iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 05:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟揭露BazaCall網路釣魚攻擊細節，分析迴避偵測的多種手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/145228">微軟資安情資中心在6月23日提出警告</a>，利用電話客服散布惡意軟體BazaCall（亦稱BazarCall）的釣魚郵件攻擊行動，攻擊者的目標疑似是Office 365用戶，且會在受害電腦植入勒索軟體。但<a href="https://twitter.com/MsftSecIntel/status/1407470790333722628">當時對於攻擊行動的細節說明</a>，可說是相當有限，僅有提及大致的攻擊流程，且提及攻擊者會人為操作並植入勒索軟體，過程中會使用Cobalt Strike等局部線索。<a href="https://www.microsoft.com/security/blog/2021/07/29/bazacall-phony-call-centers-lead-to-exfiltration-and-ransomware">到了7月29日，他們公布了新的調查結果</a>，說明這類攻擊完整的流程，還有做為誘餌的釣魚郵件如何迴避郵件防護系統偵測，以及入侵受害電腦之後，將會利用多種合法工具攻擊整個企業網域，並對於網路設備植入特定勒索軟體等細節。同時，微軟也針對BazaCall各攻擊階段的威脅獵捕，提供了進階威脅查詢指令。</p> <p>針對BazaCall攻擊手法，微軟指出，根據他們的觀察，攻擊者會在受害環境的網路環境快速移動，外洩大量資料並竊取帳密，然後在成功入侵後的48個小時內，植入勒索軟體Conti或Ryuk。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/BazaCall-attack-chain-s.png" style="width: 580px; height: 254px;" /></p> <p>為何微軟要揭露相關細節？因為在持續調查後，他們發現在BazaCall的攻擊過程裡，駭客利用社交工程和人為操控的方式，不像一般惡意軟體採用自動化的攻擊策略，而更容易逃過資安防護系統的偵測。這樣的策略，他們覺得BazaCall比起目前已被公開的情況還要危險。</p> <p>這種利用客服電話的攻擊手法，<a href="https://unit42.paloaltonetworks.com/bazarloader-malware/">最早是在今年2月被揭露</a>。攻擊者先是寄送釣魚郵件，信件內容是佯稱收信人訂閱的網路或軟體服務試用到期，接下來將會收取高額的訂額費用，而使得被害人心生恐懼，依照郵件指示撥打「客服專線」，來取消有關服務。但實際上，這個由攻擊者安排的「客服」，會指示上勾的受害者下載帶有巨集的Excel檔案，一旦這個檔案被開啟，就會在受害電腦植入BazaLoader惡意程式，並建立C2中繼站的連線，來進行後續的攻擊行動。</p> <p>微軟曾經提及這種釣魚郵件缺乏可被識別的元素，而使得一般郵件防護系統可能難以察覺異狀。但這些元素為何？他們這次給了明確的答案：BazaCall的釣魚郵件沒有夾帶附件或是URL連結，而這些正是郵件防護系統判別郵件內容是否可能有害的依據之一。</p> <p>而為了讓收信人會撥打電話給「客服」，攻擊者也製造出幾可亂真的氛圍。例如，攻擊者在每一波的釣魚郵件都會使用不同的服務訂閱名義，例如照片編輯服務或是烹飪交流網站的會員資格，但相同的都是宣稱服務訂閱將要到期。微軟指出，攻擊者疑似為了增加收信人撥打電話的意願，他們看到最近一次的BazaCall攻擊行動中，釣魚郵件內容改為購買軟體授權的收據確認信。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure3-sample-BazaCall-email-2.png" style="width: 580px; height: 413px;" /></p> <blockquote><p>BazaCall攻擊者以收件人購買了知名解壓縮軟體WinRAR的名義，寄送訂購成功的通知信，在這封信中聲稱收件人購買了20臺電腦授權，價值320美元，有2個星期時間可以撥打信裡隨附的「客服專線」取消購買。要是收件人撥打這支專線，「客服人員」就會指示下載惡意Excel文件檔案進行後續攻擊行動。</p> </blockquote> <p>再者，微軟指出，為了規避郵件防護系統透過寄件人黑名單的過濾方式，每封BazaCall郵件都是由不同的寄件人發出，而這些寄件人的電子郵件信箱，有可能是被盜用的，或是免費的電子郵件信箱；為了讓收信人相信郵件來自真實的公司行號，寄件人也會謊稱是來自與真實企業相似名稱的公司，即使收信人透過網路搜尋進行確認，還是有可能會上當──因為，攻擊者還架設了幾可亂真的「官方網站」。</p> <p>究竟這些釣魚郵件，與真實的購買網路服務或是軟體授權通知信有多麼相似？微軟表示，大部分的BazaCall郵件都會顯示用戶ID，而使得收信人誤以為自己真的是他們的用戶，但實際上，這組ID不只是用來騙收信人，還是攻擊者追蹤受害者的識別碼。</p> <p>一旦收信人依照指示打電話給「客服」，並下載了宣稱是取消訂閱所需填寫的Excel表格，微軟說BazaCall的客服還從中下了指導棋。因為，該公司發現，有些使用者會繞過SmartScreen等過濾機制，來下載他們已經標示有問題的惡意檔案，這代表「客服人員」很可能從中指示要如何操作，並要脅如果不照做的話，信用卡就會被扣款。此外，「客服人員」也會要求使用者在開啟上述Excel檔案後，啟用巨集的功能。</p> <p>這個Excel的巨集一旦被觸發後，便會藉由就地取材（Living Off-the-Land）的手法，複製Windows作業系統裡的certutil.exe，並利用這個副本檔案下載BazaLoader──這是惡意的動態連結程式庫（DLL），執行的方式是經由rundll32.exe載入。而BazaLoader與C2中繼站保持通訊的方式，攻擊者則是在rundll32.exe注入Edge瀏覽器的處理程序，這個處理程序也被用於偵察、收集用戶資料、網域資料等工作。</p> <p>而為了能讓攻擊者能遠端手動控制，以及找尋網域管理員帳號等資訊，此時rundll32.exe會下載滲透測試工具Cobalt Strike。而在攻擊者偵察完受害電腦的網路環境，他們會使用該滲透測試工具隨附的PsExec進行橫向移動，而對於網域控制器等較具價值的攻擊目標，攻擊者橫向移動的過程中，還會使用Windows Management Instrumentation命令列工具（WMIC）。</p> <p>一旦攻擊者發現具有高價值的目標，他們會使用7-Zip打包資料，並利用開源工具RClone外洩。針對網域控制器，攻擊者運用NTDSUtil.exe，來複製受害組織的AD資料庫檔案NTDS.dit，這個檔案包含了整個網域所有使用者的帳號資料，以及密碼雜湊值。</p> <p>微軟指出，上述資料外洩是部分BazaCall攻擊的主要目的，但他們也看到攻擊者接續在受害網域散布勒索軟體的情況，攻擊者會藉由高權限的使用者帳號，使用PsExec來在網路裝置上植入Conti或是Ryuk。</p> <p><a href="https://s4.itho.me/sites/default/files/images/BazaCall-post-compromise-manual-ctrl-s.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BazaCall-post-compromise-manual-ctrl-s.png" style="width: 580px; height: 253px;" /></a></p> </div></div></div>
2021/8/5 17:25作者周峻佑https://www.ithome.com.tw/news/146037
推動國內產品漏洞修補，TWCERT/CC已指派近200個CVE漏洞，近期漏洞品質發布並獲評最高等級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼群暉、威聯通之後，近期臺廠Zyxel也獲得MITRE授權，成為CVE編號管理者（CNA），可針對自家產品指派CVE編號，強化業者本身產品安全性與掌控CVE資訊的揭露。然而，加入CNA成員的單位，不只是產品供應商，也包含來自全球各國或產業的CERT組織，以及研究機構、漏洞提報組織等，例如，台灣電腦網路危機處理暨協調中心（TWCERT/CC）也是一員，他們在2018年9月申請通過成為CNA。</p> <p>事實上，TWCERT/CC近年已發布不少國內廠商產品的CVE漏洞（近200個），而且，更特別的是，今年7月中旬又傳來捷報，因為該單位發布的CVE資安漏洞品質，獲美國NIST/NVD評定為最高Provider等級。</p> <h3><strong>提升臺灣廠商產品漏洞修補意識</strong></h3> <p>不同於產品供應商CNA，只能管理自家產品有關的漏洞，TWCERT所獲得的權限較廣，目前可負責其他所有臺灣資通訊產品的CVE漏洞審核。</p> <p>TWCERT/CC當初為何加入CNA計畫？該機構的組長林志鴻表示，起初他們是參考JPCERT的做法，因此申請成為一員，而最關鍵的原因，是因為臺灣業者之前在產品漏洞修補的觀念較不足，希望藉此讓這些公司能慢慢接受，提升臺灣產品的安全。</p> <p>而在TWCERT/CC加入CNA之後，一旦有研究人員發現臺灣產品漏洞並向CNA通報後，TWCERT/CC將與廠商聯繫，請他們修補，一旦廠商完成修補，將請通報者驗證，若修補有效後，即公開CVE。在此期間，林志鴻表示，有些國內廠商確實這方面的觀念不足，使得他們需要花很大力氣說服對方，讓這些業者收到通報，並要做好產品漏洞修補。</p> <p>事實上，過去就曾出現一些狀況，例如研究人員發現漏洞卻無法聯繫到臺灣原廠。而在2015年，臺灣有資安社群打造漏洞通報平臺HITCON ZeroDay，讓研究人員一旦發現網站或廠商產品有漏洞，可以此幫助企業與通報者，使彼此之間有互信的溝通管道，近年並衍生漏洞獎勵計畫與企業徵才等功能。</p> <p>而對於TWCERT/CC而言，取得MITRE CNA成員身分後，研究人員發現廠商產品漏洞時，現在多了這個通報管道，他們同樣能認可通報人員的貢獻，在漏洞資訊頁面公布漏洞通報者，但最特別之處，還是可以發布CVE。</p> <p>而經過這幾年以來，TWCERT/CC已經發布近200個CVE漏洞。這項工作從2019年開始，當時只發布27個CVE漏洞；到了2020年，他們發布58個，今年數量更是大增，光是上半年就有71個，若單就7月這一個月內（至23日止）來看，他們就已經發布多達39個CVE漏洞。</p> <p>而在TWCERT/CC成為CNA之後，也提供通報上的協助，可因應之前研究人員發現國內外產品CVE漏洞，但因找不到通報管道而公開漏洞的狀況，減少後續的困擾。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89TWCERTCC%20CNA.jpg" style="width: 600px;" /></p> <blockquote><p>台灣電腦網路危機處理暨協調中心（TWCERT/CC）在2018年9月發布成為CVE 編號管理者（CNA）的消息，並建置了台灣漏洞紀錄（TVN）平臺，至今已經指派205個CVE漏洞。</p> </blockquote> <h3><a href="https://s4.itho.me/sites/default/files/images/（圖6）TWCERTCC CNA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89TWCERTCC%20CNA.jpg" style="width: 295px; height: 127px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖7）TWCERTCC CNA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89TWCERTCC%20CNA.jpg" style="width: 295px;" /></a></h3> <h3><a href="https://s4.itho.me/sites/default/files/images/（圖5）TWCERTCC CNA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89TWCERTCC%20CNA.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖8）TWCERTCC CNA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89TWCERTCC%20CNA.jpg" style="width: 295px;" /></a></h3> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">在台灣漏洞紀錄（TVN）平臺上，可以看到所有TWCERT/CC指派的國內產品CVE漏洞，當中描述各別漏洞的CVSS、影響範圍，以及原廠的修補，並會公布該漏洞的通報者，認可其貢獻。而在此平臺的通報者，除了有獨立研究人員，也有許多國內資安業者的的研究人員，</span>舉例來說，包括戴夫寇爾（DEVCORE）、中華資安國際（CHT）、盧梭世代（ZUSO ART）等，特別的是，也有廠商產品是來自自身的通報到此平臺，例如，華碩（ASUS）。</p> </blockquote> <h3><strong>對於CVE漏洞的認定與嚴重度獲認可</strong></h3> <p>除了CNA成員的身分，特別的是，最近TWCERT/CC也在這方面的努力上獲得肯定。因為他們發布的CVE資安漏洞品質，在CVSS 3.1與CWE項目，都獲美國NIST/NVD評選為最高的Provider等級。</p> <p>對此，林志鴻說明，這項評估全球CNA發布品質的方式，主要有兩大類別，一是對漏洞的認定是否正確，也就是CWE的歸納，另一是對漏洞嚴重度的評估是否正確，也就是CVSS評分。</p> <p>而且，這項評核會持續調整，例如，今年3月，TWCERT/CC在這兩項拿到第二高的Contributor等級，到了7月11日，他們在CWE、CVSS等兩項，都獲得了最高的Provider等級，在目前（至23日止）取得CAN資格的179個組織中，CWE項目有13個廠商或機構取得Provider，CVSS項目有5個廠商或機構取得Provider，而兩項都保持在Provider等級，只有Adobe與TWCERT/CC</p> <p>臺灣現在其他CNA成員的狀況如何？舉例來說，NAS廠商群暉科技於6月30日的評核中，在CWE項目獲得Provider等級，在CVSS 3.1獲得Contributor等級；另一家NAS廠商威聯通於7月8日，也在CWE項目獲得Provider等級，分類在日本的趨勢科技旗下ZDI，也在7月2日於CWE項目獲得Provider等級，至於Zyxel因為才剛加入，還沒有相關評核結果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89TWCERTCC%20CNA.jpg" style="width: 600px;" /></p> <blockquote><p>TWCERT/CC在2018年取得MITRE授權成為CNA成員，近期他們發布的CVE漏洞品質，獲美國NIST/NVD評選為最高的Provider等級。基本上，這項對CNA成員的評分，從高至低分成提供者（Provider）、貢獻者（Contributor）與參考者（Reference）三個等級。根據TWCERT/CC的說明，Provider等級需與NIST/NVD審核結果達到95%以上的匹配率，而Contributor等級則是70%以上的匹配率。</p> </blockquote> </div></div></div>
2021/8/5 15:21作者羅正漢https://www.ithome.com.tw/news/146035
思科修補VPN設備漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科本周發布二波安全公告及修補程式，以分別修補二個影響VPN產品的安全漏洞，其中包括一個風險層級9.8的重大程式碼執行漏洞。</p> <p>本次修補漏洞分別是<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv340-cmdinj-rcedos-pY8J3qfy" target="_blank">CVE-2021-1609、CVE-2021-1610</a>以及<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv-code-execution-9UVJr7k4" target="_blank">CVE-2021-1602</a>。前兩個皆是出在Small Business VPN產品Dual WAN Gigabit VPN Routers的Web管理介面，對外部傳入的HTTP呼叫驗證不足，傳送惡意呼叫即可開採。其中CVE-2021-1609可讓遠端攻擊者在裝置上，執行惡意程式碼或指令，或是使裝置多次reload而導致阻斷服務（DoS）攻擊，風險高達9.8。CVE-2021-1610則讓經過驗證的遠端攻擊者，以根權限在裝置上執行任意指令，風險層級7.2。</p> <p>兩個漏洞影響Dual WAN Gigabit VPN Routers RV340、RV340W、RV345和RV345P。思科已針對這些裝置釋出韌體1.0.03.22予以修補。</p> <p>CVE-2021-1602則是Small Business RV系列路由器Web管理介面上對使用者輸入指令驗證不足，可讓攻擊者傳送改造的惡意指令來開採，成功開採可讓攻擊者以根權限在漏洞裝置上執行任意指令。不過思科表示，只有無參數的指令可被執行。</p> <p>該漏洞風險層級8.2，影響Cisco Small Business VPN Routers RV160、RV160W、RV260、RV260P及 RV260W。甫釋出的韌體1.0.01.04版可以修補之。</p> <p>本地LAN連線下，這個Web管理介面預設開放裝置連線。廣域網路（WAN）介面上也可找到以啟用遠端管理功能，所幸在這些裝置上，遠端管理功能是預設關閉，減低了漏洞威脅。思科也表示未發現漏洞被開採的跡象。</p> <p>不過根據美國、英國及澳洲政府日前發布<a href="https://www.ithome.com.tw/news/145913" target="_blank">最常被駭客攻擊的30項漏洞</a>中，多個VPN品牌名列前茅，因此對於VPN裝置的已知漏洞，仍應儘速安裝為宜。</p> </div></div></div>
2021/8/5 15:34作者林妍溱https://www.ithome.com.tw/news/146036
Amazon發表新專案以供業者銷售退貨及庫存商品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國媒體<a href="https://www.itv.com/news/2021-06-21/amazon-destroying-millions-of-items-of-unsold-stock-in-one-of-its-uk-warehouses-every-year-itv-news-investigation-finds" target="_blank">ITV News</a>在今年6月報導，Amazon在英國當地所設立的其中一個倉儲，每年要銷毀多達數百萬個品項的庫存，而遭到外界批評Amazon真是太浪費了。Amazon為了改善此事，<a href="https://www.aboutamazon.com/news/operations/amazons-new-programs-give-returned-and-unsold-inventory-new-life" target="_blank">在本周發表了兩項Amazon履行（Fulfillment by Amazon，FBA）專案</a>，將協助站上的商家出售退貨及庫存商品。</p> <p>FBA為Amazon存放、包裝、遞送商品，以及處理退貨的程序，為了協助商家處理退貨與庫存，Amazon在2019年揭露了FBA Donations專案，以將這些未出售的商品透過慈善團體捐贈給需要的家庭或學校，然而，FBA Donations顯然無法滿足龐大的退貨與庫存壓力，才會促使Amazon最終選擇了銷毀一途。</p> <p>為了解決庫存以及被退貨的商品，<a href="https://www.aboutamazon.com/news/operations/amazons-new-programs-give-returned-and-unsold-inventory-new-life" target="_blank">Amazon本周再度提出</a>了FBA Liquidations及FBA Grade and Resell兩項專案，預期每年可讓逾3億個可能已經積塵的商品重生，賦予它們第二次的生命。</p> <p>其中的FBA Liquidations將讓商家能夠透過Amazon既有的批發清算合作夥伴及技術，來減少商家的退貨及庫存損失，過去這些未售出的商品要不就是退還給商家，要不就是由Amazon負責捐贈，不過現在商家將能夠直接將大量的屯積商品以批發價，出售給Amazon的合作夥伴。</p> <p>目前包括美國、德國、法國、義大利及西班牙都已支援FBA Liquidations專案，很快地就會擴及英國。</p> <p>而FBA Grade and Resell專案則是針對被消費者退貨的商品，允許商家將被退貨的商品直接轉至該專案，並由Amazon負責評估商品的狀態，提供接近全新、狀態很好、好及可接受等4個等級，再透過商家既有的流程來替商品標價與銷售。</p> <p>FBA Grade and Resell專案已於英國上線，今年底將會部署至美國，明年初再擴張至德國、法國、義大利與西班牙。</p> <p>負責退貨及可持續性的Amazon總監Libby Johnson McKee表示，對所有的零售商而言，退貨是個現實的問題，而如何處理被退貨的產品則是整個產業的難題，這些新專案將可確保在Amazon平臺上銷售的商品，都能夠得到良好的利用而不至於被浪費。</p> </div></div></div>
2021/8/5 14:54作者陳曉莉https://www.ithome.com.tw/news/146034
【臺灣物流開放場域測試的自駕車首例】新竹物流開始測試自駕貨車送貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然晚國外2年，但臺灣終於有大型物流業者開始嘗試運用自駕車，來發展創新的商業營運模式。由新竹物流與工研院共同合作的一項自駕物流服務實驗計畫，近日通過經濟部正式核准，將展開為期一年測試，儘管只有部分運輸路段採用自駕車行駛，並未全程無人配送，但也跨出了臺灣產業自駕車應用的一大步，這不僅是臺灣最新一批核准通過的自駕車沙盒實驗案，也是國內物流開放場域測試的自駕車第一案。 </p> <p><span style="font-size:28px;"><strong>新竹物流與工研院合作，將展開自駕貨車上路測試</strong></span></p> <p>經濟部於2019年底開始推動「無人載具科技創新實驗計畫」，截至今年8月為止，已有14案通過申請，其中自駕車測試案占近九成，涵蓋了自駕車、自駕巴士、自駕公車。不過直到今年中為止，這些實驗案多以開放或特定道路的自駕接駁服務測試為主，還沒有產業自駕車應用出現。</p> <p>不過，在經濟部8月最新一批核准的自駕車實驗案中，工研院獲准允許在新竹市市區道路上進行物流自駕車測試，要來驗證其技術及商業可行性。儘管在公告資訊上，工研院沒有明講合作的物流運輸業者，從現有揭露的資訊內容來看，自駕貨車測試路線，就是以新竹物流的配送營業所為據點來進行測試，從半個月前就展開實測。新竹物流也證實參與了這項自駕車實驗案，但表示9月才會對外公布更多資訊。 </p> <p>新竹物流早在多年前就與工研院展開合作，使用後者的自動化技術，來提高物流作業效率，近幾年，新竹物流積極朝向智慧物流來發展，也進一步深化與工研院的合作，就連兩年前Yahoo奇摩在臺啟用第一座 AI智慧物流中心，也是新竹物流與工研院雙方合作的成果。如今，新竹物流與工研院更擴大合作範圍，結合自駕貨車，實現最後一里路的物流運輸自動化。 </p> <p>其實，早在去年工研院所發行的《工業技術與資訊月刊》一篇文章中，新竹物流總經理李正義就曾透露，考慮到疫情影響，物流配送也將朝向無接觸發展，當時他就表示，該公司正與工研院合作，投入無人配送車的研發，除了期望能解決將來可能面臨的司機人力不足問題，也預期透過無接觸配送，來減少人力成本。</p> <p>而對工研院來說，這一次的物流自駕車實驗案，是他們第2個通過經濟部申請的自駕車測試案，第一個實驗案是在新竹高鐵站展開自駕車接駁服務試驗，迄今已經測試約9個月。 </p> <p>不僅如此，工研院很早就投入自駕車領域研究，來打造國產自駕車核心技術，並且先後在新竹南寮漁港、臺中水湳智慧城都有進行開放場域自駕車或自駕巴士測試。</p> <p><span style="font-size:28px;"><strong>物流車自駕全長約1.9公里</strong></span></p> <p>取得物流自駕車試車牌後，新竹物流不是在人車稀少的郊區或偏鄉，而是選擇在市區道路上測試自駕貨車，自駕測試地點就在新竹市市區內，實驗時間長達一年，從今年7月15日起至明年7月14日止。這也代表他們從半個月前就已經展開測試，接下來一年內，這項物流自駕車試驗可暫不受相關交通法規的限制，在開放道路實測。 </p> <p>根據工研院這次提交的自駕物流服務實驗計畫書，他們的自駕車將會往反新竹營業所與竹科營業所兩地來進自駕測試，這兩個營業所以新竹市北區及香山區配送範圍為主。不過初期這項實驗，僅在中繼運輸路段採用自駕車行駛，並未包含全程配送到顧客家。 </p> <p>自駕測試地點不僅緊鄰火車站，距離竹科也不到5公里遠，測試期間不只安排了上下午，還有半夜凌晨時段，這也意味著，會遭遇到上、下班人車潮的考驗。從物流自駕車實驗行駛路線來看，自駕車每趟會從新竹物流的新竹營業所出發，途中會行經新竹市公園路、東光路、忠孝路等路段，將配送貨物送達竹科營業所，回程路線接著改走忠孝路、八德路的道路，再循原路回到新竹營業所。來回全長約1.9公里。 </p> <p>除了可能面臨人車爭道的考驗，從Google實景地圖來看，物流自駕車行駛過程中，也得應付各種狹窄巷弄道路、垂直、彎道等路段，並且中途還會行經數個交岔路口，這些都是自駕貨車上路測試得要面對的挑戰。</p> <p>在約1.9公里長的總路程，物流自駕車將以時速40公里行駛於一般車道，測試時段也配合一般物流作業時間，分為早中晚3個時段，包括了早上9點到11 點，下午1點到5點，還有晚上7 點到翌日2點。 </p> <p>新竹物流與工研院計畫使用2輛物流自駕車來進行這項實驗，並將車長5米的油電混合車輛改裝成自駕車，用來進行測試。目前沒有揭露這輛物流自駕車的配備細節，但可以參考過去工研院自駕車接駁實驗車輛的規格來看，自駕車上除了可能配備不同感測器，可感知周遭環境外，其自駕系統核心很有可能也是採用工研院自駕核心系統做為開發，來達到控制車輛安全行駛。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%B0%E7%AB%B9%E7%89%A9%E6%B5%81%E8%87%AA%E9%A7%95%E8%BB%8A-600.png" style="width: 580px;" /></p> </div></div></div>
2021/8/5 14:06作者余至浩https://www.ithome.com.tw/news/146021
需求太熱烈系統不堪負荷，微軟暫停Windows 365免費試用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周二微軟公布雲端服務<a href="https://www.ithome.com.tw/news/145984" target="_blank">Windows 365上線並提供免費試用</a>，不過周三微軟<a href="https://twitter.com/Microsoft365/status/1422610113408364544" target="_blank">暫停了免費試用</a>，理由是「需求太熱烈」，超出系統負荷。</p> <p>Windows 365計畫管理部門總監<a href="https://twitter.com/RDS4U/status/1422616706485080065" target="_blank">Scott Manchester指出</a>，Windows 365獲得迴響「超出預期」，必須暫停試用計畫以便增加系統容量。</p> <p>Windows 365旨在讓企業用戶可在各種連網裝置上，包括PC、筆電、Mac、平板、Android或Linux裝置，於雲端執行Windows 10或11、應用程式及開啟檔案。Windows 365將Windows與運算、記憶體、儲存包裹成不同級別的Cloud PC套件，並以人頭計價。Windows 365提供大型企業用的Enterprise及中小企業用的Business兩大類方案，並有不同組態供企業依需求選擇。</p> <p>Windows 365方案最基本組態費用20美元起跳，提供1vCPU、2GB RAM、64GB雲端儲存及12GB對外連線頻寬，也支援Web版Office App、Outlook和OneDrive。為了促銷，每種組態都提供60天的免費試用期。</p> <p>雖然這項服務僅提供企業採購，媒體相信，微軟可能也會推出消費者版本的Windows 365。</p> <p>暫時關閉期間，Microsoft 365官方推特也請有興趣的企業<a href="http://www.microsoft.com/en-us/windows-365" target="_blank">註冊</a>以便能接收到重新開放試用的通知，或是直接購買。</p> </div></div></div>
2021/8/5 12:22作者林妍溱https://www.ithome.com.tw/news/146031
Uber營收成長105%，準備在今年底實現獲利目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球共乘暨外送服務平臺Uber周三（8/4）公布<a href="https://investor.uber.com/news-events/news/press-release-details/2021/Uber-Announces-Results-for-Second-Quarter-2021/default.aspx" target="_blank">今年第二季財報</a>，顯示該季創下39.3億美元的營收，比去年同期成長105%，淨收入達到11.4億美元，比起去年同期17.8億美元的虧損有明顯的進步，調整後稅息折舊與攤銷前利潤（Adjusted EBITDA）為負5.09億美元。Uber財務長Nelson Chai表示，將在今年第四季實現Adjusted EBITDA的獲利目標。</p> <p>在Uber各項服務的營收表現上，食物外送服務創下19.6億美元的營收，成長122%，共乘服務為16.2億美元，成長106%，貨運服務營收為3.5億美元，成長65%。</p> <p>若是比較各項服務的Adjusted EBITDA，那麼外送服務虧損了1.6億美元，共乘服務則有1.8億美元的利潤，貨運服務虧損4,100萬美元，若再加上平臺的研發等成本，該季的Adjusted EBITDA虧損5.09億美元。</p> <p>Uber執行長Dara Khosrowshahi表示，該季Uber藉由投資司機來因應經濟的復甦，從今年2月到7月間，美國的司機與快遞員增加了近42萬名，且Uber平臺一季比一季強健，在Uber平臺上的總預訂量中，有接近一半是同時採用Uber的送餐及共乘服務。</p> <p>至於Uber財務長Nelson Chai則認為，Uber將會在今年第四季實現Adjusted EBITDA獲利的目標，第二季的Adjusted EBITDA虧損了5.09億美元，估計第三季的虧損將低於1億美元，並在第四季達到獲利。</p> </div></div></div>
2021/8/5 13:00作者陳曉莉https://www.ithome.com.tw/news/146032
