iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 19:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Linux木馬CronRAT躲在2月31日行事曆中竊取電商消費者資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>年底的購物旺季成了駭客的最好舞臺。<a href="https://sansec.io/research/cronrat" target="_blank">資安廠商近日發現</a>一隻竊密木馬程式藏匿在電商網站的2月31日行事曆中，以前所未見的高明手法躲避偵測。</p> <p>由於年底是電商旺季，安全廠商發現多宗以竊取消費者信用卡資訊的惡意程式。<a href="https://www.ithome.com.tw/news/147957" target="_blank">安全廠商Sansec威脅研究小組繼上周揭露</a>利用linux_avp可執行檔發動的網頁側錄（Web skimming）攻擊後，本周又公佈鎖定電商網站的最新惡意程式，名為CronRAT遠端存取木馬（remote access trojan，RAT）。</p> <p>Sansec在多個電商網站發現CronRAT，包括一個國家最大的電商網站。它之所以被命名為CronRAT，是因它躲藏在電商業者後端的Linux伺服器中的行事曆子系統cron，並選定了根本不存在的2月31日，如此一來就不會引起伺服器管理員的注意。另一個特點是，許多安全軟體都不會掃瞄Linux cron系統，也讓它逃過了大部份安全產品的偵測。</p> <p>CronRAT有多種特殊能力。首先，CronRAT的遠端控制伺服器代管於阿里巴巴雲IP上，並以經混淆（obfuscated）的特製binary協定聯繫以迴避防火牆及封包偵測。它下載到受害Linux的惡意檔案是Bash程式，可設定時間自我毁滅，一經啟動，又會偽裝成Dropbear SSH服務與遠端控制伺服器聯絡。此外，攻擊者還能在多個不同Linux子系統上啟動串聯式RAT（Tandem RAT）。</p> <p>安全公司指出，CronRAT的高明手法讓攻擊者得以長期滲透到電商網站的Linux伺服器。Sansec發現CronRAT已導致多起Magecart，即支付竊密程式（payment skimmer）攻擊，這類攻擊旨在以側錄程式竊取消費者的信用卡卡號、銀行帳號及網站帳密等資訊。</p> <p>Sansec威脅研究中心主任Willem de Groot並指出，CronRAT是數位竊密（digital skimming）從單純瀏覽器來到伺服器的最新例子，由於大部份電商網站只實作瀏覽器或Web防護，讓罪犯可從後端下手。顯示安全人員必須考慮完整的攻擊面。</p> </div></div></div>
2021/11/26 11:37作者林妍溱https://www.ithome.com.tw/news/148040
AWS以Fedora為底層發布Amazon Linux 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/about-aws/whats-new/2021/11/preview-amazon-linux-2022/" target="_blank">AWS本周稍早發布</a>以Red Hat社群版Fedora為基礎開發、最新自有Linux發行版Amazon Linux 2022（AL2022）預覽版，作為EC2及AWS服務的底層。</p> <p>這是繼2017年<a href="https://aws.amazon.com/tw/about-aws/whats-new/2017/12/introducing-amazon-linux-2/" target="_blank">Amazon Linux 2</a> 後，AWS開發的最新底層作業系統，故Amazon Linux 2022版本上屬於Amazon Linux 3。<a href="https://aws.amazon.com/amazon-linux-2/release-notes/" target="_blank">之前Amazon Linux是以Linux 核心為上游（upstream）開發</a>。</p> <p><a href="https://aws.amazon.com/tw/linux/amazon-linux-2022/" target="_blank">AWS表示</a>，Amazon Linux 2022是為Amazon EC2最佳化，提供安全、穩定、高效的雲端應用開發與執行環境，並整合AWS專門工具。</p> <p>由於以Fedora為上游，AL2022將固定每季發布小幅更新，加入最新軟體，例如語言runtime，但AL2022也會鎖定在特定版本的Amazon Linux套件儲存庫（package repository），方便開發人員控管如何及何時採用更新。此外為提升安全性，新版Amazon Linux包含並預設啟用SELinux，也允許使用者在啟用時設定安全政策。</p> <p>AWS每2年一次發布新版Amazon Linux，而每個主要升級版，包括AL2022都提供5年支援。</p> <p>AL2022已以預覽版在所有服務區內上線，用戶可以在多種服務，包括AWS Management Console、AWS Command Line Interface (CLI)、AWS Tools for Windows PowerShell、RunInstances，或過AWS CloudFormation template啟用AL2022。新版本並不額外收費，因此EC2 執行個體及其他服務仍以EC2和AWS標準收費。</p> <p>Linux早已成為高效能系統的基礎，連微軟也愛用。<a href="https://www.ithome.com.tw/voice/147926" target="_blank">本月最新公布的全球五百大超級電腦中</a>，微軟一座以Linux為底層的Azure雲端系統，首次躋身全球第10名。</p> </div></div></div>
2021/11/26 10:47作者林妍溱https://www.ithome.com.tw/news/148037
Martech雙周報第13期：資生堂自建資料平臺彙整各管道顧客數據，更大力採用Line行銷工具與顧客溝通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1112~1125)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資生堂 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line官方帳號 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 線上預購模組 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">如何靠Line廣告行銷工具增加獲客、提升購買率？資生堂公開關鍵數據平臺</span></strong></p> <p>在臺深耕超過一甲子的資生堂集團，旗下擁有從保養到彩妝、從開架到專櫃等超過40個品牌，近年來積極運用顧客數據來拓展客群。資生堂集團行銷統括部副部長陳思伃指出，資生堂自建了一個顧客計算中心iCONNECT，將Google、臉書、 Line、Appier、DSP、DMP等管道取得的顧客資料，全部彙集到這個平臺，進行數據媒合與識別、分群、預測等流程，再將數據用於個人化行銷，並以Line作為主要的行銷工具。比如資生堂從2017年採用Line服務至今，已有7個官方帳號，之後也陸續採用了Line Beacon、一對一聊天顧客管理功能、線上預購模組、消費後自動訊息通知等服務。</p> <p>陳思伃也揭露實際應用這些工具到銷售場景的作法。比如，資生堂國際櫃過去與顧客溝通時，由於在百貨公司、屈臣氏、寶雅等都有國際櫃的商品，無論是實體DM、或是網站登錄頁面，都要針對不同通路及不同類型顧客，設計多種DM與網頁版本，再以不同管道呈現給顧客參考。為了降低與顧客溝通的成本，資生堂國際櫃今年週年慶時，與技術合作夥伴客製化開發了Line線上預購模組，作為統一溝通的入口，來對顧客發送週年慶商品預購頁面。而顧客預購的資訊也會立即彙整到後臺，當顧客要到實體店取貨時，櫃姐就能透過系統資訊，提供更貼近顧客需求的服務，針對不會前往實體店的顧客，Line也能引導顧客到EC網站上購買。</p> <p>同時，過去寄發實體DM，較難累積顧客數位軌跡，改用Line預購模組後，也能進一步記錄消費者是誰、偏好商品、消費金額、瀏覽頻率等，更可將消費者的Line UID數據打包，透過Line廣告後臺尋找類似行為的潛在顧客來進行溝通，擴大新客量能。針對新客，還能持續發送Line預購模組來累積顧客數據。資生堂國際櫃30天內平均客單價更因此成長1.3倍、新客購買單數也成長3倍。</p> <p dir="ltr">資生堂也同樣用Line預購模組來提升保養品牌IPSA的獲客。為了提升既有顧客留存率，並擴大新客數量，資生堂先將顧客分為5群，分別為只購買一次的新客、沈睡客戶、有成長潛力的客戶、透過自有媒體或KOL行銷獲取的新客、Line官方帳號的用戶。針對這5大類顧客，資生堂設計了5種線上購物選單，精準提供顧客所偏好的商品組合，再利用一對一顧客管理功能與顧客溝通，以提升購買率；下一步，則是讓顧客綁定電子會員卡，讓顧客進入會員購物旅程，來提升留存率。IPSA因此取得新客成長3倍，購買率成長4倍的成績。</p> <p dir="ltr">不只如此，資生堂也運用了藍牙訊號發射裝置Line Beacon服務，在實體店面裝設Beacon，當偵測到方圓50公尺內有官方帳號用戶路過時，可以將促銷訊息，發送到這群用戶的手機Line上，來觸及流動的過路客。比如去年，資生堂東京櫃就放了30顆在全臺百貨公司，一個月內購買率就成長2倍，因此在今年，也擴大放置了130顆Beacon，更依據不同管道進來的不同消費族群，發送不同版本的優惠券，來溝通不同情境。資生堂也將Beacon累積的UID數據，再進行打包，透過LAP來觸及更多顧客，再導流顧客到實體店消費，同時搭配其他行銷優惠活動，將一個月內平均客單價提升1.4倍，購買率則成長1.3倍。</p> <p dir="ltr">陳思伃更指出，資生堂2022年將導入Line Clova AI解決方案，計畫要結合人臉辨識，在消費者靠櫃時，就自動預測消費者想要的服務、情境與產品，以提升顧客體驗並深化溝通。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-11-18%20%E4%B8%8B%E5%8D%883_10_14%E6%8B%B7%E8%B2%9D.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Footer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI分群 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line廣告服務 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Footer疫情中業績逆勢成長關鍵：善用AI找出相似受眾，再靠Line廣告擴大獲客</span></strong></p> <p>每年Q2是臺灣除臭襪品牌Footer的傳統淡季，今年更逢疫情來襲，在顧客足不出戶的情況下，導致業績更遭遇瓶頸。Footer採取的對策，是透過AI找出潛在客群來投放數位廣告，讓他們的業績在今年疫情三級警戒後，仍逆勢成長10%。</p> <p>Footer先將顧客依據消費頻率、消費金額與最近消費分為4大群體，分別是潛力客、VIP常購顧客、全新首購客及殭屍客四大群體，再根據過去累積的會員數據分析，找出不同客群的市場洞察，比如潛力客平均客單價高過一般客人20～25%，全新首購客佔全年客單量90%。從這個分析，Footer調整了Q2行銷策略，定錨全新首購客來展開溝通，一來是襪子非每季汰換的商品，旺季已購顧客在淡季的行銷轉換較為困難，二來則是在淡季累積更多首購客的消費數據後，就能擴大數據量體，在後續Q3、Q4的重點檔期強化宣傳，吸引首購客成為常購顧客。</p> <p>選定行銷策略後，下一步，就是要找出這些全新首購客。由於Footer更從歷史資料發現，透過Line廣告平臺（LAP）找到的顧客，其平均消費單價比起一般媒體廣告觸及的新客高出25～30%，因此，Footer將這群含金量高的首購客視為目標受眾種子，並將其行為資料匯入DMP資料庫，再利用AI演算法找出行為相似的受眾，最後在LAP上針對這群人進行廣告投放，以驅動首購客的成長。</p> <p>Footer一方面也利用Line後臺分析報表找出首購客的特殊標籤，比如遊戲、娛樂、職涯規劃、商務、居家、園藝等，並根據這些延伸的興趣標籤，對具有相似標籤的受眾進行廣告投放。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot_20211119-150513.png" style="width: 700px;" /></p> <p>為了用AI來找出與種子受眾相似行為的潛在顧客。首先，要先盡可能完整搜集顧客數據，比如消費者的進站歷程、顧客行為、瀏覽商品資訊、是否加入購物車、與官方帳號互動等資訊，都要完整搜集並貼標；二是要將行銷提問轉化為受眾條件，比如「如何找出高客單的新客」，轉化為結帳金額超過1,200元的人和一次購買多品項商品的人這兩項條件。