iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google更新雲端金鑰管理服務Cloud KMS，支援PKCS#11標準增加互通性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/identity-security/transparency-interop-and-automation-for-google-cloud-kms">Google更新雲端金鑰管理服務Cloud KMS</a>加入多項功能，包括可以增加透明度的儀表板，以及透過支援PKCS#11標準提升互通性，還提供自動化功能，簡單地銷毀可變金鑰並快速刪除金鑰。</p> <p>新推出的金鑰庫存儀表板（Key Inventory Dashboard），可供用戶方便地探索、搜尋和查看組織中使用的金鑰，其提供金鑰相關的詳細資訊，包括金鑰名稱、創建日期以及下一次輪替日期等各種屬性，這些資訊以表格的形式呈現，讓用戶可以使用過濾器，簡單地查看擁有的金鑰。</p> <p>除了透過Cloud KMS API來使用Cloud KMS或Cloud HSM之外，Google提到，用戶還有需要使用PKCS#11標準，來讓應用程式使用Google加密的需求。現在透過開源的Cloud KMS PKCS#11函式庫，用戶可以存取Cloud KMS中的軟體金鑰，或是Cloud HSM的硬體金鑰，並使用PKCS#11 v2.40 API進行加解密操作。如此，用戶便可以將應用程式和基礎設施，與Google雲端整合。</p> <p>Cloud KMS也開始提供更方便的自動化功能，供用戶排程金鑰銷毀任務，以及確保Google將金鑰材料銷毀的時間。新創建和匯入的軟硬體金鑰，用戶可以使用新的可變金鑰銷毀功能，設定120天內請求銷毀金鑰，設定完成後，金鑰會被標記為計畫銷毀的狀態。</p> <p>Google提到，這種控制和自動化功能，代表用戶可以指定適合的銷毀時窗。用戶可以根據需求，以天、小時和分鐘的時間粒度，安排銷毀的時間。</p> <p>而即將推出的快速刪除金鑰功能，則能進一步向用戶保證，他們的已銷毀金鑰材料，都完全從Google的基礎設施中清除乾淨，Google縮短資料刪除的時間承諾，從180天減少到45天，也就是說，用戶銷毀的金鑰材料，一定會在45天內，從Google的資料中心裡清除。</p> <p>另外，現在用戶也可以透過重新匯入金鑰功能，來恢復遭到銷毀的金鑰，將標記為已銷毀狀態的金鑰，恢復成為已啟用。</p> </div></div></div>
2021/9/30 21:05作者李建興https://www.ithome.com.tw/news/146993
別輕忽備份321原則
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一起高中生學習歷程檔案的資料遺失事件，成了社會各界的熱門議題！</p> <p>108課綱上路後，除了考試入學之外，用高中三年的學習過程申請大學，也成了另一個重要管道，而學習歷程檔案，就是記錄這些過程的重要證明，攸關高中生們升學的權益。</p> <p>7,854名學生，甚至可以說有7千多個家庭（同時有兩名高三生的家庭比例不高），突如其來遇到了一場無妄之災，最近都忙著重新上傳、甚至得重新製作自己的學習檔案來上傳，需要重補的資料合計多達2萬5,210件。<br /> 教育部緊急在9月26日召開記者會，初步揭露了資料遺失事故的部分原因，但仍有不少待進一步澄清的疑問。</p> <p>因為這是108課綱上路後的第一批高三學生，也等於是第一次進行高中學習歷程檔案申請入學的作業。流程上，學生得先將學習歷程檔案上傳到各高中所屬的學習歷程系統上，再由學校整批上傳到中央的學習歷程資料庫上，事故就發生在前半段，學生上傳到校內系統時。</p> <p>有一批高中的學習歷程系統使用了國教署學習歷程公版模組系統，而且這些系統原本分散部署在各校。不過，這幾年，政府為了強化資安，積極將各政府機關的IT向上集中，把分散各地的系統，陸續搬遷到資安控管更嚴謹的專用機房中集中管理。所以，這一批分散在各校的系統，自然也要集中到專用機房中，這是一件為了強化資安，立意甚好的作法。</p> <p>負責委外營運這些系統的團隊，在9月中旬，將各校所屬的學習歷程系統，逐漸搬到了新機房的虛擬主機VM上。順利運作了十幾天，這些主機因為系統更新而重新開機，不料，其中有些VM的硬碟設定出錯，導致部分檔案無法連結，才造成3臺VM的硬碟上的資料遺失了。</p> <p>根據教育部記者會上公布的資料，盤點之後，有81個學校，在9月5日到9月22日這段期間，所上傳的特定一批檔案，且備份在這3臺VM硬碟上的資料，才會受到影響。記者會當時，教育部表示會試圖復原這些受損的資料，但到9月30日截稿前，還沒有更多進展。</p> <p>各界其中一項質疑是，為何出錯？如何出錯？而且只有3臺出錯，而不是全部。這透露出，設定作業沒有一套標準化流程或有SOP但沒有落實，才會出現局部出狀況的情況。不過，這都只是推測，目前沒有揭露更多線索，無從推測造成設定錯誤的原因。</p> <p>但從資料復原角度來看，這一波高中生學習歷程檔案相關系統，明顯沒有更嚴謹地執行「321備份」原則。</p> <p>這個321備份原則不是什麼新觀念或新作法，就是資安圈或IT界常聽到的「至少3份備份、分別儲存在2種不同儲存媒體、至少1份份在異地保存。」</p> <p>這是業界對資料備份的常識，但的確不見得人人都能落實。一來備份越多，成本越昂貴，不是所有資料，都值得這麼做，企業也不一定有足夠的預算投入這種「出事才看得到效益」的隱形投資。</p> <p>再者，這個原則沒有點出一個關鍵，備份時間點，也就是多久備份一次？何時需要備份？完全得看企業或維運團隊的判斷，自己決定，要多嚴謹、多慎重來落實這項原則。</p> <p>越是重要、敏感、風險高的資料，就需要越頻繁的備份，甚至在重大異動之前，得先把資料備份，以免異動出事後，無法將資料復原。</p> <p>從教育部公布的資料影響情況來看，這批事故資料，在9月5日的確有一套完整的備份，就在9月中旬搬遷到新機房之前做了備份。但搬遷到新機房的虛擬主機後，顯然，備份計畫不如先前來得完善。</p> <p>因為目前已知，造成事故的觸發點是系統更新，系統重開後才發現VM硬碟失效而造成資料遺失，這意味著，沒有在系統更新前，留下足以用來還原的備份版本。</p> <p>系統換機房的確是風險較高的大事件，但系統更新也是風險不低的小事件，同樣都可能造成事故。可以推測，維運單位對兩起事件的備份策略有落差，後者不夠徹底或者不夠完善。</p> <p>若將321備份視為基本要求，在每一次出現敏感資料遺失風險前，都徹底實行一次，或許這7千多位學生，就不需要重新補資料的重工了。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/321%E5%82%99%E4%BB%BD">321備份</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E9%81%BA%E5%A4%B1">資料遺失</a></div><div class="field-item even"><a href="/tags/vm%E6%95%85%E9%9A%9C">VM故障</a></div><div class="field-item odd"><a href="/tags/%E8%A8%AD%E5%AE%9A%E9%8C%AF%E8%AA%A4">設定錯誤</a></div><div class="field-item even"><a href="/tags/%E9%AB%98%E4%B8%AD%E7%94%9F%E5%AD%B8%E7%BF%92%E6%AD%B7%E7%A8%8B%E6%AA%94%E6%A1%88">高中生學習歷程檔案</a></div></div></div>
2021/9/30 18:18作者王宏仁https://www.ithome.com.tw/voice/146998
教育部與高通、中華電信聯手推動5G學習示範學校，以5G筆電、VR帶動創新學習
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著5G網路的普及，教育部今年初更啟動「校園5G示範教室與學習載具計畫」，和高通、中華電信、精英、亞旭電腦等業者聯手，結合5G與VR，推動新的科技教育學習體驗。</p> <p>COVID-19疫情自全球爆發來，不僅驅動企業、政府積極運用科技進行數位轉型，教育學習也擁抱數位化，採用遠距教學，讓學校即使停課，也能在家學習不中斷，然而，除了遠距視訊教學之外，5G的高速、低延遲特性，加速數位學習的發展。</p> <p>今年教育部推動的5G學習示範計畫，聯合中華電信、高通、精英電腦、亞旭電腦、力新國際、XRSpace等多家業者，在台北教育大學、屏東大學指導教師設計VR教學內容之下，運用5G網路、5G行動路由器、Windows 10的常時連網筆電、VR頭戴裝置等，讓學生透過沈浸、互動的方式進行學習。</p> <p>該計畫以國中生為對象，在地方政府教育局支持下，與三所國中示範合作，包括台北市的新興國中、台南市的和順國中與高雄的鹽埕國中，從110學年度上學期開始，在三所學校示範，推動三校教師共同備課、三校學生實體與線上的混合式遠距教學，。初期先以英文、科學教育的VR課程開始，讓學生在沈浸式的VR環境中學習，未來將擴大到理化、數學等其他課程。</p> <p>由於受節疫情的影響，此次舉辦的線上活動，示範三校共學的英文VR課程，工程師戴上VR裝置，進入虛擬的海底世界，上方魚群來回穿梭，學生穿戴裝置的虛擬人物置身其中，可以彼此互動、擺動身體之外，在身歷其境的虛擬世界中，教師和學生進行互動式的英語教學。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-09-30%20%E4%B8%8B%E5%8D%885_19_03.jpg" style="width: 600px; height: 330px;" /></p> <p>教育部資訊及科技教育司副司長劉文惠表示，數位學習是教育部推動的重要政策之一，因此在106年到109年向行政院爭取前瞻基礎建設的經費，投入校園的數位基礎建設，因應數位學習的發展及5G的來臨，在第二期前瞻基礎建設計畫，推動學習載具，搭配5G示範環境等，以加強數位學習與創新教學。因疫情進一步催化數位學習的發展，大量的採用數位學習，需要公私合作推廣，也將是今後推動數位學習的重要手段。未來期待透過示範學習，讓其他學校觀摩，擴大創新學習的發展。</p> <p>參與這項計畫的高通副總裁暨台灣與東南亞區總裁劉思泰指出，疫情顯遠距教學的迫切性及重要性，5G行動科技將是解決方案，讓師生在隨時連網的環境下，沈浸互動式體驗學習，未來也期望5G學習不只是示範，能夠擴大到更多教育採用。</p> <p>以5G網路提供示範學校服務的中華電信則表示，中華電信致力於5G垂直場域的應用，教育是5G垂直應用的重要場域之一，結合5G高頻寬、低延遲，以及學習載具，讓師生突破限制，不受時間、空間從事教育、學習，推動5G數位學習及智慧教育的發展。</p> </div></div></div>
2021/9/30 17:39作者蘇文彬https://www.ithome.com.tw/news/146995
Zimperium：GriftHorse木馬感染全球1千萬臺Android裝置，擅自幫受害者訂閱高價簡訊服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.zimperium.com/grifthorse-android-trojan-steals-millions-from-over-10-million-victims-globally/" target="_blank">資安業者Zimperium本周揭露</a>一起涉及全球逾70個國家，且已有超過1,000萬名Android用戶受害的GriftHorse木馬程式詐騙攻擊，它會代替被感染的使用者訂閱每月36歐元（1180元新臺幣）的高價簡訊服務，相關攻擊始於2020年11月，駭客每月固定進帳超過數百萬歐元，估計不法所得已達到數億歐元之譜。</p> <p>根據Zimperium的分析，駭客集團在此一攻擊行動中設計了超過200款惡意程式，它們分散在不同的類別，最大宗的類別為工具，占了47.9%，其它還有娛樂（12.7%）、個人化（5.6%）、生活風格（5.6%）、模擬（4.2%）、約會、運動、健身、教育、解謎、金融或音樂等，它們看起來平凡無奇，卻暗藏木馬功能，而且從去年11月迄今，完全沒有其它資安業者發現GriftHorse的存在。</p> <p>駭客透過Google Play與第三方Android市集散布這些惡意程式，當使用者安裝程式之後，它就會不斷跳出「你中獎了！」的視窗，而且每個小時至少會跳出5次，直至使用者接受它，之後便會將使用者導至以當地語言撰寫的網頁，並要求使用者輸入電話號碼進行驗證。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0930-trojan%20Gifthorse.jpg" style="width: 300px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/image20-768x1096%5B1%5D.png" style="text-align: center; width: 217px;" /></p> <p><span style="color:#696969;">圖片來源_Zimperium</span></p> <p>不過，使用者所輸入的電話號碼卻被用來訂閱每月36歐元的簡訊服務，且會隨著電信帳單向使用者收費，一直到使用者察覺並向電信業者取消為止。</p> <p>Zimperium說，GriftHorse是今年以來他們所發現，覆蓋範圍最大的惡意程式活動，該活動採用複雜的架構及不重覆使用的網域來躲避偵測及封鎖，且事實上也沒有其它資安業者察覺，在過去幾個月就感染了超過1,000萬名受害者的裝置。</p> <p>從Zimperium所公布的災情分布地圖來看，臺灣也是重災區，且雖然Google在收到Zimperium的報告後已移除Google Play上的相關程式，但這些惡意程式很可能還存活在第三方的Android市集或其它網站上。Zimperium已列出這200個惡意程式的名稱，Android裝置用戶應該要檢查一下自己是否安裝了當中的任何一款，亦應留意自己的電信帳單。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0930-GriftHorse%20Android%20Trojan.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Zimperium</span></p> </div></div></div>
2021/9/30 17:43作者陳曉莉https://www.ithome.com.tw/news/146997
資安業者Group IB執行長因涉嫌叛國遭俄羅斯逮捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在俄羅斯及全球資安社群中鼎鼎有名的資安業者Group IB創辦人暨執行長Ilya Sachkov本周遭到俄羅斯政府逮捕，俄羅斯法院在29日表示，Sachkov因涉嫌叛國，將被羈押兩個月。</p> <p>Sachkov現年35歲，他是於2003年還在就讀莫斯科鮑曼國立技術大學一年級的時候，就與其他3位同學一同創辦了Group IB，初期主要業務是協助調查各種資安事件，現在的Group IB已是知名的網路情報公司，提供高科技犯罪的調查及防禦服務，也是國際刑警組織及歐洲刑警組織的官方合作夥伴，並於2019年將總部從俄羅斯遷移到新加坡，也在杜拜、越南、荷蘭及馬來西亞設有分公司。</p> <p>Group IB曾在Gartner、IDC與Forrester等顧問公司的全球威脅情報業者排行榜中名列前茅，Sachkov本人還因於資安上的傑出表現，而在3年前受到俄羅斯總統普丁（Vladimir Putin）的嘉獎。</p> <p>叛國罪在俄羅斯屬於機密案件，當地法院並未揭露太多細節，然而，當地新聞通訊社TASS引述消息來源報導，指出Sachkov被指控與國外的情報服務合作，危害了俄羅斯的國家利益，雖然Sachkov否認了這兩項指控，但依然遭到羈押。</p> <p>身為全球重要的資安業者，又出身於俄羅斯，<a href="https://www.bloomberg.com/news/articles/2020-11-13/a-russian-cyber-guru-finds-ways-to-distance-company-from-kremlin" target="_blank">Sachkov去年接受彭博社專訪時曾透露</a>，當Group IB於美國還設有辦公室時，即經常有來自FBI及紐約警局的訪客，問他在美國做什麼。</p> <p>他說，外界很難改變對俄羅斯的印象，特別是俄羅斯經常收留駭客，並讓駭客針對其它國家發動攻擊，而且俄羅斯政府還稱讚這些駭客的行為是為了反美國制裁，倘若境內駭客被逮，當地議員可能還會說他們不是駭客，是愛國者。</p> <p>總之，目前並不清楚俄羅斯政府掌握了什麼證據，但Group IB在這兩天相繼發表了兩份聲明，<a href="https://www.group-ib.com/media/official-statement-group-ib/" target="_blank">坦承該公司在俄羅斯的辦公室於28日遭到搜索</a>，強調<a href="https://www.group-ib.com/media/official-statement-sachkov-innocence/" target="_blank">相信Sachkov的清白與商業誠信</a>，儘管Sachkov被羈押，但Group IB的營運並不會受到影響，短時間內該公司將由另一名共同創辦人暨技術長Dmitry Volkov負責掌舵。</p> <p>俄羅斯在2019年也曾把兩名具備資訊安全背景的專家<a href="https://www.ithome.com.tw/news/129034" target="_blank">以叛國罪名送進了大牢</a>，他們分別是俄羅斯聯邦安全局（FSB）電腦犯罪部門的前副主任Sergei Mikhailov，以及卡巴斯基實驗室（Kaspersky Lab）的資深安全研究人員Ruslan Stoyanov，刑期分別是22年與14年，俄羅斯政府並未公布詳細的調查或判決內容。</p> </div></div></div>
2021/9/30 16:40作者陳曉莉https://www.ithome.com.tw/news/146994
AWS推出適用於Redshift的SQL查詢編輯工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS針對雲端資料倉儲服務Amazon Redshift，發布<a href="https://aws.amazon.com/tw/blogs/aws/amazon-redshift-query-editor-v2-web-query-authoring/">查詢編輯器Redshift Query Editor v2</a>，這是一個網頁介面的工具，讓用戶可以進行探索、分析和共享使用SQL查詢的資料，除了Redshift之外，該工具也支援透過Redshift Spectrum存取的資料湖。</p> <p>Redshift查詢編輯器v2提供免費的無伺服器網頁介面，降低用戶管理查詢工具以及基礎設施的營運成本，由於該工具本身是瀏覽器全託管SQL編輯器，與單點登入供應商整合，使用者能以更少的步驟，開始處理SQL資料。</p> <p>查詢編輯器v2在顯示查詢結果之後，可以不需要下載資料，就立刻視覺化分析結果，其保存查詢的功能，使得用戶間能方便地共享分析結果，提升工作團隊的生產力。</p> <p>管理員可以根據IAM角色，管理團隊成員在查詢編輯器v2中的權限，因此用戶能夠簡單地共享查詢，也能以安全的方法存取叢集。使用者根據IAM角色，可執行讀取、寫入和管理員存取，不需要Redshift叢集的管理員權限，便可以使用查詢編輯器。</p> <p>另外，除了用戶間可以共享查詢之外，查詢還能夠視覺化，在用戶滿意當前查詢編輯器中的執行結果時，就能以PNG或JPEG圖片格式匯出，儲存到資料夾，供日後參考使用。</p> <p>AWS提到，這項操作很簡單，用戶可以選擇圖表，並且重新執行相對的查詢，就能匯出新的圖像，不需要從頭開始配置繪圖選項，或是記住不同專案的圖表和查詢的冗長配置。</p> <p>用戶不必在本地機器額外安裝驅動程式或軟體，就可以透過Redshift控制臺開始使用新的查詢編輯器，該工具已經在AP-Northeast-3地區之外的所有AWS商業地區推出，除了Amazon Redshift叢集的費用之外，用戶可以免費使用查詢編輯器，不需支付額外費用。</p> </div></div></div>
2021/9/30 17:02作者李建興https://www.ithome.com.tw/news/146989
DeepMind開發降水臨近預報AI模型，表現超越傳統預測方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DeepMind和英國氣象局合作，發表了最新將<a href="https://deepmind.com/blog/article/nowcasting">人工智慧用於氣象預報的研究</a>，推進降水臨近預報科學的進展，能良好預測未來1到2小時的下雨，以及諸如下雪等降水現象。</p> <p>天氣預測對於人類生活意義重大，中世紀氣象學家就以各種方式預測降雨模式，到了近代科學萌芽，開始用大氣物理方程式來預測全球天氣，而DeepMind表示，現在氣象預測又往前跨了一步，已經可以使用機器學習來預測降水。</p> <p>每天的天氣預報由強大的數值天氣預測系統進行預測，透過求解物理方程式，數值天氣預測系統能在數天前進行行星尺寸的預測，但是由於該系統計算時間過長，難以在2小時內產生高解析度預測，因此需要臨近預報，來填補這個因運算效能不足，而產生的預報空白。</p> <p>臨近預報對於水資源管理、農業、航空和戶外活動等產業非常重要，天氣感測裝置的進步，使得研究能源能夠獲得高解析度的雷達資料，而機器學習則剛好適合應用於臨近預報，藉由利用高品質資料，解決關鍵領域的難題。</p> <p>DeepMind這個新人工智慧模型，針對臨近預報降雨所開發，最多可提前兩小時預測降雨量、時間和位置，研究人員使用了1種稱為生成建模（Generative Modelling）的方法，根據過去的雷達資料，對未來的雷達資料進行詳細且合理的預測。</p> <p>使用該方法，DeepMind不只可以準確捕捉到大規模事件，還可以生成系集預報（Ensemble Predictions），進而探索降雨的不確定性。這項研究使用了來自英國和美國的雷達資料，並且經英國氣象局的50位氣象專家進行評估，與目前被廣泛使用的臨近預報方法相比，在89％的案例中DeepMind的新方法表現較佳。</p> </div></div></div>
2021/9/30 15:42作者李建興https://www.ithome.com.tw/news/146986
協助北韓閃避美國制裁，區塊鏈專家Virgil Griffith認罪了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2019年遭到美國聯邦調查局（FBI）逮捕的<a href="https://www.justice.gov/usao-sdny/pr/united-states-citizen-pleads-guilty-conspiring-assist-north-korea-evading-sanctions" target="_blank">區塊鏈專家Virgil Griffith在本周認罪了</a>，坦承提供加密貨幣相關服務予北韓，協助北韓閃避美國制裁，違反了《國際緊急經濟權力法》（International Emergency Economic Powers Act，IEEPA），最高可被判刑20年。</p> <p>現年38歲的Griffith為新加坡居民及美國公民，他是個程式設計師，在25歲時就建立了維基百科的索引工具WikiScanner，也是加州理工學院計算及神經系統的博士，自2016年起就擔任以太坊基金會的研究科學家。</p> <p>根據美國司法部的調查，Griffith自2018年就開始規畫如何在北韓提供加密貨幣服務，包括於當地打造加密貨幣基礎設施及挖礦，且當時Griffith便知道北韓可能會利用這些服務來閃避美國對該國的制裁，或是替北韓的核武計畫與其它非法活動提供資金。</p> <p>此外，2019年時，就算美國國務院拒絕了Griffith前往北韓的許可，但Griffith依然飛往北韓，出席當地所舉辦的加密貨幣會議，還指導北韓如何透過區塊鏈與加密貨幣技術進行洗錢及閃避制裁。</p> <p>該會議結束之後，Griffith展開另一個促進北韓及南韓間加密貨幣交易的計畫，還招募其他的美國公民前往北韓，以替當地提供類似的加密貨幣服務，並將北韓介紹其它加密貨幣及區塊鏈的服務供應商。</p> <p>根據《IEEPA》的規定，在未取得美國財政部海外資產控制辦公室（OFAC）的許可前，美國個人不得出口任何的產品、服務或技術予北韓，而Griffith上述的每一項行動都未取得許可。</p> <p>美國紐約南區聯邦檢察官Audrey Strauss表示，Griffith破壞了美國對北韓的制裁，幫助了最危險的敵對國家之一，危害了美國的國家安全。</p> <p>在Griffith於2019年遭到逮捕時，還在以太坊基金會任職，當時以太坊基金會曾澄清，該基金會並未參與在北韓舉行的加密貨幣會議，也未允許或支持Griffith參加該會議，這是Griffith的個人行為。Griffith最高可被處以20年的刑期，至於刑期的多寡將在明年的1月宣判。</p> </div></div></div>
2021/9/30 14:54作者陳曉莉https://www.ithome.com.tw/news/146987
YouTube決定封鎖任何有關疫苗不實資訊的內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.youtube/news-and-events/managing-harmful-vaccine-content-youtube/" target="_blank">YouTube在29日宣布</a>，將擴大其社群準則中的醫療不實資訊政策，不僅將封鎖有關COVID-19疫苗的不實資訊，對於任何已被批准之既有疫苗的不實資訊也都會被刪除，且即日生效。不過，YouTube近來的擴大封鎖行為惹毛了俄羅斯，該平臺在以散布COVID-19疫苗不實資訊為名，封鎖了俄羅斯國營電視臺《Russia Today》於YouTube上的兩個德文頻道之後，俄羅斯政府威脅若YouTube不恢復這兩個頻道，便將在境內封鎖YouTube。</p> <p>YouTube表示，打造有關醫療不實資訊的管制政策一直存在著挑戰與權衡，人們對於科學的理解隨著新研究的出現而不斷發展，此外，網路上有關個人經驗的討論也經常扮演著重要的角色，儘管衛生機關已對疫苗的有效性提供了一致性的指引，但疫苗一直是個擁有激烈爭論的議題。</p> <p>因此，YouTube決定擴大該平臺的醫療不實資訊政策，對於已被衛生機關與世衛組織批准，並確認是安全有效的所有疫苗制定新的準則，具體而言，只要是宣稱那些已被批准的疫苗是危險的，可能對健康造成慢性不良影響的，或者是指稱疫苗不會減少疾病的傳播與重症，以及對於疫苗中所含物質的不實資訊，通通會被移除；包括那些宣稱已被核准的疫苗可能造成自閉、癌症或不孕的說法，或者說疫苗中的物質可用來追蹤施打者的言論。</p> <p>YouTube除了強調相關的政策都是在諮詢地方/國際衛生組織，以及醫療專家之後才制定之外，有關各種疫苗的副作用，也是參考由衛生組織所提供並取得醫界共識的公共資源。</p> <p>有鑑於公眾的討論與辯論對科學發展的重要性，YouTube將持續允許有關疫苗政策、新疫苗試驗、歷史疫苗的成功或失敗、疫苗的個人經驗等內容。</p> <p>不過，YouTube對疫苗不實資訊的嚴格把關觸怒了俄羅斯政府，因為俄羅斯國營電視臺《Russia Today》（RT）的兩個德文頻道因而遭到YouTube移除。根據外電報導，RT DE早就因散布COVID-19不實資訊而遭到YouTube警告，YouTube因而禁止RT DE上傳新內容，但RT DE卻利用另一個子頻道Der Fehlende Part上傳同樣違反COVID-19不實資訊政策的內容，使得YouTube直接刪除了這兩個頻道。</p> <p>掌管俄羅斯通訊、資訊及大眾媒體的Roskomnadzor指控YouTube進行言論審查，要求YouTube恢復這兩個頻道，否則就要於境內封鎖YouTube。Roskomnadzor今年3月曾因不滿Twitter未移除遭俄羅斯禁止的內容，而限制當地用戶存取Twitter，5月也以同樣的理由威脅要調降YouTube的頻寬。</p> <p>從去年迄今，YouTube已移除了超過13萬個違反COVID-19疫苗政策的影片。</p> </div></div></div>
2021/9/30 13:54作者陳曉莉https://www.ithome.com.tw/news/146984
監視攝影機業者Hikvision修補可接管設備的RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國監視攝影設備大廠<a href="https://www.hikvision.com/en/support/cybersecurity/security-advisory/security-notification-command-injection-vulnerability-in-some-hikvision-products/" target="_blank">海康威視（Hikvision）本周發出安全公告</a>，以修補一個可能讓攻擊者接管攝影機設備、存取內部網路的遠端程式碼執行（RCE）漏洞。</p> <p>Hikvision修補的CVE-2021-36260，<a href="https://watchfulip.github.io/2021/09/18/Hikvision-IP-Camera-Unauthenticated-RCE.html" target="_blank">是由安全廠商Watchful_IP所發現</a>。它是位於Hikvision韌體中的指令注入漏洞，研究人員並未提供說明細節，僅指出，該漏洞可讓攻擊者透過SSH連線，繞過Hikvision web portal驗證，下達不受限的根shell指令，接管整合設備，或是存取持有人才有權存取的資訊。該漏洞允許攻擊者取得比裝置持有人還大的權限，因為後者只能在「受保護shell」下達一組已預先定義好的資訊類指令。</p> <p>研究人員補充，除了接管IP攝影機外，攻擊者也可能透過該漏洞存取內部網路。</p> <p>利用CVE-2021-36260，攻擊者不需使用者互動即可於遠端執行指令，使其成為最高風險的零點擊程式碼執行（RCE）的重大風險漏洞，風險值列為9.8。</p> <p>這項漏洞影響今年6月以前眾多版本的Hikvision韌體，波及的設備包括IP 攝影機及PTZ攝影機70餘款，以及部分網路監控主機（NVR）。Hikvision已經在7月釋出最新版本韌體IPC_G3 (V5.5.800 build 210628) 及IPC H5 (V5.5.800 build 210628)。</p> <p>美國網路安全主管機關也在本周<a href="https://us-cert.cisa.gov/ncas/current-activity/2021/09/28/rce-vulnerability-hikvision-cameras-cve-2021-36260" target="_blank">呼籲企業管理員及早安裝最新版本韌體</a>。</p> </div></div></div>