Amazon與Google修補其DNS服務平臺的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端安全業者Wiz在本周舉行的黑帽大會上，<a href="https://www.blackhat.com/us-21/briefings/schedule/#a-new-class-of-dns-vulnerabilities-affecting-many-dns-as-service-platforms-23563" target="_blank">揭露了一個有關DNS的安全漏洞</a>，使用新穎的手法來挾持DNS服務供應商的節點，以竊聽DNS流量，進而描繪出連結DNS服務的組織內部網路架構。儘管該漏洞被Wiz視為屬於「國際水域」，亦即是個三不管地帶，但包括Amazon及Google都先行著手修補了相關漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-DNS%20Nameserver%20Hijacking-600-1.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-DNS%20Nameserver%20Hijacking-600-2.jpg" style="width: 600px;" /></p> <p><a href="https://www.blackhat.com/us-21/briefings/schedule/#a-new-class-of-dns-vulnerabilities-affecting-many-dns-as-service-platforms-23563" target="_blank">圖片來源_黑帽大會</a></p> <p>Wiz說明，DNS代管服務是個自助式的平臺，允許客戶更新其網域名稱及其所指向的名稱伺服器，客戶得以新增任何想要的網域名稱，而且不會驗證網域名稱的所有人。此次Wiz團隊則在擁有2,000個DNS伺服器的Amazon Route53上進行測試，於Route53上註冊了一個與其官方DNS伺服器同名的名稱伺服器，準確地說，是在AWS的名稱伺服器上建立一個新的代管區域，並以AWS的DNS伺服器命名。</p> <p>這使得Wiz取得了該代管區域的部分控制權，並將它指向Wiz自家的IP位址。於是，只要DNS客戶向此一名稱伺服器進行查詢，相關的流量便會直接導至Wiz。</p> <p>之後Wiz即開始接收到來自全球逾100萬個獨立終端的大量查詢流量，這些流量來自全球1.5萬個組織，涉及Fortune 500企業與上百個政府機構，除了發現它們是來自於Windows機器的動態DNS流量之外，流量也透露出這些組織的內／外IP位址、電腦名稱、員工名稱，以及辦公室位置。</p> <p><a href="https://www.wiz.io/blog/black-hat-2021-dns-loophole-makes-nation-state-level-spying-as-easy-as-registering-a-domain" target="_blank">Wiz的研究主管Shir Tamari表示</a>，藉由分析這些流量，他們得以取得一家全球最大服務業者的全球員工與辦公室位置，還發現有些企業在伊朗及緬甸設有辦公室，違反了美國外國資產控制辦公室（Office of Foreign Assets Control，OFAC）的規定。</p> <p>該漏洞現身的原因之一是Windows所提供的動態DNS設定，讓Windows裝置得以自動更新變更IP位址的DNS伺服器，只是當Wiz向微軟通報時，微軟卻說這並不是一個安全漏洞，而是客戶在部署外部DNS解析器的配置錯誤。</p> <p>不過，包括Amazon Route53與Google Cloud DNS都已修補了此一問題，只是其它DNS平臺仍舊處於此一風險中。</p> <p>Wiz則建議各大組織應該要妥善地配置其DNS解析器，以避免動態DNS更新洩露其內部網路狀態。</p> </div></div></div>
2021/8/5 13:16作者陳曉莉https://www.ithome.com.tw/news/146033
Fintech周報第192期：玉山證券自建AI預測模型，每月演算未來3個月潛在VIP顧客與大戶流失可能性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0731～0806</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 玉山證券 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 大數據 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">玉山證券自建AI預測模型，每月演算未來3個月潛在VIP顧客與大戶流失可能性</span></strong><br /><span style="vertical-align: top;">玉山證券在去年底推出自行開發的大戶潛力開發與預警流失預測系統，利用大數據分析VIP顧客的關鍵指標，來深化與顧客的互動與黏著度，同時，演算出顧客流失可能性，達到即早預防。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">玉山證券董事長曾宜欣表示，玉山證券近年來大量運用AI和大數據技術，掌握顧客交易動態和投資理財需求，提供最合適的規畫和服務。玉山證券分析，過往證券商的顧客分級制度，通常是藉由過去已經發生的交易量判定，但，這樣的定義方式，不僅無法發掘具發展潛力的客群，也難以即時察覺顧客的交易情形變化。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">為解決這些痛點，玉山證券在去年12月推出大戶潛力開發與預警流失預測系統，以AI技術建立預測模型，每月演算出未來3個月的潛在VIP顧客及大戶流失的可能性，讓營業員能及早掌握，提供相對應的合適服務，或執行相關行銷活動。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 機器人流程自動化 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 第一銀行 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">第一銀行預估年底將有超過100個RPA作業流程上線</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%E7%AC%AC%E4%B8%80%E9%8A%80%E8%A1%8C_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89%20.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">第一銀行（以下簡稱一銀）自2019年Q2啟動機器人流程自動化（RPA），近期，更宣布行內各項作業導入RPA的成效。截至今年6月底為止，已上線87個RPA作業流程，運用範圍涵蓋總行與分行營業單位，根據一銀內部統計，累計減少超過60萬小時作業人力，相當於305位全職員工的工作量。甚至，預估年底前，一銀將有超過100個RPA作業流程正式上線。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">一銀表示，內部在RPA的應用上，以客戶KYC作業及洗錢防制規範的定期審查作業等最具效益。該行解釋，在原有的企業及個人授信戶審查作業中，行員需到數個政府網頁及銀行內部系統蒐集客戶資料，彙整後分析產出後續報告，除花費大量時間外，更容易因規範調整、人工失誤導致資料蒐集不完整，產生作業風險。</span>現在，藉由RPA協助處理這類具規則性且高重複性的電腦作業，彙整結果再交由行員進行分析或審核，讓行員有更多時間投入客戶經營、產品規畫、信用分析等更高價值領域的工作。</p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">一銀提到，不只將原有流程自動化，更從分析流程著手，先進行流程優化，再從技術可行性、業務策略價值等方面，綜合評估導入RPA的效益，並採用全自動或人機協作的方式，來提升作業效率。一銀也希望，接下來能將自動化流程推廣到全行服務。</p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 以太幣 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 比特幣 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Coinbase </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">Coinbase發布加密貨幣研究報告，今年上半年以太幣交易較比特幣熱絡</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">美國最大加密貨幣交易平臺Coinbase，近期布了今年上半年的加密貨幣研究報告，指出以太幣（ETH）今年上半年的交易量達到1.4兆美元，比去年同期增加了1461%，而全球最大加密貨幣比特幣（BTC）同期交易量則是2.1兆美元，增加489%，顯示出以太幣交易的熱絡程度遠超過比特幣。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">以太幣現為全球第二大的加密貨幣，Coinbase分析它受到投資人愛戴的原因，包括愈來愈多人採用奠基於以太坊（Ethereum）的DeFi協定，不斷證明了以太坊作為全球金融應用與開發者平臺的價值；且投資人對於以太坊轉換至2.0抱持著樂觀的態度；EIP1559提案則準備減少以太幣的供應；愈來愈多的擴充解決方案將有助於改善以太坊的網路吞吐量。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">另外，Coinbase還發現包括對沖基金、各種基金或者是企業等大型組織都在今年開始或增加對以太幣的投資，它們相信以太幣與比特幣一樣，都有長期持有的潛力，也能創造其投資組合的差異化。<a href="https://www.ithome.com.tw/news/145917">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 行動支付 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 中國信託銀行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">中國信託行動銀行App推錢包綁定功能，提供一站式行動支付管理平臺</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%E4%B8%AD%E5%9C%8B%E4%BF%A1%E8%A8%97_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpeg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">因應疫情發展，使得零接觸金融需求持續升溫。中國信託銀行（簡稱中信銀行）分析顧客使用銀行帳戶綁定電子支付現況，累計到今年6月底為止，在超過400萬名的行動銀行Home Bank App用戶中，用銀行帳戶綁定電支的用戶數量近150萬名，年增率達63%，交易金額年增率逾100%。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為了進一步提供方便的管理功能，中信銀行今年7月底在自家行動銀行App推出錢包綁定功能，讓顧客可一站式查詢中信卡綁定行動支付、銀行帳戶連結電支帳戶的資訊，同時，可快速進行綁定，不用逐一打開各個App檢視或綁定。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中信銀行表示，首波與電子支付業者Line Pay Money合作，同時整合Apple Pay、Google Pay兩大國際行動支付服務，乃全臺首家提供一站式行動支付管理平臺的銀行。中信銀行表示，未來將與icash Pay等電子支付業者合作，讓錢包綁定功能更為完整。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金控級API Store </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 國泰金控 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">國泰金控整合旗下子公司API服務打造金控級API Store</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">國泰金控將去年推出的國泰即服務（CaaS）概念平臺化，正式推出CaaS生態圈服務平臺，整合旗下各子公司API服務，打造金控級API Store，目的是透過統一入口與異業洽談合作，藉此帶進更多跨子公司、跨業、跨界的合作機會。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">在CaaS數位平臺上，整合了國泰金控各子公司包括壽險、銀行、產險等的數位化服務，目前，總共提供5大類服務場景，包括消費購物、出行保障、健康促進、居家生活、金融服務。此外，平臺也提供了7大類別服務方案，涵蓋開放銀行、支付繳費、貸款融資、保險商品、客戶服務、特店服務，合作商家可在平臺一次性瀏覽合作項目與服務。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">而為了符合不同子公司的法規要求，國泰在這次採用Google Cloud Apigee技術，並導入最新管理架構，讓各子公司技術層面上的內外環境能虛擬隔離，符合金融機構資安標準，同時也能整合業務層面的需求。而國泰同時也是國內第一家採用Google Cloud Apigee技術的金融業。<a href="https://www.ithome.com.tw/news/145931">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 星展銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 工作新常態 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">後疫情工作新常態，星展銀行將推動新計畫讓員工最高4成時間可居家工作</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%964_%E6%98%9F%E5%B1%95%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_DBS.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">星展銀行（臺灣）總經理林鑫川日前表示，疫情帶來了前所未有的變化與挑戰，也加速了銀行轉型。為此，星展集團持續推動Future of Work（FoW）計畫，重塑營運與工作模式，打造員工更加數位化、愉悅的工作體驗。星展銀行提到，未來在疫情結束後，在符合主管機關法規下，員工將可以總工時最高40%居家辦公，另外60%則在辦公室工作，展開未來工作新常態。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> FinTechSpace </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 企業實驗室 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金融科技創新園區公布企業實驗室11大實證共創主題</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金融科技創新園區（FinTechSpace）近期宣布底下建立的企業實驗室機制，共有11家機構進駐，並揭露各家的實證共創主題，主要聚焦行動應用、普惠便利、聯合場景金融、ESG綠色金融、人工智慧聯合學習防詐、雲端資安、數位風控、企業數位金流平臺、多元身分驗證、數位金融生態圈等面向。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"> FinTechSpace 建立的企業實驗室機制，目的是讓進駐機構與新創團隊激盪火花，作為跨機構共創的小型實驗場域，在企業實驗室中，可進行封閉式的流程驗證，甚至可以做到跨機構的內部人員小型測試。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">目前，進駐的11家金融機構與對應的實證主題，包括上海商銀的CloudBank創新實驗室、中國信託金控的普惠金融實驗室、台新金控的場景金融聯合創新實驗室、台灣微軟的場景金融聯合創新實驗室，以及永豐金控的人工智慧聯合學習防詐實驗室、玉山金控的eco-Innovation金融實驗室、國泰金控的國泰Fin-Cloud Security實驗室，還有渣打銀行的數位軌跡金融實驗室、華南銀行的企業數位創新金流平臺應用實驗室、臺灣中小企業銀行的多點齊放身分驗證實驗室與遠東商銀的雙B實驗室BaaP by Bankee社群銀行。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外， FinTechSpace提到最新一批進駐園區的新創團隊共有43家，聚焦智能理財、法遵科技、支付、資訊聚合平臺、資安解決方案、保險科技、企業解決方案等8大領域。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">攝影／洪政偉；圖片來源／DBS</span><br /> 責任編輯／李靜宜<br /><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1</strong><strong style="vertical-align: top;">. </strong><strong style="font-size: 14pt;">台新銀行數位帳戶與遠傳friDay理財+合作，提供跨平臺查帳理財服務</strong><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;">2.</strong><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;"> </strong><strong>兆豐銀行智能客服推出2年，減少行內32%客服電話量</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2021年8月</span></strong></p> </div></div></div>
2021/8/5 12:13作者李靜宜https://www.ithome.com.tw/news/146030
【SAN儲存陣列：IBM FlashSystem 5200】FlashSystem家族擴展入門機型，1U規格提供高效能…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1036-prod-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年（2020）年初，IBM將旗下的FlashSystem，以及Storwize等兩條儲存陣列產品線，整併為新生的FlashSystem系列，並同步推出新一代FlashSystem產品後，時隔一年後，IBM又進一步擴展了這個產品家族，更新了入門級款式。</p> <p>我們現在所要介紹的Flashsystem 5200，便是今年初發表的3款入門級FlashSystem儲存陣列機型之一，也是最受矚目的一款，首先，它採用了當前主流儲存陣列產品少見的1U機箱。其次，IBM將原本Flashsystem中高階機型才提供的規格，例如NVMe介面、儲存級記憶體（Storage Class Memory，SCM）、硬體壓縮，以及完整的進階軟體功能等，「下放」到入門級產品上，可說是一款「高規格」的入門級儲存陣列。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%20FS5200%20%E4%B8%BB%E5%9C%96.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">在當前主流大廠全快閃儲存陣列中，FlashSystem 5200是少見的1U機箱規格產品，雖然屬於FlashSystem入門級的5000系列一員，但是支援許多中高階產品具備的特性，能提供高效能密度的儲存服務。</span></strong></p> <p><span style="font-size:28px;"><strong>FlashSystem的「新生代」</strong></span></p> <p>FlashSystem是IBM旗下老牌的快閃儲存陣列產品線，但2020年以後的FlashSystem，與之前的FlashSystem，其實有著本質的區別。</p> <p>因為，現在我們看到的FlashSystem系列，是IBM在2020年初，將FlashSystem與Storwize這兩條獨立的儲存產品線，整併為一的「新生代FlashSystem」。</p> <p>回顧過去，較「資深」的FlashSystem系列，主要是IBM於2012年8月收購老牌固態儲存廠商TMS（Texas Memory Systems）後，於2013年4月推出的固態儲存陣列產品線，源自TMS於2000年代初期發展的Ramsan產品線。從TMS時代起算，至今已有將近20年歷史，可說是最老牌的固態儲存陣列產品線。</p> <p>至於Storwize系列儲存設備的發展，可以追溯到2003年，IBM在當時推出了SVC（SAN Volume Controller）儲存虛擬化閘道器，而這個系列是以SVC的系統軟體為基礎，於2010年衍生發展出的軟體定義形式儲存陣列產品線。</p> <p>而現在的FlashSystem系列，雖然繼承了FlashSystem的品牌名稱，但採用的核心架構，其實是繼承自SVC/Storwize系列，因此，從本質上來看，和Storwize系列一樣，都屬於軟體定義形式的儲存陣列。</p> <p>先前的FlashSystem系列屬於專屬硬體架構產品，從機箱、控制器到儲存模組，完全都是特製的專屬規格。而現在的FlashSystem系列，則是以自身的儲存系統軟體，搭配通用伺服器硬體組成的產品，唯一沿續自老一代FlashSystem系列的技術，其實只剩下FlashCore儲存模組而已。</p> <p>但FlashCore儲存模組只是一個選項，IBM現在的FlashSystem其實是和Storwize一樣是混合儲存陣列，能搭配標準的SSD儲存模組或是硬碟，而非老的FlashSystem那種純粹的快閃儲存陣列。</p> <p>所以，IBM現在的FlashSystem，雖然仍披著FlashSystem品牌的外皮，實質上，則算是SVC/Storwize這個系列的延伸發展。</p> <p><span style="font-size:28px;"><strong>兼顧效能與功能的產品線整併</strong></span></p> <p>事實上，現在的FlashSystem系列，繼承了更多Storwize系列的特性，與老一代FlashSystem大不相同，這樣的發展，其實更契合市場需要。</p> <p>過去的FlashSystem具備了高效能與極低延遲，但完全沒有資料服務功能，也欠缺擴展性，因而也局限了應用面向。相較下，全快閃儲存陣列市場中，許多其他廠商的後起之秀產品，都標榜同時具備高效能與豐富資料服務軟體功能，讓FlashSystem這個老品牌顯得缺乏足夠的吸引力。</p> <p>為了解決FlashSystem系列缺乏資料服務功能的問題，IBM在2014年下半年時，推出SVC控制器結合FlashSystem組成的FlashSystem V系列，由SVC控制器來提供完整的資料服務功能，與Scale-Up、Scale-Out雙重擴展能力，而FlashSystem則提供高效能儲存空間。依循這個發展路線，IBM接著在2018年中，又推出基於SVC/Storwize軟體核心、但仍掛著FlashSystem品牌的FlashSystem 9100。</p> <p>然而，FlashSystem 9100這款機型的推出，也預示了FlashSystem與Storwize兩條產品線未來的發展方向。</p> <p>因為很快地，IBM便在2020年初推動進一步整併，將FlashSystem與Storwize正式合而為一，沿用FlashSystem的品牌名稱，但系統核心軟體則是Storwize，加上具有源自FlashSystem的FlashCore儲存模組技術，從而同時兼具SVC/Storwize的完整資料服務軟體功能、擴展性，以及基於FlashCore儲存模組提供的高效能存取服務與硬體加速功能。</p> <p><span style="font-size:28px;"><strong>新生代FlashSystem家族成員全面到齊</strong></span></p> <p>IBM去年發表新生的FlashSystem系列之際，也將老的FlashSystem與Storwize產品全面退出市場，另推出FlashSystem 7200、9200與9200R 等3款新機型，並將Storwize家族中的V5000與V5100兩款產品，更名為FlashSystem 5000與5100，加入到新生的FlashSystem家族中。其中7200為中階產品，9200與9200R屬於高階機型，而從Storwize更名來的5000與5100，則構成入門級機型。</p> <p>也就是說，在FlashSystem家族第一波的5款產品中，中高階的3款都是全新機型，而入門級則是舊機型更名而來。</p> <p>所以IBM今年的FlashSystem產品線更新重點，便放在入門級機型上，一口氣推出5015、5035與5200等3款產品，5015與5035是作為5000系列的接班人，5200則用於接替5100，也讓新生的FlashSystem家族產品線全面到齊，</p> <p>而在今年3款新推出的FlashSystem機型中，最引人注目的無疑是5200，因為，FlashSystem家族的其餘產品，全部都是採用常見的2U/24Bay規格機箱，5200則別樹一幟地採用1U/12Bay機箱，尺寸只有其餘機型一半，也是一線大廠的全快閃儲存陣列產品中，極少見的1U規格機型。</p> <p><span style="font-size:28px;"><strong>1U規格再現主流儲存市場</strong></span></p> <p>8年前，當IBM推出第1代FlashSystem產品時，採用的便是1U機箱規格，但這是沿續TMS時代的規格，接下來隨著FlashSystem的「IBM化」，FlashSystem產品很快就走向常見的2U規格。</p> <p>主流全快閃儲存陣列產品領域，無論是控制器機箱還是擴充櫃，都是以2U規格為最大宗，一些講求大容量的產品，另可搭配4U以上的高容量擴充櫃，3U規格相對很少，至於1U規格，則更是少見，只有少數產品採用（如NetApp旗下的SolidFire系列）。</p> <p>睽違7、8年後，IBM藉由FlashSystem 5200這款產品，終於再次將1U機箱規格帶回主流儲存市場。</p> <p>比起常見的2U機箱，1U機箱的主要賣點是效能密度。以入門級產品來說，每組控制器一般都只配置1顆處理器，所以，2U的雙控制器機箱一共可含有2顆處理器（每組控制器含1顆處理器）。而1U的雙控制機箱同樣也能配置2顆處理器（每組控制器1顆處理器），但占用的機架空間只有前者一半，因此，效能密度也等於超過前者一倍。</p> <p>以FlashSystem 5200來說，與其所取代的FlashSystem 5100相比，5100的2U機箱內一共含有2顆8核心、1.7GHz的Xeon Skylake處理器，可提供90萬IOPS效能與15Gb/s傳輸頻寬。而5200則在1U機箱內搭載了2顆8核心、2.3GHz的Xeon Skylake處理器，並擁有150萬IOPS與21Gb/s傳輸頻寬，兩項效能指標分別較5100提高了66%與40%，但5200的尺寸只有5100一半，而這也意味著，就單位機櫃空間內的效能密度而言，5200較5100提高了3倍。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>FlashSystem 5200儲存組態</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1036-prod-box01-%E4%B8%BB%E5%9C%96.png" style="width: 600px;" /></p> <p>嚴格來說，2020年以後推出的新生代FlashSystem，已經不是全快閃儲存陣列，而是能混搭硬碟的混合儲存陣列。</p> <p>以FlashSystem 5200為例，控制器機箱本身仍是全快閃組態，可透過NVMe介面安裝標準的NVMe SSD、儲存級記憶體（SCM），以及IBM專屬的Flash Core儲存模組（FCM）。</p> <p>其中，最重要的是FCM模組。比起標準的SSD，FCM模組有兩大特色；首先，容量更高，最大容量達38.4TB，相較下，FlashSystem可選用的其他NVMe SSD，最大容量只有15.6TB；其次，FCM模組內含了運算單元，包括PowerPC處理器、FPGA晶片與DRAM記憶體，可提供即時壓縮功能，卸載控制器運算負擔。</p> <p>除了控制器內含的SSD以外，FlashSystem 5200亦可透過SAS擴充埠，外接3種擴充櫃來擴展系統總容量，而且，這3種擴充櫃都可安裝硬碟，從而與控制器機箱內的SSD模組，構成分層儲存架構。</p> <p>有了控制器機箱內含的SSD，加上外接擴充櫃，FlashSystem 5200可提供最大748臺磁碟的擴展能力。此時，若再啟用叢集模式，還可將最多4套FlashSystem 5200組成一個儲存叢集，提供最大2,992臺磁碟的龐大儲存空間。</p> <p>我們還可透過沿襲自SVC與Storwize的外部儲存虛擬化功能，將第3方儲存空間掛載到FlashSystem 5200控制器，成為FlashSystem管理的儲存空間。</p> <p>特別值得一提的是，FlashSystem 5200還提供了更低的儲存擴充門檻。</p> <p>因為其他廠商的產品在選購磁碟或SSD時，往往要求用戶從較大數量起跳（如最初從10臺開始搭配，每次擴充也須以10臺為單位），而IBM FlashSystem最小可從3臺磁碟開始選購，增加時也能以1臺為單位，提供更大的使用靈活性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1036-prod-box01-%E6%94%AF%E6%8F%B4NVMe%20SSD%E3%80%81%E5%B0%88%E5%B1%ACFCM%20%E6%A8%A1%E7%B5%84%E8%88%87SCM.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">支援NVMe SSD、專屬FCM模組與SCM</span></strong></p> <p><strong><span style="color:#696969;">FlashSystem 5200的控制器機箱，可以透過機箱背板的NVMe介面，支援標準的NVMe SSD、儲存級記憶體（SCM），以及IBM專屬的FlashCore儲存模組（FCM）。</span></strong></p> <p><strong><span style="color:#696969;">其中，標準的NVMe SSD模組有800GB、1.92TB、3.84TB、7.68TB，以及15.6TB等5種容量的款式。FCM模組有4.8TB、9.6TB、19.2TB，以及38.4TB等4種容量的選項。SCM模組則有375GB、750GB、800GB、1.6TB，以及3.2TB等5種容量。</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1036-PRODUCT-BOX01-%E6%94%AF%E6%8F%B43%20%E7%A8%AE%E6%93%B4%E5%85%85%E7%A3%81%E7%A2%9F%E6%AB%83.png" style="width: 581px;" /></p> <p><strong><span style="color:#696969;">支援3種擴充磁碟櫃</span></strong></p> <p><strong><span style="color:#696969;">FlashSystem 5200的控制器機箱，可以透過SAS擴充埠外接3種擴充儲存櫃——Model 12G、Model 24G與Model 96G。</span></strong></p> <p><strong><span style="color:#696969;">以Model 12G而言，支援3.5吋LFF磁碟規格的2U擴充櫃，可以安裝12臺3.5吋SAS硬碟，含1萬轉與7200轉等2種轉速、容量900GB到18TB等12種款式。</span></strong></p> <p><strong><span style="color:#696969;">另一款Model 24G，是支援2.5吋SFF磁碟規格的2U擴充櫃，可以安裝24臺2.5吋SAS硬碟或SSD，其中硬碟有1萬轉與7200轉等2種轉速、容量900GB到2TB的5種款式，SSD則有1.92到30.72TB等6種容量可選。</span></strong></p> <p><strong><span style="color:#696969;">至於Model 96G，是支援3.5吋LFF磁碟規格的5U擴充櫃，可透過垂直插槽安裝96臺3.5吋SAS磁碟，或透過轉接板安裝的2.5吋SSD。其中硬碟有1萬轉與7200轉、容量1.2到18TB的10種款式可選，SSD則有3.84到30.72TB等5種容量。</span></strong></p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>硬體解剖：機箱背面</strong></span></span></p> <p>在產品的類型上，FlashSystem 5200屬於FlashSystem家族入門級5000系列，但是，在應用的定位上，與其他5000系列機型則有所不同，屬於「高階型」的入門級機型，硬體規格擁有許多等同於中高階機型的特性，已經超越一般入門級產品的範圍，而這樣的差異主要體現在下列3個方面。</p> <p>首先，5200是5000系列中唯一支援NVMe磁碟介面的款式，也支援基於FC的NVMe-oF傳輸架構。相對地，其他5000系列機型的磁碟介面都只支援SAS，也沒有NVMe-oF的選項。</p> <p>其次，5200的控制器核心規格與擴展能力，明顯高出5000系列其他機型許多，例如：其他5000系列機型的快取記憶體，最大都只能擴充到64GB，儲存容量則只有392臺到504臺磁碟，也沒有外部儲存虛擬化功能；而5200的快取記憶體能夠擴充到512GB，最大儲存容量則為748臺磁碟，並提供了外部儲存虛擬化功能，就容量擴充能力而言，已經相當於中高階的7200與9200（以最大擴充能力來看，這兩款機型均為760臺磁碟）。</p> <p>最後，5200的I/O介面配置、儲存裝置與叢集選項，都是比照中高階機型，可支援32Gb FC、IBM FCM儲存模組，以及4節點叢集架構。