iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/12 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【中信服務力進化戰略】擁抱服務設計科學創造差異化，中信更要靠EdgE改變組織文化與科技平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4年多前，中國信託金控率先在旗下台灣人壽啟動了EdgE（End-to-end digitization）客戶旅程重設計，以客戶為核心的服務設計科學，從客戶旅程視角改造流程。這項端到端流程數位化專案，一路從人壽擴展到銀行，甚至，貫穿了中國信託整體數位轉型工程，從客戶體驗創新、員工工作模式轉型，包括科技平臺現代化、數位科技研發等轉型策略的數位地基建置，都與EdgE專案環環相扣。</p> <p>「EdgE是中國信託數位轉型的樞紐專案。」中國信託金控技術長賈景光一語道出EdgE在中國信託內部的戰略高度。 </p><p>他進一步透露，中國信託認為，如果能真正突破端到端流程數位化，就能將服務體驗優化到極致。一方面，將中國信託客戶體驗的競爭力，提升到不同層次，讓服務差異化成為客戶第一時間推薦的致勝關鍵，另一方面EdgE專案也可以降低內部成本。</p> <p>不過，中國信託不是唯一一家這麼做的銀行，近年來，臺灣金融業紛紛吹起以客戶為中心發展的金融服務體驗，也都想透過端到端流程數位化來改善業務單位的作業流程。 </p> <p>賈景光坦言，金融業向來擅長執行單點優化，不過，要以客戶旅程出發，做到服務體驗的突破，甚至讓客戶真正有感，在金融業的難度其實相當高。「只是運用某項科技來優化單點的瓶頸，卻不見得解決了客戶最大的問題。」</p> <p>因此，中國信託決定改變作法，賈景光強調：「EdgE核心精神是，串聯跨部門協作，同時使用到多種科技，才能真正完成一個端到端流程數位化的服務體驗。」簡單來說，EdgE不是單純的數位優化專案，而是中國信託端到端流程的數位轉型。不過，選擇這個作法也帶來更大的挑戰，需要更細緻釐清流程中每個金融服務的斷點，才能透過科技的力量與跨部門的協作，來快速反應市場。</p> <p>「EdgE專案背後最大目的是創造服務差異化。」中國信託銀行數位金融處創新二部部長謝鈞華表示，他以去年勞工紓困貸款業務為例，中信銀行開發了AI智能徵審系統，來縮短客戶等待時間。 </p><p>比如，中信盤點了貸款整體客戶旅程後，發現民眾在意的不單單是申貸到核貸的時間，在徵審前段，民眾對需要準備哪些申貸文件及如何傳送資料就有疑慮，或者，申請者也會期待銀行主動通知申貸的後續資訊，像是申貸審核通過之後，銀行會透過何種方式通知，甚至如何能快速取得撥貸款項。 </p><p>謝鈞華表示，EdgE客戶旅程重設計時，不再從自身角度看事情，避免只將每個單點優化，卻沒有消除客戶流程中的疑慮，或沒有真正滿足客戶的需求與期待。從一個單點，延伸到整體客戶旅程的觀點，要找出客戶在互動過程中最重視的事，進而整合內部每個單位的專業來解決，達到更好的客戶體驗。</p> <p><span style="font-size:28px;"><strong>中國信託率先從人壽端展開EdgE首個示範案</strong></span></p> <p>2017年，在啟動EdgE之前，中國信託先找來外部專業顧問，系統性地引進EdgE方法論。同年，正式啟動EdgE專案，選擇從台灣人壽開始試行第一個示範案例，挑選單一旅程來導入，更在人壽端成立了跨部門專案團隊。</p> <p>中國信託銀行數位金融處運籌管理部部長吳展榮回憶，當時在台灣人壽這個EdgE專案跨部門團隊，採取敏捷方式運作，除了數位金融處成員，還找來台灣人壽前端的業務人員、客服人員、作業人員、核保人員，以及PM、系統人員、UI設計相關人員，甚至連外部廠商等通通都參與其中，直接開了一間會議室作為戰情室，透過一次又一次的站會討論，發想流程中客戶面臨的痛點，以及能夠解決痛點的解決方案。</p> <p>「推動EdgE專案最令人興奮的是，看到團隊成員思維轉變的過程。」吳展榮表示，相較過往從產品出發，再到合規探詢，接著展開系統規格與開發等流程；EdgE的作法，讓各單位成員能以客戶為核心的基礎下，針對一項議題共同激盪，同時，又能回歸自身專業角度思考，如何讓流程、審查文件等在合規必要性前提下，進行服務體驗的突破，而不是想著如何減少自身單位的負擔，或預設立場擔心不一定會發生的風險。</p> <p>依循外部顧問的EdgE方法論大架構，再加上台灣人壽試行專案的執行經驗，謝鈞華表示，中國信託仍然不斷觀察市場的趨勢脈動，每年都會持續微調這個客戶旅程優化的執行方法論。例如，調整用戶研究方法使用量化與質化的比重或是採用新的相關工具等。</p> <p>直到去年，EdgE才開始在中國信託銀行試行前導專案，涵蓋個金、法金、後勤、IT共7大旅程。謝鈞華表示，集團在啟動EdgE客戶旅程再造時訂下的目標是：「從提升客戶體驗為出發，創造服務差異化，並藉此帶動作業效率提升，進一步帶進獲客與獲利成長的機會。</p> <p><span style="font-size:28px;"><strong>科技部署與關鍵數位平臺完備後，開始往銀行端擴大推動EdgE</strong></span></p> <p>直到2020年，EdgE專案才開始在中國信託銀行試行前導專案（Pilot），涵蓋個金、法金、後勤、IT共7大旅程，其中有4個是客戶旅程，3個是內部流程，總共規畫了39項優化方案。 </p><p>謝鈞華表示，集團在啟動EdgE客戶旅程再造時訂下的目標是：「從提升客戶體驗為出發，創造服務差異化，並藉此帶動作業效率提升，進一步帶進獲客與獲利成長的機會。 </p><p>為何一開始決定從人壽端切入EdgE專案，而沒有從銀行端率先推行？賈景光解釋，2018年，中信銀行有許多重要的數位專案如火如荼進行中，關鍵數位平臺的升級與優化，是當時銀行端的第一考量，包括新一代行動銀行Home Bank App改造，加上中國信託相關科技還在部署階段。「當時，在銀行推動EdgE不見得是最好的時機。」他坦言。直到近2年，中信銀行的關鍵數位平臺逐漸成熟，才正式啟動第二階段的EdgE專案。</p> <p>賈景光表示，發動EdgE需要天時、地利、人和，除了客戶體驗這項層次，在科技能力也需要達到一定水準，才有辦法運用多樣科技來同時支援一個服務流程。 </p><p>賈景光進一步提到，國外大型金融機構如摩根大通銀行、招商銀行，在過去幾年也徹底執行了類似EdgE的專案，「中國信託的企圖心是要在臺灣帶頭，將服務體驗盡可能做到極致。」甚至，他透露，EdgE專案是由總經理親自每月督導，從上而下推動銀行端法金、個金、前中後臺的轉型，不只面對客戶端的流程，連後臺的員工體驗與效率也要提升。</p> <p>這就是為何賈景光形容EdgE是中國信託數位轉型的樞紐專案。他表示，透過跨團隊協作，讓大家擁有一樣的思維與共識，自然帶動了組織文化的改變。此外，EdgE驅動下，中國信託中後臺也必須變得更敏捷、彈性，進而促使了所用科技平臺的改變。他提到，中國信託這幾年做好前期準備，累積了一定水準的科技成熟度，包括AI、大數據、RPA流程機器人或科技平臺等多種能力，才能在這2年挑戰EdgE專案，運用技術支撐流程的改造。</p> <p>中國信託近年大力發展AI、大數據及區塊鏈等技術，也持續落地到各業務單位的既有場景。賈景光表示：「EdgE專案是中國信託科技研發，相當重要的新突破場景，各個科技都要想辦法對焦、切入，將技術發揮在這個場景，讓服務更有感、更具差異化。」他認為，有了科技研發、科技平臺，以及突破的場景與應用，進而產生價值，逐漸地會形成一個良性循環，來帶動轉型的滾輪。</p> <p>吳展榮也補充，中國信託的科技研發策略偏向雙軌進行，除了保有原生金融科技的創新比如人臉辨識，另一部分則聚焦EdgE專案運用，透過客戶全旅程的梳理，以提供差異化服務為主軸，找出流程中各個觸點、環點中顧客的痛點，進而搭配金融科技的手段來優化。</p> <p>整體來說，中國信託將EdgE視為內部推動數位轉型工程的樞紐專案，一開始就訂定了3大目標，首先是提升客戶體驗，包括淨推薦分數（Net Promoter Score，NPS）指標、客戶體驗指數（CX index）能夠上升。第二大目標是，帶動中國信託獲客與獲利成長，比如提升客戶量、交易頻率。此外，藉由流程簡化及流程自動化，來降低內部成本，這是第三大目標。</p> <p>謝鈞華表示，去年，中信銀行完成了7大旅程前導專案後，更訂下2021年到2023年在全行大規模推行EdgE，計畫3年內執行近30項涵蓋了個金、法金內外部的客戶旅程優化，每年分階段啟動。預計透過這3年擴大推動，讓EdgE旅程範圍能覆蓋到銀行營運的7成作業人力，各旅程改造至少提升10%的效率。在客戶體驗面，希望2022年達到市場NPS排名第一。這正是中國信託未來幾年內的重大布局。</p> <p><a href="https://www.ithome.com.tw/news/147801" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> </strong></span><span style="color:#3399ff;"><strong><span style="font-size:22px;">【中信服務力進化方法論】如何靠數據再造服務流程，EdgE執行細節首度大公開</span></strong></span></a></p> <p><a href="https://www.ithome.com.tw/news/147802" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <span style="color: rgb(51, 153, 255);">【中信EdgE改造實例：刷卡消費體驗】刷卡記錄多一句，銀行客服每月少接1萬通電話</span></strong></span></a></p> </div></div></div>
2021/11/16 07:00作者李靜宜https://www.ithome.com.tw/news/147800
【中信服務力進化方法論】如何靠數據再造服務流程，EdgE執行細節和關鍵工具首度大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國信託從4年多前在人壽展開第一個EdgE示範案，去年，在中信銀行進行前導試行，完成個人金融、法人金融、後勤、IT共7大旅程，今年開始，逐年擴大到個金、法金近30項旅程。</p> <p>這些旅程不是隨意挑選，中國信託推動EdgE的第一步，就是挑選關鍵旅程，找出最優先要解決的問題。中國信託金控技術長賈景光表示，以中信銀行舉例，從實體分行、行動銀行App到所有與客戶接觸的通路，如何在這麼多服務點找出客戶關鍵的不滿意問題，需要有一套統籌分析的能力，才有辦法一覽全局，挑出適合切入的服務旅程。</p> <p>作法上，中國信託銀行數位金融處創新二部部長謝鈞華表示，旅程挑選時，要從客戶體驗出發，中信銀行個人金融與台灣人壽過去已經導入了NPS（Net Promoter Score，淨推薦值）指標，因此能以各旅程與整體NPS的相關性，以及各旅程目前的客戶滿意度，利用這2項指標對手上所有的客戶旅程進行交叉分析。</p> <p>最後再用四大象限來歸類這一批旅程，分為「超出預期」、「維持現況」、「後續改善」、「立即改善」四類，藉此來進行挑選與排序。他提到，落在第四象限的客戶旅程，就是要立即改善的關鍵旅程。</p> <p>除了運用各旅程與整體NPS相關性、旅程在客戶滿意度的表現等2項指標進行交叉分析外，謝鈞華提到，中國信託在旅程挑選時，仍須回歸到整體業務運作，包括未來業務策略及成本涵蓋的顯著性，進行綜合考量來選擇出關鍵旅程。如此一來，中國信託每年都能挑選出首要關注的客戶旅程。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1051-cover4-600(1)-200DPI-big%2B%E6%B5%AE%E6%B0%B4%E5%8D%B0.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1530,height=1519'); return false;" style="text-align: center;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1051-cover4-600(1)-72DPI.png" style="width: 551px;" /></a></p> <p><span style="font-size:28px;"><strong>顧客滿意度如何量化？從客戶滿意度調查到客戶推薦指標NPS</strong></span></p> <p>NPS是甚麼？為何這是推動EdgE專案的重要基礎，得從中國信託耕耘多年的客戶滿意度調查說起。早從2007年開始，中信銀行就設立了客戶聲音收集平臺（Voice of Customer，VOC），來檢視各項服務水準、客戶聲音、客訴案件及各項客戶關懷計畫。此外，還設立了VOC燈號機制，以制度化回饋業務單位，來進行業務改善。</p> <p>甚至，中信銀行個人金融長年實施大規模客戶滿意度調查，調查範圍近30項，囊括分行、理專、客服、自動化通路，以及各項申辦流程基本滿意度，同時，針對不同客群、企業戶、撥薪戶、家庭理財、不動產、附加服務、紅利點數等特殊服務進行了滿意度與需求調查。光是2020年調查回收件數就多達42萬筆，平均滿意度為87%。</p> <p>NPS指標是一家知名顧問公司貝恩策略公司（Bain & Company）提出，用來衡量客戶滿意度與忠誠度的指標。做法很簡單，詢問顧客，對所用的服務推薦給他人的意願有多高，0分最不推薦，10分則是絕對推薦，但計算平均值時，不是採取統計上的平均值，而是將受訪者分為三群，0~6分是批評者，7~8分是中立者，9~10分才是推薦者。各自計算這三群人的占比。</p> <p>將推薦者的占比減去批評者的占比，才是一家企業的NPS價值，如果都是推薦者，沒有批評者，滿分就是100分，如果有50%推薦者和30%批評者，50扣掉30，NPS分數就是20分。換句話說，這就是你的客戶，推薦者比批評者比重高出多少的比例。這個指標不只可以用來衡量客戶對企業的滿意度，還能知道客戶有多願意將該企業推薦給他人，國際上已有許多大型企業採用NPS，相較於滿意程度，推薦更能精準衡量客戶體驗感受。</p> <p>不只中信銀行個人金融導入NPS指標，2019年，台灣人壽也導入了NPS客戶體驗管理優化機制，針對各通路與接點進行調查分析，對客戶體驗透過不同類型的調查，執行系統性管理、追蹤、改善。到了2020年，台灣人壽的客戶淨推薦分數已居國內6大壽險品牌排名第2。</p> <p>賈景光表示：「客戶體驗落地的第一點就是可被測量，相較於客戶滿意度，NPS客戶淨推薦分數才是更強的指標。」他認為，需利用數據，動態觀察外部環境如何影響客戶，再對自家企業的體驗與推薦進行改變，才能超前部署來因應。</p> <p>而對EdgE專案來說，NPS指標有兩大作用，謝鈞華表示：「NPS指標是旅程挑選的觸發點之一，也是旅程優化後檢視的重要工具。」</p> <p><span style="font-size:28px;"><strong>中國信託EdgE設計流程方法論執行細節大公開</strong></span></p> <p>有客戶體驗的量化數據之後，中國信託在2017年透過外部顧問輔導引進EdgE方法論大框架，後續經過內部實戰，持續融入市場上更新穎的用戶體驗設計方法或用戶研究方法來調整作法，最後，才形成現在這一套中國信託EdgE設計流程方法論。</p> <p>首先，中國信託參考了英國設計協會（Design Council）在2005年提出的雙鑽石設計流程（The Double Diamond Design Process），來進行各種使用者體驗解決方案的設計。雙鑽石設計流程是由2階段的「發散-收斂」循環所組成，在第一階段內反覆進行創造與收斂的過程，達到目標後才進入第二階段的循環。</p> <p>實際作法上，中國信託在挑選出要改善的關鍵旅程後，先成立專案小組，接著，透過工作坊使用設計思考（Design thinking）方法論，來執行「問題分析」、「方案設計」、「執行規畫」共3階段旅程重塑規畫，並採取雙鑽石設計流程反覆進行「發現問題痛點」、「聚焦關鍵議題＆根本因素」、「突破思考界限提出各種發想」、「收斂發想形成解決方案」等4步驟討論，最後，才會進入方案開發與執行追蹤。</p> <p>謝鈞華進一步說明，在旅程重塑規畫3階段中，會先經過第一階段的發散，廣泛收集量化資料與客戶質化回饋等資料，來了解客戶在旅程中遇上的問題。當討論發散到一定程度後，再進入第一段的收斂，找出影響客戶滿意度真正的關鍵原因。</p> <p>找到了這一批關鍵原因後，專案團隊再進行第二階段的發散，這個階段的規畫重點是「解方」，發想有哪些工具或解決方案能夠解決顧客的疑慮或問題。最後，再經過第二階段的收斂，形成最關鍵的方案來執行，這是中國信託執行EdgE旅程再造的歷程。</p> <p>此外，中國信託會製作服務藍圖（Service Map），透過訪談了解與資料收集，將客戶在接收服務的旅程中所經歷的接觸點，以及客戶與中國信託互動過程中，前、中、後臺所經手處理的動作步驟細節，繪製一份類似流程圖的視覺化圖表。</p> <p>謝鈞華表示，以往，中國信託分析作業流程時，以每個單位的動作為主來製作，不會花太多時間想像客戶如何與自己互動。服務藍圖最大的差異在於，除了前中後臺作業流程外，同時在流程圖加上了使用者旅程。</p> <p>透過服務藍圖這項工具，謝鈞華提到，目的是方便各團隊後續以視覺化的方式溝通，在共同的理解下，以共同的語言（on the same page）來進行溝通與分析，找出旅程可能的斷點與痛點，同時發想潛在優化的機會點與想法，來發展旅程的解決方案。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1051-cover4-600(2)-200DPI-big%2B%E6%B5%AE%E6%B0%B4%E5%8D%B0.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=2009,height=1225'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1051-cover4-600(2)-72DPI.png" style="width: 600px;" /></a></p> <p><span style="font-size:28px;"><strong>目標3年內先優化銀行端個金、法金旅程，今年已經啟動12案</strong></span></p> <p>中信銀行今年開始在全行擴大推動EdgE，3年內要改造近30項個金與法金的大型旅程，預計需要優化業務單位上百個流程。謝鈞華表示，今年初已啟動10項旅程，目前皆進入方案規畫階段，年中又啟動了另外2項旅程，這12項旅程，個金與法金則各占一半。個金類旅程如信貸申辦、SME開戶、客戶繳費旅程等；法金旅程則有法人授信額度申請、業務銷售諮詢旅程、法人信託業務等。</p> <p>「每個旅程對中國信託來說都很重要。」不過，謝鈞華表示，與重要獲利來源相關的旅程，像是個金的基金銷售、信貸申辦，以及法金的法人授信額度申請、業務銷售諮詢旅程，都會規畫更長的改造時程。</p> <p>例如，法人授信額度申請旅程，謝鈞華表示，這項流程再造重點是，縮短法人客戶到銀行申請新授信額度所需的時間，以往短則要1到2個月，最長甚至要4個月。他解釋，銀行在內部風險控管準則下，額度申請需要業務單位、徵信單位、審查單位3個單位協作，採3站式作業，第一站做完再接著下一站單位來審查，才會有這麼長的等待時間。</p> <p>目前，中信銀行思考，能否利用共通平臺協作或建立一套派送機制，將案件同時派送給3單位，透過一站式審查的方式，讓3個單位能平行運作，來改善整段旅程作業效率。</p> <p><span style="font-size:28px;"><strong>中國信託系統化推動EdgE的關鍵配套措施</strong></span></p> <p>去年，中國信託在銀行進行Pilot旅程時，超過100位各單位成員參與，謝鈞華表示，這些成員完成旅程改造後，各自回到原本的工作崗位，「希望這群具備執行方法論概念與經驗的主管或旅程參與者，在組織中發生擴散的效應，」將這樣的觀念帶進其他旅程。</p> <p>隨著EdgE專案每年以10個旅程持續增加，他希望，具備此能力的員工也能快速成長，讓旅程執行規模也能逐年增加，而這正是中國信託數位轉型工程中，組織文化改造的實踐方法之一。到了今年，12項旅程再造專案的執行團隊達到了500人規模。</p> <p>不只銀行，台灣人壽仍持續推動EdgE，謝鈞華表示，由於保險業客戶旅程相對銀行來得單純，目前所挑選出來的14個旅程中，將在今年完成超過5成的旅程數，而過往已經優化過的旅程則會持續追蹤監測。未來，目前人壽端也會維持每年啟動2個旅程的頻率。</p> <p>此外，中國信託銀行數位金融處運籌管理部部長吳展榮表示，今年開始，數位金融處與金控旗下產險子公司合作，希望將銀行、人壽累積的經驗導入產險。</p> <p>第一步要挑選需要改造的旅程，因此，正考慮明年先導入NPS客戶體驗管理優化專案，來了解全旅程當中每個不同的旅程段、每個不同通路底下，甚至到最底層的每個觸點，客戶真實的體驗感受，並透過內外部質化訪談過程及相關機制，來挑選出產險的關鍵旅程。</p> <p>吳展榮也提到，不同於銀行或人壽的服務較仰賴人與人互動及持續性的服務，產險與客戶的接觸點以單一保單為主，所以，如何利用數位工具、數位平臺來提供產險服務也會是發展重點。因此，產險端不只梳理EdgE旅程，也要建置網路投保數位平臺，希望明年能改善整體產險的體質。</p> <p>賈景光表示：「目前EdgE專案已進入擴大期，包括方法論標準化、共用工具模組化、人員經驗複製、人員輪調等，都是關鍵的成功配套。」</p> <p>為了擴大影響廣度，因此，中國信託正在思考2項作法，第一項是，如何讓有經驗的旅程參與者，能利用一套工具快速複製、傳承知識，來增加熟悉這套作法的人力。</p> <p>另一作法是，賈景光透露，中國信託正在盤點各項旅程背後所用的各種平臺與工具。不少旅程所用的工具有共通性，為了擴大旅程的執行規模，得將這些工具如RPA流程機器人，改以元件化、模組化方式來提供，才能彈性支援旅程的需求。他表示：「這就得連結到中國信託整體IT轉型架構，需透過中臺模組化，才更容易支援EdgE專案。」</p> <p><a href="https://www.ithome.com.tw/news/147802" target="_blank"><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span> <span style="color:#3399ff;">【中信EdgE改造實例：刷卡消費體驗】刷卡記錄多一句，銀行客服每月少接1萬通電話</span></strong></span></a></p> </div></div></div>
2021/11/16 07:00作者李靜宜https://www.ithome.com.tw/news/147801
【中信EdgE旅程改造實例：刷卡消費體驗】刷卡記錄多一句話，中國信託銀行客服每月少接1萬通電話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當你在刷卡帳單上看到在「富利餐飲股份有限公司」消費500元，你能馬上辨別這是到哪一家店的刷卡記錄嗎？這也是國內許多銀行行動銀行App提供即時消費記錄通知時，經常遇到的使用者疑問。</p> <p>「這是長久以來金融機構與國際信用卡組織間存在的結構性問題，也是許多金融機構一直以來曾嘗試卻始終無法解決的難題。」中國信託銀行數位金融處創新二部部長謝鈞華表示，富利餐飲股份有限公司其實是必勝客Pizza Hut的公司登記名稱，但，對民眾來說，一看到刷卡消費通知，因為無法判斷自己是否曾在富利餐飲消費，第一時間可能就打電話給銀行客服。</p> <p>消費者若在商店現場刷卡，收到即時消費記錄通知時，還能立刻聯想是方才的消費。不過，中國信託金控技術長賈景光表示：「近2年訂閱式服務興起，造成客戶使用信用卡的痛點變得更強，」因為月繳式的訂閱式服務，出帳和刷卡消費經常有時間差，加上有些訂閱式服務只是小額交易，遇上許多公司名稱以英屬維京群島商為開頭的狀況時，民眾就更加難以判斷，容易誤以為卡片遭盜刷。</p> <p>中國信託銀行的信用卡與簽帳金融卡客戶共有490萬戶，每年超過4.2億筆的刷卡消費，但只有3成刷卡消費通知是容易理解的內容。謝鈞華表示：「客戶因為刷卡消費疑慮的來電量，1個月大概有35,000多通。」這對銀行來說，需要耗費相當大量的人力成本來處理。</p> <p>中國信託EdgE專案的其中一項經典案例，就是客戶刷卡消費體驗旅程的改造。而前面提到的刷卡消費通知難懂問題，就是一個在旅程改造過程中，意外挖掘出來的使用者痛點。</p> <p>中國信託一開始要解決的問題其實是刷卡爭議處理流程。以往發生刷卡爭議時，比如卡片遭盜刷，顧客得打電話到銀行的客服中心報案，並以紙本方式親簽，聲明該筆消費並非他本人的刷卡消費。</p> <p>謝鈞華表示，以國內刷卡爭議案件來說，客戶從報案到退款，以人工處理需花上3到5天的時間。若遇到刷卡爭議是跨國交易的情況就更複雜，還得經過國際信用卡組織，以及中間發卡行與收單行的調查，「平均一筆跨境刷卡爭議，得經過2個月調查時間，最複雜的狀況可長達半年之久。」</p> <p>謝鈞華回憶，起初中國信託想改善的是客戶刷卡爭議管理處理流程作業效率，在研究過程中，團隊從客戶視角出發，檢視整個刷卡消費體驗旅程後才發現，不只刷卡爭議處理的報案流程，顧客在更前段的刷卡消費通知時就遇上問題。</p> <p>負責改造這個旅程的團隊，在問題分析階段，除了帶入量化資訊的分析外，還執行了26場客戶訪談，按照特定比例，找來經常線上消費、實體消費、線上訂閱式消費等主要客群，來了解不同客群在刷卡消費體驗旅程中，真正的需求點與困難點。甚至，也徵詢了曾經發生刷卡消費爭議帳款的顧客，經歷過以往流程後的真實回饋。</p> <p> </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1051-%E5%88%B7%E5%8D%A1%E7%88%AD%E8%AD%B0%E8%99%95%E7%90%86-600-1.png" style="width: 581px;" /></p> <p><span style="font-size:28px;"><strong>3階段改造刷卡消費體驗旅程</strong></span></p> <p>下一步，中國信託分3階段流程，對整個刷卡消費體驗旅程進行改造，第一階段是，讓客戶能夠清楚理解刷卡後收到的消費通知來自哪個商家，第二階段是，收到消費通知後仍有刷卡消費爭議帳款報案需求的客戶，能直接透過手機App自助報案與查詢，第三階段則是，當客戶需要換卡時，如何主動提醒客戶設定以往已綁定的代扣代繳項目。「透過EdgE一條鞭將旅程銜接起來，而不只是單點解決問題，」賈景光直言。</p> <p>在第一階段的作法上，中國信託採用了AI與大數據來解決消費資訊難以理解的問題。謝鈞華表示，旅程團隊與中信內部負責AI與大數據的數據暨科技研發處合作，利用了自然語言處理技術，結合文字與時間序的特徵值，甚至，利用網路爬蟲技術蒐集外部資料，找出各種民眾慣用語，像是民眾常用7-Eleven、小7來稱呼統一超商股份有限公司。</p> <p>後續，中國信託將系統既有資料與網路爬蟲蒐集的慣用語比對，歸類出大眾容易理解、更白話的商店別名，並將這些別名加註到刷卡消費通知上，比如，優食台灣股份有限公司（Uber Eats）、潤泰旭展股份有限公司（CityLink）、富利餐飲股份有限公司（Pizza Hut）。</p> <p>謝鈞華表示，在旅程優化前，中國信託刷卡消費通知的商店別名涵蓋率只有3成，但現在商店別名涵蓋率達到了9成，意思是9成消費通知可以讓客戶理解。光是這項改善還帶來另一個好處，「中信銀行1個月的消費疑慮來電量下降了近4成，等於1個月減少了1萬多通的客戶來電量。」</p> <p>第二階段要改造的流程是，客戶收到消費通知後，提出的刷卡消費爭議帳款報案方式。旅程團隊結合了RPA流程機器人，在中信行動銀行App手機上，增加了自助報案與查詢處理進度的功能，取代以往需打電話給客服通報，再用紙本親簽報案的冗長流程。</p> <p>謝鈞華提到：「透過手機自助報案與查詢，境內刷卡消費爭議，從報案到退款流程，過去3～5天的人工作業時間，縮短到最快可以2天內完成，平均作業效率下降31%。」</p> <p>刷卡消費體驗旅程改造的第三階段，萬一客戶仍需要換卡，如何簡化各項代扣代繳項目綁定新卡的過程。中國信託利用AI與大數據，主動提醒客戶，需設定那些以往所綁定的代扣代繳項目，換卡後，客戶會將95%的舊有綁定代扣繳項目，重新綁定到新卡。</p> <p>甚至還有一些機制，可以讓整個旅程體驗更加細緻，像是跨國刷卡爭議處理流程，中信會通知客戶每段流程的狀態變化，比如該項刷卡爭議已進入國際信用卡組織的爭議調查，或者該筆刷卡爭議已完成退款，讓客戶能夠清楚掌握。</p> <p>經過這三階段的刷卡消費體驗旅程改造，目前整體成效是，客戶誤換卡的比率下降了92%，同時也降低了客戶流失發生機率。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1051-%E5%88%B7%E5%8D%A1%E7%88%AD%E8%AD%B0%E8%99%95%E7%90%86-600-2.png" style="width: 443px;" /></p> <p><span style="font-size:28px;"><strong>以客戶體驗差異化作為競爭決戰點之一</strong></span></p> <p>賈景光認為，所有的服務細節疊加起來，一個旅程的客戶體驗就會截然不同。在現在這個時代，客戶對使用體驗的預期逐漸拉高，不僅要快、還要夠清楚，如何控制客戶體驗也越來越有挑戰。因此，「將客戶體驗做得紮實，是中國信託轉型的基本功，更是競爭差異化的關鍵策略。」</p> <p>以信用卡產品舉例，優惠競爭越演越烈，撇除逐優惠而居的消費者，賈景光希望，差異化服務至少要能掌握自家8成客戶買單，如此一來，就能創造出服務客戶的門檻。</p> <p>甚至，金融業競爭對手不再只有同業，還得跟許多相當注重客戶體驗的數位科技公司競爭，賈景光強調：「當各家的產品、手續費相差不遠時，客戶體驗就是競爭的決戰點之一，得先拉高自家門檻，減少服務提供的痛點，別人的機會就會變小。」這是中國信託的核心戰略。</p> <p><a href="https://www.ithome.com.tw/news/147801" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> </strong></span><span style="color: rgb(51, 153, 255);"><strong><span style="font-size: 22px;">【中信服務力進化方法論】如何靠數據再造服務流程，EdgE執行細節首度大公開</span></strong></span></a></p> </div></div></div>
2021/11/16 07:00作者李靜宜https://www.ithome.com.tw/news/147802
【中信服務力進化組織設計】組成EdgE混編聯合團隊，靠業務單位帶頭發揮全員數位戰力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「工作方法的改變，是中國信託實現EdgE全旅程優化的重要關鍵。」中國信託金控技術長賈景光強調，執行端到端流程再造需要跨單位協作，不只跨業務單位，連法遵、IT、數金等單位，都要共同促成單一目標才能真正成功，而且，「必須拉高層級，從CEO由上而下大力推動，」就像EdgE專案的重要性，在中國信託銀行與台灣人壽都是由總經理層級以上直接推動。</p> <p>不只拉高EdgE專案層級，中國信託更發展出一套混編團隊的跨單位協作模式，要以更強的力道在內部推動。這個混編團隊架構上，由數位金融處扮演CoE（Center of Excellence）團隊的角色，並與專案管理辦公室（Project Management Office，PMO）一起統合整體EdgE計畫的推動工作。</p> <p>PMO專案管理辦公室的工作是，負責管理內部所有同時並進的旅程改造，包括整體計畫進度追蹤與呈報、成效監控，並協調溝通跨單位共通議題及資源分配。CoE團隊則負責設計與推動標準化執行方法論，建立典範與共用綜效，同時也提供UI／UX用戶研究、客戶體驗設計、技術研發等專家顧問資源，透過共享集中的資源，讓各單位不需自行招募此類專業人才。</p> <p>具體作法上，中國信託銀行數位金融處創新二部部長謝鈞華表示，數位金融處在每個EdgE旅程發起時，皆會組成一個跨單位聯合團隊。每一個旅程團隊也會先指派一名來自業務端的旅程改造專案負責人（Journey Owner，JO）主導，搭配IT、法遵人員；以及來自不同業務單位的流程擁有者（Process Owner，PO）所組成的團隊，負責流程現況分析、優化方案規畫與執行，並進行差異分析。</p> <p>此外，數位金融處還會在每個旅程團隊中，配置了1～2名數金成員擔任團隊中的「CoE代表」，這是旅程團隊運作順暢與否的關鍵角色，負責整體EdgE執行方法論討論，提供用戶研究與體驗設計的專業知識，帶領旅程核心團隊來執行問題分析、客戶分群、問題研究、歸納問題、發想出解決方案等一整套方法論，就像是這個旅程團隊的敏捷教練一樣，但提供的不是敏捷知識，而是Edge方法論的知識。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1051-cover6-600(1)-200DPI%2B%E6%B5%AE%E6%B0%B4%E5%8D%B0.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=yes,fullscreen=no,scrollbars=no,dependent=no,width=1411,height=1159'); return false;" style="text-align: center;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1051-cover6-600(1)-72DPI.jpg" style="width: 508px;" /></a></p> <p>以信貸旅程為例，中國信託銀行這個旅程團隊的組成就來自非常多的單位，旅程改造專案負責人是由產品單位部級以上主管擔任，更以信貸旅程的前、中、後臺作業的責任分類，來整合跨業務單位的流程擁有者。比如，「前臺」參與成員涵蓋了銷售Sales單位PO、客服單位PO、分行單位PO、數位通道PO，「中臺」成員則有徵信單位PO、審核單位PO，「後臺」成員則包括集中作業單位PO、撥款單位PO。</p> <p>除了跨業務單位，信貸旅程聯合團隊的參與方還囊括了IT、法遵，以及數金CoE團隊中的1名敏捷引導者（Agile Facilitator）與2名UI／UX專家，包括1名研究員、1名設計師，都是信貸旅程團隊的一環。</p> <p>賈景光個人認為，數位金融處在EdgE專案扮演2大關鍵功能，一是推動標準化執行方法論，溝通大家用對的方法做事，減少旅程團隊的學習成本。另一個功能是，在思維上給予旅程團隊不同的見解。他解釋，熟悉既有流程的業務單位人員，思考上有時不見得能真正突圍，因此，「需要刻意的混編，拉高多元人員、外部顧問這類人力在團隊中的比例，來打破原本作業流程的思維，讓流程能產生改變，否則會流於優化而非轉型。」</p> <p><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 28px; background-color: rgb(247, 247, 247);">由BU帶頭執行EdgE旅程改造</strong></p> <p>中國信託EdgE旅程團隊中還有另一個關鍵的角色，就是旅程改造專案負責人（JO）。謝鈞華表示，各旅程JO大多是原有業務就與這個旅程有直接相關性的人，且通常是由業務單位部級以上主管擔任，比如，中信銀行的法人授信額度申請旅程，涉及了業務單位、徵信單位、審查單位3大單位，便由徵信處處長擔任JO一職。</p> <p>旅程改造專案負責人的任務是，確認所帶領的旅程優化方案、協調資源執行落地，還要每個月向該業務單位的執行長，定期匯報目前整體執行進度與成效。例如個金EdgE旅程各個旅程改造專案負責人，就向個金執行長匯報；而法人金融的專案負責人，則需向法金執行長報告。</p> <p>在每一個旅程完成後，跨單位組成的聯合團隊核心成員會解散，大多回歸到日常的工作崗位時，中國信託仍透過JO這個角色，負責持續追蹤每個旅程後續執行的進度與成效。</p> <p>賈景光表示，中國信託選擇以打破既有組織運作方式，改採由業務單位主管擔任EdgE旅程改造專案負責人的設計，就是要讓業務單位帶頭，透過賦予JO決策權，並直接向最高老闆層匯報，避免過往一層層逐級上報的作法，讓旅程改造團隊能更為敏捷、突破，盡量避免跟原本業務流程拉扯。</p> <p>「旅程優化最終還是得回到業務單位，透過業務單位帶頭這股力量，才能真正做到全員參與EdgE、數位金融的推動，」賈景光直言。更一層的意義是，透過全員發揮數位戰力的作法，帶動數位金融處角色的轉變，成為中國信託背後賦能、整合的軍火庫。這正是他要讓數金處的價值能加乘倍增的秘訣。</p> </div></div></div>
2021/11/16 07:00作者李靜宜https://www.ithome.com.tw/news/147803
中國信託服務力的進化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1051-feng_mian_open.png?itok=2izIGVci" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4年多前，中國信託啟動了EdgE客戶旅程重設計，從客戶旅程視角改造流程，這項樞紐專案，貫穿了客戶體驗創新、組織文化改變、科技平臺現代化、數位科技研發等數位轉型轉骨工程，更是中國信託服務力進化的關鍵</p> </div></div></div>
2021/11/16 07:00作者李靜宜https://www.ithome.com.tw/article/147804
服務科學正在改變金融體驗
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你會不會時不時看到自己的Email信箱，多了一封「不明」商家的刷卡交易通知？我會。其實，這不是被盜刷，而是第一眼看到明細上的店家名稱，是一個截然不熟悉的名字，而沒有意識到這是哪一次消費刷卡的記錄。</p> <p>尤其，我用不少線上訂閱服務，好幾種影音平臺、協同作業工具、設計軟體、線上筆記工具、多種電子報。每個月都會收到好幾封「不熟悉的商家名稱」的交易刷卡通知。每次有新訂閱時，總要遭遇幾次陌生刷卡記錄的困擾，才會知道這個公司名稱，來自哪一項服務。</p> <p>相當困擾，不是嗎？哪一天真被盜刷了，恐怕我也不容易第一時間察覺。但是，我用過的幾張信用卡，都有類似的問題，而且持續多年，提供服務的銀行，都沒有察覺（或不覺得是干擾），這是對消費者是一種干擾。隨著越來越多訂閱式服務直接刷卡，甚至變成了嚴重的困擾，我知道有不少民眾真的會擔心自己遭盜刷，忍不住打電話向銀行查詢，更擔心者就會直接報案。在中國信託，這種顧客刷卡消費疑慮的客服來電，一個月就超過3,5000通。</p> <p>中國信託一開始也沒有意識到消費通知上的老問題，但在進行客戶刷卡消費體驗旅程改造過程中，透過一套服務設計科學的方法論，參考了設計界常用的雙鑽石設計流程（The Double Diamond Design Process），結合了質化方法或是量化數據，例如消費者訪談，再透過跨部門混合編組的敏捷團隊，來了解完整的服務藍圖，試圖尋找可以改善的痛點。</p> <p>藉助這一套用來改善客戶體驗流程的科學化方法，才讓中國信託發現了他們原本也沒有意識到的老問題。</p> <p>知道了問題，就容易採取行動。中國信託發現在自家刷卡消費通知中，高達7成的訊息都是不易辨識的資訊。交易訊息中所用的店家名稱是商家登記的公司名稱，不是消費者熟悉的品牌名稱，例如，你知道「富利餐飲股份有限公司」就是「Pizza Hut」嗎？我也不知道。</p> <p>中國信託透過爬蟲技術，蒐羅了網路上大量消費者對商家的慣用語，比對自己的商家資料庫，在刷卡消費通知上加註易懂的別名，例如富利餐飲股份有限公司（Pizza Hut），光是這一步調整，中國信託每個月客服電話從此少了1萬多通。不過，這只是中國信託刷卡消費體驗旅程改造過程的第一階段，後續還搭配推出RPA優化過的App線上報案，以及靠AI技術實現換卡綁定項目提醒等改善，才讓全套流程大變身。</p> <p>這不是特例，或是偶一為之的專案，而是中國信託數位轉型工程其中一個例子。去年中信銀行試行改造了7大旅程，涵蓋個金、法金、後勤和IT，共推動了39項優化方案，前面的刷卡消費體驗就是其中一項旅程，也驗證了這套方法可以重複運用到不同旅程上。</p> <p>這樣的服務體驗改造工程，他們稱之為EdgE（End-to-end digitization）客戶旅程重設計，這是一套以客戶為核心的服務設計科學，從客戶旅程的視角來改造流程，利用旅程盤點、客戶訪談、設計思考、操作測試等方法，來尋找服務真正的痛點，再利用AI、大數據、RPA、IT開發等多種數位技術來改善自家的服務或產品。</p> <p>不同於國內其他金控，從數據或科技出發的數位轉型戰略，中國信託金控技術長賈景光這樣強調：「中國信託的數位轉型策略，是以客戶體驗為出發。」</p> <p>今年起，他們進一步展開30項大型旅程的改造，計畫3年內分批完成。這意味著中國信託數位轉型工程，從打基礎，轉為進入擴大、加速轉型的階段了。<a href="https://www.ithome.com.tw/article/147804" target="_blank">這一期的封面故事，正是中國信託EdgE客戶旅程再造作法的大公開。</a></p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/147804" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1051-feng_mian_open.png?itok=2izIGVci" style="width: 550px;" /></a></p> <p> </p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E4%B8%AD%E5%9C%8B%E4%BF%A1%E8%A8%97">中國信託</a></div><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B">數位轉型</a></div><div class="field-item odd"><a href="/tags/%E5%AE%A2%E6%88%B6%E9%AB%94%E9%A9%97">客戶體驗</a></div><div class="field-item even"><a href="/tags/%E7%A0%94%E7%99%BC">研發</a></div><div class="field-item odd"><a href="/tags/%E5%89%B5%E6%96%B0">創新</a></div><div class="field-item even"><a href="/tags/edge">Edge</a></div><div class="field-item odd"><a href="/tags/end-end-digitization">End-to-end digitization</a></div><div class="field-item even"><a href="/tags/%E5%AE%A2%E6%88%B6%E6%97%85%E7%A8%8B%E9%87%8D%E8%A8%AD%E8%A8%88">客戶旅程重設計</a></div><div class="field-item odd"><a href="/tags/%E6%9C%8D%E5%8B%99%E8%A8%AD%E8%A8%88%E7%A7%91%E5%AD%B8">服務設計科學</a></div></div></div>
