iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【疫情日報】7月27日起全國降為二級，陳時中仍建議居家辦公
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今（23日）稍早，行政院院長蘇貞昌宣布自7月27日起，全國疫情警戒降至二級，下午中央流行疫情指揮中心也表示，二級期限自下周二起至8月9日，不排除隨時改變。二級措施仍遵守防疫通則，除飲食外，人人仍須戴口罩、實聯制，並維持社交距離。指揮官陳時中也建議，企業若能落實居家辦公，應盡量維持。</p> <p><span style="font-size:22px;"><strong>二級警戒仍維持戴口罩、社交距離通則，商展等室內場館有條件開放</strong></span></p> <p>指揮官陳時中表示，全國疫情警戒降至第二級，仍須遵照全程配戴口罩（飲食除外）、維持社交距離、落實實聯制等。當然，集會人數限制也開放室內50人、室外100人的集會與實體投票，也可召開理監事會議，並辦理選舉罷免事項。</p> <p>副指揮官陳宗彥表示，若會員大會人數超過上限，也可採實體會議加上視訊共同辦理，若無法遵守防疫規範或人流管制，則應暫緩辦理。另一方面，陳時中補充，若集會超過人數上限，舉辦單位應提報防疫計畫，由主管機關審核。</p> <p>此外，二級措施也開放超商、賣場內用，雙鐵也開放餐飲區域，室內場館也開放觀眾入場、開放會議、開放室內外運動場館（包括保齡球館和撞球館）等。</p> <p>室內場館包括美術館、博物館、科博館、商業展覽和會議場所，必須遵守3大規則，首先是單一出入口制、以預約為優先，再來是不開放互動式器具的使用，如語音導覽、穿戴式、體驗型裝置等。最後一個規則是，不得接受50人以上團客預約觀展。至於圖書館，則以人流管制、維持社交距離等方式，來開放部分區域。</p> <p>在教育方面，幼兒園、托嬰中心、課照、補習班可開放，而且，高中以下運動團隊也可返校訓練。</p> <p>至於有企業開始要求員工回公司上班，陳時中建議，企業若能落實在家上班，應盡量落實居家辦公。</p> <p>他也提醒，目前措施皆為滾動式檢討，將視疫情發展隨時調整。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/210723%E8%AA%BF%E9%99%8D%E7%96%AB%E6%83%85%E8%AD%A6%E6%88%92%E6%A8%99%E6%BA%96%E8%87%B3%E7%AC%AC%E4%BA%8C%E7%B4%9A_3.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/210723%E8%AA%BF%E9%99%8D%E7%96%AB%E6%83%85%E8%AD%A6%E6%88%92%E6%A8%99%E6%BA%96%E8%87%B3%E7%AC%AC%E4%BA%8C%E7%B4%9A_4.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/210723%E8%AA%BF%E9%99%8D%E7%96%AB%E6%83%85%E8%AD%A6%E6%88%92%E6%A8%99%E6%BA%96%E8%87%B3%E7%AC%AC%E4%BA%8C%E7%B4%9A_5.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/210723%E8%AA%BF%E9%99%8D%E7%96%AB%E6%83%85%E8%AD%A6%E6%88%92%E6%A8%99%E6%BA%96%E8%87%B3%E7%AC%AC%E4%BA%8C%E7%B4%9A_6.jpeg" /></p> </div></div></div>
2021/7/23 15:04作者王若樸https://www.ithome.com.tw/news/145829
Akamai Edge DNS更新出錯，造成HBO、Steam與Airbnb等網站無法存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球主要內容遞送網路（Content Delivery Network，CDN）供應商Akamai的DNS服務，在世界協調時間22日下午3:46（約臺灣時間22日晚上11:46）發生故障，造成包括PlayStation Network、HBO、UPS、Airbnb、Salesforce等客戶的服務停擺，幸好約莫在一小時後就恢復正常。</p> <p>故障的是Akamai的Edge DNS服務，Akamai鼓勵客戶將DNS解析服務從自家的就地部署或雲端資料庫，遷移到Akamai的Edge DNS，還標榜Edge DNS具備持續（nonstop）的DNS可得性及高效能，甚至能抵擋最大的DDoS攻擊。</p> <p>不過，看起來是Akamai自己犯的錯造成Edge DNS故障。<a href="https://twitter.com/Akamai/status/1418271515192270850" target="_blank">Akamai透過Twitter說明</a>，該公司的軟體配置更新觸發了DNS系統的一個漏洞，由於該系統的任務是將瀏覽器導至網站，因而造成某些客戶的網站無法存取。</p> <p>Akamai在察覺問題之後就回滾了該更新，才使得服務恢復正常，期間大概歷經一小時。受影響的Akamai客戶除了上述業者之外，還包括甲骨文、Go Daddy、AT&T、Costco、達美航空、西南航空與英國航空等。</p> <p>Akamai除了強調該平臺並未遭到駭客攻擊之外，也表示已在檢查該公司的軟體更新程序，以避免重蹈覆轍。</p> </div></div></div>
2021/7/23 15:15作者陳曉莉https://www.ithome.com.tw/news/145830
竊密程式利用免費軟體搜尋廣告散布，還能躲避Microsoft Defender
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://labs.bitdefender.com/blog/labs/debugging-mosaicloader-one-step-at-a-time" target="_blank">安全廠商Bitdefender發現</a>一隻惡意程式利用破解軟體的搜尋廣告散布，還具有躲避微軟防毒軟體Microsoft Defender偵測的能耐。</p> <p>名為MosaicLoader惡意程式的檔案資訊刻意模仿合法付費軟體，再利用付費搜尋廣告散布，吸引想找破解軟體的用戶上鈎，藉此感染其裝置。它其實是一個下載器，能下載任何惡意酬載到受害系統中。一旦植入到用戶系統內，它會建立一連串複雜的行程。Bitdefender之所以將這隻惡意軟體命名為MosaicLoader，是因為它內部結構複雜，可防止研究人員分析及逆向工程。</p> <p>MosaicLoader進入受害者系統後和許多惡意程式行為相似，目的在多階段下載惡意程式以迴避偵測，但有一項躲避偵測技巧十分特殊。研究人員發現它會在微軟防毒軟體Microsoft Defender（或原名Windows Defender）中加入本機排除項（local exclusion），使防毒軟體掃瞄時跳過 \PublicGaming\資料夾下的特定檔名，如prun.exe、appsetup.exe）以躲避偵測，這些檔名都是MosaicLoader下載的惡意程式之一。最後，MosaicLoader和外在C&C伺服器建立連線，下載多種威脅，包括簡單的cookie竊取程式、挖礦軟體，以及Glupteba後門程式，用於竊取用戶電腦重要資訊，或產生加密貨幣以謀利。</p> <p>目前MosaicLoader是由誰開發不得而知。研究人員分析它的感染及下載過程和之流傳過的Warzone RAT一樣，但兩者用的C&C伺服器及下載元件則不相關。</p> <p>由於MosaicLoader主要鎖定想尋找破解軟體的用戶下手，因此研究人員呼籲用戶不要從陌生網站下載和安全應用程式。</p> <p> </p> </div></div></div>
2021/7/23 15:34作者林妍溱https://www.ithome.com.tw/news/145831
美國議員提案：若社交平臺再散布不實疫苗資訊，將去除230條款的保護傘
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國會議員似乎不打算放棄改革《通訊規範法》（Communications Decency Act）保障社交平臺的第230條（Section 230），本周兩名民主黨議員<a href="https://www.klobuchar.senate.gov/public/index.cfm/news-releases?ID=B8B62B2C-10A1-4793-BA89-4CED486054A8" target="_blank">Amy Klobuchar與Ben Ray Luján再度提出一項新法案</a>，此一《健康不實資訊法案》（Health Misinformation Act ）準備向散布不實健康資訊的社交平臺究責。</p> <p>第230條又被稱為社交網站保護傘，因為它保障ISP業者及社交平臺得以免責於使用者在平臺上所張貼的內容，同時也賦予它們出自於善意、限制平臺上所出現之冒犯性內容的權力。美國前任總統川普（Donald Trump）曾在去年5月<a href="https://www.ithome.com.tw/news/137946" target="_blank">簽署行政命令</a>，要求美國聯邦通訊委員會（FCC）重新審查該條款，但新任總統拜登（Joe Biden）則在今年5月<a href="https://www.ithome.com.tw/news/144472" target="_blank">否決了川普的行政命令</a>。</p> <p>不過，這並不代表拜登認同無法可管的社交平臺，<a href="https://www.ithome.com.tw/news/145744" target="_blank">本月拜登便曾指責</a>像臉書這類散播COVID-19疫苗不實資訊的社交平臺是在殺人，且這次提出《健康不實資訊法案》的兩名參議員與拜登一樣，都是民主黨員。</p> <p>根據這兩名議員的說明，《健康不實資訊法案》將建立230條款的例外，只要網路平臺的演算法推廣了與現有公共衛生緊急事件相關的錯誤健康訊息，就無法受到230條款的保障，而會被究責。</p> <p>Klobuchar指出，一直一來，網路平臺在保護美國人健康的部份做得並不夠，這些平臺可能是全球最大也最富有的企業，因此它們必須採取更多的措施來預防疫苗錯誤資訊的散布，就算他曾呼籲臉書與Twitter移除那些散布錯誤資訊的帳號，但這並非長久之計，新的《健康不實資訊法案》將讓網路平臺肩負起散播與健康相關之不實資訊的責任。</p> <p>Luján更說，隨著COVID-19疫情的爆發，不管是臉書、Twitter或YouTube對於平臺上錯誤資訊的散布幾乎沒有採取任何措施，加劇了民眾對公共衛生官員的不信任，協助宣揚陰謀論，隨著未接種疫苗的COVID-19病例增加，社交平臺上的錯誤資訊也愈來愈多，人民的生命危在旦夕。</p> <p>負責公共政策的臉書副總裁Kevin Martin則在提供給媒體的聲明中表示，臉書一向支持通用的產業標準與230條款的改革，相信這些行動將有助於釐清健康相關不實資訊的各種問題與難度，也期待在研擬改革選項時能與國會及產業合作。</p> <p>其實臉書的立場一直很一致，該平臺並不抗拒立法，反而請求美國政府藉由立法來解決社交平臺處理各種資訊所面臨的難題，例如臉書創辦人暨執行長祖克柏（Mark Zuckerberg）亦曾公開呼籲美國應立法來規範隱私、資料可攜或有害內容，而非由企業自行判斷。不過，美國的立法將會受到美國憲法《第一修正案》對於保障言論自由的箝制，反而是臉書等私人企業的平臺政策才能祭出更彈性的規範。</p> <p> </p> </div></div></div>
2021/7/23 15:42作者陳曉莉https://www.ithome.com.tw/news/145832
Google Cloud測試醫療資料協調服務Healthcare Data Engine
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Cloud周四宣佈以私有預覽版形式測試<a href="https://www.prnewswire.com/news-releases/google-cloud-announces-healthcare-data-engine-to-enable-interoperability-in-healthcare-301339256.html" target="_blank">醫療資料引擎（Healthcare Data Engine）</a>，能協調包括臨床測試、電子病歷及研究等多種來源的資料，以便醫療人員能更快速存取全面、最新的病患紀錄。</p> <p>根據一項調查，醫師普遍認為解決資料相容性，讓他們更快而精確存取完整的病患紀錄是第一要務，這也有助於提供個人化照護。Health Data Engine正是為了解決這項需求。</p> <p>Health Data Engine是以Google Cloud Healthcare API為基礎開發，它針對市面上主要電子病歷(EHR)系統中的HL7 v2訊息對應到最新醫療產業協定FHIR（Fast Healthcare Interoperability Resources），90%以上資料都能涵括，包括醫囑或病情更新等。Google表示，這項自動化技術能免於醫院開發工具，來轉換不同資料格式的麻煩，有助於各種資料的相容以及長期保存。</p> <p>這項工具還能整合Google Cloud的資料倉儲BigQuery分析及其他進階分析與人工智慧（AI）技術，使醫院能快速處理數PB的資料，並提供視覺化分析，協助醫師以更全觀角度進行醫療決策。</p> <p>目前已經有知名醫院Mayo Clinic 使用Health Data Engine進行資料協調，並以BigQuery執行分析。</p> <p>除了找來顧問及SI提供導入服務，Google Cloud也和軟體商如科學計算軟體Mathematica開發與Healthcare Data Engine整合的應用。</p> <p>目前這項方案以<a href="https://cloud.google.com/healthcare" target="_blank">私有測試版</a>上線，開放醫療、研究單位測試。</p> </div></div></div>
2021/7/23 16:01作者林妍溱https://www.ithome.com.tw/news/145833
Firefox 90正式終止支援FTP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla於本周中<a href="https://www.mozilla.org/en-US/firefox/90.0/releasenotes/" target="_blank">釋出Firefox 90</a>，正式終止對FTP的支援。</p> <p>FTP（File Transfer Protocol）作為一個誕生正好50年的傳輸協定，檔案傳輸未加密，且使用明文密碼進行身分認證，已經是極不安全的傳輸技術。Google和Mozilla 3年前就宣佈終止支援的計畫。<a href="https://www.ithome.com.tw/news/143916" target="_blank">4月間</a>，Mozilla在推出Firefox 88時即預告，Firefox 88將關閉FTP，到了Firefox 90版，就會正式移除所有FTP實作。</p> <p>移除FTP支援後，決定瀏覽器是否啟用FTP協定的browserSettings.ftpProtocolEnabled就會變成唯讀模式，無法變更其設定值，且API就無法再處理這類呼叫。Mozilla表示，一旦Firefox自動更新到90版，任何使用FTP協定的傳輸，包括攻擊，都會失效。</p> <p>不過4月時Mozilla表示，FTP將會被加入Firefox外掛支援的協定處理器（protocol handlers）清單中。這表示外掛程式仍然可以要求使用者啟動FTP應用程式，來處理特定連結。</p> <p>Firefox 90其他新增功能包括HTTPS-Only模式的例外清單、SmartBlock 2.0功能。前者能讓使用者將可信賴、但未升級到HTTPS（仍為HTTP）的網站加入例外清單，並可選擇是永久或一次性例外。Smartblock 2.0是針對Smartblock封鎖「以臉書帳號登入」（log in with Facebook）的改進。全部封鎖這類登入方式會使登入變得很不方便，在2.0版中，只要使用者選擇以臉書帳號登入某網站，之後就能順暢登入無礙。Firefox 90版也強化了軟體WebRender加速功能。</p> </div></div></div>
2021/7/23 16:09作者林妍溱https://www.ithome.com.tw/news/145834
強化零信任安全，微軟再收購CloudKnox
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼上周的RiskIQ後，<a href="https://blogs.microsoft.com/blog/2021/07/21/microsoft-acquires-cloudknox-security-to-offer-unified-privileged-access-and-cloud-entitlement-management/" target="_blank">微軟周四再宣布收購</a>雲端基礎架構權限管理（Cloud Infrastructure Entitlement Management，CIEM）新創公司CloudKnox，以強化多雲及混合雲的存取管理，建立零信任（zero trust）安全環境。</p> <p>這項收購是因應企業遠距辦公及在公司上班混合作業模式，且使用愈來愈多雲端服務需求而生。許多服務之間已經能自動協同、交換資料不需人為介入，像是VM及容器，公司員工也從防火牆之外存取公司網路，這也導致服務帳號及用戶擁有的存取特權（privilege）、許可、權限等讓企業曝露在網路攻擊的風險下。一些未列管或私自建立的帳號，或是合法帳號具備過大的存取權限，可能導致小至資訊外洩，大到重要系統被接管，或是勒索軟體加密關鍵資料及檔案。近日多起企業被駭事件突顯攻擊者取得管理不當的存取憑證，即可在網路間橫向移動。這也突顯零信任（zero-trust）安全的重要性，確保應用及用戶權限最小化的存取管理原則。</p> <p>微軟表示，傳統特權存取管理（privilege access management）及身份治理和管理方案（identity governance and administration）可應付本地部署環境，隨著企業轉型多雲環境，傳統方案已不足以提供全面透通的權限和許可管理，也無法提供多雲或雲端原生環境的身份生命周期管理或治理。</p> <p>微軟表示，CloudKnox的收購能為Azure Active Directory用戶提供多雲及混合雲環境中的權限管理，使企業清楚了解使用者及應用、作業的存取權限，自動化執行存取政策，確保最小權限的原則。它的機器學習演算法可持續分析以防止可疑活動或帳號。收購進來後，也能和微軟現有安全方案，像是Microsoft 365 Defender、Azure Defender 和Azure Sentinel SIEM產品無縫整合。</p> <p>這是微軟三個月以來最新一樁安全收購，它在6月及上周分別收購了韌體安全業者<a href="https://www.ithome.com.tw/news/145602" target="_blank">ReFirm</a>及威脅情報及攻擊面管理廠商<a href="https://www.ithome.com.tw/news/145602" target="_blank">RiskIQ</a>。去年微軟還買下IoT工控安全平臺廠商CyberX。</p> <p>微軟的Office 365擁有大量企業用戶，促使該公司強化雲端存取安全。一項例子是<a href="https://www.ithome.com.tw/news/142230" target="_blank">年初美國發生</a>雲端郵件安全業者Mimecast 被用來借道駭入M365 Exchange。攻擊者利用竊來Mimecast用戶cookies，使用Pass the cookie手法連線驗證、登入Exchange Web Service，繞過後者的多因素驗證（MFA）而劫持用戶MS365 Exchange的信件。</p> </div></div></div>
2021/7/23 14:47作者林妍溱https://www.ithome.com.tw/news/145828
Windows 10驚傳一般使用者也能讀取SAM組態檔的漏洞，恐被攻擊者濫用，獲得高系統權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於Windows使用者而言，這個月接連被資安研究人員發現PrintNighmare等多個漏洞，都與列印多工緩衝處理器模組（Print Spooler）有關，攻擊者可濫用於本機提升權限（LPE），有的甚至能用來遠端執行程式碼（RCE）攻擊。</p> <p>然而，<a href="https://twitter.com/jonasLyk/status/1417205166172950531">資安研究社團Secret Club研究員Jonas Lykkegaard發現</a>，Windows 10、Windows 11存在可被用於提升本機使用者權限的漏洞CVE-2021-36934，而這個漏洞形成的原因，是受到磁碟區陰影複製（Volume Shadow Copy）配置的存取權限有關，導致一般使用者就能存取安全性帳戶管理員（SAM）的檔案。此漏洞很快就<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36934">得到微軟證實</a>，該公司亦提出緩解措施，但尚未推出修補程式。</p> <p>關於這個漏洞的稱呼，除了微軟提報為CVE-2021-36934列管，還有2個用來形容它的名稱。例如，<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-shares-workaround-for-windows-10-serioussam-vulnerability/">Bleeping Computer</a>、<a href="https://therecord.media/serioussam-bug-impacts-all-windows-10-versions-released-in-the-past-2-5-years/">The Record</a>、<a href="https://threatpost.com/win-10-serioussam/168034/">Threatpost</a>等新聞網站稱之為SeriousSAM，而資安業者<a href="https://blog.malwarebytes.com/exploits-and-vulnerabilities/2021/07/hivenightmare-zero-day-lets-anyone-be-system-on-windows-10-and-11/">Malwarebytes</a>與<a href="https://nakedsecurity.sophos.com/2021/07/21/windows-hivenightmare-bug-could-leak-passwords-heres-what-to-do/">Sophos</a>則稱作HiveNightmare。</p> <p>這個漏洞並非直接在Windows 10上發現，而是微軟甫於6月底推出的Windows 11測試版本。Jonas Lykkegaard在測試Windows 11時，意外發現新的漏洞：一般低權限的使用者，也能透過磁碟區陰影複製的副本內容，讀取SAM的檔案。這樣的情形，一度被許多人以為只存在於上述測試版作業系統，但隨後也被其他研究人員與<a href="https://www.bleepingcomputer.com/news/microsoft/new-windows-10-vulnerability-allows-anyone-to-get-admin-privileges/">資安新聞網站Bleeping Computer驗證</a>，多個版本的Windows 10，在安裝所有的修補程式後，也存在相同的漏洞。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">yarh- for some reason on win11 the SAM file now is READ for users.<br /> So if you have shadowvolumes enabled you can read the sam file like this:</p> <p>I dont know the full extent of the issue yet, but its too many to not be a problem I think. <a href="https://t.co/kl8gQ1FjFt">pic.twitter.com/kl8gQ1FjFt</a></p> <p>— Jonas L (@jonasLyk) <a href="https://twitter.com/jonasLyk/status/1417205166172950531?ref_src=twsrc%5Etfw">July 19, 2021</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>而同樣能以相同手法被一般使用者直接存取的組態設定，並非只有SAM。<a href="https://www.bleepingcomputer.com/news/microsoft/new-windows-10-vulnerability-allows-anyone-to-get-admin-privileges/">Jonas Lykkegaard向Bleeping Computer進一步說明</a>，其他存放於%windir%\system32\config資料夾的組態設定檔案，也存在相同的問題，而這些是與Windows登錄檔有關的資料，涉及電腦裡所有使用者的敏感資料，以及Windows功能使用的Token，若是不具高權限的使用者就能存取，就有可能很容易遭到濫用。其中，影響最為直接的就是SAM，因為這個組態檔案包含了電腦所有使用者的密碼雜湊值，對於攻擊者而言，可用來存取特定的使用者帳號。</p> <p>一般來說，這些Windows登錄檔的組態檔案無法直接存取，若是使用者意圖存取，系統會顯示已被其他程式使用而無法開啟。但Jonas Lykkegaard發現，這些組態檔案通常會被磁碟區陰影複製工具留存副本，且副本裡的組態檔案不需具備特殊權限就能存取。</p> <p>上述的問題究竟有多嚴重？開發Mimikatz工具的資安研究員<a href="https://twitter.com/gentilkiwi">Benjamin Delpy指出</a>，攻擊者可藉此輕易偷取NTLM的密碼雜湊值，來提升權限，若是進一步運用這項漏洞，他認為攻擊者可以發動名為<a href="https://www.varonis.com/blog/kerberos-attack-silver-ticket/">Silver Ticket</a>的進階攻擊。這名研究員也透過影片，展示CVE-2021-36934的概念性驗證（PoC）攻擊。</p> <p><iframe allowfullscreen="" frameborder="0" height="400" src="https://player.vimeo.com/video/577234015" title="vimeo-player" width="640"></iframe></p> <p>而對於該漏洞的影響範圍，<a href="https://www.kb.cert.org/vuls/id/506989">美國電腦網路危機處理暨協調中心（CERT/CC）漏洞分析師Will Dormann</a>與<a href="https://twitter.com/jeffmcjunkin/status/1417281315016122372">SANS專家Jeff McJunkin</a>不約而同指出，可能與Windows 10 1809版微軟更動的權限配置有關，自該版本之後的Windows都會受到影響。而這樣的推論也得到微軟的證實。</p> <p>上述漏洞的發現，微軟亦於7月20日發布安全通告，並於隔日提出緩解措施。該公司建議使用者透過以下步驟緩解：包含刪除磁碟區陰影複製的副本資料、刪除系統還原的相關資料，以及限縮對於%windir%\system32\config資料夾內容的存取，來防範攻擊者濫用CVE-2021-36934。</p> </div></div></div>
2021/7/23 12:40作者周峻佑https://www.ithome.com.tw/news/145812
【DBS客座文章】銀行如何打造出聰明又有韌性的營運流程
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/guest-post/145774"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/dbswei_yun_jie_ti_tu_.png?itok=MKuhW9yj" width="960" height="420" alt="" /></a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h4><strong>本文為<span style="color:#FF8C00;">【星展銀行授權轉載文章】</span><br /> 譯註：文中所稱之星展銀行或星展皆係指新加坡星展銀行，所提及之金融服務亦為新加坡國內之服務<br /> 作者：Alok Kumar 資料科學及資料分析主管／新加坡星展銀行資訊暨營運處 / 翻譯：石平<br /> 原文出處：<a href="https://medium.com/dbs-tech-blog/building-smart-and-resilient-operations-8b6c8b00e8de">Building Smart and Resilient Operations</a></strong></h4> <p>比爾蓋茲90年代中期曾說「銀行的服務是必須的，但銀行卻不是。」星展銀行提前預見了銀行業將面臨的改變，因此，將注意力轉移到如何使星展在客戶旅程（customer journey）中成為一間「隱形銀行」。營運模式成了一個驅動金融服務體驗的關鍵引擎，勢必在打造「無縫」、「無痛」金融服務中扮演重要角色。</p> <h3><span style="color:#FF8C00;"><strong>營運在金融服務中的角色變化</strong></span></h3> <p>過去的數十年中，銀行從傳統只是提供金融商品，變成要打造更客製化和協作式的金融服務。營運流程的角色，在兩股主要推力驅使下被迫不斷調整與改變，其一是2008年金融海嘯後廣大民眾對銀行的負面觀感，其二是自大蕭條時代以來資訊科技的快速成長。</p> <p>欲將業務流程變得既聰明又有韌性，如何善用數據驅動將是一大關鍵，才能不會只是回應客戶要求，能更進一步持續不斷地參與整段客戶服務旅程。近期以來，星展銀行自發式數位化改變（front-to-back digitalization），讓星展得以提供更多主動式、預測式的服務，也造就了智慧業務和企業營運的未來。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%201%20A%20Shifting%20Paradigm.png" /></p> <p><strong>圖一思維的轉換－金融服務中維運流程角色的轉變</strong></p> <h3><span style="color:#FF8C00;"><strong>打造智慧營運流程</strong></span></h3> <p>星展銀行智慧營運流程由三大區塊所構成：</p> <p>1. 由大環境趨勢所驅動的智慧營運流程</p> <p>2. 數據架構及數據賦能</p> <p>3. 將資料分析導入營運流程中</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Table%201%20Trends%20Driving%20Smart%20Operations.png" /></p> <p><strong>表一驅動智慧營運流程的大趨勢</strong></p> <p>從表一中不難發現眾多的科技趨勢都紛紛為改變提供了機會。星展銀行透過在流程中的各處導入數據應用，藉此重新構思金融業務和營運流程。早已走過多年數位化歷程的星展，如今再加上了預測性分析的能力，將能夠自信地提供超個人化的服務（hyper-personalised servicing）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%202%20The%20Journey%20to%20Smart%20Operations%20with%20Data.png" /></p> <p><strong>圖二智慧業務流與數據應用的旅程</strong></p> <p>從資料架構的角度來看，星展銀行在不同的營運流程中蒐集了各種數據資料，並配置了一座流程中控塔，以利縮短數據資料和商業邏輯之間的鴻溝，再運用最新的資料科學技術將這座數據寶山的價值最大化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%203%20Data%20Architecture%20for%20Smart%20Operations.png" /></p> <p><strong>圖三智慧業務流的資料架構</strong></p> <p>智慧營運流程願景實現的關鍵，可以歸功於星展銀行不斷持續將資料分析導入日常營運中。其中一項成功案例，有個分析式的營運資源管理系統，可以對各種資源的需求進行管理、預測和規劃管理。透過這樣的系統，業務主管們能夠靠著利用深度學習技術的預測引擎，來掌握每日的營運狀況，也才能夠主動調配資源以支應即將到來的各種大量交易</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%204%20Data%20Driven%20Operating%20Model.png" /></p> <p><strong>圖四於流程各處導入資料分析－數據驅動之流程模型(Data-Driven Operating Model)</strong></p> <h3><strong><span style="color:#FF8C00;">以數據驅動業務流程</span></strong></h3> <p>星展銀行的營運流程現今主要靠三大「資料主軸」來支撐：</p> <p>1. 營造內部數據驅動文化</p> <p>2. 流程中控塔加速將資料轉成洞察</p> <p>3. 賦予進階資料分析能力</p> <h3><span style="color:#FF8C00;"><strong>營造內部數據驅動文化</strong></span></h3> <p>組織內部文化的改變，是星展轉型成為數據驅動銀行的必要條件，尤其是在仍舊需要大量「傳統」SOP流程必須持續運作的營運領域上，更是重要。星展銀行採用一套「為資料而生（design-for-data）」的設計方法來設計各項新系統，找來資料科學家、資料分析師，以及一個特別的角色「資料翻譯師」，共同組成工作小組，資料翻譯師在解決商業問題和提供數據產品的過程中扮演協作角色。在這種新組成的工作小組中，會有不少數據新手（業務端用戶）的加入，他們需要先學會資料思維的方法，再運用在解決各種商業問題上；而資料翻譯師則要負責縮短使用者和資料專家們之間的距離；並且由資料科學家及資料分析師們來合作探索及建立機器學習模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%205%20Forging%20a%20Data-Driven%20Culture.png" /></p> <p><strong>圖五營造內部數據驅動文化</strong></p> <h3><span style="color:#FF8C00;"><strong>流程中控塔加速將資料轉成洞察</strong></span></h3> <p>數據資料和商業價值之間的距離是第二個資料主軸所著墨的重點。藉由流程中控塔，星展銀行得以一覽各項重要指標的全貌，並由此中產生出更快、更好的行動方案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%206%20Speed%20to%20Insights%20with%20Operations%20Control%20Tower.png" /></p> <p><strong>圖六流程中控塔－加速將資料轉成洞察的過程</strong></p> <h3><span style="color:#FF8C00;"><strong>賦予進階資料分析能力</strong></span></h3> <p>最後，星展銀行同時也善用資料科學的力量來提供超個人化服務，並組建足以應付各種未來場景的工作團隊（future-ready workforce）。目前星展已成功推出利用顧客科學(customer science)來打造的個人化服務，該服務能預測客戶所需，並將各項金融服務予以排序，同時也將所產生的洞察傳送到各個星展銀行內部的服務平台。另一個例子為前文中所提到的基於資料分析的資源管理系統</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%207%20Customer%20Journey%20with%20Smart%20Operations.png" /><br /><strong>圖七智慧業務流與客戶旅程</strong></p> <h3><span style="color:#FF8C00;"><strong>結語</strong></span></h3> <p>透過這些聰明、又有韌性的營運流程，星展銀行正持續打造一個更加數據驅動的營運模型，這將伴隨著星展繼續實踐「生活隨興，星展隨行」的承諾。</p> <p> </p> <p><strong>免責聲明和重要通知</strong></p> <p>本文章(英文)係由DBS LTD提供並經星展銀行(台灣)(下稱｢本行｣)翻譯為中文，僅供參考，本行及DBS LTD不對使用本文章所引起之任何損失或損害負任何責任。如您有任何疑問或欲參考本文章而為行事之依據，本行建議您諮詢您的專業顧問之意見，以保障您的權益。非經本行之事前書面同意，任何人不得對本文章為複製、轉載、引用、抄襲、修改、散佈或為任何其他方式之使用</p> </div></div></div>