2021/9/30 14:20作者林妍溱https://www.ithome.com.tw/news/146985
Lambdas函式現在也可在ARM機器上執行，性價比增加達34％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>無伺服器運算服務AWS Lambda Functions的用戶，現在也可以<a href="https://aws.amazon.com/tw/blogs/aws/aws-lambda-functions-powered-by-aws-graviton2-processor-run-your-functions-on-arm-and-get-up-to-34-better-price-performance/">選用ARM/Graviton2處理器</a>，來執行現有或是新的函式。AWS提到，得力於Graviton2架構，函式的執行效率更高，而且執行時間的費用更低，因此甚至可以在降低20％成本的同時，提高19％的效能。</p> <p>由於Lambda的計費方式，是根據函式的請求數量和持續時間，而持續時間是執行程式碼所需要的時間，以毫秒為單位計費。使用ARM/Graviton2架構的函式，持續時間的費用比x86處理器的定價低20％，而且在使用布建並行（Provisioned Concurrency）功能時，持續時間同樣也可以減少支付20％的費用。</p> <p>除了價格降低之外，AWS表示，使用ARM/Graviton2架構的函式，因為其內建多執行序、多行程等功能，因此可以有更少的執行時間與成本，特別是用戶現在可以使用高達10 GB記憶體和6 vCPU的運算資源來執行Lambda函式，這樣的用例在ARM/Graviton2架構處理器可以獲得更大的好處。</p> <p>只要用戶的函式，不使用架構特有的二進位檔案，像是相依項目，就可以輕易的從x86架構切換到ARM/Graviton2架構的Lambda函式上，AWS提到，直譯語言例如Node.js和Python，或是編譯成Java位元組碼的函式，通常都是可以直接轉換的情況。</p> <p>ARM/Graviton2支援所有建構在Amazon Linux 2之上的Runtime，這包括自定義Runtime，當函式包中有二進位檔案，就需要為ARM/Graviton2架構重新建置函式程式碼，以容器映像檔形式打包的函式，也需要專為ARM/Graviton2架構重新建置。</p> <p>用戶可以輕易地衡量這兩種架構的差異，透過對同一函式創建x86和ARM/Graviton2兩種版本，並且使用權重分配流向兩個版本的流量，在Amazon CloudWatch就能比較兩種架構的平均持續時間，和p99持續時間等指標。</p> <p>AWS提到，使用ARM/Graviton2架構的Lambda函式，可提升高達34％的性價比，而且使用Savings Plans，還可以進一步讓成本下降17％。目前美東、美西、歐洲地區，還有亞太的孟買、新加坡、東京與雪梨地區，皆有提供ARM/Graviton2架構的Lambda Functions。</p> </div></div></div>
2021/9/30 12:52作者李建興https://www.ithome.com.tw/news/146981
2021年9月10大資安新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本月的重要資安新聞中，重大漏洞的揭露與後續發展，可說是引起相當大的關注。其中，MSHTML漏洞CVE-2021-40444相當危險，因為MSHTML是內建在作業系統的功能，即使使用者沒有執行Internet Explorer，還是有可能曝露在該漏洞的風險當中，而這項漏洞已被駭客用於勒索軟體攻擊。</p> <p>但在新的漏洞之外，舊的重大漏洞所產生的後續效應，也不容忽視。近期傳出駭客在暗網公布近50萬組Fortinet SSL VPN帳密，揭露此事的資安新聞網站Bleeping Computer相信，這些資料的出現，與2018年被發現的CVE-2018-13379漏洞有關。</p> <p>而在漏洞的揭露與後續追蹤之餘，攻擊者採用的新手法也引起資安人員的留意。例如，駭客占用受害電腦資源牟利的方式，除了竊取機密資料、挖礦，近期也出現利用Proxyware來賺錢的現象，由於這種賺錢的方式將會讓他人透過使用者的流量上網，如果被用於瀏覽惡意網站，也可能會導致使用者的網路遭到ISP封鎖。</p> <p>此外，以取得應用程式存取授權的方式行騙，讓使用者不慎點選「同意」，讓攻擊者能夠存取的同意網路釣魚攻擊（Consent Phishing Attack），研究人員警告這類手法的攻擊事故，有升溫的現象。</p> <h2><strong><span style="color: rgb(178, 34, 34);">01.</span><a href="https://www.ithome.com.tw/news/146764">MSHTML重大漏洞已被用於勒索軟體攻擊</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-09-01.png" style="width: 400px; height: 152px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">02.</span></strong><a href="https://www.ithome.com.tw/news/146555"><strong style="vertical-align: top;">美國督促各大組織修補Atlassian Confluence漏洞</strong></a></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-09-02.jpg" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">03.</span><a href="https://www.ithome.com.tw/news/146620">駭客公布50萬組Fortinet VPN用戶帳號與密碼，74個國家受影響，臺灣第二嚴重</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-09-03.jpg" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">04.</span><a href="https://www.ithome.com.tw/news/146740">攻擊者打造Linux版Cobalt Strike的Beacon，鎖定電信、政府、金融業發動攻擊</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-09-04.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">05.</span><a href="https://www.ithome.com.tw/news/146560">惡意程式牟利的方式有了新手法！不只會偷取算力和資料，還會竊取網路頻寬</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-09-05.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">06.</span><a href="https://www.ithome.com.tw/news/146686">同意網路釣魚攻擊威脅增加，透過應用程式騙取用戶大型網站帳號的存取權限</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-09-06.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">07.</span><a href="https://www.ithome.com.tw/news/146813">美國穀物合作社遭BlackMatter攻擊，被勒索590萬美元</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-09-07.jpg" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">08.</span><a href="https://www.ithome.com.tw/news/146685">逾1,200所美國K-12學校的學生資料曝露在暗網</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-09-08.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">9.</span><a href="https://www.ithome.com.tw/news/146396">白宮舉行資安高峰會，IT巨頭承諾將大幅改善資安</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-09-09.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">10.</span><a href="https://www.ithome.com.tw/news/146469">首屆國際級工控資安評測出爐，資策會也參與這項評估計畫</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-09-10.png" style="width: 400px; height: 175px;" /></p> </div></div></div>
2021/9/30 10:54作者周峻佑https://www.ithome.com.tw/news/146979
臉書開源Android、Java App漏洞檢查工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2021/09/29/security/mariana-trench/" target="_blank">臉書昨（29）日宣布</a>，將自家檢查Android及Java App漏洞的工具Mariana Trench（MT）以開源專案公開。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0930-Mariana%20Trench%20facebook-600.jpg" style="width: 600px;" /></p> <p>為確保旗下行動應用程式，包括FB、IG、WhatsApp的安全性及功能順暢，臉書內部開發出自動化分析工具協助偵測和檢查程式漏洞。今年上半，臉書的自動化工具已經辨識出50多個漏洞。</p> <p>臉書工程師Dominik Gabi指出，Mariana Trench專案是臉書釋出的第3個程式碼靜態與動態分析工具。在此之前，<a href="https://www.ithome.com.tw/news/139304" target="_blank">臉書已釋出Zoncolan及Pysa</a>二項分析工具。三者的運作方式相似，不同的是Zoncolan及Pysa分別分析Hack及Python程式碼，而Mariana Trench則用來分析Android和Java App。</p> <p>安全分析師是藉由分析程式碼從Source到Sink之間資料流的種種路徑來找出漏洞。臉書指出，大的Codebase中往往包含多種不同類別的Source及Sink，Mariana Trench正是為了掃瞄包括數千萬行程式碼的大型行動App codebase的瑕疵或漏洞而設計，可大幅加速程式碼檢查的速度。</p> <p><a href="https://mariana-tren.ch/" target="_blank">臉書的技術文件網頁</a>寫道，Mariana Trench藉由分析Dalvik bytecode來找出Android和Java程式安全漏洞。它使用名為抽象釋義（abstract interpretation）的靜態分析手法建立一組模型，推測Java method各種資料路徑。安全分析工程師可以透過定義規則，讓它產出可能的資料路徑，藉此分析發現App之中的安全及隱私問題。</p> <p>除了快速外，臉書並指出，Mariana Trench另一優點是可客製化。安全分析人員經由長期規則設定及告知資料來源，逐漸訓練它來符合組織的需求。</p> <p><a href="https://github.com/facebook/mariana-trench" target="_blank">目前這項工具資源已經經由GitHub開放</a>。</p> </div></div></div>
2021/9/30 11:11作者林妍溱https://www.ithome.com.tw/news/146980
站在巨人肩膀鑄造雲端中臺，國泰醫院攻新世代微服務HIS
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「為迎接後疫情時代，我們決定開發自己的疫苗數位通行證！」國泰綜合醫院資訊部部長曾景平拿出手機這樣說。他秀出一張特別的數位憑證，上有QR Code、姓名、疫苗接種資訊和PCR檢驗資料的QR Code，「這就是國泰醫院的疫苗通行證雛型。」特別的是，這個通行證就在Apple Wallet裡，就像一張數位形式的證件，國泰醫院把疫苗憑證證件化了。</p> <p>不只是自用，國泰醫院也著手將疫苗施打紀錄和PCR的檢測報告結合，透過區塊鏈技術，放入電子化的疫苗通行證，也希望與衛福部智慧健康雲與其他醫療院所分享、合作，打造企業間可信賴的資料網路，甚至要擴大為未來國際間網路。</p> <p>這可不是一件偶一為之的小專案，而是一套有著嚴謹藍圖的重要專案。</p> <p>他們6月底啟動，著手分析系統、設計架構、開發App，9月更進入整合階段，目標是打造疫苗通行驗證生態圈。</p> <p><span style="font-size:28px;"><strong>四大基礎關鍵練就快速創新力，關鍵一：大膽擁抱新架構</strong></span></p> <p>這家座落在臺北市鬧區、44歲的小而美醫院，為何有能力快速應變、創新？</p> <p>這早在10多年前，就埋下伏筆了。曾景平回憶，2004年，國泰醫院大膽將醫療核心系統HIS砍掉重練，把大型主機的主從式架構轉換為Web開放式架構，程式語言也從老舊的COBOL轉換為當時剛爆紅的Java，解放IT人才技能。</p> <p>這個開放式架構，讓團隊能快速開發、快速更新，他們也在剛開業的汐止分院和新竹分院，部署這套新HIS。緊接著，2007年，國泰醫院統一旗下4家分院系統，全數改用同一套Java架構，正式底定「集中式管理、分散式處理」原則。也就是說，所有系統皆由總院管理、開發，所有分院皆用同一套架構和系統。這麼做，讓IT人力配置更精簡，開發人力集中於總院，分院配置3名維護人力，來管理該院資料庫和主機即可。</p> <p><span style="font-size:28px;"><strong>關鍵二：擁抱敏捷精神，醫生也參與系統開發</strong></span></p> <p>開放式架構帶來功能模組化、開發速度更快的好處，但國泰醫院IT團隊並未自顧自的沈浸在這種優勢裡，而是將使用者拉進來、設立種子醫生，一起參與開發，讓使用者親身感受Web化的好。</p> <p>比如10多年前，就有醫生主動提出個人化工作需求，與IT部門共同設計、打造整合式的病房即時查詢系統和醫師電子秘書系統，讓醫生透過單一入口，就能查詢所需資料，像是病房即時查詢系統整合了散落在不同HIS子系統的病患資料，讓醫生不必來回切換不同系統頁面，而電子秘書整合了醫生個人工作記錄，看診進度、開刀資訊等一次掌握。</p> <p>後來，iPad興起，醫生更建議將iPad用於醫療作業。於是，IT團隊重整病房即時查詢系統與醫師電子秘書系統，成為iMMIS系統，醫生用任何裝置都能查閱病歷資料、排定個人行程。</p> <p>這些系統至今，仍是國泰醫院醫生每日必備的重要工具。近幾年，有位醫生與曾景平聊到檢驗檢查的時間差，一句話又把系統推上一層樓。</p> <p>那位醫生告訴曾景平，一位患者來醫院做抽血檢查，2小時後報告出來發現血糖過低，「但病患已經回家，出事怎麼辦？」</p> <p>曾景平後來在電子秘書系統中設計一套警示系統，來提醒醫生病患檢驗報告結果，並帶出患者電話，讓醫生不必再從病歷中尋找。要是報告異常，就能通知總機致電詢問。</p> <p>這多年來以使用者為中心的敏捷開發精神，養成國泰醫院IT與醫護人員的良好默契，會議上不見雙方劍拔弩張的氣氛，而是相知相惜的氣息。</p> <p><span style="font-size:28px;"><strong>關鍵三：需求也要統一，絕不發散客製化</strong></span></p> <p>不過，僅有50多人的國泰醫院IT團隊，難以顧及4家分院數百位醫生的IT需求。因此在系統開發上，他們堅持「需求必須統一」的準則。也就是說，不論哪家分院的使用者提出需求，都得向其他分院相關單位討論，將系統規格等細節統一後，再向IT單位說明。</p> <p>如此一來，IT團隊只需開發、維護一套系統版本即可，醫生跨院支援時，也都使用同一套UI，不會出現A分院多一個按鈕、B分院少一個功能的窘境。</p> <p>比如近年，國泰醫院收回原先委外的護理資訊系統，改為自行開發。當時，參與開發的護理部派出近20位護理長，先討論出一套一致的系統規格，再找來一位護理資訊師作為溝通橋樑，將護理語言和IT語言互相轉換，讓雙方理解。</p> <p>「這就是我們的開發模式，」曾景平指出，系統開發給使用者使用，但不代表要漫無目的客製化，「開發人力有限，得用在刀口上！」他強調。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/16_(%E6%8A%BD)%E6%9B%BE%E6%99%AF%E5%B9%B3_%E5%9C%8B%E6%B3%B0%E7%B6%9C%E5%90%88%E9%86%AB%E9%99%A2_%E8%B3%87%E8%A8%8A%E9%83%A8_%E9%83%A8%E9%95%B7_20210915_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#696969;"><strong>國泰綜合醫院資訊部部長曾景平指出，開發人力須善用在刀口上，不得發散客製化系統，而是要統一分院版本。</strong></span></p> <p><span style="font-size:28px;"><strong>關鍵四：從內部顧客轉向瞄準外部顧客</strong></span></p> <p>不論是HIS改造，還是各項系統優化，IT團隊一直以來都以醫護「內部顧客」為中心。直到三年前，國泰金控副總經理林朝祥轉任至國泰醫院，這位剛上任的行政副院長，立即調整IT火力、瞄準就醫民眾等「外部顧客」，希望打造耳目一新的醫療體驗。</p> <p>他們的第一步，就是把門診App收回自行開發。國泰醫院很清楚，門診App並不稀奇，尤其許多醫院App只是功能性App，只提供掛號、看診進度查詢功能，但國泰醫院不這麼做。</p> <p>他們特別聘請外部顧問公司，重新梳理民眾就醫流程，撰寫成一本工具書，供團隊參考。不過，一方面要開發iOS程式，一方面要打造Android程式，國泰醫院IT面臨App人才短缺問題，但曾景平並不擔心。</p> <p>「因為集團資源豐富，」他將2位同事送到關係企業App開發團隊，磨練了半年再送回醫院接手App開發任務。他們打造的App整合了掛號、慢箋預約、陪病預約、看診和各類檢驗進度，還有繳費等功能，一次滿足就醫者需求。</p> <p>不光靠App，國泰醫院也從不少領域優化外部顧客體驗，比如自助繳費。「我們總院不大，前門可以看到後門，但長久以來繳費卻大排長龍！」</p> <p>於是，國泰醫院從使用者體驗考量出發，決定不收現金，改用只提供悠遊卡、信用卡和第三方支付的小巧自動繳費機，不只能將繳費流程縮短為幾秒鐘，還能避免卡鈔等人工維護負擔，微型設備更是容易部署到櫃臺旁，來彈性調度櫃檯人力。</p> <p>國泰醫院也將這種自助式精神，沿用到醫學影像檢查，打造一套自助報到系統，民眾持健保卡插卡即可報到，不必再臨櫃排隊。</p> <p>最近，國泰醫院還在甫搬新家的內湖國泰診所，嘗試一項更新穎的自助式服務。他們開發一套自動報到功能，當就醫民眾拿著手機進入診所、接收iBeacon定位訊號時，手機就會彈出提示，詢問民眾是否要報到。如此，就不必再走到診間插健保卡，就能報到。</p> <p>「這呼應了我們的目標，要成為一間行動化、智慧化的醫院！」曾景平說。</p> <p><span style="font-size:28px;"><strong>微服務新技術浮現，催生下世代HIS轉型專案</strong></span></p> <p>但他停頓了一下。</p> <p>他回想，10多年前一手砍掉HIS重練，沒人知道這種轉換的實際代價，IT團隊更走過一段艱辛歷程，常遭醫護抵抗。「好在硬撐了下來，後續也享受到新架構的好處，」但他坦言，這段時間裡AI、微服務、雲端等新技術層出不窮，Java架構真能帶國泰醫院走向行動化、智慧化的醫院嗎？</p> <p>「是時候該準備下一代HIS了，」他斬釘截鐵地說。</p> <p>於是，今年，國泰醫院找來擁有強大技術資源的關係企業，發起一項雲端轉型專案，制定一套新一代HIS上線計畫，要將關係企業驗證過的技術，複製到醫療上。而微服務、雲端、資料中臺，就是這套新HIS的關鍵字。</p> <p>這個新HIS專案計畫有四大階段，首先是組成核心架構團隊，由國泰醫院領域專家組成醫療架構小組。</p> <p>再來是技術培訓階段，國泰醫院團隊按部就班學習重點技術，如中臺架構、微服務開發框架、敏捷式開發、CI/CD自動化部署和雲端技術，以及醫療業務梳理。</p> <p>第三階段是建置HIS雲中臺，以專案形式打造雲中臺，並找出重複使用性高的系統，先行微服務化，再逐步搬遷到中臺。他們選定門診預約掛號系統和FHIR電子病歷系統，作為兩個PoC專案主題，來驗證上雲和微服務可行性。</p> <p>最後進入營運期，國泰醫院IT團隊將持續搬遷系統至雲中臺、繼續優化HIS架構。</p> <p><span style="font-size:28px;"><strong>4月啟動、9月建置雲中臺，12月要上線掛號和電子病歷兩大系統</strong></span></p> <p>接著，國泰醫院也制定嚴謹的執行時程，今年4月專案展開，醫療架構小組正式成立，7月進入技術培訓，由國泰醫院投入10多名人力，學習微服務架構。</p> <p>這個技術培訓課程相當紮實，從打基礎的微服務概觀、DevOps觀念和實作、OpenAPI撰寫以及開發環境準備，進一步到Spring Boot、Schema版本控制、Docker入門，甚至是用來設計跨部門服務架構的領域驅動設計（DDD）方法論。同時，國泰醫院也學習GCP雲端和中臺架構，來為雲端中臺做準備。</p> <p>9月，國泰醫院正式進入雲平臺建置階段，計畫用6個Sprint（開發衝刺期）完成開發，並在11月底到12月中完成系統測試，接著展開上線準備，目標要讓兩套系統正式在12月底上線。</p> <p>但醫療系統何其多，為何中意門診和電子病歷？曾景平解釋，門診預約掛號系統是外部顧客最常使用的系統，最能作為代表，來驗證微服務和雲端化可行性。而電子病歷則配合衛福部要推動的新世代FHIR電子病歷架構，先來實作。</p> <p>這項新HIS轉型專案，可說是國泰醫院實戰式的技術練兵。曾景平不諱言，新技術對國泰醫院IT來說是挑戰，但集團資源豐富，有套完整、驗證過的技術實作流程供醫院參考，不必重新閉門造車。「這是站在巨人肩膀上，布局下一代HIS！」他說。</p> <p><span style="color:#3399ff;"><strong>CIO小檔案</strong></span></p> <p><strong>國泰綜合醫院資訊部部長曾景平</strong></p> <p>學歷：中央大學系統生物與生物資訊研究所碩士畢業</p> <p>經歷：1991年進入國泰人壽電腦部任職，工作8年後，於1999年轉任至國泰醫院電腦組，2007年電腦組更名為資訊室、2009年改為資訊部，曾景平深耕十年後於2019年接棒國泰醫院資訊部部長至今。除正職業務，也自2015年起於輔仁大學兼任講師至今</p> <p><span style="color:#3399ff;"><strong>公司檔案</strong></span></p> <p><strong>國泰綜合醫院</strong></p> <p>● 地址：臺北市大安區仁愛路4段280號</p> <p>● 網址：<a href="http://www.cgh.org.tw">www.cgh.org.tw</a></p> <p>● 成立時間：1977年</p> <p>● 主要業務：成為以病人為中心的全人醫療照護機構，培育教學、研究與創新的卓越人才，強化急重難症醫療服務，並發展行動化、數位化的智能醫院</p> <p>● 員工數：2,200人</p> <p>● 院區：總院、汐止、新竹、內湖</p> <p><span style="color:#3399ff;"><strong>資訊部門檔案</strong></span></p> <p>● 資訊部門主管職稱：資訊部部長</p> <p>● 資訊部門主管姓名：曾景平</p> <p>● 直屬主管：行政副院長林朝祥</p> <p>● 資訊部門人數：51人</p> <p><span style="color:#3399ff;"><strong>IT大事記</strong></span></p> <p>● 2007年至2010年：發展醫療資訊系統，國泰醫院四院區統一採Java版新一代網頁式HIS，病房即時、醫師電子秘書等系統上線，護理資訊系統NIS和住院醫令系統上線</p> <p>● 2010年至2016年：發展電子病歷和自動化應用，行動醫療資訊系統iMMIS、電子病歷系統上線，iPad導入醫生查房流程，完成行動化療給藥、生理數據自動上傳</p> <p>● 2017年至2021年：發展AI輔助醫療，上線系統包括護理站電子白板、排班系統、自助繳費（含App和自助繳費機）、aHOP醫材管理系統、門診App改版、工務巡檢App，另發展心血管中心智慧病房、檢驗科/放射科自助報到系統，AI醫療則有腸道內視鏡影像AI判讀系統、肺部電腦斷層影像AI判讀系統和敗血症預測AI系統</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/08_nei_ye_ceng_jing_ping_guo_tai_zong_he_yi_yuan_zi_xun_bu_bu_chang_20210915_hong_zheng_wei_she_.png" width="960" height="420" alt="" title="國泰綜合醫院資訊部部長曾景平　　（攝影／洪政偉）" /></div></div></div>
2021/9/30 07:00作者王若樸https://www.ithome.com.tw/people/146881
思考模型的可解釋性
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在進入機器學習、深度學習的領域之後，「模型」一詞就會不斷地出現，有時模型是個數學公式，有時是個神經元，越複雜的任務會用到更複雜的網路，有些模型可以直接解釋其組成與參數，有些模型則神祕難解。</p> <p><span style="font-size:28px;"><strong>可以解釋的模型</strong></span></p> <p>其實不只機器學習、深度學習的場合會用到模型，在其他場合也會用到模型，只是不會特地用到模型這個字眼。</p> <p>舉例來說，如果想畫條二維直線，我們會使用y=ax+b這個模型；若想畫曲線，我們可以選擇多項式，或是更複雜的多項式組合，例如：貝茲曲線。</p> <p>簡單來說，許多已知數學公式，本身就是個模型，而這類模型有著已知的變數形式、參數等計算方式，可運用文字或公式，具體解釋箇中細節。</p> <p>這些模型的形式或參數，其實也是學習而來的，只不過學習的過程早就完成了，而且，是透過人類的大腦！</p> <p>例如，在《Deep Learning with PyTorch》第五章〈學習的機制〉一開始就談到，早在西元1609年，關於資料科學的標準流程就已經建立起來了，例如，當時克卜勒就在沒有電腦、計算機甚至微積分的情況下，建立了克卜勒第一、第二定律，那麼，他是如何做到的？</p> <p>如同現在的機器學習相關機制，克卜勒需要大量的觀察資料，試著清理出資料當中有用的部份，選擇某個曲線公式與參數，來試著擬合一部份資料，然後，再用另一部份資料來驗證，不斷地調整公式與參數，直到能符合觀察資料為止。</p> <p>也就是說，對於目前已知、可解釋的公式來說，學習的過程早就由數學家、科學家等完成。</p> <p>如果就機器學習、深度學習的術語來說，這些模型因為被儲存下來之後，於是，後人才得以直接使用、組合，從而能去解釋、模擬，以及預測更複雜的現象。</p> <p><span style="font-size:28px;"><strong>難以解釋的模型</strong></span></p> <p>由於數學家、科學家等不斷地根據既有的基本定理，從現象所觀察到的各種資料，找出可解釋現象的公式，能精確解釋公式中各參數的意義，因此，有越來越多的現象，可以透過公式來解釋，而這就像是在驗證伽利略說過的一句話：「數學是上帝用來書寫宇宙的文字」。</p> <p>不過，有些任務其實就現階段的人類而言，沒辦法精確地找出對應的模型，然而，我們卻可以經由設定一個目標、微調達成目標的方式，以及重複地循環，來達成所需的各種任務，就像我在先前專欄<a href="https://www.ithome.com.tw/voice/139796" target="_blank">〈程式猴與基因演算法〉</a>談過的基因演算法，就是個例子。</p> <p>以猴子打字而言，猴子本身帶有幾個基因，就代表著模型中有幾個參數，基因排列順序就是參數值，而眾多的猴子，代表著各種可能擬合世界的可能性。</p> <p>因此，當我們評估猴子在世界中的適應度，就像是在評估與目標的差距，而通過適應度而可以繁衍的猴子在交換基因時的行為，就像是在微調參數，在經過無數代的繁衍之後，猴子可能滅絕，也有可能誕生出猴子界的莎士比亞。</p> <p>那麼，這隻猴子界的莎士比亞，該怎麼解釋其本身的基因排列，究竟有何意義呢？很難去解釋！那麼，這隻猴子界的莎士比亞，有辦法解釋其全部先代交換基因的過程，有什麼意義呢？事實上，這也是極為艱難的任務。</p> <p>擁有莎士比亞能力的猴子是最終成果，是個難以精確解釋的模型，雖說如此，從更大的角度來看，其實，基因演算法是設定了一個更通用的模型，也就是：「設定目標」、「微調方式」、「適應度評估」、「重複循環」，而這類型演算法，放棄了解釋最終模型的可能性，以此換取解決複雜任務的可能性。</p> <p><span style="font-size:28px;"><strong>建立一個超級模型</strong></span></p> <p>關於「可以解釋的模型」，以及「難以解釋的模型」，這兩者之間的差異，其實，也普遍存在生活之中。</p> <p>如果你畫了條拋物線，我請你用解釋路徑如何形成，應該是沒問題。不過，若你隨手畫了個葉片落下的流暢曲線，我請你解釋「流暢是怎麼個流暢法？曲線的公式是什麼？」此時，你八成說不出個所以然。</p> <p>藉由藝術工作者的巧手，可以做出自然的曲線與平滑，這是來自藝術工作者長期的觀察、練習與經驗，曲線與平滑之類的規則，而且，它們早已內化為藝術工作者的一部份。不過，如果我們要將藝術工作者內化的一部份，提取出來、成為具體的公式與演算法，這並不是件容易的事。</p> <p>確實地，有些規則過去已經被其他人所提取出來了，像我談過的自然界雜訊模擬（例如Perlin雜訊），或是Voronoi圖；當然，有不少藝術工作者是特意、有意識地安插公式、規則或演算，置入作品中，像是達利、艾雪等，所以，這類作者的作品，在可解釋性的部分，就會達到很高的程度。</p> <p>深度學習之類的東西，其實就是試圖抽取出這些現階段難以解釋的規則，我們可能很難去解釋每個神經元到底處理了什麼，以及每一層神經網路又處理了什麼；然而，某些程度上，這與克卜勒、伽利略等的做法相比，彼此之先卻又沒有差異，也類似方才談過的基因演算法。而這些作法往往都是放棄了解釋最終模型的可能性，來換取解決複雜任務的可能性。</p> <p>事實上，我們單看每個神經元，就像單看猴子的基因，不過就是簡單的組合，每個神經元就只是個線性模型接上激勵函數。</p> <p>以二維來說，視激勵函數而定，每個神經元就是對一小段折線或曲線做出貢獻，在訓練完成之後，模型表現出的曲線，可以達到正確的迴歸或分類，然而，卻很難去解釋哪一層的哪個神經元，是貢獻了哪一個小線段的構成。</p> <p>那麼，你不用事先建立模型嗎？不！你還是必須建立一個超級模型！至於需要幾個神經層？每層要幾個神經元？使用的激勵函數？學習率？最佳化策略？損失函數用哪個？……你仍然還要負責處理這些問題，並且使用大量的資料，反覆去實驗其正確性嗎？</p> <p><span style="font-size:28px;"><strong>該做的事情都一樣</strong></span></p> <p>確實地，現在機器學習、深度學習的領域，也已經存在著不少已經完成訓練、儲存下來的模型，這就像有了過去數學家、科學家建立的公式；然而，當有必要去建立自己的超級模型時，就會像《Deep Learning with PyTorch》最後一章的結論所言：「大多數的實驗都是以失敗收場的」。</p> <p>也因此，機器學習、深度學習也不會是（有條件的）暴力法這類的東西。當你思考「可以解釋的模型」、「難以解釋的模型」兩者的差異，在必須構築一個超級模型，接下來用大量資料修正與驗證時，你跟早期數學家、科學家在做的事情，在本質上並沒有兩樣，只不過，現在大量的資料較易獲取，有高速的機器等，令現象的資料來源、驗證的時間成本等，都獲得了改善。</p> <p>簡單地說，隨意地建立超級模型，暴力地調整超參數，就能達成任務嗎？不是吧！到最後，不管是建立可解釋或難以解釋的模型，該做的事情，還真的與西元1609年的時代沒有兩樣呢！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E6%A9%9F%E5%99%A8%E5%AD%B8%E7%BF%92">機器學習</a></div><div class="field-item even"><a href="/tags/%E6%B7%B1%E5%BA%A6%E5%AD%B8%E7%BF%92">深度學習</a></div><div class="field-item odd"><a href="/tags/%E6%A8%A1%E5%9E%8B">模型</a></div><div class="field-item even"><a href="/tags/ai">AI</a></div></div></div>
