iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 5篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

GKE Autopilot現可使用先占式Pod來節省容錯工作負載成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其Kubernetes服務GKE的Autopilot功能，加入<a href="https://cloud.google.com/blog/products/containers-kubernetes/announcing-spot-pods-for-gke-autopilot">先占式Pod（Spot Pod）</a>的支援，使得不需要高可靠性的工作負載，能夠以更經濟和便捷的方式運作。</p> <p>Google在今年二月的時候推出Autopilot功能，其提供自動模式替用戶管理基礎設施，並且藉由應用最佳實踐，來提升Kubernetes環境的效能和安全性。Google提到，Autopilot適合執行穩定的生產工作負載，但是其他的工作負載可能不需要生產等級的可靠性，像是容錯批次處理，或是可以用來處理故障的開發和測試叢集等用例。</p> <p>GKE標準用戶可以在Spot虛擬機上執行GKE叢集和節點池，以獲得先占式定價。而Google現在也在Autopilot加入先占式Pod功能，提供用戶一種可以在GKE Autopilot上，執行非高可靠度工作負載，經濟且高效的方式。</p> <p>當用戶使用Spot Pod執行工作負載時，可以獲得定價的60％到91％折扣，由於先占式Pod可運作的時間沒有嚴格限制，因此在資源需求高的時候，平臺便有可能收回先占式資源，因此Pod隨時都可能被搶占或是驅逐。</p> <p>先占式Pod使用GCP中空閒的運算容量運作，只要運算資源可用，用戶便能以比一般Autopilot Pod更低的價格使用，但是Google雲端需要將這些資源用於其他任務時，便會給用戶25秒的時間結束應用程式，並且驅逐先占式Pod，在有可用容量時，用戶可以重新部署先占式Pod，並從中斷的地方繼續執行。</p> <p>GKE從1.21.4版本開始提供先占式Pod，Autopilot會將先占式Pod和一般Pod分開，不會落在相同的節點上，Google提到，在Autopilot叢集上執行容錯工作負載時，先占式Pod能夠最大程度節省成本，而一般的Pod則可以使用承諾使用折扣，來進一步降低費用。</p> </div></div></div>
2021/11/12 17:13作者李建興https://www.ithome.com.tw/news/147815
邁向2030企業要保有世界級競爭力，BSI認為資安與永續是關鍵議題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著資安成為企業永續經營重要指標，對於臺灣企業和組織而言，CXO的資安思維也得跟上，在今年的英國標準協會（BSI）舉辦的國際資安標準年會上，BSI東北亞區總經理蒲樹盛說明了2021年的國際資安現況觀察。</p> <p>從國際與臺灣對於企業永續發展的態勢來看，不論是道瓊永續發展指數（DJSI），以及臺灣企業永續獎的評選，近年都開始重視資安，將資安管理納入評比的項目，資安顯然成為CXO更需重視的課題。</p> <p>蒲樹盛表示，企業不應該將資安視為一種阻力，需將資安議題變成數位轉型的助力，以具備資訊韌性。同時，隨著這兩年全球正流行環境、社會與企業治理（ESG）的議題，也讓各界可以跳脫思維，重新思考ESG趨勢下的資安思維與挑戰。</p> <p>面對上述這些趨勢與潮流，他點出組織韌性的議題，不只是中小企業關心，面對當前氣候變遷、科技、經濟與社會的挑戰，大企業其實往往也都不知道自身韌性的程度。他以BSI與經濟學人雜誌前幾年所做的一個調查為例，指出標普500大（S&P500）公司的歷年統計中，有一個變化值得關注，從1960年開始，每10年會有75%的公司，消失在前500大。因此，企業需要有警覺意識。</p> <p>而現在的科技發展之下，企業首要面臨的挑戰，就是數位轉型。</p> <p>臺灣的數位轉型能力如何？蒲樹盛提出觀察，他表示，這一年多，在政府的管理與全民的紀律下，臺灣的疫情在全世界中，控制算相當不錯，不過，臺灣在疫情最嚴重時，為何可以停課不能停班？他認為可以從這樣的角度去思考，就能知道我們在數位轉型的基礎建設上，還有改善空間。</p> <p>他也以BSI自身經驗為例，很多年前，BSI英國總部就要求員工使用筆電，而不是桌機，到了美國發生911恐怖攻擊事件後，全世界的營運持續都開始朝向數位轉型的邏輯與概念去思維，反觀臺灣，現在很多國內企業組織的情況是，因為擔心資安，因而遲遲不做數位轉型。他認為，這樣的發展絕對是有問題的，因此他也再度強調，必須要把資安變成數位轉型的助力。</p> <p>而從國際上來看，後疫情時代之下，儘管居家辦公擴展了組織防禦邊界，因此現在也重視將家庭網路納入資安防護考量。如今，已有很多公司希望採混合或全遠端方式來工作。對於員工而言，雖然居家辦公看起來較忙，但其實也少了原本要通勤的時間，是否能夠調整工作與休息，以及善用原本的通勤時間，在數位轉型過程下，更彈性的工作環境，也可能變成企業爭取優秀員工的條件之一。</p> <p>此外，在現今數位力量集中化的局勢下，全球數位強權的落差將越來越大，這也連帶會讓企業競爭力產生更大的落差。</p> <h3><strong>2030年將有四大科技變化值得關注</strong></h3> <p>至於對於未來10年的觀察，蒲樹盛指出，科技與永續將是到2030年持續重要的議題，特別是科技部分，他認為這10年將是一片看好，他特別點出未來4大重要進程。</p> <p>第一，行動網路在2030年將進入到6G時代，美國也將奪回這方面的主權，而從過去經驗來看，每10年提升一個世代的行動網路，所帶來的數位轉型機會也更巨大。</p> <p>第二，屆時自駕車將實現Level 5水準。現今的自駕車技術已達Level 3程度，也就是有方向盤與司機，但不用百分百手動操作，具備自動跟車系統、車道偏移系統與防撞系統等；到了2025年時，預計提升到Level 4，有方向盤沒有司機，車上所有人都是乘客，達到一定程度自駕能力；而2030年的Level 5自家車將不再有方向盤與司機，我們可以想像，新的科技將推動人類社會到更不同的環境。</p> <p>第三，再生能源車在2030年將達市佔率20％。隨著歐盟在2019訂出永續標準，對於燃油車汽油車的規範，已經從今年開始實施，能耗指標新規定，平均每公里碳排量上限從130克降為95克，每超標1克罰款95歐元，相當於3000元。這樣的政策法規，將促使燃油車都必須朝向再生能源車發展。</p> <p>第四，AI將成熟並提供服務機器人。AI技術在很多領域帶來幫助，甚至犯罪者也在運用AI，都顯示技術持續呈現高速發展的態勢，加上近日臉書公司改名為Metaverse，並積極朝向虛擬實際擴增實境，這些方面的科技進步，也讓2030年的生活型態有更多想像。</p> <p>最後，蒲樹盛也談到兩個受關注議題，包括：前幾年提出的營運資料保全避風港的概念，以及淨零排放（Net Zero）。基本上，備份的重要性已經不言而喻，多數企業也都清楚，但如何落實與更進一步仍要重。而在淨零排放方面，也與數位轉型有直接與間接的關係，現在很多組織也都受到客戶要求，畢竟這已是全球共識，要用經濟的手段來解決環境的衝擊。他認為，從ESG的角度來看，這其實並不會抵觸資安與資訊韌性，從ESG的解決方案看，反而是大幅要求透過數位轉型來降低全世界的節能減碳。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89BSI%E8%92%B2%E6%A8%B9%E7%9B%9B%E8%B3%87%E5%AE%89%E8%88%87%E6%B0%B8%E7%BA%8C_%E6%B7%A8%E9%9B%B6%E6%8E%92%E6%94%BE.jpg" style="width: 600px;" /></p> <blockquote><p>淨零排放（Net Zero）已經成為近年全球關注的重要議題，自2019年英國議會通過立法，承諾該國到 2050 年將其淨排放量減少 100%。如今全球各國也在跟進，儘管這是一項艱難的任務，但從各個產業與面向建立<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">可持續的做法，已經成為必要。</span></p> </blockquote> </div></div></div>
2021/11/12 11:45作者羅正漢https://www.ithome.com.tw/news/147793
美國加入「巴黎呼籲」資安聯盟，加強與國際間的連結
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國總統馬克宏（Emmanuel Macron）在2018年的11月，發起了「巴黎呼籲：網路空間的信任與安全」（Paris Call for Trust and Security in Cyberspace），號召全球所有的網路空間使用者共同合作以保護網路的安全，當時的美國總統川普（Donald Trump）拒絕加入。不過，在改朝換代之後，<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2021/11/10/fact-sheet-vice-president-harris-announces-initiatives-on-space-and-cybersecurity/" target="_blank">美國副總統Kamala Harris本周宣布將支持該呼籲</a>。</p> <p>「巴黎呼籲」的目的，是要在國際間建立一個類似實體世界共同遵守的網路規則，共同對抗在此一數位空間中出現的網路犯罪、資訊操縱、針對經濟與政治的間諜行動，或者是針對重大基礎設施或個人的網路攻擊行動，不管相關攻擊是來自於政府或非政府組織。</p> <p>迄今全球已有80個國家、391個組織及705家企業加入「巴黎呼籲」，包括美國兩大科技業者微軟與Google。</p> <p>Harris表示，美國對「巴黎呼籲」的支持反映出拜登（Joe Biden）政府在網路議題上，把強化美國及國際社群間的合作視為優先選項，未來將與國際社群合作，加強網路安全，同時保護開放、互動、安全及可靠的網路，亦與法國及其它志同道合的國家結盟，追究那些參與破壞網路活動的國家的責任。</p> <p>其實美國已經召集G7國家以向窩藏駭客的國家究責，也於7年來首度支持北大西洋公約組織所更新的網路政策，亦於日前主辦了對抗勒索軟體線上虛擬會議，總計有超過30個國家參與，在幾無邊界的網路世界裡，國際間的合作更形重要。</p> <p><a href="https://blog.google/outreach-initiatives/public-policy/welcoming-us-eu-collaboration-cybersecurity/" target="_blank">早就簽署「巴黎呼籲」的Google也特別撰文</a>歡迎美國與歐洲在網路安全上的合作，負責歐洲公共政策的Google副總裁Annette Kroeber-Riel表示，網路原本就是個多方共同參與的系統，保護線上市民需要政府及企業的合作，此次的宣布代表美國將進一步強化與國際間在網路安全上的合作關係。</p> </div></div></div>
2021/11/12 15:31作者陳曉莉https://www.ithome.com.tw/news/147807
【資安日報】2021年11月12日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客握有臺灣民眾大量個資，且直到有人把這些資料集結起來，製作成「小白機」向房仲兜售才被發現。但製作小白機的房仲究竟如何取得如此龐大的個資？調查局資安站最近有了新的答案：這些資料是由1名蘇姓男子從暗網取得。但這些資料又是如何流入暗網？恐怕還有待釐清。</p> <p>除了公部門受到威脅，國家的關鍵機礎設施遭到駭客把持的情況，國外也有案例值得我們注意。最近澳洲一份年度財務稽核報告指出，當地大型自來水廠SunWater的1臺伺服器，竟被駭客掌控長達9個月。這也突顯當地水力設施的資安防護，恐怕有待加強。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://udn.com/news/story/7315/5883963"><span style="color: rgb(0, 0, 0);">警方追查房仲查詢系統的個資來源，起訴販賣個資的嫌犯</span></a></strong></h4> <p>由前房仲溫俊偉編寫、販售俗稱「小白機」的房仲查詢系統，內含全臺1億8千萬筆房產及屋主個資，且詳細記錄陳水扁、馬英九、蔡英文等前後3任總統的居住地點與工作履歷。但這些資料來源為何？調查局資安站指出，這些資料來自1名蘇姓男子，他宣稱是從暗網取得再賣給溫姓房仲。蘇姓男子於11月11日被依妨害電腦使用等罪名，以10萬元交保。檢調認為，這些數量龐大個資的出處，疑似是內政部多年前遭駭客入侵而外流。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/hackers-undetected-on-queensland-water-supplier-server-for-9-months/"><span style="color: rgb(0, 0, 0);">駭客埋伏澳洲供水業者的網路長達9個月</span></a></strong></h4> <p>水資源設施遭到駭客鎖定的現象，不時有攻擊事件傳出。澳洲昆士蘭州審計辦公室於11月10日，公布年度財務稽核報告，當中指出，澳洲政府持有的SunWater自來水廠，攻擊者自2020年8月到2021年5月，接管該水廠1臺儲存客戶資料的網頁伺服器。駭客利用惡意軟體增加影音串流平臺的流量，似乎對於機敏資料不感興趣。</p> <h4><a href="https://blog.talosintelligence.com/2021/11/kimsuky-abuses-blogs-delivers-malware.html"><span style="color: rgb(0, 0, 0);"><strong>北韓駭客鎖定南韓智庫發動攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/image11.jpg" style="width: 300px; height: 188px; float: right;" /></strong></span></a></h4> <p>思科發現北韓APT駭客組織Kimsuky（亦稱Thallium、Black Banshee）自2021年6月以來的惡意軟體攻擊，該組織利用Google代管的部落格，提供3種類型的作案工具，包含了Beacon、竊密工具，以及植入惡意程式的指令碼，此攻擊行動針對韓國智庫而來。</p> <h4><strong><a href="https://www.zdnet.com/article/comic-book-distributor-struggling-with-shipments-after-ransomware-attack/"><span style="color: rgb(0, 0, 0);">美國大型漫畫書經銷商遭勒索軟體攻擊，出貨受到波及</span></a></strong></h4> <p>總部位於美國馬里蘭州的漫畫書經銷商Diamond Comic Distributors，於11月7日遭到勒索軟體攻擊，該公司發聲明表示，由於訂單處理系統與內部通訊平臺受損，他們原定於10日的出貨計畫將延後2至4日，並指出他們與第三方團隊Agility Recovery合作，並通報執法單位。該公司強調，客戶資料與財務資訊不受影響。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/magniber-ransomware-gang-now-exploits-internet-explorer-flaws-in-attacks/"><span style="color: rgb(0, 0, 0);">Magniber勒索軟體利用MSHTML漏洞入侵受害電腦</span></a></strong></h4> <p>中國資安業者騰訊安全指出，近期Magniber勒索軟體鎖定2個MSHTML漏洞，來入侵受害電腦，分別是CVE-2021-26411和CVE-2021-40444，這些漏洞的CVSS風險層級皆為8.8分，微軟先後於3月及9月修補。騰訊指出，駭客在微軟尚未修補之前就開始利用這些漏洞。</p> <h4><strong><a href="https://cybersecurity.att.com/blogs/labs-research/att-alien-labs-finds-new-golang-malwarebotenago-targeting-millions-of-routers-and-iot-devices-with-more-than-30-exploits"><span style="color: rgb(0, 0, 0);">殭屍網路BotenaGo鎖定33個物聯網裝置漏洞發動攻擊</span></a></strong></h4> <p>研究人員發現新的殭屍網路病毒BotenaGo，攻擊的標的為D-Link、Netgear、Zyxel等多個廠牌的連網裝置而來，針對33個漏洞發動攻擊，數百萬設備可能受到波及。BotenaGo是以Go語言開發而成，且能識別為有害的防毒引擎並不多，62個防毒引擎僅有6個察覺有異，其中，部分防毒引擎將其歸類為Mirai。</p> <h4><strong><a href="https://news.sophos.com/en-us/2021/11/11/bazarloader-call-me-back-attack-abuses-windows-10-apps-mechanism/"><span style="color: rgb(0, 0, 0);">攻擊者透過Windows 10應用程式安裝工具散布惡意軟體<img alt="" src="https://s4.itho.me/sites/default/files/images/app-installer-warning.png" style="width: 300px; height: 169px; float: right;" /></span></a></strong></h4> <p>Sophos資安研究人員接獲假冒該公司主管的人士，寄給他們一封釣魚郵件，宣稱有客訴沒有向他通報，並提供一份報告的下載連結。經分析後發現，這是攻擊者意圖透過Windows 10應用市集的安裝工具，以安裝PDF檢視工具的名義，引誘使用者下載惡意軟體，最終會在受害電腦上植入BazaBackdoor。</p> <h4><strong><a href="https://blog.barracuda.com/2021/11/10/threat-spotlight-bait-attacks/"><span style="color: rgb(0, 0, 0);">逾9成誘餌郵件攻擊濫用Gmail帳號來發動</span></a></strong></h4> <p>以偵察攻擊目標為主要目的的誘餌（Bait）攻擊，近年來有上升的趨勢。資安業者Barracuda針對10,500個組織進行調查，發現35%在2021年9月裡，就曾收到這種型態的釣魚郵件。而攻擊者發動誘餌郵件攻擊偏好採用Gmail帳號，原因是Gmail相當受到歡迎，且允許使用者建立別名等特性，使得攻擊者得以用來確認攻受害者電子郵件信箱的運作狀態。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/147796"><span style="color: rgb(0, 0, 0);">研究人員在18個月內發現近百個TCP/IP堆疊漏洞</span></a></strong></h4> <p>最近的1年半來，研究人員陸續找出AMNESIA:33、NUMBER:JACK、NAME:WRECK、INFRA:HALT，以及NUCLEUS:13等TCP/IP堆疊的漏洞，而主導這項漏洞研究計畫的資安公司Forescout指出，這項針對TCP/IP堆疊的漏洞研究計畫，執行至今已找出97個漏洞。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/147782">2021年11月11日</a></p> <p><a href="https://www.ithome.com.tw/news/147753">2021年11月10日</a></p> <p><a href="https://www.ithome.com.tw/news/147730">2021年11月9日</a></p> <p> </p> </div></div></div>
2021/11/12 13:04作者周峻佑https://www.ithome.com.tw/news/147798
過去18個月有近百個TCP/IP漏洞被揭露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.forescout.com/resources/project-memoria-lookback-report/" target="_blank">安全廠商一份報告顯示</a>單單18個月內，就有97個和TCP/IP堆疊或協定相關的漏洞被揭露，而且影響幾乎所有堆疊。</p> <p>安全業者Forescout在Project Memoria下發布這項報告。<a href="https://www.ithome.com.tw/news/138395" target="_blank">該公司2020年6月和以色列顧問公司合作揭露20項嵌入式TCP/IP函式庫漏洞</a>，統稱為Ripple20，並展開18個月的長期計畫。Forescout相信，Ripple 20發現的問題，可能也會出現在其他TCP/IP堆疊，而且其他堆疊還廣泛分散在不同廠商及不同產品中。</p> <p>而將近1年半後，Forescout陸續發現多組TCP/IP堆疊漏洞。包括去年底的33個<a href="https://www.tenable.com/blog/amnesia33-researchers-disclose-33-vulnerabilities-tcpip-libraries-uip-fnet-picotcp-nutnet" target="_blank">AMNESIA:33</a>、今年9個<a href="https://www.tenable.com/blog/numberjack-nine-vulnerabilities-across-multiple-open-source-tcpip-stacks" target="_blank">Number: Jack</a>、9個<a href="https://us-cert.cisa.gov/ncas/current-activity/2021/04/15/namewreck-dns-vulnerabilities" target="_blank">NAME:WRECK</a>、14個<a href="https://jfrog.com/blog/infrahalt-14-new-security-vulnerabilities-found-in-nichestack/" target="_blank">INFRA:HALT</a>，以及上周公布的<a href="https://www.ithome.com.tw/news/147773" target="_blank">Nucleus: 13</a>。加上<a href="http://www.ithome.com.tw/news/138395" target="_blank">RIPPLE:20</a>，一共揭露了97項TCP/IP漏洞。</p> <p>在這些漏洞中，除了Number: Jack是發生在TCP/IP產生初始序列號（Initial Sequence Number，ISN）過程中的漏洞，其餘各漏洞分散在不同TCP/IP堆疊中。共有14個TCP/IP堆疊被影響，包括CycloneTCP、FNET、FreeBSD、IPnet、MPLAB Net、NetX、NicheStack、NDKTCPIP、Nucleus NET、Nut/Net、picoTCP、Treck和uC/TCP-IP及uIP。lwIP是唯一經過分析還沒發現任何問題的堆疊。</p> <p>Project Memoria分析的TCP/IP堆疊，被應用於各種產業聯網裝置，涵括醫療、政府、金融、製造、運輸等，同一漏洞就可能波及不同產業。受這近百項漏洞影響的知名產品包括Microchip Wi-Fi模組、BD輸液裝置、飛利浦的醫療系統、空氣清淨機及連網吸塵器、西門子RFID讀取器和氣體滑輪機、Ricoh印表機、B&R Automation運動控制、以及施耐德電機及洛克威爾自動化（Rockwell Automation）的工控設備等。總計這些漏洞影響442家廠商出產的約25萬臺裝置。但442家廠商中，只有81家發出安全公告，因此可能有許多裝置客戶並不知漏洞的存在，也沒有修補，進而曝險。</p> <p>25萬臺有漏洞的裝置分布上，各有6.4萬及5.4萬臺安裝在政府及醫療業客戶環境，其他產業如製造、零售及金融也都有超過2萬臺。若以用戶平均安裝的風險裝置來看，以醫療業最多，一家機構平均有492臺。</p> <p><a href="https://www.ithome.com.tw/news/147773" target="_blank">研究人員本周建議企業</a>，如果得知有TCP/IP堆疊或協定漏洞，除了儘速安裝修補程式外，應盤點網路環境中所有問題軟體的裝置、執行網路分區（segmentation）控制、以及監控所有網路可疑封包。</p> </div></div></div>
2021/11/12 12:25作者林妍溱https://www.ithome.com.tw/news/147796
Google揭露駭客利用macOS零時差漏洞攻擊香港使用者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門查找零時差漏洞的Google威脅分析小組（TAG）在本周，<a href="https://blog.google/threat-analysis-group/analyzing-watering-hole-campaign-using-macos-exploits/" target="_blank">公布了駭客利用macOS零時差漏洞CVE-2021-30869的細</a>節，指出他們是在今年的8月發現，有駭客鎖定一個香港媒體網站，以及另一個著名民主團隊的網站展開水坑攻擊（Watering Hole），再開採CVE-2021-30869漏洞於受害者裝置上植入木馬程式。</p> <p>根據TAG的分析，駭客利用這兩個網站的嵌入式框架、自C&C伺服器供應兩個開採程式，分別鎖定iOS與macOS，其中，針對iOS的開採程式利用了一個舊有的CVE-2019-8506漏洞，以於Safari上執行任意程式，針對macOS的開採程式則會先偵測使用者的作業系統版本，顯示當以macOS Catalina（10.15）造訪這些網站時，即會呈現完整的攻擊鏈。</p> <p>此一攻擊鏈結合了在今年1月修補的WebKit遠端程式攻擊漏洞CVE-2021-1789，以及當時還沒人知道的CVE-2021-30869漏洞。CVE-2021-30869存在於蘋果作業系統所使用的XNU核心，它是個類型混淆漏洞，允許惡意程式以核心權限執行任意程式，蘋果在收到Google的報告之後，<a href="https://www.ithome.com.tw/news/146869" target="_blank">9月便釋出修補程式</a>。</p> <p>TAG指出，在成功開採相關漏洞之後，駭客即可於背景中下載惡意酬載，他們所觀察到的酬載看起來像是軟體工程的產物，它含有許多元件，有些為模組，主要功能包括蒐集受害者裝置的指紋、螢幕截圖、下載或上傳檔案、執行終端命令、錄音及側錄鍵盤等。</p> <p>有鑑於該酬載的品質，TAG相信駭客擁有自己的軟體工程團隊，而且資源豐富，可能是國家支持的駭客集團。</p> </div></div></div>
2021/11/12 12:05作者陳曉莉https://www.ithome.com.tw/news/147795
避免按遜攻擊，YouTube開始隱藏所有影片的按遜數量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.youtube/news-and-events/update-to-youtube/" target="_blank">YouTube於本周宣布</a>，即日起將著手隱藏YouTube所有影片上公開的按遜（Dislike）數量，使用者依然可以按遜，而創作者也仍然可自後端看到精確的按遜數量，只是使用者無法再因為有其他人展開按遜攻擊而隨之起舞。</p> <p>與臉書堅持不增加按遜功能不同，YouTube在2010年便允許使用者替影片按讚或按遜，甚至還公布最多人按遜的YouTube影片年度榜單。2018年時，YouTube的年度回顧影片，還登上最不受歡迎影片排行榜的第一名，當時該影片於全球獲得了1,500萬個遜。</p> <p>消遣YouTube是一回事，但透過按遜攻擊來騷擾創作者就是另一回事了。YouTube表示，該平臺想要創造一個兼容且互相尊重的環境，讓創作者取得成功的機會，同時得以安全地表達自己，因此在今年3月開始測試將按遜數量隱藏，顯示它的確減少了相關的攻擊行為。</p> <p>現在YouTube決定正式把公開的按遜數量隱藏，平臺上依舊會存在著按遜的按鍵，使用者也可以按遜，但不會再出現公開數字，而創作者則可透過YouTube Studio檢視所有的按遜數量。</p> <p>YouTube表示，雖然有使用者認為按遜數量可作為他們是否觀賞影片的參考，而不同意YouTube的作法，但他們相信這對該平臺而言應是一個正確的決定。</p> </div></div></div>
2021/11/12 08:41作者陳曉莉https://www.ithome.com.tw/news/147792
AWS推出可以用來量測和改進應用程式韌性的Resilience Hub服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對應用程式的韌性（Resilience）需求，AWS推出<a href="https://aws.amazon.com/tw/blogs/aws/monitor-and-improve-your-application-resiliency-with-resilience-hub/">Resilience Hub</a>服務，供使用者定義、追蹤和管理應用程式的韌性。Resilience Hub讓用戶制定恢復時間目標（Recovery Time Objective，RTO），以及恢復點目標（Recovery Point Objective，RPO），並且根據這些目標，評估應用程式的配置是否滿足要求。</p> <p>AWS提到，建構分散式系統很難，要維持系統一直在正常運作狀態更難，用戶不應該擔心系統是否會故障，而是應該關注系統什麼時候故障，並且為此做好準備。用來衡量韌性的指標通常有兩個，一個是從故障恢復所需要的時間RTO，以及故障意外發生後，資料可能丟失的最大時窗RPO，依據用戶的業務和應用程式，指標可以用秒、分、小時和天來衡量。</p> <p>用戶可以在AWS Resilience Hub中設定每個應用程式的RTO和RPO，該服務會提供建議和韌性分數，供用戶追蹤應用程式的韌性。AWS Resilience Hub能夠探索由AWS CloudFormation部署的應用程式，包括跨地區和帳戶的堆疊，並且還能從資源群組和標籤中發現應用程式，或是從AWS Service Catalog AppRegistry中選擇已經定義的應用程式。</p> <p>AWS強調，AWS Resilience Hub所涵蓋的「應用程式」，不僅是應用程式軟體和程式碼，範疇還包括託管應用程式的整個基礎設施堆疊，像是網路、虛擬機器和資料庫等各部分。而AWS Resilience Hub的韌性評估功能，使用AWS Well-Architected Framework最佳實踐來評估用戶的應用程式，藉由發現因基礎設施配置不完整或是錯誤配置，找出潛在的韌性弱點，並且提供增加應用程式韌性的建議。</p> <p>韌性評估會生成程式碼，協助用戶建立恢復程序，作為應用程式的AWS Systems Manager文件，也就是標準作業程序（SOP），另外，Resilience Hub會產生推薦的Amazon CloudWatch監控器和警示報表，供用戶在部署應用程式後，快速掌握任何的彈性狀態變化。</p> <p>用戶將應用程式和SOP更新納入韌性評估建議後，便可以使用Resilience Hub來測試和驗證應用程式是否達到韌性目標，之後再將應用程式發布到生產環境中。Resilience Hub還與AWS Fault Injection Simulator（FIS）整合，FIS會藉由在AWS上執行故障模擬，來測試應用程式在各種故障情況的行為。</p> <p>Resilience Hub也提供開發團隊API，將韌性評估和測試整合到CI/CD工作管線中，以持續進行韌性驗證，透過在CI/CD工作管線驗證韌性，能夠確保應用程式底層基礎設施的每一次更新，都不會影響其韌性。</p> <p>用戶可以從控制面板全面了解應用程式的韌性狀態，Resilience Hub會全面追蹤應用程式的韌性狀態，其整合了所有組織韌性事件、警示和來自Amazon CloudWatch與FIS服務的分析。Resilience Hub針對應用程式所產生的韌性分數，代表韌性測試、警示和恢復SOP的實作水準，用戶可以透過增加分數來推進應用程式韌性。</p> <p>目前Resilience Hub已經在美東、美西和歐洲地區推出，亞洲則先在新加坡和東京地區提供，之後還會陸續在更多的地區上線。用戶可以先免費試用Resilience Hub服務6個月，之後支付每個應用程式每月15美元的費用。</p> </div></div></div>
2021/11/12 08:51作者李建興https://www.ithome.com.tw/news/147790
Google推出Vertex Pipelines簡化自動化機器學習流程建置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布推出<a href="https://cloud.google.com/blog/products/ai-machine-learning/serverless-machine-learning-pipelines-on-google-cloud">Vertex Pipelines</a>，供用戶建構機器學習工作管線，來加速機器學習工作流程。Vertex Pipelines為一個無伺服器服務，能夠執行由Kubeflow Pipelines（KFP）或TensorFlow Extended（TFX）開源函式庫所定義的工作管線。</p> <p>Google解釋，要擴展機器學習工作流程最好的方式，是將工作流程以工作管線的方式運作，每個工作管線的步驟，都是機器學習過程的各個部分，工作管線能夠在企業中進行生產、共享，並且可靠地複製機器學習工作流程，Google認為，工作管線也是MLOps的關鍵，用戶可以建構系統來自動重新訓練和部署模型。</p> <p>而機器學習工作管線便是將機器學習流程，封裝成一系列步驟，工作管線中的每一步驟都是一個容器，每一步的輸出都可作為下一步驟的輸入，但這樣的方法會出現兩個問題需要解決，第一是用戶需要將每個步驟轉換成為容器，第二則是需要配置基礎設施來大規模執行工作管線。</p> <p>第一個問題可以使用開源函式庫解決，KFP和TFX可將工作管線步驟轉換成為容器，並且管理工作管線中的輸入和輸出，因此用戶可以使用KFP和TFX來定義工作管線，並在Vertex Pipelines上執行。另外，Vertex Pipelines是完全無伺服器服務，因此就能解決第二個問題，當用戶上傳執行KFP或TFX工作管線時，Vertex AI能夠處理配置和擴展基礎設施。</p> <p>Vertex Pipelines、Vertex AI以及其他Google工具緊密整合，因此用戶的機器學習工作管線，可以從BigQuery匯入資料開始，使用Vertex AI訓練模型，接著在Cloud Storage儲存工作管線構件，最後獲取模型評估指標，並且將模型部署到Vertex AI端點，這些步驟都可以在Vertex Pipeline中配置。Google也創建了一個Vertex Pipelines預建置元件庫，這些元件將有助於簡化在工作管線中，執行Vertex AI其他部分的過程，像是創建資料集或是訓練AutoML模型。</p> <p>Google提到，要藉由工作管線來產生每部分的輸出，需要有一種機制，跨工作管線執行創建指標和追蹤構件，當團隊中有多人參與開發和執行工作管線，或是對不同機器學習任務，管理多個工作管線時，這樣的機制會更加有用。而Google則透過整合Vertex Pipelines和Vertex ML的後設資料，來實現自動化構件和指標等追蹤，用戶在Vertex AI控制臺和Vertex AI SDK，都可以檢查工作管線後設資料。</p> </div></div></div>
2021/11/12 09:00作者李建興https://www.ithome.com.tw/news/147791
