</p> <p>顧名思義，自動化HTTPS功能會主動把使用者的連線切換成HTTPS，前提是使用者所造訪的網站也支援HTTPS，代表它也會通融僅採用HTTP的網站，不過，使用者亦可強制將所有的HTTP連線轉換成HTTPS，但如此一來，倘若所造訪的網站並不支援HTTPS，就會出現連線錯誤。</p> <p>Google自今年3月釋出的Chrome 90，就<a href="https://www.ithome.com.tw/news/143428" target="_blank">於網址列上預設使用HTTPS</a>，瀏覽器用戶在輸入網址時，通常會省略前面的HTTP或HTTPS，而瀏覽器就會在網址列上自動補足該通訊協定，過去Chrome的網址列的預設為http://，自Chrome 90就變更為https://，這代表使用者造訪某個網站時會優先採用HTTPS連線，若該站並未支援HTTPS，Chrome則會自動退回HTTP。</p> <p>至於Mozilla也在今年3月於Firefox 76上新增了<a href="https://www.ithome.com.tw/news/136581" target="_blank">HTTPS-only模式</a>，若啟用了該模式，當使用者以HTTP造訪特定網站，Firefox會自動將它升級到HTTPS版本，若未發現HTTPS版，則會跳出提醒，提醒用戶留意連線安全。</p> </div></div></div>
2021/6/2 15:41作者陳曉莉https://www.ithome.com.tw/news/144773
Android木馬Teabot假冒廣告封鎖程式感染並竊取銀行資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全公司<a href="https://labs.bitdefender.com/2021/06/threat-actors-use-mockups-of-popular-apps-to-spread-teabot-and-flubot-malware-on-android/" target="_blank">Bitdefender近日發現一隻銀行木馬Teabot</a>，假冒廣告封鎖軟體Ad Blocker吸引用戶下載，以植入受害者電腦竊取銀行帳密。</p> <p>Teabot又名Anatsa，最早是由另一家<a href="https://www.cleafy.com/documents/teabot" target="_blank">安全公司Cleafy揭露</a>，據信今年年初開始流傳於歐洲。這隻銀行木馬主要藏身在冒牌的知名廠商App，並引導Android用戶從第三方網站，而非官方Google Play Store下載以提高安裝率。今年稍早，Teabot利用多個Android App包括山寨版UPS以及VLC Media Player、Mobdro、卡巴斯基、Uplift健身App、電子書閱讀器Bookmate等散布。</p> <p>最近一波攻擊中，Teabot則化身假廣告封鎖軟體Ad Blocker散布。一旦用戶安裝開啟，就會要求覆蓋在其他App上（即覆蓋攻擊）、顯示通知、以及從Google Play以外的網站下載的許可。在執行時，這隻假廣告封鎖軟體會顯示廣告，最後從外部網站下載Teabot以躲避Google過濾機制。</p> <p class="rtecenter"><img alt="" src="https://labs.bitdefender.com/wp-content/uploads/2021/05/2.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Bitdefender</span></p> <p class="rtecenter"><img alt="" src="https://labs.bitdefender.com/wp-content/uploads/2021/05/3.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Bitdefender</span></p> <p>一旦植入受害者裝置可進行Android輔助功能的覆蓋攻擊、攔截簡訊、鍵盤側錄及竊取Google Authentication驗證碼，甚至可遠端控制Android裝置，目的在竊取網銀帳密，或是攔截銀行簡訊向用戶詐騙。</p> <p>研究人員指出，和另一隻銀行木馬Flubot/Cabassous相比，Teabot更為複雜，因為它具有存取紀錄的能力，讓攻擊者能即時監控裝置活動。</p> <p>連同今年初以來，Teabot已在歐洲散布開來，涵括西班牙、義大利、荷蘭及比利時等地60多家銀行，包括德意志銀行、BBVA、CaixaBanks的用戶遭鎖定。雖然目前感染地區主要為歐洲，但研究人員相信這份名單可能會持續增長。</p> <p>研究人員警告，目前Teabot仍然持續散布中，呼籲用戶不要從官網以外的來源下載App，也不要輕易點選訊息夾帶的連結。</p> </div></div></div>
2021/6/2 14:38作者林妍溱https://www.ithome.com.tw/news/144770
Firefox 89出爐：具備更簡潔的介面，隱私瀏覽預設即啟用Total Cookie Protection
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla於6月1日<a href="https://www.mozilla.org/en-US/firefox/89.0/releasenotes/?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">釋出了Firefox 89</a>，此一新的瀏覽器版本大幅翻修了使用介面，有更簡潔的工具列及更直覺的選單，此外，它的隱私瀏覽模式預設值即啟用了於Firefox 86所發表的<a href="https://www.ithome.com.tw/news/142888" target="_blank">Total Cookie Protection</a>，號稱是所有主流瀏覽器的隱私瀏覽模式中，擁有最先進隱私保護的產品。</p> <p>Firefox 89簡化了工具列及網址列的介面，保留最重要的功能，並移除較少用的選項，以讓相關介面看起來更清爽，較特別的是全新的浮動分頁設計（如下圖），用來提醒使用者這些分頁是可移動及組織的，此外，該版本也改善了更新功能，讓所有型態的通知都占用較少的空間，減少對使用者的打擾，亦移除了不必要的通知，並在預設值就關閉了自動播放的媒體。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0602-firefox%20floating%20tabs.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Mozilla</span></p> <p>另一方面，Mozilla於Firefox 86中嵌入的Total Cookie Protection功能，現在成為Firefox 89隱私瀏覽的預設值。傳統的瀏覽器會將Cookie集結在一個餅乾罐中，以允許使用者所造訪的網站分享Cookie，而Total Cookie Protection則是讓每個網站使用自己的餅乾罐，避免遭到不同網站的追蹤。</p> <p>在Firefox 86時，只有使用者於增強追蹤保護（Enhanced Tracking Protection）中選取了嚴格選項，才會啟用Total Cookie Protection，但現在只要在Firefox 89中執行隱私瀏覽，就會自動進入Total Cookie Protection。</p> <p>Mozilla亦改善iOS版的Firefox，包括簡化介面，減少搜尋步驟，以及添加附加功能等。</p> </div></div></div>
2021/6/2 15:00作者陳曉莉https://www.ithome.com.tw/news/144771
大考中心驚傳資料外洩，2千考生受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大學入學考試中心即將於7月28日至30日，針對第一屆實施「十二年國民基本教育課程綱要」的學生，辦理試辦考試。不過，<a href="https://www.ceec.edu.tw/files/file_pool/1/0l152728574894433790/1100601_%e6%96%b0%e8%81%9e%e7%a8%bf.pdf">該單位於6月1日發布新聞稿證實</a>，試辦考試的報名系統，出現部分資料遭到不明人士瀏覽的情況，約有2千筆學生的報名資料受到影響。</p> <p>針對這起試辦考試的系統遭到入侵的事故，大考中心表示，他們在4月15日發現，有不明人士經由不當手段，進入試辦考試的報名系統，並觸及當時存放於資料庫裡部分學生的報名資料。該單位察覺此事後，依資通安全事件通報及應變辦法向權責主管機關通報，並實施緊急應變措施，同時亦委由第三方公正單位進行調查。不過，大考中心強調，指定科目考試的報名系統與試辦考試不同，不受此次事件波及。</p> <p>根據清查的結果，大考中心表示，疑似有少部分學生報名的資料經不明人士瀏覽，這些遭到異常存取的資料約有2千筆，占當時報名資料總數的2.76%。該單位已依據個人資料保護法第12條，以及個人資料保護法施行細則第22條等規定，通知相關當事人，提醒這些學生要留意資料外洩會衍生的事件，例如，可能會接到詐騙電話的情況。</p> <p>而對於本次事故事後的因應措施，大考中心指出，他們已經修正系統邏輯判斷的缺失，並強化集報單位的密碼強度，來防範類似的事件再度發生。不過，究竟資料外洩事故發生的原因為何？大學入學考試中心主任周兆民表示，基於全案已經進入司法調查程度，他們不便多做說明，但表明他們考慮加強密碼管理措施，且不排除採用雙因素驗證來加強防護。</p> <p>但為何在此次事件發生超過1個月才向大眾公告？周兆民指出，他們考慮到學生準備相關考試的報名流程，經過向主管機關報備、核可後，決定在指定科目考試報名系統於5月27日下線後，才公布此次資料外洩事故。</p> </div></div></div>
2021/6/2 13:54作者周峻佑https://www.ithome.com.tw/news/144769
JBS疑似遭到俄羅斯駭客的勒索軟體攻擊，美國政府介入協商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大肉品業者JBS在周日（5/30）傳出遭到網路攻擊，造成澳洲與北美地區的部分肉品處理產線中斷，<a href="https://www.whitehouse.gov/briefing-room/press-briefings/2021/06/01/press-gaggle-by-principal-deputy-press-secretary-karine-jean-pierre-aboard-air-force-one-en-route-tulsa-ok/" target="_blank">美國白宮在6月1日召開記者會時也提及了此事</a>，表示JBS應是遭到來自俄羅斯駭客的勒索軟體攻擊，且白宮已直接與俄羅斯政府聯繫，要求俄羅斯不應窩藏勒索軟體駭客。</p> <p>雖然JBS的總部位於巴西，但此次勒索軟體攻擊的受害者則是JBS的美國子公司JBS USA，因此，當JBS USA遭到攻擊時，也同時知會了美國政府，白宮與美國農業部皆已派員協助JBS USA，並得知提出贖金要求的很像是位於俄羅斯的駭客組織。</p> <p>此外，白宮也就此事直接與俄羅斯政府聯繫，希望俄羅斯秉持著負責任的態度，不要窩藏勒索軟體駭客，此外，CISA與FBI也一同提供技術支援，協助JBS的災後復原。</p> <p>對抗勒索軟體已成為美國政府的重要政策，美國總統拜登（Joe Biden）亦已啟動快速戰略審查，以解決日益增加的勒索軟體意外，包括與私人企業合作以了解勒索軟體架構的分布及參與者，建立一個全球聯盟以向窩藏罪犯的國家究責，擴大對加密貨幣的分析以發現及追查犯罪交易，以及重新審查美國政府的勒索軟體政策。</p> <p>此外，美國政府也再度呼籲各政府組織及私人企業，應嚴肅看待勒索軟體的威脅，並依照現代化的需求，改造其網路防禦機制。</p> <p>今年5月7日攻擊美國最大燃油管道系統Colonial Pipeline的駭客組織，據稱也來自俄羅斯，<a href="https://www.ithome.com.tw/news/144418" target="_blank">而且同樣引起了白宮的關注</a>，<a href="https://www.theverge.com/2021/5/19/22443933/colonial-pipeline-ransom-4-million-hack-gas-shortage" target="_blank">Colonial Pipeline向媒體證實</a>該公司支付了440萬美元的贖金以換得解密工具，但因該工具的速度太慢，促使Colonial Pipeline繼續利用自己的備份來復原系統，一直至5月15日才恢復正常運作。</p> </div></div></div>
2021/6/2 12:41作者陳曉莉https://www.ithome.com.tw/news/144768
iOS 14.6疑造成電池續航力大幅下降
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果五月中釋出的<a href="https://www.ithome.com.tw/news/144280" target="_blank">iOS 14.5.1才傳出</a>使iPhone及iPad效能下降，不料另一批用戶又發現上周釋出的iOS 14.6安裝後發生手機耗電更兇，充飽電的iPhone使用時間大幅變短。</p> <p><a href="https://discussions.apple.com/search?q=ios%2014.6%20battery&page=1&content=filterDiscussions" target="_blank">上周蘋果支援網站陸續有用戶抱怨</a>，在安裝iOS 14.6後，耗電量大增，<a href="https://discussions.apple.com/thread/252805883?answerId=255278609022#255278609022" target="_blank">有用戶</a>充飽電的iPhone 11手機在Wi-Fi、藍牙及手機熱點關閉情況下，隔了一晚16小時就沒電。<a href="https://discussions.apple.com/thread/252810204" target="_blank">另有人</a>iPhone 12充了一夜，電池電量顯示只有30%並且持續用電中。從iPhone XR到iPhone 12，都有災情回報。</p> <p>元兇可能是蘋果自己的App。<a href="https://discussions.apple.com/thread/252757953" target="_blank">數名用戶</a>相信是Siri吃掉大部份的電。<a href="https://discussions.apple.com/thread/252800088" target="_blank">另一些用戶</a>認為問題出在Podcast App上，可能和該App背景運作有關，移除後耗電情形也獲得改善。</p> <p>目前蘋果官方還未證實這個問題，最好的方法或許是等蘋果不久後釋出的iOS 14.6.1更新了。</p> </div></div></div>
2021/6/2 12:10作者林妍溱https://www.ithome.com.tw/news/144767