2021/9/30 07:00作者林信良https://www.ithome.com.tw/voice/146887
甲骨文推出新版整合OLTP/分析負載的Exadata X9M系統，叫陣挑戰AWS及微軟Azure
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.oracle.com/news/announcement/oracle-introduces-next-generation-exadata-x9m-platforms-2021-09-28/" target="_blank">甲骨文本周宣布推出</a>最新一代Exadata X9M平臺，號稱執行OLTP及分析速度分別較前一代提升70%和87%，挑戰AWS RDS及微軟Azure SQL兩大雲端資料庫服務。</p> <p>Exadata X9M是執行甲骨文資料庫（Oracle Database）軟體的硬體平臺。最新一代Exadata X9M硬體系列包含Oracle Exadata Database Machine X9M，和 Exadata <a href="mailto:Cloud@Customer">Cloud@Customer</a> X9M，後者是可在客戶端資料中心跑Oracle自主資料庫（Autonomous Database）的唯一系統。</p> <p>甲骨文聲稱，新一代Exadata X9M跑OLTP任務的IOP（Input/Output Operations Per Second）效能，及執行SQL分析任務速度，雙雙較前一代提升。其中，核心Oracle Exadata Database Machine X9M採用橫向擴充架構，包括Intel Optane持續性記憶體及Intel CPU及RoCE（RDMA over Converged Ethernet）技術，OLTP運算最高可達27.6M IOPS，比起前代快70%，延遲性不到19微秒。執行分析式任務時，每臺Exadata X9M分析掃瞄吞吐量超過1TB/sec。此外它提供576顆CPU組成的儲存伺服器，以處理低階SQL查詢、分析及機器學習演算法。</p> <p>和X8M相較，Exadata X9M系統的資料庫伺服器CPU和記憶體提升33%，儲存空間也增大28%，可將OLTP、分析、機器學習、記憶體內（in-memory）和混合式負載整合在單一系統上執行，強調降低成本及複雜性。</p> <p>至於Exadata <a href="mailto:Cloud@Customer">Cloud@Customer</a> X9M，根據甲骨文說法，比起前一代，IOPS和分析掃瞄速度提高87%及80%，SQL讀取延遲性則低於19微秒。由於價格不變，但效能比前代提高，甲骨文宣稱新系統的分析任務成本減少47%，而其儲存擴充彈性也使大型分析專案的基礎架構成本減少45%。資料庫管理員可透過Operator Access Control全權設定遠端管理權限。</p> <p class="rtecenter"><img alt="" src="https://blogs.oracle.com/content/published/api/v1.1/assets/CONT5F446F06F6C74F78B3FF0CB51552BA7F/native?cb=_cache_3e6e&channelToken=9a0e07bd8dfd4c088c03a48d753255f6" style="width: 600px;" /></p> <p>甲骨文Exadata <a href="mailto:Cloud@Customer">Cloud@Customer</a> X9M主要挑戰AWS及微軟Azure的雲端資料庫服務。甲骨文宣稱，新系統比起Amazon RDS及Azure SQL全快閃記憶體儲存服務，OLTP延遲性好上50倍及100倍。在分析任務上，延遲性表現分別是對手的72倍及25倍。若比起使用AWS Outposts混合雲方案的AWS RDS資料庫，X9M的OLTP及分析延遲性更快50倍和18倍。</p> <p>甲骨文本周同時宣布資料回復裝置Zero Data Loss Recovery Appliance X9M。Recovery Appliance是專為Oracle Database軟體打造的資料備份及復原裝置，可自動驗證備份資料，確保在資料無損下回復資料庫。X9M版比起前一代儲存容量大30%，入門價則下調50%。</p> <p>Recovery Appliance X9M新增功能包括，支援多臺Recovery Appliance的同步運作，支援甲骨文備份裝置Oracle ZFS Storage Appliance及雲端服務Oracle Cloud Infrastructure Object Storage，以及可在勒索軟體及其他惡意軟體災難中回復資料的技術Cyber Vault。</p> <p>甲骨文指出，Exadata <a href="mailto:Cloud@Customer">Cloud@Customer</a> X9M還強化安全功能，包括支援客戶定義的加密金鑰及資料庫層的存取表（Access Control Lists，ACL）。搭配Recovery Appliance X9M，則可確保企業資料損失，或是被勒索軟體加密或竊取。</p> <p>甲骨文指出，Exadata資料庫專用裝置用戶目前有英特爾、NEC、韓國徵信公司、現代電視購物Hyundai Home Shopping、電信公司Telefonica等。</p> </div></div></div>
2021/9/29 22:26作者林妍溱https://www.ithome.com.tw/news/146970
IBM與Linux基金會共同發表AI構件儲存庫MLX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM與Linux基金會底下的AI與資料（LFAI and Data）基金會合作，發布<a href="https://lfaidata.foundation/blog/2021/09/28/machine-learning-exchange-mlx/">機器學習交換專案（Machine Learning eXchange，MLX）</a>，這是一個資料和人工智慧資產目錄執行引擎。</p> <p>在人工智慧生命周期中，需要使用資料來建構自動化模型，而在這個過程，資料需要經過大量的處理，建構模型的工作也會與不同的團隊互動，創建資料集、特徵、模型或是工作管線任務等，而這些工作，則需要可追溯性、治理、風險管理和元資料收集等功能支援。</p> <p>為了解決這些問題，開發者需要一個中央儲存庫，儲存所有不同的資產類型，以便跨組織共享和重複使用這些資產，而MLX則提供了解決方案，作為人工智慧構建中央儲存庫，MLX供用戶儲存各種資產類型，並且執行檢查、授權和追蹤資料集，來提高人工智慧生命周期的效率。MLX允許用戶上傳、註冊、執行和部署人工智慧工作管線、模型、資料集和筆記本。</p> <p>MLX運作在OpenShift和Kubernetes之上，工作管線引擎則是以Kubeflow Pipelines on Tekton為基礎，MLX提供了一系列免費且開源，適用於一般應用程式的深度學習模型，包括可在Kubernetes或OpenShift上，作為微服務執行的可部署模型，而用戶也能夠提供自己的資料來訓練模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/pasted%20image%200(8).png" style="width: 380px;" /></p> <p>資料科學家愛用的Jupyter筆記本，是個開源應用程式，可用來創建和共享包含可執行程式碼、函式、視覺化和文字的檔案，而在MLX中，用戶也可以將Jupyter筆記本，作為獨立的工作管線元件運作。</p> </div></div></div>
2021/9/29 22:39作者李建興https://www.ithome.com.tw/news/146966
Google更新API平臺Apigee，供用戶簡單連接資料和應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google更新API平臺Apigee推出<a href="https://cloud.google.com/blog/products/api-management/google-cloud-announces-apigee-integration">Apigee Integration</a>，供用戶以API優先方法連接資料和應用程式。Apigee是一個API生命周期管理平臺，可供用戶控制和查看API，Google提到，隨著Apigee Integration推出，該平臺將具有API管理和整合能力，可提升企業IT擴展營運規模的能力，還能增加開發人員的生產力。</p> <p>不少企業的資料和應用程式，分散並且孤立於各種企業內部部署和雲端伺服器中，無論是內部還是合作夥伴，都無法簡單的取用，因而削弱了企業數位轉型的能量，而Google所新發布的Apigee Integration，使開發人員可以無縫連接資料和應用程式，並且以API的形式呈現這些資源。</p> <p>Google解釋，Apigee Integration為API優先的解決方案，API優先意味著API是滿足一組特定業務需求的最終產品，因此API的設計和開發，應該先於後端資料和基礎設施配置。</p> <p>從10月6號開始，Apigee Integration正式上線，提供開發人員一個統一的解決方案，來連接現有的應用程式，並且能在同一介面建置和管理API，Apigee Integration也提供一組預建立的Salesforce、Cloud SQL和BigQuery等連接器，供用戶連接第三方服務。同時，該解決方案也支援進階整合模式，像是條件路由、資料映射和基於事件的觸發器等，供用戶將Apigee Integration用於更多類型的使用案例上。</p> <p>Google也提到會繼續更新Apigee，接下來即將推出更新還有軟體開發生命周期工具、Cloud Code擴充套件，而且還要支援GraphQL。</p> </div></div></div>
2021/9/29 23:07作者李建興https://www.ithome.com.tw/news/146968
微軟正式推出資料治理服務Azure Purview
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正式推出資料治理服務<a href="https://azure.microsoft.com/zh-tw/blog/govern-your-data-wherever-it-resides-with-azure-purview/">Azure Purview</a>，在企業定義資料源後，該服務就能自動探尋本地和公有雲上的資料，並且依照預先定義的分類器，偵測敏感資料。</p> <p>Azure Purview讓企業能夠全面了解資料，無論資料位於SQL Server和Oracle等本地資料庫，抑或是位於AWS S3物件儲存中，甚至是在Salesforce等SaaS應用程式，Azure Purview都能以自動化資料探索和敏感資料分類，簡單地創建資料資產和關係圖，掌握敏感資料在混合環境中的移動，同時也讓資料消費者，能夠透過資料目錄尋找需要的資料。</p> <p>微軟提到，企業的資料數量和種類快速增加，不只是儲存在企業本地端的資料，還包括跨不同公有雲和各種軟體即服務中的資料，要追蹤不同來源的資料資產，將越來越困難，並且也難以符合市場變化和監管要求。</p> <p>因應企業對於資料管理和資料治理服務的需求，微軟建構了Azure Purview，使企業能掌握並且管理所有資料。Azure Purview讓用戶可以在當前工作負載，快速添加資料治理功能，Azure Purview還與分析服務Azure Synapse Analytics深度整合，因此用戶可以從Azure Synapse Studio工具中，搜尋Azure Purview資產並且進行操作。</p> <p>Azure Purview能夠從原始資料，甚至是業務分析資料，捕捉資料資產之間的關係，微軟提到，Azure Purview藉由和SQL Server、Power BI和Azure SQL等服務整合，可自動捕捉並更新資料之間的關係。</p> <p>Azure Purview會以200多個預建置和自定義的分類器，自動進行資料分類，並偵測像是商業術語、位置資料或名稱等敏感資料，且藉由和微軟訊息保護（Microsoft Information Protection）功能整合，可以確保用戶能夠一致地使用先前已經定義的敏感標籤。</p> </div></div></div>
2021/9/29 23:10作者李建興https://www.ithome.com.tw/news/146969
Cloudflare發布物件儲存服務R2，主打不收流出頻寬費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare發布新的<a href="https://blog.cloudflare.com/introducing-r2-object-storage/">物件儲存服務R2</a>，供開發人員儲存大量非結構化資料，作為AWS物件儲存服務S3的競爭產品，R2儲存完全相容於S3的API，方便用戶搭配現有工具和應用程式使用。R2具有價格優勢，不只不收資料流出頻寬費用，操作費用也更低廉。</p> <p>物件存儲部分時候也稱為Blob儲存，可用來儲存大型非結構化的檔案，物件儲存適合儲存媒體、日誌甚至是應用程式的元資料，這些內容都能以一致的延遲、高耐久性和大容量進行儲存和檢索。</p> <p>傳統的物件儲存會向用戶收取三項費用頻寬、儲存容量和儲存操作，官方提到，流出頻寬通常是最大也是最難預測的費用，基於頻寬聯盟（Bandwidth Alliance）的精神，R2將不會對用戶收取資料流出頻寬的費用。</p> <p>Cloudflare R2儲存容量的價格，每月每GB儲存為0.015美元，低於現有市面供應商的價格。在操作方面的費用，Cloudflare認為，傳統的物件儲存，無視請求量都應用相同的費率，甚至企業還能協商以量制價，獲取更低的價格，而這對於少量使用的開發者來說並不公平，且一般為不頻繁存取設計的服務，通常無法擴展到大量使用情境。</p> <p>R2目前計畫對每秒請求為個位數的用例，不收取操作費用，官方提到，即便超過這個閾值，每次操作的費用，也會比目前主要供應商少得多，因此R2不只是對不經常存取的用戶來說價格低廉，對於大規模應用也是相對便宜的選擇。R2採用自動智慧分層來管理資料，在提高峰值負載效能的同時，對於不頻繁使用的物件，也能降低儲存成本。</p> <p>R2提供簡單的搬遷工具，讓用戶可以從相容的S3中，以低操作成本的方式，將指定儲存桶的內容遷移到R2。即便R2價格便宜，但是仍提供高耐久度和彈性，官方提到，R2提供99.999999999%的年度耐久度，與目前主要供應商水準相同。R2能夠抵抗地區性的故障，透過多次複製物件，來實現高可用性，R2具有跨大量地區冗餘，以確保可用性，不只會自動全球發布，也可以指定在特定地區儲存資料。</p> <p>R2和Cloudflare無伺服器服務Workers無縫整合，用戶可以將Worker綁定到特定的儲存桶，在物件寫入或是讀取自儲存桶時，動態轉換物件。Cloudflare還計畫將Durable Objects作為R2備份的目標，並且整合Cloudflare Cache，來大幅延長不頻繁更改物件的快取生命周期。</p> <p>官方提到，R2可被應用在許多用例上，除了和Workers併用之外，也能用來儲存物聯網資料，或是儲存CDN資產和大型媒體檔案，而且由於R2沒有流出頻寬費用，適合儲存需要經常存取的內容。目前R2還在開發階段，用戶已經可以申請試用，之後Cloudflare會提供公開測試版本。</p> </div></div></div>
2021/9/29 21:41作者李建興https://www.ithome.com.tw/news/146961
間諜組織FamousSparrow利用ProxyLogon漏洞入侵受害組織，植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><font face="sans-serif, Arial, Verdana, Trebuchet MS">許多企業使用的郵件系統Exchange Server，今年3月初驚傳<a href="https://www.ithome.com.tw/tags/proxylogon">重大漏洞ProxyLogon</a>，多個駭客組織在微軟發布修補程式之後，開始運用這個漏洞進行攻擊。例如，ESET最近揭露<a href="https://www.welivesecurity.com/2021/09/23/famoussparrow-suspicious-hotel-guest/">針對全球飯店、政府的網路間諜組織FamousSparrow</a>，駭客在受害組織植入後門程式的入侵管道，就包含ProxyLogon漏洞利用。</font></p> <p><font face="sans-serif, Arial, Verdana, Trebuchet MS">這個駭客組織引起ESET關注的原因之一，就在於他們於微軟發布修補程式的隔日（3月3日），就著手運用前述的Exchange Server漏洞。</font></p> <h2><strong><font face="sans-serif, Arial, Verdana, Trebuchet MS">受害者遍及12個國家，臺灣也在名單之內</font></strong></h2> <p><font face="sans-serif, Arial, Verdana, Trebuchet MS">ESET根據遙測的資料進行分析，他們認為FamousSparrow至少從2019年8月就開始活動，主要的攻擊目標是全球的飯店。</font></p> <p><font face="sans-serif, Arial, Verdana, Trebuchet MS">但是，除了針對多家飯店之外，ESET也看到其他攻擊活動，鎖定對象包括：臺灣、巴西、南非、加拿大、以色列、法國、英國、瓜地馬拉等12國政府單位、國際組織、工程公司，以及法律事務所等行業。</font></p> <p><font face="sans-serif, Arial, Verdana, Trebuchet MS"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Geographic-FamousSparrow-s.png" style="width: 580px; height: 446px;" /></font></p> <p><font face="sans-serif, Arial, Verdana, Trebuchet MS">這個網路間諜組織究竟採用何種攻擊手法？</font></p> <p><font face="sans-serif, Arial, Verdana, Trebuchet MS">ESET指出，FamousSparrow的偏好，是經由曝露在網際網路的網頁應用程式，來入侵受害組織的系統，他們認為，該</font>組織不只鎖定Exchange Server，還有SharePoint、Oracle提供用於管理飯店的商業軟體Opera，並用這些網頁程式已知的遠端程式碼執行（RCE）漏洞，進而在組織內植入惡意程式。</p> <h2><strong><font face="sans-serif, Arial, Verdana, Trebuchet MS">作案軟體包含與竊密有關的工具</font></strong></h2> <p><font face="sans-serif, Arial, Verdana, Trebuchet MS">一旦FamousSparrow成功入侵上述伺服器主機，便會部署多種作案工具：包含了駭客自行編譯的Mimikatz，以及NetBIOS掃描工具Nbtscan、後門程式SparrowDoor的載入工具，還有疑似用來收集受害電腦記憶體內機密的工具。不過，對於此洩密工具，ESET並未提及名稱，但指出其用途是下載ProcDump的應用程式，導出LSASS處理程序裡的資料。</font></p> <p><font face="sans-serif, Arial, Verdana, Trebuchet MS">而對於後門程式SparrowDoor的運作方式，ESET也做出說明：當中使用K7 Computing防毒軟體的合法應用程式，名為Indexer.exe，趁機夾帶惡意</font>DLL檔案K7UI.dll，以及加密的Shellcode（MpSvc.dll）。</p> <p><font face="sans-serif, Arial, Verdana, Trebuchet MS">因Indexer.exe需K7UI.dll程式庫才能執行，再加上攻擊者存放此可執行程式的路徑，具備最高載入優先順序，容易觸發DLL劫持攻擊。</font></p> <p><font face="sans-serif, Arial, Verdana, Trebuchet MS"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2_-SparrowDoor-staging-s.png" style="width: 400px; height: 688px;" /></font></p> <blockquote><p><font face="sans-serif, Arial, Verdana, Trebuchet MS">關於SparrowDoor後門程式的運作方式，根據資安業者ESET的揭露，是先由合法的K7 Computing防毒軟體元件載入惡意程式庫，再執行Shellcode進行解碼程序，最終才在受害電腦編譯並執行後門程式。</font></p> </blockquote> <p><font face="sans-serif, Arial, Verdana, Trebuchet MS">不過，SparrowDoor這個後門程式，究竟有那些功能？</font></p> <p><font face="sans-serif, Arial, Verdana, Trebuchet MS">ESET指出，攻擊者可透過該程式，竄改檔名或移除檔案、建立資料夾、傳送檔案資訊、取得檔案大小與寫入時間、外洩特定檔案的內容。此外，為了清除相關的跡證，SparrowDoor也能自我刪除檔案，以及移除能在受害裝置持續運作的配置。</font></p> </div></div></div>
2021/9/29 18:17作者周峻佑https://www.ithome.com.tw/news/146965
1Password推出可產生隨機電子郵件位址的Masked Email服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.1password.com/fastmail-masked-email/" target="_blank">密碼管理業者1Password本周宣布</a>，已與電子郵件代管業者Fastmail合作，共同推出可產生隨機電子郵件位址的Masked Email服務，以維護使用者既有電子郵件位址的安全。</p> <p>Masked Email的概念如同電子郵件的別名，它可在使用者需要輸入電子郵件位址以進行註冊或接收資訊時，隨機產生新的電子郵件位址，並把新位址所接收到的郵件轉寄到指定的Fastmail郵件信箱。</p> <p>1Password說明，這是為了讓用戶真正在使用者的電子郵件位址維持保密狀態，以免受到垃圾郵件的干擾，或是被資料外洩事件波及，當用戶發現其中一個隨機位址已經外洩或是被用來寄送垃圾郵件時，即可將它關閉。</p> <p>不過，要使用Masked Email必須同時身為1Password及Fastmail的用戶才行。總部位於澳洲的Fastmail創立於1999年，<a href="https://www.ithome.com.tw/node/60972" target="_blank">在2010年曾經賣給Opera</a>，不過Fastmail員工於2013年又買回該公司的股份，重新成為獨立的郵件服務供應商。</p> </div></div></div>
2021/9/29 15:29作者陳曉莉https://www.ithome.com.tw/news/146958
微軟Microsoft Store開放Amazon、Epic第三方應用市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsdeveloper/2021/09/28/microsoft-store-more-apps-more-open/" target="_blank">微軟昨（28）日宣佈</a>，應用程式市集Microsoft Store可串連Amazon及遊戲業者Epic Games的應用市集以搜尋App，並上架了更多過去沒有的應用程式，包括Opera等瀏覽器。</p> <p><a href="https://www.ithome.com.tw/news/145247" target="_blank">微軟6月公佈Windows 11時同時宣佈改版Microsoft Store</a>，最大特色是可整合Android App。不過今天微軟進一步宣佈更新了Microsoft Store on Windows政策，允許第三方市集的應用程式可為Windows版Microsoft Store搜尋。</p> <p>Microsoft Store將在10月5日，連同正式版Windows 11釋出上線。幾個月內也會推出Windows 10可用版本。</p> <p>和一般上傳Microsoft Store的應用程式一樣，第三方市集的應用程式也會有產品詳細資訊頁，以供搜尋及用戶讀取。Microsoft Store總經理Giorgio Sardo表示，Amazon及Epic Games未來幾個月會將其應用市集整合進Microsoft Store，預計會有其他應用市集再加入。</p> <p>另一個重點是Android App。<a href="https://docs.microsoft.com/en-us/windows/uwp/publish/store-policies?redirectedfrom=MSDN" target="_blank">微軟8月宣佈</a>將透過整合Amazon Appstore，讓用戶可在Microsoft Store搜尋Android應用程式及遊戲軟體。微軟表示，這工作目前還在進行中，很快會釋出Windows Insiders預覽版，並再公告詳細的系統需求、以及預覽版會推出的市場。</p> <p>微軟今天也公佈，繼6月更新Microsoft Store關於瀏覽器App的政策後，新的瀏覽器，包括Opera及Yandex已經上架Microsoft Store on Windows。</p> <p>其他新上架的App包括Reddit、Wikipedia、TikTok、Lyft、Quizlet、Tumblr以及影像編輯軟體Clipchamp的PWA（Progressive Web App），之前已經有Discord、 Zoom、多媒體播放器VLC、TeamViewer及 Visual Studio Code等。微軟也鼓勵開發人員上傳自有應用程式。</p> </div></div></div>
2021/9/29 15:44作者林妍溱https://www.ithome.com.tw/news/146959