最後是找出符合條件的顧客，並根據這群顧客的行為與興趣標籤來訓練AI模型，用來找出相似類型的受眾。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot_20211119-150817.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 痞客邦 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大數據分析 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行銷App </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">痞客邦以部落格大數據為基礎，新推涵蓋流量分析、業配合作、廣告投放功能的一站式行銷App</span></strong></p> <p>經營全臺最大部落格社群平臺的痞客邦，利用過去累積超過100萬名部落客、9億篇文章等大數據資料，瞄準中小型商家的行銷需求，打造出一款一站式行銷App「叩叩」，商家能透過系統自動匹配、以及透明的部落客數據分析，來選擇合作人選，降低過往要與部落客、KOL談合作時，可能因篩選不易、溝通繁瑣而卻步的現象。</p> <p>這個App提供四項功能，其一，提供商家自身的網路聲量與地區排名的即時數據分析；其二是，依據餐飲關鍵字、預算等條件，系統能自動媒合合適的部落客人選，店家可直接瀏覽部落客所撰寫部落格的流量、Facebook與 Instagram的社群擴散、報價等資訊，甚至在選定部落客後，從邀稿、聯繫、過稿到上線，都能透過App來管理；其三，內建痞客邦廣告投放機制，來宣傳自家內容或網紅文章；最後一類則是內建多項行銷工具，如線上優惠券與集章卡，來招攬新客、維繫舊客等。這款App已在10月初上線封測，目前吸引了包含火鍋、早午餐、鐵板燒、中式料理、義式料理等多家業者加入。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google廣告服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 廣告洞察 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 趨勢分析 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google廣告洞察服務將推4項分析新功能，能更細緻分析市場趨勢與廣告成效提升原因</span></strong></p> <p>Google廣告服務未來幾周在洞察頁面（Insights page）將增加4項Beta版新功能。一是需求預測功能，Google將根據過去季度的搜尋趨勢結合機器學習技術，預測未來6個月內的搜尋趨勢。比如對美容零售商預測，香水搜尋興趣將在11月中提升27%，更會在黑色星期五達到最高峰93%，業者就能以此資訊，來調整庫存安排與產品開發。</p> <p>二是顧客興趣洞察分析，透過彙整和匿名化顧客搜尋數據，Google可找出驅動廣告活動表現的最熱門搜尋詞彙，讓廣告主了解顧客如何搜尋他們的產品服務，包括能看到每個詞彙搜尋量、其增長情況與表現。比如美容零售商可能會看到香水類別的最佳搜尋詞彙是「平價的、花香味的」，並了解使用這些關鍵字可提升的廣告曝光幅度。</p> <p>三是受眾洞察分析，可讓廣告主了解顧客的興趣與偏好，包括最能引起共鳴的創意內容，比如分析各項行銷內容的標題後，發現對香水有興趣的顧客，最偏好「10種必買的冬季香水」這個標題，並分析這個標題帶來的轉換率等。</p> <p>四是改變歷史洞察及競價洞察分析（Change history insights and auction insights），這項功能要讓廣告主了解，競價轉變或自家廣告決策的轉變，如何影響廣告表現。比如當業者發現在洞察頁面上，運動衫、帽T的搜尋量成長，並將這項資訊用來驅動新的行銷與廣告活動後，這項新功能即可分析，廣告主的決策改變為企業帶來了哪些轉換效益，包括Google搜尋或 Google購物管道的銷售成長。（<a href="https://blog.google/products/ads-commerce/holiday-consumer-trends-and-insights/" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-11-24%20%E4%B8%8B%E5%8D%883_28_04.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MLB </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 個人化行銷 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 球迷用戶體驗 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">連體育賽事都要強化數位行銷！MLB要提供球迷個人化行銷與通知服務，優化用戶體驗</span></strong></p> <p>在重視顧客體驗的時代，連體育賽事都開始注重與球迷的連結，不再透過傳統的方式促進觀眾參與。美國職棒大聯盟（MLB）近期就深化採用Adobe的服務，透過導入體驗雲相關服務，提供上百萬球迷更加個人化、無縫的顧客體驗。這些新功能包括個人化的行銷與通知，比如標示出球場哪些入口能夠讓球迷最快抵達他們座位，提供VIP停車促銷或是即取即用的優惠折扣，也能讓住在喜歡球隊所在地之外的球迷，在他們最愛的俱樂部及球員抵達當地時收到訊息，或是取得MLB.TV的免費試用的資格，讓球迷可以在任何他們喜歡的地點收看球賽。（<a href="https://www.mlb.com/press-release/press-release-adobe-and-major-league-baseball-partner-to-create-next-generation-" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DuckDuckGo </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> App Tracking Protection for Android </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">DuckDuckGo釋出App防追蹤功能，防止Android用戶數據遭第三方業者濫用</span></strong></p> <p>蘋果在今年4月釋出iOS 14.5，啟用了追蹤透明化（App Tracking Transparency，ATT）政策，要求所有程式在追蹤用戶之前都必須先取得用戶的明確同意。現在，隱私搜尋引擎業者DuckDuckGo也跟上腳步了，上周新增了App Tracking Protection for Android功能，主要用來封鎖那些藏匿在App中的第三方追蹤器，包括Google及臉書。</p> <p>DuckDuckGo解釋，許多企業都躲在行動程式中來追蹤使用者，例如藏在Nike程式中的Google，不少程式的預設是即時紀錄使用者的動態，甚至能夠知道使用者的睡眠時間有多長。也就是說，使用者手機上所安裝的程式，其實已將用戶的個人資料傳送給數十家第三方業者，以供Google或臉書等廣告網路建立使用者的數位檔案，部署個人化廣告，有些第三方業者可能會將個資出售給其它的資料掮客或政府。</p> <p>根據DuckDuckGo的測試，Android上熱門的免費程式中，超過96%都嵌有第三方的追蹤器，有87%會把資料傳送給Google，有68%會傳送給臉書。因此，DuckDuckGo準備在其Android程式中新增一項功能，會檢查Android程式是否將資料傳送至第三方追蹤企業，並封鎖這些請求。（<a href="https://www.ithome.com.tw/news/147979" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-11-24%20%E4%B8%8B%E5%8D%883_34_06.png" style="width: 350px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Martech動態 </span></strong></span></strong></p> <p><strong>1.Line臺灣3大Martech服務一次看：新推AI、Data、OMO解決方案深化官方帳號應用</strong><strong>（<a href="https://www.ithome.com.tw/news/147979" target="_blank">詳全文</a>）</strong></p> <p>責任編輯／翁芊儒</p> <p>圖片來源／資生堂集團、adGeek、Google、DuckDuckGo</p> <p>資料來源：iThome整理，2021年11月</p> </div></div></div>
2021/11/26 10:55作者翁芊儒https://www.ithome.com.tw/news/148025
AI趨勢周報第180期：Meta開源機器翻譯大賽冠軍模型，瞄準通用翻譯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(1119～1125)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器翻譯 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> WMT 2021 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta開源機器翻譯大賽冠軍模型，瞄準通用翻譯</strong></span></p> <p>Meta旗下臉書AI研究院開源多語言模型WMT 2021，是一款拿下今年度機器翻譯大賽的冠軍模型。臉書AI研究院指出，機器翻譯（MT）是指用AI將源語翻譯為目標語的方法，目前常見的MT系統多為雙語模型，需要兩種語言語料的標籤和配對，但對缺乏語料的語言來說，翻譯成效就會不彰。而且，對臉書來說，一天要處理數百種語言寫成的數10億貼文，傳統雙語言MT作法太複雜，不切實際。</p> <p>因此，臉書鎖定通用機器翻譯，要用單一模型，就能解決多語言翻譯問題。他們的模型開發策略分為三部分：大規模資料探勘、模型擴展、有效運用運算資源。在第一部分，為訓練多語言模型，團隊採兩種方式：英語到任何語言，以及任何語言到英語，並以平行資料探勘技術，來收集爬蟲取得的網站翻譯資料，降低手工翻譯成本。再來，團隊將原本150億參數的模型，擴展到520億參數，並用自家獨有的平行資料運算技術（FSDP），來加速模型訓練，比傳統方法快5倍。</p> <p>最後，團隊採用一套新運算方法，讓模型在不同訓練場景中，只使用模型的一部分，而非整體，以更有效率運用硬體資源的方式來執行運算。後來，這款模型參加頗負盛名的機器翻譯大賽WMT，拿下年度冠軍，證明比傳統雙語模型還要會處理資源少的語言翻譯。團隊認為，這套模型為未來通用機器翻譯打下了基礎。<a href="https://ai.facebook.com/blog/the-first-ever-multilingual-model-to-win-wmt-beating-out-bilingual-models/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe11-1.fna.fbcdn.net/v/t39.2365-6/252749565_3059377061017542_9113334050583674568_n.jpg?_nc_cat=109&ccb=1-5&_nc_sid=ad8a9d&_nc_ohc=dB5d8ZYbTbwAX9zyZsB&_nc_ht=scontent.ftpe11-1.fna&oh=adfc848f57211cdfd4112782ab324bb2&oe=61A53A32" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Line </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Clova </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人臉辨識 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Line Clova三大AI服務落地臺灣</strong></span></p> <p>Line臺灣終於發布AI解決方案Line Clova了！Line臺灣去年底就預告要在今年推出商用的AI系列產品，包括Chatbot、OCR與人臉辨識等三項服務，今年特別聚焦這三項服務與官方帳號的整合應用情境，瞄準超過200萬個官方帳號持有者來推動服務，比如美妝品牌集團資生堂就宣布，將於明年導入Line Clova的AI應用。</p> <p>Line臺灣去年就宣布Clova三大AI服務完成中文化。這次，Line臺灣企業解決方案事業部策略企劃資深總監許嘉真指出，落地臺灣的Chatbot能結合官方帳號功能，比如以貼圖或多元訊息形式來回覆訊息，而且還能與官方帳號API整合，從文字機器人切換為真人客服，甚至能擴展到品牌的自有媒體上。