2021/11/16 07:00作者王宏仁https://www.ithome.com.tw/voice/147827
因NSA爆紅的後設資料
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/tu_1_metadata-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">經濟新潮社</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>後設資料（Metadata）就在我們身邊，一直都是。在電子化無所不在的當今年代中，你所用的裝置幾乎樣樣都依賴後設資料或加以產出，或是都有。可是當後設資料運行良好時，它就會遁入背景、不受注意，並且幾乎隱於無形。後設資料在2013年夏天成為暴紅的事件，有部分就是肇因於此。</p> <p>2013年5月時，美國國家安全局（National Security Agency，NSA）的外包人員愛德華．史諾登（Edward Snowden），飛到香港與《衛報》（The Guardian）的記者見面。史諾登在那裡交出了為數眾多的機密文件，是關於國安局在美國境內的監視計畫。其中一件計畫稜鏡（PRISM）包括直接從電信公司蒐集電話通聯資料。不用說，當《衛報》把報導刊登出來時，這是非常大的新聞。</p> <p>對於史諾登的爆料，美國媒體的反應各異而且變化很顯著。當下的反應是火大國安局在蒐集美國公民的資料。當情勢變得明朗，國安局只是在蒐集通聯的後設資料，而不是通聯本身時，風波很快平息。換句話說，國安局並沒有在從事竊聽。隨著媒體進一步探討，從後設資料中究竟「只」能推論出多少的個資，此後便是眾說紛紜。</p> <p>2013年末，史丹福法學院網際網路與社會中心（Stanford Law School Center for Internet and Society）的研究人員做了metaphone的研究，企圖複製國安局在電話後設資料上所蒐集的資料。他們所發現到的是，從後設資料中「只」能推論出的資訊量著實驚人。後設電話的研究人員所通報的一個例子是，研究參與者打給了「居家改裝店、鎖匠、水耕業者和麻藥品店」。這位個人撥打這一切通聯的理由容或是全然無辜，這些通聯容或是毫不相干……但這卻不是大部分的人很可能會形成的推論。</p> <p>很多後設資料都是跟電話通聯相關，尤其是手機的通聯。通聯最顯而易見的後設資料片段，有八成就是撥打者和接聽者的電話號碼。接下來，當然就有通聯的時間和長度。而對於撥打自智慧型手機的通聯，大部分都有GPS的功能，則會有撥打者和接聽者的位置，而精確度至少是達到電話所位在手機基地台的範圍內。手機通聯所具有的相關後設資料比這要多，但連這麼小量也足以使隱私的倡導者裹足不前。因為連沒在通聯時，你的電話也會跟當地的基地台交換資料。而且你的電話當然想必是由你帶在身上。因此，你在任何既定時刻的位置記錄和你的逐時移動或許就會遭到手機服務業者所蒐集……而且事實上就是在蒐集，如同史諾登的爆料所揭露。</p> <p>於是後設資料這個字詞就進到了公眾談話中。只不過，有鑑於後設資料有多遍布，關於它的公眾談話八成都嫌遲了；它理應更為人所了解才是。在電腦運算無所不在的現行年代中，後設資料變成了基礎結構，有如電力網或公路系統。這些片段的現代基礎結構不可或缺，但也只是冰山一角：例如當你按下電燈開關時，你就是一組龐大科技與方針的終端使用者。個別來說，這些科技與方針或許無足輕重，而且或許看似微不足道……但加總起來卻帶有深遠的文化與經濟意涵。後設資料的道理相同。後設資料有如電力網和公路系統，會遁入日常生活的背景，而理所當然被視為就是使現代生活運轉順暢的一環。</p> <p>身為現代世界的公民，對於電力網和公路系統以及其他許多片段的現代基礎結構，我們全都熟知，並有合理（雖然八成是不完整）的了解。但除非你是資訊科學家，或者是在國安局服務的情報分析師，否則八成不會對後設資料等同視之。</p> <p><span style="font-size:28px;"><strong>隱形的後設資料</strong></span></p> <p>當你從本地書店的架上拿起本書時，你就在使用後設資料了。本書是什麼吸引了你，而使你把它拿起來？題名、出版者、封面圖樣？不管是什麼，幾乎肯定不會是書本身的內容。當然，既然你正在閱讀本文，你就會有一些關於本書內容的資訊，但在把它拿起來前，你並沒有這些資訊。你必須依賴其他的線索，其他關於書的資訊片段。其他這些資訊片段就是後設資料：關於本書的資料。</p> <p>當後設資料運行良好時，它會遁入背景，幾乎是來到隱於無形的地步。對於看到書有題名、出版者和封面圖樣，你習慣到八成甚至不會留意到本書也有這些東西。假如本書沒有題名、出版者或封面圖樣，你八成才會留意到。對於書的後設資料是買書環境的一環，我們受制約到甚至不會想到它。對於很多事物的後設資料是日常環境的一環，我們受制約到甚至不會想到它。它是何以致此？</p> <p><span style="font-size:28px;"><strong>後設資料簡史</strong></span></p> <p>雖然後設資料這個字詞只有幾十年之久，但圖書館員已對後設資料著墨了數千年。只不過，我們現在所謂的「後設資料」在歷史上都叫做「圖書館目錄資訊」。圖書館目錄資訊意在解決非常特定的問題：幫助圖書館的使用者在圖書館的藏書中查找材料。</p> <p>想像一下試算表：各列是單一物件的紀錄，各欄是那些物件的單一特性。現在想像一下，試算表裡包含了關於書的資料。欄的標頭會是什麼？題名、作者、出版者、出版日期、出版地、主題、索書號、頁數、格式、尺寸，你說了算。然後各列會是單一書籍的紀錄，包含該特定書籍所有這些的資料片段。這樣的試算表就能當成圖書館目錄。</p> <p><span style="font-size:28px;"><strong>後設資料不只用於圖書館</strong></span></p> <p>圖書館員投身於描述事物超過二千年，無可避免會頗有心得。對於要怎麼有效描述事物，圖書館學的學科為其餘的世人帶來了許多見解。</p> <p>多半是拜圖書館員鑽研出描述的原則所賜，現在任何人都有可能把這些原則應用在所需描述的任何事物上。再者，等到資料庫發明出來，使儲存結構化資料變得可能，任何人要以電子化的方式來創造和維護後設資料也變得可能了。</p> <p>圖書館固然是電腦和資料庫科技的早期採用者，但絕非唯一的採用者。在微型電腦發展出來前，圖書館的後設資料是儲存在專門和特製的典藏處，好比說書架清單和卡片目錄。微型電腦發展出來後，圖書館的後設資料在儲存上所使用的科技便與其他每個人所用的相同。</p> <p>隨著資料庫問世，要創造和儲存任何事物的結構化資料都變得可能，而不光是資源在圖書館藏書裡的描述性後設資料。當然，尤其是企業和政府所蒐集和儲存的結構化資料向來都不只是為了描述性的目的：損益分類帳、庫存、稅務文件、人口普查之類都有紙本、甚至是更早的科技存在了數千年。但這些從來不被視為後設資料；這些純粹是企業、政府和其他的組織所產出的文件，並且使日常營運成了可能。不過，隨著這些營運逐漸用電腦來執行，不僅是從關於它的文件來參照物件變得可能，提供實際的鏈結到檔案系統中的該物件也變得可能。隨著網路深植到現代生活中，這項功能也深植到現代生活中，而這有多徹底改變了文件的管理方式，則是一言難盡。</p> <p><span style="font-size:28px;"><strong>形形色色的後設資料</strong></span></p> <p>對於後設資料是日常環境的一環，各位受制約到甚至不會想到它。地圖、標誌、儀表板、網路搜尋、自動提款機、雜貨店、電話通聯，清單可以無窮無盡。對於這一切事物是如何營運，以及各位是如何與它互動，主軸就在於後設資料。應付銀行系統或電話網的整個複雜性會讓大部分的人生厭。與現代生活的複雜系統互動必須靠系統與我們之間的簡化介面，而這道介面通常就要依賴後設資料。<span style="color:#696969;">（摘錄整理自《Metadata後設資料》第一章）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Metadata-300.png" style="width: 326px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_經濟新潮社</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <strong>Metadata後設資料</strong></p> <p>傑福瑞．彭蒙藍茲（Jeffrey Pomerantz）／著；戴至中／譯</p> <p>經濟新潮社出版</p> <p>售價：420元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>傑福瑞．彭蒙藍茲（Jeffrey Pomerantz）</strong></p> <p>資訊科學家、雪城大學資訊研究學院博士。曾任北卡羅來納大學教堂山分校資訊圖書學院助理教授、華盛頓大學資訊學院客座教授。他也曾在大規模開放線上課程（MOOCs）開設「Metadata：組織和探索資訊」（Metadata: Organizing and Discovering Information）課程，深獲學生喜愛。</p> </div></div></div>
2021/11/16 08:19未署名https://www.ithome.com.tw/article/147829
新竹物流與工研院聯手，國產自駕貨車首度亮相!
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內自駕車技術發展進入新里程碑。新竹物流和工研院、新竹市政府今天（11/15）共同發表國內首款自駕物流車技術，未來將實際在開放道路行駛，在物流營業所之間運送貨物。</p> <p>這項自駕車物流服務，是由新竹物流提供物流服務營運模式，結合工研院機械所的自駕物流載具平台技術，以及新竹市協助在開放場域的路權規畫，促成這項自駕車物流技術發展，讓自駕物流車得以擺脫實驗場域，在行人與汽機車混雜的真實道路上行駛，初期將往返於新竹物流的新竹營業所、竹科營業所之間，全長約1.9公里路程，記者實際駕車測試，依路況交通，時速約20至40公里，全程約花費6分鐘左右。</p> <p>新竹物流總經理李正義表示，目前物流業面臨幾個痛點，首先，職業駕駛人和十年前相比，減少約30%，駕駛人短缺已成為嚴重問題，其次是，隨著現代電商的發展，將物流配送從以前的B2B，擴大到更多的B2C到C2C，導致物流配送量大幅成長，對物流服務、職業駕駛人的需求更加迫切。</p> <p>由於過去新竹物流和工研院已有合作的基礎，例如共同合作導入RFID，以追蹤貨櫃的行蹤，因此雙方在過去合作基礎下，在自駕車技術上展開合作，結合新竹物流在物流服務經驗，加上工研院機械所的自駕車技術先前在新竹南寮漁港開放場域2年驗證測試，加上新竹市政府規劃路權，在安全、規範、有限的範圍內逐步推展實現。</p> <p>「透過三方合作，共同創造新的自駕物流驗證，解決職業駕駛人不足的問題，自駕物流技術不只是理論和實驗，更重要的是未來走向商業化」，李正義表示。</p> <p>自駕物流試行只是剛開始，新竹物流進一步規畫的短、中、長期目標，短期先以點對點配送為主，從新竹營業所到竹科營業所，再擴大到新竹營業所到客戶到竹科營業所，中期擴大至新竹5個營業所。長期目標則是上高速公路的長途物流，例如從新竹到高雄、宜蘭等地。</p> <p>導入自駕車物流技術的效益，目前的物流模式採集中式，不同營業所貨物運輸是經過轉運中心扮演Hub的角色，由於轉運中心多利用夜間轉運，夜間工作招募職業駕駛並不容易，未來導入自駕物流後，區域內的不同營業所之間點對點直送，轉運中心以後則扮演跨區轉運的角色，除了克服職業駕駛人短缺的問題，也能簡化運送流程、上下貨次數。</p> <p>新竹物流期待合作案，未來自駕物流成功後，可複製到全臺的營業所及轉運中心，以大新竹地區為例，每月約有45萬件貨物量，未來自駕物流導入新竹物流體系後，第一階段可減少區域內2成的貨物量進轉運中心，初步降低每月1萬件進轉運中心，改為營業所對營業所直送。</p> <p>根據新竹物流估計，導入自駕物流後，效益之一是減少運輸成本，每年約可減少1.2億元成本，人力成本估計每年能減少1,800萬元。</p> <p>李正義認為，導入自駕物流技術帶來三大創新，第一是改善營運面的流程，第二是服務模式的創新，對客戶提供更好的體驗，第三是物流科技的創新，從實作累積大數據，累積新技術的研發。</p> <p>今天新竹物流與工研院聯手展示自駕物流技術，是以克萊斯勒的車款改裝，為了讓自駕車能感測週遭的路況，共配備8支相機、5個光達、5個雷達，現場模擬無人在車內的自駕車抵達新竹營業所之後，自動倒車停入專門的自駕車格內，開啟後車尾門，讓營業者人員以人工方式上下貨物。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5031-1.jpg" style="width: 600px; height: 399px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5038-1.jpg" style="width: 600px; height: 399px;" /></p> <p>營業所一旁停放改裝為自駕車的新竹物流5噸貨車，但掛著一般汽車的試車牌，未來將送臺南沙侖的車測中心進行自駕車測試，才能取得自駕車的試車牌，未來在新竹地區進行自駕物流測試。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5003-1.jpg" style="width: 600px; height: 399px;" /></p> </div></div></div>
2021/11/15 19:52作者蘇文彬https://www.ithome.com.tw/news/147850
資安業者公布全球最受駭客青睞的頂級網域名稱，.zw、.bd、.ws、.tk你聽過嗎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://unit42.paloaltonetworks.com/top-level-domains-cybercrime/" target="_blank">資安業者Palo Alto Networks近日調查了全球惡意網域所使用的頂級網域名稱（Top-Level Domains，TLD）</a>，發現駭客所使用的惡意網域名稱，有超過9成集中在25個頂級網域名稱上，而且特別偏好開發中國家的國家頂級網域名稱（ccTLD），像是.tk、.pw及.ws等。</p> <p>其實全球有超過一半的惡意網站依舊採用.com，原因不外乎是.com為全球最受流行的頂級網域名稱，但Palo Alto Networks以惡意網域數量相比當地人口，另也採用平均絕對差（Median of the Absolute Deviation，MAD）的方法，突顯出受到駭客青睞的頂級網域名稱。</p> <p>每個國家都可申請自己的國家頂級網域名稱，例如.tk為南太平洋小島托克勞（Tokelau）的ccTLD，它的面積只有10平方公里，人口約為1,500名；.pw為帛琉的ccTLD，面積為459平方公里，人口數為2.2萬；.ws為薩摩亞的ccTLD，它是南太平洋的島國，面積為2,934平方公里，人口約為20萬。</p> <p>Palo Alto Networks的調查顯示，以這些國家的惡意網域名稱與人口數的比率，與德國相較，.tk、.pw及.ws的人均惡意網域名稱比率分別是德國.de的27萬倍、2,372倍，以及610倍。</p> <p>其中一個原因是，對某些開發中國家而言，網域名稱的註冊服務是它們主要的收入來源，例如托克勞（.tk）的網域名稱註冊收入占該國總營收的1/6；另一個原因是，當它們把ccTLD轉交給註冊商管理之後，註冊商主要透過廣告來獲利，而免費提供相關網域名稱的註冊，再加上管理鬆散，而讓.tk成為最受駭客歡迎的ccTLD。</p> <p>除了ccTLD之外，Palo Alto Networks也採用MAD來計算所有TLD中的惡意網域所占比例，顯示全球惡意網域名稱比例最高的TLD前五名依序是：.zw、.bd、.ke、.am及.sbs；網釣網域名稱比例最高的TLD為：.pw、.quest、.ke、.date及.cyou；惡意程式所使用網域名稱比例最高的TLD為：.zw、.bd、.ke、.am及.cd；而駭客最愛用的C&C伺服器的網域名稱為：.cyou、.pw、.ws、.gq及.cf。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1115-TLDs%20malicious%20domains%20by%20Palo%20Alto%20Networks-600%20big.jpg" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=949,height=581'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1115-TLDs%20malicious%20domains%20by%20Palo%20Alto%20Networks-600.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源_Palo Alto Networks</span></p> <p>令人好奇的是，有別於免費的ccTLD，在此一類別中不乏昂貴的TLD，例如.zw, .bd及.ke的註冊費用，可能是.com的4到14倍。研究顯示，看起來這些網域名稱一開始的註冊不是為了從事惡意行為，比較像是被駭客入侵而成為攻擊跳板的。</p> <p>Palo Alto Networks分析，這些地區的人均GDP比美國低了30~60倍，推測建立這些網站的個人或組織可能相對缺乏資源與資安專長，使得網站漏洞百出才被駭客相中。</p> </div></div></div>
2021/11/15 17:37作者陳曉莉https://www.ithome.com.tw/news/147845
FBI因配置錯誤遭駭客假藉其名義，發垃圾信給10萬個組織郵件信箱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦調查局（FBI）在11月13日接到排山倒海而來的詢問電話，因為有許多組織收到來自FBI的郵件，宣稱它們的系統遭到駭客入侵，結果是FBI被駭，讓駭客得以假冒FBI的名義發送了垃圾郵件。</p> <p>專門追蹤全球垃圾電子郵件的國際非營利組織<a href="https://www.bleepingcomputer.com/news/security/fbi-system-hacked-to-email-urgent-warning-about-fake-cyberattacks/" target="_blank">Spamhaus Project向《BleepingComputer》透露</a>，駭客以FBI的名義發送了兩波電子郵件，保守估計至少有10萬個郵件信箱收到此一郵件，且該用來發信的IP位址的確是來自FBI。</p> <p><a href="https://twitter.com/spamhaus/status/1459451401269043201" target="_blank">Spamhaus Project在Twitter上表示</a>，駭客應是自美洲網路號碼註冊管理機構（American Registry for Internet Numbers，ARIN）的資料庫搜括了郵件寄送名單，由於該信箱是真的來自FBI的架構，因此帶來了巨大的破壞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1115-fbi%20Spamhaus-600.jpg" style="width: 600px;" /></p> <p><a href="https://twitter.com/spamhaus/status/1459452609979371520/photo/1" target="_blank"><span style="color:#696969;">圖片來源_Spamhaus</span></a></p> <p><a href="https://www.fbi.gov/news/pressrel/press-releases/fbi-statement-on-incident-involving-fake-emails" target="_blank">FBI在察覺此事後展開了調查</a>，坦承有一個軟體的錯誤配置，讓駭客得以利用執法機構企業入口網站（Law Enforcement Enterprise Portal，LEEP）來寄送偽造的電子郵件。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FEK8q7wXMAsavuD?format=jpg&name=medium" style="width: 600px;" /></p> <p><a href="https://twitter.com/FBI/status/1459936679855333381/photo/1" target="_blank"><span style="color:#696969;">圖片來源_FBI</span></a></p> <p>LEEP為FBI用來與全美各州及地方執法機構通訊的平臺，不過，FBI解釋，雖然該垃圾郵件源自FBI伺服器，但此一伺服器是專門替LEEP推送通知，並非FBI企業電子郵件服務的一部份，沒有人存取或危害了FBI網路上的任何資料或個人資訊。</p> <p>在得知該意外之後，FBI馬上修補了軟體漏洞，警告合作夥伴不要理會此一假冒的電子郵件，並重新確認FBI網路的完整性。</p> </div></div></div>
2021/11/15 14:38作者陳曉莉https://www.ithome.com.tw/news/147842
AMD的Radeon GPU含有18個高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AMD在上周修補了50個安全漏洞，<a href="https://www.amd.com/en/corporate/product-security/bulletin/amd-sb-1000" target="_blank">其中有27個涉及支援Windows 10的Radeon GPU</a>，並有18個被列為高風險漏洞。外界呼籲使用者修補相關漏洞不但能避免攻擊，通常也能改善遊戲效能。</p> <p>AMD表示，該公司在許多API上發現了弱點，它們可能造成權限擴張、服務阻斷、資訊揭露、KASLR繞過，或是任意寫入核心記憶體，已藉由更新AMD Radeon的驅動程式來緩解這些安全漏洞。</p> <p>資安社群呼籲，大家可能已習慣更新作業系統，卻不常更新繪圖晶片或顯示卡的韌體，但更新韌體除了能夠確保安全之外，通常也能改善顯示卡的效能，例如<a href="https://www.digitaltrends.com/computing/update-amd-gpu-drivers-now-27-security-risks/" target="_blank">根據《DigitTrends》的報導</a>，有一項關於AMD RX 6800 XT顯示卡的評測，就發現它自初上市之後，效能改善了9%，大多數都應歸功於驅動程式的最佳化。</p> </div></div></div>
2021/11/15 14:49作者陳曉莉https://www.ithome.com.tw/news/147843
美國有16%的成人曾投資加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國調查機構<a href="https://www.pewresearch.org/fact-tank/2021/11/11/16-of-americans-say-they-have-ever-invested-in-traded-or-used-cryptocurrency/" target="_blank">Pew Research Center本周公布一份有關加密貨幣的調查報告</a>，指出在18歲以上的美國成人中，已有16%表示自己曾投資、交易或使用加密貨幣，不難想像地，該比例在18~29歲的族群中更高。</p> <p>這次的調查著重於美國人對加密貨幣的看法與行為，整體而言，有高達86%的美國人說他們聽說過加密貨幣，只有13%沒聽過。Pew Research Center在2015年時，曾經針對美國成人進行類似的調查，但當時僅鎖定比特幣，那時只有48%的成人聽過比特幣，且曾經投資或交易比特幣的比例只有1%。</p> <p>但在今年9月進行的調查中，除了已有16%的美國成人曾投資或交易加密貨幣之外，18%~29歲的族群是參與度最高的，該族群有31%宣布自己曾投資、交易或使用加密貨幣，若只計算男性的比例則更高達43%，只計算女性為19%。</p> <p>除了年齡上的差距之外，亞裔、非裔與西班牙裔的美國人投資加密貨幣的比例也相對較高，但從家庭收入上來看則沒有太大差異。</p> </div></div></div>
2021/11/15 14:59作者陳曉莉https://www.ithome.com.tw/news/147844
【資安日報】2021年11月15日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>教育單位缺乏資安防護的資源，也成為駭客攻擊的目標。例如，11月4日遭到勒索軟體攻擊的雲林縣教育處，他們成立的國中小共構網站被迫停止運作，導致該縣所有公立的國中和國小網站皆無法使用。由於該縣教育處成立共構系統的目的，就是因應這些學校普遍缺乏維護網站的人力，這起事故後，他們也打算強化該系統的資訊安全，來防範類似的攻擊。但這起事故，迄今雲林縣教育處仍未發布有關公告，而是事發一週後因媒體報導才曝光。</p> <p>除了國內的資安事故之外，最近2到3年美國鎖定K-12學校的資安事故頻傳，該國的政府督責總署（GAO）也下令要求，教育部應與國土安全部聯手，改善資安防護措施。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://udn.com/news/story/6885/5888400"><span style="color: rgb(0, 0, 0);">雲林縣教育處遭勒索軟體攻擊，百餘所學校網站無法存取</span></a></strong></h4> <p>雲林縣教育處與當地185所國中小的共構網站，傳出11月4日遭到勒索軟體攻擊，導致雲林縣百餘所學校網站全數無法運作－－老師和學生無法上網，家長亦不能查閱孩童成績、閱讀學校公告。事發後，教育處報警並尋求資訊工程師搶救資料，至13日時救回約8成資料，並預計於15日能全數恢復運作。雲林縣教育處邱孝文表示，駭客透過RDP入侵，並針對資料庫伺服器攻擊，而且，不只資料庫，連帶備份的檔案也遭到加密。教育處已成立緊急應變小組，並加強共構平臺的資安，並提升備份效能。</p> <h4><strong><a href="https://krebsonsecurity.com/2021/11/hoax-email-blast-abused-poor-coding-in-fbi-website/"><span style="color: rgb(0, 0, 0);">美國聯邦調查局郵件伺服器遭駭，發出數萬封垃圾郵件<img alt="" src="https://s4.itho.me/sites/default/files/images/FEEEWfZXsAE5QOW-1.png" style="width: 300px; height: 77px; float: right;" /></span></a></strong></h4> <p>美東時間11月12日深夜，在數個小時內，出現數萬封疑似來自美國聯邦調查局（FBI）與美國國土安全部（DHS）的恐嚇郵件。威脅情資組織Spamhaus發出警訊，指出這些郵件的來源，確實是從FBI與DHS的基礎架構「執法企業入口網站（LEEP）」寄出，但經過分析之後，證實這些郵件的內容都是捏造的。此事FBI亦於11月13日發出公告，證實確有此事，並於14日指出是LEEP的軟體組態配置錯誤所致。</p> <h4><a href="https://www.zdnet.com/article/costco-customers-complain-of-fraudulent-charges-company-confirms-card-skimming-attack/"><span style="color: rgb(0, 0, 0);"><strong>美國好市多驚傳網站遭到信用卡側錄，會員資料外洩</strong></span></a></h4> <p>在2021年初以來，陸續有美國好市多的會員表示，他們的信用卡或支付卡遭到盜刷，該公司最近向部分受害者發出通知信，表示信用卡可能因在受到入侵的設備上付款，而導致信用卡的資料外洩，他們亦向執法單位報案。該公司將為受害者提供身分盜竊保護服務，包含12個月的信用監控、100萬美元的保額，以及身分竊盜復原服務。</p> <h4><strong><a href="https://www.microsoft.com/security/blog/2021/11/11/html-smuggling-surges-highly-evasive-loader-technique-increasingly-used-in-banking-malware-targeted-attacks/"><span style="color: rgb(0, 0, 0);">利用HTML偷渡作案工具的攻擊顯著增加<img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1-HTML-smuggling-overview.png" style="width: 300px; height: 217px; float: right;" /></span></a></strong></h4> <p>微軟的研究人員提出警告，一種利用正常的HTML5和JavaScript功能，來發動HTML走私攻擊（HTML Smuggling）的手法，最近有升溫的現象。他們曾在5月，觀察到Nobelium駭客在網路釣魚攻擊使用這類手法，但研究人員最近看到，有人用來散布多種惡意軟體，如TrickBot、AsyncRAT，以及Mekotio等。</p> <h4><strong><a href="https://www.fortinet.com/blog/threat-research/to-joke-or-not-to-joke-covid-22-brings-disaster-to-mbr"><span style="color: rgb(0, 0, 0);">佯稱武漢肺炎的惡意軟體恐損害電腦的MBR</span></a></strong></h4> <p>在武漢肺炎（COVID-19）疫情延燒至今，攻擊者利用這項議題來做為誘餌的情況時有所聞。最近資安業者Fortinet發現有人以Covid-22的名義，來散布Joke惡意軟體，一旦電腦遭到感染，就會顯示電腦被感染Covid-22武漢肺炎病毒的訊息，且透過喇叭不斷放出「Coronavirus」的聲音。最終在強制要求受害者重開機時，將電腦的主要開機磁區（MBR）覆寫，使得受害者電腦無法進入作業系統。</p> <h4><strong><a href="https://thehackernews.com/2021/11/abcbot-new-evolving-wormable-botnet.html"><span style="color: rgb(0, 0, 0);">殭屍網路Abcbot鎖定Linux發動攻擊</span></a></strong></h4> <p>奇虎的研究人員發現，約自2021年7月出現的Abcbot殭屍網路病毒，在10月30日時開始具備攻擊Linux伺服器的能力，主要的攻擊方式是透過弱密碼暴力破解，或是使用甫揭露不久的漏洞入侵，目前為止他們至少看到6種版本的Abcbot。</p> <h4> </h4> <h3><strong>【資安產業動態】</strong></h3> <h4><a href="https://thehill.com/policy/cybersecurity/580649-state-and-local-officials-celebrate-passage-of-infrastructure-bill-with"><span style="color:#000000;"><strong>美國將投入十億美元強化地方政府資安</strong></span></a></h4> <p>在美國的地方政府頻頻遭遇網路攻擊，卻往往面臨沒有對應的資源能進行防禦的情況。當局最近通過1兆2千億美元的基礎設施預算，待美國總統拜登簽署生效後實施，而其中有10億美元的用途是為了強化資訊安全，並預計從2022年至2025年逐步提供給當地州政府與地方主管機關。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/us-education-dept-urged-to-boost-k-12-schools-ransomware-defenses/"><span style="color:#000000;"><strong>美國政府要求改善K-12學校的資訊安全</strong></span></a></h4> <p>美國政府督責總署（GAO）於11月12日，針對K-12學校面臨的威脅發布研究報告，指出教育部於2010年制訂的網路威脅因應計畫已明顯過時，GAO認為，教育部與國土安全部（DHS）需要更積極做好美國K-12學校的資訊安全，才能應對現在大規模攻擊的現象。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/147798">2021年11月12日</a></p> <p><a href="https://www.ithome.com.tw/news/147782">2021年11月11日</a></p> <p><a href="https://www.ithome.com.tw/news/147753">2021年11月10日</a></p> </div></div></div>
2021/11/15 12:48作者周峻佑https://www.ithome.com.tw/news/147841
AWS發布搭載A10G GPU的EC2執行個體G5，機器學習效能是前一代3倍以上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS更新其G系列EC2執行個體，發布最新搭載Nvidia A10G張量核心GPU的<a href="https://aws.amazon.com/tw/blogs/aws/new-ec2-instances-g5-with-nvidia-a10g-tensor-core-gpus/">G5執行個體</a>，能夠更好地支援多媒體和機器學習等使用案例。AWS在兩年前發布配備可多達8個Nvidia T4張量核心GPU的G4執行個體，主要針對機器學習推理和圖形密集的應用程式，提供高效能GPU運算能力。</p> <p>而現在新的G5執行個體，則是搭載多達8個A10G張量核心GPU，CPU則是使用第二代AMD EPYC處理器，整體來說，推理和圖形運算的性價比前一代提高了40％。</p> <p>A10G GPU與T4相比，A10G GPU機器學習訓練的效能達3.3倍，推理能力和圖形效能也有3倍，每個A10G GPU具有24 GB記憶體、80個光線追蹤核心、320個第三代Nvidia張量核心，可以提供250 TOPS運算能力。</p> <p>隨著GPU的升級，G5執行個體的光線追蹤也獲得提升，因此能更好地支援遊戲開發工具，而且每個執行個體也擁有大量EBS頻寬，甚至能夠支援即時播放用例。在機器學習支援上，G5在訓練和推理的速度更快了，用戶也能使用Nvidia CuDNN、TensorRT和各種針對GPU最佳化的軟體，加快機器學習運算。</p> <p>G5執行個體同時支援Linux和Windows作業系統，並相容各種圖形和機器學習函式庫，包括CUDA、OpenCL、DirectX、Vulkan和OpenGL等。目前G5已經上市，用戶可以在美東、美西和歐洲地區使用，同時用戶也能夠在Amazon ECS和EKS叢集中，啟用G5執行個體。</p> </div></div></div>
2021/11/12 18:29作者李建興https://www.ithome.com.tw/news/147818
Grafana雲端加入開發者待命管理工具OnCall
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年早前Grafana併購Amixr，現在將該公司所開發的待命（On-call）管理工具，經過整合後改名稱作<a href="https://grafana.com/blog/2021/11/09/announcing-grafana-oncall/">Grafana OnCall</a>釋出，讓Grafana雲端用戶能夠更簡單地管理團隊間的協作，最佳化待命工作流程。</p> <p>管理現代軟體開發其中一個重要的環節，便是配置和運作待命人員輪替，官方提到，這通常是一件苦差事，因為目前的工具都不夠友善。為了解決這個問題，Grafana開始對其雲端用戶提供Grafana OnCall，這是一個用來管理人員待命的工具，透過更簡單的流程和介面，簡化管理待命人員的工作量。</p> <p>Grafana OnCall簡單的設計，讓用戶一開始從小規模應用起，隨著時間擴展使用規模，借助Grafana OnCall，DevOps和SRE團隊能夠更有效率地協作，使得待命工作流程更加順暢，進而更順利地解決突發事件。</p> <p>待命管理的第一步是安排待命時間表，用戶可以使用日曆創建和管理待命時間表，只要任何帶有iCal地址的日曆都可以使用，管理者能夠以成員Grafana用戶名稱，作為創建事件的名稱，快速完成配置，由於成員都是使用熟悉的工具和流程，因此可以減少安排時間表的工作。</p> <p>Grafana OnCall具有靈活的自動警報升級（Escalation）機制，以確保突發事件被解決，用戶可以在警報升級創建介面中，根據警報類型，使用IF、ELSE IF和ELSE邏輯來選擇路由目標，像是用戶可以將嚴重、關鍵警報事件發送到特定的警報升級鏈中，甚至設定命名空間等規則，將警報路由到其他警報升級鏈。</p> <p>Grafana OnCall和Grafana Cloud深度整合，提供完整的可觀察性堆疊，集中檢視圖會在用戶熟悉的Grafana Cloud和Grafana UI中呈現，供用戶快速地查看和更新事件狀態，並且搜尋較舊的事件。</p> <p>Grafana OnCall還深度整合Slack，並且透過自動分組來減少不必要的警報干擾，官方提到，Grafana OnCall在Slack會自動對警報進行分組，以避免用戶遭受大量警報騷擾，並降低事件期間團隊收到的雜訊干擾。Grafana OnCall還支援一系列常見的警報配置，包括Datadog、New Relic和AWS SNS等。</p> <p>Grafana OnCall現在開放Beta預覽，免費和付費計畫的Grafana Cloud使用者現在都可以開始免費使用。</p> </div></div></div>
2021/11/15 05:45作者李建興https://www.ithome.com.tw/news/147820
以HTML挾帶手法躲避偵測的網釣攻擊越來越多了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2021/11/11/html-smuggling-surges-highly-evasive-loader-technique-increasingly-used-in-banking-malware-targeted-attacks/" target="_blank">微軟警告近日愈來愈多攻擊者，使用HTML挾帶（HTML smuggling）這種隱匿手法</a>，躲過安全產品防堵以成功散布惡意程式。</p> <p>HTML挾帶是利用HTML5和JavaScript的高度隱匿攻擊手法。攻擊者製作挾帶惡意JavaScript的HTML網頁，並傳送含有URL或附檔的釣魚信件，誘使用戶點選並開啟附件。主流瀏覽器解碼JavaScript、載入網頁，從網站下載惡意程式，並在用戶裝置上組合成惡意檔案，如銀行木馬或勒索軟體。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/uploads/securityprod/2021/11/Fig1-HTML-smuggling-overview.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>早在5月，<a href="https://www.ithome.com.tw/news/144699" target="_blank">俄國駭客組織Nobelium</a>活動即使用HTML挾帶手法，但近日微軟發現更多案例。7月有2波電子郵件攻擊活動利用這手法，散布銀行木馬Mekotio及Ousaban，受害者分布巴西、墨西哥、祕魯、西班牙和葡萄牙。7月和9月分別有釣魚信件散布木馬AsyncRAT/NJRAT及Trickbot（如下圖所示）。此外，微軟發現到一個駭客組織利用HTML挾帶鎖定教育及健康產業，先駭入用戶電腦再散布Ryuk勒索軟體。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/uploads/securityprod/2021/11/Fig6-HTML-smuggling-Trickbot-page.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源＿微軟</span></p> <p>HTML挾帶手法是使用HTML5或JavaScript的合法功能，並且在網路防火牆後合成惡意檔案，而非從外部網域下載惡意執行檔，因此能躲過一般周界的安全產品，像是Web代理程式和電子郵件閘道的檢查，因這些產品只根據特徵和規則檢查可疑附件（如EXE、ZIP和DOCX）或流量，使其成為高度隱匿的攻擊手法。</p> <p>微軟建議啟動端點安全規則，包括防止JavaScript、VBScript及未受信任的執行檔。此外，使用能掃瞄惡意連結、惡意附檔的電子郵件安全產品、防火牆及代理伺服器，避免任意連結外部網站及下載檔案，可以防堵這類攻擊手法。</p> <p>不過HTML挾帶攻擊仍然需要使用者動作，點擊URL或郵件附檔。因此要防止這類攻擊，最根本方法是用戶提高警覺，不要隨意開啟陌生或不受信賴來源的電子郵件。</p> </div></div></div>
