iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 13:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

ISO 27001標準改版箭在弦上，先從ISO 27002新版草案變化看國際資安管理標準新走向
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_iso27001xi_lie_gai_ban_biao_zhun_jian_zai_xian_shang_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際標準組織（ISO）幾年前已啟動ISO 27001/ISO 27002的改版計畫，從目前進度來看，在2021年8月23日，ISO 27002最終草案（FDIS）已註冊審核，接下來將進行投票，預計2022年1月公布，也因此，ISO 27001改版狀況成為焦點。</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多企業在推動資安防護管理的工作上，最廣泛採用的就是國際資訊安全管理標準ISO 27001，它是國際間認可的ISMS驗證標準，在管理與執行層面上，提供了可遵循與稽核的方向，特別的是，隨著資安管理標準的與時俱進，現行版本ISO 27001：2013的發布時間，與現在已相隔8年之久，因此，有許多企業都在關注一個問題：ISO 27001系列標準是否已到改版時刻？</p> <p>簡單來說，ISO 27001系列包含兩套重要標準，以現行版本而言，一是可供實際驗證的ISO 27001:2013，另一套是ISO 27002:2013，則完全對應ISO27001:2013的附錄A，主要提供最佳實踐方式，包含具體的指引參考。</p> <p>而就改版的狀態來看，在2018年3月，國際標準組織（ISO）已啟動了ISO 27002的改版計畫。</p> <p>這項計畫到了最近半年，有更多進展。例如，自2021年4月草案（DIS）版本投票通過，在8月底開始登記最終草案（FDIS）版本，接下來將等待投票時間公布，然後再經歷為期8週的投票，以產生最終草案版本。</p> <p>值得注意的是，儘管ISO 27002新版尚未出爐，從草案版本到最終草版發布之前，仍可能有變化，但從當前的草案版本來看，與現行2013年版本相比，已可看出一些未來國際標準制定走向。</p> <h3><strong>距離上次改版已達8年，各界都很想知道新版定案、正式發布的時刻</strong></h3> <p>關於這次國際標準改版的時程與現況，許多企業都很關心。</p> <p>對此，SGS知識與管理事業群ISO 27001產品經理劉士弘表示，多久要改版，沒有明確硬性規範，但從過往各國際標準改版經驗，以及慣例來看，國際標準組織針對各個國際標準，每5年會審查一次，會有小幅更新，每8年則可能進行大幅度改版。</p> <p>雖然，受到2020年延續至今的疫情影響，不過，劉士弘表示，從目前ISO 27002改版進度來看，他們在9月預測，新版ISO 27002 FDIS將在10月開始投票，正式發布FDIS版本的時間在12月。</p> <p>此外，依照2013版本當時推出的經驗，從FIDS版發布到正式新版發布，只間隔10天，加上認為ISO 27001主條文內容可能變化不大，因此他們預估，ISO 27001與ISO 27002的新版發布，可能落在今年12月或是明年1月。</p> <p>到底這次新版何時會發布？已經成為各界關注議題，對於詳細情形，BSI台灣分公司營運長謝君豪表示，BSI總部有代表參與相關標準改版會議，根據他們目前得知的最新消息，ISO 27002新版將延後到2022年1月發布。</p> <p>至於驗證標準ISO 27001的改版，最近的10月正要開會討論改版事宜。因此，要等到表決通過，才會有明確的改版方向。而且，以過去的改版生命週期而言，需要有一定的時間進行相關的內容調整流程，加上不確定是否會大幅改版，因此改版所需時間的長短，可能等到11月後，才有更明確的資訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）ISO27001系列改版標準箭在弦上.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89ISO27001%E7%B3%BB%E5%88%97%E6%94%B9%E7%89%88%E6%A8%99%E6%BA%96%E7%AE%AD%E5%9C%A8%E5%BC%A6%E4%B8%8A.jpg" style="width: 600px;" /></a></p> <h3><strong>新版草案主要變化，集中在控制要求，有大幅綜合整理與新增</strong></h3> <p>以ISO 27002新版草案的內容而言，有何不同變化？從目前的改版進度來看，可彙整成下列4大焦點。</p> <p>首先，單就標題命名的方式上，就有很明顯的變動。以ISO 27001:2013為例，其採用的名稱為「資訊科技—安全技術—資訊安全管理系統—要求」，原本最前面是「資訊科技（Information Technology）」，未來將改為「資訊安全、網路安全及隱私保護」，英文全稱是「Information Security,Cybersecurity and Privacy protection」。</p> <p>隨著名稱的適度調整，我們可以預期，新版標準在涵蓋廣度將有所增加，畢竟，資訊安全、網路安全與隱私的保護，在適用範疇上仍存在些許差異。</p> <p>第二，控制要求的內容，將有大幅變動與新增。</p> <p>依照目前ISO 27002新版草案的內容來看，對比現行版本，也就是對應原本的Annex A.5~A.18，新版草案對於控制要求與措施，將有大幅度的打散重整，並有多項新增。</p> <p>具體而言，在控制類型上，新版草案畫分為4大控制類，暫時共有93項控制措施。這4大主題分別為：組織控制、人員控制、實體控制與技術控制。</p> <p>特別的是，控制措施雖然看似比之前的108項要少，但劉士弘強調，相關的要求其實並未降低，原因在於，新版將控制措施有了更好的整併，因此，內容將是更為廣泛與深入。</p> <p>根據SGS的觀察，新版控制措施將原有的56項，綜合整理為24項，另有58項無變動，特別的是還新增加了11項，僅刪除1項。</p> <p>關於控制措施合併的方式，以新版合併的「變更管理」為例，劉士弘表示，以往企業處理這方面議題時，有點棘手，因為不管是組織自己導入或是顧問協助，關於變更管理的概念，其實分布在多個條文，例如：12.1.2「變更管理」、14.2.2「系統變更控制程序」、14.2.3「運作平臺變更後應用系統技術審查」，與14.2.4「軟體套件變更之限制」。新版草案則將原有的4項相關要求，綜合整理為1項，也就是8.23「變更管理」，直接包含了流程、人員、系統、平臺與軟體套件的變更。他認為，這樣的作法，將讓整個條文完整度與一致性更高，不像現行版本如此分散。</p> <p>至於唯一將刪除的控制措施，只有現行版本提到的11.2.5「財產之攜出」，不過，劉士弘指出，要做的事情其實仍然存在，因為在新版的兩項控制措施中，就有場域外的資產保護與資訊刪除</p> <h3><strong>新增11項控制要求，自動化工具執行成關鍵</strong></h3> <p>新版草案的第三個焦點在於，除了控制措施的大幅整併，新增的項目更令企業在意。</p> <p>關於上述ISO 27002新版草案新增的11項控制要求，分別是：威脅情資、雲端服務資安、資通訊技術營運持續整被、實體安全監視、組態管理、資訊刪除、資料遮罩、資料外洩防護、檢視活動、網站過濾與安全程式碼撰寫。</p> <p>具體而言，在新版草案增加的控制要求有哪些重點？</p> <p>例如，威脅情資將納入控制要求，劉士弘指出，在實作指引中，說明了有效威脅情資的4大特性，包括需與組織保護有關，讓組織可以對威脅有準確與詳細的了解，也要為情資添加情境，並且可以有效採取行動。</p> <p>而隨著雲服務的應用越來越普遍，這些雲端服務的管理與使用，也納入管控規範，算是補強各界期待已久的缺口。在涵蓋面向中，包含雲服務風險識別與管理、使用政策、供應商協議，以及退出、變更與轉移的策略。</p> <p>在實體安全監視方面，過去雖有相關規範，但具體要監控到什麼程度，並不明確，新版草案則有清楚的說明，將提升實體安全概念的強度提升。在實作指引中有3大重點，包括實體場域要有持續的監控，像是警衛、入侵警報與CCTV監控系統等，以及實體安全監控範圍是要涵蓋關鍵系統的建築物，還有監控強度要足夠，包括能追溯查看、入侵偵測與警報、防竄改與個資隱私合規。</p> <p>關於組態管理方面，這是過去大家都很困擾的議題，因為涵蓋面向大，而新版草案增加這項控制要求的目的，是要協助做到符合組織安全政策要求，而管控重點是確保不被未經授權或錯誤變更。在其納管範圍，將包含軟體、硬體、服務、網路與安全的組態，同時也涵蓋組態模板、組態套用、變更管理，以及監視與審查等面向。</p> <p>還有像是活動的控制要求，當中涵蓋了網路、系統和應用程式的異常行為監控，以及所需採取的行動，其實，此項新的控制要求隱含了資訊安全監控中心（SOC）的影子，這意味著，要有基礎的SOC機制在組織內運作。</p> <p>至於安全程式碼撰寫方面，過去其實已有系統購置、開發及維護的控制要求，但唯獨少了軟體開發安全程式碼的層面，新版草案終於有所補強，將系統開發與資訊系統生命週期說明更清楚，要將安全程式碼撰寫原則定義出來。</p> <p>值得注意的是，劉士弘認為，這次新版草案中所新增的許多控制措施，依據實作指引提供的方向來看，若企業無更多資源或是自動化工具，在執行上會相當辛苦。為何會如此？他認為，以往的控制措施，可採用技術或管理等手段來因應，對於預算或資源不足的組織而言，尚且可以透過管理方式達到管控。</p> <table border="0" cellpadding="0" cellspacing="0" style="width: 299px;" width="298"><tbody><tr height="22"><td colspan="2" height="22" style="height: 22px; width: 259px;"><strong><span style="color: rgb(178, 34, 34);">ISO 27002新版草案增加多項控制措施</span></strong></td> </tr><tr height="22"><td height="22" style="height: 22px;">條款</td> <td>控制措施名稱</td> </tr><tr height="22"><td height="22" style="height: 22px;">5.7</td> <td>威脅情資</td> </tr><tr height="22"><td height="22" style="height: 22px;">5.23</td> <td>雲服務資訊安全</td> </tr><tr height="22"><td height="22" style="height: 22px;">5.30</td> <td>資通訊技術營運持續整備</td> </tr><tr height="22"><td height="22" style="height: 22px;">7.4</td> <td>實體安全監視</td> </tr><tr height="22"><td height="22" style="height: 22px;">8.9</td> <td>組態管理</td> </tr><tr height="22"><td height="22" style="height: 22px;">8.10</td> <td>資訊刪除</td> </tr><tr height="22"><td height="22" style="height: 22px;">8.11</td> <td>資料遮罩</td> </tr><tr height="22"><td height="22" style="height: 22px;">8.12</td> <td>資料外洩防護</td> </tr><tr height="22"><td height="22" style="height: 22px;">8.16</td> <td>監視活動</td> </tr><tr height="22"><td height="22" style="height: 22px;">8.22</td> <td>網站過濾</td> </tr><tr height="22"><td height="22" style="height: 22px;">8.28</td> <td>安全程式碼撰寫</td> </tr></tbody></table><h3><span style="font-size: 13px;">資料來源：SGS，iThome整理，2021年10月</span></h3> <h3><strong>為讓組織能夠更有效運用控制措施，新定義5類屬性</strong></h3> <p>最後，是在控制屬性的設計方面。</p> <p>為了便於不同的對象或角色使用，讓控制措施可有不同視野角度，劉士弘表示，舊版ISO 27002所設計的屬性概念，未來改版將有大幅擴增。</p> <p>原先，控制要求主要連結了資訊安全三要素CIA，也就是機密性、完整性與可用性，現在的設計，則是讓每一個控制要求，都會關連到5個不同定義的屬性值，透過豐富的屬性標籤，以利於搜尋與過濾分類。</p> <p>這5種新出現的控制屬性，分別是：控制類型（Control Types）、資安特性（Information Security Properties）、網路安全概念（Cybersecurity oncepts）、執行能力（Operational Capabilities），以及安全領域（Security Domain）。例如：</p> <p>●控制類型屬性：防護、偵測與矯正等（威脅發生前中後）</p> <p>●資安特性屬性：機密性、完整性與可用性（CIA）</p> <p>●網路安全屬性：識別、保護、偵測、回應與復原（NIST CSF）</p> <p>●執行能力屬性：資產管理、人力資源安全、實體安全、系統與網路安全、應用程式安全、威脅與弱點管理、資安事件管理等15項</p> <p>●安全領域屬性：治理生態系統、防護、防禦與韌性。這方面對應的是，組織所需要的資安領域、專業能力、服務或產品。</p> <p>基本上，這些屬性標籤將能提供不同視角，讓組織能更有效運用這些控制措施。例如，若是機房管理者，可藉由屬性標籤，很快找到與實體安全相關的控制措施。此外，除了每一項控制措施都會預設5組屬性，在草案版本附錄A中，也說明了將有自定義的彈性與步驟，組織可依據需求定義自有屬性值，亦即建立更多檢視角度，來看控制措施的要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）ISO27001系列改版標準箭在弦上(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89ISO27001%E7%B3%BB%E5%88%97%E6%94%B9%E7%89%88%E6%A8%99%E6%BA%96%E7%AE%AD%E5%9C%A8%E5%BC%A6%E4%B8%8A(1).jpg" style="width: 600px;" /></a></p> <blockquote><p>這次ISO 27001/ISO 27002的改版，有可能會擴大控制屬性所包含的概念。新版草案中的每個控制措施，都一定會對應5種屬性，包括：控制類型、資安特性、網路安全概念、執行能力與安全領域，同時也提供彈性，讓組織可定義自有屬性值。</p> </blockquote> <h3><strong>除了符合資安基本要求，對於領域或產業需求已有更多參考指引</strong></h3> <p>無論如何，儘管ISO 27001新版時程不定，而ISO 27002從草案版本到最終草案版本，內容也還是有可能大幅增修，但以現況來看，我們已可看出資安控制措施的內容，確實是朝向更符合全球威脅與資安現況。</p> <p>對於目前ISO 27002新版草案的變化，BSI台灣分公司營運長謝君豪表示，ISO 27001與ISO 27002的關係，就像課本與參考書，從參考書的改變來看，我們可以發現其框架出現大幅度調整，從原先的14個章節統整為4大面向，包含組織、人員、實體與技術的構面，而這樣的改變，可呼應現在政府推動資安，從策略、管理、技術與認知面向出發。</p> <p>對於控制措施的強化與新增，謝君豪表示，新的要求可以更符合現在所有企業面臨的風險，方便大家可用更宏觀的角度，來看待這些控制措施的運用。</p> <p>此外，除了順應時勢，將新興資安議題納入，還有一些新增的控制措施，像是資料遮罩、資料外洩防護與網站過濾等，這些早已發展為資訊安全技術，對此，謝君豪表示，在過往的控制要求中，其實已有這樣的精神存在，只是新版草案用了不同的方式呈現要求，可以更符合現在的風險與管控。</p> <p>事實上，對於全公司都要進行相關驗證的企業而言，很多被要求具備的控制內容可能都不會感到陌生，至於控管到位程度要做得多細緻，則將影響未來改版難易程度。但關鍵還是在於，企業導入這樣的標準時，出發點是否正確？若是企業導入只是為了驗證而驗證，僅以機房或小系統為範圍，企業關注這些新增控制措施，可能覺得窒礙難行，或是效果無法呈現。</p> <p>論及國際資安標準的走向，從近年整個ISO 27000系列標準的發展，其實更能看出整體變化。謝君豪指出，以ISO的現行策略來看，只要那個領域或產業有需求，就會提供相關標準或指引。</p> <p>舉例來說，在現行ISO 27001/27002版本發布的2013年後，針對雲服務使用與資安控制，已經推出ISO 27017:2015與ISO 27018:2019，其他還有供應鏈、網路、應用程式，以及電信、關鍵基礎能源產業等，另也針對不同面向提供額外的參考方向，包括Big Data、區塊鏈、IoT、智慧製造、雲端運算等資安指引。</p> <p>而在今明兩年，有兩個新增標準頗受關注，分別是針對事故管理的額外指引ISO/IEC WD 27035-4，以及對應NIST CSF的參考指引ISO/IEC TS 27110。</p> <p>近期還有一項特別進展，那就是：BSI與ISO組織簽署發布「新倫敦宣言（The new London Declaration）」，當中承諾要確保全球標準支援氣候行動並推動國際倡議，聯合國亦大力支持。因此，未來ISO國際標準勢必將氣候變遷納入重要考量，而這不僅是特定企業、部門要關心的議題，企業IT也不例外，例如，大型機房能源管理所產生的碳排放，也將成為必須關注的面向。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/iso-27001">ISO 27001</a></div><div class="field-item odd"><a href="/tags/iso-27002">ISO 27002</a></div><div class="field-item even"><a href="/tags/%E5%9C%8B%E9%9A%9B%E8%B3%87%E5%AE%89%E7%AE%A1%E7%90%86%E6%A8%99%E6%BA%96">國際資安管理標準</a></div><div class="field-item odd"><a href="/tags/%E6%94%B9%E7%89%88%E5%8B%95%E5%90%91">改版動向</a></div><div class="field-item even"><a href="/tags/%E6%94%B9%E7%89%88%E9%80%B2%E5%BA%A6">改版進度</a></div><div class="field-item odd"><a href="/tags/%E6%A8%99%E6%BA%96%E8%8D%89%E6%A1%88">標準草案</a></div></div></div>
2021/10/13 22:53作者羅正漢https://www.ithome.com.tw/tech/147261
微軟：Azure緩解了流量達2.4Tbps的DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/en-us/blog/business-as-usual-for-azure-customers-despite-24-tbps-ddos-attack/" target="_blank">微軟本周揭露</a>，今年8月Azure成功地緩解了針對一家歐洲客戶的分散式服務阻斷（DDoS）攻擊行動，且該DDoS攻擊的流量峰值達到2.4Tbps，也是Azure有史以來所偵測到的最大規模的DDoS攻擊。</p> <p>Azure Networking專案經理Amir Dahan說明，此一流量攻擊來自於不同國家的7萬個來源，包括東南亞地區的馬來西亞、越南，以及臺灣、日本及中國，還有些攻擊來源位於美國，它採用UDP反射攻擊且持續逾10分鐘，每次的流量爆發都在幾秒內就達到Tb等級，在微軟所觀察到的3個峰值中，依序是2.4 Tbps、0.55 Tbps及1.7 Tbps。</p> <p>值得注意的是，DDoS的攻擊規模愈來愈大。根據Azure的統計，2020年最大的攻擊流量為1 Tbps，今年上半年甚至趨緩至625 Mbps，但下半年景況完全不同。</p> <p class="rtecenter"><img alt="" src="https://azurecomcdn.azureedge.net/mediahandler/acomblog/media/Default/blog/285278d0-a50b-4f10-a3aa-68ecc561c16d.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>不只是微軟，俄羅斯最大網路公司<a href="https://www.ithome.com.tw/news/146691" target="_blank">Yandex在9月宣稱</a>該公司遭到網路史上規模最大的DDoS攻擊，攻擊流量達到每秒2,180萬次的請求，調查顯示該攻擊源自於新的Mēris殭屍網路，而且Yandex並非唯一的受害者，該殭屍網路已橫掃紐西蘭、美國與俄羅斯。</p> <p>此外，Cloudflare在今年8月處理了來自全球2萬臺殭屍裝置每秒發出的逾1,700萬次的請求，據說也是Mēris殭屍網路的傑作。</p> <p>DDoS攻擊分為幾種類型，其中，企圖消耗頻寬的攻擊是以流量來計算攻擊能力，例如Azure的案例，針對應用層的攻擊，則是以大量的每秒請求來耗費系統資源，包括Yandex或Cloudflare所遭遇的都是。</p> <p>在DDoS攻擊流量上，原先的紀錄是AWS在去年6月成功緩解了流量達2.3Tbps的DDoS攻擊，Azure則是刷新了該紀錄。</p> </div></div></div>
2021/10/13 21:58作者陳曉莉https://www.ithome.com.tw/news/147258
Coinbase將於今年推出NFT交易市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在區塊鏈技術與加密貨幣之後，新興的「不可替代代幣」（Non-Fungible Token，NFT）也開始躍上檯面，美國最大加密貨幣交易平臺<a href="https://blog.coinbase.com/coinbase-nft-is-coming-soon-join-the-waitlist-today-for-early-access-cc7bac29fd72" target="_blank">Coinbase周三（10/13）發表了Coinbase NFT市集</a>，以讓全球使用者得以建立或購買NFT。</p> <p>奠基於區塊鏈的NFT被視為數位資產的所有權憑證，它的內容可能是影片、藝術作品、遊戲裝備，或者只是入場券，在區塊鏈上的NFT既無法被竄改，也能用來追蹤它的所有權與交易過程。</p> <p>Coinbase認為，在推動更多人加入創造者經濟並從中獲利的任務中，NFT將扮演重要的角色，人們已可開始感覺到NFT的重要性，且NFT藝術家也撼動了傳統的藝術界，不管是流行產業、遊戲產業或音樂產業都已見識到NFT釋出新形式創造力與所有權的力量，然而，市場上卻缺乏一個適當的交易平臺。</p> <p>根據Coinbase的規畫，Coinbase NFT是個P2P的交易市集，將讓人們更容易創造、展示、發現及購買NFT，不僅採用友善的使用介面，還會增添社交功能，以開闢新的交流途徑，也會積極發展創作者社群，讓藝術家及粉絲雙贏。</p> <p>換言之，Coinbase NFT將採行創作者優先的政策，再以創作者及其作品來吸引龐大的粉絲，初期將會支援基於以太坊的ERC-721與ERC-1155標準，未來亦規畫支援多鏈。</p> <p>目前Coinbase NFT只開放使用者提出早期試用的申請，CoinDesk則引述消息來源報導，Coinbase NFT市集可望於今年底前問世。</p> </div></div></div>
2021/10/13 22:08作者陳曉莉https://www.ithome.com.tw/news/147259
DeepMind釋出可改進機器人堆疊物體能力的基準測試RGB-Stacking
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下的人工智慧研究組織DeepMind，發表了最新的機器人物體堆疊任務<a href="https://deepmind.com/blog/article/stacking-our-way-to-more-general-robots">RGB-Stacking</a>，其提供基於電腦視覺技術的機器人一個測試基準，在這個基準測試中，機器人需要學習抓住不同物體，並且使物體保持平衡地堆疊在一起。DeepMind希望藉由這個基準測試，促進機器人的研究，增進機器人操作物體的能力。</p> <p>研究人員提到，與之前的研究不同之處在於，RGB-Stacking使用更多樣的物體，並且經過大量實驗來驗證他們的發現，而他們的結果也顯示，模擬和現實世界資料的組合，有助於機器人學習複雜的多物體操作，並且泛化解決新物體問題。</p> <p>在RGB-Stacking基準測試中，有一個放著紅色、綠色和藍色物體的籃子，籃子的上方有一個搭載夾具的機械手臂，而RGB-Stacking的任務，是要機器人在20秒內，將紅色物體堆疊到藍色物體的上方，而綠色物體則是充當障礙物，混淆機器人的判斷，藉由多變化的堆疊和抓握方式，迫使機器人必須要表現出更複雜的拾取和放置行為。</p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/fIwCn0vKxuIKz7gANsDAbkYr8zqTrbYaNrkVxporSsOkmHjZM-WWmVIjBWo134Zgpyzo33BcnWZncpRC8aF5YBcm08eAxxt1_fNz6zrlbxKDp6g3jA=w2048-rw-v1" style="width: 512px;" /></p> <p>RGB-Stacking基準測試擁有兩個不同難度的任務，目標分別為技能掌握以及技能泛化，技能掌握的目標是要讓機器人能夠熟練的堆疊物體，而技能泛化則是要讓機器人，具有堆疊未曾見過物體的能力。</p> <p>RGB-Stacking的目標是要以增強學習，訓練機器手臂來堆疊不同形狀的物體，研究人員借助模擬器得以快速訓練，並且藉由一步策略來改進機器人在真實世界的操作。在技能掌握上，DeepMind的機器人在模擬世界擁有79％的成功率，在真實機器人上實現了68%的成功率；而經使用真實資料改進的一步策略，達到了82%；而技能泛化，在真實機器人上獲得54％的成功率。</p> <p>研究人員提到，近年來學習演算法已經大規模解決困難的機器人操作問題，但這些研究重點，集中在抓取、推動和其他形式的單物體操作任務，而RGB-Stacking則是要讓機器人掌握複雜的多物體堆疊技巧。不過，縮短技能掌握和技能泛化的差距，仍然是一大挑戰。</p> <p>研究人員開源了RGB-Stacking相關的研究資源，希望有助於其他人員的研究，包括模擬環境，以及用來建構真實機器人的RGB-Stacking環境設計，還有能夠3D列印出RGB物體模型的資訊，同時廣泛地開源機器人研究中一系列函式庫和工具。</p> </div></div></div>
2021/10/13 22:16作者李建興https://www.ithome.com.tw/news/147248
養豬也要智慧化管理，臺大團隊以IoT助養豬場提升管理效率，還結合AI影像辨識豬隻體態、行為及健康狀態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>傳統養豬可能予人一種環境髒亂、廢水、惡臭，讓人難以與之為鄰的印象，為改善這些問題，科技部與臺大動物科學技術學系(簡稱動科系)團隊合作，推動智慧科技應用於豬隻養殖環境，近期展示研究成果，其中運用大數據、人工智慧，協助監測豬隻生長及健康狀態，以改善養豬場所的經營效率。</p> <p>臺大動科系團隊與宜蘭一家養豬場合作，為了改善豬隻養殖過程中，糞便、尿所產生的惡臭、二氧化碳及大量氨氣，臺大動科系研究團隊研究營養配方，包括控制飼料的蛋白質含量、酵素，以及添加精油等方式，改善飼養過程中，豬隻排出的廢棄物臭味，再結合益生菌，一方面降低豬隻腸道壞菌、糞便臭味，以提高豬肉品質，進而提升養豬獲利率。</p> <p>至於養豬場所產生的廢水，則運用智慧化的廢水處理與沼氣生物脫硫設施，經過處理的廢水，可透過網頁或手機App遠端掌握。</p> <p>而在飼養環境監測方面，將智慧化設備導入養豬場，並使用開源的Thingsboard，建構IoT管理平臺。位於宜蘭的養豬場分為左右兩排，每排各有6個養豬欄位，配合養豬場環境，他們在兩排各設置一組移動式的空中台車，以空中懸吊方式在不同欄位移動，克服傳統定點偵測的限制。每輛台車每一小時巡行於每個養豬欄位，相當於每個欄位一天紀錄24次。利用台車上配置的空氣品質偵測器，蒐集各欄位的二氧化碳、氨氣、硫化氫、PM2.5，以及溫溼度變化，再透過有線網路傳送數據至後臺。</p> <p><strong>每個移動式的空中台車，配備有深度攝影機、光學攝影機、空氣偵測器，24小時每小時在各欄位移動檢視一次：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-10-13%20%E4%B8%8B%E5%8D%884_16_18.jpg" style="width: 600px; height: 331px;" /></p> <p>特別的是，每個台車搭載英特爾的RealSense深度攝影機及光學攝影機，用以紀錄豬隻的體態、行為數據，以深度攝影機、光學攝影機拍攝每個欄位內飼養的豬隻，回傳影像經過影像處理分析，測估豬隻的體型數值，估算其重量，透過台車每天24次，以紀錄豬隻的生長情形。每個養豬欄位的方型飼料槽、圓型筒也經過改良，以多台串聯的方式自動回傳飼料重量數據，在電腦上紀錄豬隻採食的情形，作為飼料配方調整的決策參考。因此，管理人員在後臺，可以掌握每個欄位豬隻生長狀態，飼料採食情形，或是根據每個欄位的溫度、空氣品質決定開啟或關閉風扇。</p> <p><strong>每個欄位的飼料筒及飼料糟，都有自動秤重裝置，圖中液晶螢幕顯示該欄位的飼料重量：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/feeding.jpg" style="width: 600px; height: 349px;" /></p> <p>養豬場也導入人工智慧技術，動科系團隊和臺大資工合作，利用物件偵測技術，當台車經過不同欄位時，對飼養的豬隻進行影像辨識學習，他們以監督式學習技術，由動科系學生協助人工標註影像，訓練對豬隻的影像辨識，目前成功率已達85%以上。</p> <p>臺大動科系副教授林恩仲表示，透過影像辨識技術，可紀錄欄位內豬隻的互動情形，掌握豬隻的正面或負面行為，例如小豬一起嬉戲，還是彼此爭食、打架，供養豬場的管理者參考，例如將爭食弱勢的豬隻移到別的欄位飼養，避免影響其生長。</p> <p>不過，目前的影像辨識以辨識單一豬隻為主，尚無法辨識欄內可能聚集在一起的多隻豬，因此辨識時會儘量讓單一豬隻走在特殊走道，以方便影像辨識。</p> <p>另外，團隊也利用IoT協助監測豬隻的健康情形，利用每天多次巡視的台車，結合攝影機的影像與聲音，經過機器學習技術，辨識豬隻的咳嗽狀態，判斷屬於正常的咳嗽或是因為疾病造成的咳嗽。林恩仲表示，利用白天與晚上的聲音資料，目前辨識的確準率已可達85%。結合影像畫面，例如欄位內某隻豬在角落躺著數個小時，採用飼料情形不佳時，提醒管理人員。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-10-13%20%E4%B8%8B%E5%8D%885_05_10.jpg" style="width: 600px; height: 311px;" /></p> <p>林恩仲指出，在養豬場建置IoT通訊網路是一項挑戰，飼養現場環境容易對無線通訊造成干擾，儘管當地已有4G網路覆蓋，但考量到傳輸影像檔案需要較大頻寬，因此還是以有線方式傳輸影像及數據，回傳至養豬場旁的辦公室，由伺服器運算處理。</p> <p>由於深度攝影機蒐集的影像資料相當龐大，30秒的資料量可能就多達數GB，加上回傳到辦公室的伺服器進行機器學習訓練需要較長的時間，因此林恩仲坦言，目前機器學習由於資料需要經過訓練，往往要一天或幾天時間，才能讓養豬場管理者知道，例如當豬隻有咳嗽的情形，畜主隔天就需要立即治療。因此，未來的挑戰是，即時的處理影像辨識資料，為了做到這個目標，在養豬場外設計一個封閉式箱體，避免粉塵等環境干擾，箱體內設置邊緣運算設備，在養豬場就近處理影像辨識，再將結果回傳給管理人員。</p> </div></div></div>
2021/10/13 18:49作者蘇文彬https://www.ithome.com.tw/news/147250