2021/7/23 11:27作者星展銀行https://www.ithome.com.tw/guest-post/145774
雲端桌面體驗需提升到更高層次
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼6月微軟釋出新版個人端作業系統Windows 11，預計在年底推出的消息，到了7月中，他們又宣布雲端個人電腦服務Windows 365，將於8月2日正式登場。令人好奇的是，他們所謂的Cloud PC，從本質上來看，到底與現在系統軟體廠商與公有雲服務業者提供的桌面雲有何不同？</p> <p>以微軟Azure而言，2018年9月宣布將推出Windows Virtual Desktop，隔年正式在全球各地上線營運，而經過兩年的發展，今年6月初，他們宣布這項雲端服務改名為Azure Virtual Desktop，而在7月又另外推出Windows 365。若想知道兩者之間有何差異，可參考我們的<a href="https://www.ithome.com.tw/news/145637" target="_blank">記者黃郁芸</a>與新聞<a href="https://www.ithome.com.tw/news/145689" target="_blank">編譯人員</a>的報導，最主要的區分，可從計價方式來比較，Azure Virtual Desktop依照使用量，而Windows 365是根據使用人數。</p> <p>而在Azure網站上的介紹當中，也提到它們的不同。以Azure Virtual Desktop來說，是雲端虛擬桌面基礎架構（Cloud VDI），著重在使用彈性，能提供最大的控制能力，用戶可選配Citrix與VMware等兩種VDI的整合，架構是多個連線階段的桌面與遠端App串流操作。</p> <p>至於Windows 365是完整的軟體即服務（SaaS）解決方案，著重在簡易使用，提供給用戶的是個人化Windows桌面，可搭配多種「熟悉」的管理與部署工具──Azure Active Directory Identity、Microsoft Endpoint Manager、Microsoft Defender。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/windows%20365-2.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>從現在公布的資訊來看，不論Azure Virtual Desktop或Windows 365，用戶面對的仍是一臺臺虛擬機器，因此，降低使用門檻與管理負擔，可能是大家所關注的。長期觀察微軟動向的媒體工作者Mary Jo Foley表示，需關注這項解決方案的複雜度與費用能否被接受，而因主持SuperSite For Windows網站而聞名的Paul Thurrott表示，就像Office 365剛推出時，微軟如今也強調Windows 365簡化管理複雜度，但企業並不想花太多時間在系統更新作業上……看來，他對於能否簡化有些擔憂。</p> <p>關於兩者的比較，有個專作Azure桌面虛擬化雲端服務的代管服務商Nerdio，公布了細部的分析，他們在當中的列表寫道：在運算服務的部份，Azure Virtual Desktop是由用戶管理的，Windows 365是由微軟代管，用戶不會直接管理虛擬機器。因此，或許我們可以期待，微軟Azure能幫Windows 365的用戶，處理底層作業系統更新的一切事宜。</p> <p>除了作業系統的配置，另一個關係企業能否採納的關鍵是應用程式的部署，以及桌面組態、文件檔案的遷移，該如何著手。以微軟目前公布的示範情境來看，都是以新的使用者為主，例如新進員工、實習人員，並未提及如何讓既有員工轉移資料，不過，關於這樣的需求，我們不僅用來質疑Windows 365，也想反問所有桌面雲（DaaS）軟體系統或公有雲服務，真的夠便利好用嗎？</p> <p>或許有人會問，持續一年多的全球企業與組織大規模實施居家辦公，各界採用這類解決方案的意願，應該顯著提升吧？我們在去年曾請教各大系統廠商，他們均表示無明顯擴大使用的狀況。以企業內部建置的系統而言，像是Citrix與VMware，都有相當完整的產品線，但我們未看到買氣提升的現象；這些廠商也與公有雲合作，但似乎並未產生顯著的市場迴響。公有雲業者也提供桌面雲的選擇，但似乎並未受到很多企業青睞況。</p> <p>顯然，市場上雖有不少桌面雲的選擇，但受到關注的程度遠低於其他IT應用，到底是價格高昂、複雜，讓人退避三舍，還是操作、管理不夠方便？</p> <p>而如今微軟Windows 365推出，能否拉抬各界討論度、刺激買氣呢？恐怕各大廠商還是必須再精進，若能夠提供一致的桌面操作體驗，卻不需要繼續處理煩人的系統管理與更新，同時還能讓應用程式組態與文件做到無縫轉移，或許大家評估與採用的意願才會提高。單是提供一臺臺乾淨可用的虛擬機器是不夠的，能夠大幅減輕終端使用者與IT人員負擔，可能才是徹底實現數位辦公空間（Digital Workspace）的關鍵</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/windows-365">Windows 365</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF%E6%A1%8C%E9%9D%A2">雲端桌面</a></div><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div></div></div>
2021/7/23 07:00作者李宗翰https://www.ithome.com.tw/voice/145816
Google更新BI平臺Looker加入擴充套件框架與Azure支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/data-analytics/google-clouds-looker-provides-way-to-create-new-data-experiences">Google更新其商業智慧分析平臺Looker</a>，改進了入口網站和擴充套件框架，同時還提供了在微軟Azure上託管的選項。Google在2020年完成Looker的收購，Looker讓用戶使用LookML建模語言，定義資料庫中資料的關係，來探索隱藏在資料中的訊息。</p> <p>Google發表了一系列Looker 21新功能，使得用戶能夠以更豐富的方式來分析資料，其中一項重點便是擴充套件框架，現在這個框架已經成為Looker開發者入口頁面的一部分。該開發框架能減少建構資料應用程式和工具的麻煩，簡化建置網頁應用程式繁瑣的部分。使用擴充套件框架開發的自定義應用程式和工具，可以從Looker中存取，該框架會處理託管、身份驗證、授權和API存取等工作。</p> <p>不少企業將資料儲存在多個資料庫中，分布於本地端和各個雲端供應商，Looker 21更新擴大公有雲平臺的支援，現在除了Google雲端和AWS之外，用戶還可以將Looker託管至Azure上，利用這些雲端基礎設施，以提高系統效能、整合雲端部署，並且滿足法遵要求，甚至是將Looker融入到其雲端戰略中。</p> <p>除了擴充套件框架以及增加支援Azure外，Looker新功能還有API瀏覽器，讓用戶不需要編寫程式碼，就能夠探索Looker API和執行複雜的API呼叫。新的過濾器元件，則可讓開發人員將Looker中任意儀表板上的過濾器，帶至嵌入式應用程式和擴充套件上。</p> <p>Google還發布了雲端成本管理解決方案，供用戶開箱即用，在三大雲端平臺上運作報告和商業智慧功能，另外，現在用戶也可以在手機上，使用Looker行動應用程式，隨時獲得資料分析結果。</p> </div></div></div>
2021/7/22 23:27作者李建興https://www.ithome.com.tw/news/145808
Visual Studio 2022 for Mac預覽版來了！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在上個月推出了Windows平臺的Visual Studio 2022預覽版，而現在，微軟也針對Mac用戶，推出第一個<a href="https://devblogs.microsoft.com/visualstudio/join-the-visual-studio-2022-for-mac-private-preview/">Visual Studio 2022 for Mac的預覽版</a>，開發者現在已經可以下載嚐鮮，而這個版本能夠與之前的Visual Studio for Mac共存，目前提供免費使用。</p> <p>微軟強調Visual Studio 2022 for Mac的更新重點，在於這是專為Mac打造的.NET IDE，使用快速順暢的macOS UI，不只提高IDE的效能，還能減少崩潰的情況發生，還充分利用了macOS中內建的輔助功能。</p> <p>微軟UI層進行了大幅度的修改，使得Visual Studio 2022 for Mac能夠使用原生UI，官方提到，這項更新牽涉Visual Studio 2022 for Mac的每一個部分，因此預覽的範圍會比過去其他版本更大，他們目前還在測試和改善穩定性和效能。</p> <p>移植Visual Studio for Mac使用原生macOS UI，這個大工程讓微軟修復了100多個先前有關於效能、可靠性和品質相關的問題，而且透過使用原生macOS UI，IDE剛好可以更好地利用macOS內建的輔助技術，包括支援無障礙功能中的高對比度主題，或是更直覺的VoiceOver體驗。Visual Studio for Mac採用新的外觀設計，明顯的變化像是頁腳狀態列、文件和工具視窗的新標籤頁，以及經更新的明亮與深色主題。</p> <p>微軟也強調，在新版本中，Visual Studio和Visual Studio for Mac之間的開發者體驗會更加一致，他們更改了IDE選單和術語使用，使得開發人員也能在Visual Studio for Mac中，獲得與在Windows中開發程式一致的操作感受。</p> </div></div></div>
2021/7/22 23:30作者李建興https://www.ithome.com.tw/news/145809
Google釋出安全營運解決方案助企業現代化內部安全營運
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布了<a href="https://cloud.google.com/blog/products/identity-security/modernizing-soc-introducing-autonomic-security-operations">Autonomic Security Operations</a>，這是一個規範性的解決方案，能夠引導用戶現代化其安全營運。該指引包含了產品、技術內容和和加速計畫等各部分，供用戶能夠使用安全分析平臺Chronicle，以及Google的深度安全營運專業，而Chronicle也與Looker和BigQuery進一步整合，使分析師可以更快速地從大量安全資料中，發現安全威脅。</p> <p>Google提到，安全營運關乎企業處理安全問題的方式，以及設計工作流程和實踐安全的方法。而解決方案Autonomic Security Operations旨在協助安全營運團隊提升其能力與技術，以帶動整個組織進行變革。Google雲端資訊安全長Phil Venables提到，在數位世界中的安全營運，需要面對複雜的對手，Autonomic Security Operations不只能夠增強企業提升保護能力的動力，並且在轉型的過程，持續領先威脅。</p> <p>Autonomic Security Operations由方法、實踐和工具組合而成，供企業利用敏捷和自動化的威脅管理方法來抵禦攻擊，Google指出，企業的安全營運中心，面臨警報疲勞、功能孤立、資源短缺和無止盡的網路威脅。要實現自主安全營運，安全營運團隊成員需要轉變工作型態，使工作本身成為防禦機制，就像是DevOps所提供的能力一樣。</p> <p>Google發布Autonomic Security Operations，來引導企業發展自主安全營運，在產品面上有Chronicle、Looker和BigQuery，並整合支援EDR和SOAR的廠商，依照Network Forensics & Telemetry藍圖執行，實踐內容則有Security Detection Field手冊和SOC Transformation白皮書等，該解決方案也包含了一些儀表板、規則和使用者案例，企業可以加入加速工作坊來加快實踐腳步，或是由Google合作夥伴協助，來建構屬於每個企業自己的自主安全營運。</p> <p>除了公布Autonomic Security Operations，Google也宣布<a href="https://cloud.google.com/blog/products/data-analytics/security-operations-get-more-efficient-with-google-cloud">整合Chronicle、Looker和BigQuery</a>，讓用戶可以在安全營運上，以更快的速度反應，並且更大規模的實作。Chronicle是Google的雲端安全分析平臺，建立在Google的基礎設施之上，這項整合提供用戶好用的工具集，安全分析師能夠創建視覺化工作流程，來提高安全營運中心的效率和成果。</p> <p>由於Chronicle與商業智慧分析平臺Looker整合，因此能夠獲得新的視覺化功能，支援大量安全使用案例，包括儀表板、報告、法遵和資料探索等，這項功能開箱即用，用戶可在Looker嵌入儀表板上查看5個內容類別的資訊。Chronicle還與BigQuery整合，而這讓分析師可以更快從大量安全資料發現問題，藉由將PB級安全遙測資料匯入到BigQuery中，進行更複雜的分析。</p> </div></div></div>
2021/7/22 22:45作者李建興https://www.ithome.com.tw/news/145799
美國：中國曾鎖定23家美國油管公司發動攻擊，得手13家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在美國、歐盟、英國及北約組織<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2021/07/19/the-united-states-joined-by-allies-and-partners-attributes-malicious-cyber-activity-and-irresponsible-state-behavior-to-the-peoples-republic-of-china/" target="_blank">聯合指控中國政府涉及全球的網路攻擊事件</a>之後，<a href="https://www.ithome.com.tw/news/145798" target="_blank">法國即對外宣稱</a>多個法國組織受到中國駭客APT31的攻擊，<a href="https://us-cert.cisa.gov/ncas/alerts/aa21-201a" target="_blank">而美國則說</a>，由中國政府支持的駭客，在2011年至2013年間，鎖定美國的23家天然氣或石油管路公司發動攻擊，且成功危害了其中的13家。</p> <p>根據美國聯邦調查局（FBI）與美國網路安全及基礎設施安全局（CISA）的調查，當時中國駭客發動了一場大規模的魚叉式網釣暨入侵行動，目標對象為美國的天然氣與石油管路公司，當時駭客成功入侵了13家業者，3家攻擊未遂，另外7家則不確定遭到入侵的深度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-IOCs%20from%20Chinese%20Gas%20Pipeline%20Intrusion%20Campaign.png" style="width: 572px;" /></p> <p>駭客率先祭出的是夾帶惡意檔案的網釣郵件，同時展開社交工程攻擊，企圖掌握資產所有人的機密資訊，例如有一家企業的工程部門接到多通電話，對方號稱是來自於知名資安業者，希望能了解該公司最近的網路安全部署，但當工程師回撥時，號碼卻是不通的。</p> <p>不過，該次的攻擊活動主要目的為蒐集資訊，因為駭客於系統上搜尋了各種文件、員工列表、帳號/密碼、撥接存取資訊，以及系統手冊等。此外，有個受害者設置了誘餌，同時放置了資料採集與監控（SCADA）檔案，以及另一個攸關公司機密資訊的檔案，結果前者在15分鐘之內就被盜走了，後者卻直接被駭客忽略。</p> <p>這使得FBI與CISA相信駭客只是想取得存取工業控制系統（ICS）的能力，以用來執行未來的行動，並非為了竊取智慧財產資訊。</p> <p>總之，這類的攻擊行動儘管防不勝防，但CISA與FBI依然建議各大組織應強化IT/企業網路的安全性，隔離IT與ICS網路的運作，實現網段之間的邊界安全，在ICS環境中遵循最佳實作，以及分開存放備份等。</p> </div></div></div>
2021/7/22 23:05作者陳曉莉https://www.ithome.com.tw/news/145814
科學家開發新的深度學習模型，在10分鐘內就可完成蛋白質結構預測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自<a href="https://science.sciencemag.org/content/early/2021/07/19/science.abj8754">華盛頓大學的研究人員</a>，開發了一個強大的模型，可以使用一般遊戲用電腦，在10分鐘之內，計算出蛋白質結構，而這項研究有望可以加速藥物開發，為治療癌症等疾病提供解決方案。</p> <p>相關的蛋白質研究一直持續進展中，最近的一項研究，是去年11月Alphabet旗下的DeepMind研究人員，使用人工智慧從蛋白質的氨基酸序列，預測了蛋白質的結構，解決了科學界數十年來的問題，而現在相關研究再次推進。</p> <p>蛋白質存在於身體每個細胞中，在血液凝固、激素調節、免疫系統和組織修復等過程發揮作用，蛋白質由長鏈氨基酸組成，並且根據作用力折疊成為3D形狀，蛋白質的形狀不同則功能不同。</p> <p>華盛頓大學研究人員建立出RoseTTAFold模型，該模型為一個三軌神經網路，可以同時考慮蛋白質序列模式、氨基酸相互作用和可能的3D結構。研究團隊使用不連續的蛋白質片段來訓練模型，這些片段具有260個獨特的氨基酸元素，藉由利用PyTorch深度學習框架，來推斷蛋白質的化學組成以及摺疊結構。</p> <p>論文提到，當初DeepMind使用了數個GPU運算數天，才得以做出單次預測。而這個新研究，RoseTTAFold端到端版本在RTX 2080 GPU上，則只需要大約10分鐘就能替少於400個殘基蛋白質生成骨架座標。這項工具不只可以加速預測蛋白質，也能夠使用有限的輸入進行預測，或是預測由數種蛋白質組成的複雜物質。</p> <p>研究成果已在網路上開放，研究人提供了公開伺服器，供任何人提交蛋白質序列，目前已經收到外界上傳的4,500種蛋白質。另外，原始碼也已經在GitHub釋出，供其他研究人員取用。</p> </div></div></div>
2021/7/22 23:20作者李建興https://www.ithome.com.tw/news/145804
Google Maps在全球1萬個城市推出交通運輸擁擠度預測服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/maps/new-normals-with-google-maps/" target="_blank">Google本周宣布</a>，Google Maps現在已可預測來自全球100個國家、超過1萬個城市的大眾運輸擁擠度預測，協助使用者判斷是否要搭乘即將到來的公車或地鐵，還是要等下一班。</p> <p>其實Google Maps早在2019年就提供大眾運輸的相關資訊，包括巴士是否會準時到達，或者是車上是否會有座位等，但去年6月為了配合各國政府因應疫情而呼籲民眾應保持社交距離的活動，Google Maps簡化了使用者貢獻擁擠程度的流程，額外提供車站的人潮資訊，而現在則是隨著人們重返大眾運輸，讓Google Maps決定擴大相關服務的範圍。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Transit_Crowdedness_Predictions.gif" style="width: 228px;" /></p> <p>Google表示，與去年同期相較，在Google Maps上查詢大眾運輸路線的數量增加了50%，顯示人們正在重新使用大眾運輸，而且不管疫情與否，相信乘客都希望有位子可以坐或是不要搭上太擠的車廂。</p> <p>Google Maps上的大眾運輸人潮擁擠度的預測主要是來自於乘客的貢獻，再加上全球各個運輸線的歷史紀錄，並以人工智慧進行預測，因此，它不僅能得知現況，也能預測某個時段的擁擠度。</p> <p>當Google Maps用戶搭上公車或地鐵時，就能對所處車廂的擁擠度作出貢獻，回報給Google，Google就能推測不同國家或城市的大眾運輸狀況，例如在美國搭地鐵時，整體來說早上7~8點是沒有位子的，通常要到9點才會有座位，下午則是在3點時車廂最空。</p> </div></div></div>
2021/7/22 19:22作者陳曉莉https://www.ithome.com.tw/news/145813
美國聯邦交易委員會將強力推動維修權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（Federal Trade Commission，FTC）本周三（7/21）以5:0的票數，<a href="https://www.ftc.gov/news-events/press-releases/2021/07/ftc-ramp-law-enforcement-against-illegal-repair-restrictions" target="_blank">無異議地通過</a>將加強執法來捍衛消費者的維修權，鼓勵民眾檢舉違反維修權利的企業與商家。</p> <p>FTC在今年5月向美國國會提交了一項報告，指出有不少製造商利用不同的手段，來限制消費者或第三方業者的產品維修能力，包括讓裝置的零件很難被置換，或是限制零件與工具的取得，還有業者不肯釋出診斷軟體。FTC認為，這些限制不僅加重了消費者與第三方業者的負擔，也限制了第三方維修業者的競爭能力。</p> <p>有鑑於美國在1975年頒布的《Magnuson-Moss Warranty Act》保固法令中，禁止業者要求產品保固透過使用特定的服務供應商，除非獲得FTC的豁免，再加上FTC認為針對維修的限制可能違反反托拉斯法令，FTC決定強力推動相關執法。</p> <p>新上任的FTC主席Lina Khan指出，對維修的限制不僅會增加消費者的成本，抑制創新，影響獨立維修業者的商機，還會帶來不必要的電子浪費，延誤維修時機，以及破壞彈性，而FTC將透過一系列的工具來杜絕這些非法的維修限制。</p> </div></div></div>
2021/7/22 18:28作者陳曉莉https://www.ithome.com.tw/news/145811
Cloud周報第113期：新加坡政府今年編27億新幣開發數位服務，逾4成會是雲端應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2021/07/15～2021/07/21）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加坡政府 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> IT預算 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 雲端開發 </span></strong> </p> <p><span style="font-size: 22px;"><strong>新加坡政府持續大力開發雲端應用並逐步搬遷系統上雲，目前已有600系統執行於雲端</strong></span></p> <p>新加坡科技局（GovTech）日前發布了一份2021年政府IT預算報告，編列27億新幣開發數位服務，其中44%應用會採雲端資源開發。新加坡政府預計今年ICT花費將達38億新幣，相比2020年，提高近一成的預算費用，涵蓋持續大力發展數位化服務，且有多項服務會利用雲端資源開發，像是供民眾提交上訴書的司法系統。新加坡科技局表示，在雲端開發應用可提高敏捷性和創新性，從而更快地提供民眾和企業新的公共服務。</p> <p>截至今日，新加坡政府已有近6百個系統，執行於雲端環境，且目標2023年要將7成較不敏感的政府系統，從本地端基礎設施中搬遷上雲端。新加坡科技局表示，採用雲端基礎架構可提高資源運用的彈性和可擴充性，當服務面對高需求量時，可提高服務的效能。<a href=" https://www.tech.gov.sg/media/media-releases/2021-06-23-increased-ict-spending-in-fy2021-to-accelerate-government-digitalisation">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 區塊儲存服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 磁碟區服務 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Amazon EBS加入新磁碟區規格io2 Block Express，可支援超大規模I/O密集應用</strong></span></p> <p>AWS區塊儲存服務Amazon EBS正式新增儲存服務規格io2 Block Express，特色是透過新的儲存伺服器架構，以及新的網路堆疊架構，從而實現更高的效能，以及更低的存取延遲。io2 Block Express的單一磁碟區大小上限達64 TiB，IOPS效能最高達25.6萬次，而最大吞吐量則達4千 MiB/s。io2 Block Express不管是吞吐量、IOPS和容量，都是io2磁碟區的4倍，可支援超大規模I/O密集的應用程式和資料庫。</p> <p>不過，io2 Block Express磁碟區仍有一些限制，像是企業無法修改io2 Block Express磁碟區的大小或是預配置的IOPS，而且不支援快速快照恢復功能。AWS建議企業採用新規格前，初始化磁碟區，以確保獲得完整的效能。目前新服務規格在俄亥俄州、北維吉尼亞州、法蘭克福，以及亞洲的新加坡和東京等AWS地區，提供使用。AWS計畫讓所有類型的EC2執行實例，都能連接到EBS io2 Block磁碟區。<a href="https://aws.amazon.com/blogs/aws/amazon-ebs-io2-block-express-volumes-with-amazon-ec2-r5b-instances-are-now-generally-available/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 碳排放追蹤 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 雲端服務 </span></strong></p> <p><strong style="font-size: 22px;"><strong>微軟發布匯總企業碳排放資料的Microsoft Cloud for Sustainability服務</strong></strong></p> <p>微軟日前在全球合作夥伴年度大會Inspire上，發布新的雲端服務Microsoft Cloud for Sustainability，供企業量測、掌握和管理自身的碳排放資料，以採取可量測改善數值的行動，朝永續發展的目標邁進。新服務會提供多項SaaS工具，來協助企業匯總碳排放相關資料，來衡量自身永續發展表現，像是提供資料連接器，建立可自動收集企業即時碳排放資料的資料流，取代企業以往多手動匯入各類碳排放資料到表格的方式，提升作業效率。</p> <p>另外，新服務也會提供分析工具，讓企業進一步分析碳排放資料，進一步將洞察轉化為更有效的減碳行動。對於資訊長來說，新服務更可讓他們掌握來自雲端環境、設備和應用程式產生的IT碳排放資訊，並將所有碳排放資料源都匯總到單一視圖中，以利追蹤、報告。微軟預計下半年提供Microsoft Cloud for Sustainability的公開預覽版。<a href=" https://blogs.microsoft.com/blog/2021/07/14/microsoft-cloud-for-sustainability-empowering-organizations-on-their-path-to-net-zero/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料湖服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料貼標 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>AWS正式推出醫療業專用資料湖服務HealthLake，協助醫院整理、分析分散的醫療資料</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/3(35).png" style="width: 600px; height: 197px;" /></strong></strong></p> <p>AWS正式推出醫療產業專用的資料湖服務Amazon HealthLake，符合健康照護資料可攜式規範HIPAA，能整合醫療院所、藥廠等各個孤立資料源，以及不同格式的資料到AWS資料湖，來簡化醫療資料進行機器學習分析前，需進行的資料整理工程。醫院從本地端複製資料上AWS後，通過Amazon HealthLake，可以利用訓練過、能理解醫學詞彙的機器學習演算法，辨識臨床資料，並為資料加上標註，以及為事件按時序加索引，再加入標準化標籤，以方便未來用於資料分析及搜尋。</p> <p>此外，Amazon HealthLake會按FHIR格式架構儲存這些醫療資料，以便醫院和其他單位或第三方應用分享，也方便病患查詢電子病歷。目前已開始使用Amazon HealthLake的企業戶包含電子病歷軟體大廠Cerner、醫療科技業者Ciox Health及醫院Konica Minolta Healthcare等。AWS也建議企業搭配其他AWS工具使用Amazon HealthLake，像是互動報表Amazon QuickSight、SageMaker等。<a href="https://press.aboutamazon.com/news-releases/news-release-details/aws-announces-general-availability-amazon-healthlake">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> Azure VMware解決方案 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 磁碟池 </span></strong></p> <p><strong style="font-size: 22px;"><strong>Azure VMware解決方案整合磁碟池功能，供單獨擴充儲存容量</strong></strong></p> <p>微軟發布可用於Azure VMware解決方案的磁碟池預覽版，該功能以Azure磁碟儲存服務作為基礎，供Azure上執行的VMware工作負載，能夠使用可擴充的雲端儲存空間。磁碟池是一項Azure服務，是添加成儲存目標的低層磁碟，提供iSCSI端點介面，讓企業能夠透過Azure磁碟儲存服務，取得高效能且持久的區塊儲存。企業現可以將Azure VMware解決方案連接到磁碟池，並將磁碟添加為VMware的datastore儲存空間。</p> <p>這項磁碟池整合功能除可支援資料密集工作負載外，企業也可以將其用在災難恢復原的建置需求上。企業可以利用磁碟池部署只有3個節點的最小叢集，只要磁碟池完成設置並連接到Azure VMware解決方案叢集，就可以使用VMware站點恢復管理器等工具，將vSphere Replication從企業就地部署VMware SDDC，複製到叢集附加的磁碟池，並根據保護工作負載的需求，調整需要的儲存空間。<a href="https://azure.microsoft.com/zh-tw/blog/deliver-scalable-costeffective-disk-storage-for-azure-vmware-solution/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 入侵偵測 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 雲端安全 </span></strong> </p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">Google推出雲端入侵偵測服務Cloud IDS，可偵測惡意程式、間諜軟體等</span></strong></strong></p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1(92).jpg" style="width: 600px; height: 458px;" /></span></strong></strong></p> <p>Google雲端近日推出雲端入侵偵測服務Cloud IDS，可偵測惡意程式、間諜軟體、外部C&C伺服器的連線攻擊，及其他網路層威脅。這個新系統是Google與安全廠商Palo Alto合作開發的服務，初步整合第三方分析平臺包含Splunk Cloud Platform、Exabeam Advanced Analytics、The Devo Platform和 Palo Alto Networks Cortex XSOAR等，之後也會整合Google雲端自己的安全分析平臺Chronicle和Security Command Center。</p> <p>企業完成Cloud IDS的部署後，可利用Google雲端自訂流程功能，設定收到Cloud IDS發出的警示後，需採取哪些回應行動。此外，新服務可整合進Google的安全資訊與事件管理（SIEM），還有協同與自動化回應（SOAR）服務，供企業統一管理。目前Cloud IDS處於預覽版階段。<a href=" https://cloud.google.com/blog/products/identity-security/detect-complex-network-threats-with-cloud-ids">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 容器部署 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 應用程式建立 </span></strong></span></p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">Azure Migrate容器化工具現支援企業部署容器到Azure App </span></strong></strong></p> <p>微軟宣布更新容器化工具App Containerization，現可支援企業將容器部署到Azure App服務。App Containerization是Azure Migrate服務的一部分，讓企業不需撰寫程式碼，就可以將Windows伺服器上執行的.NET，或是將Linux機器Apache Tomcat上執行的Java網頁應用程式，打包成容器映像檔，再部署到Azure Kubernetes服務中。現在除了支援Azure Kubernetes服務，App Containerization工具還能支援企業將容器部署到Azure App服務，協助建立、部署和縮放網頁應用程式。<a href="https://azure.microsoft.com/zh-tw/blog/accelerate-your-azure-migration-and-modernization-journey-with-expended-programs-and-offers/">（詳全文）</a></p> <p>圖片來源／新加坡政府、AWS、Google雲端</p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></span></strong></p> <p>1.NEC宣布搬遷本地端IT環境到Azure，來加速數位化工作場所創新和生產力轉型<a href="https://www.nec.com/en/press/202107/global_20210713_02.html">（詳全文）</a></p> <p>2.Google雲端為網頁應用程式防火牆Cloud Armor加入適應性保護，保護企業應用程式和服務免受第7層DDoS攻擊<a href=" https://cloud.google.com/blog/products/identity-security/improve-your-ddos--waf-defense-with-new-cloud-armor-features">（詳全文）</a></p> <p>3.微軟宣布在Azure提供Windows Server 2008/R2和2012免費安全更新服務<a href="https://azure.microsoft.com/zh-tw/blog/accelerate-your-azure-migration-and-modernization-journey-with-expended-programs-and-offers/">（詳全文）</a></p> <p>4.IBM Q2財報：雲端運算業務營收達70億美元，成長幅度約13%<a href="https://newsroom.ibm.com/2021-07-19-IBM-Reports-2021-Second-Quarter-Results">（詳全文）</a></p> <p>資料來源：iThome整理，2021年7月</p> </div></div></div>