資安一周第165期：國內中小電商遭網釣攻擊鎖定。中國鎖定臺灣資安公司製造假新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">9/23-9/29必看資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路釣魚攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">國內中小電商遭網釣攻擊鎖定，客服員工開啟附件就被竊取帳密</strong></h2> <p>近半年以來，臺灣出現鎖定電商客服人員盜取帳密的釣魚郵件，假冒消費者客訴來信，並清楚提及收件者公司的品牌與產品名稱，也有電商營運長在網路上公布遇害經歷。不只電商同業要注意這類資安溫鞋，隨著這類釣魚範本的發展，針對企業高度量身打造的偽裝內容可能更普遍。</p> <p>值得關注的是，郵件內容都是正體中文，沒有簡體與亂碼，相當符合本地用戶信件撰寫方式；同時，信中內容提及收件者所屬公司的名稱與產品，謊稱之前已買過該組產品，因發現產品有瑕疵，要業者盡快回覆處理。這樣的詐騙內容，顯然已量身打造而讓人很難起疑心。<strong><a href="https://www.ithome.com.tw/news/146877">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃假消息＃認知作戰</strong></span></h3> <h2><strong style="vertical-align: top;">中國鎖定臺灣資安公司製造假新聞，挑撥臺日政府關係</strong></h2> <p>中國網軍認知作戰又有新手法！近日傳出中國網軍在日本內容農場散布假消息，指稱臺灣政府授意資安公司TeamT5（杜浦數位安全），非法收集日本民眾個資以及企業重要人士的機敏資訊。對此TeamT5聲明沒有從事任何網路攻擊行動，並向臺日的調查單位通報。</p> <p>該公司指出，造謠者於中文及日文的內容農場散布假消息，內容存在大量日文錯誤文法，並夾雜中文詞彙，根據攻擊手法研判，可能是出自國家級駭客之手。<strong><a href="https://www.ithome.com.tw/news/146834">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/165-1-TeamT5-fakenews.png" /></p> <p><strong><span style="color:#808080;">圖片來源：TeamT5</span></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃BEC</strong></h3> <h2><strong style="vertical-align: top;">商業電郵詐騙國內報案每週至少兩起，且企業往往已遭入侵逾半年</strong></h2> <p>近期商務電子郵件詐騙（BEC）事件頻傳，刑事警察局公布相關的統計數字，他們表示，最近五年每年都有超過1百個案件，且每年遭到詐騙的金額，都在2億元以上。</p> <p>國際刑警科秘書林明俊表示，BEC詐騙事件的出現，通常企業早就被駭客入侵半年以上，因此，網路犯罪者才能知道雙方公司之間的交易採購情形，再伺機以假冒電子郵件要求變更匯款。<strong><a href="https://www.ithome.com.tw/news/146821">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊 </strong></span></h3> <h2><strong style="vertical-align: top;">視窗作業系統控管電力的WPBT模組含有漏洞，允許駭客植入Rootkit</strong></h2> <p>專精於韌體安全性的資安業者Eclypsium日前揭露，微軟在Windows中內建的Windows Platform Binary Table（WPBT）含有重大漏洞，一旦攻擊者運用，可在受害電腦植入Rootkit，這項漏洞波及微軟自2012年以來推出的所有Windows作業系統。<strong><a href="https://www.ithome.com.tw/news/146919">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/165-2-WPBT-attack.png" style="width: 400px; height: 225px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：Eclypsium</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃惡意程式攻擊＃變形程式碼簽章</strong></h3> <h2><strong style="vertical-align: top;">惡意程式使用新的簽章手法躲避Windows檢查</strong></h2> <p>駭客手法日新月異，Google安全研究人員於9月23日提出警告，惡意程式OpenSUdpater以變造簽章的新手法躲避安全產品偵測，資安產品無法掃描或解析其異狀，並被Windows判別為合法程式，Google相信，這是以竊取金錢為目的的攻擊者所開發出來的新手法。</p> <p>對此微軟認為，這不是Windows作業系統的安全漏洞，且該公司的防毒軟體已經可以阻擋相關攻擊。<strong><a href="https://www.ithome.com.tw/news/146932">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/165-3-OpenSUpdater.png" style="width: 300px; height: 350px;" /></p> <p><span style="color:#808080;"><strong>圖片來源：Google</strong></span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">vCenter Server出現重大漏洞，VMware督促用戶儘速修補</strong></h2> <p>VMware在9月21日釋出了安全更新，總計修補了19個涉及vCenter Server的安全漏洞，並督促用戶應儘速修補當中最嚴重的CVE-2021-22005。</p> <p>這項漏洞存在於vCenter Server的Analytics服務，為檔案上傳漏洞，駭客只要透過網路存取vCenter Server的443連結埠，就能藉由上傳特製的檔案來執行任意程式。<strong><a href="https://www.ithome.com.tw/news/146841">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞修補</strong></span></h3> <h2><strong style="vertical-align: top;">不滿蘋果漏洞處理態度，研究人員公布4項漏洞資訊</strong></h2> <p>研究人員IllusionOfChaos宣稱在今年上半，向蘋果通報4項影響作業系統的安全漏洞，但截至日前釋出的iOS 15.0，蘋果只修補了其中1項漏洞，而且並未提及找到漏洞的資安人員。該名研究人員憤而於9月24日，公布上述4個漏洞的細節。</p> <p>對此蘋果於9月26日聯繫該名研究人員，對延遲回應致歉並感謝他的貢獻，也說該公司正在研究這些漏洞以便解決。<strong><a href="https://www.ithome.com.tw/news/146903">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃行動裝置安全＃內容審查</strong></span></h3> <h2><strong style="vertical-align: top;">立陶宛政府發現華為與小米手機含有安全風險</strong></h2> <p>立陶宛國防部的網路安全中心近期發布調查報告，針對 3款中國製的5G手機，包括華為P40 5G、小米10T 5G與一加（OnePlus）8T 5G，進行檢測，他們發現，當中的華為與小米手機都含有安全風險，唯有OnePlus全身而退。其中，小米10T 5G會用戶下載內容，並封鎖含有「自由西藏」等被中國視為禁忌字眼的檔案。<strong><a href="https://www.ithome.com.tw/news/146838">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩＃資料庫配置不當</strong></span></h3> <h2><strong>泰國政府逾1億筆旅客個資於網路上曝光</strong></h2> <p>安全廠商Comparitech安全研究中心主管Bob Diachenko於8月底，發現了未受保護的ElasticSearch資料庫，包含200GB的檔案，內有超過1.06億筆資料，包括十年內造訪該國人士的姓名、護照號碼等被公開於網路上，分析後研判隷於泰國某政府機關。泰國當局聲稱，這些資料並未遭到任何未授權存取。<a href="https://www.ithome.com.tw/news/146815"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">收容極右派網站的域名註冊商Epik遭駭，用戶身分曝光</strong></h2> <p>駭客組織Anonymous在9月中旬對外宣布，已駭進網域名稱註冊商及代管機構Epik，取得180GB的資料，包括Epik負責人與管理階層的身分，或者是Epik用戶的身分通通曝光。Epik的資料外洩特別引人注目的原因之一是，Epik收容了遭到主流代管平臺踢出的Gab、8chan與Parler等網站。</p> <p>根據Epik提供給緬因州的外洩報告，Epik宣稱資料外洩事件發生在9月13日，該平臺是在9月15日才察覺，而受影響的人數為11萬名。<strong><a href="https://www.ithome.com.tw/news/146916">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/146911">歐盟指控俄羅斯政府參與駭客攻擊</a><br /> ●<a href="https://www.ithome.com.tw/news/146817">美國制裁幫駭客洗錢的加密貨幣交易中心Suex</a><br /> ●<a href="https://www.ithome.com.tw/news/146833">OpenOce存在可被執行任意程式的漏洞</a></h3> </div></div></div>
2021/9/29 16:37作者周峻佑https://www.ithome.com.tw/news/146960
加拿大疫苗護照Portpass含有資料外洩漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cbc.ca/news/canada/calgary/portpass-privacy-breach-1.6191749" target="_blank">加拿大媒體《CBC》在本周踢爆</a>，當地由第三方業者所推出的疫苗護照Portpass含有資料外洩漏洞，任何人透過Portpass的官網都可察看Portpass用戶的個資，包括電子郵件位址、姓名、血型、電話號碼、生日，以及身分證或護照上的照片。至於Portpass則緊急關閉官網，也封鎖了Portpass行動程式的使用。</p> <p>Portpass是由加拿大亞伯達省（Alberta）的一家私人企業所開發，該省並未推出官方的疫苗護照，而是以PDF作為疫苗護照的電子檔。Portpass在亞伯達省或加拿大之所以風行的原因，在於當地有許多活動都要求民眾持有疫苗護照才能進場，先前Portpass曾揭露在加拿大已有超過65萬名註冊用戶。</p> <p>《CBC》表示，他們是在線人的指引下於27日存取Portpass官網，發現利用一些技巧就能存取存放於Portpass伺服器上的個人資料，而且成功瀏覽了數十人的個人資訊，在通知Portpass之後，該公司在27日晚間就關閉了網站，其行動程式也呈現網路錯誤的狀態。</p> <p>Portpass執行長Zakir Hussein則回應，他相信只有那些等待驗證的使用者受到影響。不過Hussein並未公布資料外洩的規模。</p> <p>迄今<a href="https://portpass.ca/" target="_blank">Portpass官網</a>仍無法存取，該公司的<a href="https://twitter.com/portpasscanada/status/1442266448458498050" target="_blank">官方Twitter帳號</a>也僅祭出簡短的聲明，表示面臨一些技術問題，要以Portpass疫苗護照參與活動的使用者，應該要帶著紙本前往。</p> <p>事實上，包括加拿大的國家冰球聯盟（NHL）以及加式足球聯盟（CFL）都曾推薦粉絲採用Portpass疫苗護照，不過現今都已撤下推薦文字。</p> </div></div></div>
2021/9/29 17:06作者陳曉莉https://www.ithome.com.tw/news/146963
Netflix買下首個遊戲工作室Night School Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/145775" target="_blank">準備要把遊戲納入內容服務</a>的Netflix，<a href="https://about.netflix.com/en/news/expanding-our-games-team-with-the-acquisition-of-night-school-studio" target="_blank">於28日宣布</a>將買下美國的遊戲工作室Night School Studio。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0929-Netflix%E8%B2%B7%E4%B8%8BNight%20School%20Studio-600.jpg" style="width: 300px;" /></p> <p><span style="color:#696969;">圖片來源_Night School Studio</span></p> <p>Night School Studio成立於2014年，在2016年推出的首款遊戲為《Oxenfree》，這是一款冒險遊戲，一開始僅支援Windows、OS X及Xbox One平台，繼之陸續釋出PlayStation 4、Linux、iOS、Android及Switch等版本。《Oxenfree》曾獲得許多遊戲大獎的提名，並在2016年的獨立遊戲節取得了優秀視覺藝術獎。</p> <p>Netflix認為Night School Studio替遊戲故事設立了新標準，並期望該團隊能夠成為Netflix打造遊戲的寶貴夥伴。<a href="https://nightschoolstudio.com/joining-netflix/" target="_blank">Night School Studio則說</a>他們會繼續開發預計於明年發表的《Oxenfree II: Lost Signals》。</p> <p>根據Netflix的規畫，遊戲將成為訂閱會員既有服務的一環，不會額外收費，且將聚焦於支援行動裝置的遊戲，雖然買下了Night School Studio，也會繼續與全球的遊戲開發者合作，並持續延攬遊戲人才，以推出適用於各類型或不同等級玩家的獨家遊戲。Netflix並未公布遊戲服務正式上線的時間點，但已於<a href="https://www.ithome.com.tw/news/146430" target="_blank">今年8月率先於波蘭展開測試</a>。</p> </div></div></div>
2021/9/29 17:12作者陳曉莉https://www.ithome.com.tw/news/146964
研究人員公開揭露蘋果Airtag遺失模式的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/146903" target="_blank">IllusionOfChaos</a>之後，又有一名安全研究人員Bobby Rauch因不滿蘋果的態度，對外公開了蘋果裝置的安全漏洞，這次的漏洞存在於蘋果<a href="https://www.ithome.com.tw/news/143968" target="_blank">今年才發表的物件追蹤器AirTag</a>中，Rauch公開了如何透過AirTag遺失模式（Lost Mode），執行跨站指令碼（Cross-site Scripting，XSS）攻擊的手法。</p> <p>當AirTag遺失時，使用者可進入設定，將它標註為遺失模式，它會產生一個支援Find My網路的網頁，內含該AirTag的序號，以及使用者所輸入的聯絡電話；當內建Find My的其它裝置掃描該遺失的AirTag時，即可造訪該網頁，取得主人的資訊，以向主人通報。</p> <p>然而，<a href="https://medium.com/@bobbyrsec/zero-day-hijacking-icloud-credentials-with-apple-airtags-stored-xss-6997da43a216" target="_blank">Rauch指出</a>，只要在輸入聯絡電話的欄位嵌入儲存型的跨站指令碼（Stored XSS），就能把拾獲並掃描AirTag的使用者導至其它網站，Rauch的設計是將受害者導至一個偽裝成iCloud的登入頁面，以竊取這些好心人的iCloud憑證。</p> <p>事實上，另一名德國安全研究人員<a href="https://www.ithome.com.tw/news/144343" target="_blank">Thomas Roth在今年5月便曾揭露類似的手法</a>，只是Roth當時並未公布細節。</p> <p>Rauch向資安部落格《<a href="https://krebsonsecurity.com/2021/09/apple-airtag-bug-enables-good-samaritan-attack/" target="_blank">Krebs On Security</a>》透露，他在今年6月便主動接洽蘋果，一直到上周蘋果才回覆說會在下一次的更新修補，同時希望他暫時不要公開細節。但在這期間，蘋果一直未提供修補時程，也未說是否將漏洞的發現歸功於他，或者是他能否得到抓漏獎勵，蘋果的缺乏溝通促使他決定將此一漏洞公諸於世。</p> <p><a href="https://www.ithome.com.tw/news/146653" target="_blank">《華盛頓郵報》（The Washington Post）</a>之前即曾採訪逾20名安全研究人員，指出蘋果的抓漏專案風評並不佳，不僅封閉、不透明、修補慢，付款也慢，且所支付的款項經常不符合研究人員的預期。</p> </div></div></div>
2021/9/29 14:53作者陳曉莉https://www.ithome.com.tw/news/146956
Amazon的Ring Always Home Cam家用無人機監視器即將登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon旗下的智慧家庭保全公司Ring在去年發表的家用無人機監視器<a href="https://www.ithome.com.tw/news/140193" target="_blank">Ring Always Home Cam</a>，終於在本周邁入邀請測試，<a href="https://ring.com/always-home-cam-flying-camera" target="_blank">開放使用者申請購買</a>。</p> <p>這架監視無人機僅能於室內使用，它能夠整合Ring的家中警報系統Ring Alarm，當警報系統被觸動時，Always Home Cam就會自動起飛，巡邏既定的路線，使用者則可透過Ring程式來觀看無人機所拍攝的串流影片。</p> <p>Always Home Cam只能依照使用者所設定的路徑飛行，一次的飛行時間不得超過5分鐘，但最多可設定50種不同的路徑。當在路徑上遇見障礙物時，它便會暫停並放棄，飛回充電座。</p> <p>Always Home Cam並未內建動作感應器，也不會回應家中的活動，只會在Ring Alarm觸發警報或使用者主動要求它巡邏時起飛，售價為249.99美元。</p> </div></div></div>
2021/9/29 12:54作者陳曉莉https://www.ithome.com.tw/news/146955
Amazon發表1,000美元的家用機器人Astro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/devices/meet-astro-a-home-robot-unlike-any-other" target="_blank">Amazon在29日發表了該公司首款家用機器人Astro</a>，美國媒體將它稱為有輪子的Alexa裝置，它能用來協助使用者監控居家環境，照看遠方的親友，也能接受Alexa指令，建議售價為1,449.99美元。不過，Amazon將率先推出Astro的限量Day 1版本（Day 1 Editions），優惠價為999.99美元，即日起開放美國使用者申請，預計今年就會出貨。</p> <p>負責產品的Amazon副總裁Charlie Tritschler表示，當他們幾年前在討論如何結合AI與消費者電子產品時，便相信未來每個家庭都應該會有一個機器人來負責日常的事務，Astro的主要功能包括可協助檢查家中的事務、照看獨居的親友、整合家用監視器Ring，也整合了數位語音助理功能Alexa。</p> <p>由於Astro具備偵測環境的能力，也支援可用來辨識家中成員的Visual ID電腦視覺功能，於是它可在家中四處巡邏，透過Astro程式向使用者展示家中的狀況，雖然Astro的身高看起來只有50公分左右，但它有一個可延伸的潛望鏡，最長可伸出42吋（107公分），能夠帶來更好的視野。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0929-Astro%20%20home%20robot%20amazon-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Amazon</span></p> <p>根據Tritschler的說法，Astro能夠協助使用者檢查家中的特定區域，像是廚房或儲藏室；也能整合Ring，把Astro所拍下的影片存放至Ring的雲端服務中；它還能像個小跟班一樣跟著使用者移動，以便在使用者需要資訊或音樂時，透過Alexa發號施令；由於Astro可辨識家中成員，因此它能夠叫家人吃飯，也能幫忙遞送物品予其它家人；其環境偵測功能則可用來閃避路徑上的障礙物，或是避免撞上家中寵物。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0929-Astro%20%20home%20robot%20amazon-600-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Amazon</span></p> <p>不過，Astro剛現身就有隱私專家擔心它的安全問題，因為只要有駭客入侵了Astro或家中網路，等於洩露了家中的所有一切，<a href="https://mashable.com/article/amazon-astro-robot-privacy-concerns" target="_blank">《Mashable》</a>引用Fight For the Future總監Evan Greer的看法指出，當家中被聯網的監控設備所覆蓋時，只會變得更不安全，而非更安全。</p> </div></div></div>
2021/9/29 11:43作者陳曉莉https://www.ithome.com.tw/news/146954
AutoML自動訓練模型不稀奇，國泰金控打造專屬工具能從海量資料表自動鎖定關鍵資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國泰金控日前在自家技術年會上揭露一款AI資料分析專用工具Tumblebug，能根據使用者需求，自動從資料庫海中撈出所需資料，補足AutoML最後一哩路。不只如此，他們還正打造圖學資料庫，要來解決更複雜的金融問題，未來還要導入因果推論機制，讓AI更聰明判斷資料因果特徵。</p> <p><span style="font-size:22px;"><strong>資料分析四步驟耗時耗力，自建AutoML工具來分擔</strong></span></p> <p>國泰金控的AI資料分析流程可分為四大步驟，首先是問題定義，由資料科學團隊一來一往與業務單位溝通，將業務問題收斂為分析問題。接著，資料科學團隊會從龐大資料庫中，找出相關資料，比如透過目標標籤（Target label），從金控內數個資料庫、數千張資料表、數十萬個欄位中，鎖定出關鍵資訊，特別耗費人力與時間。</p> <p>下一個步驟則是特徵工程，針對第二步找到的特徵和資料，來清洗數據，如資料填補、轉換、聚合和精煉等。最後一步是模型選擇和訓練，通常，這個步驟需要資料科學家調超參數、選模型，也需投入不少時間和人力。</p> <p>國泰金控資料科學團隊手上會有多個專案要同時執行，每一個專案都得執行這四步驟，這也導致，每位分析師、資料科學家很難有充沛時間來尋找更好的模型。</p> <p>近年也出現不少AutoML工具來解決問題，尤其能自動化執行特徵工程和模型選擇與訓練作業，比如資料清洗和超參數調整，可以節省資料科學團隊許多時間。</p> <p>國泰金控也自行開發一套AutoML工具，也就是AutoMLab，來自動化這些流程。它是一套基於大數據分析平臺Spark分散式運算的AutoML套件，能快速協助使用者，利用特徵資料表來建立機器學習處理流程。國泰金控指出，AutoMLab的最大特點是，能根據內部使用者反應，來快速迭代、調整產品，還能根據使用者需求開發相應功能。</p> <p>至此，國泰金控已將資料分析四大步驟的後兩步自動化了，接下來，他們瞄準第二步驟：取得相關資料也要更自動化。</p> <p><span style="font-size:22px;"><strong>打造Tumblebug從資料庫海撈出關鍵資訊</strong></span></p> <p>國泰金控表示，以往資料科學團隊在取得資料時，會面臨不少問題，比如只能搜尋特定資料，只根據特定領域知識鎖定少數資料表，來搜尋特徵，無法有效利用歷年累積的海量資料；這種工作非常耗費人力，而且，一旦遇上過去沒處理過的專案題目，若分析人員沒有足夠的專案知識，就難以從資料庫中找出所需特徵。</p> <p>因此，國泰金控資料科學團隊開發一套工具Tumblebug，是基於Spark的特徵搜尋套件，能根據預測目標，來從海量資料表中找出符合的特徵，整理成一張資料表，供使用者後續建模分析。</p> <p>Tumblebug如何派上用場呢？</p> <p>首先是處理新興領域問題。比如，團隊有明確的預測問題，但不知道要找哪些特徵，就可使用Tumblebug來搜尋特徵。或是，分析師要加入更多特徵時，也能用Tumblebug從全行資料庫搜尋特徵，不再局限於少量資料表。又或是，當分析師想快速了解、驗證分析問題時，也能用Tumblebug快速找出特徵、評估專案可行性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tumblebug.png" /></p> <p>國泰金控指出，Tumblebug不只能發掘未知邏輯、重要變數，提高資料表使用率外，還能縮短搜尋時間。比如，只要給定預測目標，Tumblebug就能在數小時內，從資料庫海找出重要特徵。而且，Tumblebug已經經過國泰20多個預測專案實務驗證。</p> <p><strong><span style="font-size:22px;">正打造圖學資料庫，還要建置因果推論讓AI更聰明</span></strong></p> <p>至此，國泰金控AI資料分析流程中，除了第一步的需求訪談外，其餘取得相關資料、特徵工程、模型選擇與訓練等步驟都已能自動化執行，使用者也能根據自身需求，來選擇人工介入程度。</p> <p>比如可採用全自動方式，先透過Tumblebug搜尋特徵，再利用AutoMLab自動建模；又或是利用自身領域知識，從資料庫中尋找特徵，再結合Tumblebug找出的特徵，傳送至AutoMLab來建模。</p> <p>不只如此，國泰金控也正打造一套圖學（Graph）資料庫，要將客戶金流網絡、關係網絡轉換為圖學資料，儲存至圖學資料庫中，有別於以往只儲存結構化資料的資料庫。未來，國泰金控還要打造AutoGraph工具，來自動化執行圖學模型的建置與訓練，分析師就能用圖學技術解決更複雜的金融問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ML%20s.png" /></p> <p>這樣還不夠。</p> <p>國泰金控認為，目前的AI雖能準確辨識某些模式，但對顯而易見的因果關係，卻無法正確推論。因此，他們鎖定因果推論（Casual Inference），未來要在尋找資料、模型訓練流程中，加入因果推論方法，找出資料間的因果特徵，讓訓練出來的AI能像人類一樣推斷。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MLsf.png" /></p> </div></div></div>
2021/9/29 10:22作者王若樸https://www.ithome.com.tw/news/146944
國泰生態圈最重要的技術決定
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1044-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=gAsqk_CC" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金融產業，人人都全力發展生態圈戰略，但如何將生態圈各種商業模式，可以快速組裝發展、彈性客製、又能任意融入不同異業場景中創新服務，技術力是關鍵</p> </div></div></div>
2021/9/29 09:07未署名https://www.ithome.com.tw/article/146948