Martech雙周報第12期：因應第三方Cookie退場，Appier以小數據AI技術開發2大第一方數據解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1030~1111)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Appier </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 第一方數據 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 小數據AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Appier正研發2大第一方數據解決方案，靠AI整合單一顧客不同身份ID，更要能預測顧客站外輪廓</span></strong></p> <p>Appier在今年Q3財報發布上，預告將在資料科學平臺中，新增兩項以第一方數據為基礎的AI解決方案，分別是跨第一方數據的用戶輪廓整合，以及預測用戶輪廓貼標，部分功能已經釋出Beta版。Appier執行長游直翰指出，由於用戶從不同裝置登入網站時，會產生不同的Cookie ID或裝置ID，讓網站無法識別這些ID是否為同一人，因此，Appier要開發一項AI技術，來預測同一人不同的識別ID，再將不同ID累積的顧客行為整合，以描繪出更完整的顧客輪廓。</p> <p>另一項用戶行為貼標解決方案，同樣要透過用戶瀏覽網站的少量第一方數據，以AI預測顧客在站外的行為輪廓。比如顧客在站內瀏覽棒球相關服飾、紀念品，加上瀏覽較多美國的資訊，能得知該顧客可能是個棒球迷，且可能會去美國旅遊，再透過相似群體的行為數據，還能推測出該顧客平時可能會健身、是個運動員等。也就是說，即便顧客在站上只有少量行為數據，透過AI預測顧客站外的輪廓，能夠延伸對顧客的認識。「但延伸越廣、精準度越低，所以需要在一定範圍內合理推測。」游直翰說。</p> <p>Appier在5月收購了Chatbot新創BotBonnie後，雙方產品的整合也有新進展。Appier要透過結構化的行為數據與非結構化的對話數據的整合，來形塑更完整的顧客輪廓，同時提供更貼近顧客需求的行銷活動，比如顧客在網站瀏覽過的商品，未來能夠以Chatbot重複推播，或是在Chatbot詢問的商品，也能在網站上瀏覽到相似的品項等。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-11-11%20%E4%B8%8B%E5%8D%882_39_23.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Yahoo粉絲通 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電商平臺App </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 比價引擎 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">搶攻官方帳號服務市場，Yahoo粉絲通上線滿月吸引500品牌店家進駐</span></strong></p> <p>在臺灣擁有1,700萬用戶的Yahoo奇摩，上個月正式在在Yahoo奇摩App中推出了會員經營服務「Yahoo粉絲通」，這是一項類似Line官方帳號的服務，提供群發、一對一私訊、主題群聊等功能，讓商家向消費者推播商品資訊與行銷活動，強化會員經營。截至目前，超過500個品牌商家開設粉絲通帳號，也有超過百萬名用戶加入。由於Yahoo奇摩自家App每日百萬活躍用戶中，只有3成也是Yahoo電商平臺App的用戶，Yahoo奇摩希望用粉絲通服務，將App人流導引到電商平臺，特別要利用雙11期間來促進導流。</p> <p>上半年，為了發揮生態圈的優勢，Yahoo奇摩也陸續打通了旗下三大電商平臺App：拍賣、超級商城和購物中心，可一鍵切換至其他平臺。Yahoo奇摩日前也將新打造的比價引擎，內建到Yahoo拍賣平臺中，計畫第四季也內建到Yahoo App中。Yahoo奇摩更觀察，比價功能可以提高消費者完成交易的機率。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://www.ithome.com.tw/news/147722" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id--601027362" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-11-10%20%E4%B8%8B%E5%8D%882_44_08.png" style="width: 617px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 顧客體驗平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 顧客數據分析 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟推出顧客體驗平臺，可提供AI分析顧客數據來設計個人化行銷</span></strong></p> <p>微軟近期宣布在CRM產品之上，推出顧客體驗平臺（Customer Experience Platform），可管理與分析顧客數據，來進行個人化行銷。微軟主張，體驗雲平臺提供了AI編排的用戶旅程，企業可以透過顧客參與廣告、Email、行動裝置、社群媒體、自定義管道、或是親自互動等方式，來取得顧客高價值的資料，同時，也可整合Dynamics 365 Customer Insights及Advertising產品進行受眾分群，並透過相似的分群、自動生成的再行銷方法，來擴大目標受眾，並把這些細分的受眾與微軟廣告或其他廣告平臺串接，更進一步擴大對顧客的觸及率。<span class="notion-enable-hover" data-reactroot="" data-token-index="0" style="font-weight:600">（</span><a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://cloudblogs.microsoft.com/dynamics365/bdm/2021/11/02/introducing-microsoft-customer-experience-platform-a-solution-for-connected-customer-experiences/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;font-weight:600;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id-785120849" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a><span class="notion-enable-hover" data-reactroot="" data-token-index="2" style="font-weight:600">）</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SEO排序 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網頁用戶體驗 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">不只聯手服飾業推AR試穿試戴，Snap成立工作室研發新型AR體驗要攻電信、飲食和生活用品品牌</span></strong></p> <p dir="ltr">社交軟體公司Snap一直積極發展AR與數位穿戴式裝置，已經能在廣告活動中提供多種AR穿戴體驗，包括妝容、眼鏡、珠寶、鞋子、包包等品項，今年5月已經與Prada、Farfetch等品牌合作展開服飾與配件的數位試穿計畫，近日更為街頭文化與服飾媒體Complex舉辦的年度實體活動，提供AR試穿技術，讓Snapchat用戶可以透過App虛擬試穿T-shirt與帽T，儘管從Twitter官方帳號的<a href="https://twitter.com/Snapchat/status/1457067822467764228?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1457067822467764228%7Ctwgr%5E%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwww.socialmediatoday.com%2Fnews%2Fsnapchat-continues-to-advance-its-ar-try-on-tools-pointing-to-the-next-sta%2F609620%2F" target="_blank">模擬影片</a>來看，試穿衣服的效果還沒辦法完全貼合用戶的身形。另外，Snap近期也成立了<a href="https://newsroom.snap.com/introducing-arcadia/" target="_blank">新工作室Arcadia</a>聚焦發展AR技術，要發展下世代品牌AR體驗，首波合作對象包括世界知名品牌P&G Beauty、Verizon、世界摔角娛樂和Shake Shack。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://ar.snap.com/complexcon" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id--1893424362" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-11-10%20%E4%B8%8B%E5%8D%882_49_40.png" style="width: 385px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Snap </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AR試穿 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 線上購物體驗 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">一份懶人包整理Google 2021年網頁體驗更新，影響搜尋排序4大重點一次看</span></strong></p> <p>一家美國數位行銷公司Attrock最近整理了一份Google今年網頁體驗四大更新重點的懶人包，這些都是影響搜尋結果排序的重要更新。一是在SEO排序演算法中新增了三大新指標CWV，分別是最大內容繪製時間LCP、累積版面配置位移CLS及首次輸入延遲時間FID；二是行動裝置網頁的可用性，包括網頁中是否有行動裝置不常用的軟體如Flash、字體排版的可讀性、是否能依據不同尺寸螢幕自動調整、連結置入位置等；三是網頁的HTTP/HTTPS是否符合標準，包括是否加密、具備數據完整性、經過驗證等；四是是否具有插頁式廣告（intrusive interstitials）干擾閱讀，包括彈出式廣告、佔據整個頁面的獨立廣告，以及將內文折疊來顯示廣告的形式。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://attrock.com/blog/google-page-experience-update/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id-1841009397" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Youtube </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CTV </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影音廣告 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Youtube影片廣告投放新增連網電視CTV管道，新轉換工具可結合行動、PC裝置衡量廣告成效</span></strong></p> <p>連網電視CTV市場越來越大，更多用戶透過電視這類大螢幕來觀看影片，比如2020年12月，美國就有超過1.2億人在電視觀看YouTube或YouTube TV。在這個趨勢下，Google近日將Youtube影片廣告（Video Action Campaign）的投放，擴大到CTV管道中，讓廣告主可以結合Youtube與YouTube TV的資源來觸及新顧客。用戶在瀏覽電視上的影片廣告時，可透過廣告底部的URL與品牌名稱，在手機或PC中手動查詢相關資訊以打開該品牌的網站，Google 也提供Beta版的成效轉換工具（<a href="https://blog.google/products/ads-commerce/attribution-lift-measurement/" target="_blank">Conversion Lift</a>），讓廣告主獲得即時用戶行為洞察，比如網站瀏覽、登入、購買等轉換行為。現在全球都能透過Google廣告平臺取得這項服務。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://blog.google/products/ads-commerce/expanding-video-action-campaigns-to-ctv/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id--683238217" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-11-10%20%E4%B8%8B%E5%8D%882_51_03.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IAB </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位消費旅程 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 年度趨勢 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">IAB報告揭露數位消費旅程5大改變：無商店購物正夯、隱私戰爭正顛覆企業行銷策略</span></strong></p> <p>推動數位廣告相關標準與價值的美國互動廣告協會（IAB），近日發布了2022顧客生態圈年度報告，這是他們第5年發布直面顧客的品牌經濟報告（The Direct Brand Economy），來揭露近一年來數位顧客、供應鏈管理、物流配送、銷售與行銷相關的變革。</p> <p>這份報告有幾項重點，一是在疫情驅動下，無商店經濟已經加速成長了2∼3倍，年度消費金額也達到近一兆美元，未來幾年內更會佔據將近四分之一的購物行為；二是老牌零售商在其媒體網絡中，以優惠待遇吸引破壞性的新品牌來投放廣告，以爭取Z世代與千禧世代的商業機會，但是鮮少在零售商中尋找新品牌；三是實體與數位購物之間的障礙已經不復存在，地方配送（Local delivery）、線上販售定點取貨（Click-and-Collect）、線上販售到店取貨（Buy online, pick up in store）等配送模式更加流行；四是大品牌正在重塑直面顧客（D2C）的銷售方式。最後，則是用戶隱私的戰爭正在顛覆企業行銷計畫。（<a href="https://www.iab.com/news/brand-disruption-2022-the-iab-annual-report-on-the-evolving-consumer-ecosystem/" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Amazon廣告 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行銷雲平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 品牌指標 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Amazon廣告服務更新：行銷雲平臺提供教學查詢庫、顧客消費旅程新衡量指標推出</span></strong></p> <p>Amazon的廣告服務近期揭露幾項更新，一是行銷雲平臺（Amazon Marketing Cloud）現在可提供<a href="https://advertising.amazon.com/resources/whats-new/amc-instructional-query-library?ref_=a20m_us_wn_ftrd3_btn_unbxd_amc_102621" target="_blank">基於網頁UI的教學查詢庫</a>（Instructional Query Library），這是一個基於SQL查詢的功能，用戶可以直接使用平臺提供或自定義的SQL查詢指令，來取得常見的衡量與分析案例。這項功能可讓廣告主快速啟動查詢指令，而不是從頭開始編寫，有助於更快上手行銷雲、執行廣告衡量任務。</p> <p>另一項功能則是<a href="https://advertising.amazon.com/resources/whats-new/brand-metrics?ref_=a20m_us_wn_ftrd1_btn_unbxd_bm_102621" target="_blank">品牌指標</a>（Brand Metrics），提供一種新的衡量解決方案，能針對Amazon商店內顧客各階段的購物旅程，量化品牌的潛在機會，比如衡量實際Amazon購物者的參與度，或是量化顧客於行銷漏斗上中段旅程，如何對購物行為帶來貢獻，又或是顧客如何在購買商品後的12個月持續消費等。</p> <div> <div> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Martech動態 </span></strong></span></strong></p> <p><strong>1.iKala未來3年將聚焦發展多雲服務與Martech產品發展，更要拓展亞太區市場（<a href="https://www.ithome.com.tw/news/147605" target="_blank">詳全文</a>）</strong></p> <p><strong>2.Google網頁生態系顧問現身說法，如何用CWV三大指標衡量你的網頁用戶體驗（<a href="https://www.ithome.com.tw/news/147665" target="_blank">詳全文</a>）</strong></p> <p>責任編輯／翁芊儒</p> </div> <p>圖片來源／Yahoo奇摩、Snap、Google</p> <p>資料來源：iThome整理，2021年11月</p> </div> </div></div></div>
2021/11/11 19:15作者翁芊儒https://www.ithome.com.tw/news/147788
勒索軟體MirCop透過釣魚信入侵，並以殭屍圖片讓受害者心生恐懼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客發動勒索軟體攻擊，不只加密檔案，還同時竊取受害者儲存於瀏覽器的帳密，並使用極為嚇人的圖片進行恐嚇。例如，資安業者<a href="https://cofense.com/blog/spooky-ransomware-past-segs/">Cofense最近揭露新的MirCop勒索軟體攻擊</a>，駭客假藉先前曾經聯繫的名義，誘騙收信人打開附件檔案，進而觸發MirCop執行。</p> <p>究竟這個勒索軟體是如何侵入受害電腦？Cofense指出，攻擊者最常使用的方式就是釣魚郵件。研究人員特別提到其中1次發生於11月初的攻擊行動，他們攔截到一封挾帶Mircop的釣魚信，並發現這封信竟躲過了組織的郵件安全閘道（Secure Email Gateway）系統檢查。不過，究竟駭客使用那些手法規避檢查，Cofense並未說明。</p> <h2><strong>宣稱先前寄過信件為由進行網路釣魚</strong></h2> <p>釣魚郵件在許多勒索軟體攻擊裡相當常見，而這起事故也不例外的使用釣魚郵件來滲透受害電腦。但與時下許多釣魚信件中，謊稱使用者買錯東西退款，或者是急需回覆的商務檔案不同，這次駭客是和收信人裝熟，佯稱先前寄過信，但收信人似乎沒收到，希望對方能看一下附件的內容。這樣的手法，乃是利用電子郵件往來的過程中，有時候可能沒有收到信的情況做為理由行騙。</p> <p>從信件的內容來看，攻擊者暗示原本的往來信件不慎遺失，需要請收件人存取信件內文的URL來開啟文件，攻擊者宣稱這是DWG公司的供應清單，這個檔案儲存在Google Drive。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure1.png" style="width: 580px; height: 433px;" /></p> <p>一旦收件人信以為真下載檔案，便會取得副檔名為MHT的網頁封存檔案，打開此檔案後，確實會看到像是表單文件的掃描檔案，但在此同時，攻擊者也在背後試圖下載惡意軟體酬載，這個檔案透過WinRAR打包，檔名是DWG Following Supplies List，檔案類型為可執行檔，是MirCop勒索軟體的載入工具。</p> <p>什麼是MHT檔案？這是一種網頁封存的格式，能將網頁儲存成單一檔案，能被Chrome、IE等瀏覽器存取（Firefox需要透過擴充套件才能讀取）。但這種格式的檔案近年來也被攻擊者濫用，在裡面挾帶惡意軟體或是程式碼。</p> <p>收信人不慎點選執行後，它就會下載MirCop將電腦檔案加密，並且更換電腦桌布，除了勒索訊息，背景是相當嚇人的殭屍，看起來非常血腥。研究人員指出，整個加密過程不超過15分鐘。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure5.png" style="width: 580px; height: 266px;" /></p> <p>但在這個讓人會嚇一跳的桌布之外，駭客留下的勒索訊息也有值得留意之處。例如，在多數勒索軟體攻擊事件裡，駭客往往要求受害者使用Telegram即時通訊軟體，或是操作Tor瀏覽器，來進行談判；但使用MirCop的駭客，卻是留下了Skype通訊軟體的帳號。但駭客留下Skype帳號的用意為何？研究人員沒有說明。</p> <h2><strong>亦搭配免費工具竊取瀏覽器帳密</strong></h2> <p>除此之外，MirCop不光只是加密檔案，還會竊取網頁瀏覽器的帳密。而這項竊密工作的進行，是搭配名為「<a href="https://www.nirsoft.net/utils/web_browser_password.html">Web Browser Pass View</a>」的瀏覽器密碼復原工具。而這種利用免費帳密復原工具來竊取帳密的手法，先前也<a href="https://www.ithome.com.tw/news/145870">有Npm套件Nodejs_net_server</a>，挾帶了同為NirSoft開發的ChromePass。</p> <p>但相較之下，Web Browser Pass View比起ChromePass更為強大。因為，Web Browser Pass View不像ChromePass只能支援Chrome，還能復原Firefox、IE、Opera的帳密。這個工具可在Windows 2000以上的作業系統執行。使用者可免費下載該工具，將上述瀏覽器儲存的帳密，匯出成純文字檔案，或是CSV檔案等格式。</p> </div></div></div>
2021/11/11 16:40作者周峻佑https://www.ithome.com.tw/news/147787
從工研院釋出3分鐘影片，搶先看新竹物流自駕車展現的自駕技術能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新竹物流預計下周一將與工研院、新竹市政府共同舉行自駕物流實驗揭牌活動，屆時將對外公開臺灣第一部用於物流配送的測試自駕車。這也是國內最新一起自駕車監理沙盒實驗案，首次在市區開放道路上進行物流配送實測。</p> <p>不過，早在今年7月中旬，負責自駕物流車研發的工研院機械所，就已經展開前期測試，到現在已經道路實測約3個多月，他們使用2輛克萊斯勒Pacifica改裝的自駕物流車，往返新竹物流的「新竹營業所」到「竹科營業所」兩地進行道路測試，總長1.9公里。</p> <p>雖然目前沒有揭露這輛自駕物流車的配備細節，但可以參考過去工研院自駕車接駁實驗車輛的規格來看，自駕車上除了可能配備不同感測器，可感知周遭環境外，其自駕系統核心很有可能也是採用工研院自駕核心系統做為開發，來達到控制車輛安全行駛。</p> <p>工研院機械所數位長王傑智近期<span>上傳一段3分鐘新竹市區自駕車</span><span>測試驗證影片</span><span>，從影片中也能一窺未來這輛</span>自駕物流車的技術能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/xin_zhu_wu_liu_zi_jia_che_-960.png" style="width: 600px; height: 263px;" /></p> <p>（資料來源：iThome整理，2021年8月，上圖貨車僅為示意，並非實際運作的自駕貨車）</p> <p>從影片來看，整個測試過程都是在人車混合道路進行試驗，影片中行駛路線，也跟實際新竹物流自駕車測試路線相同，從新竹營業所出發，行經公園路216巷、公園路、東光路、忠孝路，抵達竹科營業所，回程沿著忠孝路、八德路、公園路、光復路二段、公園路216巷，回到新竹營業所。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/fIZRF_PH63o" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><strong>影片來源：取自工研院機械所數位長王傑智的YouTube頻道</strong></p> <p> </p> <h3><strong>自駕能力1：在小巷弄道路進行自駕</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap18.png" style="width: 600px; height: 313px;" /></p> <blockquote><p>從新竹營業所出發開到大馬路上，自駕車馬上就面臨考驗，需先經過狹窄又彎曲的小巷弄，因為巷弄窄，臨停車輛多，常常需要會車，才能到達路口處的紅綠燈交通號誌處等待。但影片中這輛自駕車能延著這條巷弄道路正常行駛。</p> </blockquote> <h3><strong>自駕能力2：在道路上進行U字型大迴轉</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap19.png" style="width: 600px; height: 325px;" /></p> <blockquote><p>偵測到綠燈可以通行後，自駕車還可以進行U字型大迴轉到鄰側車道，轉彎同時會邊注意到對向有無來車駛來。這需要自駕車對於周遭環境的高度感知與車控能力。</p> </blockquote> <h3><strong>自駕能力3：避開路邊臨停車輛擋道</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap20.png" style="width: 600px; height: 328px;" /></p> <blockquote><p>剛過彎後馬上遇到車輛臨停路邊擋住車道，從影片中，自駕車一偵測到前方的臨停車輛後也能很快反應，先減速，再繞過它行駛。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap21.png" style="width: 600px; height: 318px;" /></p> <blockquote><p>遇到多輛車臨停，而且有乘客上下車的時候，這部自駕車也能自行判斷該停下等待對方上車離開，或是繞過它行駛。</p> </blockquote> <p> </p> <h3><strong>自駕能力4：多路段未有交通號誌下，自駕車靠感測器避障</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap22.png" style="height: 317px; width: 600px;" /></p> <blockquote><p>因為是在大街小巷，許多路段未設交通號誌，自駕車行經未有號誌的路口時，一旦有機車從前方左右側車道竄出，也要能夠立即時偵測反應。</p> </blockquote> <h3><strong>自駕能力5：在超窄90度垂直彎道行駛</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap23.png" style="width: 600px; height: 323px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap24.png" style="width: 600px; height: 317px;" /></p> <blockquote><p>從公園路盡頭轉向東光路，到達另一處營業所前，自駕車行經道路，因是在東光路橋橋下單行道，<span>僅允許一部車通行，</span>道路更狹隘，而且路口轉彎處沒有緩充區，幾乎是90度垂直彎道，一般人都不是很好開，對於自駕車考驗更大。<span>從影片中，這輛自駕車也能在沒有人為介入下完成這段垂直路段的行駛。</span></p> </blockquote> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap25.png" style="width: 600px; height: 327px;" /></p> <blockquote><p>自駕車從單行道一出來，馬上就要接到一般道路，除了會注意從橋上直行而來的汽機車，遇到前方出現臨停車輛和行人通過時，也會加以避開。</p> </blockquote> <h3><strong>自駕能力5：去回程多個十字路口皆能自動行駛</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap28.png" style="width: 600px; height: 318px;" /></p> <blockquote><p>去回程路段，自駕車經過多個十字路口，也需要根據<span>左右來車和</span>車流狀況來決定行駛策略，尤其是在尖峰上下班時間，路口車流量大。不過，從該影片車流量還沒很大來看，拍攝時段不是在尖峰時段。</p> </blockquote> <h3><strong>自駕能力5：到指定物流車位自動停車卸貨</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap27.png" style="width: 600px; height: 314px;" /></p> <blockquote><p>自駕車回到物流營業所後，能自動停回到指定的物流車位上，不需要由人來接手，就能夠進行貨物卸載和裝載。</p> </blockquote> </div></div></div>
2021/11/11 13:59作者余至浩https://www.ithome.com.tw/news/147783
網路傭兵軍力曝光！趨勢科技揭露Void Balaur集團大量監控俄羅斯民眾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://documents.trendmicro.com/assets/white_papers/wp-void-balaur-tracking-a-cybermercenarys-activities.pdf" target="_blank">趨勢科技本周發表了一份長達46頁的研究報告</a>，詳細描述了網路傭兵Void Balaur所具備的強大實力，調查顯示，Void Balaur受雇針對3,500名目標，展開持續或多次的攻擊行動，這些攻擊目標有些是人權鬥士、記者、宗教領袖、情報機構的前主管、政府官員，甚至是總統候選人。</p> <p>根據趨勢科技的追蹤，Void Balaur集團現身於2015年，自2019年開始兜售俄羅斯民眾的機密資料，包括護照、犯罪紀錄、信用歷史紀錄、帳戶餘額、簡訊內容、通話紀錄或SIM卡位置，不過，目前並不確定該集團是如何取得如此廣泛的資料，也許只是駭入了某個電信工程師的帳號，或者是危害了電信系統。</p> <p>Void Balaur主要透過俄羅斯的地下論壇來行銷自己的服務，也列出了各種服務的價碼，包括駭進某個信箱帳號，或是針對某個帳號展開服務阻斷攻擊。其中，駭進Telegram帳號的價碼最高，要價2,064美元；駭進隱私郵件服務Protonmail的價碼居次，為688美元；駭進Gmail也要550美元，排名第三；也能協助客戶駭進企業電子郵件，大約是413美元。</p> <p>此外，Void Balaur於地下論壇中的風評頗佳，用戶稱讚該集團多能準時交出資訊，而且品質很好。</p> <p>不過，Void Balaur似乎不只擔任網路傭兵的角色，因為研究人員也發現該集團曾多次設置加密貨幣交易平臺EXMO的網釣網站，誘導該平臺的使用者上當，進而清空他們的加密貨幣錢包。</p> <p>至於Void Balaur常用的惡意程式則有Z*Stealer與DroidWatcher，它們都可用來竊取各種應用的憑證，後者還具備間諜及遠端追蹤能力。</p> <p>趨勢建議高風險的使用者最好選擇重視安全的電子郵件服務供應商，啟用雙因素認證，採用端對端加密的傳訊程式，最好刪除舊訊息以減少被駭後曝光的資訊，將所有機器上的硬碟都加密，以及把不使用的裝置關機。</p> </div></div></div>
2021/11/11 16:14作者陳曉莉https://www.ithome.com.tw/news/147785
高通搭上元宇宙列車，發表Snapdragon Spaces開發者平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球行動晶片龍頭高通（Qualcomm）也搭上了元宇宙（Metaverse）的列車，<a href="https://www.qualcomm.com/news/releases/2021/11/09/snapdragon-spaces-xr-developer-platform-launches-create-headworn-ar" target="_blank">在11月9日發表了名為Snapdragon Spaces的XR（Extended Reality，延展實境）開發者平臺</a>，它其實是個頭戴式的AR開發者套件，於本周展開預覽，預計於明年春天正式推出。</p> <p class="rtecenter"><img alt="" src="https://www.qualcomm.com/sites/ember/files/styles/optimize/public/press-releases/managed-images/snapdragon_spaces_lifestyle_asset.png?itok=YU5uALN9" style="width: 450px;" /></p> <p><span style="color:#696969;">圖片來源_高通</span></p> <p>本周高通並未提及Snapdragon Spaces的硬體設備，僅說它所提供的軟體開發者套件（SDKs）支援Epic Games的3D遊戲引擎Unreal Engine，也會整合<a href="https://www.ithome.com.tw/news/147739" target="_blank">Niantic本周發表的Lightship平臺</a>，也將支援程式可攜與統一流程。</p> <p><a href="https://developer.qualcomm.com/software/snapdragon-spaces" target="_blank">根據官網上的說明文件</a>，Snapdragon Spaces平臺所具備的功能包括：位置追蹤、AR定錨、手部追蹤、圖片/物件辨識與追蹤、平面偵測、網格化、遮擋與場景理解等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1111-Snapdragon%20Spaces%20XR%20Developer%20Platform-%E7%89%A9%E4%BB%B6%E8%BF%BD%E8%B9%A4.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1111-Snapdragon%20Spaces%20XR%20Developer%20Platform-hand%20tracking.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_高通</span></p> <p>高通則表示，Snapdragon Spaces將協助開發者從零到有、替AR眼鏡打造3D應用程式，或者只要將頭戴式AR功能加入既有的Android程式中，就能整合手機螢幕上的2D與實體世界的3D。開發者將能取得包含文件、樣本程式、教學、知識及工具等強大的資源，以加速其AR程式的開發。</p> <p>目前已有許多智慧型手機及AR裝置製造商承諾，要在明年支援Snapdragon Spaces，涵蓋聯想、摩托羅拉、Oppo與小米等，而首個採用Snapdragon Spaces的商業化產品，將是聯想的ThinkReality A3智慧眼鏡與摩托羅拉手機的搭配。</p> <p>此外，包括德國電信、NTT Docomo與T-Mobile，也都準備要在明年銷售基於Snapdragon Spaces的智慧型手機與AR眼鏡。</p> </div></div></div>
2021/11/11 16:30作者陳曉莉https://www.ithome.com.tw/news/147786