2021/7/22 16:57作者黃郁芸https://www.ithome.com.tw/news/145806
Fintech周報第190期：新加坡金融管理局與法國央行合作，完成數位貨幣跨境支付與結算試驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0717～0723</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 央行數位貨幣 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 跨境支付 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">新加坡金融管理局與法國央行合作，完成數位貨幣跨境支付與結算試驗</span></strong><br /><span style="vertical-align: top;">新加坡金融管理局（MAS）與法國中央銀行（BdF）近期宣布，成功完成使用央行數位貨幣（CBDC）跨境支付與結算的試驗。該試驗由摩根大通的區塊鏈部門Onyx提供技術支持，在新加坡與法國的通用網路上模擬多個CBDC（multiple CBDCs，m-CBDC）的跨境交易。兩家央行表示，此作法可能會顛覆目前代理銀行的模式，使銀行能夠跨單一共享分類帳進行海外交易。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">跨境支付目前依賴於代理銀行安排，受制於外匯匯率透明度有限、支付基礎設施的營運時間有限，以及因為時區差異而造成貨幣結算延遲。為了因應這些挑戰，該試驗使用了一個通用的m-CBDC網路，運用自動化做市和流動性管理功能，目的是促進24X7小時即時跨境支付。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">該試驗模擬了新加坡元CBDC與歐元CBDC的跨境與跨貨幣交易，並使用基於Quorum技術的區塊鏈進行，並使用智能合約，根據即時的市場交易與需求，自動化管理歐元與新加坡元的貨幣匯率。此外，在區塊鏈網路的架構設計上，兩國的私有雲與公有雲基礎設施中，皆建立了區塊鏈節點；同時，保有兩家央行對自家CBDC發行與分配的獨立控制權。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">兩家央行表示，m-CBDC網路的驗證結果，顯示可以減少跨境交易支付鏈中涉及的代理銀行方之數量。因此，可以減少合約安排的數量、KYC等相關成本。新加坡金融管理局金融科技長Sopnendu Mohanty則表示：「建立多幣種共享分類帳基礎設施，可以讓不同國家的參與者，直接以不同貨幣進行交易。」<a href="https://www.mas.gov.sg/news/media-releases/2021/monetary-authority-of-singapore-and-banque-de-france-break-new-ground-in-cbdc-experimentation">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位人民幣 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 中國人民銀行 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">中國人民銀行揭露數位人民幣新進展，上半年交易已達345億元人民幣</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A8%E6%99%AF(1).jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">中國人民銀行近期對外公布了數位人民幣的進展，指出截至今年6月底為止，已有超過1,000萬中國民眾參與數位人民幣的測試，而這些測試建立了2,087萬個個人錢包，供自然人與個體工商戶使用，另有351萬個對公錢包，是由法人與非法人機構所建立，錢包功能則可根據使用者的需求客製化。目前，透過數位人民幣的交易筆數達到7,075萬筆，交易總額為345億元人民幣（約1,514億元新臺幣）。</p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">現階段中國境內的數位人民幣測試地區包括深圳、蘇州、雄安、成都、北京冬奧會場、上海、海南、長沙、西安、青島與大連，至今已有超過132萬個試點場景，從生活繳費、餐飲服務、交通、購物到政務服務等，以試驗數位人民幣的功能。明年2月即將在北京展開的冬奧運動會，將開放國際人士參與數位人民幣的測試，屆時當地的食、衣、住、行、育、樂及醫療等服務都將支援數位人民幣，人民銀行更計畫推出硬體錢包與錢包程式。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">該行強調，數位人民幣主要定位於現金類的支付憑證（M0），將與實體的人民幣並存，它是由人民銀行發行的基於數位形式的法定貨幣，可用來滿足中國境內的零售支付需求，管理方式與實體人民幣一致，採取中心化管理，並著重其普惠性。<a href="https://www.ithome.com.tw/news/145739">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 星展銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 企業金融 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位金融 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">星展銀行新推企業線上跨境收款追蹤服務，顧客透過網銀可即時查詢匯入款項狀態</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%E6%98%9F%E5%B1%95%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%98%9F%E5%B1%95%E9%8A%80%E8%A1%8C%E8%A8%98%E8%80%85%E6%9C%83%E6%88%AA%E5%9C%96.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">今年這波疫情為企業營運模式帶來改變，星展銀行（台灣）總經理林鑫川日前表示，從5月中開始，星展的企業顧客使用數位通路完成企業金融交易的比例，比較先前成長了將近10%。為了進一步提供企金顧客更多數位金融服務，星展銀行近期發布新一代企業網路銀行DBS IDEAL，除了強化既有的功能與服務外，同時，新推出「企業線上跨境收款追蹤服務」，企金顧客透過網銀就能即時查詢匯入款項狀態，此服務乃國內銀行業首創。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">星展銀行（台灣）環球金融交易服務處負責人陶曉昀表示，以往，企業跨境收付款的痛點是資訊不透明。因此，星展銀行與環球銀行金融電信協會（SWIFT）合作，推出企業線上跨境收款追蹤服務，以SWIFT gpi（Global Payment Innovation）inbound tracking功能，來解決這個問題。陶曉昀提到，買家匯款後，顧客就能在企業網銀追蹤款項進度，獲得即時和透明的金流資訊，改變以往追蹤跨境收款的繁複過程，提升調度資金效率、優化庫存，並建立更有效的供應鏈。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">同時，顧客可申請星展e匯通（DBS DigiDocs）服務，在網銀設定匯入款項到帳通知，當收到款項通知後，便能線上輸入申報匯入匯款性質與上傳文件，送交銀行確認，以縮短入帳時間。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，星展銀行的新一代企業網銀也強化了不少功能與服務。包括採取響應式網頁設計，自動依據用戶的裝置大小來調整網銀介面。以及，企業內部可依照不同需求與使用習慣，客製化安排網銀首頁看板資訊。另外，企業管理者可自行維護與即時調整公司網銀的使用者設定和資金授權規則，不用再通過銀行後端設定，讓企業在權限管理能更為自主。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Facebook Pay </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Shopify </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">Facebook Pay將跨出臉書平臺，首個合作對象為電商平臺Shopify</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臉書近日宣布，於2019年11月發表的Facebook Pay線上支付功能將跨出自家平臺，允許第三方整合Facebook Pay功能，首個合作對象為專門開發電子商務服務的Shopify。臉書表示，從今年8月起，舉凡使用合作平臺的美國企業都能夠把Facebook Pay當作支付選項，以加速消費者的結帳速度，除了Shopify之外，估計未來會有更多的平臺及支付服務支援Facebook Pay。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">不過，儘管臉書宣稱將把Facebook Pay直接整合在Facebook、Instagram、WhatsApp與Messenger服務中，但，迄今在包括臺灣在內的大多數市場，Facebook Pay都只支援Facebook，少數支援Instagram，只在個位數市場支援WhatsApp與Messenger。<a href="https://www.ithome.com.tw/news/145707">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Revolut </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> FinTech </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">英國Revolut完成8億美元融資，估值達330億美元</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_Revolut_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Revolut(1).png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">英國金融科技公司Revolut近期宣布，完成8億美元的E輪融資，該公司估值將達330億美元。Revolut創辦人暨執行長Nikolay Storonsky聲稱，該輪融資將使Revolut成為英國最有價值的金融科技公司。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Revolut於2015年在英國推出，以打造創新金融產品與服務聞名，提供了即時付款通知、點對點支付、貨幣交換、加密貨幣買賣等多種服務，比如推出多幣別電子錢包，或像是開發了Vault（金庫）的服務，讓用戶可以設定每月薪水要有多少自動轉到這個金庫，作為各類用途的金錢暫存區。該公司更從歐洲、澳洲等主要營運地區，逐步擴張到新加坡與美國地區。根據統計，Revolut目前已在全球累積了超過1,600萬名顧客，並推出數十種創新商品，每月更處理超過1.5億筆交易。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">該公司表示，將利用這筆投資持續打造全球首個金融超級App，讓顧客使用單一App就能滿足所有金融需求。同時，該筆資金也將支持該公司在美國的擴張，以及進入印度與其他國際市場。<a href="https://www.revolut.com/en-US/news/revolut-raises-800m-series-e-funding-from-softbank-vision-fund-2-and-tiger-global">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 柬埔寨 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> IT委外營運服務 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 基金信託 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">精誠合資的金融科技服務公司，預計今年Q4將可在柬埔寨提供基金系統營運委外服務</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">由精誠資訊、博暉科技，以及金邊衍生品交易所（PPDE）合資設立的FinTech服務公司「金邊金融科技投資」（PPFI），近期將與柬埔寨政府證監會（Securities and Exchange Regulator，SERC）簽訂合約，由SERC發行特許經營牌照給PPFI，預計今年Q4開始可為柬埔寨基金、信託等公司，提供基金系統營運委外服務。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">柬埔寨從2018年正式開放當地基金信託牌照申請，預計到2021年底將有超過30家基金、信託公司取得經營牌照。未來，PPFI在取得特許經營牌照後，將成為柬埔寨第一家提供基金信託市場IT委外營運服務的金融科技公司，可以提供包括基金事務、基金淨值，以及基金信託等系統服務。精誠金融服務事業體總經理范植德表示，未來將把臺灣金融市場成功經驗複製到柬埔寨，導入創新金融科技，加速該國金融市場發展。</p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">圖片來源／</span><span style="font-size: 14pt;">中國人民銀行、星展銀行記者會截圖、Revolut</span><br /> 責任編輯／李靜宜<br /><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1</strong><strong style="vertical-align: top;">. 外媒報導：傳蘋果正與高盛合作開發Apple Pay先買後付的分期付款服務</strong><br /><strong style="vertical-align: top;">2.瑞士數位資產銀行Sygnum與藝術投資機構Artemundi合作，將以NFT形式拍賣畢卡索畫作之一</strong><br /><strong style="vertical-align: top;"><span style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2021年7月</span></strong></p> </div></div></div>
2021/7/22 17:20作者李靜宜https://www.ithome.com.tw/news/145807
Salesforce完成收購Slack，挑戰微軟、Google
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/141415" target="_blank">去年底</a>CRM大廠Salesforce宣布以277億美元併購Slack，<a href="https://slack.com/intl/zh-tw/blog/news/salesforce-completes-acquisition-of-slack" target="_blank">雙方昨（21）日宣布收購完成</a>，正式和微軟Azure及Google形成三足鼎立局面。</p> <p>透過這樁收購，Slack將成為Salesforce整合平臺Customer 360的前端介面，用戶可在同一平臺上存取客服、銷售、行銷及商務、IT及分析系統。Salesforce表示，整合後而成的Slack優先的Customer 360將提供單一平臺，提供企業單一資料源、App及業務工作流程，以串聯員工、客戶及外部合作夥伴。</p> <p class="rtecenter"><img alt="" src="https://www.salesforce.com/content/dam/web/en_us/www/images/slack/overview/slack-overview-hero-desktop.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Salesforce</span></p> <p>透過整合Slack的Workflow Builder工具，Salesforce客戶將更靈活整合大量第三方外部App，包括應用機器人Zapier、雲端語音合成Amazon Polly、雲端服務監控Datadog和PagerDuty等、電子簽章方案DocuSign、1Password、Box、Cisco Webex Meetings、雲端財務系統Workday等。</p> <p>雙方最大共同客戶IBM目前有38萬名員工使用Slack，並以多支工作流程串聯Salesforce Sales Cloud及Service Cloud上的服務，以支援不同地點及時區的作業。</p> <p>在收購後，Slack品牌將維持不變，並仍由共同創辦人及現任執行長Stewart Butterfield主掌。</p> <p>COVID-19疫情加速遠距辦公或混合作業成為未來商務運作主流，也催生雲端生產力及協同服務的整合。Salesforce收購Slack後，將使其雲端商務平臺更能和微軟競爭。微軟甫於本月公布的<a href="https://www.ithome.com.tw/news/145637" target="_blank">Windows 365</a>即為因應遠距作業需求而生，讓企業即使不加購高階電腦，也能採購微軟的Windows及Office 365。</p> <p>此外，<a href="https://www.ithome.com.tw/news/145035" target="_blank">Google也在上個月宣布</a>將商務及協同平臺Workspace，連同Google Chat、Canvas生產力工具，全面開放給具有Google帳號的個人及企業使用，以便吸引企業訂閱加值服務。</p> </div></div></div>
2021/7/22 17:58作者林妍溱https://www.ithome.com.tw/news/145805
Clubhouse正式對外開放，不必受邀就能加入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/142574" target="_blank">今年初爆紅的</a>語音聊天平臺Clubhouse在經歷一年多的測試之後，<a href="https://blog.clubhouse.com/opening-day/" target="_blank">終於在周三（7/21）對外開放</a>，不管是iOS或Android用戶，都不再需要邀請函就能進入Clubhouse。</p> <p>Clubhouse表示，將會陸續把還在等待名單中的使用者納入該平臺，現在使用者可以廣發自己的聊天室連結，並邀請所有的人加入。</p> <p>從去年創立迄今，Clubhouse的員工人數已從8名增加到58名，使用者每天建立的聊天室數量也從5萬個成長到50萬個，且自從於今年5月中釋出Android版的Clubhouse程式之後，已新增了1,000萬名使用者，甫於上周發表的Backchannel直接傳訊服務，一周內就出現9,000萬個訊息。</p> <p>不過，Clubhouse一直未公布該平臺的整體用戶數量，而行動程式分析業者<a href="https://sensortower.com/android/publisher/clubhouse-software-inc/Clubhouse%2BSoftware%2C%2BInc.?locale=zh-CN" target="_blank">SensorTower的數據</a>則顯示，今年6月Clubhouse程式的全球下載數量為6萬，但光是Android版下載量就有6萬，iOS版本的下載次數只有5,000。顯示有別於Android用戶正在躍躍欲試，iOS用戶對Clubhouse的熱情正在消退。</p> <p>此外，Clubhouse在<a href="https://sensortower.com/ios/us/alpha-exploration-co/app/clubhouse-social-audio/1503133294/overview?locale=zh-CN" target="_blank">免費iOS程式下載量的排行榜</a>上也日益黯淡，排名已在數百款、甚至上千款程式之後。</p> <p>有鑑於語音聊天平臺的進入門檻並不高，在Clubhouse於今年初掀起浪潮之後，短短的半年內所有主流的社交平臺幾乎都具備了語音聊天功能。Telegram於今年3月發表了頻道語音聊天功能；Twitter於5月發表了Twitter Spaces；臉書於6月開始測試Live Audio Rooms語音聊天服務；就連串流音樂龍頭Spotify都在6月宣布以Spotify Greenroom，加入語音聊天的戰局，使得Clubhouse的地位更為險峻。</p> <p>Clubhouse表示，本周更新的Android與iOS版Clubhouse程式即將開放所有用戶使用，且計畫未來每一到二周就會更新該平臺的功能。</p> </div></div></div>
2021/7/22 15:45作者陳曉莉https://www.ithome.com.tw/news/145800
法國：中國駭客APT31攻擊多家組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國網路安全局<a href="https://cert.ssi.gouv.fr/ioc/CERTFR-2021-IOC-003/" target="_blank">ANSSI昨（21）日發佈公告</a>，多個法國單位組織遭到名為APT31的駭客攻擊。</p> <p>法國網路安全主管機關得知，並介入調查一宗針對多個法國組織攻擊的大規模駭入事件。這樁事件涉及病毒攻擊，法國政府相信這事件幕後元兇是APT31組織。</p> <p>根據ANNSI分享VirusTotal服務的偵測資料，這波攻擊中，受害組織遭到Artemis勒索軟體感染並加密電腦中的檔案。據初步調查顯示，攻擊者可能是先駭入一大群家用路由器，以這群路由器作為跳接點，並對目標發動潛伏偵察及攻擊。</p> <p>ANSSI也<a href="https://cert.ssi.gouv.fr/ioc/CERTFR-2021-IOC-003/" target="_blank">提供病毒入侵指標</a>用於網路偵測工具中，並呼籲企業應從今年初的log系統資料開始檢查。</p> <p>雖然法國政府在公告中並未說明，不過一般相信，又名Zirconium或Judgement Panda的APT31是聽命中國政府的駭客組織，<a href="https://www.ithome.com.tw/news/139949" target="_blank">已發動過多起網路間諜及竊密行動</a>。</p> <p>這是西方國家再次指控中國政府在網路攻擊中扮演的角色。<a href="https://www.ithome.com.tw/news/145755" target="_blank">本周美國聯同歐盟、英國指控</a>中國政府支持駭客組織，駭入全球Exchange Server用戶時，英國政府也直指APT31涉及多國政府攻擊，包括2020年駭入芬蘭國會。另一個中國國家駭客組織APT 40則策動了美歐海事及海軍外包商的攻擊。</p> </div></div></div>
2021/7/22 12:58作者林妍溱https://www.ithome.com.tw/news/145798
第三方支付綠界科技傳遭DDoS攻擊，國內多家中小型電商交易付款受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日，國內第三方支付業者綠界科技發生服務異常情形，該公司指出因發生DDoS攻擊，導致固網廠商網路異常影響部分交易，而這樣的情形，也使得使用該公司金流服務的廠商都受影響，包括網路開店平臺業者，例如Shopline，以及多家中小企業的官方購物網站，例如館長陳之漢開設的網路商店。綠界科技表示，目前服務已經恢復正常。</p> <p>已登錄國內興櫃市場的綠界科技，提供從開店平臺到金流、物流，以及電子發票等一條龍式的服務，在7月上旬，該公司遭遇DDoS攻擊事件。關於這次事件影響範圍，根據<a href="https://www.ecpay.com.tw/Announcement/DetailAnnouncement?nID=4285">綠界在其網站上發布的公告</a>，這次DDoS攻擊事件，使得旗下金流服務、物流服務與發票服務都受影響。</p> <p>綠界科技也明確列出這三大服務產生的衝擊。例如，在金流服務方面，出現刷卡機服務中斷、部分信用卡交易授權異常，以及ATM櫃員機、超商條代碼部分取號異常；在物流服務方面，有部分商家發生物流取號異常無法建立訂單，也有部分商家發生貨態延遲發送的狀況；在發票服務方面，出現開立、折讓、作廢、查詢手機條碼載具服務瞬斷，而連鎖超商7-11 ibon多媒體事務機臺，也因此發生電子發票列印異常狀況。</p> <p>該公司服務主要受影響有3個時段，首先是7月8日的晚間8時到11時50分，隔日更為嚴重，從早上11時30分到晚上11時，第三日則好轉，只有晚間6時14分到6時50分。</p> <p>在這段期間，有多家網路商店表示受影響。例如，在7月8日，由館長陳之漢開設的「惡名昭彰官方購物網站」，公告第三方金流端異常，請消費者暫停進行金流交易以及付款行為。</p> <p>在7月9日，鍋具品牌Neoflam臺灣官網公告指出，由於綠界委託代管的網路伺服器業者持續遭受DDoS攻擊，來自大量惡意國外IP位址，使得消費者在官網購物車系統交易時，會無法進入付款頁面。此外，網路開店平臺Shopline也傳出通知用戶，指出綠界科技因電信服務業者遭受DDoS攻擊，因此可能有交易失敗情形發生。</p> <p>由於多方公告在描述上有些差異，因此我們詢問綠界科技這次DDoS的實際狀況，但對方至截稿前仍沒有具體的回覆，因此無法獲知此次DDoS攻擊的規模，以及該公司之前是否有DDoS防護規畫，以及因應現況。而在臺灣證券交易所的公開資訊觀測站上，通常會公布上市、上櫃、興司、公開發行等公司的重大訊息公告，但至本刊截稿前，綠界科技並未在此發布消息。</p> <p>關於DDoS針對金融領域攻擊，過去在2017年，國內曾發生券商集體遭DDoS攻擊勒索事件，這次則是金融科技業者遭攻擊，在以往相當少見，雖然未聽聞同類型多家業者都是攻擊目標，但從事件影響來看，已造成了國內許多平臺金流相關服務都受影響，而且連續3天接連發生，對於這樣的事件，值得國內金融監管單位與相關業者注意。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E7%B6%A0%E7%95%8CDDoS.jpg" style="width: 600px;" /></p> <blockquote><p>綠界在其網站上發布服務異常公告，說明7月8日到7月10日因發生DDoS攻擊，是固網廠商網路異常而影響部分交易，並表示盡快提升系統防護機制。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1A）綠界DDoS_館長(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961A%EF%BC%89%E7%B6%A0%E7%95%8CDDoS_%E9%A4%A8%E9%95%B7(1).jpg" style="width: 290px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖1B）綠界DDoS_館長.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961B%EF%BC%89%E7%B6%A0%E7%95%8CDDoS_%E9%A4%A8%E9%95%B7.jpg" style="width: 290px;" /></a></p> <blockquote><p> 在7月8日與7月10日，惡名昭彰官方購物網站與館長陳之漢臉書都發布金流異常公告，指出這段期間因第三方金流端異常，請消費者暫停進行金流交易與付款行為。</p> </blockquote> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%B6%A0%E7%95%8CDDoS_Neoflam.jpg" style="width: 600px;" /></p> <blockquote><p>Neoflam Taiwan也在官方網站與官方臉書同步發布更告，指出由於綠界委託代管的網路伺服器業者持續遭受DDoS攻擊，大量國外IP位址連線，導致消費者線上交易受影響，因此建議下單改貨到付款。</p> </blockquote> </div></div></div>
2021/7/22 11:24作者羅正漢https://www.ithome.com.tw/news/145796