【CaaS關鍵發展策略：二階段推動生態圈新商模】生態圈服務模式平臺化，靠技術讓跨界合作加速也更彈性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年7月，國泰金控發布了全集團要力推的新生態圈戰略CaaS（Cathay as a Service）服務模式。國泰金控總經理李長庚後來更用「上善若水」來描述金融服務應該有的模樣，這正是國泰生態圈的願景。他認為，國泰的戰略目標就是要將「所有數位轉型都能變成平臺」，如此就讓國泰各種服務與店家結合，所有消費者，不論是點數、權益、店家消費，都能在國泰生態圈平臺上「非常自由的串接和e化。」</p> <p>李長庚特別用「自由」兩字，來形容對國泰生態圈平臺的期許，就如同水來比喻金融服務一樣。</p> <p>要如何做到？當時他沒有明講，但在今年國泰技術年會中發表的CaaS平臺，實現了讓金融生態圈發展，可以快速複製，彈性組合，容易擴散到不同異業場景中的能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E9%9B%B2%E8%B5%B7%E6%89%8B%E5%BC%8F-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／國泰金控</span></p> <p><strong><span style="color: rgb(105, 105, 105);">如何展開雲原生旅程？國泰世華銀行第一步先定義指標，發展重點則包括了要翻轉IT技術架構，以雲端驅動為發展主軸，也導入敏捷文化來改變IT運作方式，更希望有持續的量化產出。</span></strong></p> <p><span style="font-size:28px;"><strong>2階段生態圈發展策略</strong></span></p> <p>國泰近幾年積極運用API技術與外部異業場景合作，協助全聯打造PXPay就是一個例子，去年發布的CaaS服務模式，更是宣示要打造一個跨子公司生態圈服務的商業模式。</p> <p>而在過去一年來，更吸引了不同服務場景的異業主動來談合作，國泰金控數位生態發展部副理劉文楨指出，第一階段的宣告，等於是宣示國泰生態圈的發展可能性，來創造更多異業場景的機會，但是如何讓跨界合作更有效率也更彈性，「這就是第二階段的目標，讓這個生態全服務模式透明化、平臺化，也更快速化。」</p> <p>新的CaaS平臺在7月底正式上線後，推出不過一個月，劉文楨透露，主動洽談的企業就有十多家，不只指標型企業，也有不少小型新創、中小企業來洽談，甚至有上百名以個人名義來註冊的企業員工或新創企業主。</p> <p>透過這個平臺，國泰希望可以提供單一窗口，讓所有合作過或沒有合作的異業夥伴，都可以在單一平臺上取用各種API，甚至可以讓合作企業內不同部門，也能了解同公司的其他合作進展，「不只要省下國泰集團的時間和資源，也希望能節省合作夥伴的時間。」劉文楨強調。</p> <p>尤其，對於向來業務和組織分工都十分繁複的銀行而言，整合平臺化帶來的好處十分具體，國泰世華銀行數據生態營運部協理吳香妮指出，過往很難了解全公司異業合作的全貌，但是，CaaS服務平臺化之後，可以帶來高效率和透明化，更容易知道內部有那些合作，就能聚集力量，這是CaaS平臺化後跟過去有所不同之處。</p> <p>國泰產險數位科技發展部協理劉浩翔點出：「平臺化之後，與策略夥伴合作時，子公司能互相助攻，來發揮縱效。」例如，產險去年新推的碎片化保險，是一種保費輕薄短小的服務，但這項服務的重點不是為了從中賺取利潤，而是帶來更多金融場景客戶的價值，對集團帶來助攻的效益。「利用產險服務獲客，但真正獲利的是後面搭配的其他子公司，例如貸款或人身保險。」他強調：「這正是CaaS平臺的戰略意義。」</p> <p>傳統以業務員行銷為主的國泰人壽，早在2年前也啟動了生態圈專案，想要改變發展型態，提高與企業合作的頻率，對於CaaS平臺化的效益，國泰人壽數位發展部協理林秉毅指出：「底層技術架構，讓生態圈發展更容易、快速。」尤其，他認為，技術、數據面支持的業務串接，更能即時反映市場，也能針對集團子公司間共同的顧客，發揮資源共享的作用。但是，國泰CaaS平臺不是憑空誕生，而是站在國泰過去5年來大力數位轉型的成果，不只是IT基礎架構以及在數據面的大力投資與發展。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E4%B8%AD%E5%8F%B0%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.png" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／國泰金控</span></span></p> <p><strong><span style="color:#696969;">國泰金控從技術中臺、數據中臺，到後來還發展出業務中臺，也都採用了微服務技術來打造，這些都成了CaaS平臺APIM技術的關鍵基礎。</span></strong></p> <p><span style="font-size:28px;"><strong>採用雲地混合APIM平臺，也積極擁抱雲原生架構</strong></span></p> <p>過去幾年，國泰更是提出了中臺架構設計，從技術中臺、數據中臺，到後來還發展出業務中臺，也都採用了微服務技術來打造。為了將CaaS服務模式平臺化，過去一年來，國泰金控更採取了兩大技術策略，一方面建立雲地混合架構的集團式APIM平臺，另一方面則是積極擁抱雲原生技術。</p> <p>透過這樣的APIM層，CaaS平臺可以整合旗下所有子公司的金融產品服務，提供統一對外的服務窗口，來建立一種標準化的技術共享模式，實現技術交流的整合。而雲地混合雲架構也讓國泰CaaS平臺，可以兼顧子公司法遵的落地合規要求。雲原生技術的採用，不只可以帶來API移動的效率，還可以快速擴充，能快速複製部署到其他地點，甚至是日後可能的海外布局。</p> <p>簡單來說，雲地混合架構的CaaS平臺設計，可以達到快速部署的效果，但仍將服務與資料應用控管在地端，以符合政府機關的要求。最後再透過業務平臺和技術平臺高度整合，來創造各種不同場景的金融服務。「國泰過去也有很多異業合作，但大多像是游擊戰，在生態圈戰略目標確立後，就像是打系統戰，可以更大規模也更具規格來發展。」劉浩翔這句話正點出了CaaS平臺化後帶來的改變。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E8%97%8D%E5%9C%96-%E8%B3%87%E6%96%99%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／國泰金控</span></p> <p><strong><span style="color:#696969;">國泰世華銀行早從3年前就開始擁抱雲原生技術，也參考了CNCF基金會的雲原生發展藍圖，來設計出國泰世華的雲端原生藍圖，涵蓋了7個維度，更把部分商用軟體納入來增加選擇性。。</span></strong></p> </div></div></div>
2021/9/29 07:00作者王宏仁https://www.ithome.com.tw/news/146882
【CaaS平臺化關鍵技術：集團式APIM】雲地混合APIM實現技術共享，更是異業結盟多元化關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對金融業而言，API不是新技術，尤其隨著金融科技、開放銀行浪潮，全球開始出現大量金融類API。國泰金控用API來打造生態圈平臺，目的是為了提供一種可以提供不同場景下多元金融服務的模式。</p> <p>因為CaaS平臺的技術底層就是APIM（API Mediation），國泰金控表示，透過這樣的APIM層，CaaS平臺可以整合旗下所有子公司的金融產品服務，建立統一對外服務窗口（也就是API入口網站），來建立一種標準化的技術共享模式，實現技術交流的整合。</p> <p>因此，CaaS平臺就可以讓國泰和TSP們，透過技術共享模式和技術整合，取得各自所需的金融服務和相關應用資料，建立合作夥伴關係，對國泰金控而言，更可以藉此來發展非金融場域的金融業務，來擴大生態圈的觸角。</p> <p>CaaS提供了一種新型態商業金融服務，在CaaS上提供企業合作入口服務，進而展開業務洽談，達成合作計畫後，將需求轉交給IT開發出API服務，再利用透過APIM管理，建立完整API生命周期管理，再進行API串接，完成API快速部署，來實現異業合作的流暢體驗。甚至可以說，從消費端顧客體驗出發尋找新服務模式，再透過API結合，才能發展出異業結盟體系，這是金融API對國泰帶來的核心價值。</p> <p><span style="font-size:28px;"><strong>技術過去是金融服務配角，但在CaaS平臺，技術是主角</strong></span></p> <p>從這個角度來看，「過去金融服務中，技術是配角，但是現在（CaaS平臺上），技術是主角。」國泰金控數位架構部一位主管強調。</p> <p>在技術架構上，CaaS就是在API使用者（開發者端）和API提供者（如國泰各子公司）和API消費者（消費端App）之間，規畫出一層API中介層，再透過妥善定義的API介面，來進行服務或業務邏輯串接。</p> <p>這麼設計的好處是，當後端服務或業務邏輯異動時，只要API介面沒有異動，就不會實際影響到API消費端者的使用，可以實現高可用性、敏捷性、可擴充性和安全性的特性，另一方面，能在數據交換時進行分析，來監控和分析各種流量、使用者行為和安全情況。</p> <p><span style="font-size:28px;"><strong>利用APIM建立API生命周期管理</strong></span></p> <p>CaaS平臺採用了Apigee這套APIM管理平臺來實現API中介層的管理功能，包括了API生命週期，API政策管理、API閘道器、API分析器等。Apigee還提供了一套API設計機制，支援Swagger 2.0和3.0版，可以用來建構出業務資料流程，而且採取設定方式能快速組合API。利用這樣的API快速組裝能力，可以提供客製化API，來因應不同異業的需求，也能加快業務上市時間，例如以國泰人壽為例，目前上架一個API只需要 2天時間。</p> <p>而在API安全控管上，國泰看重的特色是可以提供端到端防護機制，例如惡意API防護、存取控管，資料安全上則提供憑證、簽章管理、資料加密機制，OAuth驗證等。</p> <p>在API發布機制上，不只可以部署，也能將API包裝成對外提供的產品。監控機制上則可以集中控管所有API活動，以視覺化方式來呈現API交易活動和效能，也能主動辨識異常發布警告。另外，API分析包括了系統資源瓶頸和錯誤率、網路延遲等，也能提供視覺化圖表和數據，來分析API使用趨勢，來發展API可能的商業價值。這套APIM底層則採用Anthos的K8s架構，可以透過容器實現快速擴充的能力。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E5%AD%90%E5%85%AC%E5%8F%B8%E5%88%86%E5%89%B2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.png" style="width: 600px;" /></span></p> <p><span style="font-size:14px;"><span style="color: rgb(105, 105, 105);"><img alt="" src="file:///D:/iThome/%E5%AE%8C%E7%A8%BF/1044/1044-%E5%B0%81%E9%9D%A2-%E8%B1%86%E5%AD%90-APIM-web-resources/image/%E5%9C%962-%E9%9B%B2%E5%9C%B0%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.png" />圖片來源／國泰金控</span></span></p> <p><strong><span style="color: rgb(105, 105, 105);">國泰利用Apigee Runtime plane來進行各子公司API閘道器環境的切分，能在本地端進行API政策和安全規範的定義，可將跨集團都要適用的共用API規則，來要求各子公司遵循。</span></strong></p> <p><span style="font-size:28px;"><strong>APIM採用雲地混合架構，在本地端落實各產業法遵和子公司治理</strong></span></p> <p>不過，對金融公司而言，API是一種需要保護和管理的資產。因此，國泰CaaS平臺所用的APIM也採用了雲地混合的混合雲架構，在雲端提供API入口網站、API分析和監控機制，還有存取權限管理。但在地端則透過Apigee Runtime來提供API政策管理、API閘道器API授權和API安全管理。尤其是透過這個Runtime，可以在本地端的內網環境中，連結各子公司的API服務或API閘道器，來符合政府法規要求。</p> <p>國泰也利用Apigee Runtime plane來進行各子公司API閘道器環境的切分，也能在本地端進行API政策和安全規範的定義。這麼做的好處是，不只是可以將跨集團都要適用的共用API規則，來要求各子公司遵循，還能讓各子公司依據各自不同產業主管機關的要求，或是各自公司治理規範的需求，來訂定出各自需要的API控管機制。這樣的雲地架構設計的APIM平臺，可以讓CaaS平臺同時兼顧全集團通用管理規範，又能滿足各子公司客製化規範的需求。</p> <p>目前CaaS平臺在國泰世華銀行和金控端各有一套雲地架構的APIM平臺，目前壽險和產險子公司則利用金控APIM環境來切分出獨立的API入口網站。兩套APIM平臺之間會互相串接，當有新的API上架到中一套平臺後，也會自動部署到另外一套APIM平臺上。根據國泰內部統計，目前在銀行端CaaS平臺每日平均交易量達到3千多萬筆，每周平均可以上架45～50次API的部署頻率。</p> <p>採用雲地混合架構還有另一個更長遠的好處是，未來CaaS若考慮要發展到東南亞，採取地雲混合架構的APIM，也能用來因應各國各自不同的監理規範。</p> <p>在CaaS對外入口網站上，APIM前端平臺提供了一個統一的API服務平臺，包括了API申請，金鑰發放，以及相關的業務洽談機制，更提供了過往合作案例，讓業者可以參考可行的合作商機。TSP和國泰確認API合作計畫後，會取得API金鑰，就能直接在CaaS的API平臺上取用API，也能查閱相關服務的技術文件資料。有了對外統一的CaaS入口平臺，可以省下集團和其夥伴的時間跟資源。</p> <p>不過，國泰金控數位生態發展部襄理陳弘皓指出，目前APIM技術架構上，沒有進行資料共享，雖然透過API入口網站經營合作夥伴，但來自異業取得的顧客資料，會直接進入各子公司對應的業務單位，資料保留在子公司，而不會進入金控場域，來確保適法性。</p> <p class="rtecenter"><img alt="" src="file:///D:/iThome/%E5%AE%8C%E7%A8%BF/1044/1044-%E5%B0%81%E9%9D%A2-%E8%B1%86%E5%AD%90-APIM-web-resources/image/%E5%9C%962-%E9%9B%B2%E5%9C%B0%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.png" /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E9%9B%B2%E5%9C%B0%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／國泰金控</span></span></p> <p><strong><span style="color:#696969;">國泰CaaS平臺採用了雲地混合的APIM混合雲架構，在雲端提供API入口網站、分析和監控、存取權限管理。在地端則透過Apigee Runtime來提供政策管理、API閘道器、授權和安全管理。</span></strong></p> </div></div></div>
2021/9/29 07:00作者王宏仁https://www.ithome.com.tw/news/146883
【CaaS平臺化關鍵技術：雲原生戰略】國泰世華中臺展開雲原生旅程，擺脫繁雜部署作業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在國泰金控集團中，國泰世華銀行（簡稱國泰世華）可說是帶頭示範的子公司，近年推動新一波IT轉型計畫，積極改造銀行系統的前、中、後臺，以加快提供符合市場需求的數位金融服務。銀行發展出來的中臺架構和經驗，也成為其他子公司轉型的參考範本。從國泰世華的雲原生發展歷程，可以一窺未來國泰金控集團後續技術發展的脈絡。</p> <p>為減少核心系統的負擔，國泰世華決定集中外圍系統分散各地的業務邏輯至中臺，於2019年1月更成立新部門中臺發展部，負責設計中臺架構與服務，導入容器、微服務等技術，甚至進一步發展雲原生架構的策略。</p> <p>近年，金融機構身處多重競爭的產業局勢，從開放銀行、純網銀，到IT現代化和人才競爭等，「這些項目都與雲端技術有關聯，」國泰世華銀行中臺發展部核心成員直言，中臺架構自然地要邁向雲原生，尤其IT基礎設施若不擁抱雲端，機構發展也會受限。例如相比建置實體機房，利用雲端資源建置海外分行的IT基礎設施，會更有效率。</p> <p>國泰世華中臺環境的發展歷程，如何一步步走向雲原生架構？2016至2018年是國泰世華IT和數位發展的轉型期。2016年時，先導入了IaaS和PaaS，建置了企業私有雲平臺，接著，在2017年完成提供微服務運作的PaaS平臺，並在2018年重新定位企業應用整合（EAI）平臺，進化EAI為中臺整合架構，來面對越來越多樣化的交易行為與爆增的交易量。</p> <p>2019年之後，國泰世華開始進入IT和數位的上雲期，一直持續到現在。因應數位金融的上雲趨勢，國泰世華規畫混合雲及多雲架構的同時，也逐步掌握自建雲的能力，從過去以微服務導入為主的方向，轉為以發展雲原生技術為主。</p> <p>中臺發展部在2019年時，成立了多雲實驗室，開始研究混合雲應用，也開始考量中臺未來必須面對雲服務。國泰先在中臺開發上，導入雲原生服務開發模式，也切分出私有雲與公有雲架構，開始建立銀行雲原生的架構，並持續倡導微服務，還有開始採用商業化的開源解決方案，來打破銀行資訊系統封閉的環境，強化團隊的研發、交付能力，以及擺脫供應商綁定的情形。2019年底時，國泰世華銀行中臺平均一天的交易量達到650萬筆。</p> <p>今年，國泰世華計畫進一步建立符合自身環境的雲文化，透過雲原生的發展來帶動更多資訊架構改造，來激盪應用開發的創新。甚至，國泰世華表示，微服務發展進入最後階段，他們已開始研究無伺服器技術。如今，國泰世華的中臺，單日平均交易量高達3,100萬筆，最高單日記錄更破4,000萬筆。</p> <p><span style="font-size:28px;"><strong>聚焦發展中臺4大面向能力</strong></span></p> <p>國泰世華打造銀行中臺3年多以來，國泰世華表示，如今的中臺不再只是銀行端的中臺，也面向集團不同的子公司。</p> <p>國泰世華依據中臺4大面向的發展能力，定義自家的企業中臺。第一項是業務發展能力，聚焦培養中臺具備快速回應市場（Time to Market）的創新能力，並針對業務需求屬性，將業務分類為應用、領域及中心。</p> <p>第二大面向是數據發展能力。國泰世華表示，現階段，數據發展強調融合，並需要具備支援商業模式創新及銀行營運的能力。</p> <p>下一面向是技術發展能力，國泰世華格外重視發展研發、營運中臺的能力，培養團隊開發自動化維運及管理IT基礎設施、網路的技術力，並具備設計、開發及持續演進分散式技術架構的能力。國泰世華表示，一開始建置中臺時，就對多雲架構進行研究，並投入資源發展，因此，後續發展雲原生獲得了事半功倍的效果。</p> <p>最後一項重要能力是組織發展能力，要能夠快速建立敏捷團隊，以及讓不同單位也具備營運能力。</p> <p><span style="font-size:28px;"><strong>循CNCF雲端原生上手地圖，國泰世華雲原生架構已逐步成形</strong></span></p> <p>進一步看國泰世華中臺導入雲原生技術的發展。如同許多企業，國泰世華也參考雲端原生運算基金會（CNCF）發布的雲端原生上手地圖（Trail Map），導入雲原生產品和開源解決方案，循序發展雲原生架構，包含擁抱容器、微服務等技術，以加速IT現代化的轉型。</p> <p>至今，國泰世華已取得雲原生架構的階段性成果，比如說，容器化逾1,700支服務，並搬遷這些服務上自家的PaaS。還有，通過建立CI/CD工作流程，不需經審核的即時性修復程式在提交版本後，10分鐘內就可進入正式環境。</p> <p>國泰世華也認為，走向雲原生架構，需要持續性地改變，因為只要持續交付，系統穩定性也會相對高，所以，他們曾有一周上版約二、三十次的記錄，並要求剛到任的新人必須在一個月內就順利上版一支程式，來建立上版程式的能力。</p> <p>另外，在服務可觀測性上，國泰世華建立了服務儀表板，以監控、記錄和追蹤服務的各項運作指標。早在4年前，國泰世華就成立了SRE團隊。當系統服務發生突發狀況時，都是靠這支團隊快速採取行動，來查找、排除問題。</p> <p>國泰世華強調，在微服務世界裡，必須成立SRE團隊。每次發布新服務至維運環境或正式環境後，需有一組人持續地監控和觀測服務的運作狀況，一旦服務出現問題，才能快速採取行動。因此，國泰世華也強烈建議，走向雲原生架構的企業，納入SRE團隊至組織中。</p> <p>微服務作為CNCF定義的雲原生必要元素之一，國泰中臺發展部也微服務化多項核心產品，並依照邏輯層次細分三個子層。第一層是與業務邏輯無關的基礎服務層（Base Layer）微服務，中間第二層是業務邏輯實作的邏輯整合層（Composite Layer）微服務，而第三層是面對通路的通路整合層（Gateway Layer）微服務。</p> <p><span style="font-size:28px;"><strong>中臺大力運用微服務特性，分、合系統服務元素</strong></span></p> <p>而要導入微服務架構，一定會面臨拆解傳統應用的方式。一種是按查詢和交易行為的用量來拆解，如單體式查詢量很大，便需將查詢交易從系統切分出來成為一個單獨的微服務。</p> <p>另外，因應新業務需求的出現，國泰世華會利用業務領域邊界劃分需求，建立穩定且單一職能的領域模型。不過，國泰世華坦言，講起來容易，執行時會遇到許多挑戰，但實際劃一刀拆解，就會達到效果。</p> <p>除了拆解應用可獨立運作的服務元素外，國泰世華設計中臺微服務架構時，更為強調「合」，也就是整併重複性功能，建立屬於中臺邏輯整合層的微服務。舉例來說，兩個分屬不同業務領域的系統，具有相同的功能，像是臺幣查詢、外幣查詢等，為避免兩系統在前端重複造輪，需要合併重複性功能為微服務，供兩系統可同時間共同使用。</p> <p>國泰世華還將微服務的合併特性應用在另一個情境。兩個沒有關聯的系統若出現相同的新需求，產生了關聯，需建立一個整合性微服務，來聯集雙邊系統，以避免系統各自產生重複性服務。</p> <p>接下來，國泰世華聚焦的中臺雲原生發展策略，著重拓展和改變。國泰世華說明，除了拓展微服務、API串接的應用場景外，也希望轉變一些系統為現代化應用的服務，不管服務是在公有雲、私有雲，還是PaaS上，都可進行現代化工程。</p> <p>此外，國泰世華將透過中臺加速資源運用，還有強化團隊間的協作能力，使得資訊更為透明清楚，以避免形成孤島，發生穀倉效應。國泰世華也強調中臺未來持續發展的方向是，藉由技術提升人員的能力，進而改變部門協作的思維，最後翻轉企業文化。</p> </div></div></div>
2021/9/29 07:00作者黃郁芸https://www.ithome.com.tw/news/146884
【CaaS平臺化未來布局：DevOps跨雲管理】靠DevOps維運實現跨雲，研發國泰集團多雲管理方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國泰生態圈擁抱雲原生架構，不只是為了現在單朵雲的雲地架構，更大的戰略目標是，因應日後主管機關更鬆綁、異業合作更多元後的爆量成長需求，能進一步發展成多雲混合雲型態。這不只是一個戰略推想，國泰金控已經在點數服務平臺上，開始嘗試多雲混合雲架構，為日後邁向跨雲架構累積第一線的實戰經驗。</p> <p>國泰早在2018年就開始嘗試用區塊鏈技術，自己來打造一個能整併多種點數的單一平臺，希望能做到混合異種點數來合併使用，並在去年4月正式推出了「小樹點」點數服務，今年6月底，則更進一步將國泰世華銀行旗下信用卡的紅利點數都更名為小樹點。小樹生活圈就是以小樹點點數平臺為核心所發展出來的生態圈。</p> <p>為了提供小樹生活圈服務，國泰金控建置7個重要IT服務平臺，從集團電商平臺、集團會員平臺、ERP中臺，到集團點數、票券平臺、用戶數據資料服務，以及第三方服務平臺等。除了這些服務平臺外，他們還建置一個集團維運平臺，由DevOps團隊負責用來維運及管理這些IT服務。</p> <p>就像許多大型企業傾向採用公有雲架構，結合雲端的彈性擴充優勢，以及高可用性的服務架構，國泰金控也將小樹生活圈中，大部分合規可上雲的服務搬上公有雲，然而，隨著公有雲的使用日益頻繁，加上後來採用不同公有雲架構來開發和管理不同服務，國泰金控也面臨3大痛點，包括維運管理困難、缺乏標準化服務，以及仰賴手動作業。這三大難題，也成了國泰金控DevOps團隊所要面對的挑戰。</p> <p><span style="font-size:28px;"><strong>國泰金控多雲DevOps管理歷程分三階段</strong></span></p> <p>國泰金控多雲混合雲DevOps管理歷程分三階段，從單一雲、建立統一標準化，到發展多雲環境。每一個階段，都有不同的IT難題需要解決。</p> <p>在還是一朵雲時，國泰金控採用AWS公有雲平臺，搭建小樹生活圈服務所需的IT基礎環境，雖說管一朵雲，相較多雲容易許多，但維運管理過程中，DevOps團隊也遇到不小的挑戰，像是針對雲端專案的管理，每個專案有各自團隊負責開發與生產環境管理和維運，然而，當雲端專案越來越多，要管服務變越多，這樣作法，就容易出現問題，因為各團隊使用DevOps工具或CI/CD流程都不太一樣，加上缺乏標準化機制，來統一管控和確保服務品質，容易增加資安風險，因而帶來管理上的難題。這是國泰金控在第一朵雲所面對的困境。</p> <p>為了解決這個問題，國泰金控DevOps團隊，先從建立單一雲標準化做起，來標準化公有雲的維運，涵蓋基礎設施、管理和組織三大面向制度標準化。以基礎設施為例，他們從盤點基礎設施開始，將用到服務、應用明確劃分權責，統一採用自動化CI/CD工具來建置，以AWS CDK開發框架來建立Infrastructure as Code，讓整個基礎設施從建置到完成CI/CD，都可以用程式碼來自動完成。</p> <p>在管理標準化方面，DevOps團隊也建立視覺化監控儀表板，能夠將各雲端專案統一集中管理，還結合稽核Log記錄，解析每個風險事件或行為與建立異常告警機制。另外，他們在組織內部建立一套雲端使用規範，統一各專案團隊的作法，包括帳號登入設計、Log檔格式、資料庫存取權限、費用管控等等，並統一以無伺服器或是容器架構來設計其應用。他們更將DevOps部分開發維運流程加以整合，如專案計畫、程式碼管理、建置、測試等，逐步統一使用工具，如ClickUp、Jira、GitLab等，並透過維運平臺在AWS雲上建置。</p> <p>建立明確標準化及制度方向之後，DevOps團隊開始打造維運監控中心，透過獨立雲端維運帳號，來建立標準化基礎架構建置與權限控管，來管理雲上各個小樹生活圈服務，還建立一個共通監控平臺供各團隊建置跟維運。組織架構與分工也有所調整，將團隊分成開發與生產團隊，有各自維運管理和專案小組，負責維運監控、專案執行任務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94-%E8%87%B3%E6%B5%A9-DevOps-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.png" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／國泰金控</span></span></p> <p><strong><span style="color: rgb(105, 105, 105);">為了讓各專案團隊能統一維運管理，DevOps團隊開始打造維運監控中心，透過獨立維運帳號來建立標準化基礎架構建置與權限控管，來管理公有雲上的小樹生活圈服務。組織架構與分工也重新調整，將團隊分成生產和開發團隊，有各自的維運管理和專案小組，負責維運監控、專案執行任務。</span></strong></p> <p><span style="font-size:28px;"><strong>為了解決CI/CD流程斷點，決定採用第2朵公雲統一管理</strong></span></p> <p>不過，建立單一雲標準化後，團隊後來也發現，現有CI/CD流程仍有斷點，無法達到一站式自動化工作，加上近幾年DevSecOps的興起，開始重視第三方開源套件的品質與安全性管理要求，甚至各專案間的版本功能發布可能相互影響，但現有Git管理工具，很難統一管理所有專案生產發布記錄，連帶影響到服務可用性。</p> <p>為了改善這些問題，國泰決定從CI/CD流程著手，重新審視現有開發與維運準則，並與RD共同討論後，針對每個開發維運流程，建立統一標準，也就是在這個階段，他們決定導入Azure DevOps Services服務來統一管理流程，開始在Azure公有雲平臺上建立集中發布流程，來集中管理所有生產發布記錄。這是國泰的第2朵公雲。</p> <p>採用該工具後，DevOps團隊先將AD主機搬上Azure環境，在Azure AD服務上建置身分驗證，除了能夠管理使用者發布權限，還加入發布審查機制，整合Slack工具，可用於即時簽核，方便人員發布申請。另外，他們也使用Azure AD完成將既有開發工具，與AWS及其他第三服務的串接，還有單一登入認證。</p> <p>有了2朵雲後，團隊不只持續運用DevOps跨雲維運管理，還開始引進DevSecOps概念，將資安融入到開發與維運流程。他們使用Sonatype工具，在Azure服務管理介面進行DevSecOps管理，來建立整合資安的CI/CD流程，像是要求所有RD工程師發布程式碼前，都需嚴格檢視，確保合乎相關資安政策才放行，不同風險程度的程式碼發布，也統一在儀表板呈現供管理者監看。另外，還整合跨雲維運機制，將以往AWS公有雲上的告警機制，整進到DevSecOps平臺，並結合監控儀表板。</p> <p><span style="font-size:28px;"><strong>國泰金控IT年底即將邁入多雲管理架構</strong></span></p> <p>不只跨2朵雲，國泰金控預計年底前還要採用GCP公有雲，作為小樹生活圈服務未來使用的第3朵雲，用於大數據分析與相關應用，意謂著，國泰金控IT正式邁入多雲管理的架構，對於DevOps團隊維運管理考驗更大。</p> <p>面對多雲管理的挑戰，DevOps團隊下一步，將建立自動化建置機制，讓多雲環境建置服務可自動化完成，來縮短每朵雲建置的時間，也減少容易出錯的手動流程。除了將導入基礎架構管理工具Terraform，來完成多雲環境自動化建置，他們之後還要打造屬於國泰集團自己的雲端管理平臺（CMP），該平臺不只做為小樹生活圈服務的多雲管理平臺，未來更要發展成為集團下一世代金融服務多雲管理解決方案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94-%E8%87%B3%E6%B5%A9-DevOps-%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／國泰金控</span></p> <p><span style="color:#696969;"><strong>不只跨2朵雲，國泰金控年底前還要採用GCP公有雲，作為小樹生活圈服務使用的第3朵雲，用於大數據分析與相關應用，意謂著，國泰金控IT正式邁入多雲管理的架構，對於DevOps團隊的維運管理考驗更大。</strong></span></p> </div></div></div>
2021/9/29 07:00作者余至浩https://www.ithome.com.tw/news/146885