在OCR部分，Line臺灣也建立多種常見的證件和文件辨識模型，像是身分證、駕照、健保卡、發票、車票、罰單、提款卡等，OCR可自動辨識照片中的特定區域，再將該區域圖像轉化為文字。這個技術可應用於報帳，比如先透過Chatbot引導使用者，來輸入出差的文字或上傳圖片，再以OCR圖像辨識，自動將相關訊息填入系統表單。</p> <p>最後，人臉辨識功能部分，Line臺灣去年就已將這項技術用於活動報到上。許嘉真指出，品牌未來若舉辦實體活動，能讓報名者透過官方帳號，填入基本資料並上傳自己的照片，後續實體活動報到時，即可透過人臉辨識服務，來比對報名照片與實際參與者是否為同一人。這項技術在去年活動上實測後，已可達到每人辨識時間小於1秒，400人活動報到零出錯的成效。<a href="https://www.ithome.com.tw/news/147917">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-11-18%20%E4%B8%8B%E5%8D%883_06_14%E6%8B%B7%E8%B2%9D.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT-3 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言生成 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI擴大開放，申請GPT-3語言生成API不用等漫長審查了！</strong></span></p> <p>OpenAI宣布要擴大開放GPT-3語言生成API，用戶申請後，不必漫長等待即可使用。GPT-3由OpenAI開發，2020年時，OpenAI就以GPT-3為基礎推出語言生成付費服務，以API形式對外釋出。</p> <p>但因GPT-3模型太過強大，外界一直懷疑GPT-3可能遭到濫用，像是垃圾郵件、造假甚至用於操控輿論等目的，因此OpenAI在API推出的初期，僅供有限的用戶申請使用。現在，OpenAI更新了GPT-3的API，包括Instruct Series的GPT-3模型，能更好地遵循用戶指令，同時還提供開發人員免費的內容過濾器，來降低服務遭到濫用的可能性，同時OpenAI現在也能在用戶應用程式上線前，對其進行審查，以監控濫用的情況，並且支援開發者了解該技術帶來的影響。<a href="https://openai.com/blog/api-no-waitlist/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧醫材專案辦公室 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 食藥署 </span></strong></span></p> <p><span style="font-size:22px;"><strong>推動醫療AI產業化！食藥署智慧醫材辦公室主動輔導10家機構拚明年初取證</strong></span></p> <p>衛福部食藥署在今年5月成立智慧醫材專案辦公室，要輔導國內廠商、醫院和學研單位，將自行研發的醫療AI商品化，來協助申請TFDA查驗登記、取證。食藥署11月23日表示，專案辦公室採取3種輔導策略，一是主動徵求專案，二是專案諮詢，再來是電話輔導。</p> <p>據統計，專案辦公室在專案諮詢部分，至今收件18件，其中17件已完成，而主動輔導則有10件，包括AI Labs旗下臺灣醫學影像公司、廣達、華碩、宏碁智醫、長佳智能，醫院部分則有臺大醫院、童綜合醫院，學研部分則有成大數位生技醫療創新研究中心，輔導內容涵蓋產品上市規畫、品質管理、產品說明書撰寫、臨床驗證設計等等，預計在今年底讓申請機構申請取證。食藥署也預告，近期將開始徵集明年度輔導專案，預計明年1月完成，並展開為期10個月的輔導。<a href="https://www.ithome.com.tw/news/147988">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/img_9292.jpg?itok=2hcEw4jf" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 多語言 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 函式庫 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟開源多語言分散式ML函式庫，可整合45種ML服務</strong></span></p> <p>微軟發布分散式機器學習開源函式庫SynapseML，可大規模建立機器學習工作流程，還可將45種ML服務整合到資料庫與系統中。SynapseML將各種機器學習框架標準化，支援不同的機器學習生態系元件，組成全新類別的機器學習系統。使用SynapseML，開發者不必擔心分散式機器學習工作流程的實作細節，在不需要更改程式碼的情況，就能簡單部署至各種資料庫、叢集和程式語言中。</p> <p>進一步來說，SynapseML可將現有的機器學習框架，和新的演算法統一到一個可以跨Python、R、Scala和Java的可擴展API中，該API具有可擴展性，且獨立於資料和各種語言，也能以批次、串流和提供應用程式等方式來運作，開發人員可以專注在資料和任務上。SynapseML可用來建構各種可擴展的智慧系統中，包括異常檢測、微服務調度或模型可解釋性等。<a href="https://www.microsoft.com/en-us/research/blog/synapseml-a-simple-multilingual-and-massively-parallel-machine-learning-library/">（詳全文）</a></p> <p><img alt="" src="https://www.microsoft.com/en-us/research/uploads/prod/2021/11/1400x788_Synapse_No_logo_still-scaled.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Tableau </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料素養 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span></p> <p><span style="font-size:22px;"><strong>Tableau：未來5年要培養千萬人資料處理技能！</strong></span></p> <p>「我們處於資料分析的黃金時代！」Tableau CEO Nelson指出，資料分析已是現代企業標配，以便在瞬息萬變的市場中快速決策。Tableau近日與研究單位進行的調查也發現，企業招募新人時，更將資料素養列為首要考慮條件。</p> <p>進一步來說，Tableau原本就有一套提高資料素養的學術計畫，提供學校師生免費軟體和課綱來教學。現在，Tableau基金會要再加碼500萬美元，來擴大這個計畫，比如提供免費的線上學習內容，讓世界各地師生都可使用。此外，Tableau也將聯手Salesforce開設免費的資料素養課程，也要與數位轉型培訓組織合作，將資料教育納入實習計畫。Tableau預計這項計畫將培訓千萬人規模。<a href="https://www.tableau.com/about/blog/2021/10/data-success-for-everyone-with-tableau-economy-data-culture">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 物理模擬框架 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Modulus </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia推出AI物理模擬框架Modulus</strong></span></p> <p>Nvidia推出一款用於控制物理方程式和模擬的神經網路訓練平臺Modulus，可生成強大且高度逼真的模型，加速多物理系統的設計探索，適合數位雙身的開發。</p> <p>Nvidia指出，Modulus是一種神經網路框架，可將物理學和偏微分等強大功能和AI相結合，以建構出更加強大的模型。Modulus是為工程師、科學家、研究員和學生所設計，使用方法簡單，且容易擴展。Modulus可同時解決多個假設情境的參數化系統，用戶僅需要訓練模型一次，即可解決多個問題。有別於傳統的數值求解器，Modulus能一次處理多個單一幾何或參數幾何，神經網路可同時在多個情境間進行訓練，並在推理過程，即時評估每個配置，讓用戶更有效率探索設計空間。<a href="https://developer.nvidia.com/blog/nvidia-announces-modulus-a-framework-for-developing-physics-ml-models-for-digital-twins/">（詳全文）</a></p> <p><img alt="" src="https://developer-blogs.nvidia.com/wp-content/uploads/2021/11/Modulus-Stack-NVIDIA.jpg" /></p> <p>圖片來源／臉書AI研究院、Line臺灣、微軟、Nvidia</p> <p>攝影 / 王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 臺南市與華碩雲端打造動態影像AI感知平臺，自動偵測車流、人流</strong></p> <p><strong>2. Google釋出TF-GNN，使用者可在TensorFlow打造圖學模型了</strong></p> <p>資料來源：iThome整理，2021年11月</p> </div></div></div>
2021/11/25 23:33作者王若樸https://www.ithome.com.tw/news/148027
醫療AI商品化！雲象骨髓抹片分類計數AI拿歐盟、臺灣醫材認證，下一步拚美FDA認證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專攻數位病理的雲象傳來捷報，3年前與臺大醫院聯手開發的骨髓抹片AI分類計數系統，最近獲得歐盟CE和臺灣食藥署（TFDA）核准，取得醫療器材許可證，踏出醫療AI應用商品化第一步。有別於常見的醫療影像AI應用，骨髓抹片分類計數是判斷血癌的關鍵，但判斷難度高、得仰賴稀缺的專業人才，全球幾乎鮮少著墨。雲象聯手臺大醫院，以近60萬顆細胞訓練這套AI，並經臺、美4家醫院驗證，準確率達94％，最終取證。雲象執行長葉肇元表示，這款AI未來將進軍歐洲市場，同時要收集更多美國醫院臨床數據，拼申請美國FDA醫材認證。</p> <p><span style="font-size:24px;"><strong>聯手臺大醫院挑戰血液科世界難題</strong></span></p> <p>2018年，雲象與臺大醫院血液科聯手展開這項高難度的專案。專攻血液腫瘤疾病的臺大醫院檢驗醫學部主任周文堅指出，骨髓造血細胞的計數，是判斷血液疾病的基本要素，但目前都是人工判斷。而且，這種人工判讀非常仰賴有經驗的專科醫師，得對各種血球型態都得非常熟悉。不過，即便是有經驗的醫師，有時判斷還是會偏主觀，而一次判讀，至少得看500顆細胞才會準確，一位病人就得花20分鐘判讀。也因為人才稀缺、標註成本高昂，這種骨髓抹片計數分類AI，在世界上還非常少見。</p> <p>不過，2018年，才成立不久的雲象就決定與擅長血液疾病診治的臺大醫院聯手，挑戰這道難題。他們利用臺大醫院累積38年的上萬片骨髓抹片作為訓練材料，包括來自323位病人、542片抹片，共近60萬顆骨髓細胞，來讓院內血液科專業醫師標註，進行AI模型訓練。</p> <p>完成訓練後，這套骨髓抹片分類計數AI就進入測試階段。周文堅指出，測試資料集包括了來自39位病人、53張抹片共4萬6千多顆細胞，團隊先以3位專科醫師判讀這些細胞，取其中達成共識的2萬6千多顆細胞來與AI比對，模型準確率為94％。他強調，就連醫師判讀骨髓細胞也難達成共識，比例也才6成多，更顯AI的重要性，可於缺乏血液科專業人才的醫院中，輔助醫師判讀。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B8%AC%E8%A9%A6.PNG" /></p> <p><strong><span style="font-size:24px;">跨國驗證臨床準確率達94％，未來要加強美、日應用</span></strong></p> <p>總的來說，這套AI可辨識15種骨髓血液細胞，還能將原本耗時20分鐘的人工判讀時間，縮短為5分鐘。但完成測試還不夠，團隊也以臨床驗證來考驗系統的準確性。</p> <p>他們在臺灣和美國4家醫院進行臨床驗證，包括臺大醫院總院、臺大醫院雲林分院、國泰醫院，以及美國BioReference Laboratories。周文堅解釋，驗證資料來自254位病人、254片抹片共31萬多顆細胞，並以兩位醫師判讀的平均值，來對比AI判斷結果。</p> <p>驗證結果顯示，AI判讀結果都與人類醫師判讀非常相近，甚至高達90％以上。正因為有這些臨床試驗結果，這套AI系統也在10月份拿到食藥署TFDA認證，並通過歐盟CE認證，成為醫材。周文堅表示，利用AI輔助判讀骨髓細胞，可解決人才稀缺問題，也能客觀比對。不僅判讀時間縮短到5分鐘，在開發過程中，雲象也與臺大醫院聯手建立了世界上最大的骨髓抹片影像標註資料集。這些標註影像能作為教學之用，讓新進醫師更懂得判斷不同類型細胞和疾病，作為經驗傳承。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A9%97%E8%AD%89.PNG" /></p> <p>葉肇元特別點出，在這項專案中，臺大醫院抹片染色方式是AI順利學習的關鍵。因為，臺大醫院採用劉氏染色法（Liu's Stain），這是臺大醫院血液科草創人劉禎輝改良的染色方法，可清楚分化細胞。臺灣近半數醫院都採用此種染色方法，但國際上還不普及。葉肇元也認為，臺灣醫界有許多創新之處，應發展到國外，讓世界看見臺灣。</p> <p>他也透露，接下來，雲象將在歐洲市場力推這套系統。同時，他們也會加強與美國醫院的驗證作業，盼能進一步申請FDA許可。另一方面，雲象也與日本5所大學醫院展開合作，要讓模型學會不同於臺灣的染色方式，提高AI通用性。葉肇元說，骨髓抹片分類計數只是起點，接下來還會發展更多骨髓抹片相關AI應用。</p> </div></div></div>