XLoader竊密程式發展成跨平臺變種，也能感染macOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商<a href="https://research.checkpoint.com/2021/top-prevalent-malware-with-a-thousand-campaigns-migrates-to-macos/" target="_blank">CheckPoint發現</a>，一隻原只感染Windows平臺的竊密程式現在發展成可跨Windows、macOS的版本，能竊取用戶的瀏覽器、電腦登入密碼等資訊。</p> <p>一隻名為XLoader的竊密程式現在在地下論壇上被不同人兜售。分析程式碼顯示，它和近年一隻熱門竊密程式Formbook具有相同可執行檔。2016年出現的Formbook 原本是一隻鍵盤側錄木馬，但是後來被發現功能強大，被用於發動大規模垃圾郵件感染全球企業。一項研究顯示，Formbook是過去12個月感染數第4多的惡意程式。但惡意程式作者卻忽然無故終止銷售Formbook，不久後它就化身為XLoader，去年10月在過去Formbook銷售的論壇出現。</p> <p class="rtecenter"><img alt="" src="https://research.checkpoint.com/wp-content/uploads/2021/07/22.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／CheckPoint</span></p> <p>根據地下網站流傳的XLoader銷售廣告，它是「現有最優異的殭屍網路下載器，具備密碼回復功能」，廣告宣稱XLoader能從多種應用程式取得儲存的密碼，包括所有版本的Chrome、Firefox、Internet Explorer (IE)、Microsoft Edge、Opera、Outlook、Foxmail及Thunder bird等。</p> <p class="rtecenter"><img alt="" src="https://research.checkpoint.com/wp-content/uploads/2021/07/15-1024x842.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／CheckPoint</span></p> <p>Checkpoint指出，和Formbook相較，XLoader技術比起前一代的Formbook更為成熟，最大的不同是多了跨平臺能力，能同時感染Windows、macOS電腦。此外，它還以新興的「Malware-as-a-Service」提供服務，它具有集中控管的C&C基礎架構，讓背後的營運者能控制「客戶」發送XLoader的作業。</p> <p>根據販售公告，「客戶」有1或3月租用方案可選擇，Windows和macOS版本分別以49到129美元代價提供服務。販售者還釋出免費的Java binder，可建立整合Mach-O和exe二進位檔的JAR壓縮檔。</p> <p>從去年10月開始到今年6月初，CheckPoint觀察到Formbook/XLoader感染範圍已多達69國，占了全世界超過1/3，其中以美國最多。</p> <p>研究人員指出，XLoader非常狡猾，一般使用者很難發現到。他們也相信，隨著macOS電腦的普及，未來會成為更多惡意程式的目標。</p> <p>他們建議macOS用戶使用Autorun功能檢查/Users/[username]/Library/LaunchAgents資料夾中，是否有可疑、隨機命名的檔案，並儘速刪除。</p> </div></div></div>
2021/7/22 12:14作者林妍溱https://www.ithome.com.tw/news/145797
國泰產險全力對焦金控技術力，戰情室文化成推動轉型殺手鐧
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年3月，國泰世紀產物保險（以下簡稱國泰產險）迎來轉型的重大轉折點，國泰金控數位數據暨科技發展中心（簡稱數數發中心）資源正式進入產險，以集團高度來加速產險子公司轉型發展，更建立統一的資訊系統架構、數據基礎建設，甚至是組織面都要能對焦金控的轉型戰略，這是國泰產險數位轉型的第三階段。國泰金控暨國泰產險副總經理梁明喬，正是金控調派到產險端大力推動轉型的關鍵人物。</p> <p>國泰產險早在2016年便啟動轉型第一階段「理賠精實」，一方面透過組織調整將作業集中，另一方面改善系統流程，將理賠案件影像化後進行案件管理，來提升理賠服務的效能。</p> <p>2018年，國泰產險開始在內部組成董事長辦公室，加上金控的專案企畫團隊一同協作，展開了為期3年的產險轉型計畫，聚焦優化內部作業流程、組織調整，更要與國泰金旗下銀行、人壽間通路整合，這是轉型第二階段。在系統面，則建立數位網路投保平臺。另一方面，也同時建置了業務員專用的行動投保平臺，作為前單進件管道，讓營業專員能夠轉型，這是組織面的調整。</p> <p>相較於轉型第一與第二階段，著重於組織調整、業務流程改善、系統平臺建置、通路整合；有了金控資源挹注，產險轉型第三階段添加更多「數位」與「數據」的元素。然而，這不是國泰第一次由金控角度往下推動子公司轉型。</p> <p><span style="font-size:28px;"><strong>產險轉型對焦金控統一平臺與框架</strong></span></p> <p>梁明喬提到，5年前金控成立數數發中心，就是從金控架構思考，來打造集團共用的數據基礎建設、資訊系統架構，希望建立起統一的平臺與框架，再一一導入銀行、人壽、產險子公司，原則是架構必須一致，甚至，在組織上都要對焦金控。</p> <p>國泰產險2020年底推出的電商式投保平臺BeSafe就是一個金控技術力對焦子公司後的成果之一。為了能實現彈性組合、短天期保障的保險創新模式，國泰金控數數發中心與國泰產險IT團隊共同合作，打造了保險中臺新架構，過程中銀行端的中臺發展百人團隊也出了不少力，協助產險快速導入中臺架構。</p> <p>甚至，國泰產險為了要持續發展微服務中臺架構，更在內部IT成立新的中臺發展科，除了對內部IT人員進行結構上的調整外，金控更借調在銀行端的人才來帶領這個新單位。可以看出，國泰的策略就是要讓IT建置、人才共用與資源挹注，達到效益最大化。</p> <p>組織變革上，梁明喬透露，人才共用關鍵是更有彈性的輪調人才，國泰金控選擇從數據人才開始，從金控到子公司，將這類人才的職能定位與頭銜先統一，當集團內的數據人才需進行輪調與轉換時，便有一套標準可依循。這正是國泰在組織面，對焦金控的關鍵作法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/01_(%E6%8A%BD)%E6%A2%81%E6%98%8E%E5%96%AC_%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7_%E6%95%B8%E4%BD%8D%E6%9A%A8%E6%95%B8%E6%93%9A%E7%99%BC%E5%B1%95%E4%B8%AD%E5%BF%83_%E5%8D%94%E7%90%86_20190108_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 551px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>國泰金控暨國泰產險副總經理梁明喬表示，期望IT不是一個需求單位，而是能變成一個可以協作各業務發展的重要推手。</strong>（攝影／洪政偉）</span></p> <p><span style="font-size:28px;"><strong>聚焦三大轉型主軸，發展對內外生態圈是重點</strong></span></p> <p>在技術架構、數位框架、組織調整一致對焦金控的前提下，國泰產險在轉型第三階段中，更訂出三大發展主軸。去年7月，國泰金控提出要建立國泰即服務（Cathay as a Service，CaaS）為核心的服務生態圈，透過集結旗下子公司與彙整全集團資源，以數位數據能力與既有金融專業，為異業合作夥伴打造新型態商業模式。</p> <p>這個戰略落實到子公司，國泰產險也要從數位生態圈通路著手，發展新的生態圈模式。梁明喬認為，產險商品的特性是一年一保且具有情境，因此，有許多主題可與生態圈夥伴快速結合，將產險商品嵌入合作夥伴的場景中。比如，國泰產險與遠通電收ETC、遠創智慧合作打造的高速公路碰撞險，當保戶經過國道計費門架時，里程數即會以API介接的方式，傳到國泰產險系統，保戶在電商式投保平臺便能直接看到該項保險還有多少剩餘的里程數。</p> <p>他提到，這個在異業場景推出的高速公路碰撞險，可獲取的顧客高達8成是新戶，雖然金額小，但對產險團隊來說，卻是一個很不一樣的指標，國泰選擇打生態圈策略的原因，正是因為可接觸到以往接觸不到的顧客。</p> <p>與異業場景結合的還有另一項好處，那就是更能了解何時可以攔截到顧客的需求，比如國泰產險與旅遊業合作，在顧客購買旅遊行程的場景後，採取讓顧客加購保險商品的模式。未來，國泰產險將在電商式投保平臺，持續發想新的情境，透過異業生態圈導客，當顧客成為數位會員後，再快速進行顧客經營。</p> <p>不只要透過異業合作發展對外生態圈，國泰金控在發展生態圈的另一大策略是，整合集團內的數位平臺以發展對內生態圈，這是國泰產險轉型的第二大發展主軸。梁明喬解釋，以往金控旗下銀行、產險、人壽通路的會員，需各自進行身分驗證才能登入；為了提升顧客體驗，國泰以客戶視角出發，自行發展了單一登入機制（Single sign-on，SSO）來整合集團內多通路，讓國泰顧客在不同數位平臺能夠串通，比如，登入銀行網銀也能查詢產險保單的狀況。</p> <p>國泰產險轉型第三大發展主軸，則是技術對接金控數數發中心，導入微服務中臺架構、數據中臺、分析平臺等，讓金控的基礎工程與資訊系統架構也能在產險端建立起來。梁明喬說：「BeSafe平臺是國泰產險嘗試以微服務中臺架構打造的第一個案例，要藉此驗證此架構是否能支持產險未來的業務發展。」</p> <p>今年，新一波疫情在臺灣驟起，因應突如其來的營運衝擊，保險中臺新架構更發揮了大作用。梁明喬表示，國泰產險在全員居家辦公的狀況下，僅花了兩周的時間進行開發與測試，就推出了防疫險、疫苗險兩款網路投保商品。</p> <p>國泰產險之所以能做到快速上線商品，是因為先前推動BeSafe專案時，便趁勢導入DevOps機制，使用CI/CD流程將程式開發、測試、上線，透過自動化與可視化的方式來快速部署。甚至，在此專案完成後，DevOps 機制更成為產險IT團隊的標準流程與文化。</p> <p>梁明喬表示，上線防疫險與疫苗險的案例，驗證了產險當初導入的微服務中臺架構，能將保險商品快速上架與組裝，且前端無需大量存取核心，進而減少對核心系統的依賴，對於IT也能提升開發效率。未來，國泰產險的資訊系統架構，也希望朝「小核心、大中臺」的方向前進。</p> <p><span style="font-size:28px;"><strong>發展戰情室文化作為推動轉型利器</strong></span></p> <p>早在兩、三年前，國泰金控內部發展出「戰情室」（War Room）文化，更成了國泰產險子公司推動轉型的利器。梁明喬坦言，起初成立戰情室時，是為了解決跨單位溝通的挑戰，常會發生原有單位調派過來的人員，還是會以原有單位的流程來思考，甚至，在決策前仍認為需詢問原單位主管的同意。</p> <p>因此，國泰決定以戰情室形式，來重新獨立設計所有的新流程，無需再層層溝通，可以直接開始執行，打破原有不同單位各自流程的侷限。不只流程重建，包括從原有單位調到戰情室的專職人員，如何評估考績、原有工作由誰接手、人力資源制度等影響，國泰也都因應新戰情室模式來調整。</p> <p>去年，國泰產險開始對焦金控，在轉型辦公室中導入戰情室制度，將轉型高度往上拉到此層級，並對接金控端的戰情室共同推展產險的轉型發展。梁明喬表示，將金控轉型制度帶進子公司，可以讓產險少走很多路，加上各子公司過去也有不少與金控跨單位合作的經驗，已習慣了戰情室文化，使得產險端在推動上容易許多。</p> <p>目前，產險的轉型辦公室底下共有4個戰情室，有些是建立平臺類的戰情室，有些則是屬於作業流程優化的戰情室，總共有40位成員，且大多為專職人員。在運作制度上，梁明喬提到，每個戰情室會有一位產品經理或專案經理，以及相關業務單位人員，IT人員、企畫人員、數據人員，以敏捷式開發的模式運行。</p> <p>以碎片化電商式投保平臺舉例，戰情室成員涵蓋金控數數發團隊，及產險端數位、IT、中臺、企畫人員，還有核保、理賠、客服中心等單位參與。該平臺完成後，專案便回到產險的數位發展部進行後續維運、持續追加新功能或優化。原有負責數位、企畫、IT及各業務單位人員，則回歸原有的部門，甚至獨立出新的中臺發展科。</p> <p>梁明喬表示：「希望透過戰情室，將轉型心態擴及到產險內部每個業務單位與險部，協助中後臺團隊做真正的改變。」這是國泰戰情室文化核心精神。</p> <p>今年，中臺更成為國泰產險的重要議題，梁明喬透露：「產險許多新平臺的開發將朝中臺化方向發展。」比如說，在商業保險情境，會建立一個商業保險業務中臺；或是在理賠情境，就會建立一個理賠業務中臺，由於不同業務類型的中臺所需要的元件各有不同，國泰產險利用先前BeSafe平臺已開發完的共同元件，透過彈性組裝後運用，也減少IT團隊開發的工作。</p> <p> 然而，國泰產險在轉型過程中，目前仍有兩大挑戰。第一項，「要做平臺而不是系統。」梁明喬提到，如果只是發展系統，常是業務單位提出需求後，由IT開發與維運。但，國泰認為所有事情都得從平臺角度來思考，「因為平臺背後挾帶了所有的商業模式。」第二項挑戰則是，不只是將作業流程優化，更要從新的角度重新思考作業流程。</p> <p>在管理IT團隊，梁明喬期待，「IT不是一個需求單位，而是能變成一個可以協作各業務發展的重要推手。」他提到，IT大部分工作是開發與維運，著重營運不中斷；但得讓IT做更多技術創新並將創新與業務整合，協助業務發展。</p> <p>在這樣的前提下，他希望將產險IT團隊慢慢切成兩大主軸，一群人維持公司的運作，另一群人則負責改變公司，比如中臺發展科負責導入中臺發展新技術的IT人員，就會跟著轉型辦公室與金控數數發中心對焦，讓產險IT能持續保有創新動能。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>梁明喬</strong></p> <p><strong>國泰金控暨國泰產險副總經理</strong></p> <p>學歷：銘傳大學資訊管理學系碩士</p> <p>經歷：曾任玉山金控經理、Oracle大中華區資深顧問；爾後進入國泰金控擔任數位數據暨科技發展中心（DDT）協理及國泰世華銀行客戶經營部協理；現任國泰金控暨國泰產險副總，統管產險數位科技發展部、資訊系統開發部、資訊系統維運部，同時，兼任國泰金控DDT副總</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 公司檔案 </span></strong></p> <p><strong>國泰世紀產物保險</strong></p> <p>● 成立時間：1993年7月</p> <p>● 主要業務：提供金融保險服務</p> <p>● 董事長：蔡鎮球</p> <p>● 總經理：陳萬祥</p> <p>● 年營收：230.4億元（簽單保費收入）</p> <p>● 資本額：30.6億元</p> <p>● 員工人數：截至去年底為2,185人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>● 部門名稱：數位科技發展部、資訊系統開發部、資訊系統維運部</p> <p>● 直屬主管：梁明喬</p> <p>● 部門人數：截至去年底為止，資訊相關部門共129人，數位專職人力配置占員工總數比例約為5.9%人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>● 2016年～2017年：啟動轉型第一階段「理賠精實」專案</p> <p>● 2018年～2020年：啟動轉型第二階段的3年計畫，聚焦優化內部作業流程、組織調整，及集團子公司通路間的整合；系統面則建置數位網路投保服務平臺、業務員專屬的行動投保平臺</p> <p>● 2020年3月：國泰金控挹注資源，產險啟動轉型第三階段，對焦金控數據基礎建設、資訊系統架構、組織調整</p> <p>● 2020年6月：與街口支付合作，讓產險保戶在官網繳費專區也能使用街口電支繳費</p> <p>● 2020年7月：鎖定好市多（Costco）顧客屬性及風險需求，推出汽車、住家、寵物3大數位保險商品</p> <p>● 2020年9月：上線AI智能客服阿發</p> <p>● 2020年12月：將產險商品碎片化，以微服務中臺架構打造電商式投保平臺「BeSafe享出門」；與遠通電收ETC、遠創智慧合作，推出全新型態保險產品「高速公路碰撞險」</p> <p>● 2021年5月：導入國泰世華銀行帳號OpenID多元身分驗證服務</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/04-nei_ye_dsc08909_tu_pian_lai_yuan_guo_tai_jin_kong_ti_gong_.jpeg" width="960" height="420" alt="" title="國泰金控暨國泰產險副總經理梁明喬　（圖片來源／國泰金控）" /></div></div></div>
2021/7/22 07:00作者李靜宜https://www.ithome.com.tw/people/145713
漫談機器學習入門
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧、機器學習、深度學習……這一連串的技術名詞，在近幾年來，接連地冒出，也不斷地出現在我的眼前，相關的文件或書籍，也蜂湧而出，不禁令人好奇，這些東西到底在談些什麼。</p> <p>在試著接觸相關知識的這段日子，卻總覺得難以將這些知識內化己用，最主要的是在瞭解的過程中，心裡的想法是，在這些領域已經蹲很多年，才是能真正靈活運用這些東西的人。</p> <p><span style="font-size:28px;"><strong>你憑什麼入門？</strong></span></p> <p>確實地，深度學習等字眼近來會成為熱門，原因之一確實是因為多了許多便利的程式庫或框架，在一些簡單的案例上，可讓人無腦地做出分析、預測之類的動作。</p> <p>然而，畢竟身為一名開發者，必備的能力之一，就是探索底層，只是我這邊所談到的底層，不單只是程式庫或框架的原始碼探究那麼簡單，而是更進一步地，瞭解原始碼實現的公式，其背後的數學原理、推導過程，以及它們為什麼能夠運作等。</p> <p>如果只是照著文件或書籍，寫出幾行程式來呼叫程式庫或套用框架，就能辨識數字圖片、對鳶尾花分類等，實在稱不上入門機器學習。</p> <p>而這也是近期我接觸機器學習以來的感受：對於底層的數學，沒有一定程度的理解，我又怎麼稱得上入門呢？</p> <p>「你憑什麼入門？」這問句可以從質疑的口氣來看，如果你從事的開發領域並非與數學為伍，或者寫程式從沒用過邏輯以外的思考，甚至是以「寫程式從來不用數學」自傲的人，對於機器學習相關領域的文件或書籍，基本上是可以直接略過，入門的難度太高了。</p> <p>「你憑什麼入門？」這問句可以從純粹詢問的角度來看。機器學習需要理解數學，然而，這需要什麼樣的廣度與深度呢？就廣度來說，機器學習涉及的數學包含了向量運算、矩陣運算、微積分等，就深度而言，則是讓你足以理解程式庫或框架，是以什麼樣的原理及心智模型實作出來。</p> <p><span style="font-size:28px;"><strong>先習慣用數學來思考</strong></span></p> <p>當然，漫無目的地學習這些數學，容易迷失在一堆公式與理論之中，從專門談機器學習的文件、書籍或課程中，一邊累積數學基礎是個方式，但是，這也不容易，因為文件、書籍或課程的內容很難規畫，其內容在理論、程式實作、程式庫與框架之間的平衡，很難拿捏。例如，每次我看完那些偏重程式庫、框架應用的文件，在辨識數字圖片、對鳶尾花分類的範例之後，總覺得空虛，然而，看理論方面的內容時，又覺得茫然。</p> <p>而且，在漫長學習這些數學之後，就只為了機器學習，過程應該會滿無趣的；比較好的方式是，先忘了機器學習，試著先解決一些需要數學的任務，這會讓過程有一些正向回饋的成就感，就算最後你還是沒達到機器學習入門，累積起來的數學基礎，在其他任務上也會有用武之地。</p> <p>以我個人的經驗來說，是在玩弄繪圖、3D建模的過程當中，先累積了對於向量及矩陣運算的熟悉度；但是，我一開始並不是面對問題，就會用向量或矩陣來思考，而是直覺地就用起個別變數、逐一實現為函式罷了；然而，隨著經驗的增加，我發現，一些變數若組織為向量，程式寫來更為簡潔而便利，再隨著累積更多的經驗，我又發現了一些向量可以組織為矩陣，此時，撰寫或運算起來都更加地有效率。</p> <p>在機器學習中會大量面對向量與矩陣，這是因為要處理的資料往往具備大量的特徵值，若不運用向量與矩陣來組織，無論是在公式撰寫、推導或者程式撰寫上，絕對會是一團漿糊。</p> <p>在程式開發領域，確實是有些針對程式人的數學書，過去的一些專欄（例如〈<a href="https://www.ithome.com.tw/voice/109597" target="_blank">程式人的數學書</a>〉）我也談過幾本書籍，如果是針對向量與矩陣談比較多，且具有主題任務的書，我個人推薦的是<a href="https://bit.ly/3gKJxgK" target="_blank">《The Nature of Code》</a>，它是基於Processing、使用Java，偏向模擬自然現象。</p> <p>就撰寫這篇專欄的時間點來說，我又發現一本不錯的新書<a href="https://bit.ly/3zzx4oE" target="_blank">《Math for Programmers》</a>，使用Python，從繪圖、3D、物理模擬等任務中，學習向量、矩陣、微積分等理論基礎，最後更來到機器學習入門，像是迴歸、分類、類神經網路等。</p> <p><span style="font-size:28px;"><strong>數學與程式的心智模型結合</strong></span></p> <p>在逐漸習慣用數學思考，用程式碼來解決問題的過程中，慢慢地你會發現，有些程式庫或框架提供了現成的實作，例如，繪圖有2D/3D引擎，物理現象模擬有物理引擎等，在過程中，需要更多花時間摸索的，往往就是這程式庫或框架怎麼使用、它們實現了哪些數學。</p> <p>有能力的話，從頭至尾自行實現程式庫，此時愛用什麼心智模型就隨個人選擇，但這會花上許多時間，還不見得有效率、具通用性等；若使用的程式庫，各自擁有獨特的使用模型，結合時也會是一大麻煩。</p> <p>比較好的方式是，從具有技術堆疊而發展出來的程式庫或框架中開始。以Python來說，使用NumPy會是個不錯的開始，它在陣列方面的功能不在話下，對向量、矩陣也有充分的支援，更重要的是，它提倡的「陣列程式設計」典範，比較接近數學方面的思考方式，而不是程式設計方面，在習慣該典範之後，對數學與程式的心智模型結合上，有很大的幫助。</p> <p>目前有不少相關的程式庫是基於NumPy而成，像是Pandas、Scipy等，這讓你在需要對資料做更進一步處理時，不用重新適應新的心智模型；如果需要處理圖像，OpenCV的Python介面（opencv-python）也是基於NumPy，因為機器學習常見的處理對象之一就是圖像，認識一下opencv-python，絕對有很大的助益。</p> <p>我會建議多瞭解在圖像處理中，如何辨識圖像邊緣，例如Laplacian轉換、Sobel運算等，你應該試著去瞭解其背後的數學原理，因為會涉及微分概念，也能從中學到卷積（convolution）的應用。</p> <p><span style="font-size:28px;"><strong>這會是個漫長的累積過程</strong></span></p> <p>如果你在這個過程當中，依然是以機器學習為目標，下一步或許可以試試scikit-learn，基本上，它也是基於NumPy的技術堆疊，可用來做為迴歸、分類、類神經網路的程式庫入門，你可以試著用之前累積下來的數學思考習慣，去理解相關的數學理論基礎。</p> <p>當然，這會是個漫長的累積過程！即便我已經從繪圖、3D建模中累積了一些經驗，也還是前前後後試了不少途徑，耗費近一年，才終於覺得來到機器學習的門口，在數學基礎書籍的推薦上有點難，我想每個人狀況不同，就我來說，機器學習算是新東西，因此《<a href="https://bit.ly/3gwZLep" target="_blank">練好機器學習的基本功</a>》這種以對話為主超級入門書，反而對我是比較有幫助的。</p> <p>如果你從沒有試著從數學的角度來解決需求，或許要花費更多的時間，才能入門機器學習，這很公平，畢竟真正能靈活運用這些東西的人，在這些領域也花很多年吧！是的，程式庫或框架很方便，然而若不想只會辨識數字圖片、對鳶尾花分類的話，還是必須靜下心來，做好長時間的規畫，並逐步實現學習的過程！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E6%A9%9F%E5%99%A8%E5%AD%B8%E7%BF%92">機器學習</a></div></div></div>
2021/7/22 07:00作者林信良https://www.ithome.com.tw/voice/145714
Nvidia釋出TensorRT 8強化大型語言模型推理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia推出<a href="https://developer.nvidia.com/blog/nvidia-announces-tensorrt-8-slashing-bert-large-inference-down-to-1-millisecond/">TensorRT 8</a>，這是最新的人工智慧軟體開發工具包，能加速搜尋引擎、廣告推薦、聊天機器人等人工智慧應用，官方提到，與之前的版本相比，TensorRT 8可縮短一半的語言查詢推理時間。</p> <p>TensorRT是一個包含推理最佳化器和Runtime的高效能深度學習推理SDK，能夠提供低延遲和高吞吐量的運算，TensorRT廣泛支援各個產業，像是醫療保健、金融服務與製造業等。官方提到，以TensorRT作為基礎的應用程式，推理速度比純CPU平臺快了40倍，而在TensorRT 8中，又針對熱門的Transformer模型最佳化。</p> <p>TensorRT 8加速了所有基於Transformer模型的對話式人工智慧，使推理時間縮短為TensorRT 7的一半，使用A100 GPU運算，執行具有3.4億個參數的語言模型BERT-Large，其推理延遲能降低到僅剩1.2秒。</p> <p>這個TensorRT新版本的更新重點，除了能加速語言模型，在使用Quantization Aware Training時，使用INT8精度就能夠實現相當於FP32的精度。另外，稀疏性是Ampere架構GPU的一種效能技術，而在TensorRT 8中，可以利用這項技術減少運算操作，以大幅提高效率。</p> </div></div></div>
2021/7/21 19:27作者李建興https://www.ithome.com.tw/news/145787
Python擴充套件加入除錯器新功能，還簡化根目錄配置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟更新了適用於VS Code的Python擴充套件，這個<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-july-2021-release/">7月更新版本</a>有幾項方便的新功能，包括配置專案根目錄的新方法，以及開發者現在選擇Python直譯器不會再更改配置，另外，除錯器還加入了2個新功能。</p> <p>在新版本中，開發者配置專案根目錄更方便，過去需要配置python.analysis.extraPaths項目，來告訴Pylance匯入解析的搜尋路徑，但現在開發者可以不需要搜尋settings.json，找到extraPaths編寫正確的搜尋路徑，可以直接將游標懸停在import語句的診斷上，點擊工具提示中的圖標，或是點選快速修復，接著Pylance便會推薦搜尋路徑，開發者再將路徑新增到python.analysis.extraPaths即可。</p> <p>另一個7月版本的新功能，便是讓開發者在選擇Python直譯器的時候，不再修改工作區配置，過去使用Python擴充套件選擇或是更改Python直譯器，會一併更改python.pythonPath設定，並使用直譯器的路徑作為該設定的值。</p> <p>微軟解釋，由於直譯器路徑與每臺機器有關，所以想在GitHub儲存庫共享VS Code工作區，這樣的設定會出現一些問題。因此微軟改變做法，使直譯器的資訊與系統無關，選擇直譯器不會再更改settings.json。</p> <p>現在Python擴充套件會在內部儲存中，儲存每個工作區的直譯器資訊，如果開發者仍然想要在Python擴充套件使用settings.json預設，可以更改配置python.defaultInterpreterPath，這個值將會定義Python擴充套件第一次載入工作區時，所選用的直譯器。</p> <p>除錯器加入了進入目標以及函式中斷點兩個功能，能夠提高開發者除錯效率，進入目標是在除錯時，當有多個可能選項時，開發者能夠選擇要進入哪些目標，以下圖的例子來說，過去開發者想要進入generate_wordcloud呼叫，需要逐一進入parse_content、Image.open和np.array，而現在當開發者遇到多重函式呼叫時，可以指定想要進入的函式，並且點擊右鍵，在編輯器中選擇進入目標。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/July2021-StepIntoTargetsPart1.png" style="width: 580px;" /></p> <p>函式中斷點是另一個除錯器新功能，當開發者只想要檢查特定函式的行為，便可以在中斷點視窗指定名稱，則除錯器抵達該函式的時候，便會自動停止執行。</p> </div></div></div>
2021/7/21 19:30作者李建興https://www.ithome.com.tw/news/145788
Google採用開源標準OpenTelemetry建構高吞吐量代理Ops Agent
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端發布新的監控代理<a href="https://cloud.google.com/blog/products/operations/ops-agent-now-ga-and-it-includes-opentelemetry">Ops Agent</a>，這是採用開放標準OpenTelemetry建構而成，易於安裝、管理和配置，將會打破Cloud Logging和Cloud Monitoring兩服務，還有作業系統之間的界線。Google提到，這個新代理會取代舊有的日誌記錄和監控代理。</p> <p>Ops Agent現在是Google推薦使用的代理，能最大程度向後相容，具有顯著提升的日誌紀錄吞吐量，可以避免記憶體不足錯誤，並防止資料丟失，官方提到，Ops Agent在日誌和指標提供簡單的YAML配置，因此日誌紀錄和監控工具間將擁有更高的一致性，並且也在各Linux發布版本和Windows提供一致的功能集。使用新代理，用戶只需要下載、安裝和維護一個代理，不用像過去一樣，需要使用日誌紀錄和監控兩個代理。</p> <p>Ops Agent的另一項特色，則是使用快速發展的OpenTelemetry，OpenTelemetry目前為CNCF旗下的開源專案，中立於任何供應商的技術，受到許多供應商的支援。官方提到，由於企業開始擴展使用雲、混合雲和多雲基礎架構，營運者和開發者必須要處理各種代理，其中包含各式協定，以及擷取各種指標、日誌和追蹤資料，採用OpenTelemetry的Ops Agent簡化了這些工作。</p> <p>Google也特別使用Fluent Bit來加大吞吐量以及資源使用效率，Fluent Bit是一個開源日誌處理器和轉發器，能夠與OpenTelemetry良好互補，來避免資料丟失和記憶體不足的錯誤。官方提到，經內部測試，新的Ops代理支援的吞吐量，比舊日誌紀錄代理高15倍。這是提高底層虛擬機器資源效率所獲得的資料，但在較小的虛擬機器上執行代理，也會更經濟有效率。</p> <p>Ops Agent已經與Google雲端控制臺的可觀察性工具預先整合，因此在虛擬機器安裝代理之後，主機指標、程序指標和日誌，都會自動路由到Cloud Logging和Cloud Monitoring中，用戶不需要執行其他額外的操作。</p> <p>對於使用開源工具Ansible，來配置管理和自動化組態的用戶，可以直接使用Ansible來安裝Ops Agent，或是用戶也可以使用基礎設施即程式碼工具Terraform，利用Terraform模組在虛擬機器安裝和配置Ops Agent。而有託管解決方案需求的用戶，Google提供了一種稱為代理政策的機制，來自動化管理Ops Agent安裝，目前仍在預覽階段，用戶只需要輸入一個指令，就可以創建政策來管理新的和現有的虛擬機器，在虛擬機器上正確地安裝Ops Agent。</p> </div></div></div>
2021/7/21 19:05作者李建興https://www.ithome.com.tw/news/145784
WordPress東家買下播客程式業者Pocket Casts
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Tumblr和WordPress.com的持有公司Automattic也要跨入播客服務，<a href="https://wordpress.com/blog/2021/07/16/popular-podcast-app-pocket-casts-joins-automattic/" target="_blank">本周宣布</a>收購知名播客App業者Pocket Casts。</p> <p>Pocket Casts是廣受歡迎的podcast應用程式，單是在美國，每周就有超過8000萬經常用戶。它具有強大的搜尋功能，以及用戶社群的推薦，讓用戶很容易找到適合的播客內容。Pockets Casts的好用介面最為人稱道，可依個人喜好調整不同速度選擇、剪輯片段、音量設定、定時，以及媒體儲存、編排播放清單並，也支援Apple Watch、iOS、Android、Windows、MacOS、Android Auto、Alexa和Sonos智慧喇叭多種平臺。</p> <p>在被收購後，Pocket Casts的共同創辦人Russell Ivanovic和Philip Simpson仍將持續管理這個部門。Pocket Casts所有功能也會持續，同時Wordpress.com和Pocket casts將尋求進一步整合。現在WordPress.com管理員可將Pocket casts的訂閱區塊模式加入到網站。</p> <p>雲端及內容業者近年相繼擴充播客平臺以吸引人流，包括Netflix、蘋果，<a href="https://www.ithome.com.tw/news/141972" target="_blank">Amazon</a>買下Wondery，<a href="https://www.ithome.com.tw/news/144103" target="_blank">Spotify</a>推出自己的播客服務，<a href="https://www.ithome.com.tw/news/142053" target="_blank">推特</a>買入Breaker。</p> <p>對Automattic而言，這樁收購將能強化Wordpress.com的線上內容平臺服務，也可能利用Pocket Casts來行銷Wordpress.com的內容。Automattic 2019年從Verizon手上<a href="https://www.ithome.com.tw/news/132393" target="_blank">買下部落格平臺Tumblr</a>。</p> </div></div></div>
2021/7/21 17:47作者林妍溱https://www.ithome.com.tw/news/145785