【資安日報】2021年11月11日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞中，多家媒體報導立法院在審查行政院2項預算時，列席的行政院資安處長簡宏偉透露了現今政府單位面臨的網路威脅，而這樣嚴峻的現象也引起<a href="https://securityaffairs.co/wordpress/124444/intelligence/taiwan-cyber-attack-from-china.html">國外媒體的注意</a>，並把茅頭指向中國。</p> <p>值得留意的還有攻擊事故，其中，繼昨天VoIP龍頭Bandwidth透露，最近他們遭到DDoS攻擊的事故，恐面臨上千萬美元的損失，接著又有另一家VoIP業者Telnyx也遭到DDoS攻擊，突顯這些業者近期可能接連遭到鎖定，而且，駭客有可能藉此向他們進行勒索。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.cna.com.tw/news/aipl/202111100125.aspx"><span style="color: rgb(0, 0, 0);">臺灣政府單位每日遭到500萬次攻擊與掃描</span></a></strong></h4> <p>立法院內政委員會於11月10日，審查行政院的111年度中央政府總預算案，以及行政院「辦理政策宣導相關之廣告彙整表」等2案，行政院秘書長李孟諺、行政院發言人羅秉成，以及行政院資安處長簡宏偉等人列席備詢。簡宏偉表示，政府單位平均1天會遭500萬次駭客攻擊與掃描，對此，他們打算採取主動式防禦的策略，將防禦陣線向前推，在對方攻擊發起時就擋下。</p> <h4><strong><a href="https://twitter.com/ESETresearch/status/1458438155149922312"><span style="color: rgb(0, 0, 0);">北韓駭客組織Lazarus鎖定資安研究員，散布帶有木馬的IDA Pro破解版本</span></a></strong><img alt="" src="https://s4.itho.me/sites/default/files/images/FD1pdoqWQAUR66_.png" style="width: 300px; height: 229px; float: right;" /></h4> <p>許多資安研究人員用於逆向工程的IDA Pro軟體，因其授權價格昂貴，而讓駭客組織有可趁之機。ESET研究人員發現網路流傳1個破解版IDA Pro的安裝程式，經分析後發現，安裝過程會在研究人員電腦植入竊密工具，並研判這是北韓駭客組織Lazarus所為。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/hpe-says-hackers-breached-aruba-central-using-stolen-access-key/"><span style="color:#000000;"><strong>Aruba集中控管平臺遭駭，起因是存取金鑰遭竊</strong></span></a></h4> <p>HPE於11月10日表示，旗下的Aruba Central網路設備集中控管平臺的金鑰遭竊，攻擊者在10月9日至27日，藉由存取金鑰瀏覽用戶的資料。該公司宣稱，已掌握攻擊者如何取得存取權限，並採取措施防範，並強調HPE內部系統沒有受到影響。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/telnyx-is-the-latest-voip-provider-hit-with-ddos-attacks/"><span style="color: rgb(0, 0, 0);">VoIP業者Telnyx遭到DDoS攻擊</span></a></strong></h4> <p>從美國東部時間11月9日晚上11點左右開始，VoIP業者Telnyx傳出遭到DDoS攻擊，導致所有的網路電話無法使用或是延遲。該公司在遭到攻擊之後，將其歐洲、中東、非洲（EMEA），以及亞太區的VoIP基礎架構，遷移到Cloudflare的DDoS防護服務Magic Transit，並計畫下一步將離峰時段的服務移轉到美洲。</p> <h4><strong><a href="https://www.cybereason.com/blog/threat-analysis-report-from-shatak-emails-to-the-conti-ransomware"><span style="color: rgb(0, 0, 0);">釣魚郵件駭客與TrickBot狼狽為奸，在受害電腦上植入Conti勒索軟體</span></a></strong></h4> <p>資安業者Cybereason指出，專門以釣魚郵件挾帶惡意軟體的駭客組織TA551（亦稱Shatak），約從2021年3月開始，與惡名昭彰的殭屍網路駭客TrickBot合作，在受害組織散布TrickBot和BazarBackdoor進行偵察，進行橫向移動並竊取機密，然後再部署勒索軟體Conti進行破壞。</p> <h4><strong><a href="https://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats/the-far-reaching-attacks-of-the-void-balaur-cybermercenary-group"><span style="color: rgb(0, 0, 0);">網路傭兵組織Void Balaur攻擊超過3,500個組織與個人</span></a></strong></h4> <p>趨勢科技揭露名為Void Balaur（又名Rockethack）的網路傭兵，這個組織約從2015年開始活動至今，主要從事網路間諜和資料竊取的工作，並將竊得的資料賣出。最近一年更是針對多個重要目標下手，部分攻擊為全球現實世界帶來衝擊。從該組織開始活動到現在，至少3,500個組織或個人受害，而部分受害者更是反覆遭到攻擊。</p> <h4><strong><a href="https://twitter.com/AvastThreatLabs/status/1458162278277156866"><span style="color: rgb(0, 0, 0);">安卓惡意軟體鎖定Netflix、Instagram、推特用戶</span></a></strong></h4> <p>資安業者Avast揭露安卓惡意軟體MasterFred，這個惡意軟體約於6月開始攻擊行動，針對波蘭和土耳其而來，鎖定Netflix、Instagram，以及推特的使用者發動攻擊。這個惡意軟體的特別之處，在於捆綁了虛假的登入HTML網頁來騙取受害者個資，並具備能夠連到暗網的Onion.ws閘道（Tor2Web proxy）模組，來傳輸竊得的資料。</p> <h4><strong><a href="https://blog.zimperium.com/phonespy-the-app-based-cyberattack-snooping-south-korean-citizens/"><span style="color: rgb(0, 0, 0);">惡意安卓App監控南韓民眾<img alt="" src="https://s4.itho.me/sites/default/files/images/PhoneSpy_figure1.png" style="width: 200px; height: 423px; float: right;" /></span></a></strong></h4> <p>資安業者Zimperium發現有23個看似無害的安卓應用程式，但實際上它們挾帶了名為PhoneSpy的間諜軟體，這個惡意軟體鎖定南韓用戶而來，不僅會竊取手機裡的機密資料，還會接管裝置的麥克風與視訊鏡頭。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.securityweek.com/sap-patches-critical-vulnerability-abap-platform-kernel"><span style="color: rgb(0, 0, 0);">SAP修補商用程式語言開發平臺ABAP核心重大漏洞</span></a></strong></h4> <p>SAP在11月的例行修補當中，修補了5個漏洞，其中一個是CVSS風險層級高達9.6分的漏洞CVE-2021-40501，這項漏洞存在於ABAP（Advanced Business Application Programming）商用程式語言開發平臺的核心，是有關身分驗證機制查核的弱點。</p> <h4><strong><a href="https://www.fisac.tw/intelligence/article?id=29a3729d6407846877b05614536a711b">臺灣金融聯防體系示警注意修補Exchange Server漏洞</a></strong></h4> <p>除了微軟剛修補已遭駭客利用Exchange Server的CVE-2021-42321漏洞，微軟在4月修補7月公布的另一個CVE-2021-34473漏洞，日前思科指出，發現有駭客鎖定相關漏洞，值得關注的是，近日國內聯防體系對此兩個漏洞示警，並表示臺灣企業已偵測到針對CVE-2021-34473漏洞的攻擊。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><a href="https://www.crowdstrike.com/press-releases/crowdstrike-to-acquire-securecircle-to-enforce-zero-trust-data-protection/"><span style="color:#000000;"><strong>為強化零信任時代的資料保護，CrowdStrike併購資安新創SecureCircle</strong></span></a></h4> <p>次世代端點防護業者CrowdStrike於11月1日宣布，他們買下新創公司SecureCircle，藉由其透通式加密（Transparently Encryption）的機制，讓客戶能透過裝置、使用者身分、資料機密的層級，來保護企業資料。CrowdStrike預計在第4財季完成併購。</p> </div></div></div>
2021/11/11 14:14作者周峻佑https://www.ithome.com.tw/news/147782
HPE的Aruba存取金鑰遭竊，客戶裝置資料曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.arubanetworks.com/support-services/security-bulletins/central-incident-faq/" target="_blank">HPE與旗下的子公司Aruba Networks本周坦承</a>，有一未經授權的第三方透過遭竊的存取金鑰，入侵了Aruba Central雲端管理網路，造成客戶的裝置資料外洩。</p> <p>Aruba Networks主要提供從邊緣到雲端的各種網路解決方案，透過AI及機器學習來遞送網路及分析資料，主要支援跨界的企業、分公司、資料中心，及遠端工作環境，涵蓋有線、無線區域網路及廣域網路。在2015年被當時的HP以近30億美元買下，負責HP的企業網路服務。</p> <p>Aruba Networks表示，該金鑰只能存取特定的資料集，其中一個資料集存放了多數Aruba Central客戶的網路遙測資料，包括客戶端的Wi-Fi裝置如何連結至Wi-Fi 網路，另一個資料集則存放Wi-Fi客戶端裝置的資料，包括裝置的MAC位址、IP位址、作業系統、主機名稱、可使用的Wi-Fi網路及使用者名稱等，也紀錄了裝置的連結日期、時間及所使用的Wi-Fi 存取點。</p> <p>不過，根據Aruba Networks的分析，這名不速之客很可能只瀏覽、下載或移轉極少數的資料，只是他們也無法判斷哪些資料遭到存取，因此只能通知可能受到影響的所有客戶。</p> <p>由於駭客使用的是合法的金鑰，並不容易被發現，HPE說明，他們在Aruba Central環境中部署了安全監控工具，並在相關工具發現可疑活動時收到通知，於11月2日展開調查，當天即確定是遭到未經授權的存取。</p> <p>駭客是在10月9日首度使用該金鑰，一直到該金鑰於10月27日進行自動輪替而退役，並非由HPE或Aruba Networks主動撤銷。</p> </div></div></div>
2021/11/11 15:11作者陳曉莉https://www.ithome.com.tw/news/147784
Meta與微軟攜手合作，整合Workplace及Microsoft Teams
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.workplace.com/blog/workplace-and-microsoft-teams#what-is-the-workplace-and-teams-integration" target="_blank">Meta周三（11/10）宣布</a>，將整合旗下的Workplace及微軟協作平臺Microsoft Teams，讓使用者可自Teams存取Workplace內容，明年也能在Workplace社團中觀看Teams Meetings的串流。</p> <p>Workplace定位為企業版臉書，它具備臉書的基本功能，包括動態消息、社團、聊天與直播等，另外它還整合了單一簽入與分析儀表板等企業功能，從2016年上線以來，該平臺已有超過700萬個付費的訂閱用戶。</p> <p>由於定位為企業的社交平臺，因此Workplace先前就已整合了許多微軟服務，包括SharePoint、OneDrive與Office 365等，另外它也是微軟Azure AD上最熱門的15個程式之一。Meta亦即將在今年12月，<a href="https://about.fb.com/news/2021/09/introducing-two-new-portals-including-first-portable-version/" target="_blank">讓Teams成為視訊通話裝置Portal的主打應用</a>。</p> <p>Workplace負責人Ujjwal Singh指出，自Teams直接存取Workplace內容，將讓使用者不必再於兩個程式間切換，於Workplace社團中串流Teams Meetings將讓使用者不管是在哪個平臺上，都不會錯過會議。</p> <p>包括Vodafone、Flight Centre Travel Group與Lockton等雙方共同的客戶，都已測試過Workplace與Teams的整合。其中，Flight Centre Travel Group數位工作場所負責人Nick Williams表示，於社群中心（Workplace）及團隊中心（Teams）之間打造一個橋樑，將讓不管身於何處的員工都能夠存取最重要的資訊，還能一直感受到彼此間的連結。</p> <p><a href="https://www.workplace.com/workplace-microsoft" target="_blank">此一服務將免費開放給Workplace與Teams用戶使用</a>，不過，把Teams會議及廣播串流至Workplace的功能得等到明年才會現身。</p> </div></div></div>
2021/11/11 12:30作者陳曉莉https://www.ithome.com.tw/news/147781
Nest Hub現在能更精確地偵測使用者的睡眠情況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/google-nest/let-nest-help-you-rest-holidays/">Google改進Nest Hub的睡眠偵測（Sleep Sensing）功能</a>，現在Nest Hub不只能夠區分使用者睡著與清醒的狀態，甚至進一步能夠偵測使用者整晚快速動眼期、淺層、深層和清醒各種狀態，還可以辨別來自主要用戶的鼾聲。Nest Hub的睡眠偵測功能，使用微型雷達感測器Soli，在無接觸和無攝影機的狀況下，掌握用戶睡眠狀態，使得用戶能夠改善睡眠習慣。</p> <p>新的睡眠演算法提供用戶更詳細的睡眠資訊，Google解釋，大多數人會在晚上睡覺歷經4到6次循環，每次約80到120分鐘，循環之間可能會短暫的清醒。與舊的模型相比，除了區分睡眠和清醒狀態，現在Nest Hub還能夠區分淺層、深度和快速動眼期等各個睡眠階段。</p> <p>睡眠追蹤功能除了能夠紀錄用戶的睡眠階段，提供用戶的睡眠時間之外，還能紀錄用戶什麼時候發生睡眠中斷，而要改進用戶的睡眠品質，還需要進一步了解用戶的睡眠中斷的原因，Google提到，人們容易忽略造成睡眠中斷的原因，常見的有打鼾和咳嗽。</p> <p>Nest Hub上的舊演算法，單純使用裝置上CNN檢測器來處理麥克風訊號，以偵測咳嗽或是打鼾事件，但這種完全倚靠音訊的方式，並無法區分聲音的來源，在新的演算法中，結合使用Soli訊號和音訊，來分辨咳嗽和打鼾的來源。</p> <p>當主要用戶打鼾時，音訊中的鼾聲會和Soli的吸氣和呼氣訊號密切對應，當鼾聲來自房間中的其他人，則兩訊號會獨立變化。因此當Nest Hub偵測到音訊和運動特徵不相符的時候，便會將這些聲音標記為其他聲音，紀錄在另一個時間軸上，其他聲音時間軸也會紀錄來自伴侶或是重物的吵鬧噪音。</p> <p>Nest Hub現在被應用在追蹤夜間咳嗽的研究上，囊腫性纖維化基金會（Cystic Fibrosis Foundation）所資助的一項小型可行性研究，便是嘗試使用Nest Hub來測量，患有罕見疾病囊腫性纖維孩童的夜間咳嗽。</p> <p>目前睡眠偵測服務已經釋出，在接下來幾周會推送給全球用戶，2022年睡眠偵測會提供免費預覽使用，到了2023年，Google計畫將睡眠偵測功能整合到付費服務Fitbit Premium中。</p> </div></div></div>
2021/11/11 11:14作者李建興https://www.ithome.com.tw/news/147763
Google測試協助口語障礙者溝通的AI App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球有數百萬人因為中風、漸凍症、帕金森氏症、腦性麻痺或大腦創傷導致語言表達障礙，為此Google在Project Relate下，開發一款旨在協助口語溝通的 Android App ，<a href="https://blog.google/outreach-initiatives/accessibility/project-relate/" target="_blank">本周邀請口語表達有困難人士參加測試</a>。</p> <p><a href="https://docs.google.com/forms/d/e/1FAIpQLSc_9fFSD4IAqHaePFebXMBOUML8rEFyZD4DNxG5LaZhpW5QXQ/viewform" target="_blank">Project Relate 是Google口語與研究兩個團隊的最新研究計畫</a>，是以100萬口語錄音樣本為基礎建立而成的模型及App。</p> <p>Project Relate App有三個主要功能，包括聽寫、覆述及協助。聽寫可即時轉錄使用者說話並以文字顯示，讓用戶可用來複製、貼上到其他App，或幫助他人明白使用者意思。覆述則以合成人聲重述用戶講的話，利於人與人溝通，或是人機互動。這款App還整合Google Assistant，方便使用者聲控支援Assistant的裝置，如智慧燈泡或數位音響。</p> <p>為強化Project Relate App的理解精準度，Google邀請澳洲、紐西蘭、美國及加拿大境內使用英語的口語障礙人士參加公測，將蒐集自願者口語樣本來訓練模型，提升模型的精準度。</p> <p>這批自願者為早期測試者，會被要求錄下一組片語。Project Relate App將利用這些片語機器學習口語障礙者的說話特徵。Google表示Project Relate的訓練至少需要500個片語，每位測試者每次需要花30到90分鐘來錄製樣本。</p> <p>為限定僅口語障礙人士，<a href="https://docs.google.com/forms/d/e/1FAIpQLSc_9fFSD4IAqHaePFebXMBOUML8rEFyZD4DNxG5LaZhpW5QXQ/viewform" target="_blank">有興趣者需先報名填寫資料</a>，再由Google審核並於幾個月內通知用戶。</p> </div></div></div>
2021/11/11 11:23作者林妍溱https://www.ithome.com.tw/news/147777
微軟發布可高度自定義的反向代理YARP 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布了反向代理<a href="https://devblogs.microsoft.com/dotnet/announcing-yarp-1-0-release/">YARP 1.0</a>，用戶已經可以從NuGet上下載這個以.NET撰寫、具有高可自定義特性的反向代理，微軟提到，YARP和其他反向代理之間的不同，在於YARP建置和打包的方式，YARP是以函式庫的形式釋出，並且提供範例展示使用方法。</p> <p>反向代理（Reverse Proxy）是用來監聽傳入的HTTP請求，並根據請求的內容，將請求轉送到適當的伺服器，但是反向代理跟第4層典型的防火牆和路由器不同，反向代理是在第7層運作，因為需要理解HTTP，並且基於HTTP欄位運作。YARP在代理請求時，會處理來自客戶端的HTTP連接，然後使用自己所創建到目標伺服器的連接，使得兩端都可以從連接池中獲得好處。</p> <p>反向代理可以充當一個或是一組服務的公共端點，使暴露的URL空間，獨立於實際實作，並且將呼叫轉送到後端伺服器，以執行真正運算，平衡伺服器間的負擔，另外，反向代理也能幫忙分擔後端伺服器的工作，執行像是TLS加密、壓縮或是快取等任務。</p> <p>微軟已經發展YARP專案兩年，一開始是因為微軟觀察到內部多個團隊，都存在反向代理的需求，因此共同研究出YARP解決方案。YARP是一個反向代理工具包，透過使用來自ASP.NET和.NET的基礎設施，在.NET中建置高效能反向代理，YARP的特點是容易自訂，用戶可以根據需求，自訂並且調整成來滿足特殊場景的需求。</p> <p>YARP提供了兩個主要使用和自訂的方向，第一個是作為一個全功能代理，YARP藉由配置來定義一組基於URL模式的路由，這些路由會對應到目標伺服器叢集，叢集中的每個目的地，都應該可以處理對應的路由請求。目的地列表可以根據對話親和度，和伺服器健康狀況進行過濾，並且使用負載平衡演算法，選擇最終的目的地。</p> <p>另一種使用方式，則是將YARP用於高度自定義的環境，用戶可以直接呼叫YARP請求轉送程式，繞過路由和負載平衡等模組。微軟提到，開發者甚至可以在同一個程序中混合兩種方式，根據路由切換。</p> </div></div></div>
2021/11/11 11:31作者李建興https://www.ithome.com.tw/news/147764
美國新法要求車內加裝防酒駕科技
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.congress.gov/bill/117th-congress/house-bill/3684" target="_blank">美國參議院上周通過《基礎設施投資和就業法案》（Infrastructure Investment and Jobs Act）</a>，要求最快2026年上路的車輛，都需加裝監控及防止酒駕的科技以維護道路安全。</p> <p>根據美國國家公路交通安全管理署（National Highway Traffic Safety Administration，NHTSA）統計，全美每年酒駕事故死亡人數高達9,400人，障礙駕駛（impaired driving）已成為美國今年上半交通事故死亡第一大主因，超過未繫安全帶者。</p> <p>這項法案的通過允許拜登政府投入1.2兆美元，升級美國道路、橋樑、港口、寬頻等公共設施。<a href="https://www.madd.org/press-release/10-things-to-know-about-the-drunk-driving-prevention-technology-provision-in-the-infrastructure-bill" target="_blank">新法允許NTHSA以3年時間制訂防範障礙駕駛的標準及評估相關科技</a>，並給車商2到3年時間導入新標準。</p> <p>法案要求，2026到2027年起組裝的新車，都必須加裝符合NHTSA規定、能偵測及防止酒醉駕駛人的科技。</p> <p>現有或正在開發中的防酒駕科技，包括監控車輛行動科技，如車道偏移警示或注意力輔助、監控駕駛人如頭部和眼部的科技，例如攝影機及其他感測器、以及被動式酒精偵測系統，像是以進階感測器偵測駕駛人酒醉，以及不允許車輛行進的科技。目前車商如富豪（<a href="https://www.media.volvocars.com/global/en-gb/media/pressreleases/250015/volvo-cars-to-deploy-in-car-cameras-and-intervention-against-intoxication-distraction" target="_blank">Volvo</a>）、日產（<a href="https://www.nissan-global.com/EN/TECHNOLOGY/OVERVIEW/dpcc.html" target="_blank">Nissan</a>）、豐田（<a href="https://www.streetdirectory.com/travel_guide/55203/car_parts/toyota_formulates_anti_drunk_driving_system.html" target="_blank">Toyota</a>）已有或正規畫可偵測駕駛人酒醉或精神不濟的科技。</p> <p>新法加入的車輛必備安全措施還包含像是提醒父母孩童還留在後座或兒童座椅、以及車道偏移警示、緊急自動剎車等。</p> </div></div></div>
2021/11/11 11:52作者林妍溱https://www.ithome.com.tw/news/147778
蘋果推小企業裝置管理服務訂閱方案Business Essentials
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果力圖拓展服務營收，現在將從商務裝置管理著手。<a href="https://www.apple.com/newsroom/2021/11/apple-introduces-apple-business-essentials/" target="_blank">蘋果昨（10）日宣布針對小企業設計的裝置管理服務訂閱方案Apple Business Essentials</a>，提供包括iPhone、iPad及Mac電腦管理及iCloud雲端儲存，收費最低每人每月2.99美元。</p> <p>Apple Business Essentials針對員工人數在500人以下的小型企業，提供整合iOS及Mac裝置管理功能、24x7 Apple技術支援，以及iCloud雲端儲存服務。企業員工可透過Apple Business Essentials專用的App，安裝工作用的應用程式及要求技術支援。</p> <p>Apple Business Essentials提供從裝置設定到員工入職準備、及裝置升級的完整管理生命周期，以及蘋果的裝置安全及技術支援服務。蘋果表示這可節省小型企業裝置管理時間及成本。新方案現在已經以預覽版上線，不過僅供美國小型企業使用。正式版預計2022年春天上線。<a href="https://smb.apple.com/essentials/" target="_blank">但企業可以先在網站上報名</a>。</p> <p>這項方案的Collections允許IT管理人員為個別裝置、群組及使用者設定組態及App，當員工以公司帳號登入裝置後，Collection會自動部署VPN組態、Wi-Fi密碼，此外它也會在員工裝置主螢幕安裝Business Essentials App，他們可由此下載公司許可的App，如微軟Word或Cisco Webex。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1111-Apple%20Business%20Essentials-2-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_蘋果</span></p> <p>此外Business Essentials還提供蘋果安全技術，像是Mac全硬碟加密技術FileVault、防止裝置遺失外洩資料的Activation Lock，及可切分員工私人及公司帳號登入以保資料安全的User Enrollment等。這項服務也搭配iCloud雲端儲存，提供資料和檔案儲存、協同以及裝置升級時備份。最後，若企業購買Apple Care + for Business Essentials，也能獲得24x7電話支援、訓練及每年最多2臺裝置到府維修服務。</p> <p>細分而言，<a href="https://www.apple.com/business/essentials/" target="_blank">App Business Essentials提供三個層級</a>。最基本是1人單臺裝置方案，每裝置2.99美元，提供50GB iCloud儲存。第二層級提供最多3臺裝置管理附200GB雲端空間，每人每月6.99美元。最高層級為最多3臺裝置管理服務及2TB儲存，每人每月12.99美元。</p> </div></div></div>
2021/11/11 12:03作者林妍溱https://www.ithome.com.tw/news/147780
Nucleus Net TCP/IP堆疊13項漏洞影響眾多醫療器材、工業設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://www.forescout.com/blog/new-critical-vulnerabilities-found-on-nucleus-tcp-ip-stack/" target="_blank">研究人員發現Nucleus Net TCP/IP堆疊有13項漏洞</a>，可能引發惡意攻擊及資料外洩，包括1個風險值9.8的重大漏洞，波及醫療器材、工業設備甚至汽車。</p> <p>資安廠商Forescout Research Labs和Medigate合作下，發現13項影響Nucleus TCP/IP堆疊的安全漏洞，類型橫跨遠端程式碼執行、阻斷服務攻擊及資料外洩，研究團隊將之總稱為Nucleus:13。</p> <p>Nucleus NET是Nucleus Real-Time Operating System (RTOS)的TCP/IP堆疊，已經問世28年，Nucleus NET和Nucleus RTOS被大量部署於具有安全要求的各種產業設備，像是醫療器材、汽車和工業系統中。以醫療器材而言，ZOLL 體外心臟電擊器和ZONARE超音波就是跑Nucleus RTOS。</p> <p>這13個漏洞中，<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-31886" target="_blank">最嚴重的是CVE 2021-31886</a>，為一影響FTP Server元件的遠端程式碼執行（RCE）漏洞，CVSS 3.1風險值達9.8。它是出在FTP Server未能適當驗證User指令的長度，導致攻擊者可傳送過長指令引發堆疊緩衝溢位（buffer overflow），結果可能包括阻斷服務（DoS）攻擊或遠端程式碼執行（RCE）。</p> <p>FTP Server還有因未適當驗證PWD/XPWD、MKD/XMKD指令長度的漏洞，分別為<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-31887" target="_blank">CVE-2021-31887</a>及<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-31888" target="_blank">CVE-2021-31888</a>，可能引發DoS及RCE，風險值皆為8.8。</p> <p>風險值8.8的漏洞還有<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-31884" target="_blank">CVE-2021-31884</a>，位於DHCP用戶端。由於DHCP App假設提供”Hostname” DHCP選項的資料會以NULL結束，若輸入資料的Global Hostname變項未指明，可能導致越界讀取（Out-of-bound reads）或DoS攻擊。另一高風險漏洞還包括IP header中ICMP payload長度未檢查，所引發的資訊洩露或DoS漏洞（CVE-2021-31346）。</p> <p>其他中度風險漏洞則包括資料洩露及DoS漏洞，影響TCP server、TFTP Server、DHCP 用戶端及ICMP、UDP（User Datagram Protocol）協定等元件。</p> <p>研究人員利用Shodan搜尋服務掃瞄網路上的裝置，顯示有近1,200臺執行Nucleus FTP的曝險裝置（左圖），並有超過1,000臺跑Nucleus RTOS的曝險裝置（右圖）。另外他們的127家客戶中，16家廠商共5,500臺裝置曝險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Map-1%5B1%5D.png" style="width: 300px;" /><img alt="" src="https://www.forescout.com/wp-content/uploads/2021/10/Map-2.png" style="width: 300px;" /></p> <p><span style="color:#696969;">圖片來源_Forescout</span></p> <p>以功能區分，跑Nucleus TCP/IP堆疊的曝險裝置，以建物自動化（76%）占最大宗，其次為營運科技（OT），占13%。若看產業別，醫療機構占超過一半，政府次之。</p> <p class="rtecenter"><img alt="" src="https://www.forescout.com/wp-content/uploads/2021/10/pie1-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Forescout</span></p> <p>要避免這13項漏洞危害，需要修補跑Nucleus的裝置。目前Nucleus的所有者西門子已經釋出修補程式解決所有漏洞。除了儘速安裝修補程式外，研究人員也建議企業應盤點網路環境中所有跑Nucleus的裝置、執行網路分區（segmentation）控制、以及監控所有網路可疑封包。</p> </div></div></div>
2021/11/11 10:47作者林妍溱https://www.ithome.com.tw/news/147773
Meta首度公開霸凌與騷擾內容比例，臉書有0.14%，IG為0.05%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta本周公布了臉書（Facebook）與Instagram（IG）第三季的《社群標準執行報告》（Community Standards Enforcement Report），並首度揭露這兩個平臺上涉及霸凌與騷擾的內容比例。其中，在臉書上出現相關內容的比例為0.14%，IG則是0.05%左右，其比例超越了裸露及仇恨言論，顯示它們為這兩個平臺上最常見的有害內容。</p> <p>Meta說明，霸凌與騷擾非常地個人，在臉書的定義中，只要是威脅要將某人的身分公諸於世，或是重複地進行不必要的接觸，都會被視為霸凌或騷擾。此外，相較於一般的使用者，他們容許公眾人物接受較多批評的意見。</p> <p>儘管如此，霸凌與騷擾還是非常不容易判斷，有時會牽涉到使用者之間的關係，或者是脈絡，例如在好朋友之間可以開的玩笑，用在陌生人身上也許就成為霸凌。</p> <p>在今年第三季時，臉書出現的霸凌/騷擾內容為0.14~0.15%，意謂著臉書用戶所看到的1萬則內容中，可能有14或15則為霸凌/騷擾內容；在IG上出現霸凌/騷擾內容的機率則是0.05~0.06%，代表在IG上看到的1萬則內容中，有5到6則為相關內容。</p> <p>Meta該季於臉書上移除的霸凌/騷擾內容為920萬則，當中有59.4%來自於AI系統的貢獻，IG上則移除了780萬則霸凌/騷擾內容，有83.2%是由AI主動移除。</p> <p>與其它的有害內容相較，該季臉書上成人裸露內容出現的比例為0.02%~0.03%，仇恨內容出現的比例則是0.03%。至於IG上的成人裸露內容則亦為0.02~0.03%，仇恨內容為0.02%。此外，Meta第三季於臉書上總計刪除了18億個假帳號。</p> </div></div></div>
2021/11/11 10:59作者陳曉莉https://www.ithome.com.tw/news/147776
Nvidia發表邊緣運算用AI超級電腦Jetson AGX Orin
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia在GTC大會上，發布了大小只有一個手掌的小型人工智慧超級電腦<a href="https://developer.nvidia.com/blog/nvidia-jetson-agx-orin-charts-new-path-for-edge-ai-and-robotics/">Jetson AGX Orin</a>，可以用在機器人、自動化機器以及邊緣運算等用例。官方提到，這個Jetson單晶片電腦非常小，可以放在手掌上，但是其提供相當於GPU伺服器的運算能力。</p> <p>隨著機器人技術和嵌入式運算的發展，製造、零售和智慧城市等相關產業都發生改變，對運算的需求逐漸提高，Nvidia表示，Jetson AGX Orin能夠滿足此一需求，使得Jetson開發者有能力實現過去做不到的自動化機器和邊緣人工智慧應用程式。</p> <p>Jetson AGX Orin維持和Jetson AGX Xavier系列相同的外型設計和針腳相容性，但是能夠提供的運算能力，相當於Jetson AGX Xavier的6倍，也就是每秒200兆次的運算。該人工智慧超級電腦採用Arm Cortex-A78AE CPU以及Nvidia Ampere架構的GPU，還內建新一代深度學習與視覺加速器，高速的介面和更快的記憶體頻寬，再加上支援多模感測器，能同時饋送訊號給多個並行人工智慧應用程式工作管線。</p> <p>這項新產品補充了Nvidia的人工智慧軟體堆疊，開發人員現在可以部署大型且複雜的模型到邊緣，以解決邊緣人工智慧和機器人技術所面臨的挑戰，像是自然語言理解、3D感測或是多感測器融合等，能夠用於發展物流機器人、工廠系統，以及大型工業無人機。</p> <p>由於Nvidia CUDA-X加速運算堆疊和JetPack SDK都支援Jetson AGX Orin，因此使用者可以利用當前的開發工具，來開發和最佳化應用，Jetson AGX Orin也能良好地支援特定框架，發展像是醫療保健或智慧城市等用例。</p> </div></div></div>
2021/11/11 11:09作者李建興https://www.ithome.com.tw/news/147761
美國國會推動新法案，讓使用者可退出社交平臺演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s3.documentcloud.org/documents/21100363/buck_030_xml-filter-bubble.pdf" target="_top">美國多名眾議院議員在近日提出了《過濾氣泡透明度法案》（Filter Bubble Transparency Act）</a>，將要求網路平臺允許使用者選擇未被演算法或其它過濾機制篩選過的服務。</p> <p>過濾氣泡一詞來自於網路活動家Eli Pariser，他在2011年出版了《過濾氣泡：網路對你隱藏的事》（The Filter Bubble: What the Internet Is Hiding from You）一書，描述當網路平臺根據使用者的資訊、來推斷使用者所偏好的事物時，從位置、過去的點選行為到搜尋歷史紀錄，便容易將使用者框限在自己的文化或意識形態中，在臺灣則經常被稱為同溫層，但Pariser認為這是一種智慧隔離的狀態。</p> <p><a href="https://www.axios.com/algorithm-bill-house-bipartisan-5293581e-430f-4ea1-8477-bd9adb63519c.html" target="_blank">推動該法案的其中一名眾議員Ken Buck向《Axios》表示</a>，消費者與網路互動時，應該有權選擇不受到基於其特定資料所衍生的秘密演算法的操縱。</p> <p>另一名眾議員David Cicilline則說，臉書與其它平臺透過不透明的演算法來擺布用戶，相關的演算法是以成長及獲利為優先，由於這些平臺的壟斷及支配的地位，令使用者幾乎沒有其它選擇，不管是社交平臺提供的內容、廣告或者是搜尋結果。</p> <p>包括臉書或Google都會根據使用者的喜好或習慣來推薦內容，一來可延長使用者與平臺互動的時間，二來也可增加使用者對廣告的點擊率。</p> <p>雖然聽起來《過濾氣泡透明度法案》有機會擴大使用者的視野或想法，也讓網路平臺不再操縱使用者，然而，外界也有不少質疑的聲浪，諸如當使用者追蹤了數百甚至數千名用戶時，若不使用演算法，很可能陷使用者於困境。</p> </div></div></div>
2021/11/11 10:15作者陳曉莉https://www.ithome.com.tw/news/147766
大陸工程用科技顛覆營造作業，IT親赴第一線找工地數位化痛點