台電首座百分之百使用綠電的雲端機房坐落彰化縣，2024年底完工，PUE值1.5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應智慧電網的發展，台電到2030年前，預計打造5座雲端資料中心，日前動土的第一座機房坐落在彰化縣，台電董事長楊偉甫表示，該座台電雲端機房不僅是全臺灣第一座取得危老重建獎勵的公有建築物，更是台電第一座百分之百採用全綠電的機房，預計可以儲存100萬TB的資料。</p> <p>台電方面也表示，這座彰化雲端資料中心將導入TIA-942 Rated 3國際資訊機房技術規範標準、美國綠建築協會的黃金級能源與環境設計領導認證LEED，以及黃金級臺灣綠建築標章，都可以讓機房的PUE（Power Usage Effectiveness，電力使用效率）值降到1.5，也會比現有台電傳統機房的PUE值為1.8～2.0左右，預計比臺灣傳統機房節省25％的電力耗損，每年省電700萬度，也可減少3,500公噸二氧化碳排放量。</p> <p>楊偉甫指出，這座大型雲端資料中心預計於2024年12月完工運轉，是臺灣能源轉型的重要關鍵，不僅是行政院2020年3月核定「智慧電網總體規畫方案」重要績效指標，也將透過智慧電網、大數據應用等新興數位服務使用，提高再生能源發電預測的精準度，不僅讓電力調度更快速、更精準，更透過分析智慧電錶的資料，可以節省用戶的尖峰用電量，達到傑能省電的目的。</p> <h2><span style="color:#0000FF;"><strong>台電第一座動土雲端機房位於彰化縣，可儲存未來80年智慧電網分析資料</strong></span></h2> <p>根據「智慧電網總體規畫方案」，預計在2025年，臺灣總體電力的穩定供電，必須有20％是再生能源；再者，考量供電品質及用戶服務等方向，並借鏡國際電網的發展趨勢、更新電網即時監控及保護設備等，同時應用AI（人工智慧）、大數據分析及資通訊等先進技術，目的就是希望可以達成確保電力穩定供應並兼顧能源安全、綠色經濟及環境永續，同時落實能源轉型的政策目標。</p> <p>對此，楊偉甫表示，台電勢必打要打造一座能夠提供資訊智慧化服務、提高再生能源發電預測的精準度，做到快速、精準的電力調度，更藉由分析智慧電錶的資料，節省用戶尖峰時間的用電腦，達到節能、省電的目的。</p> <p>他進一步指出，因應智慧電網的發展，台電預計在2030年底前，分別在彰化縣、基隆市、臺中市和高雄市打造5座雲端資料中心，彰化縣是5座雲端資料中心中，第一座開工動土的機房。</p> <p>他說，選擇彰化縣是因為這裡是臺灣綠能發展最重要的基地，許多離岸風電的工程都在彰化外海，太陽光電則是彰化以南限制，為了讓該座雲端機房可以「百分之百使用綠電」，選擇彰化縣有其地利之便；在此同時，台電也透過危老重建的方式，獲得彰化縣政府的容積獎勵，雖然機房地基小，也必須比現有位置退後5公尺，但容積獎勵讓機房面積大增，並會做到七級耐震。</p> <p>再者，臺灣目前正積極推動能源轉型與智慧電網，未來有更多再生能源進來後，將完全改變現有的供電行愛。楊偉甫直言，台電必須要未雨稠繆、超前部署，資料中心便顯得重要，因為，台電有一千四百萬名客戶，未來等到智慧電錶、智慧電網更普及後，要分析用戶的使用資料，就必須仰賴雲端機房的大數據分析能力，才能夠提升客服中心以及民眾停電查詢等線上服務的效率。他也說，彰化雲端資料中心預計可以儲存100萬TB的資料，這個資料量相當於台電80年智慧電網大數據分析的資料量。</p> <h2><span style="color:#0000FF;"><strong>能源產業是未來重要的兆元產業</strong></span></h2> <p>經濟部政務次長曾文生表示，能源使用會隨著經濟發展而逐步增加，而過去到現在，臺灣有98％的能源是採用進口的方式，包括燃煤、天然氣和石油，這些能源進口的金額，平均占每年GDP（國民生產毛額）的10％，依照油價高低平均在7％～14％擺盪。</p> <p>因此，臺灣勢必要推動再生能源，把過去進口能源變成自己生產能源，若以離岸風電為例，維修、運維、船舶、人才等都是臺灣自己生產的話，也就相當於，臺灣把過去為了進口能源必須花掉十分之一的GDP支出，就會變成是臺灣自己生產的GDP，對於經濟發展也會有很大助益。</p> <p>曾文生認為，要把能源變成一個產業，就可以促進地方產業發展，而可以預見的是，彰化縣則是未來2025年～2030年間，自產能源比例最高的地方政府，若不包含太陽能，未來可能會占臺灣供電的10％，成為真正的能源大縣。</p> <p>他表示，這也是台電為什麼選擇彰化縣，作為第一座百分之百採用綠能發電的雲端機房坐落處，像是之前Google來臺灣設置全亞洲最大的資料中心時，選擇綠電也是其中一個重要的關鍵因素。</p> <p>將能源變成產業，就必須要能夠培養在地人才，並創造足夠的就業機會。曾文生更指出，供電廠商未來維運基地在彰化縣，目前已經和大葉大學合作，培養當地人才，並要求離岸風電業者也要可以培養在地人才，把能源產業留在彰化。曾文生直言：「能源產業一旦可以從進口轉為自行生產，將成為未來重要的二兆元產業。」</p> <h2><span style="color:#0000FF;"><strong>依照行政院智慧電網總體規畫方案，提升台電五座雲端機房的建置標準</strong></span></h2> <p>依照2020年公佈的「智慧電網總體規畫方案」指出，各國智慧電網發展投入的驅動力包括：「改善系統運作效率」、「實現再生能源目標」、「改善電力系統可靠度」、「培育新產品與服務」、「提供消費者多元選擇及參與電力市場之機會」，以及「優化電力公司資產利用率」等6大項。</p> <p>而對應上述驅動力，各國優先發展的智慧電網技術則包含「智慧型電表系統（Advanced Metering Infrastructure，AMI )」、「分散式能源整合（含再生能源）」、「資訊與通訊技術」，以及「協調輸電與配電運行之智慧網路管理」。</p> <p>若進一步檢視臺灣目前電力系統面臨的問題，也可以發現到，要提升現有的「資通訊基礎建設」，就必須要做到：更新通訊基礎設施系統、整合電網資通訊協定，並全面監控電網設施及成員。依照規畫方案，為了強化資通訊基礎建設，台電也將投入44億元（占整體預算5.6％）進行提升智慧電網資訊安全計畫、智慧電網資料應用計畫、骨幹/區域光纖通信系統提升計畫、電力物聯網通信系統導入計畫等。</p> <p>因此，不僅要導入ISO 27001，預計在2025年完成全數調度中心三個層級、32個場域，建置智慧電網入侵偵測系統（IDS），並納入資安監控中心（SOC）監控外；針對2025年前建置的2座雲端資料中心（包含彰化縣雲端機房），也要強化大數據備援機制，提供600座機櫃；到2030年完成的3座雲端資料中心，則提供1,200座機櫃。</p> <p>此外，也會將既有骨幹/區域光纖系統的頻寬，從現有骨幹網路10Gbps、區域光纖網路2.5gbps的速率，於2021年提升到骨幹網路100Gbps，2023年將區域光纖網路提升到10Gbps；於2020年啟動 5G電信垂直應用服務示範研究案，到了2025年，則會完成電力物聯網無線基地站的建置，期能完成最後一哩無線通信服務的提供。</p> <h2><span style="color:#0000FF;"><strong>彰化雲端機房分別導入TIA-942 Rated 3、黃金級LEED和黃金級臺灣綠建築標章</strong></span></h2> <p>台電打造的彰化雲端資料中心，為了維持持續維運的高可靠度，決定導入TIA-942 Rated 3國際資訊機房技術規範標準，讓資料中心具有能夠進行任何有計畫的場地基礎設施活動，又不會造成機房基礎設施服務中斷。</p> <p>這些基礎設施服務包括：機電系統、空調系統以及管道間等，都採用高可靠度的系統架構，多配備備援系統，藉此達到可以同時維修但營運服務不受維修影響，可以持續運作的目的，系統運轉可靠度達99.982％；至於彰化雲端資料中心的電力架構以及空調架構規畫，則都採用雙饋（N+1）規畫，都可以做到該資料中心不會因為單一節點的故障，造成機房服務中斷。</p> <p>為了達到節能減碳、綠色永續的目的，台電此次也選擇導入美國綠建築協會的黃金級能源與環境設計領導認證（LEED），和黃金級臺灣綠建築標章，重點在於：採用冷水空調達到自然冷卻的目的（Free Cooling）、流體動力學模擬分析（CFD）、太陽能輔助供電等機制，預計比臺灣傳統機房可以節省25％的電力，這也讓計算資料中心「總用電量」與「供應IT設備電量」之比的機房PUE值，可以將為1.5左右，代表機房空調冷卻所消耗的電力更少；預計彰化雲端機房每年省電可達700萬度電，相當於2000戶家庭年用電量，也可以減少3,500公噸二氧化碳的排放量，相當於9座大安森林公園二氧化碳的吸附量。</p> <p>楊偉甫坦言：「該座雲端機房是台電數位轉型的基礎。」因此，台電彰化雲端資料中心的建置和維運，也會更著重在大數據、AI、物聯網等技術的垂直應用，除了導入TIA942 Rated 3、LEED黃金級綠建築標章外，也會取得耐震、防火標章，並通過ISO 27001資安驗證，將企業核心骨幹網路速度提升十倍，速率到10Gbps，真正做到強化台店數位服務的可靠度與效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%8F%B0%E9%9B%BB%E5%BD%B0%E5%8C%96%E9%9B%B2%E7%AB%AF%E6%A9%9F%E6%88%BFBIM%E6%A8%A1%E5%9E%8B%E5%9C%96_%E5%8F%B0%E9%9B%BB%E6%8F%90%E4%BE%9B%20(1).jpg" style="width: 600px; height: 338px;" /></p> <blockquote><p class="p1" style="margin: 0px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; font-size: 11px; line-height: normal; font-family: "PingFang TC"; color: rgb(0, 0, 0);">台電位於彰化縣的雲端資料中心，是該公司第一座百分之百採用綠能發電的機房，為了達到機房維運的高可用度，導入TIA-942 Rated 3國際資訊機房技術規範標準，讓機房可用性達99.982％；也導入美國綠建築協會的黃金級能源與環境設計領導認證（LEED），和黃金級臺灣綠建築標章，以期能做到環境永續的目標。（照片提供/台電）</p> </blockquote> <p> </p> <p> </p> </div></div></div>
2021/10/13 19:33作者黃彥棻https://www.ithome.com.tw/news/147257
老牌間諜程式FinSpy透過UEFI惡意韌體啟動器，植入Windows電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過植入電腦韌體的方式，使得惡意軟體能持久在受害電腦上運作，而憑藉這樣的攻擊手法，駭客過往大多針對舊型電腦樣硬碟的主要啟動磁區（MBR），最近有一些開發惡意軟體的人士，也打造能在統一可延伸韌體介面（UEFI）運作的工具，用於間諜軟體的攻擊行動。</p> <p>例如，資安業者卡巴斯基於9月30日揭露，惡名昭彰的間諜軟體FinSpy（又被稱為FinFisher或Wingbird）當中，開始納入UEFI惡意啟動工具（Bootkit），使得攻擊行動更加的隱密而不易被察覺。</p> <p>FinSpy是由德國監控器材業者Gamma開發的諜軟體，該公司將其銷售給全球政府機關。而這款間諜軟體，最早約於2011年，被發現用於攻擊行動，而攻擊者散布它的方式，多半是經由獨立安裝程式。</p> <p>攻擊者一旦利用FinSpy，可竊取受害電腦的各種資料，像是作業系統資訊、瀏覽器與VPN的帳密、搜尋歷史記錄，以及Wi-Fi的密碼等等。</p> <h2><strong>攻擊者首度運用UEFI惡意啟動工具</strong></h2> <p>但卡巴斯基在2018年開始，發現Windows版FinSpy的偵測比率下降，而這種反常的現象引起研究人員的好奇。</p> <p>直到他們在2019年中旬才找到答案，因為他們研究Android版FinSpy攻擊程式之際，發現駭客在部署該程式前，還有第一階段的攻擊程式存在，所以，進而找到先前攻擊者的活動軌跡——在Windows版本FinSpy運用惡意UEFI惡意啟動工具的行為。</p> <p>雖然這次卡巴斯基主要分析的是Windows版FinSpy，但他們指出，Linux與macOS版本FinSpy的程式碼架構，也與Windows版本的非常相似。</p> <p>這個UEFI惡意啟動工具究竟如何運作？研究人員表示，他們看到感染這個啟動工具的電腦，該工具會將Windows開機管理員檔案（bootmgfw.efi），更換為惡意檔案。</p> <p>上述的UEFI惡意啟動工具，存放在電腦啟動器資料夾裡，置入Winlogon Injector、Trojan Loader等2個檔案，這些檔案都由RC4演算法加密，解密金鑰是EFI系統磁區（ESP）的全域唯一識別碼（GUID），每臺受害電腦的解密金鑰都不同。</p> <p>等到使用者登入作業系統，UEFI惡意啟動工具就將Trojan Loader注入EXE檔案，該木馬載入器便會載入FinSpy。</p> <h2><strong>亦能對MBR下手</strong></h2> <p>而對於不支援UEFI的電腦，研究人員指出，攻擊者還是可以透過MBR植入FinSpy。</p> <p>針對使用MBR開機的電腦，FinSpy則是以相當迂迴的方式，將程式碼注入winlogon.exe，使得潛入流程較攻擊UEFI更加複雜──先是在可執行檔內，建立Trampoline Shellcode執行序，此Shellcode再將執行序複製、轉移到檔案總管，並注入另一個Trampoline Shellcode，最後，這個新的Shellcode，把Trojan Loader注入winlogon.exe，載入FinSpy。</p> <p>除了上述提及鎖定電腦韌體的手法，駭客還是會透過具有合法簽章的應用程式，如TeamViewer、WinRAR等，來挾帶FinSpy，並誘騙使用者下載安裝。</p> </div></div></div>
2021/10/13 15:20作者周峻佑https://www.ithome.com.tw/news/147244
Google推分散式雲端服務，延伸基礎設施至邊緣和企業資料中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其Next 21大會上，發布了新服務<a href="https://cloud.google.com/blog/topics/hybrid-cloud/announcing-google-distributed-cloud-edge-and-hosted">Google分散式雲端（Google Distributed Cloud）</a>，這是一項由硬體以及軟體結合而成的解決方案，能夠將Google雲端的基礎設施，延伸到網路邊緣，以及企業的資料中心。</p> <p>根據Google的說法，在許多位置都能夠執行Google Distributed Cloud，包括Google網路邊緣、網路營運商邊緣、用戶邊緣甚至是用戶資料中心。Google網路邊緣包括了全球140個Google網路邊緣位置，而網路營運商邊緣，能讓用戶能夠從5G/LTE通訊服務受益，網路營運商經最佳化支援低延遲使用案例，以支援有嚴格延遲和頻寬要求的邊緣網路應用程式。</p> <p>客戶邊緣則是支援用戶擁有的邊緣和遠端位置，像是零售店、工廠車間或是分支機構，支援這些需要直接在邊緣位置進行本地化運算和處理的用例。Google Distributed Cloud也讓基礎設施能夠延伸到客戶資料中心，以滿足嚴格的資料安全和隱私要求，在符合法規的同時實現本地部署現代化。</p> <p>Google Distributed Cloud建立在Anthos之上，而Anthos是一個混合雲平臺，可跨本地、邊緣和多個公有雲基礎設施，統一管理應用程式，以達到一致的大規模營運。而Google Distributed Cloud透過在用戶本地端，或是邊緣位置的Google託管硬體上執行Anthos，供用戶能夠安全地遠端執行應用程式。</p> <p>Google Distributed Cloud的用戶可以使用Google雲端服務，包括資料庫、機器學習和容器管理等，在本地端更新應用程式或是處理資料。另外，用戶也可以在自己的專有環境中利用第三方服務，屆時服務正式推出，將會受包括Cisco、Dell、HPE和NetApp等廠商支援。</p> <p>Google Distributed Cloud先發布適用邊緣以及企業資料中心兩個解決方案。適用於邊緣的Google Distributed Cloud Edge現在已經推出預覽版，是一款完全託管的產品，能夠讓Google的基礎設施和服務，更加靠近資料生成和使用的位置，並且能夠在邊緣執行5G核心、無線電存取網路功能和企業應用程式，以支援像是電腦視覺或是AI邊緣推理的應用。</p> <p>另一個適用於企業資料中心的Google Distributed Cloud Hosted，目的則是供用戶在本地執行敏感工作負載，針對擁有資料落地、安全和隱私要求的公部門或是企業用戶。Google Distributed Cloud Hosted不需連接到Google雲端，供用戶使用本地Anthos控制平面進行操作，管理基礎設施、服務、API和工具，預計會在2022上半年推出預覽版。</p> </div></div></div>
2021/10/13 15:45作者李建興https://www.ithome.com.tw/news/147242
資安一周第167期：臉書大當機7小時。資安人員揭露新的UEFI攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">10/7-10/13必看資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃社群網站＃網路服務中斷</strong></span></h3> <h2><strong style="vertical-align: top;">臉書大當機7小時，起因是日常維護出錯</strong></h2> <p>在臺北時間10月5日清晨，臉書發生這幾年最嚴重的當機事件，全球的臉書服務同時斷線，涵蓋Facebook、Instagram與WhatsApp，影響全球逾35億用戶，且持續近7小時。臉書公布詳細的肇事原因，表示一切都是從例行性維護出錯所引發的骨牌效應。</p> <p>事情發生的經過，是在5日凌晨，臉書工程師執行例行性維護，不小心切斷骨幹網路的所有連結，導致該公司全球資料中心同時斷網。因網路斷線與內部工具失效等因素，工程師必須到資料中心手動排除異常，而這些軟硬體系統的安全存取規則，也拖慢臉書修復的腳步。<strong><a href="https://www.ithome.com.tw/news/147113">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃UEFI ＃韌體攻擊＃Secure Boot</strong></span></h3> <h2><strong style="vertical-align: top;">惡意程式設法關閉UEFI安全開機功能，並被用於間諜攻擊</strong></h2> <p>資安業者ESET於10月5日揭露新的惡意軟體ESPecter，它藉由EFI系統磁區（ESP），而能持續在受害電腦運作，讓攻擊者得以繞過Windows的驅動程式強制簽章機制（DSE），進而載入未簽章的驅動程式，以便進行其他攻擊行動。</p> <p>針對這樣的攻擊手法，研究人員呼籲，使用者要嚴加防範：電腦要使用最新版本的韌體，並確定安全開機（Secure Boot）功能開啟，再者，使用者也要留意特殊權限的管理，避免高權限帳號遭到攻擊者濫用。<strong><a href="https://www.ithome.com.tw/news/147200">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/167-1-ESPecter-right.png" style="width: 400px; height: 347px;" /></p> <p><strong><span style="color:#808080;">圖片來源：ESET</span></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃UEFI ＃韌體攻擊＃間諜軟體</strong></h3> <h2><strong style="vertical-align: top;">老牌間諜程式FinSpy透過惡意韌體啟動器，植入Windows電腦</strong></h2> <p>資安業者卡巴斯基揭露，惡名昭彰的間諜軟體FinSpy（又被稱為FinFisher或Wingbird），駭客開始納入UEFI惡意啟動工具（Bootkit），使得攻擊行動更加的隱密而不易被察覺。</p> <p>攻擊者一旦利用FinSpy，可竊取受害電腦的各種資料，像是作業系統資訊、瀏覽器與VPN的帳密、搜尋歷史記錄，以及Wi-Fi的密碼等。<strong><a href="https://www.ithome.com.tw/news/147244">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃國家級駭客</strong></span></h3> <h2><strong style="vertical-align: top;">近一年6成國家級駭客攻擊來自俄羅斯</strong></h2> <p>微軟於10月7日發布《數位防禦報告》（Digital Defense Report），蒐集了從2020年7月到2021年6月間，所觀察到的駭客行動。根據該報告，最積極的國家級駭客來自俄羅斯，占所有國家級攻擊的58%，居次的是北韓的23%，伊朗占了11%，還有8%來自中國。</p> <p>微軟指出，俄羅斯駭客不僅活動頻繁，且其成功入侵比例從前一年的21%，成長到32%。同時俄羅斯也對蒐集情報愈來愈感興趣，且絕大多數的攻擊對象牽涉到外交政策、國家安全與國防領域，涵蓋美國、烏克蘭，以及英國組織。<strong><a href="https://www.ithome.com.tw/news/147201">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/167-2-APT-Groups.png" style="width: 400px; height: 199px;" /></p> <p><span style="color:#808080;"><strong>圖片來源：微軟</strong></span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞修補＃iOS</strong></h3> <h2><strong style="vertical-align: top;">蘋果修補已被濫用的安全漏洞</strong></h2> <p>蘋果於10月11日釋出了iOS 15.0.2與iPadOS 15.0.2，此次的更新主要是解決了部分臭蟲，並且修補已遭駭客濫用的CVE-2021-30883安全漏洞。</p> <p>對於CVE-2021-30883漏洞，蘋果表示，它可能允許應用程式以核心權限執行任意程式，而且已經遭到濫用，該公司藉由改善記憶體處理修復此記憶體毀損問題。資安研究人員Saar Amar也揭露有關分析及概念性驗證（PoC）程式，並認為該漏洞很可能會被用於越獄。<strong><a href="https://www.ithome.com.tw/news/147217">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資安防護措施＃VBA</strong></span></h3> <h2><strong style="vertical-align: top;">微軟將關閉Excel 4.0巨集確保用戶安全</strong></h2> <p>微軟宣布更新Microsoft 365 Excel Trust Center巨集的設定，預設關閉Excel 4.0巨集。這項配置，微軟預計10月底會先開始部署到Insider-Slow通道；目前通道（Current Channel）11月初將開始部署；最後，每月企業通道（Monthly Enterprise Channel）版本，則預計於12月開始及完成部署。<strong><a href="https://www.ithome.com.tw/news/147188">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃影音串流平臺＃資料外洩＃組態配置不當</strong></span></h3> <h2><strong style="vertical-align: top;">Twitch資料外洩原因出爐，配置錯誤闖禍</strong></h2> <p>藉由網路論壇，駭客日前釋出了竊自遊戲影片串流平臺Twitch資料，而Twitch也證實該平臺被駭，並在10月6日公布原因。他們指出，是因為伺服器的配置變更錯誤所造成，而讓第三方得以存取內部伺服器。迄今Twitch仍在調查受影響的範圍，為了謹慎起見，Twitch已經重置了所有的串流金鑰。</p> <p>根據新聞網站《Motherboard》的報導，駭客所揭露的安全工具是舊的，原始碼也沒有太多的機密，而影響最大的用戶可能是直播主──因為，網路上開始有人公布直播主的收入，而這些資訊可能讓他們成為駭客攻擊的目標。<strong><a href="https://www.ithome.com.tw/news/147180">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃APT攻擊＃RAT</strong></span></h3> <h2><strong style="vertical-align: top;">ShellClient木馬鎖定全球航太與電信產業發動攻擊</strong></h2> <p>資安業者Cybereason於10月6日，揭露名為GhostShell的攻擊行動，駭客運用從未被發現的RAT木馬程式ShellClient，攻擊全球的航太產業與電信公司。</p> <p>針對攻擊者的意圖，Cybereason指出，主要是竊取組織的關鍵資產、基礎設施，以及所持有的技術等敏感資料。至於攻擊者鎖定的攻擊範圍，研究人員認為主要是中東地區，但在美國、俄羅斯，以及歐洲也有受害組織。<strong><a href="https://www.ithome.com.tw/news/147148">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/167-3-image13.png" style="width: 400px; height: 144px;" /></p> <p><span style="color:#808080;"><strong>圖片來源：Cybereason</strong></span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃虛擬化平臺</strong></span></h3> <h2><strong>勒索軟體鎖定VMware ESXi下手，運用Python程式碼快速加密虛擬磁碟</strong></h2> <p>資安業者Sophos在10月5日，揭露一起使用Python指令碼的勒索軟體攻擊事故，攻擊者使用這些指令碼，鎖定組織內VMware ESXi環境，加密所有的虛擬磁碟，而使得虛擬機器（VM）被迫下線。</p> <p>根據資安人員的調查，從入侵到部署勒索軟體指令碼，攻擊者用了3個多小時就完成，隨後就開始加密VMware ESXi伺服器裡的虛擬磁碟。Sophos表示，這是他們看過攻擊速度最快的行動之一。<a href="https://www.ithome.com.tw/news/147136"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞修補</strong></span></h3> <h2><strong style="vertical-align: top;">Apache修補已被濫用的資料外洩漏洞</strong></h2> <p>Apache軟體基金會於10月5日，釋出了Apache HTTP Server 2.4.50，修補2.4.49版中的2個安全漏洞，其中的CVE-2021-41773為資料外洩漏洞，而且已被用於攻擊行動，使得該基金會呼籲用戶應儘速修補。</p> <p>此漏洞為路徑穿越（Path Traversal）與檔案曝露漏洞，允許駭客將URL映射到文件根目錄（Document Root）以外的檔案上，也可能洩露諸如CGI腳本文件等直譯檔案的來源。<strong><a href="https://www.ithome.com.tw/news/147117">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/147203">被併購的McAfee、FireEye的資安業務將整合</a><br /> ●<a href="https://www.ithome.com.tw/news/147146">車輛網路安全ISO/SAE 21434標準出爐</a><br /> ●<a href="https://www.ithome.com.tw/news/147010">為推動電信業汰換華為、中興設備，美國投入19億美元</a></h3> </div></div></div>
2021/10/13 15:49作者周峻佑https://www.ithome.com.tw/news/147246
《The Intercept》公布臉書內部的黑名單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國非營利新聞組織《<a href="https://theintercept.com/2021/10/12/facebook-secret-blacklist-dangerous/" target="_blank">The Intercept</a>》在本周揭露了<a href="https://theintercept.com/document/2021/10/12/facebook-dangerous-individuals-and-organizations-list-reproduced-snapshot/" target="_blank">臉書內部的黑名單</a>，透露出有超過4,000個組織或個人被禁止使用臉書平臺，雖然它們絕大多數被列為恐怖組織／分子，然而，《The Intercept》引用專家的看法指出，臉書顯然對於被邊緣化的群體施加了更嚴格的限制。</p> <p>臉書自2012年即開始封鎖有恐怖主義或暴力犯罪活動紀錄的組織，並擬定「危險的組織與個人」（Dangerous Organizations and Individuals，DOI）名單，最初的目的在於禁止這些恐怖或暴力組織透過臉書平臺招募成員。不過，《The Intercept》本周公布的名單卻顯示，雖然有超過5成屬於恐怖組織／分子，但也有一些政客、作家、慈善家、醫院或是數百個樂團被列入黑名單中。</p> <p>過去即有不少學者或推動公民自由的組織要求臉書公布內部的黑名單，但臉書則以它可能為危及員工，或者讓被封鎖的組織／個人繞過政策限制為由所拒。</p> <p>《The Intercept》取得並分析了該名單，顯示臉書在黑名單上的分類包括了仇恨、犯罪、恐怖主義、軍事化社會運動，及非國家暴力分子，這些類別又分成3種等級，前三類屬於最嚴厲的第一級，完全禁止它們出現在臉書平臺上，也不准使用者推崇它們；非國家暴力分子屬於第二級，使用者或許可以讚美這個等級的非暴力作法，但不得表達對它們的支持；第三級則是參與仇恨言論，但尚未形成暴力行為。</p> <p>不過，《The Intercept》引用專家的看法，指出臉書的DOI名單對於邊緣化與弱勢的族群採用了更嚴格的限制，例如犯罪或恐怖主義的定義其實很廣泛，但黑名單上出現的犯罪類別絕大多數都是黑人與拉丁裔，恐怖分子則多是來自中東與南亞。</p> <p>在該名單曝光後，<a href="https://twitter.com/brianfishman/status/1448034573388943361?s=20" target="_blank">臉書政策總監Brian Fishman旋即透過Twitter發表一長串的聲明</a>，坦承臉書並不希望成為犯罪組織的平臺，也是建立DOI名單的初衷，儘管它並不完美，卻是它存在的理由；《The Intercept》所取得的名單並不完整，且臉書經常更新該名單，不曾對外分享名單的原因包括避免法律風險、安全風險，以及減少被封鎖的組織繞過規定的機會。</p> <p>Fishman也強調，這些被列入黑名單的組織或分子，有時是基於它們在臉書之外的活動，並非僅限於臉書平臺，有些時候臉書是因法律上的義務而必須刪除它們；定義全球的DOI不管對臉書或各國政府來說都是困難的。</p> <p>Fishman更批評《The Intercept》的分析帶來的是熱度，而非見解，不僅錯誤解讀DOI名單，亦漠視了臉書在法律上的義務。</p> </div></div></div>
2021/10/13 15:58作者陳曉莉https://www.ithome.com.tw/news/147247