刑事局資安鑑識實驗室全球首創：將惡意程式分析流程標準化並取得ISO國際認證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>各種網路犯罪的惡意程式分析手法，都高度依賴各家業者的技術能力和工具設備，刑事局科技研發科科長林建隆表示，該中心從2019年底開始規畫，希望可以將日常累積的在微軟作業系統下的各種惡意程式分析手法，進行統整分析並找出一套標準化的作業方式，並且取得相關的國際認證。</p> <p>林建隆進一步指出，歷經一年半的努力，刑事局數位暨資安鑑識實驗室於日前（5月28日）經由全國認證基金會（TAF）審核通過，將所有實驗室都必須取得品管認證的ISO 17025，新增一個將惡意程式分析標準化的「Windows程式行為分析」認證，這是全球第一個將惡意行為分析標準化的認證，透過全國認證基金會與全世界六十多個國家的相互承認，不僅是全球第一個通過ISO 17025「Windows程式行為分析」認證的執法單位實驗室。</p> <p>他也說，未來這個Windows程式行為分析標準化的國際認證，也可以推廣到其他需要進行資安鑑識和惡意程式分析的資安實驗室，成為各種惡意程式鑑識和分析的共通準則，屆時，刑事局資安鑑識實驗室也可以作為取得相關認證的能力實驗室。</p> <h2><span style="color:#0000FF;"><strong>全球首創，將惡意程式分析流程標準化並通過國際認證</strong></span></h2> <p>根據刑事局科技研發科的統計，最近三年來，網路犯罪經常夾雜各種資安事件、詐欺犯罪、個資外洩等等，通常前端是資安事件的入侵案件，衍生後續的詐欺或個資外洩，而林建隆表示，科技研發科負責數位鑑識同仁只有8人，資安鑑識同仁7人，每年經手數位和資安鑑識案件超過300件，處理數位證物超過1,100個，該科的內勤人員平均兩天要出外勤一次，協助外勤同仁做各種犯罪現場的數位證物蒐證。</p> <p>因為資安事件越來越多，在進行鑑識分析時，經常會遇到當A電腦有惡意程式時，要怎麼驗證這個惡意程式是遙控的木馬程式呢？要如何驗證該惡意程式會對外連線，且會連接到惡意的中繼站呢？</p> <p>林建隆表示，科技研發科長期累積各種網路犯罪數位證據的處理經驗，為了要證明這個惡意程式有問題，在法院上必須提出一個公正、客觀可以被信任的報告；為了確保證據力，也必須證明，這個分析惡意程式的流程，也可以經由第三方認證實驗室，執行同樣的流程並得出相同的結果，因此，便開始思考，如何把處理資安事件分析的流程，用一個標準化的流程，透過實驗室品質管理的驗證方式去申請國際標準認證。</p> <p>目前警調單位都有各自通過ISO 17025實驗室認證的資安鑑識實驗室，這也可以確保實驗室的工作人員，都有足夠的技術能力和證照。只不過，林建隆意識到，目前世界各國執法機關以及資安業者，對於惡意程式分析的流程並沒有一套共通的作業標準，刑事局資安鑑識實驗室在參考國內外許多惡意程式分析的流程，並且和全國認證基金會多次討論後，歸納出一套可以用來驗證的標準流程ISO 17025「Windows程式行為分析」。</p> <p>因為這是一個全新的認證標準，在進行驗證的過程中，必須有一個比對實驗室，確保在同樣的作業流程下，可以得出相同的驗證結果。林建隆表示，幾經討論下，後來則委由處理資安事件經驗豐富且立場客觀的行政院資通安全會報技術服務中心扮演比對實驗室的角色。</p> <h2><span style="color:#0000FF;"><strong>惡意程式分析三階段，也可用於資安事件調查流程</strong></span></h2> <p>資安事件中，駭客經常透過社交工程的方式寄發電子郵件且內含惡意程式，林建隆表示，刑事局在制定這個惡意程式標準化分析流程時，把分析流程分成三個階段，第一個「準備」階段，就是查看微軟作業系統中的可疑程式是否有一些簽章驗證可以驗證，是否跟以前曾經存在的惡意程式類似，透過雜湊值查驗該可疑程式是否曾經上傳過VirusTotal，甚至判斷是否有加殼，畢竟，正常程式幾乎不加殼。</p> <p>第二個是「檔案行為分析」階段，主要是了解該可疑程式對電腦帶來什麼影響，例如，使用模擬環境確認該可疑程式，是否會新增、刪除、或是修改檔案，是否會因為註冊機碼增刪而重新開機，或者是惡意程式執行或呼叫奇怪執行程序等行為，有相關行為則是為可疑的惡意程式。</p> <p>第三個是「網路連線分析」階段，主要目的是做惡意程式偵查、溯源和追蹤分析，透過追查可疑程式是否連線到駭客的中繼站；因為駭客通常有其慣用網路名稱或IP網段，如果有可疑程式連線到相關網路連線，也可以進一步追查駭客族群，也可以避免損害範圍擴大。</p> <p>林建隆直言，這三個階段針對Windows可疑程式做的程式行為分析，經過ISO 17025認證通過後，不僅可以了解惡意程式對作業系統的影響、感染方式和破壞程度，也可以透過分析異常連線，做到溯源和偵查駭客來源並阻斷相關的駭客攻擊。</p> <p>「這個Windows程式行為分析手法，以前就曾經用來分析相關的資安事件，」林建隆以去年傳出，有駭客假冒總統府寄發社交工程郵件給立委並夾帶惡意程式，該惡意程式會連線到境外中繼站並下載惡意程式。他說，透過標準化的惡意程式分析，可以發現惡意程式對電腦造成的感染和破壞，也都會追查到對外的中繼站，呼籲民眾不要輕易點擊惡意郵件的連結，避免造成嚴重的資安事件。他也發現在疫情期間，駭客會假借疫情名義寄發電子郵件，都要審慎面對惡意電郵和相關連結。</p> <h2><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B5%81%E7%A8%8B%E5%9C%961.png" style="width: 876px; height: 681px;" /></h2> <blockquote><p>刑事局把惡意程式分析流程標準化並取得國際認證，其中也將ISO 17025「Windows程式行為分析」分成「準備」、「檔案行為分析」和「網路連線分析」等三個階段。</p> </blockquote> <h2><strong style="color: rgb(0, 0, 255); font-size: 13px;">缺乏過往參考經驗和摸索惡意程式分析標準化流程是兩大挑戰</strong></h2> <p>刑事局資安鑑識實驗室在2006年4月成立科技犯罪防制中心，並在其下的科技研發科成立數位鑑識實驗室，負責處理電腦主機及行動電話等數位裝置的採證鑑識分析；之後，2014年則成為數位鑑識概括授權鑑定機關，為了符合刑事訴訟法囑託鑑定的規定，並於2016年取得ISO 17025實驗室認證中的「資訊重現」認證，像是找出曾經儲存在電腦硬碟或是相關儲存媒體中的檔案關鍵字或圖片，用來提高數位證物在法院的證據力，經常用於一般刑事案件而非網路犯罪資安事件的調查。</p> <p>為了進一步強化資安事件調查與鑑識的能力，刑事局也在2017年增設專門處理駭客攻擊，進行各種Log（登錄檔）分析、程式行為分析、以及手機漏洞檢測的「資安鑑識實驗室」，並投入行政院國家資通安全發展方案中的「資安旗艦計畫」及「資安跨域整合聯防計畫」，打造符合ISO 17025的資安鑑識實驗室。</p> <p>到2018年11月，則開始規畫將多年累積的惡意程式分析經驗，透過標準化程序並取得國際認證。林建隆表示，這過程也是是要證明，刑事局長期在資安網路犯罪調查中，已經累積足夠的實力，並且具備相關的人員、技術和設備。</p> <p>他也坦言，在這個流程標準化並取得國際認證的過程中，因為沒有過往的經驗可以作為參考指引，如何摸索出一套可供驗證的標準化流程，也和全國認證基金會針對需求和平日的分析流程、方法與工具做長期討論，這是刑事局面臨的第一大挑戰；接下來，怎麼建立一套符合犯罪調查的目的和工作實務的標準化程序，則是第二個挑戰。</p> <p>林建隆指出，刑事局此次取得ISO 17025中的「Windows程式行為分析」國際認證同時，也通過App資安檢測，分析政府機關或者熱門App是否有惡意連線、是否有加密，以及App功能和使用權限宣是否有落差等，可以進一步做到犯罪防制和預防宣導的目的。他說，在取得App資安認證時，則以安碁公司作為流程比對的能力實驗室。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">。</span><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B5%81%E7%A8%8B%E5%9C%962.jpg" style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic; width: 917px; height: 682px;" /></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">刑事局惡意程式分析的的標準化流程，也用來追查去年駭客冒用總統府名義，寄送社交孤成郵件給立法委員的來龍去脈。</span></p> </blockquote> </div></div></div>
2021/6/2 03:53作者黃彥棻https://www.ithome.com.tw/news/144756
蔡英文總統首度在臺灣資安大會，揭櫫「資安即國安2.0」戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球第一場實體舉辦的資安活動「CyberSec 2021 臺灣資安大會」於今年5月4日～5月6日假南港展覽館二館舉辦，總統蔡英文亦第三度蒞臨臺灣資安大會致詞，並首度在公開場合揭櫫「資安即國安2.0」國安戰略內容，而美國在台協會處長酈英傑（William Brent Christensen）也首度蒞臨臺灣資安大會致詞。</p> <p>蔡英文表示，臺灣在資安即國安1.0的基礎上，推動資安即國安2.0資安戰略，不僅成立新設立的數位發展部，也會成立專責的資通安全署，將會提升對關鍵基礎設施及核心資料庫的防護，並且會持續強化組織、落實法制、培養人才及支持產業，政府和民間企業攜手打拼，共同建立堅韌、安全、可信賴的智慧國家。</p> <p>臺灣資安大會在去年，是全球暨美國RAS資安會議後，第二場可以實體舉辦的資安會議，因為臺灣民眾防疫有成，今年臺灣資安大會更是全球第一個可以實體舉辦的資安會議。今年，超過一萬名會眾報名三天議程與展覽，議程內容超過200軌，參與業者超過200家，展覽規模更是去年的1.5倍，場邊活動除了連續第四年舉辦的臺灣資安館外，更首度新增資安人才專區「Cyber Talent」、資安品牌日、US-Taiwan AIT Day等活動，「CyberSec Playgroung資安體驗區」的體驗活動，更從去年資安桌遊和知識問答外，擴增到7個體驗活動。</p> <h2><span style="color:#0000FF;"><strong>在資安即國安1.0基礎下，首度公開資安即國安2.0戰略</strong></span></h2> <p>蔡英文去年於臺灣資安大會致詞時，面對現場政府部門各個與資安相關的首長到場時曾表示，政府資安首長「傾巢而出」，今年與資安相關的部會首長、副首長也全員到齊，到場長官包括：國家安全會議秘書長顧立雄、行政院副院長沈榮津、國家發展委員會主委龔明鑫、行政院政務委員唐鳳、行政院政務委員郭耀煌、經濟部部長王美花、國防部中將李廷盛、科技部部長吳政忠、國家安全會議諮詢委員李漢銘、國家通訊傳播委員會主委陳耀祥、金融監督管理委員會副主委許永欽、行政院科技會報執行秘書葉哲良等人。蔡英文表示，資安部會首長到場表示，除了表示政府重視資安，更意味著，當資安列為國家重要戰略，在「資安即國安」戰略方針下，資安也是臺灣產業發展必須要把握的關鍵領域。</p> <p>蔡英文在去年520就職演說中提到，臺灣要在五加二產業創新的基礎上，打造六大核心戰略產業，更要在5G和數位轉型的浪潮中，全力打造可以保護自己、也能被世界所信賴的資安系統以及資安產業鏈。政府可以做出這樣宣示的前提在於，這幾年在政府和民間共同努力下，臺灣在資安領域上能量充沛。</p> <p>資安即國安戰略推動可以分成政府和民間兩個部分。蔡英文進一步指出，政府積極推動「資安即國安1.0」的國家戰略，除了成立資通安全處，國防部也成立資通電軍，法務部調查局打造資安工作站，而立法院也通過資通安全管理法的法案，政府積極從法制、組織一直到公部門資安人才面向，一一打下基礎。</p> <p>至於在民間部分，她指出，在產業界以及各界的支持下，臺灣的資安戰隊不斷在國際攻防比賽上取得好成績，像是在臺灣業者在Pwn2Own資安大賽奪冠、在臺灣資安團隊實力享譽國際的同時，也意味著，臺灣資安產業已經推出一批又一批優秀的資安人才。</p> <p>今年臺灣資安大會有超過二百個資安品牌參展，蔡英文表示，這些資安業者不僅有技術實力、創新想法，更可以提供解決方案，這就是臺灣發展資安產業的競爭力所在。她說，展望後疫情時代，可以預期，疫情階段所推廣、運用的各種資通訊技術，將會更深入日常生活中，因此，從AIoT應用普及到萬物聯網、萬物都需要做好資安，資安已經是日常所需。</p> <p>臺灣位於民主前緣，不只是國際上資安攻防的熱區，更是第一線的練兵場，在時代趨勢下，在我們所處的位置，蔡英文直言：「資安的挑戰，不只是挑戰，也是臺灣的機會。」她強調，臺灣要一起把挑戰轉換成機會，和國際夥伴共同創造網際空間繁榮，並且發展臺灣獨特優勢。</p> <p>接下來，政府進階推出「資安即國安2.0」國安戰略，蔡英文表示，透過規畫新成立的數位發展部，並且成立專責的資通安全署，提升對關鍵基礎設施及核心資料庫的防護能量，並且會透過持續強化組織、落實法制、培養人才，以及支持產業等方式，落實資安即國安2.0。她也期待，可以在政府部門和民間企業攜手努力下，共同建立堅韌、安全、可信賴的智慧國家。</p> <h2><span style="color:#0000FF;"><strong>美國AIT：公私協力才是解決資安問題最佳利器</strong></span></h2> <p>今年，酈英傑首度蒞臨臺灣資安大會致詞，貼切證明臺美合作日益密切的今日，資安合作已經是不可迴避的重要議題。他認為，優秀的資安要從高層做起，從臺灣資安官員共同參與盛會，不只是單純的象徵意義，也表示政府肯定資安的重要性。他表示，過去一年半以來，AIT與臺灣聯合舉辦許多重要資安活動和計畫，包括去年安排訪問團出席舊金山舉行的RSA資安會議，還一同舉辦關鍵基礎建設線上研討會，關鍵基礎設施資安戰略資安高峰論壇，並舉辦先進製造的資安防禦新思維論壇等等。</p> <p>美國持續高度重視資安，並研擬各種措施因應資安挑戰，事實上，針對公私部門不斷進行的各種網路攻擊，他認為，網路攻擊危害的不只是經濟成長和國家安全，隨著美臺經濟走向全面數位轉型，確保各種科技智能物聯網裝置可以保持安全，更是至關重要。</p> <p>他表示，資安無法只靠政府干預的單打獨鬥方式來完成，一定要有政府和民間合作的公私協力，才有辦法落實資安防護。像是美國政府先成立資安與基礎建設安全局，又進一步設立國家網路總監新職位，強化政府對資安防護的組織和能力，但他說：「資安無法只靠政府干預，這種單打獨鬥的作法來完成，」可以在臺灣最大的資安大會也是民間企業組織的商展上致詞，證明公私部門在資安領域共同合作的重要性。</p> <p>酈英傑表示，很多資安公私資安部門投入心血，研究資安弱點，研發科技，並且部署解決方案，大部分倍發現的資安弱點，包括近期的Solarwinds和微軟Exchange電子郵件漏洞，都是民間私人公司發現，所以，美國國會跨黨派議員也建議公私部門應該在資安領域攜手合作，而美國政府首席資訊安全長也公開表示，未來，白拜登政府也將致力為產業夥伴敞開大門。他也說，臺灣政府機關與民間企業攜手在臺灣資安大會的合作，更證明臺灣與美國在維護資安的作法上，與其他許多領域合作一樣密切。</p> <h2><span style="color:#0000FF;"><strong>展現臺灣資安實力，首度展示戰術偵搜無人直升機</strong></span></h2> <p>iThome總編輯暨臺灣資安大會主席吳其勳表示，感謝臺灣民眾守護疫情，讓臺灣資安大會成為全世界第一個實體舉辦大型資安會議，二百個參展業者中，臺灣資安品牌超過50個，其中更有幾個臺灣資安業者，已經展現出國際資安品牌氣勢，更足以見證臺灣資安產業近幾年的蓬勃發展。除美國外，包括英國、以色列、荷蘭、盧森堡、澳洲等駐臺代表都蒞臨現場，這也開啟國際資安合作大未來。</p> <p>他也說，全球疫情並沒有趨緩，資安威脅更形嚴峻，資安議題不僅是技術問題，更是重要的政治議題，像是目標式勒索軟體勒索企業的贖金屢創天價，特定國家幕後主導的供應鏈軟體攻擊，已經重創全球企業和政府機關，而境外敵對勢力對臺灣的威脅和各種假新聞、資安戰威脅更不曾稍歇。臺灣透過思考「TRUST: redefined 信任重構」，匯集各界專家智慧，找尋發揮臺灣資安優勢的新契機。</p> <p>第四屆舉辦的臺灣資安館，今年「臺灣資安自主研發特展」匯集超過50家臺灣資安業者，展現臺灣資安品牌實力；更在「智慧臺灣安全展」中，展示進階資安場域防護成果，更首度對外實機展出整合國產戰術偵搜無人直升機，結合5G高速通訊、5G高解機度攝影機，並採用安全晶片做無人機的身分驗證。</p> <p>今年首度新增的資安人才專區，透過資安人才論壇、資安女力論壇和各種產學對話、職職涯諮詢等活動，串連資安新鮮人與資安育才、用才單位，其中，獲得Pwn2Own破解大師、戴夫寇爾首席資安研究員Orange Tsai、國防部參謀本部資通電軍指揮部少校周文馨等人參與論壇，分享自身職涯經驗。另外在今年首度推出的活動還包括「US-Taiwan AIT Day」，如果在其他國家看到的美國館展覽區一樣，會場中帶來全球最新資安趨勢和前瞻技術，並促進臺美雙方資安產業合作交流。</p> <p> </p> </div></div></div>
2021/6/2 04:33作者黃彥棻https://www.ithome.com.tw/news/144757
台北市祭出科技防疫三箭，台北通實聯制開放民間採用、精進疫情數據儀表板、開放線上申請紓困
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全國疫情持續維持三級，雙北更成為高風險地區，除了限制餐飲內用、學校停課，民眾減少外出之外，仰賴資訊科技進行防疫工作的台北市今天（6/1）宣布升級科技防疫作為，包括和中央政府合作，開始整合行政院簡訊實聯制的台北通實聯制更新，開放民間業者申請整合型QR Code，另外也整合更多疫情相關數據，精進市府內部防疫決策使用的疫情儀表板，上周五推出的9項短期紓困措施也開放線上申請。另外，台北市柯文哲也計畫針對疫調不明郎的地區，派遣行動快篩隊前往。</p> <p>首先是台北通實聯制部分，原本的台北通App的實聯制以北市的公共場館區域實聯制使用為主，且為被掃模式，即民眾可利用App產生一個個人化的QR Code，讓場館掃描完成實聯登記。</p> <p>而新的台北通實聯制新增主掃功能，並強調和行政院的簡訊實聯制整合，提供實聯制整合型QR Code，這個新的整合型QR Code整合行政院簡訊實聯制，以及台北通實聯制。</p> <p>民眾如果使用Line疾管家或開啟手機的相機功能，掃描整合型QR Code，就會按行政院的簡訊實聯制，發送含有場所代碼的簡訊至1922。如果民眾原本就使用臺北通實聯制，只要更新台北通App，就會在App上新增一個掃碼功能，當進出連鎖超商、百貨公司或是一般商家，就能以台北通App掃描商家在門口提供的整合型QR Code。</p> <p><strong>台北市政府推動的實聯制掃碼，透過整合型QR Code，同時支援台北通實聯制與行政院簡訊實聯制：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CODE(1).jpg" style="width: 600px; height: 684px;" /></p> <p>換言之，這個整合型的QR Code能同時支援台北通實聯制及行政院的簡訊實聯制，當你以Line疾管家、手機上的相機掃描整合型的QR Code，就會啟動簡訊實聯制流程，發送簡訊即完成實聯制，民眾登記的實聯制資料都會保存在5大電信；如果是以台北通App掃碼登記實聯資料，資料儲存在臺北市政府的雲端資料庫，和簡訊實聯制一樣，強調資料不落地，店家無法取得資料，所有實聯資料保留28天，供中央進行疫調調閱之用。</p> <p>台北市政府祕書長陳志銘表示，台北通防疫實聯制的最大特色是簡單、方便，如果以台北通App掃描整合型實聯QR Code，只要掃碼、確認，3秒2步驟就能完成。民眾若和家人一同前往，只需要一位代表人使用台北通App掃碼登記即可，只要登記同行人數就能完成實聯登記。</p> <p>台北市政府也將北市實聯制，從北市的公共場館推到民間場域，即日起，與四大超商、超市量販店、百貨公司合作，民眾進入這些場所，若發現貼有北市整合型QR Code，就能使用Line疾管家、相機或是台北通App掃碼，完成實聯登記。台北市政府也表示，6月1日起開放一般民間場域<a href="https://mycode.gov.taipei/SiteQR" target="_blank">免費申請整合型QR Code</a>。因應民眾下載台北通的需求增加，北市府也擴充系統容量及優化，以新的架構及標準，因應需求量增加進行調整。</p> <p><span style="color:#B22222;"><strong>開放線上申請紓困、靠疫情數據儀表板掌握疫情發展</strong></span></p> <p>另一項和台北通App相關的是線上申請紓困，為減少民眾出門的風險，台北市政府在「市民服務大平台」的COVID-19紓困專區，開放線上申請，民眾欲申請紓困，可利用台北通App掃描網頁上QR Code，自動登錄系統，並帶入實名資料，加快線上申請程序。</p> <p>另外，去年台北市政府在成立大數據中心，整合國內外確診者、口罩、消毒、防疫旅館、公共場館進出人流等數據打造的疫情儀表板，供市府防疫決策參考。隨著最近幾周國內疫情升溫，台北市各區的確診者快速增加，市府也設置快篩站，提高快篩能量，並快速調整擴充醫療資源，北市整合更多疫情數據精進儀表板，包括PCR篩檢數量、PCR篩檢確診者數量，搭配視覺化的地圖，呈現各行政區篩檢量、確診者人數。</p> <p>北市府去年因應疫情監控決策需要，匯整中央及地方的疫情數據打造疫情總覽儀表板，除了呈現國內、國外COVID-19確診資訊，也整合台北市口罩、防疫旅館、公共場館進出人流、防疫旅館及消毒等資訊：</p> <p>因應最近疫情升溫，北市增加多個快篩站，擴大篩檢能量，在儀表板的風險評估底下，呈現PCR篩檢數量、PCR篩檢確診者、居家檢疫、居家隔離者分布情形：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dashboard.jpg" style="width: 600px; height: 338px;" /></p> <p> </p> <p>結合時間與空間，呈現30天內的趨勢變化：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dashboard-2.jpg" style="width: 600px; height: 332px;" /></p> <p>掌握高風險地區，市長柯文哲更透露已成立兩支行動快篩隊，針對高風險地區，例如疫調有問題的地區，派遣快篩隊前往，以科學為基礎，對疫調精準打擊，今天下午已示範，再檢討修正做法。</p> </div></div></div>