相較之下，5000系列其他機型都沒有32Gb FC、FCM儲存模組的選項，叢集架構的支援能力也受限（例如5015便沒有叢集選項，5035雖然支援叢集，但只提供2節點選項）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1036-prod-box02-%E9%9B%BB%E6%BA%90%E4%BE%9B%E6%87%89%E5%99%A8.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">電源供應器</span></strong></p> <p><strong><span style="color:#696969;">控制器機箱含有兩組可熱抽換的1200瓦電源供應器，提供了具備失效切換能力的外部電源供應。</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1036-prod-box02-%E6%8E%A7%E5%88%B6%E5%99%A8.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">控制器</span></strong></p> <p><strong><span style="color:#696969;">FlashSystem 5200控制器機箱的控制器、電源供應器、控制器中的電池模組等元件，都是成對配置，以提供完整的失效容錯能力。</span></strong></p> <p class="rtecenter"><strong style="text-align: center;"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/1036-PRODUCT-BOX02-%E6%8E%A7%E5%88%B6%E5%99%A8%E8%A7%A3%E5%89%96.png" style="width: 600px;" /></span></strong></p> <p><strong><span style="color:#696969;">控制器解剖</span></strong></p> <p><strong><span style="color:#696969;">FlashSystem的控制器稱作Canister，基本上，每組FlashSystem 5200的控制器機箱都含有兩組控制器Canister，而每組控制器Canister搭載了1顆8核心、2.3GHz的Skylake處理器，與4條DIMM記憶體，並配置了1組外部供電中斷時使用的備用電池模組，控制器Canister後端則有2組透過Riser Board安裝的PCIe介面卡插槽。</span></strong></p> <p class="rtecenter"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1036-PRODUCT-BOX02-IO%20%E4%BB%8B%E9%9D%A2%E9%85%8D%E7%BD%AE.png" style="width: 600px;" /></span></strong></p> <p><strong><span style="color:#696969;">I/O介面配置</span></strong></p> <p><strong><span style="color:#696969;">每組控制器提供了2個用於安裝PCIe介面卡的插槽 </span><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 1 </span></span><span style="color:#696969;"> </span><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 2 </span></span><span style="color:#696969;">，可以搭配選購的32/16Gb FC、25/10GbE，或是12Gb SAS I/O介面卡，其中的SAS介面卡，可同時用於連接主機端，或是連接擴充儲存櫃。控制器本身則內建了2組RJ45形式的10GbE網路埠 </span><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 3 </span></span><span style="color:#696969;">，可用於提供iSCSI連接，另有技術維護用的RJ45 GbE埠 </span><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 4 </span></span><span style="color:#696969;"> 與3.5mm埠 </span><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 5 </span></span><span style="color:#696969;">。</span></strong></p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>FlashSystem 5200系統軟體與操作管理特色</strong></span></span></p> <p>新生代的FlashSystem儲存陣列的系統核心軟體，沿襲自Storwize系列儲存陣列，所搭配的儲存作業系統，都是IBM的Spectrum Virtualize。</p> <p>事實上，Spectrum Virtualize是久經驗證、以軟體定義形式運作的儲存作業系統，含有完整的資料服務功能。在IBM將FlashSystem與Storwize兩個產品線，整併為新的FlashSystem系列之前，Spectrum Virtualize儲存作業系統在2019年底已更新到8.2.1版。稍後到了2020年初，當新的FlashSystem家族問世後，Spectrum Virtualize也跟著升級到8.3.x版，而目前最新發布的版本則是8.4版。</p> <p>除了Spectrum Virtualize內含的資料服務功能，FlashSystem 5200還比照FlashSystem的中、高階機型，內含了一系列進階資料服務功能（Advanced Data Services），包括對VMware vVols的支援，最大4節點的FlashSystem叢集、支援RAID 1與6的分散式RAID（DRAID）、Redirect on write形式的快照、IBM Hyperswap的3站點遠端複製，以及IBM Flash Copy資料保護等，都是其他5000系列入門款式列為選購的功能。</p> <p>在系統管理方面，包括FlashSystem 5200在內，整個FlashSystem系列都提供兩種管理方式：一為系統內含的GUI控制臺介面，另一為IBM Storage InSights雲端管理平臺。</p> <p>基本上，整個FlashSystem家族的GUI控制臺管理介面，都提供一致的風格與操作方式，可用於監控系統狀態，設定磁碟區組態與前端主機的存取路徑，並使用附屬的資料服務功能。</p> <p>IBM Storage InSights則是適用於IBM所有區塊儲存設備的雲端平臺，可以收集儲存設備回傳的遙測與Call Home資料，然後透過瀏覽器介面，向用戶提供一系列監控與諮詢建議應用功能，包括系統健康狀態，儲存資源使用狀態與趨勢（效能與容量）、故障預測、組態最佳化建議，以及系統升級建議等。</p> <p>Storage InSights又分為免費的基本版，以及付費訂閱的Pro版等兩種版本，而其中的Pro版，主要是增加了一系列故障排除與分析規畫功能。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="file:///D:/iThome/%E5%AE%8C%E7%A8%BF/1036%E6%96%87%E5%AD%97%E6%AA%94/web/IBM%20FlashSystem%205200/1036-%E7%94%A2%E5%93%81%E5%A0%B1%E5%B0%8E-BOX03-web-resources/image/IBM_FS5200_%E5%9C%9610_(CloudI).png" /> <img alt="" src="file:///D:/iThome/%E5%AE%8C%E7%A8%BF/1036%E6%96%87%E5%AD%97%E6%AA%94/web/IBM%20FlashSystem%205200/1036-%E7%94%A2%E5%93%81%E5%A0%B1%E5%B0%8E-BOX03-web-resources/image/IBM_FS5200_%E5%9C%969_(GUI).png" /></span><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%20FS5200%20%E5%9C%969%20(GUI).jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">FlashSystem內建GUI控制臺</span></strong></p> <p><span style="color: rgb(105, 105, 105);"><strong>GUI控制臺是FlashSystem家族一貫的基本管理機制，可提供系統狀態監控、儲存環境設定，以及資料服務功能操作功能。</strong>圖片來源／IBM</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%20FS5200%20%E5%9C%9610%20(CloudI).jpg" style="color: rgb(105, 105, 105); text-align: center; width: 600px;" /></p> <p><strong><span style="color:#696969;">IBM Storage InSights雲端管理平臺</span></strong></p> <p><span style="color:#696969;"><strong>Storage InSights雲端平臺適用於IBM所有區塊儲存設備的遠端監控需求，而在付費版本當中，另提供一系列故障排除與分析規畫功能。</strong>圖片來源／IBM</span></p> <p><span style="color:#3399ff;"><strong>產品資訊</strong></span></p> <p><strong>IBM FlashSystem 5200</strong></p> <p>●原廠：IBM</p> <p>●建議售價：廠商未提供</p> <p>●機箱型式：1U/12Bay</p> <p>●儲存容量：控制器機箱內含12臺磁碟，透過SAS擴充櫃可達748臺磁碟（最大容量23PB）</p> <p>●處理器：2顆Intel Xeon Skylake 8核心2.3GHz</p> <p>●記憶體：64/512GB</p> <p>●主機端埠：10/25GbE iSCSI、16/32Gb FC</p> <p>●後端儲存介面：NVMe</p> <p>●支援傳輸協定：FC，iSCSI，NVMe-oF/FC</p> <p><strong><span style="color:#696969;">【產品資訊時有異動，上列僅供參考，最新資訊請洽詢廠商】</span></strong></p> </div></div></div>
2021/8/5 07:00作者張明德https://www.ithome.com.tw/review/145912
第三方Cookie退場後新選擇，廣告分群匹配有望成未來趨勢
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對任何需要運用數位行銷的產業而言，去年初Google宣布，Chrome將淘汰第三方Cookie，是從根本技術徹底翻盤的大變革，儘管Google將退場時限延期到2023年底，但隨著Google開始測試新廣告追蹤技術，第三方Cookie的退場，似乎已成定局。對企業或行銷公司來說，尋找替代技術來維持廣告投放成效，成了當務之急。</p> <p>由於第三方Cookie受到限制，企業越來越難取得用戶資料，也出現一股聲浪，擔心個人化行銷成效會大受影響，身為網路廣告龍頭的Google也連忙祭出補救措施，力推一種全新的行銷做法，稱為廣告分群匹配技術FLoC（Federated Learning of Cohorts，FLoC），將原本的廣告投放作法，從瞄準「個人行為」轉向「群體偏好」，希望在保障個人隱私資料的情況下，透過群體共同的消費偏好，來投放廣告。</p> <p>FLoC一發布，就引起行銷科技圈熱烈討論，彷彿找到了隱私與廣告之間的新出路。</p> <p>Google不是唯一一家考量隱私，開始限縮廣告追蹤機制和行為的科技業者。影響龐大iOS生態圈的蘋果，也同樣祭出更嚴格的消費者隱私保護和削弱廣告追蹤的控管機制。</p> <p>站在廣告行銷產業第一線的富盈數據技術長周竝弘，面對市場技術即將大洗盤式的變革，他觀察，由於企業能搜集到的用戶網路行為減少，已經陸續有同業反應，出現了廣告成效下降的問題，但大多數人都還在觀望，未來應採取哪種替代做法來維持廣告成效。這個問題成了廣告行銷產業當前最大的挑戰。</p> <p>目前，周竝弘指出，若要維持廣告成效，現在有兩個替代做法值得企業關注。第一，就是Google推出的FLoC技術，這項技術是用Chrome先搜集用戶瀏覽行為，再透過FLoC模型將用戶分群，並以群組代號取代用戶ID，強調無論是廣告主、出版商或廣告平臺，都只能獲得用戶的群組代號，而無從辨識用戶身份，來避免商家取得過多用戶資訊。「透過分群追蹤的概念，我不需要知道你是誰，我只要知道你屬於哪一群。」周竝弘一句話點出FLoC的核心設計。</p> <p>FLoC技術還有另一大特色，是將Chrome搜集到的資料，透過聯合學習技術，分散到各個裝置上進行運算，讓使用者的瀏覽歷史紀錄保持私密。不過，針對這項作法，周竝弘剖析，儘管Google宣稱，FLoC不會將個人瀏覽行為分享給Google或廣告商，但是FLoC本身在進行運算時，仍會將Chrome搜集到的數據與雲端資料庫比對，才能運算出個人分屬於哪個群組，「看似不會搜集你的個資，但其實Google仍有透過雲端來媒合資料。」</p> <p>因此，周竝弘指出，FLoC技術仍面臨了挑戰，除了得看用戶願不願意買單，也因Google作法僅限於Chrome，其他瀏覽器不一定願意跟進，如此一來，也就無法追蹤其他瀏覽器的用戶行為。</p> <p>儘管如此，周竝弘仍表達對這項技術的贊同。不只認同，他甚至基於分群匹配的概念，實作出一套用於電商領域的商品分群匹配AI技術，後來更將這套技術帶進現在任職的公司，作為即將上線的新廣告投放技術基礎。</p> <p><span style="font-size:28px;"><strong>擁有豐富電商技術實戰經驗，更站在廣告技術轉變第一線</strong></span></p> <p>任職於內容媒體廣告管理公司的周竝弘，處於數位行銷技術轉變的第一線，踏入廣告產業前，更已擁有20年以上的電商實戰經驗，多年累積的技術力，源自於他過去曾任露天拍賣、樂屋網技術長，以及擔任電商新創技術長的經歷。</p> <p>10多年前，他曾以日本的開源圖書搜尋引擎為基礎，開發了一套能支援上億物件檢索的搜尋引擎，來克服露天拍賣站內，高達3億件商品資訊隨時更新的即時搜尋挑戰。</p> <p>除了搜尋引擎，他也曾開發一套商品自動上架技術，讓商家只要在Word檔記錄商品資訊，並連同圖片置於資料夾中，再上傳到指定的雲端儲存位置，商品就能自動上架到電商平臺，大幅降低商家操作上架系統的學習門檻。</p> <p>在電商領域耕耘許久的周竝弘，對AI也不陌生。他碩士就讀清大資工所自然語言實驗室，曾基於機率模型開發了一套中文關鍵字提取工具，能自動提取商品敘述中的關鍵字，以利後續分類或標籤。近年來AI興起，他也開始在露天拍賣中，用AI來減少人工作業，後來進入電商新創Uitox，更基於老闆想法，實作出AI商品分群匹配的演算法。</p> <p>奠基在這些豐富的開發經驗上，周竝弘從技術的角度，深入剖析行銷技術的演變，並根據第一線的觀察，提出對第三方Cookie替代技術的看法。</p> <p><span style="font-size:28px;"><strong>如何提升商品行銷成效？顧客分群推薦作法可能為解方</strong></span></p> <p>長年在相關領域耕耘，周竝弘觀察，當前主流電商在進行商品推薦或廣告投放的方法，大多是透過搜集顧客的網路瀏覽行為，分析瀏覽過商品的特徵與屬性，再針對個人推薦相似類型的商品或廣告。這也是在AI逐漸進入大眾視野後，興起的個人化推薦作法。</p> <p>但是，周竝弘認為，從顧客瀏覽記錄來「猜你喜歡」的作法，已經逐漸過時。「因為所有的數據都是過去式，就算你此時此刻搜集到的數據，也已經是顧客上一秒的行為，不代表他下一秒會根據之前的喜好來做決策。」他舉例，若消費者網購了一串衛生紙，而電商平臺基於這個行為，在對方下一次網購時又推薦了衛生紙品項給他，可想而知，消費者短時間內已經沒有衛生紙購買需求，就可能導致無效的商品推薦結果。</p> <p>「所以，進行數據分析之後，要猜的是，顧客下一秒和下一段時間的需求是什麼？而不是猜他喜歡什麼。」周竝弘點出主流商品推薦方法的局限。</p> <p>因此，周竝弘認為，先將顧客分群再匹配商品，可能為提升行銷成效的一種解方，將原本瞄準個人偏好的推薦作法，轉而以同類群體的偏好來取代。</p> <p>周竝弘解釋，顧客分群匹配的作法，是以人群定向分析技術為核心，先描繪消費者本身的輪廓，再將特徵相似者分群，接著，藉由消費者所屬「群體」的消費偏好，來對個人投放相關的商品。有別於主流針對瀏覽過的商品特徵，來推薦相似品項的作法。</p> <p>他以電商場景商品推薦為例進一步說明，當顧客瀏覽電商平臺的商品時，根據顧客的瀏覽記錄，能為他貼上標籤，拼湊出他的形象與輪廓。比如說，一位顧客進入了電商平臺後，先點選了3C分類，搭配顧客族群資料，可以推測，這個人有可能是一名男性；若他又點擊了iPhone最新機型，還可以進一步推測，他也有可能是追求流行的年輕人；不過這款新手機價格很高，更能進一步推論，該名顧客的消費能力偏高。透過顧客點擊的商品，就可以得出該名顧客許多線索，像是可能為男性、年輕、高消費水平的形象。這就是一種用點擊行為來描繪顧客輪廓的方法。</p> <p>依據每位顧客的輪廓，進一步找出與之相似的消費群體後，儘管他沒有逛過其他網站的商品，但在進行商品推薦時，仍可以推薦給他所屬群體偏好的商品，來避免重複推薦給他已經瀏覽過、甚至購買過的3C商品資訊。</p> <p>這項技術更能運用在廣告場景中，先將潛在顧客依據消費偏好分群，再針對個人投放群組偏好的商品廣告。Google目前正積極測試的FLoC技術，就是運用了相同的分群概念，根據FLoC模型判斷用戶屬於哪個分類群組，以此作為廣告投放的基礎。</p> <p>周竝弘也引述Google的說法指出，FLoC與原先透過第三方Cookie來追蹤個人行為的廣告投放成效相比，已經能達到原先成效的95%，「也就是說，人群具有一定的代表性。」綜合這些優勢來看，他認為：「廣告分群匹配會成為未來的趨勢。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/11_(%E6%8A%BD)%E5%91%A8%E7%AB%9D%E5%BC%98_%E5%AF%8C%E7%9B%88%E6%95%B8%E6%93%9A_%E6%8A%80%E8%A1%93%E9%95%B7_20210707_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 499px;" /></p> <p><span style="color:#696969;"><span style="font-size:24px;"><strong>進行數據分析之後，要猜的是，顧客下一秒和下一段時間的需求是什麼？而不是猜他喜歡什麼。─── 富盈數據技術長周竝弘</strong>　</span>（攝影／洪政偉）</span></p> <p><span style="font-size:28px;"><strong>不只要根據個人喜好，外部環境也會影響顧客購物決策</strong></span></p> <p>除了顧客的個人偏好，周竝弘指出，社會變化也會影響顧客的購物決策。因此，在進行商品推薦的過程中，除了納入個人的消費偏好，也得將外部環境變化納入決策因素。比如說，2020年疫情爆發，社會上出現了口罩、酒精、衛生紙等生活用品囤積潮，「雖然個人偏好沒有改變，但是社會變動了，就要參照兩邊的結果，來進行商品推薦。」</p> <p>周竝弘同樣用電商場景來說明，如何將個人與社會因素結合來推薦。一般來說，當顧客在逛電商平臺時，系統將依據他瀏覽的商品來對他貼標籤，形塑個人的消費輪廓；同時，為了納入社會因素對顧客消費帶來的影響，系統也會從新聞提取熱門關鍵字，加入顧客的標籤欄位中，再綜合這些標籤資訊，來推薦關聯性商品。</p> <p>這種基於顧客群體行為的推薦作法之所以有效，他指出，關鍵是基於兩個前提，一是「每個人都不是單獨的個體，自己做過的事情別人也會做」；二是「如果有一群人做了某件事情，自己也可能跟著做」。在這兩個前提下，就算不能識別個人身份，只要知道顧客屬於哪一類人，以及這類人如何與外部環境互動，就能以此來進行商品推薦了。</p> <p>因此，周竝弘認為，電商或廣告領域未來的商品推薦趨勢，就是將群體偏好的商品、大眾流行的商品，綜合起來對顧客推薦。</p> <p><span style="font-size:28px;"><strong>靠第一方數據共享，達成第三方Cookie的資料搜集目的</strong></span></p> <p>除了熱門話題FLoC，因應第三方Cookie消失，業界還有另一種熱門解法，周竝弘指出，陸續有如The Trade Desk（TTD）、Verizon Media等企業，都開始推出自己的用戶ID識別系統，目前呼聲最大，就是由TTD推出的Unified ID 2.0。周竝弘指出，這些廠商推出自己的ID追蹤系統，就是希望廣告主、廣告商都能採用，來形成一個新的生態系，在經過用戶授權同意的前提下，讓採用的企業都透過這套ID，來追蹤用戶網路行為，後續與其他企業共享數據時，也能透過同一套ID來媒合用戶資訊，再用於廣告推薦。</p> <p>由於各家企業合規取得的用戶資訊，屬於第一方數據，因此這項作法，能避免過去採用第三方Cookie時，未經用戶許可的爭議，周竝弘指出，「這是運用第一方資料共享的方式，來達到第三方Cookie的功能。」</p> <p>周竝弘也點出新ID追蹤作法的挑戰，在於現在推出新ID解決方案的企業眾多，可說是百家爭鳴，企業願不願意跟進廠商腳步、加入不同的生態系，以及加入後，能否取得足量的資料來分析、維持廣告投放成效，都需要再觀望。</p> <p>不過，企業透過小範圍的聯盟來進行資訊共享，作為廣告投放的基礎，周竝弘認為，雖然資料樣本不大，但在特定領域仍可能達到一定程度的廣告推薦成效，這是未來可能出現的新廣告推薦作法。</p> <p><span style="color:#3399ff;"><strong>CTO小檔案</strong></span></p> <p><strong>周竝弘</strong></p> <p><strong>富盈數據技術長</strong></p> <p>學歷：清華大學資訊科學所碩士</p> <p>經歷：曾在網路家庭擔任技術經理，而後輾轉擔任了PChome旗下露天拍賣的技術總監、PChome投資企業樂屋網的技術長，後來又重回露天拍賣擔任技術長。隨後，他也進入紅極一時的電商新創Uitox擔任技術長，去年中則進入鴻海旗下Martech新創富盈數據，擔任技術長一職至今</p> <p><span style="color:#3399ff;"><strong>公司檔案</strong></span></p> <p><strong>富盈數據</strong></p> <p>● 地址：臺北市松山區南京東路三段287號5樓（電梯6樓）</p> <p>● 成立時間：2016年</p> <p>● 主要業務：網站資產建置、流量增長計畫、收益管理及優化、數據智能及客服，創作者學院等</p> <p>● 員工數：40人</p> <p>● 董事長：葉光釗</p> <p>● 總經理：薛茉凡</p> <p>● 年營收：2~3億元</p> <p>● 資本額：1億</p> <p><span style="color:#3399ff;"><strong>公司大事記</strong></span></p> <p>● 2016年12月：富盈數據成立</p> <p>● 2017年2月：獲鴻海科技集團宣布投資富盈數據，總投資金額5,668萬元</p> <p>● 2017年6月：富盈數據推出旗下媒體平臺「ZiMedia字媒體」</p> <p>● 2018年底：字媒體內容聯播網掌握全臺40%用戶標籤數據，月均不重複訪客超過680萬人次，每月創造3.8億次閱讀瀏覽量</p> <p>● 2019年12月：推出Power PMP準場景廣告方案；全年績效突破3,000家合作網域、1,600位變現創作夥伴，月流量達到2.4億</p> <p>● 2020年4月：成為Google認證發布商合作夥伴</p> <p>● 2020年5月：由葉光釗出任董事長、周竝弘出任技術長</p> <p>● 2020年7月：推出新內容聚合平臺「WREADIT銳誌」，除瞄準東南亞既有華文使用地區，也鎖定越南、泰國等地網路創作者</p> <p>● 2020年：銳誌達到每月PV 3000萬、360萬用戶數、超過500位內容創作者，以及650萬則文章數</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/05_nei_ye_zhou_bing_hong_fu_ying_shu_ju_ji_shu_chang_20210707_hong_zheng_wei_she_.png" width="960" height="420" alt="" title=" 富盈數據技術長周竝弘　（攝影／洪政偉）" /></div></div></div>
2021/8/5 07:00作者翁芊儒https://www.ithome.com.tw/people/145980
微軟擴展雲端健康保健服務釋出Azure Healthcare API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟藉由發布<a href="https://azure.microsoft.com/zh-tw/blog/microsoft-cloud-for-healthcare-expands-portfolio-with-azure-healthcare-apis/">Azure Healthcare API</a>，來擴展其在健康保健以及生命科學產業的資料互通性。微軟在2019年的時候，發布了全託管的雲端服務Azure API for FHIR，能以原生FHIR格式擷取、留存和管理醫療保健資料，而現在微軟進一步強化這項服務，來實現基於FHIR格式的多資料類型交換，隨著功能的擴展，微軟也將這項服務重新命名為Azure Healthcare API。</p> <p>官方提到，Azure Healthcare API是針對受保護健康資訊（Protected Health Information，PHI）而設計，讓用戶能夠在微軟醫療保健雲中，擷取、管理和留存資料，藉由Healthcare API，就可以將不同的受保護健康資訊整合在一起，利用機器學習或是分析工具，進行端到端連接應用。</p> <p>Azure Healthcare API能夠滿足真實醫療情境的需求，從事臨床研究的醫生和科學家，可能會有「45歲以上，在過去2年被診斷出骨肉瘤的病患，所使用的處方用藥、電腦斷層掃描檔案和相關的放射性影像」這樣的資料需求。</p> <p>微軟提到，要滿足這類型的請求，尤其是在跨大型資料庫時，可能需要數個月的時間，而這是因為在不同的健康醫療系統，需要使用不同的語言進行查詢，接著才能擷取檔案，並且提供用戶一致的批次資料。藥物、診斷和患者屬性通常會以結構化資料的形式，儲存在資料庫當中，而電腦斷層掃描則是以DICOM格式儲存，放射性報告會儲存成非結構化資料，當這些資料被擷取完成的當下，就已經不夠新鮮了。</p> <p>而微軟新發布的Azure Healthcare API，便是要來解決這類型的問題，可在數分鐘內完成搜尋和自定義查詢，官方提到，當使用者以Azure Healthcare API，從資料系統擷取和轉換資料時，會使用即時資料來創建一筆病患病歷，並且對多種類型的健康資料，採取通用的方法來收集和留存資料。</p> <p>臨床紀錄、醫療設備資料、HealthKit和Google Fit等資料，會被轉換儲存成FHIR，而非結構化資料則應用自然語言處理演算法，像是進行文本分析，在臨床筆記中加入註解，或是將資訊從文本擷取出來存入FHIR。</p> <p>DICOM格式的影像資料，則透過API閘道收集，使用DICOMCast技術從影像中擷取後設資料，並將其補充在FHIR病歷中。而來自裝置的生物辨識資料，則會利用Azure IoT連接器進行擷取，同樣存在FHIR病歷中，作為健康趨勢的重要資訊。微軟提到，要發展醫療產業，起點是讓病歷能夠被即時搜尋，而Azure Healthcare API所提供的不僅是資料的擷取和管理，能夠讓用戶進一步在雲端加速處理這些醫療保健資料。</p> <p>Azure Healthcare API供用戶使用基於角色的存取控制，來控制資料的流向以及存取方式，而微軟提供精簡的連接器，使得用戶可以在Azure Data Science虛擬機器，或是Azure Synapse中，採用深度學習和人工智慧框架處理資料。同時，匿名化工具讓資料能夠被二次使用，經過去識別化和混合資料集，供研究人員在快速啟動的環境中，使用這些資料進行研究。</p> </div></div></div>
2021/8/4 21:18作者李建興https://www.ithome.com.tw/news/146018
Android版Chrome可用作Google帳號2FA登入金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google持續推動免密碼登入，除了賣<a href="https://www.ithome.com.tw/news/125614" target="_blank">硬體金鑰裝置</a>外，也推動以Android手機執行雙因素／兩步驟驗證（2FA/2SV）。最新方式是以 Android版Chrome瀏覽器來驗證登入Google帳號。</p> <p><a href="https://9to5google.com/2021/08/01/chrome-android-2fa-security-key/" target="_blank">9to5google</a>報導，Chrome 93 for Android beta版悄悄加入了2FA/2SV驗證Google帳號的功能。若使用者Google帳號事先啟動2FA/2SV，在有其他裝置，或是用戶以新裝置登入Google帳號時，用戶其他裝置上就會接獲Google提示，詢問是否為本人欲登入：「有人試圖從鄰近裝置登入您的帳號（Someone is trying to sign in to your account from a nearby device）」。使用者可在Google提示中按下「Yes」或「No」。按「Yes」確認是本人後，就會顯示「正連接到您的裝置（Connecting to your device）」的頁面。</p> <p><a href="https://www.pcmag.com/news/google-makes-chrome-for-android-a-2fa-option" target="_blank">PCmag</a>報導Chrome 93的flag指出，這項功能是採用Cloud assisted Bluetooth Low Energy（CABLE）技術，此外，用戶裝置必須啟動Chrome同步（Chrome Sync）。</p> <p>這項功能現在已可在macOS、Windows、Linux、ChromeOS版及Android版Chrome啟用，唯獨缺了iOS版本。而這項功能也可望很快透過Stable版釋出給大眾。</p> <p>9to5Google報導，另一Chrome for Android登入方法是長按音量鍵完成確認，前提是用戶手機需有「手機安全金鑰（phone security key）」。</p> <p>儼然為這項新功能鋪路，Google今年5月<a href="https://www.ithome.com.tw/news/144240" target="_blank">表示</a>，即將於近日強制Google帳號用戶啟用雙因素或兩步驟驗證（2SV）。</p> </div></div></div>
2021/8/4 20:44作者林妍溱https://www.ithome.com.tw/news/145992