Google推出Intelligent Products Essentials供用戶簡單開發智慧裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出供企業快速在產品中，加入人工智慧功能的<a href="https://cloud.google.com/blog/products/data-analytics/introducing-intelligent-products-essentials-for-manufacturers">Intelligent Products Essentials</a>，借助該解決方案，用戶能夠使用邊緣人工智慧和雲端分析功能，快速建構具有個人化的體驗、可更新功能和執行用戶分析的產品。</p> <p>Google提到，由於現在消費者對商品的期待出現變化，消費者希望商品可以根據需求發展，適應使用者的喜好，並且保持最新的狀態。這使得製造商必須要提供消費者創新體驗，不過，要在裝置中加入智慧功能並不簡單，不只是更新硬體的成本高昂，現有的連網產品也難以增加新功能，此外，製造商也缺乏分析用戶，使用人工智慧技術，開發和部署這些功能的能力。</p> <p>Intelligent Products Essentials提供了一個彈性的架構，供用戶簡單地整合到既存的產品中，以迅速開發出新產品功能、應用程式和服務，而且透過端到端解決方案，在用戶資料基礎上，進行連接、組織，和交付人工智慧分析結果。</p> <p>這項新功能可被用於非常多的使用案例，像是強化個人化用戶體驗，聊天機器人能夠根據產品狀態和用戶資料，情境化處理對用戶的回應。用戶也能透過在產品中整合Intelligent Products Essentials，無線管理和更新產品，對部署於現場的產品進行更新，並且收集效能等資訊或是添加新功能。另外，企業也能夠使用該服務，預測零件和服務中的問題，像是檢測操作閾值、異常預測，或使用人工智慧主動推薦服務以提高客戶滿意度。</p> <p>Intelligent Products Essentials提供開發智慧裝置所需要的功能，包括邊緣連接、應用程式模板、產品隊列管理、人工智慧服務以及企業資料整合。藉由使用IoT Core或Pub/Sub服務，連接各種裝置平臺，擷取原始或是時間序列遙測資料，並且在邊緣使用Vertex AI，以實現無線韌體和機器學習模型部署與管理。</p> <p>Google還提供預建置的API和隨附範例應用程式，供用戶簡單建構在智慧手機、平板與電腦上運作的連網裝置相對應應用程式，這些應用程式使用Firebase，來提供產品註冊、身分管理與應用程式行為分析等功能。企業除了可以使用DialogFlow、AutoML服務在產品中加入人工智慧新功能外，也可以使用Dataflow和BigQuery，在產品中來整合企業資源規畫和客戶關係管理等資料。</p> </div></div></div>
2021/10/13 16:17作者李建興https://www.ithome.com.tw/news/147245
微軟10月Patch Tuesday修補71個安全漏洞，包含一個已被開採的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在本周二（10/12）的Patch Tuesday修補了74個安全漏洞，其中有3個屬於重大（Critical）等級，另有4個為零時差漏洞，當中涉及Win32k權限擴張的CVE-2021-40449漏洞已遭駭客開採。此外，微軟本月已先行修補了7個有關Microsoft Edge的安全漏洞，意謂著10月的漏洞修補總數為81個。</p> <p>發現<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40449" target="_blank">CVE-2021-40449漏洞</a>的為卡巴斯基（Kaspersky）。<a href="https://securelist.com/mysterysnail-attacks-with-windows-zero-day/104509/" target="_blank">卡巴斯基表示</a>，他們在今年8、9月間，偵測到一個鎖定微軟Windows伺服器的攻擊程式，仔細研究之後才發現這是一個零時差漏洞，並立即通知了微軟。</p> <p>CVE-2021-40449為一Win32k核心驅動程式的釋放後使用（use-after-free）漏洞，成功的開採將允許駭客讀取及寫入核心記憶體。研究人員發現，開採該漏洞的攻擊程式已出現許多變種，並廣泛地被應用在間諜活動中，受害者包括IT公司、軍方/國防承包商，以及外交機構等。此外，該漏洞影響的平臺甚廣，從Windows Vista、Windows 7、Microsoft Windows Server 2008、Windows 10到Windows Server 2019等都潛藏此一安全風險。</p> <p>該攻擊程式所蒐集的資訊包括電腦名稱、Windows產品名稱、IP位址、登入的用戶名稱及活動名稱等。研究人員亦發現，駭客重覆使用了一個曾被中國駭客集團IronHusky使用的命令暨控制伺服器位址，IronHusky的間諜活動始於2012年，只是一直到2017年才被偵測到。</p> <p>其它3個尚未被開採的零時差漏洞，則有涉及Windows DNS Server遠端程式攻擊漏洞的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40469" target="_blank">CVE-2021-40469</a>、Windows Kernel權限擴張漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-41335" target="_blank">CVE-2021-41335</a>，以及Windows AppContainer 防火牆規則繞過漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-41338" target="_blank">CVE-2021-41338</a> 。</p> <p>3個被微軟列為重大等級的漏洞為<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40486" target="_blank">CVE-2021-40486</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38672" target="_blank">CVE-2021-38672</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40461" target="_blank">CVE-2021-40461</a>。當中的CVE-2021-40486是Word的遠端程式攻擊漏洞，當使用者打開惡意的Word文件時就可能觸發攻擊，而Preview Pane亦被列為該漏洞的攻擊表面。<a href="https://www.zerodayinitiative.com/blog/2021/10/12/the-october-2021-security-update-review" target="_blank">揭露此一漏洞的Zero Day Initiative（ZDI）則指出</a>，當結合另一個權限擴張漏洞時，駭客將有機會取得系統的控制權。</p> <p>至於<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38672" target="_blank">CVE-2021-38672</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40461" target="_blank">CVE-2021-40461</a>則皆為Windows Hyper的遠端程式攻擊漏洞，當客座VM的記憶體分配錯誤時就會觸發該漏洞，成功的開採將允許惡意的客座VM讀取主機的核心記憶體。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40454" target="_blank">本月ZDI還特別點名了CVE-2021-40454</a> ，它是一個豐富文字編輯控制（Rich Text Edit Control）的資訊揭露漏洞，這並非ZDI平常會關注的漏洞型態，不過，它的危險性在於成功的開採，將允許駭客恢復記憶體中的明文密碼。</p> </div></div></div>
2021/10/13 12:11作者陳曉莉https://www.ithome.com.tw/news/147241
微軟的AI翻譯服務現在支援100種語言和方言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在其<a href="https://blogs.microsoft.com/ai/microsoft-translator-100-language-milestone/">翻譯服務Translator中，又加入12種新語言和方言</a>，包括巴什基爾語、迪維希語、藏語、土庫曼語、維吾爾語和烏茲別克語等，當前全球總共有8,460萬人使用這些語言。微軟提到，在加入12種語言之後，Translator已經可以支援100種語言，語言覆蓋人數達到56.6億人。</p> <p>由於主流語言資源多，因此翻譯服務要提供像是英語、華語、印地語、阿拉伯語和西班牙語，相對簡單許多，而近年來由於技術的進步，人工智慧技術也逐漸可以對資源匱乏或是瀕臨滅絕的語言，提供翻譯服務。</p> <p>微軟的機器翻譯服務，使用一種稱為Z-code的多語言人工智慧模型，該模型能夠結合同一家族語言，像是印地語、馬拉地語和古吉拉特語等印度語，透過讓各個語言模型相互學習，降低達到高品質翻譯所需要的資料量。微軟舉例，當翻譯模型使用相關的法語、葡萄牙語、西班牙語和義大利語資料一起訓練，羅馬尼亞語的翻譯品質會得到提升。</p> <p>微軟提到，藉由共通性和遷移學習，能同時改進整個語言家族的翻譯品質，而且減少資料需求，對資源有限或是母語人口減少，而瀕臨滅絕的語言，得以建立語言模型。</p> </div></div></div>
2021/10/13 10:22作者李建興https://www.ithome.com.tw/news/147234
安全研究組織倡議修法保護白帽駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全研究人員或白帽駭客從軟體找出漏洞可確保用戶安全及廠商名譽，卻被廠商告上法院的例子屢見不鮮。<a href="https://cyan.network/blog/2021/10/11/global-coalition-builds-to-protect-cyber-researchers/" target="_blank">一群網路安全專家本周聯合倡議修改過時法令</a>，使漏洞研究人員不再遭受被告威脅。</p> <p>代表22國網路安全研究人員的法國非營利組織CyAN（Cybersecurity Advisor Network）和零時差立法專案（Zero Day Legislative Project）聯合發出倡議。</p> <p>零時差立法專案主管Peter Coroneos指出，白帽駭客是保護連網系統的重要環節，他們揭露未修補的軟體漏洞，並通報相關業者解決漏洞，但是他們卻面臨對產品漏洞公開很敏感的業者以法律威脅之。</p> <p>這些研究人員面臨著作權法，或與存取或擾亂電腦系統有關的刑事罪名。例如<a href="https://www.ithome.com.tw/news/118524" target="_blank">2017年DJI曾經舉辦抓蟲獎勵方案</a>，最後卻不但沒付獎金，反而揚言將以《電腦欺詐和濫用法》控告通報安全漏洞的研究人員。有時威脅甚至來自政府。2017年美國司法部控告曾經找出WannaCry破解方法的天才駭客Marcus Hutchins，指其撰寫木馬程式Kronos並賣給罪犯，<a href="https://www.emptywheel.net/2018/06/06/to-pre-empt-an-ass-handing-the-government-lards-on-problematic-new-charges-against-malwaretech/" target="_blank">有記者認為美國政府是為了掩飾更多漏洞而出手</a>。美國政府一共對其以10項罪名提出告訴。</p> <p>Coroneos指出，過時法令腳步跟不上網路挑戰，將阻礙研究及延誤漏洞通報。他們希望共組國際聯盟倡導法令革新，使零時差漏洞研究人員不再需要擔心產品業者過激的法律回應。</p> <p>經濟合作與發展組織（OECD）也將修法列為2021年對立法單位觀察指引，指出漏洞所有者不但不歡迎漏洞通報，反而以法律程序威脅研究人員，而如果相關單位是跨不同國境，則這類法律風險將對負責任揭露行為引發寒蟬效應。</p> <p>這項行動已獲得許多資安界知名人士的聲援，包括微軟漏洞研究創辦人Katie Moussouris、前英國網路中心CEO Ciaran Martin、前美國網路外交官Chris Painter、CyberPeace Institute CEO Stéphane Duguin，和前法國網路防禦指揮（FR COMCYBER）中將Arnaud Coustilliere等。</p> </div></div></div>
2021/10/13 10:56作者林妍溱https://www.ithome.com.tw/news/147240
新創Polar Signals開源能夠協助程式碼最佳化的持續分析工具Parca
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>持續分析服務的新創公司Polar Signals，對外開源<a href="https://www.polarsignals.com/blog/posts/2021/10/08/introducing-parca-we-got-funded/">Parca專案</a>，該專案包含持續分析儲存、查詢引擎，還有以eBPF為基礎出的分析器。Parca可收集資料，供用戶更好地掌握系統狀態，或找出能夠最佳化程式碼的方式，甚至還能協助用戶節省雲端服務開銷。</p> <p>官方提到，Polar Signals一直以來選擇開放的pprof格式分析資料，以實現最佳的相容性，因此可以生成pprof格式配置檔案的分析器，也都和Parca相容。</p> <p>Parca是一個傘型專案，不只包含儲存，還有經過最佳化的儲存和查詢分析資料，以及eBPF低開銷分析器，官方解釋，Parca這個名字出自於北極區域氣候評估計畫（Program for Arctic Regional Climate Assessment，PARCA），該計畫透過分析冰芯，來研究氣候變化，而Polar Signals想要藉由開源Parca專案，來使分析技術更加普及，對防止氣候災難做出貢獻。</p> <p>Parca代理是一個eBPF分析器，能夠使用Kubernetes或SystemD探索目標，不需要重新啟動，或是更改任何應用程式的部署，就能透過擷取CPU配置檔案，自動分析整個基礎設施。使用來自Kubernetes和SystemD的元資料，這一系列的分析被標記為和Prometheus時間序列具有相同的標籤，目的是要最大化Parca和Prometheus搭配使用的效果。一旦寫入Parca儲存，資料可以使用標籤選擇器，進行分片或是分塊，與Prometheus的操作方式完全相同。</p> <p>Parca能夠應用在多種連續分析的用例，像是節省基礎設施開銷、最佳化特定操作，或是了解系統變化。由於Parca能夠將時間範圍內的分析資料，整合到單個報告中，因此能夠避免一次性分析存在的問題，像是無法完整反應整個基礎設施的狀況，或是由於只取單一時間點資料分析，無法代表整個過程。</p> <p>此外，Parca還能被用在了解系統變化上，官方提到，如果沒有持續分析，非常難以理解隨時間變化的效能特徵，Parca藉由持續的擷取資料，進而了解資料的變化，透過視覺化呈現，用戶就能清楚的了解，不同時間點系統狀態的變化。</p> </div></div></div>
2021/10/13 11:05作者李建興https://www.ithome.com.tw/news/147237
微軟與Nvidia發表全球最大含5,300億個參數的AI語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟和Nvidia合作研究語言模型，發表了目前最大的單體Transformer語言模型<a href="https://www.microsoft.com/en-us/research/blog/using-deepspeed-and-megatron-to-train-megatron-turing-nlg-530b-the-worlds-largest-and-most-powerful-generative-language-model/">MT-NLG（Turing Natural Language Generation Model）</a>，具有5,300億個參數，作為Turing NLG 17B和Megatron-LM的後繼者，MT-NLG的規模是目前這類最大模型的3倍，能在完成預測、閱讀理解、常識推理、自然語言推理和詞義消歧等自然語言任務，提供極高的準確性。</p> <p>近年來自然語言處理領域，得利於Transformer語言模型的大規模運算、大資料集，和進階的訓練演算法，使得語言模型能夠具有大量參數，進行更豐富、細緻的語言理解，因此語言模型也能更有效地作為零樣本或是少樣本學習器，應用在更廣泛的自然語言任務中。</p> <p>現在訓練大型語言模型，仍具有不小的挑戰性，研究人員解釋，即便是最大的GPU記憶體，也難以放下這麼大量的參數，而且如果不對演算法、軟體和硬體堆疊進行最佳化，過長的運算時間將會使得訓練模型變得不切實際。</p> <p>微軟和Nvidia密切合作，應用GPU和分散式學習軟體堆疊，實現超高效率模型訓練，並且使用數千億的令牌，建構高品質自然語言訓練語料庫，共同開發訓練配置，以最佳化效率和穩定性。</p> <p>模型訓練使用基於NvidiaDGX SuperPOD的Selene超級電腦，以混合精度訓練完成，該超級電腦搭載560臺DGX A100伺服器，這些伺服器使用HDR InfiniBand以全胖樹拓墣連接，每臺DGX A100擁有8顆A100 80GB Tensor Core GPU，之間以NVLink和NVSwitch相互連接。</p> <p>研究人員解釋，只有這種能夠在數千個GPU間實現平行性的架構，才能在合理的時間，訓練具有數千億個參數的模型。但就現有的平行策略，包括資料、工作管線和張量切片，還是無法用於訓練這種模型。</p> <p>因此研究人員結合Megatron-LM和PyTorch深度學習最佳化函式庫DeepSpeed，創建了高效且可擴展的3D平行系統，將資料、工作管線和基於張量切片的平行性結合在一起，來克服訓練大型語言模型所遭遇的困難。</p> <p>Megatron-LM的張量切片能夠擴展節點內的模型，並藉由DeepSpeed工作管線的平行性，來跨節點擴展模型。就5,300億個參數的MT-NLG來說，每個模型副本需橫跨280個A100 GPU，具有8路張量切片和跨節點的35路工作管線並行性，並且透過DeepSpeed的資料平行性，擴展模型至數千個GPU。</p> <p>MT-NLG在多種類型的自然語言任務，都達到了目前最佳的結果，以少樣本預測來說，比較或是尋找兩句子間的關係，通常是對語言模型較具有挑戰性的任務，但是MT-NLG能夠使用更少的令牌訓練，也就是說，更大型的模型訓練速度更快。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%20844%20-%20Using%20DeepSpeed%20and%20Megatron%20to%20Train%20Megatron-Turing%20NLG%20530B%2C%20the%20W_%20-%20www_microsoft_com.jpg" style="width: 580px;" /></p> <p>除了一般自然語言任務都已經難不倒MT-NLG，MT-NLG還具有基本的數學運算能力，研究人員提到，雖然離真正具有算術能力還有一段距離，但該模型展現了超過記憶算數的能力。</p> <p>另外，研究人員還在HANS資料集測試MT-NLG，藉由向模型提供包含簡單句法結構的句子作為問題，並且提示模型給予答案，過去這樣的用例，即便結構相當簡單，但是自然語言推理模型仍會對於這類輸入感到苦手，但是MT-NLG在不需要微調的情況下，就能表現良好。</p> </div></div></div>
2021/10/13 09:52作者李建興https://www.ithome.com.tw/news/147225
Google反告Epic違反Play Store規定獲利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電玩軟體業者Epic Games為了程式內支付不僅和蘋果打官司，也槓上Google。<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.364325/gov.uscourts.cand.364325.182.0.pdf" target="_blank">Google本周反告Epic在App中提供非Google的支付機制，違反Play Store的協議不當獲利</a>。</p> <p>去年Epic Games因為在iOS版與Android版的《要塞英雄》（Fortnite）App中，加入自有支付機制，繞過App Store與Google Play的程式付費規範，遭到蘋果與Google從各自App軟體商店下架。因此Epic將兩大軟體巨人告上法院，指其對開發商徵收蘋果稅及Google稅。</p> <p>Epic也出具法院文件指稱，Google利用Android平臺優勢及分潤為誘因，阻止裝置製造商安裝第三方軟體商店App，包括Epic的軟體商店，獨厚Google Play Store。</p> <p>Google在向加州地方法院法庭遞交的文件，否認Epic所稱Google種種迫使手段，包括迫使用戶或開發商使用Google Play Store。Google說它提供App開發商及智慧型手機消費者更多自由度和選擇，許多美國以外的用戶裝置上都預安裝其他軟體商店App，消費者也可以從開發商官網下載。Google宣稱，消費者和開發商不是被迫使用，而是選擇使用Google Play 。</p> <p>Google宣稱，它透過Android、Google Play政策及Google與開發商及裝置製造商的協議支援選擇軟體商店及傳布通路的自由，這點可從Epic在2018年就和三星簽約，於Galaxy Store上架《要塞英雄》遊戲，而不需從Google Play Store上下載可以得知。</p> <p>這家軟體巨人反而針對Epic的論點申明它才是受害者。2020年6月Epic在Google Play上架的《要塞英雄》App，讓使用者用它自己的支付處理工具，而非Google Play Billing，這點違反了Google Play開發傳布協議（Developer Distribution Agreement，DDA）。Google指出，Epic在這款遊戲App的交易中，透過自有支付工具獲利，但對Google而言卻沒有因智財或App傳輸而獲得任何報酬，因而稱Epic是利用Google的付出不當獲利。</p> <p>Epic和Google的官司還在進行中。不過Epic 和蘋果之間的官司，9月間已有初步結論。蘋果在日本、美國等政府調查壓力下，已允許開發商提供用戶App Store以外的支付管道，不過蘋果本周仍企圖<a href="https://www.ithome.com.tw/news/147202" target="_blank">要求法院暫緩實施</a>。</p> </div></div></div>
2021/10/13 10:18作者林妍溱https://www.ithome.com.tw/news/147239
VS Code的Python擴充套件強化Jupyter筆記本除錯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出適用於VS Code的Python擴充套件<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-october-2021-release/">10月更新版本</a>，這個版本新增對Jupyter筆記本的除錯支援，並且改進了Python檔案和專案的除錯體驗，同時還加入新的Python引導教學，來指引新手上手Python開發。</p> <p>現在開發者可以在Jupyter筆記本中對Python單元格進行除錯，用戶只要安裝並且選擇ipykernel v6+核心，便能夠設置中斷點，在播放按鈕旁的下拉選單，選擇Debug Cell命令，就能夠開始檢查程式碼，並且使用除錯器提供的所有功能。</p> <p>Python專案的除錯體驗也獲得改進，過去沒有配置工作區的launch.json檔案，用戶在對Python專案除錯時，Python擴充套件每次都會顯示除錯配置選單，微軟提到，這對正在除錯帶有自定義參數，像是Flask、Django或FastAPI的網頁應用程式時，可能會有點煩人。</p> <p>不過，現在開發者不再需要於每次除錯時都重新設定配置選項，用戶所做的第一個選擇，會在其他對話中重複使用。</p> <p>在這次的更新，微軟還加入了一些基本設定步驟的教學，來改善開發者在VS Code中的Python入門體驗。新的教學涵蓋了Python安裝、替專案選擇直譯器，以及在VS Code中執行和除錯Python檔案的步驟。對於第一次在VS Code中開發Python程式的用戶更加友善。</p> </div></div></div>
2021/10/12 15:42作者李建興https://www.ithome.com.tw/news/147219
臉書監察委員會向爆料臉書秘辛的前員工請益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.oversightboard.com/news/1232363373906301-oversight-board-to-meet-with-frances-haugen/" target="_blank">臉書監察委員會（Oversight Board）本周表示</a>，已邀請臉書爆料者Frances Haugen參與會談，而Haugen也已經同意了，打算在未來幾周內造訪該委員會。</p> <p>Haugen為臉書公民誠信團隊的前產品經理，她向《華爾街日報》提供臉書內部的研究報告，也向美國證券交易委員會（SEC）投訴臉書的不當行為，指控臉書將自身利益置放於公眾利益之上，未向大眾揭露社交平臺對青少年所造成的不良影響，還推播令人憤怒的內容以期延長用戶的停留時間，以替臉書創造收入。</p> <p>不管是臉書的公關或是臉書執行長祖克柏（Mark Zuckerberg）<a href="https://www.ithome.com.tw/news/147138" target="_blank">都曾公開回應Haugen的說法並澄清臉書的行為</a>，不過，曾擔任Haugen長官，也是前公民誠信團隊負責人的Samidh Chakrabarti也認為，臉書不管是在演算法規則、研究透明度，或者是獨立監督上的觀點，全部都值得辯論。</p> <p>至於被視為臉書內部最高法院、標榜為獨立審核組織的臉書監察委員會，則選擇邀請Haugen來討論臉書的內容審核，指出Haugen的經驗及所蒐集的資訊，將有助於推動臉書的透明與問責。</p> <p>臉書監察委員會認為，諸如臉書這類企業所作的決定，都對現實世界的言論自由與人權造成影響，這使得規則的透明化至關重要。<a href="https://www.ithome.com.tw/news/146702" target="_blank">該委員會正在調查臉書的XCheck專案</a>，也會在10月發布的報告中揭露調查結果，另也強調將會持續監督臉書在透明化、問責與公平性上的作法，以讓用戶相信他們受到公平的對待。</p> </div></div></div>
2021/10/12 15:58作者陳曉莉https://www.ithome.com.tw/news/147222
美國國防部前任軟體主管承認：在AI的競爭上，美國已經輸給中國了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現年37歲，在9月辭去美國空軍首任軟體長的Nicolas Chaillan，<a href="https://www.ft.com/content/f939db9a-40af-4bd1-b67d-10492535f8e0" target="_blank">近日接受《金融時報》（Financial Times）專訪時指出</a>，中國在人工智慧（AI）、機器學習及網路能力的進步，已讓中國朝著全球主導地位邁進，而他之所以離職，是因無法坐視中國超越美國。</p> <p>Chaillan出生於法國，2016年才歸化為美國人，當時即開始替美國國土安全部部署零信任網路安全機制，之後才被延攬為美國空軍的首任軟體長，負責規畫與建立空軍的Agile及DevSecOps。<a href="https://www.af.mil/About-Us/Biographies/Display/Article/1926281/nicolas-m-chaillan/" target="_blank">美國空軍迄今還留著Chaillan的資歷</a>，描述他不只曾擔任美國國防部DevSecOps暨網路安全的特別顧問，以及美國國土安全部架構長的特別顧問，也是一名科技企業家、軟體開發者、網路專家與發明家，在網路安全、軟體開發、風險管理等領域學有專精。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-NICOLAS%20M_%20CHAILLAN.jpg" style="width: 500px;" /></p> <p>不過，Chaillan卻向《金融時報》表示，在未來15~20年間，美國完全沒有與中國競爭的機會，中國在AI、機器學習與網路能力的進步讓北京正邁向全球主導地位，不管有否戰爭，中國將主宰全球的未來，從媒體到地緣政治，而且他有充份的理由生氣。</p> <p>Chaillan批評，雖然美國的國防預算是中國的3倍，但美國的採購成本太高，而且都花在錯誤的領域，官僚與過度監管阻礙了國防部急需的變革；對美國的未來而言，相較於花費大筆預算的第五代F-35戰鬥機，AI、機器學習或網路能力等新興技術重要多了。</p> <p>Chaillan指出，美國許多政府部門的網路防禦機制根本是幼稚園等級，而Google以道德為由，拒絕與美國國防部進行AI的合作，也拖慢了美國的發展，反之，中國企業有義務與北京政府合作，還得以完全不管道德議題，大規模地投資AI。他擔心美國無法應付中國的網路或其它威脅，將把他小孩的未來置於險境中。</p> <p>此外，Chaillan也抱怨，國防部一再指派缺乏經驗的官員來負責網路專案，倘若沒有足夠的飛行訓練，不會讓飛行員進入駕駛艙，那麼怎麼會期望一個毫無IT經驗的長官能夠成功完成專案。總之，看起來Chaillan在美國空軍待得並不愉快，而且他說，這3年他多半在修理基本的雲端問題及筆電，而非創新。</p> <p>不只是Chaillan，美國人工智慧國家安全委員會（National Security Commission on Artificial Intelligence）也在<a href="https://www.nscai.gov/wp-content/uploads/2021/03/Full-Report-Digital-1.pdf" target="_blank">今年3月發布的報告</a>中警告，中國可能會在未來的10年內超越美國，成為全球的AI強權。</p> </div></div></div>
2021/10/12 15:12作者陳曉莉https://www.ithome.com.tw/news/147220
蘋果釋出iOS 15.0.2，修補已被開採的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT212846" target="_blank">蘋果於周一（10/11）釋出了iOS 15.0.2與iPadOS 15.0.2</a>，此次的更新主要是解決了部分臭蟲，以及修補了一個已遭開採的CVE-2021-30883安全漏洞。</p> <p>這次蘋果解決的臭蟲包括：自訊息中儲存的圖片可能會在訊息被移除時消失、在尋找物件時看不到AirTag，以及無法使用CarPlay打開音訊程式等。</p> <p>對於CVE-2021-30883漏洞，蘋果則說它可能會允許應用程式以核心權限執行任意程式，而且已經遭到開採，已藉由改善記憶體處理修復了記憶體毀損問題。</p> <p>有一名對CVE-2021-30883非常感興趣的研究人員Saar Amar，<a href="https://saaramar.github.io/IOMFB_integer_overflow_poc/" target="_blank">隨後即發布了</a>他對這個漏洞的分析與概念性驗證程式。Amar表示，該漏洞的攻擊表面非常有趣，因為它可自程式沙箱存取，代表它是個極佳的越獄漏洞，也適用於其它開採程序，於是他決定找出該漏洞的根本原因。</p> <p>Amar透過分析工具BinDiff及反向工程技術發現，該漏洞存在於AppleMobileDispH12P，並可自AppleCLCD存取，接著他便設計了一個概念性驗證程式來破壞記憶體，並證明它適用於iOS 14.7.1~15.0.1，也可能適用於更早之前的iOS版本。</p> </div></div></div>
2021/10/12 12:36作者陳曉莉https://www.ithome.com.tw/news/147217