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>走進如火如荼興建中的廣慈博愛園區社宅工地，除了會聽到工程機具震耳的聲音，還會感受一股其他工地沒有的科技味。</p> <p>工地工程師要進入工地，進行例行品質檢核作業，需先在入口處，經人臉辨識驗證身分，才能通過閘道。走進工地後，工程師第一個動作是拿出手機，因檢核作業需檢查的項目都在手機App上一覽無遺，能直接對照來逐項檢查和記錄，當場拍照上傳現場畫面到後臺留下記錄，不需像過去得回到工務所再手動上傳相片和手寫紙本記錄。</p> <p>這是大陸工程的工地現場新模樣，工地入口管制朝數位化發展，以更容易驗證工地進出人員身分，來確保安全性。透過客製開發的手機App，現場工程師更容易管理和記錄工程品質，來提升作業效率。把科技應用帶入人力作業為主的營建環境，背後關鍵人物就是大陸工程資訊部副總經理闕孝賓。</p> <p>近年來，少子化趨勢，再加上年輕人不願進入勞力密集的職場環境，營造業面臨嚴重的缺工問題，促使大陸工程意識到必須改變，闕孝賓坦言，找不到人，唯一能做的是提高每個人的工作效率，「而資訊應用是一個好的處方。」</p> <p>2013年年底加入大陸工程的闕孝賓，以打造大陸工程成為最科技的營建業者為目標。他表示，營造業以人力為主，過去並非不用資訊科技，而是使用程度比其他產業少。</p> <p>確實，身為臺灣營造產業龍頭的大陸工程，一直是業界引入資訊科技協助營運的領先者，比如，早在2002年便導入ERP，利用IT提升公司營運和管理能力，也是國內率先投入BIM建築資訊模型應用的營造業者，利用參數化的3D模型建構技術，整合不同設計到同一個視覺化模型中。</p> <p><span style="font-size:28px;"><strong>深化IT應用程度前，先全面調整資訊基礎建設</strong></span></p> <p>但對於成立超過75年的大陸工程，要進一步深化整體作業的資訊化程度，特別是改變工地現場作業模式，朝數位化發展，並非一蹴可幾。</p> <p>正式引入科技應用至工地現場前，闕孝賓先重新調整大陸工程的整體資訊基礎建設。他回顧職掌資訊部的前3年，像是重新打地基，他形容，就像是蓋房子必須先挖掘地下樓層，建立穩固的地基後，才能往上堆疊樓層。</p> <p>大陸工程資訊團隊由下而上，全面審視各項資訊建設的狀況，並且重新規畫資訊建設，從調整人員使用的電腦設備，到升級網路架構，確保工地能透過網路連結公司系統，到制定內部應用程式的新發展方向，再到規畫資安防護架構和措施，都是為了讓營造業能更進一步善用IT。</p> <p>待資訊基礎建設都整頓到位，大陸工程開始聚焦營造業最大的工作現場，也就是工地作業的數位化改造。但這不是一件容易的事，因現場人員幾乎全使用紙本作業、口頭溝通，且行之有年，如何改變這群人的習慣，是闕孝賓的一大挑戰。他直言，對工地人員來說，光是帶手機作業，就是一個相當大的改變。</p> <p><span style="font-size:28px;"><strong>至工地實際了解人員作業方式，找出資訊應用切入點</strong></span></p> <p>闕孝賓想到了說服現場人員改變作業方式的作法，他安排資訊人員親赴第一線，至工地現場端走一遭，實際了解工程師的作業情況，找尋資訊科技可切入的機會，針對作業流程的痛點，提出可對應提供的IT協助。</p> <p>於是，2017年，大陸工程IT部門成員時不時就會到工地現場蹲點，為了詳細觀察工程師的作業方式，往往一待就是數小時，有時甚至一整天，而且他們跑遍了各種類型的工地，包含地下隧道、建築大樓等，了解不同工地環境的作業狀況，為期半年以上。</p> <p>IT人員帶回了第一手現場資訊後，發現了一個關鍵痛點。當工地工程師進入工地檢查工程品質時，他們每到一個檢查定點量測完檢查項目後，需在紙本檢核表上手寫記錄工程品質的資訊，還需要拍照記錄，他們時常為了這些記錄過程手忙腳亂。不只如此，待他們回到工務所後，還需再將手寫資料再一次手動輸入電腦，以及篩選最適合照片上傳系統。</p> <p>闕孝賓表示，這等於是重工，做兩次，耗費人員大量的時間，且檢核作業是一項例行性工作。工程師每天都需檢查工地品質，有時更需一天檢查數回，要記錄工程進度、工程品質等不少資訊，來確保工程項目的質與量，能夠達到業主要求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-500-%E9%97%95%E5%AD%9D%E8%B3%93(1).jpg" style="width: 501px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span><br /><span style="font-size:22px;"><strong>大陸工程資訊部副總經理闕孝賓表示，現代IT需化被動為主動，至現場端實際了解營運作業模式，主動告訴使用者如何利用IT。</strong></span></span></p> <p><span style="font-size:28px;"><strong>數位化工程檢核作業，讓工程師線上記錄工程品質資訊</strong></span></p> <p>考量檢查作業的資訊改造，不會影響工程進度，也未觸碰工程核心，闕孝賓決定，工地管理數位化就從這裡著手。</p> <p>大陸工程IT團隊先檢視了所有工程檢核類型的紙本表單，包含水泥、安衛、鋼筋施工等檢核，找出共同規則，進而開發了一套工程專案管理App，提供開放性電子檢查表單，讓工程師可依需求設定欲檢查項目，進行檢核作業。</p> <p>利用這套App，工程師能直接在手持裝置上記錄工程品質資訊，並且快速上傳現場照片，待回到工務所後，只需再用電腦補充額外說明的文字並上傳表單，就能完成檢核作業。闕孝賓表示，通過這個新方式，工程師每回檢核時間可以節省1至2小時，大幅提升了作業效率，還可以提供管理團隊更即時且正確的資訊。</p> <p>正因為闕孝賓安排大量IT人員至現場了解工地狀況，資訊團隊才發現，有些工地無法連網，特別是高樓層、隧道等工地現場，所以，他們還替這支App特別增加了離線支援功能，一旦無法連網時可先把資料和照片記錄在手機上，等到恢復網路再回傳。這才真正把IT帶到任何工地的第一線作業人員手中，不受網路等外在因素影響。</p> <p>這支App自2019年上線後，大陸工程目前逾8成工地專案都已採用，包含所有的私人工程，還有部分公共工程，像是捷運萬大線其一工程、廣慈博愛社宅等，至今累計完成了5千張檢核表單。</p> <p>工程檢核數位化，只是大陸工程推動IT進入工地現場的開端，現在他們已經展開了第二階段的工地管理數位化工程，規畫新增包含與業主聯繫、與外部廠商傳輸文件等功能。</p> <p><span style="font-size:28px;"><strong>建反饋系統供全工地人員線上回報問題，提升工地安全</strong></span></p> <p>除此之外，因充滿重機具和建材的工地，非常危險，大陸工程今年進一步擴大工地資訊應用的使用對象，要讓工地現場所有人員都可線上提出建議，強化工地作業安全性。闕孝賓表示，一個現場的人員少則百人，多則達數百甚至千人，其中大部分人員來自下包商，然而，既有工地使用系統，僅供給內部人員使用，不含外包人員。</p> <p>他認為，資訊應用需拓展至每個人身上，讓工地現場所有人員，都可貢獻注意力，反饋需要改善的事項，共同來提升工地安全。因此，大陸工程建置了工地現場反饋系統，在工地各處張貼QR Code，人員掃碼後，就能進入反饋系統網站，線上提出建議，或是回報問題，取代以口頭表達意見的方式。</p> <p>闕孝賓表示，現場人員才是最清楚工地狀況的人，而非辦公室人員，透過系統蒐集人員意見，甚至各種問題，才能立即解決、排除狀況。</p> <p>大陸工程建立數位化工地反饋機制，其實有個更大的目的，那就是資料分析。藉由不斷收集現場人員的反饋，大陸工程要從中挖掘工程規畫的不足，比如說，若有多名人員提出相同的建議，就可以思考未來規畫工程時提前納入這項建議的必要性。</p> <p>近年，大陸工程努力耕耘資料分析應用，要讓資料產生更大的價值。闕孝賓表示，營造業過去依靠每月報表、工程進度報告等事後資訊，來做營運決策，然因這些資訊多半以文字呈現，不易分析。</p> <p>2017年時，大陸工程引入數據分析策略，由資訊部推動行政作業電子化，再逐步串接各部門資料流，包含採購、財務會計、ERP、工程進度等資料來進行分析，並利用儀表板呈現視覺化分析結果，讓主管們掌握營運洞察。闕孝賓表示，各部門主管無需再手握一疊紙本試算表資料，現在從儀表板就可立即掌握問題。</p> <p>以工程部門為例，藉由儀表板呈現的資訊，主管可掌握工地狀況，像是預算執行情況、工程進度等，來判斷是否需調整工程計畫的內容，加快下決策。</p> <p>然而，要實現完整的資料分析，得先統整現有各種報表資料，這又是另一項大工程。闕孝賓直言，資料整理過程相當痛苦，甚至各工地記錄工程進度的方式，不盡相同，因此很難自動化處理，須從源頭統一資料規格開始。</p> <p>過去，大陸工程數十處工地提交工地專案進度各自有不同格式，待呈報報表後，再由專責人員手動統一報表格式。資訊團隊後來先了解各工地記錄格式後，再進一步統一其記錄方式，包含量測單位、記錄頻率等，讓整個作業流程可以轉為自動化記錄的方式後，再利用分析軟體進行分析，產生可供決策用的視覺化分析結果。</p> <p>下一步，大陸工程還要嘗試在預防性情境上導入AI應用，像是預測工地端設備汰換的需求，擴大資料分析的效益。</p> <h1><strong>擁抱雲端從導入SaaS開始，再搬遷ERP上雲</strong></h1> <p style="margin-left:.05pt;">工地現場持續數位化的同時，大陸工程在資訊基礎建設的發展也沒有停下腳步。這幾年，大陸工程也開始積極擁抱雲端技術。</p> <p style="margin-left:.05pt;">2016年時，大陸工程開始嘗試導入SaaS服務，包含問卷、視訊會議等，供各部門使用，藉此讓人員習慣雲端服務的使用方式，也逐步接受雲端概念。且闕孝賓認為，要加速應用新資訊服務的速度，就必須採用雲服務。</p> <p style="margin-left:.05pt;">不過，要讓管理高層接受，在摸不到、看不到的外部雲端環境上執行系統，並不容易。與多數企業一樣，大陸工程高層對資料儲存在異地，起初也會感到害怕，闕孝賓花了一番心力和時間，才慢慢說服高層和各部門人員。</p> <p style="margin-left:.05pt;">正因先前累積了SaaS服務的使用經驗，甚至大幅調整了資訊基礎建設的數位化策略，大陸工程後來若要購買現成資訊服務時，就會優先考量雲端服務。</p> <p style="margin-left:.05pt;">到了2019年時，適逢地端ERP系統伺服器達使用年限，大陸工程也趁勢搬遷ERP上公有雲，開始擁抱IaaS服務，高層這次就不再害怕雲端環境，且能接受在雲端環境執行關鍵性系統。</p> <p style="margin-left:.05pt;">考量資安因素，闕孝賓計畫採用混合雲架構，保留地端機房，執行純內部使用的服務，讓人員在封閉內網使用，逐步搬遷外部人員會使用的服務，上雲。他解釋，若要提供外部人員使用機房內服務，內部網路需要開放外部存取，可能會產生風險，因此，他們決定將需對外提供的服務，逐步往雲端搬遷。</p> <p>大陸工程大力朝數位化發展，各部門持續擴大擁抱IT，提升營運效率。闕孝賓表示，「IT團隊現在很幸福，但也很辛苦，」因為越多IT需求出現，代表越多人需要IT，讓IT很有存在感，但是，IT也得更快速提供新服務和好的服務給使用者，「相當辛苦。」他說。</p> <p>隨著資訊科技在營造業可發揮的空間，越來越廣，闕孝賓認為，資訊團隊必須改變態度，才能彰顯價值。他表示：「現代IT需要化被動為主動！」</p> <p>不能只聽使用者描述需求，他更堅信，IT人員需要到現場實際了解使用者的日常運作，掌握人員的作業模式。如此，資訊團隊才能規畫符合使用者需求的功能，甚至有機會發覺使用者習以為常的作業痛點。他強調，IT現在不再等待需求出現，而是主動告訴使用者可如何利用IT，提升生產力。</p> <p>大陸工程將持續深化資訊科技的應用程度，除要提高營造施工的效率外，還要提升工地現場的安全性，朝成為最科技的營建業者的目標，繼續邁進。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 經理人小檔案 </span></strong></span></p> <p><strong>闕孝賓　大陸工程資訊部副總經理</strong></p> <p>學歷：美國福坦莫大學財金管理MBA</p> <p>經歷：擁有豐富跨產業資訊管理經驗，橫跨電商、製造、軟體和科技業，曾擔任科立爾資訊部協理，於2010年在醫療器材商安洛杰任全球資訊架構負責人，3年後加入欣陸投控擔任資訊長，同時接掌其子公司大陸工程資訊部副總經理一職，深化IT應用，推動工地管理數位化</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>大陸工程</strong></p> <p>● 地址：臺北市敦化南路二段95號</p> <p>● 網址：<a href="http://www.continental-engineering.com">www.continental-engineering.com</a></p> <p>● 成立時間：1945年</p> <p>● 主要業務：營造工程</p> <p>● 總部：臺北市</p> <p>● 員工數：約1,100人</p> <p>● 資本額：約44億元</p> <p>● 年營收：約140億元 (2020年)</p> <p>● 董事長：殷琪</p> <p>● 執行長：Simon Buttery</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>● 資訊部門主管職稱：副總經理</p> <p>● 資訊部門主管姓名：闕孝賓</p> <p>● 直屬主管：執行長</p> <p>● 資訊部門人數：27人</p> <p>● 資訊部門分工：ERP組、系統組、應用開發組、用戶支援組</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>● 2002年：導入ERP系統</p> <p>● 2014年：重新規畫資訊科技應用，調整各項資訊建設，包含網路建設、人員電腦設備，還有確立內部使用程式的發展方向</p> <p>● 2016年：開始導入SaaS服務，像是問卷、視訊會議等</p> <p>● 2017年：引入數據分析策略，逐步串接各部門資訊系統，進行營運分析，並用儀表板呈現視覺化分析結果；資訊部人員至工地現場，實際掌握工地作業方式，了解工地人員痛點</p> <p>● 2018年：決定數位化工地品質檢核流程</p> <p>● 2019年：搬遷ERP上雲、工程專案管理App上線</p> <p>● 2021年：工地現場反饋系統上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/web-960-que_xiao_bin_-v2.png" width="960" height="420" alt="" title="大陸工程資訊部副總經理闕孝賓　（攝影／洪政偉）" /></div></div></div>
2021/11/11 07:00作者黃郁芸https://www.ithome.com.tw/people/147682
親眼所見就一定是真相嗎
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960_ling_si_wei_mang_dian_tu_pian_lai_yuan_tian_xia_za_zhi_chu_ban_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當你想到某位具有傑出判斷力的人，什麼樣的特質會浮現在你腦海中？也許你會想到智力、機靈、勇氣或耐心等等。這些都是值得羨慕的優點，但有一個特點理應排在最前面，卻被忽視了，它甚至沒有一個正式名稱。</p> <p>因此我給它取了個名字，稱之為「偵察心態」（scout mindset），亦即渴望看到事物本來面目，而不是你所希望的樣子。偵察心態能讓你辨識出自己出錯的時候、找出你的盲點、測試你的假設，以及改變歷程。它能驅動你誠實地問自己一些問題，諸如「我在那場爭論中有錯嗎？」、「值得冒這個險嗎？」或者「如果另一個政黨的人做了同樣的事，我該如何反應？」等等。</p> <p>生活都是由各種主觀判斷所組成，你越能避免扭曲你對現實的看法，你下的判斷就會越好。偵察心態能讓你避免在一般人傾向於合理化的棘手問題上欺騙自己，比方說：我是否該為那種疾病做檢查？是該停損的時候嗎？還是說我放棄得太早了？我們的關係會變得更好嗎？關於想要孩子這件事，我的另一半改變想法的可能性有多大？</p> <p>在工作上，這些棘手的問題可能包括：我真的必須解雇那個員工嗎？為了明天的簡報，我需要準備多少？對我的公司來說，現在募集大量資金是最好的選擇嗎？還是我只是被籌募資金為我帶來的立竿見影效果所誘惑？我真的需要在上市發表之前不斷改進這款產品嗎？還是說我只是在尋找理由延後發布？</p> <p>偵察心態促使我們質疑自己的假設，並對我們的計畫進行壓力測試。無論你要提出一項新產品功能或計畫進行一項軍事演習，自問諸如「最可能失敗的方式會是什麼？」這樣的問題很重要，如此你便能事先針對這些可能性，設法強化你的計畫。如果你是醫生，這就表示在確定你最初的猜測之前，要考慮其他的診斷。比方說在懷疑病人患有肺炎時，自問：「如果這不是肺炎的話，那還有可能是什麼呢？」</p> <p>即使是那些看似不需要仰賴偵察心態的工作，一旦你仔細觀察，通常也都是需要的。大多數人通常都會將「律師」與「為某一方辯護」聯想在一起。但當律師在選擇案件並為審判做準備時，他們需要對案件的優劣勢有全盤的了解。若高估了自己的立場，就會在法庭上被狠狠地敲醒。這就是為何有經驗的律師經常把客觀和自我懷疑，列為職業生涯中必須學習的最重要技能之一。</p> <p>在我們與他人的關係中，我們構建了獨立、自成體系的敘述，從內心看來，就好像這些敘述純粹都是客觀事實。一個人的「我的伴侶對我漠視、冷淡」，可能是另一個人的「我很尊重地給他空間」；一個人的「真實」，可能是另一個人的「粗魯」。願意考慮其他詮釋（甚至相信除了你自己的解釋之外還有其他合理的解釋），需要具備偵察心態。</p> <p>做一個樂於接受真相的人（即使那是痛苦的），如此別人才會願意誠實以對。你可以說，你想讓你的伴侶告訴你存在於你們關係中的任何問題，或者你想讓你的員工告訴你關於公司的任何問題，但如果你一聽到真相就變得防禦心重或好鬥，那麼你聽到真相的次數可能少之又少。沒有人想成為被槍殺的信使。</p> <p><span style="font-size:28px;"><strong>一個問題，反轉Intel微處理器的命運</strong></span></p> <p>幾年前，我認識一位法律系的學生，姑且叫她凱莎（Keisha），她在法學院念得很不開心，對於成為一名律師也不感興趣，但她總是打消退學的念頭。她的一個朋友問她：「你留在法學院只是為了不想讓你的父母失望嗎？如果你知道他們不在乎，你會改變決定嗎？」</p> <p>「不，我才不是因為他們而留在法學院。那太荒唐了。」凱莎堅定地說。</p> <p>她的朋友再推她一把，這次讓問題更加生動鮮明：「好，想像明天你的父母打來跟你說：『凱莎，你知道嗎，我們一直在討論這件事，我們擔心你在法學院不開心。我們只是想讓你知道，我們不在乎你是否退學，我們只是想讓你做你喜歡做的事。』」</p> <p>接著凱莎意識到：如果是這樣，我會馬上從法學院退學。</p> <p>光是仔細審查你的推論、並認定它有其道理，並不足以發現你正在自我辯護、不當合理化現實。你必須將你的論證方式與你在一個反事實的世界裡「可能會有」的論證方式進行比較，在這個世界裡，你的動機是不同的。如果有個政客與你不同政黨，你會以不同的方式判斷他的行為嗎？如果是你的朋友而不是你的配偶提出的建議，你會以不同的方式評價它嗎？如果某研究的結論支持你的觀點，你會認為該研究的方法論合理嗎？</p> <p>當然，你不能確定假如在不同情況下你會做何種推論。但你也可以退而求其次做以下事情：藉由思考實驗，虛擬地窺視反事實世界。</p> <p><span style="color:#B22222;"><strong>局外人測試</strong></span></p> <p>對於科技公司英特爾來說，1985年上半年是一個「嚴峻而令人沮喪」的時期。英特爾專精於記憶體晶片的業務一直都在蓬勃發展。但到了1984年，他們的日本競爭對手已經找到了製造比英特爾更快更好的記憶體晶片的方法。</p> <p>當英特爾的領導階層眼見日本的市場占有率飆升、而自己的卻暴跌時，他們不停地討論該怎麼做。他們在記憶體晶片的市場就要被摧毀了，他們是否應該嘗試進入另一個市場？但記憶體是英特爾的身分標記，一想到不再是一家「記憶體公司」實在令人感到震驚，幾乎就像是對宗教教條的褻瀆。</p> <p>在英特爾（Intel）聯合創始人安迪．葛洛夫的回憶錄《10倍速時代》（Only the Paranoid Survive）中，他描述了自己與英特爾另一位聯合創始人戈登．摩爾（Gordon Moore）的對話，那場對話最終拯救了這家公司：</p> <p>我們的情緒很低落。我望著窗外遠處大美洲主題公園旋轉的摩天輪，然後我回過頭來問戈登：「如果我們被開除，董事會會換一個新的執行長，你覺得他會怎麼做？」</p> <p>戈登毫不猶豫地回答：「他會讓我們走出回憶。」我呆呆地盯著他，然後說：「你和我為什麼不走出這扇門，再回來自己動手呢？」</p> <p>從外部的角度來看，一旦他們認知到，放棄曾經著名的記憶體業務是一個顯而易見的選擇，他們的決定幾乎就是正確的。這就是英特爾如何從1980年代中期的低迷中重新煥發活力的原因，它將重心從記憶體晶片轉移到今日最知名的產品：微處理器。</p> <p>葛洛夫和摩爾所做的思考實驗被稱為「局外人測試」：想像別人站在你的位置上，你期望他們會怎麼做？當你在做一個艱難的決定時，該怎麼做的問題可能會和其他充滿情緒化的問題糾葛在一起，例如：「我遇到這種情況是我的錯嗎？」或是「如果我改變主意，人們會對我嚴加批判嗎？」局外人測試旨在消除這些影響，讓你只對處理當前這種情況的最佳方式做出誠實的猜測。<span style="color:#696969;">（摘錄整理自《零盲點思維》，天下雜誌出版提供）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/250_%E9%9B%B6%E6%80%9D%E7%B6%AD%E7%9B%B2%E9%BB%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88(2).png" style="width: 250px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_天下雜誌出版</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span> </strong></span><strong>零盲點思維：8個洞察習慣，幫你自動跨越偏見，提升判斷能力</strong></p> <p>茱莉亞．蓋勒芙（Julia Galef）／著；許玉意／譯</p> <p>天下雜誌出版</p> <p>售價：380元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>茱莉亞．蓋勒芙（Julia Galef）</strong></p> <p>茱莉亞．蓋勒芙是受歡迎的Podcast節目《理性來講》（Rationally Speaking）主持人，她在節目中曾訪問泰勒．柯文（Tyler Cowen）等著名思想家。她也是非營利組織OpenAI的顧問，與Open Philanthropy Project合作，共同創立非營利組織應用理性中心（Center for Applied Rationality）。</p> </div></div></div>
2021/11/11 07:00未署名https://www.ithome.com.tw/article/147688
揭露型態邊界的彌封類別
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Java 17中，彌封類別（sealed）成為正式特性，在定義類別或介面時，可使用permits指定可直接繼承或實作的子型態，最後使用sealed彌封整個類別階層。</p> <p>例如，定義List介面只能有Nil與Cons兩個子類別，它們必須在相同套件或模組之中，也只有Nil與Cons類別能直接實現List：</p> <pre> sealed interface List<T> permits Nil, Cons<T> { T head(); List<T> tail(); }</pre><p>彌封了整個類別階層，初看會有些疑慮：阻止其他擴充可能性之目的何在？這不是違反封裝嗎？permits列出的清單，不是曝露了實作嗎？</p> <p><span style="font-size:28px;"><strong>限制類別階層？</strong></span></p> <p>就實務面來看，有時就是需要限制子型態的可能性，例如，在建立3D繪圖軟體時，決定採用點、邊、線、面與實體來表示形狀，在建立模型時，就必須限制Shape型態只能有Vertex、Edge、Wire、Face、Solid子型態，也就是說，若領域中建模對象的型態邊界已知，阻止其他擴充可能性，就會是個需求。</p> <p>對於封裝，許多人的迷思在於，封裝必然與隱藏畫上等號，其實，封裝真正的目的，在於隱藏無需關心的細節、揭露感興趣的部份，例如，先前專欄<a href="https://www.ithome.com.tw/voice/147531" target="_blank">〈不只是語法糖的記錄類別〉</a>就談到，記錄類別的目的，就是要明確地將資料載體的名稱、結構、狀態等揭露出來，因為對於一個資料載體，關心的正是這些資訊。</p> <p>permits列出的清單，確實是曝露了實作，或者應該說，曝露實作才是permits真正的目的：領域中建模對象的型態邊界已知，使用者必須明確地知道這個型態邊界。限制類別階層只是在語法上，由編譯器實現出的效果，然而sealed與pemits的結合，在語義上的真正目的是「明確地揭露型態邊界」，讓開發者可以掌控型態邊界，型態的使用者也能清楚邊界所在。</p> <p><span style="font-size:28px;"><strong>型態邊界的細化</strong></span></p> <p>若真要從限制的角度來看彌封類別，其實被限制的只有直接擴充的可能性，例如，在定義Vertex到Solld等Shape子類別時，不一定要限定為final，還可以是sealed或non-sealed。換言之，就多型來看，可操作的Shape實例，只要是Vertex到Solld等型態就可以了，必要時，Vertex到Solld等型態，可以再次sealed，（讓型態的使用者可以）揭露各自的型態邊界，或者使用non-sealed，讓Vertex到Solld等，可以進一步擁有多樣化的子型態。</p> <p>這意味著，型態邊界的細化並未受限制，就Shape來說的型態邊界是Vertex到Solld，然而，在必要時，Vertex還可以進一步細化出Point2D、Point3D，也就是定義Vertex可以使用sealed修飾，明確揭露Vertex的邊界。</p> <p>這也是JEP 360中談到的，對於彌封類別允許的子型態，不能限制這些子型態再被擴充的可能性，這也是促使彌封類別加入Java的原因之一，因為單就限定子型態來說，Java 17之前，可以透過套件權限達到某種程度的實現。</p> <p>例如，若父類別沒有任何權限修飾，就只能在同套件中使用，開發者就只能在同套件中定義子型態，從而限制了子型態的可能性，然而因為無法存取父類別，也就無法從事多型操作。</p> <p>另一種方式是，若父類別建構式沒有任何權限修飾，就只能在同套件中呼叫，其他套件的類別無法繼承該父類別，因為沒有呼叫父類別建構式的權限，會引發編譯錯誤，如此一來，開發者就可以放心地在同套件中定義子型態。</p> <p>然而，這種方式也阻止了客戶端進一步細化型態邊界的可能性。例如，採用此方式定義了Vertex到Solld等型態為Shape的子型態，客戶端將無法進一步將Vertex細化出Point2D、Point3D。</p> <p><span style="font-size:28px;"><strong>Enum 2.0？</strong></span></p> <p>透過彌封類別揭露型態邊界之後，由於型態邊界是透明的，易於讓開發者與使用者清楚邊界所在之外，在需要列舉子型態的場合，編譯器也就有辦法推論，是否列出了全部的子型態，例如，目前Java 17中若開啟預覽特性，使用switch模式比對（JEP 406），若lt為方才定義的List型態，可以如下進行模式比對：</p> <pre> switch(lt) { case Nil nil -> 0; case Cons<Integer> cons -> cons.head() + sum(cons.tail()); };</pre><p>這邊不需要自行加入default，對於彌封類別，編譯器發現未列舉出全部子型態，會自動加入default，執行內容為拋出IncompatibleClassChangeError實例，這樣的行為令人聯想到Java 5就加入的Enum特性，編譯器有辦法檢查switch的案例，是否涵蓋全部列舉值，甚至有些人直接將彌封類別比喻為Enum 2.0。</p> <p>但是，本質上還是不同，最大的差別在於，Enum列舉的是一組「常數」，如果用Enum的清單有5個，那麼就只有5個值，而彌封類別列舉的是一組「型態」，如果彌封類別允許了5個子型態，各型態可以有無數的實例。</p> <p>在實現彌封類別子類時，我們可以使用記錄類別，〈不只是語法糖的記錄類別〉談到，未來版本的Java，會有針對記錄類別的解構模式比對（JEP 405），若將以記錄類別實作Cons類別，方才的switch，未來或許可以如下撰寫（正式語法尚未確定），如果你曾使用直接支援函數式程式設計的語言，例如Haskell或Scala，此時馬上就會識別出來，這是處理代數資料型態（Algebraic data type）常見的拆解模式：</p> <pre> switch(lt) { case Nil nil -> 0; case Cons<Integer>(head, tail) -> head + sum(tail); };</pre><p><span style="font-size:28px;"><strong>揭露型態邊界後的效益</strong></span></p> <p>在2012年JCD大會，我談過〈Java開發者的函數式程式設計〉，有興趣可參考<a href="https://bit.ly/3BbIvDg" target="_blank">〈Java Lambda Tutorial〉</a>第二個區塊的文件，沒想到其中的範例，九年多之後，可重新用彌封類別等特性，更貼切地實現（可參考<a href="https://bit.ly/3Aa81Yp" target="_blank">〈代數資料型態：Java 17〉</a>這個gist）。</p> <p>與其將彌封類別比喻為Enum 2.0，不如說彌封類別與記錄類別若能彈性結合，可實現廣義的列舉（generalized enums），因為從代數資料型態的角度來看，彌封類別其實是Sum型態，而記錄類別是Product型態（可參考先前專欄<a href="https://www.ithome.com.tw/voice/91111" target="_blank">〈重構與代數資料型態〉</a>），而在純函數式中，Product型態與Sum型態可以組合，構成各式各樣的型態。</p> <p>確實地，未來Java對函數式會有更多的支援，但Java終究不是純函數式語言，這類支援有其適用與不適用的場合，選擇適當的時機加以運用即可，知道彌封類別是Sum型態，好處是可以從另一個角度來更認識它，或者說可以瞭解到，先前談到的限定類別階層、switch模式比對、解構模式等，以及對純函數式更多的支援，都是在明確揭露型態邊界之後，可以得到的效益！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/java-17">Java 17</a></div><div class="field-item odd"><a href="/tags/%E5%BD%8C%E5%B0%81%E9%A1%9E%E5%88%A5">彌封類別</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2021/11/11 07:00作者林信良https://www.ithome.com.tw/voice/147716
Nvidia展示Kiosk點餐機上實現多AI技術應用與更聰明虛擬助理化身，還布局3大Edge AI技術搶攻機器人AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>試想一下，你到了一家美式速食店，只要對著Kiosk點餐機臺說出你要的餐點，不用輸入就能自動完成點餐到結帳，因為Kiosk上有個AI虛擬助理，不只聽得懂你要點的起司漢堡是什麼口味，還會根據不同客人來推薦套餐或適合加哪些配料，甚至顧客要查詢食物的蛋白質含量，或想要素食漢堡也難不倒它。它還能化身Q版機器人，現身在螢幕中，與人面對面交流及互動，並依據交談內容做出生動的表情和手勢。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap15.png" style="height: 322px; width: 600px;" /></p> <p>這是在今年秋季GTC大會上，Nvidia展示Kiosk機上實現多AI技術應用與更聰明虛擬化身，Nvidia研發團隊運用電腦視覺、深度互動式對話AI技術Riva以及使用Omniverse平臺來模擬虛擬化身的臉部表情、手勢、身體動作，來提供一種即時對話式機器人應用。不只讓AI有了自己的化身，走進kiosk點餐機，這樣的即時對話式機器人，也能在汽車影音娛樂系統做應用，或是當起跨國線上視訊會議上的主持人，來同步提供多國語言的即時內容翻譯。這樣AI場景應用，不再是出現在少數企業的應用，甚至開始進到一般的生活場景。</p> <p>除了AI有自己的虛擬化身，Nvidia執行長黃仁勳自己也有，早在今年4月GTC的Keynote活動上，黃仁勳曾有幾秒鐘替換為逼真的虛擬分身上陣，所以外界十分好奇，這次會不會一樣有虛擬分身出場，在會後一場線上亞太上記者會上，黃仁勳也給出了答案，他說，這場Keynote中出現的場景，都是虛擬的造型，包括他自己。</p> <p>不光是有真人尺寸的虛擬黃仁勳發表新產品，在整場主題演講中，他還介紹了另一個迷你版分身，還是一個Q版卡通造型的虛擬化身，能夠代替自己與真人交談、回答各種艱深提問，像是表達對於氣候變遷看法等等，而且舉手投足都將本尊模仿唯妙唯肖，甚至連講話語氣也十分相似。這項技術同樣運用到了多種AI語音、自然語言理解技術、GPU運算和Omniverse平臺加以實現。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap16(1).png" style="width: 600px; height: 281px;" /></p> <p>在整個發布會中，黃仁勳主要圍繞7大主軸，涵蓋量子運算、AI推論平臺、speech AI、LLM（ large language model）、Omniverse平臺、機器人以及高速網路平臺Quantum-2。</p> <p>首先，在加速運算上，他提到，加速運算一直都是在處理full stack運算的問題，需要考慮到不同應用、不同產業，而且跨雲端到邊緣，不論是GPU、CPU和DPU ，也不分DGX、HGX、EGX、RTX、AGX等系統，都需要有各種優化的SDK，來提供這些行業或產業做加速運算使用。他說，目前有3百萬名開發者使用Nvidia提供的150個加速運算函式庫用於繪圖、AI和機器人。</p> <p>在這次GTC上，Nviidia更釋出65個新的或更新的函式庫，提供各產業使用，像是物流倉儲搬運機器人用的ReOpt，可優化機器人移動與行駛路線，也有為機器學習慣用的程式語言Python ，推出了cuNumeric來加速其擴充函式庫NumPy，支援更大規模的矩陣運算。還有針對量子運算提供cuQuantum函式庫，供研究人員進行科學研究。</p> <p>在AI開發框架方面，該公司釋出兩個重要的框架，一個是Modulus機器學習開發框架它是一個專用於physics-ML models的開發框架，可以讓建立和訓練的ML模型，擁有物理知識和學習能力，以解決物理層面問題。甚至他表示，因為了擁有物理知識的機器學習，加上GPU加速運算、資料中心等級運算規模，將可以在藥物研發和氣候變遷的變革上，帶來百萬倍發展的加速。</p> <p>另一個開發框架則是和超大AI模型訓練有關，Nvidia發布一個NeMo Megatron深度學習框架，專用於LLM模型（ large language model）訓練使用，因為這樣的框架，還推出一個預設LLM模型NeMo Megatron 530B，讓企業或開發者能使用它訓練出自己的LLM語言模型做應用。該語言模型預設使用多達5,300億個參數，比OpenA的GPT-3語言模型還要多3倍，並且支援多GPU、多節點分散式架構。</p> <p>除了提供訓練用的LLM模型，Nvidia還推出一臺 Triton推理伺服器，可供LLM模型推論使用。由於LLM模型是AI理解語言、語意、上下文脈絡很重要的關鍵，黃仁勳也看好LLM模型的發展，將成為未來主流HPC應用。</p> <p>在企業AI軟體方面，Nvidia原本就有建立相當完整的生態系，涵蓋雲端、本地、邊緣和嵌入式裝置，這次更進一步與資料中心代管服務商Equnix合作，來提供一種企業預安裝和整合服務，稱為LaunchPad，除了可以將這些AI軟體部署在企業資料中心內，也能選擇部署於Equnix機房中，不過目前亞洲只有東京和新加坡能選用。</p> <p>Nvidia在同一天推出互動式對話AI引擎Riva，強調只要30分鐘的語音資料訓練，就能產生語音合成模型建立新的AI語音系統，來做為語音助理使用，最多可以支援7種語言，包括中文、英文、日文、西班牙文、德文、法文、俄文。除於語音，Riva也能提供翻譯、即時字幕顯示功能，也能進行問題回答、歸納和理解說話者意圖等。</p> <p>由於企業與工業邊緣是下一波AI主戰場，黃仁勳特別以機器人應用為例，強調該公司推出多個邊緣端專用的機器人應用框架，包括電腦視覺平臺Metropolis、新一代醫療儀器設備平臺Clara Holoscan、Isaac機器人軟體開發套件以及Drive車用平臺等。</p> <p>值得一提的是，黃仁勳在會中也揭露出該公司在Edge AI的布局，主要有3大關鍵技術，分別是統一運算框架（ Unified Computing Framework,UCF）、虛擬化身的Maxine機器人平臺、虛擬世界模擬引擎Omniverse。</p> <p>UCF是一種協助建立機器人AI應用的通用運算框架，企業能夠使用它在機器人上來實現各種AI應用所需的運算，而且利用UCF開發出來的AI應用，可以部署到各種機器人應用環境，不論是資料中心，或是倉庫、工廠邊緣使用的嵌入式機器人系統或裝置上。目前Nvidia在一些機器人新產品上也開始使用UCF框架做為運算框架，例如Clara Holoscan就是一個使用UCF打造的一個軟體定義式醫療儀器設備平臺，除了可以部署在資料中心，也能夠在邊緣端來使用。另一個虛擬化身的Maxine機器人平臺，同樣採用UCF框架搭建，而且可以結合Omniverse搭建的虛擬世界來做應用。黃仁勳表示，未來會有更多技術整合到Maxine中做運用，包括電腦視覺、神經網路繪圖、動畫模擬、AI語音以及對話管理、NLU和推薦等。</p> <p>Nvdia展示了Maxine在智慧零售場景應用，像是建立一個會說話的Kiosk機臺語音助理，不只提供顧客進行語音點餐，還會介紹餐點，回答客人提問，甚至根據每位客人特徵來推薦適合的餐點。該應用結合電腦視覺、互動式對話AI技術Riva以及使用omniverse來模擬的虛擬化身的臉部表情、手勢、身體動作、來提供一種即時對話式機器人應用。</p> <p>在Omniverse平臺方面，除了在數位雙生應用有更多企業採用之外，該公司推出Omniverse Avatar虛擬化身模擬平臺，整合電腦視覺、語音AI、自然語言理解（基於Megatron框架）等技術，讓企業可以在模擬虛擬世界中打造出更聰明的AI虛擬化身，來帶來各種對話式的應用或服務。例如Q版的虛擬黃仁勳就是其中一個應用例子。新推出的Omniverse Replicator模擬框架，則是能產生模擬真實世界所需的物理數據，例如道路表面等，來累積道路環境數據，以加速如自駕車 AI 模型訓練。</p> <p>最後，他提到，未來將打造一個可以模擬和預測氣候變遷的地球數位分身，並將搭載於新一代超級電腦Earth Two （E-2）上，同時會使用到modulus機器學習模型來產生出符合真實地球物理樣貌，用來加速建立數位分身的地球。</p> </div></div></div>
2021/11/10 17:00作者余至浩https://www.ithome.com.tw/news/147759
台灣氣候模擬系統自主研究十年有成，未來台灣春雨將減少、颱風侵台頻率降低但強度增加