資安一周第155期：Windows列印多工緩衝處理器又有新漏洞。知名法律事務所、服飾品牌驚傳遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">7/15-7/21必看資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">列印多工緩衝處理器又有新漏洞，微軟籲關閉相關服務</strong></h2> <p>影響Windows列印多工緩衝處理器（Print Spooler）的PrintNighmare漏洞，微軟甫修補完成不久，7月15日再度發出安全性通報，揭露另一個可讓攻擊者執行惡意程式的新漏洞CVE-2021-34481，在尚未推出修補程式之前，呼籲企業應關閉Print Spooler服務因應。</p> <p>微軟表示，CVE-2021-34481的CVSS風險層級為7.8分，一旦攻擊者濫用，可提升本機權限（LPE），但這並不是修補先前PrintNighmare漏洞所引起。<strong><a href="https://www.ithome.com.tw/news/145735">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/155-1-cve-2021-34481.png" style="width: 400px; height: 323px;" /></p> <p><span style="color:#808080;">圖片來源：微軟</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">法律事務所Campbell Conroy & O'Neil遭勒索軟體攻擊</strong></h2> <p>客戶包括波音、福特、萬豪酒店的知名法律事務所Campbell Conroy & O'Neil，7月16日公告2月底遭到勒索軟體攻擊，導致系統與檔案被加密。經過資安廠商的調查，他們坦承客戶生日及證件等個資可能已經外洩。</p> <p>該事務所表示，目前無法判斷攻擊者是否已經存取客戶個資，但部分客戶面臨多種資料被存取的風險。不過，他們並未透露遭到何種勒索軟體攻擊，亦尚未有駭客組織表態。這家律師事務所已經通報FBI，並對受影響的客戶提供24個月的個資外洩監控服務。<strong><a href="https://www.ithome.com.tw/news/145756">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/155-2-Campbell.png" style="width: 400px; height: 247px;" /></p> <p><span style="color:#808080;">圖片來源：Campbell Conroy & O'Neil</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃勒索軟體攻擊＃資料外洩</strong></h3> <h2><strong style="vertical-align: top;">服飾品牌Guess遭勒索軟體攻擊，用戶個資外流</strong></h2> <p>服飾品牌Guess坦承遭到勒索軟體攻擊，致使部分消費者的個資曝光，例如，社會安全碼、銀行帳號等資訊。他們已透過電子郵件通知受到影響的消費者，並提供1年免費的個資盜用監控服務。</p> <p>Guess並未說明作亂的勒索軟體為何，但根據DataBreaches網站的報導，駭客團體Darkside曾宣稱在2月對Guess發動攻擊，並取得200GB資料。<strong><a href="https://www.ithome.com.tw/news/145624">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃iOS ＃Pegasus</strong></span></h3> <h2><strong style="vertical-align: top;">Pegasus間諜軟體鎖定iMessage漏洞，攻擊過程無需用戶互動</strong></h2> <p>非營利組織Forbidden Stories與國際特赦組織聯手，於7月18日公布Pegasus專案調查報告，當中指出，有多達5萬名使用者，遭到以色列駭客公司NSO Group的政府客戶鎖定，這些用戶企圖於監控目標的手機上植入Pegasus間諜軟體，而且就算是使用最新的iPhone 12手機、安裝最新的iOS 14.6作業系統，都難逃遭到入侵的命運。</p> <p>巧合的是，蘋果於7月19日針對iOS、watchOS、tvOS，以及macOS版Safari瀏覽器進行安全更新，但並未透露細節，也沒有說明是否與Pegasus間諜軟體有關，但此時進行相關更新，難免讓人產生聯想。<strong><a href="https://www.ithome.com.tw/news/145763">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞攻擊＃社群網站＃iOS</strong></h3> <h2><strong style="vertical-align: top;">俄羅斯駭客利用Safari漏洞鎖定LinkedIn用戶下手</strong></h2> <p>Google威脅分析小組（TAG）揭露鎖定iOS裝置用戶的漏洞攻擊。這起攻擊疑似由俄羅斯政府支持的駭客發起，他們利用LinkedIn即時通訊功能，向歐洲國家政府官員發送惡意連結。一旦這些官員從iOS裝置點選這些連結，便會被導向攻擊者控制的網域，下載攻擊程式到裝置裡，過程中濫用Safari的漏洞CVE-2021-1879。</p> <p>這項漏洞波及執行12.4至13.7版iOS的裝置，以及對應版本的iPadOS及watchOS。蘋果獲報後，於3月底發布iOS 12.5.2、iOS 14.4.2和iPadOS 14.4.2、watchOS 7.3.3修補。<strong><a href="https://www.ithome.com.tw/news/145662">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃間諜軟體</strong></span></h3> <h2><strong style="vertical-align: top;">微軟與公民實驗室聯手，揪出間諜軟體DevilsTongue</strong></h2> <p>加拿大多倫多大學公民實驗室（Citizen Lab）聯手微軟，於7月15日揭露了來自以色列的間諜軟體DevilsTongue。這支程式疑似是由駭客公司Candiru（微軟稱Sourgum）所打造，能夠感染與監控iPhone、Android手機、Mac電腦、Windows電腦，以及雲端帳號，目前全球已有超過100名受害者。</p> <p>根據微軟的調查，DevilsTongue攻擊程式串連了瀏覽器與Windows作業系統的漏洞，其中有兩個是微軟甫修補的CVE-2021-31979，以及CVE-2021-33771。<strong><a href="https://www.ithome.com.tw/news/145697">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/155-3-Candiru-com-name.png" style="width: 400px; height: 177px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：加拿大多倫多大學公民實驗室</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃釣魚郵件攻擊＃關鍵基礎設施</strong></span></h3> <h2><strong style="vertical-align: top;">光碟映像檔被駭客濫用夾帶惡意程式！研究人員揭露鎖定能源產業的釣魚郵件攻擊</strong></h2> <p>惡意程式碼免疫系統供應商Intezer在7月7日，公布了一起針對能源產業的釣魚郵件攻擊事故，並認為駭客攻擊行動時間至少為期一年，而且攻擊者發送的郵件裡，都會包含IMG、ISO，或是CAB檔案格式的附件。</p> <p>從攻擊的範圍來看，駭客攻擊了世界各地的公司，包括美國、德國，以及阿拉伯聯合大公國（UAE）等。不過，Intezer認為，攻擊者的主要目標是韓國公司。<strong><a href="https://www.ithome.com.tw/news/145659">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">鎖定SolarWinds伺服器軟體的駭客來自中國</strong></h2> <p>微軟在SolarWinds修補檔案共享系統Serv-U後，公布他們發現CVE-2021-35211漏洞的過程。根據攻擊策略、程序，以及受害者的屬性來研判，微軟認為幕後黑手是來自於中國的DEV-0322。<strong><a href="https://www.ithome.com.tw/news/145626">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">勒索軟體正在攻擊SonicWall網路裝置舊版韌體漏洞</strong></h2> <p>網路設備商SonicWall於7月15日發出緊急安全公告，他們發現SMA 100及SRA系列裝置，正遭到勒索軟體鎖定8.x版韌體的已知漏洞發動攻擊。該公司呼籲用戶應儘速升級到新版韌體，若是已經終止支援（EOL）的設備，則應立即切斷與網際網路的連線，並重設密碼。<strong><a href="https://www.ithome.com.tw/news/145643">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃DDoS攻擊</strong></span></h3> <h2><strong>第三方支付業者綠界科技遭到DDoS攻擊</strong></h2> <p>國內第三方支付業者綠界科技因遭到DDoS攻擊，使得旗下金流服務、物流服務與發票服務都受影響，主要發生在3個時段，分別是7月8日晚間、7月9日早上11時30分到晚上11時，以及7月10日傍晚。</p> <p>在這段期間，有多家網路商店表示受影響，例如，由館長陳之漢開設的惡名昭彰官方購物網站、鍋具品牌Neoflam臺灣官網等，皆發出公告，要消費者暫停付款。<strong><a href="https://www.ecpay.com.tw/Announcement/DetailAnnouncement?nID=4285">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/145699">美國政府推出對抗勒索軟體單一入口網站</a><br /> ●<a href="https://www.ithome.com.tw/news/145690">美國務院對關鍵基礎設施惡意網路活動懸賞千萬</a><br /> ●<a href="https://www.ithome.com.tw/news/145693">防毒業者NortonLifeLock有意併購Avast</a></h3> </div></div></div>
2021/7/21 17:57作者周峻佑https://www.ithome.com.tw/news/145786
微軟Azure防火牆進階版正式上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正式推出<a href="https://azure.microsoft.com/zh-tw/blog/nextgeneration-firewall-capabilities-with-azure-firewall-premium/">進階版Azure防火牆</a>，可用於支付與醫療保健等，高度敏感且受監管的環境，提供進階威脅防護，包括TLS探查、IDPS和URL過濾等功能。進階版Azure防火牆價格較標準版高出40％，資料處理費用則相同。</p> <p>進階版Azure防火牆有4大主要功能，分別為TLS探查、IDPS、網頁類別和URL過濾。TLS探查功能使得防火牆能夠終止出站和東西向TLS連接，入站TLS探查則能夠與允許端到端加密的Azure Application Gateway結合使用，Azure防火牆會執行需要的加值安全函式，並重新加密流量發送到原始目標。</p> <p>而進階版Azure防火牆也提供基於簽章的入侵檢測和防禦系統（IDPS），透過尋找特定的模式，來快速檢測攻擊。網頁類別功能則是允許管理員，根據社交網站、搜尋引擎和賭博等類別，過濾出站用戶的存取，進而減少管理各個完整網域名稱（FQDNs）和URL的時間成本。另外，管理員也不僅僅可以限制FQDN，進階版Azure防火牆的URL過濾功能，讓管理員可以過濾特定URL的出站存取，這項功能適用於明文與加密流量。</p> <p>微軟提到，企業可以利用IDPS和TLS探查等進階SKU（Stock-Keeping Unit）功能，來避免惡意軟體和病毒，在企業網路中橫向傳播。有鑒於IDPS和TLS探查的效能需求不斷增加，進階版Azure防火牆使用了更加強大虛擬機器SKU，與標準SKU相同，進階SKU也可以無縫擴展至30 Gbps，並且整合可用區域，以維持99.99％ SLA。</p> <p>原本標準SKU的用戶，可以使用通用Azure防火牆政策配置方法，來簡單地搬遷，官方提到，這種方法讓用戶可以使用既有的API整合，降低需要更動的部分，繼續使用防火牆管理器管理Azure防火牆。</p> </div></div></div>
2021/7/21 18:08作者李建興https://www.ithome.com.tw/news/145782
Chrome 92修補35個安全漏洞，具備更有效的網釣偵測能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在7月20日釋出了最新的Chrome 92，新版Chrome除了持續改善Chrome Actions及網站隔離等功能外，還新增使用者對網站權限的控制，同時提供速度更快的網釣偵測能力，<a href="https://chromereleases.googleblog.com/2021/07/stable-channel-update-for-desktop_20.html" target="_blank">也修補了35個安全漏洞</a>。</p> <p>Chrome會在每次使用者造訪一個新網頁時，蒐集與評估該頁面的訊號，以分析該網頁是否符合釣魚網站的特性，其中一個是比對網頁上的顏色配置，為了保護使用者的隱私，Chrome內建的Safe Browsing機制並不會傳送任何瀏覽器上的影片，代表必須利用使用者的機器資源來分析網頁影像。</p> <p>過去Chrome必須評估所造訪網頁的每個像素，汲取每個像素的RGB色值並將它們分別存放在3個代表不同顏色的雜湊表上，雖然把物件加到雜湊表很容易，但當像素數量動不動就超過數百萬個就是另一回事了，為了不想減少所評估的像素數量而危害分析品質，Google在Chrome 92中不再追蹤3個不同的雜湊表，而是只使用一個顏色索引，也在把像素計入雜湊表之前事先累計，簡化Chrome對雜湊表的操作。</p> <p><a href="https://blog.chromium.org/2021/07/m92-faster-and-more-efficient-phishing-detection.html" target="_blank">根據Google的測試</a>，Chrome 92在第50百分位數執行網釣分類的速度快了50倍，在第99個百分位數時快了2.5倍，平均而言，使用者得到網釣分類結果的時間從1.8秒縮短到0.1秒。</p> <p>這意謂著Chrome使用了更少的CPU時間，裝置電池也能有更長的續航力，而且使用者也能更快得知所造訪的網站是否為釣魚網站。</p> <p>對網站權限的控制則率先部署在Android版的Chrome上，只要按下網址列的鎖頭，就能檢視使用者賦予所造訪網站的所有權限，也能管理權限，像是是否允許該站存取麥克風或攝影機等。未來該功能將會陸續支援其它作業系統。</p> <p>Google也擴大了Chrome Actions的能力，這是Google於去年11月發表的新功能，允許使用者直接於Chrome網址列上輸入指令，像是刪除歷史紀錄（delete history）或編輯密碼（edit passwords）等，<a href="https://support.google.com/chrome/thread/83519363/introducing-chrome-actions-a-new-way-to-navigate-and-take-action-right-from-chrome-s-address-bar" target="_blank">原本只支援6種指令</a>，<a href="https://support.google.com/chrome/answer/10957616?p=chrome_actions&visit_id=637624404291765061-1843574903&rd=1" target="_blank">新版的Chrome則擴充到逾20種指令</a>，包括建立文件、建立活動、建立筆記、管理地址、管理Cookie、管理Google帳號或安全設定等。</p> <p>為了防範諸如Spectre等推測執行旁路攻擊，主流瀏覽器相繼部署網站隔離機制，讓每個分頁使用不同的渲染程序，以避免駭客藉機取得其它網站的機密資訊，例如Google於2018年釋出的Chrome 67便啟用了網站隔離機制，然而，更多的程序代表它會耗費更多的系統資源，也讓Google持續改善它的效能及保護能力。</p> <p>在Chrome 92中，Google著眼於讓網站隔離覆蓋更多的網站與擴充程式，亦同步改善了部署網站隔離時的Chrome速度。</p> </div></div></div>
2021/7/21 16:58作者陳曉莉https://www.ithome.com.tw/news/145783
Linux核心的檔案系統層有個藏匿了7年的權限擴張漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://blog.qualys.com/vulnerabilities-threat-research/2021/07/20/sequoia-a-local-privilege-escalation-vulnerability-in-linuxs-filesystem-layer-cve-2021-33909" target="_blank">Qualys本周揭露</a>了一個藏匿在Linux核心檔案系統層的安全漏洞CVE-2021-33909，它是個權限擴張漏洞，可讓無特權的使用者取得系統的根權限，且影響從2014年以來發布的所有Linux核心版本。</p> <p>檔案系統為儲存裝置上的資料與元資料的組織，主要控制資料的儲存與取得，最重要的功能為管理使用者資料，它不僅為各種作業系統中最重要的功能，且在所有主要Linux作業系統中無處不在。</p> <p>Qualys研究人員已打造了一個概念性驗證攻擊程式，並於Ubuntu 20.04、Ubuntu 20.10、Ubuntu 21.04、Debian 11及Fedora 34 Workstation等Linux平臺上展開測試，成功取得了所有平臺的根權限，且其它的Linux版本應該也無法避免被開採。</p> <p>Qualys還發現了另一個存在於systemd的CVE-2021-33910漏洞，將允許本地端駭客破壞systemd，形成阻斷服務攻擊。</p> <p><a href="https://access.redhat.com/security/vulnerabilities/RHSB-2021-006" target="_blank">根據紅帽的說明</a>，駭客只要建立、掛載與刪除一個路徑長度超過1GB的深層目錄架構，就能開採CVE-2021-33909漏洞，並讓無特權的本地端駭客取得根權限。開採CVE-2021-33910的方法也類似，當本地端駭客掛載一個長路徑的檔案系統時，就會破壞systemd與整個系統，使得它們失去回應能力。</p> <p>CVE-2021-33909漏洞波及Red Hat Enterprise Linux 6、Red Hat Enterprise Linux 7與Red Hat Enterprise Linux 8，CVE-2021-33910則影響Red Hat Enterprise Linux 8。。</p> <p>由於CVE-2021-33909漏洞影響近7年來的眾多Linux版本，使得不管是Qualys或紅帽都呼籲使用者應儘速修補。</p> </div></div></div>
2021/7/21 15:15作者陳曉莉https://www.ithome.com.tw/news/145779
Google Cloud推出雲端代管IDS服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google持續強化企業雲端安全方案，<a href="https://cloud.google.com/blog/products/identity-security/security-summit-2021-google-expands-trusted-cloud" target="_blank">本周宣布</a>結合第三方合作夥伴，推出雲端入侵偵測系統（Cloud IDS）。</p> <p>Google Cloud IDS是Google和安全廠商Palo Alto合作的雲端原生、代管的入侵偵測服務，可偵測惡意程式、間諜軟體、外部C&C（command and control）伺服器的連線攻擊，及其他網路層威脅，而且號稱誤判率極低。Google宣稱，企業用戶只要在Google Cloud中點擊幾下即可完成部署，且可利用Google Cloud自訂流程，設立收到警示後的回應行動。為統一管理，這個IDS可整合到Google的安全資訊與事件管理（SIEM）及協同與自動化回應（Security Orchestration and Automated Response，SOAR）服務，但Google強調也能整合企業原本的SIEM和SOAR。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/Better_together.0999080019031451.max-2000x2000.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>透過這項服務，Google希望能打入金融服務、零售及健康照護等受消費者資料保護法規範的產業，防止惡意程式或駭客駭入系統竊取用戶及企業個資。</p> <p>Google IDS是Google今年三月喊出隱形安全（Invisible Security）願景下推出的新服務。這項願景旨在使安全產品及技術整合到基礎架構，且運作更自動化及協同，使雲端安全變得普及而融入運作環境中，好像隱形一般。</p> <p>目前Google Cloud IDS已經以預覽版上線，初步整合的第三方分析平臺包括Splunk Cloud Platform、Splunk Enterprise Platform、Exabeam Advanced Analytics、The Devo Platform和 Palo Alto Networks Cortex XSOAR，之後也會整合Google Cloud自己的安全分析平臺Chronicle和Security Command Center。</p> <p>Google今天同時宣布Chronicle進一步整合Google Cloud的分析服務，包括商業智慧服務Looker及資料倉儲服務BigQuery，並強調透過簡單設立幾個參數即可自建分析管理用的儀表板。Google表示，此次整合後將能強化Chronicle的報表、法規遵循、視覺化安全流程、資料探勘及安全相關的資料分析功能等。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/Example_custom-built_Looker_dashboard.max-1000x1000.jpg" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Google</span></p> <p>最後，Google也推出自動化安全運作（Autonomic Security Operation）方案，這是一個結合Google Chronicle、技術教材及相關工具的MSSP（Managed Security Services Provider）套件，方便企業自建安全監控中心（Security Operation Center，SoC）或是Google提供監控服務。</p> </div></div></div>
2021/7/21 13:35作者林妍溱https://www.ithome.com.tw/news/145780
存在16年的驅動程式漏洞可讓駭客執行惡意程式，影響HP、全錄等380款印表機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近印表機使用者可能會相當不安心。繼微軟爆出多個Windows列印多工緩衝處理器漏洞，本周安全人員再揭露一個印表機驅動程式漏洞，可能讓攻擊者在Windows機器上執行惡意程式。本漏洞影響HP、全錄及三星品牌印表機逾380款，HP、全錄呼籲用戶應儘速更新驅動程式。</p> <p>這項漏洞是由<a href="https://labs.sentinelone.com/cve-2021-3438-16-years-in-hiding-millions-of-printers-worldwide-vulnerable/" target="_blank">SentinelOne研究人員Kasif Dekel發現</a>。他與該公司團隊發現一個2005年推出的印表機驅動程式SSPORT.SYS存在權限升級漏洞，讓沒有權限的使用者取得系統（System）權限而得以執行任意程式。</p> <p>技術上，這漏洞源自該驅動程式以IOCTL利用字串拷貝函式strncpy，從使用者輸入拷貝字串時未驗證大小的參數值，讓用戶輸入過大值導致驅動程式使用的緩衝遭溢位。結果是攻擊者取得系統權限，可在核心模式下執行程式碼，基本上他可以安裝程式、讀取、刪改、加密資料，或是安裝具完整權限的用戶帳號。</p> <p>研究人員解釋，該漏洞危險之處在於Windows用戶無法避免。用戶只要執行印表機就會自動安裝並啟動該驅動程式，過程中並不需取得用戶同意，也未告知用戶。而且每次開機，Windows就會重新載入這款驅動程式。不論用戶是USB連線或是無線連結印表機都會載入這有漏洞的驅動程式。</p> <p>該漏洞以編號CVE-2021-3438追蹤，CVSS 3.0風險評分為8.8，屬於高風險漏洞。</p> <p>安全公司指出，這項漏洞影響HP、三星超過380款印表機，以及十幾款全錄（Xerox）印表機。其中包括HP彩雷150系列、多功能事務機（MFP）170系列，及雷射印表機100系列。</p> <p>研究人員5月間向廠商通報這項已存在16年的漏洞。<a href="https://support.hp.com/us-en/document/ish_3900395-3833905-16" target="_blank">HP已在5月釋出修補安全公告</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0721-hp%20cve-2021-3438.png" style="width: 600px;" /></p> <p><a href="https://securitydocs.business.xerox.com/wp-content/uploads/2021/05/cert_Security_Mini_Bulletin_XRX21K_for_B2XX_PH30xx_3260_3320_WC3025_32xx_33xx.pdf" target="_blank">全錄也於同月釋出了修補程式</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0721-xerox%20cve-2021-3438.png" style="width: 600px;" /></p> <p>但為以絕後患，研究人員建議，為減少攻擊表面，開發人員在開發核心裝置物件時，應強制執行安全性強的存取控制清單(ACL)，驗證使用者輸入資料，並且不要讓核心模式運作曝露於通用介面。</p> </div></div></div>
2021/7/21 12:11作者林妍溱https://www.ithome.com.tw/news/145776
英特爾文件顯示Windows 11可能10月推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows 11公佈並釋出技術預覽版後有不少好評，市場也開始推測正式版上市時程，但微軟皆三緘其口。<a href="https://www.windowslatest.com/2021/07/19/intel-document-hints-at-possible-release-date-of-windows-11/" target="_blank">Windows Latest</a>報導，英特爾最近一份文件可能意外洩露Windows 11將在今年10月推出。</p> <p>報導指出，英特爾本月稍早公佈的DCH GPU驅動程式30.0.100.9684<a href="https://downloadmirror.intel.com/30579/eng/readme.txt" target="_blank">釋出公告</a>，列出對應的Windows版本。而在Windows 11，英特爾將之稱為October 2021 Update- version 21H2。</p> <p>報導還引述Windows主管<a href="https://twitter.com/brandonleblanc/status/1413371746527309830" target="_blank">Brandon LeBlanc</a>稍早的推特文，內容是Windows 11將沿用yyH2的代號命名法（例如Windows 10 20H2、21H1指的是2020年下半、2021年上半）來指稱Windows 更新版。綜合英特爾網路文件和這位微軟主管推文，可以得知Windows 11可能會在今年下半推出，且可能是10月。</p> <p>不過現在英特爾的網路公告前述文字都已經被移除，LeBlanc也移除該推特文。</p> <p>另一方面，<a href="https://www.ithome.com.tw/news/142588" target="_blank">微軟也預定會在今年下半釋出</a>代號Sun Valley的Windows 10 21H2更新。</p> <p><a href="https://twitter.com/_sumitdhiman/status/1413370546478215171" target="_blank">有人問道</a>，Windows 11會不會讓消費者和Windows 10 21H2搞混。但LeBlanc表示不用擔心，因為Windows 10和11介面差異非常大，拿到Windows 11的消費者絕對分得出來。此外，消費者可能也不關心21H1、21H2的版本差異。</p> <p>除了介面不同，Windows Latest報導，Windows 10 21H2和Windows 11 21H2的技術核心也不同，兩者核心版本代號分別是Vibranium 及Cobalt。</p> </div></div></div>
2021/7/21 12:25作者林妍溱https://www.ithome.com.tw/news/145777
Verizon將加入AT&T 與T-Mobile行列，於Android手機上預載Google打造的RCS傳訊程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國電信業者<a href="https://www.verizon.com/about/news/verizon-google-messaging-services-android" target="_blank">Verizon於本周宣布</a>，自明年起該公司所銷售的Android手機將內建由Google打造的Messages，這是基於豐富通訊服務（Rich Communications Service，RCS）標準的傳訊程式，而Verizon也是繼T-Mobile與AT&T之後，美國第三家採用Messages作為Android手機內建傳訊服務的電信營運商，意謂著這三家業者的Android用戶未來將可藉由Messages互相傳訊。</p> <p>RCS為新一代的通訊協定，主要用來取代傳統的SMS簡訊服務，它的功能已可凌駕坊間的傳訊程式，包括能夠呈現聯絡人的線上狀態，也具備聊天室、表情符號、位置分享、檔案分享等功能，也能在通話過程中進行多媒體內容的分享，有不少電信業者都開發了自己的RCS服務。本周Verizon的宣布代表美國前三大電信業者，都決定採用Google基於RCS所打造的Messages，作為內建的傳訊服務。</p> <p>根據<a href="https://www.gsma.com/futurenetworks/rcs/" target="_blank">GSM協會的統計</a>，全球已有90家電信營運商提供RCS服務，每月使用RCS的用戶數已超過4.7億。</p> <p>明年起Verizon所推出的所有Android手機都將預載Messages，Messages除了具備上述的RCS功能外，也提供端對端的通訊加密傳輸。</p> <p>Verizon說明，藉由與Google的合作，Messages將利用Verizon的網路與RCS傳訊服務來提供一般使用者的無縫傳訊經驗，此外，它們也將合作建立基於RCS的商家與消費者之間的傳訊生態體系。</p> <p>過去在Android平臺上使用的傳訊服務是分裂的，不像蘋果以iMessage統一所有的iOS平臺，Google則打算藉由Messages整合Android平臺上的傳訊經驗，不少媒體分析，Google此舉將對蘋果造成壓力，因為Android用戶彼此間可透過Messages通訊，但若傳訊給iPhone，就必須降級使用較不安全的SMS協定。</p> <p>目前Google並未釋出支援iOS的Messages程式，而蘋果現階段似乎也沒有採用RCS的計畫。</p> </div></div></div>
2021/7/21 13:06作者陳曉莉https://www.ithome.com.tw/news/145778
Netflix第二季營收成長19%，證實將推出遊戲服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Netflix周二（7/20）公布了<a href="https://s22.q4cdn.com/959853165/files/doc_financials/2021/q2/FINAL-Q2-21-Shareholder-Letter.pdf" target="_blank">今年第二季的財報</a>，該季創下73億美元的營收，比去年同期成長19%，顯示儘管疫情趨緩，因疫情而突飛猛進的營收並未因此而下滑，同時Netflix也證實除了串流影片之外，亦將在不加價的情況下推出遊戲服務。</p> <p>投資人最重視的是Netflix用戶數的變化，該季Netflix全球的訂閱用戶數為2.09億，高於去年同期的1.93億，亦優於上一季的2.07億。此外，Netflix第二季的每股盈餘為2.97美元，低於上一季的3.75美元，但優於去年同期的1.59美元。</p> <p>原本Netflix預期該季只會新增100萬名訂閱用戶，結果增加了150萬名，新增的付費會員中有2/3來自亞太地區。今年Netflix整年度的營業利益率目標為20%，高於去年的18%。</p> <p>在日前傳出Netflix挖角負責臉書Oculus裝置內容的Mike Verdu，準備踩進遊戲市場之後，Netflix也於財報中證實將切入遊戲市場。</p> <p>Netflix指出，目前該公司將遊戲視為另一個新的內容類別，如同Netflix先前跨足原創電影、動畫或即興節目一樣，因此，遊戲將會包含在會員們既有的訂閱中，不會加收額外的款項，主要將聚焦於支援行動裝置的遊戲。</p> </div></div></div>
2021/7/21 11:40作者陳曉莉https://www.ithome.com.tw/news/145775