2021/6/1 21:23作者蘇文彬https://www.ithome.com.tw/news/144755
Elastic 7.13強化對開源主機檢測框架Osquery的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elastic發布了最新軟體堆疊<a href="https://www.elastic.co/blog/whats-new-elastic-7-13-0?elektra=home&storm=announcement">Elastic 7.13</a>版本，這個新版本在企業搜尋、可觀察性和安全解決方案，都加入新功能。除了提供正式的凍結層儲存服務外，還加入執行時欄位（Runtime Fields）功能，強化分析能力，並且改善開源主機檢測框架Osquery整合，提供用戶進行更強大的安全分析。</p> <p>現在Elastic凍結層（Frozen Tier）資料儲存服務已經正式上線，用戶不需要取捨要留下或是刪除的資料，能夠以凍結層低成本儲存PB級資料，並且以更具成本效益的方式，對儲存在物件儲存中的資料進行大規模搜尋。</p> <p>官方解釋，雖然物件儲存極具成本效益，但是這種儲存方式會影響搜尋效能，而Elastic則是會根據需要，從物件儲存中擷取必要的內容，並根據需要在本地端快取，以高效率低成本的方式完成資料查詢。無論用戶的使用情境是建構儀表板，還是針對龐大資料集進行查詢，官方強調，凍結層都能提供良好的搜尋體驗。</p> <p>Elastic 7.13強化了可觀察性功能，讓資料分析師可以運用Discover和Kibana Lens，在執行時額外加入資料欄位參與分析。這項功能適用的情境，官方舉例，當用戶有一個問題想要進行研究，而手中剛好沒有可使用的資料，則Discover和Kibana Lens的執行時欄位功能，就可以讓資料分析師快速產生需要的資料。</p> <p>執行時欄位供分析師探索和強化所使用的資料，透過執行時欄位編輯器，在Discover和Kibana Lens動態創建欄位，並且進行格式化、修改和轉換資料，以方便彈性的方式進行資料分析，而且不需要切換到其他畫面進行額外操作。這個靈活的資料分析功能，讓分析師獨立執行資料探索工作，並且在工作流程中直接修改使用的資料，當場查看結果。</p> <p>在安全性上，Elastic 7.13擴大支援開源主機檢測框架Osquery，供Elastic Agent能使用新的主機管理整合，透過結合Osquery主機資料來進行統一分析。Osquery主機管理整合讓企業安全團隊，可以用Osquery來解決網路威脅，用戶只需要點擊介面，就可以在Windows、macOS和Linux主機上安裝與調度Osquery。</p> <p>Osquery資料會儲存在Elasticsearch中，並且在Kibana中顯示，用戶可以使用一個或多個代理來執行即時查詢，並且定義排程查詢，以掌握組織系統的安全狀態，Osquery資料可與其他事件、威脅和異常資料進行綜合分析，提高主機可見性，增強企業安全分析和監控能力。</p> </div></div></div>
2021/6/1 21:05作者李建興https://www.ithome.com.tw/news/144754
微軟釋出Windows套件管理器Winget 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正式發布<a href="https://devblogs.microsoft.com/commandline/windows-package-manager-1-0/">Windows套件管理器（Windows Package Manager，Winget）1.0</a>，這是一個供使用者管理系統套件的工具，其包含命令列工具和一組應用程式安裝服務，獨立軟體開發商可以將軟體打包成套件，使用Windows套件管理器來發布，讓用戶能夠方便地快速安裝。</p> <p>用戶可以利用PowerShell在Windows終端執行Winget，微軟提到，Winget客戶端將會成為用戶管理機器上套件的主要工具。Winget能利用名稱或是標籤來搜尋套件，並且使用install指令來快速安裝，也能使用upgrade指令來檢查套件升級，IT只要使用winget upgrade --all指令，就能一次更新所有機器上的套件。設定新機器可以使用從舊電腦匯出的套件列表packages.json，快速地設定新環境，或是使用winget list功能管理系統安裝的套件。</p> <p>之前Winget透過Windows Insider版本釋出，而用戶註冊Winget Insider群組，也可能已經在電腦安裝Winget，現在隨著正式版發布，Winget 1.0版本將會透過微軟商店，以自動更新發布，凡是Windows 10 1809或是更新的版本，都可安裝使用Winget，對專業IT人員來說，可以使用群組政策管理Winget的訊息，並使用winget --info指令來確認正在生效的政策。</p> <p>除了Winget 1.0之外，微軟還發布了另一個開源工具Winget Manifest Creator，供開發者將套件提交到微軟社群儲存庫，開發者可以直接打開Winget，利用指令來安裝這個新工具，在工具安裝完成後，便會按照用戶給的URL下載安裝程式，解析並且找出可用的manifest值，引導用戶完成整個過程，以產生有效的manifest。當用戶提供了GitHub憑證，Winget Manifest Creator還會分叉儲存庫、創建新分支，並且提交拉取請求，還有提供用戶URL來追蹤進度。</p> <p>微軟還發布了REST API來源參照實作，讓開發者可以託管自己的私有儲存庫，官方提到，這是新型態的來源，Winget預設來源預索引透過微軟商店交付套件，但如果用戶實現基於JSON的REST API架構，也可以新增REST來源。</p> </div></div></div>
2021/6/1 18:45作者李建興https://www.ithome.com.tw/news/144753
Consul服務網格開始支援Amazon ECS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源基礎設施公司HashiCorp宣布要在自家服務網格<a href="https://www.hashicorp.com/blog/announcing-consul-service-mesh-for-amazon-ecs">Consul</a>中，加入對AWS容器服務的支援，要讓用戶可以選擇Consul作為ECS的服務網格。目前這項功能還在技術預覽階段，用戶現在可以透過無伺服器運算引擎AWS Fargate，在ECS上部署Consul預覽版本。</p> <p>Amazon ECS是AWS的全託管容器調度服務，對在AWS上建構基礎設施，並且大量使用其他AWS服務的企業來說，ECS是一個熱門的選擇，HashiCorp提到，他們考慮到有許多使用者在EC2或Fargate上的ECS，來管理容器部署，而且Kubernetes服務的使用率Amazon EKS又不斷的成長，因此他們認為，用戶傾向選擇多種服務調度方法。</p> <p>而由於Consul的目標便是要支援所有Runtime，成為真正多平臺的服務網格，因此添加ECS的支援，能夠使Consul更加接近此一目標。官方提供了使用者一致簡單的部署體驗，可以使用Hashicorp Terraform在Amazon ECS上部署Consul服務網格。</p> <p>官方提到，在ECS運作的Consul，可以供用戶執行零信任網路，任務之間的請求使用mTLS完全加密，可以防止潛在攻擊者，探嗅純文字流量，且因為請求流經邊車代理，Consul可以阻擋未授權服務的請求。</p> <p>同時這項支援也帶來了可觀察性和可靠性，邊車代理可以配置在所有服務之間，設定發出一致的請求指標，這代表用戶可以建構儀表板，並且創建自動警報，而不需要重新配置和編碼所有服務。此外，Consul的配置條目可以被用來配置代理行為，以設定重試失敗請求、逾時和未回應的斷路器（Circuit Break）服務，這些控制可以在不需要更改底層服務的前提下，提高微服務基礎設施的可靠性。</p> </div></div></div>
2021/6/1 17:33作者李建興https://www.ithome.com.tw/news/144749
全球最大肉品業者JBS遭網路攻擊，部分產線停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總部位於巴西的全球最大肉品業者JBS周日（5/30）傳出遭到網路攻擊，駭客攻陷了該公司用來支援北美與澳洲的IT系統，並導致部份的產線停擺。</p> <p>率先揭露並取得JBS聲明稿的，是澳洲的肉品產業媒體<a href="https://www.beefcentral.com/news/jbs-global-meat-processing-operations-paralysed-by-cyber-attack/" target="_blank">Beefcentral</a>。JBS S.A為全球最大的肉品供應商，專門銷售處理過的牛肉、雞肉、豬肉及相關副產品，旗下設有JBS USA、JBS Foods International與Seara三家子公司，而向Beefcentral證實攻擊事件的，則是隸屬於JBS USA的澳洲執行長Brent Eastwood。</p> <p>JBS USA於聲明中表示，該公司是在5月30日發現自己成為網路攻擊的受害者，該攻擊波及了支援北美與澳洲市場的IT系統，JBS立即關閉所有受影響的系統，通知執法機構，同時協同第三方資安專家以緩解攻擊事件。</p> <p>此外，JBS的備份伺服器並未受到波及，並正與事件應變業者合作恢復系統。JBS也強調尚未有證據顯示客戶、供應鏈或員工的資料遭到危害或濫用。</p> <p>然而，根據Beefcentral的報導，這波的攻擊行動已讓JBS暫停了澳洲及北美的肉品處理產線，而且並未訂出恢復正常運作的時間表。</p> <p>JBS USA並未公布是受到哪類的網路攻擊，也拒絕討論細節，不過外界幾乎一致地認為兇手應該是勒索軟體。</p> </div></div></div>
2021/6/1 17:48作者陳曉莉https://www.ithome.com.tw/news/144752
研究人員在GPU上執行生成對抗網路，加速高解析度宇宙模擬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>卡內基美隆大學和加州大學研究人員，合作開發出了一個<a href="https://developer.nvidia.com/blog/researchers-harness-gans-for-super-resolution-of-space-simulations/">深度學習模型，可以提升宇宙模擬的解析度</a>，將低解析度的模擬提升為高解析度模擬，使得科學家一天之內，就可以創造出複雜的模擬宇宙，並能探索更多的可能性。</p> <p>宇宙模擬對於人類了解宇宙是必要的方法，從宇宙的誕生到黑洞的形成，都需要經過模擬才能進一步探索未知，研究人員提到，宇宙研究用到大量的模擬，並且需要使用高解析度，來解決小規模星系形成的物理問題，但解決這些問題的方法，面臨巨大的運算挑戰。這種巨大的動態範圍運算，會帶來大量的計算成本，因此通常需要犧牲解析度或是尺寸，甚至必須要同時犧牲兩者。</p> <p>這個計算障礙攸關人類解開星系形成、暗物質和暗能量的奧秘，而現在研究人員建構了一個深度網路，來強化低解析度的暗物質模擬，產生超級解析度實作，透過在大宇宙體積中建構小規模星系的模型，達到高解析度且大尺寸的需求。</p> <p>該團隊的生成對抗網路（GAN）可以將全尺寸低解析度的模型，轉換成為具有512倍粒子數的模型，研究人員提到，雖然生成對抗網路僅使用小空間區域的資料進行訓練，但是該模型能夠複製出，只有在大規模模擬才能看到的大型結構。</p> <p>這個模型在德州高級計算中心的Frontera系統上，使用數百個GPU進行運算，但是新方法光使用一個GPU，就能帶來巨大的運算加速，研究人員提到，舊的模擬方法單個處理核心上，需要花費3個月才能創造1.34億個粒子的詳細模擬，但由GPU加速的深度學習方法，只要36分鐘就能完成，而對於1千倍大的模擬，過去舊方法在專用超級電腦上的模擬時間，需要耗時數個月，而運作在單一GPU上的新方法，卻只要16個小時。</p> <p>這種模擬方法可以幫助科學家進行更多種類的模擬，以預測宇宙在不同情境下的樣子，研究人員提到，在過去的研究，可以在模擬宇宙中，發現新的物理學，而利用這項新技術，可以加速驗證想法的速度。目前這項研究鎖定的目標，是重力隨時間移動暗物質的情況，超新星和黑洞的模擬還不在現在的研究範圍中，該團隊接下來會進一步擴展研究方法，以應用在其他的研究上。</p> </div></div></div>
2021/6/1 17:59作者李建興https://www.ithome.com.tw/news/144751
美國國家能源研究科學計算中心正式安裝全球最快AI超級電腦Perlmutter
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國家能源研究科學計算中心（National Energy Research Scientific Computing Center，NERSC）在5月27日宣布，已於其勞倫斯伯克利國家實驗室正式安裝了全球最快的AI超級電腦Perlmutter，Perlmutter又名NERSC-9，是由HPE與Nvidia及AMD聯手打造的GPU加速超級電腦，理論上可提供接近3.8 exaflop/s的AI效能，或是60 petaflop/s的尖峰高效能運算。</p> <p>根據<a href="https://www.ithome.com.tw/news/141154" target="_blank">去年11月公布的</a>全球500大超級電腦名單，位居第一名的是日本的理化學研究所（RIKEN）和富士通共同合作打造的Fugaku，它的尖峰高效能運算為537 petaflop/s，HPL-AI效能為2 exaflop/s。</p> <p>至於Perlmutter的尖峰高效能運算在<a href="https://www.top500.org/lists/top500/list/2020/11/" target="_blank">500大超級電腦名單上</a>只能排在第十名左右（正式排行榜採用混合精度效能），但<a href="https://icl.bitbucket.io/hpl-ai/results/" target="_blank">HPL-AI效能直接超越Fugaku</a>。</p> <p><a href="https://icl.bitbucket.io/hpl-ai/" target="_blank">HPL-AI是在2019年11月才成為超級電腦排行榜的基準測試</a>，以彰顯新興的融合式高效能運算（HPC）與人工智慧（AI）任務。</p> <p>Perlmutter奠基於HPE的Cray Shasta平臺上，同時採用GPU加速器與CPU-only節點，<a href="https://www.nersc.gov/systems/perlmutter/" target="_blank">NERSC說</a>它的效能是該中心現有旗艦系統Cori的3倍以上，將分成兩階段部署，第一階段採用GPU加速器，今年春末就會開始進行科學運算，第二階段則會加入CPU-only節點，也預計在今年上線。</p> <p><a href="https://www.hpcwire.com/2021/05/27/nersc-debuts-perlmutter-worlds-fastest-ai-supercomputer/" target="_blank">根據HPE所揭露的規格</a>，Perlmutter採用了6,159個Nvidia A100 GPU，以及1,500個AMD Milan CPU，且該系統未來將支援專門探究暗能量對宇宙膨脹影響的暗能量光譜儀（Dark Energy Spectroscopic Instrument ，DESI）計畫，可用來協助描繪橫跨110億光年的宇宙圖，在早期的測試中，NERSC研究人員發現使用Perlmutter的GPU效能可達20倍，可將原本需要數周或數月的運算任務，大幅縮短至以小時計算。</p> <p>此外，材料科學也可能受惠於Perlmutter。NERSC的效能專家Brandon Cook表示，過去要針對諸如電池接口等大型系統進行全面的原子模擬是不可能的，但現在科學家計畫要利用Perlmutter來達成此事。</p> <p>另一方面，Nvidia早已是500大超級電腦排行榜的常勝軍，該公司所打造的Selene超級電腦系統，<a href="https://www.top500.org/lists/top500/2020/11/highs/" target="_blank">在去年11月的排行榜上名列第五</a>，且在500大排行榜中，有147個系統採用了加速器或協同處理器技術，當中就有132個使用Nvidia的晶片，比例接近90%。</p> </div></div></div>