Magic Leap成功募資5億美元，計畫明年推出第二代AR眼鏡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因擁有來自Google與阿里巴巴資金而聲名大噪的擴增實境（AR）裝置製造商Magic Leap，<a href="https://www.magicleap.com/en-us/news/news/magic-leap-raises-usd500-million-in-funding" target="_blank">在10月11日宣布</a>已成功募得5億美元，不過它的身價已經從<a href="https://www.ithome.com.tw/news/125088" target="_blank">2018年的63億美元</a>，跌至今年的20億美元，此外，Magic Leap這次並未公布投資人名單。</p> <p>成立於2010年的Magic Leap曾經是備受市場期待的AR裝置製造商，除了主要投資者皆大有來頭之外，它在2014年的身價就達到20億美元，2016年為45億美元，2018年為63億美元。然而，就在第一代的Magic Leap One眼鏡在2018年正式開賣之後，Magic Leap在市場上開始走下坡。</p> <p>Magic Leap One眼鏡售價高達2,295美元，當初Magic Leap曾發下豪語要在第一年售出10萬臺，但媒體卻估計它只售出6,000臺。受到疫情的影響，<a href="https://www.ithome.com.tw/news/137179" target="_blank">Magic Leap去年裁撤1,000名員工</a>，同時關閉了消費應用，決定聚焦於企業應用。曾擔任微軟商業開發執行副總裁的Peggy Johnson，在2020年8月接任Magic Leap執行長，並於同年10月全面撤換Magic Leap的軟體長、財務長、法務長、商業長、行銷長與人力資源主管。</p> <p>不論如何，Magic Leap今年還是成功募集到了5億美元的資金，不過身價已大不如前，跌至20億美元。根據<a href="https://www.crunchbase.com/organization/magic-leap/company_financials" target="_blank">Crunchbase的統計</a>，Magic Leap迄今實際募到的總金額為30億美元，超過它的市值。</p> <p>Johnson依然對Magic Leap充滿信心，它說Magic Leap是他所見過同樣規模、擁有最強大專利技術的公司，而且相信市場對AR/VR設備的需求將會愈來愈大，有鑑於工作模式的改變，他曾與許多企業的執行長討論過AR的應用，包括醫療院所希望在複雜手術的訓練上找到更好的方式，高科技製造商也想要用以訓練第一線的員工，金融業正在尋找更容易閱讀的螢幕與視覺化的AR數據，還有企業技術長希望能夠減少視訊會議的疲勞感。</p> <p>目前Ericsson已採用Magic Leap裝置來改善工作流程，保險業者Farmers Insurance亦以Magic Leap裝置，對新進的理賠員進行遠端培訓。</p> <p>Johnson亦宣布，Magic Leap 2將在2022年正式問世，可望成為產業最輕薄的裝置，將促進企業對AR的採用。此外，即使Magic Leap已決定聚焦於企業市場，但一直有人對於將該公司技術應用在消費者市場上感興趣，並要求授權。Johnson說，假設這些請求有益於Magic Leap推動企業市場，那麼該公司也將積極抓住相關機會。</p> </div></div></div>
2021/10/12 13:01作者陳曉莉https://www.ithome.com.tw/news/147218
McAfee、FireEye整合完成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年分別買下McAfee及FireEye安全業務的私募基金業者<a href="https://www.businesswire.com/news/home/52506330/en" target="_blank">Symphony Technology Group（STG）上周宣布</a>，完成對FireEye的收購，使得兩個知名安全產品得以整合。</p> <p><a href="https://www.ithome.com.tw/news/143106" target="_blank">今年3月</a>，STG以40億美元全現金買下老牌安全公司McAfee的企業安全業務（McAfee Enterprise），包括員工、資產。而三個月後，<a href="https://www.ithome.com.tw/news/144797" target="_blank">STG又宣布</a>以12億美元的代價收購FireEye的網路、郵件、端點、雲端產品及安全管理和協作平臺。未來FireEye品牌會歸給STG，原團隊則專注企業安全威脅情報和顧問服務Mandiant。</p> <p>McAfee Enterprise與FireEye合併後的安全公司，將整合雙方產品技術、客戶、合作夥伴與通路，新公司預計擁有4萬家客戶、5000名員工，以及近20億美元的營收。</p> <p>新公司執行長Bryan Palma指出，McAfee Enterprise和FireEye團隊結合可協助企業客戶對抗攻擊者，並開發由人工智慧（AI）及自動化為底層的整合安全平臺。新的整合平臺提供橫跨端點、基礎架構、應用程式及雲端的防護。</p> <p><a href="https://www.ithome.com.tw/news/135901" target="_blank">STG也在去年2月從Dell手上買入</a>加密及身份安全方案業者RSA Security。但這部分業務是否整合McAfee Enterprise/FireEye尚不得而知。</p> </div></div></div>
2021/10/11 12:23作者林妍溱https://www.ithome.com.tw/news/147203
Slack控訴微軟Office搭售Teams妨礙競爭一案，傳歐盟已在訪查競爭者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟積極推廣自家協同平臺軟體Teams，<a href="https://www.reuters.com/technology/eu-questions-microsoft-rivals-over-teams-integration-office-2021-10-08/" target="_blank">路透社上周報導</a>，歐盟已經就Office搭售Teams的影響，對微軟競爭者進行訪談，意味可能即將啟動正式調查。</p> <p>歐盟是應<a href="https://www.ithome.com.tw/news/138979" target="_blank">去年7月協同平臺業者Slack向歐盟控訴</a>，微軟以其Office市場優勢非法搭售Teams，以排擠競爭者、妨礙用戶選擇自由。Slack聲稱微軟利用市場獨大的Office迫使數百萬用戶安裝Microsoft Teams，且阻撓移除，還對企業用戶隱藏真正的成本，也拒絕提供Teams、Office和競爭產品的相容資訊。Slack要求歐盟切割微軟Office和Teams。</p> <p>根據路透社看到歐盟發給競爭者的訪談問卷，歐盟想從競爭者處了解，產品搭售是否讓特定廠商取得兩種用戶資訊，而擴大兩邊市場的市場力、是否增加特別是單一產品對手的競爭難度。</p> <p>歐盟也問了關於工作協同應用市場的進入、客戶轉換成本等問題，也要求競爭者提供轉到Teams或Office的客戶名單、因此造成的營收損失，以及微軟產品整合銷售對競爭者創新、或對產品品質與價格的影響力。</p> <p>此外，歐盟還想知道COVID-19對工作協同應用產品的市場需求有何影響，以及疫情後的發展等。</p> <p>微軟拒絕對此評論。</p> <p>路透社報導，微軟這幾十年來因為產品搭售，已經被歐盟罰了22億歐元（臺幣715億元）。</p> <p>不過現在Slack也不是弱小的競爭者了，<a href="https://www.ithome.com.tw/news/145805" target="_blank">這家公司今年年中已經由客戶關係管理龍頭Salesforce收購</a>，雙方也積極整合彼此功能。</p> </div></div></div>
2021/10/11 12:34作者林妍溱https://www.ithome.com.tw/news/147204
日本公平會對蘋果、Google啟動新的反托拉斯調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://asia.nikkei.com/Business/Technology/Apple-and-Google-under-antitrust-scrutiny-in-Japan-for-mobile-OS" target="_blank">日經新聞報導</a>，日本公平交易委員會已經分別針對蘋果與Google啟動反托拉斯調查，了解兩家巨擘是否利用行動作業系統平臺的地位排擠對手，進而損害消費者利益。</p> <p>報導引述日本公正取引委員會（日本公平會）主席指出，調查將透過訪談OS營運業者、應用程式開發人員及用戶而成，並做成報告說明OS市場結構，以及何以市場競爭趨於停滯。但這裏的調查不只限於智慧型手機，也會觸及智慧型手錶或其他穿戴裝置的市場狀態。</p> <p>日本公平會將與中央政府的數位市場競爭評議會（Digital Market Competition Council）共同進行這次調查，後者也準備啟動它自有的市場調查。</p> <p>一旦日本政府調查發現Google、蘋果確有抑制市場競爭的情形，必須於報告中明列，以及違反日本反托拉斯法的事實。</p> <p><a href="https://www.meti.go.jp/english/policy/mono_info_service/information_economy/digital_platforms/index.html" target="_blank">今年2月日本《促進數位平臺透明度與公平性》（Improving Transparency and Fairness of Digital Platform）法案正式上路</a>。如果公平會認定該法適用於OS市場，則OS營運商，即蘋果與Google必須定期繳交報告給日本經濟產業省。</p> <p>日經報導，在日本智慧型手機市場，蘋果iOS市占達70%，而Google Android為30%。</p> <p><a href="https://www.ithome.com.tw/news/124652" target="_blank">歐盟數年前也曾針對Google進行反托拉斯調查</a>，斷定Google強迫裝置製造商預安裝其搜尋及Gmail等App，以交換Android作業系統授權，並於2018年做出Google 43.4億美元的重罰<a href="https://www.ithome.com.tw/news/146929" target="_blank">。Google於上個月提出上訴異議</a>，認為主管機關只抓Google卻忽略蘋果的影響力。</p> <p>這次調查也是<a href="https://www.jftc.go.jp/houdou/pressrelease/2021/sep/210902.html" target="_blank">9月份日本公平會對蘋果App Store支付調查</a>後的另一次調查。上個月日本政府判定蘋果強制應用程式內建其程式內支付（in-app payment）違法，要求蘋果應允許開發商提供使用者App之外的支付選擇，例如App網站。之後<a href="https://www.ithome.com.tw/news/146419" target="_blank">蘋果也終於允許App開發商告知使用者其他付款方式</a>。</p> </div></div></div>
2021/10/11 12:56作者林妍溱https://www.ithome.com.tw/news/147205
微軟買下OKR軟體新創Ally.io
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2021/10/07/microsoft-acquires-ally-io-to-improve-employee-experience-by-aligning-peoples-work-with-team-goals-and-company-mission/" target="_blank">微軟上周宣布</a>，已經買下在2018年創立，專門開發「目標與關鍵成果」（Objectives and Key Results，OKR）管理平臺的軟體業者Ally.io，雙方並未公布交易金額，不過Ally.io今年增資時的身價約為3.5億美元。</p> <p>OKR的概念始於曾擔任英特爾執行長的Andrew Grove，他把OKR當作高效能管理的策略，這是一個目標管理框架，先訂定目標，再具體化用來測量成效的多項關鍵性結果。而Ally.io即是專門打造實踐OKR的軟體，包括規畫企業目標、連結努力與成果、促進團隊合作，一直到最終的審查，協助組織從頭到尾執行OKR。</p> <p>微軟則說，OKR是個新興且快速成長的領域，Ally.io則於該市場提供了許多熱門工具，還能整合到組織既有的工作系統中，其客戶分布在全球逾80個國家，包括1,000家以上的高科技、製造、金融與健康照護企業。</p> <p>之後Ally.io將加入Microsoft Viva家族，這是微軟所打造的遠距工作平臺，整合了工作流程中的通訊、知識、學習、資源與深入解析。在遠距工作可能成為重要或主流的工作選項之後，如何強化遠距工作的效率已受到全球組織關注。</p> </div></div></div>
2021/10/11 13:19作者陳曉莉https://www.ithome.com.tw/news/147206
微軟：過去一年有6成國家級駭客攻擊來自俄羅斯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RWMFIi#page=47" target="_blank">微軟7日公布了第二屆的《數位防禦報告》（Digital Defense Report）</a>，蒐集了微軟從2020年7月到2021年6月間所觀察到的所有駭客行動，根據該報告，這一段時間最積極的國家級駭客來自俄羅斯，占所有國家級攻擊的58%，居次的是北韓的23%，伊朗占了11%，還有8%來自中國。</p> <p>根據該報告所揭露的國家級駭客列表，源自俄羅斯的駭客集團只有3組，北韓為4組，伊朗為3組，而中國卻有6組；而遭到國家級駭客選定的目標則主要是美國（46%），其次是烏克蘭的19%，以及英國的9%；所攻擊的對象以政府機構為主，占了48%，居次則是非政府組織與智庫組織，占了31%。</p> <p>每個國家級駭客的攻擊目的都不同，最常見的是間諜活動，但也有不少例外，例如伊朗鎖定以色列的攻擊行動多是毀滅性的，而讓雙方的關係更為緊張；至於北韓則通常是為了經濟利益，其國家級駭客鎖定了許多加密貨幣平台展開攻擊。</p> <p><a href="https://blogs.microsoft.com/on-the-issues/2021/10/07/digital-defense-report-2021/" target="_blank">微軟指出</a>，俄羅斯駭客在這一年來不僅活動頻繁，且其成功入侵比例從前一年的21%，成長到這一年的32%。同時俄羅斯也對蒐集情報愈來愈感興趣，之前鎖定政府組織的攻擊行動只占3%，這一年卻占了53%，且絕大多數的攻擊對象牽涉到外交政策、國家安全與國防領域，涵蓋美國、烏克蘭與英國組織。</p> <p>另一個被微軟點名的國家級駭客還有中國。微軟表示，中國駭客經常利用零時差漏洞展開攻擊，且蒐集情報的目的非常多元，例如其中一個駭客組織Chromium鎖定的是印度、馬來西亞、蒙古、巴基斯坦與泰國等鄰國，以及香港及臺灣的社會、經濟與政治議題。</p> <p>微軟認為，Chromium最積極的攻擊目標為香港及臺灣的大學，之後才是其它鄰國的政府組織與電信業者。</p> <p>亦屬中國駭客組織的Nickel則是針對中美、南美與歐洲國家的外交部展開攻擊，微軟分析，中國的影響力隨著「一帶一路」倡議而產生了變化，預期其國家級駭客將會持續透過網路攻擊，來取得有關投資、談判或產生影響力的情報。</p> <p>此外，中國駭客還非常有韌性，<a href="https://blogs.microsoft.com/on-the-issues/2020/09/10/cyberattacks-us-elections-trump-biden/" target="_blank">微軟在2020年9月時曾公開披露</a>，有一中國駭客組織Zirconium企圖入侵與美國大選有關的知名人士帳號，微軟說，就算已經曝光了，Zirconium一直到投票當天（11月3日）都還繼續行動。</p> <p>微軟提醒，《數位防禦報告》只是整理了微軟所察覺的網路攻擊行動，並不代表網路攻擊的全貌，希望藉由分享微軟的觀察來協助全球的資安任務。</p> </div></div></div>
2021/10/11 11:42作者陳曉莉https://www.ithome.com.tw/news/147201
研究人員利用墨水印表機和機器學習技術，快速發現有用的新金屬氧化物
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://ai.googleblog.com/2021/10/finding-complex-metal-oxides-for.html">Google與加州理工學院合作</a>，使用新方法合成和表徵（Characterization）複雜結晶的金屬氧化物，結合機器學習技術，系統性地搜尋未知但有用的材料。</p> <p>客製化的印表機能列印出中不同金屬比例的樣本，目前已經可以生成超過35萬種不同的成分，而研究人員利用新開發的技術，在這些成分中，發現一些有趣的特性，像是鈷、鉭和錫的組合物，在強酸電解質中，具有可調透明度、催化活性和穩定性等特性，可被用於再生能源應用。</p> <p>研究人員提到，材料科學有大約100種令人感興趣的特性，但是在傳統研究中，科學家僅能一次考慮材料中的一種或是少數幾種特性，因此需要對相同的材料，進行多次的評估。</p> <p>而機器學習已經普遍地被用於這些評估工作中，但這些模型具有專門性，無法用來解決預測的普遍性問題，因此研究人員也並非想要拿機器學習，來找到具有特定屬性的材料，而是想要應用機器學習找到一系列不具有特定屬性的材料。這個策略需要藉由結合高通量材料實驗，和物理資料科學工作流程。</p> <p>這個策略的挑戰之一，便是需要面對龐大的結金金屬氧化物搜尋空間，數種金屬就可能產生數萬種的可能性，雖然可能性很多，但卻只有一小部分的組合物，會形成晶體結構，大部分只是現有結構的組合。</p> <p>即便現有結構組合對於部分研究可能有用，但該研究的目標是要找到單一結構的組成，研究人員不直接測量新材料的晶體結構，而是使用高通量實驗，以機器學習推理發現新結構。</p> <p>研究人員不使用傳統的氣相沈積方法來合成金屬薄膜，而是使用列印技術，透過將金屬硝酸鹽或是金屬氯化物，溶解到墨水溶液中，列印出各種金屬元素。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image4(1).jpg" style="width: 240px;" /></p> <p>藉由在玻璃板上列印出一系列的線條，並根據實驗設計，混合不同元素列印出線段，如此便能在每塊玻璃上生成數千種獨特的組合。接著烘烤這些板子來氧化金屬，即便每種組合物列印10個副本，研究人員仍然能以比傳統氣相沈積技術快100倍的速度，生成組合物。 </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image1(24).png" style="width: 580px;" /></p> <p>由於樣品製造速度提升，也就需要更快的表徵技術，來對物質快速進行分析、測試或鑑定。研究人員打造了一個客製化顯微鏡，能夠從紫外線385 nm、可見光到紅外線850 nm等9個離散波長的下拍照，利用這些資料計算每個樣本在每個波長下的光吸收技術，並以光吸收和波長的關係，作為每種材料的識別指紋。</p> <p>由於材料的結構決定了特性，因此當材料特性不尋常的改變了，就代表表面結構發生變化。研究團隊建立了376,752個不同的組成，並建構了兩種機器學習模型，根據金屬氧化物的結構和訊號的通透性，來發現有潛力的材料。</p> <p>研究人員對108個3金屬氧化物系統進行組合掃描，在其中有51個表現出值得注意的行為，而這108個系統中，過去僅有1個經過實驗分析。研究團隊還對鈷、鉭和錫所組成的氧化物系統進行深入實驗，在高通量工作中，研究人員透過X光繞射，驗證一系列新固溶體（Solid Solution）的存在。</p> <p>研究人員提到，在這個研究當中，他們以鈷、鉭和錫氧化物範例，示範使用高通量工作流程，對任何目標篩選材料的進階概念。</p> </div></div></div>
2021/10/11 11:52作者李建興https://www.ithome.com.tw/news/147195
Google搜尋不會在iOS 15的Safari中提供AMP連結，Google證實為臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple在9月的時候發布最新手機作業系統iOS 15，但Google搜尋卻被發現當用戶使用iOS 15的Safari執行搜尋，搜尋結果不會包含AMP連結，對此，Google公開搜尋聯絡人Danny Sullivan則回應，Google已經發現這個臭蟲，並且正著手進行修復。</p> <p>發現這件事的人為Mac和iOS的開發者Jeff Johnson，他寫了一篇<a href="https://lapcatsoftware.com/articles/amp.html">部落格</a>敘述發現經過。Jeff Johnson在部落格文章中提到，他確定Safari的User-Agent，會影響用戶收到的Google搜尋結果，當他使用iPhone的User-Agent：</p> <p>Mozilla/5.0 (iPhone; CPU iPhone OS 15_0_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/15.0 Mobile/15E148 Safari/604.1</p> <p>則Google搜尋結果中便不會包含AMP連結，但是只要將Version/15.0更改成Version/14.0，Google搜尋結果就會出現AMP連結。也就是說，當用戶使用iOS 15的Safari，並且在Google進行搜尋，結果列表中不會出現AMP網址，用戶會被引導回頁面主要站點。</p> <p>Jeff Johnson在自己的推特帳號轉發了這篇部落格文章，而引來<a href="https://twitter.com/dannysullivan/status/1445799446139191298">Danny Sullivan回推</a>，提到Jeff Johnson的發現是一個只會發生在iOS 15的臭蟲，Google很快就會修復這個問題。</p> <p>不少用戶對於AMP技術的不滿，表現在<a href="https://twitter.com/dannysullivan/status/1445799446139191298/retweets/with_comments">引用Danny Sullivan的推文</a>上，提到不希望Google修復這個臭蟲，甚至認為AMP本身就是一個臭蟲。</p> <p>AMP為Accelerated Mobile Pages的縮寫，是Google領頭的開源專案，目的是要加速行動裝置存取和呈現網頁的速度，使用者在點擊連結後，幾乎無需等待便能夠看到頁面內容。不過該方法受到廣泛的批評，認為Google試圖制定網站建構和盈利方式，來維持其主導地位。</p> <p>AMP的爭議從2018年初就開始，內容社群發出公開信，抨擊Google利用AMP專案鞏固自己網路霸主的地位，在同年9月，Google做出讓步，決定讓AMP框架採行公開治理模式開發，不再由Google主導AMP的發展，藉以平息外界對AMP的不滿。</p> </div></div></div>
2021/10/11 11:54作者李建興https://www.ithome.com.tw/news/147196
蘋果對Epic Games一案提出上訴，要求暫緩App Store的支付變更
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國法官Yvonne Rogers今年9月對Epic Games控告蘋果一案作出裁決，儘管認為蘋果並未形成壟斷地位，但要求蘋果不得限制開發者於程式中藉由其它方式引導使用者至外部付款，這使得外界都在期待蘋果放寬對App Store的支付限制。不過，<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.364265/gov.uscourts.cand.364265.820.0.pdf" target="_blank">蘋果在10月8日針對此案提出了上訴通知（Notice of Appeal）</a>，<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.364265/gov.uscourts.cand.364265.821.0_1.pdf" target="_blank">同一天亦提出動議</a>，要求在上訴期間暫緩執行App Store的支付變更命令。</p> <p>由於法官認為是Epic Games擅自於《要塞英雄》遊戲中夾帶支付機制，先行違反與蘋果的合約，要求Epic Games要支付應與蘋果拆分的利潤，且並未要蘋果重新將《要塞英雄》上架。法官亦不認為蘋果違反壟斷法令，只是覺得蘋果應該賦予消費者更多的支付選擇，才要求蘋果必須同意開發者於程式中嵌入連至外部網站付款的機制。對於此一判決，不管是外界或蘋果自己都認為這是蘋果的一場勝利，Epic Games則是在判決出爐的同一天就宣布將上訴。</p> <p>根據法院的判決，蘋果必須在12月9日之前，允許開發人員於程式中嵌入支付連結。然而，就在外界期待蘋果放寬其App Store的支付限制，且<a href="https://www.ithome.com.tw/news/147189" target="_blank">競爭對手磨刀霍霍之際</a>，蘋果卻提出上訴，請求暫緩執行相關命令。</p> <p>蘋果指出，該命令可能會對消費者與整個蘋果平臺帶來難以預料的不良後果，程式中其它的支付按鈕或連結充滿了風險，就算蘋果可以事先審查這些連結，但開發者之後亦能變更連結或變更所連結網頁的內容，此外，現階段蘋果亦無法驗證至外部付款的使用者，是否真的得到了他們所購買的服務或產品。</p> <p>蘋果的說法可能不無道理，該公司於法院文件中表示，就算是使用自家的支付機制，蘋果每天都要處理來自消費者的數十萬筆支付投訴，一旦開放連至外界付款，只會加劇相關的負擔，因而需要更多的時間來評估與測試安全影響。</p> <p>由於Epic Games與蘋果都針對此案提出了上訴，所需耗費的時間可能長達數年，使得不少媒體揣測App Store可能要多年後才能作出改變。不過，其實蘋果已逐步鬆綁對App Store的支付限制，例如<a href="https://www.ithome.com.tw/news/146419" target="_blank">今年8月同意</a>讓開發者與使用者溝通其它付款方式，<a href="https://www.ithome.com.tw/news/146489" target="_blank">9月開放Reader程式至第三方網站付款</a>，再加上<a href="https://www.ithome.com.tw/news/144152" target="_blank">歐盟的施壓</a>，相關改變的到來也許不如想像的那麼久。</p> </div></div></div>
2021/10/11 12:06作者陳曉莉https://www.ithome.com.tw/news/147202
惡意程式設法關閉UEFI安全開機功能，並被用於間諜攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過電腦開機的統一可延伸韌體介面（UEFI）的攻擊手法，最近幾年被資安人員發現數個惡意軟體，且攻擊極為隱蔽而難以察覺、因應。例如，<a href="https://www.welivesecurity.com/2021/10/05/uefi-threats-moving-esp-introducing-especter-bootkit/">資安業者ESET於10月5日揭露新的惡意軟體ESPecter</a>，它藉由EFI系統磁區（EFI System Partition，ESP），而能持續在受害電腦運作，讓攻擊者得以繞過Windows的驅動程式強制簽章機制（DSE），進而載入未簽章的驅動程式，以便進行其他攻擊行動。</p> <p>針對這樣的攻擊手法，研究人員呼籲，使用者要嚴加防範：電腦要使用最新版本的韌體，並確定安全開機（Secure Boot）功能開啟，再者，使用者也要留意特殊權限的管理，避免高權限帳號遭到攻擊者濫用。</p> <h2><strong>疑似被說中文的駭客用於間諜攻擊行動</strong></h2> <p>研究人員對於這個惡意軟體進行分析，他們在被植入ESPecter的受害電腦上，看到具有鍵盤側錄與竊取文件能力的元件，由此推斷ESPecter主要被用於間諜攻擊行動。根據他們的調查，ESPecter的攻擊最早可追溯到2012年，而當時是以BIOS啟動套件的方式執行，但這個惡意軟體發展至今，已能植入UEFI韌體的電腦。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3_-ESPecter-bootkit-components.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3_-ESPecter-bootkit-components.png" style="width: 580px; height: 979px;" /></a></p> <p>究竟ESPecter背後的攻擊者身分為何？ESET表示並不清楚，但根據用戶端元件的訊息裡含有簡體中文，他們認為也許與使用中文的駭客有關。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ESPecter-debug-msg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ESPecter-debug-msg.png" style="width: 580px; height: 120px;" /></a></p> <p>究竟這樣的工具會被如何？攻擊者在受害電腦植入ESPecter之後，這個啟動工具會竄改Windows啟動管理器，而能在作業系統完全載入之前的早期啟動階段，執行沒有簽章的驅動程式，並繞過Windows驅動程式的強制簽章要求。而這個沒有簽章的驅動程式，攻擊者再以其他使用者模組的組件注入，並啟動ESPecter和C2中繼站伺服器的連線，使得攻擊者能掌控受害電腦，執行C2命令，或是下載、執行其他的惡意軟體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-5_-Typical-Windows-UEFI-boot-flow-left-compared-to-the-boot-flow-modified-by-ESPecter-right.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-5_-Typical-Windows-UEFI-boot-flow-left-compared-to-the-boot-flow-modified-by-ESPecter-right.png" style="width: 580px; height: 503px;" /></a></p> <p>而受這種攻擊手法影響的範圍，包含執行Windows 7至Windows 10的電腦。其中，研究人員指出，當中竄改Windows啟動器檔案（bootmgfw.efi）的手法，必須關閉UEFI安全開機才能達成。但究竟攻擊者如何關閉受害電腦的安全開機功能？研究人員表示並不清楚，但推斷有可能攻擊者實際接觸到受害電腦，或者是利用UEFI漏洞而能夠達成。</p> <h2><strong>鎖定UEFI韌體出現新手法</strong></h2> <p>過往針對UEFI韌體攻擊的惡意軟體，主要是濫用SPI快閃記憶體，包含<a href="https://www.ithome.com.tw/news/126208">ESET在2018年揭露的LoJax</a>，以及<a href="https://www.ithome.com.tw/news/140369">卡巴斯基於2019年發現的MosaicRegressor</a>。</p> <p>而這次他們發現的ESPecter，<a href="https://securelist.com/finspy-unseen-findings/104322/">與卡巴斯基甫於今年9月底揭露的FinSpy（亦稱為FinFisher）</a>，則是鎖定EFI系統磁區下手。在此之前，這種攻擊EFI系統磁區的手法，只有出現在概念性驗證（PoC）的攻擊程式，並未於實際的攻擊行動出現。不過，ESET強調，ESPecter和FinSpy兩者之間沒有直接關連。</p> </div></div></div>
2021/10/10 19:31作者周峻佑https://www.ithome.com.tw/news/147200