2021/11/25 21:04作者王若樸https://www.ithome.com.tw/news/148026
GitHub年度報告：開發者生產力已回到疫情前的水準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://octoverse.github.com/" target="_blank">GitHub於本月公布了2021年的Octoverse年度報告</a>，指出有別於開發者在2020年仍在適應遠端工作的方法，今年開發者的心態已然改變，不再只是想回到過去的生活型態，而是真的理解到遠端工作的需求，真心地改變生產流程。</p> <p>今年度的Octoverse開發者報告不僅調查了1.2萬名開發人員的看法，亦遙測了超過400萬個儲存庫，藉以揭露現在的趨勢並進行預測。</p> <p>調查顯示，開發者的生產力已經回到疫情前的水準，同時他們也開始適應了工作型態的改變，在疫情前有41%的組織主要是在辦公室上班，有28.1%是採用混合模式，有些人在辦公室，有些人在遠端，只有26.5%是全數在遠端工作。GitHub詢問他們認為當疫情結束之後的工作型態是如何？只有10.7%回答主要會在辦公室，混合模式躍居為第一，占了47.6%，全遠端工作的比例亦增加到38.8%。</p> <p>今年的報告強調了文件的重要性，指出不管是在開源碼專案或是企業專案中，只要具備可靠及清楚的說明與文件，開發者的生產力就會提高50%；此外，一個程式碼要變成專案，就會需要文件，既能增加外界對專案的信心，也能對外邀請協作。</p> <p>然而，在GitHub所調查的開源碼專案中，只有5.75%撰寫了貢獻者準則，倒是有85.9%撰寫了Readme。</p> <p>現階段GitHub平臺上的開發者數量已超過7,300萬，去年新增了1,600萬名新用戶，光是去年就建立了6,100萬個儲存庫，Fortune百大企業中有84家採用GitHub平臺。該平臺的開發者有31.5%來自北美，31.2%來自亞洲，27.3%來自歐洲，另有5.9%來自南美洲。</p> <p>今年GitHub上最熱門的前五大程式語言與去年一致，依序是JavaScript、Python、Java、TypeScript與C#。</p> </div></div></div>
2021/11/25 16:23作者陳曉莉https://www.ithome.com.tw/news/148024
偽裝方式更高明的三種木馬現身：採用多種迴避機制，用戶難以察覺異狀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者發動木馬程式攻擊，目標從過往的個人電腦，漸漸轉移到行動裝置。其中，安卓手機的使用者，能夠從官方市集以外的來源安裝應用程式，而成為不少木馬程式鎖定的目標。</p> <p>在11月中旬，研究人員揭露多個新興的安卓木馬程式，分別為BrazKing、SharkBot，以及Gravity，攻擊手法相當狡猾，若不慎上當、安裝這些惡意程式，裝置存放的個人資料不只會被竊取，對方也可能透過手機裡的銀行App，將受害者的銀行帳戶的存款領走。</p> <p>雖然這些惡意軟體的攻擊手法有不少差異，但相同的是，這些木馬程式都採用多種反偵測的機制，如：不會在Android模擬器環境執行、程式碼採用演算法進行混淆等，且研究人員難以確認攻擊者身分。</p> <h2><strong>攻擊者透過C2中繼站下達命令，向使用者進行詐欺</strong></h2> <p>為了能夠在受害裝置暢行無阻，許多木馬程式都會強迫使用者授予各式的存取權限。但也有攻擊者反其道而行，只濫用輔助服務，最終照樣能執行各種竊密的工作。</p> <p><a href="https://securityintelligence.com/posts/brazking-android-malware-upgraded-targeting-brazilian-banks/">IBM威脅情報團隊針對新版BrazKing銀行木馬分析後，就有類似的發現</a>。他們表示，攻擊者採用相當少見的手法，來迴避資安系統的偵測。例如，BrazKing因為直接使用系統的輔助服務，而只需要少量的權限即可執行竊密工作；對於覆蓋手機螢幕的內容，BrazKing會偵測正在執行的處理程序，再從C2中繼站下載所需的工具，而能躲過資安人員設置的沙箱或虛擬機器環境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz1iZjllZmQ3YTQxZmUxMWVjYjRlMWI2ZTc0NDFmYWJlYQ%3D%3D.png" style="width: 350px; height: 239px;" /></p> <blockquote><p>BrazKing在受害者安裝完成後，會請求輔助服務的存取權限，但這個木馬程式會顯示如Google圖示，藉此讓受害者誤以為是Google的應用程式請求有關存取權限，而上當、同意給予權限。</p></blockquote> <p>研究人員表示，BrazKing的獨特之處，在於它是透過C2中繼站進行分析之後，確認受害裝置是真實的行動裝置，且位於目標地區：巴西，才會偵測受害手機狀態，顯示對應的覆蓋畫面。一旦BrazKing發現自己處於沙箱，或是裝置位於巴西以外的國家，便不會攻擊。</p> <p>究竟BrazKing是如何在缺少各式權限的情況下，進行竊密的工作？IBM指出，攻擊者主要是充分利用輔助工具達成。例如，針對手機螢幕呈現內容的擷取，BrazKing是透過程式語言來解析，而非螢幕截圖。</p> <p>而對於簡訊與聯絡人資料的獲取，BrazKing也透過解析螢幕畫面的內容來達成，不需存取簡訊與聯絡人資訊的許可。除了設法拿到裝置裡儲存的簡訊與聯絡人資料，攻擊者也運用相同手法，側錄使用者在手機螢幕虛擬鍵盤輸入的內容。</p> <p>由此看來，BrazKing很依賴C2中繼站發號司令，而為了持續通訊，這個木馬程式，使用的通訊協定是WebSocket，並非許多木馬程式使用的HTTP。事實上，WebSocket通訊協定提供了雙向通訊的管道，並在交握時採用升級版HP標頭，來排列BrazKing的工作，而這些工作將會個別執行，並從C2接收不同的任務。</p> <p>而對於攻擊者運用BrazKing的方式，研究人員指出，主要是藉由C2中繼站進行控制，來進行詐欺攻擊。</p> <p>例如，攻擊者可向BrazKing下達顯示螢幕通知的命令，引誘受害者開啟銀行App，然而，針對線上交易常見的雙因素驗證（2FA），BrazKing也有方法突破——在手機接收到簡訊驗證碼後，顯示假的PIN碼輸入畫面，進而讓攻擊者取得這筆驗證碼，完成詐騙交易。</p> <h2><strong>能擅自從手機App洗劫受害者的銀行帳號</strong></h2> <p>駭客藉由木馬程式來竊取受害者銀行帳密的手法，屢見不鮮，但近期這類惡意軟體的攻擊方式，也出現變化。</p> <p>例如，提供網路詐騙防治解決方案的資安業者Cleafy指出，<a href="https://www.cleafy.com/cleafy-labs/sharkbot-a-new-generation-of-android-trojan-is-targeting-banks-in-europe">10月底他們發現新的安卓木馬程式SharkBot</a>，一旦受害手機安裝了這個惡意軟體，攻擊者將會透過系統的輔助服務，掌控用戶的銀行資訊，且竊取帳密與信用卡資料，此外，這支木馬程式，亦具備攔截銀行發送的SMS簡訊的能力。</p> <p>分析殭屍網路的架構之後，Cleafy認為，該殭屍網路鎖定目標，可能是英國、義大利及美國的銀行與加密貨幣交易所。Cleafy指出，他們至少看到22個組織遭到攻擊，這些單位多半是英國與義大利的銀行，其中，有5個是提供加密貨幣服務的業者。</p> <p>相較於其他現存惡意程式，Cleafy認為，SharkBot屬於世代較新的行動裝置惡意軟體，因為它能發動「自動轉帳系統（Automatic Transfer System，ATS）」攻擊手法，利用受害者的裝置，將用戶的銀行帳戶存款偷走。</p> <p>什麼是自動轉帳系統攻擊？這其實是一種進階攻擊手法，相關的工具能在遭駭的裝置裡，於銀行App上自動填入特定的資料，進而在受害者最少操作次數的狀況下，將銀行帳戶存款轉走。不過，能夠發動ATS攻擊的木馬程式，SharkBot並非首例。<a href="https://www.ithome.com.tw/news/129672">在2019年3月出現的Gustuff</a>，就具備這類機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/618d1247e64fc2c4c1a44543_Fig1.png" style="width: 580px; height: 349px;" /></p> <blockquote><p>銀行木馬SharkBot採用自動轉帳系統（ATS）的攻擊手法，能自動將受害者的銀行存款，轉到攻擊者的帳戶，圖中便是SharkBot執行ATS攻擊，將使用者在銀行App輸入的國際銀行帳戶號碼（左），置換成攻擊者的帳戶號碼（右）。</p> </blockquote> <p>根據SharkBot具備ATS攻擊能力的這項發現，Cleafy推測，攻擊者應該是濫用輔助服務，亦即Android作業系統的內建功能，從而繞過許多銀行與金融服務裡，所採行的使用者行為偵測措施，像是生物辨識的驗證機制，來達成自動化攻擊。</p> <p>而在攻擊者濫用Android的系統輔助功能後，不只可以發動ATS攻擊，還能藉此執行其他行動。例如，進行螢幕覆蓋攻擊（Overlay Attack）竊取登入應用程式的帳密，以及信用卡資料；或者，攔截或隱藏受害裝置收到的簡訊。研究人員認為，攻擊者甚至能取得完整的系統存取控制權，可從遠端控制受害的Android裝置。</p> <p>除了上述攻擊手法，這個惡意軟體具備多種反偵測能力，像是可以反制模擬器的檢查功能、隱藏應用程式的圖示等。而在與C2中繼站通訊的過程中，SharkBot不只使用網域產生演算法（DGA）來連線，全程也使用Base64演算法遮掩。</p> <h2><strong>駭客謊稱是即時通訊App，並成立介紹網站</strong></h2> <p>有些駭客組織原先是鎖定個人電腦下手，後來移轉目標到行動裝置。例如，近期出沒的Gravity木馬程式，早期主要是針對Windows電腦出手，曾於2018年攻擊印度武裝部隊而引起資安人員的注意。到了這2到3年，Gravity又衍生出Android與macOS的版本，而不再只是針對Windows發動攻擊。</p> <p><a href="https://blog.cyble.com/2021/11/11/gravity-rat-malware-returns-as-a-chat-application/">根據資安業者Cyble最近的發現，</a> 有人從印度上傳新版Gravity木馬程式，到VirusTotal分析。他們研究這個木馬之後，發現攻擊者將其包裝成名為SoSafe Chat的即時通訊App，而且是針對Android裝置而來，讓受害者以為自己安裝新的即時通訊軟體而上當。</p> <p>攻擊者為了讓受害者上當，不僅將Gravity偽裝即時通訊軟體，還成立了「官方網站」，煞有其事地介紹這套軟體。不過，Cyble指出，這個網站的下載按鈕，以及使用者註冊的功能，似乎都遭到了停用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cyble-Gravity-Download-Option.png" style="width: 580px; height: 281px;" /></p> <blockquote><p>為了讓受害者相信SoSafe Chat是正派的即時通訊軟體，Gravity木馬程式的攻擊者設立專屬網站，當中不只有軟體的簡單介紹，也有使用者登入與申請帳號的介面。無論從應用程式的圖示，或是網站上的說明資訊，受害者都很難察覺這其實是捏造的即時通訊軟體。</p> </blockquote> <p>一旦受害者在手機上安裝了這款惡意App，聯絡人資料、簡訊，以及機密文件等資料將會遭到竊取。Gravity會向使用者要求多達42項權限，但實際濫用的共13項，有了這些，對方可存取簡訊、聯絡人、通話記錄、修改系統設定、讀取電信網路的資訊，以及讀取及寫入檔案、錄音、取得裝置的地理位置、取得網路連線。</p> <p>但發動攻擊的組織或個人身分，至今仍不得而知。Cyble指出，無論是從木馬程式或網站進行分析，仍然難以確認背後的攻擊者。雖然，先前使用Gravity木馬程式的攻擊裡，研究人員懷疑，可能就是巴基斯<br /> 坦的駭客組織所為，但是，目前Cyble所採集到的證據有限，尚無法印證攻擊者就是來自巴基斯坦。</p> </div></div></div>