2021/6/1 17:05作者陳曉莉https://www.ithome.com.tw/news/144750
【疫情日報】Rt值持續下降趨近1反映疫情趨緩，政府近日將公布企業快篩指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心指揮官陳時中1日宣布，近日單日新增確診個案數和校正回歸個案數下降，整體疫情走向趨緩、感染率指標數據Rt值持續走低, 將考慮不再公布校正回歸個案。統計至5月31日的Rt值是1.02，代表1位病人目前影響力下降到只會傳染1.02人。</p> <p>另外，指揮中心副指揮官陳宗彥在今日全國防疫會議會後記者會中表示，政府目前正制定企業快篩指引，完成後將盡速公告供各界遵循。</p> <p><strong><span style="font-size:22px;">Rt值下降，考慮不再公布校正回歸個案</span></strong></p> <p>今日新增262例本土案例、65例校正回歸本土個案，回歸至5月29日至5月31日。指揮官陳時中表示，這幾天單日新增本土病例降低、Rt值持續下降，而且，隨著檢驗通報流程的簡化，塞車的校正回歸案例也逐漸減少。如此，校正回歸個案對疫情影響不大，陳時中指出，指揮中心「考慮不再公布校正回歸個案。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/03_210601EIC4%E5%90%881-01.jpg" /></p> <p>指揮中心用來衡量疫情是否趨緩的指標，就是Rt值。但這得從R0值說起，也就是用來估算病毒傳播力的「基本再生數」；它的意思是，在疫情尚未爆發前、毫無任何免疫力的狀況下，病毒進入人群中，1位病人可感染多少人的估算值。數字越大，傳染力也就越強。</p> <p>而疫情發生後，出現了對病毒有抵抗力的人口，因此指揮中心改用Rt值來衡量傳染力，也就是「有效再生數」。指揮中心發言人莊人祥昨日表示，5月31日的Rt值為1.02，代表1位病人可傳染1.02人，而Rt值小於1時，就表示疫情開始好轉。</p> <p><strong><span style="font-size:22px;">指揮中心制定企業快篩指引，近日將公布</span></strong></p> <p>指揮中心今日早上召開例行全國22縣市防疫會議，陳宗彥於會後記者會上表示，目前指揮中心正針對5月30日公布的企業自主快篩一案討論，「正制定企業快篩指引中，」並表示將於近日公布指引，供各界遵循。</p> <p>不過，企業若要進行自主快篩，就得提供隔離安置場所，指揮中心補充，這些場所可以是可隔離的宿舍，或是以一人一室為原則的居家隔離，也可將快篩陽性的員工安置與防疫旅館。</p> </div></div></div>
2021/6/1 15:04作者王若樸https://www.ithome.com.tw/news/144748
小米展示8分鐘就能充飽手機電池的HyperCharge快充系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>小米周一（5/31）<a href="https://twitter.com/Xiaomi/status/1399186017421127680" target="_blank">透過Twitter展示</a>了最新的HyperCharge快充系統，它的有線充電系統擁有200W的充電能力，替具備4000mAh電池的客製化的Mi 11 Pro手機充電，8分鐘就充飽了手機電池，無線充電系統則有120W的充電能力，替同樣規格的Mi 11 Pro手機充電，用了15分鐘就充飽電，號稱刷新了世界紀錄。</p> <p>從小米的展示影片中可看出，200W有線充電系統44秒就可充電10%，3分鐘就能充50%，8分鐘達到100%；120W無線充電系統在1分鐘可充10%，7分鐘充50%，15分鐘達到100%。</p> <p>儘管快充可能傷害手機電池，但中國手機製造商似乎樂此不疲，小米與Oppo不斷在快充的速度上互相較勁。</p> <p>小米只是展示了HyperCharge系統的能力，並未公布它的上市日期。不過，<a href="https://www.xda-developers.com/xiaomi-200w-wired-120w-wireless-charging/" target="_blank">XDA-developers推測</a>，HyperCharge離上市可能還有一段時間，例如先前小米也曾推出120W的快充系統，可在23秒內充飽Mi 10 Ultra的4500mAh電池，但該快充系統只支援Mi 10 Ultra，並未支援其它小米手機。</p> <p>XDA-developers指出，這是因為快充系統將嚴重危害電池壽命，根據小米的內部測試，100W快充電池的容量，可能會比標準的30W充電電池還少20%。</p> </div></div></div>
2021/6/1 14:08作者陳曉莉https://www.ithome.com.tw/news/144745
SonicWall修補網管軟體指令執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sonicwall.com/support/product-notification/security-advisory-on-prem-sonicwall-network-security-manager-nsm-command-injection-vulnerability/210525121534120/" target="_blank">網路設備商SonicWall上周</a>（5/27）針對其設備管理軟體上，一個可能讓駭客在裝置上執行指令的重大漏洞，釋出修補程式。</p> <p>出現問題的是管理SonicWall所有裝置的網路安全管理員（Network Security Manager，NSM）軟體。編號CVE-2021-20026的漏洞是一指令注入漏洞，可能讓經過驗證的攻擊者發出假造的HTTP呼叫，而在作業系統上以根權限執行指令。此一漏洞CVSS 3.1風險評分為8.8。</p> <p>NSM可以在本地部署或以雲端（SaaS）執行，不過這次漏洞僅影響NSM本地部署版本2.2.0-R10及之前版本。SaaS版則不受影響。</p> <p>SonicWall已在本周釋出Network Security Manager (NSM) 2.2.1版，也呼籲本地部署NSM的SonicWall企業管理員儘速更新。</p> <p>這是SonicWall今年以來最新修補的產品漏洞。<a href="https://www.ithome.com.tw/news/142429" target="_blank">今年1月22日SonicWall公告</a>小型企業用SSL VPN產品SMA 100系列的漏洞遭駭客發動攻擊，之後則證明受影響裝置涵括MA200、210、400、410實體設備及SMA500v虛擬設備（Azure、AWS、AWS ESXi、HyperV），<a href="https://www.ithome.com.tw/news/142585" target="_blank">迫使該公司二度修補</a>。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 參考資料（如需詳細資訊請洽廠商）</span></strong></span></p> <p><strong>影響SonicWall Network Security Manager(NSM) 的CVE-2021-20026官方修補資訊（2021-05-27公告）：</strong><a href="https://www.sonicwall.com/support/product-notification/security-advisory-on-prem-sonicwall-network-security-manager-nsm-command-injection-vulnerability/210525121534120/">https://www.sonicwall.com/support/product-notification/security-advisory...</a></p> <p><strong>SMA 100 Series 10.X And 9.X Firmware官方修補資訊（2021-01-22公告、2021-04-29更新）：</strong><a href="https://www.sonicwall.com/support/product-notification/additional-sma-100-series-10-x-and-9-x-firmware-updates-required-updated-april-29-2021-12-30-p-m-cst/210122173415410/">https://www.sonicwall.com/support/product-notification/additional-sma-10...</a></p> </div></div></div>
2021/6/1 12:32作者林妍溱https://www.ithome.com.tw/news/144743
Amazon Sidewalk自6月8日起將與鄰近裝置分享用戶頻寬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/devices/introducing-amazon-sidewalk" target="_blank">Amazon在2019年9月發表了Amazon Sidewalk</a>，這是Amazon的網狀網路（Mesh Network）專案，允許取得Amazon認證的裝置以藍牙進行通訊，還可分享彼此的頻寬。Amazon預計自今年6月8日起，於各種裝置的預設值啟用Amazon Sidewalk，不過，美國媒體相繼奉勸使用者手動關閉Amazon Sidewalk。</p> <p><a href="https://www.amazon.com/Amazon-Sidewalk/b?ots=1&slotNum=1&imprToken=babce292-5ed2-d1d2-aef&tag=arstech20-20&linkCode=w50&node=21328123011">根據Amazon的解釋</a>，Amazon Sidewalk是個共享網路，擁有Sidewalk橋接裝置（Sidewalk Bridge）的用戶可貢獻自己的少數頻寬，以創造一個共享網路，並利用900 MHz的藍牙頻譜延伸網路的覆蓋能力，既有的橋接裝置包括許多Echo裝置，以及Ring Floodlight與Ring Spotlight 戶外監視器，而這些裝置自6月8日起就會預設啟用Amazon Sidewalk，自動成為該網狀網路的橋接裝置。</p> <p>Amazon Sidewalk的首個實際應用將與美國的追蹤器製造商Tiles合作，用來追蹤所有內建Find With Tile的裝置，類似蘋果的Find My網路。</p> <p>然而，有別於Find My的單向通訊，Amazon Sidewalk的通訊是雙向的，而且可以分享彼此的Wi-Fi頻寬；除了藍牙之外，Amazon Sidewalk也運用了名為LoRa的無線技術。根據Amazon的說明，當使用者把智慧裝置置放在家中網路的邊緣時，可能因為頻寬不穩定，而使得這些裝置無法接受重要的功能或安全更新，但透過Amazon Sidewalk，使用者將有機會利用鄰近裝置的頻寬，讓裝置保持隨時更新的狀態，此外，Amazon Sidewalk還能協助使用者設定新的裝置。</p> <p>不過，Amazon Sidewalk的頻寬分享是少量的，從Sidewalk Bridge傳輸到Sidewalk伺服器的最大頻寬為80Kbps，因此，當使用者的Sidewalk Bridge與Amazon Sidewalk分享頻寬時，每月所使用的最大頻寬為500MB，約等於高畫質影片串流10分鐘所使用的頻寬。</p> <p>與他人分享頻寬是一件事，美國媒體奉勸使用者關閉Amazon Sidewalk功能的另一個原因是隱私及安全性。<a href="https://arstechnica.com/gadgets/2021/05/amazon-devices-will-soon-automatically-share-your-internet-with-neighbors/" target="_blank">ArsTechnica</a>指出，不管是藍牙或Wi-Fi無線技術都有不安全的紀錄，例如之前用來保護Wi-Fi流量的加密機制WEP就可被第三方監控，而用來取代WEP的WPA也曾傳出安全漏洞，而藍牙也不相上下。</p> <p>此外，Amazon Sidewalk網路是由眾多可能涉及用戶隱私的裝置組成，像是Echo或Ring監視器，一旦被攻陷，使用者的隱私可能蕩然無存。</p> <p>目前Amazon Sidewalk服務只在美國市場推出，美國媒體則建議Amazon裝置用戶可透過Alexa程式的設定功能，關閉Amazon Sidewalk。</p> </div></div></div>
2021/6/1 12:45作者陳曉莉https://www.ithome.com.tw/news/144744
從企業資安直通國安的零信任架構
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年臺灣資安大會的主要標語「TRUST : redefined信任重構」，強調的IT安全議題，正是資安界這幾年來最熱門的防護概念之一：零信任（Zero Trust）。</p> <p>這樣的資安概念從逐漸成形，到如今成為廠商與專家必談的議題，其實花了不少時間。關於這樣的作法，最早可追溯至2003年、2004年，有個名為Jericho Forum的跨國工作小組，開始探討網路邊界消弭（De-perimeterisation）的議題。到了2009年，研究機構Forrester首席分析師John Kindervag提出了新的資安模式，稱為零信任（Zero Trust Model）。</p> <p>同年，網路巨擘Google也因為自身面臨「極光行動（Operation Aurora）」APT攻擊，於是在內部推動全新的安全架構發展計畫，稱為BeyondCorp，讓公司員工、連網設備存取內部應用系統時，不論其位於內部網路或公共網際網路，能夠透過這樣的機制與流程來確實驗證人與裝置的身分。經過幾年的研究，他們在2014年底公開BeyondCorp架構與存取流程，2016年第一季揭露自身設計與部署BeyondCorp架構的方式。</p> <p>2019年4月，Google成立專屬的聯盟，與5家端點安全與管理廠商合作，分別是：Check Point、Lookout、Palo Alto Networks、Symantec、VMware，希望能夠將資安產品偵測到的裝置安全防護態勢，餵送至Google的內容感知存取引擎，以此作為信任與否的判斷依據。隔年10月，Citrix、CrowdStrike、Jamf、Tanium等4家廠商，也宣布加入這個聯盟。今年1月，他們正式推出BeyondCorp Enterprise的雲端服務。而由於Google長期推動這個計畫，也讓各界每次一談到零信任的實際應用，就會馬上聯想到Google的BeyondCorp，甚至有人將兩者畫上等號。</p> <p>在這段期間，零信任概念仍在持續演化與普及，並且影響IT市場研究機構的資安議題設定。例如，在2017年底、2018年初，Forrester首席分析師Chase Cunningham提出了擴充概念，稱為零信任延伸（Zero Trust eXtended，ZTX）生態系統；2017年6月，Gartner基於他們先前提倡的自我調整安全架構（Adaptive Security Architecture），新推出一套資安防護策略，名為「持續適應風險和信任評估（Continuous Adaptive Risk and Trust Assessment，CARTA）」，當中也包含了與零信任相似的概念，於是，兩者經常被相提並論。</p> <p>到了2019年9月，美國國家標準暨技術研究院（NIST）針對零信任架構（Zero Trust Architecture），公布他們所制定的草案標準，廣邀各界評論，隔年2月推出第二版草案，8月拍板定案、正式頒布SP 800-207標準，也讓各界面對零信任架構時，有了共同討論與發展的基礎。</p> <p>而這項國家等級的資安標準，將聚焦在保護資源，而不只是網路分段──之所以如此，是因為現今的企業人員運作型態已趨向遠端使用者的配置，而且基於雲端服務而成的各種IT資產，也未必都設置在企業的網路邊界之內。NIST表示，美國聯邦政府在當前的網路安全政策，以及相關防護計畫的實施作為上，也已經將ZTA資安策略體現在其中，而他們所發布的這份標準文件內容，將會呈現零信任的抽象定義，以及通用的部署模式、應用案例，可協助企業改善整體IT資安態勢，並提供實作這項策略的高階發展藍圖。</p> <p>值得注意的是，零信任這項議題不只是資安界與企業關切，國家級安全機構也很重視。例如，美國國防部國防資訊系統局（DISA）在5月13日宣布，將提供零信任參考架構，希望協助美國軍方維持在數位戰場上的資訊優勢，而這項架構的內容擬定，主要由國防資訊系統局，以及國防部資訊長、網路作戰司令部、國家安全局來負責，而DISA的網路發展理事會，以及架構與標準工程辦公室，都將加入NSA與DISA聯合的零信任計畫辦公室。</p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>相關報導<a href="https://www.ithome.com.tw/article/144698" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1027-feng_mian_p1-opening-zheng_han_-960x420.jpg?itok=WL5O4nxS" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB">零信任</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">臺灣資安大會</a></div><div class="field-item odd"><a href="/tags/zero-trust">Zero Trust</a></div></div></div>