簡立峰：AI帶動臺灣半導體成中美角力關鍵，大量崛起的獨角獸也正在改變國際局勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">2021年臺灣AI年會三天議程來到最後一天，前Google臺灣董事總經理、現Appier獨立董事簡立峰，受邀擔任第一任陳昇瑋紀念講座的主講人，除了感念陳昇瑋過去對AI產業的貢獻，簡立峰在講座中也剖析世界AI發展趨勢、AI對政治局勢帶來的改變，更大談疫情中獨角獸企業崛起趨勢，並回溯臺灣AI產業的現況。</p> <p dir="ltr">簡立峰首先點出世界AI發展趨勢，引用市調公司Grand View Research的資料指出，從2021到2028年，AI產業每年預測成長40%，2028年會達到接近一兆美金的市場，顯示AI產業的成長速度之快。</p> <p dir="ltr">若將AI產業以服務、軟體、硬體三大類產品來區分的話，成長最快的是服務領域，再者是軟體，最後才是硬體；但簡立峰指出，臺灣擅長的領域恰好相反，以硬體最為擅長，軟體次之、服務最後，「臺灣在AI硬體產業有非常強的主導性，但是硬體在AI產業的成長較慢。」</p> <p dir="ltr">進一步區分各產業的AI發展機會，則可以發現，在全球AI市場中，廣告與媒體產業的AI市場最大，金融跟醫療的比例正大幅增加，農業、製造業也有發展潛力，而令人意外的是，法律也是AI市場高速成長的領域，「這份資料可供不同領域專業者，作為投入AI產業的參考。」</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-10-09%20%E4%B8%8B%E5%8D%8812_50_56.png" style="width: 700px;" /></p> <h3 dir="ltr"><span style="color:#FF8C00;">AI提升半導體產業地位，臺灣、台積電成中美地緣政治佈局要角</span></h3> <p dir="ltr">簡立峰也引用了一份AI安全報告，說明AI如何影響國際政治趨勢。這份報告是由Google前董事長Eric Schmidt領導的美國人工智慧國家安全委員會（NSCAI），年初向美國政府所提出。報告中點出，包含領導力、人才、硬體與投資在內，中美AI競爭有4大面向，「其中最讓美國擔心的是硬體面向，因為硬體產業生態系逐漸集中到東亞地區，包括臺灣、南韓、中國等地。」</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-10-09%20%E4%B8%8B%E5%8D%8812_52_06.png" style="width: 700px;" /></p> <p dir="ltr">「半導體產業是個地緣政治，」簡立峰更引述張忠謀的話指出，半導體產業使地緣政治的重要性逐漸提升，尤其是台積電扮演的角色，因為不論AI如何發展，包括汽車、太空科技、低軌道衛星、醫藥等AI應用，都必須靠半導體、IC晶片來支持，而7成的半導體生產製造集中在臺灣，最高階如10、7、3、2奈米製程的晶片，也都由台積電主導發展。顯示在國際局勢上，臺灣因半導體產業的蓬勃而在世界上佔有一席之地。</p> <p dir="ltr">半導體更受重視之後，全球領先企業的排名也大幅變動。比如從2018年的全球前20大市值的科技公司來看，大約有11家來自於美國、9家來自於中國，但現在，全球前15大市值的科技公司中，台積電成為亞洲最大公司，贏過三星、騰訊、阿里巴巴，前15名也不只有中美兩個國家，除了臺灣的台積電外，南韓的三星、荷蘭的艾司摩爾（ASML）都上榜，且這幾家企業無一例外都是半導體公司，「為了支援AI運算，半導體成為大國競爭的關鍵。」簡立峰説。</p> <p dir="ltr">AI對政治局勢的影響，還在於戰爭中的AI運用。簡立峰指出，人類第一個AI戰爭，幾個月前已經在以色列、巴勒斯坦的空戰中出現了，以色列以導彈攔截擊毀巴勒斯坦發射的火箭彈，也派出無人機蜂群來定位、辨識並攻擊哈瑪斯（Hamas）武裝分子，「這是人類史上第一次AI戰爭。」</p> <p dir="ltr">簡立峰指出，電腦視覺在AI科技的帶動下，已經超越了人類的視覺能力，使得軍事科技大幅進步。對於AI造成企業或國家大者恆大的現象，已經有許多國家開始透過法律，來約束科技的運用，以立法為手段，來促進社會的平衡發展。</p> <h3 dir="ltr"><span style="color:#FF8C00;">疫情下獨角獸企業大量崛起，成地緣政治洗牌另一關鍵</span></h3> <p dir="ltr">簡立峰也點出另一個趨勢，全球的獨角獸企業在疫情下大量崛起。他比較2008年與疫情下兩次經濟蕭條的情形，指出美國在兩次危機中均大量印鈔，前一次大量印鈔的結果，造就了具有龐大製造與消費市場的中國崛起，而這一次的大量印鈔結果，則是造就了大量獨角獸企業的崛起，光是今年上半年，全球就新增了200多隻獨角獸，現在全球獨角獸企業超過已經超過800隻。</p> <p dir="ltr">根據今年4月的調查數據顯示，獨角獸分佈國家以美中兩大國最多，美國數量約為中國的兩倍，印度則正在崛起，目前已經有60～70隻獨角獸，預計明年會來到100隻。簡立峰指出，「如果要做網路科技，客戶沒到十億很難成功。」他認為，各國市場規模會影響獨角獸企業能否發展成功。</p> <p dir="ltr">「臺灣可以多留意東南亞、東北亞的局勢變化，」簡立峰指出，雖然南韓的人口數不到臺灣的兩倍，但南韓已經發展出11家獨角獸，比如南韓、日本最大網路公司Line與Yahoo Japan，整併變成東北亞的大獨角獸，南韓最大電商平臺Coupang也是南韓獨角獸代表之一，市值為臺灣最大電商的10倍。東南亞的印尼與新加坡也出現了兩隻大獨角獸，一是印尼版的Uber與Amazon服務──快遞與叫車服務公司Gojek結合電商平臺Tokopedia，二是新加坡的蝦皮。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-10-09%20%E4%B8%8B%E5%8D%8812_53_18.png" style="width: 700px;" /></p> <p dir="ltr">回頭來看臺灣，現在也已經出現三隻獨角獸，包括已經在日本上市的Appier、即將在美國上市的Gogoro，以及已經在臺灣上市的91App，「某種程度上，臺灣在世界版圖裡慢慢被看見。」簡立峰也點出，獨角獸在各國崛起，象徵這些企業未來也將影響地緣政治的發展，「以前講全球有五百大企業，現在有八百大獨角獸，某種程度是重新洗牌的概念。」</p> <p dir="ltr">但簡立峰也提醒，如果獨角獸如果發展不如預期，金融風暴會來的非常快，因為2008年適逢中國崛起，產生龐大製造與消費力道，把世界印出來的鈔票消化掉。換句話說，如果獨角獸無法創造世界新的需求，帶動大量消費，未來可能因此走向泡沫化。「這一點值得大家留意。」</p> <h3 dir="ltr"><span style="color:#FF8C00;">半導體產業應大量採用各國人才，帶動臺灣第二產業發展</span></h3> <p dir="ltr">談到AI產業在臺灣的發展現況，簡立峰指出，臺灣現階段較難產生大型AI產業，因為過去已經發展出強大的傳統製造業、資通訊與半導體產業，甚至被稱為全球的「矽島（Silicon island）」。在這個基礎下，要發展出第二梯隊的產業，「非常不容易。」</p> <p dir="ltr">「為什麼過去二十年來，臺灣軟體產業沒有太成功？現在上市上櫃的1,700家企業裡，少有過去20年內創立的公司？」他解釋，不是現在30～50歲的年輕一代能力不強，而是因為在有限的人口與市場之下，第二產業很難擴張。但他也指出，這個現況並非無法突破，一大轉變的契機，在於現在臺灣的第一產業如半導體業，必須開始採用來自全世界的人才，走向國際化、全球化。</p> <p dir="ltr">簡立峰舉例，比如南韓的三星有20萬員工不是韓國人，就是招攬了全世界的人才來發展，但反觀臺灣，資通訊產業並無太多國外的RD工程師。「當臺灣半島體產業成為世界領先產業，我期許企業邁向國際化、採用更多國外人才，這是臺灣產業下一波的發展。」</p> <p dir="ltr">根據臺灣經濟研究院的資料，簡立峰也指出，臺灣新創獲得的投資金額也持續增加，去年已經來到了8億美金，顯示臺灣新創近年來逐漸受到重視，「但是相較於台積電一年投資就有250億美金，臺灣新創受投資的金額還是非常少。」在這個趨勢下，他期許，臺灣能在半導體、硬體產業奠下的基礎上，推動軟硬整合，讓半導體產業AI化，「透過硬體將軟體產業帶到全世界。」</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-10-09%20%E4%B8%8B%E5%8D%8812_45_48.png" style="width: 700px;" /></p> </div></div></div>
2021/10/9 12:44作者翁芊儒https://www.ithome.com.tw/news/147199
政府加速AI運用發展，不只改善公部門作業效率、簡化流程，還靠AI輔助查逃漏稅、獄政管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI應用百花齊放，不只企業開始採用，政府也不落人後，加速AI在公部門的應用發展，包括以AI提高行政效率，強化便民服務，或是用於監測防弊、獄政管理。</p> <p>「臺灣並不是未來才要發展AI，而是已默默做了5年」，曾任財政部資訊中心主任，現為行政院人事行政總處政務副人事長的蘇俊榮在AI年會中，點出AI對政府而言並非未來式，而是現在進行式。</p> <p>過去5年，政府將AI定為下世代國家發展的重點之一，然而國家資源有限，發展AI無法與大國相比，因此科技部在2018年提出AI小國大戰略(民國106到110年)，投入資源發展AI研發平臺、AI創新研究中心，對臺灣具有優的半導體產業則是推動射月計畫，加速技術研發，還舉辦科技大擂臺，以競賽吸引好手，以及培育智慧機器人的機器人創新基地等。未來成立數位發展部後，政府可望更進一步擴大AI應用。</p> <p>蘇俊榮以已故臺灣人工智慧學校執行長陳昇瑋的看法，政府發展AI化的三個階段。首先是，介面數位化，從向民眾索取的表單，到政府提供民眾的資料全面數位化，並非將紙本掃描成檔案。他指出，關鍵是從源頭數位化，例如過去民眾報稅是以人工申報書表，使用紙本表單，國稅局收到表單後，往往還要投入大量人力將書表資料輸入系統，數位化，過去二十年來，在政府財稅單位努力下，資料已從源頭數位化。</p> <p>第二階段是內部業務流程數位化，「資訊改革創新很重要的是業務流程，當業務流程不變，即使再努力，產出的附加價值是低的」。蘇俊榮認為，導入AI之後，業務流程也要隨之翻轉，例如取代規則化人工處理業務，例如受到外界相當多關注的RPA（Robotic Process Automation），人事行政總處早在三年前就開設RPA相關課程，讓公務人員能了解RPA對工作流程的簡化。</p> <p>第三階段是在民生相關的場域推動AI，例如車流、金流、長照等，都是AI導入可能的情境。</p> <p><span style="color:#B22222;"><strong>AI輔助發現逃漏稅的異常行為</strong></span></p> <p>目前AI在政府部門的應用已有一些成果，蘇俊榮以過去在財政部財稅資料中心的經驗為例，目前已開始運用AI協助找出逃漏稅，由於逃漏稅手法常見的特徵，例如虛設公司行號，這些新公司通常會在前兩個月未開立發票，後面三四個月突然開立許多發票，五六個月準備逃跑，逃漏稅者利用營業稅每兩個月報稅一次，當國稅局發現異常查核時，幕後集團已逃跑。虛設行號的集團還會以金錢吸引遊民，冒用其身分開設人頭帳戶、虛設電話號碼，當發票開立很多後，再到其他地點開設公司、人頭帳戶，這些虛設的公司名下通常沒有資產。透過AI能夠提前發現異常，便能及早扼制虛設行號的行為。</p> <p>由於法人與個人在逃漏稅往往有不同行為模式，也能靠AI去識別行為模式。為維護民眾應盡納稅義務的公平性，這幾年財政部運用AI輔助追查逃漏稅，過去由選案人員依選案條件，從BI系統找出可疑的逃漏稅案件，再交由查核人員實際查核；現在從BI找出的可疑案件，由建構的AI模型找出可能的案子。</p> <p><strong>運用AI模型輔助財稅單位，辨別可能逃漏稅的案例，再由查核人員實際調查：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-10-09%20%E4%B8%8A%E5%8D%8812_45_44.jpg" style="width: 600px; height: 384px;" /></p> <p>不過，蘇俊榮強調，由於逃漏稅手法會根據國稅局、海關的查稅模式而改變，以規避相關單位的查核，因此要不斷調整查稅的方法，雖然國稅局與海關會交換檔案資料，例如從進口品項、產出的商品，進口的成本與產品銷售的營收，以及營業的毛利率去辨別異常，過去國稅局海關就會分析內地稅、關稅資料，但並不夠細緻，審視的資料可能只有三年或五年，未來，靠AI能夠審視更長時間的資料，並因應逃漏稅手法變化滾動調整。</p> <p><span style="color:#B22222;"><strong>不只是追查逃漏稅</strong></span></p> <p>AI也能運用在查緝走私上，例如非洲豬瘟的肉品走私查緝工作，可能建立風險圖表，辨走私風險較高、較低的進口業者與報關行，對低風險者查驗的比例較低，對高風險者查驗比例則較高，透過AI可以輔助找出一些異常行為，例如平常以進口電器類為主的業者，突然進口食品類或其他類物品，透過AI辨別這些高風險的案例。</p> <p>蘇俊榮表示，國內進口的產品數量如此龐大之下，相關的人力有限，未來透過AI技術輔助查緝走私，不只是肉類，還能用在槍械、毒品等走私案，靠AI技術提升國家安全。</p> <p>另一個可能的應用領域是提高工作或學習的效率，例如在辦公室，通過空氣盒子偵測二氧化碳濃度，當濃度較高時，運用AIoT技術自動調整辦公室內的溫度、光線，或是排放有助於提神的香芬，改善工作效率。另外，在未侵犯隱私的情形下，經由攝影機拍攝課堂的即時影像，偵測每位學習者瞳孔變化，判斷學習者是否精神不濟，協助講師掌握學習情形，調整授課內容的有趣性。</p> <p>去年法務部與多家民間業者合作，結合AI打造國內首間智慧監獄示範監獄，利用人臉辨識與智慧手環，監控受刑人異常的出入行為，或透過AI的行為影像分析，追蹤移動物或滯留物品，向管理人員示警等等。</p> <p><strong>法務部去年便與中華電信等民間業者合作，結合AI技術提升獄政管理，在嘉義看守所示範智慧監獄：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-10-09%20%E4%B8%8A%E5%8D%8812_58_51.jpg" style="width: 600px; height: 307px;" /></p> <p>蘇俊榮認為，AI在政府的運作效率、服務有很大的發展潛力，AI是能夠改造政府服務、改善辦公室氛圍的利器。至於政府應如何推動AI發展，他以荷蘭政府與民間軟體公司合作，共同開發河川監測系統為例，通過AIoT技術，監測到預測水質、水位變化，降低淹水風險。「AI應用發展不應都交由公部門，應該適當結合產官學研，甚至結合民間公司協助發展」。</p> </div></div></div>
2021/10/9 01:03作者蘇文彬https://www.ithome.com.tw/news/147198
蔡明順：AI學校將推動政府AI化，未來還要自我轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣人工智慧學校（AIA）AI技術年會6日開跑，校務長蔡明順在8日會中不只盤點AIA成立4年的發展狀況，比如實作專題雖仍以影像為主，但強化學習和GAN也在崛起，他更揭露AIA多項重磅計畫，包括未來推動藍圖、強化政府部門AI化，甚至，AIA也要轉型，已找來產學界專家如前Google臺灣董事長簡立峰、英業達數位長陳維超和臺大資工系教授林軒田等人，成立課程諮詢委員會，要讓AIA在2022年以新面貌呈現。</p> <p><strong><span style="font-size:24px;">4年4分校，累積500多個技術專題替產業AI化打基礎</span></strong></p> <p>蔡明順指出，AIA成立4年來，培育了8,000多名AI人才，遍布北、中、南，更橫跨15大產業。進一步來說，4年來，AIA技術專班累積了563個應用專題，其中企業題占最大宗，達320題（57%），再來是學術題（146題，26%）和自帶題（97題，17%）。</p> <p>「這些專題，其實就是試點專案或PoC，」蔡明順認為，這些專題的歷練，讓各產業人士運用AI時，不必從零開始，在專班既有的基礎上繼續發展即可。</p> <p>他也從學校地域來解析這些數字。過去4年來，AIA在臺灣北、中、南建立4所分校，包括臺北總校、新竹分校、臺中分校和南部（即臺南）分校，這些技術專題來自這4校共26期的課程，其中以臺北占比最多，共實作了291題（52%），接著是臺中140題（25%）、新竹79題（14%）以及南部的53題（9%）。</p> <p>他點出，這些分校各有特色，比如中部主打機械聚落、南部以石化重工為亮點，「相信在不久的未來，將出現越來越多的垂直產業應用。」（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%88%E9%A1%8C%E5%9C%B0%E9%BB%9E%E5%88%86%E4%BD%88.png" /></p> <p><strong><span style="font-size:24px;">專題實作仍以CNN為主，但強化學習和GAN正在崛起</span></strong></p> <p>蔡明順也秀出一張技術分類表，說明4年來技術專題仍以影像類型為主，高達265個專題，而專門用於電腦視覺的卷積網路（CNN）也獨占鰲頭，共240個專案採用，在影像類更占了90%。</p> <p>僅次於影像類的專題，則是表格類，共有195個專題以表格類資料為主，使用的模型則以機器學習居多，達137題。</p> <p>由此可見，「CNN和機器學習這類技術相對成熟，不論是模型還是應用模式，發展上相對成熟，」蔡明順解讀：「但我們也看到一些發展潛力，比如強化學習（RL）和生成對抗模型（GAN）。」（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E6%96%99%E9%A1%9E%E5%9E%8B.png" /></p> <p>另一方面，既然是產業應用，蔡明順也分析這500多個專題，並以製造業為例，來說明產業運用AI前，如何定義問題。</p> <p>比如，他們將製造業問題歸類為人、機、料、法、測、環等領域，再進一步列出問題關鍵字，像是「機：預測性維護」，接著細分為3類別如異常預警、異常預測和餘命預測等。又或是料，關鍵字則是原料組合最佳化。</p> <p>問題定義後，就能了解哪些適合用AI解決、哪些不適合，就不必走冤枉路。</p> <p><strong><span style="font-size:24px;">揭露未來推動藍圖，要從人才+技術延伸到法規政策、跨出臺灣</span></strong></p> <p>有了這些成就還不夠，蔡明順表示：「這4年來，學校努力推動人才和技術的擴散，」但接下來，AIA的推動方向，是要聯合產、官、學、研、創等5個領域，以人才和技術為基礎，進一步將AI擴散到市場、資金、法規政策層面，甚至要跨出臺灣，與國際合作。</p> <p>比如在產業部分，可培育各類經理人和工程師人才，來進行跨域AI應用和技術整合，並在數位轉型市場上展現實力。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-10-08%20at%2010_58_30%20PM.png" /></p> <p>他們這麼做，是要借助人才和技術鏈結起來的生態系統力量，來深化AI應用技術、擴散到更多產業，還要提高臺灣在國際的能見度。</p> <p><span style="font-size:24px;"><strong>接下來還要推動政府AI化，今年已聯手行政院人力行政總處辦理線上講座</strong></span></p> <p>另一方面，蔡明順也揭露AIA未來另一個目標，也就是政府AI化，要將AI技術和應用帶入政府體制中。</p> <p>這幾年，不論是科技部、經濟部、國發會，甚至是衛福部，都投入大量心力來推動臺灣產業AI化，「不過，政府本身的AI化，有必要從觀念上重新建立，特別是公務人員。」蔡明順補充，AIA自今年以來，也與工研院、行政院人事行政總處的公務人力發展學院聯手，在疫情影響下推動8場線上AI講座，目的是要將AI觀念帶給公務人員，來激發他們的創意、做出行動，改變現狀。</p> <p><strong><span style="font-size:24px;">不只要改變政府，AIA也籌組委員會拼轉型</span></strong></p> <p>當然，AIA不只要改變政府本身的AI實作態度，他們還要改變自己。蔡明順指出，AIA找來產學界專家籌組課程資訊委員會，以AIA校長、中研院院士孔祥重和AIA副校長、中研院資科所所長廖弘源來帶領委員會，並請來5位產學界專家如前Google臺灣董事長簡立峰、英業達數位長陳維超、陽交大AI研究中心教授吳毅成、臺大資管系教授林永松和臺大資工系教授林軒田等人，來整合產學界經驗，協助AIA優化經營方向。</p> <p>他們給予AIA多角度意見，包括學術、產業，甚至是AIA未來的經營方向，蔡明順甚至直言，AIA會在2022年以新面貌呈現。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A7%94%E5%93%A1%E6%9C%83.png" /></p> <p><strong><span style="font-size:24px;">調整開課方向，將減少技術專班和經理人班並瞄準垂直產業</span></strong></p> <p>他也揭露AIA其他的未來目標，包括加速AI新創孵化、擴大社群經營和調整開課策略。在社群部分，AIA今年舉辦了不少類型的論壇，比如產業、跨域、技術講座和人工智慧小聚，還新辦數位長爐邊會，來鼓勵臺灣企業數位長分享經驗、互相交流。舉辦至今的參與人次，也來到3,700多人。</p> <p>在開課部分，蔡明順透露，AIA至今已培育8,000多名校友，未來將減少技術專班和經理人專班的開課頻率與幅度，轉而將火力瞄準垂直產業，比如智慧製造、智慧醫療、邊緣AI等。</p> <p>在這些基礎上，AIA今年也開始籌備官方校友會，未來要靠校友會提倡AI公共政策和政府AI化、協助制定AI技術標準，同時推動以人為核心的AI法律規範，並促進跨域資源交流等。</p> </div></div></div>
2021/10/8 23:09作者王若樸https://www.ithome.com.tw/news/147197
新版ISO 27002制定進度步入尾聲，距上次改版已8年的ISO 27001還沒動靜
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這十多年來，企業與政府組織日益重視資安，ISO 27001系列相關的國際通用驗證標準，以及相關制度，逐漸成為主流的資訊安全架構，值得關注的是，這系列標準可能在接下來兩三個月後，就有新版發布。</p> <p>基本上，現行國際資安標準ISO 27001:2013，是在2013年10月推出的，距今有8年之久，而更前一次發布則是2005年。</p> <p>簡單來說，ISO 27001:2013是可被實際驗證的國際資安管理標準，訂定ISMS管理制度面的要求，至於另一套ISO 27002:2013，是完全對應ISO 27001:2013的附錄A，作用在於使兩者保持一致，可針對附錄A的控制要求，給予最佳實踐方式，提供完整且具體的指引參考。</p> <p>隨著全球威脅局勢轉變，資安管理標準也要合乎時宜，因此，早在2018年3月，ISO國際標準組織就已啟動相關改版計畫。</p> <p>今年這項計畫有了明顯的進展。在4月23日，新版ISO 27002國際標準草案（DIS版）完成投票，到了8月23日，最終草案開始登記。</p> <p>目前可確定的是，新版ISO 27002進度接近尾聲，現將等待進行最終草案的投票，而投票啟動還還需要8周，之後將明定為最終草案版本，再進入最後標準發布程序。</p> <p>儘管驗證標準ISO 27001的改版時程，在ISO官方網站上仍未有消息，但相關動作仍意謂著，ISO 27001/ISO 27002新版本發布時程，已經離現在不遠。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖B）新版ISO 27001系列標準改版動向.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96B%EF%BC%89%E6%96%B0%E7%89%88ISO%E2%80%8227001%E7%B3%BB%E5%88%97%E6%A8%99%E6%BA%96%E6%94%B9%E7%89%88%E5%8B%95%E5%90%91.jpg" style="width: 600px;" /></a></p> <blockquote><p>目前ISO 27002改版進度較明確，已於8月23日開始登記，接下來就會進行投票，大約兩三個月後，也就是明年初就會確定公布，整體改版時程歷經近4年。至於ISO 27001的改版，最近在10月也傳出將開始討論會議，但多久能完成改版，需視改版幅度而定。</p> </blockquote> <h3><strong>標準名稱將有變動，擴大資安控制範圍並從標題刪除實踐準則一詞</strong></h3> <p>關於這次改版的內容，在國際組織ISO官方網站上，已有透露相關資訊。例如，在其公布的ISO 27002草案版本中，從名稱來看，新版ISO 27002就有很大不同。</p> <p>以ISO 27002:2013為例，現行版本的名稱是：「資訊科技—安全技術—資訊安全控制實施準則」，未來，將變成「資訊安全、網路安全及隱私保護—資訊安全控制」。</p> <p>特別的是，「實踐準則」將從標題中刪除，因為，ISO希望27002的存在，能更妥善反映其作為資安控制參考的目的。ISO指出，所欲達成的目的並未改變，都是為了幫助組織做好資安控制，確保組織不會忽視任何必要的控制。而且，這些針對個別控制措施的指引，仍是基於國際公認的資安最佳實踐。</p> <h3><strong>在ISO 27002新版草案中，歸納4大資安控制類型，包括組織、人員、實體與技術</strong></h3> <p>值得關注的是，依據新版草案來看，關於資安控制措施類別，將重新分為4大類別。具體而言，包括：第五章的組織控制（Organization Controls），從5.1到5.37的章節當中，總共有37項控制措施；第六章人員控制（People Controls），有8項控制措施；第七章實體控制（Physical Controls），有17項控制措施；第八章技術控制（Technological Controls），有34項控制措施。因此，總共會有4大類別與96項控制措施。</p> <p>同時ISO也提及，此標準文件的結構會有所改變，將使用簡單的分類法來呈現控制措施。</p> <p>整體而言，從ISO公布的草案版本章節名稱，各界可看出這次改版的一些變化，包括：合併部分控制措施，甚至予以刪除，也增加了多項新的控制措施。由於改版還在進行中，後續我們也將持續關注相關變化。</p> <p> </p> </div></div></div>
2021/10/8 17:07作者羅正漢https://www.ithome.com.tw/news/147193
數位轉型雙岔路口的抉擇
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_-da_zao_ren_xing_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在討論數位轉型的概念與實踐時，常常會遇到「我說的數位轉型，不是你想的數位轉型」、「你做的數位轉型，不是他要的數位轉型」這類近似「雞同鴨講」的狀況。其中原因很多，包括詞彙的定義分歧、戰略與戰術、看長與看短，或者看大與究小的視野差別，以及不同行業領域裡經營實務重點的差異等等。</p> <p>從企業經營的角度來說，如果順著相對全局的、策略的脈絡來看數位轉型，那麼很關鍵的一個理解是：「面向市場顧客端的經營」與「面向生產供應端的經營」兩者的環境特性有本質上的差別，使得這兩者的數位轉型在基本假設、轉型目的與管理重點上，都略有不同。因此在數位時代，兩者都有著各自的虛實雙生架構；而數位轉型的成功關鍵，就在妥善地經營這兩種虛實雙生架構。</p> <p><span style="font-size:28px;"><strong>分辨數位轉型兩種虛實雙生架構</strong></span></p> <p>面向生產與供應端的經營，一般來說，面對的是個相對封閉的系統，包括生產與供應端的參與者大致穩定、產業疆域較少變化、流程相對線性、需管理的關鍵變數較為有限且關聯規則相對明確。以工廠的生產經營來說，容或有原料應用創新、訂單規格客製、製程優化等與時俱進的可能，一般而言，在既有供應鏈乃至價值鏈的線性架構下，面對的遊戲規則變動有限。換句話說，這類型的經營仍有較明確的規則，容易定義「同業公會」的成員有哪些，因此適合放在「產業」的框架下看待。在這樣相對封閉的系統中，經營者涉入生產情境的智慧製造、工業4.0，乃至金融情境中的監理科技（RegTech）應用，通常是為了提升既有商業模式下的經營效率。</p> <p>在生產供應端，近年常見在整合虛實的作業情境中強調「數位孿生」（digital twin），以說明在適當物聯網的建置下，得以透過感知器偵測與聯網通訊，將實體世界的物理或化學狀況大量且實時地數據化，而與負責監測與優化作業的數位端模擬模型雙向溝通，相互反饋。這便是我們所說的生產供應端虛實雙生架構。而其成敗的關鍵，繫諸領域知識（domain know-how）是否能全面且深入地滲透到系統的建立、整合與實際運作過程中。</p> <p>至於面向市場顧客端的經營，在數位時代面對的則是一個相對開放的系統。與前述的封閉系統相較，產業的邊界愈來愈模糊、意義愈來愈有限。譬如說，你能想像台灣大車隊、Uber、Line Taxi和Yoxi合組一個同業公會嗎？這些服務發源自不同產業背景，經營的卻都是雷同的線上按需叫車服務。</p> <p>在這樣的意義下，數位時代面向市場顧客端的經營，企圖在非線性的價值網絡中滿足顧客需求。價值網絡中，競爭者與聯盟合作者的樣態多變，滿足同一種需求的新商業模式接踵出現，而影響經營的變數類型不定、數目眾多、常無固定規則可循，且其中不少變數並非經營者所能掌控；經營者所面對的環境，便是個相對開放的系統。此時，數位轉型的重點往往在於，確保經營者能在多變的遊戲規則中存活、適應乃至壯大，以確保效能為主要目的。</p> <p>就實踐而言，面向市場顧客端的數位轉型，同樣可以理解為虛實雙生架構的經營（或者簡化稱作「虛實整合」）。但此時虛實整合卻需要更為複雜的能耐。其要務，在於讓顧客在整個交易過程、無論是線上或線下的接觸點，都能有一致而無障礙的體驗。要達此目標，一方面需要環繞著顧客以累積貫通虛實場景的數據建置（譬如近年企業爭相建構能滲透顧客旅程各個環節的會員機制）；另一方面，與面向生產供應情境的數位轉型一樣，需要大量的行業經驗，來導引數據的分析與應用。因為應對的是相對開放的、變數相對繁雜乃至難控的環境，加以必須不斷透過商業模式的更新以適應多變的競爭態勢，所以，此時結合數據與行業經驗所迸發出的創意，便成為許多實體原生業者相對感到陌生的競爭能耐。</p> <p><span style="font-size:28px;"><strong>從顧客與品牌來看長期的經營</strong></span></p> <p>如果開發一個新顧客平均要花費7,000元，而這些新顧客平均每人一年可以創造1萬2,000元的營收，且毛利率是三成。那麼這生意能做嗎？</p> <p>如果這是道選擇題，三選一：（A）可以，（B）不行，（C）不確定；你會選哪個選項？</p> <p>標準答案是C，不確定。因為題目沒說清兩個關鍵：這批顧客中，有多少比例在下個年度會流失；另外，也沒說明每一年為了與留下來的顧客維繫關係，要花費多少成本。</p> <p>現在，我們把這兩個關鍵條件加進來：假設上一年與品牌有交易關係的顧客，下一年有75%會持續往來，25%不再往來；此外，每年平均花費200元來經營每一名仍留存的顧客。</p> <p>這樣的話，重新回到那三個選項，答案就成了A，這生意值得做。要想從循前述條件導入的顧客處獲利，有個先決條件，就是「看長不看短」。</p> <p>如果看重的是短期業績，在乎每一季換條溼毛巾來擰出最多的水，這樣的生意也不是不能做。但長此以往，因為專注於找新的溼毛巾而無從累積，其實更加辛苦。數位環境變化很快，如果一昧追求最新技術、趕流行，不但耗神費事，也無助於落實有意義的累積。這裡所謂有意義的累積，包括技術及相對更重要的客群。看重長期報酬的企業，基本上會把經營的重點對焦在顧客的長期經營。也因為數位環境變化快速，只有抱持長期心態經營客群的業者，透過數位轉型以持續壯大的企圖才有可能成真。</p> <p>懂得「看長」的企業，能夠長時間把資源聚焦於有累積意義的事，而在經營的每個片段，透過技術的深化、市場知識的累積，一方面累積顧客群，一方面累積品牌權益（brand equity）。換句話說，客群與品牌是「看長」型企業在市場端耕耘的一體兩面，是這類企業的經營焦點。</p> <p>進入到五光十色的數位時代，諸如「品牌已死」、「靠AI打江山」、「不要做品牌，要做平台」這類聳動說法充斥於傳媒。若干過往在品牌經營上較為空虛的企業經營者，聽多了「彎道超車」的傳說而欲「見賢思齊」，竟就選擇性、跳躍性地相信了。其實只要想想，身為顧客，不論買車、買衣服、買手搖飲、買書挑作者、小孩補習挑補習班、網購時挑電商網站，在這些涉入程度不一的交易情境中，決定選A不選B的關鍵，歸根究柢常常還是品牌。在自由交易的市場裡，出於人性的，大家總會在各種選擇中挑熟悉的、信任的、有認同感的、喜歡的品牌，以滿足自己的各種需求。這一點，無論數位技術如何發達，都不會有太大改變。</p> <p>那麼，這幾年喧騰的大數據、人工智慧（AI）、行銷科技（MarTech），在市場經營上能扮演什麼角色呢？如果務實地理解這些技術面發展的用處與限制，那麼無論它們以什麼樣的面貌出現，真正可以發揮作用而收長期之效的，是讓顧客在對品牌產生熟悉、信任、認同、喜歡這條路上，產生「推一把」的作用。簡單地說，就是提高品牌與顧客經營的效率。</p> <p>這裡要注意的是，各種數據科技所能直接提升的是效率，而非效能。效能是成功的基礎，效率則關係到成功的維持。效能涉及做正確的事情，而效率則關係到方向確定之後，如何以較少資源達到所設定方向上較佳的成果。就此脈絡延伸，拿行路來比喻，效能牽涉到的是針對欲前往目的地所設定的方向與路徑；而效率則是在路徑明確化後，想方設法能快速省事地到達目的地。</p> <p>在這樣的意義下，面向市場的經營，無論古今，效能繫諸客群與品牌這一體兩面，至於各種新技術所能幫的忙，則是方向抓對了之後的效率提升。<span style="color:#696969;">（摘錄整理自《打造韌性》第二章）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98-%E6%89%93%E9%80%A0%E9%9F%8C%E6%80%A7-350png.png" style="width: 350px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／天下雜誌出版</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <strong>打造韌性：數位轉型與企業傳承的不斷再合理化路徑</strong></p> <p>黃俊堯、黃呈豐、楊曙榮／著</p> <p>天下雜誌出版</p> <p>售價：400元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>黃俊堯</strong></p> <p>倫敦商學院博士，臺灣大學工商管理學系暨商學研究所教授。學術研究與教學之餘，藉由顧問及參與治理等機會，對企業所面臨的挑戰與需求，有若干較切身的理解。</p> <p><strong>黃呈豐</strong></p> <p>臺灣大學商學研究所及英國倫敦大學學院雙碩士；曾在外商飛利浦工作，也曾帶領家族在中國大陸的皮件事業反虧為盈。目前經營及新創事業包括六星機械、斯達文星皮具等公司。</p> <p><strong>楊曙榮</strong></p> <p>臺灣大學工商管理學系暨商學研究所教授和系主任暨所長。研究、教學與顧問諮詢領域，聚焦於營運與供應鏈管理、資料科學、數位轉型和相關領域之跨學科介面整合，如商業模式創新、數據賦能營運、量化行銷等。。</p> </div></div></div>