PYPI上數款惡意套件可竊取用戶信用卡資料或是身份驗證權杖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DevOps平臺<a href="https://jfrog.com/blog/malicious-pypi-packages-stealing-credit-cards-injecting-code/">JFrog的安全研究團隊發現</a>了數個託管在PYPI中的惡意套件，經JFrog迅速回報，這些惡意套件已經全數遭到刪除。JFrog偵測到的惡意套件，包括noblesse和pytagora等系列套件，能夠竊取用戶身份驗證權杖、信用卡資料以及執行遠端程式碼注入等攻擊。</p> <p>軟體套件儲存庫成了攻擊者的熱門攻擊目標，近期NPM、PYPI和RubyGem等主要儲存庫，都出現遭到攻擊的消息。JFrog提到，開發人員毫無戒心的信任儲存庫，並且從這些來源安裝套件，當惡意套件被意外地允許上傳至儲存庫時，開發人員就可能在無意之間，下載安裝這些惡意套件，使得攻擊者得以在開發者的工作管線成功發動攻擊。</p> <p>根據Pepy.Tech的資料，JFrog發現的這幾個惡意套件，已經被下載約3萬次，不過目前他們尚未掌握實際影響的資料。這些惡意套件都使用了簡單的混淆技術（Obfuscation），像是使用Base64編碼器來編碼Python文字，或是使用eval函式來將解碼的文字轉為程式碼，官方提到，雖然這些技術可以輕易地騙過靜態分析工具，但是這樣的包裝反而會吸引研究人員的目光，對這些程式碼進行深入研究。</p> <p>由於這些混淆程式碼存在特定的字串，使得研究人員發現，這些套件使用公共工具python-obfuscator進行處理，其中aryi套件則是使用了permit進行混淆，這表示惡意開發人員嘗試採用不同的混淆方法。</p> <p>這些惡意套件的目標不同，第1號noblesse系列惡意負載（Payload）能夠竊取通訊軟體Discord的身份驗證權杖，官方表示，這個竊取權杖的負載源自惡名昭彰的dTGPG（Discord Token Grabber Payload Generator），這是一個未公開的負載生成器，但是生成的負載有公開，並且被上傳到GitHub中作為範例。noblesse系列第2號惡意套件，則會竊取瀏覽器自動完成的敏感資料，包含使用者的信用卡以及密碼，noblesse系列第3號惡意套件，則會收集系統資訊，像是IP地址、電腦名稱、Windows授權金鑰資訊、Windows版本和螢幕截圖。</p> <p>pytagora系列的惡意套件，則會執行遠端程式碼注入，簡單來說，惡意程式碼會嘗試連接一個私有IP的TCP埠口9009，並且執行任何從Socket讀取到的Python程式碼。</p> <p>用戶應該檢查應用程式的相依項目，當發現本地端安裝了noblesse套件，則可能發生敏感資料洩漏的情況，包括Edge瀏覽器儲存的密碼，以及Chrome瀏覽器所儲存的信用卡，都可能遭到盜用，用戶可以考慮更換。另外，如果安裝的是pytagora套件，官方建議可以使用防毒軟體掃描，或是採取其他惡意軟體檢查步驟。</p> </div></div></div>
2021/8/4 20:52作者李建興https://www.ithome.com.tw/news/146011
Exchange Server Proxylogon漏洞可能早在2017年就被駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/145927" target="_blank">今年三月初</a>中國駭客組織利用一系列名為Proxylogon的漏洞攻擊Exchange伺服器，引發全球企業及政府單位恐慌。<a href="https://www.cybereason.com/blog/deadringer-exposing-chinese-threat-actors-targeting-major-telcos" target="_blank">但安全研究人員現在相信</a>，攻擊該批漏洞的行動可能早在2017年就開始了。</p> <p>三月微軟揭露名為Hafnium的中國駭客組織，<a href="https://www.ithome.com.tw/news/143001" target="_blank">開採了Exchange Server 4個漏洞</a>，藉此攻擊政府單位、學術機構及大到小型企業。攻擊者建立web shell後門程式以遠端控制受駭的Exchange Server，最後企圖從受害者網路上竊取資料。上個月<a href="https://www.ithome.com.tw/news/145755" target="_blank">美國拜登政府聯同盟國指控</a>，中國是三月間對未修補ProxyLogon漏洞的Exchange Server，發動針對性攻擊行動的背後支持者。但安全廠商Cybereason最新一項報告顯示，中國駭客相當活躍，分別侵擾了其他國家不同產業企業，其中一組駭客4年前已經濫用過ProxyLogon漏洞。</p> <p>根據Cybereason這份報告，去年到今年第1季有三組駭客攻擊電信公司，而且意在網路間諜行動，像是蒐集敏感資訊，駭入重要系統像是包含通話詳情紀錄（Call Detail Record）的計費系統、以及駭入網域控制器（Domain Controller）、Web伺服器及Exchange Server。</p> <p>三組駭客中，一組稱為Soft Cell，2012年即開始活動，曾攻擊東南亞多個地區的電信公司。最近一波攻擊是從2018年持續到今年第1季。第二組策畫者是Naikon APT，它從2010年開始活躍，前身也是中國解放軍的作戰小組，主要目標也是東南亞國家，最近活動是從2020年第4季持續到今年第1季。</p> <p>第三波攻擊則瞄準Exchange及IIS伺服器，並在其中植入一個OWA後門程式。分析其特徵，指向和Group 3390（或稱APT27、Emissary Panda）行動中用的後門程式很類似。</p> <p>目前還不清楚三波攻擊，是三個不同組織的個別行動，或是一個組織對不同對象發動的攻擊，但顯然是同一指揮中心下的協同行動，而背後皆服膺中國利益。</p> <p>研究人員進一步指出，Group 3390開採的Exchange漏洞和年初Hafnium開採合稱ProxyLogon的漏洞相同。更值得一提的是，Group 3390的行動最早更追溯到2017年，一直到2021年。研究人員推測，他們先開採了Exchange Server漏洞，再滲透其他重要系統，如網域控制器及計費系統，以蒐集重要人物、政治異議份子或政府官員的紀錄。</p> </div></div></div>
2021/8/4 21:09作者林妍溱https://www.ithome.com.tw/news/146019
Juniper發布雲端工作負載保護，抵禦應用程式漏洞遭開發攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Juniper藉由推出新的<a href="https://blogs.juniper.net/en-us/security/connecting-and-protecting-applications-within-a-zero-trust-data-center-architecture-with-juniper-cloud-workload-protection?utm_source=corpsocial&utm_medium=twitter&utm_campaign=junipercloudworkloadprotection&utm_content=blog_junipercloudworkloadprotection&sf148401434=1">雲端工作負載保護（Cloud Workload Protection）</a>產品，來保護用戶的應用程式安全性，該產品能夠保護在雲端或是本地端執行的應用程式，免於漏洞遭開發所發生的攻擊。雲端工作負載保護不需要管理者介入，能夠在應用程式執行時，捕捉到漏洞開發或資料竊取等複雜攻擊</p> <p>開發人員編寫應用程式程式碼的時候，難免會包含錯誤，而這些錯誤提供攻擊者入侵濫用底層資源和程序的機會，官方提到，近期公開的入侵訊息，多數都牽涉至少一個應用程式的漏洞。因此Juniper發布了雲端工作負載保護，來抵禦針對應用程式漏洞所進行的攻擊，該新產品能夠自動在雲端和本地端資料中心環境，保護應用程式工作負載。</p> <p>這個雲端工作負載保護是一個輕量級軟體代理，能夠控制應用程式的執行，並且監控應用程式的行為，還能藉由上下文資訊來即時掌握發生的情況。官方強調，該軟體代理會自動進行漏洞緩解，不需要管理員介入，同時保持連接和保護重要工作負載。</p> <p>雲端工作負載保護有幾項主要功能，包括無簽章執行時應用程式自我防護（RASP），針對攻擊提供即時保護，不需要人工干預，便可立即保護應用程式免受惡意操作，像是漏洞開發或是資料竊取等侵害，並且捕捉端點偵測和網頁應用程式防火牆解決方案，所無法發現的複雜攻擊。</p> <p>針對記憶體攻擊，雲端工作負載保護也提供了進階記憶體攻擊即時防護，包括無檔案、返回導向程式設計（ROP）和緩衝區溢位攻擊。同時，雲端工作負載保護也會持續偵測應用程式和容器中的漏洞，並且向DevSecOps團隊提供漏洞遭到探嗅的資訊，使企業能夠更了解漏洞位置，以便進行修復。</p> <p>用戶會收到綜合遙測資訊，其提供了應用程式等級的安全事件和報告，包括應用程式的連接性、網路拓墣和嘗試攻擊的詳細資訊。Juniper的最佳化控制流程完整性技術（OCFI），透過驗證應用程式的執行和偵測攻擊，來最大程度降低錯誤警示的機會。另外，雲端工作負載保護也能限制攻擊在企業中橫向擴展，其使用零信任微分割技術，並且整合Juniper vSRX虛擬防火牆，來限制基於存取的安全性風險。</p> </div></div></div>
2021/8/4 21:16作者李建興https://www.ithome.com.tw/news/146016
資安一周第157期：法國發現記者手機遭間諜程式Pegasus入侵。伊朗火車系統攻擊事件出現資料抹除程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">7/29-8/4必看資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃間諜程式＃Pegasus</strong></span></h3> <h2><strong style="vertical-align: top;">法國發現3名記者手機遭間諜程式Pegasus入侵</strong></h2> <p>7月下旬，國際特赦組織、非營利組織Forbidden Stories與全球17個媒體合作，共同揭露針對間諜程式Pegasus的調查結果，引發各國政府的關注。根據衛報的報導，法國網路安全局（ANSSI）依據上述調查報告追查後，結果發現有3名該國記者的手機曾遭到Pegasus入侵。</p> <p>對此，受害記者擔心會波及消息來源。其中一名為France 24電視臺資深記者，他的手機曾分別在2019年至2021年，被Pegasus入侵3次。<strong><a href="https://www.ithome.com.tw/news/145990">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路攻擊＃交通運輸</strong></span></h3> <h2><strong style="vertical-align: top;">伊朗火車系統攻擊事件發現前所未見的資料抹除程式</strong></h2> <p>今年7月9日，伊朗的鐵路系統在7月9日驚傳遭到網路攻擊，駭客在該國各地的車站，發布火車班次延誤或是取消的假消息，導致當地鐵路運輸大亂。資安業者SentinelOne著手分析發現，駭客使用了前所未見的資料抹除程式Meteor。</p> <p>SentinelOne認為，主導此次攻擊的駭客，很可能只是不擇手段的傭兵團隊，目的只是為了癱瘓受害者的系統，讓管理者無法輕易復原。<strong><a href="https://www.ithome.com.tw/news/145956">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/157-1-MeteorExpress.png" style="width: 400px; height: 242px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：SentinelOne</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞攻擊</strong></h3> <h2><strong style="vertical-align: top;">美、英、澳聯手警告，30大漏洞應儘速修補</strong></h2> <p>美國網路安全暨基礎架構管理署（CISA）、澳州網路安全中心（ACSC）、英國國家網路安全中心（NCSC），以及美國聯邦調查局（FBI），於7月28日聯手提出警告，一些近年來揭露的重大漏洞，在2020年至2021年期間，仍遭到駭客持續濫用，他們呼籲企業要儘速修補。</p> <p>這份聯合公布的報告指出，2020年有12個最常被攻擊的漏洞需優先關注，多數是過去兩年內公開的漏洞。而關於上述漏洞，該報告當中也列出技術細節的描述，以及原廠修補的連結資訊，並統整緩解方式、IoC與偵測方法。<strong><a href="https://www.ithome.com.tw/news/145913">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/157-2-30C-vul_CISA.png" style="width: 400px; height: 229px;" /></p> <p><span style="color:#808080;">圖片來源：美國網路安全暨基礎架構管理署</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃NLTM</strong></span></h3> <h2><strong style="vertical-align: top;">Windows Server用戶小心！PetitPotam漏洞恐讓攻擊者挾持AD網域</strong></h2> <p>法國資安研究員Gilles Lionel揭露一個可讓攻擊者接管AD網域的漏洞，名為PetitPotam。駭客可藉由遠端檔案系統加密（EFSRPC）協定，強制網域控制器向惡意伺服器進行NTLM驗證，進而取得網域的控制權。關於這個漏洞的運用程度，Gilles Lionel也提供了概念性驗證（PoC）攻擊程式，並強調光是關閉EFSRPC，還是無法緩解PetitPotam所帶來的風險。</p> <p>這個消息公開之後，目前微軟已提出緩解措施，但尚未推出修補程式。<strong><a href="https://www.ithome.com.tw/news/145919">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/157-3-PetitPotam.png" style="width: 400px; height: 512px;" /></p> <p><span style="color:#808080;">圖片來源：Gilles Lionel</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃殭屍網路</strong></h3> <h2><strong style="vertical-align: top;">殭屍網路LemonDuck能力更強，攻擊Windows、Linux裝置</strong></h2> <p>微軟揭露他們調查殭屍網路LemonDuck的結果，並指出該殭屍網路惡意軟體不只能攻擊Windows電腦，也能對Linux作業系統的環境下手。LemonDuck鎖定SMB、Exchange Server、SQL Server、Hadoop、REDIS、RDP伺服器，以及其他邊緣裝置（Edge Devices）下手，並透過釣魚郵件、Eternal Blue漏洞、USB裝置、暴力破解等方式入侵。</p> <p>值得注意的是，LemonDuck所使用的C2伺服器的基礎架構，也變得更加多元，而使得該惡意軟體能不斷更新攻擊武器。<strong><a href="https://www.ithome.com.tw/news/145866">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊＃NPM</strong></span></h3> <h2><strong style="vertical-align: top;">鎖定NPM套件用戶的供應鏈攻擊，攻擊者混入合法工具竊取瀏覽器帳密</strong></h2> <p>惡意軟體分析解決方案業者ReversingLabs揭露鎖定軟體開發者的攻擊行動，他們在名為nodejs_net_server的NPM套件裡，發現攻擊者疑似為了企圖竊取開發者瀏覽器的帳密資料，嵌入了合法工具ChromePass。</p> <p>這個NPM套件已被近1,300個開發者下載。NPM獲報後，已於7月21日將nodejs_net_server，以及同作者另一個疑似測試用的tempdownloadtempfile下架。<strong><a href="https://www.ithome.com.tw/news/145870">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃惡意軟體攻擊＃Proxylogon</strong></span></h3> <h2><strong style="vertical-align: top;">中國駭客組織濫用Proxylogon漏洞，在Exchange伺服器植入木馬程式Thor</strong></h2> <p>Palo Alto Networks在7月27日，在部落格上揭露他們於Exchange漏洞「Proxylogon」爆發的時候，新發現的RAT木馬程式Thor，而這個惡意程式很可能就是名為PlugX的變種，背後發動攻擊的是中國駭客組織Pkplug（亦稱Mustang Panda、HoneyMyte）。</p> <p>研究人員指出，Thor與2020年另一個中國駭客組織RedDelta所使用的PlugX非常相似，但在初始化外掛元件過程中的解密字串（Magic Number）不同。<strong><a href="https://www.ithome.com.tw/news/145927">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃解密工具＃資安產業動態</strong></span></h3> <h2><strong style="vertical-align: top;">No More Ransom網站助勒索軟體受害者省下10億歐元</strong></h2> <p>在2016年7月26日設立的No More Ransom計畫，成立滿5周年，這個計畫藉由提供解密工具，替勒索軟體受害者省下近10億歐元，迄今全球已有170個組織加入該專案，提供121種免費解密工具，可用來解密151個家族的勒索軟體，此外，該網站支援正體中文等37種語言。<strong><a href="https://www.ithome.com.tw/news/145887">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資安產業動態＃CVE</strong></span></h3> <h2><strong style="vertical-align: top;">臺灣網通設備業者Zyxel取得CVE編號管理者資格</strong></h2> <p>國內網通設備大廠兆勤科技（Zyxel Networks）宣布，Zyxel取得MITRE通用漏洞揭露計畫（CVE）授權，成為CVE Numbering Authority（CNA）成員，將有權限對權責範圍內的產品漏洞，也就是Zyxel自家產品的安全性問題，發布CVE漏洞標號。</p> <p>根據MITRE CNA成員列表所示，全球已有30個國家，共179家機構組織及企業參與這項計畫，Zyxel成為臺灣現有第4家企業與機構，且是國內上市公司首例。<strong><a href="https://www.ithome.com.tw/news/145914">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路詐騙</strong></span></h3> <h2><strong>不肖分子詐騙民眾個資上傳電信平臺申辦手機門號，上百人受害</strong></h2> <p>臺灣疫情升至三級警戒以後，不只是網路個資詐騙事件呈現倍增趨勢，各大電信業者推動的線上申辦業務，竟也成為不肖份子申辦人頭門號的捷徑。刑事警察局在7月23日宣布偵破網路犯罪事件，逮捕9名嫌犯，其手法是利用民眾對於網路詐騙缺乏資安意識，以及各家電信業者線上門號申辦業務身分審查機制的不足，之後再藉由小額付款買點數、再轉售牟利，目前有160人受害，並有單一受害者損失48萬元的情形。<a href="https://www.ithome.com.tw/news/145976"><strong>詳全文</strong></a></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/145882">蘋果修補已遭濫用的漏洞CVE-2021-30807</a><br /> ●<a href="https://www.ithome.com.tw/news/145868">防攻擊者散布惡意軟體，Google Drive加入封鎖功能</a><br /> ●<a href="https://www.ithome.com.tw/news/145764">沙烏地阿拉伯國家石油公司驚傳資料外洩</a></h3> </div></div></div>
2021/8/4 17:02作者周峻佑https://www.ithome.com.tw/news/146014
Google首款自行設計的行動SoC晶片Tensor，預告將在今年秋天的Pixel 6手機現身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google預告首款自行操刀設計的行動SoC晶片Tensor，將會在今年秋天即將發表的Pixel 6手機上採用，並預告新Pixel手機將有更強大的AI攝影功能及語音辨識技術。</p> <p>Google從2016年開始推出首款Pixel手機，一直以來採用市場上既有的行動處理器，隨著AI的興起，不只在雲端，行動裝置也掀起這股風潮，例如近年來Google Pixel手機強調進階的拍攝功能，例如透過AI計算攝影技術，協助使用者在夜間拍攝出較清晰的影像，或是在高明暗對比的環境下，拍攝包含更多影像細節的照片。</p> <p>Google語音裝置與服務資深副總裁 Rick Osterloh表示，AI是Google團隊未來創新發展的目標，但受限於運算技術的限制無法順利達成此一目標。因此，Google自行研發行動裝置專用的SoC晶片，以期將AI、機器學習的優勢帶到Pixel裝置。Tensor即為Google第一個專為Pixel打造的SoC晶片，預計今年秋天問世的Pixel 6及Pixel 6 Pro將搭載新的晶片。</p> <p>儘管更多的產品功能等資訊要等到Pixel手機正式發表才會揭露，但Rick透露Pixel 6系列手機將採用今年Google I/O發表的最新Android 12及Tensor晶片，強調使用體驗更好、更流暢之外，手機後方的鏡頭、感測器也提升性能。</p> <p>Google預先秀出Pixel 6手機的外觀，除了背後相機、感測器採用長條狀設計外，Pixel 6採用霧面鋁合金外殼，Pixel 6 Pro採用拋光鋁合金邊框：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-08-04%20%E4%B8%8B%E5%8D%884_57_23.jpg" style="width: 600px; height: 405px;" /></p> <p>Rick指出，愈來愈多功能都是以AI和機器學習為基礎，而這些不只是增加運算資源就能達成，還需靠機器學習技術，為Pixel的使用者提供與眾不同的體驗。「有了Tensor，我們終於打造出理想中的Google手機」，包括持續提升的性能、Google技術、高度個人化的使用體驗。Pixel 6也將因Tensor的安全核心處理器、Titan M2，提升裝置的使用安全。</p> <p>Google透露，研發團隊開發設計Tensor晶片，以順利執行Google的計算攝影模型，改善現有的功能之外，也增加全新的功能，例如為活潑好動的小孩拍攝照片，另外，也能提供更好的語音辨識、翻譯功能。</p> <p>Google執行長Sundar Pichai也在推特上特別發文指出，Tensor晶片花費了4年時間研發打造，以過去20年運算經驗為基礎，也是Pixel迄今為止最大的創新。</p> <p>在此之前，先前就有媒體報導，Google內部有一Google Silicon的計畫，為Google與三星合作開發SoC系統單晶片，採用5奈米製程，搭載8核Arm核心，並針對Google助理、機器學習設計專用計算元件，將用於Pixel及Chromebook。</p> <p>事實上，Google打造自家晶片，以更好的支援自家技術已有先例。例如Google在2015年便推出適用於語音辨識、影像物件辨識的TPU(Tensor Processing Unit)，隨後在2018年推出邊緣運算用的Edge TPU，可以較省電執行輕量的Tensor Flow Lite機器學習模型。</p> <p>如今，Google公開自行設計的行動裝置SoC晶片Tensor，雖未揭露更多關於該晶片的訊息，但是去年開始Pixel 5手機已支援高速、低延遲的5G網路，推測未來結合5G，以及TPU、Edge TPU、Tensor，可實現從雲端、邊緣到裝置新一波的機器學習應用。</p> </div></div></div>
2021/8/4 17:39作者蘇文彬https://www.ithome.com.tw/news/146013
美、英、澳聯手公布2020年最常被利用的CVE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在7月28日，多個國家的網路安全主管機關聯手警告所有用戶，儘速修補常被駭客濫用的漏洞，他們鎖定的主要對象，主要是前幾年揭露、至今仍遭駭客持續攻擊的漏洞。</p> <p>這次公告，由美國美國國土安全部旗下網路安全暨基礎架構管理署（CISA）、美國聯邦調查局（FBI），以及澳洲網路安全中心（ACSC），還有英國國家網路安全中心（NCSC）共同發布，當中詳細描述2020年網路攻擊者最積極利用的30大CVE漏洞，以及到了2021年，駭客仍持續鎖定這些已知與陳年漏洞進行攻擊，以入侵公家及私人部門。官方呼籲企業或政府單位儘速修補這些漏洞，並導入中央修補管理系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020%E5%B9%B4%E6%9C%80%E5%B8%B8%E8%A2%AB%E5%88%A9%E7%94%A8%E7%9A%84%E6%BC%8F%E6%B4%9E(1).jpg" style="width: 500px;" /></p> <p>根據這份<a href="https://us-cert.cisa.gov/ncas/alerts/aa21-209a">聯合公布的詳細報告</a>，在2020年，有12個最常被攻擊的漏洞需優先關注，大多數是過去兩年內公開的漏洞。</p> <p>其中，前4大漏洞影響範圍，主要是遠距工作、VPN與雲端相關應用的技術，分別是：Citrix（CVE-2019-19781，任意程式碼執行RCE）、Fortinet（CVE 2018-13379，路徑穿越）、Pulse（CVE 2019-11510，任意檔案讀取），以及F5- Big IP（CVE 2020-5902，RCE），皆為VPN漏洞。</p> <p>還有8個漏洞也很常被利用，包括：MobileIron的CVE 2020-15505、微軟Office的CVE-2017-11882，也都是近年榜單上的常客，同時，還有使用者管理應用程式Atlassian Crowd的CVE-2019-11580，Drupal重大漏洞CVE-2018-7600，以及.NET開發工具Telerik的CVE 2019-18935，並且都是RCE漏洞。</p> <p>值得注意的是，微軟有4項漏洞上榜，除了上述Office漏洞，還包括SharePoint的CVE-2019-0604，也是REC漏洞，以及Windows的CVE-2020-0787，還有Windows Netlogon遠端協定CVE-2020-1472，又名Zerologon，後兩者雖屬於權限升級漏洞，但被列為重大風險。</p> <p>這份報告對於上述漏洞提供了技術細節的描述，以及原廠修補的連結資訊，並統整了建議的緩解方式、IoC與偵測方法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）英美澳官方彙整2020年最常被利用的漏洞.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%8B%B1%E7%BE%8E%E6%BE%B3%E5%AE%98%E6%96%B9%E5%BD%99%E6%95%B42020%E5%B9%B4%E6%9C%80%E5%B8%B8%E8%A2%AB%E5%88%A9%E7%94%A8%E7%9A%84%E6%BC%8F%E6%B4%9E.jpg" style="width: 450px;" /></a></p> <blockquote><p><a href="https://us-cert.cisa.gov/ncas/alerts/aa21-209a">在此聯合公布的資安公告中</a>，針對2020年網路攻擊者最積極利用的CVE漏洞，彙整了漏洞描述與原廠修補資訊，以及相關緩解方式、IoC與各方提出的偵測方法。</p> </blockquote> <h3><strong>2021年有5大業者產品漏洞值得關注</strong></h3> <p>除了持續利用上述漏洞來攻擊企業與用戶，在上述安全公告中，三大網路安全機構也列出2021其他被利用最多的漏洞，主要是微軟、Pulse Secure、Accellion、VMware與Fortinet的漏洞。</p> <p>在此當中，包括<a href="https://us-cert.cisa.gov/ncas/alerts/aa21-062a">微軟Exchange Server的ProxyLogon漏洞：CVE-2021-26855、CVE-2021-26857、CVE-2021-26858與CVE-2021-27065</a>，<a href="https://us-cert.cisa.gov/ncas/alerts/aa21-110a">Pulse Secure今年揭露的4個漏洞：CVE-2021-22893, CVE-2021-22894, CVE-2021-22899與CVE-2021-22900</a>，<a href="https://us-cert.cisa.gov/ncas/alerts/aa21-055a">Accellion的檔案分享服務的4個漏洞</a>，<a href="https://us-cert.cisa.gov/ncas/current-activity/2021/06/04/unpatched-vmware-vcenter-software">VMWare vCenter的CVE-2021-2198</a>，還有<a href="https://www.ic3.gov/Media/News/2021/210402.pdf">Fortinet的舊漏洞，今年美國FBI與CISA也特別警告，包括CVE-2018-13379、CVE-2020-12812與CVE-2019-5591</a>。文⊙林妍溱、羅正漢</p> </div></div></div>
2021/8/4 17:49作者羅正漢https://www.ithome.com.tw/news/146015
Google釋出全新Google Identity Services
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在周二（8/3）發表了<a href="https://developers.googleblog.com/2021/07/launching-our-new-google-identity-services-apis.html" target="_blank">Google Identity Services</a>身分服務，透過單一的軟體開發套件（SDK）提供兩個身分API，其中之一為優化後的Sign in with Google按鍵，另一個則是One Tap。Google鼓勵網站或程式開發者利用Google Identity Services來簡化使用者的登入流程，對使用者而言則可保障其帳戶的安全性。</p> <p>當使用者要登入一個新的網站或程式時，通常需要建立新的帳號與密碼，但藉由擁有眾多用戶的大型平臺所提供的登入機制，則可減輕開發者的負擔，並由這些大型平臺來維護使用者的帳號安全，像是Google Identity Services或Facebook Login。</p> <p>不管是Sign in with Google或One Tap都是使用安全令牌來登入，而非使用者的密碼。其中，Sign in with Google按鍵可替回訪的使用者顯示客製化的使用者細節，同時秀出使用者用來登入的Google帳號，而One Tap則是一個新的登入機制，標榜只要按一下就能登入。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-%20Google%20Identity%20Services%20API%20-sign%20in%20with%20google-2.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>Google說明，開發者可將One Tap嵌入在任何一個頁面，它會出現在網站的右上角，或者是行動程式的下方，點擊後就能直接以Google帳號登入，且不會將使用者導至額外的登入頁面，避免打擾使用者的瀏覽經驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-%20Google%20Identity%20Services%20API%20-one%20tap-2.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>在與Reddit合作進行測試Sign in with Google及One Tap之後，發現不管是新用戶的登入或是回訪者的轉換率，都增加了近2倍。</p> <p>由於每個Google帳號都奠基在Google的反濫用及反詐騙系統上，也讓Google強調採用Google Identity Services將能減少重覆與詐欺帳號，進而減輕開發者的支援負擔。</p> </div></div></div>
2021/8/4 16:32作者陳曉莉https://www.ithome.com.tw/news/146010