2021/6/1 07:00作者李宗翰https://www.ithome.com.tw/voice/144701
IETF發布QUIC正式版RFC 9000，Cloudflare：現約有12％流量為使用QUIC的HTTP/3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IETF（Internet Engineering Task Force）現在發布<a href="https://quicwg.org/base-drafts/rfc9000.html">RFC 9000</a>，這是QUIC傳輸通訊協定的正式標準化版本，並且獲得RFC 9001、RFC 9002和RFC 8999的支援，IETF的這項發布，代表著各組織原本所部署的QUIC草案，都會逐漸改為使用這個正式的第一版。根據<a href="https://blog.cloudflare.com/quic-version-1-is-live-on-cloudflare/">Cloudflare的分析</a>，現在網際網路上使用QUIC的HTTP/3流量約有12％。</p> <p>QUIC以UDP為基礎，是快速UDP網路連線（Quick UDP Internet Connections）的縮寫，與TCP比起來，QUIC在預設情況更具有安全性，可以保護資料在傳輸時不受窺探，而他的主要優點之一，便是高效能的交握能力，不只能夠快速連接交握，還可以減輕因為網路封包丟失或是延遲，所帶來的效能降低，當客戶端和伺服器端雙方曾經建立QUIC連線，則之後便不再需要進行任何交握，就可以直接傳輸資料。</p> <p>不過QUIC只是一個傳輸協定，要能發揮作用，必須映射到應用程式協定當中，與QUIC規範同時進行的HTTP/3，設計也已經完成，在經過完整的評估和測試之後，也會被發布為RFC，不過，有許多組織，早就開始提供QUIC和HTTP/3的支援。Cloudflare使用Radar工具分析網際網路的流量，目前有大約12％的網際網路流量，為使用QUIC的HTTP/3，Cloudflare提到，在RFC 9000發布之後，這個比例還會再往上增加。</p> <p>Cloudflare現在也宣布支援客戶端直接使用QUIC進行連接，並且使用ALPN識別符號h3標示使用QUIC第一版。Cloudflare提到，他們伺服器監聽UDP連接埠443的QUIC流量，當客戶端以UDP發送QUIC資料封包，就會啟動交握程序，而初始封包包含版本辨識符號，來告訴伺服器要使用的QUIC版本。</p> <p>過去QUIC歷經多個草案變化，因此發展出了辨識符號，以溝通客戶端和伺服器端使用一致的內容，RFC 9000版本識別符號為0x00000001。當客戶端的HTTP請求使用QUIC和HTTP/3時，Cloudflare會回傳ALT-SVC標頭，以確認要使用的QUIC版本，過去用戶想要在瀏覽器中測試QUIC，需要啟動實驗性功能，但現在許多瀏覽器已經預設支援QUIC。</p> <p>Cloudflare提到，從現在開始，他們為了要加速對QUIC的支援，因此改變Alt-SVC廣播，加入包括h3辨識符號。不過這些協定升級行為都是在後臺進行，使用者不需要做出任何改變。</p> </div></div></div>
2021/5/31 20:38作者李建興https://www.ithome.com.tw/news/144727
Kinesis Data Analytics Studio供用戶以SQL和Python操作串流資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出了串流資料分析工具<a href="https://aws.amazon.com/tw/blogs/aws/introducing-amazon-kinesis-data-analytics-studio-quickly-interact-with-streaming-data-using-sql-python-or-scala/">Amazon Kinesis Data Analytics Studio</a>，用戶現在可以從Amazon Kinesis控制臺選擇Kinesis資料串流，並且點擊啟動利用Apache Zeppelin和Apache Flink開發而來的Kinesis Data Analytics Studio筆記本，以互動的方式操作串流中的資料。</p> <p>官方提到，要對業務和應用程式所接收到的資料，做出即時且快速的反應，最佳的辦法是分析串流資料。這些串流資料通常會逐筆增加，或是以滾動時框的方式呈現，按順序或是漸增處理，可用於相關性、聚合、過濾和採樣等分析。</p> <p>而Kinesis Data Analytics Studio則能簡化串流資料分析工作，官方表示，這與用戶過去在Managed Streaming for Apache Kafka控制臺中選擇叢集，啟動筆記本分析Apache Kafka串流資料的方法相似，現在用戶可以從Kinesis Data Analytics Studio啟用一個筆記本，並且連接到自定義來源。</p> <p>在筆記本中，用戶可以使用SQL查詢，或是使用Python和Scala程式操作串流資料，並且在數秒中獲得結果，而當用戶試驗完成，也只需要點擊介面按鈕，就可以擴大程式運作，對生產環境中的資料串流進行處理，應用程式不需要額外的更改，就可以開始大規模運作。</p> <p>官方建議，用戶可在Kinesis Data Analytics for SQL Applications服務上，使用Kinesis Data Analytics Studio，這個新工具不只提供易用性，也具有一些進階功能，供用戶在數分鐘內建構複雜的串流資料處理應用程式。</p> <p>目前所有Kinesis Data Analytics正式上線的區域，都可以使用Kinesis Data Analytics Studio。官方提到，他們在Kinesis Data Analytics Studio中，使用開源Apache Zeppelin和Apache Flink，而他們也對這兩個專案做出貢獻，像是修正Zeppelin中的錯誤，以及在Flink專案中貢獻AWS連接器，並且正與社群討論可用性的改進。</p> </div></div></div>
2021/5/31 20:41作者李建興https://www.ithome.com.tw/news/144730
Databricks推AutoML簡化機器學習模型建置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Apache Spark技術團隊所創立的資料科學公司Databricks，發布了能夠簡化建置機器學習模型的工具<a href="https://databricks.com/blog/2021/05/27/introducing-databricks-automl-a-glass-box-approach-to-automating-machine-learning-development.html">AutoML</a>，AutoML可自動化進行預處理、特徵工程，以及模型訓練與調整，用戶能完全以使用者介面來選擇資料集、配置訓練，和部署模型。</p> <p>官方提到，現有許多AutoML工具都是黑盒子，用戶無法切確知道模型訓練的過程和方法，因此當需要進行特定領域的修改，或是出於監管理由，用在需要受稽核的產業時，這些工具的使用便會遭遇到困難。而資料團隊投入時間對這些AutoML工具創建的模型，進行逆向工程，則抵消了AutoML所帶來的生產力提升。</p> <p>Databricks則形容自家AutoML是一個玻璃盒，對每個經訓練的模型，都提供Python筆記本，資料科學家可以在這些筆記本中，添加或是修正單元格，並且還能利用這些筆記本快速開發，不需要重新編寫一些樣板程式碼。</p> <p>除了模型訓練和選擇之外，Databricks AutoML也提供方便的資料分析功能，該工具創建了一個資料探索筆記本，來提供資料集統計資訊，利用自動化來減少繁瑣的資料探索工作，Databricks AutoML可快速檢查資料集是否適合訓練，大幅減少資料科學家的時間。</p> <p>AutoML也與追蹤指標和參數API—MLflow整合，並使用機器學習最佳實踐來提高團隊的生產力，從實驗頁面，用戶就可以試驗模型，並且在Databricks模型註冊表內註冊和提供模型。AutoML會產生訓練筆記本，提供所有訓練模型的程式碼，從載入資料到分組測試模型，再到調整超參數，甚至是顯示可解釋性SHAP點圖，這每一個步驟用戶都可取得程式碼。</p> <p>目前Databricks AutoML進入公開預覽的階段，能平行訓練sklearn和xgboost模型，以解決分類和迴歸的問題，並且支援具有數值、分類和時間戳特徵的資料集，會自動處理獨熱編碼（One-Hot Encoding）和空值填充（Null Imputation）。</p> </div></div></div>
2021/5/31 18:01作者李建興https://www.ithome.com.tw/news/144725
微軟：Edge 91為Windows 10上效能最好的瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從微軟加入Chromium陣營之後，Microsoft Edge的版本更新就盡量與Chrome同步，例如在Google於5月25日釋出Chrome 91時，微軟也發表了<a href="https://blogs.windows.com/msedgedev/2021/05/25/whats-new-edge-build-2021/" target="_blank">Microsoft Edge 91</a>，並宣稱Edge 91為Windows 10上效能最好的瀏覽器。</p> <p>這是因為微軟持續在基於Chromium的Edge上添增新的功能，以強化其效能，例如Edge 89就上線的快速啟動與睡眠分頁，其中，快速啟動的原理是當使用者開啟Microsoft Edge（以下簡稱Edge）再關閉它之後，Edge的核心程序會持續於背景中運作，於是，假設使用者想再開啟Edge，或是點選另一程式中的連結，或者是想從工作列上進行搜尋，Edge便可快速啟動。</p> <p>睡眠分頁則是為了節省系統資源所設計的功能，在預設的情況下，只要某個分頁在兩小時內沒有活動，它就會進入睡眠狀態，釋出所使用的處理器與記憶體資源，分頁上則會出現「ZZZ...」的圖案，但點擊它即可瞬間恢復正常。</p> <p>微軟上周表示，讓Edge 91成為Windows 10上效能最佳瀏覽器的功臣，就是快速啟動及睡眠分頁。該公司並未特別說明快速啟動在兩個Edge版本上的差異，但指出現在的睡眠分頁最高可節省82%的記憶體，因為當使用者把分頁置於背景時，它會立即讓分頁中的廣告進入睡眠，此外，微軟也特別改善睡眠分頁，讓它進一步節省Windows上所使用的資源。</p> <p>在微軟於2019年正式擁抱Chromium專案後，迄今已貢獻5,300個提議。</p> <p>不過，根據<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-edge-91-brings-new-bugs-and-annoying-popup-messages/" target="_blank">BleepingComputer</a>的報導，Edge用戶似乎對Edge 91有些微詞，例如該版本瀏覽器會不斷跳出詢問使用者「是否要使用微軟所推薦的瀏覽器設定」的視窗，或者是當使用者設定了Edge的起始頁網站之後，Edge 91下一次開啟卻依然故我的，採用了該瀏覽器原本的預設起始頁面。</p> </div></div></div>
2021/5/31 13:32作者陳曉莉https://www.ithome.com.tw/news/144722
Google揭露新型態的Rowhammer記憶體漏洞技術：Half-Double可影響更遠的位元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球研究人員<a href="https://www.ithome.com.tw/news/109242" target="_blank">從2016年就開始討論DRAM記憶體的Rowhammer漏洞</a>，它能藉由重覆造訪目標記憶體列的隔壁列記憶元，造成電壓波動，影響目標記憶體列，導致位元翻轉現象，近日<a href="https://security.googleblog.com/2021/05/introducing-half-double-new-hammering.html" target="_blank">Google則揭露了Half-Double</a>，宣稱它是個新型態的Rowhammer技術，可把Rowhammer效應擴張到更遠的位元。</p> <p>Google說明，Rowhammer其實很像是CPU中的推測執行漏洞，它們皆破壞了底層硬體的安全保證，對於Rowhammer來說，由於矽本身的電耦合現象，它可能得以繞過硬體與軟體的記憶體保護政策，使得不可靠的程式碼能突破沙箱保護並取得系統的控制權。</p> <p>過去大家認為Rowhammer的執行距離只有一列，意即當重覆造訪記憶體的某一列時，就能讓它的隔壁列（兩列）造成位元翻轉現象，然而，Google的研究人員卻發現相關的攻擊其實能夠影響更遠的記憶體列。例如在A、B、C三個連續列中，若頻繁存取A列，不僅B列會受到影響，B列還會把Rowhammer效應傳送至C列，只是效果沒有那麼大，並將它稱之為Half-Double。</p> <p>Google指出，這似乎代表著造成Rowhammer的電耦合有著距離屬性，當記憶元縮小時，它的效果會變得更強大，也能傳遞得更遠。</p> <p>目前包括Google、半導體工程貿易組織，以及其它產業專家，都在研究Rowhammer現象的解決方案，同時也希望藉由類似的研究發表，協助研究人員及半導體產業尋得最終的解法。</p> <p>雖然迄今尚未傳出針對Rowhammer現象的實際攻擊行動，但阿姆斯特丹自由大學<a href="https://www.ithome.com.tw/news/136322" target="_blank">（Vrije Universiteit Amsterdam）的漏洞安全實驗室VUSec Lab</a>，已開發出可成功開採手機上DDR3與DDR4記憶體的攻擊工具。</p> </div></div></div>
2021/5/31 13:56作者陳曉莉https://www.ithome.com.tw/news/144723
【臺灣資安大會直擊】增進外界對APT攻擊族群認識，TeamT5出奇招，將抽象的駭客組織化身展覽作品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於駭客組織的認識，大家可能常常在資安新聞或報告中，看到某些攻擊事件是由哪個駭客組織所為，然而，大家對於這些駭客組織的印象，可能多半不夠深刻，是否有更平易近人的方式，增進大眾對於一些駭客組織的認識呢？</p> <p>畢竟，網路攻擊日益複雜，這些有組織的駭客團體，花了很多心力了解企業，但是我們對這些駭客組織有概括性的了解嗎？長期進行駭客追蹤研究的TeamT5杜浦數位安全，在本月舉行的2021臺灣資安大會展區上，特別用上類似藝術展覽的形式，讓參觀的人能從不一樣的視角，認識APT族群的特性。</p> <p>在這樣的展區中，TeamT5打造出有如現代藝術博物館（MOMA）的布置場景，擺放著4座藝術品，將原本抽象的攻擊族群，具象化成為一座座藝術品來展現，同時，一旁牆面也有著對於APT族群一詞的中英文介紹，說明每個APT族群都有自己的地域性與慣用的攻擊手法，以及經常鎖定的國家與產業。</p> <p>在現場擺設的這些創作中，連結的APT攻擊族群共有4個，包括：Lazarus、HUAPI、AMOEBA與Nian。</p> <h2><span style="color:#0000FF;"><strong>駭客組織：Lazarus</strong></span></h2> <h3><span style="color:#B22222;">也被稱為APT38、HiddenCobra</span></h3> <p>舉例來說，以Lazarus駭客組織所具象成為的作品來看，呈現了多個保險箱被打開，鈔票散落在外的場景，同時還有一塊虎紋毛毯批在保險箱上。</p> <p>或許，國內對於這個Lazarus駭客組織都有點印象，因為它就是2017年臺灣遠東商銀SWIFT系統入侵盜轉攻擊事件的幕後黑手，是北韓的駭客組織，又名APT38，或是HiddenCobra。</p> <p>Lazarus駭客組織有何特性？根據現場一旁導覽小卡的介紹，他們的攻擊目標全世界都有，受害產業以金融、媒體、航空為主。最受關注的是，Lazarus具有多次攻擊金融產業的記錄，尤其是針對SWIFT跨國轉帳交易系統，以及ATM自動櫃員機系統進行攻擊。</p> <p>由於他們的攻擊不只是選擇金融產業，還包括與具有關鍵技術的私人企業，推測是為了替北韓政權措資金，好發展武器與實驗。而且，在他們過往的攻擊行動中，會在惡意程式內參雜俄文，企圖混淆分析人員。</p> <p>對於此作品的意象，TeamT5提出說明，讓我們對Lazarus有更深刻的印象。他們表示，此作品以保險箱來象徵各大銀行的概念，如同北方猛虎化身的虎皮肆無忌憚的入侵了各大銀行，而保險箱的各國貨幣也傳達了Lazarus鎖定全世界攻擊。此外，由於Lazarus為北韓的駭客組織，因此他們保險箱使用了藍紅藍配色，這其實也與北韓國旗有呼應。</p> <p>另外值得注意的是，在TeamT5於本月揭露的2020年臺灣APT網路攻擊態勢的報告中，當中也有提到上述駭客組織的相關活動。</p> <p>例如，他們在去年曾在國內發現Lazarus使用的Linux後門工具，雖然沒有進一步的資訊，可以確認受害者身份資訊，但他們也提醒，偵測到此樣本，可能是該組織在臺灣又有活動跡象的警訊。