2021/11/25 15:29作者周峻佑https://www.ithome.com.tw/news/148021
Check Point揭露聯發科晶片漏洞，波及3成手機與IoT裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以色列資安業者<a href="https://research.checkpoint.com/2021/looking-for-vulnerabilities-in-mediatek-audio-dsp/" target="_blank">Check Point周三（11/24）揭露了4個涉及臺灣晶片製造商聯發科技（MediaTek）系統單晶片（SoC）的安全漏洞</a>，指出當把這些漏洞串聯OEM業者合作夥伴函式庫的安全漏洞時，將可允許應用程式擴張權限，波及全球37%的智慧型手機及IoT裝置。不過，<a href="https://corp.mediatek.com/product-security-bulletin/October-2021" target="_blank">聯發科技已於今年10月修補了相關漏洞</a>。</p> <p>聯發科技在去年第三季就超越了高通，以31%的市占率凌駕高通的29%，成為全球手機晶片的製造龍頭，而<a href="https://www.counterpointresearch.com/global-smartphone-ap-market-share/" target="_blank">根據Counterpoint今年第二季的調查</a>，聯發科技的市占率更躍上了43%，高通則落至24%，蘋果以14%排名第三。</p> <p>聯發科所打造的系統單晶片包含了一個特殊的AI處理單元（APU）、與一個聲音數位訊號處理器（DSP），藉以改善媒體效能並減少對CPU的依賴，不管是APU或DSP都採用客製化的Tensilica Xtensa微處理架構，此一Tensilica平台允許晶片製造商擴充Xtensa指令集，以優化特定的演算法並避免遭到複製，這也讓它成為安全研究的目標。</p> <p>Check Point團隊即針對其聲音DSP韌體進行了反向工程，並發現它暗藏了許多可自Android裝置存取的安全漏洞，當結合OEM合作夥伴的函式庫漏洞時，將讓Android程式擴張權限，進而允許駭客竊聽使用者的對話或藏匿惡意程式。</p> <p>其中的3個漏洞為CVE-2021-0661、CVE-2021-0662與CVE-2021-0663，它們皆屬於堆積緩衝區溢位漏洞，主要是因邊界檢查不正確，可能會發生越界寫入的問題。至於第4個安全漏洞CVE-2021-0673的細節則尚未公布。</p> <p>根據Check Point所描述的攻擊場景，一個無特權的Android程式只要透過AudioManager API設定特定的參數值，就能開採CVE-2021-0673漏洞，再串連OEM合作夥伴函式庫的安全漏洞，即可造成Android程式的權限擴張，允許Android程式傳送訊息至聲音DSP韌體。</p> <p>若再加上CVE-2021-0661、CVE-2021-0662或CVE-2021-0663漏洞，駭客也許能進一步執行其它的惡意行為，例如藏匿或執行聲音DSP晶片上的惡意程式。</p> <p>根據Check Point的說法，聯發科技已在今年10月修補了上述的4個安全漏洞。不過，聯發科技10月或11月的安全通報中，並未包含CVE-2021-0673，可望於12月的安全通報中現身。</p> </div></div></div>
2021/11/25 15:32作者陳曉莉https://www.ithome.com.tw/news/148022
已有駭客著手開採微軟本月未修補完全的Windows Installer漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>揭露微軟Windows Installer漏洞CVE-2021-41379的安全研究人員Abdelhamid Naceri，在發現微軟修補不完全後，<a href="https://www.ithome.com.tw/news/147976" target="_blank">於22日釋出了概念性驗證攻擊程式</a>，<a href="https://blog.talosintelligence.com/2021/11/attackers-exploiting-zero-day.html" target="_blank">隔天思科Talos資安團隊就發現</a>已有企圖開採該漏洞的惡意程式樣本現身。</p> <p>Talos團隊說明，Naceri所釋出的概念性驗證程式利用了Microsoft Edge升級服務（Elevation Service）的任意存取控制清單（DACL），以一個MSI檔案置換了系統上任意的執行檔，因而允許駭客以管理員身分執行程式。</p> <p>該團隊也警告，雖然CVE-2021-41379只被微軟列為重要（Important）漏洞，CVSS風險評分為5.5，但Naceri所公布的概念性驗證程式、肯定會造成該漏洞被進一步地濫用。</p> <p><a href="https://www.bleepingcomputer.com/news/security/malware-now-trying-to-exploit-new-windows-installer-zero-day/" target="_blank">Talos團隊亦向《BleepingComputer》透露</a>，目前僅發現少數的開採行動，看起來像是在測試及調整之後打算全面部署的攻擊程式。</p> </div></div></div>
2021/11/25 16:02作者陳曉莉https://www.ithome.com.tw/news/148023
【資安日報】2021年11月25日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟修補Windows Installer漏洞不完全一事，在研究人員公布概念性驗證程式之後，隨即就被發現攻擊者正在躍躍欲試，疑似著手打造攻擊工具並進行測試，但這個漏洞微軟尚未提供進一步的修補。而另一起資安新聞就是實際的APT攻擊行動：疑似是受伊斯蘭政權指使的駭客，鎖定使用波斯語的用戶發動間諜攻擊，而入侵受害電腦的管道，就是不久前才被修補的MSHTML重大漏洞CVE-2021-40444。</p> <p>在上述的個人電腦威脅之餘，針對安卓行動裝置的間諜程式攻擊，也顯著變得頻繁，且攻擊行動出現不少過往較為少見的手法。例如，APT駭客組織C-23的攻擊行動中，先是以系統更新的名義引誘使用者下載間諜App，再透過要求開啟通知等理由，誘騙他們提供權限。在成功得到多種權限之後，這款間諜App還會將自己更換圖示和名稱，來偽裝成一般常見的應用程式。而這一連串的手法，使用者恐怕很難察覺異狀。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/malware-now-trying-to-exploit-new-windows-installer-zero-day/"><span style="color: rgb(0, 0, 0);">惡意軟體試圖利用Windows Installer零時差漏洞</span></a></strong></h4> <p>資安研究員Abdelhamid Naceri於11月22日指控，微軟針對Windows Installer漏洞CVE-2021-41379修補不完全，並提供概念性驗證程式佐證。思科於11月23日提出警告，他們已經發現有數個惡意軟體開始利用這項漏洞發動攻擊，該公司指出，他們看到利用此漏洞的惡意軟體數量不多，研判目前可能是測試階段，但這個現象也代表了一件事，就是攻擊者能夠快速將公開的漏洞資訊應用於攻擊。</p> <h4><strong><a href="https://www.safebreach.com/blog/2021/new-powershortshell-stealer-exploits-recent-microsoft-mshtml-vulnerability-to-spy-on-farsi-speakers/"><span style="color: rgb(0, 0, 0);">伊朗駭客鎖定MSHTML漏洞發動攻擊</span></a></strong></h4> <p>資安業者SafeBreach指出，伊朗駭客利用近期甫被修補的MSHTML重大漏洞CVE-2021-40444，鎖定使用波斯語的用戶發動攻擊，並使用名為「PowerShortShell」的程式碼來進行竊密－－這是PowerShell指令碼，內容僅約153行，但具有多種竊密能力，包含了收集螢幕截圖、Telegram檔案、文件，以及受害電腦環境等資訊。</p> <p>研究人員指出，近半數受害者位於美國，研判攻擊者很有可能是伊斯蘭政權有關，認為這些居住境外的伊朗人可能對政權帶來威脅，所發動的攻擊行動。</p> <h4><strong><a href="https://news.sophos.com/en-us/2021/11/23/android-apt-spyware-targeting-middle-east-victims-improves-its-capabilities/"><span style="color: rgb(0, 0, 0);">鎖定中東用戶的安卓間諜App假借功能受限的名義，引誘受害者提供各式權限<img alt="" src="https://s4.itho.me/sites/default/files/images/C23_notifications.png" style="width: 200px; height: 279px; float: right;" /></span></a></strong></h4> <p>資安業者Sophos於11月23日，揭露APT駭客組織C-23（亦稱GnatSpy、FrozenCell、VAMP）的攻擊行動，該組織以系統更新的名義，散布木馬程式。一旦使用者不慎安裝，就會被要求開啟多種權限，但比較特別的是，為了讓使用者不疑有他開啟這些權限，過程中攻擊者亦藉由啟用通知、保護網路連線、執行效能模式等名義，再將受害者帶至權限開啟畫面。</p> <p>而在受害者同意所有權限後，這些「系統更新」App還會更換圖示及名稱，佯稱自己是Play市集、Chrome、Google搜尋，或是VOIP電話Botim等，且啟動時也同時會開啟真正的App來掩人耳目，但實際上，這個木馬程式也在背景暗地裡執行。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148017"><span style="color: rgb(0, 0, 0);">攻擊者利用華為應用程式市集散布木馬程式</span></a></strong></h4> <p>防毒業者Doctor Web於11月23日指出，他們發現名為Android.Cynos.7.origin的木馬程式，透過華為的應用程式市集AppGallery散布，這個木馬程式存在於190款遊戲當中，會收集裝置資訊與電話號碼，估計超過930萬名安卓用戶安裝了含有木馬程式的遊戲。華為獲報後已將這些遊戲下架，已經安裝遊戲的用戶需自行刪除遊戲。</p> <h4><strong><a href="https://www.ithome.com.tw/news/147998"><span style="color: rgb(0, 0, 0);">蘋果向以色列網路攻擊公司NSO Group提告</span></a></strong></h4> <p>日前有80名記者揭露，以色列NSO Group製作的間諜程式Pegasus，有數十名政府官員或新聞記者手機感染這個間諜程式，並非該公司聲稱只用於監控犯罪或恐怖份子。對此，繼Meta之後，蘋果11月23日也向NSO Group提告，並打算要求法院禁止這家網路攻擊公司使用蘋果的產品。</p> <h4><strong><a href="https://www.safetydetectives.com/blog/wspot-leak-report/"><span style="color: rgb(0, 0, 0);">無線網路管理軟體WSpot曝露數百萬客戶訊息</span></a></strong></h4> <p>提供防毒軟體評比的SafetyDetectives網站於11月22日指出，他們的資安研究團隊於9月2日發現，巴西無線網路管理解決方案業者WSpot，因配置不當的AWS S3儲存體，疑似曝露約250萬巴西公民的資料，包含姓名、電子郵件地址、性別、出生日期、地址等。經通報後WSpot於9月8日採取保護措施，但這些資料是否已遭到駭客下載？目前仍不得而知。