【CaaS平臺化關鍵制度：戰情室小組】跨部門專責敏捷小組加速創新，同步翻轉業務和技術架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有了CaaS生態圈商業模式和單一整合平臺之後，要能夠順利讓各子公司也能善用這樣的模式和技術平臺，國泰金控有一個創新的組織運作制度，也是關鍵，這就是戰情室小組的設立。</p> <p>舉例來說，國泰產險和旅遊新創KKday的異業合作上，為了在顧客購買旅遊行程時，能推薦保險商品，因為法遵要求，必須由具有保險執照的國泰產險來提供。</p> <p>但如何將國泰產險BeSafe平臺上二、三十種出行保險服務，介接到KKday上萬種旅遊商品，為了減少客戶選擇複雜度，雙方決定透過CaaS平臺的API串接，將國泰產險推薦模型，整合到旅遊行程購買流程中。</p> <p>因為這種合作模式，不是利用既有商品或模式就能滿足異業夥伴的需求，甚至會需要孵化新的服務模式和新的保險商品。尤其，國泰產險有5大險種，不同險種的專業知識和法規差異很大，產業知識就需要不同專家參與。</p> <p>甚至，雙方合作過程中，國泰需要先派出商業開發人員，先到kkday洽談商業模式，帶回對方的需求，再交給熟悉金融數位場景的專案經理，還要找數據團隊討論，來評估哪一種數據邏輯或推薦模式更有效果。</p> <p>確定推薦模式後，在系統設計上，不只要考慮如何讓對方容易對接，還要能落實個資保護機制和資安考量，因此，還得找來IT團隊討論API架構後才能打包對外釋出的服務。</p> <p>光是雙方的合作，其實涉及多方業務的討論，國泰產險就設立了一個戰情室小組，找來不同擅長的部門成員，組成跨功能的混合小組模式來進行，才能比較快速根據不同場景合作夥伴的需求來規畫。</p> <p>國泰產險今年4月開始跟KKday洽談，後來7、8月因疫情而延宕上線時間，9月就正式上線了新的旅遊場景保險服務模式，中間開發時間只用了2個月。</p> <p>甚至，這不只是針對一家合作夥伴的一次性推薦API設計，國泰產險還考量了最大可複用性的設計。因為數據對接，如何減少資料機敏性影響，又能達到客製化推薦效果，找來數據團隊討論後，最後找出了兩項與個資較無相關的參數來設計推薦API，如此一來，未來跨公司資安和個資傳遞上不容易受到不同產業主管機關法遵要求的影響。</p> <p>國泰產險透露，這個今年的新合作模式，未來可以推廣到其他商品種類繁多的產業，例如零售業的產品線很多，也需要這種產品推薦模式的整合，而一開始就採取避免法遵疑慮的設計，再打包到CaaS平臺上，就可以適用到更多不同產業上。</p> <p>國泰產險數位科技發展部協理劉浩翔強調，很多業務險商業模式改變時，需要中臺架構上的改變，而國泰戰情室小組可以同時推動業務模式和技術模式的轉型，這是一種多轉型目的的混合編組模式。國泰產險手上目前舊有6個戰情室小組正在進行。而且這不只是一家子公司這樣做，國泰世華銀行、國泰人壽等都有戰情室小組的轉型計畫。</p> <p>為何戰情室小組的制度，可以創造出這種高度彈性又跨業務、跨子公司，甚至是跨產業都能適用的合作成果？</p> <p><span style="font-size:28px;"><strong>戰情室小組如何組成虛擬組織</strong></span></p> <p>有別於一般跨單位專案，國泰設立戰情室小組時必須經過層層把關。只有為了轉型目的的專案需求時，國泰才會設立戰情室小組這樣的專責小組。而且每次發起一個戰情室計畫時，子公司要先進行設計思考活動，確定產品未來策略和方向，再向上呈報到金控，在金控端還有一個由高層組成的轉型委員會，來審查戰情室小組的提案，獲得認可後才會同意設立。</p> <p>這是一種非常高規格嚴格篩選的轉型專案形式。正因為獲得金控高層的支持，國泰戰情室小組獲得的資源和影響力有別於一般專案合作。</p> <p>戰情室小組採取虛擬組織的形式進行，每次參與人數約6～8人，會指派一位產品負責人（PO），小組成員則來自不同部門或職能的專家。這些人會從原單位的任務脫離，卸下原有的各種工作和任務，在戰情室小組組成期間，統一集中到同一個地方共同工作。</p> <p>不只如此，這個小組導入了敏捷開發流程，就算成員來自不懂IT的業務部門，或法遵部門，都得學會敏捷開發流程來進行協作。小組在敏捷開發中，一個衝刺大約1至2周，也同樣每天舉辦15分鐘站會，就跟IT開發團隊的敏捷作法一樣。短期戰情室小組為期約3個月到半年，較長者可能達到2年，計畫結束後，成員才歸回到原單位。</p> <p>「戰情室是一種策略目標更集中的組織方法，而且採取敏捷流程，在短時間內小步快跑，這是多數業務單位沒有過的經歷。」劉浩翔坦言。也正因為如此，國泰戰情室小組，才會和傳統組織運作方法有所不同。</p> <p><span style="font-size:28px;"><strong>不只工作內容也打破角色，所有成員共享專案KPI</strong></span></p> <p>相較於跨部門專案，各部門參與成員，仍舊站在各自部門的立場來說話，國泰世華銀行數據生態營運部協理吳香妮指出：「戰情室小組制度打破了原有的框架，業務和承擔都一樣，」連工作內容都打破角色來分配，每一個成員不只要了解法規、還要研究IT系統、產品設計，甚至連通路業績都要了解。</p> <p>而且，吳香妮強調：「所有成員背負共同的專案KPI，共榮共悲。」</p> <p>甚至，國泰還為此修改了內部考核辦法，當成員加入戰情室小組期間，改由戰情室主管來評比考績，而不是原本單位的所屬主管。這是戰情室小組和專案形式最大的不同，也是戰情室小組更容易打破原有業務和技術架構來創新的關鍵。</p> <p><span style="font-size:28px;"><strong>以案養人擴散轉型知識，培養更多跨界人才</strong></span></p> <p>這不只一種創新商模的方法，更是一種「以案養人」讓轉型知識普及更多人的方法。</p> <p>吳香妮指出，不同部門成員短期加入這個戰情室小組後，一起專案合作，不只技術人員需要了解業務內容，反過來業務人員也得了解數據推動的方式如何協助業務。</p> <p>像業務人員回到原單位會成為火種，將學到的新工具和新思維來影響原本的部門。</p> <p>甚至，「戰情室小組的作法，可以培育子公司的跨界人才。」國泰人壽數位發展部協理林秉毅一句話點出這個作法的組織面價值。</p> <p>國泰很常利用這個戰情室小組來推動跨子公司或需要跨資源整合計畫的規畫，等到規畫完成以後，再把計畫交付給各業務單位執行，而原先戰情室小組就解散歸建。CaaS生態圈中就有不少這類創新商業模式的計畫，採用了戰情室小組模式來推動。</p> </div></div></div>
2021/9/29 07:00作者王宏仁https://www.ithome.com.tw/news/146886
Cloudflare推出兩項電子郵件安全功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供內容傳遞網路（CDN）與安全服務的Cloudflare在本周發表了兩項電子郵件安全功能：<a href="https://blog.cloudflare.com/introducing-email-routing/" target="_blank">Email Routing</a>與<a href="https://blog.cloudflare.com/tackling-email-spoofing/" target="_blank">Email Security DNS Wizard</a>，前者用來協助用戶建立及管理功能不同的電子郵件位址，後者則是簡化了DNS的設定，以協助用戶對抗詐騙及網釣郵件。</p> <p>大多數的網路用戶都透過電子郵件來執行機密的目的，像是登入銀行帳號，或是與政府機關交流，但電子郵件也會被用來登入網路上的任何網站，冒著接到源源不斷垃圾郵件的風險，於是有些企業就會根據需求使用不同的電子郵件帳號，但對於缺乏資源的小型企業來說，配置不同的郵箱與別名並不容易。</p> <p>Cloudflare說明，電子郵件主要是由信封、標題及內容所組成，信封為SMTP傳輸協定的一部份，主要是告知伺服器有關郵件的來源與目的，標題則提供寄件端與接收端的電子郵件位址、日期、主題或其它技術元資料，內容則是訊息的主體。</p> <p>而Email Routing在這當中則是擔任傳輸層智慧路由器的角色，處理及修改SMTP信封，並將郵件遞送到最終目的，但保留原始的標題，以及維持內容的完整性，此舉將可確保諸如SPF或DKIM等安全或反垃圾郵件協定不會被破壞，同時保障收信者的安全。</p> <p>Email Routing簡化了使用者建立及管理電子郵件位址的流程，使用者只要輸入基於自己網域的客製化電子郵件位址，再輸入所要轉寄的電子郵件位址，就能根據需求建立眾多的電子郵件帳號，並將它們轉寄到原本所使用的郵件信箱，如Gmail或Outlook等。它是項免費服務，唯一的前提就是使用者必須是Cloudflare的DNS用戶，現已邁入封閉測試，<a href="https://www.cloudflare.com/zh-tw/email-forwarding-waitlist-sign-up/" target="_blank">並開放有興趣的使用者申請</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-cloudflare%20Email%20Routing.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Cloudflare</span></p> <p>Email Security DNS Wizard 的主要作用在於協助使用者建立DNS紀錄，以防範他人利用使用者的網域來遞送惡意電子郵件，同時也會在使用者採用不安全的DNS配置時跳出警告並提供建議，除了可預防電子郵件詐騙及網釣之外，還能改善電子郵件的遞送。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-Email%20Security%20DNS%20Wizard%20cloudflare-2.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Cloudflare</span></p> <p>電子郵件詐騙通常是假冒他人的網域來寄送郵件，上當的使用者可能會點選郵件中的連結並輸入重要的憑證，形成網釣攻擊。根據<a href="https://www.ic3.gov/Media/PDF/AnnualReport/2020_IC3Report.pdf" target="_blank">FBI今年4月發布的2020年網路犯罪報告</a>，網釣是去年最常見的網路犯罪，總計有超過24萬名受害者，損失金額超過5,000萬美元，受害人數是2019年的兩倍，接近2018年的10倍。而Verizon的2020年資料外洩報告則顯示，在社交工程的攻擊事件中，有高達96%是透過電子郵件，透露出網釣的嚴重性與電子郵件安全的重要性。</p> <p>不過，其實DNS就內含了反詐騙的機制，包括寄件端政策框架（Sender Policy Framework，SPF）、網域金鑰識別郵件（DomainKeys Identified Mail，DKIM），以及基於網域的郵件驗證、報告與一致性（Domain-based Message Authentication Reporting and Conformance，DMARC）。其中，SFP是用來指定允許哪些IP位址及網域可代表使用者的網域來發送郵件，DKIM用來確認電子郵件確實是由網域所授權的郵件伺服器所寄出，DMARC會在DNS紀錄中設定規則，同時配合SPF與DKIM確認郵件的真實性，當SPF及DKIM驗證失敗時，郵件伺服器便會根據DMARC規則來處理郵件，如隔離、拒絕或遞送等。</p> <p>雖然DNS具備了上述的反詐騙機制，但對於沒經驗的人來說，很難作出正確的配置，若配置太嚴格，合法郵件可能會收不到或淪為垃圾郵件，若配置太鬆散，網域便容易遭到濫用。且根據Dmarc.org在去年底的調查，只有不到50%的網域擁有DMARC紀錄，另一項針對2,881家美國銀行的調查則指出，只有44%寫入了DMARC紀錄。</p> <p>Cloudflare表示，Email Security DNS Wizard所要做的，就是提高使用者對SPF、DKIM與DMARC的採用，以防範電子郵件詐騙及網釣，透過清楚的指引、簡單又明瞭的說明來協助使用者進行配置。該功能將率先提供給Cloudflare的免費方案用戶，並在幾周後擴大部署至Pro、Business與Enterprise方案的用戶。</p> </div></div></div>
2021/9/28 23:29作者陳曉莉https://www.ithome.com.tw/news/146947
AWS雲端聯絡中心Amazon Connect加入大規模對外通訊功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/three-new-capabilities-for-amazon-connect/">AWS更新Amazon Connect</a>，除了在AWS re:Invent大會上，發布的兩項功能Voice ID和Wisdom，現在已經正式可用之外，AWS還在Amazon Connect加入了大規模對外通訊功能，讓用戶可以管理大量的語音、SMS和電子郵件訊息。</p> <p>Amazon Connect是一個全頻道雲端聯絡中心，讓企業方便地部署客服服務，並且能夠使用內建的人工智慧和機器學習功能，提供個人化的服務。Amazon Connect最新兩個正式上線的功能包括Voice ID和Wisdom，Wisdom讓客服人員以最少的時間尋找需要的答案，AWS提到，客服人員在回答客戶問題時，會花費許多時間瀏覽不同的資料源，而延遲了回答的時間。</p> <p>Wisdom讓使用者可以只用簡單的短語句，像是「飯店房間的寵物政策為何？」Wisdom便會搜尋儲存庫，並且回傳最相關的資訊和最佳解答，供客服人員快速地回應用戶，Wisdom還使用Amazon Connect的Contact Lens服務，即時自動偵測通話期間來電者的問題，並推薦儲存在連接的知識庫中，不需要客服人員手動輸入。</p> <p>而Voice ID則是能夠簡化來電者的身份驗證程序，其使用機器學習技術，根據來電者的聲音，提供即時身份驗證。要讓Voice ID正確辨識來電者，來電者必須提供30秒的錄音，才能完成註冊，當註冊過Voice ID的來電者再次來電，Voice ID只需要5到10秒中的語音，就能夠驗證身份。</p> <p>另外，Amazon Connect還加入大規模對外通訊功能，除了接聽客戶電話，客服中心也有越來越多用例，需要回電、通知案件處理進展和確認訂位等，這些對外通訊多數為電話，而AWS提到，傳統撥打電話的效率很低，通常只有10％的電話會獲得回應。</p> <p>大規模對外通訊功能加入了預測撥號器，可以提升客服人員的撥號效率，使用活動績效、預期接聽率和客服人員數量，來調整外撥電話的數量。</p> <p>除了語音之外，SMS和電子郵件發送效率也能獲得提升，Amazon Connect擁有預建置的連接器，可從Salesforce、Zendesk和Marketo等外部系統，匯入聯絡人列表。客服中心經理可以透過即時指標，像是聯絡量、放棄率、平均連接時間和最短接聽時間，來最佳化客服中心的效率。</p> <p>不過，為了確保這項服務被正當使用，用戶必須要提出申請，才能使用預測撥號器，以及SMS和電子郵件功能，用戶需要提供詳細的使用案例，以及業務內容，經過驗證後，才能獲得存取授權，Amazon Connect也會持續監控用戶的使用狀況，並在懷疑被用於詐騙時，撤銷用戶的存取權限。</p> </div></div></div>
2021/9/28 23:33作者李建興https://www.ithome.com.tw/news/146940
Google Ads轉換動作的預設歸因，將以資料驅動取代最終點擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/ads-commerce/data-driven-attribution-new-default/" target="_blank">Google在27日宣布</a>，自今年10月起，將把Google Ads所有新的廣告轉換動作（Conversion Actions）的預設歸因模式（Attribution Model），從最終點擊（Last-click）改為資料驅動（Data-driven），且明年初就會部署到所有的Google Ads帳號中。</p> <p>在網路廣告中，當使用者與廣告產生互動，例如點擊了文字廣告或是觀看影片廣告，繼之採取了對廣告主有價值的動作，例如進行購買或直接於手機上致電商家，就算是一次轉換；至於促成轉換的因素即稱為歸因模式，可用來分析廣告的成效，Google Ads 現行的預設值為最終點擊，亦即把轉換功能全部歸給使用者最後點擊的廣告與相應的關鍵字。</p> <p>其實Google Ads也提供了其它的歸因模式，包括最初點擊、線性（將轉換功能平均分配給路徑上的所有廣告活動）、時間衰減（愈接近轉換所發生的廣告互動，功勞愈大）、依據路徑位置（第一個與最後一個與使用者產生互動的廣告都有40%的功勞，剩下的20%則平均分配給其它廣告），以及資料驅動。</p> <p>資料驅動與其它的歸因模式不同，因為它是利用廣告主的轉換資料來計算整個轉換路徑中每一個廣告互動所產生的實際貢獻，它觀察的是使用者與廣告的所有的互動，涵蓋搜尋、YouTube或Google Ads中的點擊及影片觀看，藉由比較那些最終進行轉換，以及未轉換使用者的路徑，來找到造成轉換的廣告互動模式。</p> <p>透過資料驅動模式，廣告主將更能理解哪些步驟或互動模式更可能引導使用者完成轉換，並把更多的功勞歸功給相對有價值的廣告互動。</p> <p>舉例來說，一家位於紐約市的旅遊公司，啟用了免費的轉換追蹤工具以觀察使用者於官網上的行為，其轉換目標是讓使用者購買布魯克林的單車之旅，在採行資料驅動模式之後，它會發現先點擊紐約單車之旅，再點擊布魯克林單車之旅的使用者，比直接點擊布魯克林單車之旅的使用者，更容易購買該行程，於是便會將其功勞歸功於紐約之旅及相關的關鍵字與活動。</p> <p>目前資料驅動歸因已支援搜尋、購物、陳列式廣告及YouTube廣告，有鑑於該模式原本擁有最低活動資料門檻，以及不支援某些轉換，造成許多廣告主無法使用，為了讓它成為Google Ads的預設模式，Google移除了資料門檻，並支援更多的轉換形式，包括程式內及離線轉換等。</p> <p>儘管成為預設歸因模式，但廣告主依然可手動切換至最初點擊、最終點擊、線性、時間衰減，或是依據路徑位置等其它模式。</p> </div></div></div>
2021/9/28 22:58作者陳曉莉https://www.ithome.com.tw/news/146946
機器學習函式庫Scikit-learn 1.0，加入關鍵字參數和線上OneClass SVM演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2007年發展至今的Python機器學習函式庫<a href="https://scikit-learn.org/stable/auto_examples/release_highlights/plot_release_highlights_1_0_0.html#sphx-glr-auto-examples-release-highlights-plot-release-highlights-1-0-0-py">Scikit-learn，終於發布1.0版本</a>，這代表該版本已經擁有足夠的穩定性，用戶已經可用於生產環境中。的確，官方在第一個主要版本，把更新重點擺在穩定性，使多項用戶常用功能更加強健，並讓Scikit-learn可以應付更多複雜使用場景。</p> <p>而在功能更新上，第一項scikit-learn的重要更新便是關鍵字參數，官方解釋，scikit-learn API提供許多需要輸入大量參數的函式和方法，但是過多的參數常會造成混淆，閱讀程式碼的人需要搞懂每個參數的位置和意義。</p> <p>而官方為了提高scikit-learn程式碼的可讀性，現在用戶需要提供大多數參數的名稱，作為關鍵字參數，而非原本以位置作為識別方法的位置參數。這樣的改動更具可讀性，位置參數從0.23版本已經被棄用，現在則會出現類型錯誤。</p> <p>另外，官方在新類別SGDOneClassSVM，加入了使用隨機梯度下降方法，實作的One-Class SVM線上線性版本OneClassSVM。One-Class SVM是用來檢測異常資料的演算法，而結合核心逼近技術，SGDOneClassSVM可用來逼近在OneClassSVM中，實作的核心化One-Class SVM的解，其運算時間的複雜度和樣本數量呈線性關係。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/sphx_glr_plot_anomaly_comparison_001.png" style="width: 580px; height: 518px;" /></p> <p>官方提到，由於核心化One-Class SVM的複雜度，最好為樣本的二次方，所以SGDOneClassSVM適合用於樣本數大於一萬的大量訓練資料集，其中的SGD變體能夠快上幾個數量級。</p> </div></div></div>
2021/9/28 23:01作者李建興https://www.ithome.com.tw/news/146943
Google智慧臺灣計畫邁入第四年，砸百萬美元提升民眾數位素養，打擊不實訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在臺推動智慧臺灣計畫邁入第四年，今日（9/28）宣布多項新計畫及成果，除了將持續在臺投入資源培育廣泛型數位人才和資訊科技研究人才外，自家非營利機構Google.org將提供100萬美元給臺灣事實查核中心，推動為期3年的數位素養及媒體識讀教育專案，提升民眾的數位素養。</p> <p>回顧智慧臺灣計畫4年來的發展，Google臺灣總經理林雅芳表示，第一年著重發展科技生態系，找尋可與臺灣在地IT生態系連結的方式，第二年則著重人才培育，她道，只有生態系不夠，需要有更多優秀的人才，才能把生態系做大、做強。</p> <p>此外，從2019年開始，Google臺灣連續3年與外貿協會發表臺灣企業跨境報告，針對發展跨境業務的企業給予建議。林雅芳表示，這是要協助臺灣企業在國際市場，獲得更多機會，拓展國際化商機。</p> <p>近兩年，Google智慧臺灣計畫聚焦推動數位轉型，去年，受疫情影響，先協助臺灣企業利用數位工具，降低疫情對營運帶來的衝擊，今年要進一步推動人才方面的轉型計畫，並要提升臺灣社會的數位素養。</p> <p>繼資助均一平臺教育基金會，Google非營利機構Google.org也將提供臺灣事實查核中心100萬美元，推動數位素養及媒體識讀教育專案。這項專案將串連社區大學全國促進會、假新聞清潔劑、臺灣媒體觀察教育基金會、優質新聞發展協會等組織，透過舉辦線上和實體教育活動，推廣媒體識讀概念，還有建立民眾的數位素養，減少不實訊息對社會帶來的傷害。</p> <p>為何Google要在臺推動數位素養專案？Google臺灣政府事務及公共政策資深協理陳幼臻說明，不實訊息對社會造成的影響相當大，Google感受到外界對數位平臺須承擔責任的期許，但，除了自身主動偵測、調控平臺的內容，也需協助民眾提升數位素養，她解釋，移除、降訊都是事後的補救措施，透過與第三方團體交流發現，治本方法應是提升大眾的媒體素養，民眾才不會輕易相信收到的任何資訊。</p> <p>為期3年的專案期間，臺灣事實查核中心計畫舉辦近70場工作坊，訓練超過700位的培訓人員，包含教師、志工、專業人士、講師等，來協助在多元社區落實教育推廣活動，並鎖定數位弱勢族群，包含60歲以上民眾、偏鄉居民、原住民、新住民等，目標幫助2.3萬民眾培養媒體識讀的能力。</p> <p>人才轉型面向，去年，Google臺灣考量社會新鮮人受疫情影響，不易找工作，與104人力銀行共同推出數位人才探索計畫，提供數位行銷和職前訓練等課程，協助畢業生和沒有太多工作經驗的民眾提升數位能力和就業競爭力，並媒合企業開出的數位職缺。</p> <p>今年初，雙方已續辦計畫，除了提供數位技能訓練，還增加了新的課程內容，比如說，YouTube影音創作、Google Cloud雲端工具使用等訓練，明年更計畫新增電商、進出口貿易、遊戲產業等課程。計畫實施兩年來，共有超過2萬名社會新鮮人參與，有近2千人取得Google Ads等認證，而有超過40家企業今年針對此計畫，開出逾140個數位相關職缺。</p> <p>除了在臺投注資源培育廣泛型數位人才，Google臺灣也將持續投入資訊科技領域研究人才的培育，包含已連續4年與科技部、臺大人工智慧研究中心，舉辦AI創新研究營，供臺灣AI領域的研究人員與Google的AI專家進行交流。</p> <p>大學校園內電腦科學研究人才的培育上，則自去年引進大學交流計畫，提供博士生獎助學金的申請計畫，今年會擴大獎助計畫的項目，並著重獎助幾個新族群，首先是女性與弱勢族群，其次是長期性研究團隊。</p> <p>Google臺灣行銷副總經理黃寶萱提到，如果獎助團隊的研究領域與Google投資領域相關，更可直接與Google團隊一同研究和合作，且研究過程中，若團隊需要GCP資源，可申請免費使用額度。</p> <p>因應臺灣新創圈蓬勃發展，Google臺灣也試圖與在地新創連結，7月時，啟動了Google孵創計畫，集結國發會、AppWorks和臺大創創中心，共同提供臺灣新創發展所需的資源，給予營運建議，協助新創朝海外市場發展。</p> <p>計畫推出至今約兩個月，Google臺灣召集了30多位，具有新創背景的各地Google員工，擔任新創導師，與新創公司分享產業動向、人才培育等資訊。目前已有超過80家新創加入這項計畫。</p> <p>年初Google臺灣啟用板橋遠東通訊園區新辦公室時，就曾強調臺灣已成為Google總部以外，最大的全球硬體研發基地。林雅芳表示，除了招募在地的人才外，Google臺灣也持續向海外人才招手，甚至是Google自身內部的海外人員，目前Google臺灣已有來自超過20個國家的人員。</p> <p>面對在臺員工數持續增長，Google臺灣在臺北市、新北市、桃園市、新竹市、彰化縣和臺南市，現都設有辦公室，而板橋遠東通訊園區另一座新辦公大樓預計會在2023年落成，辦公空間將是該園區已啟用的Google大樓的兩倍。文⊙黃郁芸</p> </div></div></div>
2021/9/28 20:32作者黃郁芸https://www.ithome.com.tw/news/146945
台灣大哥大和北富銀聯手搶攻Fintech，以電信用戶數據作為金融產品申辦依據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台灣大哥大和台北富邦銀行(簡稱北富銀)聯手搶攻Fintech，雙方共同發表新的台灣大哥大聯名卡，發揮集團資源共享的優勢，申辦聯名卡整合電信消費數據、簡化申請流程，並強調首次接觸金融服務的社會新鮮人也能申辦。</p> <p>新的聯名卡象徵台灣大哥大與北富銀，發揮集團資源整合的優勢，整合用戶數據的成果。北富銀總經理程耀輝表示，雙方合作推出的新聯名卡，象徵新的生活金融體驗，讓「信用」比錢更好用。隨著金融科技的發展，金融機構對「信用」的定義不斷提升進化，這次北富銀與台灣大哥大的合作，針對申辦用戶的電信資訊進行整合，簡化申辦流程，在台灣大哥大App就能快速申辦，提供讓人驚豔的辦卡體驗。</p> <p>程耀輝進一步指出，過去申辦信用卡有許多痛點，例如銀行要求用戶提供財力證明，用戶若無法提供財力證明，先引導申辦數位存款帳戶，帳戶使用一定的時間後，例如連續三個月帳戶存款達萬元等條件，即自動升級為聯名卡。讓社會新鮮人或自由工作者通過多元的驗證方式，更容易拿到第一張信用卡。</p> <p>目前台灣大哥大約有720萬電信用戶，北富銀期望通過資訊整合、簡化流程，吸引約一成的台灣大哥大用戶申辦聯名卡。而除了整合電信用戶資訊推出新一代聯名卡，也針對台灣大哥大用戶推出myMoney服務，包括由北富銀提供的數位帳戶申請、手機門號收付款、奈米投理財服務。</p> <p>如同前面所說的，新聯名卡簡化申辦流程，北富銀以卡友申請聯名卡為例，卡友透過台灣大哥大App線上申請，最快60秒完成，用戶收到核卡簡訊後立即綁定，不需要等待實體卡，就能在台灣大哥大的門市通路消費使用。</p> <p><span style="color:#B22222;"><strong>整合電信用戶數據提供金融服務</strong></span></p> <p>整合電信用戶數據提供金融服務並非頭一遭，這幾年國內吹起Fintech風潮，國內銀行業者相繼提供創新金融科技服務，其中凱基銀行在2018年就先與中華電信合作，以中華電信的行動電信用戶身分、消費數據作為銀行信貸的審核依據。</p> <p>這次北富銀與台灣大哥大的合作，北富銀資深副總周郭傑表示，現代的年輕人很早便開始使用電信服務，因此最先建立與電信業者間的關係，直到成年後才會開立金融帳戶，此次雙方合作思考如何利用電信資料，協助年輕人及早建立金融關係。過去申辦金融服務常需填寫個人的電子信箱、地址等資料，此次與台灣大哥大合作，在用戶同意使用個資之下，共有6個欄位帶入用戶留存在電信公司的資料，帶到金融產品申辦的流程，因此用戶不需填寫資料，只要確認資料正確，就能將資料帶到申請金融服務申辦的流程。</p> <p>另外，周郭傑指出，根據用戶過去使用電信服務的行為，例如電信帳單繳費是否正常，增進對客戶的信用分析，將帶來兩個好處，例如借貸的利率、額度，因此較缺乏金融數據的年輕人，就能根據他們使用電信服務的行為，提供更合理的定價及服務。整合電信用戶資料，不只對電信用戶申辦金融服務有好處，銀行既有的金融用戶，也能透過電信數據等多個面向去瞭解金融客戶的信用狀態，進而調整利率或信用額度。這些都是多面向數據能提供銀行業者最好的機會。</p> <p>對於電信業者這幾年搶攻Fintech，瞄準電信與金融結合的商機，台灣大哥大總經理林之晨則表示，相較其他電信業者，富邦集團的優勢為金融集團，因此在Fintech發展上更具有優勢，例如新推出的myMoney，即提供電信用戶數位帳戶存款、投資等服務。台灣大哥大和北富銀的合作，為尋求在既有法規限制下，在用戶同意之下，讓用戶省去資料提供，又能證明用戶的信用價值。</p> <p>林之晨借用區塊鏈發展的Zero Knowledge協定，在合作夥伴不完全知道真實用戶的資料，在用戶同意之下，提供合作夥伴需要知道的資訊，台灣大哥大今後會朝向Zero Knowledge，在合法合規的前題之下，確保用戶的隱私，提供合作夥伴需要的資訊。</p> </div></div></div>
2021/9/28 18:03作者蘇文彬https://www.ithome.com.tw/news/146942