傳臉書正在研發不解密訊息分析用戶資料的技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>基於個人化廣告和隱私的兼顧需求，<a href="https://www.theinformation.com/articles/facebook-researchers-hope-to-bring-together-two-foes-encryption-and-ads" target="_blank">The Information</a>報導，臉書正在建立團隊研發不需解密用戶訊息，即可分析用戶行為的技術，以便能持續發送個人化廣告。</p> <p>報導發現臉書的徵才廣告顯示，臉書正在尋找具隱私技術背景，包括同態加密（homomorphic encryption）、安全運算及資料匿名化的專家，組成專門團隊來研究相關作法。消息人士指出，臉書這項計畫還在執行初期，目前主要實施對象是WhatsApp用戶內容。臉書希望新團隊發展的技術讓他們不需解密用戶訊息情況下，還能分析資料。</p> <p>同態加密是一種加密類型，當應用對加密資料進行特定形式的運算，得到的結果與未加密資料相同。在實際應用上，同態加密讓資料在運算時仍可維持加密狀態，最大程度降低資料暴露的風險，而且同態加密還能夠限制解密功能，讓特定對象僅看到有權存取的部分。但是它需要龐大運算資源，直到現今效能問題解決才得以普及化。</p> <p>The Information報導，臉書的隱私資料分析技術，若能使其不觸及用戶個資，將讓臉書不需放棄精準廣告的商業模式。報導也引述臉書官方證實團隊招聘一事，表示新開發的技術旨在保護隱私，同時擴展臉書廣告系統的效率。</p> <p>這項技術也是為了解決臉書廣告作為主要商業模式引發的隱私疑慮，遑論臉書還經常傳出動輒以百萬計的用戶個資外洩。2018年劍橋分析取用了臉書8,700萬名用戶資料分析，讓臉書2019年被迫以50億美元和聯邦貿易委員會（FTC）和解。<a href="https://www.ithome.com.tw/news/143664" target="_blank">歐盟</a>迄今還在調查臉書今年初5.3億用戶資料曝光是系統被駭還是如臉書所言，是被網頁抓取（web scraping）的結果。</p> <p>不過WhatsApp主管<a href="https://twitter.com/wcathcart/status/1422611553954668546" target="_blank">Will Cathcart</a>則透過推特否認該公司會研究使用同態加密。他並指出，宣稱WhatsApp之類的App看到訊息內容只會有「正確」用途，這種說法都必須抱持懷疑，科技絕對是一把兩面刃。</p> <p>在企業分析應用上，同態加密近年已可發展出新式業務，像是醫療業或金融業將病患及客戶的加密資料委外處理，<a href="https://www.ithome.com.tw/news/145102" target="_blank">Google</a>和<a href="https://www.ithome.com.tw/news/138132" target="_blank">IBM</a>也分別提供同態加密工具包。</p> </div></div></div>
2021/8/4 15:44作者林妍溱https://www.ithome.com.tw/news/146007
中國駭客過去4年來至少入侵5家東南亞地區大型電信業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Cybereason本周<a href="https://www.cybereason.com/blog/deadringer-exposing-chinese-threat-actors-targeting-major-telcos" target="_blank">揭露</a>，該公司自今年初開始調查鎖定東南亞主要電信業者的網路攻擊行動，發現從2017年到今年第一季，總計有3個來自中國的駭客組織發動攻擊，有兩個開採了統稱為ProxyLogon的4個Exchange Server安全漏洞。Cybereason還向<a href="https://therecord.media/five-southeast-asian-telcos-hacked-by-three-different-chinese-espionage-groups/" target="_blank">The Record</a>表示，東南亞地區有5家大型電信業者受害。</p> <p>調查顯示，這3個駭客團隊分別是Soft Cell、Naikon APT 與APT27，它們發動攻擊的時間點及所使用的手法不盡相同，例如Soft Cell是自2018年至今年第一季，Naikon APT是從去年第一季到今年第一季，至於APT27針對東南亞電信業者的活動期間，則是2017年到今年第一季。</p> <p>不過，它們的目的卻是類似的，都是先滲透電信業者網路，建立後門，找機會常駐，竊取憑證並盜取資訊，而且有時候它們會在同一時間入侵同一家業者。</p> <p>值得注意的是，這些駭客集團在成功進駐電信業者之後，繼之危害諸如網域控制器或帳單系統，以取得通話詳細記錄（Call Detail Record）等機密資料，目的是為了能夠監控利用這些電信服務進行通訊的個人。</p> <p>換句話說，入侵電信業者只是駭客集團的跳板，它們要的是使用相關電信服務的企業、政治人物、政府官員、執法機關、以及中國政府感興趣的政治活動家與異議人士的通訊內容。</p> <p>Cybereason並未公布5家受害的電信業者名稱，僅向The Record透露被駭客鎖定的目標，都是擁有數千萬用戶的全球性電信業者。</p> <p>不過，Cybereason也強調，Soft Cell、Naikon APT 與APT27活動的區域並不僅限於東南亞，因此很可能還有其它電信業者受害。</p> </div></div></div>
2021/8/4 16:00作者林妍溱https://www.ithome.com.tw/news/146008
Windows 10將預設封鎖垃圾程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟持續要讓Windows 10變得更安全。本周<a href="https://support.microsoft.com/en-us/windows/potentially-unwanted-apps-will-be-blocked-by-default-b9f53cb9-7f1e-40bb-8c6b-a17e0ab6289e" target="_blank">宣布</a>將預設封鎖垃圾程式（Potential Unwanted App，PUA）以維護Windows電腦安全及效能。</p> <p>垃圾程式不見得是惡意軟體，但可能造成電腦效能下降、充斥討人厭的廣告或甚至安裝真正有害的其他軟體。</p> <p>從Windows 10 May 2020 (2004)開始，Windows就加入<a href="https://www.ithome.com.tw/news/137626" target="_blank">防堵PUA</a>的功能。它基本上是Windows Defender SmartScreen篩選工具，可依據微軟的信譽評等（reputation-based）技術偵測、警告或封鎖App或檔案。它位於Windows安全性設定（Security） App中，去年釋出以來用戶必須自行設定是「封鎖」或是「警告」。從本月開始，微軟決定將之預設啟動。</p> <p>預設啟動後，用戶仍可透過Windows安全性設定（Security）App，找到「應用程式與瀏覽器控制」、「信譽評等防護」來關閉這項功能。</p> </div></div></div>
2021/8/4 16:06作者林妍溱https://www.ithome.com.tw/news/146009
美參議院公布政府資安體檢報告：8個聯邦機構中僅國土安全部合格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國參議院國土安全暨政府事務委員會在本周公布了一份調查報告《聯邦網路安全：美國資料仍處於風險中》（<a href="https://www.hsgac.senate.gov/imo/media/doc/Federal%20Cybersecurity%20-%20America%27s%20Data%20Still%20at%20Risk%20(FINAL).pdf" target="_blank">Federal Cybersecurity: America’s Data Still at Risk</a> ），該委員會檢查了8個美國聯邦機構，卻發現有7個並未遵守《美國聯邦資訊安全現代化法案》（Federal Information Security Modernization Act，FISMA）中對網路安全的基本要求，因而難以捍衛美國的資料安全。</p> <p>被點名未能保障美國資料安全的7個聯邦機構，分別是國務院、交通部、住房及城市發展部、農業部、衛生與公共服務部、教育部與社會安全局，所犯的錯誤包括未能妥善保護個人身分資訊、未能準確維護與清點IT資產、未能維持資訊系統的授權操作、未即時安裝安全更新，以及沒有淘汰供應商不再支援的舊有技術。而唯一建立了有效資訊安全計畫的是國土安全部。</p> <p>根據調查，這8個聯邦機構在資訊安全成熟度的平均成績只有C-，有6個機構的系統在缺乏授權的狀態下執行，有7個機構使用已不再被支援的系統，有6個機構沒有即時修補安全漏洞，有7個機構缺乏完整的IT資產清單，有7個機構未能適當保護個人身分資訊。</p> <p>此外，這些聯邦機構並未設置網路安全的單一問責窗口，也缺乏統一的網路安全策略。</p> <p>美國參議員<a href="https://www.hsgac.senate.gov/media/minority-media/new-bipartisan-portman-peters-report-shows-federal-agencies-cybersecurity-failures-leaving-americans-personal-information-at-risk" target="_blank">Rob Portman</a>表示，從<a href="https://www.ithome.com.tw/article/141943" target="_blank">SolarWinds</a>到最近針對美國重大基礎設施發動的勒索軟體攻擊，在在顯示出網路攻擊將持續發生，自家的聯邦機構沒有盡力保護美國資料是不可接受的，上述錯誤將讓國家安全與個人資訊曝露在網路攻擊風險中。</p> <p>該委員會除了準備推動立法來解決該報告所提供的建議，也督促拜登政府應該要設立一個主管機關，來監督聯邦機構的實施狀態。</p> </div></div></div>
2021/8/4 14:58作者陳曉莉https://www.ithome.com.tw/news/146006
IT人才月報第18期：Universum調查臺灣大學生最理想企業排名，IT人才今年依舊最想進Google、半導體企業也…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0702~0805)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大學生理想企業排名 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 半導體企業 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>2021臺灣大學生最理想企業排名：Google最受IT人才青睞，半導體企業排名大幅提升</strong></span></strong></p> <p>全球人才招聘顧問公司Universum近期發布一份報告，調查臺灣大學生2021年最理想的雇主排名Top 100。調查對象涵蓋37所大學超過8,000位學生，在商科、工程／IT、自然科學、社會／人文／教育、法律、醫學／健康等6大領域的理想企業排名。</p> <p>Universum指出，這次調查中，科技巨頭Google仍蟬聯商科及工程科系學生最青睞的公司，台積電則取代Google成為自然科學學生的首選企業，星宇航空更首次上榜，獲商科、工程及自然科學學生票選為最具吸引力的前30家公司之一。若以工程領域來看，半導體公司今年更受學生青睞，ASML的排名從去年41名躍升到第6名，美光科技從去年第26名提升到14名，應用材料也從去年27名提升到15名。</p> <p>今年的研究也顯示，薪水是臺灣學生就業的首要考量，這與去年的調查結果有明顯差異，去年影響學生就業選擇最重要的因素，是該公司能否成為將來換工作一大利基，今年這個選項跌至第四名了，友善的工作環境、就業保障這兩個因素，則分別提高至第二及第三名。是否擁有靈活的工作環境，也提升到第七名。</p> <p>Universum更提醒，企業在聘僱工程與IT科系的人才時，這類求職者除了看重薪酬與技能培訓，也會在意任職企業產品或服務的市場表現，相較之下，商科學生更在意未來的發展機會。因此，企業若要吸引工程相關人才，可以將產品市佔也納入溝通、宣傳的要點。</p> <p>在預期薪資方面，臺灣大學生的平均預期年薪為569,659元。其中，工程與IT科系學生對薪酬的期望較高，為671,304元。（<a href="https://universumglobal.com/rankings/taiwan/">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-08-03%20%E4%B8%8B%E5%8D%882_33_29.png" style="width: 605px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 104人力銀行 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 產業平均月薪 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT人力需求不減 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">104數據：2021年62產業平均月薪大公開，領先群為IT、半導體、投資理財、紡織製造業</span></strong></p> <p>104人力銀行<a href="https://blog.104.com.tw/104data-2021-62-industry-salary/">取樣29萬筆薪資資料</a>發現，不分職務、年資與學經歷，2021年全體62產業平均月薪為4.2萬元，其中22個產業（大約三分之一）高於全體平均，其他三分之二低於全體平均。其中，月薪平均高於5萬的「遙遙領先群」，包括電腦及消費性電子製造業、半導體業、鞋類／紡織製品製造業、以及投資理財相關業，其中，鞋類／紡織製品製造業，意外成為進入領先群的黑馬，主要因爲產業升級轉型、海外營收分潤與加碼外派津貼，使得平均薪資提升。</p> <p>另一項<a href="https://blog.104.com.tw/104data-2021-hire-top5-industry/">數據</a>則顯示，104人力銀行7月份職缺數來到72萬個，最缺人的前兩大產業，分別是電子資訊／軟體／半導體業需要15.8萬人，以及一般製造業需要11.4萬人。這與前三年同期不同，2018～2019年徵才需求最大宗的是住宿餐飲服務業及一般服務業，今年受到疫情影響，退居到第4與第5名。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-08-04%20%E4%B8%8B%E5%8D%8812_04_17.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 薪水試算工具 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距辦公 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google發布遠距工作薪資試算工具，薪水調降幅度高達25%引員工反彈</span></strong></p> <p>據<a href="https://www.cnet.com/news/google-rolls-out-tool-to-show-its-employees-compensation-changes-for-transferring-offices/">外媒CNet報導</a>，Google在6月底發布了一個內部工具「Work Location Tool」，用來在員工要申請更換辦公室或完全遠距工作之前，先幫員工試算，搬遷到其他地區後薪水將會如何調整。這是因為，Google的CEO Sundar Pichai已經在5月宣佈，計畫將讓20%的員工永久的遠距工作，另外20％的員工可以從現有Google各地區的辦公室中，選擇想要任職的工作地點。其他6成的員工則可以選擇採取混合辦公的形式，一周內有幾天進辦公室、幾天在家辦公。</p> <p>不過，Google也指出，如果員工要求轉換到新的工作地點，他們的薪水會根據當地的生活水平重新調整，這意味著，大多從舊金山或紐約搬遷到其他地區的員工，薪水將會有不同程度的下降。CNet更在近期<a href="https://www.cnet.com/news/google-employees-angered-by-search-giants-hypocritical-remote-work-policies/">一篇報導</a>中指出，一位在舊金山工作的Google員工選擇遠距工作後，根據工作地點試算工具，薪資甚至會因此下調25%，減薪幅度也激起了員工的反彈聲浪。部分無法接受薪資縮水的員工，更已經遞出離職申請。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臉書 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 疫苗施打政策 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">臉書、Google要求美國員工必須打疫苗才能回公司上班</span></strong></p> <p>由於美國COVID-19疫情復燃，Delta類型病毒近日造成美國感染人數驟增，美國政府已率先要求公家機關員工必須接種疫苗，也促使原本已準備讓員工回公司上班的科技大廠做出回應。臉書及Google近日分別宣布，美國員工必須完成疫苗接種後才能回公司。</p> <p><a href="https://blog.google/inside-google/company-announcements/vaccines-and-our-return-to-office-plans/">Google執行長Sundar Pichai指出</a>，Google將推動二項新措施，首先，任何人進公司上班者必須完成接種，這項要求會在幾周內先在美國實施，再擴及到其他國家。其次是考量到Delta感染有擴散趨勢，Google將延長員工在家上班的期限到10月18日。</p> <p>另一方面，臉書也<a href="https://techcrunch.com/2021/07/28/facebook-will-require-employees-to-be-vaccinated-before-returning-to-campus/">對媒體證實</a>有類似計畫。臉書指出，等公司辦公室重開後，會要求任何在美國辦公室上班的人需完成疫苗接種，但實施仍需視各地狀況和法規而定。（<a href="https://www.ithome.com.tw/news/145918">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人才流失 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 擴大設點 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">蘋果面臨人才流失，傳加速向矽谷外設點</span></strong></p> <p><a href="https://www.bloomberg.com/news/newsletters/2021-07-04/apple-hq-is-no-longer-the-center-of-the-company-s-universe-kqpi2879">彭博報導</a>，蘋果面臨人才流失，促使這家科技巨擘策畫在更多地方設點，向矽谷以外地區伸出尋才觸角。報導指出，矽谷大小科技公司雲集，使蘋果面臨眾多挑戰。一來競爭者如Google、Amazon、Netflix等公司挖角，造成人才流失。二來，矽谷科技產業推升灣區房價、物價高漲，不少蘋果員工為了負擔子女學費及未來儲蓄，而決定搬到其他生活水準與物價較低的城市。</p> <p>為此，蘋果內部加速評估在其他城市或國家設點的計畫，以開闢人才來源。消息人士指出，負責Apple Silicon開發的硬體資深副總裁Johny Srouji及網際網路軟體及服務資深副總裁Eddy Cue已率領多方設點的計畫。Srouji是這項計畫支持最力者，他的部門近年已經在德州、佛州、麻州、聖地牙哥，以及以色列、德國和亞洲設立據點，Cue的部門也已經在洛杉磯及納許維爾設點。（<a href="https://www.ithome.com.tw/news/145580">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gallup </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 員工敬業度 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生產力損失 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Gallup分析：不敬業員工帶來的生產力損失高達年薪18%，如何提升員工敬業度成企業一大課題</span></strong></p> <p>根據全球企業績效管理顧問Gallup近期發布的<a href="https://www.gallup.com/workplace/349484/state-of-the-global-workplace.aspx#ite-350777" target="_blank">2021年全球工作場所報告</a>指出，敬業投入工作的美國員工，大約只有20%，這個數字比去年減少了2%。也就是說，企業平均有8成員工都是不投入的員工（not engaged），或是消極怠工的員工（actively disengaged）。</p> <p>Gallup更在一篇文章中分析，這些不敬業員工對企業帶來的生產力損失，大約等於他們年薪的18%，換句話說，每一個不敬業的員工會造成18%的薪水浪費。以一間有1萬名員工、平均年薪為5萬美元的公司來說，每年的生產力損失就超過6,000萬美元，若企業要將這些無心工作的員工取代，所費成本更可能高達該名員工年薪的1.5～2倍。為了減少損失，企業如何讓員工願意持續投入工作，成為一大關鍵。</p> <p>對此，企業可能認為，加薪是一個解方。但Gallup分析指出，薪水不是萬能的，要加薪超過20%才有辦法把主管重用的人才挖走，但這個方法對無心工作的員工來說，一點用都沒有。Gallup建議企業，要留任並提升員工對工作的參與度，需要有良好的人事管理技巧，管理者要懂得與員工進行有意義的對話、設定目標並建立問責機制，透過個性化的績效管理，更能讓每位員工發揮自己的能力，提升員工的工作體驗。（<a href="https://www.gallup.com/workplace/351545/great-resignation-really-great-discontent.aspx">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-08-04%20%E4%B8%8B%E5%8D%8812_47_47.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 後疫情時代 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 員工技能培訓 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 效益衡量指標 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">疫情提升企業對員工技能培訓的投資，但投資真的帶來回報了嗎？</span></strong></p> <p>哈佛商業評論近期一篇文章指出，疫情帶動企業走向數位科技、自動化與AI之後，企業也隨之增加了員工技能學習與發展（L&D）的投資，雇主更願意透過員工訓練，讓員工熟悉新科技或工具，來提升工作效率。但是，Linkedin的<a href="https://learning.linkedin.com/content/dam/me/business/en-us/amp/learning-solutions/images/wlr21/pdf/LinkedIn-Learning_Workplace-Learning-Report-2021-EN-1.pdf">一項調查</a>發現，企業用於評估員工培訓成效的指標，大多都是軟性的指標，比如課程完成度、滿意度分數和員工反饋，很少有企業使用更嚴格的指標，比如員工留職率、生產力或企業營收的增長，來評估員工受訓的成果。</p> <p>因此，文章也提到，為了衡量員工技能訓練帶來的成效，有4項指標設定可以成為企業的參考。一是成本，企業應將培訓計劃所花費的總成本相加，來與直接聘僱新人、遣散舊員工所耗費的成本相比。二是要建立生產力指標，量化員工學習技能後，帶來效率或生產力的變化，比如在學習Python作為新工具後，如何提升員工的工作效率。三是要設立員工對工作穩定性與滿意度的指標，比如員工留任率會是一個很好的參考標準。四是由受訓員工的主管、合作團隊來對該名員工評分，而非由員工自評，藉此來衡量員工的培訓成效。（<a href="https://hbr.org/2021/07/make-sure-your-companys-reskilling-efforts-pay-off">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中信銀行 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據團隊 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人才管理 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">中信銀行如何管理上百人數據團隊？讓技術專家依能力各司其職是關鍵</span></strong></p> <p>2018年初，中國信託銀行（簡稱中信銀行）成立了數據研究發展中心，從設立初期僅有一人，到現在已擴大為百人團隊，更在去年初正式升級為數據暨科技研發處，主要負責銀行及金控AI技術研發、策略制定，及全行的數據治理。</p> <p>中國信託銀行數據暨科技研發處處長王俊權，便是這個百人團隊的一號員工。帶領團隊3年多來，王俊權坦言，在第一年摸索過程中，發現最大的議題是AI工程師如何具備業務領域的知識。因為，對於工程師而言，在乎的是自身技術含量能否持續優化，如果要讓醉心於技術的人才了解業務知識，對他們而言非常辛苦。</p> <p>發現這個狀況後，王俊權選擇調整組織分工，讓研發人員專注在研發，無需與業務單位PM溝通，當研發人員安心後，就能專注開發技術。若是對科技、分析、策略有興趣的人才，則重壓在商業分析師或數據規畫師的角色，負責對外溝通協調。他認為，這樣的分工，才能夠長治久安地管理科技研發組織。（<a href="https://www.ithome.com.tw/news/145468">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多IT人才動態 </span></strong></span></strong></p> <p><strong>1.外媒指出，西門子正在擁抱遠距工作以招攬技術人才（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://www.ft.com/content/71c3d3a1-e735-4ece-9df4-b0ac1b9deb2a" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id-2019460005" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</strong></p> <p><strong>2.Dropbox公開自家工程師職務能力框架，不同類型技術職人技能和職涯發展階梯大公開（<a href="https://www.ithome.com.tw/news/145660" target="_blank">詳全文</a>）</strong></p> <p>責任編輯／翁芊儒</p> <p>圖片來源／Universum、104人力銀行、Gallup</p> <p>資料來源：iThome整理，2021年8月</p> </div></div></div>
2021/8/4 12:30作者翁芊儒https://www.ithome.com.tw/news/146004
WhatsApp推出View Once閱後即焚功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書旗下的通訊平臺WhatsApp在周二（8/3）推出了<a href="https://about.fb.com/news/2021/08/view-once-photos-and-videos-on-whatsapp/" target="_blank">View Once</a>閱後即焚功能，它的中文名稱為「單次檢視多媒體」，僅適用於使用者傳送照片或影片時，當對方開啟了使用者所傳送的照片或影片之後，它們就會從WhatsApp的對話中消失。</p> <p>WhatsApp表示，並非所有使用者所分享的內容都必須成為永遠的數位紀錄，而View Once將讓使用者有更多的隱私控制權，例如從試衣間傳送的照片，或是與朋友分享Wi-Fi密碼。</p> <p>藉由View Once傳遞的照片或影片無法被儲存至對方的照片或圖庫，也無法被轉寄、儲存、標註或分享，若是對方未於收到的14天內開啟，內容就會過期。此外，該功能採用端對端加密傳輸，因此即使是WhatsApp也無法檢視內容。</p> <p>不過，WhatsApp也提醒，收件方可能會在照片或影片消失之前拍攝螢幕截圖、錄製螢幕畫面，或是使用另一個裝置拍下畫面，建議使用者只將涉及隱私或機密的照片傳給信任的對象。</p> <p>WhatsApp本周已著手將View Once功能部署至全球用戶。</p> </div></div></div>
2021/8/4 11:37作者陳曉莉https://www.ithome.com.tw/news/146003
微軟將要求美國員工、廠商及訪客需接種COVID-19疫苗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theverge.com/2021/8/3/22607690/microsoft-proof-vaccination-covid-19-us-buildings-office-reopening" target="_blank">The Verge</a>及<a href="https://www.zdnet.com/article/microsoft-to-require-covid-19-vaccination-proof-for-u-s-employees-vendors/" target="_blank">ZDNet</a>報導，微軟本周二發佈COVID-19最新防疫措施，為公司重啟實體運作而準備，將在9月底正式要求任何進微軟美國辦公室的員工、廠商及訪客，皆需完成接種COVID-19疫苗。</p> <p>微軟也宣布美國辦公室全部重啟日期，由原本預定的9月7日延到至少10月4日。對於因為宗教或醫療理由而無法接種的員工，微軟也提供暫時豁免措施。此外，正接受免疫抑制劑治療，或是小孩太小不能接受疫苗的員工，則可持續在家作業到2022年1月。</p> <p>這項調整是因應美國COVID-19疫情重啟的結果。美國科技公司中，臉書及Google已經要求進入公司辦公的美國員工必須完成疫苗接種。本周<a href="https://www.ithome.com.tw/news/145995" target="_blank">臉書</a>進一步要求美國公司的員工上班需戴口罩。</p> <p>臉書和Google也將公司全部重啟日期延到今年10月。</p> </div></div></div>
2021/8/4 12:19作者林妍溱https://www.ithome.com.tw/news/146005