2021/10/8 15:25未署名https://www.ithome.com.tw/article/147190
打造Unfollow Everything擴充以取消所有臉書追蹤的開發者帳號，被臉書永遠停權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>趁著全球反臉書意識高漲的時候，一名擴充程式開發人員Louis Barclay也在本周<a href="https://slate.com/technology/2021/10/facebook-unfollow-everything-cease-desist.html?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">揭露了他被臉書粗爆對待的例子</a>，敘述他因為打造了一個可用來取消所有臉書追蹤的Unfollow Everything擴充程式，不但被臉書威脅要提告，臉書還永遠關閉了他的臉書帳號。</p> <p>Barclay是名英國的開發者，曾經打造一個名為Unfollow Everything的瀏覽器擴充程式，允許使用者一次取消臉書平臺上的所有追蹤，包括朋友、粉絲頁及社團，由於臉書上的動態消息（News Feed）就是由使用者所追蹤的內容所組成，因此在執行Unfollow Everything之後，動態消息上將一片空白。</p> <p>他解釋，使用Unfollow Everything只是取消所有的追蹤，並沒有取消朋友，因此當使用者想要關心朋友時，還是可以主動造訪他們的臉書，而在清空動態消息之後，他並不覺得有任何的損失，也不再耽溺於滑不完的動態消息上。</p> <p>Unfollow Everything上線之後吸引了數千名使用者下載，還成為瑞士納沙泰爾大學的研究項目，以對照組及下載該擴充程式的實驗組，來觀察他們在臉書活動上的改變。</p> <p>Unfollow Everything不只吸引了使用者、學術研究人員，也惹來了臉書。今年夏天，Barclay收到了臉書的禁止信件（Cease and Desist Letter），要求Barclay移除該擴充程式，也表示已永遠關閉了Barclay的臉書帳號，還要Barclay不得再建立能與臉書互動的工具。</p> <p>Barclay認為自己只是一介開發者，又住在英國，很難跨海與臉書打官司，又無法對抗臉書龐大的律師群，最後只好決定撤下Unfollow Everything。</p> <p>臉書關閉的是Barclay已經使用了15年的帳號，而該帳號也是Barclay用來維繫親友關係的主要管道，他批評臉書不僅違反了市場競爭，也不利於消費者，它創造了一個集結龐大用戶的平臺，卻禁止用戶作出如何使用的選擇。</p> <p>雖然Unfollow Everything已被下架，但Chrome Store還存在著另一個類似的擴充程式<a href="https://chrome.google.com/webstore/detail/unfollow-everyone-on-face/pijkodjelolnmbehifeokihlodnajela" target="_blank">Unfollow everyone on facebook with one click</a>，同樣允許使用者可一次取消所有的追蹤，亦已有超過3,000名使用者下載。</p> </div></div></div>
2021/10/8 15:56作者陳曉莉https://www.ithome.com.tw/news/147191
Databricks併購8080 Labs強化低程式碼資料科學工具組合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://databricks.com/blog/2021/10/06/bringing-lakehouse-to-the-citizen-data-scientist-announcing-the-acquisition-of-8080-labs.html">資料科學工具供應商Databricks宣布收購德國新創公司8080 Labs</a>，該新創公司開發一種稱為Bamboolib的UI資料科學工具，而Databricks透過收購8080 Labs，要在自己的資料湖倉儲Lakehouse平臺整合Bamboolib，供使用者以低程式碼的方式探索資料。</p> <p>Bamboolib是一個可擴充的GUI，能夠匯出Python程式碼，就像是在Excel中的巨集一樣，能夠快速簡單地進行資料探索和轉換；而基於UI的工作流程，可降低資料操作的門檻，無論是無技術基礎的公民資料科學家還是技術專家，都能夠取用Databricks上的資料。</p> <p>低程式碼使用案例包括資料準備，用戶只要點擊滑鼠，就能夠清理和組織原始資料，並將其用於下游任何應用中，也能在UI中進行資料轉換，簡單地聚合和轉換高度複雜的資料集，而資料視覺化功能，供用戶快速創建和匯出Plotly繪製圖，提高達10倍的資料視覺化速度。另外，用戶也可以使用DataFrame功能，在數分鐘內開始於Databricks探索資料。</p> <p>透過收購8080 Labs，Databricks能夠更快地在其產品組合，提供低程式碼資料操作工具，Bamboolib無縫整合Python生態系統，並且生成可直接用於產品的程式碼。Databricks計畫將低程式碼功能和新的AutoML、視覺化和儀表板產品整合，在Lakehouse平臺擴展UI功能，降低用戶操作資料的門檻，使具有基本知識的人，就能在資料集上訓練模型。</p> <p>Databricks提到，低程式碼工具可讓非技術人員，也能夠利用資料和人工智慧工具，發揮在業務上的影響力，多數的公民資料科學工具雖然可以提供簡單的資料探索功能，但是仍需要工程背景才能應用在機器學習用例上。</p> <p>Databricks正建立解決方案來解決這項問題，讓公民資料科學家也有能力，完成具有影響力的資料科學和人工智慧用例。在今年早前Databricks已經發布AutoML，透過自動化進行預處理、特徵工程、模型訓練和調校，使得用戶能夠快速建置和部署任何規模的機器學習模型。</p> <p>而AutoML所建立的基準模型，具有完整可編輯的筆記本，結合上Bamboolib，就能讓企業中公民資料科學家，不需要專家幫忙，開發資料分析和機器學習應用。</p> </div></div></div>
2021/10/8 16:08作者李建興https://www.ithome.com.tw/news/147192
微軟將關閉Excel 4.0巨集確保用戶安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://m365admin.handsontek.net/macro-settings-update-to-disable-excel-4-0-macros-by-default/" target="_blank">微軟本周表示</a>，基於安全考量，將關閉Microsoft 365的Excel 4.0巨集。</p> <p>微軟即將於本月起更新Microsoft 365 Excel Trust Center巨集的設定，預設關閉Excel 4.0巨集。微軟預計10月底會先開始部署到Insider-Slow通道，11月初完成。而目前通道（Current Channel）11月初將開始部署，11月中完成。最後，每月企業通道（Monthly Enterprise Channel）版本，則預計於12月開始及完成部署。</p> <p>XLM巨集是相當古老的巨集語言，微軟1992年Excel 4.0即使用XLM，直到1993年Excel 5.0改用VBA。XLM簡單又可相容於Windows，有許多企業的合法應用中仍然使用XLM。</p> <p>XLM程式碼的特性使其容易混淆（obfuscate）以躲避靜態偵測，例如變更字串即可隱藏URL或檔案名稱躲過靜態偵測產品。另一方面，Office 365整合了AMSI防範VBA惡意巨集，迫使攻擊者轉向XLM巨集，用它來呼叫Win32 API執行shell指令，包括Trickbot、Zloader和Ursnif等攻擊手法都使用了XLM巨集。</p> <p>今天這項宣布是微軟基於XLM的安全考量做的最新措施。<a href="https://www.ithome.com.tw/news/143069" target="_blank">今年3月</a>微軟為Office 365 加入XLM巨集掃描功能，並<a href="https://techcommunity.microsoft.com/t5/excel-blog/restrict-usage-of-excel-4-0-xlm-macros-with-new-macro-settings/ba-p/2528450" target="_blank">在7月宣布</a>限制使用XLM巨集。</p> <p>最新措施將在已啟用VBA巨集的Microsoft 365/Office 365中的所有租戶（tenant）環境下，預設關閉「啟用XLM巨集」的選項。</p> <p>不過，只有未曾啟用XLM巨集設定，或是管理員未於群組政策中設定的租戶才會受影響。已經啟用Excel 4.0，或是群組政策包含這項設定者，就不受影響。</p> <p>對於想開啟Excel 4.0或其他需求的用戶，微軟也提供了<a href="https://support.microsoft.com/en-us/office/working-with-excel-4-0-macros-ba8924d4-e157-4bb2-8d76-2c07ff02e0b8" target="_blank">變更巨集的執行說明</a>。</p> </div></div></div>
2021/10/8 14:45作者林妍溱https://www.ithome.com.tw/news/147188
搶食iOS程式內支付市場，英國業者Paddle準備推出Paddle In-App Purchase
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果與Epic Games訴訟在今年9月告一段落，<a href="https://www.ithome.com.tw/news/146681" target="_blank">法官判決蘋果不得強迫開發者使用蘋果支付機制</a>，這使得英國支付業者Paddle看到了商機，準備推出Paddle In-App Purchase以與蘋果支付機制競爭。</p> <p>Paddle成立於2012年，專門提供支付及訂閱管理服務，被視為是英國成長最快的公司之一。Paddle其實還未正式對外發表Paddle In-App Purchase，但已建置了<a href="https://paddle.com/platform/in-app-purchase/" target="_blank">該服務的官方網頁</a>，並寫著「Coming Soon」。</p> <p>根據官網的說明，Paddle In-App Purchase可用來取代蘋果自家的程式內購買支付平臺，對10美元以下的交易僅收取10%的手續費，10美元以上則是5%+0.5美元的手續費，而蘋果的支付平臺則一致收取15~30%的手續費。</p> <p>此外，Paddle In-App Purchase也能協助管理稅賦，支援多種帳單，也支援PayPal或支付寶等各種支付工具，還能處理退款與訂閱，亦允許開發者在不同國家設定不同的價格等。</p> <p>Paddle強調，該服務除了可讓開發者獲得更多利潤之外，其它蘋果支付機制能做的，Paddle In-App Purchase也可以。雖然尚未推出，但目前已開放開發者加入該服務的等待名單。</p> </div></div></div>
2021/10/8 15:04作者陳曉莉https://www.ithome.com.tw/news/147189
Twitch資料外洩原因出爐，又是配置錯誤闖禍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客日前藉由網路論壇4chan釋出竊自遊戲影片串流平臺Twitch的125GB資料，Twitch除了證實該平臺被駭之外，<a href="https://blog.twitch.tv/en/2021/10/06/updates-on-the-twitch-security-incident/" target="_blank">也在6日公布了原因</a>，指出是因為Twitch伺服器的配置變更錯誤所造成，而讓第三方得以存取內部伺服器。迄今Twitch仍在調查受駭範圍。</p> <p>這是最近第二起因配置錯誤所釀成的資安災難，<a href="https://www.ithome.com.tw/news/147113" target="_blank">臉書在臺北時間5日凌晨發生的全球當機事件</a>，也與<a href="https://www.ithome.com.tw/news/147079" target="_blank">骨幹路由器的配置變更出錯</a>有關。</p> <p>Twitch強調，該平臺仍在調查這起意外，但目前尚無任何證據顯示有任何使用者憑證外洩，而且Twitch並未存放完整的信用卡號碼。</p> <p>駭客允許任何人下載竊自Twitch的資料，當中包含了Twitch的創作者支出細節、twitch.tv的提交歷史、行動/桌面/遊戲機的Twitch客戶端程式原始碼、Twitch所建立的SDKs及所使用的AWS服務、尚未發表的遊戲串流平臺Vapor，以及Twitch內部的紅隊測試安全工具等。</p> <p><a href="https://www.vice.com/en/article/jg8w9b/the-twitch-hack-is-worse-for-streamers-than-for-twitch" target="_blank">《Motherboard》</a>引用Twitch前安全工程師Thomas Shadwell的看法指出，駭客所揭露的安全工具看起來都是舊的，外洩的原始碼也沒有太多的機密，看起來受到這波資料外洩事件影響最大的可能是直播主。</p> <p>Twitter上已開始有人公布Twitch直播主的收入，臺灣媒體也紛紛揭露臺灣直播主的身價。Shadwell認為，這些資訊將對直播主造成騷擾或潛在威脅，也可能讓這些收入豐厚的直播主成為駭客的攻擊目標。</p> <p>為了謹慎起見，Twitch已經重置了所有的串流金鑰。串流金鑰為使用者開始串流時必須輸入的憑證，而且直接連結Twitch用戶的帳號，由於它也屬於Twitch用戶的憑證之一，過去Twitch即強調不要與任何人分享串流金鑰。</p> </div></div></div>
2021/10/8 12:23作者陳曉莉https://www.ithome.com.tw/news/147180
微軟修補Azure Virtual Desktop妨礙安全更新的臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-10-1909#1643msgdesc" target="_blank">微軟本周解決了</a>Azure Virtual Desktop無法經由更新機制、下載功能及安全更新的技術問題。</p> <p>問題7月就已發生，安裝Windows 10 Enterprise多連線（multi-session）1909平臺的Azure Virtual Desktop服務裝置，從今年5月以後的更新都無法經由Windows Server Update Services下載。然而即使一直沒有更新，「設定」App下的Windows Update顯示的訊息仍然是「你處於最新版本」。</p> <p>受影響的版本包括Windows 10 Enterprise multi-session版1909用戶端軟體，以及Windows Server multi-session version 1909。</p> <p><a href="https://support.microsoft.com/help/5005565" target="_blank">微軟本周三（10/6）釋出KB5005565解決本問題</a>。如果用戶暫時無法更新作業系統，可以從Azure Market下載具備最新安全更新的映像檔再部署到現有裝置上。或者，用戶也可以到Microsoft Update Catalog手動下載及安裝安全更新。</p> <p>微軟同時提醒，Windows 10 1909的Home及Pro版，已經在5月11日終止支援。因此這些裝置也不會再接到任何功能及安全更新，必須升級到更新版本。</p> </div></div></div>
2021/10/8 12:46作者林妍溱https://www.ithome.com.tw/news/147185
Google與YouTube將不再對有關氣候變遷的不實資訊提供廣告服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/google-ads/answer/11221321" target="_blank">Google於7日變更其廣告與貨幣化政策</a>，將不再於推廣氣候變遷不實資訊的內容上遞送廣告，也不再接受推廣不實氣候變遷資訊的廣告，該政策適用於Google廣告主、Google出版商與YouTube創作者，並將於11月正式實施。</p> <p>Google表示，新的政策不但能避免使用者受到不實宣稱的影響，也能保護Google的廣告合作夥伴。這是因為在最近這幾年，Google收到愈來愈多廣告主與出版商的抱怨，廣告主不想要自己的廣告出現在散布氣候變遷不實資訊的內容中，而出版商則是不希望自己發布的內容，被嵌入了不實的氣候變遷資訊廣告。</p> <p>關於氣候變遷這件事，只要是所宣稱的內容與公認的科學共識有所矛盾，就很可能被該政策剔除，例如把氣候變遷稱為只是一場惡作劇，或者是否認全球氣候正在暖化的說法，以及那些宣稱溫室氣體排放或人類活動與氣候變化無關的論調。</p> <p>Google強調，他們會仔細地檢視這些內容，以判斷它們所陳述的是不實資訊，抑或是針對不實資訊的討論。依然會接受那些有關氣候政策的辯論、氣候變遷所帶來的各式影響，以及各種新的相關研究。</p> <p>包括Google在內的許多美國科技企業都已訂出了碳中和的時程表，以減少碳排放，改善氣候變遷，例如Google計畫在2030年讓全球辦公室與資料中心都使用再生能源，<a href="https://www.ithome.com.tw/news/147143" target="_blank">近日Google還藉由變更服務內容</a>，號召全民一起推動環保，包括於Google Maps上列出生態友善路線、在Google Flights上提供環保班機的選項，以及替Nest恆溫器建立Nest Renew服務以支持乾淨能源等。</p> </div></div></div>
2021/10/8 13:02作者陳曉莉https://www.ithome.com.tw/news/147186
Windows Update錯誤顯示「PC不適合跑Windows 11」的訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟已在本周針對符合要求的硬體<a href="https://www.ithome.com.tw/news/147075" target="_blank">正式釋出Windows 11</a>，不過卻出現明明硬體規格符合，但Windows Update卻顯示電腦不適合跑Windows 11的訊息。好消息是可能很快會排除。</p> <p>對於跑Windows 11的裝置，微軟再三聲明必須滿足最低規格才能安裝。微軟同時也設計了2個方式協助使用者確認他的電腦滿足要求，一是跑<a href="https://www.microsoft.com/windows/windows-11#pchealthcheck" target="_blank">PC Health Check</a> app，另一個是透過<a href="https://www.ithome.com.tw/news/146463" target="_blank">Windows Update</a>告知。</p> <p><a href="https://techcommunity.microsoft.com/t5/windows-insider-program/windows-11-update-still-says-pc-does-not-meet-requirements-after/m-p/2798774" target="_blank">不過有用戶本周反映</a>，他的電腦安裝Windows 11後，以PC Health Check App 檢查，包括TSM及UEFI等要求全部符合，但是Windows Update的訊息卻顯示「這臺PC目前未滿足Windows 11所有系統需求。」用戶到Windows Update下的「更新與安全性」項目檢查，也顯示一個紅色X，重開機也未能改善。隔天即使「更新與安全性」顯示可下載Windows 11，但訊息卻仍然顯示為不符合要求。</p> <p>不過<a href="https://www.windowslatest.com/2021/10/07/microsoft-confirms-false-this-pc-cant-run-windows-11-error/" target="_blank">根據Windows Latest報導</a>，這問題似乎僅發生在少數人身上。一些接到錯誤訊息的用戶也表示，再稍等一段時間，錯誤訊息就會更新或修正。此外，即使接到錯誤訊息，用戶仍然可經由安裝精靈下載，或安裝Windows 11 ISO版來完成升級。</p> <p>不過也不是每個人都能看到訊息。用戶裝置上必須安裝Windows 10 2004以後版本，並需安裝9月份累積更新。若是電腦沒這些新版本，也不會看到這些訊息。</p> <p>Windows 11甫推出，已經有傳出一些技術問題，包括搭載AMD處理器的PC執行Windows 11時，<a href="https://www.ithome.com.tw/news/147154" target="_blank">會影響</a>電競及一些應用程式的效能。</p> </div></div></div>
2021/10/8 11:39作者林妍溱https://www.ithome.com.tw/news/147178
知名影視串流服務Disney+登臺，每月訂閱費270元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華特迪士尼旗下的知名的影音串流服務Disney+將於11月12日在臺灣正式提供服務，結合Disney、皮克斯動畫、漫威影業、國家地理、星際大戰(Star Wars)及Star六大內容品牌，涵蓋電影、影集、短片、紀錄片等多元影視內容，瞄準國內不同年齡層收視族群。</p> <p>在今天Disney+正式上線的活動中，Disney+的收費也終於揭曉，用戶訂閱Disney+，每月收費為新台幣270元，年費則是優惠為2790元。11月12日開始，民眾將可透過Disney+官網，或是Android與iOS上的Disney+ App訂閱服務。</p> <p>訂閱用戶可在智慧型手機、平板電腦(Android或iOS)，PS4、PS5、Xbox One與Xbox系列X/S等遊戲機上觀看，或是使用三星、LG等智慧型電視、聯網電視設備(包括Google TV與Android TV、Apple TV、Chromecast)。</p> <p>目前，Disney+最多可讓4臺裝置同時觀賞，最多10臺裝置下載內容，並且針對不同的家庭成員提供個人化推薦，最多能設定7位使用者。用戶還可透過Group Watch，和家人或朋友一同觀賞內容。家長還能夠針對家中的兒童設定使用者檔案，確保適合兒童的內容。</p> <p>Disney+提供4K UHD畫質及5.1聲道，目前的使用者介面支援15種語言，未來將增至20種，包含中文。至於音頻與字幕，現在支援23種語言，官方預告未來將增至28種，支援的語言也會依作品而調整。</p> <p>Disney+挾著旗下6個影視內容品牌來臺，Disney、皮克斯動畫、漫威影業、國家地理、Star Wars及Star。</p> <p>其中的Disney提供的內容，例如[ 叢林奇航] 、「時尚惡女：庫伊拉」、「尋龍使者：拉雅」、「阿拉丁」、「冰雪奇緣」、「動物方城市」等等；皮克斯動畫品牌則有經典的「玩具總動員」，「腦筋急轉彎」、「靈魂急轉彎」，以及從玩具總動員角色所延伸出來的短篇作品「叉奇的十萬個為什麼」，還有從靈魂急轉彎延伸的「22vs地球」等。</p> <p>漫威影業以旗下知名英雄電影，如「黑寡婦」、「復仇者聯盟：終局之戰」、「復仇者聯盟：無限之戰」等，以及特定角色的延伸創作影集，如「汪達幻視」、「獵鷹與酷寒戰士」、「驚奇女孩」、「女浩克」等。還有11月將推出「鷹眼」。</p> <p>星際大戰品牌，除了星戰迷喜愛的星際大戰系列電視，還有「曼達洛人」。Star則提供知名影集「陰屍路」、「實習醫生」，還有原創內容「地球最後男人Y」。另有中文內容，「用九柑仔店」、「拆彈專家2」、「葉問4」等。</p> <p>針對冒險探索的收視族群，Disney+的國家地理品牌，推出包括「赤手登峰」、「克里斯漢斯沃的鯊魚奇遇」。</p> </div></div></div>
2021/10/8 12:02作者蘇文彬https://www.ithome.com.tw/news/147179
指標企業資安作法明年得公開了
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sfb.gov.tw/ch/home.jsp?id=95&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202110050001&dtable=News" target="_blank">證期局在10月5日發布了一則條文修正預告</a>，要求公開發行公司的年報，未來要新增一項重要資訊，就是企業資通訊安全的政策、具體管理方案，還有投入了多少資源來推動。這項法條修正公告之後，如果沒有進一步的爭議，就很有機會在年底前上路，未來，上市、上櫃企業明年公布的年報，就需要在年報中揭露自家的資安作為。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1008-%E7%B7%A8%E8%80%85-2.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1008-%E7%B7%A8%E8%80%85(1).png" style="width: 600px;" /></a></p> <p>金管會去年開始推動資安行動方案，對金融機關提出了許多資安要求，從組織面、治理面、作業面都有不少強化金融資安防護能力的要求，也看到金融機構比過去更加重視資安。</p> <p>而這次的修法預告，不只是會影響金融產業，而是更進一步擴大到各產業，來推動各產業資安防護實力的提升。雖然只是上市櫃公司必須遵循，上市櫃公司向來是各產業中的指標企業，因為依法要揭露自家營運資訊，影響股民權益的一舉一動都得公開，各界都會用放大鏡來檢視這些企業，他們的策略和作法，更是屢屢成為其他企業借鏡、參考的對象。而年報，就是其中最重要的一份企業經營參考資料。</p> <p>在過去，年報對於企業資安作為的揭露程度，相當有限。上市櫃企業依法只需要揭露資安風險的暴露情況，或是揭露企業在資安風險管理上的策略，其餘資訊，大多不足。近年新增的重大資通安全事件通報要求，才讓這些指標企業資安作為，在發生事故時，為了自清而必須公開。</p> <p>但只靠這些資訊，都不足以讓外界，對一家企業如何做好資安，有一個更完整、全貌的了解。直到這次對「公開發行公司年報應行記載事項準則」部分條文的修正。</p> <p>雖然只是三句話的要求，「資通安全政策、具體管理方案及投入資通安全管理之資源」，這可以涵蓋企業所採取的整體性資安政策的公開，以及具體做法上的說明，還要加上投入資安資源，例如人力、預算等資訊。幾乎是從策略面、執行面和人力預算面的資安作法，都需要揭露。</p> <p>儘管，這只是原則上的要求，沒有更具體的規範，企業該揭露到多詳細的細節，沒有一套揭露範本，讓企業參考。但是，這卻是臺灣企業建立資安文化、深化資安素養的關鍵一步。</p> <p>因為，只有將所有資訊都攤在陽光下，創造一種比較、競爭的正面態勢，讓做得好的企業成為模範而引發仿效，讓做不足的企業更加警惕而改善。</p> <p>那些只是喊喊資安口號、政策宣示，但提不出具體做法和投入資源說明的企業，未來更容易被看破手腳。如此一來，資安的價值，就不只是資安本身的價值，還可以成為一種企業做得比其他人更好的實質競爭力。</p> <p>企業的資安作為，是一種出事才能看出效果的投資，而且經常被視為是企業的成本，而不是價值。</p> <p>但是，當政府要求下，企業必須把自己在資安的投資都公開，雖然目前只有這一群指標企業必須如此，更長遠來看，只要出現了認真落實資安的企業，願意揭露詳細的作法，讓眾人看到，一家企業「沒有發生資安事故」，背後其實做了多大、多深的努力和投入，就能讓資安成為企業名聲的要素。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%AD%89%E6%9C%9F%E5%B1%80">證期局</a></div><div class="field-item odd"><a href="/tags/%E5%85%AC%E9%96%8B%E7%99%BC%E8%A1%8C%E5%85%AC%E5%8F%B8">公開發行公司</a></div><div class="field-item even"><a href="/tags/%E5%B9%B4%E5%A0%B1">年報</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E9%80%9A%E8%A8%8A%E5%AE%89%E5%85%A8%E6%94%BF%E7%AD%96">資通訊安全政策</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div></div></div>
2021/10/8 11:08作者王宏仁https://www.ithome.com.tw/voice/147173
高中學習歷程檔案遺失事件簿：2萬多件學生升學資料為什麼救不回來？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1046-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=hC_R-lYL" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>明年1月升學考招新制上路，高中學習歷程檔案首度成為甄選入學的重要備審資料。一次VM設定失誤，引發了教育史上最嚴重的資料遺失事故，但這不只是個人疏忽，更是一連串因素交錯影響加乘下的後果</p> </div></div></div>
2021/10/8 11:18未署名https://www.ithome.com.tw/article/147160