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球氣候變遷劇烈，近年來極端型氣候往往造成產業及民眾的損失，各國紛紛推動氣候模擬研究，以提高對未來氣候變遷的理解，台灣也不落人後，在科技部支持下，一群來自中研院、臺師大、國家災害防救科技中心等單位研究者，共同組成台灣氣候模擬系統發展團隊，今天展現其研究成果，除了被國際性氣候研究報告採用，該團隊透過模擬揭露台灣未來的氣候變遷趨勢：春季與秋冬季鋒面發生頻率降低，春雨將明顯減少，颱風侵台頻率雖然減少，但強度增加，因應未來台灣氣候變遷趨勢，政府及產業應及早研擬對策。</p> <p>科技部從2011年開始推動台灣的氣候模擬系統自主發展能力，歷經10年的發展，我國在氣候模擬系統已小有成就，除了已能模疑台灣的氣候變遷、極端型或災害型氣候，也有能力參加國際性的氣候研究，聯合國的政府間氣候變遷專門委員會8月公布的氣候研究報告，IPCC AR6氣候變遷第6次評估報告也參考台灣的資料。</p> <p>帶領該團隊的中央研究院環境變遷研究中心特聘研究員許晃雄表示，氣候系統模式，簡言之，是將發生在地球的氣候模擬出來，許多研究模擬未來數十年、數百年，甚至模擬千年都有。地球是很多不同子系統的交互作用，因此系統模式必需能準確模擬全球的氣候狀態，以及模擬較小尺度的颱風、午後對流的雲發展，其中必需考慮到許多因素，包括海洋系統的洋流、黑潮，陸地的植被，人為的空氣污染或溫室氣體等等，甚至將全球氣候變遷趨勢降尺度，降尺度至模擬台灣某個鄉鎮的未來氣候變遷。</p> <p>目前，國內的氣候模擬從全球到區域可分為三種，第一種是以美國國家大氣研究中心地球系統為基礎，依照台灣的特殊環境調整獨有的模式，解析度較粗約100公里的台灣地球系統模式TaiESM1，用以解析地球系統的運作，由於為較粗解析度，無法詳細解析台灣的氣候。</p> <p>第二種是高解析全球大氣模式HiRAM/GFDL，解析度為25或50公里，可模擬極端天氣，例如颱風的颱風眼、眼牆等，但該模式以大氣為主，並未納入海洋；第三種則是如氣象局預報的區域氣候模式WRF/TCCIP，解析度3到5公里，能夠模擬到台灣的氣候、颱風、豪雨或是午後雷陣雨。</p> <p>團隊以台灣的名義，以TaiESM1與HiRAM參與第6期耦合模式比對計畫CMIP6，該計畫為IPCC AR6報告所採用的科學基礎，證明我國發展的氣象模擬模式在40個國家地區提出的模式中，根據計算積分和日本氣象廳相當，優於韓國、中國等所提出的模式。</p> <p><span style="color:#B22222;"><strong>未來台灣北部的春雨、侵台颱風將減少</strong></span></p> <p>為了獲得運算資源，該團隊與國網中心合作，利用超級電腦的CPU計算大量數據，仰賴的超級電腦從過去的御風者，到台灣杉1號、台灣杉3號，結合地球系統模式及高解析全球大氣模式模擬台灣的未來氣候變化。</p> <p>許晃雄表示，不論是模擬世紀中（2040到2060）或是世紀末（2075年到2100年），從粗解析度或細解析度模式，都發現東亞的春季鋒面雨量未來將顯著減少，並非台灣特有的現象，東亞地區從華南、華中到日本都是如此。</p> <p>若單獨看台灣的未來春雨雨量變化，2040年到2060年的模擬顯示，除了台灣北海岸、雪山山脈迎風面雨量較多之外，其他地區的春雨將會顯著減少，換言之，面臨的乾旱威脅增加。「未來台灣北部的春雨將顯著減少，今年的乾旱雖不見得是環境氣候造成的，但仍給予我們很好的機會，如何應付未來春季水資源短缺的問題」，許晃雄說，</p> <p><strong>系統模擬顯示，未來台灣的春雨將愈來愈少，而乾旱的威脅增加(來源科技部提供)：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/climate-1.jpg" style="width: 600px; height: 343px;" /></p> <p>至於挾帶豐沛雨量、強風，每年造成台灣災情損失的颱風，從氣候模擬結果來看，許晃雄指出，到世紀末，西太平洋的颱風將會減少約4成，模式推估未來侵台的颱風數也會減少，但若是有颱風侵台，平均強度將增強，從系統模擬來看，200與100公里內平均降雨率將增加44%與20%。若以過去造成台灣重大水災的莫拉克颱風為例，在阿里山的降雨量約為3公尺，若在世紀末侵台，降雨量可能增至4公尺，類似莫拉克的颱風未來侵台將造成更大的衝擊。</p> <p><strong>由於全球暖化的影像，颱風減少，上圖的紅點為現在生成的颱風數量，下圖為模擬世紀末的颱風數，紅點數量明顯減少。西北太平洋的颱風也顯著減少(來源科技部提供)：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/climate.jpg" style="width: 600px; height: 366px;" /></p> <p>而颱風雖造成災情，但每年對台灣貢獻顯著的雨量，是我國水資源運用的重要來源，而這個情形未來也將出現變化。從模擬推估，颱風貢獻台灣全年總雨量，從世紀中就會減少，到世紀末將會更嚴重。「颱風對每年總雨量的貢獻將會減少非常多」，許晃雄說。</p> <p>該團隊總結，未來西北太平洋颱風發生次數顯著減少，但強度及雨量明顯增強，侵台的颱風頻率也顯著減少，雖對全年總雨量貢獻降低，但颱風的強度及雨量顯著增加。另一個貢獻雨量的鋒面部分，台灣及鄰近地區的春季、秋冬季鋒量發生頻率也會明顯降低，春雨將顯著減少，至於夏天的午後雷陣雨，頻率降低至降雨強度增加。許晃雄表示，氣候模擬將可用來評估未來氣候變切趨勢，對台灣的水資源運用、公共衛生、生態環境、社會經濟、人民福祉的衝擊，找出調適策略做好準備，以降低衝擊。</p> <p> </p> </div></div></div>
2021/11/10 19:00作者蘇文彬https://www.ithome.com.tw/news/147762
【資安週報】2021年11月4日至10日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在最近一週的資安新聞裡，詐騙事件、開發工具Npm套件COA的供應鏈攻擊，以及線上股市交易平臺Robinhood的資料外洩，都相當值得留意。尤其是與一般民眾有關的秀泰影城遭駭，導致近百人接到詐騙電話，其中有人損失上百萬元，民眾應該要對於這種類型的詐騙事件提高警覺。此外，因疫情持續延燒而更加普遍採用的QR Code付款，也出現在加密貨幣的詐騙事件，而使得這些被騙走的錢財更難以追回。</p> <p>而對於漏洞的部分，駭客利用企業尚未修補的GitLab、AD自助管理平臺ManageEngine ADSelfService Plus漏洞、飛利浦電子病歷系統（EMR）漏洞發動攻擊的現象，也有待IT人員儘速安裝修補程式來因應。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://tw.appledaily.com/local/20211108/HJ6H6H5PLZHHTJSTPPD7WWKSGU/"><span style="color: rgb(0, 0, 0);">秀泰影城被駭、波及逾90人，有人8小時內被騙走114萬元</span></a></strong></h4> <p>知名電影院秀泰影城遭駭客入侵，會員資料被詐騙集團拿來行騙，這起事故得到內政部警政署刑事警察局的證實。該單位表示，從今年10月開始，他們已接獲逾90件民眾報案或洽詢相關狀況，其中，1名居住於臺北市的40歲林姓男子上當後，在8小時之內就轉出114萬元。</p> <p>這名男子因對方聲稱會員系統設定錯誤，他的秀泰影城帳號一口氣訂購20張電影票，且即將從信用卡扣款，一時不察依照指示操作，陸續從網路銀行、自動櫃員機轉帳20多筆，直到帳戶金額持續減少才驚覺被騙。</p> <p>刑事警察局表示，為防範類似的情況再度發生，民眾若接獲商家、網購平臺、銀行客服的電話，告知因系統錯誤需重新設定，民眾應直接掛斷電話，並在確認客服的聯絡資訊後，自行撥打電話確認。</p> <h4><strong><a href="https://www.ithome.com.tw/news/147720"><span style="color: rgb(0, 0, 0);">美國警告使用加密貨幣ATM、QR Code付款的詐騙活動升溫</span></a></strong></h4> <p>美國聯邦調查局發現，在越來越多網路詐騙中，駭客為了讓騙得的金錢難以被執法單位追回，他們會將受害者引導到實體的加密貨幣ATM，或是透過QR Code的方式，讓受害者付錢購買加密貨幣。</p> <p>該單位提醒投資人，切勿與只有在網路上交談過的人士交易，並在線上支付加密貨幣時提高警覺。</p> <h4><a href="https://www.ithome.com.tw/news/147697"><strong><span style="color: rgb(0, 0, 0);">熱門Npm套件COA疑遭劫持，恐導致開發者帳密遭竊<img alt="" src="https://s4.itho.me/sites/default/files/images/171-1-danabot-launching.png" style="width: 300px; height: 398px; float: right;" /></span></strong></a></h4> <p>根據資安新聞網站Bleeping Computer的報導，有一個名為COA（Command-Option-Argument）的Npm熱門套件，於11月4日晚間疑似遭到劫持，而在數個小時內連續發布帶有惡意程式的版本。經過該新聞網站的比對、分析之後，發現惡意版本COA會在受害電腦植入竊密軟體Danabot。</p> <h4><strong><a href="https://www.ithome.com.tw/news/147737"><span style="color: rgb(0, 0, 0);">駭客入侵美國線上股市交易平臺Robinhood，700萬個資外洩</span></a></strong></h4> <p>美國線上股市交易平臺Robinhood於11月3日遭到網路攻擊，該公司近期公布初步調查結果，其中攻擊者疑似取得500萬人的電子郵件信箱、200萬人的姓名，以及310人的生日與郵遞區號等。</p> <p>本次的事故中，也傳出駭客在入侵成功之後，向Robinhood索討贖金。不過，Robinhood並未回應上述傳聞，僅表示已通報執法機關，並通知受影響客戶，且聘請資安業者Mandiant協助調查。</p> <h4><strong><a href="https://intel471.com/blog/shipping-companies-ransomware-credentials"><span style="color:#000000;">駭客兜售國際航運與貨運公司的內部網路存取權限，恐干擾物流運作</span></a></strong></h4> <p>威脅情資業者Intel 471提出警告，他們自7月開始，陸續看到有人銷售國際航運與物流公司的內部網路存取帳密，這些賣家提供買家存取受害公司的方式，包含了遠端桌面連線（RDP）、VPN，以及Citrix和SonicWall的網路設備等。</p> <p>賣家很可能是透過上述網路設備的漏洞，來獲得帳密，Intel 471看到這些賣家，將上述的存取資訊賣給Conti、FiveHands等勒索軟體駭客組織。</p> <h4><strong><a href="https://blog.lookout.com/energy-industry-faced-with-161-surge-in-mobile-phishing"><span style="color: rgb(0, 0, 0);">鎖定能源產業的行動裝置網釣攻擊大增，近半年增加161％</span></a></strong></h4> <p>資安公司Lookout指出，今年攻擊者鎖定遠距辦公的員工，進行行動裝置的網路釣魚攻擊，這樣的情況尤其對於能源產業最為顯著，因為一旦竊得員工的帳密，就有機會進一步對這些產業的工控系統發動攻擊。</p> <h4><strong><a href="https://www.forbes.com/sites/thomasbrewster/2021/10/14/huge-bank-fraud-uses-deep-fake-voice-tech-to-steal-millions/?sh=250585bc7559&fbclid=IwAR1FqDOmliMFU554lUtwHFdX_iJTqJMenzooaa2HoRaPXyAEn66YgHfHq2Q"><span style="color: rgb(0, 0, 0);">攻擊者使用AI語音仿造公司老闆聲音，要求轉帳得逞</span></a></strong></h4> <p>有位香港的銀行經理於2020年初，接到對方自稱是公司董事的來電，並收到相關法律電子郵件，佯稱因併購案須轉出巨額資金3,500萬美元，由於對方的聲音聽起來是這名經理曾經交談過的董事，該經理不疑有他將資金轉出。但實際上，這是全球第2起使用AI語音仿造公司老闆聲音的詐騙案。</p> <p>最近一份美國法院文件透露，阿拉伯聯合大公國正尋求美國協助，追回上述詐騙案其中的40萬美元。該文件亦指出，這起事件至少有17人涉案。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/fbi-ransomware-targets-companies-during-mergers-and-acquisitions/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客利用併購訊息，脅迫受害企業付贖金</span></a></strong></h4> <p>美國聯邦調查局發布公告，指出勒索軟體駭客為了讓受害企業就範，攻擊過程會收集公司財務資訊，運用如併購等重大事件，以股價來做為籌碼，要脅這些受害企業付錢。這些駭客甚至會與想要買空賣空的投機</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/147629"><span style="color: rgb(0, 0, 0);">尚有3萬臺GitLab伺服器尚未修補重大漏洞，恐遭駭客鎖定<img alt="" src="https://s4.itho.me/sites/default/files/images/171-2-GitLab.png" style="width: 300px; height: 157px; float: right;" /></span></a></strong></h4> <p>程式碼代管平臺GitLab於4月修補重大漏洞CVE-2021-22205，一旦攻擊者利用這項漏洞，可遠端執行任意指令發動攻擊，CVSS風險層級達到滿分。但近期資安業者HN Security與Rapid7先後提出警告，表示已有實際攻擊行動出現，而能夠從網際網路上存取的GitLab伺服器，仍約有3萬臺曝露於此漏洞的風險當中。</p> <h4><strong><a href="https://unit42.paloaltonetworks.com/manageengine-godzilla-nglite-kdcsponge/"><span style="color: rgb(0, 0, 0);">AD自助管理平臺遭到鎖定、滲透，駭客以此傳送多項攻擊工具</span></a></strong></h4> <p>管理AD的系統，一旦遭到濫用，攻擊者得以在組織內快速大量散布作案工具。美國政府於9月中旬，針對ManageEngine ADSelfService Plus用戶提出警告，呼籲要儘速修補漏洞CVE-2021-40539，不久之後資安業者發現，鎖定該漏洞的攻擊增加。</p> <p>資安業者Palo Alto Networks於9月17日至10月初，發現有其他攻擊行動也利用上述AD自助管理平臺的漏洞──攻擊者先是在網際網路上掃描存在漏洞的系統，然後於受害組織植入Godzilla Webshell、NGLite木馬程式，以及KdcSponge竊密工具。該公司指出，他們至少發現9個組織遇害，這些組織橫跨高科技、國防、醫療保健、能源、教育等產業。</p> <h4><strong><a href="http://us-cert.cisa.gov/ics/advisories/icsma-21-308-01"><span style="color: rgb(0, 0, 0);">飛利浦醫療保健資訊系統存在SQL注入漏洞，恐導致病人資訊外洩</span></a></strong></h4> <p>美國政府提出警告，飛利浦病歷與醫療照護管理系統Tasy EMR，出現2個SQL注入漏洞CVE-2021-39375、CVE-2021-39376，CVSS風險層級皆達到8.8分，由於全球各地有數百家醫院採用這套系統，他們呼籲採用的醫療院所應儘速修補。</p> <h4><strong><a href="https://www.ithome.com.tw/news/147724"><span style="color:#000000;">Pwn2Own Austin 2021漏洞挖掘競賽成果揭曉<img alt="" src="https://s4.itho.me/sites/default/files/images/171-3-Pwn2Own-Austin.png" style="width: 300px; height: 169px; float: right;" /></span></a></strong></h4> <p>由趨勢科技旗下Zero Day Initiative（ZDI）推出的漏洞研究競賽，於11月2至5日連續四天舉行，這次共有22組參賽者及58項參賽作品，而參賽者所挖掘出的漏洞，ZDI將通報有關業者修補。比賽最終結果出爐，第一名為法國資安廠商團隊Synacktiv，臺灣資安業者Devcore團隊以2分之差獲得亞軍。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.akamai.com/newsroom/press-release/akamai-completes-acquisition-of-guardicore-to-extend-its-zero-trust-solutions-to-help-stop-ransomware"><span style="color: rgb(0, 0, 0);">Akamai併購Guardicore完成，擴展防禦勒索軟體的能力</span></a></strong></h4> <p>資安業者Akamai於9月29日宣布，將以6億美元併購以色列新創Guardicore，並在10月21日完成併購作業，Akamai表示，此併購案將有助於擴展他們的零信任解決方案，保護企業防禦勒索軟體攻擊。</p> <h4><strong><a href="https://www-ch.scu.edu.tw/october/news/16231"><span style="color: rgb(0, 0, 0);">東吳大學成立資安卓越中心，引進證照培訓課程</span></a></strong></h4> <p>為提供更為全面的資安訓練，東吳大學於11月1日宣布成立資安卓越中心，並與以色列網路資安訓練中心ThinkCyber、新加坡公司Centre For Cybersecurity合作，引進資安證照培訓課程，以及模擬實作平臺Cyberium Arena。該校宣稱，他們是全臺灣第一個成立資安卓越中心的大學。</p> </div></div></div>
2021/11/10 16:12作者周峻佑https://www.ithome.com.tw/news/147757
專訪《零時差攻擊》作者：國家級駭客發動零時差攻擊，關鍵基礎設施是主要標的
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際情勢詭譎多變，有不少人都在猜測，經歷美中貿易大戰後，加上近期五眼聯盟和部分歐盟國家參與的南海軍演，以及中國軍機連續十多日來，接連入侵我防空識別區等，在在都造成國際局勢的紊亂。或許會有人開始擔心，這世界會不會因此爆發第三次世界大戰呢？</p> <p>不過，關於第三次世界大戰有一個流傳更久的都市傳說，那就是，第三次世界大戰最有可能的就是網路戰引起的衝突，尤其是，2010年駭客在伊朗核電廠植入Stuxnet蠕蟲，帶給世界極大的恐慌，差一點點核電廠就出事，距離引爆世界大戰只有一線之隔，世人要面對的則是一場無煙硝的戰爭。</p> <p>事實上，這種網路攻擊可以對世界造成的威脅已經是存在的事情，美國《紐約時報》的記者妮可‧佩爾羅斯（Nicole Perlroth）之前便花七年的時間，深入研究報導各種網軍攻擊手法，訪問超過三百位關鍵人物，試圖找出誰是幕後黑手，就是希望可以把這一個隱匿在網路世界的數位軍火地下產業鏈的真相，公諸於世，她也將訪談的過程與內容，撰寫成《零時差攻擊》一書，臺灣則由麥田出版社於十月出版。</p> <p>妮可‧佩爾羅斯表示，面對這種網路攻擊，沒有任何人是倖存者，也沒有人可以置外於這樣的威脅。她在書中寫道，全世界的駭客都積極挖掘零時差漏洞（Zero Day Vulnerable ），只要可以找到軟體中的安全漏洞，就有機會破壞電廠的供電系統，讓整個城市陷入黑暗，烏克蘭電廠遭到駭客攻擊就是最好的實例；透過一夕列的追蹤訪談，她甚至直言，這些駭客的背後，都是國家在支持相關的駭客行為。</p> <p>因為妮可‧佩爾羅斯長期追蹤國家級駭客的行蹤，也積極訪查，所謂「零時差漏洞」在這個市場上，扮演什麼樣的角色，甚至於，有沒有駭客組織已經利用這些零時差漏洞，針對特定國家或對象發動攻擊。</p> <p>各種資安事件第一手的觀察，也讓她對於各種駭客組織和行為有深入的了解，iThome先前也透過書面的方式專訪妮可‧佩爾羅斯（Nicole Perlroth），希望透過她長期追蹤各種駭客組織與攻擊行為的角度，對於長期被中國網軍鎖定攻擊的臺灣，也能夠提供不一樣的觀點和視野。以下則是專訪內容。</p> <h3><strong>國家級駭客利用零時差漏洞發動攻擊，長密碼或多因素認證是防護基本</strong></h3> <p><strong><span style="color:#0000FF;">問：</span></strong>臺灣雖然與美國結盟，但臺灣長期以來，一直是中國網軍鎖定攻擊的目標，面臨中國網軍無止盡的攻擊，我們應該採取哪些措施來應對這種無情的網路攻擊呢？</p> <p><span style="color:#0000FF;"><strong>答：</strong></span>很榮幸有機會和臺灣讀者書面對談！我報導中國網路間諜的活動已經十年，過去這段時間，網軍的威脅不僅變得更複雜，也變得偷偷摸摸，更難被外界發現。</p> <p>多年前，由中國政府在幕後支持的APT（進階持續性威脅）駭客組織，接連入侵Google、資安公司RSA以及我所任職的美國知名媒體《紐約時報》等單位。</p> <p>這些APT網軍最主要使用的入侵手法，就是利用魚叉式網路釣魚（Spear Phishing）郵件，而這樣的手法並未消失，但隨著智慧型行動裝置的普及，中國網軍已經利用許多蘋果以及安卓（Android）手機的零時差漏洞發動攻擊；同時利用許多企業對外溝通都會使用的微軟Exchange郵件伺服器，和確保外部連接企業內部連線安全、市占最高Pulse Secure等VPN漏洞，對企業進行駭客攻擊。</p> <p>由於這些駭客攻擊手法變得越來越複雜，往往很難進一步追蹤和防禦，這也大幅度改變我對於中國網軍受駭者，該如何保護自身安全的看法。</p> <p>因為，最好的防禦方式往往不脫離最基本的心法和作法，例如：使用長密碼或是密碼管理器；盡可能部署多因素身分認證（Multi-Factor Authentication）機制；並且使用如Signal等加密通訊App進行敏感資訊的溝通；當然，也必須要確保各種軟體和應用程式都更新到最新版本。</p> <h3><strong>地緣政治衝突將引爆一波網路攻擊，關鍵基礎設施將是主要攻擊標的</strong></h3> <p><strong style="color: rgb(0, 0, 255);">問：</strong>面對緊張的南海衝突，網軍主要攻擊標的為何？又該如何因應？</p> <p><strong style="color: rgb(0, 0, 255);">答：</strong>像臺灣這樣的國家，最關鍵的是，對於電網、水廠、交通運輸、天然氣和石油等攸關國家和民生安全的關鍵基礎設施系統（CII），都需要進行實體隔離（Air Gap），因為這些關鍵基礎設施可能成為駭客想入侵臺灣時，一剛開始就被鎖定，作為實體或是混合攻擊的標的。</p> <p>對於違規和異常行為也進行即時監控，確保資料備份和擁有備援系統，這樣，無論是面對東歐駭客組織的勒索軟體威脅，或是中國網軍透過合作的供應鏈廠商進行網路攻擊，都可以迅速緩解不可避免的危害。</p> <p>但現在更重要的是，像臺灣這樣的國家，也必須對於電網、水處理設施、交通運輸網路、天然氣及石油等安全設施的關鍵系統（Safety Critical）進行隔離，因為上述這些關鍵基礎設施都可能成為駭客發動初步攻擊時，鎖定混合或實體攻擊的目標。</p> <p>類似的名單不勝枚舉，但臺灣如果可以做到確保相關關鍵基礎設施的安全性，在這方面，就可以比美國握有更多優勢。我真的相信，下一次地緣政治爆發的衝突將在網路上演，至少，會帶來一波相對應的網路攻擊。</p> <p>在這一波網路衝突中的倖存者，或是贏得該場戰爭的贏家，則必須從頭開始，建立一個要兼顧安全且具有韌性的國家，但這往往是「說的比做的容易」。事實上，臺灣還有一個美國沒有的優勢就是，臺灣有中國這樣一個真實的對手，這個對手會無情地探索臺灣的各種系統並帶來明顯的威脅，這卻也是成為臺灣磨練自我能力的對手。</p> <p>因為威脅是真實存在的，所以民眾和企業就會採取相對應的行動。不幸的是，我就看到，有很多美國人還是喜歡裝傻，假裝美國被大海阻隔，沒有這些網路威脅的存在。</p> <h3><strong>政府應權衡擁有零時差漏洞的風險，不應假國安作為濫用藉口</strong></h3> <p><span style="color:#0000FF;"><strong>問：</strong></span>漏洞買賣是一個漫長的旅程，政府是否應該儲備相關的網路武器，例如將零時差漏洞呢？在這樣的困境中，對所有政府而言，什麼才是最好的解決方案呢？</p> <p><span style="color:#0000FF;"><strong>答：</strong></span>我並不會天真的認為，我們不應該擁有零時差漏洞這樣的武器，畢竟，擁有零時差漏洞是有機會遏止下一次的恐怖攻擊，或者是，像是因為撰寫出Stuxnet惡意程式，得以暫時阻止伊朗擴張核武的野心。</p> <p>我們也必須意識到，我們已經不能再以「國家安全」的名義做決定，因為，「資安即國安」，網路安全和國家安全其實是一體兩面，我們只能夠「權衡」兩者之間孰輕孰重，而不是只要冠上「國家安全」的名義，就可以橫行無阻。</p> <p>當我們開始儲存蘋果或是安卓手機的軟體漏洞，或是儲存發電廠或工廠裡，像是施耐德等工控系統中的軟體漏洞時，就邏輯上而言，這樣的作法也讓我們的民眾和企業，處於一個較不安全的情境中。</p> <p>過去五年裡，有一些決定，就會讓美國系統看起來沒有那麼安全，像是高舉「反間諜情資」（Counter Intelligence）的名義作為回擊。事實上，只需要仔細觀察就可以發現，在2017年，俄羅斯攻擊烏克蘭所使用的NotPetya勒索軟體所遺留下的殘骸，其實就是美國國家安全局（NSA）所掌握的微軟零時差漏洞。</p> <p>該次俄羅斯對烏克蘭的攻擊也進一步對外擴散開來，只要各個企業聘僱的員工中，有任何一名員工是從烏克蘭進行遠端連線工作的話，例如聯邦快遞（ FedEx）、默克藥廠（Merck）、全球最大貨櫃船運業者快桅（Maersk）、美國食品公司億茲國際（Mondelez）以及輝瑞藥廠（Pfizer），都因此蒙受數億美元的損失。</p> <p>展望未來，如果我們政府決定要儲存零時差漏洞作為反擊的武器，就應該遵守一套更嚴謹的規範，而不只是確認漏洞是否已經被修補完畢。因為，威脅格局已經改變，美國及其盟友並不是唯一，尋找並儲存零時差漏洞作為不時之需的政府，我們對於風險計算的方式必須改變。</p> <h3><strong>在企業有自保能力前，支付勒索軟體贖金仍難避免</strong></h3> <p><span style="color:#0000FF;"><strong>問：</strong></span>勒索軟體橫行，是否應該支付贖金眾說紛紜。依照過去的採訪經驗，對於受駭企業支付駭客贖金，有何觀點呢？</p> <p><span style="color:#0000FF;"><strong>答：</strong></span>在理想的世界中，政府會將支付駭客贖金的要求視為非法行為，但現實是，在企業具備充分保護自己的能力之前，勒索軟體的攻擊仍將持續發生。只要企業繼續將其關鍵資料和基礎設施數位化，支付勒索軟體贖金和恢復企業正常運作的要求只會持續增加。</p> <p>例如，美國巴爾的摩市政府在2019年遭到勒索軟體攻擊，駭客當初要求市府支付數萬美元的贖金，不過，巴爾的摩市府拒絕支付贖金後，面對必須重建相關的資料和系統，最後恢復市政系統正常運作的金額超過1,800萬美元。對該市納稅人而言，他們寧可市府支付駭客76,000美元後，市府就可以恢復正常運作，繼續發展下去。</p> <p>現實往往比我們想像的更混亂。綜合我的看法，我們首先應該關注的是安全和韌性，即時更新軟體到最新版本，落實資料備份並保護所有個資隱私資料，大規模部署多因素認證機制、密碼以及通訊協定的管理，以及做到實體隔離（Air Gap）。</p> <p>一旦我們將資安防護落實標準，提高到一定程度的話，那麼，我們的確可以認為，把企業支付駭客贖金的行為視為非法手段，最終是有意義的。但事實上，我們距離那個標準還有很遠的一段距離，所以，我會說，一切先回歸到基本功，然後，在繼續談相關的政策和法律規範該怎麼制定才合理。</p> <h3><strong>確保資料不外洩，應先進行資料盤點及落實權限控管</strong></h3> <p><span style="color:#0000FF;"><strong>問：</strong></span>資料外洩是臺美企業共同面臨的議題，尤其在美中貿易大戰中，保護企業機敏資料和智慧財產權已經成為許多企業的共識。對於保護企業知識產權以避免遭到網路間諜或駭客竊取，有何想法或建議？</p> <p><span style="color:#0000FF;"><strong>答：</strong></span>只要一談到網路安全，我喜歡說：「雖然沒有萬靈丹，卻有萬用丹。」（There are no silver bullets, but there is a silver buckshot.）換句話說，企業可以做很多事情來保護公司的智財權。首先從識別皇冠上的珠寶開始，就是先釐清什麼樣的智財權或是個資隱私資料對企業而言最重要，公司是否已經充分的切割、隔離、加密，並設定只有有相對應權限的人，才能存取相關機敏資料，以期能做到「只有需要知道的人，才能存取相關系統。」</p> <p>「你審查過供應商嗎？」、「你是否開啟多因素認證？」、「你是否做過魚叉式釣魚郵件的教育訓練和定期演練？」、「你是否強制要求員工使用強密碼？」、「你是否審查過與自家軟體介接的API安全？」、「你是否曾經向員工簡介，要不惜一切代價保護公司重要資產，如同保護皇冠上的珠寶一樣呢？」</p> <p>一旦上面所有問題的答案都是「是」的時候，就可以開始進行下一步：當有人偷走我們寶貴的智財權時，我們該怎麼做才好呢？這樣有趣的討論，也將會圍繞如何將具有「欺騙性」的技術，納入企業的防禦策略中。這個領域有許多有趣的公司正蓬勃發展中，並且已經受到許多企業的青睞，尤其是那些智慧財產安全將攸關公司存亡與員工生計的企業。</p> <h3><strong>供應鏈安全的確是網路攻擊主流，美中俄扮演重要角色</strong></h3> <p><span style="color:#0000FF;"><strong>問：</strong></span>許多駭客攻擊都開始從供應鏈廠商下手，供應鏈安全是否是未來最重要的資安威脅呢？還有其他面向的資安威脅需要加以重視嗎？</p> <p><span style="color:#0000FF;"><strong>答：</strong></span>美國國家安全局（NSA）對於攻擊性網路安全（offensive cybersecurity）採取了階層式作法。</p> <p>最底層是民族國家和網路犯罪份子，他們需要依靠商業市場的駭客工具以及僱傭兵，來執行他們的骯髒工作。最重要的是，政府可以找到並利用零時差漏洞，將這些零時差漏洞「大規模地」引入供應鏈攻擊中。</p> <p>美國和其親密盟友都被視為是供應鏈攻擊中最先進的，但其他像是中國或是俄羅斯等，也是數位領域中的重要且先進的對手。</p> <p>以美國先前爆發的SolarWinds供應鏈攻擊，以及先前NotPetya的攻擊中可以看到，俄羅斯利用烏克蘭報稅軟體的漏洞，也成為史上最具破壞性的網路攻擊事件。但是，這些攻擊對於網路間諜和未來的破壞往往只是驚鴻一瞥，更重要的是，這件事也讓我們開始針對供應商、各種軟體，以及企業所使用的軟體安全做相關審查，包含比較少進行審查的開源通訊協定，以及由預算有限的工程師進行開發的軟體。</p> <p>好消息是，在SolarWinds供應鏈攻擊的事件爆發後，從政府到各界都聽到了對「零信任」和「SBOM」（Software bill of materials，軟體物料清單）等流行語的需求。像是Linux基金會這樣的非營利組織，正在積極努力，希望可以確保當今使用的各種最關鍵的開源軟體程式碼的安全性，能夠得到適當的資助、維護和審查。但是，在我們達到網路安全防護所需要的位置之前，我們也將面臨更多短期、痛苦，並且數量越來越多的軟體供應鏈攻擊。</p> </div></div></div>
2021/11/10 17:45作者黃彥棻https://www.ithome.com.tw/news/147760
TeamTNT駭客正在尋找配置不當的Docker伺服器展開攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.trendmicro.com/en_us/research/21/k/compromised-docker-hub-accounts-abused-for-cryptomining-linked-t.html" target="_blank">趨勢科技於本周指出</a>，該團隊在上個月觀察到TeamTNT駭客集團正針對網路上配置不當的Docker伺服器展開攻擊，以植入門羅幣的挖礦程式或憑證竊取軟體。</p> <p>遭到駭客鎖定的目標是在2375埠曝露Docker REST API的Docker伺服器，駭客先企圖利用Docker REST API建立一個容器，再自諸如Docker Hub等容器註冊平臺請求攻擊映像檔，進而下載該惡意映像檔並建立一個容器，於所建立的容器中執行CronJob指令，再下載其它攻擊程式或工具。之後駭客即可於Docker伺服器上植入Rootkit、憑證竊取程式或挖礦程式。</p> <p class="rtecenter"><img alt="" src="https://marvel-b1-cdn.bc0a.com/f00000000017219/www.trendmicro.com/content/dam/trendmicro/global/en/research/21/k/compromised-docker-hub-accounts-abused-for-cryptomining-linked-to-teamtnt/fig1-dockertnt.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_趨勢科技</span></p> <p>趨勢也找到了涉及惡意行為的Docker Hub註冊帳號，推測它們可能是被危害，或是原本就是由TeamTNT駭客所建立，這些帳號主要用來代管惡意的映像檔，為此一濫用Docker REST API之惡意活動的重要組成份子，Docker已在收到趨勢的通知後將它們移除。</p> <p>其實另一<a href="https://www.uptycs.com/blog/team-tnt-deploys-malicious-docker-image-on-docker-hub-with-pentesting-tools" target="_blank">資安業者Uptycs在今年10月就曾揭露TeamTNT的相關行為</a>，當時Uptycs發現TeamTNT於Docker Hub上部署了惡意的容器映像檔，可用來下載滲透工具以掃描受害者系統上的子網路，執行進一步的惡意行為。</p> <p>當時Uptycs指出，其中一個映像檔在短短的兩周內便被下載5,400次，另一個位於同一儲存庫的映像檔下載次數更突破10萬次，推測該帳號是專門用來開發惡意映像檔。</p> <p>趨勢科技提醒，曝露的Docker APIs已成為駭客的熱門選擇，因為它們允許駭客以根權限來執行惡意程式，顯示出曝露的伺服器很容易成為駭客的目標，而且像是TeamTNT這類有能力的駭客，還能利用盜來的使用者憑證來實現其不良的動機。</p> </div></div></div>
2021/11/10 16:36作者陳曉莉https://www.ithome.com.tw/news/147758
全新開源搜尋引擎You.com邁入測試版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://beta.you.com/" target="_blank">強調隱私的開源搜尋引擎You.com在本周二（11/9）邁入公開測試</a>，同時宣布已獲得2,000萬美元的資金。</p> <p>You.com是在去年由Richard Socher及Bryan McCann共同創立，標榜為全球第一個開源搜尋引擎，其中，Socher曾擔任Salesforce的科學長，McCann則是Salesforce首席研究科學家，目前由Socher擔任You.com的執行長。</p> <p><a href="https://venturebeat.com/2021/11/09/ai-driven-search-engine-you-com-takes-on-google-with-20m/" target="_blank">根據《VentureBeat》的報導</a>，此次You.com的募資是由Salesforce執行長Marc Benioff所主導，而Breyer Capital、Sound Ventures與Day One Ventures也都參與了此次的投資，<a href="https://www.pymnts.com/news/investment-tracker/2021/salesforce-ceo-marc-benioff-leads-20-million-dollars-search-engine-platform-you-com/" target="_blank">《PYMNTS》則報導</a>，Benioff也將把You.com這個響亮又好記的網域名稱轉給該公司使用。</p> <p><a href="https://youdotcom.notion.site/Privacy-and-Data-Protection-at-you-com-a45fe125e329439e8a45b2807845c8ce" target="_blank">You.com提供個人化及隱私兩種模式</a>，前者必須建立使用者檔案並登入，以儲存個人的偏好，後者則強調完全不儲存任何使用者資訊，不管是搜尋關鍵字、IP、位置或歷史紀錄，且不論是個人化模式或隱私模式，都完全沒有廣告。</p> <p>此外，隱私模式完全不植入Cookie，就算是在個人化模式中，You.com也只使用第一方的Cookie，以啟用使用者的搜尋檔案，並不會追蹤使用者網路上的任何行為，亦強調不會分享使用者的資料予任何人。</p> <p>You.com透過人工智慧來替使用者查找網路上的資訊，而且完全沒有廣告，不會讓廣告左右搜尋結果排序，現階段將專注於提供最佳的搜尋經驗，未來才會追求獲利來源。</p> <p>不過，<a href="https://chrome.google.com/webstore/detail/youcom-beta/afiglppdonkdbkkaghbnpklddbemkbpj/related" target="_blank">目前要使用You.com的方法只能安裝它的Chrome擴充程式</a>，而該程式會直接取代Google，把You.com列為Chrome的預設搜尋引擎。</p> </div></div></div>
2021/11/10 15:25作者陳曉莉https://www.ithome.com.tw/news/147756