AI系統DABUS已被南非認定為專利發明人，澳洲可能跟上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南非專利局上周<a href="https://www.globallegalpost.com/news/south-africa-issues-worlds-first-patent-listing-ai-as-inventor-161068982" target="_blank">接受</a>了由AI系統DABUS所提出的專利申請，將DABUS列為專利發明人，而專利所有人則是打造DABUS系統的Stephen Thaler，成為全球第一個接受AI作為專利發明人的國家。此外，本周澳洲法院也<a href="https://www.judgments.fedcourt.gov.au/judgments/Judgments/fca/single/2021/2021fca0879" target="_blank">認為</a>，AI應可被視為專利發明人，要求澳洲專利局重新審核。</p> <p>DABUS的全名為「統一感知自動引導裝置」（Device for the Autonomous Bootstrapping of Unified Sentience），是由人工智慧專家Stephen Thaler所開發，Thaler已利用DABUS發明了食物容器與緊急手電筒，並向各國申請專利。</p> <p>只是，Thaler的專利申請行動到處碰壁，包括歐盟、英國專利局、美國專利局及澳洲專利局都已<a href="https://www.ithome.com.tw/news/137356" target="_blank">駁回</a>相關的申請，因為這些國家認為，只有自然人才有權取得專利，擔任專利發明人的角色。</p> <p>不過，南非專利局在上周接受了Thaler的專利申請，讓DABUS成為專利發明人，並由開發DABUS 的Thaler擔任專利所有人。</p> <p>此外，Thaler也不放棄地向各國法院提出上訴，本周澳洲法院的法官Beach J認為，AI應該可被視為專利發明人，並要求澳洲專利局重新審查此案。</p> <p>Beach J認為，發明人只是個代理名詞，它可以是人也可以是會發明的東西，而且有許多可申請專利的發明物並不是由人類發明的，也許只有人類才能成為專利所有人或控制者，但宣稱發明人只能是人類卻是一種謬論，發明人可以是一個人工智慧系統，但在這樣的狀況下，該系統不會成為發明物的所有人或控制者。</p> <p>總之，Beach J覺得澳洲專利局以發明人只能為人類而駁回相關專利的申請，是不被接受的，因而要求該局重審。</p> </div></div></div>
2021/8/4 02:42作者陳曉莉https://www.ithome.com.tw/news/145997
北美8成主要醫院所安裝的氣動輸送系統含有9個安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>裝置資安業者Armis本周<a href="https://www.armis.com/research/pwnedpiper" target="_blank">警告</a>，北美地區超過8成大醫院使用的氣動輸送管道系統（Pneumatic Tube Systems，PTS）含有9個安全漏洞，將允許駭客取得該系統面板的控制權。Armis此次的研究鎖定了由Swisslog Healthcare所打造的Translogic PTS。</p> <p>PTS或Translogic PTS是利用氣壓來輸送物品的管道系統，在醫院內部部署管道來快速運送實驗室標本、血液、病理測試及藥物等。Swisslog則是一家總部位於瑞士的物流自動化公司，不僅支援倉儲與配送中心的物流，也設立了專為醫療院所提供服務的Swisslog Healthcare事業部，主要產品即為Translogic PTS。除了北美有8成的主要醫院都採用了Translogic PTS之外，估計全球也有超過3,000家醫院安裝了Translogic PTS。</p> <p>這8個漏洞藏匿在Translogic PTS的韌體中，其中的CVE-2021-37163漏洞涉及使用者與管理者的固定密碼，只要在Nexus控制面板上登入Telnet伺服器即可存取；CVE-2021-37167則是個權限擴張漏洞，允許駭客以管理權限執行使用者的腳本程式； CVE-2021-37161、CVE-2021-37162、CVE-2021-37164及 CVE-2021-37165皆為記憶體毀損漏洞，可造成服務阻斷或遠端程式執行；CVE-2021-37166則是一涉及控制面板GUI程序的服務阻斷漏洞，CVE-2021-37160為一設計漏洞，原因為Nexus控制面板上的韌體更新是未加密的且無需認證等，也被視為此次所發現的漏洞中最嚴重的，駭客只要藉由韌體更新就能執行遠端程式攻擊。</p> <p>Armis把上述漏洞統稱為PwnedPiper漏洞，指出駭客只需傳送未經認證的網路封包，不需要任何使用者的互動就能觸動任何漏洞，開採PwnedPiper將允許駭客掌控Translogic PTS站，等於是取得目標醫院的PTS網路控制權，進一步執行勒索軟體攻擊或是外洩醫院的機密資訊。</p> <p>Armis在今年5月1日將漏洞報告提交給Swisslog，Swisslog亦已於Armis公布該報告前祭出Translogic PTS的韌體更新。</p> <p>Swisslog Healthcare隱私長Jennie McQuade<a href="https://www.swisslog-healthcare.com/en-us/company/news/2021/07/translogic-firmware-vulnerabilities" target="_blank">表示</a>，上述漏洞只在許多變數同時存在時才會出現，駭客要危害Translogic PTS站，必須先進入醫院的資訊網路，才能對Translogic PTS展開攻擊。</p> <p>Swisslog Healthcare已經修補了7個安全漏洞，針對尚未修補的漏洞也提供了緩解措施。此外，為了改善產品安全，Swisslog Healthcare承諾未來將會持續分析軟體程式碼、修補與測試系統的相容性及漏洞、定期評估與強化產品線、繼續與可靠的第三方合作，以及定期接受外部的產品、服務與安全性上的稽核。</p> </div></div></div>
2021/8/4 00:26作者陳曉莉https://www.ithome.com.tw/news/145993
臉書要求所有美國員工要戴口罩上班
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於上周<a href="https://www.ithome.com.tw/news/145918" target="_blank">要求</a>員工必須打完疫苗才能回公司上班之後，臉書本周一（8/2）再度宣布，回公司也必須戴口罩上班，新規定將於本周三（8/4）生效。</p> <p>臉書的作法與美國疫情再度升溫有關。雖然擁有充沛的疫苗資源，但迄今美國疫苗的覆蓋率尚低於60%，美國政府將疫苗接種停滯的原因怪罪於不實資訊的散布，此外，民眾對防疫的鬆懈則讓美國疫情再度升溫。</p> <p>臉書向<a href="https://www.theverge.com/2021/8/2/22606444/facebook-mask-requirement-employees-covid-19-delta?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">媒體</a>證實要求員工戴口罩上班的消息，指出員工與社區鄰居的健康及安全仍是該公司的首要之務，有鑑於COVID-19案例數量再度攀升、新的COVID-19變種，再加上各地政府的要求，使得臉書決定要求所有美國辦公室的員工必須戴口罩上班，不管是否已施打疫苗。</p> <p>之前進臉書辦公室上班的時候，只有未打疫苗的員工必須戴口罩，但打過疫苗則可拿下口罩，新的規定等於是要求所有員工都必須戴口罩，當然也包括約聘人員在內。</p> <p>事實上，在臉書要求員工必須戴口罩的同一天，美國舊金山灣區的衛生官員也<a href="https://sf.gov/sites/default/files/2021-08/8-02-21_Press%20Release_New%20HealthOrder%20Masking%20%281%29.pdf" target="_blank">宣布</a>特定地區的室內必須戴口罩，不管民眾是否打了疫苗。</p> </div></div></div>
2021/8/4 00:28作者陳曉莉https://www.ithome.com.tw/news/145995
Azure現在能自動分析VM故障原因，助用戶快速除錯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟現在讓Azure用戶可以了解虛擬機器發生原因的根本問題，藉由使用新的<a href="https://azure.microsoft.com/zh-tw/blog/advancing-azure-virtual-machine-availability-transparency/">根本原因分析</a>（Root Cause Analysis，RCA）引擎，解析Azure平臺設備和服務的遙測資料，經過關聯和歸因分析之後，對不同故障狀況給出根本原因解釋。</p> <p>現有的Azure資源健康狀態總覽功能，可以協助用戶診斷影響Azure服務的問題，該功能會提供當前和過去的運作狀況，顯示每個資源無法使用的時間，但是無法提供發生問題的潛在原因，而現在微軟強化Azure資源健康狀態總覽功能，以提供用戶更多有關於資源運作的狀況，以及導致問題發生的背景資訊。</p> <p>現在當虛擬機器發生可用性問題時，用戶除了可以快速獲得通知之外，當自動化根本原因分析（RCA）確定導致虛擬機器出現故障的Azure平臺元件，用戶便可查看調查細節。RCA引擎的原理和背後技術核心，源自於Azure資料總管（ADX），這是一個大規模日誌遙測分析系統，經最佳化所提供的資料服務，Azure資料總管能夠解析Azure平臺設備與服務的數TB日誌遙測資料，並且經過綜合分析後，給出故障的詳細資訊。</p> <p>自動化根本原因分析有幾個階段，第一階段是定義分析觸發事件，RCA需要確認虛擬機器是不是在非預期的情況下重新啟動，因此觸發事件便是從啟動狀態變成關閉狀態的轉換，微軟解釋，在大多數情況下，利用平臺遙測資料來辨識這些轉換很簡單，但是在部分類型的基礎設施故障時，便會很困難，而且平臺遙測可能會因為設備故障或是斷電而失效。為了處理這類型的故障，微軟必須使用其他類型的技術，像是資料丟失追蹤，來作為虛擬機器運作狀態轉換的可能指標。</p> <p>在確認觸發事件之後，接下來便要進行相關性分析，Azure平臺上的系統，包括主機或是儲存等各部分，都有各自的遙測饋送，RCA引擎需要對這些遙測資料進行解析，並找出與虛擬機器觸發事件的關聯，透過了解可能導致虛擬機器故障的底層系統相依關係圖，將所有相依系統的健康狀態整合在一起，過濾時間相近的虛擬機器轉換事件，來探索相關性。</p> <p>在相關性分析結束後，輸出會是一個資料集，來表示虛擬機器停機時間相關的平臺遙測資料，以提供判斷虛擬機器故障的可能原因。RCA引擎會根據這個資料集，應用歸因規則來解釋資訊，並將其轉換成為用戶能夠理解的訊息。</p> <p>最後一個階段則是將根本原因發布到Azure資源健康狀態總覽，供用戶查看故障的進一步資訊，微軟提到，因為資訊流可能會因為各種資料延遲，而推延出現的時間，所以在這個過程可能會偶爾更新分析資訊，以反映更具體更細節的根本原因。</p> </div></div></div>
2021/8/4 00:30作者李建興https://www.ithome.com.tw/news/145991
推特與美聯社、路透社合作打擊平臺上虛假資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特採取<a href="https://blog.twitter.com/en_us/topics/company/2021/bringing-more-reliable-context-to-conversations-on-twitter">新作為來打擊虛假訊息</a>，透過與美聯社和路透社合作，來擴大與促進推特平臺上可信訊息的曝光，藉此打擊虛假訊息。現在推特的策畫團隊，會在各種功能中，提供用戶相關背景資訊，來協助用戶們對看到的內容作出明智的判斷。</p> <p>當推特上出現大型且快速擴散的對話，而這些對話可能包含爭議、敏感內容，或是具有潛在誤導性資訊的時候，推特的策畫團隊便會根據可靠來源，來提供對話相關的背景資訊。用戶會在推特中的趨勢、探索頁籤、搜尋、提示和標籤功能獲取更多背景資訊和可信訊息。</p> <p>在趨勢功能中，策畫團隊對會利用Moment、單則推文或是人工描述，來為熱門趨勢下註解，為趨勢提供額外的背景資訊。探索頁籤針對每個用戶客製主題，展示推特正在發生的事情，現在則會包括由推特和第三方新聞組織創建的Moment以及趨勢。</p> <p>當用戶在推特上搜尋標籤或是字詞時，推特會自動將可信資源，顯示在搜尋結果頂端，試圖揭穿虛假訊息。而在可見度最高的事件中，像是選舉或是突發公共事件，推特會在探索頁籤和用戶的首頁時間軸中，顯示公共服務公告，來提升用戶對這些訊息，包括COVID-19大流行或是接種疫苗等可信資訊的了解。在部分時候，即便推文違反規則，但仍有可能出現在推特上，在這種情況，推文會被加上提示標籤，該標籤會連結到具有主題背景資訊的Moment或是規則頁面。</p> <p>藉由與美聯社和路透社的合作計畫，推特提高了在對話中添加背景資訊的能力，官方提到，該計畫能夠增加和改進他們共享背景資訊的能力。確保推特上出現的關鍵對話，都擁有足夠的可信資訊，尤其是在事實存在爭議的情況，或是推特的策畫團隊無特定專業，或是針對推特上的知名報導，無法得到更多的資訊時，這項合作將可以替推特用戶，帶來更多背景描述和可信報告。</p> <p>同時，推特也會主動提供引起用戶興趣的主題相關背景資訊，包括可能產生誤導性資訊的主題，根據公眾對話的節奏以及預期發展，進行預測且採取主動作為，避免推特上的錯誤訊息貼文成為病毒訊息傳播開來。與美聯社和路透社合作，也會結合推特既有的實驗計畫，像是讓推文可以對推文加入附加資訊的Birdwatch工具，推特也會將美聯社和路透社所提供的內容，應用在Birdwatch中。</p> <p>目前這項計畫還在初期階段，因此推特和美聯社、路透社的合作，目前僅針對英文內容，另外，這項計畫的範疇獨立於推特的安全團隊，所以美聯社和路透社不會參與政策執行，推文違反規則與否仍由安全團隊判定。</p> </div></div></div>
2021/8/4 02:18作者李建興https://www.ithome.com.tw/news/145994
民生公共物聯網推實驗網路專用頻段Band 20
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技部近期舉辦臺灣開放政府國家行動方案開放資料集平臺使用者線上研討會,其中負責整合跨部會民生公共物聯網提供資料服務的國研院國家高速網路與計算中心(以下簡稱國網中心)表示,政府已規畫Band 20作為我國民生公共物聯網的實驗網路專用頻段,未來民間業者或政府單位可申請使用該頻段,通過國網中心骨幹核心網路蒐集資料,並經由民生公共物聯網資料服務和外界分享資料,促進國內民生物聯網公私協力、資料共享。</p> <p>國網中心副主任,同時也是民生公共物聯網資料服務平臺計畫主持人林錫慶表示,民生公共物聯網在資料治理上,可分為通訊、資料本體、系統平臺及應用三個層面,每個層面各自面臨不同的挑戰。例如通訊網路面臨的挑戰,如何降低</p> <p>網路通訊成本就是一大難題,也缺少物聯網專用網路管理環境等。資料方面,包括如何降低儲存成本、資料傳輸協定不一、大多由公務部門建置。至於系統平臺及應用方面,包括資料分析及計算成本、資料模型的標準不一等。</p> <p>他表示,國網中心身為國家基礎建設的單位,目前已經完成一些基礎建設,以高速計算為例,國網中心已建置臺灣杉1、2、3號,這些運算能量足以提供外界分析計算所需要的能量。此外,國網中心也提供大量的儲存設施,包括新竹、臺中、臺南等地建置高效能、高容量儲存系統,共計超過120PB。而在網路方面,國網中心已有十幾年經營學研界網路的經驗,在全國佈建高頻寬高速網路串接所有學研界,例如100G國內骨幹,未來還可串接公部門。</p> <p>這些基礎建設架構一個較完整的雲服務平臺,涵蓋計算、儲存、網路串接、API服務。目前民生公共物聯網集結跨部會的資源及資料,目前民生公共物聯網資料服務,集合水資源、空氣、地震、災防等4個領域,共計14個部會、44項物聯網感測資料。</p> <p>以民眾關心的空氣品質為例,政府環保部門已建立空氣品質物聯網,除了過去大型空氣品質監測站外,還納入超過8,600個微型感測器的偵測資料,並加上經濟部、工研院、學校單位的加入,擴大空氣品質的整體監測環境,除了用於監測容易有高污染氣體排放的工業區及科學園區、工廠,作為環保單位稽查開罰的依據外,也將這些空品資料開放外界使用,讓民眾掌握每天生活中各地的空氣品質變化。</p> <p>目前國網中心建置的民生公共物聯網資料服務平臺,從 Sensor 端經過OGC SensorThings API為資料模型標準串接所有資料,並可提供資料API服務,採用SensorThingsAPI即時資料提供服務,並提供歷史資料下載服務,提供產學研界使用。</p> <p><span style="color:#B22222;"><strong>以Band 20作為民生公共物聯網的實驗網路專用頻段</strong></span></p> <p>除了這些基礎建設之外,鑑於民生公共物聯網在前端感測器使用的通訊網路仍有不足,具有公益性質的民生公共物聯網使用商用頻段架構,恐難以負荷高昂的通訊成本,因此政府規劃推動民生公共物聯網的實驗網路專用頻段,去年已將Band 20頻段規畫為民生公共物聯網的實驗網路專用頻段。根據交通部公布的 109 年無線電頻率供應計畫, 816到 821MHz ,以及 857 到862MHz ,上、下行共計10MHz,作為「民生公共物聯網實驗網路頻段」的專用頻譜,該頻段稱為Band 20。目前有興趣的業者或政府單位已可向NCC提出實驗網路專用頻段申請。</p> <p>為了支援Band 20民生公共物聯網實驗網路專用頻段,今年開始的4年前瞻基礎建設計畫,其中的數位建設將Band 20納入民生物聯網的實驗網路專用頻段,由國網中心負責建置Band 20骨幹核心網路服務設施。讓應用場域的感測裝置所蒐集的物聯網資料,透過Band 20頻段送到閘道器,經由國網中心的骨幹網路設施,匯整至民生公共物聯網資料服務,結合原本整合水資源、空氣品質、地震、災防的民生公共物聯網資料,擴大民生物聯網資料服務公私協力、資料分享。</p> <p>「希望這項實驗網路頻段計畫能彌補民生公共物聯網在通訊方面的痛點」,現在雖是實驗網路名義推動民生物聯網的專用頻段,但林錫慶期望,未來經過實驗評估效益,希望有機會成為民生物聯網專用頻段,促使國內民生物聯網蓬勃發展。</p> <p>由於Band 20的頻譜特性,該頻段適合用於網路通訊無法深入的偏遠地區,或是作為網路成本高昂的替代通訊方案。林錫慶說明,除了現有的4G、5G、有線網路之外,在通訊部分多了Band 20專用頻譜的選項,通過Small Cell建置為閘道器,串接到國網中心建置的骨幹網路核心設施,匯整各式各樣的資料,加上先前由官方建立的物聯網資料,未來希望能發展為公私協力的資料加值應用基地。</p> <p>至於Band 20如何應用在物聯網架構?林錫慶指出,從感測器經由Band20頻道將資料送到閘道器,再送到國網中心的骨幹網路,儘管是實驗網路,考量到資訊安全及專用網路的需要,國網中心會以VPN的方式串接,打造Band 20的專用實驗網路,和其他的網路區隔。NCC目前已開放業者向其申請使用該實驗網路專用頻段,但是要使用Band 20頻段,尚需相關業者或系統整合商提供支援該頻段的感測器、閘道器等設備,國網中心也需完成相關的骨幹網路、資料匯流準備,近期將接受其他業者的合作。</p> <p>獲得NCC審核通過的業者,可選擇與其他系統整合商合作以Band 20建構物聯網,或是和國網中心合作。林錫慶表示,透過國網中心骨幹網路將物聯網資料蒐整後,可利用國網中心提供的資源,進一步運用大數據分析、預測。未來國網中心寄望透過Band20實驗網路專用頻段,加強民生物聯網和產業、應用場域的聯合,從只有官方蒐整物聯網資料,在偏鄉或通訊未覆蓋的地點運用Band 20加強,搭配國網中心建立的基礎設施,讓產業界的IoT設備也能運用到各種場域,擴大蒐整更多的資料。</p> <p><span style="color:#B22222;"><strong>目前已在示範場域試驗</strong></span></p> <p>目前國網中心已和業者、地方政府合作,示範Band 20在場域的物聯網應用可能性。例如在雲林縣的甘薯契作農地,利用Band 20頻段,搭配Small Cell基地臺,在室外田地及溫室兩處,蒐集室內室外微氣候、土壤數據,再結合民生公共物聯網的大環境監測數據,供農家進階種植、溫室裁培的參考。</p> <p>另一個示範案例則應用在臺南市的水利防災,主要在臺南市易淹水熱區的平地及山區為示範場域,利用Band 20蒐集數據型資料之外,也整合影像資料,降低淹水警訊誤報的可能性。當偵測到發生淹水的第一時間,通知抽水站準備溫機、啟動抽水機,以快速因應淹水的防災應用。</p> <p>林錫慶希望在4年前瞻基礎建設計畫將Band 20納入民生公共物聯網實驗網路專用頻段之後,除了將無線頻譜資源透過競標讓民間電信業者使用之外,也能將部分公用頻譜資源用於民生公共物聯網等公共利益的用途,鼓勵業者或場域使用公共無線頻譜資源建置物聯網,並願意將資料貢獻出來,讓民生公共物聯網資料能夠更多更好。</p> <p>以空氣品質為例,除了政府環保部門主導建置的空氣品質監測網路,開放官方的空氣品質資料之外,未來如果民間業者或更多民眾使用公共無線頻譜,願意將特定場域的空氣品質感測資料也貢獻出來,增加對民生物聯網對環境空氣品質的掌握度,同時提供更多空氣品質資料開放外界運用。</p> <p>在前瞻基礎建設計畫的經費發揮帶動作用下,盼望能引起大家共鳴,「一起種資料、共享資料、創造價值」,林錫慶說。</p> </div></div></div>
2021/8/3 18:42作者蘇文彬https://www.ithome.com.tw/news/145996
Windows 10更新可單一指令安裝執行WSL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周<a href="https://devblogs.microsoft.com/commandline/install-wsl-with-a-single-command-now-available-in-windows-10-version-2004-and-higher/" target="_blank">宣布釋出</a>Windows 10 Insider Preview builds KB5004296，讓開發人員以單一指令安裝WSL（Windows Subsystem for Linux）。</p> <p>最新版Insider Preview build讓用戶只要執行wsl.exe –install指令，即可安裝執行WSL必要的元素。這項功能現在回溯移植（backported）到Windows 10 2004上。這意謂著，用戶PC必須具備Windows 10 2004以後版本，才能安裝這個預覽版本及取得這項功能。</p> <p>微軟Windows 開發者平臺計畫經理 Craig Loewen解釋，安裝WSL過去很麻煩，往往要啟動多項設定，安裝數個套件。現在這些都簡化成單一指令；使用者只需以管理員權限叫出命令提示字元（Command Prompt）視窗，執行「wsl.exe --install」，按下Enter後，安裝過程會自動啟動必要的WSL選項功能、預設安裝Ubuntu發行版，然後安裝最新WSL Linux核心版到用戶機器上。安裝完成後電腦重新啟動、再一次重新啟動就會完成安裝，而Ubuntu會自動登入。</p> <p>此外，使用者在PowerShell或命令提示字元下輸入wsl --list –online，也可以看到所有可安裝的Linux發行版清單。輸入wsl --install -d <DistroName>即可選擇想要的Linux發行版，在<DistroName>改成想要的Linux發行版名稱。這些指令可用於首次安裝，或是在已安裝Ubuntu後，安裝其他發行版。</p> <p>其他指令包括wsl—update指令手動更新Linux核心，用wsl-update rollback來回復到舊版核心。或是以wsl—status總覽WSL組態，像是預設Linux發行版、預設類型、以及實際安裝的Linux核心版等。</p> <p>要下載KB5004296預覽版，開啟Windows 設定中的「更新和安全」，選擇「檢查更新」即可，或是在Windows Update Catalogue<a href="https://www.catalog.update.microsoft.com/Search.aspx?q=KB5004296" target="_blank">手動下載</a>。</p> </div></div></div>
2021/8/3 12:34作者林妍溱https://www.ithome.com.tw/news/145989
法國在3名記者手機上發現間諜程式Pegasus入侵跡象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛報（The Guardian）於本周<a href="https://www.theguardian.com/news/2021/aug/02/pegasus-spyware-found-on-journalists-phones-french-intelligence-confirms" target="_blank">報導</a>，法國的網路安全局ANSSI在當地3個媒體記者的手機上發現間諜程式Pegasus的蹤跡，其中一家媒體已準備展開法律行動。</p> <p>ANSSI的調查始於非營利組織禁忌故事（Forbidden Stories）、國際特赦組織（Amnesty International）安全實驗室（Security Lab）與全球17個媒體在7月下旬發表的<a href="https://www.ithome.com.tw/news/145754" target="_blank">Pegasus專案調查報告</a>，指出它們握有一份多達5萬筆電話號碼的名單，為以色列駭客公司NSO Group的客戶鎖定的攻擊對象，企圖利用NSO所打造的Pegasus間諜程式滲透這些手機。</p> <p>該報告受到矚目的原因是，NSO標榜只提供駭客工具予用來打擊恐怖主義與犯罪行動的各國政府，但Pegasus專案卻發現，名單上不乏來自全球的記者、異議人士與政治家，估計名單上至少有180名記者。</p> <p>ANSSI的調查則顯示，法國的確有3名記者的手機曾被植入Pegasus，包括一名國際電視台France 24的資深記者，另外兩名記者則是來自法國調查網站Mediapart的Lénaïg Bredoux與Edwy Plenel。</p> <p>記者們對於手機被監控感到憤怒，也擔心會波及與之聯繫的各國消息來源，且該名隸屬於France 24電視台的資深記者手機曾分別在2019年5月、2020年9月及2021年1月被Pegasus入侵。根據報導，France 24電視台已準備採取法律行動。</p> <p>不只是記者，法國總統馬克宏（Emmanuel Macron），以及15名法國的前後任官員，都在名單上，只是ANSSI並未對外證實這些官員的手機是否曾被入侵。</p> <p>至於NSO則持續否認禁忌故事與國際特赦組織所拿到的名單，是客戶的Pegasus攻擊對象，並說馬克宏不會是任何客戶的攻擊目標，不過，以色列政府已開始<a href="https://www.ithome.com.tw/news/145929" target="_blank">調查NSO</a>，也召開了緊急會議來評估Pegasus專案對該國資安領域可能造成的影響。</p> </div></div></div>
2021/8/3 12:56作者陳曉莉https://www.ithome.com.tw/news/145990
【資安人才大聲公】資安工作最大成就感，7位前輩這樣說
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/Hn2ugXUAT8U" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>「讓客戶舒舒服服！」</p> <p>「成為世界第一個解開漏洞的人！」</p> <p>「從枝微末節發現大線索！」</p> <p>「把天上飛的理論，落地到不同的公司內！」</p> <p>這些都是資安前輩的成就感。資安是新常態數位世界最火紅的職缺，越是高度數位化，就更需要資訊安全，在資安職場工作的挑戰也越大，我們找來7位不同職務的資安前輩，從漏洞研究PM、漏洞分析師、紅隊隊長、開發主管、IoT威脅情資研究員、IR技術顧問，金融資安部門協理到電信業資安長。他/她們各自從自己的經驗和職務高度來告訴你，資安工作最大的成就是什麼</p> <p>若只聽一小段還不過癮，我們還有一系列他/她各自的資安工作經驗、職涯成長經歷的影片，不只是想要踏入資安領域的新手，對想要從IT跨界的IT人，也都很值得參考</p> <h3><strong>更多資安人才大聲公影片</strong></h3> <p><strong><a href="https://youtu.be/t5A8YyzOtXA">資安人才需具備哪些技能？台灣大資安長這樣建議</a></strong></p> <p><strong><a href="https://youtu.be/7VoAD5M8Dz4">金融資安人才最需要什麼能力？臺日跨國經驗的前輩告訴你</a></strong></p> <p><strong><a href="https://youtu.be/4c9ARdpWcaQ">IR工作有哪些挑戰？資安技術顧問公開第一線調查經驗</a></strong></p> <p><strong><a href="https://youtu.be/uwMBmyPDh_g">想把駭客攻擊當成正職？紅隊隊長點出新鮮人必懂這些</a></strong></p> <p><strong><a href="https://youtu.be/PurWQWFLvak">家電大廠IoT資安研究員，分享從IT跨足IoT資安第一手經驗</a></strong></p> <p><strong><a href="https://youtu.be/-OjrSyv4ce8">社群經驗如何練出資安PM關鍵能力？臺灣駭客協會首任秘書長告訴你</a></strong></p> <p><strong><a href="https://youtu.be/bZoHRSetHxs">玩社群學到駭客精神與斜槓力，11年技術社群老鳥經驗分享</a></strong></p> </div></div></div>
2021/8/3 10:14作者翁芊儒https://www.ithome.com.tw/news/145982
微軟Windows 365正式上線，月費20美元起跳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟7月中<a href="https://www.ithome.com.tw/news/145637" target="_blank">公布</a>的虛擬桌面雲端服務Windows 365昨（2）日<a href="https://www.microsoft.com/en-us/windows-365/all-pricing" target="_blank">正式上線</a>，微軟也公布了<a href="https://www.microsoft.com/en-us/windows-365/business/compare-plans-pricing" target="_blank">價格表</a>，最低每月20美元。</p> <p>Windows 365讓企業用戶利用瀏覽器即可在任何地方、以任何連網裝置，包括Android、Windows或iOS裝置存取Cloud PC，以執行Windows 10或下一代的Windows 11桌面、檔案和應用程式。</p> <p>在服務設計上Windows 365是將Windows與運算、記憶體、儲存包裹成不同級別的Cloud PC套件，並以人頭計價。Windows 365包含Enterprise及Business兩大類方案，各類都可再細分12種Cloud PC組態，使用者可依需求訂購需要的使用者人數。</p> <p>在7月中公布Windows 365當天，已有媒體發現到其中一種組態，包括2 CPU、4GB RAM和128GB儲存空間，每人每月收費31美元。</p> <p>根據本周公開的<a href="https://www.microsoft.com/en-us/windows-365/business/compare-plans-pricing" target="_blank">價目表</a>，最基本組態為1vCPU、2GB RAM、64GB雲端儲存及12GB對外連線頻寬，每月20美元。這項服務支援Web版Office App、Outlook和OneDrive。最高組態則為8vCPU、32GB RAM、512GB，每人月費162美元。所有組態都提供長達60天的免費試用期。</p> <p>Windows 365 Business版本不需要其他授權，即可在Windows365.com網站上購買，付費完成即可啟用。不需網域即可設定帳號，且以windows365.microsoft.com管理Cloud PC。Windows 365 Business最多可買300人授權。</p> <p>至於Windows 365 Enterprise則需具備Windows 10 Enterprise、Windows 11 Enterprise、Microsoft Endpoint Manager和Azure Active Directory P1授權。在以windows365.com買得授權後，Windows 365 Enterprise中的Cloud PC就可以微軟裝置管理員Endpoint Manager管理及調用。以Windows 365 Enterprise版本來說，企業可以採購無上限的用戶授權。</p> </div></div></div>
2021/8/3 11:06作者林妍溱https://www.ithome.com.tw/news/145984
IT是疫苗運送的守護者