2021/11/15 06:12作者林妍溱https://www.ithome.com.tw/news/147831
Cloud周報第125期：世界最大衍生性金融產品交易所宣布搬遷資訊基礎架構上公雲，期貨、選擇權等商品市場都上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2021/10/27～2021/11/11）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融業上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 芝商所 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>芝商所明年開始搬遷IT基礎架構上雲，要加快創新服務的推出速度</strong></span></strong></p> <p>芝加哥商品交易所集團（CME Group，簡稱芝商所）日前宣布，明年起，要逐步搬遷資訊基礎架構上GCP平臺，含核心交易系統在內，並與Google簽訂為期10年的雲端合約。身為世界最大的衍生性金融產品交易所，芝商所規畫先搬遷資料及清算服務上雲，最終目標是，搬遷旗下所有商品市場的IT環境至雲端，包含現貨、期貨、選擇權等商品。</p> <p>對於搬遷資訊架構上GCP平臺，芝商所執行長Terry Duffy表示，在靈活且可擴充的環境中，芝商所將能更快地向市場推出新產品和服務，改變衍生性商品市場。搬遷系統上雲後，芝商所計畫利用公雲的全球網路建設，來擴充自身IT基礎設施，讓更多人進入市場做交易，還會利用公雲資料分析和ML服務，來建置可讓客戶隨需取用交易資訊的能力。</p> <p>此外，芝商所也將與Google雲端共同開發新產品，會先聚焦發展風險控管工具、分析服務，以及以使用者為中心的平臺。為深化彼此合作關係，過去以投資和收購技術業者為主的Google，也透過取得股權，投資芝商所10億美元。<a href=" https://www.cmegroup.com/media-room/press-releases/2021/11/04/cme_group_signs_10-yearpartnershipwithgooglecloudtotransformglob.html#">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Microsoft 365資料 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>M365快速複製到Azure有新工具，企業更容易將大量協作文件匯入Azure</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Microsoft%20Graph%20Data%20Connect_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 600px; height: 291px;" /></strong></strong></p> <p>微軟推出可複製Microsoft 365資料到Azure租戶的連接器Microsoft Graph Data Connect，供企業跨系統整合記錄和資料庫。Microsoft Graph是M365中，用來描述組織生產力和安全模式的一項資料，而具高吞吐量的新連結器Microsoft Graph Data Connect，可讓開發人員複製Microsoft Graph資料集到Azure Data Factory。企業不需撰寫任何程式碼，就可使用新連結器，來大規模存取M365資料，還可設定重複性的排程，定時交付資料給應用程式。</p> <p>該連接器內建安全和資料治理功能，供開發人員指定一組欲遵守的詳細政策，並由Microsoft 365管理員進行審查，以確保資料使用遵循法令規範。這項服務目前允許企業存取組織的電子郵件、日曆、目錄和聯絡人，像是存取Teams聊天資料集的結構化和非結構化欄位。透過這項新服務，企業可利用Microsoft 365中的資料，分析員工生產力、詐欺、法遵和流程效率等，並且也能使用這些資料訓練ML模型，或是添加資料到企業知識圖中。<a href=" https://trustedcloudprinciples.com/principles/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 調查報告 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 晶片荒 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>調查：全球雲服務市場Q3達494億美元，晶片荒將限制雲服務商擴充基礎設施</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Cloud%20q3_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Canalys.png" style="width: 600px; height: 337px;" /></strong></span></p> <p>市場研究機構Canalys近日公布，全球第三季雲端基礎設施服務市場調查報告，該季市場規模達494億美元，比上一季增長24億美元，與去年同期相比則增加129億美元，成長幅度達35%。此次報告中，AWS以的市場營收比，穩居雲端服務市場第一位，其次是Azure占比達21%，而Google雲排名第三，占8%。Canalys表示，受一系列因素的推動，包含持續的遠距工作和學習需求，還有產業特定雲應用趨普及化，雲端基礎設施服務需求持續旺盛。</p> <p>然而，Canalys也觀察到整體運算需求將超出晶片製造能力的成長速度，對於雲服務供應商而言，想要擴充基礎設施會受到限制。Canalys首席分析師Blake Murray表示，除了盡可能管理供應鏈外，具市場優勢的雲服務商也正聚焦在，為產品組合建立上市管道，來趕上受疫情催化，而出現越來越廣泛的企業應用需求。<a href=" https://www.canalys.com/newsroom/global-cloud-services-q3-2021">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 容器應用 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 無伺服器服務 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>微軟推出無伺服器容器服務Container Apps，供企業部署容器應用不需管底層K8s </strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Container%20Apps_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 600px; height: 287px;" /></strong></strong></p> <p>微軟在剛結束的Ignite大會中，發布了Azure無伺服器容器服務Container Apps，這是一項全託管服務，企業不需管理底層的VM、調度工具以及基礎設施，就可建置和部署容器化應用程式。Container Apps支援打包在任何容器中的應用程式碼，並對Runtime和程式碼開發模型沒有特定要求，而應用程式可依據HTTP請求、事件進行擴充。</p> <p>此外，因Container Apps建立在開源K8s技術上，企業獲得K8s好處的同時，不需理解K8s的運作方式和概念，就可利用開放標準和API持續地讓應用程式具可攜性。多個單獨容器應用程式可部署至單一Container Apps環境中，而部署到相同環境的容器應用，能夠寫日誌到相同的Log Analytics工作區。微軟表示，這樣的結構可讓組成解決方案的微服務，容易相互通訊，且多個容器能部署至同個容器應用，之後這批容器會一起部署和擴充。<a href="https://techcommunity.microsoft.com/t5/apps-on-azure/introducing-azure-container-apps-a-serverless-container-service/ba-p/2867265?ocid=AID3042118">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 串流技術 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 容器應用 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 擴充速度 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>GKE添加映像檔串流功能，大幅加快企業啟動、擴充容器應用速度</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_GKE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google%E9%9B%B2%E7%AB%AF.png" style="width: 600px; height: 220px;" /></strong></span></p> <p>Google日前宣布在K8s服務GKE中，添加映像檔串流功能，要大幅縮短應用程式擴充時間，讓企業可更快地回應突增的用戶需求，並通過減少配置備用容量，來降低服務使用費。Google宣稱，新功能可降低映像檔的拉取時間，從原需數分鐘降至數秒鐘，讓企業的應用程式在GKE串流容器資料的同時，立即開始啟動。這項新功能可縮短映像檔拉取時間的關鍵是，採用網路掛載的方式，在Containerd中掛載容器資料層。</p> <p>一旦企業映像檔掛載完成，容器能在數秒內從映像檔拉取狀態，轉換成執行狀態，有效地平行化應用程式啟動和容器資料傳輸作業，讓企業更快地啟動容器和自動縮放應用。除了平行資料傳輸之外，GKE映像檔串流還採用多層級快取系統，從節點上的記憶體和磁碟快取開始，向上到地區性的Artifact Registry。企業要使用新功能需先搬遷映像檔至註冊表Artifact Registry，因新功能尚未支援Container Registry或是外部的容器註冊表。<a href=" https://cloud.google.com/blog/products/containers-kubernetes/introducing-container-image-streaming-in-gke">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EC2執行實例 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 類型選擇 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>簡化實例類型配置，EC2新功能ABS可按企業運算需求自動選擇實例類型</strong></span></strong></p> <p>AWS日前為EC2添加執行實例類型選擇的新功能，稱為屬性執行實例類型選擇（ABS），供企業以屬性方式呈現執行實例的規格需求，包含vCPU、記憶體和儲存等，再轉換這些屬性為相對應的執行實例類型，簡化企業建立和維護執行實例的工作。通過ABS，企業可自動地應用新發布的執行實例類型，並可利用EC2競價（Spot）實例，存取更高的EC2容量，而利用EC2機群（Fleet）和自動擴充（Auto Scaling）實例則不需手動選擇實例類型，由ABS選擇並啟動符合屬性的實例。</p> <p>AWS表示，ABS適合彈性工作負載和框架，比如說，執行容器或是網頁機群，還有處理大數據，以及實作CI/CD工具。ABS功能分兩步驟運作，第一，根據企業指定的屬性、AWS地區、可用區域和價格，決定執行實例類型的列表；接著，EC2機群和自動擴充實例會按選定的分配策略，應用列表中的實例類型，而競價式實例則採最佳化和最低價格分配策略。選用實例類型。除了中國，目前企業已可在所有AWS地區使用ABS，並按使用的EC2執行實例付費，不需額外付費。<a href=" https://aws.amazon.com/tw/blogs/aws/new-attribute-based-instance-type-selection-for-ec2-auto-scaling-and-ec2-fleet/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 機密運算 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬機器 </span></strong> </span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>微軟發布兩款新的DC系列機密運算VM，提供VM層級加密力保護工作負載</strong></span></strong></p> <p>微軟近日發布了兩款新的機密運算用Azure VM，分別是DCsv3和DCdsv3，採用英特爾安全防護技術SGX，能夠建立安全區，避免暴露資料給作業系統，甚至是Azure操作人員。兩款新VM採第三代英特爾Xeon可擴充處理器，與前一代處理器相比，增加1,500倍SGX的安全區頁面快取容量，能夠支援更大的工作負載，並可使有最多48個CPU核心，能在執行機密運算的同時，維持記憶體密集工作負載的效能。</p> <p>除了SGX技術，最新的兩款VM還使用了英特爾全記憶體加密技術，供企業在同一個節點中，全程啟用加密功能。因此，結合SGX和全記憶體加密兩項技術，企業可以在應用程式安全區中使用機密運算，並且能獲得VM層級的加密保護，也就是說，VM中的軟體會受到額外的保護。<a href=" https://cloudblogs.microsoft.com/sqlserver/2021/11/02/announcing-sql-server-2022-preview-azure-enabled-with-continued-performance-and-security-innovation/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 亞馬遜 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 財報 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>亞馬遜整體營收成長放緩，AWS逆勢加速成長達39%</strong></span></p> <p>亞馬遜日前公布第三季財報，該季營收達1,108億美元，與去年同期相比，成長15%，出現成長幅度放緩的態勢，不過，雲端事業AWS仍持續表現亮眼，營收達161億美元，成長39%，且若不計算AWS的獲利，亞馬遜該季獲利會出現虧損。亞馬遜財務長Brian Olsavsky表示，一些企業之前的支出受疫情大幅影響，現許多企業都出現復甦跡象，隨著企業擴大雲端需求，AWS看到營收重新加速成長。</p> <p>進一步看AWS第三季的表現，其在各產業都斬獲企業要採用自家服務的計畫，包含全球前10大半導體業者的恩智浦半導體，將搬遷大多數電子設計自動化工作負載上AWS；還有，全球最大飯店連鎖集團溫德姆酒店，要搬遷9成基礎設施上AWS，來加快應用開發速度。另外，AWS宣布將在紐西蘭建置地區級資料中心設施，預計2024年啟用，而除了紐西蘭外，AWS另還有7座雲端地區和81個可用區域。<a href="<br /> https://ir.aboutamazon.com/news-release/news-release-details/2021/Amazon.com-Announces-Third-Quarter-Results/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 財報 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>微軟雲端業務成長36%，單Azure成長達5成</strong></strong></p> <p>微軟日前發布2022財年第一季財報，該季營收達453億美元，同比成長22%，其中，雲端業務表現強勁，Microsoft Cloud本季營收達207億美元，同比成長36%。微軟三大營收類別中，生產力與業務流程為150億美元，成長22%；更多個人運算營收為133億美元，成長12%；智慧雲端營收則達170億美元，成長31%。從單一產品或服務來看，該季成長最快的是LinkedIn行銷解決方案，成長幅度達61%，其次是Azure，成長5成，接著是Dynamics 365，成長48%。<a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2022-Q1/press-release-webcast">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 財報 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong> </p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">Google雲端營收成長45%，虧損大幅縮小達47%</span></strong></strong></p> <p>Google母公司Alphabet公布今年第三季財報，該季營收達651億美元，成長41%，其中，Google雲端營收為49.9億美元，相比去年同期的34.4億美元，成長45%。目前Google雲端仍處於虧損狀態，該季虧損了6.4億美元，但相比去年同期虧損12.1億美元，虧損規模已大幅減少。Google執行長Sundar Pichai表示，GCP平臺從多雲和混合雲的角度出發，支援企業在任何地方執行工作負載，而有越來越多企業要建置多雲架構，最重要的是，Google正通過發展垂直領域應用，優化解決方案。<a href=" https://abc.xyz/investor/static/pdf/2021Q3_alphabet_earnings_release.pdf">（詳全文）</a></p> <p><strong>圖片來源／微軟、Canalys、Google雲端</strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1.微軟宣布Microsoft Cloud for Sustainability進入公開預覽，供企業採自動化工具計算組織營運產生的碳排放</strong><a href=" https://news.microsoft.com/zh-tw/sustainability-cloud-for-carbon-negative/">（詳全文）</a></p> <p><strong>2.AWS正式推出Babelfish for PostgreSQL專案，PostgreSQL現能理解為微軟SQL Server撰寫的應用程式查詢</strong><a href=" https://www.ithome.com.tw/news/147311">（詳全文）</a></p> <p><strong>3.SageMaker用戶現可使用RStudio開發ML專案，能夠在R語言和Python環境同步程式碼、資料集和儲存庫</strong><a href=" https://aws.amazon.com/tw/blogs/aws/announcing-fully-managed-rstudio-on-amazon-sagemaker-for-data-scientists/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2021年11月</strong></p> </div></div></div>
2021/11/12 16:36作者黃郁芸https://www.ithome.com.tw/news/147811
讓語言障礙的帕金森氏症、腦麻病患更容易與人溝通！Google新App能幫忙轉譯文字再合成語音唸出聲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">全球有數百萬人受到中風、漸凍症、腦性麻痺、腦部創傷或帕金森氏症等病症影響，無法發音正確且流暢的說話，導致說出來的話難以被他人理解。Google正在測試一款Android應用程式稱為<a href="https://blog.google/outreach-initiatives/accessibility/project-relate/" target="_blank">Relate</a>，旨在協助語言障礙人士，讓他們更輕鬆地和他人溝通，並能與Google語音助理互動。近日也徵求來自澳洲、加拿大、紐西蘭和美國的英語測試人員，來進行Beta版測試。 </p> <p dir="ltr">Relate計畫從2018年展開，試圖以語音辨識的技術，來改善語言障礙者說話難被理解的處境。Google AI部門產品經理Julie Cattiau指出，一般的語音識別技術，在缺乏非典型語料作為訓練資料的情況下，無法辨識這類說話型態，所以Google語音與研究團隊數年來召集語言障礙者參與研究，錄製特殊語音樣本，目前已經累積超過數百萬筆特殊語料，來訓練非典型語音辨識模型。</p> <p dir="ltr">參與這項計畫的其中一位語言障礙人士，就是Google的品牌經理Aubrie Lee，同時是Google身心障礙員工資源小組的主席，她患有肌肉萎縮症，導致語言能力受到影響。但從Google<a href="https://www.youtube.com/watch?v=EU2oCVlzEZk&t=5s" target="_blank">釋出的影片</a>可以看到，這款App已經能在Aubrie Lee點餐時，正確覆述她的餐點內容，以便讓店員更容易理解她的意思。她也因此為App命名為Relate（訴說）。</p> <h3 dir="ltr"><span style="color:#FF8C00;">Relate涵蓋三大功能：聆聽、覆述、啟用Google助理</span></h3> <p dir="ltr">Google整合了核心語音識別模型與多項既有技術，開發了Relate應用程式。這款App涵蓋三大功能。其一，是最核心的語音轉文字功能（Speech-to-text），讓使用者先錄製約250～500組語音詞彙，由AI引擎自動學習並訓練出個人化的語音識別模型，來正確瞭解使用者獨特的說話方式，並將語音轉譯為文字。</p> <p dir="ltr">Julie Cattiau表示，錄製500組詞彙大約需要30～90分鐘不等，但若錄製了250組詞彙後，模型準確度已經達到一定標準，則會提前釋出模型來應用，「這取決於語言障礙者本身語態可被理解的程度。」</p> <p dir="ltr">而這些需要預錄製的詞彙，也非使用者隨機挑選，團隊會從日常用語及Google語音助理常用詞彙中彙整，再要求使用者錄製。因此，這款App並不一定適用所有場景，比如使用者說出「mathematics（數學）」這個詞彙時，App不一定能辨識出來，但使用者可以自行建立個人化的詞彙，比如家人朋友的名字、特殊常用詞彙等，擴大App可識別的詞彙範圍。「新增App需求之外的詞彙，也能讓模型變得更加堅固（robust）。」Julie Cattiau說。</p> <p dir="ltr">App的另兩項功能，則是整合了Google本身的相關技術，比如語音合成功能（Text-to-speech），也就是當使用者的特殊語音轉為文字資訊後，App可將文字以清楚的合成語音重新覆述。App還能串接Google語音助理，讓使用者透過App啟動語音助理，來進行開燈、點播歌曲等操作。</p> <p dir="ltr">之所以將特殊語音識別技術與Google語音助理結合，來啟動多種操作，Julie Cattiau表示，「導致語言障礙的疾病，通常伴隨著行動障礙，對使用者來說，更需要Google Home這類科技工具的輔助。」透過這款App，Google不只要讓語言障礙者更容易與他人溝通，也要讓其生活更加便利。</p> <p dir="ltr">不過，這款App目前只支援英文，Google還在研究，如何將這項技術擴大應用到其他語言中。</p> </div></div></div>
2021/11/12 18:11作者翁芊儒https://www.ithome.com.tw/news/147816
【資安週報】2021年11月4日至12日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著臺灣的疫情趨緩，多項室內外的活動開始陸續解封，不少人會到電影院觀賞電影。然而，電影院對於會員的個資保護若是不足，便有可能讓這些客戶的資料外洩，成為歹徒詐騙的對象。在10月中旬，被165反詐騙網站列為高風險賣場的秀泰影城，這個月初因為不少民眾接獲詐騙電話，紛紛向刑事警察局通報，或是向媒體透露電話的內容，他們都不約而同提及，駭客對自己的個資與消費記錄一清二楚。這也突顯此類詐騙手法不再只出現於網路商城，而是留有顧客資料的店家就有可能發生。</p> <p>其中，有人因收到電話通知，系統錯誤導致他的信用卡將被扣20張電影票的錢，竟依照指示操作網路銀行和自動櫃員機，在8個小時內被騙走114萬元。這也突顯歹徒為了能夠得手，會儘可能讓受害者在沒有旁人能識破騙局的環境下，誘導其轉帳、匯款。</p> <p>另外，因疫情而加速採用的QR Code非接觸付款，也可能成為歹徒濫用的目標。美國最近針對加密貨幣詐騙提出警告，特別的是，他們提及歹徒會使用付款的QR Code，讓受害者將加密貨幣轉到自己的帳戶，而使得警方事後想要追回更加困難。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://tw.appledaily.com/local/20211108/HJ6H6H5PLZHHTJSTPPD7WWKSGU/"><span style="color: rgb(0, 0, 0);">秀泰影城被駭、波及逾90人，有人8小時內被騙走114萬元</span></a></strong></h4> <p>知名電影院秀泰影城遭駭客入侵，會員資料被詐騙集團拿來行騙，這起事故得到內政部警政署刑事警察局的證實。該單位表示，從今年10月開始，他們已接獲逾90件民眾報案或洽詢相關狀況，其中，1名居住於臺北市的40歲林姓男子上當後，在8小時之內就轉出114萬元。</p> <p>這名男子因對方聲稱會員系統設定錯誤，他的秀泰影城帳號一口氣訂購20張電影票，且即將從信用卡扣款，一時不察依照指示操作，陸續從網路銀行、自動櫃員機轉帳20多筆，直到帳戶金額持續減少才驚覺被騙。</p> <p>刑事警察局表示，為防範類似的情況再度發生，民眾若接獲商家、網購平臺、銀行客服的電話，告知因系統錯誤需重新設定，民眾應直接掛斷電話，並在確認客服的聯絡資訊後，自行撥打電話確認。</p> <h4><strong><a href="https://udn.com/news/story/7315/5883963"><span style="color: rgb(0, 0, 0);">警方追查房仲查詢系統的個資來源，起訴販賣個資的嫌犯</span></a></strong></h4> <p>由前房仲溫俊偉編寫、販售俗稱「小白機」的房仲查詢系統，內含全臺1億8千萬筆房產及屋主個資，且詳細記錄陳水扁、馬英九、蔡英文等前後3任總統的居住地點與工作履歷。但這些資料來源為何？調查局資安站指出，這些資料來自1名蘇姓男子，他宣稱是從暗網取得再賣給溫姓房仲。蘇姓男子於11月11日被依妨害電腦使用等罪名，以10萬元交保。檢調認為，這些數量龐大個資的出處，疑似是內政部多年前遭駭客入侵而外流。</p> <h4><strong><a href="https://www.cna.com.tw/news/aipl/202111100125.aspx"><span style="color: rgb(0, 0, 0);">臺灣政府單位每日遭到500萬次攻擊與掃描</span></a></strong></h4> <p>立法院內政委員會於11月10日，審查行政院的111年度中央政府總預算案，以及行政院「辦理政策宣導相關之廣告彙整表」等2案，行政院秘書長李孟諺、行政院發言人羅秉成，以及行政院資安處長簡宏偉等人列席備詢。簡宏偉表示，政府單位平均1天會遭500萬次駭客攻擊與掃描，對此，他們打算採取主動式防禦的策略，將防禦陣線向前推，在對方攻擊發起時就擋下。</p> <h4><strong><a href="https://www.ithome.com.tw/news/147720"><span style="color: rgb(0, 0, 0);">美國警告使用加密貨幣ATM、QR Code付款的詐騙活動升溫</span></a></strong></h4> <p>美國聯邦調查局發現，在越來越多網路詐騙中，駭客為了讓騙得的金錢難以被執法單位追回，他們會將受害者引導到實體的加密貨幣ATM，或是透過QR Code的方式，讓受害者付錢購買加密貨幣。</p> <p>該單位提醒投資人，切勿與只有在網路上交談過的人士交易，並在線上支付加密貨幣時提高警覺。</p> <h4><a href="https://www.ithome.com.tw/news/147697"><strong><span style="color: rgb(0, 0, 0);">熱門Npm套件COA疑遭劫持，恐導致開發者帳密遭竊<img alt="" src="https://s4.itho.me/sites/default/files/images/171-1-danabot-launching.png" style="width: 300px; height: 398px; float: right;" /></span></strong></a></h4> <p>根據資安新聞網站Bleeping Computer的報導，有一個名為COA（Command-Option-Argument）的Npm熱門套件，於11月4日晚間疑似遭到劫持，而在數個小時內連續發布帶有惡意程式的版本。經過該新聞網站的比對、分析之後，發現惡意版本COA會在受害電腦植入竊密軟體Danabot。</p> <h4><strong><a href="https://www.ithome.com.tw/news/147737"><span style="color: rgb(0, 0, 0);">駭客入侵美國線上股市交易平臺Robinhood，700萬個資外洩</span></a></strong></h4> <p>美國線上股市交易平臺Robinhood於11月3日遭到網路攻擊，該公司近期公布初步調查結果，其中攻擊者疑似取得500萬人的電子郵件信箱、200萬人的姓名，以及310人的生日與郵遞區號等。</p> <p>本次的事故中，也傳出駭客在入侵成功之後，向Robinhood索討贖金。不過，Robinhood並未回應上述傳聞，僅表示已通報執法機關，並通知受影響客戶，且聘請資安業者Mandiant協助調查。</p> <h4><strong><a href="https://intel471.com/blog/shipping-companies-ransomware-credentials"><span style="color: rgb(0, 0, 0);">駭客兜售國際航運與貨運公司的內部網路存取權限，恐干擾物流運作</span></a></strong></h4> <p>威脅情資業者Intel 471提出警告，他們自7月開始，陸續看到有人銷售國際航運與物流公司的內部網路存取帳密，這些賣家提供買家存取受害公司的方式，包含了遠端桌面連線（RDP）、VPN，以及Citrix和SonicWall的網路設備等。</p> <p>賣家很可能是透過上述網路設備的漏洞，來獲得帳密，Intel 471看到這些賣家，將上述的存取資訊賣給Conti、FiveHands等勒索軟體駭客組織。</p> <h4><strong><a href="https://blog.lookout.com/energy-industry-faced-with-161-surge-in-mobile-phishing"><span style="color: rgb(0, 0, 0);">鎖定能源產業的行動裝置網釣攻擊大增，近半年增加161％</span></a></strong></h4> <p>資安公司Lookout指出，今年攻擊者鎖定遠距辦公的員工，進行行動裝置的網路釣魚攻擊，這樣的情況尤其對於能源產業最為顯著，因為一旦竊得員工的帳密，就有機會進一步對這些產業的工控系統發動攻擊。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/fbi-ransomware-targets-companies-during-mergers-and-acquisitions/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客利用併購訊息，脅迫受害企業付贖金</span></a></strong></h4> <p>美國聯邦調查局發布公告，指出勒索軟體駭客為了讓受害企業就範，攻擊過程會收集公司財務資訊，運用如併購等重大事件，以操控股價來做為籌碼，要脅這些受害企業付錢。他們也舉出駭客會透過多種管道得知受害企業的財務內幕，像是與投機者交換情報，或是從竊得的資料找到有用的資訊等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.fisac.tw/intelligence/article?id=29a3729d6407846877b05614536a711b"><span style="color:#000000;">臺灣金融聯防體系示警注意修補Exchange Server漏洞</span></a></strong></h4> <p>針對微軟7月公布Exchange Server漏洞CVE-2021-34473，甫修補CVE-2021-42321漏洞，思科發現有駭客鎖定有關漏洞發動攻擊。近日國內聯防體系對此兩個漏洞示警，並表示臺灣企業已偵測到利用CVE-2021-34473漏洞的攻擊。</p> <h4><strong><a href="https://www.ithome.com.tw/news/147629"><span style="color: rgb(0, 0, 0);">尚有3萬臺GitLab伺服器尚未修補重大漏洞，恐遭駭客鎖定<img alt="" src="https://s4.itho.me/sites/default/files/images/171-2-GitLab.png" style="width: 300px; height: 157px; float: right;" /></span></a></strong></h4> <p>程式碼代管平臺GitLab於4月修補重大漏洞CVE-2021-22205，一旦攻擊者利用這項漏洞，可遠端執行任意指令發動攻擊，CVSS風險層級達到滿分。但近期資安業者HN Security與Rapid7先後提出警告，表示已有實際攻擊行動出現，而能夠從網際網路上存取的GitLab伺服器，仍約有3萬臺曝露於此漏洞的風險當中。</p> <h4><strong><a href="https://unit42.paloaltonetworks.com/manageengine-godzilla-nglite-kdcsponge/"><span style="color: rgb(0, 0, 0);">AD自助管理平臺遭到鎖定、滲透，駭客以此傳送多項攻擊工具</span></a></strong></h4> <p>管理AD的系統，一旦遭到濫用，攻擊者得以在組織內快速大量散布作案工具。美國政府於9月中旬，針對ManageEngine ADSelfService Plus用戶提出警告，呼籲要儘速修補漏洞CVE-2021-40539，不久之後資安業者發現，鎖定該漏洞的攻擊增加。</p> <p>資安業者Palo Alto Networks於9月17日至10月初，發現有其他攻擊行動也利用上述AD自助管理平臺的漏洞──攻擊者先是在網際網路上掃描存在漏洞的系統，然後於受害組織植入Godzilla Webshell、NGLite木馬程式，以及KdcSponge竊密工具。該公司指出，他們至少發現9個組織遇害，這些組織橫跨高科技、國防、醫療保健、能源、教育等產業。</p> <h4><strong><a href="http://us-cert.cisa.gov/ics/advisories/icsma-21-308-01"><span style="color: rgb(0, 0, 0);">飛利浦醫療保健資訊系統存在SQL注入漏洞，恐導致病人資訊外洩</span></a></strong></h4> <p>美國政府提出警告，飛利浦病歷與醫療照護管理系統Tasy EMR，出現2個SQL注入漏洞CVE-2021-39375、CVE-2021-39376，CVSS風險層級皆達到8.8分，由於全球各地有數百家醫院採用這套系統，他們呼籲採用的醫療院所應儘速修補。</p> <h4><strong><a href="https://www.ithome.com.tw/news/147724"><span style="color: rgb(0, 0, 0);">Pwn2Own Austin 2021漏洞挖掘競賽成果揭曉<img alt="" src="https://s4.itho.me/sites/default/files/images/171-3-Pwn2Own-Austin.png" style="width: 300px; height: 169px; float: right;" /></span></a></strong></h4> <p>由趨勢科技旗下Zero Day Initiative（ZDI）推出的漏洞研究競賽，於11月2至5日連續四天舉行，這次共有22組參賽者及58項參賽作品，而參賽者所挖掘出的漏洞，ZDI將通報有關業者修補。比賽最終結果出爐，第一名為法國資安廠商團隊Synacktiv，臺灣資安業者Devcore團隊以2分之差獲得亞軍。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2021/11/10/fact-sheet-vice-president-harris-announces-initiatives-on-space-and-cybersecurity/"><span style="color:#000000;"><strong>美國白宮宣布支持《巴黎籲請信任與安全的網路空間》，共同建立國際網路規則與對抗網路犯罪</strong></span></a></h4> <p>美國副總統賀錦麗在與法國總統馬克宏會面後，在11月10日宣布，將聯手其他國家，支持簽署《巴黎籲請信任與安全的網路空間》（Paris Call for Trust and Security in Cyberspace）倡議，目前全球已有超過1千個單位力挺該項倡議，包含80國、705家企業，與391個組織，這將強化美國及國際社群間的合作。</p> <h4><strong><a href="https://www.akamai.com/newsroom/press-release/akamai-completes-acquisition-of-guardicore-to-extend-its-zero-trust-solutions-to-help-stop-ransomware"><span style="color: rgb(0, 0, 0);">Akamai併購Guardicore完成，擴展防禦勒索軟體的能力</span></a></strong></h4> <p>資安業者Akamai於9月29日宣布，將以6億美元併購以色列新創Guardicore，並在10月21日完成併購作業，Akamai表示，此併購案將有助於擴展他們的零信任解決方案，保護企業防禦勒索軟體攻擊。</p> <h4><a href="https://www.crowdstrike.com/press-releases/crowdstrike-to-acquire-securecircle-to-enforce-zero-trust-data-protection/"><span style="color: rgb(0, 0, 0);"><strong>為強化零信任時代的資料保護，CrowdStrike併購資安新創SecureCircle</strong></span></a></h4> <p>次世代端點防護業者CrowdStrike於11月1日宣布，他們買下新創公司SecureCircle，藉由其透通式加密（Transparently Encryption）的機制，讓客戶能透過裝置、使用者身分、資料機密的層級，來保護企業資料。CrowdStrike預計在第4財季完成併購。</p> <h4><strong><a href="https://www-ch.scu.edu.tw/october/news/16231"><span style="color: rgb(0, 0, 0);">東吳大學成立資安卓越中心，引進證照培訓課程</span></a></strong></h4> <p>為提供更為全面的資安訓練，東吳大學於11月1日宣布成立資安卓越中心，並與以色列網路資安訓練中心ThinkCyber、新加坡公司Centre For Cybersecurity合作，引進資安證照培訓課程，以及模擬實作平臺Cyberium Arena。該校宣稱，他們是全臺灣第一個成立資安卓越中心的大學。</p> </div></div></div>
2021/11/12 15:26作者周峻佑https://www.ithome.com.tw/news/147805