【深入剖析學習歷程檔案事故4原因】不只設定和維運問題，更是時程管理和制度面的考驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個VM設定的失誤，竟然造成全臺近8千名高中生，高達2.5萬件升學檔案的遺失，教育部在事件發生後，一連多次發布公告，說明事件原因和影響，不只負責學習歷程專案維運團隊，連教育部部長潘文忠都出面道歉，承諾將檢討改進。</p> <p>遺失資料無法復原，只能靠學生重傳或重製後再上傳，即使事件過了一周，仍有近半數學生資料未補齊。</p> <p>但是，如果進一步深入探究，這一起震撼各界的學習歷程檔案的資料遺失事故，不單是人為疏忽那麼簡單，更是一連串因素交錯影響加乘下的後果，主要可從4大面向來看。</p> <p><span style="font-size:28px;"><strong>1. 技術面問題</strong></span></p> <p>之所以發生嚴重資料遺失，第一個問題出在VM設定失誤，這是一個技術問題。據了解，設定工程師是在新機房建立VM時，不小心套用到錯誤的VM設定樣板，誤選了「測試環境設定」樣板，內建還原機制，只要重開機後就自動還原硬碟，也會清除所有資料。此次事件中，有3臺VM套錯樣板，重開機後，VM依照設定自動還原，也刪除了舊資料，因此才造成資料遺失。</p> <p>工程師原本無意使用這個模式，但卻沒有發現自己設定錯誤，誤將原本應該好好小心保管的學生資料，放進等待還原的VM硬碟，後來也沒有發現這項錯誤及時修正，這當然是疏失，也確實是個不應該犯的錯誤。</p> <p>機房維運人員進行VM環境的建立、調整或搬移過程中，都可能發生資料損失的風險，特別是提供給重要系統使用的VM，進行任何異動、調整的流程上，必須訂出相關SOP操作，甚至最好能有一套監督或雙重驗證機制，提供多一層把關，來確保整個操作或設定沒問題。除了增加人力，也能透過一些自動化VM建置工具等，來減少這類錯誤的發生。這次事件更反映出，設定SOP必須搭配監督、驗證機制的重要性和必要性，才能將人為疏失的風險降到最低。</p> <p><span style="font-size:28px;"><strong>2. 維運面問題</strong></span></p> <p>根據我們了解，這套系統過去在臺北機房運作時，也曾發生過類似的設定失誤，但因有完整備份，每日的本地和異地備份，因此當時沒有造成資料損失。</p> <p>只是這一次失誤發生在新機房，新環境的風險，讓設定失誤的小風險變成了致命問題。</p> <p>維運團隊自己也知道，系統剛上線這段期間，新機房還來不及做資料備分，但卻沒有意識到，或者忽視了沒有備份的風險有多高，而沒有持續落實原本採行的備份計畫。備份機制沒有確實落實，這是第2層問題，是維運面問題，也是造成學生資料無法復原的關鍵因素。</p> <p>若維運團隊將「321備份」原則，視為基本要求，也就是IT界或資安圈常聽到的「3份備份、分別存放2種不同的儲存媒體、至少一份在異地保存」。在每一次出現敏感或重要的資料遺失風險前，都徹底執行一次，就不致於出現資料遺失而無法從備份復原的情況。</p> <p>台灣世曦資訊系統部副理張智欽表示，他們的作法是，只要是重大系統變動或異動作業前，一定會先做一次快照，甚至還額外多一次備份，才開始作業，「畢竟備份原本就是為了要彌補人為可能的疏失，作為最後一道防線。」</p> <p><span style="font-size:28px;"><strong>3. 時程衝突問題</strong></span></p> <p>但，更根本問題，是時程衝突。</p> <p>時程衝突的導火線，是5月宣布因疫情停止到校上課，教育部將學習歷程上傳期限，從7月底延長到9月30日，可是明年1月考招新制就要上路，時間相當急迫。9月1日一開學，學生就得趕快製作與上傳學習歷程檔案，學校端接著也要趕緊在11月陸續提交到中央資料庫，時程是一關卡一關。</p> <p>為了配合學生及學校端的作業時程的延期調整，暨大團隊原本計畫趁著暑假，在開學前完成新機房的搬遷工作。但新機房建置進度比原定時程晚了，直到8月底才啟用，在後續時程已經排定（而且經過一次延期很難再次延期），沒有其他選擇下，只能被迫選在9月初進行搬遷，導致學生上傳作業與系統移機作業時程重疊。</p> <p>這樣意外的時程衝突，打亂了團隊的作業時程、搬遷計畫，為了趕上線，很難有充分的時間進行完整的機房演練或相關測試，甚至新機房才剛啟用，在備份還不完備的狀況下，也只能選擇先搬了再說。因為再不搬，系統遲遲不能上線，學生就無法上傳檔案，造成學校提交時程延遲，將可能大大影響到後面考招新制推動的時程。</p> <p>突如其來的疫情，讓原本可錯開的流程，最後都混在一起，團隊的作業時間因此受到壓縮，大大增加了作業的風險，就是在這樣急迫時間壓力下，一次設定失誤，造成了資料遺失。</p> <p>時程衝突，也是企業很容易遇到的問題。在時程衝突下，企業必須有所抉擇，也必須考慮到這抉擇後，因兩種作業衝突可能帶來的更大交互作用風險，才能爭取更多資源預作準備，來降低潛在風險。千萬不能小看，時程衝突帶來的隱藏性風險！</p> <p><span style="font-size:28px;"><strong>4. 制度面問題</strong></span></p> <p>除了技術、維運、時程衝突，最後一項是制度面問題，教育部長年以專案計畫委託，透過學校實驗室團隊來開發、維運重要資訊系統，而非尋求外部資訊專業廠商或SI團隊，這個習慣性作法造成了，系統維運團隊體質先天不足的問題。這也是造成這次事故的重要因素。</p> <p>一來，在這樣學校實驗室編制下，校內團隊很難有充足預算，吸引到頂尖厲害高手加入，提升團隊戰力，只能以校內學生和老師為主，所以在人員專業度上很難有所提升；二來，平時只能接教育部的專案為生，缺少各種產業實戰環境來不斷練兵，來磨練團隊的維運能力，對學生來說，無法累積更多經驗，就不會認真視為長久的職涯發展。找不到外面有能力的人進來，也留不住團隊人才，終究沒辦法鍛練出像Google雲端業者或專業SI的世界級團隊。</p> <p>這樣一個學校編制下的實驗室團隊，甚至可以說是只有老師、學生、專案人員組成的數十人專案團隊，不論是人力編制和專業能力，可能還是比不上校外專業資料中心或SI團隊，卻要執行這種全國性專案。遇上這種時程變動大，進度又很趕的專案，發生事故風險就容易比專業團隊來得高。這正是根本上的制度性問題。</p> </div></div></div>
2021/10/8 09:12作者余至浩https://www.ithome.com.tw/news/147156
觀點：熱血教授團隊十年犧牲，換來的竟是責難多而肯定少
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果犧牲10年學術研究時間，為臺灣師生做一件事，你願意嗎？對暨南大學教育行政資訊系統研發中心的幾位計畫主持教授而言，他們的答案一直都是肯定的「Yes」。</p> <p>打開這個研發中心的網站，一長串的專案清單印入眼簾，不只是這次發生資料遺失事故的學生學習歷程資料庫系統，從高中行政資訊系統、學校學籍管理、助學補助、學習扶助、課程教學計畫填報、輔導工作成果填報、海外留學資訊、中途離校學生通報，雜七雜八近20套系統。</p> <p>這個團隊負責支援教育部、國教署等各機關e化和教育行政資訊系統的主要團隊，不只開發還要維運，來支援全臺數百間高中職學校的運作，甚至可以說，這個團隊是全臺高中日常IT的總維運團隊。</p> <p>做這些系統，能賺錢嗎？在這次出事的學習歷程檔案資料庫系統中，計畫成員的人事預算都得比照教育公務體系的薪資等級，主持教授除了自己原本的薪資之外，擔任一個計畫的主持人，每月可以因此多領8千元補助，但卻要扛起全臺高中生新招考制度成敗的資訊系統責任，相當不對等，甚至可以說是廉價PM的待遇，卻要負起國家級系統的責任。</p> <p>這次事故中，只見一片罵聲，少見有人對這個團隊長年支持臺灣高中教育e化的肯定，罵名連連。幾乎把所有責任都歸給了出事的這個團隊，因為操作不當、管理不當、備份不當，等等。</p> <p>但十年維運經驗，再加上計畫主持人都是教育IT的專家，難道他們不清楚這些作業流程的風險？不熟悉相關技術或工具嗎？直接責難這個團隊的能力不足或管理疏失，將所有責任都推到他們身上，只是一種找替死鬼的究責文化，不會帶動從錯誤中學習的正循環思考，也無法進一步找出根本的環境挑戰，制度面侷限。</p> <p>在我們進一步追查之下，長年學校實驗室團隊承包的作法是先天體質不良的原因，而疫情帶來的時程衝突，讓維運團隊無法有充裕的時間，做好完整的備份和演練機制，這一次設定疏失，遇上了趕進度而準備不足的情況下，交互作用釀成了超大規模的資料遺失災情。</p> <p>原本這個團隊只是設計一個學習歷程檔案資料庫，卻變成了要開發和維運一套全國性新制度的全套流程和系統。尤其這是一個引起高度討論且意見多元的計畫，相關作法因而經常變動或修正，這也意味著資訊系統的需求異動連連，又遇上政府資訊向上集中政策，再加上疫情延宕了既有時程。如果換成外部的SI公司來承包，恐怕會開出高價，準備多幾倍的人手和資源，才能因應。但這個團隊終究只有這麼多人，仍舊得扛下所有的工作，</p> <p>不為利，又無法求名，辛苦做了10年，那是為了什麼？「這輩子，想為臺灣做件有貢獻的事。」一位成員私下告訴我們。</p> <p>學習歷程檔案真正的價值，不只是作為學生申請大學的備審資料，而是讓學生在製作這些檔案的過程中，學習、思考和反省自己的學習成果。這是一種培養「學生思考能力」的手段，也是翻轉、解題式教學、考試機器人教學形式的關鍵，可以用來培養更有思辯能力的年輕一代。</p> <p>「這次事故的確是我們的疏失，」他坦承，但面對這麼多責難，他仍不覺得灰心，而是將這些跌倒和衝擊都視為成長的一環。「就是繼續盡力而為。」這位成員這樣說。</p> </div></div></div>
2021/10/8 09:15作者王宏仁https://www.ithome.com.tw/news/147157
VM資料出錯沒備份，第一步怎麼辦？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當VM資料遺失了，但沒有備份，資料救援怎麼開始第一步？專門從事企業資料救援的OSSLab資訊長張道弘就表示，遇到VM資料遺失又沒有備份時，搶救第一步，優先要確保避免系統額外寫入，並將LUN儲存空間（統稱所有硬碟，包含虛擬和實體）立刻離線，再把原始LUN交給專業資料救援公司，資料救回的成功機率比較高。非得執行寫入，要確實備份LUN，或對硬體建立快照，才開始操作。</p> <p><span style="font-size:28px;"><strong>避免執行如fsck指令的寫入，以免增加資料救援的難度</strong></span></p> <p>遇到VM資料遺失，恢復備份是一個為了求時效性的緊急恢復的手段，但沒有備份時，就進到資料救援操作。</p> <p>以這次學習歷程資料遺失事件為例，因誤用了錯誤VM設定樣板，採取「獨立非持續性」的模式設定，造成重開機後VM硬碟的資料歸零。</p> <p>張道弘直言，一般MIS所採取的一些資料恢復處置，幾乎都有寫入型的動作，常見如fsck（file system consistency check）指令。它是一個修理檔案錯亂的指令工具，類似Windows的chkdsk，但這些操作都有代價，存在潛藏的風險，只是一般IT人員不知道原理，難以判斷它的風險高低，所以，有時容易造成不可逆的狀況，增加資料救援的難度。</p> <p>不過，LUN備份也有一定程度的門檻，不是每家企業都能自己來，包括需要正確的操作經驗，儲存空間又要夠大，甚至備份也很花時間。</p> <p>在拿到LUN備份以後，一般來說，資料救援廠商會透過一些逆向工程的手法，從LUN中找出資料恢復的線索。</p> <p>張道弘表示，資料救援，其實就是對一個檔案系統底層的理解，以VMware VMFS檔案系統來說，使用的是傳統inode塊位檔案系統，它會有個索引表記錄所有位置，而且位址分配和地址相當嚴謹，當有檔案被刪除，刪除的並不是真正的實體資料，而是檔案空間，只是在索引表修改，將這段檔案空間給釋放出來，原來的資料還在，只是正常情況下看不到。</p> <p>開始進行VMFS的資料救援，需要逆向檔案系統工程技巧，也會借助開源方法或程式，來進行程式碼解讀（code review），寫出自己的腳本程式，這樣的話，才有辦法找到被刪的實體資料所在。他提到說，市面上有很多現成的資料救援軟體，但有些支援不夠新，例如還沒支援到VMFS 6版本，也不支援快照檔的累積，得走工具腳本。</p> <p>資料遺失事件發生迄今，教育部目前仍以協助學生做檔案恢復和重傳為主，資料救援仍沒有更多進展。對此，張道弘也提出他個人的觀察，他說，假設事故當下，維運人員沒更動LUN，資料救援的機率高，但時間過久陸續有寫入動作，恐降低救回機率，雖然還是可用raw 救援工具（raw recovery tool）以碎片掃描／比對方式來嘗試救援，但救回機率渺茫，且耗時。</p> </div></div></div>
2021/10/8 09:37作者余至浩https://www.ithome.com.tw/news/147158
不怕教育部系統出事，臺北市這關鍵讓每筆歷程都多備一份
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在此次高中學習歷程檔案的資料遺失事件中，根據教育部公布受影響的學校名單，共81校，橫跨北中南各縣市的高中都有，影響高達7千多名學生，但是臺北市的高中學校，卻完全不受影響，學生沒有任何一筆資料遺失，是少數全身而退不受影響的縣市。</p> <p>關鍵在於，臺北市各高中不是使用教育部學習歷程檔案系統公版模組，而是用臺北市教育局自行開發的一套系統做資料上傳，從最初規畫設計上，就是採用集中式雲端架構，將各校的學習歷程資料，收容到資安防護等級較高的市府資訊機房集中管理，有別於採取分散式架構，分散部署在各校的公版系統模組。連國教署後來要將放置各校的公版模組搬到雲端，都拿北市作法來參考。</p> <p>當初一手規畫和建置臺北市學習歷程檔案系統，是當時的臺北市數位學習教育中心主任孫明峯，現在他的新身份是成功高中校長。</p> <p>孫明峯直言，造成學生資料遺失的破口，是教育部將各校公版模組向上集中的移機過程中，機房維護工程師在進行虛擬主機的搬機設定時下錯指令，才造成有一段期間資料的損失。</p> <p>早在108新課綱還沒上路之前，臺北教育局就有開發一套備審資料數位化系統，搬上酷課雲平臺，只要是學測考完、要申請入學的成績單，學生都可以從這套系統來取得甄選用的資料，「臺北市備審資料數位化做的最早。」孫明峯這麼說。</p> <p>後來，臺北市雲端版學習歷程檔案系統的建立，就是參考先前備審資料數位化的設計及概念所開發完成，有了先前的開發經驗，所以很快就推出上線。</p> <p>從流程上來看，他也說，北市學習歷程檔案系統，跟公版系統上傳檔案流程並沒明顯差別，同樣由學生上傳檔案後，學校再將整批資料在指定期限內統一提交到教育部中央資料庫。</p> <p>北市這套系統，因為是自行開發，不僅功能較多，使用上更具彈性，可以持續優化調整操作介面、操作流程上的需求，如學生未認證的學習成果，系統會自動Email通知教師時間，或是上傳截止日前，提醒學生勾選要上傳的學習成果等。這樣的提醒或通知機制，公版系統沒有。在學習歷程檔案上路後，「我們可以把很多後續升學所需的服務，帶進這套系統提供給學生建議」。</p> <p>也因為，學習歷程檔案，攸關學生的升學權益，臺北市79所高中職學生學習歷程檔案，從運作到現在近兩年多，累積資料量約4TB。</p> <p><span style="font-size:28px;"><strong>臺北市學習歷程檔案系統採用3層資料備份架構</strong></span></p> <p>為了避免資料損失，臺北市教育局也有建立自己的資料備份機制，不只針對系統、資料庫每天備份，對於存放學習歷程檔案的虛擬機，檔案較大，因此有一個完全備份，其他每天做差異備份，備份每天異動的檔案內容。除了每天備份，還會加入不同儲存媒體，備份在不同虛擬主機、實體主機以及快照上，也是每天都做。孫明峯推測：「這次出事的學習歷程檔案公版模組使用的機房，應該沒有這樣做。」</p> <p>今年9月起，孫明峯重新擔任臺北市學習歷程檔案專案負責人，也因為這次高中學習歷程檔案的資料遺失事件，他上任第一件事，就是重新檢視現有機房內的虛擬主機的調整流程，更要訂出相關SOP，如要做虛擬機的搬動前，得先關閉服務，備份檔案到實體機後才開始作業。</p> </div></div></div>
2021/10/8 09:42作者余至浩https://www.ithome.com.tw/news/147159
NLP進化帶動搜尋引擎變革，Martech專家建議3大SEO關鍵，先注重內容EAT特色再改善網站CWV體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">NLP技術年年有重大突破，也促使搜尋引擎技術不斷變革，Martech新創Awoo執行長林思吾剖析Google搜尋與SEO排序技術演進關鍵，建議網站主，若要提高網站SEO，製作優質內容現在比強化網站體驗更重要。</p> <p dir="ltr">林思吾指出，Google搜尋引擎的企圖是，快速回應用戶的查詢需求，因此近年來不斷精進搜尋引擎中的AI技術，想要更人性化的理解用戶問題，檢索出最貼近用戶需求的內容。搜尋結果的介面呈現也不斷改變，比如在搜尋欄位中查詢任意地點，搜尋結果除了顯示該地相關資訊，也會出現Google Map顯示精確位置，讓資訊一目瞭然。今年最大改變則是，Google試圖衡量網站內容品質與抽象複雜的用戶體驗，來調整SEO排序，讓使用者在搜尋過程中，取得優質內容也兼顧用戶體驗。</p> <h3 dir="ltr"><span style="color:#FF8C00;">Google搜尋的AI技術演進：語意理解技術再進化</span></h3> <p dir="ltr">隨著語意理解技術不斷進步，林思吾點出Google搜尋技術在不同時間點的重要轉變。Google首先在2013年推出了蜂鳥演算法，讓搜尋引擎可以透過上下文的理解，更精確的判斷使用者的搜尋意圖，來取代過去靠搜尋詞的片段詞彙，來比對文章關鍵字的檢索方式。2018年的BERT演算法，更強化了對長句的語意理解，以更貼近一般人說話的方式，來理解用戶的搜尋意圖，能依據長尾關鍵字、問答式句子、語音搜尋等搜尋方式，來檢索網頁內容。</p> <p dir="ltr">去年，Google搜尋技術上的重大突破是「片段資訊檢索（Passage Retrieval）」。透過這項功能，Google不只會將各網頁整體的主要關鍵字，納入檢索排序的考量，更會將網頁中的片段資訊也納入排序參考。</p> <p dir="ltr">林思吾解釋，過去作法中，網站或文章主題要明確，才能讓Google快速將網頁關鍵字用於搜尋排序；但現在，網站的段落資訊，也能被偵測並用於相關搜尋字詞的搜尋排序中。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-10-06%20%E4%B8%8B%E5%8D%881_35_53.png" style="width: 650px;" /></p> <p dir="ltr">今年，Google則推出了最新的搜尋技術「多任務聯合模型（Multitask Unified Model，MUM）」，Google自稱，MUM技術比BERT還要強大1,000倍！這項技術能用來理解一句話背後的多個意圖，將一個本來要拆解為多次搜尋才能取得解答的問題，同步進行多任務的處理，來提供用戶最合適的答案。</p> <p dir="ltr">Google用這個例子來說明，若搜尋「我曾經爬過亞當斯山，預計在明年秋天攀登富士山，請問我應該做哪些不同的準備？」這個問題，MUM能夠判斷出，該名用戶正在比較兩座山，搜尋引擎會自動比較兩座山的海拔高度與步道資訊，也會針對用戶詢問的「哪些準備」問題，在徒步登山的前提下，推薦用戶合適的健身訓練與裝備。比如建議，雖然兩座山海拔相同，但富士山的秋天是雨季，需要多準備一件防水夾克。</p> <p dir="ltr"><img alt="Animated GIF visualization representing how MUM interprets the question “I’ve hiked Mt. Adams and now want to hike Mt. Fuji next fall, what should I do to prepare?" class="article-image--full" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/MUM_GIF02_02_1.gif" tabindex="0" /></p> <p>另外，過去這類跨國知識的搜尋，可能受到語言隔閡而無法取得足夠完整的資訊，比如若不透過日語來檢索富士山，可能無法取得足夠詳細的資訊。但現在，MUM已經可以理解並轉換75種不同的語言，能比過去更全面地了解各國資訊和世界知識，來支援檢索查詢。MUM還具有多模態（Multimodal）特性，能夠理解文字和圖像中的資訊，之後還可以擴展理解視訊或是音訊等更多形式的內容。</p> <p>面對語意理解技術革新，林思吾建議，企業應摒棄過去在撰寫網站文章時，不斷堆疊特定關鍵字的習慣，或採用灰帽SEO手法來操作排名等作法，回到以協助用戶理解關鍵字的方式，來撰寫內容。</p> <p>林思吾也提出對SEO排序的觀察，並對網站主提出三大SEO優化建議。</p> <h3 dir="ltr"><span style="color:#FF8C00;">關鍵1：網站內容EAT，比網站CWV體驗指標更重要</span></h3> <p dir="ltr">首先，Google在SEO排序的演算法上有所轉變，開始納入更多網站內容與用戶體驗指標，作為排序參考依據。比如Google在2019年就宣布，會將網站內容的EAT視為SEO的排序參考，EAT是指網頁內容的專業性（Expertise）、權威性（Authority）與誠信（Trustworthiness），Google評量網站EAT的方式，包括作者知名度、網站品牌聲量、文章引用文獻、作者得獎資訊或生平事蹟、是否取得SSL安全憑證等。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-10-06%20%E4%B8%8B%E5%8D%881_36_47.png" style="width: 650px;" /></p> <p dir="ltr">林思吾指出，網站主現在需要設法提高個人網站或品牌網站EAT，才能優化SEO排序。他建議，由於EAT是由資訊網構築而成，要建構起這個資訊網路，包含了三項要素。一是資訊的延伸性，比如網站內容是否能像維基百科一樣向外延伸資訊；二是雙向連結的強度，比如一篇文章的作者若曾獲得普立茲獎，普立茲獎網站若也設置相關連結指向作者網站，就能強化作者的權威性與信譽；三是透過網站或作者聲譽、提及、評論來組成強大的資訊連結網絡，來提升自家網站內容的EAT評價。</p> <p dir="ltr">Google今年更將網站體驗指標Core Web Vitals（CWV），列為SEO排序的參考依據。CWV有三個重要指標，分別是網站載入速度（LCP）、可開始互動的時間（FID）、以及頁面穩定性（CLS），Google將以這三個指標來評斷，使用者一點進網站時，是否能快速載入網站內容、快速且穩定的與網頁互動，若網站提供良好的使用者體驗，就能提升SEO排名。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-10-06%20%E4%B8%8B%E5%8D%881_38_19.png" style="width: 650px;" /></p> <p dir="ltr">不過，林思吾引用Google的說法指出，「優質網頁體驗，無法取代優質內容的地位，但如果遇到許多網頁關聯性不相上下的情況，網頁體驗就會變得較為重要，能夠決定網站在Google搜尋結果中的曝光率。」也就是說，網頁內容比體驗更加重要，使用者需先遵循EAT的準則，建立可靠的網站內容；下一步，再優化網站的CWV，優化使用者體驗。</p> <h3 dir="ltr"><span style="color: rgb(255, 140, 0);">關鍵2：網站內容採取結構化資料格式，更容易在搜尋引擎多元呈現介面曝光</span></h3> <p dir="ltr">另外，Google為了在顯示搜尋結果時，就提供給用戶所需的內容，也鼓勵網站採用結構化資料格式，在搜尋結果頁面就呈現不同的內容，這項作法對於SEO的排序優化也有助益。因此，林思吾指出，網站主可以將網站內容以結構化資料格式重新設定，比如透過FAQ的結構，讓Google搜尋結果頁面，可以直接顯示網站的FAQ內容，讓用戶甚至不必點進網站，就能從搜尋頁面取得所需資訊，其他還有如事實查核結構化、產品結構化、How-to結構化等格式，可依據網站內容來採用。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-10-06%20%E4%B8%8B%E5%8D%881_37_45.png" style="width: 650px;" /></p> <h3 dir="ltr"><span style="color:#FF8C00;">關鍵3：Youtube影片在搜尋引擎的能見度大幅提升，Youtube SEO成品牌行銷另一關鍵管道</span></h3> <p dir="ltr">在更多元的搜尋結果版位呈現下，林思吾也點出另一個趨勢，是當前Youtube影片在Google搜尋結果的能見度大幅提升，甚至已經超越維基百科。他更引用相關數據指出，34%臺灣消費者會在購買商品前，上Youtube搜尋商品評價，也有81%消費者表示，Youtube影片會影響他們最後購物決定，「我認為這是未來非常重要的SEO優化管道。」面對這個趨勢，他建議，網站主顯然應該發展多元內容形式，尤其是影片內容的產製，也應進一步優化Youtube影片的SEO排序。</p> <p dir="ltr">最後，林思吾也點出，在第三方Cookie即將退場的時代下，企業應該更注重運用自有媒體（Owned Media）作為行銷管道，如企業官網，雖然這是過去普遍認為行銷成效較低的管道，只能向主動搜尋並點擊官網的用戶曝光，但在提升網站的內容品質與用戶體驗後，SEO帶來的流量也會隨之提升，讓企業獲得更好的行銷成效。</p> </div></div></div>
2021/10/8 10:09作者翁芊儒https://www.ithome.com.tw/news/147114
【為何設定出錯？為何資料沒備份？】2.5萬件學習歷程資料遺失追追追
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月1日開學，居家線上教學2個月後，中小學終於返校上課，尤其高三生更急著想要回去學校，要趕在9月底前，製作完自己的學習歷程檔案，將原本7月底就要完成，後來因疫情線上學習未完成的檔案，在截止期限上傳，因為攸關明年升學。</p> <p>但是，沒人想得到，就在上傳截止前一周，維運工程師一個設定上的操作不慎，竟然造成2.5萬件學習歷程檔案的資料遺失，影響近8千名學生。消息一出，震驚各界。許多師生、家長更是錯愕。</p> <p>這次的資料遺失事件，不只是108新課綱上路以來最嚴重的資料遺失事故，甚至可以說是，政府機關史上少見的大規模資料遺失重大事故，造成存放於政府機房的高中生學習歷程的資料遺失。</p> <p><span style="font-size:28px;"><strong>學習歷程檔案上路是翻轉教育的重要關鍵</strong></span></p> <p>學習歷程檔案之所以重要，不單是因為它可以記錄每位學生在高中三年的學習成果和表現，反映出個人在學的學習軌跡，更重要的是，在學習思考與製作檔案、成果的過程中，讓學生有更多思考、反省和探索機會。要改變傳統解題導向、考試機器人訓練般的教學型態，讓學生更有思考力，學習歷程檔案是個關鍵。</p> <p>大學考招明年甄選申請入學，將正式參採學習歷程檔案，作為備審資料的重要來源，主要包括兩種類型的資料，學習成果、多元表現資料，全程透過數位化作業完成，不少高三生明年申請入學製作備審資料都靠它。</p> <p>從升學模式來看，學習歷程檔案的正式上路，讓學生除了考試之外，有多一種升學管道做選擇，不再只是一試定終生。尤其，對於一些不擅長考試，但有其他才能的學生，更成了可以申請更多學校的關鍵。</p> <p>正因為它是高中升學模式的一次重要轉變，再加上是這個模式第一次實施，得面對諸多外界更高度的期待和審視。</p> <p>就在這種新模式展開之際，卻遇到突如其來的意外。</p> <p>學習歷程檔案的資料遺失事件，9月25日凌晨先在媒體曝光，迅速引起眾人的關注。到了早上，不只多家媒體、電視臺相繼披露，臉書、PTT版上更是出現許多討論，成了當天民眾最關注的重要社會議題。</p> <p>事件曝光沒幾小時，教育部國教署就公開證實，發生學生資料遺失的情形，但強調，只有部分，而非全部資料。</p> <p>因事故遺失的這批資料，不少都是高三生所有，明年馬上就要進行第一次用學習歷程檔案申請入學的作業。流程上，學生得先將學習歷程檔案，上傳到各高中所屬學習歷程學校系統上，再由學校整批提交到教育部建置的學習歷程中央資料庫。明年各大學甄試時，會直接從中央資料庫取得審查資料。事故就是發生在前半段，學生上傳到校內系統的階段。</p> <p>從系統架構來看，學生檔案上傳主要透過到兩套系統，學校端使用的學習歷程學校系統，以及教育部的學習歷程中央資料庫系統。學習歷程學校系統中還有個模組，可用來記錄和追蹤每位學生學習歷程檔案。這次出問題的就是這個學習歷程模組。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1046-1617-%E5%B0%81%E9%9D%A2%E4%B8%BB%E6%96%87-600-big.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=1085,height=660'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1046-1617-%E5%B0%81%E9%9D%A2%E4%B8%BB%E6%96%87-600.png" style="width: 600px;" /></a></p> <p><span style="font-size:28px;"><strong>兩階段向上集中作業</strong></span></p> <p>有一批高中的學習歷程學校系統，使用了教育部國教署委託暨南大學團隊開發的公版模組系統。這套系統原本分散部署在各校，不過，這幾年，政府為了強化教育體系資安，所以逐步將校內系統搬遷到資安管控更嚴謹的機房中集中管理。整個搬遷計畫，也是由開發公版模組的暨大團隊負責。</p> <p>有395所高中使用公版模組，去年，整批先搬到了臺北機房做集中管理，今年因機房升級更換，所以再度從臺北舊機房，搬到臺中新機房，同樣由原團隊接手處理。在分工上，新機房分為搬遷和維運各自一組，網站維護、維運機房和虛擬主機管理各有不同負責人。</p> <p>原定在7月底學生完成資料上傳後，在暑假進行系統搬遷工作，但5月突然因疫情停止到校上課，教育部將學習歷程上傳期限，從7月底延長到9月30日，再加上臺中新機房進度，也比原訂時程延宕，直到8月底才啟用，只能將搬機計畫延後到9月進行，導致延期後的學生上傳作業與系統移機作業時程重複。</p> <p>9月5日，暫停學生上傳作業後，一組約20人組成的搬遷團隊，開始將各校所屬學習歷程學校系統的公版模組，逐步搬到新機房內的虛擬主機VM上。花了2天左右，完成移機作業後，才陸續開放各校學習歷程檔案上傳作業。新上傳的檔案，改為直接儲存到新機房的公版模組VM硬碟上，不再使用臺北機房內的舊系統。</p> <p>順利運作十多天後，這些主機因系統更新而重新開機後，維運團隊才驚覺異常，其中有3臺VM硬碟因人為設定錯誤，導致部分資料無法連結，造成部分學生資料遺失。</p> <p><span style="font-size:28px;"><strong>因人為VM設定失誤，2萬多件學習歷程數位檔案消失不見！</strong></span></p> <p>9月26日，就在事件曝光隔日上午，教育部在記者會公布了資料遺失災情，初步盤點後，有81所高中學校，在9月5日至9月22日這段期間所上傳的學習歷程檔案，且備份在事故3臺VM硬碟的資料，才會受到影響。記者會上，專案計畫團隊負責人洪政欣強調，此次的資料遺失，是單次性的操作失誤，無關系統設計、程式設計，出錯的是虛擬主機的設定。</p> <p>受影響學生多達7,854名，資料遺失合計2萬5,210件，這些資料，有些已經教師認證，也有正在等待驗證的課程學習成果，或有無需驗證的多元表現資料。以類別來看，多元表現的資料，就占了1萬5,417件，課程學習成果的資料也有多達9,793件。</p> <p>記者會上，教育部表示，將協助學生做檔案恢復和重傳，但對於這些遺失的資料，如何從備份找回，或進行資料救援，當時沒有多作說明。事件經過一周後，在截稿前，教育部也沒有透露更多進展。</p> <p><span style="font-size:28px;"><strong>VM設定出錯關鍵環節首度曝光</strong></span></p> <p>雖然，教育部目前沒有揭露更多細節，從記者會上資訊，這起事故，肇因於人為操作失誤，因為VM硬碟設定失誤，導致系統更新重開後，部分檔案無法連結，才造成資料遺失。究竟如何發生？成了IT圈熱烈討論、分析的話題，甚至有資料救援業者嘗試模擬VM出錯情況來推測可能情況。</p> <p>到底是什麼樣的VM設定失誤，竟然造成資料遺失？這是很多人的第一個疑問。根據iThome記者深入追查，這次VM設定失誤的關鍵原因是，在新機房搬移過程中，一名工程師重新建立各校公版模組使用的虛擬主機VM時，不小心誤用了錯誤的VM設定樣板才釀災。</p> <p>一般來說，VM建置時有一個快速建立作法，可以透過樣板（ template）套用既有VM設定，而不用逐一手動設定。這是VMware虛擬主機管理軟體內建的樣板套用功能，但是，一位工程師建置虛擬主機時，在設定選單中，原本應該要套用「正式環境樣板」的VM設定，卻有3臺VM誤選了「測試環境樣板」的設定。</p> <p>這種「測試環境樣板」在硬碟設定模式，採取「獨立非持續性」的設定，內建還原機制，只要重開機後就自動還原硬碟，等於會清除所有資料。這就是這次VM設定失誤的原因。</p> <p>「獨立非持續性」硬碟設定模式，是VMware軟體所支援的功能，一般來說，這個設定模式，用在像大型虛擬機升級更新的測試，或類似學校電腦教室這一類應用場景，這些場景都有一個共通之處，原本就需要透過還原的動作，來清空硬碟中的資料。所以硬碟裡就算有資料，也不是太重要的資料，但這一次，誤設的3臺VM硬碟裡存放的資料，是學生辛辛苦苦準備的課程學習成果或備審資料，攸關其能否升學。</p> <p>9月22日，因資安要求進行例行性系統更新後，系統重開機，同一位工程師才發現自己套用了錯誤的樣板，但因為VM已經完成還原作業，硬碟上的舊有檔案無法連結，造成部分資料遺失。因為一臺公版模組VM，可供20～30校使用。395校一共部署10～20多臺VM，其中出事的3個VM，支援81校所用。</p> <p><span style="font-size:28px;"><strong>備份機制未完善下，冒然開放學習歷程檔案上傳作業</strong></span></p> <p>令各界更想不透的是，為何資料救不回來，難道之前都完全沒有備份機制嗎？經過我們的追查，其實原本的確有備份機制，沿用已久。在舊機房，暨大維運團隊的確有一套備份計畫，每天進行本地備份和異地備份。</p> <p>高中9月1日開學，學生馬上就要展開學習歷程檔案上傳作業，為明年考招新制做準備，暨大維運團隊為了趕上線，9月5日展開搬遷，趕著幾天內要搬完並上線，讓各校學生使用。