</p> <h2><span style="color: rgb(0, 0, 255);"><strong>駭客組織：</strong></span><strong><span style="color:#0000FF;">AMOEBA</span></strong></h2> <h3><span style="color:#B22222;">也被稱為Winnti、APT41、BARIUM</span></h3> <p>接下來的作品是象徵著AMOEBA駭客組織，主體以黑色為意象，透明箱子裝著許多黑色盒子與黑色吊牌。</p> <p>乍聽之下，AMOEBA似乎有點陌生，他們有另一廣為人知的名稱是「Winnti」，此一命名與他們知名的後門程式有關，另也被稱作APT41、BARIUM。</p> <p>值得我們關注的是，AMOEBA是經常鎖定臺灣的中國駭客族群。例如：在2019年，華碩遭遇的ShadowHammer Operation供應鏈攻擊事件，以及在2020年，臺灣能源業者遭入侵加密攻擊事件，都是AMOEBA所為。</p> <p>在作品展示小卡中，對於AMOEBA的特性有更多介紹。基本上，這個駭客組織在過去已經展現強大的攻擊破壞力，近年該組織並不斷擴大攻擊範圍，從博弈產業擴及電信、化學能源及科技產業。特別的是，AMOEBA具備精準的供應鏈攻擊能量，這是與其他駭客最大的不同之處。</p> <p>基本上，HUAPI主要攻擊國家臺灣、日本、美國與南韓，在攻擊鎖定的產業方面，除了博弈之外，還有化學、航太、能源、媒體與電信等。</p> <p>關於此作品所代表的含意，TeamT5解釋，阿米巴本身是一種不太具有形體的生物，所以用試管將其保存起來，就像是抓到了阿米巴並好好觀察與研究一番。而垂墜下來黑色牌子上的程式碼，則代表用以辨識出阿米巴的重要元素。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89TeamT5%20MOMA.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965s%EF%BC%89TeamT5%20MOMA.jpg" style="width: 600px;" /></p> <blockquote><p>幫助外界了解駭客組織，將抽象的APT攻擊族群化為一個個作品，並透過導覽與桌上小卡來增進大家對於這幾個駭客組織的背景與特性。</p> </blockquote> <h2><span style="color:#0000FF;"><strong>駭客組織HUAPI</strong></span></h2> <h3><span style="color:#B22222;">也被稱為PLEAD、BlackTech與黑风梨</span></h3> <p>另一個命名為畫皮的作品，是以駭客組織HUAPI所描繪的具象，作品以一張白色面具為主體，面具上並有著豔麗的裝扮。根據TeamT5的說明，畫皮一詞來自聊齋誌異，內容描述女鬼以披在身上的人皮，偽裝成絕世美女。比喻掩蓋猙獰面目或醜陋本質的美麗外表。</p> <p>同樣地，臺灣對於HUAPI應要有所認知，因為，近十年來，這個中國駭客族群不斷針對臺灣發動入侵攻擊行動。</p> <p>HUAPI有哪些特性與危害？在作品展示簡介中，說明了該組織也被稱為PLEAD、BlackTech與黑风梨，其中Plead是他們常使用的惡意程式。他們的厲害之處，在於擅長利用各式的軟體加殼技術，用以隱蔽惡意程式，並藉此躲避防毒軟體的偵測。</p> <p>關於HUAPI近年重大攻擊事件中，以臺灣受害企業而言，2019年華碩網路硬碟服務WebStorage遭中間人攻擊散布後門程式，就是一例。最近幾年，他們也開始攻擊與臺灣鄰近或關係相對友好的國家，像是2020年三菱電機發生200MB機密資料遭竊事件，也是他們所為。</p> <p>至於他們經常鎖定的國家與產業上，HUAPI與AMOEBA同樣是針對日本、臺灣、南韓與美國，但目標產業有明顯差異，尤其是他們會特別針對政府、軍方、高科技攻擊，相當值得注意，此外還有電信與研究單位。</p> <h2><span style="color:#0000FF;"><strong>駭客組織：Nian</strong></span></h2> <h3><span style="color:#B22222;">也被稱為Tick Group、Bronze Butler、RedBald Knight</span></h3> <p>最後一個展示作品，是以中國傳統故事中的年獸為主題，這是因為Nian是一個經常利用新年賀卡，進行魚叉式社交攻擊的中國駭客組織。而他們也被稱為Tick Group、Bronze Butler或RedBald Knight。</p> <p>關於Nian的特性，與上述3個這個駭客組織不同，從他們攻擊鎖定的國家與產業來看，主要是針對日本與韓國的航太、重工業與電信產業，而軍方與國防也是他們有興趣的目標。</p> <p>而在慣用的攻擊手法上，Nian具備了優於其他駭客組織的社交工程能力，時常會發現他們的攻擊中，出現了變種的後門，顯示他們會持續將現有武器提升進化。</p> <p>綜合來看，全球被發現與已識別出的駭客組織並不少，還有不少屬於國家級駭客組織，若以近年當紅的MITRE ATT&CK攻防知識庫來看，我們可以看到現已歸納出122個駭客組織（至2021年5月）。在此次會場中，TeamT5雖只展示介紹了4個攻擊族群，但這種藝廊呈現方式相當新穎，可用較不同與輕鬆的角度，讓一般的人，對駭客組織不瞭解的人，至少對某些與臺灣相關的APT攻擊族群，能有多些瞭解與認識。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964s%EF%BC%89TeamT5%20MOMA.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963s%EF%BC%89TeamT5%20MOMA.jpg" style="width: 600px;" /></p> <blockquote><p>長期進行駭客追蹤研究的TeamT5杜浦數位安全，在本月舉行的臺灣資安大會的展場上，特別布置了類似現代藝術博物館（MOMA）的場景，並將攻擊族群用具體形式呈現，並藉由這樣的展覽，增進外界對一些APT族群，能瞭解其經常鎖定的國家、產業與其特性。</p> </blockquote> </div></div></div>
2021/5/31 12:30作者羅正漢https://www.ithome.com.tw/news/144717
文件顯示Google刻意隱藏Android定位設定頁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/unredacted-google-lawsuit-docs-detail-efforts-to-collect-user-location-2021-5" target="_blank">Business Insider</a>上周報導，一項法院文件顯示，Google刻意使Android的定位設定頁面很難找到，讓手機使用者無法輕易關閉地點定位蒐集。</p> <p>這項文件是<a href="https://www.ithome.com.tw/news/144711" target="_blank">去年五月美國亞歷桑納州對Google提出的告訴文件</a>，該州控告Google未取得用戶同意下非法追蹤Android用戶。上周在產業組織要求下，法官要求公開最新一批原本被修改隱藏的細節。</p> <p>文件指出，Google用了許多方法蒐集用戶所在地點，同時設法讓用戶難以關閉這個選項。首先，Google利用Wi-Fi以及第三方App來蒐集用戶資料，即使這App並未和Google合作。文件顯示，一名不知名的Google員工在內部提出質疑，用戶不可能只提供第三方App資訊但跳過Google，這件事可不能讓媒體知道。</p> <p>此外，為了讓用戶難以找到並關閉定位，Google刻意將Android的地點資訊蒐集設定藏在層層選單中，還以各種資料操弄手法，說服手機製造商隱藏地點蒐集的設定頁。文件顯示，Google員工其實知道用戶被他們蒐集資料的手法搞得很挫折，而且其中錯綜複雜的關係，連Google 員工自己都搞不清。</p> <p><a href="https://www.theverge.com/2021/5/29/22460070/google-difficult-android-privacy-settings-arizona" target="_blank">The Verge</a>引述Google方面反駁這些指控，認為亞利桑納州檢察官Mark Brnovich及競爭者曲解了Google服務，強調該公司產品隱私功能向來提供用戶極大的地點資訊控制權，期待有機會將這些誤解匡正。</p> </div></div></div>
2021/5/31 13:11作者林妍溱https://www.ithome.com.tw/news/144721
【客座文章】健全的資訊系統也是防疫重要的一環
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/guest-post/144718"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/yun_xiang_ke_ji_zhi_xing_chang_xie_zhao_yuan_yi_shi_.png?itok=e5yjJRTr" width="960" height="420" alt="" /></a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="color:#FF8C00;">本文獲授權轉載自</span><a href="https://www.facebook.com/ChaoyuanYeh/posts/10225289254837741"><span style="color:#FF8C00;">葉肇元臉書</span></a></strong></p> <p>從台灣疫情升溫到現在，各式專家、非專家的文章滿天飛，都要可以集結成書了。流行病學、醫學檢驗、疫苗實在非我專長，我不敢吭甚麼聲，但我注意到有個問題，沒有太多人發聲，我想從一個醫療軟體廠商的角度來討論。</p> <p>從5/22疫情指揮中心用了校正回歸這個詞之後，大家開始注意到檢驗量能的問題，指揮中心甚至宣布，要補助一個醫院五百萬元來採購高通量的PCR設備，台大甚至要徵召校內科學研究用的設備投入檢驗用。</p> <h3><strong><span style="color:#FF0000;">第1個問題：流程瓶頸是資料登錄</span></strong></h3> <p>但是從醫院病毒室實際上得到的資訊是這樣的，至少在那個醫院內，PCR反應本身並不是整個流程的瓶頸，瓶頸實際上在於資料登錄。這個資訊可能會令人瞠目結舌，對吧？這都甚麼年代了，資料登錄還會是個瓶頸？在醫院第一線的朋友整理了這一張圖放在網路上讓大家了解這個流程實際上的樣子。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/eusAwFW_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%91%89%E8%82%87%E5%85%83.jpg" /></p> <p>這裡面的人工登打，每打一欄，系統就轉個圈圈，每輸入一個案例可以花上將近兩小時的時間。大醫院的病毒室裡面必須要安排三到四個醫檢師來輸入資料，每天都要做到半夜。</p> <p>所以大家在看校正回歸這個問題的時候，可能少看了一環，我們加了很多機器，加了很多人力，但最後卻被一個很沒有效率的資訊系統卡住。一個會浪費人力的資訊系統，尤其是在這個疫情嚴峻，醫療人力吃緊的當下，真的是一件很要不得的事情。（想要知道這些系統建置案的相關資訊，可以到政府電子採購網上面，查詢從107年度開始的，疾病管制署的實驗室資訊管理系統的相關標案。）</p> <h3><span style="color:#FF0000;"><strong>第2個問題：國內疫情資訊及醫療資源現況彙整落差</strong></span></h3> <p>另外一個問題是國內疫情資訊以及醫療資源現況的彙整。中央流行疫情指揮中心每天雖然公布了新的數字，但這些數字都只有在新聞稿裡面，要做後續的統計分析非常困難。非常關心疫情的人可以到政府開放資料平台嘗試去找COVID-19相關的資料集，但這個平台有許多問題。首先是這些資料集都只提供當日的資料，並無歷史資料，再者當日資料有許多明顯錯誤的地方。</p> <p>例如 “地區年齡性別統計表-嚴重特殊傳染性肺炎-依個案研判日統計”這個資料集，就”個案研判日2021/5/25彰化縣/男/30-34歲”這個區間來說，下載資料的資料所顯示的病例數為106514，這就很明顯是錯的。</p> <p>我實際上用了這個平台的感想是，這個政府資料開放平台，只是因應行政院第3465次院會議決議做個有把資料公開的樣子，並沒有真的想要透過資料開放讓全民對於國家治理有更多的參與。(想了解這個建置案，可以到政府電子採購網上查訊國家發展委員會的政府資料開放委外專案。)</p> <p>關於疫情資訊，還有中央跟地方資訊不一致的問題。就台北市的確診人數而言，每日中央公布的數量跟台北市公布的數量都是有落差的，最大可以到達400例！問題出在哪呢？這個資訊收集的流程不透明所以也很難推測。</p> <p>至於醫療資源現況彙整的問題，從5/29中央和台北疫情記者會所公布的數字有很大的落差，還有救護車在街上像無頭蒼蠅一樣找不到醫院可去，就可以明顯的看出。因為沒有太多公開資訊可以作為參考，我的討論大多也只能流於猜測，就不多說了。</p> <h3><span style="color:#FF0000;"><strong>第3個問題：疫苗分配缺乏有效的資訊系統</strong></span></h3> <p>第三個大的問題是關於疫苗分配的問題。現在要進行大規模的疫苗施打，除了要有疫苗，要有醫護人員，這兩個問題要解決之外，還有一個大問題是，得要有一個有效的資訊系統來做疫苗施打的排程。</p> <p>因為我符合公費疫苗施打的身分，曾經試著要預約疫苗門診。疾管署網頁上列了有執行公費疫苗接種的醫療院所，以及約診的連結，但僅止於此。從疾管署的網頁上無法看出到底還有哪邊有公費疫苗可以打，因此我只能逐一的點進各個約診連結去嘗試。</p> <p>我相信有很多人在跟我做一樣的事情，因為當我點到南投醫院的時候，發現還可以約就馬上約了。過了半小時之後再看，就滿了。這是一個非常沒有效率的做法，無數人浪費寶貴的時間在看是否還有診可以約。後來因為疫苗只給第一線醫護人員打，我的約診自然是被取消了。但接下來還是看到一些很誇張的狀況。基層診所的醫護人員不知道可以到哪裡去打疫苗，線上約診不是滿了就是暫時關閉。於是他們用了一個最古老的方式，聽說哪裡有得打，就親自去現場排隊。聽成功打到疫苗的朋友分享，大概是要等兩到四小時可以打得到。這不是在浪費時間而且又造成群聚的風險嗎？</p> <p>好了，問題說完了。我想給一些建設性的意見。</p> <p>關於案例及檢驗結果通報的問題，前幾天有看到新聞報導蘇貞昌院長責成唐鳳政委協助改善通報系統，在台中榮總試行的結果，把原本一個案例兩小時的流程縮短成十分鐘上傳五百個案例。</p> <p>我很希望這個問題就這樣被解決了，但是有寫過程式的都知道，做構想驗證(proof-of-concept)，只試用過一次可行的程式碼，跟全面上線可以承擔滿載工作的，可量產的程式碼 (production code) 是有非常大的差距的。</p> <p>再者，在醫院端，還有跟醫院的實驗室資訊系統整合的工作要做，並不是中央端程式改完就可以了。在台灣幾乎每個醫院都用不一樣的資訊系統，而且醫院資訊室的人力也非常有限，如果要請廠商幫忙還有採購流程的問題，因此醫院端的整合要在短時間之內完成會是非常大的挑戰。</p> <h3><strong><span style="color:#FF0000;">建立開源專案，讓公民工程師參與</span></strong></h3> <p>如果要在短時間達到效果，我的建議，將此專案做成一個開源專案，讓民間工程師參與。開源專案必須要由中央統籌規劃(比如說由唐鳳政委召集的資訊小組，並且包含疾管署的資訊人員)，將資訊流，程式架構與模組，模組介面，以及資料傳輸協議規劃好之後，將工作拆成小的區塊讓志願者認領。醫院端則要把既有的資訊系統介面規格寫清楚，讓志願者可以明確的知道該怎麼幫忙。 </p> <p>關於疫情資訊彙整，醫療資源彙整以及政府資料公開的部分，我的建議也還是一樣。既然想要把資料公開，那就乾脆做成一個開源專案，至少就 COVID-19的資訊彙整這件事情，讓公民工程師有參與的機會吧。</p> <p>其實說起來現在也不是沒有，有興趣的人可以看: <a href="https://github.com/GOV-TW">https://github.com/GOV-TW </a>但這大概也是做做樣子而已，裡面COVID-19 相關的最後一次更新是去年的三月。真的要做政府資訊公開，就因應這次疫情真的變得很嚴重了，資訊系統可以發揮很大效益的時候，把它做好吧。即便敏感資訊不能透過開源專案公開，程式架構還是可以透過開源專案完成的。 </p> <p>最後關於疫苗分配需要資訊系統的問題，我的建議也還是一樣，做成開源專案吧。</p> <p>我先解釋一下，為什麼我對這些問題的建議幾乎都是一模一樣的？最重要的原因是，這些問題的根源其實都很像。</p> <h3><span style="color:#FF0000;"><strong>疊床架屋的系統，只能靠人工彌補系統不足</strong></span></h3> <p>這些問題的根源，在於各機構對於資訊系統的輕視，投入的資源不足（編列的預算很少），因此許多重要系統都由不同的小廠商建置，或是因為經費實在太有限，接案廠商實在無法用足夠的工程人力來處理，只能在很勉強的狀況下驗收。長期下來，產業界沒有辦法得到好的發展，生態系破碎，各機構內就用了很多很毫無架構可言，疊床架屋的系統，然後用寶貴的人的時間去彌補資訊系統的不足。</p> <h3><span style="color:#FF0000;"><strong>疫情嚴峻沒時間重來，跳過框架解燃眉之急</strong></span></h3> <p>因為都是不同的廠商做的系統，機構之間，甚至機構內的資訊系統的對接其實都非常困難。在疫情嚴峻的當下，我們沒有時間從頭來過，修正過去台灣資訊產業發展所衍生的種種問題。我們只能先另闢蹊徑，跳過過去框架的束縛，先解決當下燃眉之急。我相信台灣有為數眾多的宅宅工程師，都會願意在這個時刻，為了全民，也為了自己，奉獻程式設計的專長。</p> <p>如果我們可以成功地透過公民參與，解決疫情嚴峻時資訊系統的重大需求，這可以做為未來數位發展部在國家數位治理上的一個借鏡，也為台灣資訊產業未來的發展作為一個好的示範。</p> <p>最後，筆者才疏學淺，醫療及衛福資訊體系複雜，我也只窺得其中一貌，撰文難免掛一漏萬，敬請各位先進不吝指教。</p> <p><strong>本文作者是雲象科技的執行長，葉肇元醫師。雲象科技是台灣醫療影像AI新創公司，成立滿五年半，產品及服務受到各大醫學中心採用。</strong></p> </div></div></div>