長庚醫院宣布用5年打造高速運算AI資訊中心，要讓AI模型訓練快5倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長庚醫院今日（11/12）宣布，要打造高速運算AI資訊中心，來加速長庚醫院的醫療AI研發，提高自家實驗室如醫療AI核心實驗室、基因醫學核心實驗室等研發能量，預計5年分階段完成高速運算AI資訊中心建置。</p> <p><strong><span style="font-size:24px;">2018年成立醫療AI核心實驗室，現有50、60個專案在進行</span></strong></p> <p>IT一直是長庚醫院重視的領域。林口長庚醫院院長暨醫院決策會主任委員程文俊指出，早在2000年，長庚醫院核心系統HIS就從大型主機走向開放式架構，2014年成為臺灣第一家獲醫策會認可的智慧醫院，並在2018年成立專屬的醫療AI核心實驗室，來研發多種醫療AI應用，目前就有「50、60個AI專案在進行，」長庚醫療AI實驗室副主任林器弘補充，更有20、30個專案已經導入臨床流程，正式使用。</p> <p>長庚醫院瞄準的AI領域涵蓋影像判讀、數位病理，像是幾年前與雲象科技打造的鼻咽癌輔助判讀AI、骨盆骨折判讀AI，今年也再次攜手雲象，挑戰難度更高的血液病理判讀AI。</p> <p>不過，醫療AI涉及大量複雜的運算，現今當紅的數位病理就是其一，光一張玻片影像就高達2GB至8GB，若要用來訓練模型揪病灶，大多只能切割影像、分區塊進行，難以用整張影像來訓練。這也意味著，模型訓練時間會更長久。</p> <p><strong><span style="font-size:24px;">HPC中心建置後將達到100張Tesla V100 GPU算力</span></strong></p> <p>為加速研發，長庚醫院在2018年醫療AI核心實驗室成立時，就先購置4臺專攻複雜運算的Nvidia DGX-1（含32張Tesla V100 GPU）超級電腦，現在，他們更進一步聯手國眾電腦、英特爾和思科來建置高速運算AI資訊中心，強化算力。</p> <p>在這個高速運算環境中，長庚醫院將使用搭載英特爾最新處理器的思科UCS伺服器，同時搭配思科網路設備和流程管理軟體（Workload Optimization Manager），來跨資料中心調度運算資源，大幅優化效能、降低成本，並快速評估應用軟體與資源的相依性和使用率。特別的是，之後還有一套專門的機器學習程式來評估資源決策，能即時優化資源分配。此外，林器弘透露，該中心建置後，整個長庚體系將具備100張Tesla V100 GPU，成為臺灣算力最強的醫院。不過，長庚醫院沒有揭露這項資料中心計畫的建置金額。</p> <p>5年計畫將分階段導入，第一階段將完成基礎設施的建立，第二則是強化資安，再來是陸續提供AI服務。有了新算力加持，長庚醫院預計，模型訓練時間至少能加速5倍，整體影像辨識效能可優化10倍，而蛋白質分子動力演算可加快20倍，至於基因定序的驗證計算，則能加快10倍，可讓長庚旗下基因醫學核心實驗室、幹細胞與轉譯癌症研究所、癌症基因體研究中心等單位也受益。</p> <p>長庚醫院擁有臺灣20％的醫療資料，更在2019年成為第一家拿到國際HIMSS EMRAM第七級電子病歷認證的臺灣醫院，再加上這項龐大的建置案，參與廠商也拉高了產品和技術的規格。思科總部將納入國際級的國家數位加速計畫（CDA），以總部的資安資源、網路解決方案和軟硬體整合能力來支援。而英特爾總部也將專案納入全球性的RISE科技計畫，同樣會提供總部的產品和技術支援。</p> </div></div></div>
2021/11/12 16:50作者王若樸https://www.ithome.com.tw/news/147813
台南市與華碩雲端打造動態影像AI感知平台，自動偵測車流、人流，民眾是否戴口罩、保持社交距離
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI如何協助城市治理，台南市政府近期提供一個示範，市府和華碩雲端合作打造一個城市動態影像AI感知平台，藉由空拍機蒐集影像，透過5G傳送至該平台，經由AI辨識重要路段的車流交通情形，或是知名景點的觀光人流，還能辨視醫院或景點人員是否配戴口罩、保持社交距離。</p> <p>無人機空拍影像已逐漸被應用在市政管理上，市府不同局處開始利用無人機蒐集空拍影像，作為各業務分析決策之用，但由於各局處沒有共享影像資料，同一地點可能有不同局處先後蒐集空拍影像，往往造成資源的浪費，因此台南市政府最初目標是打造影像共享平台，方便各局處共享影像。</p> <p>然而，不同局處使用影像共享平台，若以人工檢視影像仍然相當費時費力，因此市府和華碩雲端合作導入AI，打造動態影像AI感知平台，這個AI感知平台採用混合雲架構，由市府本地端的機房及雲端的TWCC台灣AI雲組成，將空拍機拍攝的影像經由5G，先傳送到市府機房，再送到TWCC台灣AI雲，進行AI辨識訓練，訓練出的模型部署至市府機房，由市府機房負責執行AI推論，及城市儀表板。</p> <p>而無人機所拍攝的影像資料，也利用混合雲的架構，將AI辨識分析過的影像資料，3個月內的熱資料儲存在市府機房，以方便各局處查詢之用，超過3個月的冷資料則送到TWCC留存。</p> <p>台南市政府表示，該感知平台的最大特色是靈活性，可透過機器學習擴充AI影像辨識模型，增加平台AI感知的能力，為發展泛用型AI的重要一步。各局處經由此平台可快速驗證AI應用的可行性，經過優化後，奠定Edge AI的基礎。</p> <p>經過6個月蒐集資料、訓練模型，目前AI感知平台先提供3個示範應用，包括路口車流辨識、景點人流分析，以及COVID-19防疫的公衛應用。</p> <p>路口車流辨識主要是以空拍機，在安和路一段與中華路口、新港社大道與富強路口、86號快速道路與關新路一段路口、86號快速道路大潭交流道接中正南路二段往南等4處路口，透過AI辨識車流、車速、車種。市府表示，辨識模型經驗證，準確率可達98%，具有一定的辨識準確性。</p> <p>至於景點人流辨識，則在知名的景點，如安南的鹿耳門聖母廟、安平的林默娘公園，空拍機拍攝影像，辨識兩地的人流情形，經驗證準確率可達95%以上。</p> <p>AI感測平台也被用於COVID-19防疫工作的驗證上，不過並非使用無人機空拍影像，而是在安南醫院、安平古堡的網路攝影機，利用AI辨識即時偵測民眾是否配戴口罩、保持社交距離。</p> <p>台南市政府研考會指出，目前先將市府員工的帳號登入該平台，未來有使用需求的專案提出申請，審可後就能進入AI感知平台，查詢各自業務需求的影像資料。初期先完成3個示範應用，未來也會和各局處合作，進一步擴大AI感知的應用，協助處理複雜的市政管理。</p> </div></div></div>
2021/11/12 18:17作者蘇文彬https://www.ithome.com.tw/news/147817
Spotify買下有聲書平臺Findaway
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.spotify.com/2021-11-11/spotify-to-acquire-leading-audiobook-platform-findaway/" target="_blank">全球串流音樂龍頭Spotify周四（11/11）宣布</a>，已與全球數位有聲書平臺Findaway簽署併購協議，把Findaway納入麾下後、將有助於Spotify加速進入有聲書市場，也將持續擴張該領域的創新。</p> <p>Findaway成立於2005年，旗下有許多攸關聲音的品牌及服務，包括有聲書播放器Playaway，有聲書出版平臺AudioEngine，還有供獨立作者自行出版有聲書的Findaway Voices，以及提供端對端聲音產品的Audioworks與其出版平臺OrangeSky Audio等。</p> <p>Spotify研發長Gustav Söderström表示，Spotify的野心是成為所有聲音內容的中心，包括對聽眾與創作者，併購Findaway將加速Spotify在有聲書市場立足，也能快速實現該目標。</p> <p>根據估計，有聲書的市場規模將從現今的33億美元、成長至2027年的150億美元。雙方並未公布交易金額，但預計於今年第四季完成交易。</p> </div></div></div>
2021/11/12 16:25作者陳曉莉https://www.ithome.com.tw/news/147809
Google開源持續模糊測試工具ClusterFuzzLite
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開源<a href="https://security.googleblog.com/2021/11/clusterfuzzlite-continuous-fuzzing-for.html?m=1">ClusterFuzzLite</a>專案，這是一個連續模糊測試解決方案，能夠整合在CI/CD工作流程中，協助開發團隊更快地發現漏洞。Google強調ClusterFuzzLite方便使用，僅需要幾行程式碼，GitHub用戶就能夠將ClusterFuzzLite整合到工作流程中，對拉取請求進行模糊測試，在提交之前發現錯誤，進而強化軟體供應鏈整體安全性。</p> <p>Google提到，持續模糊測試現在已經成為軟體開發生命周期中重要的一部分，藉由將未預期或是隨機的資料輸入到程式，以探索在人工檢查時，被遺漏掉的錯誤，並且覆蓋需要非常多人力才能顧及的範圍。另外，由美國國家標準暨技術研究院NIST所發布的軟體驗證指南，最近回應白宮改進網路安全的執行命令，也將模糊測試列為程式碼驗證最低標準。</p> <p>Google持續耕耘模糊測試的開源工具，之前所發布的開源軟體專用的模糊測試專案OSS-Fuzz，已經被超過500個重要開源專案採用，修復超過6,500項漏洞，和21,000個功能錯誤。ClusterFuzzLite現在加入OSS-Fuzz的行列，協助開發人員除錯。</p> <p>systemd和curl等重要的大型專案，已經在其程式碼審查程序中，使用ClusterFuzzLite，curl的作者Daniel Stenberg甚至提到，在人類審查員檢查過後，靜態程式碼分析工具和linter也都找不出任何問題時，模糊測試還能夠再次強化程式碼的成熟度和強健度。curl現在採用OSS-Fuzz和ClusterFuzzLite，以維持專案每次提交的程式碼品質。</p> <p>任何專案都可以採用ClusterFuzzLite，並且整合基本的測試標準，並且從模糊測試中獲益，ClusterFuzzLite具有許多與ClusterFuzz相同功能，像是連續模糊測試、支援Sanitizer和覆蓋率報告等，Google強調，最重要的是，ClusterFuzzLite容易配置並且可用於閉源軟體。</p> <p>Google希望模糊測試不再是一個額外測試的存在，而是真的能進入到日常開發流程中，成為每個軟體專案的必經步驟，防止錯誤進到程式碼庫，有助於建構更安全的軟體生態系。</p> </div></div></div>
2021/11/12 16:29作者李建興https://www.ithome.com.tw/news/147806
Disney+正式上線，偕台灣大哥大、凱擘聯手搶市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>影音串流服務Disney+在今天（11/12）正式在台灣提供服務，並聯合台灣大哥大、凱擘大寬頻，結合行動通信與有線電信兩大通路，鎖定個人或家庭，搶攻國內的OTT收視族群。</p> <p>Disney+挾著旗下Disney、皮克斯動畫、漫威影業、國家地理、Star與Star Wars六大影視內容品牌，超過1,200部電視、1.6萬集影集，每月訂閱收費270元，年費優惠為2790元。11月12日正式在臺推出服務，今天並與台灣大哥大、凱擘大寬頻聯手舉行盛大的上市活動，象徵Disney+正式登陸台灣。</p> <p>目前用戶想要收看Disney+，除了可到Disney+訂閱串流影視服務之外，也可選擇向台灣大哥大、凱擘大寬頻申請。</p> <p>以台灣大哥大為例，該公司推出5大Disney+優惠資費專案，其中之一是新辦、攜碼、續約台灣大哥大5G門號，5G月租599元或5G吃到飽月租1399元用戶，可以原來月租費，收看Disney+的影音服務。至於4G用戶也祭出11月底前的優惠方案，月租699元，享4G上網吃到飽與Disney+影音服務。其他還有5G中高資費搭配Disney+方案，以及電信帳單優惠折抵等等</p> <p>凱擘大寬頻則是祭出120M以上光纖上網，搭配高畫質套餐，可以優惠資費訂閱2年的Disney+服務方案，此外，也在旗下的數位有線電視機上盒A1 Box提供Disney+服務，用戶只要按下遙控器上的Disney+鍵，便能在電視上觀賞Disney+的內容。</p> <p>透過與Disney+合作，台灣大哥大希望以Disney+提供的豐富影音內容吸引用戶，進一步擴大5G用戶，凱擘大寬頻則透過與Disney+合作，深化數位有線電視擁抱OTT內容服務，向OTT收視族群招手，減緩有線電視的剪線潮，試圖重新獲得用戶青睞。</p> <p>對Disney+而言，藉由與行動電信、有線電視業者合作，擴大觸及潛在用戶的機會。</p> <p>對於有線電視擁抱OTT服務，凱擘大寬頻總經理王鴻紳認為，過去的有線電視機上盒僅為單向，未來走向雙向將會是一個重要趨勢，OTT因具備想看就看，隨選收看特性，是現在消費者想要的，但是傳統廣播電視系統仍有存在的價值，例如新聞或體育賽事直播，可同時對數百萬用戶播送內容，因此在雙向的機上盒，隨選隨看與直播內容將是並存的。</p> <p>台灣大哥大總經理林之晨則表示，根據市場研究，美國家庭平均訂閱3.7個OTT，台灣則是1.7個，相信國內OTT市場仍有相當大的成長空間。目前台灣大哥大和Disney+的合作為獨家電信的營運商，不只是銷售服務，後端技術合作也打通，包括多個階段，以將OTT對電信網路的影響降到最低。</p> <p>林之晨補充說明，如果OTT沒有與電信業者合作，用戶從外部網路穿透到內部網路，需要付出較大的流量、互連成本，相反的，若OTT與電信業者深度合作，直接服務用戶，可節省海纜成本。OTT服務落地到本地的網路，在技術上有許多方式，因此雙方規劃多個階段，由於OTT服務剛上線試水溫，故還不會深度落地，未來隨著用戶成長，雙方規畫多個階段，讓OTT內容逐漸深度的落地至台灣大哥大的網路。</p> <p>相較於Disney+與台灣大哥大、凱擘合作，其競爭對手Netflix較早進入台灣，並和中華電信合作，除了光纖上網搭配Netflix的優惠資費，中華電信的MOD也與Netflix整合，同樣在MOD的機上盒、遙控器支援Netflix的服務。</p> <p> </p> <p> </p> </div></div></div>
2021/11/12 16:38作者蘇文彬https://www.ithome.com.tw/news/147810
邁阿密宣布將把城市加密貨幣MiamiCoin收益分潤給市民
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>CityCoins在今年8月3日啟動邁阿密幣（MiamiCoin）的挖礦活動，這是CityCoins所發行的第一個城市加密貨幣，並會自動把3成的收益挪至該城市的加密貨幣錢包中。<a href="https://www.coindesk.com/tv/first-mover/first-mover-november-11-2021/" target="_blank">而本周邁阿密市長Francis Suarez則透過CoinDesk TV宣布</a>，未來MiamiCoin的收益將以比特幣形式、分潤給所有的市民。</p> <p>CityCoins專門協助各個城市發展它們的城市加密貨幣，它的兩大初期功能為挖礦（Mining）與堆疊（Stacking），它的挖礦方式是把Stacks代幣（STX）轉發到位於Stacks協定的城市幣智慧合約，贏家即可獲得該城市幣作為報酬，不過，礦工轉發至Stacks協定的STX、會有30%直接被送到該城市的加密貨幣錢包中，供該城市自由運用。</p> <p>至於Stacking指的則是透過持有及鎖住城市幣來獲得獎勵，取得70%代幣的礦工若選擇持有這些代幣，則可賺取STX作為獎勵，若再持續保留STX，則可獲得比特幣（BTC）作為獎勵。</p> <p>要發行城市幣主要有兩個步驟，一是市民投票，二為市政府必須接受城市幣協議的貢獻。而MiamiCoin即是CityCoins所發行的首個城市幣，紐約市的NYCCoin挖礦活動則甫於11月10日啟動。</p> <p>根據報導，8月3日開挖的MiamiCoin在3個月以來，已替邁阿密賺進2,100萬美元，如果換算成年度獲利，約等於邁阿密總稅收的1/5。</p> <p>這使得邁阿密市長Suarez決定把城市錢包的獲利以比特幣分給所有市民，計畫替市民設計一個加密貨幣錢包，並與各個加密貨幣交易平臺合作，協助市民取得錢包、註冊及認證身分，成為首個以比特幣分潤給市民的美國城市。</p> </div></div></div>
2021/11/12 16:39作者陳曉莉https://www.ithome.com.tw/news/147812
新惡意程式BotenaGo具有開採超過30個安全漏洞的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cybersecurity.att.com/blogs/labs-research/att-alien-labs-finds-new-golang-malwarebotenago-targeting-millions-of-routers-and-iot-devices-with-more-than-30-exploits" target="_blank">AT&T的安全實驗室Alien Labs本周揭露了一個新的惡意程式BotenaGo</a>，它以熱門的開源碼程式語言Golang撰寫，具備開採逾30種安全漏洞的能力，可能鎖定數百萬的路由器或IoT裝置，且在VirusTotal上的62款防毒軟體中，目前只有6款可偵測到它。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1112-BotenaGo%20by%20AT%26T%20Alien%20Labs-600.jpg" style="width: 550px;" /></p> <p><span style="color:#696969;">圖片來源_</span><span style="color:#696969;">AT&T Alien Labs</span></p> <p>從BotenaGo所開採的漏洞可一窺它的攻擊目標，例如它開採了CVE-2020-8958作業系統命令注入漏洞，而且鎖定的是經常被嵌入式應用採用、且已停產的Boa網頁伺服器，猜測應是IoT裝置，研究人員搜尋了BotenaGo透過該漏洞企圖攻擊的目標，顯示大約還有接近200萬個潛在受害裝置。BotenaGo程式碼還透露，它的另一個攻擊目標為寬頻路由器。</p> <p class="rtecenter"><img alt="" src="https://cdn-cybersecurity.att.com/blog-content/botenago_shodan.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_AT&T Alien Labs</span></p> <p>在BotenaGo成功入侵裝置之後，它會執行遠端介殼命令，並依照受感染裝置的類別，下載不同的酬載，不過，由於駭客已刪除代管伺服器上的所有酬載，使得研究人員無法得知駭客的最終企圖。</p> <p>此外，Alien Labs團隊也沒有發現BotenaGo與C&C伺服器之間有任何通訊，令該團隊揣測BotenaGo或許只是整體攻擊行動中的一個模組，且當中有一個酬載連結與Mirai惡意程式有關，也許BotenaGo只是Mirai駭客新開發的工具；還有另一個可能是，BotenaGo可能是在測試階段就被Alien Labs發現了。</p> </div></div></div>
2021/11/12 17:06作者陳曉莉https://www.ithome.com.tw/news/147814
GKE Autopilot現可使用先占式Pod來節省容錯工作負載成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其Kubernetes服務GKE的Autopilot功能，加入<a href="https://cloud.google.com/blog/products/containers-kubernetes/announcing-spot-pods-for-gke-autopilot">先占式Pod（Spot Pod）</a>的支援，使得不需要高可靠性的工作負載，能夠以更經濟和便捷的方式運作。</p> <p>Google在今年二月的時候推出Autopilot功能，其提供自動模式替用戶管理基礎設施，並且藉由應用最佳實踐，來提升Kubernetes環境的效能和安全性。Google提到，Autopilot適合執行穩定的生產工作負載，但是其他的工作負載可能不需要生產等級的可靠性，像是容錯批次處理，或是可以用來處理故障的開發和測試叢集等用例。</p> <p>GKE標準用戶可以在Spot虛擬機上執行GKE叢集和節點池，以獲得先占式定價。而Google現在也在Autopilot加入先占式Pod功能，提供用戶一種可以在GKE Autopilot上，執行非高可靠度工作負載，經濟且高效的方式。</p> <p>當用戶使用Spot Pod執行工作負載時，可以獲得定價的60％到91％折扣，由於先占式Pod可運作的時間沒有嚴格限制，因此在資源需求高的時候，平臺便有可能收回先占式資源，因此Pod隨時都可能被搶占或是驅逐。</p> <p>先占式Pod使用GCP中空閒的運算容量運作，只要運算資源可用，用戶便能以比一般Autopilot Pod更低的價格使用，但是Google雲端需要將這些資源用於其他任務時，便會給用戶25秒的時間結束應用程式，並且驅逐先占式Pod，在有可用容量時，用戶可以重新部署先占式Pod，並從中斷的地方繼續執行。</p> <p>GKE從1.21.4版本開始提供先占式Pod，Autopilot會將先占式Pod和一般Pod分開，不會落在相同的節點上，Google提到，在Autopilot叢集上執行容錯工作負載時，先占式Pod能夠最大程度節省成本，而一般的Pod則可以使用承諾使用折扣，來進一步降低費用。</p> </div></div></div>
2021/11/12 17:13作者李建興https://www.ithome.com.tw/news/147815
邁向2030企業要保有世界級競爭力，BSI認為資安與永續是關鍵議題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著資安成為企業永續經營重要指標，對於臺灣企業和組織而言，CXO的資安思維也得跟上，在今年的英國標準協會（BSI）舉辦的國際資安標準年會上，BSI東北亞區總經理蒲樹盛說明了2021年的國際資安現況觀察。</p> <p>從國際與臺灣對於企業永續發展的態勢來看，不論是道瓊永續發展指數（DJSI），以及臺灣企業永續獎的評選，近年都開始重視資安，將資安管理納入評比的項目，資安顯然成為CXO更需重視的課題。</p> <p>蒲樹盛表示，企業不應該將資安視為一種阻力，需將資安議題變成數位轉型的助力，以具備資訊韌性。同時，隨著這兩年全球正流行環境、社會與企業治理（ESG）的議題，也讓各界可以跳脫思維，重新思考ESG趨勢下的資安思維與挑戰。</p> <p>面對上述這些趨勢與潮流，他點出組織韌性的議題，不只是中小企業關心，面對當前氣候變遷、科技、經濟與社會的挑戰，大企業其實往往也都不知道自身韌性的程度。他以BSI與經濟學人雜誌前幾年所做的一個調查為例，指出標普500大（S&P500）公司的歷年統計中，有一個變化值得關注，從1960年開始，每10年會有75%的公司，消失在前500大。因此，企業需要有警覺意識。</p> <p>而現在的科技發展之下，企業首要面臨的挑戰，就是數位轉型。</p> <p>臺灣的數位轉型能力如何？蒲樹盛提出觀察，他表示，這一年多，在政府的管理與全民的紀律下，臺灣的疫情在全世界中，控制算相當不錯，不過，臺灣在疫情最嚴重時，為何可以停課不能停班？他認為可以從這樣的角度去思考，就能知道我們在數位轉型的基礎建設上，還有改善空間。</p> <p>他也以BSI自身經驗為例，很多年前，BSI英國總部就要求員工使用筆電，而不是桌機，到了美國發生911恐怖攻擊事件後，全世界的營運持續都開始朝向數位轉型的邏輯與概念去思維，反觀臺灣，現在很多國內企業組織的情況是，因為擔心資安，因而遲遲不做數位轉型。他認為，這樣的發展絕對是有問題的，因此他也再度強調，必須要把資安變成數位轉型的助力。</p> <p>而從國際上來看，後疫情時代之下，儘管居家辦公擴展了組織防禦邊界，因此現在也重視將家庭網路納入資安防護考量。如今，已有很多公司希望採混合或全遠端方式來工作。對於員工而言，雖然居家辦公看起來較忙，但其實也少了原本要通勤的時間，是否能夠調整工作與休息，以及善用原本的通勤時間，在數位轉型過程下，更彈性的工作環境，也可能變成企業爭取優秀員工的條件之一。</p> <p>此外，在現今數位力量集中化的局勢下，全球數位強權的落差將越來越大，這也連帶會讓企業競爭力產生更大的落差。</p> <h3><strong>2030年將有四大科技變化值得關注</strong></h3> <p>至於對於未來10年的觀察，蒲樹盛指出，科技與永續將是到2030年持續重要的議題，特別是科技部分，他認為這10年將是一片看好，他特別點出未來4大重要進程。</p> <p>第一，行動網路在2030年將進入到6G時代，美國也將奪回這方面的主權，而從過去經驗來看，每10年提升一個世代的行動網路，所帶來的數位轉型機會也更巨大。</p> <p>第二，屆時自駕車將實現Level 5水準。現今的自駕車技術已達Level 3程度，也就是有方向盤與司機，但不用百分百手動操作，具備自動跟車系統、車道偏移系統與防撞系統等；到了2025年時，預計提升到Level 4，有方向盤沒有司機，車上所有人都是乘客，達到一定程度自駕能力；而2030年的Level 5自家車將不再有方向盤與司機，我們可以想像，新的科技將推動人類社會到更不同的環境。</p> <p>第三，再生能源車在2030年將達市佔率20％。隨著歐盟在2019訂出永續標準，對於燃油車汽油車的規範，已經從今年開始實施，能耗指標新規定，平均每公里碳排量上限從130克降為95克，每超標1克罰款95歐元，相當於3000元。這樣的政策法規，將促使燃油車都必須朝向再生能源車發展。</p> <p>第四，AI將成熟並提供服務機器人。AI技術在很多領域帶來幫助，甚至犯罪者也在運用AI，都顯示技術持續呈現高速發展的態勢，加上近日臉書公司改名為Metaverse，並積極朝向虛擬實際擴增實境，這些方面的科技進步，也讓2030年的生活型態有更多想像。</p> <p>最後，蒲樹盛也談到兩個受關注議題，包括：前幾年提出的營運資料保全避風港的概念，以及淨零排放（Net Zero）。基本上，備份的重要性已經不言而喻，多數企業也都清楚，但如何落實與更進一步仍要重。而在淨零排放方面，也與數位轉型有直接與間接的關係，現在很多組織也都受到客戶要求，畢竟這已是全球共識，要用經濟的手段來解決環境的衝擊。他認為，從ESG的角度來看，這其實並不會抵觸資安與資訊韌性，從ESG的解決方案看，反而是大幅要求透過數位轉型來降低全世界的節能減碳。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89BSI%E8%92%B2%E6%A8%B9%E7%9B%9B%E8%B3%87%E5%AE%89%E8%88%87%E6%B0%B8%E7%BA%8C_%E6%B7%A8%E9%9B%B6%E6%8E%92%E6%94%BE.jpg" style="width: 600px;" /></p> <blockquote><p>淨零排放（Net Zero）已經成為近年全球關注的重要議題，自2019年英國議會通過立法，承諾該國到 2050 年將其淨排放量減少 100%。如今全球各國也在跟進，儘管這是一項艱難的任務，但從各個產業與面向建立<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">可持續的做法，已經成為必要。</span></p> </blockquote> </div></div></div>
2021/11/12 11:45作者羅正漢https://www.ithome.com.tw/news/147793
美國加入「巴黎呼籲」資安聯盟，加強與國際間的連結
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國總統馬克宏（Emmanuel Macron）在2018年的11月，發起了「巴黎呼籲：網路空間的信任與安全」（Paris Call for Trust and Security in Cyberspace），號召全球所有的網路空間使用者共同合作以保護網路的安全，當時的美國總統川普（Donald Trump）拒絕加入。不過，在改朝換代之後，<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2021/11/10/fact-sheet-vice-president-harris-announces-initiatives-on-space-and-cybersecurity/" target="_blank">美國副總統Kamala Harris本周宣布將支持該呼籲</a>。</p> <p>「巴黎呼籲」的目的，是要在國際間建立一個類似實體世界共同遵守的網路規則，共同對抗在此一數位空間中出現的網路犯罪、資訊操縱、針對經濟與政治的間諜行動，或者是針對重大基礎設施或個人的網路攻擊行動，不管相關攻擊是來自於政府或非政府組織。</p> <p>迄今全球已有80個國家、391個組織及705家企業加入「巴黎呼籲」，包括美國兩大科技業者微軟與Google。</p> <p>Harris表示，美國對「巴黎呼籲」的支持反映出拜登（Joe Biden）政府在網路議題上，把強化美國及國際社群間的合作視為優先選項，未來將與國際社群合作，加強網路安全，同時保護開放、互動、安全及可靠的網路，亦與法國及其它志同道合的國家結盟，追究那些參與破壞網路活動的國家的責任。</p> <p>其實美國已經召集G7國家以向窩藏駭客的國家究責，也於7年來首度支持北大西洋公約組織所更新的網路政策，亦於日前主辦了對抗勒索軟體線上虛擬會議，總計有超過30個國家參與，在幾無邊界的網路世界裡，國際間的合作更形重要。</p> <p><a href="https://blog.google/outreach-initiatives/public-policy/welcoming-us-eu-collaboration-cybersecurity/" target="_blank">早就簽署「巴黎呼籲」的Google也特別撰文</a>歡迎美國與歐洲在網路安全上的合作，負責歐洲公共政策的Google副總裁Annette Kroeber-Riel表示，網路原本就是個多方共同參與的系統，保護線上市民需要政府及企業的合作，此次的宣布代表美國將進一步強化與國際間在網路安全上的合作關係。</p> </div></div></div>
2021/11/12 15:31作者陳曉莉https://www.ithome.com.tw/news/147807
【資安日報】2021年11月12日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客握有臺灣民眾大量個資，且直到有人把這些資料集結起來，製作成「小白機」向房仲兜售才被發現。但製作小白機的房仲究竟如何取得如此龐大的個資？調查局資安站最近有了新的答案：這些資料是由1名蘇姓男子從暗網取得。但這些資料又是如何流入暗網？恐怕還有待釐清。</p> <p>除了公部門受到威脅，國家的關鍵機礎設施遭到駭客把持的情況，國外也有案例值得我們注意。最近澳洲一份年度財務稽核報告指出，當地大型自來水廠SunWater的1臺伺服器，竟被駭客掌控長達9個月。這也突顯當地水力設施的資安防護，恐怕有待加強。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://udn.com/news/story/7315/5883963"><span style="color: rgb(0, 0, 0);">警方追查房仲查詢系統的個資來源，起訴販賣個資的嫌犯</span></a></strong></h4> <p>由前房仲溫俊偉編寫、販售俗稱「小白機」的房仲查詢系統，內含全臺1億8千萬筆房產及屋主個資，且詳細記錄陳水扁、馬英九、蔡英文等前後3任總統的居住地點與工作履歷。但這些資料來源為何？調查局資安站指出，這些資料來自1名蘇姓男子，他宣稱是從暗網取得再賣給溫姓房仲。蘇姓男子於11月11日被依妨害電腦使用等罪名，以10萬元交保。檢調認為，這些數量龐大個資的出處，疑似是內政部多年前遭駭客入侵而外流。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/hackers-undetected-on-queensland-water-supplier-server-for-9-months/"><span style="color: rgb(0, 0, 0);">駭客埋伏澳洲供水業者的網路長達9個月</span></a></strong></h4> <p>水資源設施遭到駭客鎖定的現象，不時有攻擊事件傳出。澳洲昆士蘭州審計辦公室於11月10日，公布年度財務稽核報告，當中指出，澳洲政府持有的SunWater自來水廠，攻擊者自2020年8月到2021年5月，接管該水廠1臺儲存客戶資料的網頁伺服器。駭客利用惡意軟體增加影音串流平臺的流量，似乎對於機敏資料不感興趣。</p> <h4><a href="https://blog.talosintelligence.com/2021/11/kimsuky-abuses-blogs-delivers-malware.html"><span style="color: rgb(0, 0, 0);"><strong>北韓駭客鎖定南韓智庫發動攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/image11.jpg" style="width: 300px; height: 188px; float: right;" /></strong></span></a></h4> <p>思科發現北韓APT駭客組織Kimsuky（亦稱Thallium、Black Banshee）自2021年6月以來的惡意軟體攻擊，該組織利用Google代管的部落格，提供3種類型的作案工具，包含了Beacon、竊密工具，以及植入惡意程式的指令碼，此攻擊行動針對韓國智庫而來。</p> <h4><strong><a href="https://www.zdnet.com/article/comic-book-distributor-struggling-with-shipments-after-ransomware-attack/"><span style="color: rgb(0, 0, 0);">美國大型漫畫書經銷商遭勒索軟體攻擊，出貨受到波及</span></a></strong></h4> <p>總部位於美國馬里蘭州的漫畫書經銷商Diamond Comic Distributors，於11月7日遭到勒索軟體攻擊，該公司發聲明表示，由於訂單處理系統與內部通訊平臺受損，他們原定於10日的出貨計畫將延後2至4日，並指出他們與第三方團隊Agility Recovery合作，並通報執法單位。該公司強調，客戶資料與財務資訊不受影響。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/magniber-ransomware-gang-now-exploits-internet-explorer-flaws-in-attacks/"><span style="color: rgb(0, 0, 0);">Magniber勒索軟體利用MSHTML漏洞入侵受害電腦</span></a></strong></h4> <p>中國資安業者騰訊安全指出，近期Magniber勒索軟體鎖定2個MSHTML漏洞，來入侵受害電腦，分別是CVE-2021-26411和CVE-2021-40444，這些漏洞的CVSS風險層級皆為8.8分，微軟先後於3月及9月修補。騰訊指出，駭客在微軟尚未修補之前就開始利用這些漏洞。</p> <h4><strong><a href="https://cybersecurity.att.com/blogs/labs-research/att-alien-labs-finds-new-golang-malwarebotenago-targeting-millions-of-routers-and-iot-devices-with-more-than-30-exploits"><span style="color: rgb(0, 0, 0);">殭屍網路BotenaGo鎖定33個物聯網裝置漏洞發動攻擊</span></a></strong></h4> <p>研究人員發現新的殭屍網路病毒BotenaGo，攻擊的標的為D-Link、Netgear、Zyxel等多個廠牌的連網裝置而來，針對33個漏洞發動攻擊，數百萬設備可能受到波及。BotenaGo是以Go語言開發而成，且能識別為有害的防毒引擎並不多，62個防毒引擎僅有6個察覺有異，其中，部分防毒引擎將其歸類為Mirai。</p> <h4><strong><a href="https://news.sophos.com/en-us/2021/11/11/bazarloader-call-me-back-attack-abuses-windows-10-apps-mechanism/"><span style="color: rgb(0, 0, 0);">攻擊者透過Windows 10應用程式安裝工具散布惡意軟體<img alt="" src="https://s4.itho.me/sites/default/files/images/app-installer-warning.png" style="width: 300px; height: 169px; float: right;" /></span></a></strong></h4> <p>Sophos資安研究人員接獲假冒該公司主管的人士，寄給他們一封釣魚郵件，宣稱有客訴沒有向他通報，並提供一份報告的下載連結。經分析後發現，這是攻擊者意圖透過Windows 10應用市集的安裝工具，以安裝PDF檢視工具的名義，引誘使用者下載惡意軟體，最終會在受害電腦上植入BazaBackdoor。</p> <h4><strong><a href="https://blog.barracuda.com/2021/11/10/threat-spotlight-bait-attacks/"><span style="color: rgb(0, 0, 0);">逾9成誘餌郵件攻擊濫用Gmail帳號來發動</span></a></strong></h4> <p>以偵察攻擊目標為主要目的的誘餌（Bait）攻擊，近年來有上升的趨勢。資安業者Barracuda針對10,500個組織進行調查，發現35%在2021年9月裡，就曾收到這種型態的釣魚郵件。而攻擊者發動誘餌郵件攻擊偏好採用Gmail帳號，原因是Gmail相當受到歡迎，且允許使用者建立別名等特性，使得攻擊者得以用來確認攻受害者電子郵件信箱的運作狀態。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/147796"><span style="color: rgb(0, 0, 0);">研究人員在18個月內發現近百個TCP/IP堆疊漏洞</span></a></strong></h4> <p>最近的1年半來，研究人員陸續找出AMNESIA:33、NUMBER:JACK、NAME:WRECK、INFRA:HALT，以及NUCLEUS:13等TCP/IP堆疊的漏洞，而主導這項漏洞研究計畫的資安公司Forescout指出，這項針對TCP/IP堆疊的漏洞研究計畫，執行至今已找出97個漏洞。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/147782">2021年11月11日</a></p> <p><a href="https://www.ithome.com.tw/news/147753">2021年11月10日</a></p> <p><a href="https://www.ithome.com.tw/news/147730">2021年11月9日</a></p> <p> </p> </div></div></div>
2021/11/12 13:04作者周峻佑https://www.ithome.com.tw/news/147798
過去18個月有近百個TCP/IP漏洞被揭露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.forescout.com/resources/project-memoria-lookback-report/" target="_blank">安全廠商一份報告顯示</a>單單18個月內，就有97個和TCP/IP堆疊或協定相關的漏洞被揭露，而且影響幾乎所有堆疊。</p> <p>安全業者Forescout在Project Memoria下發布這項報告。<a href="https://www.ithome.com.tw/news/138395" target="_blank">該公司2020年6月和以色列顧問公司合作揭露20項嵌入式TCP/IP函式庫漏洞</a>，統稱為Ripple20，並展開18個月的長期計畫。Forescout相信，Ripple 20發現的問題，可能也會出現在其他TCP/IP堆疊，而且其他堆疊還廣泛分散在不同廠商及不同產品中。</p> <p>而將近1年半後，Forescout陸續發現多組TCP/IP堆疊漏洞。包括去年底的33個<a href="https://www.tenable.com/blog/amnesia33-researchers-disclose-33-vulnerabilities-tcpip-libraries-uip-fnet-picotcp-nutnet" target="_blank">AMNESIA:33</a>、今年9個<a href="https://www.tenable.com/blog/numberjack-nine-vulnerabilities-across-multiple-open-source-tcpip-stacks" target="_blank">Number: Jack</a>、9個<a href="https://us-cert.cisa.gov/ncas/current-activity/2021/04/15/namewreck-dns-vulnerabilities" target="_blank">NAME:WRECK</a>、14個<a href="https://jfrog.com/blog/infrahalt-14-new-security-vulnerabilities-found-in-nichestack/" target="_blank">INFRA:HALT</a>，以及上周公布的<a href="https://www.ithome.com.tw/news/147773" target="_blank">Nucleus: 13</a>。加上<a href="http://www.ithome.com.tw/news/138395" target="_blank">RIPPLE:20</a>，一共揭露了97項TCP/IP漏洞。</p> <p>在這些漏洞中，除了Number: Jack是發生在TCP/IP產生初始序列號（Initial Sequence Number，ISN）過程中的漏洞，其餘各漏洞分散在不同TCP/IP堆疊中。共有14個TCP/IP堆疊被影響，包括CycloneTCP、FNET、FreeBSD、IPnet、MPLAB Net、NetX、NicheStack、NDKTCPIP、Nucleus NET、Nut/Net、picoTCP、Treck和uC/TCP-IP及uIP。lwIP是唯一經過分析還沒發現任何問題的堆疊。</p> <p>Project Memoria分析的TCP/IP堆疊，被應用於各種產業聯網裝置，涵括醫療、政府、金融、製造、運輸等，同一漏洞就可能波及不同產業。受這近百項漏洞影響的知名產品包括Microchip Wi-Fi模組、BD輸液裝置、飛利浦的醫療系統、空氣清淨機及連網吸塵器、西門子RFID讀取器和氣體滑輪機、Ricoh印表機、B&R Automation運動控制、以及施耐德電機及洛克威爾自動化（Rockwell Automation）的工控設備等。總計這些漏洞影響442家廠商出產的約25萬臺裝置。但442家廠商中，只有81家發出安全公告，因此可能有許多裝置客戶並不知漏洞的存在，也沒有修補，進而曝險。</p> <p>25萬臺有漏洞的裝置分布上，各有6.4萬及5.4萬臺安裝在政府及醫療業客戶環境，其他產業如製造、零售及金融也都有超過2萬臺。若以用戶平均安裝的風險裝置來看，以醫療業最多，一家機構平均有492臺。</p> <p><a href="https://www.ithome.com.tw/news/147773" target="_blank">研究人員本周建議企業</a>，如果得知有TCP/IP堆疊或協定漏洞，除了儘速安裝修補程式外，應盤點網路環境中所有問題軟體的裝置、執行網路分區（segmentation）控制、以及監控所有網路可疑封包。</p> </div></div></div>