【資安日報】2021年11月10日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本日的資安新聞中，歐洲與美國皆對勒索軟體駭客的制裁有新的動作：前者逮捕2名勒索軟體REvil嫌犯，後者則是制裁駭客慣用的加密貨幣交易所Chatex，來防堵駭客藉此洗錢。</p> <p>而除了勒索軟體的消息之餘，我們也看到APT攻擊事件的揭露，以及人權捍衛者被監控的情況。此外，TeamTNT蠕蟲利用容器挖礦的情況，也相當值得留意。</p> <p>針對漏洞的揭露，與醫療器材有關的Nucleus:13漏洞，在研究人員發布的資訊裡特別提到，他們將協助設備廠商進行確認，由此可見這組漏洞影響的範圍很可能極為廣泛。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.europol.europa.eu/newsroom/news/five-affiliates-to-sodinokibi/revil-unplugged"><span style="color: rgb(0, 0, 0);">歐洲刑警組織逮捕5名REvil勒索軟體駭客<img alt="" src="https://s4.itho.me/sites/default/files/images/img_1869_0.jpg" style="width: 300px; height: 225px; float: right;" /></span></a></strong></h4> <p>歐洲刑警組織宣布，在跨國合作的GoldDust執法行動下，羅馬尼亞警方於11月4日，逮捕2名操作勒索軟體REvil（Sodinokibi）的駭客，他們感染5千臺電腦，並取得50萬歐元贖金。該單位自今年2月以來，總共逮捕5名勒索軟體駭客，其中3人與REvil有關，2人與GandGrab有關（REvil是GandGrab的後繼者）。</p> <h4><strong><a href="https://home.treasury.gov/news/press-releases/jy0471"><span style="color: rgb(0, 0, 0);">針對勒索軟體駭客慣用的加密貨幣交易所Chatex，美國查封財產</span></a></strong></h4> <p>美國財政部於11月8日宣布，他們對於加密貨幣交易所Chatex實施制裁，禁止美國人與該交易所交易，並封鎖Chatex的財產，原因是美國打算封鎖勒索軟體駭客洗錢的管道。該單位針對Chatex進行調查發現，逾半數的交易與非法行為有關。</p> <h4><a href="https://research.nccgroup.com/2021/11/08/ta505-exploits-solarwinds-serv-u-vulnerability-cve-2021-35211-for-initial-access/"><strong>駭客運用SolarWinds Serv-U漏洞入侵，在受害組織的電腦植入勒索軟體Clop</strong></a></h4> <p>SolarWinds甫於7月修補的Serv-U漏洞CVE-2021-35211，已被駭客用於勒索軟體攻擊！資安業者NCC Group發現最近的勒索軟體Clop攻擊顯著增加，這個現象與攻擊者TA505大肆利用上述的Serv-U漏洞有關。研究人員呼籲用戶應更新Serv-U至15.2.3 HF2以上的版本。</p> <h4><strong><a href="https://www.accenture.com/us-en/blogs/cyber-defense/iran-based-lyceum-campaigns"><span style="color: rgb(0, 0, 0);">伊朗駭客Lyceum鎖定電信業者與ISP下手</span></a></strong></h4> <p>資安業者Accenture指出，他們在7月至10月之間，看到伊朗駭客組織Lyceum（又名Hexane、Spirlin），針對以色列、摩洛哥、突尼西亞、沙烏地阿拉伯的ISP和電信業者，以及非洲外交部發動攻擊。</p> <h4><strong><a href="https://www.frontlinedefenders.org/statement-report/statement-targeting-palestinian-hrds-pegasus"><span style="color: rgb(0, 0, 0);">Pegasus間諜軟體被用於監控社運人士！巴基斯坦人權捍衛者裝置遭到監控</span></a></strong></h4> <p>國際人權組織Front Line Defenders於11月8日指出，他們在6名巴勒斯坦人權捍衛者的手機上，找到以色列駭客公司製作的Pegasus間諜軟體。而他們會調查此事的原因，是巴勒斯坦人權組織Al Haq在10月16日，懷疑其中1名駐耶路撒冷人員的裝置可能感染了Pegasus，Front Line Defenders獲報後著手調查發現確有此事，且還有另外5人的手機也遭到感染。</p> <h4><strong><a href="https://www.trendmicro.com/en_us/research/21/k/compromised-docker-hub-accounts-abused-for-cryptomining-linked-t.html"><span style="color: rgb(0, 0, 0);">TeamTNT蠕蟲透過遭駭的Docker Hub帳號挖礦<img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-dockertnt.png" style="width: 300px; height: 199px; float: right;" /></span></a></strong></h4> <p>趨勢科技在2021年10月，觀察到攻擊者鎖定曝露Docker REST API，且缺乏充分組態配置的Docker伺服器下手，下載惡意容器映像檔，並執行惡意指令碼來挖取門羅幣。</p> <h4><strong><a href="https://www.bbc.com/news/technology-59209493"><span style="color: rgb(0, 0, 0);">英國大型釣魚用品零售業者的購物網站遭駭，用戶被導向色情網站</span></a></strong></h4> <p>購物網站遭駭，攻擊者意圖將用戶導向色情網站，藉此讓受害企業丟臉，並藉此勒索。英國大型釣魚用品零售業者Angling Direct發布聲明表示，他們的購物網站在11月5日遭到攻擊，網站遭到竄改，會將用戶引導到成人網站PornHub，駭客亦入侵其推特帳號發文，宣稱該公司已被賣給PornHub。</p> <h4><strong><a href="https://www.zdnet.com/article/ddos-attack-cost-bandwidth-com-nearly-12-million/"><span style="color: rgb(0, 0, 0);">VoIP龍頭Bandwidth因DDoS攻擊蒙受1,200萬美元損失</span></a></strong></h4> <p>大型VoIP業者Bandwidth公布第3季財報，指出該公司收入為1.31億美元，但他們也針對最近一次的DDoS攻擊發布新聞稿指出，粗估這起事故會讓他們損失900萬至1,200萬美元。</p> <p><strong><a href="https://www.sophos.com/en-us/labs/security-threat-report.aspx">近一年勒索軟體已成最大危害，Sophos指出勒索軟體的營運模式將模更組化與一致</a></strong></p> <p>對於未來一年的資安威脅趨勢，Sophos在11月9日發布的「Sophos 2022 Threat Report」，指出勒索軟體已成為近一年內所有惡意攻擊最大宗，並指出現有網路威脅將不斷適應環境以分發與遞送勒索軟體，其他值得重視的威脅，還包括Cobalt Strike被濫用的情勢增加，AI帶來的新變化，行動惡意程式的難以抵擋，基礎設施恐持續受到攻擊。</p> <p><strong><a href="https://165.npa.gov.tw/#/article/risk/280">本周165反詐騙公布的受理解除分期詐騙名單，假冒秀泰影城案件數本周第一多，大新書局也疑資料外洩</a></strong></p> <p>秀泰影城資料外洩嚴重，在三周前就有少數受害人報案，上周已經成為165反詐騙的解除分期詐騙受理案件第二多，本周躍升第一，刑事局日前也特別發出提醒。此外，大新書局新入榜就排案件第二多也受關注。</p> <p><a href="https://www.fortinet.com/tw/corporate/about-us/newsroom/press-releases/2021/fortinet-releases-2021-ransomware-threat-report-the-use-of-zero-trust-network-access-and-integrated-information-security-solutions-is-the-effective-way-to-resist-attacks"><strong>Fortinet公布勒索軟體最新調查，資料外洩是普遍企業認為最大影響，並強調零信任需受重視</strong></a></p> <p>對於勒索軟體的危害，Fortinet在9月28日已發布The 2021 Ransomware Survey Report，近日他們再根據相關資料，摘錄要點新發布2021勒索軟體威脅報告，指出勒索軟體攻擊對企業造成的影響，以資料遺失最嚴重，且駭客在亞太地區利用RDP攻擊的比率，遠高於北美與其他地區。另外也強調企業需廣泛採用零信任網路存取，但現今只有不到四成受訪企業採用</p> <p><a href="https://www.ithome.com.tw/news/147752"><strong>過去兩年遭勒索軟體攻擊的企業，有4成付贖金了事</strong></a></p> <p>電子郵件安全業者Mimecast近期發布一份對資安人員的調查，統計結果指出，透過郵件發動的勒索軟體，有超過半數是利用郵件附檔，比使用釣魚連結導向惡意網站下載的的方式多。而且，近兩年內，有4受害企業付贖金，2成5的CXO因此下臺。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.forescout.com/blog/new-critical-vulnerabilities-found-on-nucleus-tcp-ip-stack/"><span style="color: rgb(0, 0, 0);">研究人員發現Nucleus的TCP/IP堆疊存在13個漏洞，影響醫療設備</span></a></strong></h4> <p>資安業者Forcescout與Medigate聯手，在Nucleus的TCP/IP堆疊中，發現了13個新的漏洞，一旦遭到濫用，攻擊者可遠端執行任意程式碼（RCE)、阻斷服務（DoS），或是洩露裝置資料，這些漏洞被稱為Nucleus:13。由於Nucleus被用於重大安全裝置，如麻醉機、病人監控裝置等醫療設備，研究人員將協助設備廠商找出受影響的產品。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-urges-exchange-admins-to-patch-bug-exploited-in-the-wild/"><span style="color: rgb(0, 0, 0);">微軟呼籲IT人員儘速修補Exchange Server重大漏洞<img alt="" src="https://s4.itho.me/sites/default/files/images/Exchange_Server_update_paths.jpg" style="width: 300px; height: 85px; float: right;" /></span></a></strong></h4> <p>針對甫修補的Exchange Server重大漏洞CVE-2021-42321，微軟向IT人員提出警告，要儘快修補這項漏洞。這項漏洞波及Exchange 2016及2019版，一旦被利用，攻擊者就有可能發動遠端執行程式碼（RCE）攻擊。這項漏洞影響本地建置版本與混合模式的Exchange Server，Exchange Online不受影響。</p> <p><a href="http://https://www.ithome.com.tw/news/147751"><strong>微軟發布11月例行性安全更新，修補55個漏洞中，有兩個漏洞已遭駭客成功利用需特別注意</strong></a></p> <p>在微軟本月Patch Tuesday中，共修補55個安全漏洞，其中出現在Excel的CVE-2021-42292漏洞，以及出現在本地端Exchange Server的CVE-2021-42321，企業修補急迫性最高。而在受關注的重大漏洞方面，則有存在於VMBus的CVE-2021-26443漏洞，以及RDP伺服器的CVE-2021-38666 漏洞，需特別留意。</p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://therecord.media/house-approves-massive-infrastructure-plan-that-includes-1-9-billion-for-cybersecurity/"><strong>美國基建案通過，投入在網路安全的部分將有19億美元</strong></a></p> <p>美國國會眾議院在5日通過美國史上規模最大約1.2兆美元的基礎建設法案，其中將有19億美元投入網路安全，其中10億是用於新的資助計畫。</p> </div></div></div>
2021/11/10 13:04作者周峻佑https://www.ithome.com.tw/news/147753
微軟發表Windows 11 SE及249美元的Surface Laptop SE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://educationblog.microsoft.com/en-us/2021/11/imagining-a-new-era-of-education" target="_blank">微軟周二（11/9）發表了鎖定中小學（K-8）教育市場的Windows 11 SE版本，以及基於Windows 11 SE的Surface Laptop SE</a>，Surface Laptop SE售價只要249美元，為微軟迄今所推出的最便宜的Surface筆電，且包括宏碁、華碩、Dell、Dynabook、富士通、HP、JP-IK、聯想與Positivo，都計畫推出採用Windows 11 SE的產品。此舉將讓微軟成為Chrome OS的最大勁敵。</p> <p>Windows 11原本即提供Windows 11 Education及Windows 11 Pro Education等兩種教育版，新增的Windows 11 SE則是微軟專門針對美國14歲以下的教育學程（K-8），所設計的作業系統，它以雲端為優先，提供可線上或離線使用的Microsoft Office，除了內建的Edge外，也支援Zoom與Chrome，但並未提供應用程式商店，一切以瀏覽器應用為主，並支援自動化的部署及修補功能。</p> <p>Windows 11 SE被外界視為是微軟用來對抗Chrome OS的產品，學生可藉由Microsoft 365授權取得Office產品，包括Word、PowerPoint、Excel、OneNote及OneDrive等，有鑑於許多學生在學校之外無法固定取得網路，它們皆同時支援線上與離線使用，離線時所進行的變更，會在回到學校時透過網路同步。</p> <p>由於Windows 11 SE採用雲端優先政策，尚無法滿足中國政府對雲端儲存及管理的政策要求，因此該版本並不會在中國市場推出；此外，它鎖定教育市場，使用基於雲端的身分管理及安全機制，微軟亦不打算透過零售商店銷售Windows 11 SE。</p> <p>微軟提醒，Windows 11 SE是款以教育優先的作業系統，不管是介面或程式的使用上都有限制，並不適合一般人使用，但若使用者想要的是搭載Windows 11 SE的裝置，那麼可以在購買之後移除所有的資料、設定，以及Windows 11 SE，再安裝自己想要的作業系統，但屆時便無法再回復至Windows 11 SE。</p> <p>為了搭配Windows 11 SE，微軟推出了只要249美元的Surface Laptop SE，它具備11.6吋的螢幕，採用Intel處理器，內建4GB記憶體，提供64GB的儲存空間，有100萬畫素的前方相機，重約1,112公克，電池續航力為16小時，預計於明年初問世。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1110-Surface%20Laptop%20SE-2.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>Windows 11 SE將於11月9日開始，現身於新一批的Windows 11 SE裝置上，惟微軟尚未公布首波Windows 11 SE裝置名單。</p> <p><a href="https://www.canalys.com/newsroom/worldwide-pc-market-q2-2021" target="_blank">根據市場研究機構Canalys今年第二季的調查</a>，在該季的全球筆電出貨量中，Chromebook就占了13%，前三大製造商依序是HP、聯想與宏碁，不過顯然這些Chromebook製造商，也都將投入Windows 11 SE裝置的生產。</p> </div></div></div>
2021/11/10 14:33作者陳曉莉https://www.ithome.com.tw/news/147755
過去2年有近4成被勒索攻擊的企業選擇付錢解決，美國平均支付贖金居各國之冠達600萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一份報告指出，過去2年企業有8成遭受到過勒索軟體攻擊，其中美國企業平均付出600萬美元來贖回資料。</p> <p><a href="https://www.mimecast.com/resources/ebooks/state-of-ransomware-readiness/" target="_blank">這項報告是由電子郵件安全業者Mimecast針對742位企業資安管理人員進行調查而成</a>。報告指出，在過去2年內遭到勒索軟體攻擊的企業中，平均攻擊次數高達3000次。勒索軟體來源一半（54%）是釣魚信件附件，其次是被釣魚信件導向惡意網站下載。</p> <p>受訪企業只有45%有做好檔案備份以免於被勒索，或是得以緩解災害。有83%的受訪者相信他們可以不付錢而救回所有資料，不過實際上被勒索的企業有39%乖乖付了贖金，另有13%設法交涉以減少贖金。至於受害企業最後支付的金額，美國企業平均付了630萬美元最多，加拿大企業也付了530萬美元。其次英國、南非及德國受害者，分別付出85萬、21萬及20萬美元。</p> <p>77%受訪企業相信可以在2天內回復正常運作。實際情況是42%被攻擊的企業公司營運中斷、36%發生嚴重斷線，因勒索軟體損失營收、流失客戶者各有28%及21%。</p> <p>其他數據方面，有39%受訪IT經理認為，成功的勒索軟體攻擊事件會讓他們丟了飯碗，而有25%的企業因為攻擊事件而撤換CxO。</p> </div></div></div>
2021/11/10 12:07作者林妍溱https://www.ithome.com.tw/news/147752
微軟11月的Patch Tuesday修補55個安全漏洞，有兩個已被開採
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周二（11/9）展開例行性的Patch Tuesday安全更新，修補了55個安全漏洞，當中有4個屬於零時差漏洞，另有兩個已被開採，還有6個被列為重大（Critical）等級漏洞。已被開採的安全漏洞分別是存在於Microsoft Excel的CVE-2021-42292，以及出現在Microsoft Exchange Server上的CVE-2021-42321。</p> <p>其中，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42292" target="_blank">CVE-2021-42292</a>屬於Excel的安全功能繞過漏洞，微軟並未說明該漏洞的細節；<a href="https://www.zerodayinitiative.com/blog/2021/11/9/the-november-2021-security-update-review" target="_blank">Zero Day Initiative（ZDI）則揣測</a>可能是在使用者開啟特製的檔案並載入程式時，Excel沒能跳出提醒，也建議Mac用戶應該要多加小心，因為微軟尚未修補Mac版的Office。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42321" target="_blank">CVE-2021-42321</a>則為Microsoft Exchange Server的遠端程式攻擊漏洞，<a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/released-november-2021-exchange-server-security-updates/ba-p/2933169" target="_blank">微軟特別撰文解釋了該漏洞</a>，指出它是存在於Exchange 2016與2019的身分認證後漏洞，並建議用戶應立即修補它。</p> <p>該漏洞僅影響就地部署的Exchange Server，包括用於混合部署中的伺服器，至於Exchange Online用戶則無需採取修補行動。</p> <p>另外4個已被公開揭露，但尚未發現攻擊行動的漏洞，則包括涉及3D Viewer的CVE-2021-43208與CVE-2021-43209，以及涉及Windows遠端桌面協定（RDP）的CVE-2021-38631及CVE-2021-41371。</p> <p>上述不管是已被或未被開採的零時差漏洞，都僅被微軟列為重要（Important）等級，至於本月修補的重大（Critical）漏洞中，被ZDI點名的則有存在於Virtual Machine Bus（VMBus）的CVE-2021-26443，以及藏匿在RDP伺服器上的CVE-2021-38666 。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26443" target="_blank">CVE-2021-26443</a>允許客座VM上的使用者，透過VMBus傳遞一個特製的通訊予主機OS，以於主機執行任意程式，ZDI從漏洞編號猜測，微軟可能在幾個月前就知道此一漏洞的存在，只是如今才修補。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38666" target="_blank">CVE-2021-38666</a>漏洞則可讓控制RDP伺服器的駭客，在使用者以RDP客戶端程式連至該伺服器時，於客戶端執行任意程式。</p> </div></div></div>
2021/11/10 11:02作者陳曉莉https://www.ithome.com.tw/news/147751
Windows Update for Business驅動程式部署服務將整合到微軟Intune、Graph
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新版Windows更新每每因為驅動程式過於老舊，而引發用戶相機、印表機或第三方硬體運作失常。微軟也想解決這個問題，<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/deployment-service-for-driver-updates-public-preview-coming-soon/ba-p/2914212" target="_blank">微軟上周宣布</a>Windows Update for Business驅動及韌體派送服務，明年上半將整合到Microsoft Graph及Intune中。</p> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/introducing-a-new-deployment-service-for-driver-and-firmware/ba-p/2176942" target="_blank">微軟今年3月首次宣布這項服務</a>，可將符合企業裝置的驅動程式版本和韌體，並經由Windows Update派送給企業。管理員也很容易一次掌握、選擇每次更新的版本，以及排定部署時程、決定要部署到哪些裝置，用哪種方式等等。此外，也可以針對驅動程式部署情況及結果產出報告。</p> <p><a href="https://techcommunity.microsoft.com/t5/video-hub/commercial-driver-and-firmware-servicing-with-the-windows-update/ba-p/2908502" target="_blank">微軟上周在Ignite開發者大會上進一步宣布</a>，為了讓企業IT管理員更容易管理公司裝置，企業版Windows Update for Business將加入這項新的部署功能，並將在2022年上半以預覽版整合到Microsoft Graph及Endpoint Manager Intune中。</p> <p>Microsoft Graph是開發人員存取Microsoft 365所有資料、API的統合網站。微軟將把Windows Update for Business部署服務整合到Microsoft Graph，讓和微軟平臺整合的App開發人員，方便管理Windows Update派送的驅動程式及韌體。微軟將推出一個和Graph整合的Web App，讓管理員早期一覽哪些程式在限定預覽，哪些即將進入公開預覽。管理員可用這個App設立驅動程式新政策、瀏覽可用的驅動程式，或是下許可及排程指令。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/driver-servicing%20(1).gif" style="width: 480px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>微軟會在明年公開預覽時將之開源，方便管理員將之整合到Graph中。明年微軟也會公布支援驅動程式派送的管理報表功能。它可顯示許可發布的更新，包括細部顯示個別裝置的影響，以及針對需要注意的驅動程式建議更新，也可提供個別裝置的影響，以及顯示被暫停的更新。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1109-Windows%20Update%20for%20Business%20and%20Microsoft%20Graph-600-1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_微軟</span></p> <p>這個報表功能將會整合在Windows Update for Business的分析產品Update Compliance中的Workbooks功能中。</p> <p>Graph整合的驅動程式部署功能，會在2022年1月釋出公開預覽版，而整合裝置管理工具Intune的部署功能釋出時間，預定為2022年上半。</p> </div></div></div>
2021/11/10 09:23作者林妍溱https://www.ithome.com.tw/news/147750
效能大提升！微軟正式推出.NET 6
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過一年多的開發，微軟正式釋出.NET最新長期支援版本<a href="https://devblogs.microsoft.com/dotnet/announcing-net-6/">.NET 6</a>，這個版本的更新重點，除了C#和F#都有許多語言功能改進之外，.NET 6終於集大成，成為跨瀏覽器、雲端、桌面、物聯網和行動應用程式的統一平臺，效能也獲得大幅提升，並且更完整支援Arm64。</p> <p>微軟更新.NET 6的底層平臺，使其能夠滿足所有類型的應用程式需求，讓開發者可以在所有應用程式中，重複使用程式碼，因此新功能和更新，可以同時使用在所有應用程式，雲端和行動裝置中執行的程式碼，都能具有相同的行為，也就是說，所有平臺的應用程式，都可以使用相同的.NET函式庫，並且簡單地共享程式碼。</p> <p>.NET 6也賦予開發人員更多的功能，這個版本新增支援機器學習和WebAssembly，開發人員可以開發具有機器學習功能的應用程式，用於像是搜尋串流資料中的異常情況等使用案例。而WebAssembly的部分，則讓開發者可以在瀏覽器中運作.NET應用程式，就像是HTML和JavaScript一樣，或者將.NET和HTML、JavaScript程式碼混合使用。</p> <p>.NET 6還有一個主打的新功能，便是.NET多平臺應用程式UI（Multi-platform App UI，MAUI），開發者現在可以在單一專案中編寫程式碼，並直接提供跨桌面和行動裝置的客戶端應用程式，實現寫一次到處執行的理想，不過該項功能會比.NET 6還要晚一點發布。</p> <p>微軟也花了許多心力在改善.NET 6效能中，重大的改進包括PGO、檔案IO和介面轉換（Interface Casting）。微軟提到，動態PGO（Dynamic Profile-guided Optimization）能夠明顯提高穩態（Steady State）效能，以TechEmpower JSON MVC套件來說，每秒鐘的請求數能夠從510K提高到640K，增加26%。</p> <p>動態PGO建立在分層編譯上，.NET 6會先以非常快速的方式，編譯一次應用程式，來提高啟動效能，這稱為第0層編譯，接著再運用大量最佳化重新編譯應用程式，經過最佳化的編譯稱為第1層編譯，微軟解釋，這項模型已經被證實具有提高應用程式效能的方法，該模型透過在第0層的時候，對程式碼執行進行各種觀察，並將從第０層收集到的資訊，用來最佳化第1層程式碼。</p> <p>動態PGO技術會帶來明顯的效能差異，但是同時也增加了不少程式碼容量，不過增加的是JIT所產生的組合程式碼，而非占用較大的記憶體。</p> <p>微軟幾乎全部重寫.NET 6中處理檔案的FileStream，重點是提高非同步檔案IO的效能，在Windows上實現非阻塞API，效率能夠快上不少，而且微軟也改進了所有平臺記憶體的使用，當Windows和Unix實作方法不同時，也盡可能讓極端情況行為一致。微軟提到，所有作業系統都能獲得重寫FileStream所帶來的效能提升，除了macOS和Linux開發者能夠看到明顯不同之外，原本效能遠遠落後的Windows，更是獲得大幅改善。</p> <p>另外，.NET 6在介面的檢查和轉換上也更快速了，效能大概提高16％到38%，這種改進對於C#的模式配對會特別有感。</p> <p>微軟和Arm、Apple的工程師合作，在.NET 6還擴大了對Arm64的支援，這版的主要重點是在macOS和Windows Arm64作業系統上，支援最新的Apple Silicon晶片以及x64模擬使用情境，開發者可以在macOS 11+和Windows 11+的Arm64作業系統上，安裝Arm64和x64版本的.NET，微軟建議開發者，還是使用與原生架構相符的SDK，確保最佳的效能。</p> </div></div></div>
2021/11/10 09:08作者李建興https://www.ithome.com.tw/news/147741
Visual Studio 2022正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與.NET 6發表的同一天，微軟也正式發布了最新版本的IDE <a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2022-now-available/">Visual Studio 2022</a>，這個版本的開發重點，在於提升開發人員編輯和除錯周期的生產力。</p> <p>Visual Studio 2022內建具有更強大人工智慧的IntelliCode，現在能夠直接完成整行程式碼，微軟提到，IntelliCode可讓開發者以更少的輸入，編寫出更多的程式碼，開發者只要點擊兩次Tab鍵，就能完成程式碼編寫。而且IntelliCode還可以發現重複邏輯的程式碼，針對整個程式碼庫類似的部分，提出修復建議。</p> <p>在開發者更改並且執行應用程式後，Visual Studio 2022中適用於.NET和C++的熱重載（Hot Reload）功能，可以讓開發者在更新程式碼之後，不需要重新部署或是啟動應用程式，就能立刻查看應用程式的變化。</p> <p>另外，Visual Studio 2022將是第一個64位元的Visual Studio版本，也就是說，Visual Studio 2022是一個64位元的應用程式，devenv.exe程序本身不會受到4gb記憶體的限制，因此即便開發者開啟大型複雜的解決方案，仍然能夠高效能地進行編輯、執行和除錯，不用擔心耗盡記憶體。</p> </div></div></div>
2021/11/10 09:13作者李建興https://www.ithome.com.tw/news/147742
寶可夢母公司Niantic釋出元宇宙平臺Lightship
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發《寶可夢》（Pokémon Go）遊戲的Niantic，<a href="https://nianticlabs.com/blog/lightshiplaunch/?hl=en" target="_blank">在11月8日宣布釋出Lightship平臺</a>，鼓勵全球開發者共同實現元宇宙（Metaverse）的世界。</p> <p>Niantic為Google的內部創業，當時還稱為Niantic Labs，一直到Google宣布組織重組，成立Alphabet之後，<a href="https://www.ithome.com.tw/news/98066" target="_blank">Niantic才在2015年脫離Google</a>。Niantic原本即開發兩項行動程式，一是用來尋找附近有趣地點的《Field Trip》，二是可將實際世界帶到遊戲場景中的擴增實境遊戲《Ingress》，獨立後的Niantic, Inc在2016年推出了風靡全球的《寶可夢》遊戲，<a href="https://sensortower.com/blog/pokemon-go-five-billion-revenue" target="_blank">根據行動程式分析業者Sensor Tower的估計</a>，即使到了2020年，《寶可夢》仍替Niantic帶來13億美元的收入，也讓《寶可夢》問世以來的營收突破50億美元。</p> <p>從Niantic打造的程式可發現，該公司一直致力於發展AR/VR相關產品，也<a href="https://www.ithome.com.tw/news/124236" target="_blank">在2018年發表AR平臺Real World Platform</a>，並在5月將該平臺更名為Niantic Lightship，本周則釋出Niantic Lightship的首批AR工具，協助開發人員實現Metaverse的願景。</p> <p>Niantic Lightship是Niantic用來打造《Ingress》、《寶可夢》與《Pikmin Bloom》的基礎，Niantic本周釋出的則是該平臺的擴增實境開發者套件（ Augmented Reality Developer Kit，ARDK），提供即時映射、理解與分享等三大AR功能，以協助開發者利用相關工具打造獨特的AR經驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1109-Niantic%20Lightship%20ARDK(1).jpg" style="width: 600px;" /></p> <p>該公司宣稱，透過Lightship平臺，世上的任何公共環境都能成為人們探索、聚集或連結之地。ARDK中的網格化APIs（Meshing APIs）可建立即時的3D網格地圖，了解用戶周遭的地形與表面，也能隨著使用者的移動持續建置；而遮擋APIs（Occlusion APIs）則能用來建立虛擬物件與實體物件之間正確的深度順序。</p> <p>語義分割APIs（Semantic Segmentation APIs）則是採用電腦視覺能力，來判斷實體世界中的元素，從地面、天空、水、建築或其它，以確保虛擬物件與實體世界中不同表面的正確互動，並判斷它們是否該出現。多人APIs（Multiplayer APIs）允許開發者打造支援最多5名玩家的AR情境，確保他們與虛擬物件之間的互動是同步且即時的。</p> <p>除了ARDK之外，Niantic也正著手打造Niantic視覺定位系統（Visual Positioning System，VPS），將允許人們可在虛擬物件置放於特定區域，並讓其它使用同樣應用程式的人也能發現，這也是Niantic打造全球3D地圖的步驟之一，迄今已建立數千個位置，計畫在明年開放所有開發者存取位於不同城市的位置。</p> <p>已有不少團隊在ARDK的測試階段發展出各種應用，例如專門管理英國皇家宮殿的Historic Royal Palaces計畫在明年，把倫敦塔周圍的護城河種滿花朵，並先聘請開發者以AR來模擬其景象，以供全球觀賞；或者是專門出版日本漫畫的集英社，亦準備推出一款新的行動程式，讓漫畫人物出現在現實生活中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1109-Niantic%20Lightship-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Niantic</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1109-Niantic%20Lightship-600-2.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Niantic</span></p> <p>目前Niantic所提供的網格化及語義分割APIs都是免費的，多人APIs若每月活躍用戶少於5萬也是免費的，超過5萬就必須付費，並宣布將在明年5月舉辦首屆的Niantic開發者大會。</p> </div></div></div>
2021/11/9 16:22作者陳曉莉https://www.ithome.com.tw/news/147739
美國抓到攻擊Kaseya的駭客了，為22歲的烏克蘭人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/ukrainian-arrested-and-charged-ransomware-attack-kaseya" target="_blank">美國司法部周一（11/8）宣布</a>，已經抓到在今年7月攻擊IT管理軟體Kaseya的REvil勒索軟體駭客了，他是Yaroslav Vasinskyi，為22歲的烏克蘭人。同一天美國也起訴了另一名同樣涉嫌部署REvil勒索軟體的28歲俄羅斯駭客Yevgeniy Polyanin。</p> <p>根據訴狀，Vasinskyi與Polyanin存取受害企業的內部網路，伺機部署Sodinokibi/REvil勒索軟體，以加密受害企業的資料，再要求企業支付贖金。</p> <p>其中，只有22歲的Vasinskyi先是入侵了Kaseya的管理產品，進而在採用該產品的客戶網路上部署REvil，<a href="https://www.ithome.com.tw/news/145494" target="_blank">估計有接近1,500家客戶受害</a>。Vasinskyi於今年的10月8日在波蘭遭到拘留，美國正尋求將他引渡回美受審。</p> <p>至於Polyanin同樣也是Sodinokibi/REvil勒索軟體的主謀之一，據信主導了2019年8月針對德州政府機關及企業的相關攻擊，目前全球警方已扣押了Polyanin所收受的610萬美元贖金。不過，Polyanin目前仍流亡海外。</p> <p>美國起訴Vasinskyi與Polyanin的罪名大致相同，包括共謀利用電腦進行詐欺，破壞受保護的電腦，以及共謀洗錢等，若所有的罪名都成立，他們將分別面臨115年與145年的刑期。</p> <p>除了美國司法部公開了這兩名勒索軟體嫌犯的起訴書之外，<a href="https://www.europol.europa.eu/newsroom/news/five-affiliates-to-sodinokibi/revil-unplugged" target="_blank">歐洲刑警組織（Europol）也在同一天宣布</a>，已於羅馬尼亞逮捕了另外兩名涉及部署Sodinokibi/REvil勒索軟體的嫌犯，這兩名嫌犯總計攻擊了5,000名受害者，約有價值50萬歐元的贖金入袋。</p> <p>自今年2月以來，Europol已聯同國際警方，逮捕了7名涉嫌參與GandCrab及Sodinokibi/REvil勒索軟體攻擊的駭客。</p> <p>在2018年現身的GandCrab，不到一年半就賺進20億美元，<a href="https://www.ithome.com.tw/news/131042" target="_blank">並在2019年中急流勇退</a>，Europol相信2019年出現的Sodinokibi/REvil有部份成員來自GandCrab，已被全球警方盯上的REvil在今年8月忽然消失，9月重新現身，<a href="https://www.ithome.com.tw/news/147422" target="_blank">但10月再被多國聯手殲滅</a>。然而，Europol與17個國家共同發起的GoldDust行動並未鬆懈，仍持續於全球追捕GandCrab及Sodinokibi/REvil勒索軟體集團的嫌犯。</p> </div></div></div>