Firefox惡意擴充程式Safepal Wallet清空了使用者的加密貨幣錢包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有一名暱稱為Cali的Firefox用戶在9月中旬<a href="https://discourse.mozilla.org/t/got-hacked-by-the-add-on-called-safepal-wallet/85797" target="_blank">於Mozilla論壇上抱怨</a>，他從Firefox的擴充程式商店下載了Safepal Wallet加密錢包，以在瀏覽器上使用，沒想到Safepal Wallet卻是個網釣錢包，騙走了他的Safepal錢包憑證，並將他存放於錢包中的加密貨幣盜轉一空。</p> <p><a href="https://safepal.io/" target="_blank">Safepal</a>是個知名的加密貨幣管理平臺，除了製造硬體的加密貨幣錢包之外，也開發了支援Android與iOS的Safepal行動程式，不過，顯然Safepal並未打造瀏覽器擴充程式。</p> <p class="rtecenter"><img alt="" src="https://safepal.io/new_v2/images/page11/app_01.png" style="width: 413px;" /></p> <p><span style="color:#696969;">圖片來源_Safepal</span></p> <p><a href="https://www.bleepingcomputer.com/news/security/malicious-safepal-wallet-firefox-add-on-stole-cryptocurrency/" target="_blank">BleepingComputer調查</a>，Safepal Wallet是在今年2月登上Firefox擴充程式商店，而根據<a href="http://webcache.googleusercontent.com/search?q=cache:ghrYjr3HprIJ:https://addons.mozilla.org/en-US/firefox/addon/safepal-wallet/reviews/&hl=zh-TW&gl=tw&strip=1&vwsrc=0" target="_blank">Safepal Wallet的庫存頁面</a>，至少有4名使用者受害，他們全都指控這是個詐騙程式。</p> <p>Cali說，當他下載了Safepal Wallet並以Safepal憑證登入時，Safepal Wallet並未正常運作，8個小時之後他透過手機上的Safepal程式檢查餘額，才發現資產已全部被轉移到其它錢包，他不敢相信Firefox沒有審查列在自己商店內的程式。之後Cali還報了警，但警方卻說自己無能為力，無法追蹤駭客的足跡。</p> <p>Mozilla回應了BleepingComputer，表示當他們得知有惡意擴充程式會危害使用者的安全及隱私時，即會避免這些程式於Firefox上運作，在Cali的案例中，他們則馬上封鎖Safepal Wallet並將它下架。</p> <p>Mozilla表示，使用者在安裝可能存取隱私或金融資源的軟體時，應該要特別當心，建議使用者要觀察這些軟體是否來自可靠的開發者，檢查該開發者的網站、部落格或社交媒體，以及閱讀其他使用者的評價。</p> </div></div></div>
2021/9/28 16:23作者陳曉莉https://www.ithome.com.tw/news/146938
Dell發表混合量子模擬平臺，降低量子演算法開發門檻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Dell正在測試一個內部開發的<a href="https://www.delltechnologies.com/en-us/blog/exploring-hybrid-classical-quantum-compute/">混合量子模擬平臺</a>，供研究人員更方便地執行量子演算法，該演算法同時使用了量子電路以及傳統運算硬體，來執行量子運算。該公司現在揭露了更多該混合模擬平臺的資訊，該平臺使用Dell EMC PowerEdge R740xd伺服器，以及IBM的量子電腦開源容器化服務Qiskit Runtime所建置而成，以使用模擬器來探索量子應用程式的運作。</p> <p>為了滿足不斷成長的運算需求，科學家發展出各種運算架構來擴展運算能力，而量子運算在模擬、最佳化和機器學習演算法等應用，都展現了極佳的發展潛力，因此被認為是可以寄託厚望的技術，但Dell提到，人們對於量子電腦普遍存在一種誤解，認為量子電腦會完全取代傳統運算，所以只能使用量子裝置執行量子運算。</p> <p>不過，在目前技術發展階段，Dell表示，已經可以在傳統資源中，重建量子環境的關鍵部分，讓想要探索量子運算的研究人員，能夠更簡單地取用量子運算資源。透過模擬器，就能重建出量子系統中的量子部分，或是以模擬器同時重建出量子和量子系統傳統的部分，Dell所提出的混合傳統和量子運算平臺，便是其中一項研究成果，藉由在雲端和本地端複製Qiskit Runtime，使用模擬器執行量子應用程式。</p> <p>IBM量子運算副總裁Jay Gambetta提到，這個新平臺，讓用戶可以在自己的傳統資源上使用Qiskit Runtime，因此研究人員更容易建置和改進量子演算法。Dell提到，該平臺在雲端原生平臺Kubernetes上執行傳統和量子處理，因此不只是雲端，用戶也能夠在本地端輕鬆部署基礎設施，並開始研究量子運算。</p> <p>透過這個混合平臺也能更快地獲得運算結果，Dell解釋，演算法中的傳統元件與量子資源緊密整合，因此可獲得效能提升，縮短開發時間。除此之外，混合量子模擬平臺由於能夠在本地端執行，資料和工作負載不需要交給第三方，因此擁有更高的隱私和安全性，另外，讓用戶自由地選擇在本地端或是雲端部署，也就賦予用戶更高的配置靈活性。</p> <p>Dell提到，企業只要使用現有的基礎設施便能夠同時處理量子運算和傳統運算，這是混合模擬平臺帶來的價值。</p> </div></div></div>
2021/9/28 16:45作者李建興https://www.ithome.com.tw/news/146939
臉書定義「元宇宙」，宣布投入5千萬美元的研發基金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近來「元宇宙」（Metaverse）成為科技產業的熱門話題，從微軟、臉書、Nvidia或遊戲平臺Roblox，都開始提及Metaverse。<a href="https://about.fb.com/news/2021/09/building-the-metaverse-responsibly/" target="_blank">本周臉書定義了Metaverse</a>，稱它是個虛擬空間，讓人們可以在這個空間裡與其它處於不同地方的使用者共同創造也一起探索，同時宣布將投入5,000萬美元的研發基金。</p> <p>Metaverse是由Meta（超越）與Verse（宇宙）兩個單字所組成，率先出現在由Neal Stephenson所撰寫的《潰雪》（Snow Crash）科幻小說中，雖然這本小說在1992年就出版了，但Stephenson所描繪的Metaverse就是個完全虛擬的世界，允許人們在Metaverse中化身為各種角色，剛好與現今的網路普及，以及科技產業正發展的虛擬實境／擴增實境（VR/AR）技術相呼應。</p> <p>臉書指出，人們在Metaverse中可以與同伴一起出去玩、工作、遊戲、學習、逛街或是創作，它並不是為了要讓人們花更多的時間在網路上，而是要讓人們於網路上花的時間變得更有意義。</p> <p>不過，Metaverse並非單一產品或單一企業就能獨立建置，它將像網路一般地存在，不管臉書在不在，Metaverse都會在，只是它並非一蹴可幾，許多涉及Metaverse的產品可能需要10年至15年來實現，而且必須結合來自政府、產業與學術界的專家來討論有關Metaverse的各種議題，才能建置一個擁有完整互動，而且具備人權與民權的虛擬世界。</p> <p>因此，臉書呼籲各界應該要一同研究有關Metaverse的經濟機會、隱私、安全與誠信，以及平等與包容等面向。</p> <p>為了實現Metaverse的願景，臉書建立了XR專案及研究基金，準備在兩年內投入5,000萬美元，以贊助與Metaverse有關的各項專案及外部研究，號召產業、民權組織、政府、非營利機構及學術機構共同參與，以判斷該如何負責任地建置相關技術。</p> <p>目前XR專案及研究基金已經贊助了美洲國家組織的工作培訓、非洲的沈浸技術數位故事專案、歐洲的女性沈浸技術培育等專案，以及安全／倫理／負責任設計、隱私與資料使用，與如何存取Metaverse經濟機會的各種研究。</p> <p>其實就算不使用Metaverse的字眼，臉書也早就朝向Metaverse邁進，臉書在2016年便曾提及<a href="https://www.ithome.com.tw/voice/113554" target="_blank">虛擬實境聊天室Spaces</a>，這是一個讓人們以虛擬人物分身，在虛擬VR空間中互動、聊天的新平臺，它在2019年進化成<a href="https://www.ithome.com.tw/news/133276" target="_blank">社交虛擬實境世界Facebook Horizon</a>，今年則進一步發表了<a href="https://www.ithome.com.tw/news/146311" target="_blank">VR遠端協作解決方案Horizon Workrooms</a>。</p> <p>今年3月登上紐約股市的<a href="https://www.ithome.com.tw/news/141227" target="_blank">遊戲業者Roblox</a>，是個遊戲共創平臺，允許玩家於該平臺建立各種遊戲經驗及物件，並與社群分享，它曾在<a href="https://www.sec.gov/Archives/edgar/data/1315098/000119312520298230/d87104ds1.htm" target="_blank">IPO申請書</a>中提及，Roblox平臺就是Metaverse的具體化。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-roblox-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Roblox</span></p> <p>而微軟則從數位分身（Digital twins）的概念談及Metaverse。數位分身指的是實體系統於資訊化平臺上的分身，此一分身會根據實體系統的變化作出相對的反應，它可以是資產、系統或環境，並可於數位分身上導入分析、AI及機器學習，<a href="https://azure.microsoft.com/zh-tw/blog/converging-the-physical-and-digital-with-digital-twins-mixed-reality-and-metaverse-apps/" target="_blank">負責Azure IoT的微軟副總裁Sam George認為</a>，數位分身代表了物理與數位世界的融合，這些空間創造了一個充滿機會與創造性解決方案的世界，這些創造性解決方案即為Metaverse程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-%E5%BE%AE%E8%BB%9F%20%E6%95%B8%E4%BD%8D%E5%88%86%E8%BA%AB%20metaverse.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_微軟</span></p> <p><a href="https://blogs.nvidia.com/blog/2021/08/10/what-is-the-metaverse/" target="_blank">Nvidia也將今年8月發表的3D即時模擬與協作平臺Nvidia Omniverse與Metaverse畫上等號</a>，Nvidia對Metaverse的定義與臉書相似，認為它是個共享的3D虛擬世界，是個讓使用者身歷其境，可互動及協作的世界，它會是一個不受限於任何應用或地點的平臺，且最終將成為一個跟現實世界一樣豐富的另一個真正的世界。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-NVIDIA%20Omniverse.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Nvidia</span></p> </div></div></div>
2021/9/28 15:16作者陳曉莉https://www.ithome.com.tw/news/146936
AWS開源雲端基因組分析工作流程部署工具Amazon Genomics CLI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS現在開源能夠處理PB級基因組資料的工具<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-genomics-cli-is-now-open-source-and-generally-available/">Amazon Genomics CLI</a>，用戶可以將這個工具與目前公開可用的工作流程工具一起使用，並在這些基礎上執行基因分析。</p> <p>DNA雙股螺旋結構由一串鹼基對組成，完整的鹼基對序列可能很長，像是人類基因組就由超過30億個鹼基對組成，基因組資料可被用來追蹤傳染病、病原體，或是改進疾病診斷。要存取基因組資料，必須先進行基因組定序，由於技術的發展，科學家開始可以對大量個體進行測序，速度和成本效益都比過去更高。</p> <p>而要分析這些基因組資料，需要使用各種工具，這些工具會被安排為特定步驟或是工作流程，科學家為了促進工作流程的開發、共享和執行，因此生物資訊社群開發了專門的工作流程定義語言，像是WDL、Nextflow、CWL和Snakemake。</p> <p>而這個過程會產生PB級的原始基因組資料，要快速處理資料並獲得答案，便需要配置運算、儲存和網路等雲端資源，和分析工具一同運作，因此科學家也就必需要花費額外的時間部署基礎設施，並且修改開源基因分析工具。</p> <p>Amazon Genomics CLI供科學家能在AWS上處理PB級的基因資料，而且透過開源，用戶也就能更方便地與其他公共工作流程工具一並使用。</p> <p>Amazon Genomics CLI藉由簡化和自動化雲端基礎設施部署，讓用戶可以使用命令列介面，在AWS上快速配置和運作基因組學工作流程，該命令列工具改進基因組學工作流程引擎，使其能夠更簡單地和AWS整合，消除手動修改開源工具，和調校以供大規模運作，所帶來的額外工作。</p> <p>而且該工具能夠減少像是儲存、運算容量、部署基因組學工作流程引擎，以及工作流程叢集的耗時配置工作，同時，也能與ECS、EFS或S3等服務無縫整合，並最佳化資源使用成本。</p> <p>Amazon Genomics CLI現在是一個開源工具，用戶可以在所有AWS地區使用，除了美國AWS GovCloud和中國地區除外。</p> </div></div></div>
2021/9/28 15:26作者李建興https://www.ithome.com.tw/news/146935
特斯拉開放所有車主試用全自動輔助駕駛的測試版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球電動車龍頭特斯拉（Tesla）執行長馬斯克<a href="https://twitter.com/elonmusk/status/1441560961593262081" target="_blank">（Elon Musk）在25日宣布</a>，所有特斯拉車主都可透過儀表板上的按鍵，申請試用全自動輔助駕駛（Full Self-Driving，FSD）測試版10.1。過去的FSD測試版皆為封閉測試，此一宣布讓全球的特斯拉車主趨之若鶩，每天約有1,000名車主申請，不過，特斯拉也限制了測試資格，只有在7天內達到一定安全分數的車主才能下載測試版。</p> <p>特斯拉有兩種輔助駕駛功能，一是所有車種都免費配備的Autopilot，提供巡航定速，以及在有明顯車道的路上自動轉向，另一則是FSD，其官方中文名稱為全自動輔助駕駛，售價為1萬美元，或是以每月199美元的費率訂閱，可於高速公路上依照導航自動駕駛、自動變換車道、自動停車、可以行動程式召喚、能夠辨識紅綠燈與交通號誌等。</p> <p>雖然名為全自動輔助駕駛，但特斯拉的FSD在自動駕駛的等級上<a href="https://www.cnet.com/news/tesla-full-self-driving-overview-cost-investigation/" target="_blank">只被列為Level 2</a>，頂多是先進的Level 2，離真正全自動駕駛的Level 5還有一段距離，至於FSD 10.1最大的改善應在於支援城市街道的自動轉向能力。</p> <p>過去FSD的測試版只開放給特斯拉員工與特定的車主，執行FSD封閉測試的車主大約只有2,000人，而現在，全球超過50萬的特斯拉車主都可申請參與FSD 10.1的測試。</p> <p>不過，要測試FSD是有條件限制的，將以安全駕駛為優先，<a href="https://www.tesla.com/support/safety-score" target="_blank">以特斯拉於7天內在車上所偵測到的駕駛行為安全分數為依據</a>，開車愈安全的愈容易獲准測試，其五大評估標準分別是前方碰撞警告、緊急剎車、急轉彎、不安全地跟車，以及強制解除Autopilot。</p> <p>此外，特斯拉似乎決定持續釋出FSD測試版，繼25日釋出FSD 10.1之後，亦計畫於10月1日釋出FSD 10.2。</p> <p>在特斯拉決定擴大FSD的測試範圍之際，美國國家運輸安全委員會（NTSB）的主席Jennifer Homendy向<a href="https://www.wsj.com/articles/elon-musks-push-to-expand-teslas-driver-assistance-to-cities-rankles-a-top-safety-authority-11632043803?mod=hp_lead_pos3" target="_blank">華爾街日報</a>表達了他的擔憂，認為特斯拉不應在還未解決基本的安全問題前，便大規模釋出城市駕駛工具，因為沒有人知道此一城市駕駛功能在公開道路上測試會發生什麼事。</p> </div></div></div>
2021/9/28 16:01作者陳曉莉https://www.ithome.com.tw/news/146937
為爭取代工Apple Car準備？LG買下汽車安全方案商Cybellum
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南韓電子大廠LG在<a href="https://www.ithome.com.tw/news/143632" target="_blank">今年初退出手機產業</a>後積極拓展新市場，<a href="https://www.lgnewsroom.com/2021/09/lg-to-acquire-israeli-vehicle-cybersecurity-risk-assessment-solution-provider-cybellum/" target="_blank">周一宣布</a>將分階段買下以色列汽車安全方案業者Cybellum，擴大汽車市場投資。</p> <p>LG周一已經完成以1.4億美元收購Cybellum 64%股權，剩餘部份將在近期內收購完成。收購案預計今年第4季完成，之後LG計畫以未來股權簡單協議(Simple Agreement for Future Equity，SAFE)方式，再投資這家公司2000億美元。</p> <p>2016年創立的Cybellum提供汽車安全防護方案，旗艦產品是其網路數位分身（Cyber Digital Twins）平臺。這平臺可在不存取原始碼前提下將汽車內軟體元件以虛擬版本詳細再現，進行掃瞄分析。該公司平臺結合經常更新的威脅情報掃瞄汽車軟體漏洞，並提供改進建議。</p> <p>LG指出，隨著汽車聯網化，以汽車為目標的網路威脅日漸增加，推動車輛安全性滿足國際標準的需求更為迫切。Cybellum的收購將能協助LG藉由提升軟體安全性，保障汽車的零件設計、開發及運作。</p> <p>Cybellum原本即在日本、德國及北美有營運據點，產品客戶包括汽車生產商及供應商。LG表示，Cybellum之後將維持獨立運作及現有品牌。</p> <p>這並不是LG集團第一宗汽車產業的收購。2018年LG買下奧地利的汽車照明廠商ZKW，今年7月LG也和全球第三大汽車零件供應商、加拿大的Magna International合資成立公司LG Magna e-Powertrain。</p> <p>Magna為全球車體代工龍頭，<a href="https://technews.tw/2021/03/04/magna-may-be-a-possible-partner-of-apple-car/" target="_blank">市場推測</a>，7月的合資公司是雙方為代工爭取生產蘋果汽車而準備。<a href="https://www.ithome.com.tw/news/142141" target="_blank">媒體報導</a>，包括現代、LG等都在蘋果探詢代工的廠商名單上。</p> </div></div></div>
2021/9/28 13:16作者林妍溱https://www.ithome.com.tw/news/146930
反對聲浪不斷，臉書暫停打造兒童版IG
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在外界的施壓下，<a href="https://about.instagram.com/blog/announcements/pausing-instagram-kids" target="_blank">Instagram（IG）平臺負責人Adam Mosseri於27日宣布</a>，將暫停打造IG兒童版Instagram Kids，但會持續針對青少年建置家長監督工具。</p> <p>Mosseri看似是在強大的壓力下才不得不放棄Instagram Kids專案。該專案鎖定10到12歲的兒童，主要是因為兒童取得手機的年紀愈來愈年輕，他們早就存在於網路上，並且下載著那些支援13歲以上族群的應用程式，因此不如直接開發適用於該年齡層的服務。</p> <p>Mosseri說，他相信建置Instagram Kids是個對的方向，不管是YouTube或TikTok都製作了13歲以下的版本，相較於由程式來判斷使用者的年紀以便提供ID，讓兒童存取專為他們設計的IG版本，並提供家長控制功能，是個更好的選擇。</p> <p>只不過，Mosseri覺得Instagram Kids專案太早走漏風聲，甚至是在IG還不知道它會變成什麼樣子的時候，人們害怕最壞的情況會發生，但此時IG可給出的答案並不多，華爾街日報的報導更加劇了人們的擔憂，顯然需要更多的時間來解決。</p> <p>事實上，在今年4月時，一項名為「無廣告的童年」（Commercial-free Childhood）活動就<a href="https://fairplayforkids.org/wp-content/uploads/2021/04/instagram_letter.pdf" target="_blank">發表了一篇公開信予臉書創辦人祖克柏（Mark Zuckerberg）</a>，要求祖克柏終止Instagram Kids專案。</p> <p>在此一公開信中，同意現有版本的IG對13歲以下的兒童不安全，特別是可能有數百萬兒童謊報年齡而建立了IG帳號，但也認為針對13歲以下的兒童推出Instagram Kids並非正確的補救措施。該活動集結了許多心理健康專家，指出這個年紀的兒童開始學習社交能力、抽象思考與自我意識，他們在尋求自我表達的管道，與同齡人的聯繫變得特別重要，亦渴望得到同伴的認可，然而，IG對於人們的外表、自我展示及品牌的關注，都將挑戰兒童的隱私與幸福感，且有愈來愈多的研究表明，過度使用數位設備及社交媒體對兒童/青少年有害。</p> <p>「無廣告的童年」並不認為Instagram Kids能夠顛覆IG既有的屬性，反倒是希望祖克柏得以努力不讓IG接受13歲以下兒童的註冊。</p> <p>而<a href="https://www.ithome.com.tw/news/146731" target="_blank">華爾街日報</a>則是在今年9月中旬援引臉書的內部研究報告，顯示臉書也知道IG對青少年會帶來負面影響，但IG則說相關的研究便是用來改善該平臺的體驗。</p> <p>除了「無廣告的童年」活動與華爾街日報之外，負責消費者保護及資料安全小組委員會的美國參議員Richard Blumenthal，<a href="https://www.commerce.senate.gov/2021/9/protecting-kids-online-facebook-instagram-and-mental-health-harms" target="_blank">也準備在9月30日舉行一場聽證會</a>，主題即為「保護線上兒童：臉書、IG與心理健康的危害」（Protecting Kids Online: Facebook, Instagram, and Mental Health Harms），將探討臉書家族程式對年輕族群的影響，臉書對於解決相關威脅的作法，以及是否要制定保護線上兒童的政策等。</p> </div></div></div>
2021/9/28 13:35作者陳曉莉https://www.ithome.com.tw/news/146931
惡意程式使用新的簽章手法躲避Windows檢查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客手法日新月異，<a href="https://blog.google/threat-analysis-group/financially-motivated-actor-breaks-certificate-parsing-avoid-detection/" target="_blank">Google安全研究人員警告</a>現在又有惡意程式以變造簽章躲避安全產品偵測的新手法，而且曾經騙過Windows。微軟則說這不是Windows安全漏洞，它的安全產品已經可以偵測到。</p> <p>Google威脅分析小組最近發現一隻Google使用了一種變形程式碼簽章，無法被安全掃瞄產品掃瞄或解析，但又會被Windows判別為合法程式，Google相信是以竊取金錢為目的的攻擊者（如銀行木馬或勒索軟體）開發出來躲避安全掃瞄的新手法。</p> <p>OpenSUdpater是一個垃圾軟體家族，常被駭客用來下載和安裝其他可疑程式到用戶裝置。它背後組織的攻擊模式是儘可能散布與感染大量用戶，沒有特定目標，但常挑選尋找破解版遊戲及灰色軟體的使用者，大部份流傳於美國境內。</p> <p>Google研究人員Neel Mehta解釋，OpenSUpdater過去經常取得同一個合法憑證單位的憑證來簽章，以取信於Windows。但8月中他們發現的OpenSUpdater樣本卻使用無效簽章。這些簽章經過編輯，在EOC (End of Content) marker中以NULL標籤，取代簽發X.509葉憑證的SignatureAlgorithm的「參數」。</p> <p>研究人員解釋，EoC marker一般情況下是用於不特定長度的編碼，但在此卻用在限定長度的編碼。一般使用OpenSSL來檢查簽章資訊的安全掃瞄產品，會視之為無效編碼而拒絕，但是其他允許這類編碼的程式碼解析器，例如Windows中的解析器，就會視之為合法且有效簽章，允許它下載及執行。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Screen_Shot_2021-08-31_at_4.39.37_PM.max-1000x1000.png" style="width: 412px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>這是Google研究人員第一次看到用此類手法躲避偵測，又能在PE檔案保留有效簽章的案例。Google之後又發現OpenSUpdater嘗試其他變種編碼來躲避偵測。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-OpenSUpdater-600.png" style="width: 600px;" /></p> <p>研究人員表示，已和Google安全上網（Safe Browsing）部門合作更新有害網站黑名單，以防止它繼續散布有害程式。</p> <p>Google以Windows為例說明這類手法可騙過簽章檢查，微軟則表示已經注意到了。<a href="https://www.securityweek.com/google-says-threat-actors-using-new-code-signing-tricks-evade-detection" target="_blank">但微軟強調</a>，這並不是安全漏洞，也沒有計畫釋出安全更新來「修補」。</p> <p>微軟說，Microsoft Defender防毒產品已經可以偵測並且移除OpenSUpdater。</p> </div></div></div>
2021/9/28 14:09作者林妍溱https://www.ithome.com.tw/news/146932
Google抨擊歐盟反托拉斯：只抓Google不抓蘋果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/article/eu-alphabet-antitrust/corrected-google-in-fight-against-record-eu-fine-slams-regulators-for-ignoring-apple-idUKL8N2QO3ZG" target="_blank">路透社報導</a>，Google周一批評歐盟在打擊托拉斯的行動中誤認Android是市場霸主，卻忽略蘋果在行動裝置的宰制力量。</p> <p>Google本周針對2018年歐盟以Google濫用Android市場力量打壓競爭者，<a href="https://www.ithome.com.tw/news/124652" target="_blank">施以43.4億歐元罰金</a>一案提出上訴，Google與歐盟律師在歐盟一般法院進行辯論攻防。Google希望能推翻歐盟天價罰金的判決。</p> <p>2018年歐盟委員會認定Google以Google Play Store授權、分潤等誘因，迫使Android裝置業者搭載Google搜尋引擎、Chrome瀏覽器及其他Google應用程式，並禁止他們使用分叉的Android作業系統，藉此鞏固搜尋、廣告及作業系統的獨大地位並且排擠競爭者、傷害消費者。這43.4億歐元罰金使本案成為歐盟歷來第2高。</p> <p>報導引述Google律師Meredith Pickford提出的兩個論點。她指出Android生態體系不但不是打壓對手及傷害消費者，反而是促進產業競爭的極成功案例。</p> <p>Google同時話鋒轉向歐盟，指歐盟對行動產業內，蘋果和Android陣營的真實競爭狀態視而不見。Google方面認為歐盟對市場定義太過狹隘，忽略蘋果對市場的控制力量，而錯認Google獨霸手機作業系統及應用程式商店市場。</p> <p>不過在法庭上，歐盟方的律師則以蘋果市占率較小，駁斥Google論點。他重申Google和手機製造商簽定的合約，的確是妨礙競爭者的機會。</p> <p><a href="https://gs.statcounter.com/os-market-share/mobile/worldwide" target="_blank">根據市調公司GlobalStats的數據</a>，在全球行動OS市場，Google Android市占為73%，蘋果iOS則為26%。</p> <p>本案預計明年才會做出裁定。</p> <p>這還只是Google面臨歐盟的數項調查之一。<a href="https://www.ithome.com.tw/news/145181" target="_blank">今年6月歐盟正式啟動Google在網路廣告產業的反托拉斯調查</a>，以了解這家巨人的作法及技術，是否抑制廣告技術服務、廣告主及網路出版界的自由競爭。<a href="https://www.ithome.com.tw/news/139207" target="_blank">去年歐盟也啟動了Google收購Fitbit案的反托拉斯調查</a>。</p> </div></div></div>