2021/11/12 12:25作者林妍溱https://www.ithome.com.tw/news/147796
Google揭露駭客利用macOS零時差漏洞攻擊香港使用者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門查找零時差漏洞的Google威脅分析小組（TAG）在本周，<a href="https://blog.google/threat-analysis-group/analyzing-watering-hole-campaign-using-macos-exploits/" target="_blank">公布了駭客利用macOS零時差漏洞CVE-2021-30869的細</a>節，指出他們是在今年的8月發現，有駭客鎖定一個香港媒體網站，以及另一個著名民主團隊的網站展開水坑攻擊（Watering Hole），再開採CVE-2021-30869漏洞於受害者裝置上植入木馬程式。</p> <p>根據TAG的分析，駭客利用這兩個網站的嵌入式框架、自C&C伺服器供應兩個開採程式，分別鎖定iOS與macOS，其中，針對iOS的開採程式利用了一個舊有的CVE-2019-8506漏洞，以於Safari上執行任意程式，針對macOS的開採程式則會先偵測使用者的作業系統版本，顯示當以macOS Catalina（10.15）造訪這些網站時，即會呈現完整的攻擊鏈。</p> <p>此一攻擊鏈結合了在今年1月修補的WebKit遠端程式攻擊漏洞CVE-2021-1789，以及當時還沒人知道的CVE-2021-30869漏洞。CVE-2021-30869存在於蘋果作業系統所使用的XNU核心，它是個類型混淆漏洞，允許惡意程式以核心權限執行任意程式，蘋果在收到Google的報告之後，<a href="https://www.ithome.com.tw/news/146869" target="_blank">9月便釋出修補程式</a>。</p> <p>TAG指出，在成功開採相關漏洞之後，駭客即可於背景中下載惡意酬載，他們所觀察到的酬載看起來像是軟體工程的產物，它含有許多元件，有些為模組，主要功能包括蒐集受害者裝置的指紋、螢幕截圖、下載或上傳檔案、執行終端命令、錄音及側錄鍵盤等。</p> <p>有鑑於該酬載的品質，TAG相信駭客擁有自己的軟體工程團隊，而且資源豐富，可能是國家支持的駭客集團。</p> </div></div></div>
2021/11/12 12:05作者陳曉莉https://www.ithome.com.tw/news/147795
避免按遜攻擊，YouTube開始隱藏所有影片的按遜數量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.youtube/news-and-events/update-to-youtube/" target="_blank">YouTube於本周宣布</a>，即日起將著手隱藏YouTube所有影片上公開的按遜（Dislike）數量，使用者依然可以按遜，而創作者也仍然可自後端看到精確的按遜數量，只是使用者無法再因為有其他人展開按遜攻擊而隨之起舞。</p> <p>與臉書堅持不增加按遜功能不同，YouTube在2010年便允許使用者替影片按讚或按遜，甚至還公布最多人按遜的YouTube影片年度榜單。2018年時，YouTube的年度回顧影片，還登上最不受歡迎影片排行榜的第一名，當時該影片於全球獲得了1,500萬個遜。</p> <p>消遣YouTube是一回事，但透過按遜攻擊來騷擾創作者就是另一回事了。YouTube表示，該平臺想要創造一個兼容且互相尊重的環境，讓創作者取得成功的機會，同時得以安全地表達自己，因此在今年3月開始測試將按遜數量隱藏，顯示它的確減少了相關的攻擊行為。</p> <p>現在YouTube決定正式把公開的按遜數量隱藏，平臺上依舊會存在著按遜的按鍵，使用者也可以按遜，但不會再出現公開數字，而創作者則可透過YouTube Studio檢視所有的按遜數量。</p> <p>YouTube表示，雖然有使用者認為按遜數量可作為他們是否觀賞影片的參考，而不同意YouTube的作法，但他們相信這對該平臺而言應是一個正確的決定。</p> </div></div></div>
2021/11/12 08:41作者陳曉莉https://www.ithome.com.tw/news/147792
AWS推出可以用來量測和改進應用程式韌性的Resilience Hub服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對應用程式的韌性（Resilience）需求，AWS推出<a href="https://aws.amazon.com/tw/blogs/aws/monitor-and-improve-your-application-resiliency-with-resilience-hub/">Resilience Hub</a>服務，供使用者定義、追蹤和管理應用程式的韌性。Resilience Hub讓用戶制定恢復時間目標（Recovery Time Objective，RTO），以及恢復點目標（Recovery Point Objective，RPO），並且根據這些目標，評估應用程式的配置是否滿足要求。</p> <p>AWS提到，建構分散式系統很難，要維持系統一直在正常運作狀態更難，用戶不應該擔心系統是否會故障，而是應該關注系統什麼時候故障，並且為此做好準備。用來衡量韌性的指標通常有兩個，一個是從故障恢復所需要的時間RTO，以及故障意外發生後，資料可能丟失的最大時窗RPO，依據用戶的業務和應用程式，指標可以用秒、分、小時和天來衡量。</p> <p>用戶可以在AWS Resilience Hub中設定每個應用程式的RTO和RPO，該服務會提供建議和韌性分數，供用戶追蹤應用程式的韌性。AWS Resilience Hub能夠探索由AWS CloudFormation部署的應用程式，包括跨地區和帳戶的堆疊，並且還能從資源群組和標籤中發現應用程式，或是從AWS Service Catalog AppRegistry中選擇已經定義的應用程式。</p> <p>AWS強調，AWS Resilience Hub所涵蓋的「應用程式」，不僅是應用程式軟體和程式碼，範疇還包括託管應用程式的整個基礎設施堆疊，像是網路、虛擬機器和資料庫等各部分。而AWS Resilience Hub的韌性評估功能，使用AWS Well-Architected Framework最佳實踐來評估用戶的應用程式，藉由發現因基礎設施配置不完整或是錯誤配置，找出潛在的韌性弱點，並且提供增加應用程式韌性的建議。</p> <p>韌性評估會生成程式碼，協助用戶建立恢復程序，作為應用程式的AWS Systems Manager文件，也就是標準作業程序（SOP），另外，Resilience Hub會產生推薦的Amazon CloudWatch監控器和警示報表，供用戶在部署應用程式後，快速掌握任何的彈性狀態變化。</p> <p>用戶將應用程式和SOP更新納入韌性評估建議後，便可以使用Resilience Hub來測試和驗證應用程式是否達到韌性目標，之後再將應用程式發布到生產環境中。Resilience Hub還與AWS Fault Injection Simulator（FIS）整合，FIS會藉由在AWS上執行故障模擬，來測試應用程式在各種故障情況的行為。</p> <p>Resilience Hub也提供開發團隊API，將韌性評估和測試整合到CI/CD工作管線中，以持續進行韌性驗證，透過在CI/CD工作管線驗證韌性，能夠確保應用程式底層基礎設施的每一次更新，都不會影響其韌性。</p> <p>用戶可以從控制面板全面了解應用程式的韌性狀態，Resilience Hub會全面追蹤應用程式的韌性狀態，其整合了所有組織韌性事件、警示和來自Amazon CloudWatch與FIS服務的分析。Resilience Hub針對應用程式所產生的韌性分數，代表韌性測試、警示和恢復SOP的實作水準，用戶可以透過增加分數來推進應用程式韌性。</p> <p>目前Resilience Hub已經在美東、美西和歐洲地區推出，亞洲則先在新加坡和東京地區提供，之後還會陸續在更多的地區上線。用戶可以先免費試用Resilience Hub服務6個月，之後支付每個應用程式每月15美元的費用。</p> </div></div></div>
2021/11/12 08:51作者李建興https://www.ithome.com.tw/news/147790
Google推出Vertex Pipelines簡化自動化機器學習流程建置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布推出<a href="https://cloud.google.com/blog/products/ai-machine-learning/serverless-machine-learning-pipelines-on-google-cloud">Vertex Pipelines</a>，供用戶建構機器學習工作管線，來加速機器學習工作流程。Vertex Pipelines為一個無伺服器服務，能夠執行由Kubeflow Pipelines（KFP）或TensorFlow Extended（TFX）開源函式庫所定義的工作管線。</p> <p>Google解釋，要擴展機器學習工作流程最好的方式，是將工作流程以工作管線的方式運作，每個工作管線的步驟，都是機器學習過程的各個部分，工作管線能夠在企業中進行生產、共享，並且可靠地複製機器學習工作流程，Google認為，工作管線也是MLOps的關鍵，用戶可以建構系統來自動重新訓練和部署模型。</p> <p>而機器學習工作管線便是將機器學習流程，封裝成一系列步驟，工作管線中的每一步驟都是一個容器，每一步的輸出都可作為下一步驟的輸入，但這樣的方法會出現兩個問題需要解決，第一是用戶需要將每個步驟轉換成為容器，第二則是需要配置基礎設施來大規模執行工作管線。</p> <p>第一個問題可以使用開源函式庫解決，KFP和TFX可將工作管線步驟轉換成為容器，並且管理工作管線中的輸入和輸出，因此用戶可以使用KFP和TFX來定義工作管線，並在Vertex Pipelines上執行。另外，Vertex Pipelines是完全無伺服器服務，因此就能解決第二個問題，當用戶上傳執行KFP或TFX工作管線時，Vertex AI能夠處理配置和擴展基礎設施。</p> <p>Vertex Pipelines、Vertex AI以及其他Google工具緊密整合，因此用戶的機器學習工作管線，可以從BigQuery匯入資料開始，使用Vertex AI訓練模型，接著在Cloud Storage儲存工作管線構件，最後獲取模型評估指標，並且將模型部署到Vertex AI端點，這些步驟都可以在Vertex Pipeline中配置。Google也創建了一個Vertex Pipelines預建置元件庫，這些元件將有助於簡化在工作管線中，執行Vertex AI其他部分的過程，像是創建資料集或是訓練AutoML模型。</p> <p>Google提到，要藉由工作管線來產生每部分的輸出，需要有一種機制，跨工作管線執行創建指標和追蹤構件，當團隊中有多人參與開發和執行工作管線，或是對不同機器學習任務，管理多個工作管線時，這樣的機制會更加有用。而Google則透過整合Vertex Pipelines和Vertex ML的後設資料，來實現自動化構件和指標等追蹤，用戶在Vertex AI控制臺和Vertex AI SDK，都可以檢查工作管線後設資料。</p> </div></div></div>
2021/11/12 09:00作者李建興https://www.ithome.com.tw/news/147791
Martech雙周報第12期：因應第三方Cookie退場，Appier以小數據AI技術開發2大第一方數據解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1030~1111)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Appier </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 第一方數據 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 小數據AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Appier正研發2大第一方數據解決方案，靠AI整合單一顧客不同身份ID，更要能預測顧客站外輪廓</span></strong></p> <p>Appier在今年Q3財報發布上，預告將在資料科學平臺中，新增兩項以第一方數據為基礎的AI解決方案，分別是跨第一方數據的用戶輪廓整合，以及預測用戶輪廓貼標，部分功能已經釋出Beta版。Appier執行長游直翰指出，由於用戶從不同裝置登入網站時，會產生不同的Cookie ID或裝置ID，讓網站無法識別這些ID是否為同一人，因此，Appier要開發一項AI技術，來預測同一人不同的識別ID，再將不同ID累積的顧客行為整合，以描繪出更完整的顧客輪廓。</p> <p>另一項用戶行為貼標解決方案，同樣要透過用戶瀏覽網站的少量第一方數據，以AI預測顧客在站外的行為輪廓。比如顧客在站內瀏覽棒球相關服飾、紀念品，加上瀏覽較多美國的資訊，能得知該顧客可能是個棒球迷，且可能會去美國旅遊，再透過相似群體的行為數據，還能推測出該顧客平時可能會健身、是個運動員等。也就是說，即便顧客在站上只有少量行為數據，透過AI預測顧客站外的輪廓，能夠延伸對顧客的認識。「但延伸越廣、精準度越低，所以需要在一定範圍內合理推測。」游直翰說。</p> <p>Appier在5月收購了Chatbot新創BotBonnie後，雙方產品的整合也有新進展。Appier要透過結構化的行為數據與非結構化的對話數據的整合，來形塑更完整的顧客輪廓，同時提供更貼近顧客需求的行銷活動，比如顧客在網站瀏覽過的商品，未來能夠以Chatbot重複推播，或是在Chatbot詢問的商品，也能在網站上瀏覽到相似的品項等。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-11-11%20%E4%B8%8B%E5%8D%882_39_23.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Yahoo粉絲通 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電商平臺App </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 比價引擎 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">搶攻官方帳號服務市場，Yahoo粉絲通上線滿月吸引500品牌店家進駐</span></strong></p> <p>在臺灣擁有1,700萬用戶的Yahoo奇摩，上個月正式在在Yahoo奇摩App中推出了會員經營服務「Yahoo粉絲通」，這是一項類似Line官方帳號的服務，提供群發、一對一私訊、主題群聊等功能，讓商家向消費者推播商品資訊與行銷活動，強化會員經營。截至目前，超過500個品牌商家開設粉絲通帳號，也有超過百萬名用戶加入。由於Yahoo奇摩自家App每日百萬活躍用戶中，只有3成也是Yahoo電商平臺App的用戶，Yahoo奇摩希望用粉絲通服務，將App人流導引到電商平臺，特別要利用雙11期間來促進導流。</p> <p>上半年，為了發揮生態圈的優勢，Yahoo奇摩也陸續打通了旗下三大電商平臺App：拍賣、超級商城和購物中心，可一鍵切換至其他平臺。Yahoo奇摩日前也將新打造的比價引擎，內建到Yahoo拍賣平臺中，計畫第四季也內建到Yahoo App中。Yahoo奇摩更觀察，比價功能可以提高消費者完成交易的機率。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://www.ithome.com.tw/news/147722" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id--601027362" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-11-10%20%E4%B8%8B%E5%8D%882_44_08.png" style="width: 617px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 顧客體驗平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 顧客數據分析 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟推出顧客體驗平臺，可提供AI分析顧客數據來設計個人化行銷</span></strong></p> <p>微軟近期宣布在CRM產品之上，推出顧客體驗平臺（Customer Experience Platform），可管理與分析顧客數據，來進行個人化行銷。微軟主張，體驗雲平臺提供了AI編排的用戶旅程，企業可以透過顧客參與廣告、Email、行動裝置、社群媒體、自定義管道、或是親自互動等方式，來取得顧客高價值的資料，同時，也可整合Dynamics 365 Customer Insights及Advertising產品進行受眾分群，並透過相似的分群、自動生成的再行銷方法，來擴大目標受眾，並把這些細分的受眾與微軟廣告或其他廣告平臺串接，更進一步擴大對顧客的觸及率。<span class="notion-enable-hover" data-reactroot="" data-token-index="0" style="font-weight:600">（</span><a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://cloudblogs.microsoft.com/dynamics365/bdm/2021/11/02/introducing-microsoft-customer-experience-platform-a-solution-for-connected-customer-experiences/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;font-weight:600;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id-785120849" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a><span class="notion-enable-hover" data-reactroot="" data-token-index="2" style="font-weight:600">）</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SEO排序 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網頁用戶體驗 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">不只聯手服飾業推AR試穿試戴，Snap成立工作室研發新型AR體驗要攻電信、飲食和生活用品品牌</span></strong></p> <p dir="ltr">社交軟體公司Snap一直積極發展AR與數位穿戴式裝置，已經能在廣告活動中提供多種AR穿戴體驗，包括妝容、眼鏡、珠寶、鞋子、包包等品項，今年5月已經與Prada、Farfetch等品牌合作展開服飾與配件的數位試穿計畫，近日更為街頭文化與服飾媒體Complex舉辦的年度實體活動，提供AR試穿技術，讓Snapchat用戶可以透過App虛擬試穿T-shirt與帽T，儘管從Twitter官方帳號的<a href="https://twitter.com/Snapchat/status/1457067822467764228?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1457067822467764228%7Ctwgr%5E%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwww.socialmediatoday.com%2Fnews%2Fsnapchat-continues-to-advance-its-ar-try-on-tools-pointing-to-the-next-sta%2F609620%2F" target="_blank">模擬影片</a>來看，試穿衣服的效果還沒辦法完全貼合用戶的身形。另外，Snap近期也成立了<a href="https://newsroom.snap.com/introducing-arcadia/" target="_blank">新工作室Arcadia</a>聚焦發展AR技術，要發展下世代品牌AR體驗，首波合作對象包括世界知名品牌P&G Beauty、Verizon、世界摔角娛樂和Shake Shack。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://ar.snap.com/complexcon" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id--1893424362" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-11-10%20%E4%B8%8B%E5%8D%882_49_40.png" style="width: 385px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Snap </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AR試穿 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 線上購物體驗 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">一份懶人包整理Google 2021年網頁體驗更新，影響搜尋排序4大重點一次看</span></strong></p> <p>一家美國數位行銷公司Attrock最近整理了一份Google今年網頁體驗四大更新重點的懶人包，這些都是影響搜尋結果排序的重要更新。一是在SEO排序演算法中新增了三大新指標CWV，分別是最大內容繪製時間LCP、累積版面配置位移CLS及首次輸入延遲時間FID；二是行動裝置網頁的可用性，包括網頁中是否有行動裝置不常用的軟體如Flash、字體排版的可讀性、是否能依據不同尺寸螢幕自動調整、連結置入位置等；三是網頁的HTTP/HTTPS是否符合標準，包括是否加密、具備數據完整性、經過驗證等；四是是否具有插頁式廣告（intrusive interstitials）干擾閱讀，包括彈出式廣告、佔據整個頁面的獨立廣告，以及將內文折疊來顯示廣告的形式。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://attrock.com/blog/google-page-experience-update/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id-1841009397" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Youtube </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CTV </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影音廣告 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Youtube影片廣告投放新增連網電視CTV管道，新轉換工具可結合行動、PC裝置衡量廣告成效</span></strong></p> <p>連網電視CTV市場越來越大，更多用戶透過電視這類大螢幕來觀看影片，比如2020年12月，美國就有超過1.2億人在電視觀看YouTube或YouTube TV。在這個趨勢下，Google近日將Youtube影片廣告（Video Action Campaign）的投放，擴大到CTV管道中，讓廣告主可以結合Youtube與YouTube TV的資源來觸及新顧客。用戶在瀏覽電視上的影片廣告時，可透過廣告底部的URL與品牌名稱，在手機或PC中手動查詢相關資訊以打開該品牌的網站，Google 也提供Beta版的成效轉換工具（<a href="https://blog.google/products/ads-commerce/attribution-lift-measurement/" target="_blank">Conversion Lift</a>），讓廣告主獲得即時用戶行為洞察，比如網站瀏覽、登入、購買等轉換行為。現在全球都能透過Google廣告平臺取得這項服務。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://blog.google/products/ads-commerce/expanding-video-action-campaigns-to-ctv/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id--683238217" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-11-10%20%E4%B8%8B%E5%8D%882_51_03.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IAB </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位消費旅程 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 年度趨勢 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">IAB報告揭露數位消費旅程5大改變：無商店購物正夯、隱私戰爭正顛覆企業行銷策略</span></strong></p> <p>推動數位廣告相關標準與價值的美國互動廣告協會（IAB），近日發布了2022顧客生態圈年度報告，這是他們第5年發布直面顧客的品牌經濟報告（The Direct Brand Economy），來揭露近一年來數位顧客、供應鏈管理、物流配送、銷售與行銷相關的變革。</p> <p>這份報告有幾項重點，一是在疫情驅動下，無商店經濟已經加速成長了2∼3倍，年度消費金額也達到近一兆美元，未來幾年內更會佔據將近四分之一的購物行為；二是老牌零售商在其媒體網絡中，以優惠待遇吸引破壞性的新品牌來投放廣告，以爭取Z世代與千禧世代的商業機會，但是鮮少在零售商中尋找新品牌；三是實體與數位購物之間的障礙已經不復存在，地方配送（Local delivery）、線上販售定點取貨（Click-and-Collect）、線上販售到店取貨（Buy online, pick up in store）等配送模式更加流行；四是大品牌正在重塑直面顧客（D2C）的銷售方式。最後，則是用戶隱私的戰爭正在顛覆企業行銷計畫。（<a href="https://www.iab.com/news/brand-disruption-2022-the-iab-annual-report-on-the-evolving-consumer-ecosystem/" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Amazon廣告 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行銷雲平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 品牌指標 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Amazon廣告服務更新：行銷雲平臺提供教學查詢庫、顧客消費旅程新衡量指標推出</span></strong></p> <p>Amazon的廣告服務近期揭露幾項更新，一是行銷雲平臺（Amazon Marketing Cloud）現在可提供<a href="https://advertising.amazon.com/resources/whats-new/amc-instructional-query-library?ref_=a20m_us_wn_ftrd3_btn_unbxd_amc_102621" target="_blank">基於網頁UI的教學查詢庫</a>（Instructional Query Library），這是一個基於SQL查詢的功能，用戶可以直接使用平臺提供或自定義的SQL查詢指令，來取得常見的衡量與分析案例。這項功能可讓廣告主快速啟動查詢指令，而不是從頭開始編寫，有助於更快上手行銷雲、執行廣告衡量任務。</p> <p>另一項功能則是<a href="https://advertising.amazon.com/resources/whats-new/brand-metrics?ref_=a20m_us_wn_ftrd1_btn_unbxd_bm_102621" target="_blank">品牌指標</a>（Brand Metrics），提供一種新的衡量解決方案，能針對Amazon商店內顧客各階段的購物旅程，量化品牌的潛在機會，比如衡量實際Amazon購物者的參與度，或是量化顧客於行銷漏斗上中段旅程，如何對購物行為帶來貢獻，又或是顧客如何在購買商品後的12個月持續消費等。</p> <div> <div> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Martech動態 </span></strong></span></strong></p> <p><strong>1.iKala未來3年將聚焦發展多雲服務與Martech產品發展，更要拓展亞太區市場（<a href="https://www.ithome.com.tw/news/147605" target="_blank">詳全文</a>）</strong></p> <p><strong>2.Google網頁生態系顧問現身說法，如何用CWV三大指標衡量你的網頁用戶體驗（<a href="https://www.ithome.com.tw/news/147665" target="_blank">詳全文</a>）</strong></p> <p>責任編輯／翁芊儒</p> </div> <p>圖片來源／Yahoo奇摩、Snap、Google</p> <p>資料來源：iThome整理，2021年11月</p> </div> </div></div></div>
2021/11/11 19:15作者翁芊儒https://www.ithome.com.tw/news/147788
勒索軟體MirCop透過釣魚信入侵，並以殭屍圖片讓受害者心生恐懼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客發動勒索軟體攻擊，不只加密檔案，還同時竊取受害者儲存於瀏覽器的帳密，並使用極為嚇人的圖片進行恐嚇。例如，資安業者<a href="https://cofense.com/blog/spooky-ransomware-past-segs/">Cofense最近揭露新的MirCop勒索軟體攻擊</a>，駭客假藉先前曾經聯繫的名義，誘騙收信人打開附件檔案，進而觸發MirCop執行。</p> <p>究竟這個勒索軟體是如何侵入受害電腦？Cofense指出，攻擊者最常使用的方式就是釣魚郵件。研究人員特別提到其中1次發生於11月初的攻擊行動，他們攔截到一封挾帶Mircop的釣魚信，並發現這封信竟躲過了組織的郵件安全閘道（Secure Email Gateway）系統檢查。不過，究竟駭客使用那些手法規避檢查，Cofense並未說明。</p> <h2><strong>宣稱先前寄過信件為由進行網路釣魚</strong></h2> <p>釣魚郵件在許多勒索軟體攻擊裡相當常見，而這起事故也不例外的使用釣魚郵件來滲透受害電腦。但與時下許多釣魚信件中，謊稱使用者買錯東西退款，或者是急需回覆的商務檔案不同，這次駭客是和收信人裝熟，佯稱先前寄過信，但收信人似乎沒收到，希望對方能看一下附件的內容。這樣的手法，乃是利用電子郵件往來的過程中，有時候可能沒有收到信的情況做為理由行騙。</p> <p>從信件的內容來看，攻擊者暗示原本的往來信件不慎遺失，需要請收件人存取信件內文的URL來開啟文件，攻擊者宣稱這是DWG公司的供應清單，這個檔案儲存在Google Drive。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure1.png" style="width: 580px; height: 433px;" /></p> <p>一旦收件人信以為真下載檔案，便會取得副檔名為MHT的網頁封存檔案，打開此檔案後，確實會看到像是表單文件的掃描檔案，但在此同時，攻擊者也在背後試圖下載惡意軟體酬載，這個檔案透過WinRAR打包，檔名是DWG Following Supplies List，檔案類型為可執行檔，是MirCop勒索軟體的載入工具。</p> <p>什麼是MHT檔案？這是一種網頁封存的格式，能將網頁儲存成單一檔案，能被Chrome、IE等瀏覽器存取（Firefox需要透過擴充套件才能讀取）。但這種格式的檔案近年來也被攻擊者濫用，在裡面挾帶惡意軟體或是程式碼。</p> <p>收信人不慎點選執行後，它就會下載MirCop將電腦檔案加密，並且更換電腦桌布，除了勒索訊息，背景是相當嚇人的殭屍，看起來非常血腥。研究人員指出，整個加密過程不超過15分鐘。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure5.png" style="width: 580px; height: 266px;" /></p> <p>但在這個讓人會嚇一跳的桌布之外，駭客留下的勒索訊息也有值得留意之處。例如，在多數勒索軟體攻擊事件裡，駭客往往要求受害者使用Telegram即時通訊軟體，或是操作Tor瀏覽器，來進行談判；但使用MirCop的駭客，卻是留下了Skype通訊軟體的帳號。但駭客留下Skype帳號的用意為何？研究人員沒有說明。</p> <h2><strong>亦搭配免費工具竊取瀏覽器帳密</strong></h2> <p>除此之外，MirCop不光只是加密檔案，還會竊取網頁瀏覽器的帳密。而這項竊密工作的進行，是搭配名為「<a href="https://www.nirsoft.net/utils/web_browser_password.html">Web Browser Pass View</a>」的瀏覽器密碼復原工具。而這種利用免費帳密復原工具來竊取帳密的手法，先前也<a href="https://www.ithome.com.tw/news/145870">有Npm套件Nodejs_net_server</a>，挾帶了同為NirSoft開發的ChromePass。</p> <p>但相較之下，Web Browser Pass View比起ChromePass更為強大。因為，Web Browser Pass View不像ChromePass只能支援Chrome，還能復原Firefox、IE、Opera的帳密。這個工具可在Windows 2000以上的作業系統執行。使用者可免費下載該工具，將上述瀏覽器儲存的帳密，匯出成純文字檔案，或是CSV檔案等格式。</p> </div></div></div>
2021/11/11 16:40作者周峻佑https://www.ithome.com.tw/news/147787
從工研院釋出3分鐘影片，搶先看新竹物流自駕車展現的自駕技術能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新竹物流預計下周一將與工研院、新竹市政府共同舉行自駕物流實驗揭牌活動，屆時將對外公開臺灣第一部用於物流配送的測試自駕車。這也是國內最新一起自駕車監理沙盒實驗案，首次在市區開放道路上進行物流配送實測。</p> <p>不過，早在今年7月中旬，負責自駕物流車研發的工研院機械所，就已經展開前期測試，到現在已經道路實測約3個多月，他們使用2輛克萊斯勒Pacifica改裝的自駕物流車，往返新竹物流的「新竹營業所」到「竹科營業所」兩地進行道路測試，總長1.9公里。</p> <p>雖然目前沒有揭露這輛自駕物流車的配備細節，但可以參考過去工研院自駕車接駁實驗車輛的規格來看，自駕車上除了可能配備不同感測器，可感知周遭環境外，其自駕系統核心很有可能也是採用工研院自駕核心系統做為開發，來達到控制車輛安全行駛。</p> <p>工研院機械所數位長王傑智近期<span>上傳一段3分鐘新竹市區自駕車</span><span>測試驗證影片</span><span>，從影片中也能一窺未來這輛</span>自駕物流車的技術能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/xin_zhu_wu_liu_zi_jia_che_-960.png" style="width: 600px; height: 263px;" /></p> <p>（資料來源：iThome整理，2021年8月，上圖貨車僅為示意，並非實際運作的自駕貨車）</p> <p>從影片來看，整個測試過程都是在人車混合道路進行試驗，影片中行駛路線，也跟實際新竹物流自駕車測試路線相同，從新竹營業所出發，行經公園路216巷、公園路、東光路、忠孝路，抵達竹科營業所，回程沿著忠孝路、八德路、公園路、光復路二段、公園路216巷，回到新竹營業所。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/fIZRF_PH63o" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><strong>影片來源：取自工研院機械所數位長王傑智的YouTube頻道</strong></p> <p> </p> <h3><strong>自駕能力1：在小巷弄道路進行自駕</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap18.png" style="width: 600px; height: 313px;" /></p> <blockquote><p>從新竹營業所出發開到大馬路上，自駕車馬上就面臨考驗，需先經過狹窄又彎曲的小巷弄，因為巷弄窄，臨停車輛多，常常需要會車，才能到達路口處的紅綠燈交通號誌處等待。但影片中這輛自駕車能延著這條巷弄道路正常行駛。</p> </blockquote> <h3><strong>自駕能力2：在道路上進行U字型大迴轉</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap19.png" style="width: 600px; height: 325px;" /></p> <blockquote><p>偵測到綠燈可以通行後，自駕車還可以進行U字型大迴轉到鄰側車道，轉彎同時會邊注意到對向有無來車駛來。這需要自駕車對於周遭環境的高度感知與車控能力。</p> </blockquote> <h3><strong>自駕能力3：避開路邊臨停車輛擋道</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap20.png" style="width: 600px; height: 328px;" /></p> <blockquote><p>剛過彎後馬上遇到車輛臨停路邊擋住車道，從影片中，自駕車一偵測到前方的臨停車輛後也能很快反應，先減速，再繞過它行駛。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap21.png" style="width: 600px; height: 318px;" /></p> <blockquote><p>遇到多輛車臨停，而且有乘客上下車的時候，這部自駕車也能自行判斷該停下等待對方上車離開，或是繞過它行駛。</p> </blockquote> <p> </p> <h3><strong>自駕能力4：多路段未有交通號誌下，自駕車靠感測器避障</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap22.png" style="height: 317px; width: 600px;" /></p> <blockquote><p>因為是在大街小巷，許多路段未設交通號誌，自駕車行經未有號誌的路口時，一旦有機車從前方左右側車道竄出，也要能夠立即時偵測反應。</p> </blockquote> <h3><strong>自駕能力5：在超窄90度垂直彎道行駛</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap23.png" style="width: 600px; height: 323px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap24.png" style="width: 600px; height: 317px;" /></p> <blockquote><p>從公園路盡頭轉向東光路，到達另一處營業所前，自駕車行經道路，因是在東光路橋橋下單行道，<span>僅允許一部車通行，</span>道路更狹隘，而且路口轉彎處沒有緩充區，幾乎是90度垂直彎道，一般人都不是很好開，對於自駕車考驗更大。<span>從影片中，這輛自駕車也能在沒有人為介入下完成這段垂直路段的行駛。</span></p> </blockquote> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap25.png" style="width: 600px; height: 327px;" /></p> <blockquote><p>自駕車從單行道一出來，馬上就要接到一般道路，除了會注意從橋上直行而來的汽機車，遇到前方出現臨停車輛和行人通過時，也會加以避開。</p> </blockquote> <h3><strong>自駕能力5：去回程多個十字路口皆能自動行駛</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap28.png" style="width: 600px; height: 318px;" /></p> <blockquote><p>去回程路段，自駕車經過多個十字路口，也需要根據<span>左右來車和</span>車流狀況來決定行駛策略，尤其是在尖峰上下班時間，路口車流量大。不過，從該影片車流量還沒很大來看，拍攝時段不是在尖峰時段。</p> </blockquote> <h3><strong>自駕能力5：到指定物流車位自動停車卸貨</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap27.png" style="width: 600px; height: 314px;" /></p> <blockquote><p>自駕車回到物流營業所後，能自動停回到指定的物流車位上，不需要由人來接手，就能夠進行貨物卸載和裝載。</p> </blockquote> </div></div></div>