</p> <p>在9月4日，搬遷到臺中新機房前一天，維運團隊除了原有本地和異地備份之外，對學習歷程檔案公版模組的資料再進行一次完整備份作業。這是為何後來只有9月5日到9月22日期間遺失資料，但9月5日前的資料都還在的緣故。</p> <p>但問題就出在，新機房啟用太匆促，直到8月底才正式營運，學習歷程公版模組系統趕9月初進駐時，機房備份機制的設定還沒完備，不只沒有留存搬遷期間可用來還原的備份版本和快照，也還沒完成臺北和臺中異地備援架構，讓資料互為備援。</p> <p>在不能延宕後續升學資料審查作業的時程壓力下，維運團隊為了要趕著上線恢復服務運作，所以，在備份機制沒完善的情況下，就開放了學習歷程檔案上傳作業。系統上線後，學生開始傳檔案，這些資料陸續送到新機房做儲存，但機房備份機制還是處於未啟動的狀態，等於從學校重新開放學生上傳檔案那一天起，這些學生上傳資料都沒有額外的備份。直到9月22日，因資安要求進行例行性系統更新，系統重開機後，發現部分資料已經遺失。</p> <p>虛擬化平臺原本就可以內建提供VM快照的備份機制，但是，工程師所誤選的樣板因為採取了「獨立非持續性」的設定，這個模式，因為預設還原硬碟來清空資料，因此就不需要啟動快照功能。甚至，在一臺VM內若有多顆虛擬硬碟，其中一顆若設定成獨立非持續性，當用VMware軟體建立VM的快照時，就會繞過這顆硬碟，只對其他硬碟做快照，換句話說，就會沒有可以用來回復這顆硬碟的快照版本。VMware也證實，的確在這種情況下，設定了獨立非持續性的硬碟模式後，VM硬碟就不會被快照。</p> <p>也就是說，從9月7日前後開放學生上傳，到工程師發現VM異常的這段時間，長達兩周，這段期間並沒有留存可用來還原的備份版本或是快照檔案，再加上還沒完成臺北和臺中兩地機房的異地備援架構，讓資料互為備援，臺北舊機房內的系統就無法同步更新取得新上傳的資料，一直到9月22日為止，才造成了這段期間的資料遺失後，無法從備份或快照恢復，之後也很難復原，甚至救不回來。</p> <p class="rtecenter"><span style="color:#B22222;"><span style="font-size:36px;"><strong>學習歷程資料遺失詳細事件表</strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2020年 </span></strong></span><br /><strong>各校的學習歷程檔案公版模組系統向上集中，第一階段先搬到臺北hicloud機房。每天進行本地機房備份和異地備份。</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2021年6月22日 </span></strong></span><br /><strong>因疫情學生停止到校，教育部將學習歷程上傳期限，從7月底延長到9月30日，導致學生上傳作業與系統移機作業時程重複。</strong></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/6%E6%9C%8822.jpg" style="width: 600px;" /></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2021年8月底 </span></strong></span><br /><strong>臺中hicloud新機房完成，但比原訂時程晚。</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2021年9月4日 </span></strong></span><br /><strong>向上集中第2階段準備將學習歷程檔案公版模組系統從臺北hicloud機房，搬遷到臺中hicloud新機房。除了原有每天本地和異地備份外，對公版模組的資料再進行一次完整備份作業。</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2021年9月5日 </span></strong></span><br /><strong>暫停學生上傳作業，開始進行移機作業。分工上，暨南大學團隊新機房分為搬遷和維運各自一組，網站維護、維運機房和虛擬主機管理各有不同負責人。</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 誤用錯誤VM設定樣版 </span></strong></span><br /><strong>移機作業展開後幾天，設定工程師有次在新機房執行新VM建置作業時，套用了錯誤的VM設定樣板（誤選了「測試環境設定」樣板）。</strong><span style="color:#696969;">（下圖為模擬圖，非真實畫面，圖片來源／OSSLab</span><span style="color:#696969;">）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/9%E6%9C%885%E6%97%A5-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-OSSLab.jpg" style="text-align: center; width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#8B4513;"> 關鍵設定差異 </span></strong></span><br /><strong>「測試環境VM設定」與「正式環境VM設定」最大差異是，測試環境所用的硬碟設定模式，採取「獨立非持續性」的設定，內建還原機制，只要重開機後就自動還原硬碟，等於會清除所有資料。</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2021年9月7日左右 </span></strong></span><br /><strong>完成移機作業，開放學習歷程檔案上傳作業，檔案上傳後，改為直接儲存在新機房的公版模組VM硬碟上。不再使用臺北機房內的舊系統。（各校上線時間仍會視情況調整，主要集中在9月7日這幾天）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/9%E6%9C%887%E6%97%A5-1-web.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 2021年9月22日</span></strong></span><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> </span> <span style="background-color:#FF8C00;"> 事故日 </span></span></strong><br /><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> VM還原事故 </span></strong></span><br /><strong>因資安要求進行例行性系統更新，系統重開機後，同一位設定工程師發現樣板套用錯誤，但因為VM已經完成還原作業，硬碟無法連結，造成特定期間內儲存在出事3臺VM硬碟上的學生資料遺失。</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#8B4513;"> 資料遺失盤點 </span></strong></span><br /><strong>9/5到9/22期間上傳且存放在誤設的3臺虛擬主機的學生資料</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#9933ff;"> 備份問題調查 </span></strong></span><br /><strong>因機房啟用太匆促，備份機制的設定還沒完備，所以，沒有留存搬遷期間可用來還原的備份版本和快照，也還沒完成臺北和臺中異地備援架構，讓資料互為備援。最後一版完整資料是9/4在搬遷作業前進行的完整VM備份版本。</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2021年9月24日 </span></strong></span><br /><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 緊急通知各校 </span></strong></span><br /><strong>委外維運團隊以電子郵件，逐一通知受影響學校，通知學生登入平臺確認上傳檔案是否正常。</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2021年9月25日3:00 </span></strong></span><br /><strong>學習歷程檔案遺失事件在媒體曝光，引起各界議論。</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2021年9月25日 </span></strong></span><br /><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 第一次公告 </span></strong></span><br /><strong>國教署說明學習歷程檔案資料遺失事件及受影響範圍，說明後續補救作業，81校一共7,854名學生，合計2萬5,210件資料遺失。</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/9%E6%9C%8825%E6%97%A5-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%87%87%E5%A8%81%E5%9C%8B%E9%9A%9B%E8%B3%87%E8%A8%8A.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>（上圖為學習歷程檔案的課程學習成果資料上傳的操作示意圖）</strong><span style="font-size:14px;">圖片來源／采威國際資訊</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2021年9月26日10:30 </span></strong></span><br /><strong>教育部召開記者會說明2.5萬筆學習歷程檔案遺失採行因應機制及精進作為，同日也發第二次公告</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 未來備份策略 </span></strong></span><br /><strong>加強虛擬儲存異地備份、定期檢視備份作業及還原演練，另外針對檔案嚴格要求落實異地備份，而且每天本地備份的次數最少6次，VM快照增加到每日6次，以保留完整資料和備份。對於負責維運的廠商每天落實備份情形，也要建立相關監督機制，甚至一些重要系統要調整、操作時，需要有專家全程在場監督或提供建議。</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2021年10月1日 </span></strong></span><br /><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 第三次公告 </span></strong></span><br /><strong>國教署說明事件處理最新進度，包括待處理案件學生人數，以及資料件數。（截至10月1日，仍有3千多人，約6,050件的資料待處理。）</strong></p> <p><span style="color:#696969;"><strong>資料來源：iThome整理，2021年10月5日</strong></span></p> </div></div></div>
2021/10/8 08:42作者余至浩https://www.ithome.com.tw/news/147155
ShellClient木馬鎖定全球航太與電信產業發動攻擊，並濫用Dropbox作為C2中繼站來規避資安系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>進階持續性威脅攻擊（APT）的手法日趨隱密，很可能暗中行動數年才被資安人員發現。例如，資安業者Cybereason於10月6日，<a href="https://www.cybereason.com/blog/operation-ghostshell-novel-rat-targets-global-aerospace-and-telecoms-firms">揭露名為GhostShell的攻擊行動（Operation GhostShell）</a>，駭客運用從未被發現的RAT木馬程式ShellClient，攻擊全球的航太產業與電信公司。</p> <p>針對攻擊者的意圖，Cybereason指出，主要是竊取組織的關鍵資產、基礎設施，以及所持有的技術等敏感資料。至於攻擊者鎖定攻擊範圍，研究人員認為主要是中東地區，但在美國、俄羅斯，以及歐洲也有受害組織。</p> <p><a href="https://s4.itho.me/sites/default/files/images/meet-malkamak.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/meet-malkamak.png" style="width: 580px; height: 293px;" /></a></p> <p>至於攻擊者的身分，該公司認為是名為MalKamak的伊朗APT駭客組織，這個組織約從2018年開始運作。此外，研究人員指出，根據他們掌握的情報，MalKamak也與數個伊朗政府資助的APT組織，例如Chafer（APT39）、Agrius有所聯繫，但Malkamak的攻擊特徵，又與其他伊朗駭客組織有所不同，而被資安研究員認為是新的APT駭客組織。</p> <h2><strong>假冒合法程式的名義來進行偽裝</strong></h2> <p>至於Cybereason發現這起攻擊行動的過程為何？該公司是在今年7月的網路攻擊中，看到不明的攻擊者，使用未曾出現過的ShellClient木馬程式。駭客先是運用這個RAT木馬程式來調查目標組織的網路環境，並外洩敏感資料。攻擊者先針對中東的大型航太與電信公司下手，隨後則對於美國、俄羅斯，以及歐洲地區的航太與電信產業發動攻擊。</p> <p>研究人員對於取得的木馬程式檔案進行分析，攻擊者將這個檔案命名為svchost.exe，但根據檔案資訊裡面的內容，該檔案被偽裝成另一個合法程式RuntimeBroker.exe──這是在Windows作業系統裡，監控微軟市集應用程式（Universal App）存取權限的應用程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image35-3.png" style="width: 456px; height: 215px;" /></p> <p>根據ShellClient的植入受害電腦方式，Cybereason指出總共有3種用途，首先，是能夠將其安裝為網路主機偵測服務（Network Hosts Detection Service，nhdService）。</p> <p>再者，則是能透過服務控制管理器（Service Control Manager，SCM）執行來建立反向Shell，來和設置好的Dropbox帳號進行通訊。至於第3種模式，則是將ShellClient當做一般處理程序執行。而這2種模式之下，還具備透過WMI（Windows Management Instrumentation）來收集系統資訊的功能，像是：BIOS資訊、Mac位址、受害電腦所安裝的防毒軟體等。</p> <p>而根據攻擊者使用ShellClient的手法，研究人員發現駭客也部署了其他的工具或是「就材取材（Living Off the Land）」，來進行偵察、橫向移動、資料收集等工作。例如，他們使用合法的PAExec與Net use指令，來進行橫向橫動的工作。</p> <p>在對於資料竊取的工作中，研究人員發現攻擊者運用LSA.EXE，將LSASS.EXE於記憶體內存放的帳密，另存到debug.bin的檔案，根據這個將帳密匯出的檔案名稱，Cybereason推測，LSA.EXE是伊朗APT駭客所使用的SafetyKatz工具變種版本。此外，對於外洩資料的打包，MalKamak使用了知名壓縮軟體WinRAR來進行處理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/image13-Oct-01-2021-06-18-15-23-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image13-Oct-01-2021-06-18-15-23-PM.png" style="width: 580px; height: 209px;" /></a></p> <h2><strong>木馬程式經過近3年發展，納入更為隱密的C2通訊機制</strong></h2> <p>根據調查結果，研究人員發現ShellClient至少經過6次改版。最早期的版本編譯於2018年11月6日，僅為單純的反向Shell，而於同年11月底編譯的第1版，為了能在受害電腦持續運作，ShellClient會偽裝成Windows Defender更新服務的方式執行。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/shellclient-devtimeline.png" style="width: 580px; height: 162px;" /></p> <p>而到了2018年12月製作的2.1版ShellClient，開始具備FTP與Telnet通訊能力、與C2中繼站連線採AES加密，以及自我更新機制等。</p> <p>直到今年，駭客製作了4.0.0版與4.0.1版，Cybereason認為這是ShellClient改版幅度最大的版本，原因是該版本納入新的技術來回避資安系統檢測。首先，攻擊者使用Costura來打包ShellClient，藉此混淆程式碼，讓資安人員反組譯更加困難。</p> <p>再者，攻擊者棄用舊的C2網域，並改以Dropbox內建的用戶端軟體來取代，他們濫用這項相當受到歡迎的雲端服務，向ShellClient發送命令，並將竊得資料存放到指定的Dropbox帳號。由於存取Dropbox的流量通常都被視為合法，而使得攻擊行動難以察覺。</p> <p>但為何4.0.1版會早於4.0.0版3個月製作？Cybereason沒有進一步說明。</p> </div></div></div>
2021/10/7 23:51作者周峻佑https://www.ithome.com.tw/news/147148
歐洲議會將反對警方以AI進行大規模監控
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.europarl.europa.eu/news/en/press-room/20210930IPR13925/use-of-artificial-intelligence-by-the-police-meps-oppose-mass-surveillance" target="_blank">歐洲議會（European Parliament）在本周通過了一項決議</a>，將反對警方以人工智慧（AI）技術進行大規模監控。</p> <p>本周通過的決議屬於不具約束力的決議（Non-binding resolution），它呈現的是歐洲議會的大多數共識，而非真的法案，其中有377名議員贊成，248名反對，還有62名議員棄權。</p> <p>議員們擔心的是AI應用中的演算法偏差，也認為需要藉由人工監督與強大的法令來防止AI的歧視，特別是在執法與過境時。</p> <p>在此一獲得大多數議員同意的決議中，呼籲AI演算法必須是有紀錄、透明且可追蹤的，且最好是使用開源軟體；認為應永遠禁止於公共場所監控個人，執法機關應該只能監控涉嫌犯罪的民眾；亦應禁止使用私有的人臉辨識資料庫，或是根據行為資料的預測性警務。</p> <p>該決議還希望可禁用以民眾行為來評估其可靠性的社會信用系統，以及禁止利用生物特徵來辨識遠方的民眾。</p> <p>歐洲議員Petar Vitanov表示，基本人權是無條件的，他們呼籲暫停部署用於執法目的人臉辨識系統，也反對根據AI與生物辨識資料的預測性警務，或者是任何會帶來大規模監視的生物辨識資料處理，這對全歐民眾來說是個巨大勝利。</p> </div></div></div>
2021/10/7 20:29作者陳曉莉https://www.ithome.com.tw/news/147153
在AMD處理器上執行Windows 11可能會降低某些程式效能，雙方著手修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟甫於10月5日開始於全球部署Windows 11，不過，<a href="https://www.amd.com/en/support/kb/faq/pa-400" target="_blank">根據AMD的公告</a>，在<a href="https://docs.microsoft.com/en-us/windows-hardware/design/minimum/supported/windows-11-supported-amd-processors" target="_blank">相容的AMD處理器</a>上執行Windows 11時，可能會影響某些應用程式的效能。</p> <p>AMD表示，已知的效能影響有兩項，一是L3快取的延遲最多可能增加3倍，二是UEFI CPPC2（Preferred Core）可能不會於處理器最快的核心上，優先排程執行緒。</p> <p>前者主要影響那些對於記憶體子系統存取速度較為敏感的應用程式，將使某些程式的效能下滑3~5%，電競遊戲的效能更可能下滑10~15%，微軟計畫本月就會藉由Windows更新來解決此一問題。</p> <p>至於後者則是會影響那些對一個或少數CPU執行緒效能較為敏感的應用程式，不過，其效能的改變要在大於8核心且熱設計功耗65W以上的處理器，才會比較明顯。雙方亦準備於10月修補該問題。</p> <p>這兩個問題所波及的都是相容於Windows 11的AMD處理器，AMD也建議用戶可以先繼續使用既有的Windows 10版本，等到修補後再升級至Windows 11。</p> </div></div></div>
2021/10/7 20:39作者陳曉莉https://www.ithome.com.tw/news/147154
時間序列資料庫Timescale推出新雲端服務，簡化使用且提供高可擴展性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>時間序列資料庫供應商Timescale宣布推出全新資料庫雲端服務，有別於之前在公有雲平臺AWS、GCP、Azure提供的全託管時間序列資料庫即服務Timescale Cloud（現已更名為Managed Service for TimescaleDB），從原本Timescale Forge更名而來的<a href="https://blog.timescale.com/blog/announcing-the-new-timescale-cloud-and-a-new-vision-for-the-future-of-database-services-in-the-cloud/">Timescale Cloud</a>，不只提供用戶更多的控制，也更易於根據需求調校，新功能支援多節點TimescaleDB、並且能消除因查詢失控，所造成的服務不穩。</p> <p>TimescaleDB是一個建立在Postgres資料庫之上的開源時間序列資料庫，針對時間序列工作負載設計，在關聯式資料庫上提供完整SQL支援，TimescaleDB 2.0加入了多節點縮放功能，因此能夠用應付PB級資料應用。</p> <p>推出Timescale Cloud的目的，是要解決目前無伺服器資料庫服務的痛點，Timescale提到，雖然無伺服器平臺和API本質是SaaS，用戶可以簡單地透過GET和POST存取網路端點，但是在深入使用後，便會發現需要學習新的API和查詢語言，並且被綁定在特定供應商的生態系統，使得資料難以搬遷，而且SaaS通常是黑盒子，有調校上的困難。</p> <p>Timescale推出適用於關聯式和時間序列工作負載的Timescale Cloud，以打開黑盒子的精神，設計這個新的雲端資料庫服務，官方提到，Timescale Cloud綜合了資料庫即服務和無伺服器SaaS資料平臺的優點。</p> <p>與資料庫即服務不同的是，官方提到，Timescale Cloud能夠簡單地擴展，其採用現代雲端架構設計，獨立運算和儲存元件，所有儲存都經過備份、加密，提供高可用性，即便物理上運算硬體出現故障，儲存仍可維持運作，Timescale Cloud會立即啟動新的運算資源，將其重新連接到儲存，迅速恢復服務。</p> <p>用戶也可以根據需求和預算，獨立調整運算和儲存大小，或是讓平臺根據使用量自動擴展儲存，只要資料庫資源配置有變化，平臺便會根據新配置進行最佳化。</p> <p>官方也解釋，Timescale Cloud與純粹的無伺服器資料庫平臺不同，不只是類SQL的變體，而是提供完整的SQL開發體驗，開發團隊能夠在Timescale Cloud，使用熟悉的查詢語言、工具、連接器和應用程式。</p> <p>Timescale Cloud是從去年所發布的Timescale Forge更新而來，在這個新版本，Timescale加入了多節點支援、一鍵式託管和配置功能，並且能夠簡單地分叉資料庫，供資料科學團隊開發和測試，另外，該平臺能自動保護查詢，不會因為記憶體不足，導致服務不穩定。</p> <p>在今年稍晚，Timescale會繼續更新該平臺，包括提供能靈活控制雲端服務的程式化API，可簡單和CI/CD工作管線整合，並且能夠以基礎設施即程式碼配置，還要提供服務副本唯讀端點，使Timescale Cloud能更好地在高寫入工作負載，維持查詢效能。</p> </div></div></div>
2021/10/7 20:45作者李建興https://www.ithome.com.tw/news/147147
Google利用指令微調技術增加語言模型的泛化能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發展出一種稱之為指令微調（Instruction Fine-Tuning）的技術，能夠更簡單的對模型進行微調，使其具有解決一般自然語言任務的能力，研究人員使用該技術來訓練模型，並將該模型稱之為<a href="https://ai.googleblog.com/2021/10/introducing-flan-more-generalizable.html">FLAN</a>（Fine-tuned LAnguage Net）。由於和模型預訓練的計算量比起來，FLAN的指令微調階段只要少量更新，因此適合用來解決未見過的任務。</p> <p>機器學習模型要生成有意義的文字，必須要具備大量的知識和抽象能力，研究人員提到，雖然現在經過訓練的語言模型，越來越能夠在擴展時，自動獲取這些知識，但是並無法將這些知識，直接應用在解決特定任務上，因此需要透過微調技術，標記資料集來訓練模型，使其適應特定任務。</p> <p>不過即便是微調訓練，仍需要大量的訓練範例，並且需要針對下游任務儲存模型權重，因此實際上並不實用，尤其是對大型模型來說，研究人員提到，雖然近期在語言模型任務中，使用稱為零樣本或是少樣本提示技術，透過給定模型在訓練期間看過的句子，並且挖空部分單字，要求模型完成該語句，透過模型填入的字詞，來獲取想要的答案。</p> <p>零樣本提示技術僅在特定任務表現良好，但需要仔細設計任務，才能使其看起來像模型在訓練看到的資料，在實際應用情境中，並非一種直覺的模型操作方法，研究人員還提到，就連語言模型GPT-3創建者也認為，這種提示技術，無法在自然語言推理任務中發揮良好的效能。</p> <p>與零樣本提示技術不同，FLAN使用較為簡單且直覺的任務描述，像是「分類電影評論成正面或負面」或「將這句話翻譯成丹麥語」等。由於從頭創建指令資料集需要大量資源，因此研究人員改使用模板，將現有的資料集轉換成訓練用格式。</p> <p>實驗證實，使用指令來訓練模型，模型不僅會越來越擅長解決在訓練期間看到的指令，整體而言也更善於遵循指令。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/-_kPdaMrcRWI/YV2b-XFoRxI/AAAAAAAAIMw/KDjg0IfuoK8hjpSXNODoV46D8Rb5rK8hgCLcBGAsYHQ/s1460/image3.gif" style="width: 580px;" /></p> <p>研究人員以25個基準任務評估FLAN，除了其中4個任務，其他任務表現都優於零樣本提示，且在25個任務中，有20個任務優於零樣本GPT-3，甚至比少樣本GPT-3更好。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image5(8).png" style="width: 580px;" /></p> <p>研究人員還發現，規模對於模型可從指令微調獲益的能力影響很大，在小規模中，FLAN技術反而會降低效能，僅有在較大規模的模型，才能從訓練資料中的指令，泛化處理未曾見過的任務，研究人員解釋，這是因為太小的模型，沒有足夠的參數來執行大量任務。</p> <p>FLAN模型並非第一個使用指令集訓練的模型，但FLAN是第一個大規模應用指令微調技術，並且證明可以提高泛化能力的模型。</p> </div></div></div>
2021/10/7 20:47作者李建興https://www.ithome.com.tw/news/147149
Google發表機器學習能力強10倍的第二代室內有線Nest攝影機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布<a href="https://www.blog.google/products/google-nest/new-indoor-wired-nest-cam-available-today/">第二代Nest Cam</a>，這是一個針對室內用途而設計的有線攝影機，其具備經過強化的機器學習功能，供使用者將其用於室內追蹤和監控，價格為99.99美元，其他特殊設計，可安裝於桌面或是牆壁的款式，售價則為119.99美元。</p> <p>官方提到，新一代的Nest攝影機的機器學習能力，是上一代的10倍，而且具有經強化的HDR影像品質，還能夠直接在裝置上處理事件，因此能夠更準確並且即時地發出警示。Nest攝影機能夠偵測人、動物和車輛，但僅會在必要的時候，向用戶發出警示。</p> <p>同時，Nest攝影機本身還具有3個小時的事件視訊歷史紀錄功能，不需要額外付費訂閱服務，供用戶以影像回顧3小時來發生的事件，並且讓用戶創建活動區，使得Nest攝影機能夠專注監控自家的空間，不受不相關的人事物干擾。</p> <p>Nest攝影機具有本地儲存備份，來增加事件監控的可靠性，在Wi-Fi中斷的情況，攝影機仍會繼續拍攝並且儲存事件剪輯，在服務恢復時，再將剪輯上傳至Google Home應用程式。</p> <p>Google Home應用程式與Nest攝影機緊密整合，供用戶能夠隨時查看和控制攝影機，並且選擇要接受的通知、設定活動區域，並且在相容裝置，包括顯示器、自動溫控裝置和Nest門鈴上，查看歷史紀錄。</p> <p>用戶可以訂閱Nest Aware來擴展事件影像歷史紀錄的留存時間，從3天增加到30天，訂閱Nest Aware Plus則能獲得60天的歷史紀錄時間，以及10天的連續影像歷史紀錄，這兩種訂閱服務都提供熟悉人臉偵測功能，可以讓攝影機辨識出用戶熟悉的人。</p> </div></div></div>
2021/10/7 20:49作者李建興https://www.ithome.com.tw/news/147151
Sensor Tower：臉書當機期間，競爭對手全數成長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>包括Facebook、Instagram與WhatsApp等臉書家族，在臺北時間10月5日凌晨發生大當機事件，在全數服務都停擺的狀態下，<a href="https://sensortower.com/blog/facebook-outage-impact" target="_blank">App資料分析業者Sensor Tower觀察到</a>，臉書的競爭對手因此而獲益，不管是在使用時間上或安裝數量上都有顯著的成長。</p> <p>Sensor Tower比較了臉書家族當機的當天與一周前的使用時間，發現使用者當天在Snapchat上花的時間增加了23%，在Telegram上花的時間增加了18%，但Signal上的時間增加15%，在Twitter上花的時間增加了11%，但在TikTok花的時間只增加2%。</p> <p>更引人注目的是臉書競爭產品的安裝數量。這次Sensor Tower比較的是當天與前一天的安裝數據。例如當機當天Signal的安裝數量超過88萬，比前一天多了1,200%；Viber創下100萬的安裝數量，成長630%；Telegram更有630萬的安裝數量，增加530%。</p> <p>Sensor Tower認為，臉書的當機讓使用者對其競爭對手產生興趣，例如Telegram與Signal。不過，相較於WhatsApp在全球已達到60億的安裝數量，這兩款程式仍分別只有10億與1.1億的安裝數量。</p> </div></div></div>
2021/10/7 20:01作者陳曉莉https://www.ithome.com.tw/news/147150