2021/9/28 11:59作者林妍溱https://www.ithome.com.tw/news/146929
GitLab 14.3專注強化安全性加入新一代SAST引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.gitlab.com/releases/2021/09/22/gitlab-14-3-released/">GitLab新版14.3</a>來了，這個版本的重點更新項目，都為安全性功能，諸如專案層級的安全性掃描執行政策、新一代SAST引擎，以及GitLab Kubernetes代理群組權限等。</p> <p>GitLab 14.3在安全政策上往前跨了一步，加入專案層級的DAST，以及秘密掃描執行政策，現在用戶可以要求定期執行DAST和秘密掃描，或是使其成為持續整合工作管線的一部分，並且獨立於.gitlab-ci.yml檔案內容，官方提到，這允許安全團隊單獨管理掃描要求，且不讓開發者變更這些配置。</p> <p>GitLab 14.3還新增新一代SAST引擎，GitLab的SAST功能綜合了十多個開源靜態安全分析器，每個月都會在GitLab上，主動找出數百萬個漏洞，這些分析器使用各種不同的方法辨識漏洞，從基本的正規表示式，到抽象語法樹解析，但這些方法可能會產生偽陽性的問題，過去GitLab的安全工具，提供漏洞指紋比對功能，讓用戶能夠消除這些誤報。</p> <p>現在官方在GitLab 14.3加入的安全性更新，是由GitLab靜態分析和漏洞研究小組，所建置和維護的專有靜態應用程式安全測試引擎，在目前初始階段，該SAST工具僅針對Ruby和Rails的程式碼，能夠減少誤報。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/secure-fp-reduction-ui.png" style="width: 580px;" /></p> <p>官方提到，他們以多年維護GitLab SAST安全工具的經驗，以及先進的程序分析技術，打造這個新的SAST引擎，該引擎使用資料和控制流程分析，以及可用於偵測漏洞和誤報的模式擷取語言，且該引擎還提供了一個框架，能夠方便整合不同類型的安全測試，並讓測試執行更加智慧。GitLab會繼續擴展這個引擎，並且增加語言覆蓋範圍和檢測功能。</p> <p>而GitLab為了要讓開發人員和營運人員的環境配置不會相互干擾，推出了群組層級權限受保護環境，官方解釋，在大型企業中，開發人員和營運人員有明確的權限邊界，開發人員會在開發環境等層級較低的環境，部署和測試應用程式，營運人員則會在生產環境中操作，要在包含數千個專案的單個群組，正確配置所有專案的受保護環境，並非一件簡單的事。</p> <p>因此在GitLab 14.3中，官方添加了以部署層作為標示符號的群組受保護環境，讓營運人員可以將應用程式，正確地部署到生產環境中，且不會干擾專案開發人員工作。</p> <p>另外，GitLab還提供Kubernetes代理和Kubernetes叢集間的安全連接功能，在14.2版本之前，CI/CD通道僅允許，將已經在Kubernetes代理註冊的專案推送到叢集中，而在14.3中，代理可以被授權存取整個群組，也就是說，經授權群組下的每一個專案，都能夠存取叢集，而不需要對每個專案個別進行註冊。</p> </div></div></div>
2021/9/28 09:22作者李建興https://www.ithome.com.tw/news/146921
OpenTelemetry Collector追蹤元件達穩定階段，AWS自家版本緊跟上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>CNCF旗下的遙測專案OpenTelemetry，<a href="https://medium.com/opentelemetry/opentelemetry-collector-achieves-tracing-stability-milestone-80e34cadbbf5">宣布Collector中的追蹤（Trace）元件進入正式版本</a>，除了OTLP（OpenTelemetry Protocol）進入穩定階段之外，也提供收集、處理和匯出追蹤端到端支援。</p> <p>OpenTelemetry專案提供工具、API和SDK，來檢測、生成、收集和匯出遙測資料，供用戶更全面地了解應用程式的行為和效能，而Collector則是OpenTelemetry專案下的工具，對接收、處理和匯出遙測資料，提供一種獨立於各供應商的實作。</p> <p>即便官方還在改進指標和日誌元件，追蹤和處理追蹤的元件，都已經擁有穩定的API和配置，OpenTelemetry Collector使用最新的語義約定，提供一組通用的屬性和屬性語義，目標是確保所有遙測，都能使用一致的元資料。官方提到，這對於OpenTelemetry專案來說，是一個象徵成熟的里程碑，用戶已經可以將生產中使用追蹤功能。</p> <p>OpenTelemetry Collector的新功能包括完全支援OTLP v0.9.0，並且更新到最新的規範語義約定，改進身份驗證和配置，改進Collector中用到的pdata API，同時還刪除對棄用元件的相依性。在Java、Go、.Net、Python和C++的OpenTelemetry語言函式庫中，追蹤支援也都已經達到穩定階段，用戶可以選擇使用OpenTelemetry API和SDK，來配置生產中應用程式，開始收集追蹤資料。</p> <p>就在OpenTelemetry專案宣布追蹤（Trace）元件進入穩定階段的隔天，<a href="https://aws.amazon.com/tw/blogs/aws/new-for-aws-distro-for-opentelemetry-tracing-support-is-now-generally-available/">AWS緊跟著OpenTelemetry官方的腳步</a>，也宣布AWS Distro for OpenTelemetry正式支援追蹤功能，AWS Distro for OpenTelemetry用戶現在可以收集EC2、ECS、EKS、Lambda和本地端應用程式的資料，並且將收集的追蹤資料發送到AWS X-Ray，以及包括Grafana、Dynatrace和Datadog等第三方服務。</p> <p>AWS提到，用戶可以使用自動檢測代理來收集追蹤資料，不需要改動程式碼。自動檢測功能現在可用於Java和Python應用程式，不過，對Python的自動檢測支援，目前僅涵蓋AWS SDK，另外，用戶還可以使用OpenTelemetry SDK，來檢測Go、Node.js和.NET等其他語言的應用程式。</p> <p>AWS Distro for OpenTelemetry可以收集，來自AWS雲端和本地端應用程式的遙測資料，使用AWS Distro for OpenTelemetry不需要額外支付費用，但根據配置，用戶可能需要支付作為OpenTelemetry資料目標AWS服務的費用，像是AWS X-Ray、CloudWatch或是Amazon Managed Service for Prometheus。</p> </div></div></div>
2021/9/28 09:24作者李建興https://www.ithome.com.tw/news/146922
衛福部揭露醫療IT兩大新進展，電子病歷上雲考慮放寬境外、醫學中心可成電子病歷交換平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部資訊處處長龐一鳴26日在醫策會論壇上揭露醫界IT兩大新進展，一是醫療法新增4條上雲條款，開放電子病歷上雲，雲端服務業者以境內為原則，境外需提供個資法相關資料給中央機關。二是FHIR電子病歷架構推動方法，衛福部角色要從EEC維運者轉換為標準維護者，請醫學中心協助其他院所導入電子病歷交換系統或雲端交換系統。</p> <p><strong><span style="font-size:24px;">醫療資訊面臨管理和交換挑戰，衛福部要用FHIR電子病歷架構和開放上雲來解決</span></strong></p> <p>龐一鳴指出，醫療資訊發展至今出現不少挑戰，第一個挑戰是龐大資料的管理問題，資料儲存從早期資料庫發展到資料倉儲、資料湖、資料市集等，資料量越趨龐大，需要一套管理規範或行政制度來管理才行。</p> <p>另一個挑戰是資料交換標準。他表示，過去30年來，健保資訊皆為國內交換，交換標準符合臺灣醫療情境、非常在地化，但現今，越來越多醫學中心跨足國際醫療，甚至國產疫苗也將於其他國家進行臨床試驗，病歷資料交換勢必得採國際標準。</p> <p>因此，衛福部將推動2項醫療IT改革，一是電子病歷上雲，這次揭露了4條電子病歷管理辦法新條文。其次是推動國際HL7醫療資料交換標準，來與國際接軌，「不論是FHIR還是最新交換標準，我們都願意推動，」他說。</p> <p><strong><span style="font-size:24px;">變革1：醫療法新增4條電子病歷上雲條文，境內公雲優先，也考慮符合個資要求下放寬境外公雲儲存</span></strong></p> <p>衛福部早在今年5月就預告了要開放電子病歷上雲和委外，現在進一步公布了「醫療機構電子病歷製作及管理辦法」將增加4項上雲條文，來強化醫療院所的電子病歷系統建置能力。他預告，衛福部將於下周討論這些條文，通過後將公告。</p> <p>龐一鳴指出，醫療評鑑歷年來都以相似要求來評核所有醫療機構，不論是資源豐沛的醫學中心還是IT人力較少的基層醫院都是。他認為，雲端服務可協助資源不足的醫療院所管理資料，彌補資源落差。</p> <p>但現行醫療法要求醫院病歷室將紙本病歷保存於院內，但沒有規範電子病歷如何在雲端儲存，導致醫院沒有一套資料上雲的規範可依循，因此龐一鳴認為，若能參照美國醫療資訊保護法HIPAA精神，再輔以臺灣個資法，也許能定義出一條新路、約束雲端業者，來讓醫院用雲端服務管理電子病歷。</p> <p>他期望，透過法規鬆綁和白名單方式，根據可靠性、安全性、服務品質等列出合格雲端業者，來讓醫療院所選擇。</p> <p>於是，衛福部新增4項上雲條文，首先要准許醫療院所委外建置電子病歷系統，不過，委外機構必須具備一定品質，且通過資安要求。受託機構若違反規定，醫療機構仍須負責。條文也強調，由於國內有能力建置、管理電子病歷系統的廠商不多（少於10家），未來會由衛福部辦理認證、增列機構所具備的條件，來確保品質。這是新增的第六條條文。</p> <p>再來是新增的第七條，規定委外必須簽訂書面契約，要涵蓋10項細節，比如受託事項範圍、受託機構權利義務，或是受託機構利用非自行開發系統時，必須說明來源和授權證明等。</p> <p>第三個重點是，醫療機構採用雲端服務進行系統資料收集、資料庫使用時，得遵守4項規定，包括採取適當風控措施、避免業務中斷措施、監管雲端服務業者，以及必須有套機制，當停止雲端服務時，能將資料轉移回受託機構或其他雲端服務業者。這是第八條新增條文。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-09-26%20at%2010_52_12%20PM.png" /><br /> （圖片來源：龐一鳴/螢幕截圖）</p> <p>最後一個重點則是，雲端業者必須受醫療機構或主管機關資安查核，而且，雲端服務的儲存地點，必須以我國境內為原則。位於境外者，醫療機構必須附上境外個資法文件，交由中央主管機關審核。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-09-26%20at%2010_56_53%20PM.png" /><br /> （圖片來源：龐一鳴/螢幕截圖）</p> <p><strong><span style="font-size:24px;">改革2：推動FHIR電子病歷交換架構，鼓勵醫學中心成為交換平臺</span></strong></p> <p>龐一鳴指出，衛福部資訊處負責維運電子病歷交換中心EEC，但長年來EEC只公布4張電子病歷交換表單，「醫療院所在實際交換的情境下，使用率其實非常低。」他分析，原因之一是相較於FHIR，原有的交換標準CDA難以執行，「既然國際HL7已發展至FHIR，國內CDA架構是否也該改為FHIR？」他希望將EEC升級為FHIR交換中心。</p> <p>他認為，EEC並非臺灣唯一的電子病歷交換中心，「健保VPN就是大型電子病歷交換中心之一，甚至各大醫院進行的醫療服務平臺也是。」未來交換平臺架構採用FHIR架構，各醫療機構只需決定交換情境即可，可使用自有平臺或衛福部提供的公用交換平臺。</p> <p>而衛福部未來將聚焦於制定不同電子病歷使用情境的交換規格，和各類情境的表單，他表示，衛福部會盡量將醫院公務上使用到的資料，都納入EEC平臺交換，例如最近已經納入藥酒癮治療資料，「未來緊急醫療相關資料也會納入。」龐一鳴希望擴大EEC平臺交換的資料種類。</p> <p>他也指出，現在衛福部要將原有HL7 CDA架構推向HL7 FHIR，衛福部角色也將從過去的EEC維運者，轉為現在標準維護者，來維護電子病歷交換標準，同時，他們也要擔任情境的協調者，協助解決醫療機構間的資料交換問題。</p> <p>衛福部未來成為標準維護者後，原有EEC仍舊會繼續運作，但衛福部希望有更多人手參與電子病歷交換，「未來將找醫學中心協助。」龐一鳴解釋，近來，衛福部和醫事司、醫策會討論，決定修改評鑑規定的加分項目中，鼓勵醫學中心對電子病歷的參與，將配合角色，轉變為積極推動者。</p> <p>未來，衛福部將要求醫學中心必須積極參與電子病歷增修、推動、輔導或協助其他醫院實施電子病歷。此外，衛福部甚至函示中新增兩個情境，要求醫學中心說明電子病歷實施成果和跨院互通成效時，得納入多元平臺交換和促進轉診服務這兩項。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-09-26%20at%2011_35_17%20PM.png" /><br /> （圖片來源：龐一鳴/螢幕截圖）</p> <p>龐一鳴舉例，醫學中心已有成熟的電子病歷交換平臺或雲端交換系統，可視為成功模式，協助其他醫院或診所導入。衛福部希望藉這個方法，來推動醫療雲端化、標準統一化。</p> </div></div></div>
2021/9/27 20:48作者王若樸https://www.ithome.com.tw/news/146893
微軟與和碩聯手打造5G專網，結合國產5G O-RAN與衛星通訊為災害救援建立緊急通訊網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台灣微軟與和碩、伸波通訊合作，整合微軟的5G核網、Azure Space衛星通訊，和碩開發的5G O-RAN基站，加上聲波通訊的系統整合，共同打造5G專網應用，以新竹市為首個示範城市，將這套通訊架構應用於災害救援工作，以解決救援現場建立緊急通訊的難題。</p> <p>微軟看好電信市場的開放化趨勢，去年先後買下Affirmed Networks與Metaswitch，強化旗下軟體定義網路(SDN)、網路功能虛擬化(NFV)，擴大布局電信雲端市場，將5G和雲端架構整合至Azure，此次與和碩科技、伸波通訊合作，結合微軟的雲原生5G核心網路，在全球的Azure Space衛星通訊系統、遠端協作平臺Teams及Azure資料中心，搭配和碩開發符合O-RAN標準的5G基地臺(O-CU、O-DU與O-RU)、5G通訊設備(如5G行動熱點、5G 4K攝影機)，共同打造5G專網與衛星通訊整合的通訊架構。</p> <p>這套通訊架構也和微軟Azure IoT整合，強調將Azure的應用服務轉移至5G專網中，甚至透過可移動部署的Azure IoT Edge，將需要低延遲、快速回應的IoT運算工作在邊緣端處理，縮短回應時間。</p> <p>由於過去發生大規模災難，往往導致當地的通訊服務中斷，使現場災害無法即時向外傳遞，也影響救災及資源調度的決策，因此這套通訊架構先與新竹市政府消防局合作，結合國產的5G O-RAN設備、微軟的低軌衛星通訊系統、遠端協作平臺及資料中心，為第一線災難救援單位緊急建立5G通訊系統，回傳災區影像等數據。</p> <p>微軟並展示一款小型的5G核網設備，該設備強調高可攜性，為50公分x 50公分x 26公分(長寬高)，外觀類似旅行箱的設備，微軟指出，該設備具備輕巧、高移動性，可在最短時間內彈性部署至任何角落，以涵蓋IT、網路管理及營運，以原生的軟體技術將其包裝在設備內。其次這個5G核網設備，也能協助5G O-RAN設備的國產化。</p> <p>和碩科技則說明，當發生緊急災害時，希望將能所有的資訊，包括所有政府應變救援訊息布達，能被執行，災區影像也能傳遞出去，就需要高頻寬、低延遲、完整管理能力，這些是5G O-RAN的特徵，結合5G通訊與衛星通訊，可滿足災難救援、公共安全的需求。5G O-RAN系統連接衛星地面接收器，形成可移動式的衛星5G基站，加上微軟Azure Space的軌道衛星系統及服務，搭配政府或企業在資料中心備援的數位分身，能讓企業或政府的數位分身能夠被執行，政令布達或執行災害應變措施。</p> <p>在此次的多方合作中，新竹市政府一方面提供現場災害救援需求、流程的經驗及指導，也提供災難救援的實驗場域，供這套通訊系統進行實地的場域驗證。</p> </div></div></div>
2021/9/27 18:28作者蘇文彬https://www.ithome.com.tw/news/146920
2021 iThome鐵人賽活動簡章
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome鐵人賽是專為 IT 人所舉辦，邀請大家分享技術、經驗與熱情的活動，到今年已經邁入第 13 屆。</p> <p>參加鐵人賽的邦友，必須挑戰在iT邦幫忙上發表技術文章，連續 30 天不中斷。成功通過這個需要堅持與毅力的考驗，即可以練成鐵人</p> <p>iThome鐵人賽包括主題競賽、團隊挑戰及自我挑戰等三種類型。第 13 屆iThome鐵人賽針對主題競賽推出的主題，包括常設主題的「AI & Data」、「DevOps」、「Modern Web」、「Security」、「Software Development」，及特別主題的「Mobile Development」、「影片教學」、「IT管理」及由 Arm 贊助的「Arm Platforms - Sparking the World’s Potential」組和永豐金控所贊助的「永豐金融APIs」等，另外還有微軟加碼獎勵 AI & Data 組別，鼓勵在此組別撰寫 AI & Data on Azure 相關主題。主題完賽者除可獲得鐵人鍊成獎牌之外，將由評審選出冠軍、優選及佳作，並頒發獎金、獎座與獎牌。贊助主題將有額外的獎勵唷！</p> </div></div></div><div class="field field-name-field-sponsor field-type-text field-label-above"><div class="field-label">贊助商: </div><div class="field-items"><div class="field-item even">iThome</div></div></div><div class="field field-name-field-url-only field-type-link-field field-label-above"><div class="field-label">白皮書下載網址: </div><div class="field-items"><div class="field-item even"><a href="https://s.itho.me/vendor/2021/iThome/2021%E5%B9%B4iThome%E9%90%B5%E4%BA%BA%E8%B3%BD%E6%B4%BB%E5%8B%95%E7%B0%A1%E7%AB%A00803%E4%BF%AE%E8%A8%82.pdf">https://s.itho.me/vendor/2021/iThome/2021%E5%B9%B4iThome%E9%90%B5%E4%BA%BA%E8%B3...</a></div></div></div><div class="field field-name-field-cover field-type-image field-label-above"><div class="field-label">白皮書封面: </div><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/whitepaper/2021ithome_ironman.png" width="400" height="566" /></div></div></div>
2021/9/27 15:29作者黃柏諺https://www.ithome.com.tw/whitepaper/146912
IT EXPLAINED--數位轉型攻略 III：IT 即戰力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據 iThome 今年 CIO 大調查，大型企業如何善用 IT 來抗疫呢？強化 IT 遠端工作能力是第一，近7成企業列為優先。不只如此，企業在未來更要持續強化數位體質來抗疫，5 成 7 的企業要加速內部流程數位化和自動化，4 成 3 的企業還要加強全公司工作場所的數位化環境，這些數位化的挑戰，都需要IT的開發即戰力，隨時因應疫情變化來應對。</p> <p>全島疫情警戒一度升至第三級，雖然又降級，然仍不時出現社區感染案例，疫情未來變化仍有許多未知，這一波抗疫何時能完全舒緩？疫苗何時發揮作用？能阻斷大規模流行？沒有人有答案。</p> <p>因此，企業得考量更嚴峻的疫情風險，來要求內部 IT 先做好準備。著眼於此，IT EXPLAINED 全新企劃 Webinar ，線上分享如何強化企業數位韌性和 I T 即戰力，適應WFH居家上班、混合工作新模式，讓數位轉型之路，更能因應後疫新常態的種種考驗。</p> </div></div></div><div class="field field-name-field-sponsor field-type-text field-label-above"><div class="field-label">贊助商: </div><div class="field-items"><div class="field-item even">iThome</div></div></div><div class="field field-name-field-url-only field-type-link-field field-label-above"><div class="field-label">白皮書下載網址: </div><div class="field-items"><div class="field-item even"><a href="https://webinar.ithome.com.tw/">https://webinar.ithome.com.tw/</a></div></div></div><div class="field field-name-field-cover field-type-image field-label-above"><div class="field-label">白皮書封面: </div><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/whitepaper/cover2_webinar.png" width="400" height="566" /></div></div></div>
2021/9/27 16:01作者黃柏諺https://www.ithome.com.tw/whitepaper/146915
ModernWeb'21 Virtual Event
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為企業 Web 開發者，除了要鍛鍊本職學能、培養扎實的 Web 開發技術底蘊外，必須切記技術的發展日新月異，因此在 Web 開發這一行，不可能老是憑著相同一招半式打天下。Web 開發人員需要學習更新穎、更多元也更精深的技術，且遍佈開發語言、架構設計、框架應用、敏捷管理流程，甚至是實作技巧等眾多環節。</p> <p>立即報名參加「ModernWeb'21 VIRTUAL EVENT」，我們以 Web 週規畫了多場精彩講座議程，讓 Web 技術大神們來幫您醍醐灌頂、打通任督二脈，在網路技術的浩瀚銀河創造更多的可能性！</p> </div></div></div><div class="field field-name-field-sponsor field-type-text field-label-above"><div class="field-label">贊助商: </div><div class="field-items"><div class="field-item even">iThome</div></div></div><div class="field field-name-field-url-only field-type-link-field field-label-above"><div class="field-label">白皮書下載網址: </div><div class="field-items"><div class="field-item even"><a href="https://modernweb.ithome.com.tw/">https://modernweb.ithome.com.tw/</a></div></div></div><div class="field field-name-field-cover field-type-image field-label-above"><div class="field-label">白皮書封面: </div><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/whitepaper/cover3_mw.png" width="400" height="566" /></div></div></div>
2021/9/27 16:16作者黃柏諺https://www.ithome.com.tw/whitepaper/146917
2021 臺灣雲端大會
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近一段時間，因疫情急遽升溫，讓居家辦公、線上會議及遠距協作成為真實日常，不再只是預習演練。至此，許多企業主深刻體悟數位轉型的重要性，因為若缺乏數位化，地表萬物都將隨著疫情警戒措施而靜止，使企業營運難以為繼。</p> <p>大數據時代，世間萬物皆可數位化。意謂企業所有人員、設備、系統或流程皆有虛擬分身，能透過 5G 高速鏈路，輕易跨越實體疆界、躍上雲端；再藉助雲平台的運算、儲存、新興技術工具等豐沛資源，為虛擬分身賦予先進智慧。</p> <p>接下來，企業可將雲上淬煉的智慧成果部署至地端，在不同的邊緣節點，持續地處理數據、分析數據，並在必要時主動展開控制。如此不論人員有無親臨現場，都足以確保行銷、業務、研發、生產、品檢、物流、售後服務…等等每一條價值鏈，恆常展現最佳的效率與品質。</p> <p>因此，我們誠摰敬邀您參與 2021 臺灣雲端大會，幫助您駕馭雲端科技，強化數位韌性與數位應變力，讓您的企業能夠從容應對一切變局，甚至進一步開創新局！</p> </div></div></div><div class="field field-name-field-sponsor field-type-text field-label-above"><div class="field-label">贊助商: </div><div class="field-items"><div class="field-item even">iThome</div></div></div><div class="field field-name-field-url-only field-type-link-field field-label-above"><div class="field-label">白皮書下載網址: </div><div class="field-items"><div class="field-item even"><a href="https://cloudsummit.ithome.com.tw/">https://cloudsummit.ithome.com.tw/</a></div></div></div><div class="field field-name-field-cover field-type-image field-label-above"><div class="field-label">白皮書封面: </div><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/whitepaper/cover4_cs.png" width="400" height="566" /></div></div></div>
2021/9/27 16:18作者黃柏諺https://www.ithome.com.tw/whitepaper/146918
Eclypsium發現微軟的WPBT含有漏洞，允許駭客植入Rookit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專精於韌體安全性的<a href="https://securityboulevard.com/2021/09/everyone-gets-a-rootkit/" target="_blank">資安業者Eclypsium日前揭露</a>，微軟在Windows中內建的Windows Platform Binary Table（WPBT）含有一個重大漏洞，將允許駭客植入Rookit，而且波及自2012年以來的所有Windows裝置。</p> <p>Eclypsium解釋，電腦上的韌體、作業系統與硬體元件之間，有一個名為ACPI的硬體抽象層，它的全名為「先進配置與電源介面」（Advanced Configuration and Power Interface），目的是要讓作業系統能夠配置與管理硬體元件的電力，而不仰賴BIOS/UEFI韌體，而WPBT則是微軟所建立，讓Windows得以控制ACPI的一種ACPI Windows Platform Binary Table（WPBT）。</p> <p>根據微軟的敘述，WPBT為一固定的ACPI表格，是由啟動韌體元件所發布，它指向一個實體的記憶體位置，該位置含有一個可執行的二進位檔案。此一功能是為了讓OEM業者得以在不變更Windows映像檔的情況下，於系統上添增重要檔案、驅動程式或可執行檔。</p> <p>為了防範WPBT遭到不明的竄改，WPBT要求任何二進位檔案都需含有適當的簽章，然而Eclypsium卻發現，WPBT也接受過期或者是已被撤銷的憑證。</p> <p>因此，研究人員利用一個惡意的驅動程式，建立一個新的WPBT表格，或者是修改既有的WPBT表格，並指定Windows執行，有鑑於WPBT是在啟動時間便發布，代表駭客可以在啟動時植入任何惡意程式而不被防毒軟體察覺，形成Rookit。Eclypsium表示，相關攻擊就算是在BitLocker加密磁碟的狀態下都能運作。</p> <p>此一漏洞適用於直接記憶體存取（DMA）攻擊、遠端攻擊，與供應鏈攻擊，而且從微軟自2012年10月發表Windows 8以來便存在迄今。</p> </div></div></div>
2021/9/27 17:16作者陳曉莉https://www.ithome.com.tw/news/146919