Nvidia推出新一代推論開發軟體TensorRT 8，用於BERT-Large模型最佳化推論只要1.2毫秒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia 7月20日發布了新一代的深度學習推論軟體開發套件TensorRT 8，比起前一代TensorRT 7，TensorRT 8能將推論時間縮短一半、推論準確性提升一倍，Nvidia宣稱，以TensorRT 8最佳化超大Transformer模型BERT-Large，並部署在V100上執行，只要1.2毫秒就能完成推論，比TensorRT 7快2.5倍。而大幅提升效能的關鍵，就是TensorRT 8套件中的稀疏性（Sparsity）與量化感知訓練（Quantization aware training，QAT）兩大功能，前者透過減少運算來加速推論，後者則讓模型能以INT8精度來進行推論，卻不會損失推論的準確性（accuracy）。</p> <p>TensorRT是Nvidia在2016年底推出的深度學習推論軟體開發套件，主要包含兩部分，分別是用來進行調校的深度學習推論最佳化工具，以及能執行深度學習推理應用程式的Runtime，使用者可以將訓練好的神經網路輸入TensorRT中，產出經過最佳化的推理引擎。可支援包括TensorFlow、Pytorch、ONNX在內的多種深度學習框架，可最佳化的神經網路包括CNN、RNN與Transformer。可部署在資料中心、邊緣端、嵌入式平臺等任何Nividia的平臺中。</p> <p>Nvidia最新發布的TensorRT 8，更強調在語言相關應用的效能進展，能將模型推論速度加快一倍，尤其在一些需要大量參數的模型上，如搜尋引擎、廣告推薦、聊天機器人、對話式AI等應用，Nvidia解釋，因為這類模型通常具有更大量的參數，更不易在邊緣端進行推論，尤其在訓練完模型並部署到邊緣裝置時，可能面臨記憶體與算力不足問題，此時，開發者可能就得縮減模型的大小來進行推論，但準確率也隨之下降，若要維持準確率不變，就可能產生運算速度不足的問題。</p> <p>因此，Nvidia在TensorRT 8透過了兩大關鍵功能，來加快模型推論的效能。一為稀疏性（Sparsity），這是Nvidia去年在Ampere架構GPU中新增的一項技術，主張模型中並非每個權重都同等重要，若將不影響準確率表現的權重調整為零，就能在盡可能維持模型準確度不變的同時，減少不必要的運算，進而減少記憶體和頻寬的用量，來加快模型推論速度。Nvidia在過去一篇<a href="https://blogs.nvidia.com/blog/2020/05/14/sparsity-ai-inference/">部落格文章</a>中更比喻，稀疏性的作用，就像是玩樂高積木時，抽走幾塊積木後，仍可以不影響整體高度。</p> <p>另一項功能則是量化感知訓練。由於更低精度的模型，可以加速模型推論的時間，這項技術目的要將主要以浮點（Floating Point）來進行計算的模型（大多為FP32），以更低精度單位INT8來進行模型推論，並盡可能維持推論的準確性。這項技術可以顯著減少運算與儲存資源的消耗，提升處理核心（Tensor Core）的推論效能。</p> <p>Nvidia開發者部落格也曾<a href="https://developer.nvidia.com/blog/improving-int8-accuracy-using-quantization-aware-training-and-the-transfer-learning-toolkit/">介紹</a>，這項技術需要在模型訓練過程中，就透過修改訓練圖（training graph）來模擬低精度的行為，引入量化誤差作為訓練損失的一部分。也就是說，QAT是透過在模型訓練期間對量化誤差進行建模，藉此來減輕部署時，降低精度對於模型推論準確性的影響。</p> <p>TensorRT推出後下載近250萬次，使用者來自醫療保健、汽車、金融和零售等領域的27,500家企業，前一代TensorRT 7，更被運用在Nvidia幾個月前提交給MLPerf的推論評比中，以軟體輔助硬體提升模型運算效能，Nvidia表示，這項軟體是Nvidia GPU運算平臺在各項評比名列前茅的一大助力。</p> <p>TensorRT不只可以用來最佳化基於Transformer的模型效能，也可用於其他從電腦視覺、醫療影像、推薦系統、對話式AI、語音辨識、語意理解、語音生成（Text to Speech）等應用的模型。比如GE Healthcare，就將TensorRT用在超音波的機器視覺推論上。</p> </div></div></div>
2021/7/21 10:37作者翁芊儒https://www.ithome.com.tw/news/145768
腦波溝通成真，科學家用AI將腦波轉為文字
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加州大學舊金山分校（UCSF）研究人員開發了<a href="https://www.ucsf.edu/news/2021/07/420946/neuroprosthesis-restores-words-man-paralysis">語音神經義肢（Speech Neuroprosthesis）</a>，能夠將大腦的訊號翻譯成為文字顯示在螢幕上，讓重度癱瘓的人，也可以使用句子來與其他人進行交流，研究人員提到，這是第一次直接從癱瘓者的大腦活動，成功解碼出完整的單詞。該系統能以每分鐘18個字的速度，從大腦神經活動中解碼單詞，準確度可達93％。</p> <p>過去溝通神經義肢的研究重點，在於試圖以拼字的方式，一個一個字母地拼湊出完整的文本，但是UCSF這項新研究方法與過去的方向不同，研究團隊嘗試翻譯控制發聲系統肌肉的訊號，而不是移動手臂來進行打字的大腦訊號，研究團隊提到，這種方法利用了語音自然與流暢的特性，有望更快實現基本的溝通。</p> <p>使用語音來交換訊息，每分鐘可以高達150到200個單字，比使用打字、書寫和控制游標，這些基於拼寫的方法快得多，也不那麼費力，這個新方法更接近一般說話的方式。這項研究的部分貢獻，來自於UCSF癲癇中心的患者，這些患者在接受神經外科手術時，醫生在大腦表面放置電擊陣列，來查明癲癇發作的原因，這同時也促進了研究人員的進展。由於這些癲癇患者都具有正常的語言能力，研究人員對他們的大腦進行記錄與分析，藉以找到大腦訊號和語言相關活動的關係。</p> <p>研究人員對應每個輔音和元音，在聲道（Vocal Tract）運動與相關的皮層活動模式，開發出即時解碼系統以及統計語言模型，來提高解碼的準確度。不過，即便有了這些成果，可以在能夠說話的參與者身上成功解碼語音，但並不保證同樣技術應用在聲道癱瘓的人身上也有相同效果，研究人員提到，模型需要學習複雜的大腦活動模式，對應癱瘓者想說的話，而且研究團隊也無法確定，長年無法控制聲道肌肉的人，其大腦在控制聲帶的訊號，是否依然正常。</p> <p>研究團隊找來代號為BRAVO1的受試者，BRAVO1是一位30多歲腦幹中風的男性，其大腦、聲道和四肢的神經連接遭到破壞，過去僅能透過棒球帽上的箭頭，以有限的頸部活動，在螢幕上觸控字母與其他人溝通。BRAVO1與研究人員合作，使用50個單字的字彙表，創建數百個適用日常概念的句子。</p> <p>藉由在BRAVO1的語音運動皮層，植入高密度電極陣列，紀錄BRAVO1嘗試說出這50個單字時，說話語音皮層的大腦神經活動。接著再利用人工智慧神經網路模型，區分大腦活動的模式，以偵測BRAVO1嘗試說出的單詞。</p> <p>BRAVO1被要求嘗試說出由50個單字所組成的短句，系統會解析大腦活動，並且在螢幕上顯示短句。該系統每分鐘可以解碼18個單字，在應用類似打字校正等自動更正語言模型，準確率更可高達93％。</p> <p>研究人員提到，這項成果證明，以該方法促進交流具可行性，且擁有在對話環境中應用的潛力。</p> </div></div></div>
2021/7/21 10:52作者李建興https://www.ithome.com.tw/news/145767
【打破傳統企業內網預設安全思維，Zero Trust概念持續演進】網路安全架構新時代，用零信任面對現代資安威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，在網路安全的觀念上，零信任是越來越熱門，不僅資安專家、廠商都在提倡，在2020年8月，美國國家標準暨技術研究院（NIST）發布了SP 800-207標準文件，不只是成為美國政府所需的零信任原則網路安全架構，在國際上，也成為企業組織實踐零信任的重要參考。</p> <p>這股零信任的浪潮已經開始，並且持續發酵，在2020年10月，美國NIST旗下國家網絡安全卓越中心（NCCoE）也預告，將推出相關SP 1800系列指引，幫助當地企業落實零信任。</p> <p>不僅如此，到了2021年2月，美國國安局（NSA）發布了「擁抱零信任安全模型」的技術指引，同年5月，美國國防部國防資訊系統局（DISA）也宣布，將推出零信任參考架構。</p> <p>顯然，隨著零信任架構的發展到了全新階段，不只是資安業界提倡，如今，更是已經成為國家層級都相當看重的網路安全新策略。</p> <p>而這股應用零信任的風潮，現在也正吹向臺灣。其實在前兩三年，我們就已看到不少廠商打出零信任的大旗，提倡新的網路安全觀念，但在國內仍是少見且新鮮的議題，特別的是，在2021臺灣資安大會上，許多講者都開始探討或提及零信任。</p> <p>在這樣的趨勢之下，零信任已成網路安全防護的新焦點，加上2020年全球疫情持續至今，使得遠端工作議題重新被思考，臺灣在2021年也深受其影響，因此，對於零信任這樣的網路安全趨勢，勢必成為臺灣企業與組織，都值得參考與重視的資安思維。</p> <p><span style="font-size:28px;"><strong>零信任網路安全的發展，已歷經10年的研究</strong></span></p> <p>關於零信任的網路安全戰略，這股資安防護趨勢其實醞釀已久，到了最近幾年，才成為熱門焦點。</p> <p>事實上，隨著BYOD與雲端服務的興起，以及遠端存取等需求，許多年前，已經開始讓企業的網路環境有所變化，傳統單純以「內」、「外」來區隔的企業防護，已經逐漸被打破而成為備受關注的議題，更深一層來看，其實，在這樣的態勢之下，已經逐漸促使企業網路內外的邊界消失。而2020年後疫情影響下的大規模實施居家辦公，以及近年推動的數位轉型工程，再次讓企業積極評估相關風險，並驅動著零信任網路架構的持續發展。</p> <p>然而，儘管ZTA概念持續發展，在這10多年來逐漸成形，但還是有很多人對於ZTA的認知，僅有模糊的概念，而且，到底零信任本身的發展是否達到成熟的程度？可能還是許多人的疑問。</p> <p>簡單來說，自從2003年在Jericho論壇，開始有跨國工作小組探討網路邊界消弭（De-perimeterisation）的議題，到了2010年，有了較為具體的零信任概念浮上檯面，因為時任Forrester Research首席分析師John Kindervag，在此時提出零信任模型（Zero Trust Model）。</p> <p><span style="font-size:28px;"><strong>Google實踐與推動經驗帶動潮流</strong></span></p> <p>不過，要將零信任網路安全架構化為可能，還是需要實踐，在2014年，Google釋出了一份名為BeyondCorp的文件，成為焦點。</p> <p>根據Google說明，當時幾乎每家公司都使用防火牆來強化企業邊界的安全，然而，這種安全模型是有問題的，因為當邊界被破壞時，對攻擊者而言，相對是容易存取公司內部網路。因此，Google在網路安全採取了不同的方法，取消內部網路特權的要求，之後他們並長期推動這項計畫。</p> <p>Google之所以這麼做，是從他們在2009年遭遇網路攻擊後，開始有了這樣的構想。該起事件，被稱之為極光行動（Operation Aurora），當時該公司的Gmail服務在12月中旬，遭遇了來自中國的APT攻擊，同時還有20家業者也遭受類似的攻擊，包括Adobe、Juniper Networks等。</p> <p>在上述資安事件後，Google提出了新的內部計畫，目的是希望能了解員工與設備是如何存取內部應用程式，並重新建構自家網路安全架構。</p> <p>經過五年的醞釀，Google先是在2014年對外正式公開BeyondCorp的架構與存取流程，並在2016年公布他們本身是如何設計與部署。</p> <p>從Google這七年來的努力來看，也意味著打造零信任網路安全環境，已經不再是空談。</p> <p>到了最近三到五年，基於零信任的網路安全，呈現高度發展並持續演化的局面。例如，在Google長期推動之下，他們後續又將BeyondCorp實作於Cloud IAP，再將此內部應用轉化為商用服務，於2020年8月宣布推出BeyondCorp Remote Access解決方案，之後又擴大解決方案功能，在2021年1月發表BeyondCorp Enterprise。</p> <p>事實上，不只是Google投入零信任，這幾年我們看到許多科技與資安業者，都基於零信任概念，持續研究發展網路安全架構或產品。同時，對於零信任的探討也不曾停歇。例如，在2018年，市調機構Gartner提出他們的看法，指出網路安全應基於風險與信任，做到持續監控、評估、學習與調整，達到精實的信任（Lean Trust），而零信任只是朝向此目標的第一步。</p> <p><span style="font-size:28px;"><strong>零信任已成美國國家級資安戰略，政府、企業與國防都看重</strong></span></p> <p>隨著零信任概念的演進，不只是資安界與科技大廠關切，更是成為國家級資安戰略，美國政府甚至已經採取行動。</p> <p>由於美國政府倡議採用零信任原則與方法，來保護政府資訊系統與網路，所以，在兩年前，2019年2月，美國NIST及旗下美國國家網絡安全卓越中心（NCCoE），在聯邦政府CIO聯席會（CIO Council）授權下，正式啟動零信任架構（Zero Trust Architecture）計畫。</p> <p>在2020年8月，NIST正式頒布SP 800-207標準文件，旗下NCCoE也已啟動Implementing a Zero Trust Architecture計畫，並在2020年10月，發布計畫說明文件，預告將藉由自家實驗室提供ZTA導入範例，並推出零信任相關的SP 1800系列實踐指南。</p> <p>再加上2021年2月，美國國安局（NSA）發布了「擁抱零信任安全模型」的技術指引，解釋採用零信任模型的優點之餘，他們並強烈建議：美國當地的國家安全系統、國防安全網路，以及國防工業的關鍵網路系統，都應該考慮零信任安全模型。後續，美國國防部國防資訊系統局（DISA）也在同年5月宣布，將提供零信任參考架構。</p> <p><span style="font-size:28px;"><strong>網路安全零信任已然成形</strong></span></p> <p>整體而言，持續演進的零信任網路安全架構，到了這兩年來，確實已經變得越來越具體，指出了傳統邊界防護策略的局限──舉例來說，傳統透過VPN讓員工進入內網的作法，一旦VPN帳密或憑證被竊，內網就被輕易突破。</p> <p>相對地，在零信任概念上，是假設使用者帳戶與裝置都不能信任，因此強調內部網路應該如同外部網路，要有同樣的安全政策。</p> <p>這種不信任的態度，如同白名單先預設都封鎖的作法，但零信任同時還強調了持續驗證以確保安全，包括藉由充分資料收集與分析，以及利用自動化達到即時決定，做到監控衡量現況與動態調整，以持續地活化整體防禦。</p> <p>無論如何，網路安全零信任已有長足的發展與推動，決定採用的態度也越來越明顯，特別是在NIST SP 800-207發布之後，這不僅是讓美國政府對於零信任有遵循的依據，並可以讓外界對於日後的相關討論，能更有共識。</p> <p>從這股零信任的發展潮流來看，對於臺灣企業與組織而言，勢必也成為必須關切的重要議題，最近一年以來，幾乎成為各家廠商與專家都暢談的議題。接下來，我們將介紹SP 800-207零信任架構，同時也找來熟悉這方面的資安專家與業者來解說，幫助大家更進一步理解與認識新世代網路安全策略。</p> <p><span style="font-size:36px;"><span style="color:#3399ff;"><strong>零信任網路安全的五大重要演進歷程</strong></span></span></p> <p><span style="color:#B22222;"><strong>2003、2004年</strong></span></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96A%EF%BC%89%E9%9B%B6%E4%BF%A1%E4%BB%BB%E6%BC%94%E9%80%B2.jpg" style="width: 307px;" /></strong></p> <p><span style="color:#696969;"><strong>Jericho論壇開始探討網路邊界消弭（De-perimeterisation）的議題，聚焦無邊界趨勢下的網路安全解決方案</strong></span></p> <p><strong><span style="color:#B22222;">2010年11月</span></strong></p> <p><strong>《Build Security Into Your Network's DNA: The Zero Trust Network Architecture》</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96B%EF%BC%89%E9%9B%B6%E4%BF%A1%E4%BB%BB%E6%BC%94%E9%80%B2.jpg" style="width: 307px;" /></strong></p> <p><span style="color:#696969;"><strong>Forrester Research前副總裁John Kindervag提出零信任（Zero Trust Model）模型，預設不信任任何事物</strong></span></p> <p><span style="color:#B22222;"><strong>2014年12月</strong></span></p> <p><strong>《BeyondCorp》</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96C%EF%BC%89%E9%9B%B6%E4%BF%A1%E4%BB%BB%E6%BC%94%E9%80%B2.jpg" style="width: 307px;" /></strong></p> <p><span style="color:#696969;"><strong>Google釋出BeyondCorp文件公開其架構與存取流程，建立信任並持續驗證</strong></span></p> <p><strong><span style="color:#B22222;">2018年12月</span></strong></p> <p><strong>《Zero Trust Is an Initial Step on the Roadmap to CARTA》</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96D%EF%BC%89%E9%9B%B6%E4%BF%A1%E4%BB%BB%E6%BC%94%E9%80%B2.jpg" style="width: 307px;" /></strong></p> <p><span style="color:#696969;"><strong>Gartner提出精確足夠的信任－－Lean Trust，以信任與風險為中心，持續動態調整信任評估</strong></span></p> <p><span style="color:#B22222;"><strong>2020年8月</strong></span></p> <p><strong>《NIST SP 800-207》</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96E%EF%BC%89%E9%9B%B6%E4%BF%A1%E4%BB%BB%E6%BC%94%E9%80%B2.jpg" style="width: 307px;" /></p> <p><span style="color:#696969;"><strong>美國聯邦倡議採用零信任原則和方法來保護資訊系統與網路，NIST推出SP 800-207標準文件。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/145711" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1034-feng_mian_gu_shi_open-960x420_kao_bei_.jpg?itok=WIC6qBw3" style="width: 550px;" /></a></p> </div></div></div>
2021/7/21 07:00作者羅正漢https://www.ithome.com.tw/news/145708
【搞懂零信任，從理解NIST SP 800-207著手】打造以零信任原則的企業網路安全環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年5月12日，美國總統拜登下達行政命令，公布多項國家網路安全策略，期望改善該國的資安現況，當中最受關注的焦點之一，就是推動美國聯邦政府網路安全現代化，要求導入零信任架構的網路安全策略。</p> <p>當中指出，美國政府自身必須採取果斷措施，讓達成網路安全的方法能跟得上時代，包括提供政府對威脅的可見度，以及保護隱私與公民自由，因此，美國政府必須朝向零信任架構（Zero Trust Architecture）邁進，並加快腳步遷徙到安全雲端服務。</p> <p>由於在2020年8月，NIST已公布SP 800-207標準文件，成為美國政府採用ZTA的指南，在2021年5月這次的行政命令中，更是規定當地政府機構要在60天內，制定實施ZTA的計畫，並參考NIST標準文件指引的導入建議。</p> <p>因此，我們別以為這樣的應用離現實還很遠！在國際上，零信任概念帶來的資訊安全架構重要轉變，已經邁向普遍應用的階段。</p> <p class="rtecenter"><span style="color: rgb(51, 153, 255);"><span style="font-size: 36px;"><strong>NIST零信任架構的組成</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1034-cover-3-600.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">零信任架構中最主要的關鍵，就是每次資源存取都要經過存取控制的政策落實點（PEP）去確認是否放行，而此背後則是藉由相應的政策決策點（PDP）來判斷，特別的是，當中的政策引擎除了依據企業制定的資料存取政策，還應分析威情情資、SIEM、活動日誌等多方資訊，來做到基於風險的評分以進行決策。</span></strong><span style="color: rgb(105, 105, 105);">資料來源：NIST，iThome整理，2021年7月</span></p> <p><span style="font-size:28px;"><strong>隨著企業網路環境的改變，網路安全架構也該翻新</strong></span></p> <p>零信任的網路安全策略，演變至今，由NIST公布的SP 800-207標準文件，可說成為各界瞭解ZTA的重要參考依據。不過，對大多數國內企業組織而言，對於ZTA可能仍一知半解，為了更完整掌握這樣的概念，我們找來臺灣科技大學教授查士朝進行解讀，他曾在今年臺灣資安大會上，剖析箇中關鍵NIST SP 800-207標準文件。</p> <p>若要了解零信任，有那些重點要注意？首先是基本背景，NIST SP 800-207第一章，就是針對這部分的整理。</p> <p>簡單來說，現在IT架構變得複雜，超越了傳統網路邊界安全的作法，因為企業網路邊界並不是單一存在，並且難以識別。所以，一旦攻擊者突破邊界後，後續橫向移動則是暢通無阻。查士朝表示，ZTA主要就是針對傳統強化邊界的方法，面對BYOD、雲端服務與遠端工作等新興存取方式的挑戰而發展。</p> <p>因此，現在提倡的新型網路安全模式，稱之為零信任。基本上，零信任的方法，著重於資料與服務的保護，但也應該擴展到所有企業資產與主體，這些企業資產包括裝置、基礎架構元件、應用程式，以及虛擬與雲端元件，而主體也包括來自使用者、應用程式或機器的資源請求。</p> <p>根據NIST說明，零信任架構ZTA，是基於零信任原則企業網路安全架構，目的是為防止資料外洩與限制內部橫向移動。零信任非單一的架構，而是關於工作流程與系統設計與營運的指導原則。</p> <p>特別的是，NIST指出，過渡到ZTA將是一段旅程，並非透過全面的技術更換就能完成。其實，現在多數組織的IT基礎設施，都已經有ZTA的元素，因此組織應逐步尋求零信任原則的實施、流程的變更，以及技術解決方案。</p> <p><span style="font-size:28px;"><strong>遵循的原則與信任關係是關鍵，組織內外資安管控應一致</strong></span></p> <p>在NIST SP 800-207第二章中，提供了外界更多關於零信任的基礎知識。這裡有兩大部分值得重視：一是具體描繪出ZTA的設計與部署需遵循的基本原則，另一是提供了從零信任的視角來看待網路的假設與見解。對於導入ZTA的組織而言，有了基本原則與相關假設，就能根據這些來進行開發設計。</p> <p>根據NIST說明，零信任是聚焦於資源保護為核心的網路安全模型。從其定義來看，零信任提供了一系列概念與相法，重點在於防止未經授權存取資料與服務，使存取控制盡可能做到更精細。</p> <p>但是，存取控制有其不確定性，因此重點將放在身分驗證、授權與限縮信任區域，而且，需要盡可能減少身分驗證機制的時間延遲，保持可用性，並盡可能讓存取規則更精細，讓每次資源存取請求的操作，只提供所需的最小權限。</p> <p>而在過渡到ZTA時，NIST也強調，不是單純替換技術就可做到，而是關係到組織如何在其任務中評估風險的過程。</p> <p>為了說明這方面的存取控制，NIST提供簡要的存取模型。當使用者或機器需要存取企業資源時，會經過政策落實點（PEP），以及相應的政策決策點（PDP）來授予權限，為的是即時基於風險評估的結果，決定是否能夠存取。</p> <p>查士朝指出，NIST在此章節還統整出ZTA設計應遵循的7大基本原則，簡而言之，主要是：識別可存取資源、連線安全、妥善存取控制、考量存取者狀態、了解資源狀態，以及監控裝置與資源風險，持續蒐集資訊與改善。</p> <p>而關於零信任架構的設計與部署，都要依據這些原則來進行，但NIST也說這些原則是理想的目標，畢竟，並非所有原則都能以最純粹的形式來實現。</p> <p>另一方面，NIST也列出零信任角度下對於網路的6大假設，包括：</p> <p>（1）企業私有網路不能預設為信任區</p> <p>（2）網路中的裝置有可能不是企業所擁有的，或是能被設定的</p> <p>（3）任何資源並非天生就可受信賴</p> <p>（4）並非所有企業資源都位於企業擁有的基礎架構上</p> <p>（5）遠端使用者存取企業主體與資產時，不能完全信任本地的網路</p> <p>（6）在企業與非企業基礎建設之間移動的資產與工作流程，應具有一致的安全政策與安全狀況。</p> <p><span style="font-size:28px;"><strong>不僅要持續驗證，存取控制也應基於風險評估而動態調整</strong></span></p> <p>要如何實現零信任架構？在NIST SP 800-207第三章中，描繪ZTA邏輯元件的架構圖，呈現ZTA核心元件的關係。</p> <p>基本上，我們可將網路控管環境，區分為資料層，以及控制層。從資料層面來看，當任何主體透過系統要存取企業資源前，需先經過存取控制的政策落實點（PEP），決定是否給予權限。</p> <p>而在這PEP的背後，將會藉由控制層所相應的政策決策點（PDP）來判斷，而PDP內部本身包含兩部分，分別是負責演算的政策引擎（PE），以及負責策略執行的政策管理（PA）。</p> <p>同時，在決策過程中，還會引入多方與外部資訊來幫助決策，包括：企業建立的資料存取政策、PKI、身分管理系統、SIEM平臺資訊，以及威脅情報、網路與系統活動日誌，還有美國政府已提出持續診斷與緩解（CDM）系統，以及產業合規系統等。</p> <p>查士朝表示，因此ZTA不只是依照管理者設定的政策去判斷可否放行，政策引擎還要考量到多方外部資訊，做到即時調整控制權限。</p> <p>另一方面，在此章節中，NIST還說明了一些較為技術性的內容，包含ZTA的3項必要技術，4種ZTA部署方式，以及政策引擎在考量多方與外部資訊時，所建議的可信任演算法、風險評分機制，同時，還有ZTA網路環境的需求。</p> <p>舉例來說，由於ZTA並非單一架構，因此組織可透過多種方式為工作流程制定ZTA，因此NIST更是說明，完整的零信任解決方案，將具備3項要素，包括：進階的身分治理（Enhanced Identity Governance）、網路微分割（Micro-Segmentation），以及軟體定義邊界（Software Defined Perimeters）。</p> <p>在部署方式上，由於每個公司與組織的環境不同，NIST只是簡單提出4種情境。簡單來說，前兩種是基於代理程式（Agent）的模式，差異在於存取資源時是否經過單獨的網路閘道器，或是將很多資源部署在同個網段，經過同一個網路閘道器，後兩種則是沒有Agent的模式，不同處在於：一個是經過網頁入口，另一是透過沙箱。</p> <p>查士朝認為，要理解這些部署方式，其實可從在家工作的角度去思考，例如，透過下列3種狀況來比較差異，包括：（1）完全隔離的工作環境、（2）在辦公室工作、（3）異地分區辦公。如此一來，能夠更便於設想。</p> <p>舉例來說，我們可以試想遠距或行動辦公會面臨的資安威脅。此時，通常較欠缺實體安全防禦，也缺乏維護作業環境安全能力，而且居家也可能受到網路攻擊，以及釣魚郵件攻擊，還有不安全的網路連線伺服器主機，以及未妥善保護的企業網路資源等。</p> <p>為了讓大家對ZTA更有概念，他特別提到遠端連線的種類，並引用SP 800-46來對照說明。</p> <p>基本上，遠端連線包括直接應用程式存取、Tunneling、遠端桌面存取，以及入口（Portal），而在ZTA中，VPN只是連線工具，而非安全機制，遠端桌面則有很多缺點，當遠端機器很多時，容易產生安全問題，企業可能透過VDI做到集中式管理，因此，ZTA方案多半屬於入口網站形式，透過入口伺服器的驗證，再讓主體去存取後面的資源，Google的BeyondCorp就是典型的例子。</p> <p>整體而言，查士朝認為ZTA有5大關鍵，包括保護裝置安全、識別存取者身分、存取控制、持續監控並視為存取控制依據，以及現在存取範圍，並以存取控制為核心，來考量其他技術元件。</p> <p><span style="font-size:28px;"><strong>對於ZTA整體布局情境，NIST現階段僅提出較籠統的說明</strong></span></p> <p>ZTA有哪些參考使用案例？在NIST SP 800-207第四章稍微提到，針對部署情境舉出5種企業型態的例子。像是：擁有衛星工廠的企業，使用多種雲端服務的企業，擁有合約服務與非員工存取的企業，跨企業邊界協作的企業，以及面向公眾或客戶服務的企業。</p> <p>查士朝指出，這部分主要是在很單純的實務情境中，說明可以如何部署，但細節並未著墨太多。</p> <p>至於接下來兩章的內容，分別是探討ZTA的相關威脅，以及ZTA與美國既有聯邦指引的關連，包括美國政府在各方面提出的資安框架，以及法規要求等。</p> <p><span style="font-size:28px;"><strong>邁向零信任從評估著手，企業流程更是重要</strong></span></p> <p>由於邁向ZTA並非一蹴可幾，因此NIST在這份標準文件的最後（第七章），特別提供了導入ZTA的步驟建議，讓企業對於ZTA的導入更有方法。</p> <p>以ZTA部署生命週期而言，首先要做到評估，這方面包含了系統清單、使用者清單，以及企業流程審查。也就是一開始就要對資產、主體與業務流程，有詳細的瞭解，否則，一旦無法掌握企業現況，企業將無法確定需要那些新流程系統。而在評估之後，步驟則是風險評估與政策制定、部署與作業。</p> <p>值得關注的是，NIST在這份文件說明掌握業務流程的重要性，因為，相關調查的進行，都與組織業務流程檢查有關。同時，這些步驟可與NIST風險管理框架（RMF）的SP 800-37相對應。這是因為，採用ZTA的每個過程，也就是降低組織業務功能風險的過程。</p> <p>整體而言，包括要識別企業中的攻擊者，識別企業擁有的資產，接著要清查的部分，是關鍵流程並評估相關風險，之後再來制定ZTA策略與選擇ZTA解決方案。</p> <p>而在制定存取控制的政策時，也要考慮到基於風險評估的判斷，後續，還要加強對於行為的監控。</p> <p><span style="font-size:28px;"><strong>零信任的下一關注焦點：ZTA的SP 1800系列實踐指引將發布</strong></span></p> <p>就現階段而言，有意導入ZTA的企業，NIST SP 800-207無疑是必須參考的內容，這其實也讓日後各界在討論ZTA時，能夠有一致、共通的語言來溝通，至於後續是否還有其他更具體的資料可供大家參考？</p> <p>事實上，美國NIST與旗下國家網路安全卓越中心（NCCoE），在2019年2月，啟動了零信任架構的計畫，當中有部分工作與此有關──除了發布NIST SP 800-207標準文件，他們還規畫Zero Trust Test Lab實驗室，以建立符合使用情境的網路環境，統整零信任技術與元件，進行場景測試。</p> <p>NCCoE也表示，將啟動實施ZTA的計畫。他們已經在2020年10月，發布專案描述文件「Implementing a Zero Trust Architecture」，這裡主要提供6個情境，而且是針對的是存取的情境來舉例，同時也預告日後將發布基於零信任架構的SP 1800系列指引，以及提供最佳實務與資源，屆時企業可以同時參考標準文件與實踐指引，在設計、推動與落實零信任概念時，將會更有幫助。</p> <p class="rtecenter"><span style="color: rgb(51, 153, 255);"><span style="font-size: 36px;"><strong>零信任7大原則</strong></span></span></p> <p><strong><span style="color: rgb(105, 105, 105);">1.　所有的資料來源與運算服務都要被當作是資源。</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">2.　不管適合哪個位置的裝置通訊，都需確保安全。</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">3.　對於個別企業資源的存取要求，應該要以每次連線為基礎去許可。</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">4.　資源的存取應該要基於客戶端識別、應用服務，以及要求存取資安可觀察到的狀態，以及可能包括的行為或環境屬性，去動態決定。</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">5.　企業監控與衡量所有擁有與相關資訊資產的正確性與安全狀態。</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">6.　在允許存取之前，所有的資源的身分鑑別與授權機制，都要依監控結果動態決定，並且嚴格落實。</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">7.　企業應該要盡可能收集有關資訊資產、網路架構、骨幹，以及通訊的現況，並用這些資訊來增進安全狀態。</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">資料來源：NIST，iThome整理，2021年7月</span></strong></p> <p><a href="https://www.ithome.com.tw/article/145711" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1034-feng_mian_gu_shi_open-960x420_kao_bei_.jpg?itok=WIC6qBw3" style="width: 550px;" /></a></p> </div></div></div>
2021/7/21 07:00作者羅正漢https://www.ithome.com.tw/news/145709