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你接種COVID-19疫苗了嗎？最近在臉書上，頻頻看到許多人分享疫苗接種後的種種經歷，儼然出現了一股個人疫苗書寫的風氣。但你知道，疫苗從飛機運送到臺灣落地，通過檢驗封緘，一路層層保護，送達醫護人員手上來施打，全程得靠專屬的低溫冷鏈配送。為了避免運送過程出狀況，保存溫度不能過高，也不能太低，只要有一個保存箱出現溫度異常，疫苗接種就會少打一千人。</p> <p>如何做到每一瓶疫苗都不能浪費，IT扮演了非常關鍵的角色，甚至可以說，IT就是臺灣所有COVID-19疫苗運送過程的守護者。故事得從臺灣第一批疫苗完成檢驗封緘，展開配送的那一天開始說起。</p> <p>3月19日凌晨12點15分，第一輛載著臺灣首批COVID-19疫苗的配送車，從桃園倉庫出發，要運往臺東，讓當地防疫第一線的醫護人員施打。裕利醫藥資訊處處長費而隱帶著IT團隊，和物流作業團隊一起，專注的盯著儀表板上的數據，監看冷鏈配送全程的溫度變化，從出貨後，到達目的地前，每3分鐘就會更新，一有狀況，都可以隨時介入處理。一整天下來，裕利一共出動60輛物流車，順利完成任務，一瓶都沒有失溫，順利配送到全臺50多間醫療院所。</p> <p>不只是這一批，臺灣所有COVID-19疫苗配送，從送貨飛機在臺灣落地後，開始入庫、食藥署檢驗作業、上架、低溫儲存、檢貨、出貨到配送，全部都由這家百年老字號的跨國醫藥物流服務商接手，因為他們是唯一一家有能力依據不同疫苗保存溫度要求，提供冷鏈運送的物流業者。</p> <p>雖然過去運送過上千萬劑各類疫苗，但是為了這次COVID-19疫苗，目標要做到一劑都不浪費，裕利格外講究，不只結合IoT技術來監控溫度，還打造了新的COVID-19疫苗冷鏈物流系統。</p> <p>一般常見的疫苗運送方式，貨車會對車廂內的溫度進行監測，也會在儲存疫苗的每一個保存箱中，放入溫度監視片，來監控每一箱疫苗的保存溫度，一旦運送過程溫度超過警戒範圍，監視片就會變色。等到貨車到達目的地，司機交貨時會從保冷箱取出監視片，交給接貨的醫事人員驗收，確認顏色沒有改變才簽收，這代表了溫度正常，沒有影響到疫苗品質。</p> <p>可是這種作法有個問題，保冷箱若在運送過程出現溫度變化，但沒有反映在車廂溫度上，司機當下就無法察覺，要等到交貨時才發現，可是這時發現為時已晚，這一箱溫度異常的疫苗得直接報廢，不能施打。若以第一批疫苗每個保冷箱可以裝10盒疫苗來計算，一盒10支，一支10劑，一箱損失就等於浪費了約一千劑的用量，等於疫苗接種會少打了一千人。</p> <p>裕利改用新作法，在每個疫苗保冷箱裝上藍牙溫度計，可以每分鐘量測到箱內溫度，透過藍牙與車上的工業級4G閘道器連線。4G閘道器接收到藍牙分享的溫度數據之後，再利用行動網路回傳到後端系統上，再結合車上GPS，裕利可以知道每一輛車在每一趟配送過程的全程溫度變化，直接在COVID-19疫苗冷鏈物流系統的儀表板上一覽無遺，每3分鐘就會更新疫苗溫度的最新資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1035cover2p2p3-960-tu_pian_lai_yuan_-yu_li_yi_yao_%5B1%5D.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／裕利醫藥</span></p> <p>甚至，一旦某一個保存箱的溫度超過警戒值，還會自動透過Line發布溫度異常通報，運送的司機也能馬上得知，趕快停車來補救，避免造成失溫的影響。第一批疫苗配送，裕利一共部署近200支藍牙溫度計，配置到60輛物流車。</p> <p>當然不止這一批，至今超過7百萬劑疫苗的運送都是如此，借助IT技術，層層監控和保護之下來運送。這正是我們這一期的<a href="http://www.ithome.com.tw/article/145938" target="_blank">封面故事「COVID-19疫苗冷鏈運輸大作戰」</a>，也是裕利在臺疫苗冷鏈幕後機制首度大公開。</p> <p><a href="https://www.ithome.com.tw/article/145938" target="_blank"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span></strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1036-feng_mian_p1-open-zhi_hao_-960x420.png?itok=FpyZMD4k" style="width: 570px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/covid-19">COVID-19</a></div><div class="field-item even"><a href="/tags/%E7%96%AB%E8%8B%97">疫苗</a></div><div class="field-item odd"><a href="/tags/%E5%86%B7%E9%8F%88%E7%89%A9%E6%B5%81">冷鏈物流</a></div><div class="field-item even"><a href="/tags/%E9%81%8B%E8%BC%B8">運輸</a></div><div class="field-item odd"><a href="/tags/%E6%8A%97%E7%96%AB">抗疫</a></div><div class="field-item even"><a href="/tags/%E4%B8%80%E8%B5%B7%E6%8A%97%E7%96%AB%E9%9D%A0it">一起抗疫靠IT</a></div><div class="field-item odd"><a href="/tags/%E7%A7%91%E6%8A%80%E9%98%B2%E7%96%AB%E6%83%85%E5%A0%B1%E7%AB%99">科技防疫情報站</a></div><div class="field-item even"><a href="/tags/%E8%A3%95%E5%88%A9">裕利</a></div><div class="field-item odd"><a href="/tags/%E9%86%AB%E8%97%A5%E7%89%A9%E6%B5%81">醫藥物流</a></div><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B">數位轉型</a></div></div></div>
2021/8/3 01:10作者王宏仁https://www.ithome.com.tw/voice/145981
臉書開源模組化機器人開發平臺Droidlet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書發布一個稱為<a href="https://ai.facebook.com/blog/droidlet-a-one-stop-shop-for-modularly-building-intelligent-agents">Droidlet</a>的機器人開發平臺，希望推進機器人的發展，使得專業人士甚至是業餘愛好者，都能夠建構出更智慧的機器人。Droidlet是一個模組化、異構的人型代理架構，集結自然語言處理、電腦視覺和機器人技術來建構人型代理的平臺，官方提到，Droidlet簡化了將先進機器學習演算法，整合到人型系統與機器人技術的過程，可以加快機器人雛形開發。</p> <p>雖然現在的機器人可以透過程式開發，執行吸塵打掃或是表演預設舞蹈等任務，但是機器人卻缺乏實際對這個世界的了解，他們無法理解為什麼他們被設計成撞到椅子的時候後退，甚至無法理解椅子是什麼。臉書希望可以推展機器人的研究，因而開發了Droidlet，該平臺讓研究人員可以簡單地開發，在現實事件或Minecraft、Habitat等虛擬環境中完成複雜任務的代理</p> <p>Droidlet所開發出來的代理，能夠回應像是「拿起鮑伯坐的絨毛椅子旁的藍色管子」這種複雜的語音指令，在Droidlet中，臉書並非把代理視為單體，而是一組元件，其中部分為啟發式元件，而有一些則是學習式元件。當越來越多人使用Droidlet，並且改進平臺上的元件，就有越多研究人員獲得助益，使用這些他人改進或是開發的元件，能夠加速機器人開發的速度。</p> <p>官方解釋，Droidlet異構設計可以讓擴展變得簡單，像是當元件有龐大訓練資料可用時，就能使用龐大資料進行訓練，而開發人員也可以使用複雜的啟發式方法，又或是考量方便性，使用靜態的資料訓練元件。這種架構使研究人員可以根據每個機器人的物理架構、感測器，改變使用的模組，進而在不同的機器人硬體上，應用相同的智慧代理。</p> <p>Droidlet能夠減少將機器學習模型或是新功能整合到機器人系統中的困難，這些模組都可以獨立於主要代理運作，Droidlet提供了互動式儀表板，研究人員可以在建構代理時，將其用作操作介面，進行除錯或是視覺化等目的，而且就像是Droidlet平臺的其他部分，儀表板也是模組化設計，供研究人員添加新的小元件或是工具。</p> </div></div></div>
2021/8/2 22:23作者李建興https://www.ithome.com.tw/news/145977
Azure應用程式閘道新增網頁機器人防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周<a href="https://azure.microsoft.com/en-us/updates/general-availability-web-application-firewall-waf-bot-protection-on-application-gateway/" target="_blank">宣布</a>，Azure應用程式閘道（Application Gateway）服務新增防止網頁機器人（bot）的功能，可封鎖來自特定IP的網頁機器人程式。</p> <p>網頁機器人可能被用來從事各種惡意行為，包括像<a href="https://www.ithome.com.tw/news/143702" target="_blank">臉書</a>今年初被網頁抓取（web scraping）行為竊走數百萬用戶個資，或是從網際網路掃瞄網頁應用漏洞等。</p> <p>Azure應用程式閘道新增的防網頁機器人功能來自網頁應用防火牆（Web Application Firewall，WAF），可讓使用者利用WAF的防護規則，來封鎖或紀錄特定來自已知惡意IP位址的呼叫。在有呼叫連線時，IP位址會根據微軟威脅情報（Microsoft Threat Intelligence）更新的名單過濾；一旦比對有問題就會予以封鎖。</p> <p>WAF規則也可以配合OWASP（Open Web Application Security Project）核心規則集（Core Rule Set，CRS）整合使用，提供多一層防護。</p> </div></div></div>
2021/8/2 21:34作者林妍溱https://www.ithome.com.tw/news/145978
美國SEC決定加強審查中國企業的IPO申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國證券交易委員會（SEC）主席Chair Gary Gensler在上周五（7/30）<a href="https://www.sec.gov/news/public-statement/gensler-2021-07-30" target="_blank">指出</a>，將要求團隊加強審視中國企業赴美首次發行股票（IPO）的申請，特別是重大資訊的揭露，以保障美國的投資人。雖然Gensler並未指明道姓，但外界相信此一宣布與<a href="https://www.ithome.com.tw/news/145465" target="_blank">滴滴出行</a>最近的風波有關。</p> <p>中國共乘服務龍頭滴滴出行在今年6月30日，以14美元的發行價登上美國紐約股市，但中國政府在7月2日就開始針對滴滴出行展開審查，禁止新用戶註冊，繼之於7月4日將滴滴出行自境內的所有市集下架，再於7月10日修訂《網路安全審查法》，<a href="https://www.ithome.com.tw/news/145581" target="_blank">明文規定</a>擁有逾100萬用戶的中國企業若要至海外上市，必須先通過境內的網路安全審查，外傳滴滴出行是在未取得中國政府的同意下便於美國上市，才落得被強力打壓的下場。</p> <p>滴滴出行的股價在上市的前兩天一度曾漲到16.4美元，但隨著遭到中國審查，最低曾下滑到8.4美元，上周五的收盤價則是10.31美元。</p> <p>Gensler指出，近日中國政府對於境內企業要到國外上市祭出了新規定，包括《網路安全審查法》在內。由於中國有許多類別的企業不允許擁有外資持股，也不得直接登上國外股市，因此，許多中國業者都利用可變利益實體（Variable Interest Entities，VIE）的架構至海外市場募資，亦即在開曼群島等地建立離岸空殼公司，由空殼公司與中國企業簽署服務或其它合約，也由空殼公司發行股票，雖然空殼公司沒有取得中國企業的實際股權，卻能將中國企業計入其財報中。</p> <p>然而，美國的投資人雖然可藉由空殼公司所發行的股票來投資中國企業，但不管是投資人或是空殼公司，實際上都未握有該中國企業的股票。</p> <p>Gensler擔心，一般的投資人並不了解他們所持有的股票只是空殼公司而非中國企業的，因而要求SEC團隊必須確定這些空殼公司是否清楚地向投資人揭露此事，而且相關的投資可能面臨來自中國政策變更的不確定性，空殼公司更必須公開與中國企業之間的財務關係。</p> <p>除了希望投資人了解VIE架構之外，Gensler也督促團隊應該嚴格審查這些企圖至美國發行股票的中國業者，是否取得中國政府的同意，而且不管中國同意與否，都應該要對外揭露。</p> </div></div></div>
2021/8/2 22:13作者陳曉莉https://www.ithome.com.tw/news/145979
Stripe開源可增加Ruby程式效能的Sorbet編譯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上支付服務Stripe在GitHub上，開源其生產環境正在使用的<a href="https://sorbet.org/blog/2021/07/30/open-sourcing-sorbet-compiler">Sorbet編譯器</a>，該編譯器使用Sorbet和LLVM，根據Ruby原始碼檔案產生符合Ruby的C擴充套件API。目前這個編譯器仍處於實驗階段，雖然Sorbet編譯器與Sorbet在同一個儲存庫中，但是並不影響Sorbet的內容，Sorbet也不依賴Sorbet編譯器，官方目前並沒有計畫要釋出預建置的Sorbet編譯器二進位檔案。</p> <p>Stripe在2019年的時候，開源了Ruby類型檢查工具Sorbet，Sorbet能夠靜態分析專案程式碼，以找出類型不一致的錯誤，並且在程式執行時動態檢測類型，以發現Ruby程式中所存在的安全性風險。由於Stripe中絕大多數的程式碼都是由Ruby撰寫而成，因此Stripe進行了多項能夠提高Ruby效能與安全性的專案，Sorbet編譯器便是其中一項，過去Sorbet編譯器的程式碼放在私有儲存庫，只與少數對象共享，但因為更新專案手續麻煩，因此Stripe決定將編譯器開源在Sorbet儲存庫中，以方便與Sorbet共用同一個內部資料結構。</p> <p>Stripe的主要產品是API，他們必須壓低延遲來提供更好的服務，Stripe採取兩個策略降低延遲，除了減少I/O時間，他們也著手加速運算時間，而建構Sorbet編譯器，是他們加速Ruby程式的解決方案之一。之所以將Sorbet編譯器設計為AOT（Ahead-Of-Time）而非JIT編譯器，官方提到，是因為不需要將整個語言Runtime都部署到生產環境，使用AOT編譯器，就只要在CI階段中使用，經過編譯的構件，也可以剛好適用於現有的建置工作管線，即便發生問題，可以停止載入有問題的編譯構件，讓Ruby虛擬機器執行原始程式碼就可以減輕問題帶來的影響。</p> <p>AOT編譯器在概念上更簡單，Stripe認為，實作一個能夠改進效能的AOT編譯器，比起JIT編譯器所花費的時間更少。而且使用Sorbet對專案進行類型檢查，AOT編譯器就可以使用Sorbet所產生的靜態類型資訊，雖然JIT在執行時也能觀察類型，來得知編碼的方式，但是以Stripe的用例來說，Ruby程式碼庫大量使用Sorbet，因此使用靜態類型資訊有其優勢。</p> <p>Sorbet編譯器產生Ruby原生擴充套件，這些套件能夠與其他Ruby程式碼互通，因此使用Sorbet編譯器不需要放棄Ruby虛擬機器，並且可以繼續使用現有的Gems和擴充套件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/sorbet-compiler-high-level.png" style="width: 580px;" /></p> <p>Sorbet編譯器建基在LLVM和現有的Ruby虛擬機器之上，當編譯程式碼的時候，起點從普通的*.rb程式碼檔案開始，這些檔案會進入到Sorbet中進行類型檢查，類型檢查的輸出為自定義中間語言（Intermediate Representation，IR），Sorbet編譯器使用這些IR來生成LLVM IR，LLVM接著使用LLVM IR來產生原生共用物件*.so檔案，這些共用物件就是Ruby原生擴充套件，符合且使用與Gems相同的API，也就是說，編譯後的構件，使用與其他Ruby程式碼相同的物件模型和Runtime表示。</p> <p>目前Stripe已經在內部的生產環境，使用Sorbet編譯器約1年的時間，程式碼增加的效能，根據不同工作負載而有所差異，Stripe並沒有分享更多效能資訊，但是在程式碼庫中，提供了一些綜合基準檢查，但官方提到，這些基準測試並沒有代表性，只能用來除錯和減少效能問題。</p> </div></div></div>
2021/8/2 22:20作者李建興https://www.ithome.com.tw/news/145973
電信線上申辦簡易遭網路犯罪利用，自動扣繳直接盜取民眾存款，警方表示多達160人受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自臺灣疫情升至三級警戒以來，不只是網路個資詐騙事件呈現倍增趨勢，各大電信業者推動的線上申辦業務，竟也成為不肖份子申辦人頭門號的捷徑。刑事警察局在7月23日宣布偵破一起網路犯罪事件，逮捕9名嫌犯，其手法是利用民眾對於網路詐騙缺乏資安意識，以及各家電信業者線上門號申辦業務身分審查機制的不足，之後再藉由小額付款買點數轉售牟利，目前有160人受害，並有單一受害者損失48萬元的情形。</p> <h3><strong>嫌犯採用網路釣魚手法，騙取民眾證件</strong></h3> <p>根據刑事警察局的調查，這些嫌犯先取得了被害人的銀行帳號、身分證等識別資料，再利用這些個人身分文件，到其他電信業者線上門號申辦服務，而對於這樣的身分冒用行為，電信業者並沒有發現異狀，僅審查身分證號與換發日期即通過認證，之後便寄發SIM卡，透過物流業者讓申請者至指定超商取件。</p> <p>接下來，這些犯案者便可透過取得的冒用電信門號，利用電信小額付費機制，購買Google Play、Apple App Store等虛擬點數，再轉售予不知情民眾以牟利變現。</p> <p>警方之所以偵辦這起案件，是因為在2020年6月接獲報案，有民眾表示銀行存款遭不明扣款購買遊戲點數，事後發現，原來是證件遭他人偽造申辦人頭門號，因此電信偵查大隊與新竹市警察局第一分局共組專案小組，循線擴大追查。而這項調查結果顯示，被害人數超過160人，並造成200多萬元的財物損失，而警方也查獲張姓主嫌、許姓遊戲點數商共9人。</p> <p>其實，這起事件在不少環節上，都有值得重視的資安議題，包括嫌犯如何取得民眾證件，以及電信線上門號申辦漏洞是否普遍情形等。為此，我們聯繫到刑事警察局電信偵察大隊隊長莊明雄，想進一步了解細節。</p> <p>他表示，坊間有很多釣魚網站，包括假投資網站、求職或中獎網站，假借各種名義騙取民眾提供雙證件與銀行帳號的照片，例如，中獎需要核對身分與匯款帳戶等才能兌獎，因此騙取到民眾拍攝的彩色證件照片畫面。</p> <p>莊明雄並指出，自從疫情開始，特別是最近三級警戒後，他們發現釣魚網站有倍增的跡象。</p> <p>對於普遍民眾而言，因資安意識不足而誤信釣魚網站，而且在提供敏感個人資訊與證件時，沒有再三確認對方身分，是這起事件最初的問題。</p> <p>當然，民眾還要注意的面向很多。例如，有人會拍攝證件並上傳雲端硬碟，過去警方曾偵破民眾Google帳戶密碼設定得不夠安全，而被嘗試破解成功的事件，導致雲端硬碟被看光光，自己拍攝的證件照片也會被他人取得；此外，臺灣有很多業務需要雙證件臨櫃辦理，但為了大家方便，也出現代辦業者提供服務，造成更多證件資訊外流的風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%9B%BB%E4%BF%A1%E7%B7%9A%E4%B8%8A%E7%94%B3%E5%A0%B1%E6%BC%8F%E6%B4%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%80.jpg" style="width: 600px;" /></p> <blockquote><p>刑事警察局電信偵查大隊第一隊與新竹市警察局第一分局，在7月16日宣布查獲9名嫌犯，以及手機、SIM卡及雲端硬碟資料（民眾雙證件及金融帳戶影本）等電磁紀錄，指出張姓主嫌取得被害人銀行帳號、身分證等證件，然後以偽造證件上傳各電信業者線上門市，值得注意的是，由於業者僅審查身分證號及換發日期，致犯嫌順利通過認證，之後，冒名的嫌犯到指定超商取件獲得SIM卡，再透過電信小額付費詐買GooglePlay、AppleStore虛擬點數，並轉售予不知情民眾牟利變現。</p> </blockquote> <h3><strong>線上申辦身分查核程序有機可乘，若交由超商取件也有瑕疵</strong></h3> <p>關於這次線上申辦門號漏洞的情形，莊明雄表示，從這次嫌犯的申辦結果來看，各大電信業者都存在這樣的情形，在線上申請的身分審核時，只檢查身分證號與換發日期，使得嫌犯持假冒身分證件上傳，就能冒名並取得SIM卡。</p> <p>在此同時，由於手機門號已成為民眾身分識別重要條件之一，關於這類線上申辦門號的漏洞，值得國內重視。</p> <p>舉例來說，近年國際發生許多SIM卡劫持事件，有不肖份子假冒用戶名義，向電信公司謊稱SIM卡遺失，因此對方可先購買空白SIM卡方式，再透過電話與電信業者客服核對身分後，就能將原用戶的電話號碼，轉換至不肖分子持有的空白SIM卡。當時，我們曾詢問資安專家為何臺灣不常見到這類事件，他們表示，主要是臺灣SIM卡遺失，通常會本人持雙證件至電信門市辦理。</p> <p>若真如此，按理來說，這次事件應該很難發生。莊明雄表示，疫情升溫，現在電信業者也順應潮流，加大推動線上申辦的力道，並給予比臨櫃辦理更優惠的方案，而發生了這樣的事件，也等於是因為疫情而帶來另一種資安衝擊。</p> <p>不過，本次事件還有一個更關鍵的部分，值得關注，那就是：電信業的銀行帳戶自動扣繳。莊明雄表示，有一受害人因存款較多，直到被扣款達48萬元，才發現自己的銀行帳戶，出現非自己所用電信公司的扣款活動。</p> <p>畢竟人頭帳戶與利用小額付款機制早有不少，但這次嫌犯還會騙取銀行帳戶，並利用電信業者提供的線上申辦自動扣繳，相當少見。</p> <p>電信繳費設定自動扣款真有如此容易？若是經由傳統的紙本申請，通常銀行收到顧客在電信業的委託，應該是要核對客戶印鑑；但如果是線上立即申請，在電信業與金融業者之間的線上審查，似乎仍不夠嚴謹。而在本起存款盜領事件裡面，是否因為這些業者的身分認證機制相對簡易，又彼此互信，才使得嫌犯有機可乘，單一受害者的金額也較大，相關細節有待釐清。</p> <p>不僅如此，這次事件還有其他環節同樣出現身分驗證問題。例如，透過物流管道進行的顧客身分驗證，也可能有資安破口，莊明雄表示，這次嫌犯使用超商取件方式，領取手機門號SIM卡，但超商店員在進行交貨時，可能只是稍微看一眼對方的證件（或者沒看），就完成確認，這是另一破口。</p> <p>以往有業者採行的作法，是要求配合的物流公司人員，宅配到府時必須檢查收件人雙證件，才能讓消費者領取SIM卡並繳交申請書寄回，而現在的電信業者提供了超商取貨的身分驗證方式，看似方便，但過程中能否落實相關的要求，可能會是問題——我們無法要求工作任務繁多的超商店員，都能做到詳細的查核。</p> <p>對於這次電信業在線上申辦方面的漏洞，莊明雄認為，目前電信業尚未提出很好的因應方式，至於民眾受到的損失，他表示會由電信業者吸收。但是，這已產生更多的金融秩序干擾，以及耗費社會成本。</p> <p>因此警方也提醒，電信門號已具備類實名角色，電信業者審查機制若出現漏洞，易遭人利用施行詐騙，同時也呼籲民眾，勿聽信來路不明的假求職、假中獎等情節，更不可擅自將個人證件、銀行存摺提供給第三人，避免銀行帳號遭盜用，以及善用165管道查證。</p> <p>無論如何，利用電信小額付費機制的詐騙手法，多年以來一直都存在，這次事件卻出現大規模受害者，讓人意外，但也突顯出幾個資安議題，像是前面提到的線上申辦的身分查核漏洞，線上申辦自動扣繳的審查機制，以及遠距領取手機門號SIM卡的過程，可能都需要更嚴謹的作法或配套來因應。</p> <p>同時，還有配套的權限差異議題，例如，有金融業的作法，在線上申辦數位帳戶的權限上，資金只進不出，僅限定本人帳戶轉帳，有別於臨櫃申辦銀行帳戶的權限，對於線上申辦的權限是否需限縮，這些也都值得相關單位與各界重視。</p> </div></div></div>
2021/8/2 18:48作者羅正漢https://www.ithome.com.tw/news/145976
小米取代蘋果成Q2全球第2大智慧型手機廠商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市調機構<a href="https://www.counterpointresearch.com/apple-achieves-record-june-quarter-shipments-xiaomi-becomes-second-largest-smartphone-brand-globally/" target="_blank">Counterpoint</a>資料顯示，中國業者小米擠下蘋果，拿下第2季全球第2大智慧型手機廠商的位子。</p> <p>根據Counterpoint的數據，上季全球智慧型手機出貨3.3億支，較去年同期成長19%，但比第1季則衰退7%。分析師指出，衰退原因主要來自元件供應持續短缺，以及歐洲與亞洲因為COVID-19疫情啟動或持續封鎖。但是多個主要市場疫苗接種的普及避免封城，則促使上季的營收年成長19%。</p> <p>在個別手機廠商部份，三星仍然居冠，但是領先幅度已逐漸縮小。三星飽受越南生產線在疫情中停頓，以及拉丁美洲、印度及東南亞需求萎縮所苦，市占較去年同期下滑來到18%。小米在中國、東南亞及歐洲掠取三星及華為版圖，出貨年增106%，擠下蘋果成為第二大廠。Oppo（中國以外）海外市場出貨成長，vivo連二季稱霸中國市場，延續上季的四、五名位置。</p> <p>蘋果雖然滑落到第三名，但其iPhone 12第2季出貨及供應皆維持高檔，反而創下史上成績最好的第2季業績，且iPhone 12的高定價策略也讓蘋果囊括上季智慧型手機業界41%的營收，創下歷史新高。Redmi Note和 Mi 11等中階手機海外表現亮麗，讓小米不僅出貨大增，也成為前五大業者中唯一連續幾季營收持續成長的業者。龍頭三星則占15%。</p> </div></div></div>
2021/8/2 16:26作者林妍溱https://www.ithome.com.tw/news/145968
老舊的Android裝置即將無法再登入Google帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/android/thread/118703101/sign-in-on-android-devices-running-android-2-3-7-or-lower-will-not-be-allowed-starting-september-27?hl=en" target="_blank">Google上周宣布</a>，從今年9月27日開始，採用Android 2.3.7或更早版本的Android裝置將無法再登入Google帳號，包括Gmail、YouTube或Google Maps，屆時當使用者企圖於這些裝置上的相關程式登入Google帳號時，將會收到用戶名稱或密碼錯誤的訊息。不過，使用者依然可以利用這些裝置上的瀏覽器登入並存取上述服務。</p> <p>Google表示，這是為了保護使用者的安全，因此決定在Android 2.3.7及之前的版本，終止對登入Google帳號的支援。</p> <p>老舊Android裝置用戶可透過手機的設定功能~>系統~>進階~>系統更新，來查看裝置所安裝的Android版本，假使裝置依然能夠升級作業系統，那麼只要升級到Android 3.0及以上，就能繼續使用Google帳號來登入Google相關程式。</p> <p>若裝置已無法再升級，那麼使用者就只能透過裝置上的瀏覽器，來存取與登入Google服務，無法再利用程式存取及登入。</p> </div></div></div>
2021/8/2 16:34作者陳曉莉https://www.ithome.com.tw/news/145969
48個組織要求FTC禁止企業監控行為，點名Amazon Ring、Alexa
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>包括Fight for the Future、Constitutional Alliance與Consumer Federation of America在內的48個美國維權組織，上周<a href="https://athenaforall.medium.com/ftc-surveillance-letter-efc225d028ab" target="_blank">向美國聯邦交易委員會（Federal Trade Commission，FTC）陳情</a>，要求FTC透過其制定規則的權力，禁止企業使用人臉辨識技術，或是在公共場所進行連續性的監控，以及扼止整個產業的資料濫用行為。</p> <p>這些組織率先點名了Amazon，指稱Amazon利用無處不在的監控技術，掌握了人們的隱私，取得了洞察力，再利用這些資料壯大自己的壟斷地位。</p> <p>例如光是Amazon Ring家用保全家族，就含有錄影門鈴、監視器、信箱感應器、汽車攝影機，也計畫推出室內無人機，這些裝置不僅監控購買者的家中，也監控了公共區域及私人領域，包括從家門前路過的遛狗者，或是鄰居的院子。</p> <p>它們也認為Amazon的語音數位助理Alexa及相關裝置Echo，以及允許Amazon裝置用戶之間以藍牙通訊及分享寬頻的Amazon Sidewalk專案，皆蒐集了大量的民眾隱私，替Amazon帶來巨量資料的效益。</p> <p>不管是蒐集了使用者的隱私，或是延伸到觸犯他人的隱私，不僅助長Amazon維持其壟斷地位，還增加了用戶的隱私與安全風險。原因之一是這些服務或裝置偶有安全漏洞，使得駭客得以存取民眾隱私，原因之二則是Amazon以安全為由，會與警方及消防隊分享所蒐集的資料。</p> <p>儘管Amazon提供用戶退出特定服務的權利，以阻止該公司利用所蒐集的資料進行生物辨識或AI訓練，但維權組織認為，消費者與Amazon之間的勢力太過懸殊，消費者幾乎缺乏討價還價的能力，只能被動接受Amazon所提出的條款。</p> <p>因此，制定規則才是阻止這類系統性監控與資料分享的行為，且不只是針對Amazon，相關規定也應適用於任何蒐集、使用、銷售或共享個人資料的實體。</p> </div></div></div>
2021/8/2 16:42作者陳曉莉https://www.ithome.com.tw/news/145970
微軟：Windows 11硬體要求無法被繞過
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月底公布、預計10月推出的Windows 11，最令用戶驚訝的是超高的硬體要求，因而有人開始尋求繞過這些規格約束。<a href="https://www.youtube.com/watch?v=y7rEtZ6Othg" target="_blank">但上周微軟證實</a>過去在Windows 10上允許強制安裝的作法，在安裝Windows 11時則行不通。</p> <p>微軟公布跑Windows 11的硬體要求，至少需要搭載Intel第8代處理器、AMD Zen 2，或是Qualcomm 7/8 Series以上，都是支援TPM 2.0的產品。微軟的理由是為了提供用戶硬體信任根（hardware root-of-trust）的安全保障。但是普遍認為這個標準太嚴苛，一些使用者紛紛尋求破解之道。</p> <p>Windows內建的硬體分析工具，名為PC Health Check，會先蒐集用戶電腦資訊，檢查是否符合安裝Windows 11的要求。如果使用者硬體規格不符合，也不會接到Windows Update通知，以下載新版Windows 10更新或Windows 11的通知。</p> <p>微軟公布的影片中，微軟人員說明，這名為safeguard的保護機制，原意在防止PC安裝新版本Windows，因為這表示用戶電腦極可能安裝Windows 10或Windows 11後發生不良問題。在Windows 10之中，用戶可經由修改群組政策或是Intune中的CSP（configuration service provider），來關閉這個safeguard以強制安裝更新，繞過safeguard機制。</p> <p>但微軟表示，基於安全及穩定理由，不再允許修改群組政策或CSP繞過檢查下載Windows 11的方法。</p> <p>但若是使用者真的找到方法強制安裝，而且真的出現問題的話，微軟的態度就比較通融了。微軟表示，一如在Windows 10上，安裝Windows 11失敗的使用者，利用Intune的CSP、Windows 中的組態管理員或是本地部署（on-premise）管理工具，就可以回復到原本Windows 10作業系統。</p> </div></div></div>
2021/8/2 16:53作者林妍溱https://www.ithome.com.tw/news/145974