2021/11/11 13:59作者余至浩https://www.ithome.com.tw/news/147783
網路傭兵軍力曝光！趨勢科技揭露Void Balaur集團大量監控俄羅斯民眾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://documents.trendmicro.com/assets/white_papers/wp-void-balaur-tracking-a-cybermercenarys-activities.pdf" target="_blank">趨勢科技本周發表了一份長達46頁的研究報告</a>，詳細描述了網路傭兵Void Balaur所具備的強大實力，調查顯示，Void Balaur受雇針對3,500名目標，展開持續或多次的攻擊行動，這些攻擊目標有些是人權鬥士、記者、宗教領袖、情報機構的前主管、政府官員，甚至是總統候選人。</p> <p>根據趨勢科技的追蹤，Void Balaur集團現身於2015年，自2019年開始兜售俄羅斯民眾的機密資料，包括護照、犯罪紀錄、信用歷史紀錄、帳戶餘額、簡訊內容、通話紀錄或SIM卡位置，不過，目前並不確定該集團是如何取得如此廣泛的資料，也許只是駭入了某個電信工程師的帳號，或者是危害了電信系統。</p> <p>Void Balaur主要透過俄羅斯的地下論壇來行銷自己的服務，也列出了各種服務的價碼，包括駭進某個信箱帳號，或是針對某個帳號展開服務阻斷攻擊。其中，駭進Telegram帳號的價碼最高，要價2,064美元；駭進隱私郵件服務Protonmail的價碼居次，為688美元；駭進Gmail也要550美元，排名第三；也能協助客戶駭進企業電子郵件，大約是413美元。</p> <p>此外，Void Balaur於地下論壇中的風評頗佳，用戶稱讚該集團多能準時交出資訊，而且品質很好。</p> <p>不過，Void Balaur似乎不只擔任網路傭兵的角色，因為研究人員也發現該集團曾多次設置加密貨幣交易平臺EXMO的網釣網站，誘導該平臺的使用者上當，進而清空他們的加密貨幣錢包。</p> <p>至於Void Balaur常用的惡意程式則有Z*Stealer與DroidWatcher，它們都可用來竊取各種應用的憑證，後者還具備間諜及遠端追蹤能力。</p> <p>趨勢建議高風險的使用者最好選擇重視安全的電子郵件服務供應商，啟用雙因素認證，採用端對端加密的傳訊程式，最好刪除舊訊息以減少被駭後曝光的資訊，將所有機器上的硬碟都加密，以及把不使用的裝置關機。</p> </div></div></div>
2021/11/11 16:14作者陳曉莉https://www.ithome.com.tw/news/147785
高通搭上元宇宙列車，發表Snapdragon Spaces開發者平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球行動晶片龍頭高通（Qualcomm）也搭上了元宇宙（Metaverse）的列車，<a href="https://www.qualcomm.com/news/releases/2021/11/09/snapdragon-spaces-xr-developer-platform-launches-create-headworn-ar" target="_blank">在11月9日發表了名為Snapdragon Spaces的XR（Extended Reality，延展實境）開發者平臺</a>，它其實是個頭戴式的AR開發者套件，於本周展開預覽，預計於明年春天正式推出。</p> <p class="rtecenter"><img alt="" src="https://www.qualcomm.com/sites/ember/files/styles/optimize/public/press-releases/managed-images/snapdragon_spaces_lifestyle_asset.png?itok=YU5uALN9" style="width: 450px;" /></p> <p><span style="color:#696969;">圖片來源_高通</span></p> <p>本周高通並未提及Snapdragon Spaces的硬體設備，僅說它所提供的軟體開發者套件（SDKs）支援Epic Games的3D遊戲引擎Unreal Engine，也會整合<a href="https://www.ithome.com.tw/news/147739" target="_blank">Niantic本周發表的Lightship平臺</a>，也將支援程式可攜與統一流程。</p> <p><a href="https://developer.qualcomm.com/software/snapdragon-spaces" target="_blank">根據官網上的說明文件</a>，Snapdragon Spaces平臺所具備的功能包括：位置追蹤、AR定錨、手部追蹤、圖片/物件辨識與追蹤、平面偵測、網格化、遮擋與場景理解等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1111-Snapdragon%20Spaces%20XR%20Developer%20Platform-%E7%89%A9%E4%BB%B6%E8%BF%BD%E8%B9%A4.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1111-Snapdragon%20Spaces%20XR%20Developer%20Platform-hand%20tracking.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_高通</span></p> <p>高通則表示，Snapdragon Spaces將協助開發者從零到有、替AR眼鏡打造3D應用程式，或者只要將頭戴式AR功能加入既有的Android程式中，就能整合手機螢幕上的2D與實體世界的3D。開發者將能取得包含文件、樣本程式、教學、知識及工具等強大的資源，以加速其AR程式的開發。</p> <p>目前已有許多智慧型手機及AR裝置製造商承諾，要在明年支援Snapdragon Spaces，涵蓋聯想、摩托羅拉、Oppo與小米等，而首個採用Snapdragon Spaces的商業化產品，將是聯想的ThinkReality A3智慧眼鏡與摩托羅拉手機的搭配。</p> <p>此外，包括德國電信、NTT Docomo與T-Mobile，也都準備要在明年銷售基於Snapdragon Spaces的智慧型手機與AR眼鏡。</p> </div></div></div>
2021/11/11 16:30作者陳曉莉https://www.ithome.com.tw/news/147786
【資安日報】2021年11月11日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞中，多家媒體報導立法院在審查行政院2項預算時，列席的行政院資安處長簡宏偉透露了現今政府單位面臨的網路威脅，而這樣嚴峻的現象也引起<a href="https://securityaffairs.co/wordpress/124444/intelligence/taiwan-cyber-attack-from-china.html">國外媒體的注意</a>，並把茅頭指向中國。</p> <p>值得留意的還有攻擊事故，其中，繼昨天VoIP龍頭Bandwidth透露，最近他們遭到DDoS攻擊的事故，恐面臨上千萬美元的損失，接著又有另一家VoIP業者Telnyx也遭到DDoS攻擊，突顯這些業者近期可能接連遭到鎖定，而且，駭客有可能藉此向他們進行勒索。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.cna.com.tw/news/aipl/202111100125.aspx"><span style="color: rgb(0, 0, 0);">臺灣政府單位每日遭到500萬次攻擊與掃描</span></a></strong></h4> <p>立法院內政委員會於11月10日，審查行政院的111年度中央政府總預算案，以及行政院「辦理政策宣導相關之廣告彙整表」等2案，行政院秘書長李孟諺、行政院發言人羅秉成，以及行政院資安處長簡宏偉等人列席備詢。簡宏偉表示，政府單位平均1天會遭500萬次駭客攻擊與掃描，對此，他們打算採取主動式防禦的策略，將防禦陣線向前推，在對方攻擊發起時就擋下。</p> <h4><strong><a href="https://twitter.com/ESETresearch/status/1458438155149922312"><span style="color: rgb(0, 0, 0);">北韓駭客組織Lazarus鎖定資安研究員，散布帶有木馬的IDA Pro破解版本</span></a></strong><img alt="" src="https://s4.itho.me/sites/default/files/images/FD1pdoqWQAUR66_.png" style="width: 300px; height: 229px; float: right;" /></h4> <p>許多資安研究人員用於逆向工程的IDA Pro軟體，因其授權價格昂貴，而讓駭客組織有可趁之機。ESET研究人員發現網路流傳1個破解版IDA Pro的安裝程式，經分析後發現，安裝過程會在研究人員電腦植入竊密工具，並研判這是北韓駭客組織Lazarus所為。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/hpe-says-hackers-breached-aruba-central-using-stolen-access-key/"><span style="color:#000000;"><strong>Aruba集中控管平臺遭駭，起因是存取金鑰遭竊</strong></span></a></h4> <p>HPE於11月10日表示，旗下的Aruba Central網路設備集中控管平臺的金鑰遭竊，攻擊者在10月9日至27日，藉由存取金鑰瀏覽用戶的資料。該公司宣稱，已掌握攻擊者如何取得存取權限，並採取措施防範，並強調HPE內部系統沒有受到影響。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/telnyx-is-the-latest-voip-provider-hit-with-ddos-attacks/"><span style="color: rgb(0, 0, 0);">VoIP業者Telnyx遭到DDoS攻擊</span></a></strong></h4> <p>從美國東部時間11月9日晚上11點左右開始，VoIP業者Telnyx傳出遭到DDoS攻擊，導致所有的網路電話無法使用或是延遲。該公司在遭到攻擊之後，將其歐洲、中東、非洲（EMEA），以及亞太區的VoIP基礎架構，遷移到Cloudflare的DDoS防護服務Magic Transit，並計畫下一步將離峰時段的服務移轉到美洲。</p> <h4><strong><a href="https://www.cybereason.com/blog/threat-analysis-report-from-shatak-emails-to-the-conti-ransomware"><span style="color: rgb(0, 0, 0);">釣魚郵件駭客與TrickBot狼狽為奸，在受害電腦上植入Conti勒索軟體</span></a></strong></h4> <p>資安業者Cybereason指出，專門以釣魚郵件挾帶惡意軟體的駭客組織TA551（亦稱Shatak），約從2021年3月開始，與惡名昭彰的殭屍網路駭客TrickBot合作，在受害組織散布TrickBot和BazarBackdoor進行偵察，進行橫向移動並竊取機密，然後再部署勒索軟體Conti進行破壞。</p> <h4><strong><a href="https://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats/the-far-reaching-attacks-of-the-void-balaur-cybermercenary-group"><span style="color: rgb(0, 0, 0);">網路傭兵組織Void Balaur攻擊超過3,500個組織與個人</span></a></strong></h4> <p>趨勢科技揭露名為Void Balaur（又名Rockethack）的網路傭兵，這個組織約從2015年開始活動至今，主要從事網路間諜和資料竊取的工作，並將竊得的資料賣出。最近一年更是針對多個重要目標下手，部分攻擊為全球現實世界帶來衝擊。從該組織開始活動到現在，至少3,500個組織或個人受害，而部分受害者更是反覆遭到攻擊。</p> <h4><strong><a href="https://twitter.com/AvastThreatLabs/status/1458162278277156866"><span style="color: rgb(0, 0, 0);">安卓惡意軟體鎖定Netflix、Instagram、推特用戶</span></a></strong></h4> <p>資安業者Avast揭露安卓惡意軟體MasterFred，這個惡意軟體約於6月開始攻擊行動，針對波蘭和土耳其而來，鎖定Netflix、Instagram，以及推特的使用者發動攻擊。這個惡意軟體的特別之處，在於捆綁了虛假的登入HTML網頁來騙取受害者個資，並具備能夠連到暗網的Onion.ws閘道（Tor2Web proxy）模組，來傳輸竊得的資料。</p> <h4><strong><a href="https://blog.zimperium.com/phonespy-the-app-based-cyberattack-snooping-south-korean-citizens/"><span style="color: rgb(0, 0, 0);">惡意安卓App監控南韓民眾<img alt="" src="https://s4.itho.me/sites/default/files/images/PhoneSpy_figure1.png" style="width: 200px; height: 423px; float: right;" /></span></a></strong></h4> <p>資安業者Zimperium發現有23個看似無害的安卓應用程式，但實際上它們挾帶了名為PhoneSpy的間諜軟體，這個惡意軟體鎖定南韓用戶而來，不僅會竊取手機裡的機密資料，還會接管裝置的麥克風與視訊鏡頭。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.securityweek.com/sap-patches-critical-vulnerability-abap-platform-kernel"><span style="color: rgb(0, 0, 0);">SAP修補商用程式語言開發平臺ABAP核心重大漏洞</span></a></strong></h4> <p>SAP在11月的例行修補當中，修補了5個漏洞，其中一個是CVSS風險層級高達9.6分的漏洞CVE-2021-40501，這項漏洞存在於ABAP（Advanced Business Application Programming）商用程式語言開發平臺的核心，是有關身分驗證機制查核的弱點。</p> <h4><strong><a href="https://www.fisac.tw/intelligence/article?id=29a3729d6407846877b05614536a711b">臺灣金融聯防體系示警注意修補Exchange Server漏洞</a></strong></h4> <p>除了微軟剛修補已遭駭客利用Exchange Server的CVE-2021-42321漏洞，微軟在4月修補7月公布的另一個CVE-2021-34473漏洞，日前思科指出，發現有駭客鎖定相關漏洞，值得關注的是，近日國內聯防體系對此兩個漏洞示警，並表示臺灣企業已偵測到針對CVE-2021-34473漏洞的攻擊。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><a href="https://www.crowdstrike.com/press-releases/crowdstrike-to-acquire-securecircle-to-enforce-zero-trust-data-protection/"><span style="color:#000000;"><strong>為強化零信任時代的資料保護，CrowdStrike併購資安新創SecureCircle</strong></span></a></h4> <p>次世代端點防護業者CrowdStrike於11月1日宣布，他們買下新創公司SecureCircle，藉由其透通式加密（Transparently Encryption）的機制，讓客戶能透過裝置、使用者身分、資料機密的層級，來保護企業資料。CrowdStrike預計在第4財季完成併購。</p> </div></div></div>
2021/11/11 14:14作者周峻佑https://www.ithome.com.tw/news/147782
HPE的Aruba存取金鑰遭竊，客戶裝置資料曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.arubanetworks.com/support-services/security-bulletins/central-incident-faq/" target="_blank">HPE與旗下的子公司Aruba Networks本周坦承</a>，有一未經授權的第三方透過遭竊的存取金鑰，入侵了Aruba Central雲端管理網路，造成客戶的裝置資料外洩。</p> <p>Aruba Networks主要提供從邊緣到雲端的各種網路解決方案，透過AI及機器學習來遞送網路及分析資料，主要支援跨界的企業、分公司、資料中心，及遠端工作環境，涵蓋有線、無線區域網路及廣域網路。在2015年被當時的HP以近30億美元買下，負責HP的企業網路服務。</p> <p>Aruba Networks表示，該金鑰只能存取特定的資料集，其中一個資料集存放了多數Aruba Central客戶的網路遙測資料，包括客戶端的Wi-Fi裝置如何連結至Wi-Fi 網路，另一個資料集則存放Wi-Fi客戶端裝置的資料，包括裝置的MAC位址、IP位址、作業系統、主機名稱、可使用的Wi-Fi網路及使用者名稱等，也紀錄了裝置的連結日期、時間及所使用的Wi-Fi 存取點。</p> <p>不過，根據Aruba Networks的分析，這名不速之客很可能只瀏覽、下載或移轉極少數的資料，只是他們也無法判斷哪些資料遭到存取，因此只能通知可能受到影響的所有客戶。</p> <p>由於駭客使用的是合法的金鑰，並不容易被發現，HPE說明，他們在Aruba Central環境中部署了安全監控工具，並在相關工具發現可疑活動時收到通知，於11月2日展開調查，當天即確定是遭到未經授權的存取。</p> <p>駭客是在10月9日首度使用該金鑰，一直到該金鑰於10月27日進行自動輪替而退役，並非由HPE或Aruba Networks主動撤銷。</p> </div></div></div>
2021/11/11 15:11作者陳曉莉https://www.ithome.com.tw/news/147784
Meta與微軟攜手合作，整合Workplace及Microsoft Teams
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.workplace.com/blog/workplace-and-microsoft-teams#what-is-the-workplace-and-teams-integration" target="_blank">Meta周三（11/10）宣布</a>，將整合旗下的Workplace及微軟協作平臺Microsoft Teams，讓使用者可自Teams存取Workplace內容，明年也能在Workplace社團中觀看Teams Meetings的串流。</p> <p>Workplace定位為企業版臉書，它具備臉書的基本功能，包括動態消息、社團、聊天與直播等，另外它還整合了單一簽入與分析儀表板等企業功能，從2016年上線以來，該平臺已有超過700萬個付費的訂閱用戶。</p> <p>由於定位為企業的社交平臺，因此Workplace先前就已整合了許多微軟服務，包括SharePoint、OneDrive與Office 365等，另外它也是微軟Azure AD上最熱門的15個程式之一。Meta亦即將在今年12月，<a href="https://about.fb.com/news/2021/09/introducing-two-new-portals-including-first-portable-version/" target="_blank">讓Teams成為視訊通話裝置Portal的主打應用</a>。</p> <p>Workplace負責人Ujjwal Singh指出，自Teams直接存取Workplace內容，將讓使用者不必再於兩個程式間切換，於Workplace社團中串流Teams Meetings將讓使用者不管是在哪個平臺上，都不會錯過會議。</p> <p>包括Vodafone、Flight Centre Travel Group與Lockton等雙方共同的客戶，都已測試過Workplace與Teams的整合。其中，Flight Centre Travel Group數位工作場所負責人Nick Williams表示，於社群中心（Workplace）及團隊中心（Teams）之間打造一個橋樑，將讓不管身於何處的員工都能夠存取最重要的資訊，還能一直感受到彼此間的連結。</p> <p><a href="https://www.workplace.com/workplace-microsoft" target="_blank">此一服務將免費開放給Workplace與Teams用戶使用</a>，不過，把Teams會議及廣播串流至Workplace的功能得等到明年才會現身。</p> </div></div></div>
2021/11/11 12:30作者陳曉莉https://www.ithome.com.tw/news/147781
Nest Hub現在能更精確地偵測使用者的睡眠情況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/google-nest/let-nest-help-you-rest-holidays/">Google改進Nest Hub的睡眠偵測（Sleep Sensing）功能</a>，現在Nest Hub不只能夠區分使用者睡著與清醒的狀態，甚至進一步能夠偵測使用者整晚快速動眼期、淺層、深層和清醒各種狀態，還可以辨別來自主要用戶的鼾聲。Nest Hub的睡眠偵測功能，使用微型雷達感測器Soli，在無接觸和無攝影機的狀況下，掌握用戶睡眠狀態，使得用戶能夠改善睡眠習慣。</p> <p>新的睡眠演算法提供用戶更詳細的睡眠資訊，Google解釋，大多數人會在晚上睡覺歷經4到6次循環，每次約80到120分鐘，循環之間可能會短暫的清醒。與舊的模型相比，除了區分睡眠和清醒狀態，現在Nest Hub還能夠區分淺層、深度和快速動眼期等各個睡眠階段。</p> <p>睡眠追蹤功能除了能夠紀錄用戶的睡眠階段，提供用戶的睡眠時間之外，還能紀錄用戶什麼時候發生睡眠中斷，而要改進用戶的睡眠品質，還需要進一步了解用戶的睡眠中斷的原因，Google提到，人們容易忽略造成睡眠中斷的原因，常見的有打鼾和咳嗽。</p> <p>Nest Hub上的舊演算法，單純使用裝置上CNN檢測器來處理麥克風訊號，以偵測咳嗽或是打鼾事件，但這種完全倚靠音訊的方式，並無法區分聲音的來源，在新的演算法中，結合使用Soli訊號和音訊，來分辨咳嗽和打鼾的來源。</p> <p>當主要用戶打鼾時，音訊中的鼾聲會和Soli的吸氣和呼氣訊號密切對應，當鼾聲來自房間中的其他人，則兩訊號會獨立變化。因此當Nest Hub偵測到音訊和運動特徵不相符的時候，便會將這些聲音標記為其他聲音，紀錄在另一個時間軸上，其他聲音時間軸也會紀錄來自伴侶或是重物的吵鬧噪音。</p> <p>Nest Hub現在被應用在追蹤夜間咳嗽的研究上，囊腫性纖維化基金會（Cystic Fibrosis Foundation）所資助的一項小型可行性研究，便是嘗試使用Nest Hub來測量，患有罕見疾病囊腫性纖維孩童的夜間咳嗽。</p> <p>目前睡眠偵測服務已經釋出，在接下來幾周會推送給全球用戶，2022年睡眠偵測會提供免費預覽使用，到了2023年，Google計畫將睡眠偵測功能整合到付費服務Fitbit Premium中。</p> </div></div></div>
2021/11/11 11:14作者李建興https://www.ithome.com.tw/news/147763
Google測試協助口語障礙者溝通的AI App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球有數百萬人因為中風、漸凍症、帕金森氏症、腦性麻痺或大腦創傷導致語言表達障礙，為此Google在Project Relate下，開發一款旨在協助口語溝通的 Android App ，<a href="https://blog.google/outreach-initiatives/accessibility/project-relate/" target="_blank">本周邀請口語表達有困難人士參加測試</a>。</p> <p><a href="https://docs.google.com/forms/d/e/1FAIpQLSc_9fFSD4IAqHaePFebXMBOUML8rEFyZD4DNxG5LaZhpW5QXQ/viewform" target="_blank">Project Relate 是Google口語與研究兩個團隊的最新研究計畫</a>，是以100萬口語錄音樣本為基礎建立而成的模型及App。</p> <p>Project Relate App有三個主要功能，包括聽寫、覆述及協助。聽寫可即時轉錄使用者說話並以文字顯示，讓用戶可用來複製、貼上到其他App，或幫助他人明白使用者意思。覆述則以合成人聲重述用戶講的話，利於人與人溝通，或是人機互動。這款App還整合Google Assistant，方便使用者聲控支援Assistant的裝置，如智慧燈泡或數位音響。</p> <p>為強化Project Relate App的理解精準度，Google邀請澳洲、紐西蘭、美國及加拿大境內使用英語的口語障礙人士參加公測，將蒐集自願者口語樣本來訓練模型，提升模型的精準度。</p> <p>這批自願者為早期測試者，會被要求錄下一組片語。Project Relate App將利用這些片語機器學習口語障礙者的說話特徵。Google表示Project Relate的訓練至少需要500個片語，每位測試者每次需要花30到90分鐘來錄製樣本。</p> <p>為限定僅口語障礙人士，<a href="https://docs.google.com/forms/d/e/1FAIpQLSc_9fFSD4IAqHaePFebXMBOUML8rEFyZD4DNxG5LaZhpW5QXQ/viewform" target="_blank">有興趣者需先報名填寫資料</a>，再由Google審核並於幾個月內通知用戶。</p> </div></div></div>
2021/11/11 11:23作者林妍溱https://www.ithome.com.tw/news/147777
微軟發布可高度自定義的反向代理YARP 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布了反向代理<a href="https://devblogs.microsoft.com/dotnet/announcing-yarp-1-0-release/">YARP 1.0</a>，用戶已經可以從NuGet上下載這個以.NET撰寫、具有高可自定義特性的反向代理，微軟提到，YARP和其他反向代理之間的不同，在於YARP建置和打包的方式，YARP是以函式庫的形式釋出，並且提供範例展示使用方法。</p> <p>反向代理（Reverse Proxy）是用來監聽傳入的HTTP請求，並根據請求的內容，將請求轉送到適當的伺服器，但是反向代理跟第4層典型的防火牆和路由器不同，反向代理是在第7層運作，因為需要理解HTTP，並且基於HTTP欄位運作。YARP在代理請求時，會處理來自客戶端的HTTP連接，然後使用自己所創建到目標伺服器的連接，使得兩端都可以從連接池中獲得好處。</p> <p>反向代理可以充當一個或是一組服務的公共端點，使暴露的URL空間，獨立於實際實作，並且將呼叫轉送到後端伺服器，以執行真正運算，平衡伺服器間的負擔，另外，反向代理也能幫忙分擔後端伺服器的工作，執行像是TLS加密、壓縮或是快取等任務。</p> <p>微軟已經發展YARP專案兩年，一開始是因為微軟觀察到內部多個團隊，都存在反向代理的需求，因此共同研究出YARP解決方案。YARP是一個反向代理工具包，透過使用來自ASP.NET和.NET的基礎設施，在.NET中建置高效能反向代理，YARP的特點是容易自訂，用戶可以根據需求，自訂並且調整成來滿足特殊場景的需求。</p> <p>YARP提供了兩個主要使用和自訂的方向，第一個是作為一個全功能代理，YARP藉由配置來定義一組基於URL模式的路由，這些路由會對應到目標伺服器叢集，叢集中的每個目的地，都應該可以處理對應的路由請求。目的地列表可以根據對話親和度，和伺服器健康狀況進行過濾，並且使用負載平衡演算法，選擇最終的目的地。</p> <p>另一種使用方式，則是將YARP用於高度自定義的環境，用戶可以直接呼叫YARP請求轉送程式，繞過路由和負載平衡等模組。微軟提到，開發者甚至可以在同一個程序中混合兩種方式，根據路由切換。</p> </div></div></div>
2021/11/11 11:31作者李建興https://www.ithome.com.tw/news/147764
美國新法要求車內加裝防酒駕科技
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.congress.gov/bill/117th-congress/house-bill/3684" target="_blank">美國參議院上周通過《基礎設施投資和就業法案》（Infrastructure Investment and Jobs Act）</a>，要求最快2026年上路的車輛，都需加裝監控及防止酒駕的科技以維護道路安全。</p> <p>根據美國國家公路交通安全管理署（National Highway Traffic Safety Administration，NHTSA）統計，全美每年酒駕事故死亡人數高達9,400人，障礙駕駛（impaired driving）已成為美國今年上半交通事故死亡第一大主因，超過未繫安全帶者。</p> <p>這項法案的通過允許拜登政府投入1.2兆美元，升級美國道路、橋樑、港口、寬頻等公共設施。<a href="https://www.madd.org/press-release/10-things-to-know-about-the-drunk-driving-prevention-technology-provision-in-the-infrastructure-bill" target="_blank">新法允許NTHSA以3年時間制訂防範障礙駕駛的標準及評估相關科技</a>，並給車商2到3年時間導入新標準。</p> <p>法案要求，2026到2027年起組裝的新車，都必須加裝符合NHTSA規定、能偵測及防止酒醉駕駛人的科技。</p> <p>現有或正在開發中的防酒駕科技，包括監控車輛行動科技，如車道偏移警示或注意力輔助、監控駕駛人如頭部和眼部的科技，例如攝影機及其他感測器、以及被動式酒精偵測系統，像是以進階感測器偵測駕駛人酒醉，以及不允許車輛行進的科技。目前車商如富豪（<a href="https://www.media.volvocars.com/global/en-gb/media/pressreleases/250015/volvo-cars-to-deploy-in-car-cameras-and-intervention-against-intoxication-distraction" target="_blank">Volvo</a>）、日產（<a href="https://www.nissan-global.com/EN/TECHNOLOGY/OVERVIEW/dpcc.html" target="_blank">Nissan</a>）、豐田（<a href="https://www.streetdirectory.com/travel_guide/55203/car_parts/toyota_formulates_anti_drunk_driving_system.html" target="_blank">Toyota</a>）已有或正規畫可偵測駕駛人酒醉或精神不濟的科技。</p> <p>新法加入的車輛必備安全措施還包含像是提醒父母孩童還留在後座或兒童座椅、以及車道偏移警示、緊急自動剎車等。</p> </div></div></div>
2021/11/11 11:52作者林妍溱https://www.ithome.com.tw/news/147778
蘋果推小企業裝置管理服務訂閱方案Business Essentials
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果力圖拓展服務營收，現在將從商務裝置管理著手。<a href="https://www.apple.com/newsroom/2021/11/apple-introduces-apple-business-essentials/" target="_blank">蘋果昨（10）日宣布針對小企業設計的裝置管理服務訂閱方案Apple Business Essentials</a>，提供包括iPhone、iPad及Mac電腦管理及iCloud雲端儲存，收費最低每人每月2.99美元。</p> <p>Apple Business Essentials針對員工人數在500人以下的小型企業，提供整合iOS及Mac裝置管理功能、24x7 Apple技術支援，以及iCloud雲端儲存服務。企業員工可透過Apple Business Essentials專用的App，安裝工作用的應用程式及要求技術支援。</p> <p>Apple Business Essentials提供從裝置設定到員工入職準備、及裝置升級的完整管理生命周期，以及蘋果的裝置安全及技術支援服務。蘋果表示這可節省小型企業裝置管理時間及成本。新方案現在已經以預覽版上線，不過僅供美國小型企業使用。正式版預計2022年春天上線。<a href="https://smb.apple.com/essentials/" target="_blank">但企業可以先在網站上報名</a>。</p> <p>這項方案的Collections允許IT管理人員為個別裝置、群組及使用者設定組態及App，當員工以公司帳號登入裝置後，Collection會自動部署VPN組態、Wi-Fi密碼，此外它也會在員工裝置主螢幕安裝Business Essentials App，他們可由此下載公司許可的App，如微軟Word或Cisco Webex。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1111-Apple%20Business%20Essentials-2-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_蘋果</span></p> <p>此外Business Essentials還提供蘋果安全技術，像是Mac全硬碟加密技術FileVault、防止裝置遺失外洩資料的Activation Lock，及可切分員工私人及公司帳號登入以保資料安全的User Enrollment等。這項服務也搭配iCloud雲端儲存，提供資料和檔案儲存、協同以及裝置升級時備份。最後，若企業購買Apple Care + for Business Essentials，也能獲得24x7電話支援、訓練及每年最多2臺裝置到府維修服務。</p> <p>細分而言，<a href="https://www.apple.com/business/essentials/" target="_blank">App Business Essentials提供三個層級</a>。最基本是1人單臺裝置方案，每裝置2.99美元，提供50GB iCloud儲存。第二層級提供最多3臺裝置管理附200GB雲端空間，每人每月6.99美元。最高層級為最多3臺裝置管理服務及2TB儲存，每人每月12.99美元。</p> </div></div></div>
2021/11/11 12:03作者林妍溱https://www.ithome.com.tw/news/147780
Nucleus Net TCP/IP堆疊13項漏洞影響眾多醫療器材、工業設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://www.forescout.com/blog/new-critical-vulnerabilities-found-on-nucleus-tcp-ip-stack/" target="_blank">研究人員發現Nucleus Net TCP/IP堆疊有13項漏洞</a>，可能引發惡意攻擊及資料外洩，包括1個風險值9.8的重大漏洞，波及醫療器材、工業設備甚至汽車。</p> <p>資安廠商Forescout Research Labs和Medigate合作下，發現13項影響Nucleus TCP/IP堆疊的安全漏洞，類型橫跨遠端程式碼執行、阻斷服務攻擊及資料外洩，研究團隊將之總稱為Nucleus:13。</p> <p>Nucleus NET是Nucleus Real-Time Operating System (RTOS)的TCP/IP堆疊，已經問世28年，Nucleus NET和Nucleus RTOS被大量部署於具有安全要求的各種產業設備，像是醫療器材、汽車和工業系統中。以醫療器材而言，ZOLL 體外心臟電擊器和ZONARE超音波就是跑Nucleus RTOS。</p> <p>這13個漏洞中，<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-31886" target="_blank">最嚴重的是CVE 2021-31886</a>，為一影響FTP Server元件的遠端程式碼執行（RCE）漏洞，CVSS 3.1風險值達9.8。它是出在FTP Server未能適當驗證User指令的長度，導致攻擊者可傳送過長指令引發堆疊緩衝溢位（buffer overflow），結果可能包括阻斷服務（DoS）攻擊或遠端程式碼執行（RCE）。</p> <p>FTP Server還有因未適當驗證PWD/XPWD、MKD/XMKD指令長度的漏洞，分別為<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-31887" target="_blank">CVE-2021-31887</a>及<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-31888" target="_blank">CVE-2021-31888</a>，可能引發DoS及RCE，風險值皆為8.8。</p> <p>風險值8.8的漏洞還有<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-31884" target="_blank">CVE-2021-31884</a>，位於DHCP用戶端。由於DHCP App假設提供”Hostname” DHCP選項的資料會以NULL結束，若輸入資料的Global Hostname變項未指明，可能導致越界讀取（Out-of-bound reads）或DoS攻擊。另一高風險漏洞還包括IP header中ICMP payload長度未檢查，所引發的資訊洩露或DoS漏洞（CVE-2021-31346）。</p> <p>其他中度風險漏洞則包括資料洩露及DoS漏洞，影響TCP server、TFTP Server、DHCP 用戶端及ICMP、UDP（User Datagram Protocol）協定等元件。</p> <p>研究人員利用Shodan搜尋服務掃瞄網路上的裝置，顯示有近1,200臺執行Nucleus FTP的曝險裝置（左圖），並有超過1,000臺跑Nucleus RTOS的曝險裝置（右圖）。另外他們的127家客戶中，16家廠商共5,500臺裝置曝險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Map-1%5B1%5D.png" style="width: 300px;" /><img alt="" src="https://www.forescout.com/wp-content/uploads/2021/10/Map-2.png" style="width: 300px;" /></p> <p><span style="color:#696969;">圖片來源_Forescout</span></p> <p>以功能區分，跑Nucleus TCP/IP堆疊的曝險裝置，以建物自動化（76%）占最大宗，其次為營運科技（OT），占13%。若看產業別，醫療機構占超過一半，政府次之。</p> <p class="rtecenter"><img alt="" src="https://www.forescout.com/wp-content/uploads/2021/10/pie1-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Forescout</span></p> <p>要避免這13項漏洞危害，需要修補跑Nucleus的裝置。目前Nucleus的所有者西門子已經釋出修補程式解決所有漏洞。除了儘速安裝修補程式外，研究人員也建議企業應盤點網路環境中所有跑Nucleus的裝置、執行網路分區（segmentation）控制、以及監控所有網路可疑封包。</p> </div></div></div>