【臺灣企業應加強對於零信任的認知】迎接零信任時代！從盤點資產與資料流程著手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對零信任的議題，隨著各大資安廠商的推動，以及美國NIST SP 800-207的文件發布，臺灣企業與組織也很關心此一發展，但現階段應該要有那些認知呢？我們找來多位資安專家與業者來解說，由他們提出具體的建議。</p> <p><span style="font-size:28px;"><strong>NIST已界定ZTA問題範圍，奠定未來實作方向</strong></span></p> <p>儘管零信任已經談了很多年，但隨著NIST SP 800-207文件發布，探討並說明如何建立零信任架構（Zero Trust architecture，ZTA），對於ZTA邁向實務的發展而言，有很大的意義。</p> <p>臺灣科技大學教授查士朝指出，這份標準文件，不僅是提供美國政府遵循的依據，也可作為日後各界討論ZTA時，可以作為名詞上的共識，創造同樣的說法讓各界去應用，而後續也會有相關的SP 1800系列的網路安全實作指南，提供ZTA的實務指引。</p> <p>對於SP 800-207帶來的益處，奧義智慧資深研究員陳仲寬指出，它確定了各方探討零信任時的問題範圍，包括提出了ZTA邏輯元件構成，以及部署情境與用例。</p> <p>同時，此文件也提供了具體的作法。例如，針對邁向零信任的步驟提出說明，包含當ZTA與傳統架構並存，以及在傳統網路架構導入ZTA的步驟。因此，NIST不僅是提出具體的架構，也提出如何漸進發展為ZTA的方式。</p> <p>此外，由於這是第一個由政府研究單位發布的白皮書，與之前許多廠商提出的白皮書相比，NIST在各方面較為客觀，而且，在SP 800-207發布後，主要零信任解決方案的廠商也都做了與該文件的對照。因此，其重要性不言而喻。</p> <p><span style="font-size:28px;"><strong>釐清零信任網路安全的含意，有助於與各方的溝通與討論</strong></span></p> <p>雖然零信任議題當紅，各界看重其可帶動網路安全的提升，但我們實際看待「零信任」議題時，還是有些觀念有必要先釐清。</p> <p>舉例來說，近年在資安界熱議的零信任，不論是零信任模型，以及零信任架構，都是基於企業網路安全範疇而論。</p> <p>然而，一般人在接收零信任的觀念時，若不清楚有相關前提，就字面上的直覺念頭，可能會認為這只是「採取全不信任的態度」，或是聯想到「盡可能限縮被攻擊的表面」，雖然部分概念上並沒有錯，但基於零信任的網路安全，其內涵並不只是如此，而這樣的認知落差，就很有可能容易產生混淆。</p> <p>另一方面，許多資安廠商都已呼應零信任，或是提出打著零信任旗幟的解決方案，當企業用戶在看待這樣的字詞時，也可能容易有認知落差。</p> <p>查士朝表示，現在很多產品號稱與ZTA相關，但企業用戶必須了解：這些解決方案是滿足ZTA的哪些方面需求？</p> <p>他認為，最簡單的方式，可藉由ZTA的5大關鍵元素來區分，包括最核心的存取控制、以及識別存取者身分、持續監控並視為存取控制依據，還有保護裝置安全與限制存取範圍，以分辨該方案所涵蓋的面向。</p> <p>換言之，這將有助於要導入ZTA的企業用戶，能夠理解各家解決方案對應到的環節，或只是某環節下的一部分。讓企業在看待這些解決方案時，可以更有邏輯。</p> <p>關於各廠商提出的ZTA方案，工研院產業與經濟研究中心電子與系統研究組研究經理徐富桂認為，由於每家廠商作法都不太一樣，企業用戶需考慮自身環境與情境，才能有效去應用。</p> <p>以Google的BeyondCorp為例，可支援雲端、企業內部部署或混合式環境，其作法是用戶需連至特定的網站入口（Portal），以瀏覽器介面為主，因此，不同於在端點安裝代理程式（Agent）的方式。</p> <p>而在政策引擎的設計方面，每家廠商做法也會不同，使用的AI、機器學習、自動化等技術，以及風險評估的機制，也會成為各廠商技術上的獨到之處。</p> <p><span style="font-size:28px;"><strong>臺灣企業多半對零信任還陌生，階段式導入從掌握現況做起</strong></span></p> <p>現在是否為邁向零信任網路安全的最好時機？過去企業可能對於BYOD、雲端應用與遠端工作等，已採取各自的解決方案，但相較之下，基於零信任原則的網路安全架構，算是比較完整且全面，可視為增強網路安全架構的基石。</p> <p>對此，查士朝表示，隨著現在遠端工作的議題，企業在考量遠端工作時，順便朝ZTA架構發展，其實是不錯的時機點，但還是要看企業本身是否真的想強化網路安全。他另提到的是，美國國防部發表網路安全成熟度模型認證CMMC，此議題也很值得重視，是更具強制力的作法。</p> <p>而對於臺灣ZTA的發展現況，徐富桂表示，他在2020年舉行的RSA大會上，已經看到不少廠商都有ZTA解決方案，國外這方面的發展算是趨於成熟，不過，他認為，臺灣企業對於零信任網路安全的認知，目前是相對比較不足。</p> <p>至於是否已有臺灣企業開始朝ZTA邁進？徐富桂表示，已聽聞少數新竹的中小企業開始這麼做。</p> <p>由於邁向零信任，並不是一步到位，究竟要花多久時間才能達到這樣的終極目標？這並沒有普遍的答案，就現階段而言，該如何著手，是有意導入ZTA的企業可關注的焦點。</p> <p>基本上，NIST SP 800-207已提供導入的步驟，當中提到企業可以先從評估開始，而就現階段而言，我們如果要開始實踐ZTA，有那些需要注意的地方？</p> <p>戴夫寇爾執行長翁浩正表示，ZTA的重點可先放在資安管理：先清查有那些資產，再來做管理面的盤點，該公司事業發展經理鍾澤華強調，在盤點過程中，還有個容易忽略的重要觀念，那就是，必須要掌握業務單位的資料流，以瞭解現有的工作流程能否跟ZTA結合。</p> <p>對此，奧義智慧陳仲寬同樣指出這方面的重要性，他認為，瞭解企業資料怎麼被應用相當重要──因為，企業過去較少針對存取路徑的盤點，釐清之後，才能知道要在那些地方部署存取管控點，以監控到所有資源存取。而且，除了考量使用者的存取，現在企業內部有很多工作流程，其實是機器在執行存取行為，這同樣要納入考量。</p> <p>綜合上述說法，我們可以發現，企業在初期邁向零信任時，資料流的盤點可能是一大挑戰。</p> <p><span style="font-size:28px;"><strong>零信任是一段旅程，企業須重新思考如何做到更嚴謹的資料存取控制</strong></span></p> <p>無論如何，零信任的網路安全策略，已經成為當今一大趨勢，能夠解決資料外洩、內網預設信任等問題，但要達到終極目標，也將面對一些挑戰，畢竟，從現有的邊界防護策略過渡到零信任網路安全策略，也需要漸進的導入過程，也難怪資安界常說推進到零信任將是一段旅程。</p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>從攻防角度看零信任網路安全</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX%E4%B8%BB%E5%9C%96%EF%BC%89%E5%BE%9E%E6%94%BB%E9%98%B2%E7%9C%8B%E9%9B%B6%E4%BF%A1%E4%BB%BBNEW.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>企業該如何看待零信任網路安全策略？奧義智慧資深研究員陳仲寬表示，若對照安全模型Cyber Defense Matrix（CDM）的框架而言，零信任架構有助於整個識別與保護面向的強化。</strong>（圖片來源／奧義智慧）</span></p> <p>面對零信任網路安全，不只是降低資料外洩、解決內網預設信任等問題，從防禦與攻擊角度來看，也是資安與IT單位可延伸探討的議題。</p> <p>以防禦觀點而言，奧義智慧資深研究員陳仲寬表示，從安全模型Cyber Defense Matrix（CDM）來看，在這個5乘5的矩陣中，零信任所涵蓋的範圍，可說是整個識別與保護的面向，包含了裝置、應用程式、網路、資料與使用者的範疇。他並指出，過去幾年，資安韌性已成為許多研究單位重視的一環，其中NIST SP 800-160 Vol. 2 也陳述了如何從系統設計的層面，從早期就加強資安韌性。但所提的技術繁雜，有些互相呼應，有些相互衝突。而零信任架構則是在「沒有隱性信任（Implicit trust）的主軸」下，可以實作資安韌性的方式。</p> <p>而從攻擊者角度而言，零信任網路安全也需與其他資安議題呼應。戴夫寇爾執行長翁浩正指出，在很多攻擊事件或演練經驗中，攻擊方會繞過身分驗證機制，依此思考模式，因零信任導入的機制，是否也可能成為駭客的新目標；同時，還要注意零信任實作面不足的情況，或是ZTA所信任的PEP可能被攻破，這些風險面將是管理上與軟體供應鏈等資安議題的範疇。</p> <p><a href="https://www.ithome.com.tw/article/145711" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1034-feng_mian_gu_shi_open-960x420_kao_bei_.jpg?itok=WIC6qBw3" style="width: 550px;" /></a></p> </div></div></div>
2021/7/21 07:00作者羅正漢https://www.ithome.com.tw/news/145710
零信任資安時代來臨
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1034-feng_mian_gu_shi_open-960x420_kao_bei_.jpg?itok=WIC6qBw3" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對網路邊界日漸消弭的環境，零信任（Zero Trust）網路安全策略在被提出後，這十年來不斷演進，企業資源存取控制如何持續驗證以確保安全，更是積極被探討，現在不只是資安專家、業者提倡，它並成為國家級看重的資安防護戰略。</p> </div></div></div>
2021/7/21 07:00作者羅正漢https://www.ithome.com.tw/article/145711
沙烏地阿拉伯國家石油公司資料外洩，1TB資料在黑市叫賣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安媒體<a href="https://www.bleepingcomputer.com/news/security/saudi-aramco-data-breach-sees-1-tb-stolen-data-for-sale/" target="_blank">BleepingComputer</a>本周報導，有一駭客集團在黑市叫賣沙烏地國家石油公司Saudi Aramco的1TB資料，內含該公司1.4萬名員工資訊、各個系統的專案規格、內部分析報告/合約/價目表、網路部署、地圖與精確座標，以及客戶名單與合約等，而Saudi Aramco已證實該公司資料外洩。</p> <p>Saudi Aramco為沙烏地阿拉伯的國有石油企業，它不僅擁有全球最大的每日石油產量，其石油儲存量則是世界第二大，它去年的營收為2,299億美元，也是全球營收最高的企業之一。</p> <p>BleepingComputer是在暗網中，看到駭客集團ZeroX貼出了兜售Saudi Aramco多達1TB資料的廣告，在與ZeroX取得聯繫之後，ZeroX宣稱是在去年駭進Saudi Aramco的伺服器，取得該公司從1993年到去年的龐大資料，但一直到今年6月才上暗網叫賣，出價500萬美元。</p> <p>Saudi Aramco已向BleepingComputer證實該公司的資料外洩，但把責任歸咎於第三方的承包商，還說這並非勒索軟體攻擊，也未影響該公司的營運。</p> <p>令人好奇的是，ZeroX並未勒索Saudi Aramco，且雖然張貼了出售廣告，也沒有馬上開賣，而是訂定了662小時的倒數計時出售時間，BleepingComputer推測ZeroX可能只是為了引起潛在買家的注意。</p> </div></div></div>
2021/7/20 19:21作者陳曉莉https://www.ithome.com.tw/news/145764
資安業者Rapid7以3.35億美元買下威脅情報服務IntSights
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打造知名滲透測試工具Metasploit的資安業者<a href="https://www.globenewswire.com/news-release/2021/07/19/2265169/36514/en/Rapid7-Acquires-Threat-Intelligence-Leader-IntSights-and-Provides-Strong-Preliminary-Second-Quarter-2021-Financial-Results.html" target="_blank">Rapid7周一（7/19）宣布</a>，將以3.35億美元的股票及現金，買下威脅情報業者IntSights Cyber Intelligence，整合雙方的資源來迎戰未來的資安風險。</p> <p>成立於2000年的<a href="https://www.rapid7.com/" target="_blank">Rapid7</a>致力於將安全解決方案整合到客戶的組織中，所提供的資安產品從使用者行為分析、漏洞管理、應用程式安全測試、紀錄管理、滲透測試到雲端安全等，也提供安全與產品顧問服務，或是協助客戶進行資安訓練。至於<a href="https://intsights.com/" target="_blank">IntSights Cyber Intelligence</a>則定位為網路威脅情報公司，提供威脅情報平臺、漏洞風險分析、第三方威脅評估、威脅緩解服務，也會監控暗網中的活動。</p> <p>Rapid7表示，在轉型至數位化的時代，爆炸性成長的攻擊表面促使安全團隊必須儘早展開內部與外部環境的安全偵測，然而，絕大多數的安全團隊卻被環境中的大量資料所淹沒，再加上資源不足而造成過大的負擔，往往很難辨識出需要及早採取補救措施的缺口。</p> <p>Rapid7的強項在於來自社群的威脅情報與對客戶環境的深入了解，而IntSights則具備外部威脅情報能力，雙方的整併將讓Rapid7的客戶能夠同時看見來自各方的威脅、監控攻擊表面、取得各種見解，同時主動緩解威脅，該併購案也可用來強化Rapid7的InsightIDR雲端偵測與回應能力。</p> <p>負責偵測與回應的Rapid7資深副總裁Richard Perkett坦承，現在並不缺乏威脅情報資訊，問題在於有太多的資訊缺乏脈絡，替責任已過重的安全團隊製造太多的警報噪音並帶來額外的工作，藉由整合InsightIDR的外部威脅情報能力，期望能替安全團隊帶來更廣泛的能見度，而可在傳統與現代的環境中偵測內部與外部威脅，讓他們能夠快速地展開調查，搜捕與抑制威脅。</p> <p>在宣布此一併購消息之後，Rapid7當天在那斯達克的股價上漲了1.66%，以103.43美元作收。</p> </div></div></div>
2021/7/20 19:52作者陳曉莉https://www.ithome.com.tw/news/145765
Google應用擴散模型拉高照片解析度，人類難區分合成與真實照片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google研究人員發表逼真圖像生成<a href="https://ai.googleblog.com/2021/07/high-fidelity-image-generation-using.html">新方法</a>，能夠突破擴散模型合成圖像品質的限制，透過結合反覆精細改進（SR3）演算法，以及一種稱為串連擴散模型（Cascaded Diffusion Models，CDM）的類型條件（Class-Conditional）合成模型，其生成圖像的品質勝過當前的所有方法。</p> <p>自然合成圖像是機器學習技術的應用之一，能夠廣泛用於各種領域之中，像是圖像超解析度（Super-Resolution），透過訓練模型將低解析度圖像，轉換成為細節豐富的高解析度圖像，研究人員提到，這樣的方法帶來許多好處，無論是全家福舊照或是醫學成像系統，圖像品質都可以獲得大幅改進。另一種圖像合成任務，則是類型條件（Class-Conditional）圖像生成，經訓練的模型能夠依據使用者輸入的標籤，來生成樣本圖像。</p> <p>在2015年的時候，擴散模型被提出來，由於其在圖像和音訊生成領域，有著訓練穩定度，和樣本品質佳的特性，因此受到關注，與其他類型的深度生成模型相比，擴散模型透過提高高斯雜訊來破壞訓練資料，緩慢消除資料細節直到剩下完全的雜訊，接著訓練神經網路來反轉這個破壞過程，在反轉過程逐漸除去雜訊，直到剩下乾淨的樣本，研究人員提到，這樣的合成過程可以算是一種最佳化演算法，能夠遵循資料密度的梯度，來產生可能的樣本。</p> <p>在Google的最新研究中，透過連結SR3以及CDM，來突破擴散模型圖片生成的解析度瓶頸，藉由擴大擴散模型，加上特殊的資料增強技術，就可產生勝過現有方法的結果。SR3是一種超解析度擴散模型，以低解析度作為輸入，並從完全的雜訊中，建構出相對應的高解析度圖像。這個模型利用圖像破壞過程進行訓練，在該過程中，逐漸添加雜訊到高解析度圖像中，直到完全剩下的雜訊，然後再逆轉這個過程，從純雜訊開始，透過輸入低解析度圖像，來引導模型逐步去除雜訊。</p> <p>SR3模型的效果很好，在執行提高人臉和自然圖片解析度的任務中，SR3模型所產生的圖像，能夠以50％的混淆率，讓受測者辨識不出究竟是生成的圖像，還是由相機拍攝的圖像，也就是説，SR3模型生成的圖像，人類已經難以區分真假。</p> <p>在SR3可以產生超高解析度圖像之後，研究人員將SR3模型用在類型條件圖像生成中。CDM是類型條件的擴散模型，利用ImageNet資料訓練，以生成高解析度自然圖像，因為ImageNet是一個困難且高亂度的資料集，因此研究人員串連多個擴散模型來建置CDM。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/-fZUmX3WWlJ8/YPG5qDDvVmI/AAAAAAAAH6w/nK7NMZzGZno-t_rBeuhkPHBq4k8Z32kYQCLcBGAsYHQ/w640-h236/image3.gif" style="width: 580px;" /></p> <p>研究人員提到，這種串連方法可以將跨數個空間解析度的多個生成模型鏈結在一起，再產生低解析度資料的擴散模型，僅接著一系列SR3高解析度擴散模型，來逐漸將生成圖像的解析度提高。</p> <p>總體結果，SR3所生成的超高解析度圖像，在人類評估超過了GAN，而CDM所生成的逼真樣本，在評估生成模型創建圖片品質的FID（Fréchet Inception Distance）分數以及分類準確度分數，都大幅超過當前頂尖方法BigGAN-deep與VQ-VAE-2。</p> </div></div></div>
2021/7/20 19:57作者李建興https://www.ithome.com.tw/news/145762
Zoom將以147億美元併購雲端聯繫平臺Five9
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>視訊通訊平臺<a href="https://blog.zoom.us/zoom-to-acquire-five9/" target="_blank">Zoom周日（7/18）宣布</a>，將以價值147億美元的股票買下雲端聯繫平臺Five9，對外昭告即將邁入客戶服務市場。</p> <p>Five9成立於2001年，主要開發聯繫中心軟體及提供聯繫中心即服務（Contact Center as a Service，CCaaS），以供各種規模的企業與客戶交流，也有人將Five 9打造的服務稱為客服中心平臺。消息傳出後，Five9周一（7/19）於那斯達克的股價大漲了5.92%，以188.12美元作收，反之Zoom的股價下滑了2.15%，收在354.2美元。若以Zoom周一的1,044億美元的市值來看，Zoom大概是以1/7的資產買下了Five9。</p> <p>Zoom表示，併購Five9將協助該公司強化與大型企業客戶的關係，也因進入240億美元的聯繫中心市場，而能加速Zoom的長期成長機會，Five9平臺不僅安全且容易使用，將讓企業能夠管理及最佳化採用不同管道的客戶之間的交流。</p> <p>Zoom創辦人暨執行長袁征指出，大型企業主要透過聯繫中心與客戶溝通，他們相信此次的併購將建立一個領先的客戶交流平臺，可望重新定義各種規模的企業與客戶的聯繫方式。</p> <p>根據Five9今年第一季的<a href="https://investors.five9.com/news-releases/news-release-details/five9-reports-first-quarter-record-revenue-growth-45-record-1379" target="_blank">財報</a>，該公司首季營收為1.38億美元，成長45%，但虧損1,230萬美元。而受惠於疫情的Zoom在截至4月30日的2022財年首季<a href="https://investors.zoom.us/news-releases/news-release-details/zoom-reports-financial-results-first-quarter-fiscal-year-2022" target="_blank">財報</a>則顯示，該季營收達到9.56億美元，大幅成長191%，獲利2.27億美元，每股盈餘0.74美元。</p> <p>依照雙方的併購協議，Five9股東每股將收到0.5533股的Zoom股票，以7月16日的Zoom收盤價來看，Five9每股的價值高達200.28美元，也無怪乎消息曝光時Five9股價大漲。</p> <p>此一交易還需經監管機關的核准與Five9股東的同意，雙方預計於明年上半年完成交易。</p> </div></div></div>
2021/7/20 20:10作者陳曉莉https://www.ithome.com.tw/news/145766
勒索軟體Mespinoza鎖定美、英教育機構為攻擊目標，運用RDP與多種開源工具入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客組織Mespinoza（又稱Pysa）自2020年開始發動攻擊後，<a href="https://www.ithome.com.tw/news/143317">今年年初特別鎖定美國、英國的教育機構，包括K-12學校、高等教育機構，以及神學院等發動攻擊</a>，使得美國聯邦調查局（FBI）於3月中旬發出警告。<a href="https://unit42.paloaltonetworks.com/gasket-and-magicsocks-tools-install-mespinoza-ransomware/">最近資安業者Palo Alto Networks，透露該駭客組織更多攻擊手法的細節</a>──他們發現這個組織運用多個開源工具，而能在資源有限的情況下廣泛發動攻擊，受害組織遍及20個國家。</p> <p>研究人員在監控Mespinoza的基礎設施，包含了C2伺服器的通訊，以及公布不願支付贖金的受害組織資料的網站後，進而發現該組織不只攻擊的範圍遍布全球與許多產業，他們還將受害單位稱為提供資金的「合作夥伴」，且採用異想天開的名稱來命名作案工具。</p> <p>究竟該組織攻擊的範圍有多廣？Palo Alto指出，光是從Mespinoza架設的網站，駭客就宣稱握有187個組織的資料，領域涵蓋教育、製造業、零售業、醫療、政府機構、高科技產業、交通運輸，以及社會服務等產業。從遭到該組織攻擊的地區來看，包含了加拿大、巴西、英國、義大利、西班牙、法國、德國等，但美國是最主要受到攻擊的國家，因為，根據上述提及的資料外洩網站，有55%受害組織來自美國。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/chart-s.png" style="width: 580px; height: 359px;" /></p> <p>再者，Palo Alto認為Mespinoza在攻擊的過程中相當「自律」，會確認是具有價值的資料才會竊取，但在加密電腦檔案留下的勒索訊息裡，該組織卻又顯得相當自大，諷刺受害組織的資安防護不利。例如，他們會在勒索訊息裡FAQ留下「這樣的情況究竟該如何向老闆報告？」，並要受害者跟老闆說：「好好保護你的系統吧！我的朋友。」。</p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-15-s.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-15-s.png" style="width: 580px; height: 258px;" /></a></p> <p>從攻擊者向受害組織索討的贖金來看，Palo Alto指出，駭客會開價160萬美元，而實際收到的贖金平均約為47萬美元。</p> <p>這個駭客組織入侵受害單位的管道，先前FBI就有提及是透過遠端桌面存取（RDP），且安裝開源工具並停用受害電腦的防護軟體，再行部署勒索軟體。而Palo Alto指出，Mespinoza運用了雙重勒索的策略，也就是在植入勒索軟體之前洩露機密資料，同時，該組織會安裝名為Gasket的後門程式，來維持對於受害電腦的控制，這個程式具備名為MagicSocks的功能，該功能是由開源的Chisel開發而成，目的是建立攻擊者能夠持續存取的通道。</p> <p>根據Gasket與MagicSocks的蹤跡，以及Mespinoza在網站上提供竊得的資料，Palo Alto研判，這個駭客組織至少從2020年4月就開始行動，Gasket自2020年4月到2021年3月，總共出現001至021共14個版本。</p> <p>此外，該公司分析後得知，Mespinoza使用Go語言編寫Gasket，並使用開源工具Gobfuscate混淆酬載。這樣的發現與先前<a href="https://www.cert.ssi.gouv.fr/uploads/CERTFR-2020-CTI-003.pdf">法國國家資訊系統安全局（ANSSI）揭露的資訊</a>相符。</p> <p>為何攻擊者選擇RDP作為入侵的手段？Palo Alto認為，相較於釣魚郵件、社交工程手法，或者是利用軟體漏洞等方式，透過RDP能降低所需的時間和費用。除此之外，Mespinoza節省攻擊成本的方式，還包括運用多個免費的開源工具，以及受害電腦內部現成的工具就地取材（LoL）等做法。</p> <p>針對Mespinoza專門透過RDP入侵受害組織的現象，Palo Alto指出，由於攻擊者很容易透過自動化的方式，來找尋可存取的RDP伺服器發動攻擊，他們引用自家的研究報告強調，近三分之一的資安問題與RDP有關，呼籲企業要加強與RDP存取相關的控管及防護。</p> </div></div></div>
2021/7/20 18:45作者周峻佑https://www.ithome.com.tw/news/145761
iMessage出現零點擊攻擊程式，蘋果更新眾多作業系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非營利組織禁忌故事（Forbidden Stories）與國際特赦組織（Amnesty International）安全實驗室（Security Lab）周日（7/18）<a href="https://www.amnesty.org/en/latest/research/2021/07/forensic-methodology-report-how-to-catch-nso-groups-pegasus/" target="_blank">公布了Pegasus專案調查報告</a>，指出有5萬名使用者遭到以色列駭客公司NSO Group的政府客戶鎖定，這些客戶企圖於這5萬名目標的手機上植入Pegasus間諜軟體，而且就算是使用最新的iPhone 12手機、安裝最新的iOS 14.6作業系統，都一樣被入侵，使得蘋果隔天<a href="https://support.apple.com/en-us/HT201222" target="_blank">（7/19）即針對iOS、watchOS、tvOS與Safari瀏覽器進行安全更新</a>。</p> <p class="rtecenter"><img alt="" src="https://neu-cdn-amnesty-org-prd.azureedge.net/cache/9/f/9/e/a/f/9f9eaf98c34348da46ca70e9ff728266ec7aa0e5.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">image: Amnesty International</span></p> <p>Pegasus主要是藉由手機上所安裝的行動程式漏洞進駐受害者裝置，例如臉書在2019年就曾<a href="https://www.ithome.com.tw/news/133908" target="_blank">控告NSO Group開採WhatsApp安全漏洞</a>，以於WhatsApp用戶的手機上植入Pegasus，隔年微軟、Google、思科、GitHub、LinkedIn、VMware與網際網路協會（Internet Association）更共同向法院提出意見陳述書（Amicus Brief）來<a href="https://www.ithome.com.tw/news/141807" target="_blank">力挺臉書與WhatsApp</a>。</p> <p>儘管資安社群同意iPhone可能已是全世界最安全的一般手機，然而負責該報告技術支援的國際特赦組織安全實驗室卻發現，NSO Group陸續開採了蘋果在iPhone上內建的程式，企圖植入Pegasus，從相片程式、iMessage、Safari到Apple Music，當中有一名手機被植入Pegasus的印度記者，拿的是執行最新作業系統 iOS 14.6的iPhone 12，透露出最近的iPhone機種或是iOS作業系統，都無法抵擋Pegasus攻擊程式。</p> <p>過去NSO Group的客戶經常利用惡意簡訊，將使用者導至含有Pegasus攻擊程式的網站，不過，根據該實驗室的鑑識，NSO Group的技術愈來愈精進，在2019年時，在iOS內建的照片程式產生特定流量之後，就會啟動可疑的程序，同年也發現它們透過iMessage的零時差漏洞展開攻擊，惡意程序通常是在執行可疑的iMessage帳號查找功能之後展開。</p> <p>2020年被用來遞送Pegasus的則是Apple Music，同樣是在Apple Music出現可疑流量之後，於iPhone上執行Pegasus。研究人員表示，他們無法判斷駭客是直接開採Apple Music，或者Apple Music只是沙箱逃逸與權限擴張攻擊鏈的其中一環，因為最近的研究顯示，諸如 iTunes Store等內建的程式可被濫用，以於脫離Safari沙箱限制時執行瀏覽器攻擊程式。</p> <p>國際特赦組織在追蹤這些受害者的手機時，發現惡意流量所存取的網域，都是屬於NSO Group的Pegasus網路基礎設施。</p> <p>雖然蘋果會定期修補各式安全漏洞，然而，研究人員卻發現針對iMessage零時差漏洞的攻擊程式於今年再度崛起，且相信這是Pegasus目前入侵iPhone的主要途徑。在今年感染Pegasus的iPhone用戶中，一名人權律師使用的是iPhone 7/iOS 14.3；一名記者使用的iPhone 6s在今年2月到4月間曾重覆被感染，且當中他已更新過iOS；一名法國的人權活動家使用的是iPhone 11/iOS 14.6；一名印度記者使用iPhone XR/iOS 14.6；另一名活動家手持Phone X /iOS 14.6；就算是拿最新的iPhone 12裝載最新iOS 14.6的一名印度記者，也一樣難逃Pegasus的侵襲。</p> <p>他們的手機都在iMessage進行可疑的帳號查找功能之後出現惡意程序（如下圖所示），且NSO Group不再使用自己的服務，而是採用Amazon CloudFront。研究人員認為，這代表著蘋果最近的幾款裝置或是iOS版本都含有零時差漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0720-pegasus%20imessage.png" style="text-align: center; width: 600px;" /></p> <p><span style="color:#696969;">image: Amnesty International</span></p> <p>蘋果很快地在周一（7/19）修補安全漏洞，所釋出的新版本包括支援macOS的Safari 14.1.2、iOS 14.7、watchOS 7.6與tvOS 14.7，蘋果並未說明此次的修補是否與Pegasus專案有關，也尚未公布所修補的漏洞細節。</p> </div></div></div>
2021/7/20 19:06作者陳曉莉https://www.ithome.com.tw/news/145763
國際特赦組織釋出能偵測手機是否感染Pegasus間諜程式的工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與非營利組織禁忌故事（Forbidden Stories）一同發現5萬筆攻擊目標名單的國際特赦組織（Amnesty International）安全實驗室（Security Lab），在本周釋出了用來偵測Android手機或iPhone是否曾被Pegasus間諜軟體感染的<a href="https://github.com/mvt-project/mvt" target="_blank">Mobile Verification Toolkit（Mobile Verification Toolkit）</a>工具。</p> <p>MVT其實是個模組化的工具，它能夠簡化從Android裝置上取得及分析資料的程序，也能分析iOS備份及檔案系統的紀錄，主要用來辨識相關裝置是否曾被入侵過，特別是有否出現遭到Pegasus入侵的各種指標。</p> <p>因此，MVT不僅能解密已加密的iOS備份，也能處理及分析來自不同iOS版本、程式資料庫與系統上的紀錄，亦可從Android裝置上提取已安裝的行動程式，或是藉由adb協定存取Android裝置的診斷資訊。</p> <p>取得裝置與程式的紀錄之後，即可與已知的惡意指標進行比對，自動找出惡意的簡訊、所造訪的網站、程式程序或其它危害指標；針對這些所汲取的資料產生JSON紀錄，也會額外產生所偵測到惡意痕跡的JSON紀錄；建立提取紀錄的統一時間軸，以及惡意痕跡的時間軸。</p> <p>國際特赦組織強調，MVT是為了推動有共識的鑑識分析，主要供那些可能成為攻擊目標的受害者使用，特別是公民社會或是邊緣社群的成員，並不希望MVT被用來侵犯個人隱私，或是缺乏共識的個人，因此禁止它被用在對抗性取證。</p> <p>於是MVT採用了Mozilla Public License v2.0授權，該授權的其中一個條款就是只能在數據所有人的明確同意之下才能使用。</p> </div></div></div>
2021/7/20 16:23作者陳曉莉https://www.ithome.com.tw/news/145759