Amazon因違反GDPR面臨7.46億歐元的罰款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon在上周提交給美國證券交易委員會<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001018724/cbae1abf-eddb-4451-9186-6753b02cc4eb.pdf" target="_blank">（SEC）的10-Q季報</a>中揭露，盧森堡的國家資料保護委員會（National Commission for Data Protection，CNPD）以Amazon違反歐盟隱私法GDPR為由，在今年7月16日判罰Amazon高達7.46億歐元的罰款，並要求Amazon改善，不過，Amazon認為此一處分是毫無根據的，打算捍衛到底。</p> <p>此案的由來為法國隱私捍衛組織La Quadrature du Net在2018年，代表1萬名歐洲人集體控告Amazon侵犯個人隱私，<a href="https://www.laquadrature.net/2021/07/30/amende-de-746-millions-deuros-contre-amazon-suite-a-nos-plaintes-collectives/" target="_blank">指控Amazon</a>的目標式廣告行為並未事先取得用戶同意。</p> <p>其實CNPD的官網並未公布此一判決，在該判決於Amazon 10-Q季報中曝光後，Amazon向媒體表示，該公司並未發生資料外洩事件，也沒有將客戶的資料曝露給任何第三方，極不同意CNPD的判決，將會提出上訴。</p> <p>此外，Amazon也解釋，CNPD認為Amazon向客戶展示關聯性廣告的方式，取決於對GDPR的主觀判斷及未經測試的解釋，且就算CNPD的解釋是正確的，其罰款數目也完全不成比例。</p> <p>CNPD對Amazon祭出的罰款的確引起外界的關注，因為迄今GDPR罰款的最高紀錄保持人是Google，<a href="https://www.ithome.com.tw/news/128391" target="_blank">Google在2019年</a>被法國資料主管機關CNIL判罰5,000萬歐元，原因是Google對於如何處理用戶個資的說明不夠透明。</p> </div></div></div>
2021/8/2 16:58作者陳曉莉https://www.ithome.com.tw/news/145975
Google Cloud加入SAP RISE軟體訂閱方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年初公布軟體訂閱方案<a href="https://www.ithome.com.tw/news/142510" target="_blank">RISE with SAP</a>後，本周<a href="https://news.sap.com/2021/07/google-cloud-and-sap-accelerate-business-transformations-cloud/" target="_blank">SAP進一步宣布</a>Google Cloud將加入這項計畫，達成交互銷售目的，使SAP企業用戶也能使用Google Cloud的人工智慧（AI）及機器學習（Machine Learning，ML）技術。</p> <p>一月公布的RISE with SAP計畫涵括SAP產品、工具、顧問支援以及SAP夥伴提供的軟體服務訂閱方案，提供三大方面服務，包括流程再造、技術搬移，以及導入AI、自動化、商業分析技術。配合模組化ERP服務，SAP希望藉RISE with SAP簡化客戶採購及導入其系統複雜性，也提供SAP Business Technology Platform API和既有環境整合。</p> <p>SAP和Google表示，這項合作旨在吸引用戶雲端轉型，將應用和業務流程搬上雲端。此外，SAP數項服務，包括SAP Business Technology Platform（SAP BTP）中的SAP Analytics Cloud，及資料倉儲系統SAP Data Warehouse Cloud 解決方案，也將可在Google Cloud上訂閱。</p> <p>雙方已有共同客戶，包括電池商Energizer、工業設備經銷商MSC Industrial、電力公司AES Corp。Energizer就在此方案下，將其財務系統導入到Google Cloud上並執行SAP S/4HANA。</p> </div></div></div>
2021/7/30 19:26作者林妍溱https://www.ithome.com.tw/news/145960
Android Studio Arctic Fox強化設計功能，支援免編譯的UI即時預覽功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發者現在已經可以下載使用最新的<a href="https://android-developers.googleblog.com/2021/07/android-studio-arctic-fox-202031-stable.html">Android Studio版本Arctic Fox</a>，這個版本有不少更新，包括強化設計功能，並且簡化Wear OS配對方法，另外，還提供新的後臺任務檢查器，讓開發者能夠更方便地監控應用程式。</p> <p>Google從這個版本開始調整版本編號，以符合Android Studio所使用的IntelliJ IDEA年份和版本，Android Studio Arctic Fox 2020.3.1則更新IntelliJ平臺至2020.3版，另外，也開始使用按字母順序編排的代號，這個版本是Arctic Fox，而下一個已經在金絲雀測試階段的為Bumblebee。</p> <p>Google在這個版本強化能夠支援快速設計的現代化UI，在Jetpack Compose加入了一些新功能，像是Compose Preview讓開發者可以創建多個Compose UI元件的預覽，以立即查看主題、螢幕和字體大小等多個維度的更改影響，而且現在也可以部署預覽，也就是說開發者能夠將Compose程式碼片段，直接部署到裝置和模擬器，以方便針對一小段程式碼進行快速測試。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/-JOmsmueLSck/YQBK63_j_cI/AAAAAAAAQzo/lxl4HuANAMcTe5-u5FNC4zi8avHqpQOMgCLcBGAsYHQ/s0/compose-preview-0.gif" style="width: 580px;" /></p> <p>新版Android Studio也讓開發者更深入調整布局，官方在部署檢查器中加入Compose支援，供開發者更全面地了解布局呈現方式，此外，Google還加入即時文字編輯功能，讓開發者可以在執行應用程式的模擬器或是裝置，立刻看到Compose程式碼更新，完全不需要重新編譯。</p> <p>在增加裝置支援方面，Google建構了新的Wear OS配對助手，來簡化Wear OS模擬器與虛擬手機的配對，而且Wear OS也對心律感測器API，提供額外更多的支援。針對Google TV應用程式，Google加入最新的遙控功能，並且更新了Google TV圖像來對應最新的UI設計。Android Studio Arctic Fox也讓模擬器可以使用車輛感測器資料，來模擬駕駛用例，供開發者在Automotive OS進行開發和測試工作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/unnamed%20(7).png" style="width: 512px;" /></p> <p>Android Studio進一步強化開發者的生產力，添加了一些功能，以提高開發效率，像是替Android 12加入了一些lint檢查，以提供建構下一版應用程式的指引，而且也在布局編輯器中，新增無障礙掃瞄器，協助開發者測試無障礙功能。另外，在執行API等級26以上的裝置，使用WorkManager函式庫2.5.0，就能用到新的後臺任務檢查器，來視覺化、監控和除錯應用程式的後臺工作程式。</p> </div></div></div>
2021/7/30 19:39作者李建興https://www.ithome.com.tw/news/145959
SentinelLabs在伊朗火車系統攻擊事件中發現前所未見的資料抹除程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年的7月9日，<a href="https://www.ithome.com.tw/news/145592" target="_blank">伊朗的火車系統遭到駭客入侵</a>，駭客變更了火車站的資訊顯示系統，向大眾宣布火車因網路攻擊而誤點了，同時要求乘客打電話去投訴，但螢幕上顯示的投訴電話是伊朗最高領袖阿里·哈米尼（Ayatollah Ali Khamenei）的辦公室。美國資安業者<a href="https://labs.sentinelone.com/meteorexpress-mysterious-wiper-paralyzes-iranian-trains-with-epic-troll/" target="_blank">SentinelLabs著手分析</a>此一攻擊事件之後，發現駭客使用了前所未見的資料抹除程式Meteor。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0730-iran%20railway%20attack.jpg" style="width: 591px;" /></p> <p><a href="https://twitter.com/IranIntl_En/status/1413516916971524101" target="_blank"><span style="color:#696969;">image: Iran International English</span></a></p> <p>SentinelLabs表示，這起新聞最初並沒有引起太多的關注，因為伊朗政府把過錯推給網路攻擊，之後再澄清的事件並不罕見，不過他們還是調查了一下，才發現一個陌生的攻擊手法與新的Meteor資料抹除程式，於是把此一攻擊命名為MeteorExpress。</p> <p>與勒索軟體攻擊不同，資料抹除程式並非為了獲利，而是刪除電腦上的檔案以讓它無法啟動，其目的通常是為了造成混亂。</p> <p>分析顯示，駭客先解壓縮一個由密碼保護的RAR檔案，再將相關檔案新增到伊朗鐵路網路可存取的網路共享中，繼之配置Windows群組原則以執行一個setup批次檔案，將這些檔案複製到裝置上並執行。</p> <p>此一批次檔會先檢查裝置上是否安裝了卡巴斯基防毒軟體，沒有才會繼續執行，繼之將裝置與網路斷開，於Windows Defender中排除惡意程式，把各種惡意程式的執行檔與批次檔汲取至系統上，清除Windows的事件紀錄檔，刪除AnalyzeAll任務，再將檔案系統快取刷新到磁碟上，最後才執行資料抹除程式Meteor、可鎖住裝置的MBR locker程式，並鎖住螢幕。</p> <p>當程序完成之後，受害裝置就無法再啟動了。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2-MeteorExpress-Attack-Chain%5B1%5D.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_SentinelLabs</span></p> <p>研究人員指出，整體工具包非常的零散，例如批次檔案衍生其它批次檔案，不同的RAR檔案混雜著執行檔，且就算是預期的操作也被拆分著3個酬載。不過，Meteor擁有完整功能，在此次的攻擊中僅用到少數的功能，它還具備可變更所有用戶密碼、關閉恢復模式、建立工作排程，或者是建立程序與執行命令等能力。</p> <p>SentinelLabs認為，主導MeteorExpress的駭客是一個中級玩家，不同元件的品質參差不齊，且團隊內的分工可能不是很協調，很可能只是一個不擇手段的佣兵團隊，攻擊目的只是為了癱瘓受害者的系統，而且讓管理者無法輕易復原。</p> </div></div></div>
2021/7/30 17:15作者陳曉莉https://www.ithome.com.tw/news/145956
加拿大打算立法來管控通訊平臺上的有害內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加拿大政府於本周四（7/29）<a href="https://www.canada.ca/en/canadian-heritage/campaigns/harmful-online-content.html" target="_blank">公布了一項提案</a>，打算藉由立法來管控通訊平臺上的有害內容，包括Facebook、Instagram、Twitter、YouTube、TikTok或Pornhub等網站都將受到監管，同時也準備設立數位安全專員來負責新法令的管理、監督及執行。</p> <p>加拿大表示，社交平臺或其它的網路通訊服務對當地的社會與經濟都扮演著重要的角色，雖然它們帶來許多好處，但也可能被濫用來煽動仇恨、宣揚暴力與極端主義，或是用於其它非法行動，因此，該國決定要採取行動來對抗網路上的仇恨言論與其它的網路內容，並歡迎民眾提供意見。</p> <p>此一新法規將適用於網路通訊服務供應商，主要鎖定社交平臺，諸如健身應用或旅遊指南等服務並未包含在內，且所定義的有害內容涵蓋五大類，包括恐怖主義、煽動暴力、仇恨言論、擅自分享私密照片，以及兒童性剝削內容等。企圖建立一個法令基礎，讓政府能夠採取所有的合理措施以讓當地民眾無法存取相關內容。</p> <p>當民眾檢舉內容並取得監管機構的認同之後，代管平臺就必須在24小時內移除內容，違反規定的業者最高可被判罰2,500萬美元或是5%全球營收，取其高者。</p> <p>不只是法規，加拿大也計畫設立新的監管組織來負責網路內容，包括加拿大數位安全委員（Digital Safety Commissioner of Canada）、加拿大數位資源委員會（Digital Recourse Council of Canada），以及一個諮詢委員會（Advisory Board）。</p> <p>其中，數位安全委員將肩負管理、監督與執行立法的責任，主導及參與相關研究及規畫，以及與各方協商。數位資源委員會則將替加拿大民眾提供獨立的資源，以協助民眾處理與通訊平臺之間的內容爭議。諮詢委員會扮演的則為安全委員及資源委員會的顧問。</p> </div></div></div>
2021/7/30 17:48作者陳曉莉https://www.ithome.com.tw/news/145958
AWS IoT SiteWise Edge正式發布，供企業在邊緣處理工業設備資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/aws-iot-sitewise-edge-is-now-generally-available-for-processing-industrial-equipment-data-on-premises/">AWS推出IoT SiteWise Edge正式版本</a>，這是IoT SiteWise的一項新功能，供企業利用在工廠現場執行的軟體，於資料發送到AWS雲端之前，先在本地端收集、處理和監控設備資料。IoT SiteWise是AWS工業物聯網服務，可以從工業設備大規模地收集、整理和分析資料。</p> <p>藉由AWS IoT SiteWise Edge，用戶可以使用IoT SiteWise資產模型，在企業就地部署的SiteWise閘道器中處理工業設備資料，並使用和雲端AWS IoT SiteWise相同的API，從本地端閘道器讀取設備資料，如此便能支援更多使用案例，像是在本地端計算整體設備效率（Overall Equipment Effectiveness，OEE）等指標，使用儀表板監控工廠生產線。</p> <p>AWS IoT SiteWise Edg支援常見的三種產業協定，OPC-UA、Modbus TCP和EtherNet/IP，讓用戶能夠安全地連接歷史資料庫或設備，以讀取感測器資料。在閘道器收集資料後，用戶就可以使用雲端中定義的資產模型，於本地端過濾、轉換和聚合資料，而且還能在閘道器本地執行AWS Lambda函式，來自定義資料的處理方式。</p> <p>用戶可以選擇在本地端留存敏感資料，並傳送資料到AWS IoT SiteWise或是雲端中的AWS服務，像是Amazon S3和Amazon Timestream，以長期儲存供進一步分析使用。</p> <p>IoT SiteWise Edge軟體可以安裝在第三方工業閘道器，或是電腦等本地端硬體上，也能安裝在AWS Outposts和AWS Snow Family運算裝置，IoT SiteWise Edge使用稱為IoT Greengrass的邊緣Runtime，來建構、部署和管理應用程式。</p> <p>從預覽到正式版本間，IoT SiteWise Edge有一些更新，現在透過使用Edge閘道器安裝程式，便能簡單地進行配置，從AWS IoT SiteWise控制臺就可下載邊緣裝置安裝程式，並在工業閘道器上執行，安裝IoT SiteWise Edge軟體和所有必要元件。</p> <p>IoT SiteWise Edge現在支援較新的IoT Greengrass v2，該版本支援OPC-UA資料收集包和資料處理包，另外，IoT SiteWise Edge也與LDAP伺服器和本地使用者集區整合，能在邊緣進行身份驗證，這些用戶能夠使用公司或是Linux憑證，於OpsHub上進行身份驗證，或是監控邊緣入口站點。</p> <p>現在於所有提供AWS IoT SiteWise的AWS地區，都提供AWS IoT SiteWise Edge，該邊緣服務提供本地端應用程式在閘道器中所使用的收集和處理資料包，收集資料包免費，而處理資料則每閘道器每月200美元。</p> </div></div></div>
2021/7/30 17:59作者李建興https://www.ithome.com.tw/news/145957
Google Play將禁止「有償性關係」類別的程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google近日公布了許多<a href="https://support.google.com/googleplay/android-developer/answer/9934569" target="_blank">新的Google Play政策</a>，除了特別撰文說明的<a href="https://www.ithome.com.tw/news/145928" target="_blank">安全及隱私政策</a>之外，還有一項新規定是將限制與色情內容有關的程式，特別是將禁止例如Sugar Dating等這類有償性關係的程式，且預計於今年9月1日生效。</p> <p>這類的程式通常被歸類為約會程式，若再細分則可稱為包養程式，目前並未有業者統計Google Play上相關程式的數量或下載次數。</p> <p>Google向<a href="https://www.androidpolice.com/2021/07/29/google-bans-sugar-daddy-apps-from-play-store/" target="_blank">Android Police</a>表示，這是因為該公司收到了來自非政府組織、各國政府與其它的用戶權益團體的意見，為了保護Google Play上的用戶安全，於是決定禁止相關程式。</p> <p>外電分析指出，Google可能開始覺得在Google Play上推動有償性關係是個問題，然而，開發者還是可藉由其它管道散布。</p> </div></div></div>
2021/7/30 16:34作者陳曉莉https://www.ithome.com.tw/news/145955
Google無伺服器建置服務Cloud Build開始支援私有網路中的儲存庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其雲端建置服務<a href="https://cloud.google.com/blog/products/devops-sre/cloud-build-private-pools-offers-cicd-for-private-networks">Cloud Build加入新的私有池（Private Pool）功能</a>，也就是說，用戶現在可以在私有網路中使用無伺服器建置環境，透過整合像是GitHub Enterprise等私有程式碼儲存庫，使用託管在私有網路中的儲存庫，觸發CI/CD和DevOps工作流程。</p> <p>Google在2018年推出Cloud Build，提供無伺服器CI/CD服務，不斷建構、測試和部署軟體，由於Cloud Build是一個完全託管的服務，用戶不需要管理基礎設施，就能夠自動擴展基礎設施。新的私有池功能，使用對等網路連接到用戶的私有網路，進一步擴展Cloud Build CI/CD和DevOps自動化的能力與範圍。</p> <p>有了Cloud Build私有池，用戶便能夠在滿足企業安全性和法規要求的情況下，使用雲端建置服務Cloud Build，藉由託管在私有網路中像是GitHub Enterprise等儲存庫，能夠觸發全託管的DevOps工作流程。現在Cloud Build私有池支援VPC對等連接、VPC-SC和靜態IP，可以跨專案建置，而且每個池都能夠同時進行數百個建置工作。</p> <p>Google提到，在使得Cloud Build執行建置工作時，私有池使用了一個全新的建置環境，能維持與過去Cloud Build一致的產品和API體驗，所有Cloud Build的功能，都可用於私有池中，包括全託管的工作管線、IAM權限、Secret Manager和Pub/Sub整合等，同時也原生支援Google雲端的Runtime，像是GKE、Cloud Run、Cloud Functions和App Engine等。</p> </div></div></div>
2021/7/30 16:46作者李建興https://www.ithome.com.tw/news/145952
Chromebook Q2出貨成長75%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>COVID-19、混合辦公推升Chromebook電腦銷售，根據研究機構<a href="https://www.canalys.com/newsroom/worldwide-pc-market-q2-2021?ctid=2161-0aed8a9c8d78ede020d78051fa8ee9b4" target="_blank">Canalys</a>剛公布的數據，Chromebook第2季全球出貨較去年大增75%。</p> <p>根據Canalys全球PC出貨報告，第2季出貨1.22億臺，比去年同期成長10%。但Chromebook則持續前幾季的成長動能，出貨1190萬臺，年增74.7%。</p> <p>分析師指出，Chromebook佳績不只是疫情關係，因為產品已能涵蓋所有使用者的需求。就算北美、西歐學校已相繼開放，但在政府及教育市場仍持續成長，將Chromebook整合進數位學習流程。由於Chrome在教育市場已相當穩固，Google於是今年主打商用市場。分析機構預期，Google可望透過新的「個人版」Google Workspace和CloudReady授權，以Chromebook替代舊PC，以此強力主打小型企業市場。但分析師也指出Chromebook也不是沒威脅，因為蘋果希望以M1系列筆電延伸其成績，微軟也公布了Windows 11，將讓PC OS仍將處於激烈競爭。</p> <p>Chromebook廠商近年持續加碼，大部份都收到成效。龍頭HP出貨比去年翻了一番（116%），二、三名的聯想及宏碁也有超過80%的成長率。三星比去年成長3倍，擠進第五名。Dell則衰退8.7%。</p> <p>平板是打破分析師走緩的預期，第2季出貨3910萬臺，小增4%。分析師指出，平板市場已連續五季成長，雖然消費機種市場走緩，但商用市場持續強勁。蘋果iPad以1420萬臺維持平盤，其他四名分別為三星、聯想、Amazon及華為。</p> <p>分析機構預期，在疫情逐漸消退，混合式作業型態興起，今年可望看到平板及PC的進一步整合，以順應流程在多種平臺上更順暢進行。除了iPad和Mac外，雲端Windows 11 （Windows 365）可在Android機器上使用，對平板廠商及使用者都是一大利多。</p> <p>全球PC市場出貨方面，前五大名次和上次相同。其中聯想比去年成長23%，以2470萬臺奪冠，蘋果年增5%居第二。其次是HP、戴爾及三星。</p> </div></div></div>
2021/7/30 15:30作者林妍溱https://www.ithome.com.tw/news/145951
Amazon第二季財報出爐，整體營收成長27%，AWS成長37%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon本周四（7/29）公布<a href="https://s2.q4cdn.com/299287126/files/doc_financials/2021/q2/AMZN-Q2-2021-Earnings-Release.pdf" target="_blank">今年第二季的財報</a>，顯示該季創下1,131億美元的營收，成長27%，為該公司連續第三季總營收突破1,000億美元，其中，Amazon Web Services（AWS）營收為148億美元，成長幅度達37%。顯示雖然Amazon的營收成長趨緩，但AWS的成長卻重新加速，也解釋了為何原本負責AWS的Andy Jassy會在今年7月5日，從貝佐斯（Jeff Bezos）手上接下執行長一職。</p> <p>在Amazon的整體營收中，北美電子商務占了676億美元，成長22%，國際電子商務占了307億美元，成長36%，AWS則是148億美元，成長37%。雖然提供雲端服務的AWS營收比不上電子商務，但卻是Amazon最賺錢的部門，北美市場的營業利潤為31.5億美元，國際市場為3.6億美元，而AWS卻有41.9億美元。</p> <p>該季Amazon的淨收入為77.8億美元，每股盈餘為15.12美元。</p> <p>除了主要營收類別之外，第二季Amazon另一個受到注意的營收來源為Amazon Advertising，這是Amazon專供賣家或作者刊登廣告的服務，被歸類在其它（Other）營收中，在今年第二季成長了87%，達到79億美元的規模。</p> <p>今年第二季也是貝佐斯擔任Amazon執行長的最後一季，因為7月就交棒給新的執行長Jassy，也由Jassy負責在此次的財報會議上發言，指出隨著愈來愈多的企業將業務移轉到雲端，已看到AWS的成長重新加速的趨勢。</p> </div></div></div>
2021/7/30 16:02作者陳曉莉https://www.ithome.com.tw/news/145953
AWS將關閉元祖級服務EC2-Classic
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/ec2-classic-is-retiring-heres-how-to-prepare/" target="_blank">AWS本周宣布</a>最早的IaaS服務項目EC2-Classic將在今年10月30日關閉，預告用戶需移轉到EC2-VPC。</p> <p>EC2-Classic是AWS雲端服務如RDS最早運行的基礎架構。目前它是AWS啟動雲端執行個體兩種平臺之一，另一為2009年推出的EC2 VPC（Virtual Private Cloud），2013年分出一個VPC for Everyone。EC2-Classic上，企業執行個體跑在與其他客戶共用的單一平面網路中。Amazon VPC上，用戶執行個體所跑的VPC可在邏輯上與AWS 帳戶隔離，更具有安全性。2013年12月以後建立的帳號就不支援 EC2-Classic。</p> <p class="rtecenter"><img alt="" src="https://media.amazonwebservices.com/blog/2021/ec2_platforms_2.png" style="width: 261px;" /></p> <p><span style="color:#696969;">圖片來源_AWS</span></p> <p>根據AWS的規畫，EC2-Classic會先在沒有啟用這項服務的AWS區域關閉，也會停止銷售EC2-Classic 1和3年預留執行個體的服務。預期2022年8月15日所有客戶完成移轉。</p> <p>因應終止EC2-Classic支援，客戶會需要調整EC2、RDS資料庫、Elastic IP位址、Classic的Load Balancers、Redshift叢集、Elastic Beanstalk環境、AWS Data Pipeline、預留執行個體等</p> <p>AWS已經透過業務團隊通知客戶，很快也會經由網頁儀表板發布通知。AWS也提供移轉必要的工具和文件。</p> </div></div></div>
2021/7/30 16:19作者林妍溱https://www.ithome.com.tw/news/145954
【資安關鍵字：攻擊手法｜Living Off-the-Land】使用受害電腦現成的合法工具，掩蓋攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們在介紹Palo Alto Networks揭露的<a href="https://www.ithome.com.tw/news/145927">Thor木馬程式攻擊行動</a>裡，駭客為了下載惡意程式而不致被防毒軟體攔截，採用了「Living Off-the-Land（LoL）」的手法，藉由Windows作業系統的BITSAdmin，將惡意軟體傳送到受害的Exchange伺服器。Living Off-the-Land指的是什麼？意思是駭客為了讓攻擊行動不易被察覺，直接利用受害電腦現成的合法工具來執行相關工作，這麼做的目的，就是避免因使用自己的工具，被資安防護系統視為異常而遭到阻擋。</p> <p>Living Off-the-Land一詞，中文有人翻成「離地攻擊」、「自給自足」，或是「就地取材」。其中，「離地攻擊」是照著字面的意思直接翻譯，是目前最常見的用法，但這個說法並未翻譯到Living一詞，也沒有表達所代表的意思；而「自給自足」這個說法，說明了攻擊行動無需靠後端支援的策略，賽門鐵克在網路安全威脅報告（ISTR）中文版也採用這個說法，但自給自足並沒有點明手法中運用了受害環境的現成工具。相較之下，我們認為「就地取材」比較貼近原來英文要表達的意涵。</p> <p>究竟這種說法什麼時候開始出現？根據iThome的報導，大約是在2018年開始，且資安廠商在發表年度資安威脅報告時，指出這種就地取材的手法可說是相當氾濫，而當時他們認為被濫用最為嚴重的工具，就是自Windows 7開始內建的PowerShell，原因是該工具的功能極為強大，且幾乎每臺Windows電腦都有。根據賽門鐵克的研究，<a href="https://www.ithome.com.tw/news/128887">2018年濫用PowerShell程式碼的攻擊行動，較2017年成長了1000%</a>。</p> <p>當時被點名用於就地取材的工具，還有像是WinZip、WinRAR，以及7-Zip等解壓縮軟體，攻擊者用這類工具來打包竊得的資料，而這些軟體也在企業相當常見。不過，上述並非Windows內建的軟體，攻擊者勢必要充份了解攻擊目標的情況下，事先確定企業部署的是那一套軟體，才能在攻擊行動中就地取材。</p> <p>時至今日，這種手法已經不再只是上述提及的PowerShell或是應用程式，許多攻擊者開始使用作業系統更為核心的功能，以前面提到Thor而言，駭客利用的是Windows內部的BITS管理工具BITSAdmin，而這種就地取材、利用BITS服務做為下載惡意軟體的管道，還有今年3月被揭露的<a href="https://www.ithome.com.tw/news/143112">勒索軟體病毒AlumniLocker和Humble攻擊</a>。</p> <p>除了將合法工具用於下載，還有其他應用。例如，<a href="https://www.ithome.com.tw/news/138706">Evil Corp於2020年發動的WastedLocker勒索軟體攻擊</a>，該組織就運用了多種合法工具就地取材：他們使用Windows內建的軟體授權工具（SLUI.EXE），來提升權限，並搭配Windows Management Instrumentation Command-Line Utility（WMIC.EXE）來遠端執行命令，再利用PsExec工具向大量電腦植入WastedLocker。這裡Evil Corp所運用的工具，僅PsExec並非系統內建，但是該軟體在企業環境算是IT人員常用的工具。</p> <p>但這種就地取材的做法，只會發生在Windows的環境嗎？答案並非如此，像是在2021年初，<a href="https://www.ithome.com.tw/news/142569">駭客針對阿里雲和騰訊雲兩大中國公有雲的攻擊行動</a>，為了讓惡意程式Pro-Ocean能持續在受害環境執行，他們運用的是Linux作業系統內建的LD_PRELOAD，來預載這隻惡意程式。</p> </div></div></div>
2021/7/30 13:46作者周峻佑https://www.ithome.com.tw/news/145950
COVID-19疫苗冷鏈運輸大作戰
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1036-feng_mian_p1-open-zhi_hao_-960x420.png?itok=FpyZMD4k" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫苗運輸過程得非常講究，保存溫度高一點、低一些都不行，甚至只要一個配送保冷箱溫控出問題，疫苗接種就會少打一千人，克服的關鍵，就是靠IT，來實現全程監控與追蹤</p> </div></div></div>
2021/7/30 00:35作者余至浩https://www.ithome.com.tw/article/145938