2021/11/9 17:10作者陳曉莉https://www.ithome.com.tw/news/147740
Amazon Kuiper申請低軌衛星發射，數量加倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為追趕馬斯克SpaceX的Starlink，<a href="https://fcc.report/IBFS/SAT-LOA-20211104-00145/13337525" target="_blank">Amazon旗下的衛星通訊公司Kuiper最近加碼向美國政府申請低軌衛星的發射許可</a>，數量由原本的3,236顆增加到7,774顆。</p> <p>Kuiper向美國聯邦通訊委員會（Federal Communication Committee，FCC）申請執照，以便在第二代Kuiper衛星群計畫下發射同步衛星軌道（non-geostationary satellite orbit），並營運固定衛星服務（fixed-satellite service，FSS），衛星數量達7,774顆。</p> <p>Kuiper計畫下採用V及Ku波道的Kuiper-V系統將發送到距離地面590到650公里，以5種高度及傾斜度提供「高速、低成本、延遲性」的寬頻服務。Kuiper稱新增的衛星數將有助提高Kuiper System網路頻寬，並延伸南北緯各56度，使服務涵蓋兩極內的地表。</p> <p>原本Kuiper申請在2029年前，發射3,236顆近地低軌（LEO）衛星。根據Kuiper和美國聯邦通訊委員會（FCC）的發射授權，該公司必須在2026年前發射至少一半，即1,618顆衛星。但Kuiper目前一顆衛星都還未發射。<a href="https://www.aboutamazon.com/news/innovation-at-amazon/project-kuiper-announces-plans-and-launch-provider-for-prototype-satellites" target="_blank">該公司表示</a>計畫2022年第4季發射2顆「原型」（prototype）衛星到近地軌道。</p> <p class="rtecenter"><img alt="" src="https://assets.aboutamazon.com/ab/6c/ece6cd734568a1c81c2db4abbd32/kuipersat-test-sequence-1920x1080p.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Amazon</span></p> <p>相較之下，競爭者SpaceX的Starlink及英國的OneWeb，則各已經發射了1,700 及350多顆衛星。<a href="https://spacenews.com/fcc-approves-starlink-license-modification/" target="_blank">Starlink計畫</a>將再發射2,814顆衛星到540 到570公里高空，<a href="https://www.ithome.com.tw/news/145432" target="_blank">OneWeb明年底衛星數將達648顆以覆蓋全球</a>。</p> <p><a href="https://www.ithome.com.tw/news/147522" target="_blank">Kuiper上個月宣布和Verizon合作</a>，結合Kuiper的LEO衛星系統和Verizon的行動網路及基礎架構。Kuiper將提供行動回傳網路（cellular backhaul）服務，以延伸Verizon的4G/5G網路。</p> </div></div></div>
2021/11/9 14:22作者林妍溱https://www.ithome.com.tw/news/147738
Julia資料科學新女神降臨
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/juliazhu_tu_.png?itok=kCiJrvR6" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不只科技巨頭、百年藥廠、英國最大保險集團，全球上萬家企業都紛紛借重Julia來突破科學運算的速度瓶頸。這股風潮現在也吹進臺灣，不只學術實驗室開始使用，更有大數據公司重用，你準備好擁抱女神了嗎？</p> </div></div></div>
2021/11/9 13:27作者王若樸https://www.ithome.com.tw/article/147584
股票交易程式Robinhood遭駭，數百萬名客戶資料曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月才登上美國那斯達克股市的<a href="https://blog.robinhood.com/news/2021/11/8/data-security-incident" target="_blank">股票暨加密貨幣交易程式Robinhood在8日揭露</a>，有未經授權的第三方於11月3日存取了該公司系統，造成部份客戶的個人資料外洩，包括500萬用戶的電子郵件，200萬用戶的姓名，以及310名用戶的姓名、生日與郵遞區號，另有10名客戶被存取更多的資料。</p> <p>Robinhood說明，此一未經授權的第三方是透過電話假冒為該公司負責客戶支援的員工，成功地進行了社交工程攻擊，而得以存取特定的客戶支援系統。除了上述資料外，客戶的社會安全碼、銀行帳號或是簽帳卡號碼並未外洩，也未因此造成客戶的財務損失。</p> <p>此外，駭客在入侵成功後，還回頭向Robinhood索取贖金。Robinhood並未公布是否支付了贖金，僅說已通知受影響的客戶，知會執法機關，同時聘請資安業者Mandiant協助調查。</p> <p>Robinhood在今年7月29日以每股38美元的發行價登上那斯達克股市，蜜月行情曾一度漲至70美元，在傳出資料外洩意外之後，Robinhood當天盤後下滑了3.4%，股價為36.69美元。</p> </div></div></div>
2021/11/9 13:44作者陳曉莉https://www.ithome.com.tw/news/147737
美國懷疑有人想利用修改過的DJI Mavic 2無人機破壞美國電網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://abcnews.go.com/WNT/video/intelligence-bulletin-reveals-potential-plot-disrupt-us-electrical-80961140" target="_blank">ABC News於本周揭露</a>，美國國土安全部（DHS）與聯邦調查局（FBI）在10月28日發布了一份共同情報通知，要求各單位注意無人機所造成的威脅，因為它們在去年7月發現一架似乎企圖破壞美國賓州電網的無人機。</p> <p><a href="https://www.thedrive.com/the-war-zone/43015/likely-drone-attack-on-u-s-power-grid-revealed-in-new-intelligence-report" target="_blank">根據《The Drive》的報導</a>，該無人機為大疆所製造的DJI Mavic 2，這是一架針對消費者設計的旗艦款航拍無人機，但經過改裝，被發現時它用尼龍繩綁著一根銅線，很可能是為了攻擊賓州的變電站所設計，意在造成短路，以破壞電力輸送。</p> <p>這起意外事件讓美國官方首度正式認為，或許有無人機打算對美國基礎設施發動攻擊，但也不排除該無人機只是意外墜毀。</p> <p>DHS並不打算對外公開說明此事，僅向《CNN》表示，該部門會定期與各州或地方政府分享資訊，以確保全美的安全性。</p> </div></div></div>
2021/11/9 13:06作者陳曉莉https://www.ithome.com.tw/news/147736
【資安日報】2021年11月9日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在10月中旬，165全民防騙網已經提出警告，<a href="https://www.ithome.com.tw/news/147633">秀泰影城被列為高風險賣場</a>，而今天有了進一步的受害規模揭露：內政部警政署刑事警察局表示他們已接獲近百件報案，且有人被騙走114萬元。</p> <p>我們將焦點轉向國際。勒索軟體攻擊事故仍是大宗，其餘2則事故都與金融單位有關。</p> <p>在勒索軟體攻擊的重大事故中，主要是駭客攻擊歐洲大型電子零售業者MediaMarkt，而對於事故後續追蹤的部分，則有美國逮捕使用REvil勒索軟體的駭客成員，他們疑似是於7月發動Kaseya供應鏈攻擊的人士。此外，比較特別的是，勒索軟體駭客也害怕集權政府－－Conti竟發出聲明保證，他們不會再洩露阿拉伯王室的資料，而被資安人員解讀是害怕遭到阿拉伯當局的報復。</p> <p>而針對金融單位的資安事故裡，則有美國大型股市交易平臺資料外洩事故，以及印度證券託管機構漏洞修不好的情形，這些投資人的資料是否已經遭到濫用？恐怕有待觀察。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://tw.appledaily.com/local/20211108/HJ6H6H5PLZHHTJSTPPD7WWKSGU/"><span style="color: rgb(0, 0, 0);">秀泰影城被駭逾90人受害！有人8小時內被騙走114萬元</span></a></strong></h4> <p>知名電影院秀泰影城遭駭客入侵，會員資料被詐騙集團拿來行騙，這起事故得到內政部警政署刑事警察局的證實。該單位表示，從今年10月開始，他們已接獲逾90件民眾報案或諮詢相關案例，其中，1名居住於臺北市的40歲林姓男子上當後，在8小時之內就轉出114萬元。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20211109-conti.png" style="width: 300px; height: 370px; float: right;" /></p> <h4><strong><a href="https://www.vice.com/en/article/n7nw8m/conti-ransomware-hackers-apologize-to-arab-royal-families-for-leaking-their-data"><span style="color: rgb(0, 0, 0);">為避免遭到追殺，勒索軟體Conti向阿拉伯王室道歉</span></a></strong></h4> <p>在勒索軟體Conti攻擊英國珠寶業者Graff的事故中，公布的樣本文件疑似涉及阿拉伯王室，該組織發布聲明表示，他們將移除這些人士的資料。資安業者Recorded Future認為，駭客可能是害怕阿拉伯的潛在報復行動，而發出這樣的聲明。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/us-seizes-6-million-from-revil-ransomware-arrest-kaseya-hacker/"><span style="color: rgb(0, 0, 0);">美國逮捕發動Kaseya供應鏈攻擊嫌犯，並起出600萬美元贓款</span></a></strong></h4> <p>美國起訴於7月初發動Kaseya供應鏈攻擊的REvil勒索軟體駭客，並逮捕22歲的烏克蘭人Yaroslav Vasinskyi，以及從俄羅斯藉Yevgeniy Polyanin沒收610萬美元不法所得。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/mediamarkt-hit-by-hive-ransomware-initial-240-million-ransom/"><span style="color: rgb(0, 0, 0);">歐洲電子零售業者MediaMarkt遭Hive勒索軟體攻擊，索討2.4億美元</span></a></strong></h4> <p>歐洲大型電子零售業者MediaMarkt於11月7日晚間至8日凌晨，遭遇勒索軟體Hive攻擊，門市電腦無法使用，亦無法退貨。</p> <h4><strong><a href="https://blogs.blackberry.com/en/2021/11/zebra2104"><span style="color: rgb(0, 0, 0);">研究人員揭露提供入侵管道的掮客，至少與3組勒索軟體駭客有所關連</span></a></strong><img alt="" src="https://s4.itho.me/sites/default/files/images/20211109-zebra2104.png" style="width: 300px; height: 199px; float: right;" /></h4> <p>BlackBerry資安研究團隊發布研究報告指出，名為Zebra2104的組織，為提供入侵初始存取管道的掮客（IAB），該組織與MountLocker、Phobos以及StrongPity APT等3個勒索軟體組織合作，提供存取受害組織的管道牟利。</p> <h4><strong><a href="https://blog.robinhood.com/news/2021/11/8/data-security-incident"><span style="color: rgb(0, 0, 0);">美國股市交易平臺Robinhood驚傳遭到駭客入侵，700萬用戶個資外洩</span></a></strong></h4> <p>美國股市交易平臺Robinhood於11月3日遭到網路攻擊，該公司近期公布初步調查結果，其中攻擊者疑似取得500萬人的電子郵件信箱、200萬人的姓名，以及310人的生日與郵遞區號等。</p> <h4><strong><a href="https://www.cyberx9.com/cdsl-data-exposed-again-blog"><span style="color: rgb(0, 0, 0);">印度證券託管機構CDSL子公司驚傳漏洞，曝露4千萬投資人個資</span></a></strong></h4> <p>資安公司CyberX9於10月中旬發現，印度證券託管機構CDSL的子公司CDSL Ventures Limited，網站系統存在漏洞，曝露4390萬用於KYC的投資人個資，該單位獲報後於1週內修補。但CyberX9於10月底發現漏洞修補不全，懷疑投資人個資已遭到外流。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://unit42.paloaltonetworks.com/manageengine-godzilla-nglite-kdcsponge/"><span style="color: rgb(0, 0, 0);">AD自助管理平臺遭到鎖定，被駭客傳送多項攻擊工具</span></a></strong><img alt="" src="https://s4.itho.me/sites/default/files/images/20211109-gozilla.png" style="width: 300px; height: 203px; float: right;" /></h4> <p>資安業者Palo Alto Networks提出警告，APT駭客使用ManageEngine ADSelfService Plus的漏洞，在受害組織植入Godzilla Webshell、NGLite木馬程式，以及KdcSponge竊密工具。</p> <h4><strong><a href="https://www.cyber.gov.au/acsc/view-all-content/alerts/active-exploitation-vulnerable-sitecore-experience-platform-content-management-systems"><span style="color: rgb(0, 0, 0);">甫修補的企業內容管理系統Sitecore XP漏洞被用於攻擊行動，澳洲提出警告</span></a></strong></h4> <p>澳洲網路安全中心（ACSC）於11月5日提出警告，企業內容管理系統Sitecore XP的RCE漏洞CVE-2021-42237已出現攻擊行動，影響各種部署模式的版本。該單位呼籲IT人員儘速修補，或是採取緩解措施。</p> <h4> </h4> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.mcafee.com/en-us/consumer-corporate/newsroom/press-releases/press-release.html?news_id=4c11f1ad-70d8-4280-9ddc-f9214e8e5e62"><span style="color: rgb(0, 0, 0);">私募股權公司將以140億美元併購McAfee</span></a></strong></h4> <p>資安業者McAfee於11月8日宣布，他們將被以每股26美元的價格，由多家公司共同投資的集團購買，較4日收盤價格溢價22.6%。這項交易粗估總價值超過140億美元。</p> </div></div></div>
2021/11/9 13:18作者周峻佑https://www.ithome.com.tw/news/147730
單顆伺服器CPU核心數首度破百！AMD揭擁有128個核心的5奈米全新EPYC處理器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今日 (11/9)舉行的新品發布會上，AMD除了發布新的EPYC伺服器處理器和GPU產品外，還揭露兩款下一代5奈米EPYC伺服器產品，其中代號為Bergamo的EPYC處理器，擁有破百的核心數，在單一顆CPU中，裝入高達128個核心，專門用於雲端原生應用處理，預計2023年推出。這也是AMD首款破百核心的伺服器CPU。</p> <p>繼先前展示3D封裝技術的桌上型PC處理器，AMD在今日新品發布會上，更將這項3D封裝新技術，帶進EPYC伺服器系列處理器中。AMD將在明年量產推出的最新款Milan-X處理器中，採用這項新技術，提更高容量快取記憶體的伺服器CPU版本。</p> <p>在設計上，這款新處理器延用和第3代EPYC產品相同Zen3架構，擁有最多64個核心，只是在CPU快取設計上，採用3D Chiplets封裝技術，可以提供多3倍的L3快取，使得單顆CPU合計可達到804MB快取記憶體容量，意味著，可以提供更好的記憶體的資料頻寬，來降低延遲，來因應需要大量資料運算和分析處理的應用，比如EDA電子自動化設計、結構分析、動態模擬流體運算。微軟Azure的HPC虛擬機服務將率先採用Milan-X處理器。各大伺服器廠商也將推出相對應的產品，</p> <p>除了這顆7奈米EPYC產品，AMD執行長蘇姿丰還在活動尾聲一連揭露兩款5奈米新EPYC伺服器處理器，將在明後兩年推出。兩款全新EPYC處理器都支援新一代DDR5記憶體和CXL高速互連標準的PCIe 5.0介面，另在安全功能上也將有所增強。其中一款代號為Genoa處理器，將於2022年正式問世，它將是首款採用Zen4新架構和台積電5奈米製程打造的伺服器CPU，擁有高達96個核心，主要專用於HPC運算任務處理。目前這顆新處理器已開始送樣。</p> <p>她也提到說，新款伺服器CPU採用新製程技術，較前一代7奈米CPU，不論是在CPU密度、功耗和效能方面將獲得1.25~2倍以上的提升，可大大強化下一代CPU在高效能運算任務處理。</p> <p>除了裝有96個核心的伺服器CPU，AMD還預告另一款採用Zen4c架構的EPYC處理器正在開發中，其擁有核心數更多，達到破百個核心數，AMD在一款代號為Bergamo的EPYC處理器，一共裝入多達128個核心，核心數量是前一代EPYC產品的翻倍，這也是AMD首款破百核心的CPU，不過AMD並未透露關於這顆處理器更多訊息，僅表示它將相容於Genoa伺服器平臺，未來可專用於需大量複雜運算的雲端原生應用，預計將在2023年上半推出。</p> </div></div></div>
2021/11/9 11:45作者余至浩https://www.ithome.com.tw/news/147727
McAfee以140億美元出售給投資集團
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼今年初出售企業資安業務後，<a href="https://www.businesswire.com/news/home/20211108005616/en/McAfee-to-Be-Acquired-by-an-Investor-Group-for-over-14-Billion" target="_blank">老牌資安業者McAfee昨（8）日宣布把剩下的消費安全業務，以高達140億美元賣給多家投資業者集團</a>。</p> <p>數家基金業者，包括Advent、Permira、Crosspoint Capital、Canada Pension Plan (CPP)、GIC Private Limited (GIC)及阿布達比投資局全資子公司等組成的投資集團，將以每股26美元全現金交易方式，收購McAfee，交易金額超過14億美元。</p> <p>本收購案預計2022年上半完成。屆時McAfee將從交易市場下市成為該集團持有公司。由<a href="https://www.ithome.com.tw/news/143106" target="_blank">於McAfee已在今年3月把企業安全業務，包括員工、資產出售給由Symphony Technology Group率領的投資集團</a>，目前McAfee為純消費安全產品及服務供應商。雙方表示，McAfee仍將持續推動消費安全業務，而在有了更強的財務奧援下，McAfee將得以滿足消費市場更大的安全防護需求。</p> <p>這是McAfee最新歸屬。McAfee 2010年賣給了英特爾，<a href="https://www.ithome.com.tw/news/113265" target="_blank">後者於2017年將之出售給私募基金業者TPG</a>。<a href="https://www.ithome.com.tw/news/140263" target="_blank">2020年McAfee重新掛牌上市</a>，隨後於今年又將企業業務賣給STG。英特爾和TPG仍是McAfee股東。</p> <p><a href="https://www.ithome.com.tw/news/147203" target="_blank">McAfee Enterprise和STG旗下另一家安全公司FireEye上個（10）月已整合成端點、基礎架構、應用程式及雲端防護供應商</a>。STG還同時擁有加密及身份安全業者RSA Security。</p> </div></div></div>
2021/11/9 11:55作者林妍溱https://www.ithome.com.tw/news/147728
Walmart將啟動以全無人自駕車送貨11公里
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Walmart和自駕車新創業者Gatik將合作在美國人口較少的區域，以真正無人駕駛的自駕車運送貨品。</p> <p>Walmart和Gatik自2019年起，就開始在阿肯色州本頓維（Bentonville）試驗自駕車送貨服務。<a href="https://www.businesswire.com/news/home/20211108005409/en/Gatik-and-Walmart-Achieve-Full[…]ries-in-a-First-for-Autonomous-Trucking-Industry-Worldwide" target="_blank">本周雙方宣布將以Gatik的多溫層自駕貨車</a>，在完全無安全駕駛在座的情況下，負責將貨物由Walmart於當地的物流中心，送貨到的Walmart零售店，運行路線達7英哩（約11公里）。</p> <p>雙方從2019年開始推行這項方案。一開始測試範圍是Walmart的物流中心到Walmart 零售店面的2英哩（約3.2公里）路程。<a href="https://corporate.walmart.com/newsroom/2020/12/15/walmart-and-gatik-go-driverless-in-arkansas-and-expand-self-driving-car-pilot-to-a-second-location" target="_blank">去年10月Gatik首次測試沒有人類駕駛在車上以自駕車送貨</a>，並在今年8月正式啟用完全無人自駕車送貨。</p> <p>最新的合作下，Gatik的自駕車送貨將一周7天，一天12小時在這路線上重複、固定送貨。雙方表示，這也是全球首個公路上完全無人的中程商業遞送任務。</p> <p>2017年成立的Gatik其自駕車Autonomous Box Trucks車隊，已在美國德州、阿肯色、路易西安那及加拿大安大略省提供短程固定路線的貨運服務。</p> <p>Walmart希望以全自駕車加速電子商務的商品遞送。該公司表示，這項合作有助於加速電子商務訂單達交，提升資產利用率和提高用路人的安全。該公司也在去年於路易西安那州測試以有安全駕駛的Gatik車隊送貨。</p> <p>為擴大自駕車使用推升電子商務業務，Walmart去年底同時測試以自駕車，將貨物由其超級市場（名為Super center）運送到特定取貨點，方便線上購物的顧客就近取貨。</p> </div></div></div>
2021/11/9 12:11作者林妍溱https://www.ithome.com.tw/news/147732
微軟舊Python語言伺服器正式除役
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布了最新適用於VS Code的<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-november-2021-release/">Python擴充套件</a>，該擴充套件11月的更新重點，擺在正式汰除舊的微軟Python語言伺服器，更換成為Pylance，所有未選擇使用Pylance的用戶，從這個版本開始，都會被預設從舊的語言伺服器切換到Pylance。</p> <p>微軟在2020年7月，推出了全新Python語言伺服器Pylance，Pylance使用微軟靜態類型檢查工具Pyright開發而成，提供豐富的類型資訊，進而增強IntelliSense功能，使得Python開發者能夠更輕鬆地撰寫出高品質程式碼。Pylance比舊的語言伺服器具有更豐富的功能，包括自動輸入完成、完整的函數簽名（Function Signature）資訊，還有高效能程式碼導覽等功能，微軟從發布Pylance以來，也多次表示，將以Pylance來取代舊的語言伺服器。</p> <p>微軟在9月的時候，開始鼓勵還在使用舊語言伺服器的用戶，切換使用Pylance或是Jedi，而從這個最新的Python擴充套件開始，微軟正式宣布舊語言伺服器生命周期已經結束，所有未選擇使用新語言服務的用戶，都將被切換到Pylance。當然，用戶也能隨時更改配置，嘗試使用不同的Python語言伺服器。</p> </div></div></div>
2021/11/9 08:23作者李建興https://www.ithome.com.tw/news/147721
Pwn2Own駭客競賽結果出爐，Synacktiv奪冠，戴夫冠爾居次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年下半年的Pwn2Own駭客競賽於11月5日正式結束，今年的與會隊伍總計揭露了61個零時差漏洞，抱走1,081,250美元的獎金，由來自法國的<a href="https://www.synacktiv.com/" target="_blank">Synacktiv</a>得到20分的最高積分，<a href="https://www.ithome.com.tw/news/143753" target="_blank">在今年上半年拿下Pwn2Own冠軍</a>的臺灣隊伍戴夫寇爾（<a href="https://devco.re/" target="_blank">Devcore</a>），這次以兩分之差居次拿下第二名。</p> <p>11月2日展開的Pwn2Own駭客競賽過去稱為Pwn2Own Mobile，是鎖定行動裝置等消費者裝置的白帽駭客活動，今年在Zero Day Initiative（ZDI）德州奧斯汀總部舉行，<a href="https://www.zerodayinitiative.com/blog/2021/11/1/pwn2ownaustin" target="_blank">並更名為Pwn2Own Austin</a>，這場賽事總計有來自22個國家的58個隊伍參賽，攻擊目標為22種裝置，涵蓋Google Pixel 5、Samsung Galaxy S21、蘋果iPhone 12，以及各式印表機、網路儲存裝置（NAS）、智慧喇叭及網路電視等。</p> <p>法國的Synacktiv團隊首日便攻陷了Canon ImageCLASS MF644Cdw多功能印表機，利用一個堆積溢位漏洞就取得該印表機的控制權；第二天該團隊再度攻陷Western Digital的My Cloud Pro Series PR4100網路儲存裝置，透過其配置錯誤臭蟲執行程式，也成功破解Sonos One智慧喇叭，可自遠端播放歌曲，亦利用3個臭蟲於Lexmark MC3224i印表機上執行程式，亦成功開採了HP Color LaserJet Pro MFP M283fdw印表機；第三天Synacktiv再接再勵，攻陷Cisco RV340路由器的LAN介面，破解WD的3TB My Cloud Home Personal Cloud網路儲存設備，以及NETGEAR R6700v3 路由器的WAN介面。</p> <p>來自臺灣的戴夫寇爾表現亦可圈可點，他們在第一天利用堆積緩衝區溢位漏洞控制了 Canon ImageCLASS印表機，亦成功於Sonos One喇叭上執行程式，攻陷了HP Color LaserJet Pro印表機；第二天成功開採了WD的 My Cloud Pro Series PR4100網路儲存裝置，利用程式注入漏洞控制了Lexmark MC3224i印表機；在最後一天攻陷WD的3TB My Cloud Home Personal Cloud網路儲存裝置。</p> <p>Synacktiv總計獲得了20分的積分，抱走197,500美元的獎金。戴夫寇爾有18分，獎金為18萬美元。排名第三的是來自新加坡的Star Labs，積分為12分，獎金則是112,500美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1108-PWN2OWN%20AUSTIN%202021%20the%20Master%20of%20Pwn%20standings%20by%20Zero%20Day%20Initiative.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Zero Day Initiative（ZDI）</span></p> <p>ZDI將會把研究人員所發現的漏洞提交給供應商，並提供 120天的修補期限。</p> </div></div></div>
2021/11/9 08:33作者陳曉莉https://www.ithome.com.tw/news/147724
分散式資料庫服務Cloud Spanner新增TTL功能可自動清理過期資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在分散式資料庫服務Cloud Spanner加入<a href="https://cloud.google.com/blog/products/spanner/reduce-costs-and-simplify-compliance-with-managed-ttl-in-spanner">TTL（Time To Live）</a>功能，管理員能夠設定政策，來定期清理資料表中不要的資料，不只能夠減少儲存空間節省成本之外，也能確保資料庫資料符合資料留存法規。現在TTL功能已經上線，所有Spanner用戶，都能免費使用。</p> <p>Google提到，過去資料庫管理員要清理資料庫中的資料，必須執行一次性的資料清理腳本，但這種方法有許多缺點，除了腳本需要密集掃描資料庫，可能影響資料庫的效能之外，這項操作需要管理員花費額外的時間定期執行，還有可能出現人為錯誤。</p> <p>TTL則能夠在後臺持續運作，依照管理員設定的政策，定期批次刪除過期資料，官方解釋，雖然Spanner支援在SQL中使用DELETE或是分割刪除，供管理者能夠精確地劃分要刪除的資料，盡可能最小化處理時間，但TTL進一步補充用戶對資料清理的需求。</p> <p>由於TTL讓管理員以宣告的方式指定列刪除政策，因此清除資料變得簡單，僅需要制訂列資料要刪除的時間，TTL就會在指定時間清除資料，省去撰寫複雜程式碼，或是使用外部腳本來清理資料的麻煩。</p> <p>而且因為是Spanner的內建功能，TTL本身也具可擴展性，可在用戶執行個體的所有節點，無縫地掃描過期資料並執行刪除，即便資料庫隨著時間規模越來越大，TTL也會動態調整，不需要用戶干預。</p> <p>TTL的一大優勢，更是對於效能影響的可預測性，Google表示，TTL能夠最大程度減少對資料庫工作負載的影響，TTL清除程序會以低系統優先度在後臺運作，跟自定義的查詢相比，TTL更能配合資料庫的運作執行，將成本開銷降到最低。</p> <p>TTL還整合到Cloud Monitoring中，能夠讓管理員端到端監控進度和警示，不需要建立和維護額外的工作管線。</p> <p>當列資料符合刪除政策時，並不會被立即清除，TTL的清除程序會以批次的方式執行，每日檢查符合條件的列資料並分批刪除，在發生錯誤時，清除程序會自動調整批次大小進行重試。</p> <p>資料庫管理員可以使用Cloud Monitoring 和內建的系統表格，來觀察列資料的清理程序，清理程序會調整執行的時間，減少Spanner執行個體的整體負載，用戶還可以設定通知，在TTL程序執行過久或是意外事件時，第一時間掌握狀況。</p> </div></div></div>
2021/11/9 08:43作者李建興https://www.ithome.com.tw/news/147723
【提供存取便利、低成本與無限擴展的雲端儲存空間】透視多層級、多面向的公有雲物件儲存服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1050-feng_mian_2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>某種層面上，我們可以將物件（Object）儲存服務，稱為「公有雲儲存服務的起點」，各大公有雲服務商的儲存服務，幾乎都是從物件儲存服務起家，逐步建立了用戶的信心，然後再擴展到區塊（Block）、檔案（File）等其他各式各樣類型的儲存服務，進而確立了當前公有雲儲存服務的市場地位。</p> <p>以公有雲服務商龍頭AWS為例，早在2006年就推出物件類型的S3儲存服務，然後在2008年推出區塊類型的EBS儲存服務（Elastic Block Store），接下來，直到2016年6月，才推出檔案類型的EFS儲存服務（Elastic File System）。</p> <p>類似的狀況，也在Google Cloud上演。他們在2010年正式發布物件類型的Cloud Storage服務，接著在2012年底隨著Compute Engine服務發表，一同推出了區塊類型的Persistent Disk儲存服務，然後在2018年7月發表Filestore檔案儲存服務。</p> <p><span style="font-size:28px;"><strong>雲端物件儲存服務的3大優勢</strong></span></p> <p>除了在公有雲儲存中歷史最為悠久外，在技術特性方面，相較於其他類型的儲存服務，物件儲存服務也有著高擴展性、存取便利性與低成本的優勢。</p> <p><span style="color:#B22222;"><strong>存取便利</strong></span></p> <p>就存取連接對象來說，公有雲的其他類型儲存服務，如區塊與檔案服務等，都是針對公有雲平臺的執行個體（虛擬機器）儲存而設計，只能由公有雲平臺的執行個體，透過iSCSI或NFS/SMB等存取協定存取，因此，存取應用的對象，與存取連接的區域範圍，都有一定的限制。</p> <p>而物件儲存服務則是透過基於Web的REST API來存取，無論本地端或雲端，只要擁有帳號與存取權限，任何支援REST API的平臺，都能無遠弗屆地存取物件儲存服務的空間。</p> <p><span style="color:#B22222;"><strong>無限擴展</strong></span></p> <p>在擴展性方面，公有雲物件儲存服務用於容納物件的Bucket容器，可以容納的物件數量，一般而言，是沒有上限的。相較下，區塊與檔案儲存服務的單一儲存區，都有數十TB到數百TB容量上限。</p> <p>以Google Cloud為例，Persistent Disk區塊儲存服務的單一Volume，容量上限是64TB，Filestore檔案儲存服務的共用儲存區，允許的最大容量是63.9TB或320TB（視類型而定），而Cloud Storage物件儲存服務的Bucket容器，則無容量限制，用戶可以從單一帳號建立任意數量的Bucket容器，容納任何數量的物件，只有單一物件的大小不能超過5TB的限制。</p> <p><span style="color:#B22222;"><strong>低廉成本</strong></span></p> <p>就成本來說，憑藉底層基礎架構龐大的擴展能力，以及透過Web提供的存取架構，物件儲存服務的使用費率，通常只有區塊或檔案儲存服務的幾分之一，擁有明顯的成本優勢。</p> <p>以AWS為例，以美國的東部區域為基準，EBS區塊儲存服務的基本使用費率，是每月每GB資料為0.015美元到0.125美元之間（視類型而定）；EFS檔案儲存服務的基本使用費率，以每月每GB資料量來計算，是介於0.0133到0.3美元之間（視類型而定）；而S3物件儲存服務的基本月租費，每GB則為0.00099到0.022美元（視類型層級而定）。</p> <p>標準型S3物件儲存服務的基本費率，只有一般型EBS區塊儲存或標準型EFS檔案儲存費率的1/3到1/4，此外，S3還能提供專用於長期歸檔儲存、成本特別低的Glacier，以及Glacier Deep Archive等服務類型。</p> <p>除了基本月租費外，這3大類儲存服務都還有額外的收費，例如：EBS對於超過額度以外的IOPS或傳輸量，以及快照服務都需收費；EFS對於儲存請求與傳輸量也需收費；S3的存取操作請求與資料傳輸亦須費用，但這並不影響S3的成本優勢。</p> <p>至於物件儲存服務的劣勢，則主要是在效能方面，無法像區塊或檔案儲存服務，提供保證的I/O或傳輸率表現。物件儲存服務的單一Bucket容器，雖能提供每秒數百到數千個上傳或下載資料的請求，但資料傳輸涉及變數較多，難以保證效能。</p> <p><span style="font-size:28px;"><strong>提供多面向的服務類型</strong></span></p> <p>存取便利、擴展性極大、成本低廉，但效能較為受限這幾個特性結合起來，讓公有雲物件儲存服務十分適合打造成通用的大型儲存庫。除了特定的存取應用，如效能敏感型的應用、要求直接存取邏輯磁碟裝置的應用，或是架構在共享存取上的應用，必須使用區塊與檔案儲存服務以外，其餘類型的資料存放與存取需求，幾乎都可以透過物件儲存服務的空間來滿足，泛用性高於其他類型的儲存服務。</p> <p>更進一步，物件儲存服務再結合不同類型的底層儲存裝置，以及租賃費用、存取請求費率設定，便能構成面向不同需求的儲存層級。</p> <p>目前所有主要公有雲服務商，大都可以依照資料存取的頻繁程度，提供4種不同的物件儲存服務層級。</p> <p><span style="color:#B22222;"><strong>（1）標準型（Standard）：</strong></span>針對頻繁存取、當前使用中的活躍資料，可提供較低的存取延遲，較高的資料傳輸率與服務可用性，且沒有訂閱期限要求，用戶可隨時中止使用，取回資料也十分方便，延遲時間只有毫秒等級，也不需額外收費。</p> <p><span style="color:#B22222;"><strong>（2）近線型（Nearline）：</strong></span>針對不經常使用，但一旦需要，須能立即存取的資料，例如快照之類的短期備份或災難備援複本，或定期分析報表等，典型的存取頻率是每月1次或數次。一般而言，近線型服務的效能（存取延遲與傳輸率）通常與標準型同等，但有最低的訂閱期限要求（通常是30天以上），可用性也會低一個層次，以藉此減少成本。與標準型相比，近線型取回資料的延遲也是毫秒等級，但用戶取回資料時，必須按資料量來支付費用。</p> <p><span style="color:#B22222;"><strong>（3）冷儲存型（Cold Storage）：</strong></span>針對長期靜態儲存的資料，預設定的存取頻率是每年數次的程度，用戶也無法立即取回資料，而須等待數分鐘到小時等級的延遲，訂閱期限門檻也較長（通常90天以上），還需要為每次取回資料的請求，以及取回的資料量付費。</p> <p><span style="color:#B22222;"><strong>（4）歸檔型（Archive）：</strong></span>同樣是針對長期靜態儲存的資料，但預設的存取頻率為每年僅1次或更低，也就是平時很少有存取機會，但是在法規或其他需求下，仍需持續保存的資料。比起冷儲存型服務，歸檔型服務的訂閱期門檻更長（通常180天以上），取回資料的延遲將增加到數小時到十數小時等級，另外，同樣也需為每次取回資料的請求，以及取回的資料量付費。</p> <p><span style="font-size:28px;"><strong>適用範圍最寬廣的雲端儲存服務</strong></span></p> <p>區塊、檔案等其他類型的公有雲儲存服務，雖然也都提供了分級的服務，但應用範圍均不如物件儲存服務寬廣。</p> <p>例如，區塊儲存服務大致分為：高效能型、標準通用型與非經常存取型，而檔案儲存服務，則主要分為標準型與非經常存取型。相較下，物件儲存服務雖然沒有高效能型，但是，對非經常存取的應用涵蓋更為完整，能覆蓋到歸檔儲存應用。而且，對於多數應用環境來說，都只有近期資料才需要頻繁存取，只占總資料量的一小部分，絕大多數資料的存取頻率都不高，甚至只是靜態保存而已，而這種常態的應用環境，也正是物件儲存服務能大展所長的場合。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1050-%E5%B0%81%E9%9D%A22-600(130).png" style="width: 598px;" /></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF%E7%89%A9%E4%BB%B6%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">雲端物件儲存服務</a></div><div class="field-item odd"><a href="/tags/%E7%89%A9%E4%BB%B6%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">物件儲存服務</a></div><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div></div></div>