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://blog.checkpoint.com/2021/11/24/check-point-research-discover-vulnerabilities-in-smartphones-chips-embedded-in-37-of-smartphones-around-the-world/"><span style="color: rgb(0, 0, 0);">聯發科SoC存在漏洞，恐影響近4成手機</span></a></strong></h4> <p>資安業者Check Point指出，他們在聯發科SoC中，發現數位訊號處理器（DSP）的韌體，以及處理聲音訊號的硬體抽象層（HAL）中，存在數個漏洞。一旦攻擊者利用，將能透過錯誤的處理器訊息，在DSP韌體藏匿惡意程式碼並執行，進而竊聽用戶。由於目前聯發科的SoC市占約37%，上述漏洞將會波及採用該廠牌SoC的手機與物聯網設備。聯發科獲報後，已於10月完成修補。</p> <h4><strong><a href="https://portswigger.net/daily-swig/vmware-addresses-ssrf-arbitrary-file-read-flaws-in-vcenter-server"><span style="color: rgb(0, 0, 0);">VMware vCenter存在SSRF與任意檔案讀取漏洞</span></a></strong></h4> <p>VMware於11月23日，發布vCenter的更新程式，修補2個漏洞，皆與vSphere的網頁用戶端有關。其中，CVE-2021-21980可被用於任意檔案讀取攻擊，CVSS風險層級為7.5分；CVE-2021-22049可被用於偽造伺服器端請求（SSRF）攻擊，CVSS風險層級為6.5分。美國網路安全暨基礎架構安全局（CISA）也發出資安通告，呼籲用戶儘速修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><a href="https://www.ithome.com.tw/news/148004"><span style="color: rgb(0, 0, 0);"><strong>微軟正式提供Edge用戶進階安全模式</strong></span></a></h4> <p>原本用來改善瀏覽器效能的即時編譯（Just-In-Time Compilation，JIT）機制，近年來不斷被發現臭蟲，對此微軟決定，在Edge瀏覽器提供關閉JIT的功能，這項功能被稱為超強安全模式（Super Duper Secure Mode）。微軟在8月開始測試這項功能，並於11月19日發布的正式版本（96.0.1054.29），提供給一般Edge使用者。</p> <h4><a href="https://download.nccst.nat.gov.tw/attachfilehandout/110%e5%b9%b4%e7%ac%ac2%e6%ac%a1%e6%94%bf%e5%ba%9c%e8%b3%87%e9%80%9a%e5%ae%89%e5%85%a8%e9%98%b2%e8%ad%b7%e5%b7%a1%e8%bf%b4%e7%a0%94%e8%a8%8e%e6%9c%83-%e8%ad%b0%e9%a1%8c%e4%b8%89%ef%bc%9a110%e5%b9%b4%e7%b6%b2%e8%b7%af%e6%94%bb%e9%98%b2%e6%bc%94%e7%b7%b4%e6%9a%a8%e8%b3%87%e5%ae%89%e6%8a%80%e8%a1%93%e6%aa%a2%e6%b8%ac%e9%87%8d%e8%a6%81%e7%99%bc%e7%8f%be%e4%ba%8b%e9%a0%85V1.0_1101110.pdf"><strong>2021政府網路攻防演練結果公開，對外系統弱點以無效的身分認證比例最高，仍有帳密相同情況</strong></a></h4> <p>近期政府每年都會舉行網路攻防演練，在今日（11月25日）開始舉行的第2次資通安全防護巡迴研討會期間，行政院資安處同時公布2021年網路攻防演練報告，說明今年演練發現的對外系統弱點，以實際案例說明問題，並提供改善建議，希望公務機關與相關業者能夠清查，不應讓這些問題一再發生。今年的結果顯示，發現「無效的身分認證」與「無效的存取管控」的比例最高，值得注意的議題中，演練發現許多未落實密碼強度檢查機制的狀況，甚至只要在網路上搜尋進駐廠商公司統一編號，就能以此輸入到機關網站的帳號與密碼欄位並登入，以及對於系統功能頁面與參數，沒有檢查對應權限的情形等。此外，網路惡意活動檢視方面，發現機關對於惡意中繼站名單管理的不足，需落實事件調查，建立中繼站名單部署與更新機制；而資料庫安全檢測方面，也有機敏資料明文儲存與未設置安全加密傳輸管道的情形，機關需完備資料保護機制。<span style="color:#FFFFFF;">㊣</span></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><a href="https://home.kpmg/tw/zh/home/media/press-releases/2021/10/tw-ceo-outlook-2021.html"><span style="color:#000000;"><strong>臺灣企業視供應鏈與網路安全為首要風險</strong></span></a></h4> <p>安候建業（KPMG）針對臺灣具影響力的50名企業CEO進行調查，了解這些人士對於未來3年企業與經濟成長前景的看法，並於近日公布結果。該公司發現，臺灣企業最關注的5種風險中，依序為供應鏈風險（28%）、數位網路安全（24%）、新興/顛覆性科技風險（14%）、環境氣候變遷（10%）、企業營運風險（10%）。安候建業指出，經歷疫情爆發的影響，臺灣CEO對於資安關注更勝過往，尤其是在許多日常工作與活動改以線上進行，使得資安成為許多企業的隱憂。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/147999">2021年11月24日</a></p> <p><a href="https://www.ithome.com.tw/news/147978">2021年11月23日</a></p> <p><a href="https://www.ithome.com.tw/news/147957">2021年11月22日</a></p> </div></div></div>
2021/11/25 13:00作者周峻佑https://www.ithome.com.tw/news/148019
GitLab 14.5免費提供基礎設施即程式碼安全掃描
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitLab推出最新的<a href="https://about.gitlab.com/releases/2021/11/22/gitlab-14-5-released/#group-level-settings-for-merge-request-approvals">14.5版本</a>，這個版本的亮點在於增加了對基礎設施即程式碼（Infrastructure as Code，IaC）檔案進行掃描，透過更主動的掃描行動，進一步增加了用戶的安全。另外，其他更新還有群組層級的合併請求批准配置，以及GitLab Free計畫現在也可以使用Kubernetes代理。</p> <p>在Gitlab 14.5中，官方加入對基礎設施即程式碼配置檔案的安全掃描功能，與Gitlab的SAST掃描器一樣，所有用戶都能夠免費使用該功能，官方希望在基礎設施即程式碼興起的當前，能夠鼓勵程式開發安全實踐。</p> <p>這個初始的基礎設施即程式碼掃描器，支援Terraform、Ansible、AWS CloudFormation和Kubernetes的配置檔案，並且以開源KICS（Keeping Infrastructure as Code Secure）專案作為基礎。</p> <p>這個新的掃描器加入了Gitlab現有的Kubernetes清單SAST掃描器，當用戶原本就熟悉GitLab SAST，那使用起來就會更簡單上手，因為基礎設施即程式碼掃描的持續整合配置，跟SAST的完全相同，並且支援相同的功能，包括獨立的基礎設施即程式碼持續整合配置檔案，以及安全配置頁面上的啟用工具，還有所有針對Ultimate層級用戶，所提供的漏洞管理功能，像是安全儀表板和合併請求小工具。</p> <p>而這個基礎設施即程式碼掃描器的設計，也非常易於擴充，除了官方提供的掃描器，用戶也可以使用其他掃描器來擴充基礎設施即程式碼安全掃描。</p> <p>而群組層級的合併請求批准配置功能的更新，則是Gitlab現在讓用戶可以在群組層級，定義和強制執行合併請求批准配置的數值，這些數值將會被其他群組中的專案所使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/group_level_mr_settings_picture.png" style="width: 580px; height: 109px;" /></p> <p>官方提到，群組層級的合併請求批准功能，讓組織可以更輕鬆地確保團隊間的職責分離，用戶現在只需要在一個位置指定配置，就能更新和監控每個專案，其具體好處有二，除了專案可以使用一致的職責分離流程之外，還能不需要手動檢查每個專案，是否完成配置修改。</p> <p>在這個版本，官方向Free層級開放更多的功能，過去GitLab Kubernetes代理僅提供給Premium層級使用者，而現在官方將GitLab Kubernetes代理和CI/CD Tunnel等核心功能，下放給Free層級用戶。</p> <p>透過GitLab Kubernetes代理連接Kubernetes叢集，能夠簡化叢集應用程式的配置，並實現叢集安全GitOps的部署，官方提到，他們希望藉由開源功能，吸引更多沒有專門基礎設施團隊，或是對叢集管理有強烈需求的用戶。</p> </div></div></div>
2021/11/25 11:56作者李建興https://www.ithome.com.tw/news/148012
駭客發現弱小獵物動作有多快？Palo Alto Networks的誘捕系統證實有8成會在24小時內淪陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Palo Alto Networks旗下的威脅情報團隊Unit 42 ，在今年7月至8月間於北美、亞太地區及歐洲部署了320個誘捕系統，打算測試在網路上不安全地曝露服務會招致什麼後果，<a href="https://unit42.paloaltonetworks.com/exposed-services-public-clouds/" target="_blank">結果發現有8成的系統在24小時內被駭客攻陷</a>，所有的系統則在一周內全被攻陷。另一個令人震驚的是，駭客在幾分鐘內就能夠發現並成功入侵這些誘捕系統。</p> <p>Unit 42在所部署的320個誘捕系統中均勻地安裝了遠端桌面協定（RDP）、安全外殼協定（SSH）、Samba伺服器訊息區塊，以及Postgres資料庫等4種應用，而且故意在這些系統上配置了幾個採用脆弱憑證的帳號，這些帳號可有限地存取於沙箱環境中的應用。</p> <p>每個誘捕系統在被攻陷後就會重設與重新部署，以用來計算遭到攻陷的次數，另也在48個誘捕系統上導入了防火牆策略，封鎖已知的網路掃描器，藉以比較相關防火牆策略的有效性。</p> <p>Unit 42團隊部署這些誘捕系統的時間為30天，發現有80%的誘捕系統在24小時內就被攻陷，所有的系統在1周內便被攻陷，最受駭客青睞的系統為SSH，平均每天被攻陷26次，其中有一個SSH誘捕系統在同一天被攻陷169次。此外，有一個駭客在30秒內就攻陷了該團隊在全球所部署80個Postgres系統中的77個，30秒的達陣率高達96%。</p> <p>根據Unit 42的統計，從把這些誘捕系統放到公開網路上，到駭客首度發現並攻陷它們的平均時間，SSH被攻陷的平均時間最短，只有184分鐘就淪陷了，居次的Postgres資料庫為511分鐘，RDP為667分鐘，Samba則是2,485分鐘。</p> <p class="rtecenter"><img alt="" src="https://unit42.paloaltonetworks.com/wp-content/uploads/2021/11/chart-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Palo Alto Networks</span></p> <p>而在每個誘捕系統於30天內所觀察到的攻擊IP上，SSH再以179個居冠，RDP為50個，Samba為11個，Postgres則是7個。</p> <p class="rtecenter"><img alt="" src="https://unit42.paloaltonetworks.com/wp-content/uploads/2021/11/chart-3.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Palo Alto Networks</span></p> <p>此外，Unit 42團隊在48個誘捕系統上嵌入了防火牆政策，該政策會封鎖過去30天持續掃描特定應用的IP，同時觀察此一實驗組與其它未設置防火牆的對照組被駭的情形，發現這兩個族群被攻擊的次數並沒有太大的差異，有防火牆的SSH及RDP系統遭到攻擊的次數更超越沒有防火牆的系統，顯示出封鎖已知的掃描IP無益於減緩攻擊。</p> <p>在攻擊者的分布上，主要的攻擊來自美國，占了29%，居次的是越南的17.4%，中國以11.6%排名第三，來自印度的攻擊IP亦占了8.9%，香港為6.6%。</p> <p>在此次的測試之後，Unit 42認為，只要有脆弱的服務曝露在網路上，駭客找到並攻陷它只需要幾分鐘，由於這些服務常常連結其它的雲端任務，因而可能成為駭客滲透到整個雲端環境的跳板。而這類的錯誤其實很容易預防，包括建立防護機制以避免特權連結埠曝光，打造稽核機制以監控所有的公開傳輸埠及曝露在外的服務，建立自動化的規則以自動修補錯誤的配置，或者是部署新一代的防火牆來封鎖惡意流量。</p> </div></div></div>