2021/5/31 07:55作者王宏仁https://www.ithome.com.tw/guest-post/144718
美軍核武機密因人員使用線上字卡App外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼太難記會促使用戶將密碼寫在便利貼上。軍事機構則有更複雜的安全代碼要記憶，這也會引發用戶類似，但後果更嚴重的行為，像是核彈部署的地點。<a href="https://www.bellingcat.com/news/2021/05/28/us-soldiers-expose-nuclear-weapons-secrets-via-flashcard-apps/" target="_blank">媒體Bellingcat報導</a>，一些負責看管美國位於歐洲地區核武的美軍，卻利用線上字卡App來記錄軍事資訊，導致這些國防機密已經曝露在網路上。</p> <p>字卡App是數位學習像是背誦單字常用的工具，可在一面寫題目，翻面寫答案，現在也有許多線上App，如Chegg、 Cram和Quizlet等。這些App以關鍵字搜尋，就可以找到不少資訊。媒體記者發現，輸入以核武常見的詞彙搜尋，即可找到歐洲六個存放核武的軍事基地的服役人員所使用的字卡。</p> <p>他們從中發現裏面包含大量安全資訊及祕密，像是攝影機設置地點、存放核武地點的巡邏頻率、當守衛被脅迫使的暗號、以及出入軍事重地的通關密語等。</p> <p><a href="https://www.washingtonpost.com/world/2019/07/16/location-us-nuclear-weapons-europe-accidentally-revealed-report-nato-body/" target="_blank">2019年華盛頓郵報報導</a>，美軍存放150枚核彈在歐洲，而北約議會一份報告不慎公佈了位於比利時、德國、義大利、荷蘭等國地點，不過美國並未證實或否認。</p> <p>媒體報導，有些字卡從2013年就公開於網路上，而另一些字卡則記錄了今年4月的詳細資料。至於這些資訊是否仍然在使用中則不得而知。</p> <p>在Bellington聯絡北約組織（NATO）及美國陸軍後，這些字卡已在公開報導前從網路上撤下。</p> <p>報導引述美國空軍發言人說法，美國空軍注意到這些字卡牽涉「許多主題」，但美國國防部及空軍沒有使用這些線上字卡App，但會調查這些App分享的資訊的「合宜性」。</p> <p>這並不是美國軍事機密首次疑似公開於網路上。2017年就有安全人員發現<a href="https://www.ithome.com.tw/news/114567" target="_blank">存放美國軍事衛星影像資訊</a>及<a href="https://www.ithome.com.tw/news/118756" target="_blank">其他軍事機密</a>的AWS S3資料庫未設密碼，只要找到路徑就可能存取。</p> </div></div></div>
2021/5/30 22:16作者林妍溱https://www.ithome.com.tw/news/144711
WhatsApp政策轉彎，不接受新條款的用戶功能也不會被限制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WhatsApp喧騰5個月的新用戶條款，於上周六（5月15日）上路。在經過和主管單位溝通及用戶反彈下，WhatsApp態度進一步軟化，對於不接受新版條款的用戶，也不會限制或縮減功能。</p> <p>一月初WhatsApp公布新用戶條款，希望欲使用WhatsApp的用戶同意在幾種使用情境，包括點入WhatsApp、臉書及IG廣告，在這三個平臺上購物，以及和三個平臺上店家直接通訊時，允許WhatsApp蒐集部份個資、上網紀錄及軟、硬體資訊並分享給臉書其他服務，以便顯示個人化廣告。這幾個月來，面對外界反彈，WhatsApp先是將新版用戶條款上路時程推遲到5月15日，也表明那些不同意新條款的用戶，也不會被刪除帳號，但會限制功能，像是無法存取對話清單，過幾週後這些用戶將無法接聽來電、接收通知和傳送訊息。</p> <p>不過<a href="https://thenextweb.com/news/whatsapp-says-it-wont-limit-functionality-if-you-refuse-its-privacy-policy-for-now" target="_blank">The Next Web</a>上周首先報導，WhatsApp政策急轉彎，用戶即使不接受新條款，也不會被限制功能。報導引述WhatsApp官方發言人表示，近日該公司和多個主管機關及隱私專家討論的結果，WhatsApp目前沒有計畫針對未接受新版條款的用戶，限制WhatsApp的功能。</p> <p>根據<a href="https://faq.whatsapp.com/general/security-and-privacy/what-happens-when-our-terms-and-privacy-policy-updates-take-effect/?lang=en" target="_blank">WhatsApp近日更新的網頁版說明</a>，到了新版條款生效日，沒有人因為這個新版本而發生帳號被刪或功能喪失。</p> <p>WhatsApp表示，大部份看到新版條款的用戶都已經接受了。為此WhatsApp將持續在App中不時發出提醒，請未接受的用戶接受新版條款。此外，用戶首次使用平臺購物、點入廣告或直接聯絡WhatsApp平臺上的店家等功能，以及新註冊的用戶，也會看到這項通知。</p> <p>WhatsApp改變心意，除了考量用戶可能轉向加密通訊軟體如Telegram、Signal外，主管機關的行政手段將是主要因素。<a href="https://www.ithome.com.tw/news/144349" target="_blank">本月中，德國資料保護主管機關下令</a>臉書不得處理WhatsApp用戶個資，意在阻撓新版用戶條款在德國實行，而且德國政府也企圖將之擴大到全歐洲27個會員國。</p> <p>不過WhatsApp表示，由於德國政府誤解了WhatsApp新版用戶條款，故稱該命令不會影響新版用戶條款的部署。</p> </div></div></div>
2021/5/30 22:41作者林妍溱https://www.ithome.com.tw/news/144716
【疫情日報】企業可自主快篩了，有4點要注意
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">中央流行疫情指揮中心30日宣布，企業可自主執行抗原快篩、自費採檢，但須由醫事人員執行。若企業有需要，指揮中心會協助媒合醫療機構。另一方面，指揮中心昨日已於新北市試辦到院前遠距檢傷分流，透過24小時急診視訊平臺，來優化居家隔離和檢疫民眾的健康照護。</p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);"><strong><span style="font-size:22px;">企業可自主快篩，有4要點要注意</span></strong></p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">指揮中心指揮官陳時中指出，今（29日）新增266例本土案例，另有88例校正回歸至5月25日至5月29日。他認為，就整體疫情發展看來，確診數有下降趨勢，但仍須嚴謹看待。</p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">同時，他公布企業可自主進行COVID-19抗原快篩，但有4要點要注意。首先是企業自主快篩、採檢自費，且須由醫事人員來執行。如果企業找不到合適醫事人員，指揮中心可協助企業，來媒合醫療機構。</p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">第三，如果快篩呈陽性，就必須通報並進行PCR檢驗。陳時中提醒，企業展開自主快篩前，須備妥隔離安置場所，「才不會措手不及。」</p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">最後，要是快篩結果為陰性，仍須進行自我健康監測，以防偽陰性的可能。</p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);"><img alt="" src="https://s4.itho.me/sites/default/files/images/13_0530_%E4%BC%81%E6%A5%AD%E5%BF%AB%E7%AF%A9%E5%9F%B7%E8%A1%8C%E5%8E%9F%E5%89%87_(%E6%89%8B%E6%9D%BF).jpg" style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);" /></p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);"><strong><span style="font-size:22px;">昨起試辦遠距檢傷分流，可透過平臺問診、拿處方</span></strong></p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">衛福部常務次長石崇良指出，為照護居家隔離和檢疫民眾的健康狀況，指揮中心昨日開始試辦遠距檢傷分流，也就是透過急診醫學會提供的24小時急診視訊諮詢平臺，來讓居家隔離和檢疫民眾進一步與專科醫師問診。</p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">要是醫師判定需就醫，則安排當地衛生局立即後送；若無需就醫但有用藥需求，可透過平臺醫師開立處方簽。指揮中心指出，遠距視訊檢傷分流已於新北市試辦。（如下圖）</p> <p style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);"><img alt="" src="https://s4.itho.me/sites/default/files/images/12_0530%E5%88%B0%E9%99%A2%E5%89%8D%E9%81%A0%E8%B7%9D%E6%AA%A2%E5%82%B7%E5%88%86%E6%B5%81.jpg" style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);" /></p> </div></div></div>
2021/5/30 15:28作者王若樸https://www.ithome.com.tw/news/144707
AI趨勢周報第169期：KPMG全美950家企業AI大調查：人才是挑戰、多數還沒建好AI底層架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0507～0514)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">KPMG </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業AI大調查 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 底層架構 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>KPMG全美950家企業AI大調查：培養人才仍是挑戰、多數還沒建好底層基礎架構</strong></span></p> <p>KPMG最近<a href="https://advisory.kpmg.us/articles/2021/thriving-in-an-ai-world.html">公布今年份的企業AI大調查結果</a>，發現企業擁抱AI時仍有AI人才不足、工具選擇和基礎架構不足的挑戰。這份調查於今年1月展開，針對全美950家來自製造、科技、金融、醫療、生命科學、零售和政府等領域的企業來詢問，這些企業年收必須超過10億美元，但醫療和生命科學除外，門檻為1億美元。</p> <p>調查發現，高達9成受訪企業下功夫讓員工跟上AI趨勢、努力讓員工學習新AI技能，但對醫療和政府單位來說，分別只有8成和約7成的執行長做到這2點。不過，在這9成中，高達97%的製造業執行長稱自家員工大致具備AI所需的技能；調查也發現，比起經理等級的主管，上層CXO對自家人才的AI技能反而更樂觀。不過，KPMG指出，調查中仍有許多企業難以招募所需人才，來發展企業AI策略並實踐。</p> <p>另一方面，調查也發現，企業還有2個技術挑戰，也就是找到合適的AI工具和平臺，以及建立發展AI所需的底層架構。針對第一點，KPMG解釋，這是因為市場變化快速，大部分企業擔心今天購買採用的工具，到明天又有更好更快的工具、平臺或API出現，這就造成投資錯誤，就連推動AI發展的科技業，也有6成執行長同意。</p> <p>再來，許多企業尚未投資時間和金錢，來打造底層資料處理架構，甚至還有滿多企業未將IT系統上雲（比起老舊運算環境，雲更容易擴展AI、進入生產）。KPMG指出，這些企業不情願上雲的主因是，建立模型治理制度來保護資料太繁瑣，而且，整理這些資料來訓練模型、維護模型，也太耗費心力。 <a href="https://advisory.kpmg.us/content/dam/advisory/en/pdfs/2021/thrivingai2021.pdf">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MUM </span></strong></span></p> <p><span style="font-size: 22px;"><strong>屢屢突破NLP天花板，Google發表比BERT強1,000倍的Transformer模型</strong></span></p> <p>Google在年度開發者大會上發表基於Transformer架構的NLP模型MUM，號稱比NLP里程碑模型BERT還要強上1,000倍，不只能理解語言，還能生成各種回答，更可一次讀懂文字和圖像。</p> <p>Google近年屢屢突破NLP天花板，從2013年發表Word2vec演算法、靠著將文字轉換為向量提高精準度，再到2017年提出Transformer架構、發表NLP大型訓練模型BERT，一舉拿下各種測試的SOTA後，最近又一口氣發表可理解、可生成的模型MUM，以及可順暢進行開放式對話的LaMDA。</p> <p>以MUM來說，Google一次用75種語言和多種任務來訓練MUM，來讓模型發展完整的理解力和世界知識，這是前幾代模型做不到的。再來，MUM是多模態模型，也就是說，它可一次理解語言和影像這2種型態的資料，而且，「未來還能理解音訊和影片，」Google強調。</p> <p>但Google會怎麼運用MUM呢？Google解釋，由於MUM可理解文字和圖片，因此可同時分析網頁和圖片資訊，改善搜尋體驗。比如，使用者可拍一張登山靴照片，然後問Google：「我可以穿這雙靴子登富士山嗎？」這時，MUM會分析照片和問題、給出回答，甚至帶使用者到專門介紹登山裝備的部落格。 <a href="https://blog.google/products/search/introducing-mum/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/MUM_GIF04_01_1_1.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 對話模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LaMDA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google再推可聊各種話題的開放式對話模型LaMDA</strong></span></p> <p>Google在自家開發者大會I/O上，揭露一款基於Transformer架構的自然語言預訓練模型LaMDA，可順暢進行各種議題的開放式對話，打破傳統Chatbot的限制。</p> <p>Google表示，有別於其他Transformer模型（如BERT、GPT-3），LaMDA用對話資料訓練而成，並用幾個特徵來確認輸入值是不是開放式對話，其一就是「有沒有道理」。在I/O上，Google就用LaMDA來模擬冥王星與紙飛機的對話，比如能回答「我知道你很好奇，儘管問吧」、「（你來冥王星的話）你會看到一個大峽谷和一些冰山」，比現有Chatbot表現要好。目前LaMDA仍處於研究階段，未來Google將用來改善搜尋服務和語音助理，就像用BERT來改善Google搜尋的內容品質那樣。<a href="https://blog.google/technology/ai/lamda/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/1_Welcome_GenerativeMeena_CL_V02_150521_v2_720_25fps.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 新創基金 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></p> <p><span style="font-size:22px;"><strong>1億美金支援還有專屬系統、Azure點數可以用！