2021/11/11 10:47作者林妍溱https://www.ithome.com.tw/news/147773
Meta首度公開霸凌與騷擾內容比例，臉書有0.14%，IG為0.05%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta本周公布了臉書（Facebook）與Instagram（IG）第三季的《社群標準執行報告》（Community Standards Enforcement Report），並首度揭露這兩個平臺上涉及霸凌與騷擾的內容比例。其中，在臉書上出現相關內容的比例為0.14%，IG則是0.05%左右，其比例超越了裸露及仇恨言論，顯示它們為這兩個平臺上最常見的有害內容。</p> <p>Meta說明，霸凌與騷擾非常地個人，在臉書的定義中，只要是威脅要將某人的身分公諸於世，或是重複地進行不必要的接觸，都會被視為霸凌或騷擾。此外，相較於一般的使用者，他們容許公眾人物接受較多批評的意見。</p> <p>儘管如此，霸凌與騷擾還是非常不容易判斷，有時會牽涉到使用者之間的關係，或者是脈絡，例如在好朋友之間可以開的玩笑，用在陌生人身上也許就成為霸凌。</p> <p>在今年第三季時，臉書出現的霸凌/騷擾內容為0.14~0.15%，意謂著臉書用戶所看到的1萬則內容中，可能有14或15則為霸凌/騷擾內容；在IG上出現霸凌/騷擾內容的機率則是0.05~0.06%，代表在IG上看到的1萬則內容中，有5到6則為相關內容。</p> <p>Meta該季於臉書上移除的霸凌/騷擾內容為920萬則，當中有59.4%來自於AI系統的貢獻，IG上則移除了780萬則霸凌/騷擾內容，有83.2%是由AI主動移除。</p> <p>與其它的有害內容相較，該季臉書上成人裸露內容出現的比例為0.02%~0.03%，仇恨內容出現的比例則是0.03%。至於IG上的成人裸露內容則亦為0.02~0.03%，仇恨內容為0.02%。此外，Meta第三季於臉書上總計刪除了18億個假帳號。</p> </div></div></div>
2021/11/11 10:59作者陳曉莉https://www.ithome.com.tw/news/147776
Nvidia發表邊緣運算用AI超級電腦Jetson AGX Orin
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia在GTC大會上，發布了大小只有一個手掌的小型人工智慧超級電腦<a href="https://developer.nvidia.com/blog/nvidia-jetson-agx-orin-charts-new-path-for-edge-ai-and-robotics/">Jetson AGX Orin</a>，可以用在機器人、自動化機器以及邊緣運算等用例。官方提到，這個Jetson單晶片電腦非常小，可以放在手掌上，但是其提供相當於GPU伺服器的運算能力。</p> <p>隨著機器人技術和嵌入式運算的發展，製造、零售和智慧城市等相關產業都發生改變，對運算的需求逐漸提高，Nvidia表示，Jetson AGX Orin能夠滿足此一需求，使得Jetson開發者有能力實現過去做不到的自動化機器和邊緣人工智慧應用程式。</p> <p>Jetson AGX Orin維持和Jetson AGX Xavier系列相同的外型設計和針腳相容性，但是能夠提供的運算能力，相當於Jetson AGX Xavier的6倍，也就是每秒200兆次的運算。該人工智慧超級電腦採用Arm Cortex-A78AE CPU以及Nvidia Ampere架構的GPU，還內建新一代深度學習與視覺加速器，高速的介面和更快的記憶體頻寬，再加上支援多模感測器，能同時饋送訊號給多個並行人工智慧應用程式工作管線。</p> <p>這項新產品補充了Nvidia的人工智慧軟體堆疊，開發人員現在可以部署大型且複雜的模型到邊緣，以解決邊緣人工智慧和機器人技術所面臨的挑戰，像是自然語言理解、3D感測或是多感測器融合等，能夠用於發展物流機器人、工廠系統，以及大型工業無人機。</p> <p>由於Nvidia CUDA-X加速運算堆疊和JetPack SDK都支援Jetson AGX Orin，因此使用者可以利用當前的開發工具，來開發和最佳化應用，Jetson AGX Orin也能良好地支援特定框架，發展像是醫療保健或智慧城市等用例。</p> </div></div></div>
2021/11/11 11:09作者李建興https://www.ithome.com.tw/news/147761
美國國會推動新法案，讓使用者可退出社交平臺演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s3.documentcloud.org/documents/21100363/buck_030_xml-filter-bubble.pdf" target="_top">美國多名眾議院議員在近日提出了《過濾氣泡透明度法案》（Filter Bubble Transparency Act）</a>，將要求網路平臺允許使用者選擇未被演算法或其它過濾機制篩選過的服務。</p> <p>過濾氣泡一詞來自於網路活動家Eli Pariser，他在2011年出版了《過濾氣泡：網路對你隱藏的事》（The Filter Bubble: What the Internet Is Hiding from You）一書，描述當網路平臺根據使用者的資訊、來推斷使用者所偏好的事物時，從位置、過去的點選行為到搜尋歷史紀錄，便容易將使用者框限在自己的文化或意識形態中，在臺灣則經常被稱為同溫層，但Pariser認為這是一種智慧隔離的狀態。</p> <p><a href="https://www.axios.com/algorithm-bill-house-bipartisan-5293581e-430f-4ea1-8477-bd9adb63519c.html" target="_blank">推動該法案的其中一名眾議員Ken Buck向《Axios》表示</a>，消費者與網路互動時，應該有權選擇不受到基於其特定資料所衍生的秘密演算法的操縱。</p> <p>另一名眾議員David Cicilline則說，臉書與其它平臺透過不透明的演算法來擺布用戶，相關的演算法是以成長及獲利為優先，由於這些平臺的壟斷及支配的地位，令使用者幾乎沒有其它選擇，不管是社交平臺提供的內容、廣告或者是搜尋結果。</p> <p>包括臉書或Google都會根據使用者的喜好或習慣來推薦內容，一來可延長使用者與平臺互動的時間，二來也可增加使用者對廣告的點擊率。</p> <p>雖然聽起來《過濾氣泡透明度法案》有機會擴大使用者的視野或想法，也讓網路平臺不再操縱使用者，然而，外界也有不少質疑的聲浪，諸如當使用者追蹤了數百甚至數千名用戶時，若不使用演算法，很可能陷使用者於困境。</p> </div></div></div>
2021/11/11 10:15作者陳曉莉https://www.ithome.com.tw/news/147766
大陸工程用科技顛覆營造作業，IT親赴第一線找工地數位化痛點
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>走進如火如荼興建中的廣慈博愛園區社宅工地，除了會聽到工程機具震耳的聲音，還會感受一股其他工地沒有的科技味。</p> <p>工地工程師要進入工地，進行例行品質檢核作業，需先在入口處，經人臉辨識驗證身分，才能通過閘道。走進工地後，工程師第一個動作是拿出手機，因檢核作業需檢查的項目都在手機App上一覽無遺，能直接對照來逐項檢查和記錄，當場拍照上傳現場畫面到後臺留下記錄，不需像過去得回到工務所再手動上傳相片和手寫紙本記錄。</p> <p>這是大陸工程的工地現場新模樣，工地入口管制朝數位化發展，以更容易驗證工地進出人員身分，來確保安全性。透過客製開發的手機App，現場工程師更容易管理和記錄工程品質，來提升作業效率。把科技應用帶入人力作業為主的營建環境，背後關鍵人物就是大陸工程資訊部副總經理闕孝賓。</p> <p>近年來，少子化趨勢，再加上年輕人不願進入勞力密集的職場環境，營造業面臨嚴重的缺工問題，促使大陸工程意識到必須改變，闕孝賓坦言，找不到人，唯一能做的是提高每個人的工作效率，「而資訊應用是一個好的處方。」</p> <p>2013年年底加入大陸工程的闕孝賓，以打造大陸工程成為最科技的營建業者為目標。他表示，營造業以人力為主，過去並非不用資訊科技，而是使用程度比其他產業少。</p> <p>確實，身為臺灣營造產業龍頭的大陸工程，一直是業界引入資訊科技協助營運的領先者，比如，早在2002年便導入ERP，利用IT提升公司營運和管理能力，也是國內率先投入BIM建築資訊模型應用的營造業者，利用參數化的3D模型建構技術，整合不同設計到同一個視覺化模型中。</p> <p><span style="font-size:28px;"><strong>深化IT應用程度前，先全面調整資訊基礎建設</strong></span></p> <p>但對於成立超過75年的大陸工程，要進一步深化整體作業的資訊化程度，特別是改變工地現場作業模式，朝數位化發展，並非一蹴可幾。</p> <p>正式引入科技應用至工地現場前，闕孝賓先重新調整大陸工程的整體資訊基礎建設。他回顧職掌資訊部的前3年，像是重新打地基，他形容，就像是蓋房子必須先挖掘地下樓層，建立穩固的地基後，才能往上堆疊樓層。</p> <p>大陸工程資訊團隊由下而上，全面審視各項資訊建設的狀況，並且重新規畫資訊建設，從調整人員使用的電腦設備，到升級網路架構，確保工地能透過網路連結公司系統，到制定內部應用程式的新發展方向，再到規畫資安防護架構和措施，都是為了讓營造業能更進一步善用IT。</p> <p>待資訊基礎建設都整頓到位，大陸工程開始聚焦營造業最大的工作現場，也就是工地作業的數位化改造。但這不是一件容易的事，因現場人員幾乎全使用紙本作業、口頭溝通，且行之有年，如何改變這群人的習慣，是闕孝賓的一大挑戰。他直言，對工地人員來說，光是帶手機作業，就是一個相當大的改變。</p> <p><span style="font-size:28px;"><strong>至工地實際了解人員作業方式，找出資訊應用切入點</strong></span></p> <p>闕孝賓想到了說服現場人員改變作業方式的作法，他安排資訊人員親赴第一線，至工地現場端走一遭，實際了解工程師的作業情況，找尋資訊科技可切入的機會，針對作業流程的痛點，提出可對應提供的IT協助。</p> <p>於是，2017年，大陸工程IT部門成員時不時就會到工地現場蹲點，為了詳細觀察工程師的作業方式，往往一待就是數小時，有時甚至一整天，而且他們跑遍了各種類型的工地，包含地下隧道、建築大樓等，了解不同工地環境的作業狀況，為期半年以上。</p> <p>IT人員帶回了第一手現場資訊後，發現了一個關鍵痛點。當工地工程師進入工地檢查工程品質時，他們每到一個檢查定點量測完檢查項目後，需在紙本檢核表上手寫記錄工程品質的資訊，還需要拍照記錄，他們時常為了這些記錄過程手忙腳亂。不只如此，待他們回到工務所後，還需再將手寫資料再一次手動輸入電腦，以及篩選最適合照片上傳系統。</p> <p>闕孝賓表示，這等於是重工，做兩次，耗費人員大量的時間，且檢核作業是一項例行性工作。工程師每天都需檢查工地品質，有時更需一天檢查數回，要記錄工程進度、工程品質等不少資訊，來確保工程項目的質與量，能夠達到業主要求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-500-%E9%97%95%E5%AD%9D%E8%B3%93(1).jpg" style="width: 501px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span><br /><span style="font-size:22px;"><strong>大陸工程資訊部副總經理闕孝賓表示，現代IT需化被動為主動，至現場端實際了解營運作業模式，主動告訴使用者如何利用IT。</strong></span></span></p> <p><span style="font-size:28px;"><strong>數位化工程檢核作業，讓工程師線上記錄工程品質資訊</strong></span></p> <p>考量檢查作業的資訊改造，不會影響工程進度，也未觸碰工程核心，闕孝賓決定，工地管理數位化就從這裡著手。</p> <p>大陸工程IT團隊先檢視了所有工程檢核類型的紙本表單，包含水泥、安衛、鋼筋施工等檢核，找出共同規則，進而開發了一套工程專案管理App，提供開放性電子檢查表單，讓工程師可依需求設定欲檢查項目，進行檢核作業。</p> <p>利用這套App，工程師能直接在手持裝置上記錄工程品質資訊，並且快速上傳現場照片，待回到工務所後，只需再用電腦補充額外說明的文字並上傳表單，就能完成檢核作業。闕孝賓表示，通過這個新方式，工程師每回檢核時間可以節省1至2小時，大幅提升了作業效率，還可以提供管理團隊更即時且正確的資訊。</p> <p>正因為闕孝賓安排大量IT人員至現場了解工地狀況，資訊團隊才發現，有些工地無法連網，特別是高樓層、隧道等工地現場，所以，他們還替這支App特別增加了離線支援功能，一旦無法連網時可先把資料和照片記錄在手機上，等到恢復網路再回傳。這才真正把IT帶到任何工地的第一線作業人員手中，不受網路等外在因素影響。</p> <p>這支App自2019年上線後，大陸工程目前逾8成工地專案都已採用，包含所有的私人工程，還有部分公共工程，像是捷運萬大線其一工程、廣慈博愛社宅等，至今累計完成了5千張檢核表單。</p> <p>工程檢核數位化，只是大陸工程推動IT進入工地現場的開端，現在他們已經展開了第二階段的工地管理數位化工程，規畫新增包含與業主聯繫、與外部廠商傳輸文件等功能。</p> <p><span style="font-size:28px;"><strong>建反饋系統供全工地人員線上回報問題，提升工地安全</strong></span></p> <p>除此之外，因充滿重機具和建材的工地，非常危險，大陸工程今年進一步擴大工地資訊應用的使用對象，要讓工地現場所有人員都可線上提出建議，強化工地作業安全性。闕孝賓表示，一個現場的人員少則百人，多則達數百甚至千人，其中大部分人員來自下包商，然而，既有工地使用系統，僅供給內部人員使用，不含外包人員。</p> <p>他認為，資訊應用需拓展至每個人身上，讓工地現場所有人員，都可貢獻注意力，反饋需要改善的事項，共同來提升工地安全。因此，大陸工程建置了工地現場反饋系統，在工地各處張貼QR Code，人員掃碼後，就能進入反饋系統網站，線上提出建議，或是回報問題，取代以口頭表達意見的方式。</p> <p>闕孝賓表示，現場人員才是最清楚工地狀況的人，而非辦公室人員，透過系統蒐集人員意見，甚至各種問題，才能立即解決、排除狀況。</p> <p>大陸工程建立數位化工地反饋機制，其實有個更大的目的，那就是資料分析。藉由不斷收集現場人員的反饋，大陸工程要從中挖掘工程規畫的不足，比如說，若有多名人員提出相同的建議，就可以思考未來規畫工程時提前納入這項建議的必要性。</p> <p>近年，大陸工程努力耕耘資料分析應用，要讓資料產生更大的價值。闕孝賓表示，營造業過去依靠每月報表、工程進度報告等事後資訊，來做營運決策，然因這些資訊多半以文字呈現，不易分析。</p> <p>2017年時，大陸工程引入數據分析策略，由資訊部推動行政作業電子化，再逐步串接各部門資料流，包含採購、財務會計、ERP、工程進度等資料來進行分析，並利用儀表板呈現視覺化分析結果，讓主管們掌握營運洞察。闕孝賓表示，各部門主管無需再手握一疊紙本試算表資料，現在從儀表板就可立即掌握問題。</p> <p>以工程部門為例，藉由儀表板呈現的資訊，主管可掌握工地狀況，像是預算執行情況、工程進度等，來判斷是否需調整工程計畫的內容，加快下決策。</p> <p>然而，要實現完整的資料分析，得先統整現有各種報表資料，這又是另一項大工程。闕孝賓直言，資料整理過程相當痛苦，甚至各工地記錄工程進度的方式，不盡相同，因此很難自動化處理，須從源頭統一資料規格開始。</p> <p>過去，大陸工程數十處工地提交工地專案進度各自有不同格式，待呈報報表後，再由專責人員手動統一報表格式。資訊團隊後來先了解各工地記錄格式後，再進一步統一其記錄方式，包含量測單位、記錄頻率等，讓整個作業流程可以轉為自動化記錄的方式後，再利用分析軟體進行分析，產生可供決策用的視覺化分析結果。</p> <p>下一步，大陸工程還要嘗試在預防性情境上導入AI應用，像是預測工地端設備汰換的需求，擴大資料分析的效益。</p> <h1><strong>擁抱雲端從導入SaaS開始，再搬遷ERP上雲</strong></h1> <p style="margin-left:.05pt;">工地現場持續數位化的同時，大陸工程在資訊基礎建設的發展也沒有停下腳步。這幾年，大陸工程也開始積極擁抱雲端技術。</p> <p style="margin-left:.05pt;">2016年時，大陸工程開始嘗試導入SaaS服務，包含問卷、視訊會議等，供各部門使用，藉此讓人員習慣雲端服務的使用方式，也逐步接受雲端概念。且闕孝賓認為，要加速應用新資訊服務的速度，就必須採用雲服務。</p> <p style="margin-left:.05pt;">不過，要讓管理高層接受，在摸不到、看不到的外部雲端環境上執行系統，並不容易。與多數企業一樣，大陸工程高層對資料儲存在異地，起初也會感到害怕，闕孝賓花了一番心力和時間，才慢慢說服高層和各部門人員。</p> <p style="margin-left:.05pt;">正因先前累積了SaaS服務的使用經驗，甚至大幅調整了資訊基礎建設的數位化策略，大陸工程後來若要購買現成資訊服務時，就會優先考量雲端服務。</p> <p style="margin-left:.05pt;">到了2019年時，適逢地端ERP系統伺服器達使用年限，大陸工程也趁勢搬遷ERP上公有雲，開始擁抱IaaS服務，高層這次就不再害怕雲端環境，且能接受在雲端環境執行關鍵性系統。</p> <p style="margin-left:.05pt;">考量資安因素，闕孝賓計畫採用混合雲架構，保留地端機房，執行純內部使用的服務，讓人員在封閉內網使用，逐步搬遷外部人員會使用的服務，上雲。他解釋，若要提供外部人員使用機房內服務，內部網路需要開放外部存取，可能會產生風險，因此，他們決定將需對外提供的服務，逐步往雲端搬遷。</p> <p>大陸工程大力朝數位化發展，各部門持續擴大擁抱IT，提升營運效率。闕孝賓表示，「IT團隊現在很幸福，但也很辛苦，」因為越多IT需求出現，代表越多人需要IT，讓IT很有存在感，但是，IT也得更快速提供新服務和好的服務給使用者，「相當辛苦。」他說。</p> <p>隨著資訊科技在營造業可發揮的空間，越來越廣，闕孝賓認為，資訊團隊必須改變態度，才能彰顯價值。他表示：「現代IT需要化被動為主動！」</p> <p>不能只聽使用者描述需求，他更堅信，IT人員需要到現場實際了解使用者的日常運作，掌握人員的作業模式。如此，資訊團隊才能規畫符合使用者需求的功能，甚至有機會發覺使用者習以為常的作業痛點。他強調，IT現在不再等待需求出現，而是主動告訴使用者可如何利用IT，提升生產力。</p> <p>大陸工程將持續深化資訊科技的應用程度，除要提高營造施工的效率外，還要提升工地現場的安全性，朝成為最科技的營建業者的目標，繼續邁進。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 經理人小檔案 </span></strong></span></p> <p><strong>闕孝賓　大陸工程資訊部副總經理</strong></p> <p>學歷：美國福坦莫大學財金管理MBA</p> <p>經歷：擁有豐富跨產業資訊管理經驗，橫跨電商、製造、軟體和科技業，曾擔任科立爾資訊部協理，於2010年在醫療器材商安洛杰任全球資訊架構負責人，3年後加入欣陸投控擔任資訊長，同時接掌其子公司大陸工程資訊部副總經理一職，深化IT應用，推動工地管理數位化</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>大陸工程</strong></p> <p>● 地址：臺北市敦化南路二段95號</p> <p>● 網址：<a href="http://www.continental-engineering.com">www.continental-engineering.com</a></p> <p>● 成立時間：1945年</p> <p>● 主要業務：營造工程</p> <p>● 總部：臺北市</p> <p>● 員工數：約1,100人</p> <p>● 資本額：約44億元</p> <p>● 年營收：約140億元 (2020年)</p> <p>● 董事長：殷琪</p> <p>● 執行長：Simon Buttery</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>● 資訊部門主管職稱：副總經理</p> <p>● 資訊部門主管姓名：闕孝賓</p> <p>● 直屬主管：執行長</p> <p>● 資訊部門人數：27人</p> <p>● 資訊部門分工：ERP組、系統組、應用開發組、用戶支援組</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>● 2002年：導入ERP系統</p> <p>● 2014年：重新規畫資訊科技應用，調整各項資訊建設，包含網路建設、人員電腦設備，還有確立內部使用程式的發展方向</p> <p>● 2016年：開始導入SaaS服務，像是問卷、視訊會議等</p> <p>● 2017年：引入數據分析策略，逐步串接各部門資訊系統，進行營運分析，並用儀表板呈現視覺化分析結果；資訊部人員至工地現場，實際掌握工地作業方式，了解工地人員痛點</p> <p>● 2018年：決定數位化工地品質檢核流程</p> <p>● 2019年：搬遷ERP上雲、工程專案管理App上線</p> <p>● 2021年：工地現場反饋系統上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/web-960-que_xiao_bin_-v2.png" width="960" height="420" alt="" title="大陸工程資訊部副總經理闕孝賓　（攝影／洪政偉）" /></div></div></div>
2021/11/11 07:00作者黃郁芸https://www.ithome.com.tw/people/147682
親眼所見就一定是真相嗎
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960_ling_si_wei_mang_dian_tu_pian_lai_yuan_tian_xia_za_zhi_chu_ban_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當你想到某位具有傑出判斷力的人，什麼樣的特質會浮現在你腦海中？也許你會想到智力、機靈、勇氣或耐心等等。這些都是值得羨慕的優點，但有一個特點理應排在最前面，卻被忽視了，它甚至沒有一個正式名稱。</p> <p>因此我給它取了個名字，稱之為「偵察心態」（scout mindset），亦即渴望看到事物本來面目，而不是你所希望的樣子。偵察心態能讓你辨識出自己出錯的時候、找出你的盲點、測試你的假設，以及改變歷程。它能驅動你誠實地問自己一些問題，諸如「我在那場爭論中有錯嗎？」、「值得冒這個險嗎？」或者「如果另一個政黨的人做了同樣的事，我該如何反應？」等等。</p> <p>生活都是由各種主觀判斷所組成，你越能避免扭曲你對現實的看法，你下的判斷就會越好。偵察心態能讓你避免在一般人傾向於合理化的棘手問題上欺騙自己，比方說：我是否該為那種疾病做檢查？是該停損的時候嗎？還是說我放棄得太早了？我們的關係會變得更好嗎？關於想要孩子這件事，我的另一半改變想法的可能性有多大？</p> <p>在工作上，這些棘手的問題可能包括：我真的必須解雇那個員工嗎？為了明天的簡報，我需要準備多少？對我的公司來說，現在募集大量資金是最好的選擇嗎？還是我只是被籌募資金為我帶來的立竿見影效果所誘惑？我真的需要在上市發表之前不斷改進這款產品嗎？還是說我只是在尋找理由延後發布？</p> <p>偵察心態促使我們質疑自己的假設，並對我們的計畫進行壓力測試。無論你要提出一項新產品功能或計畫進行一項軍事演習，自問諸如「最可能失敗的方式會是什麼？」這樣的問題很重要，如此你便能事先針對這些可能性，設法強化你的計畫。如果你是醫生，這就表示在確定你最初的猜測之前，要考慮其他的診斷。比方說在懷疑病人患有肺炎時，自問：「如果這不是肺炎的話，那還有可能是什麼呢？」</p> <p>即使是那些看似不需要仰賴偵察心態的工作，一旦你仔細觀察，通常也都是需要的。大多數人通常都會將「律師」與「為某一方辯護」聯想在一起。但當律師在選擇案件並為審判做準備時，他們需要對案件的優劣勢有全盤的了解。若高估了自己的立場，就會在法庭上被狠狠地敲醒。這就是為何有經驗的律師經常把客觀和自我懷疑，列為職業生涯中必須學習的最重要技能之一。</p> <p>在我們與他人的關係中，我們構建了獨立、自成體系的敘述，從內心看來，就好像這些敘述純粹都是客觀事實。一個人的「我的伴侶對我漠視、冷淡」，可能是另一個人的「我很尊重地給他空間」；一個人的「真實」，可能是另一個人的「粗魯」。願意考慮其他詮釋（甚至相信除了你自己的解釋之外還有其他合理的解釋），需要具備偵察心態。</p> <p>做一個樂於接受真相的人（即使那是痛苦的），如此別人才會願意誠實以對。你可以說，你想讓你的伴侶告訴你存在於你們關係中的任何問題，或者你想讓你的員工告訴你關於公司的任何問題，但如果你一聽到真相就變得防禦心重或好鬥，那麼你聽到真相的次數可能少之又少。沒有人想成為被槍殺的信使。</p> <p><span style="font-size:28px;"><strong>一個問題，反轉Intel微處理器的命運</strong></span></p> <p>幾年前，我認識一位法律系的學生，姑且叫她凱莎（Keisha），她在法學院念得很不開心，對於成為一名律師也不感興趣，但她總是打消退學的念頭。她的一個朋友問她：「你留在法學院只是為了不想讓你的父母失望嗎？如果你知道他們不在乎，你會改變決定嗎？」</p> <p>「不，我才不是因為他們而留在法學院。那太荒唐了。」凱莎堅定地說。</p> <p>她的朋友再推她一把，這次讓問題更加生動鮮明：「好，想像明天你的父母打來跟你說：『凱莎，你知道嗎，我們一直在討論這件事，我們擔心你在法學院不開心。我們只是想讓你知道，我們不在乎你是否退學，我們只是想讓你做你喜歡做的事。』」</p> <p>接著凱莎意識到：如果是這樣，我會馬上從法學院退學。</p> <p>光是仔細審查你的推論、並認定它有其道理，並不足以發現你正在自我辯護、不當合理化現實。你必須將你的論證方式與你在一個反事實的世界裡「可能會有」的論證方式進行比較，在這個世界裡，你的動機是不同的。如果有個政客與你不同政黨，你會以不同的方式判斷他的行為嗎？如果是你的朋友而不是你的配偶提出的建議，你會以不同的方式評價它嗎？如果某研究的結論支持你的觀點，你會認為該研究的方法論合理嗎？</p> <p>當然，你不能確定假如在不同情況下你會做何種推論。但你也可以退而求其次做以下事情：藉由思考實驗，虛擬地窺視反事實世界。</p> <p><span style="color:#B22222;"><strong>局外人測試</strong></span></p> <p>對於科技公司英特爾來說，1985年上半年是一個「嚴峻而令人沮喪」的時期。英特爾專精於記憶體晶片的業務一直都在蓬勃發展。但到了1984年，他們的日本競爭對手已經找到了製造比英特爾更快更好的記憶體晶片的方法。</p> <p>當英特爾的領導階層眼見日本的市場占有率飆升、而自己的卻暴跌時，他們不停地討論該怎麼做。他們在記憶體晶片的市場就要被摧毀了，他們是否應該嘗試進入另一個市場？但記憶體是英特爾的身分標記，一想到不再是一家「記憶體公司」實在令人感到震驚，幾乎就像是對宗教教條的褻瀆。</p> <p>在英特爾（Intel）聯合創始人安迪．葛洛夫的回憶錄《10倍速時代》（Only the Paranoid Survive）中，他描述了自己與英特爾另一位聯合創始人戈登．摩爾（Gordon Moore）的對話，那場對話最終拯救了這家公司：</p> <p>我們的情緒很低落。我望著窗外遠處大美洲主題公園旋轉的摩天輪，然後我回過頭來問戈登：「如果我們被開除，董事會會換一個新的執行長，你覺得他會怎麼做？」</p> <p>戈登毫不猶豫地回答：「他會讓我們走出回憶。」我呆呆地盯著他，然後說：「你和我為什麼不走出這扇門，再回來自己動手呢？」</p> <p>從外部的角度來看，一旦他們認知到，放棄曾經著名的記憶體業務是一個顯而易見的選擇，他們的決定幾乎就是正確的。這就是英特爾如何從1980年代中期的低迷中重新煥發活力的原因，它將重心從記憶體晶片轉移到今日最知名的產品：微處理器。</p> <p>葛洛夫和摩爾所做的思考實驗被稱為「局外人測試」：想像別人站在你的位置上，你期望他們會怎麼做？當你在做一個艱難的決定時，該怎麼做的問題可能會和其他充滿情緒化的問題糾葛在一起，例如：「我遇到這種情況是我的錯嗎？」或是「如果我改變主意，人們會對我嚴加批判嗎？」局外人測試旨在消除這些影響，讓你只對處理當前這種情況的最佳方式做出誠實的猜測。<span style="color:#696969;">（摘錄整理自《零盲點思維》，天下雜誌出版提供）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/250_%E9%9B%B6%E6%80%9D%E7%B6%AD%E7%9B%B2%E9%BB%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88(2).png" style="width: 250px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_天下雜誌出版</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span> </strong></span><strong>零盲點思維：8個洞察習慣，幫你自動跨越偏見，提升判斷能力</strong></p> <p>茱莉亞．蓋勒芙（Julia Galef）／著；許玉意／譯</p> <p>天下雜誌出版</p> <p>售價：380元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>茱莉亞．蓋勒芙（Julia Galef）</strong></p> <p>茱莉亞．蓋勒芙是受歡迎的Podcast節目《理性來講》（Rationally Speaking）主持人，她在節目中曾訪問泰勒．柯文（Tyler Cowen）等著名思想家。她也是非營利組織OpenAI的顧問，與Open Philanthropy Project合作，共同創立非營利組織應用理性中心（Center for Applied Rationality）。</p> </div></div></div>
2021/11/11 07:00未署名https://www.ithome.com.tw/article/147688
揭露型態邊界的彌封類別
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Java 17中，彌封類別（sealed）成為正式特性，在定義類別或介面時，可使用permits指定可直接繼承或實作的子型態，最後使用sealed彌封整個類別階層。</p> <p>例如，定義List介面只能有Nil與Cons兩個子類別，它們必須在相同套件或模組之中，也只有Nil與Cons類別能直接實現List：</p> <pre> sealed interface List<T> permits Nil, Cons<T> { T head(); List<T> tail(); }</pre><p>彌封了整個類別階層，初看會有些疑慮：阻止其他擴充可能性之目的何在？這不是違反封裝嗎？permits列出的清單，不是曝露了實作嗎？</p> <p><span style="font-size:28px;"><strong>限制類別階層？</strong></span></p> <p>就實務面來看，有時就是需要限制子型態的可能性，例如，在建立3D繪圖軟體時，決定採用點、邊、線、面與實體來表示形狀，在建立模型時，就必須限制Shape型態只能有Vertex、Edge、Wire、Face、Solid子型態，也就是說，若領域中建模對象的型態邊界已知，阻止其他擴充可能性，就會是個需求。</p> <p>對於封裝，許多人的迷思在於，封裝必然與隱藏畫上等號，其實，封裝真正的目的，在於隱藏無需關心的細節、揭露感興趣的部份，例如，先前專欄<a href="https://www.ithome.com.tw/voice/147531" target="_blank">〈不只是語法糖的記錄類別〉</a>就談到，記錄類別的目的，就是要明確地將資料載體的名稱、結構、狀態等揭露出來，因為對於一個資料載體，關心的正是這些資訊。</p> <p>permits列出的清單，確實是曝露了實作，或者應該說，曝露實作才是permits真正的目的：領域中建模對象的型態邊界已知，使用者必須明確地知道這個型態邊界。限制類別階層只是在語法上，由編譯器實現出的效果，然而sealed與pemits的結合，在語義上的真正目的是「明確地揭露型態邊界」，讓開發者可以掌控型態邊界，型態的使用者也能清楚邊界所在。</p> <p><span style="font-size:28px;"><strong>型態邊界的細化</strong></span></p> <p>若真要從限制的角度來看彌封類別，其實被限制的只有直接擴充的可能性，例如，在定義Vertex到Solld等Shape子類別時，不一定要限定為final，還可以是sealed或non-sealed。換言之，就多型來看，可操作的Shape實例，只要是Vertex到Solld等型態就可以了，必要時，Vertex到Solld等型態，可以再次sealed，（讓型態的使用者可以）揭露各自的型態邊界，或者使用non-sealed，讓Vertex到Solld等，可以進一步擁有多樣化的子型態。</p> <p>這意味著，型態邊界的細化並未受限制，就Shape來說的型態邊界是Vertex到Solld，然而，在必要時，Vertex還可以進一步細化出Point2D、Point3D，也就是定義Vertex可以使用sealed修飾，明確揭露Vertex的邊界。</p> <p>這也是JEP 360中談到的，對於彌封類別允許的子型態，不能限制這些子型態再被擴充的可能性，這也是促使彌封類別加入Java的原因之一，因為單就限定子型態來說，Java 17之前，可以透過套件權限達到某種程度的實現。</p> <p>例如，若父類別沒有任何權限修飾，就只能在同套件中使用，開發者就只能在同套件中定義子型態，從而限制了子型態的可能性，然而因為無法存取父類別，也就無法從事多型操作。</p> <p>另一種方式是，若父類別建構式沒有任何權限修飾，就只能在同套件中呼叫，其他套件的類別無法繼承該父類別，因為沒有呼叫父類別建構式的權限，會引發編譯錯誤，如此一來，開發者就可以放心地在同套件中定義子型態。</p> <p>然而，這種方式也阻止了客戶端進一步細化型態邊界的可能性。例如，採用此方式定義了Vertex到Solld等型態為Shape的子型態，客戶端將無法進一步將Vertex細化出Point2D、Point3D。</p> <p><span style="font-size:28px;"><strong>Enum 2.0？</strong></span></p> <p>透過彌封類別揭露型態邊界之後，由於型態邊界是透明的，易於讓開發者與使用者清楚邊界所在之外，在需要列舉子型態的場合，編譯器也就有辦法推論，是否列出了全部的子型態，例如，目前Java 17中若開啟預覽特性，使用switch模式比對（JEP 406），若lt為方才定義的List型態，可以如下進行模式比對：</p> <pre> switch(lt) { case Nil nil -> 0; case Cons<Integer> cons -> cons.head() + sum(cons.tail()); };</pre><p>這邊不需要自行加入default，對於彌封類別，編譯器發現未列舉出全部子型態，會自動加入default，執行內容為拋出IncompatibleClassChangeError實例，這樣的行為令人聯想到Java 5就加入的Enum特性，編譯器有辦法檢查switch的案例，是否涵蓋全部列舉值，甚至有些人直接將彌封類別比喻為Enum 2.0。</p> <p>但是，本質上還是不同，最大的差別在於，Enum列舉的是一組「常數」，如果用Enum的清單有5個，那麼就只有5個值，而彌封類別列舉的是一組「型態」，如果彌封類別允許了5個子型態，各型態可以有無數的實例。</p> <p>在實現彌封類別子類時，我們可以使用記錄類別，〈不只是語法糖的記錄類別〉談到，未來版本的Java，會有針對記錄類別的解構模式比對（JEP 405），若將以記錄類別實作Cons類別，方才的switch，未來或許可以如下撰寫（正式語法尚未確定），如果你曾使用直接支援函數式程式設計的語言，例如Haskell或Scala，此時馬上就會識別出來，這是處理代數資料型態（Algebraic data type）常見的拆解模式：</p> <pre> switch(lt) { case Nil nil -> 0; case Cons<Integer>(head, tail) -> head + sum(tail); };</pre><p><span style="font-size:28px;"><strong>揭露型態邊界後的效益</strong></span></p> <p>在2012年JCD大會，我談過〈Java開發者的函數式程式設計〉，有興趣可參考<a href="https://bit.ly/3BbIvDg" target="_blank">〈Java Lambda Tutorial〉</a>第二個區塊的文件，沒想到其中的範例，九年多之後，可重新用彌封類別等特性，更貼切地實現（可參考<a href="https://bit.ly/3Aa81Yp" target="_blank">〈代數資料型態：Java 17〉</a>這個gist）。</p> <p>與其將彌封類別比喻為Enum 2.0，不如說彌封類別與記錄類別若能彈性結合，可實現廣義的列舉（generalized enums），因為從代數資料型態的角度來看，彌封類別其實是Sum型態，而記錄類別是Product型態（可參考先前專欄<a href="https://www.ithome.com.tw/voice/91111" target="_blank">〈重構與代數資料型態〉</a>），而在純函數式中，Product型態與Sum型態可以組合，構成各式各樣的型態。</p> <p>確實地，未來Java對函數式會有更多的支援，但Java終究不是純函數式語言，這類支援有其適用與不適用的場合，選擇適當的時機加以運用即可，知道彌封類別是Sum型態，好處是可以從另一個角度來更認識它，或者說可以瞭解到，先前談到的限定類別階層、switch模式比對、解構模式等，以及對純函數式更多的支援，都是在明確揭露型態邊界之後，可以得到的效益！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/java-17">Java 17</a></div><div class="field-item odd"><a href="/tags/%E5%BD%8C%E5%B0%81%E9%A1%9E%E5%88%A5">彌封類別</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2021/11/11 07:00作者林信良https://www.ithome.com.tw/voice/147716