2021/11/25 10:45作者陳曉莉https://www.ithome.com.tw/news/148016
駭客把華為AppGallery當跳板來散布木馬程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.drweb.com/show/?i=14360&lng=en" target="_blank">俄羅斯資安業者Doctor Web本周揭露</a>，他們發現有一木馬程式透過華為的AppGallery程式市集散布。Doctor Web將此一木馬程式命名為Android.Cynos.7.origin，<a href="https://github.com/DoctorWebLtd/malware-iocs/blob/master/Android.Cynos/README.adoc" target="_blank">它被嵌入於190款的遊戲中</a>，可蒐集裝置資訊及電話號碼，估計至少有930萬名Android用戶安裝了相關的程式。</p> <p class="rtecenter"><img alt="" src="https://st.drweb.com/static/new-www/news/2021/november/Android.Cynos.7_2.1.png" style="width: 450px;" /></p> <p><span style="color:#696969;">圖片來源_Doctor Web</span></p> <p class="rtecenter"><img alt="" src="https://st.drweb.com/static/new-www/news/2021/november/Android.Cynos.7_3.1.png" style="width: 450px;" /></p> <p><span style="color:#696969;">圖片來源_Doctor Web</span></p> <p>Android.Cynos.7.origin是利用Cynos程式模組修改而成，此一模組可直接整合到Android程式中，過去有些Cynos版本甚至能夠傳送付費簡訊、攔截簡訊、下載其它模組或是下載及安裝其它程式，但Android.Cynos.7.origin主要的功能為竊取裝置資訊，包括使用者的手機號碼、基於GPS/行動網路/Wi-Fi熱點的裝置位置資訊、所使用的行動網路參數及裝置的技術規格等，目的在於傳送廣告。</p> <p>整合Android.Cynos.7.origin的遊戲從模擬、街機到射擊遊戲不等，也包括英文、俄文與簡體中文遊戲，華為在收到Doctor Web的通知後，已將這190款遊戲全數下架。不過，已下載相關遊戲的使用者也應刪除手機上的遊戲，來避免持續遭到危害。</p> </div></div></div>
2021/11/25 10:54作者陳曉莉https://www.ithome.com.tw/news/148017
微軟釋出高效能MoE函式庫Tutel
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布了高效能<a href="https://www.microsoft.com/en-us/research/blog/tutel-an-efficient-mixture-of-experts-implementation-for-large-dnn-model-training/">MoE（Mixture of Experts）函式庫Tutel</a>，可用來促進大規模深度神經網路（DNN）模型的開發，Tutel藉由支援多樣化靈活的MoE演算法，使得跨人工智慧領域的開發人員，可以更高效地執行MoE。</p> <p>MoE是一種深度學習模型架構，可以讓不同專家網路，來處理相同領域的異質問題，以電腦視覺來說，就可以結合偵測人類的神經網路，以及姿勢評估的其他神經網路。微軟提到，要將深度模型擴展至數兆參數，MoE是目前唯一一種方法，能夠讓模型學習更多的資訊，使電腦視覺、語音辨識、自然語言處理和機器翻譯系統等模型更加強大。</p> <p>Tutel針對微軟新發布的Azure NDm A100 v4系列執行個體進行最佳化，透過與Meta最先進的MoE實作fairseq相比，Tutel加速可達到2.75倍。以端到端的效能來說，Tutel獲益於全體對全體（All-to-All）通訊最佳化功能，比起Meta擁有1.1兆參數的MoE語言模型，在同樣使用64個NDm A100 v4節點上，可以實現40％以上的加速。</p> <p>臉書解釋，Tutel作為fairseq、FastMoE和其他進階MoE解決方案的補充，Tutel的重點擺在MoE特有運算和全體對全體通訊的最佳化，並且支援各種靈活的演算法。Tutel具有簡潔的介面，可以簡單地整合到其他MoE解決方案中，又或是開發人員可以使用Tutel，從頭開始將獨立的MoE層，合併到自己的DNN模型中，並直接獲得高度最佳化的MoE功能。</p> <p>由於目前缺乏基於MoE的DNN實現，通常都必須仰賴PyTorch和TensorFlow深度學習框架的多個現成DNN運算器，經過組合來執行MoE運算，官方提到，由於冗餘計算的緣故，這樣的做法會明顯提高效能開銷，而Tutel特別實作了多個經最佳化的GPU核心，提供MoE專用的運算子。</p> <p>另外，Tutel還實作了快速cumsum-minus-1運算子，與fairseq中的實作相比，達到了24倍加速，Tutel也利用CUDA C++ Runtime編譯函式庫來以JIT最佳化自定義的MoE核心。</p> <p>針對Azure NDm A100 v4叢集上的大規模MoE訓練，Tutel最佳化了其全體對全體通訊，其使用CPU-GPU綁定技術和自適應路由調校，同樣在512 A100 GPU上運算，Tutel比起fairseq加速可達2.56倍到5.93倍。</p> </div></div></div>
2021/11/25 10:09作者李建興https://www.ithome.com.tw/news/148011
群創從智慧製造邁向智慧營運，徹底重整IT架構啟動數據再造
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情讓全球航運運輸需求大增，美國貨輪塞港問題日益嚴重，像美西兩大港今年11月初排隊等待入港的滿載貨櫃船，多達七八十艘，甚至得等上2周，才能駛入碼頭。</p> <p>但有一艘載滿面板的臺灣貨輪，一點都不擔心，它能根據即時資料演算，盡量避開雍塞港口來停泊卸貨，面板供應商與物流業者也能掌握船舶動態，在船隻靠港與卸貨時，即時安排清關人員與貨車接應，就連面對緊張的缺櫃問題，都能透過包材設計優化及貨櫃裝載最佳化，來最大化貨櫃裝載量，將物流資源調度效率發揮到最大。</p> <p>這家面板製造商就是群創光電，去年底透過一個數位轉型專案，將商品從自家出貨、經手貨運代理人、船運公司等物流資訊全部打通，建立一套物流管理系統，目標透過更透明的資訊流，縮短物流週轉天數與運送成本。今年，群創更在這個基礎上，開發了最佳物流路線規劃演算法，能即時根據美國各港壅塞情形，彈性選擇最佳的停泊港口。</p> <p>去年此時，誰都沒想到，一個數位轉型專案，竟成了今年貨運塞港危機的最大功臣，成了避免交期延誤的關鍵。「我不知道明天會發生什麼，但我有沒有準備好面對明天的挑戰？」群創光電資訊總處總處長李義兵直言，這正是群創數位轉型的意義所在。</p> <p><span style="font-size:28px;"><strong>數位轉型第一部曲：智慧製造</strong></span></p> <p>群創的智慧化發展，隨著5、6年前智慧製造濫觴而展開。2017年，群創協同周邊事業群，大力邁向智慧製造，在原有IT基礎架構之上，結合物聯網、大數據分析、雲端運算、物流全自動化等新興技術，驅動生產流程各階段改造，尤其要提升製造業最在意的生產效率與產品良率，打造自動化無憂工廠。</p> <p>比如群創從2013年開始，逐步試驗AGV搬運機器人，後續在智慧製造時期，更於各廠區全面導入AGV與其控制中心AGVC（AGC Controller），不只能自動將貨櫃碼頭卸載的物料搬運到倉庫中，還能依據產線用料需求，在廠區內、產線間自動搬運物料，再結合人力或自動化設備來投料。</p> <p>對現在的群創來說，自動搬運已經不是挑戰了，「但剛開始建置時，很難，很多細節要設計。」李義兵回想，為了導入無人搬運系統，從物料物流動線、臺車、貨架、搬運器材到物料包裝，都得根據AGV規格重新設計；在感應技術的選用上，也得根據搬運物件重量，考量以磁條還是激光來導航，避免負載過重的AGV導致磁條脫落。不只如此，連廠區Wi-Fi與射頻設計，都得從頭摸索。</p> <p>物料送到組裝線後，進行產品組裝時，原先得靠人力執行的精細動作，包括撕膜、塗膠等，現在也能以機械手臂或自動化設備來取代，背後所用的應用系統，更是IT的關鍵任務之一。</p> <p>在決定生產排程時，為了以自動化取代人工排程，群創更利用AI與大數據分析技術，開發了一套智慧排程系統，能根據個別廠區的物料量、產能、良率以及當前所需的生產總量，決定不同廠區的每日生產量。</p> <p>面板製造完成後，群創則利用AOI光學檢測結合影像辨識技術，自動找出數百種瑕疵型態，來確保品質達標，取代了人工目檢作法，部分瑕疵更可結合雷射來自動修復。</p> <p>時至今日，群創智慧工廠的發展相當成熟了，從生產前的生產排程、實驗設計（DOE）、派工等，一直到生產中後段的設備健康診斷、虛擬量測、參數監控、回饋控制，到物流與監控等環節，都導入了智慧化技術。李義兵指出，原先由個別製造組織推進的智慧應用，現在改由中央更全面的統籌規劃，並與IT搭配積極向下推動。</p> <p><span style="font-size:28px;"><strong>數位轉型第二部曲：智慧營運</strong></span></p> <p>「如果沒有工業4.0，我們也沒有想到，數位技術竟可以帶動營運改變。」李義兵點出群創數位轉型的策略轉變。</p> <p>幾年來，群創不遺餘力地投入智慧製造，但大多聚焦工廠改造的角度來推動，直到2019年，面板產業進入景氣寒冬。李義兵回憶，當時營運狀況面臨瓶頸，不禁讓高層思考，能否奠基於智慧製造的基礎，透過新技術來驅動智慧營運？恰巧隔年，又面臨疫情衝擊，讓講究現場主義的工廠與供應鏈管理，得在短短幾周之內，改以數位科技來遠距支援。</p> <p>種種因素，讓群創決定從2020年開始，將數位轉型擴大到全公司營運管理，靠數據來支持更彈性、正確的決策。「2020年是一個好的時間點，來尋求更多突破。」李義兵說。</p> <p>為了推動智慧營運發展，從物料、物流到庫存管理，群創IT團隊均與多方角色合作，要透過打造更透明的資訊流，來支持更彈性的營運決策。</p> <p>比如在商品庫存管理方面，一項商品在群創製造完成後，會輾轉經過公司倉庫、貨輪、客戶倉庫甚至是客戶的銷售通路，最後才販售到消費者手中，整個流程週轉天數可能長達4～5個月。為了縮短周轉天數，群創首要任務是和客戶合作，取得通路即時的進銷存資料，以及物流業者的船運及當地倉儲資料，將整體庫存週轉的作業流程資訊透明化。</p> <p>為了取得這些資料，過程中，群創先與各家業者達成共識，共同商議資料標準，開發API來串接資料。在接入資料時，也會透過自動化資料檢查機制，來確保資料品質，以供後續應用無虞。為了與國際接軌，群創IT更採購了國際知名的B2B應用程式整合工具，基於該工具向合作夥伴提供資料交換服務，以取得資料供應方的信任。</p> <p>打通資料流後，群創也開發了一套庫存管理系統，讓相關單位了解每批貨的庫存位置與週轉時間，再找出庫存積累的問題點，依據通路狀況及市場需求，來優化供應鏈計畫。現在，群創已經能將原先要上百天的庫存週轉天數，降低到90天，加速商品變現。</p> <p><span style="font-size:28px;"><strong>重審IT基礎架構，啟動數據再造</strong></span></p> <p>啟動智慧營運的時間點，正逢李義兵接任資訊總處總處長。甫上任，他先回頭檢視了IT的不足之處，發現群創過去發展工業4.0時，較偏重新技術的發展，但在底層基礎架構上，鮮少重整與強化。尤其在產線擴張後，資料分析需求日益繁複，資料倉儲系統已面臨多次效能瓶頸，既存的資料孤島問題，更無益於仰賴即時數據分析的智慧營運發展。</p> <p>李義兵指出，缺乏穩健的資料處理基礎架構，更會影響AI採用，不僅較難快速取得數據來開發模型，也難以建立自動化模型迭代流程。「大家在談AutoML，無非是要讓AI更紮實，」但要讓AI模型開發與部署更容易執行，就得回過頭來重整基礎架構能力。</p> <p>因此，群創2020年中啟動數據再造，汰換掉沿用了15年的資料倉儲系統，並整合了生產營運系統、品質資訊系統、各廠區MES與ERP等資料，打破長期存在的資料孤島問題。