OpenAI推出AI新創基金專案</strong></span></p> <p>OpenAI近日啟動OpenAI新創基金專案，投資1億美元來扶植幾家「對世界有深遠、正面影響的AI新創」，特別是醫療、氣候變遷、教育和個人服務等能帶來變革的領域。</p> <p>這些基金由微軟等OpenAI的合作夥伴提供，並由OpenAI管理。獲選的新創不只能得到OpenAI團隊支援，還可使用OpenAI新系統，並獲得微軟Azure服務點數。OpenAI還有2個招募準則，一是歡迎採用他們API的新創，二是歡迎來自少數群體的創辦人。<a href="https://openai.com/fund/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 非監督式學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音辨識 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 轉錄資料 </span></strong></span></p> <p><span style="font-size:22px;"><strong>不用轉錄資料就能自己學習、效能媲美監督式模型！臉書發表非監督式語音辨識模型</strong></span></p> <p>臉書發表一套非監督式語音辨識技術Wav2vec-U，不需把語音轉錄成文字資料，就能訓練模型。而且Wav2vec-U的效能，比幾年前用1,000小時轉錄語音資料訓練的監督式模型還要好。</p> <p>臉書指出，目前語音辨識系統只對少數主流語言友善，這是因為，這些主流語言有大量的轉錄音訊資料，可用來訓練高品質的模型。但對其他語言、方言來說，就難以取得足夠資料。</p> <p>因此臉書開發Wav2vec-U，結合k-平均演算法，能從未標記的音訊中學習語音結構，將語音分割出各對應的語音單元，因此不需要轉錄音訊資料。為學習辨識語音中的單詞，團隊利用GAN中的生成器產生音位序列，再透過鑑別器來判別相似度，直到生成器成功騙過鑑別器。後來，臉書也在Swahili和Tatar等小眾語言測試模型，並與其他模型比較。在TIMIT基準測試中，與最佳的非監督式方法相比，Wav2vec-U錯誤率降低57％。<a href="https://ai.facebook.com/blog/wav2vec-unsupervised-speech-recognition-without-supervision/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe3-1.fna.fbcdn.net/v/t39.2365-6/185911567_1930754773744348_4077514865307512480_n.jpg?_nc_cat=100&ccb=1-3&_nc_sid=ad8a9d&_nc_ohc=ddtpB5jZU50AX_k6vnf&_nc_ht=scontent.ftpe3-1.fna&oh=fffd87f476deee4b1956ae8aeafe8313&oe=60D6E197" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">ML生命週期</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ML平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MLOps </span></strong></span></p> <p><span style="font-size:22px;"><strong>如何有效管理ML生命周期？Google推出一站式ML平臺</strong></span></p> <p>Google在開發者大會I/O上，正式推出全託管機器學習平臺Vertex AI，由一系列Google內部所使用的機器學習工具組成，提供統一的UI和API來操作Google雲端服務，加速企業AI模型訓練、部署和維護。</p> <p>Google指出，不少資料科學家採用拼接的ML解決方案和不順暢的開發流程，導致模型開發和實驗受阻，而Vertex AI可解決這個問題。Vertex AI包括原用於Google內部的AI工具，如電腦視覺、語言處理、對話和結構化資料等。</p> <p>該平臺也提供一系列MLOps工具，強調不具專業ML經驗也可使用，像是可提高實驗速度的Vertex Vizie，和用來共享、重用ML功能的Vertex Feature Store，以及可加速生產環境模型部署的Vertex Experiments。Vertex AI也支援邊緣AI應用，Vertex ML Edge Manager讓用戶可使用自動化流程和API，在邊緣部署和監控模型。Vertex Model Monitoring、ML Metadata與Pipelines等，主打自助模型維護和可重複功能來簡化端到端ML工作流程。<a href="https://cloud.google.com/vertex-ai">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Google Health </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI工具 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網頁版 </span></strong></span></p> <p><span style="font-size:22px;"><strong>皮膚有問題怎麼辦？Google今年要發表網頁版的皮膚病AI工具</strong></span></p> <p>Google Health開發一套可幫忙診斷皮膚病的AI，使用者只要用手機拍下患部，再回答相關資訊，這個AI工具就能分析可能的疾病。目前，這套AI已取得歐盟一級醫療裝置的CE認證，Google也準備在今年發表網頁版應用。</p> <p>Google Health說明，每年Google搜尋數據中有10億次是關於皮膚、指甲和頭髮的問題，而且全球有20億民眾深受皮膚病之苦，卻沒有足夠的皮膚病專家。為緩解問題，Google開發這套模型，使用者只要拍攝和上傳有狀況的皮膚、頭髮或指甲等3個不同角度的照片，再回答如年紀、性別、種族、皮膚類型、狀況維持多久等問題，或提供其它症狀等資訊來縮小範圍，AI工具就會分析，從288種皮膚疾病中找出適合的幾種狀況供參考，並提供這些疾病的醫生見解、常見問題，以及網路上的相關照片。 <a href="https://blog.google/technology/health/ai-dermatology-preview-io-2021/">（詳全文）</a></p> <p>圖片來源／KPMG、Google、臉書</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1.微軟Power Apps嵌入GPT-3，把自然語言變成程式碼來開發應用</strong></p> <p><strong>2. AWS ECS Anywhere正式GA！</strong></p> <p>資料來源：iThome整理，2021年5月</p> </div></div></div>
2021/5/29 23:13作者王若樸https://www.ithome.com.tw/news/144704
主導SolarWinds攻擊的俄羅斯駭客集團Nobelium透過郵件行銷平臺Constant Contact，發送惡意…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2021/05/27/nobelium-cyberattack-nativezone-solarwinds/" target="_blank">微軟上周指出</a>，主導SolarWinds供應鏈攻擊行動的俄羅斯駭客集團Nobelium，其實從2019年以來便陸續展開攻擊，除了SolarWinds攻擊之外，最新的一波出現在5月25日，Nobelium透過郵件行銷平臺Constant Contact發送惡意郵件予全球150個組織，而且<a href="https://www.microsoft.com/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/" target="_blank">其中一個例子還利用了美國國際開發署（USAID）</a>的Constant Contact帳號。</p> <p>根據微軟的追蹤，Nobelium的攻擊目標涵蓋了政府組織、非政府組織（NGO）、智庫組織、軍方、IT服務供應商、健康科技與研究機構，以及電信業者，目的是竊取各種情報。</p> <p>Constant Contact為一美國的線上行銷業者，主要協助各大組織發送行銷電子郵件，這次Nobelium利用了Constant Contact平臺，發送惡意郵件予全球24個國家逾150個組織的3,000個電子郵件帳號，當中至少有1/4的組織涉及國際發展、人道主義與人權運作。</p> <p>在這波攻擊中，Nobelium取得了USAID所使用的Constant Contact 帳號，並以USAID的名義發送網釣郵件，郵件內容是個警告，表示「川普已公布了有關選舉詐騙的新文件」（Donald Trump has published new documents on election fraud），並嵌入兩個連結，一個是檢視文件，另一個則是造訪USAID網站。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0529-usaid%20phishing.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>不管是點選了哪個連結，使用者都會先被導至合法的Constant Contact服務，再被轉至由駭客掌控的網址，接著就會被植入一個惡意的ISO檔案，讓駭客於受害者系統上部署長駐能力，之後再伺機於受害者的系統上橫向移動、竊取資料，或者是遞送更多的惡意程式。</p> <p>微軟也公布了Nobelium此波攻擊行動的入侵指標，包括收到來自<a href="mailto:[email protected]">[email protected]</a>或<a href="mailto:[email protected]">[email protected]</a>的郵件，或是在系統上偵測到惡意的ISO檔案與Cobalt Strike Beacon惡意程式，以及由駭客所掌控的網域。</p> <p>微軟指出，從Nobelium以往的行動來看，該集團採用一貫的攻擊策略，先取得可靠技術供應商的存取能力，再進一步危害這些供應商的客戶。</p> </div></div></div>
2021/5/29 16:51作者陳曉莉https://www.ithome.com.tw/news/144699
Google發表Datashare簡化金融服務資料交換
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布推出<a href="https://cloud.google.com/blog/topics/financial-services/announcing-the-general-availability-of-datashare">金融服務用Datashare</a>，這是一個新的Google雲端解決方案，讓資料發布者和資料消費者，可以在同一處簡單地交換資料。Datashare會組織第三方財務資訊，供資料發布者和消費者都可以存取使用。</p> <p>金融資訊透過雲端技術在全球交流，而與此同時，Google提到，全球金融資料的格局，也因為加入其他的資料來源，像是社交媒體、氣象資料和衛星圖像等，而產生變化。交易所和市場資料發布者，現在需要加入這些新的資料集，以增加自家產品競爭力。</p> <p>Datashare在雲端，提供資料市場一個靈活的資料發布與消費方法，資料發布者和消費者可以在Datashare上安全有效率地處理授權資料集。Google表示，他們開源整個Datashare解決方案，讓市場資料發布者，可以將授權的資料集載入到Google雲端，而資料消費者則可以使用自己喜好的資料工具，以資料即服務的形式來使用資料</p> <p>在Datashare有三種發布資料和消費資料的方法，第一種是批次資料交付，Datashare提供資料發布者一個批次資料交付機制，可以透過BigQuery交付他們的參照資料和替代市場資料等，進而降低資料消費者分析資料的負擔。</p> <p>第二種則是即時資料串流交付，藉由事件資料交付頻道，以Pub/Sub快速變更價格、刻度資料和訂單等資訊，資料消費者能夠可靠地處理單個訊息，或是回退到特定時間點，以重播市場情境和測試模型變化。最後一種，則是讓資料發布者可以上傳有版權的資料，並透過Google雲端市集上供其他消費者付費使用。</p> <p>Datashare對資料發布者來說，好處是不需要自己維護交付和授權基礎設施，並且可以用SQL來打包和交付資料產品，而對資料消費者而言，優點是可取用現成可分析和機器學習的資料，不用手動維護ETL工作管線，來載入檔案和轉換資料，也不用付出維護多個大型資料檔案副本的費用和負擔。</p> </div></div></div>
2021/5/29 14:30作者李建興https://www.ithome.com.tw/news/144693
Docker推出發布者驗證計畫提升容器生態系安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了強化Docker容器生態系的安全性，宣布推出<a href="https://www.docker.com/press-release/docker-expands-trusted-content-offerings">Docker發布者驗證計畫</a>，該計畫讓開發者存取受信任的內容，使其有信心將其用作建構應用程式的模塊。目前這項計畫已經有100家企業加入，最新加入的企業包括Datadog、紅帽和VMware。</p> <p>官方提到，安全的軟體供應鏈在現今變得越來越重要，因為能夠降低在建構應用程式時，暴露在惡意內容的風險，而在建構應用程式每一個階段都使用可靠的內容，將可以大幅減少企業為解決安全問題，所花費的時間與金錢。發布者驗證計畫讓開發者不需要擔心映像檔來源，可以快速且有信心地，從已知來源探索建構應用程式需要的映像檔。</p> <p>藉由Docker發布者驗證計畫，開發者可以有信心地建置、共享和執行應用程式，確保軟體供應鏈每個階段，所使用的元件都是安全的。官方提到，開發人員很快就可以在所選用的註冊表中下載這些映像檔，包括在AWS ECR Public和Mirantis Secure Registry的公開和私人註冊表，都將會提供Docker官方映像檔，</p> <p>Docker執行長Scott Johnston也表示，甫發布的Docker發布者驗證計畫，現在向更多的映像檔發布者開放，並在更多的註冊表中發布Docker官方映像檔，這項政策極大程度補充了Docker官方映像檔的選擇，使得Docker平臺和Docker Hub能成為可信且安全的容器映像檔標準。</p> </div></div></div>
2021/5/29 14:38作者李建興https://www.ithome.com.tw/news/144695
Kotlin將會添加新編譯器和支援WebAssembly
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Jetbrains的Kotlin程式語言開發團隊更新了2021年與之後的<a href="https://blog.jetbrains.com/kotlin/2021/05/nine-highlights-from-the-kotlin-roadmap/">發展路線計畫</a>，包括要加入新的Kotlin編譯器，並且增加WebAssembly支援，以及提高IDE效能與穩定性。該團隊在Kotlin部落格中列出了近期的優先事項，致力於強化這個與Java生態系相容的開源程式碼。</p> <p>Kotlin總專案經理Egor Tolstoy提到了幾項重點工作，第一項便是新的編譯器，他提到，新Kotlin編譯器是一個龐大的專案，其中包括要重寫JVM和JS後端，以及一個全新的基礎架構前端。當新的編譯器完成後，Kotlin專案的效能將會有顯著的提升。而透過啟用編譯器擴充套件API支援，可以在Kotlin編譯器加入新的語言功能。</p> <p>官方剛完成了編譯器JVM後端部分，現在正著手進行其他工作，Egor Tolstoy表示，為了提高效能，Kotlin還需要一個新的編譯器前端，他們研究了一段時間，這項工作已經接近Alpha版本，在啟用新的前端後，將會讓編譯速度提高一倍。</p> <p>另一項重點則是對WebAssembly的支援，Egor Tolstoy表示，他們認為WebAssembly會成為未來創建豐富網頁應用程式的新標準，而Kotlin必須要能夠完美的提供支援。因此官方現在正火力全開，建立一個專門的團隊開發Kotlin/Wasm工作，並且與WebAssembly垃圾回收提案作者緊密合作，要實現Kotlin語言的基本功能、函式庫和基本Gradle的支援，還要新增實驗性JavaScript互通操作功能。</p> <p>而官方也致力於改善IDE的效能與流暢度，Egor Tolstoy提到，雖然要提高IDE回應能力，根本的解決方案是使用新的編譯器，但是他們仍繼續對當前的工具，尋找提高效能的方法。由於IntelliJ IDEA和Android Studio的Kotlin擴充套件，使用了30幾種不同的索引，因此他們透過重構索引系統，來提高程式碼分析速度和穩定性。</p> <p>而且針對開發者使用Apple Silicon裝置的比例增加，官方也在Kotlin多平臺工具中，加入Apple Silicon的支援。目前Kotlin/Native已經可以在該平臺運作，但是要讓開發者的專案都充分獲得Apple Silicon支援，他們計畫還要在Kotlin多平臺Gradle擴充套件，以及所有Kotlinx函式庫中提供支援。</p> </div></div></div>
2021/5/29 14:39作者李建興https://www.ithome.com.tw/news/144696