Nvidia展示Kiosk點餐機上實現多AI技術應用與更聰明虛擬助理化身，還布局3大Edge AI技術搶攻機器人AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>試想一下，你到了一家美式速食店，只要對著Kiosk點餐機臺說出你要的餐點，不用輸入就能自動完成點餐到結帳，因為Kiosk上有個AI虛擬助理，不只聽得懂你要點的起司漢堡是什麼口味，還會根據不同客人來推薦套餐或適合加哪些配料，甚至顧客要查詢食物的蛋白質含量，或想要素食漢堡也難不倒它。它還能化身Q版機器人，現身在螢幕中，與人面對面交流及互動，並依據交談內容做出生動的表情和手勢。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap15.png" style="height: 322px; width: 600px;" /></p> <p>這是在今年秋季GTC大會上，Nvidia展示Kiosk機上實現多AI技術應用與更聰明虛擬化身，Nvidia研發團隊運用電腦視覺、深度互動式對話AI技術Riva以及使用Omniverse平臺來模擬虛擬化身的臉部表情、手勢、身體動作，來提供一種即時對話式機器人應用。不只讓AI有了自己的化身，走進kiosk點餐機，這樣的即時對話式機器人，也能在汽車影音娛樂系統做應用，或是當起跨國線上視訊會議上的主持人，來同步提供多國語言的即時內容翻譯。這樣AI場景應用，不再是出現在少數企業的應用，甚至開始進到一般的生活場景。</p> <p>除了AI有自己的虛擬化身，Nvidia執行長黃仁勳自己也有，早在今年4月GTC的Keynote活動上，黃仁勳曾有幾秒鐘替換為逼真的虛擬分身上陣，所以外界十分好奇，這次會不會一樣有虛擬分身出場，在會後一場線上亞太上記者會上，黃仁勳也給出了答案，他說，這場Keynote中出現的場景，都是虛擬的造型，包括他自己。</p> <p>不光是有真人尺寸的虛擬黃仁勳發表新產品，在整場主題演講中，他還介紹了另一個迷你版分身，還是一個Q版卡通造型的虛擬化身，能夠代替自己與真人交談、回答各種艱深提問，像是表達對於氣候變遷看法等等，而且舉手投足都將本尊模仿唯妙唯肖，甚至連講話語氣也十分相似。這項技術同樣運用到了多種AI語音、自然語言理解技術、GPU運算和Omniverse平臺加以實現。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap16(1).png" style="width: 600px; height: 281px;" /></p> <p>在整個發布會中，黃仁勳主要圍繞7大主軸，涵蓋量子運算、AI推論平臺、speech AI、LLM（ large language model）、Omniverse平臺、機器人以及高速網路平臺Quantum-2。</p> <p>首先，在加速運算上，他提到，加速運算一直都是在處理full stack運算的問題，需要考慮到不同應用、不同產業，而且跨雲端到邊緣，不論是GPU、CPU和DPU ，也不分DGX、HGX、EGX、RTX、AGX等系統，都需要有各種優化的SDK，來提供這些行業或產業做加速運算使用。他說，目前有3百萬名開發者使用Nvidia提供的150個加速運算函式庫用於繪圖、AI和機器人。</p> <p>在這次GTC上，Nviidia更釋出65個新的或更新的函式庫，提供各產業使用，像是物流倉儲搬運機器人用的ReOpt，可優化機器人移動與行駛路線，也有為機器學習慣用的程式語言Python ，推出了cuNumeric來加速其擴充函式庫NumPy，支援更大規模的矩陣運算。還有針對量子運算提供cuQuantum函式庫，供研究人員進行科學研究。</p> <p>在AI開發框架方面，該公司釋出兩個重要的框架，一個是Modulus機器學習開發框架它是一個專用於physics-ML models的開發框架，可以讓建立和訓練的ML模型，擁有物理知識和學習能力，以解決物理層面問題。甚至他表示，因為了擁有物理知識的機器學習，加上GPU加速運算、資料中心等級運算規模，將可以在藥物研發和氣候變遷的變革上，帶來百萬倍發展的加速。</p> <p>另一個開發框架則是和超大AI模型訓練有關，Nvidia發布一個NeMo Megatron深度學習框架，專用於LLM模型（ large language model）訓練使用，因為這樣的框架，還推出一個預設LLM模型NeMo Megatron 530B，讓企業或開發者能使用它訓練出自己的LLM語言模型做應用。該語言模型預設使用多達5,300億個參數，比OpenA的GPT-3語言模型還要多3倍，並且支援多GPU、多節點分散式架構。</p> <p>除了提供訓練用的LLM模型，Nvidia還推出一臺 Triton推理伺服器，可供LLM模型推論使用。由於LLM模型是AI理解語言、語意、上下文脈絡很重要的關鍵，黃仁勳也看好LLM模型的發展，將成為未來主流HPC應用。</p> <p>在企業AI軟體方面，Nvidia原本就有建立相當完整的生態系，涵蓋雲端、本地、邊緣和嵌入式裝置，這次更進一步與資料中心代管服務商Equnix合作，來提供一種企業預安裝和整合服務，稱為LaunchPad，除了可以將這些AI軟體部署在企業資料中心內，也能選擇部署於Equnix機房中，不過目前亞洲只有東京和新加坡能選用。</p> <p>Nvidia在同一天推出互動式對話AI引擎Riva，強調只要30分鐘的語音資料訓練，就能產生語音合成模型建立新的AI語音系統，來做為語音助理使用，最多可以支援7種語言，包括中文、英文、日文、西班牙文、德文、法文、俄文。除於語音，Riva也能提供翻譯、即時字幕顯示功能，也能進行問題回答、歸納和理解說話者意圖等。</p> <p>由於企業與工業邊緣是下一波AI主戰場，黃仁勳特別以機器人應用為例，強調該公司推出多個邊緣端專用的機器人應用框架，包括電腦視覺平臺Metropolis、新一代醫療儀器設備平臺Clara Holoscan、Isaac機器人軟體開發套件以及Drive車用平臺等。</p> <p>值得一提的是，黃仁勳在會中也揭露出該公司在Edge AI的布局，主要有3大關鍵技術，分別是統一運算框架（ Unified Computing Framework,UCF）、虛擬化身的Maxine機器人平臺、虛擬世界模擬引擎Omniverse。</p> <p>UCF是一種協助建立機器人AI應用的通用運算框架，企業能夠使用它在機器人上來實現各種AI應用所需的運算，而且利用UCF開發出來的AI應用，可以部署到各種機器人應用環境，不論是資料中心，或是倉庫、工廠邊緣使用的嵌入式機器人系統或裝置上。目前Nvidia在一些機器人新產品上也開始使用UCF框架做為運算框架，例如Clara Holoscan就是一個使用UCF打造的一個軟體定義式醫療儀器設備平臺，除了可以部署在資料中心，也能夠在邊緣端來使用。另一個虛擬化身的Maxine機器人平臺，同樣採用UCF框架搭建，而且可以結合Omniverse搭建的虛擬世界來做應用。黃仁勳表示，未來會有更多技術整合到Maxine中做運用，包括電腦視覺、神經網路繪圖、動畫模擬、AI語音以及對話管理、NLU和推薦等。</p> <p>Nvdia展示了Maxine在智慧零售場景應用，像是建立一個會說話的Kiosk機臺語音助理，不只提供顧客進行語音點餐，還會介紹餐點，回答客人提問，甚至根據每位客人特徵來推薦適合的餐點。該應用結合電腦視覺、互動式對話AI技術Riva以及使用omniverse來模擬的虛擬化身的臉部表情、手勢、身體動作、來提供一種即時對話式機器人應用。</p> <p>在Omniverse平臺方面，除了在數位雙生應用有更多企業採用之外，該公司推出Omniverse Avatar虛擬化身模擬平臺，整合電腦視覺、語音AI、自然語言理解（基於Megatron框架）等技術，讓企業可以在模擬虛擬世界中打造出更聰明的AI虛擬化身，來帶來各種對話式的應用或服務。例如Q版的虛擬黃仁勳就是其中一個應用例子。新推出的Omniverse Replicator模擬框架，則是能產生模擬真實世界所需的物理數據，例如道路表面等，來累積道路環境數據，以加速如自駕車 AI 模型訓練。</p> <p>最後，他提到，未來將打造一個可以模擬和預測氣候變遷的地球數位分身，並將搭載於新一代超級電腦Earth Two （E-2）上，同時會使用到modulus機器學習模型來產生出符合真實地球物理樣貌，用來加速建立數位分身的地球。</p> </div></div></div>
2021/11/10 17:00作者余至浩https://www.ithome.com.tw/news/147759
台灣氣候模擬系統自主研究十年有成，未來台灣春雨將減少、颱風侵台頻率降低但強度增加
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球氣候變遷劇烈，近年來極端型氣候往往造成產業及民眾的損失，各國紛紛推動氣候模擬研究，以提高對未來氣候變遷的理解，台灣也不落人後，在科技部支持下，一群來自中研院、臺師大、國家災害防救科技中心等單位研究者，共同組成台灣氣候模擬系統發展團隊，今天展現其研究成果，除了被國際性氣候研究報告採用，該團隊透過模擬揭露台灣未來的氣候變遷趨勢：春季與秋冬季鋒面發生頻率降低，春雨將明顯減少，颱風侵台頻率雖然減少，但強度增加，因應未來台灣氣候變遷趨勢，政府及產業應及早研擬對策。</p> <p>科技部從2011年開始推動台灣的氣候模擬系統自主發展能力，歷經10年的發展，我國在氣候模擬系統已小有成就，除了已能模疑台灣的氣候變遷、極端型或災害型氣候，也有能力參加國際性的氣候研究，聯合國的政府間氣候變遷專門委員會8月公布的氣候研究報告，IPCC AR6氣候變遷第6次評估報告也參考台灣的資料。</p> <p>帶領該團隊的中央研究院環境變遷研究中心特聘研究員許晃雄表示，氣候系統模式，簡言之，是將發生在地球的氣候模擬出來，許多研究模擬未來數十年、數百年，甚至模擬千年都有。地球是很多不同子系統的交互作用，因此系統模式必需能準確模擬全球的氣候狀態，以及模擬較小尺度的颱風、午後對流的雲發展，其中必需考慮到許多因素，包括海洋系統的洋流、黑潮，陸地的植被，人為的空氣污染或溫室氣體等等，甚至將全球氣候變遷趨勢降尺度，降尺度至模擬台灣某個鄉鎮的未來氣候變遷。</p> <p>目前，國內的氣候模擬從全球到區域可分為三種，第一種是以美國國家大氣研究中心地球系統為基礎，依照台灣的特殊環境調整獨有的模式，解析度較粗約100公里的台灣地球系統模式TaiESM1，用以解析地球系統的運作，由於為較粗解析度，無法詳細解析台灣的氣候。</p> <p>第二種是高解析全球大氣模式HiRAM/GFDL，解析度為25或50公里，可模擬極端天氣，例如颱風的颱風眼、眼牆等，但該模式以大氣為主，並未納入海洋；第三種則是如氣象局預報的區域氣候模式WRF/TCCIP，解析度3到5公里，能夠模擬到台灣的氣候、颱風、豪雨或是午後雷陣雨。</p> <p>團隊以台灣的名義，以TaiESM1與HiRAM參與第6期耦合模式比對計畫CMIP6，該計畫為IPCC AR6報告所採用的科學基礎，證明我國發展的氣象模擬模式在40個國家地區提出的模式中，根據計算積分和日本氣象廳相當，優於韓國、中國等所提出的模式。</p> <p><span style="color:#B22222;"><strong>未來台灣北部的春雨、侵台颱風將減少</strong></span></p> <p>為了獲得運算資源，該團隊與國網中心合作，利用超級電腦的CPU計算大量數據，仰賴的超級電腦從過去的御風者，到台灣杉1號、台灣杉3號，結合地球系統模式及高解析全球大氣模式模擬台灣的未來氣候變化。</p> <p>許晃雄表示，不論是模擬世紀中（2040到2060）或是世紀末（2075年到2100年），從粗解析度或細解析度模式，都發現東亞的春季鋒面雨量未來將顯著減少，並非台灣特有的現象，東亞地區從華南、華中到日本都是如此。</p> <p>若單獨看台灣的未來春雨雨量變化，2040年到2060年的模擬顯示，除了台灣北海岸、雪山山脈迎風面雨量較多之外，其他地區的春雨將會顯著減少，換言之，面臨的乾旱威脅增加。「未來台灣北部的春雨將顯著減少，今年的乾旱雖不見得是環境氣候造成的，但仍給予我們很好的機會，如何應付未來春季水資源短缺的問題」，許晃雄說，</p> <p><strong>系統模擬顯示，未來台灣的春雨將愈來愈少，而乾旱的威脅增加(來源科技部提供)：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/climate-1.jpg" style="width: 600px; height: 343px;" /></p> <p>至於挾帶豐沛雨量、強風，每年造成台灣災情損失的颱風，從氣候模擬結果來看，許晃雄指出，到世紀末，西太平洋的颱風將會減少約4成，模式推估未來侵台的颱風數也會減少，但若是有颱風侵台，平均強度將增強，從系統模擬來看，200與100公里內平均降雨率將增加44%與20%。若以過去造成台灣重大水災的莫拉克颱風為例，在阿里山的降雨量約為3公尺，若在世紀末侵台，降雨量可能增至4公尺，類似莫拉克的颱風未來侵台將造成更大的衝擊。</p> <p><strong>由於全球暖化的影像，颱風減少，上圖的紅點為現在生成的颱風數量，下圖為模擬世紀末的颱風數，紅點數量明顯減少。西北太平洋的颱風也顯著減少(來源科技部提供)：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/climate.jpg" style="width: 600px; height: 366px;" /></p> <p>而颱風雖造成災情，但每年對台灣貢獻顯著的雨量，是我國水資源運用的重要來源，而這個情形未來也將出現變化。從模擬推估，颱風貢獻台灣全年總雨量，從世紀中就會減少，到世紀末將會更嚴重。「颱風對每年總雨量的貢獻將會減少非常多」，許晃雄說。</p> <p>該團隊總結，未來西北太平洋颱風發生次數顯著減少，但強度及雨量明顯增強，侵台的颱風頻率也顯著減少，雖對全年總雨量貢獻降低，但颱風的強度及雨量顯著增加。另一個貢獻雨量的鋒面部分，台灣及鄰近地區的春季、秋冬季鋒量發生頻率也會明顯降低，春雨將顯著減少，至於夏天的午後雷陣雨，頻率降低至降雨強度增加。許晃雄表示，氣候模擬將可用來評估未來氣候變切趨勢，對台灣的水資源運用、公共衛生、生態環境、社會經濟、人民福祉的衝擊，找出調適策略做好準備，以降低衝擊。</p> <p> </p> </div></div></div>
2021/11/10 19:00作者蘇文彬https://www.ithome.com.tw/news/147762
【資安週報】2021年11月4日至10日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在最近一週的資安新聞裡，詐騙事件、開發工具Npm套件COA的供應鏈攻擊，以及線上股市交易平臺Robinhood的資料外洩，都相當值得留意。尤其是與一般民眾有關的秀泰影城遭駭，導致近百人接到詐騙電話，其中有人損失上百萬元，民眾應該要對於這種類型的詐騙事件提高警覺。此外，因疫情持續延燒而更加普遍採用的QR Code付款，也出現在加密貨幣的詐騙事件，而使得這些被騙走的錢財更難以追回。</p> <p>而對於漏洞的部分，駭客利用企業尚未修補的GitLab、AD自助管理平臺ManageEngine ADSelfService Plus漏洞、飛利浦電子病歷系統（EMR）漏洞發動攻擊的現象，也有待IT人員儘速安裝修補程式來因應。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://tw.appledaily.com/local/20211108/HJ6H6H5PLZHHTJSTPPD7WWKSGU/"><span style="color: rgb(0, 0, 0);">秀泰影城被駭、波及逾90人，有人8小時內被騙走114萬元</span></a></strong></h4> <p>知名電影院秀泰影城遭駭客入侵，會員資料被詐騙集團拿來行騙，這起事故得到內政部警政署刑事警察局的證實。該單位表示，從今年10月開始，他們已接獲逾90件民眾報案或洽詢相關狀況，其中，1名居住於臺北市的40歲林姓男子上當後，在8小時之內就轉出114萬元。</p> <p>這名男子因對方聲稱會員系統設定錯誤，他的秀泰影城帳號一口氣訂購20張電影票，且即將從信用卡扣款，一時不察依照指示操作，陸續從網路銀行、自動櫃員機轉帳20多筆，直到帳戶金額持續減少才驚覺被騙。</p> <p>刑事警察局表示，為防範類似的情況再度發生，民眾若接獲商家、網購平臺、銀行客服的電話，告知因系統錯誤需重新設定，民眾應直接掛斷電話，並在確認客服的聯絡資訊後，自行撥打電話確認。</p> <h4><strong><a href="https://www.ithome.com.tw/news/147720"><span style="color: rgb(0, 0, 0);">美國警告使用加密貨幣ATM、QR Code付款的詐騙活動升溫</span></a></strong></h4> <p>美國聯邦調查局發現，在越來越多網路詐騙中，駭客為了讓騙得的金錢難以被執法單位追回，他們會將受害者引導到實體的加密貨幣ATM，或是透過QR Code的方式，讓受害者付錢購買加密貨幣。</p> <p>該單位提醒投資人，切勿與只有在網路上交談過的人士交易，並在線上支付加密貨幣時提高警覺。</p> <h4><a href="https://www.ithome.com.tw/news/147697"><strong><span style="color: rgb(0, 0, 0);">熱門Npm套件COA疑遭劫持，恐導致開發者帳密遭竊<img alt="" src="https://s4.itho.me/sites/default/files/images/171-1-danabot-launching.png" style="width: 300px; height: 398px; float: right;" /></span></strong></a></h4> <p>根據資安新聞網站Bleeping Computer的報導，有一個名為COA（Command-Option-Argument）的Npm熱門套件，於11月4日晚間疑似遭到劫持，而在數個小時內連續發布帶有惡意程式的版本。經過該新聞網站的比對、分析之後，發現惡意版本COA會在受害電腦植入竊密軟體Danabot。</p> <h4><strong><a href="https://www.ithome.com.tw/news/147737"><span style="color: rgb(0, 0, 0);">駭客入侵美國線上股市交易平臺Robinhood，700萬個資外洩</span></a></strong></h4> <p>美國線上股市交易平臺Robinhood於11月3日遭到網路攻擊，該公司近期公布初步調查結果，其中攻擊者疑似取得500萬人的電子郵件信箱、200萬人的姓名，以及310人的生日與郵遞區號等。</p> <p>本次的事故中，也傳出駭客在入侵成功之後，向Robinhood索討贖金。不過，Robinhood並未回應上述傳聞，僅表示已通報執法機關，並通知受影響客戶，且聘請資安業者Mandiant協助調查。</p> <h4><strong><a href="https://intel471.com/blog/shipping-companies-ransomware-credentials"><span style="color:#000000;">駭客兜售國際航運與貨運公司的內部網路存取權限，恐干擾物流運作</span></a></strong></h4> <p>威脅情資業者Intel 471提出警告，他們自7月開始，陸續看到有人銷售國際航運與物流公司的內部網路存取帳密，這些賣家提供買家存取受害公司的方式，包含了遠端桌面連線（RDP）、VPN，以及Citrix和SonicWall的網路設備等。</p> <p>賣家很可能是透過上述網路設備的漏洞，來獲得帳密，Intel 471看到這些賣家，將上述的存取資訊賣給Conti、FiveHands等勒索軟體駭客組織。</p> <h4><strong><a href="https://blog.lookout.com/energy-industry-faced-with-161-surge-in-mobile-phishing"><span style="color: rgb(0, 0, 0);">鎖定能源產業的行動裝置網釣攻擊大增，近半年增加161％</span></a></strong></h4> <p>資安公司Lookout指出，今年攻擊者鎖定遠距辦公的員工，進行行動裝置的網路釣魚攻擊，這樣的情況尤其對於能源產業最為顯著，因為一旦竊得員工的帳密，就有機會進一步對這些產業的工控系統發動攻擊。</p> <h4><strong><a href="https://www.forbes.com/sites/thomasbrewster/2021/10/14/huge-bank-fraud-uses-deep-fake-voice-tech-to-steal-millions/?sh=250585bc7559&fbclid=IwAR1FqDOmliMFU554lUtwHFdX_iJTqJMenzooaa2HoRaPXyAEn66YgHfHq2Q"><span style="color: rgb(0, 0, 0);">攻擊者使用AI語音仿造公司老闆聲音，要求轉帳得逞</span></a></strong></h4> <p>有位香港的銀行經理於2020年初，接到對方自稱是公司董事的來電，並收到相關法律電子郵件，佯稱因併購案須轉出巨額資金3,500萬美元，由於對方的聲音聽起來是這名經理曾經交談過的董事，該經理不疑有他將資金轉出。但實際上，這是全球第2起使用AI語音仿造公司老闆聲音的詐騙案。</p> <p>最近一份美國法院文件透露，阿拉伯聯合大公國正尋求美國協助，追回上述詐騙案其中的40萬美元。該文件亦指出，這起事件至少有17人涉案。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/fbi-ransomware-targets-companies-during-mergers-and-acquisitions/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客利用併購訊息，脅迫受害企業付贖金</span></a></strong></h4> <p>美國聯邦調查局發布公告，指出勒索軟體駭客為了讓受害企業就範，攻擊過程會收集公司財務資訊，運用如併購等重大事件，以股價來做為籌碼，要脅這些受害企業付錢。這些駭客甚至會與想要買空賣空的投機</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/147629"><span style="color: rgb(0, 0, 0);">尚有3萬臺GitLab伺服器尚未修補重大漏洞，恐遭駭客鎖定<img alt="" src="https://s4.itho.me/sites/default/files/images/171-2-GitLab.png" style="width: 300px; height: 157px; float: right;" /></span></a></strong></h4> <p>程式碼代管平臺GitLab於4月修補重大漏洞CVE-2021-22205，一旦攻擊者利用這項漏洞，可遠端執行任意指令發動攻擊，CVSS風險層級達到滿分。但近期資安業者HN Security與Rapid7先後提出警告，表示已有實際攻擊行動出現，而能夠從網際網路上存取的GitLab伺服器，仍約有3萬臺曝露於此漏洞的風險當中。</p> <h4><strong><a href="https://unit42.paloaltonetworks.com/manageengine-godzilla-nglite-kdcsponge/"><span style="color: rgb(0, 0, 0);">AD自助管理平臺遭到鎖定、滲透，駭客以此傳送多項攻擊工具</span></a></strong></h4> <p>管理AD的系統，一旦遭到濫用，攻擊者得以在組織內快速大量散布作案工具。美國政府於9月中旬，針對ManageEngine ADSelfService Plus用戶提出警告，呼籲要儘速修補漏洞CVE-2021-40539，不久之後資安業者發現，鎖定該漏洞的攻擊增加。</p> <p>資安業者Palo Alto Networks於9月17日至10月初，發現有其他攻擊行動也利用上述AD自助管理平臺的漏洞──攻擊者先是在網際網路上掃描存在漏洞的系統，然後於受害組織植入Godzilla Webshell、NGLite木馬程式，以及KdcSponge竊密工具。該公司指出，他們至少發現9個組織遇害，這些組織橫跨高科技、國防、醫療保健、能源、教育等產業。</p> <h4><strong><a href="http://us-cert.cisa.gov/ics/advisories/icsma-21-308-01"><span style="color: rgb(0, 0, 0);">飛利浦醫療保健資訊系統存在SQL注入漏洞，恐導致病人資訊外洩</span></a></strong></h4> <p>美國政府提出警告，飛利浦病歷與醫療照護管理系統Tasy EMR，出現2個SQL注入漏洞CVE-2021-39375、CVE-2021-39376，CVSS風險層級皆達到8.8分，由於全球各地有數百家醫院採用這套系統，他們呼籲採用的醫療院所應儘速修補。</p> <h4><strong><a href="https://www.ithome.com.tw/news/147724"><span style="color:#000000;">Pwn2Own Austin 2021漏洞挖掘競賽成果揭曉<img alt="" src="https://s4.itho.me/sites/default/files/images/171-3-Pwn2Own-Austin.png" style="width: 300px; height: 169px; float: right;" /></span></a></strong></h4> <p>由趨勢科技旗下Zero Day Initiative（ZDI）推出的漏洞研究競賽，於11月2至5日連續四天舉行，這次共有22組參賽者及58項參賽作品，而參賽者所挖掘出的漏洞，ZDI將通報有關業者修補。比賽最終結果出爐，第一名為法國資安廠商團隊Synacktiv，臺灣資安業者Devcore團隊以2分之差獲得亞軍。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.akamai.com/newsroom/press-release/akamai-completes-acquisition-of-guardicore-to-extend-its-zero-trust-solutions-to-help-stop-ransomware"><span style="color: rgb(0, 0, 0);">Akamai併購Guardicore完成，擴展防禦勒索軟體的能力</span></a></strong></h4> <p>資安業者Akamai於9月29日宣布，將以6億美元併購以色列新創Guardicore，並在10月21日完成併購作業，Akamai表示，此併購案將有助於擴展他們的零信任解決方案，保護企業防禦勒索軟體攻擊。</p> <h4><strong><a href="https://www-ch.scu.edu.tw/october/news/16231"><span style="color: rgb(0, 0, 0);">東吳大學成立資安卓越中心，引進證照培訓課程</span></a></strong></h4> <p>為提供更為全面的資安訓練，東吳大學於11月1日宣布成立資安卓越中心，並與以色列網路資安訓練中心ThinkCyber、新加坡公司Centre For Cybersecurity合作，引進資安證照培訓課程，以及模擬實作平臺Cyberium Arena。該校宣稱，他們是全臺灣第一個成立資安卓越中心的大學。</p> </div></div></div>
2021/11/10 16:12作者周峻佑https://www.ithome.com.tw/news/147757
專訪《零時差攻擊》作者：國家級駭客發動零時差攻擊，關鍵基礎設施是主要標的
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際情勢詭譎多變，有不少人都在猜測，經歷美中貿易大戰後，加上近期五眼聯盟和部分歐盟國家參與的南海軍演，以及中國軍機連續十多日來，接連入侵我防空識別區等，在在都造成國際局勢的紊亂。或許會有人開始擔心，這世界會不會因此爆發第三次世界大戰呢？</p> <p>不過，關於第三次世界大戰有一個流傳更久的都市傳說，那就是，第三次世界大戰最有可能的就是網路戰引起的衝突，尤其是，2010年駭客在伊朗核電廠植入Stuxnet蠕蟲，帶給世界極大的恐慌，差一點點核電廠就出事，距離引爆世界大戰只有一線之隔，世人要面對的則是一場無煙硝的戰爭。</p> <p>事實上，這種網路攻擊可以對世界造成的威脅已經是存在的事情，美國《紐約時報》的記者妮可‧佩爾羅斯（Nicole Perlroth）之前便花七年的時間，深入研究報導各種網軍攻擊手法，訪問超過三百位關鍵人物，試圖找出誰是幕後黑手，就是希望可以把這一個隱匿在網路世界的數位軍火地下產業鏈的真相，公諸於世，她也將訪談的過程與內容，撰寫成《零時差攻擊》一書，臺灣則由麥田出版社於十月出版。</p> <p>妮可‧佩爾羅斯表示，面對這種網路攻擊，沒有任何人是倖存者，也沒有人可以置外於這樣的威脅。她在書中寫道，全世界的駭客都積極挖掘零時差漏洞（Zero Day Vulnerable ），只要可以找到軟體中的安全漏洞，就有機會破壞電廠的供電系統，讓整個城市陷入黑暗，烏克蘭電廠遭到駭客攻擊就是最好的實例；透過一夕列的追蹤訪談，她甚至直言，這些駭客的背後，都是國家在支持相關的駭客行為。</p> <p>因為妮可‧佩爾羅斯長期追蹤國家級駭客的行蹤，也積極訪查，所謂「零時差漏洞」在這個市場上，扮演什麼樣的角色，甚至於，有沒有駭客組織已經利用這些零時差漏洞，針對特定國家或對象發動攻擊。</p> <p>各種資安事件第一手的觀察，也讓她對於各種駭客組織和行為有深入的了解，iThome先前也透過書面的方式專訪妮可‧佩爾羅斯（Nicole Perlroth），希望透過她長期追蹤各種駭客組織與攻擊行為的角度，對於長期被中國網軍鎖定攻擊的臺灣，也能夠提供不一樣的觀點和視野。以下則是專訪內容。</p> <h3><strong>國家級駭客利用零時差漏洞發動攻擊，長密碼或多因素認證是防護基本</strong></h3> <p><strong><span style="color:#0000FF;">問：</span></strong>臺灣雖然與美國結盟，但臺灣長期以來，一直是中國網軍鎖定攻擊的目標，面臨中國網軍無止盡的攻擊，我們應該採取哪些措施來應對這種無情的網路攻擊呢？</p> <p><span style="color:#0000FF;"><strong>答：</strong></span>很榮幸有機會和臺灣讀者書面對談！我報導中國網路間諜的活動已經十年，過去這段時間，網軍的威脅不僅變得更複雜，也變得偷偷摸摸，更難被外界發現。</p> <p>多年前，由中國政府在幕後支持的APT（進階持續性威脅）駭客組織，接連入侵Google、資安公司RSA以及我所任職的美國知名媒體《紐約時報》等單位。</p> <p>這些APT網軍最主要使用的入侵手法，就是利用魚叉式網路釣魚（Spear Phishing）郵件，而這樣的手法並未消失，但隨著智慧型行動裝置的普及，中國網軍已經利用許多蘋果以及安卓（Android）手機的零時差漏洞發動攻擊；同時利用許多企業對外溝通都會使用的微軟Exchange郵件伺服器，和確保外部連接企業內部連線安全、市占最高Pulse Secure等VPN漏洞，對企業進行駭客攻擊。</p> <p>由於這些駭客攻擊手法變得越來越複雜，往往很難進一步追蹤和防禦，這也大幅度改變我對於中國網軍受駭者，該如何保護自身安全的看法。</p> <p>因為，最好的防禦方式往往不脫離最基本的心法和作法，例如：使用長密碼或是密碼管理器；盡可能部署多因素身分認證（Multi-Factor Authentication）機制；並且使用如Signal等加密通訊App進行敏感資訊的溝通；當然，也必須要確保各種軟體和應用程式都更新到最新版本。</p> <h3><strong>地緣政治衝突將引爆一波網路攻擊，關鍵基礎設施將是主要攻擊標的</strong></h3> <p><strong style="color: rgb(0, 0, 255);">問：</strong>面對緊張的南海衝突，網軍主要攻擊標的為何？又該如何因應？</p> <p><strong style="color: rgb(0, 0, 255);">答：</strong>像臺灣這樣的國家，最關鍵的是，對於電網、水廠、交通運輸、天然氣和石油等攸關國家和民生安全的關鍵基礎設施系統（CII），都需要進行實體隔離（Air Gap），因為這些關鍵基礎設施可能成為駭客想入侵臺灣時，一剛開始就被鎖定，作為實體或是混合攻擊的標的。</p> <p>對於違規和異常行為也進行即時監控，確保資料備份和擁有備援系統，這樣，無論是面對東歐駭客組織的勒索軟體威脅，或是中國網軍透過合作的供應鏈廠商進行網路攻擊，都可以迅速緩解不可避免的危害。</p> <p>但現在更重要的是，像臺灣這樣的國家，也必須對於電網、水處理設施、交通運輸網路、天然氣及石油等安全設施的關鍵系統（Safety Critical）進行隔離，因為上述這些關鍵基礎設施都可能成為駭客發動初步攻擊時，鎖定混合或實體攻擊的目標。</p> <p>類似的名單不勝枚舉，但臺灣如果可以做到確保相關關鍵基礎設施的安全性，在這方面，就可以比美國握有更多優勢。我真的相信，下一次地緣政治爆發的衝突將在網路上演，至少，會帶來一波相對應的網路攻擊。</p> <p>在這一波網路衝突中的倖存者，或是贏得該場戰爭的贏家，則必須從頭開始，建立一個要兼顧安全且具有韌性的國家，但這往往是「說的比做的容易」。事實上，臺灣還有一個美國沒有的優勢就是，臺灣有中國這樣一個真實的對手，這個對手會無情地探索臺灣的各種系統並帶來明顯的威脅，這卻也是成為臺灣磨練自我能力的對手。</p> <p>因為威脅是真實存在的，所以民眾和企業就會採取相對應的行動。不幸的是，我就看到，有很多美國人還是喜歡裝傻，假裝美國被大海阻隔，沒有這些網路威脅的存在。</p> <h3><strong>政府應權衡擁有零時差漏洞的風險，不應假國安作為濫用藉口</strong></h3> <p><span style="color:#0000FF;"><strong>問：</strong></span>漏洞買賣是一個漫長的旅程，政府是否應該儲備相關的網路武器，例如將零時差漏洞呢？在這樣的困境中，對所有政府而言，什麼才是最好的解決方案呢？</p> <p><span style="color:#0000FF;"><strong>答：</strong></span>我並不會天真的認為，我們不應該擁有零時差漏洞這樣的武器，畢竟，擁有零時差漏洞是有機會遏止下一次的恐怖攻擊，或者是，像是因為撰寫出Stuxnet惡意程式，得以暫時阻止伊朗擴張核武的野心。</p> <p>我們也必須意識到，我們已經不能再以「國家安全」的名義做決定，因為，「資安即國安」，網路安全和國家安全其實是一體兩面，我們只能夠「權衡」兩者之間孰輕孰重，而不是只要冠上「國家安全」的名義，就可以橫行無阻。</p> <p>當我們開始儲存蘋果或是安卓手機的軟體漏洞，或是儲存發電廠或工廠裡，像是施耐德等工控系統中的軟體漏洞時，就邏輯上而言，這樣的作法也讓我們的民眾和企業，處於一個較不安全的情境中。</p> <p>過去五年裡，有一些決定，就會讓美國系統看起來沒有那麼安全，像是高舉「反間諜情資」（Counter Intelligence）的名義作為回擊。事實上，只需要仔細觀察就可以發現，在2017年，俄羅斯攻擊烏克蘭所使用的NotPetya勒索軟體所遺留下的殘骸，其實就是美國國家安全局（NSA）所掌握的微軟零時差漏洞。</p> <p>該次俄羅斯對烏克蘭的攻擊也進一步對外擴散開來，只要各個企業聘僱的員工中，有任何一名員工是從烏克蘭進行遠端連線工作的話，例如聯邦快遞（ FedEx）、默克藥廠（Merck）、全球最大貨櫃船運業者快桅（Maersk）、美國食品公司億茲國際（Mondelez）以及輝瑞藥廠（Pfizer），都因此蒙受數億美元的損失。</p> <p>展望未來，如果我們政府決定要儲存零時差漏洞作為反擊的武器，就應該遵守一套更嚴謹的規範，而不只是確認漏洞是否已經被修補完畢。因為，威脅格局已經改變，美國及其盟友並不是唯一，尋找並儲存零時差漏洞作為不時之需的政府，我們對於風險計算的方式必須改變。</p> <h3><strong>在企業有自保能力前，支付勒索軟體贖金仍難避免</strong></h3> <p><span style="color:#0000FF;"><strong>問：</strong></span>勒索軟體橫行，是否應該支付贖金眾說紛紜。依照過去的採訪經驗，對於受駭企業支付駭客贖金，有何觀點呢？</p> <p><span style="color:#0000FF;"><strong>答：</strong></span>在理想的世界中，政府會將支付駭客贖金的要求視為非法行為，但現實是，在企業具備充分保護自己的能力之前，勒索軟體的攻擊仍將持續發生。只要企業繼續將其關鍵資料和基礎設施數位化，支付勒索軟體贖金和恢復企業正常運作的要求只會持續增加。</p> <p>例如，美國巴爾的摩市政府在2019年遭到勒索軟體攻擊，駭客當初要求市府支付數萬美元的贖金，不過，巴爾的摩市府拒絕支付贖金後，面對必須重建相關的資料和系統，最後恢復市政系統正常運作的金額超過1,800萬美元。對該市納稅人而言，他們寧可市府支付駭客76,000美元後，市府就可以恢復正常運作，繼續發展下去。</p> <p>現實往往比我們想像的更混亂。綜合我的看法，我們首先應該關注的是安全和韌性，即時更新軟體到最新版本，落實資料備份並保護所有個資隱私資料，大規模部署多因素認證機制、密碼以及通訊協定的管理，以及做到實體隔離（Air Gap）。</p> <p>一旦我們將資安防護落實標準，提高到一定程度的話，那麼，我們的確可以認為，把企業支付駭客贖金的行為視為非法手段，最終是有意義的。但事實上，我們距離那個標準還有很遠的一段距離，所以，我會說，一切先回歸到基本功，然後，在繼續談相關的政策和法律規範該怎麼制定才合理。</p> <h3><strong>確保資料不外洩，應先進行資料盤點及落實權限控管</strong></h3> <p><span style="color:#0000FF;"><strong>問：</strong></span>資料外洩是臺美企業共同面臨的議題，尤其在美中貿易大戰中，保護企業機敏資料和智慧財產權已經成為許多企業的共識。對於保護企業知識產權以避免遭到網路間諜或駭客竊取，有何想法或建議？</p> <p><span style="color:#0000FF;"><strong>答：</strong></span>只要一談到網路安全，我喜歡說：「雖然沒有萬靈丹，卻有萬用丹。」（There are no silver bullets, but there is a silver buckshot.）換句話說，企業可以做很多事情來保護公司的智財權。首先從識別皇冠上的珠寶開始，就是先釐清什麼樣的智財權或是個資隱私資料對企業而言最重要，公司是否已經充分的切割、隔離、加密，並設定只有有相對應權限的人，才能存取相關機敏資料，以期能做到「只有需要知道的人，才能存取相關系統。」</p> <p>「你審查過供應商嗎？」、「你是否開啟多因素認證？」、「你是否做過魚叉式釣魚郵件的教育訓練和定期演練？」、「你是否強制要求員工使用強密碼？」、「你是否審查過與自家軟體介接的API安全？」、「你是否曾經向員工簡介，要不惜一切代價保護公司重要資產，如同保護皇冠上的珠寶一樣呢？」</p> <p>一旦上面所有問題的答案都是「是」的時候，就可以開始進行下一步：當有人偷走我們寶貴的智財權時，我們該怎麼做才好呢？這樣有趣的討論，也將會圍繞如何將具有「欺騙性」的技術，納入企業的防禦策略中。這個領域有許多有趣的公司正蓬勃發展中，並且已經受到許多企業的青睞，尤其是那些智慧財產安全將攸關公司存亡與員工生計的企業。</p> <h3><strong>供應鏈安全的確是網路攻擊主流，美中俄扮演重要角色</strong></h3> <p><span style="color:#0000FF;"><strong>問：</strong></span>許多駭客攻擊都開始從供應鏈廠商下手，供應鏈安全是否是未來最重要的資安威脅呢？還有其他面向的資安威脅需要加以重視嗎？</p> <p><span style="color:#0000FF;"><strong>答：</strong></span>美國國家安全局（NSA）對於攻擊性網路安全（offensive cybersecurity）採取了階層式作法。</p> <p>最底層是民族國家和網路犯罪份子，他們需要依靠商業市場的駭客工具以及僱傭兵，來執行他們的骯髒工作。最重要的是，政府可以找到並利用零時差漏洞，將這些零時差漏洞「大規模地」引入供應鏈攻擊中。</p> <p>美國和其親密盟友都被視為是供應鏈攻擊中最先進的，但其他像是中國或是俄羅斯等，也是數位領域中的重要且先進的對手。</p> <p>以美國先前爆發的SolarWinds供應鏈攻擊，以及先前NotPetya的攻擊中可以看到，俄羅斯利用烏克蘭報稅軟體的漏洞，也成為史上最具破壞性的網路攻擊事件。但是，這些攻擊對於網路間諜和未來的破壞往往只是驚鴻一瞥，更重要的是，這件事也讓我們開始針對供應商、各種軟體，以及企業所使用的軟體安全做相關審查，包含比較少進行審查的開源通訊協定，以及由預算有限的工程師進行開發的軟體。</p> <p>好消息是，在SolarWinds供應鏈攻擊的事件爆發後，從政府到各界都聽到了對「零信任」和「SBOM」（Software bill of materials，軟體物料清單）等流行語的需求。像是Linux基金會這樣的非營利組織，正在積極努力，希望可以確保當今使用的各種最關鍵的開源軟體程式碼的安全性，能夠得到適當的資助、維護和審查。但是，在我們達到網路安全防護所需要的位置之前，我們也將面臨更多短期、痛苦，並且數量越來越多的軟體供應鏈攻擊。</p> </div></div></div>
2021/11/10 17:45作者黃彥棻https://www.ithome.com.tw/news/147760
TeamTNT駭客正在尋找配置不當的Docker伺服器展開攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.trendmicro.com/en_us/research/21/k/compromised-docker-hub-accounts-abused-for-cryptomining-linked-t.html" target="_blank">趨勢科技於本周指出</a>，該團隊在上個月觀察到TeamTNT駭客集團正針對網路上配置不當的Docker伺服器展開攻擊，以植入門羅幣的挖礦程式或憑證竊取軟體。</p> <p>遭到駭客鎖定的目標是在2375埠曝露Docker REST API的Docker伺服器，駭客先企圖利用Docker REST API建立一個容器，再自諸如Docker Hub等容器註冊平臺請求攻擊映像檔，進而下載該惡意映像檔並建立一個容器，於所建立的容器中執行CronJob指令，再下載其它攻擊程式或工具。之後駭客即可於Docker伺服器上植入Rootkit、憑證竊取程式或挖礦程式。</p> <p class="rtecenter"><img alt="" src="https://marvel-b1-cdn.bc0a.com/f00000000017219/www.trendmicro.com/content/dam/trendmicro/global/en/research/21/k/compromised-docker-hub-accounts-abused-for-cryptomining-linked-to-teamtnt/fig1-dockertnt.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_趨勢科技</span></p> <p>趨勢也找到了涉及惡意行為的Docker Hub註冊帳號，推測它們可能是被危害，或是原本就是由TeamTNT駭客所建立，這些帳號主要用來代管惡意的映像檔，為此一濫用Docker REST API之惡意活動的重要組成份子，Docker已在收到趨勢的通知後將它們移除。</p> <p>其實另一<a href="https://www.uptycs.com/blog/team-tnt-deploys-malicious-docker-image-on-docker-hub-with-pentesting-tools" target="_blank">資安業者Uptycs在今年10月就曾揭露TeamTNT的相關行為</a>，當時Uptycs發現TeamTNT於Docker Hub上部署了惡意的容器映像檔，可用來下載滲透工具以掃描受害者系統上的子網路，執行進一步的惡意行為。</p> <p>當時Uptycs指出，其中一個映像檔在短短的兩周內便被下載5,400次，另一個位於同一儲存庫的映像檔下載次數更突破10萬次，推測該帳號是專門用來開發惡意映像檔。</p> <p>趨勢科技提醒，曝露的Docker APIs已成為駭客的熱門選擇，因為它們允許駭客以根權限來執行惡意程式，顯示出曝露的伺服器很容易成為駭客的目標，而且像是TeamTNT這類有能力的駭客，還能利用盜來的使用者憑證來實現其不良的動機。</p> </div></div></div>
2021/11/10 16:36作者陳曉莉https://www.ithome.com.tw/news/147758