義大利博物館用AI評量畫作的受歡迎度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.enea.it/it/Stampa/news/beni-culturali-al-via-il-progetto-shareart-per-misurare-il-gradimento-delle-opere-d2019arte-con-l2019intelligenza-artificiale" target="_blank">義大利一家博物館</a>利用相機及人工智慧（AI）、大數據（Big Data）的技術，可更客觀分析展出的畫能否受到觀眾青睞，以及有多受歡迎。</p> <p>義大利波隆納博物館研究所近日使用一家廠商ENEA於2016年開發出的ShareArt，希望能在不需訪問參觀者情況下，協助觀畫研究。博物館方指出，對於觀畫，他們一直想知道包括人們欣賞畫會有哪些動作？人為和環境因素怎麼影響觀畫？傳統答案都只是猜測，希望以科技來回答這許多疑問。</p> <p>這套系統是以市售相機及後端AI及分析軟體組成。博物館選擇數個展廳作為實驗場所，將系統設置在展出的畫旁邊，拍攝並蒐集畫作周遭人們移動的資訊作為分析。這套系統蒐集的資料包括人們走向畫的路徑、畫作前聚集的人數、觀畫者和畫的距離及他注視畫的時間、觀畫者的年齡層、性別，或是臉上表情等等。蒐集到的資訊傳送到後端，研究人員可透過Web應用存取資料並以AI技術分析。<a href="https://www.bloomberg.com/news/articles/2021-07-15/new-museum-technology-collects-data-on-viewing-habits" target="_blank">數據顯示</a>，一般民眾一幅畫只會看個4、5秒，極少數才能吸引人們目光駐足超過15秒。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Crocefissione.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／ENEA</span></p> <p>對博物館方面來說，藉由了解參觀者的動作，也能作為布展環境及動線安排的改進憑據。</p> <p>而在2021年的今天，這套系統還多了個防疫控管的效用。它可即時辨識出展間內人群彼此距離是否太近或<a href="https://www.youtube.com/watch?v=U6_hKPPtMQQ" target="_blank">參觀者是否有戴好口罩</a>，若偵測到不符合規定者也會立即發出提醒。</p> </div></div></div>
2021/7/20 16:55作者林妍溱https://www.ithome.com.tw/news/145760
AWS正式推出雲端儲存區域網路Amazon EBS io2 Block Express磁碟區服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布<a href="https://aws.amazon.com/tw/blogs/aws/amazon-ebs-io2-block-express-volumes-with-amazon-ec2-r5b-instances-are-now-generally-available/">Amazon EBS io2 Block Express磁碟區</a>正式上市，如果與經最佳化EBS效能的R5b執行個體一起使用，就能夠在EC2上獲得最佳網路附加儲存效能。目前該服務已經在美東、美西和歐洲上市，亞洲則在新加坡和東京地區提供，AWS計畫陸續支援更多的商業地區，並且讓所有類型的EC2執行個體，都能連接到EBS io2 Block磁碟區。</p> <p>Amazon EBS io2 Block Express磁碟區，為AWS的下一代伺服器儲存架構，官方提到，這是一個在雲端建立的SAN。Block Express的目標是要滿足像是微軟SQL Server、甲骨文、SAP HANA和SAS Analytics on AWS這類超大規模，且I/O密集的關鍵部署需求。</p> <p>過去用戶必須要將多個磁碟區分散連結（Striping）在一起，才能獲得超過單一磁碟區的效能，而io2磁碟區則可以滿足關鍵任務應用程式的需求，不需要付出分散連結的管理成本，就可以獲得高效能磁碟區效能。而用io2 Block Express，用戶可以在雲端中獲得最高效能的區塊儲存，其吞吐量、IOPS和容量都是io2磁碟區的4倍，延遲為毫秒等級。</p> <p>io2 Block Express是目前EBS所提供的SSD磁碟區中，等級最高的一種，不只是磁碟區大小上限可以達到64 TiB，最大IOPS也能夠達256,000次，最大吞吐量則有4,000 MiB/s，官方解釋，新的Block Express架構透過使用SRD（Scalable Reliable Datagrams）協定的AWS Nitro系統執行個體，提供高效能和亞毫秒等級的延遲，該協定直接實作在特別用於EBS I/O功能的執行個體主機Nitro Card卡上。而Block Express還提供能以各種方式組裝的模組軟體和硬體建置區塊，使得用戶可以靈活設計系統，獲得更好的效能。</p> <p>不過io2 Block Express磁碟區仍有一些限制，像是用戶無法修改io2 Block Express磁碟區的大小或是預配置的IOPS，而且io2 Block Express磁碟區也不支援快速快照恢復功能，因此官方建議用戶在使用前，應該初始化這些磁碟區，以確保獲得完整的效能。</p> </div></div></div>
2021/7/20 17:07作者李建興https://www.ithome.com.tw/news/145757
吹哨者Edward Snowden呼籲應禁止國際間交易間諜軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在非營利組織禁忌故事（Forbidden Stories）、國際特赦組織（Amnesty International）安全實驗室（Security Lab），以及全球17個媒體共同揭露Pegasus專案，指出以色列駭客公司NSO Group協助客戶以Pegasus間諜軟體監控記者、政治家或異議人士之後，美國吹哨者史諾登<a href="https://www.theguardian.com/news/2021/jul/19/edward-snowden-calls-spyware-trade-ban-pegasus-revelations#_=_" target="_blank">（Edward Snowden）在接受《衛報》專訪時呼籲</a>，國際間應該禁止間諜軟體的交易，事實上他認為，根本不該有商業間諜軟體這個產業的存在。</p> <p>NSO Group主要銷售各種間諜軟體及攻擊程式予各國政府，目的是為了協助這些政府對抗恐怖主義與犯罪活動，其中最知名的是可植入Android及iPhone手機的Pegasus間諜程式，它能搜括手機上的所有資訊與特定通訊紀錄，然而，卻陸續有調查發現，有些活動家或異議份子的手機也被植入Pegasus。這次禁忌故事與國際特赦組織取得了5萬筆成為Pegasus攻擊目標的電話號碼名單，並實際檢查當中的67支手機，發現有23支被植入了Pegasus，而這些手機卻是政治家、工會代表、異議人士或記者所有。</p> <p>此外，禁忌故事與國際特赦組織還辨識出5萬筆名單中約1,000筆的身分，當中約有85名為人權活動家、65名企業高階主管、多個阿拉伯皇室的成員、189名記者，以及600名政府官員與政治家，而且他們分布在全球逾50個國家。</p> <p>因為攜出美國國安局正在監控全球的機密文件，並公告天下，迄今仍流亡俄羅斯的史諾登，在得知Pegasus專案並接受《衛報》專訪時表示，傳統上，警方若要監控嫌犯，必須先入侵他們的家中、辦公室或汽車來安裝監聽器，而且通常要取得搜索票，然而，商業的間諜軟體讓監控變得非常的容易，幾乎能無風險地鎖定大量的民眾。</p> <p>史諾登認為，倘若不阻止這樣的行為，那麼未來也許遭到間諜軟體鎖定的目標不會只是5萬個，可能是5,000萬個，而且此事發生的速度可能超乎大家的想像。</p> <p>他也強調，Pegasus強大到一般人可能無法阻止它，就像國際間會限制核武的發展一樣，也應該要限制間諜軟體的發展，唯一的解決之道就是禁止國際間的銷售。</p> </div></div></div>
2021/7/20 15:50作者陳曉莉https://www.ithome.com.tw/news/145758
波音、福特、Marriott的律師事務所遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>客戶包括波音、福特、萬豪酒店的知名法律事務所<a href="https://www.prnewswire.com/news-releases/campbell-conroy--oneil-provides-notice-of-data-privacy-incident-301335655.html" target="_blank">Campbell Conroy & O'Neil上周公告</a>年初遭到勒索軟體攻擊，客戶生日及證件等個資可能已經外洩。</p> <p>Campbell Conroy & O'Neil （下稱Campbell）是知名企業律師事務所，客戶涵括500大財星企業，遍及汽車、航空、飛機製造、政府、工業及營建製造、零售等，如福特汽車、波音、艾克森（Exxon）、英國航空、安聯（Allianz）、萬豪酒店（Marriott）、Walgreens、Home Depot、Johnson & Johnson、輝瑞等。</p> <p>該公司今年2月27日首先發現網路遭到勒索病毒攻擊，導致系統或檔案被加密。經過外部安全廠商數個月的調查，於上周公告部份結果，並通知受影響的個人。</p> <p>Campbell指出，目前無法判斷攻擊者是否（但可能已經）存取或讀取過某些客戶的個資。這些資訊包括特定個人的姓名、生日、駕照號碼、社會安全碼、護照、信用卡資訊、醫療紀錄、健保資訊、生物辨識資料、線上帳戶名稱及密碼等。不同用戶可能曝露的資料各有差異，而許多客戶有不只一種資料「有被存取的風險」。</p> <p>Campbell未透露是何種勒索軟體為禍，目前也尚未有組織出面聲稱是其所為。</p> <p>這家律師事務所已經通報FBI，並對受影響的客戶提供24個月的個資外洩監控服務。</p> <p>大型律師事務所儲存及處理知名企業及個人的個資，是駭客的偏好目標。去年專門服務媒體及娛樂業的<a href="https://www.ithome.com.tw/news/137584" target="_blank">法律事務所Grubman Shire Meiselas & Sacks</a>遭到疑似Sodinokibi/ REvil勒索軟體攻擊，歹徒聲稱取得大量知名藝人的資料，包括聯絡電話、電子郵件、演出合約及NDA（保密協議）等資料共756 gigabytes。</p> </div></div></div>
2021/7/20 12:56作者林妍溱https://www.ithome.com.tw/news/145756
疫情假新聞滿天飛，Line如何用AI加速事實查核？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月疫情在臺灣瞬間爆發，全國進入三級警戒，確診人數史無前例來到三位數。但暴增的不只是病例數，還有各種假新聞。「光是5月，每天湧入Line訊息查證中心的人數就比之前高出3.6倍，」Line臺灣表示。</p> <p>一如病毒喜歡在人群間流竄，假新聞最常在通訊平臺蔓延。在臺擁有2千萬活躍用戶的Line，每天群組傳遞的訊息高達93億則，為避免成為假新聞培養皿，Line臺灣兩年前就聯手行政院和4家事實查核機構，成立訊息查證中心，來提供正確的新聞資訊。</p> <p>隨著疫情起伏，更湧出巨量待查核新聞，Line如何因應？</p> <p><span style="font-size:22px;"><strong>兩款AI模型分工，辨識文章相似度再分類給專家</strong></span></p> <p>答案是「靠兩套AI模型加速查核速度。」Line臺灣資料工程部資深經理蔡景祥指出，Line本身不進行訊息查核，而是透過自動化的機制，匯聚查核的結果供使用者檢閱。因此，Line訊息查證中心成立之初，就利用兩套自然語言預訓練模型，來進行近似文章辨識和文章分類。</p> <p>這麼做的原因是，新聞內容的真假，仍仰賴不少專家人工判讀，但許多假新聞都是同一則重複散播的訊息，因此只要辨識出這些文章的同一則來源，查核一次即可，省下大量人力的重工。</p> <p>如此，每當Line訊息查證中心收到一則文章查核通報，會先利用近似文章辨識的AI技術，來比對已查證過的新聞。只有當通報的新聞未經查證，Line訊息查證中心才會將文章分派給專家，來查證真偽。但這些專家擅長領域不同，有些專精政治、醫療，有些熟悉體育、娛樂。為將通報的新聞派送給合適領域的專家，Line也利用AI模型來分類文章，並將派送過程自動化。</p> <p>不論是文章辨識和文章分類工作，都要靠NLP技術才能提高準確度。一開始，Line使用BERT模型來執行這些任務，BERT是Google在2018年底發表的NLP經典模型，一問世就在各大基準測試排行榜上名列前矛，在各種自然語言理解任務創下佳績。採用Transformer架構的BERT，可雙向分析語言，理解力幾乎完勝過往任一NLP模型。</p> <p><strong><span style="font-size:22px;">原模型表現不理想，改用SBERT比對文章相似度</span></strong></p> <p>BERT問世後幾個月，Line很快就在自家訊息查證任務上，嘗試這項新技術。不過，「BERT在假新聞近似文章判斷，仍有進步空間。」蔡景祥指出，BERT雖有一定的辨識水準，但模型上線後出現不少狀況，比如使用者查詢特定主題新聞時，模型會給出不甚精準的答案。這促使Line團隊開始尋找其他解決方法，經過多方試驗和比較，他們決定改用BERT的變形模型Sentence-BERT（簡稱SBERT），來執行近似文章判斷任務。</p> <p>近似文章判斷又稱為語義文本搜尋（Semantic textual similarity），會利用不同指標來衡量一對句子的相似度。SBERT厲害之處在於「對句子的理解力更強，而非只聚焦單字本身，」Line臺灣資料工程部資料科學家吳肇中說。這是因為，SBERT採用孿生神經網路（Siamese Network），這種三元網路的結構更容易得到有意義的句子嵌入，辨識能力比BERT還要好。</p> <p><strong><span style="font-size:22px;">經三番試驗，文章分類採用BERT變形模型</span></strong></p> <p>不只在近似文章辨識的AI模型持續精進，Line在文章分類AI技術上也經過多次試驗，才找出目前的作法。Line研究了多款NLP模型，再進一步比較BERT、ELECTRA和一般主題分類常見的LDA等三種模型。他們發現，ELECTRA最符合「辨識精準、快速且模型不肥大的需求，」吳肇中說。</p> <p>ELECTRA這個NLP技術的來頭也不小。自2018年發表BERT後，Google時不時推出改良版模型，ELECTRA就是其一。有別於其他以遮罩（Mask）為主的改良版模型，ELECTRA的架構猶如生成對抗網路GAN，能靠生成器和鑑別器來分辨文句真偽，而且，「模型在分類上也有不錯的表現，」吳肇中表示。Google在發表ELECTRA的論文中更指出，其耗能比NLP經典模型BERT來得低，只需四分之一的運算資源就能達到SOTA表現。</p> <p>「這個優勢，非常適合新聞分類，」吳肇中強調。於是，他們利用事實查核中心提供的數千筆新聞分類資料訓練模型，大約1小時就完成訓練，部署來分辨文章類型。</p> <p><strong><span style="font-size:22px;">預訓練模型微調就能快速落地，但也有門檻</span></strong></p> <p>不論是ELECTRA還是SBERT，為應付不斷變動的假新聞用語和風格，Line甚至每天都會更新模型，以當日新增的資料來調整模型，讓模型更懂時下熱門話題。</p> <p>這就是預訓練模型的好處，因為已用大量、各式各樣的資料來訓練模型，因此，後續採用者只需少量資料，就能快速微調成出符合需求的模型。不過，「我們也曾從零開始訓練一套模型。」蔡景祥回憶，團隊曾在另一個專案中，自行收集、標註4,000多筆文字資料來訓練分類模型，但模型表現只有0.4、0.5。</p> <p>後來，Line臺灣團隊加碼擴大訓練資料量至1萬6千筆，模型表現才達0.7，勉強堪用。但在那之後，就算團隊收集再多資料，也無法提高模型準確度。蔡景祥點出，1萬6千筆標記資料的成本太大，不僅要投入大量人力標註，也要人工維護這些標註資料，「負擔很大。」</p> <p>但BERT預訓練模型就沒有這類問題。「同樣任務改用BERT，就不需要這麼多標記資料，幾千筆也能達到很好的效果。」在蔡景祥看來，採用預訓練模型比重建一套模型更經濟，也更有效率。</p> <p>不過，微調也不是一件輕鬆事。蔡景祥點出，只有專精特定領域的資料科學家才能做好微調工作。為了降低門檻，Line也藉助自動化機器學習工具AutoML自動挑選最佳參數組合，把省下來的人力專注在微調工作上。</p> <p><strong><span style="font-size:22px;">你沒注意到的小細節，都有BERT的影子</span></strong></p> <p>不只訊息查證使用BERT，Line許多功能也有BERT的影子。舉例來說，Line的光學文字辨識（OCR）服務就靠BERT來校正文字。它的原理是，先透過一套AI模型，在影像畫面中框出文字形狀，透過形狀來猜字，再靠另一套BERT模型計算字與字之間的機率，判斷合理性。要是兩字連著出現的機率太低，模型就會校正文字，提高辨識準確度。</p> <p>除此之外，Line在命名實體辨識（NER）上也運用BERT模型。所謂NER是指，從文章中辨識人名、地名、組織名等專有名詞的技術。NER雖然不是一套最終產品，但是個不可或缺的工具，很多服務和功能都會用到它。</p> <p>比如，Line有一套內部使用的NER工具，可從文章中挑出人名、地名、時間、機構名稱等名詞，自動轉為標籤，讓自家小編用來編輯相同主題的文章；而Line Today的每篇新聞，下方的#主題標籤也是靠NER先挑出候選關鍵字，再靠其他演算法排序挑選出來。</p> <p>在蔡景祥看來，NER是自然語言理解（NLU）的一部分，能讓電腦掌握更多文章訊息，作為下一個服務的元素。比如，NER可用來鎖定特定關鍵字，如麻辣鍋，如此能將麻辣鍋相關食記和麻辣鍋店家連結起來，發展出食記推薦餐廳的服務，供使用者參考。</p> <p>至此，Line臺灣累積不少BERT經驗，特別是訊息查證的近似文章搜尋和分類。他們希望將這個經驗擴散到更多服務，像是電商，透過自動分類、貼標、找出關鍵字等功能，來加速商品分類和推薦。</p> <p>近似文章搜尋也是，可用來推薦相同主題的文章，如食記、遊記等。蔡景祥更透露，團隊也在研究自然語言生成（NLG）等前瞻技術，衡量能否提供長文縮短、編寫摘要，甚至是短句生成的服務，「成為寫文章的好助手。」</p> <p><strong><span style="font-size:22px;">Line還有更大野心，要用Transformer通吃文字影像辨識</span></strong></p> <p>不只是臺灣Line團隊投入NLG技術的研究，一個多月前，Line母公司Naver舉辦線上AI技術大會，揭露了最新的NLG成果，發表了一套號稱是韓文版GPT-3的自然語言預訓練模型HyperCLOVA，具2,040億個參數，比公認的NLG指標模型GPT-3還要多。</p> <p>Naver AI研究中心的主管們，在大會上興致勃勃展示HyperCLOVA的各種用途。這個AI工具能與人類自然對話，能靠幾個關鍵字生成產品介紹，還能總結複雜的文件檔案。特別的是，HyperCLOVA能讓使用者選擇、組織用來訓練另一個AI所需的資料。Naver本身也在5月初，在自家網站部署HyperCLOVA，來提供自動更正錯字、推薦相關搜尋關鍵字的功能。</p> <p>Naver不只在這場大會秀最新技術，也宣示AI野心。Naver AI研究中心總監Jeong Seok-geun直言：「身為代表韓國AI科技發展的公司，我們將突破挑戰，聯手各界創造一個AI新時代。」</p> <p>HyperCLOVA就是一個新利器，Naver計畫要它學會更多語言，還要能看懂圖像和影片，來提供更人性化的企業服務。Line臺灣更透露，團隊目前正商討HyperCLOVA潛在的中文應用場景。文⊙王若樸</p> <p><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 快速認識科技巨頭力捧的Transformer</span></strong></span></span><strong style="color: rgb(255, 255, 255); font-size: 18px;"><span style="background-color:#3399ff;"> </span></strong></p> <p>Google在2017年提出Transformer模型，是一個把注意力機制發揮到極致的架構，專門用來處理序列型任務，如自然語言處理（NLP），效果更勝傳統RNN。隔年，Google以Transformer為基礎，發表一套NLP預訓練模型BERT，在各大基準測試（Benchmark）拿下榜首，劃下NLP時代分水嶺。此後，各種Transformer變形雨後春筍般湧出，像是臉書的RoBERTa、Google的XLNet、華為的TinyBERT，以及OpenAI的GPT-3，可說是遍地開花。</p> <p>GPT-3和BERT一樣，都取自Transformer架構，只是前者採用Transformer的編碼器和解碼器，因此能執行自然語言生成任務，如文章創作、摘要生成，而BERT只採用編碼器，因此擅長自然語言理解任務，如翻譯、問答等。</p> <p>不過，去年底，這些科技巨頭開始探索Transformer的另一個潛能，也就是影像辨識。Google去年底發表一篇論文，指出Transformer可媲美傳統影像辨識模型CNN。論文一出，立即引起ML社群議論，不少AI界指標性人物看好Transformer的多模態潛力。</p> <p>今年初，OpenAI用Transformer架構打造出可同時辨識文字和圖像的類神經網路DALL·E，Transformer正式步入多模態任務的解方模型。後來，臉書也接續發表可辨識文字和影像的模型DINO與PAW，而Google更在5月I/O大會上，揭露一款能同時辨識文字和影像的Transformer模型MUM，計畫要將MUM用來改善Google搜尋服務，將文字搜尋納入圖片資料，豐富使用者體驗。</p> <p>從這個趨勢看來，Transformer持續成為科技巨頭的熱門研究對象，甚至會引發新一波多模態模型革新。</p> </div></div></div>
2021/7/20 11:33作者王若樸https://www.ithome.com.tw/news/145753
美政府、盟國正式指控中國駭客駭入Exchange Server
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在微軟Exchange Server 4項漏洞被駭事件將近5個月後，美國白宮連同歐盟、英國等盟國昨（19）日<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2021/07/19/the-united-states-joined-by-allies-and-partners-attributes-malicious-cyber-activity-and-irresponsible-state-behavior-to-the-peoples-republic-of-china/" target="_blank">正式指控中國政府支持駭客組織發動攻擊</a>，造成全球網路不安。</p> <p>參與指控的除了美國拜登政府外，還包括歐盟、英國、北約組織（NATO）。</p> <p>三月間微軟自曝Exchange Server 4項總稱為<a href="https://www.ithome.com.tw/news/143001" target="_blank">ProxyLogon的漏洞遭中國駭客組織Hafnium開採</a>，並釋出修補程式呼籲企業安裝。<a href="https://www.ithome.com.tw/news/143208" target="_blank">消息一出引發各路惡意人士</a>，包括勒索軟體組織趁機行動駭入未來得及修補的Exchange Server用戶。在最初的一個星期內，至少有3萬家美國政府及企業受害。</p> <p>美國及盟國將之歸咎於中國政府，指「有高度信心」認為與中國政府國務院有關聯的惡意行動者，利用微軟Exchanger Server的零時差漏洞執行了這次網路間諜行動。他們相信這個組織發動大規模行動，開採了這些漏洞以駭入全球十萬臺電腦及網路，導致大部份民間部門受害者付出極龐大的成本來復原損害。</p> <p>美國及盟國表示，已對「高層中國政府官員」表達對這次事件，以及中國更多方面的網路惡意活動的強烈關切，說明中國的行動已威脅網路世界的安全、信心和穩定。</p> <p><a href="https://www.ncsc.gov.uk/news/uk-allies-hold-chinese-state-responsible-for-pervasive-pattern-of-hacking" target="_blank">英國</a>和歐盟也分別發表聲明，指出評估境內針對Exchanger Server的駭入事件是兩個駭客組織，包括APT (Advanced Persistent Threat) 40和APT 31所為，顯示是來自中國。英國的國家網路安全中心（NCSC）明言中國的國務院是兩個駭客組織背後首腦，其中APT 40涉及美歐的海洋及海軍國防外包商攻擊，而APT31則與政府攻擊事件，包括<a href="https://www.ithome.com.tw/news/141949" target="_blank">2020年芬蘭國會被駭</a>有關。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0720-china%20apt%20exchange%20server%20UK-600.jpg" style="width: 600px;" /></p> <p><a href="https://www.consilium.europa.eu/en/press/press-releases/2021/07/19/declaration-by-the-high-representative-on-behalf-of-the-eu-urging-china-to-take-action-against-malicious-cyber-activities-undertaken-from-its-territory/pdf" target="_blank">歐盟</a>並未指明中國政府的責任，僅要求中國政府採取適當行動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0720-china%20apt%20exchange%20server%20EU-600.jpg" style="width: 600px;" /></p> <p>連同這次宣布，<a href="https://www.justice.gov/opa/pr/four-chinese-nationals-working-ministry-state-security-charged-global-computer-intrusion" target="_blank">美國司法部也宣布控告</a>4名中國國務院有關聯的駭客長年參與鎖定涉及10多個外國政府以及航空、海洋、醫療、國防及教育等重要產業的網路攻擊行動。司法部指控任職海南國安局以及白手套企業的4名中國人，包括丁曉陽、程慶民、朱允敏、吳淑榮涉嫌策動駭客行動，以竊取西方國家重要商業資訊、產業機密、智財及公衛資訊，像是伊波拉病毒疫苗資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0720-china%20apt%20exchange%20server-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_</span><a href="https://www.justice.gov/opa/pr/four-chinese-nationals-working-ministry-state-security-charged-global-computer-intrusion" target="_blank"><span style="color:#696969;">美國司法部</span></a></p> <p>這次指控是西方國家行禮如儀對中國的公開譴責，事實上美國政府已多次指明中國政府支持駭客攻擊西方政府及產業。美國國安局（NSA）、聯邦調查局（FBI）及國土安全部下的CISA也配合白宮行動，<a href="https://media.defense.gov/2021/Jul/19/2002805003/-1/-1/0/CSA_CHINESE_STATE-SPONSORED_CYBER_TTPS.PDF" target="_blank">發布安全指引</a>，詳述50多項中國駭客攻擊的技術、手法及策略。</p> </div></div></div>
2021/7/20 12:45作者林妍溱https://www.ithome.com.tw/news/145755
跨國/跨媒體研究：起碼有23名政府官員或新聞記者的手機感染了Pegasus間諜程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由非營利組織禁忌故事<a href="https://forbiddenstories.org/about-the-pegasus-project/" target="_blank">（Forbidden Stories）</a>負責協調，並在<a href="https://www.amnesty.org/en/latest/research/2021/07/forensic-methodology-report-how-to-catch-nso-groups-pegasus/" target="_blank">國際特赦組織（Amnesty International）安全實驗室（Security Lab）</a>的技術支援下，來自全球10個國家、17個媒體組織的逾80名記者在本周發表了一份鑑識報告，指出由以色列駭客公司NSO Group所開發的間諜軟體Pegasus，儘管宣稱只會用在調查恐怖主義與犯罪行動，但實際上至少有23支屬於記者、工會代表、政治家，或異議人士的手機成功被滲透。</p> <p>2010年於以色列創立的NSO Group主要研發網路情報技術，且強調只將相關技術授權給用來打擊犯罪及恐怖份子的政府，然而，加拿大多倫多大學的<a href="https://www.ithome.com.tw/news/125971" target="_blank">公民實驗室（Citizen Lab）在2018年的研究指出</a>，全球已有36個組織於45個國家以Pegasus進行監控，且監控對象不乏記者或異議人士，抨擊NSO Group助長極權國家對人民的控制，然而，NSO Group卻堅稱只有為了調查犯罪及恐怖份子的合法政府組織，才能取得該公司產品的授權。</p> <p>這次NSO Group顯然再度被打臉。Forbidden Stories將此一歷時數月的調查稱為Pegasus專案，起因為Forbidden Stories與Amnesty International 意外獲得了一個存放了5萬筆電話名單的資料庫，該資料庫為NSO Group客戶從2016年到2021年7月之間所監控的目標，當中有10家NSO Group客戶選中了位於20個國家的180名記者作為攻擊對象，由於Forbidden Stories並不確定名單中的目標是否已被滲透，於是籌畫了這項專案，實際取得並分析了其中的67支手機，發現有23支被成功植入了Pegasus，另有14支出現企圖滲透的痕跡。</p> <p>出現在資料庫中的10個NSO Group客戶包括巴林、摩洛哥及沙烏地阿拉伯等極權國家，以及印度、墨西哥、匈牙利、亞賽拜然，以及非洲的多哥與盧安達。</p> <p>Pegasus被資安社群視為史上最高明的間諜軟體，它可透過程式漏洞或誘導使用者造訪惡意網站，以安裝在Android或iPhone手機上，成功植入手機後，Pegasus理論上能夠存取手機上的所有資料並將它們傳送至遠端伺服器，從簡訊、電子郵件、WhatsApp聊天紀錄、照片、影片、GPS資料、行事曆到通訊錄等，而且還能夠啟用麥克風與攝影機，並記錄受害者的通話。</p> <p>Amnesty International的分析顯示，專門報導國防及外交新聞的匈牙利記者Szabolcs Panyi的手機在2019年曾被植入Pegasus，遭到監控的時期長達9個月；專門撰寫印度商業與政治新聞的印度記者Paranjoy Guha Thakurta的手機也在2018年被駭，Thakurta說，當時他正在調查已故印度首富Drirubhai Ambani的財務狀況，而且印度至少有40名記者在攻擊名單上；而兩名與沙烏地阿拉伯被謀殺的記者Jamal Khashoggi關係密切的女性，同樣也出現在資料庫中。</p> <p>此外，最近一次成功被滲透的手機是執行iOS 14.6的iPhone 12，這是蘋果甫於今年5月釋出的最新版iOS。</p> <p>當媒體向NSO Group求證時，NSO Group所聘請的律師Thomas Clare向<a href="https://www.washingtonpost.com/investigations/interactive/2021/nso-spyware-pegasus-cellphones/" target="_blank">華盛頓郵報</a>表示，禁忌故事與國際特赦組織所取得的電話名單，並非各國政府的Pegasus攻擊名單，而可能是NSO Group客戶作為其它用途的名單。</p> <p>參與Pegasus專案的17個媒體涵蓋《衛報》（<a href="https://www.theguardian.com/world/2021/jul/18/revealed-leak-uncovers-global-abuse-of-cyber-surveillance-weapon-nso-group-pegasus" target="_blank">The Guardian</a>）、《華盛頓郵報》、《<a href="https://thewire.in/government/project-pegasus-journalists-ministers-activists-phones-spying" target="_blank">The Wire</a>》、《Le Monde》及《Direkt36》等。</p> </div></div></div>
2021/7/20 11:58作者陳曉莉https://www.ithome.com.tw/news/145754
Google允許Android開發者延展強制採用Google支付機制的期限到明年3月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/140250" target="_blank">Google在去年9月時宣布</a>，將強制Google Play的程式開發者於今年9月底前採用Google Billing程式內購買機制，然而，在面對<a href="https://www.ithome.com.tw/news/145524" target="_blank">美國37個地區檢察長的聯手控告之際</a>，Google決定<a href="https://android-developers.googleblog.com/2021/07/apply-more-time-play-payments-policy.html" target="_blank">再提供6個月的寬限期</a>，但開發者必須主動提出申請。</p> <p>其實Google一直以來都要求在Google Play上架的程式，只要有提供程式內購買功能，就必須透過Google Play的計費系統進行交易，並支付一定比例的佣金予Google。在去年9月時，具備程式內購買功能的程式中，已有接近97%採用該系統進行，換句話說，當時的宣布是針對剩下的3%下最後通牒。</p> <p>不過，今年的7月上旬，美國36州再加上華盛頓特區的檢察長聯手控告Google違反反托拉斯法令，其中一項指控就是壟斷了Android程式的程式內購買機制，宣稱Google透過該機制將可永遠向開發者收取最高30%的佣金。</p> <p>雖然這是外界認為Google政策轉彎的原因，但Google有自己的說法。負責Play合作夥伴關係的Google副總裁Purnima Kochikar表示，儘管有許多合作夥伴都朝著9月30日的截止日穩定前進，但還是有些開發者在這一年來非常艱困，特別是那些處於COVID-19疫情嚴重地區的工程團隊，使得他們無法即時更新來配合該政策。</p> <p>在審慎評估所收集到的意見之後，Google決定允許開發者提出6個月的延展期，從今年7月22日開始便能提出申請，Google將會審核每一個申請案，若經核准便可將遵循該政策的期限，從今年的9月30日延後到明年的3月31日。</p> </div></div></div>
2021/7/19 19:45作者陳曉莉https://www.ithome.com.tw/news/145745