2021/11/9 07:00作者張明德https://www.ithome.com.tw/tech/147662
【多樣化的服務層級，因應不同的效能與成本需求】公有雲物件儲存服務的層級區分
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1050-feng_mian_3-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>各服務商的層級區分方式雖然略有差異，但我們可以大致將既有的物件儲存服務，區分為4個主要類型：標準（Standard）、近線（Nearline）、冷儲存（Cold Storage）與歸檔（Archive）。</p> <p>其中，標準型適用於頻繁存取的資料，近線型是針對相對較少存取、但需要時須能立即存取的資料。</p> <p>至於冷儲存與歸檔型，則都是用於資料的長期靜態保存，兩者的區別，在於歸檔型設定的資料存取頻率更低，保存期限也更長，因而可提供更低的月租費，不過用戶若需取回資料，往往須等待數小時到十數小時；而冷儲存型的成本雖然稍高，但可提供延遲最短只有幾分鐘的快速取回資料服務。</p> <p>接下來，讓我們逐一檢視主要公有雲物件儲存服務的分層情況。</p> <p><span style="color:#B22222;"><strong>AWS S3</strong></span></p> <p>在公有雲業者中，AWS的S3物件儲存服務提供目前最細緻的7種類別，可區分為：S3標準、S3標準—不常存取（IA）、S3標準—不常存取（單區域）、S3 Glacier、S3 Glacier Deep Archive、S3 Outposts、S3智慧型分層。</p> <p>不過，須扣除「S3 Outposts」與「S3智慧型分層」兩種。因為，S3 Outposts是專門搭配用戶本地端Outposts環境，不屬於公有雲服務；S3智慧型分層則可以跨4種儲存層的自動化分層儲存服務，而非單一儲存服務層級，所以，我們將其放到自動分層儲存一節，另外介紹。</p> <p>其餘5種物件儲存，涵蓋我們定義的全部4種層級。「S3標準」相當於標準型，「S3標準—不常存取（IA）」與「S3標準—不常存取（單區域）」都屬於近線型，「S3 Glacier」與「S3 Glacier Deep Archive」分別對應冷儲存與歸檔。</p> <p>要特別說明的是，在AWS官方的說明中，Glacier雖然被定位為歸檔儲存，但是，從成本、資料取回延遲時間等規格特性來看，實際上，更接近我們定義的冷儲存型，與Glacier Deep Archive這種典型的歸檔儲存服務有本質上的差別。</p> <p><span style="color:#B22222;"><strong>Azure</strong></span></p> <p>在Azure方面，微軟目前提供了3個物件儲存服務的層級，分別是：「經常性（Hot）」、「非經常性（Cool）」，以及「歸檔（Archive）」，分別對應我們定義的標準、近線與歸檔等3個層級，少了冷儲存這一層。</p> <p><span style="color:#B22222;"><strong>Google Cloud</strong></span></p> <p>當今Google Cloud的物件儲存服務，分為標準、Nearline、Coldline、Archive等4個層級，依序對應了我們定義的標準型、近線型、冷儲存型，以及歸檔型等4個層級區分。但作法上與其他服務商不同的是，對於「Coldline」與「Archive」這2種靜態長期儲存服務的應用上，Google Cloud都提供與標準或近線級相同的毫秒級資料取回延遲。</p> <p><span style="color:#B22222;"><strong>IBM Cloud</strong></span></p> <p>在IBM Cloud提供的物件儲存服務當中，有5個層級，分別是：標準、儲存庫（Vault）、冷儲存庫（Cold Vault）、歸檔（Archive）、加速歸檔（Accelerated Archive），完整對應我們定義的4個儲存層級，其中的標準級對應到標準型，儲存庫與冷儲存庫分別對應近線型與冷儲存型，至於歸檔與加速歸檔則都屬於歸檔類型服務，區別在於成本與資料擷取還原速度不同——「歸檔」級取回資料的延遲是12小時，「加速歸檔」級的延遲時間縮短到2小時以內，但月租費與資料擷取費用是前者4倍與2倍。</p> <p>IBM Cloud另外還提供「智慧分層（Smart Tier）」物件儲存類別，是特殊的分層費率模式，我們將另外介紹。</p> <p><span style="color:#B22222;"><strong>Oracle Cloud</strong></span></p> <p>目前Oracle Cloud物件儲存服務分為3種等級：標準、不常存取（Infrequent Access），以及歸檔（Archive），分別對應我們的標準、近線與歸檔等3種類型，與Azure同樣都少了冷儲存這一級。</p> <p><span style="color:#B22222;"><strong>阿里雲</strong></span></p> <p>現在阿里雲的物件儲存服務，也分為3個層級：標準、低存取頻率（Infrequent Access）、歸檔（Archive），但這裡的「歸檔」，又能細分為歸檔與冷歸檔（Cold Archive）兩級，分別等同於我們定義的冷儲存級與歸檔級，所以，實際上能區分為4級，也可以完整對應我們設定的4個層級。</p> <p>整體來看，在6家主要公有雲服務商中，除了Azure與Oracle Cloud少了冷儲存這一層級，其餘4家服務商都能提供完整的4種物件儲存層級。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%89%A9%E4%BB%B6%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">物件儲存服務</a></div><div class="field-item odd"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div></div></div>
2021/11/9 07:00作者張明德https://www.ithome.com.tw/tech/147663
【幫助用戶實現資料生命週期管理的自動化】公有雲物件儲存的自動分層功能
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1040-cover4-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公有雲服務商在物件儲存服務中，提供多種層級的目的，是因應不同的存取需求，幫助用戶達到成本與效能的最佳化。</p> <p>問題在於，實際應用環境中的存取需求，往往是持續變化的，在許多情況下，用戶自身也難以判斷與預測存取應用適用的儲存層級，因此，固定的儲存層級設定，通常難以適應持續變化、或帶有不確定性的存取應用環境。</p> <p>理論上，用戶可以透過指令的操作，自行將個別資料物件轉換到合適的儲存層存放，但是在規模較大、較複雜的應用環境上，單靠手動調整資料儲存分層的方式，顯然是不切實際的，此時便是自動分層儲存功能派上用場的好機會。</p> <p>自動分層儲存的原理，是監控個別資料物件的存取頻率，自動將很少存取的資料，遷移到合適的低成本儲存層級存放，幫助用戶達到儲存效能與成本的最佳化，進而實現自動化的資料生命週期管理。</p> <p><span style="font-size:28px;"><strong>自動分層儲存的2種實作形式</strong></span></p> <p>在公有雲物件儲存服務上，有2種方式可以實現自動分層儲存的目的：</p> <p>第1種方式，是透過設定或編寫資料生命週期管理政策來進行自動調配，便能依照設定的資料到期（expiration）條件（例如該物件建立後經過一定天數），自動轉換Bucket容器內個別物件所在的儲存層級。</p> <p>第2種方式，是透過服務商提供的自動分層服務功能，可省去麻煩的規則編寫工作，便能達到自動分層儲存的目的，應用上更為簡便，缺點則是物件分層遷移的條件是服務商預設的，無法依用戶需要自行設定。</p> <p><span style="font-size:28px;"><strong>主要公有雲的物件分層儲存功能</strong></span></p> <p>目前所有主要公有雲服務商的物件儲存服務，都能透過資料生命週期管理政策，來實作出自動分層儲存應用。另有少數服務商，提供了獨立的自動分層服務功能。</p> <p><span style="color:#B22222;"><strong>AWS S3</strong></span></p> <p>在AWS S3上，有2種方式可以達到自動分層儲存的目的。</p> <p>第1種是透過S3主控臺、SDK或指令，編寫與設定Bucket儲存容器的生命週期組態（lifecycle configuration），藉此便能依照用戶設定的資料過期規則，將過期的資料從「S3標準」層，轉換到指定的層級，包括：S3標準—不常存取（IA）、S3標準—不常存取（單區域）、S3 Glacier、S3 Glacier Deep Archive或S3智慧型分層。</p> <p>第2種是一開始便直接選用「S3智慧型分層（S3 Intelligent-Tiering）」這個儲存服務類別，其中提供了4種儲存分層，包括2個低延遲存取層——經常存取層（Frequent Access Tiers）、不常存取層（Infrequent Access Tiers），以及2個針對極少存取資料的非同步存取層——歸檔存取層（Archive Access Tiers），以及深度歸檔存取層（Deep Archive Access Tiers）。</p> <p>經常存取層與不常存取層的規格，等同於這2個S3儲存服務類別：S3標準，以及S3標準—不常存取，但成本低了40％。而歸檔存取層與深度歸檔存取層的規格，則分別等同於「S3 Glacier」與「S3 Glacier Deep Archive」。</p> <p>用戶上傳到「S3智慧型分層」儲存區的資料，會先存放在經常存取層，如果資料連續30天無存取活動，系統便自動會將資料轉存到不常存取層。如果用戶啟用了封存存取層的話，系統會將連續90天無存取的資料轉存到歸檔存取層，也會將180天無存取的資料轉到深度歸檔存取層。如果用戶稍後存取該資料，系統則會將其轉到經常存取層。</p> <p>此外，S3智慧型分層中各層級的資料搬移或擷取下載，都無須額外支付費用，使用上相對比較經濟。</p> <p><span style="color:#B22222;"><strong>Azure</strong></span></p> <p>基本上，微軟Azure物件儲存服務提供的自動分層儲存功能，主要是透過編寫Bucket容器的資料生命週期管理政策（Lifecycle management policies）實現。</p> <p>Azure的用戶可透過編寫JSON Web指令檔的script規則，依用戶設定的規則（例如該物件多久時間未被存取），即可將放置在經常性（Hot）儲存層的資料，轉存到非經常性（Cool），或是歸檔（Archive）儲存層中。</p> <p><span style="color:#B22222;"><strong>Google Cloud</strong></span></p> <p>目前Google Cloud採行的做法與Azure相似，用戶可透過編寫JSON或XML型式的物件生命週期管理（Object Lifecycle Management）指令，利用其中的「SetStorageClass」功能，便能依照設定的時間條件，調整指定Bucket容器中個別物件的儲存層級，例如從標準級轉換到Nearline、Coldline或Archive級。</p> <p>不過，「SetStorageClass」功能的使用上有其限制，那就是：轉換後的新儲存層級，必須比原有層級更低，而不能更高，例如：「Nearline」只能往下轉為「Coldline」或「Archive」，而不能往上轉為「標準」級。</p> <p><span style="color:#B22222;"><strong>Oracle Cloud</strong></span></p> <p>現今Oracle Cloud物件儲存服務的自動分層應用有2種方式，第1種是利用物件生命週期管理政策（Object Lifecycle Management，OLM），依照用戶預先設定的條件，自動將資料從「標準級」的Bucket儲存容器，轉換到「不常存取級」或「歸檔級」。</p> <p>第2種則是透過自動分層（Auto-Tiering）功能來實現，當用戶建立「標準級」的Bucket儲存容器，便可選擇啟用這個功能。啟用後，自動分層功能會監控儲存容器中大於1 MB的全部物件，如果物件超過31日都未被存取，將會自動移到「不常存取級」儲存容器。</p> <p>不過，Oracle Cloud這個功能有2個限制，若用戶已為特定Bucket儲存容器建立了物件生命週期管理政策（OLM），將資料轉存到「不常存取層」後，將無法啟用自動分層功能；其次，他們此處的自動分層功能，無法將物件轉存到「歸檔級」儲存容器，用戶必須另外透過指令或OLM政策，才能將物件轉存到「歸檔級」儲存容器。</p> <p><span style="color:#B22222;"><strong>IBM Cloud</strong></span></p> <p>目前IBM Cloud物件儲存服務的分層儲存應用方式，是利用物件儲存容器的生命週期管理功能，藉由編寫歸檔政策（Archive Policy）或到期規則（expiration rules），將標準、儲存庫、冷儲存庫等3個儲存層的資料，依規則轉存到「歸檔」或「加速歸檔」這2種長期保存儲存層。</p> <p>特別值得一提的是，IBM Cloud提供十分特別的「智慧分層（Smart Tier）」類型Bucket儲存容器，從名稱看來，這項服務很類似自動分層儲存應用，但實際上並非如此。</p> <p>其實，IBM Cloud的「智慧分層」是簡化的分層費率計算模式，系統會持續追蹤存放於這種容器的物件儲存行為，每月月底結算費用時，會依照該Bucket容器整個月的存取行為，將費率分為Hot、Cool與Cold等3個層級，依此向用戶收費。</p> <p><span style="color:#B22222;"><strong>阿里雲</strong></span></p> <p>最後來看阿里雲的做法，他們對於物件儲存服務實現分層儲存的方式，也是在主控臺建立生命週期管理政策，設定管理規則（如過期天數），將「標準」級儲存區中的物件，依政策設定，自動轉存到「低存取頻率」或「歸檔」級的儲存區。</p> <p><span style="font-size:28px;"><strong>分層儲存功能的限制</strong></span></p> <p>整體而言，以6大公有雲服務商的物件儲存服務來看，都提供利用編寫資料生命週期管理政策的方式，來建立自動分層儲存應用。而AWS與Oracle Cloud還提供獨立的自動分層儲存服務或功能，應用上更為簡便。</p> <p>但無論是透過資料生命週期管理政策，還是透過自動分層儲存功能，都必須注意適用的層級限制，還有兩者之間的相容問題。</p> <p>一般來說，資料生命週期管理政策可以套用的儲存層級較廣，相對地，自動分層儲存功能往往只適用少數層級。例如，Oracle Cloud物件儲存服務的物件生命週期管理政策（OLM），可適用於其提供的3種儲存層級（標準、不常存取與歸檔），但他們提供的自動分層儲存功能，只適用於2種儲存層級（標準與不常存取）。</p> <p>另外，有些公有雲業者的自動分層儲存功能，無法與資料生命週期管理政策同時使用，如Oracle Cloud便是如此。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1050-%E5%B0%81%E9%9D%A24-600(130).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1050-%E5%B0%81%E9%9D%A24-400.png" style="width: 439px;" /></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF%E7%89%A9%E4%BB%B6%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">雲端物件儲存服務</a></div><div class="field-item odd"><a href="/tags/%E7%89%A9%E4%BB%B6%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">物件儲存服務</a></div><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E7%94%9F%E5%91%BD%E9%80%B1%E6%9C%9F%E7%AE%A1%E7%90%86">資料生命週期管理</a></div><div class="field-item even"><a href="/tags/%E8%87%AA%E5%8B%95%E5%88%86%E5%B1%A4%E5%8A%9F%E8%83%BD">自動分層功能</a></div></div></div>
2021/11/9 07:00作者張明德https://www.ithome.com.tw/tech/147664
【提供足以承受裝置失效與災害侵襲的可靠服務】公有雲物件儲存的耐久性與可用性
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1050-feng_mian_5-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS (<a href="https://aws.amazon.com/tw/blogs/storage/aggregating-logs-with-s3-same-region-replication/">https://aws.amazon.com/tw/blogs/storage/aggregating-logs-with-s3-same-re...</a>)</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公有雲物件儲存服務的耐久性與可用性，都是架構在分散存取機制上，基於多複本同步複製或erasure coding等編碼技術，跨多個實體裝置節點分散寫入資料，從而可以承受單一實體裝置或磁碟的失效，並校驗資料的錯誤。如果進一步將分散儲存的範圍，擴大到位於不同資料中心機房、或不同區域的資料中心，還能承受單一資料中心或服務區域的失效，提供更高的耐久性與可用性。</p> <p>不過，分散式存取機制本身也是一種同步寫入作業，必須等待每一個節點都寫入完成後，才算完成一筆寫入作業，而且須考慮到延遲問題，因此，允許分散的地理範圍也有限，通常僅限於同一服務區域（Region）。</p> <p>因此，對於有更高可用性需求，需要將資料分散到更遠距離的用戶，則需透過另外的非同步遠端複製功能來實現。</p> <p><span style="font-size:28px;"><strong>公有雲物件儲存的存取保護機制</strong></span></p> <p>所以，我們可以將公有雲物件的耐久性與可用性機制，區分為這兩大類型；</p> <p>（1）個別物件層級的分散儲存機制，依分散儲存的範圍，又可分為2個層級：單一資料中心，以及單一服務區域內跨多個資料中心。</p> <p>（2）Bucket儲存容器層級的非同步遠端複製功能，雖然在非同步複製模式下，目的地端與來源端之間存在一定的時間延遲，但可以跨不同服務區域，提供更遠距離的資料分散。</p> <p><span style="color:#B22222;"><strong>AWS S3</strong></span></p> <p>在AWS S3延伸的6種物件儲存服務中（扣除掉用於本地端混合雲架構的「S3 Outposts」），除了「S3標準—不常存取（單區域）」這種服務，是將物件分散存放於單一可用區域（Availability Zones，AZ）內的多個裝置，其餘5種，都是將資料同步分散寫入至少3個可用區域的多個裝置上，而且，可以承受任一可用區域完全失效。</p> <p>S3的物件層級同步分散寫入機制，分散的範圍，限於同一區域內（Region）的單一可用區域，或多個可用區域。對於需將物件分散到更遠距離的用戶，S3提供Bucket儲存容器層級的2種非同步遠端複製機制：跨區域複製（Cross-Region Replication，CRR）與同區域複製（Same-Region Replication，SRR）。CRR是跨不同區域（Regions）的Bucket層級非同步遠端複製，SRR則是同一區域的Bucket層級非同步遠端複製。</p> <p><span style="color:#B22222;"><strong>Azure</strong></span></p> <p>一般而言，Azure所有物件儲存體都有3複本同步寫入保謢，並有下列4種備援服務可選：1.本地備援儲存體（Locally Redundant Storage，LRS）；2.區域備援儲存體（Zone Redundant Storage，ZRS）；3.異地備援儲存體（Geo-Redundant Storage，GRS）；4.異地區域備援儲存體（Geo- Zone Redundant Storage，GZRS）。</p> <p>其中，LRS是最基本的服務保護等級，在主要區域（Primary Region）的單一資料中心內提供3複本同步複製，可以承受個別伺服器機架或磁碟的失效，但無法承受整個資料中心的失效。</p> <p>ZRS可在主要區域的多個可用區域（Availability Zones）內，跨3個資料中心提供3複本同步複製保護，不僅可以承受單一資料中心的失效，也能將資料的耐久性從LRS的11個9，提高到12個9。</p> <p>GRS是在LRS的基礎上，結合非同步遠端複製功能，可將資料耐久性提高到16個9。運作上，是先在主要區域的單一資料中心，透過LRS執行3複本同步複製，再運用非同步複製，將資料抄寫到數百公里外的次要區域單一資料中心，在這個次要區域的資料中心內，亦能以LRS為資料進行3複本同步複製。</p> <p>GZRS則是ZRS與非同步遠端複製的結合。運作上，先在主要區域的3個可用區域資料中心內提供3複本同步複製，再透過非同步複製，將資料抄寫到遠距離外次要區域的單一資料中心，藉此不僅可提供高達16個9的耐久性，同時也具備可承受區域災害的能力。</p> <p>GRS另外還延伸出一種稱作讀取權限異地備援儲存體（Read-Access Geo-Redundant Storage，RA-GRS）的服務，也就是，在GRS的基礎上，進一步允許對異地端資料提供唯讀應用。</p> <p>在Azure物件儲存服務的3個層級中，用戶若選擇「經常性」與「非經常性」等兩個層級，能使用前述全部的備援選項，如果選擇「歸檔」級則只能選擇LRS、GRS與RA-GRS。</p> <p>另外，Azure也提供了儲存容器層級的非同步遠端複製功能，稱作物件複寫（Object Replication），可以在不同區域（Region）之間複製物件。</p> <p><span style="color:#B22222;"><strong>Google Cloud</strong></span></p> <p>目前Google Cloud的所有物件儲存服務層級，都可選擇3種儲存位置型式（location types）：單區域、雙區域與多區域，從而具備不同等級的可用性。</p> <p>其中單區域（Region）是物件只存放於單區域的資料中心，可提供較佳的延遲與傳輸頻寬。</p> <p>雙區域（Dual-Regions）與多區域（Multi-Regions）是物件除了存放於單區域資料中心外，再透過非同步遠端複製，將物件抄寫到另一地理區域的資料中心，可以提供較高的可用性。</p> <p>透過雙區域與多區域儲存選項，Google Cloud聲稱用戶無須再使用任何遠端複製工具，就能實現建立遠端複本的目的，也無需支付額外的傳輸費用。</p> <p><span style="color:#B22222;"><strong>IBM Cloud</strong></span></p> <p>IBM Cloud物件儲存服務的分散儲存機制，目前提供：單一資料中心、單區域（Region）、跨區域（Cross-Regions），有3種可用性等級可選。</p> <p>其中的單一資料中心層級，是將物件分散、存放於單一資料中心的多臺實體裝置上，在多數情況下，都擁有最短的存取延遲（若某些服務位於該區域外則否），但無法承受災難導致的單一資料中心失效。</p> <p>而所謂的單區域，是IBM Cloud預設的可用性等級，會將物件分散存放於單一服務區域內的多個資料中心，也擁有較低的延遲，本身可以承受單一資料中心站點的失效，但無法承受整個服務區域的失效。</p> <p>跨區域則會將物件分散存放於3個區域，提供最高的可用性，能承受服務區域等級的失效，缺點是存取延遲較單一資料中心或單區域大了10倍，另外，並非所有IBM Cloud的應用服務，都支援跨區域等級的可用性。</p> <p>另外，在IBM Cloud的物件儲存服務環境當中，用戶也能透過sync、clone與reclone指令，在Bucket儲存容器層級提供非同步的遠端複製。</p> <p><span style="color:#B22222;"><strong>Oracle Cloud</strong></span></p> <p>Oracle物件儲存服務的分散存取保護機制，分為兩種可用性等級：單一可用性網域（availability domains），以及多可用性網域，而用戶能使用哪一種架構，需視Oracle Cloud在個別服務區域提供的基礎架構而定。</p> <p>Oracle Cloud的應用區域分為3個層級：服務區域（region）、可用性網域（availability domains）、容錯網域（fault domains）。其中服務區域是最大的地理單位，每個服務區域含有1或3個可用性網域，可用性網域是地理區域內的1或多個資料中心，每個可用性網域都含有3個容錯網域，而每個容錯網域都是獨立的硬體設施集合。</p> <p>在Oracle Cloud現行的24個服務區域中，多達20個服務區域都只含有1個可用性網域，至於其他4個服務區域，則各自含有3個可用性網域。</p> <p>對於只含有1個可用性網域的服務區域，Oracle目前提供了單一可用性網域等級的3複本保護架構，物件分散複製存放於單一可用性網域下的3個容錯網域（fault domains）中。</p> <p>對於含有3個可用性網域的服務區域，Oracle Cloud提供了多可用性網域等級的3複本機制，將物件分散複製存放於多個可用性網域的3臺伺服器上。</p> <p>無論哪一種可用性等級，只要3份複本中，有1份可以存取，那麼用戶就可以下載讀取資料；若是3份複本中，有2份可以存取，用戶就能上傳寫入資料。</p> <p>除了在物件層級提供3複本保護，Oracle Cloud也提供Bucket容器等級的非同步遠端複製功能Object Storage replication，可以跨服務區域（region）建立Bucket與Bucket間的資料抄寫。</p> <p><span style="color:#B22222;"><strong>阿里雲</strong></span></p> <p>目前阿里雲提供的物件儲存服務中，對於「標準」與「低存取頻率」兩種儲存層級，都提供2種資料備援儲存架構選擇——本地備援（Locally Redundant Storage，LRS），以及同域備援（Zone Redundant Storage，ZRS）。</p> <p>LRS是將每個物件的不同複本，分散存放在同一可用區域（Zone）內多個設施的多臺設備上，能承受單一硬體設備的失效。ZRS則是分散到多個可用區域的機制，會將物件分散存放在同一區域（Region）內的3個可用區域，能承受某個可用區域的失效。</p> <p>LRS與ZRS兩種備援儲存架構，從分散儲存的範圍來看，分別只到單一可用區域，以及單一區域，針對需要將資料分散存放到更大地理距離的用戶，阿里雲也提供跨區域複製（Cross-Region Replication），讓企業可運用Bucket層級的非同步遠端複製功能，雖然這是含有延遲的非同步模式，但可以跨不同區域的資料中心抄寫Bucket資料。</p> <p><span style="font-size:28px;"><strong>具有高耐久性，但可用性較低</strong></span></p> <p>整體來說，當前公有雲物件儲存服務公開的資料耐久性規格，至少都有99.999999999%，也就是11個9的等級，這已經算是極高的水準，在正常維運情況下，幾乎無須擔心資料的遺失，對此若仍有疑慮者，可能關切的部分在於是否具備承受大型災害或意外的能力。</p> <p>最基本的單一資料中心或單區域等級的分散儲存機制，不具備因應整個資料中心、整個服務區域失效的能力，如果要解決這個問題，就只有選用跨區域等級的分散儲存機制，或是更進一步，另外啟用非同步遠端複製，將資料抄寫到遠距離區域外的資料中心。</p> <p>但問題在於，跨區域的分散儲存或遠端複製，雖然提高了承受意外的能力，卻也拉長了存取延遲。所以，用戶在選擇保護機制時，必須連同對於存取延遲的承受範圍一併考慮，在保護效果與存取效能間取得平衡。</p> <p>而與公有雲上其他類型的儲存服務相比，物件儲存服務的特色是「高耐久性」，但又是「低可用性」。可保證資料長期存放仍不致遺失，但停機、離線、服務暫時停止的機率相對較高。</p> <p>如同前面提到的，透過分散儲存架構，當前的公有雲物件儲存服務的資料耐久性，都至少有11個9的等級（甚至更高）。但服務的可用性則大多只在99.9%到99.99%之間，也就是3到4個9的程度。</p> <p>換言之，如果在物件儲存服務中存入1千萬個物件，每年遺失的物件數量不到萬分之一個（或者說平均每1萬年才會遺失1個物件），顯然這樣的儲存問題幾乎可以忽略。但99.99%或99.9%的服務可用性，代表每年至少有52.6分鐘或8.77小時，是處於停機、無法存取的狀態。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1050-%E5%B0%81%E9%9D%A25-600(130)(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1050-%E5%B0%81%E9%9D%A25-600-2(130).png" style="width: 600px;" /></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF%E7%89%A9%E4%BB%B6%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">雲端物件儲存服務</a></div><div class="field-item odd"><a href="/tags/%E7%89%A9%E4%BB%B6%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">物件儲存服務</a></div><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E8%80%90%E4%B9%85%E6%80%A7">耐久性</a></div><div class="field-item even"><a href="/tags/%E5%8F%AF%E7%94%A8%E6%80%A7">可用性</a></div></div></div>
2021/11/9 07:00作者張明德https://www.ithome.com.tw/tech/147673
【多重存取管制與防護措施，確保雲端資料儲存的安全】公有雲物件儲存的安全性
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1050-feng_mian_6-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於將資料搬遷到公有雲上，用戶首要的疑慮，便是資料的安全性，因此，公有雲服務商也為物件儲存的應用，提供一系列安全性管理功能。</p> <p>對於任何的資料儲存應用來說，主要的資安威脅來自非授權的存取，資料外洩，以及資料惡意竄改，為了預防這些狀況的發生，公有雲服務商也提供3種基本安全功能，也就是：存取權限管制、加密，以及一寫多讀（Write Once Read Many，WORM）。</p> <p>在存取權限管理方面，公有雲物件儲存服務最基本的安全性功能，目前有兩大類，一是用戶端的身分識別與存取管理（Identity and Access Management，IAM）政策，另一是Bucket儲存容器與物件端的存取權限設定，所有公有雲服務商都提供了這2方面的管控功能。</p> <p>另外，有些服務商還能提供額外的防火牆設定功能，幫助保護用戶虛擬私人網路（VPC）的存取。</p> <p>在加密功能方面，目前所有公有雲物件儲存服務，基本上，都支援基於AES 256標準的靜態加密（Encryption at rest），以及基於用戶端加密（CSE）或TLS協定的傳輸中加密（Encryption in transit），有些服務商還會提供金鑰管理服務（Key Management Service，KMS），簡化用戶的金鑰管理。</p> <p>最後是WORM一寫多讀功能，這項功能原本是因應法規遵循需求而用，可以「鎖住」指定物件的狀態，確保不被刪除或竄改，以應日後法務稽核時，提供法律上的有效性。</p> <p>不過，隨著資料勒索威脅的急遽升高，WORM功能的角色也有所擴展，成了對抗勒索軟體的關鍵技術，由於被WORM「鎖住」的物件，狀態便無法再更改，從而也遏止了勒索軟體發作、加密或刪除資料的可能性。</p> <p>目前6大公有雲服務商的物件儲存服務，都已經提供符合法規認證（如SEC 17a-4、CTCC 1.31、FINRA 4511等）的WORM功能選項，例如，Amazon S3的Object Lock、Azure的Immutable storage、Google Cloud Storage的Bucket Lock等。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item odd"><a href="/tags/iam">IAM</a></div><div class="field-item even"><a href="/tags/%E5%AD%98%E5%8F%96%E6%AC%8A%E9%99%90">存取權限</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E5%AE%89%E5%85%A8">資料安全</a></div><div class="field-item even"><a href="/tags/%E5%AD%98%E5%8F%96%E7%AE%A1%E5%88%B6">存取管制</a></div><div class="field-item odd"><a href="/tags/%E5%8A%A0%E5%AF%86">加密</a></div><div class="field-item even"><a href="/tags/%E4%B8%80%E5%AF%AB%E5%A4%9A%E8%AE%80">一寫多讀</a></div><div class="field-item odd"><a href="/tags/worm">WORM</a></div><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF%E7%89%A9%E4%BB%B6%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">雲端物件儲存服務</a></div><div class="field-item odd"><a href="/tags/%E7%89%A9%E4%BB%B6%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">物件儲存服務</a></div><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div></div></div>
2021/11/9 07:00作者張明德https://www.ithome.com.tw/tech/147674