</p> <p>轉換過程中，IT也將各類應用程式與後臺應用服務，與新系統對接，比如集合了多個數位轉型專案的智慧平臺（INIP），現在能根據新系統資料，來開發智慧應用；各業務單位也更容易根據需求，取用已經定義好的標準格式資料，來進行BI分析。這套新系統，儼然成為支持群創數位轉型的核心基礎架構。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1052-cio-500.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">攝影／洪政偉</span></span><br /><span style="color: rgb(105, 105, 105);"><strong>群創光電資訊總處總處長李義兵表示，數位轉型是部門先轉型、IT再去輔助，轉型規劃是部門的責任，能不能提供相應的科技工具，則是IT的責任。</strong></span></p> <p><span style="font-size:28px;"><strong>培養部門轉型思維，作業流程也要靠IT改造</strong></span></p> <p>除了轉換IT基礎架構，群創推動數位轉型時，也用IT大幅優化既有作業流程。這項任務，對於過去併購了統寶與奇美電兩家公司的群創來說，也格外有感觸。</p> <p>三家公司合併，正是IT挑戰的開始。李義兵回憶，公司整併後，為了讓全公司有一套共通的管理標準，IT先定義出資料格式與管理工具，來集合三家公司的系統資料，讓高層與相關單位，能依據管理目的來取用。進入系統整合階段後，IT也逐步將三套系統整併為一套，隨之整合的還有與系統相關聯的作業流程，讓企業內不同組織，在相仿的作業流程上遵循一致的作業標準。</p> <p>但是，在統一系統與作業流程後，過去長期遵循的作業標準，也可能還有改造、優化的空間。因此，群創透過全集團數位轉型推動，讓業務單位開始思考，如何優化作業流程，再由IT提供流程優化所需的科技工具來支持轉型。</p> <p>「在權責分割上，部門先轉型、IT再輔助。轉型規劃是部門的責任，提供相應的科技工具，則是IT的責任。」李義兵點出IT在數位轉型階段扮演的角色。</p> <p>比如群創去年受到疫情影響，外部原物料供應緊縮，由於群創的臺南、寧波、佛山、南京、上海等生產基地，各自有其生產目標，並分別向相同的供應商提出各自的物料需求，李義兵點出，在未能妥善統籌分配供應商產能的情況下，各廠區發生互相搶料的問題，導致各廠區長短料狀況不一，更連帶影響了群創整體的生產結果。</p> <p>找出這個問題點後，群創建立了中央統籌的物料調度單位，IT團隊也與業務單位協作，共同梳理物料採購流程，並開發一套供應商管理平臺及物料管理系統，改由中央統籌配置供應商產能，各廠區再依配置結果向供應商採購物料。透過這套系統，供應商也能取得各廠區最新物料需求，並回覆交期。</p> <p>展開作業流程優化時，李義兵也進一步思考，過去將多套作業流程統一為一套，是為了讓企業遵循同一套標準，來打破部門間的穀倉效應，但在統一作業流程後，能否在一套共構的系統與基礎流程下，讓各部門根據自己的業務邏輯，來創新作業流程或相關應用？「在技術架構、資料定義層面一致，但在應用發展上更多元。」李義兵點出，這是群創現階段的發展方向。</p> <p><span style="font-size:28px;"><strong>手握技術，不受技術供應商制約</strong></span></p> <p>群創在邁向智慧化的過程中，也採購了許多技術廠商的服務，這些經驗，讓群創格外注重對委外軟體服務的技術掌握，因為舉凡廠商經營不善、雙方終止合作、系統架構不利大企業應用等因素，都可能迫使企業IT接手系統維運，「只有自己掌握技術，才能更快速、彈性的發展。」李義兵說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 經理人小檔案 </span></strong></span></p> <p><strong>群創光電資訊總處總處長李義兵</strong></p> <p>經歷：具有近30年IT工作經驗，於奇美及群創工作期間，曾擔任中國廠區及供應鏈系統管理處處長等職務，2020年上任群創資訊總處總處長，帶領團隊規劃並落實數位轉型所需的現代化架構，鑽研領域包括AI、數據分析、新世代數據中心、安全防護及5G企業專網智能應用的雲端運算、儲存等</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>群創光電</strong></p> <p>地址：南部科學園區臺南園區環西路1段3號</p> <p>成立時間：2003年</p> <p>主要業務：TFT-LCD液晶面板供應商</p> <p>員工數：55,920人（2020年）</p> <p>年營收：2,699億元</p> <p>資本額：971億元</p> <p>董事長：洪進揚</p> <p>總經理：楊柱祥</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門名稱：資訊管理總處</p> <p>直屬主管：總經理楊柱祥</p> <p>資訊部門人數：數百人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>•2010年：配合群創、奇美、統寶合併，進行資訊系統3合1整合</p> <p>•2013年：智慧營運平臺INIP上線</p> <p>•2014～2015年：導入雲平臺基礎架構、發展企業行動應用、IoT數據採集架構、建構雙活資料中心</p> <p>•2016年：導入大數據平臺，ERP整併（Oracle轉換為SAP）</p> <p>•2017～2018年：發展INX 4.0，引領智能工廠推進，建置自動組裝線、自動檢測、虛擬量測、智能物流、製程參數自動調整</p> <p>•2019年：雲平臺（K8s）架構導入，以提供敏捷開發之微服務應用設計</p> <p>•2020年：推動智慧營運，並擬定數據資本的策略，強化數據保護，建立主動式資安防禦架構及資安戰情平臺</p> <p>•2021年：數據平臺資料倉儲服務再造，以5G企業專網應用發展智能視覺監控系統</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1052-cio-960.png" width="960" height="420" alt="" title="群創光電資訊總處總處長李義兵　（攝影／洪政偉）" /></div></div></div>
2021/11/25 07:00作者翁芊儒https://www.ithome.com.tw/people/147927
從plugin學習開放原始碼
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於每一個開發者而言，如果能擁有貢獻開放原始碼的經驗，具有許多面向的意義，像是基於工作需求、能力象徵、代表作品等，想從事這類活動，並沒有什麼形式上的規定，就算只是個簡單的寵物專案（可參考先前專欄〈<a href="https://www.ithome.com.tw/voice/98115" target="_blank">你有寵物專案嗎？</a>〉），或者是用個人自我想像的笨方式寫出的程式庫（參考〈<a href="https://www.ithome.com.tw/voice/113904" target="_blank">笨方法寫程式庫</a>〉），都是一種對開放原始碼的貢獻。</p> <p>對開放原始碼做出貢獻，其實也是個逐步累積自信心的過程，而從某個時間點開始，你可能會想對著名的開放原始碼做出貢獻，雖然著名的開放原始碼專案，往往具有一定的規模，想要切入時，往往令人生畏，然而貢獻可以有多個方向，官方有時也會明列可協助的項目，最基本的或許是回報臭蟲、撰寫文件、協助翻譯，這也是累積自信心的另一個開始。</p> <p><span style="font-size:28px;"><strong>從plugin認識官方程式庫</strong></span></p> <p>如果開放原始碼程式庫，提供了plugin的方式來擴充功能，那麼，根據自身需求來撰寫plugin，會是個不錯的貢獻方向！</p> <p>畢竟plugin開發可以從個人的專案開始，為了解決自身需求而存在，不用考慮太多的通用性，只要能與官方程式庫銜接，想要怎麼寫都可以，自由度相當高。</p> <p>而且為了撰寫plugin，你必須更詳細地閱讀官方文件，或者探索官方原始碼，這會逐步加深對官方程式庫的認識，明白其架構及運作原理，知道有哪些專供開發時使用的API，在這過程中往往會發現，實現某個plugin需要的技巧，就藏在官方文件或原始碼之中。</p> <p>現代開發者常會說「不要重新打造輪子」，然而，這並不表示不需要具備打造輪子的能力，也不表示不用去認識輪子的構造與原理，而開發plugin是個認識官方提供哪些輪子，以及熟練使用這些輪子的過程。</p> <p>畢竟，的確不需要重新打造官方已經有的輪子，但是，你的plugin是新輪子，對於官方既有的輪子如果能夠有越多的認識，新輪子才能更適切地融入。</p> <p><span style="font-size:28px;"><strong>維護plugin專案</strong></span></p> <p>寫plugin本身是件很自由的事，可以是簡單寫寫，只要自己在使用上沒有問題就可以了；然而，隨著時間過去，你的plugin功能逐漸豐富、程式碼逐漸增長，在維護上開始出現些負擔，也許你的plugin公開了，使用者越來越多。</p> <p>又或許從一開始，你就打算基於領域上的經驗，建構一個實用且完整的plugin專案，像是這類情況，我們就可以試著去架構專案，令其變得更易於使用及維護。</p> <p>首先要做的第一件事是，為plugin寫文件。這不單只是寫篇README就好了，你的專案中應該要有個docs目錄，將不同功能寫在對應的各個文件檔；而且，寫文件除了告訴其他人如何使用plugin之外，也是重構程式碼前的依據；儘量為API寫些範例，如果你還沒為專案撰寫測試，這些範例是使用案例也是測試案例，是一種最低程度的測試，在我的經驗中，往往就是在撰寫文件的過程中找到臭蟲。</p> <p>下一步是寫測試，可以自動化的那種程式碼。如果不知道怎麼開始，想想文件中的那些範例，如何能自動化地執行並確定結果正確與否，有時候這並不容易，特別是那些與畫面有關的範例。例如，我們畫出了一個模型，憑藉肉眼可以看出正確與否，那麼，若改成自動化處理時，要如何確定呢？也許取頂點、或者是邊、面數，甚至是角度等，不用想測試到多麼盡善盡美，而且，日後也還是需要維護測試程式的，或許到時還會有新的想法，現在先有基本測試最重要。</p> <p>在你寫文件或測試的過程中，應該會產生一些想法，例如，為了更好闡述這個方法怎麼使用，最好是改一下名稱、調整一下參數；為了說明某個範例如何實現，最好是拆分某個函式，或整合某些API；為了能易於測試某些資料，某些流程抽取為函式，以便取得傳回值；為了將相近的功能組織在同一個測試流程中，或許，這些功能應該歸屬在同一模組或類別。</p> <p>也就是說，重構需要有動機，而製作文件或測試程式是引發動機的一種方式，因為已經有了文件及測試作為後盾，就比較有信心進行重構，每次的重構，記得調整相對應的文件與測試，並且別忘了對專案進行版本控制，文件、測試、重構是不斷迭代進行的過程，在這個過程中，專案本身功能沒有任何新增，是常見的事情，這時要有耐心，畢竟這是你的個人專案，若是調整到可以往下個新功能發展時，再前進吧！</p> <p><span style="font-size:28px;"><strong>模仿官方專案</strong></span></p> <p>作為一個開放原始碼專案，其實，有個很重要的地方，那就是選擇一個合適的授權，這會讓人更放心地使用你的專案。</p> <p>如果你從沒考量過這點，建議你認識一下基本的開放原始碼授權（可參考先前專欄〈<a href="https://www.ithome.com.tw/voice/112994" target="_blank">多看一眼授權</a>〉），如果真的不知道該選哪個，或沒有偏好哪個授權，那麼，就來看看官方程式庫會採用哪個授權吧！</p> <p>寫plugin的好處之一就是這個，除了授權，官方程式庫還有許多可模仿的對象，例如，在文件方面，如果不知道該怎麼陳列API，那就看看官方怎麼陳列，文件中使用的字眼、行文風格等都可以模仿，這也可以認識官方程式庫的一些相關慣例。</p> <p>從閱讀官方程式庫原始碼的過程中，除了能夠認識既有輪子的構造與原理之外，另一個好處就是，我們可以模仿函式、參數命名、程式碼流程的排版、註解的方式、類別或模組的組織方式，甚至是一些特別的做法。</p> <p>例如，最近我忙著為CadQuery寫一個plugin，而CadQuery使用Python，其專案原始碼非常認真地使用了型態提示（Type hinting），為此我的plugin決定比照辦理，在公開API的原始碼函式簽署部份，全部加上了型態提示，有些時候不知道該如何標註型態時，官方原始碼總是能提供很好的參考。</p> <p>雖說實作plugin很自由，不過，若是以模仿官方專案為目標，還有一個重要的部份，那就是遵從其典範，特別是領域相關的做法。</p> <p>例如，CadQuery在模型的表示上，採用BREP（Boundary Representation），以點、線、面等作為基礎，其相互間的關係來描述模型；OpenSCAD則是基於CSG（Constructive Solid Geometry），模型是立方體、圓柱體、球點等基本物體布林操作後的結果。因此，如果想為CadQuery寫個plugin，仿造OpenSCAD風格，基本上是做得到的，不過，在風格上會完全迥異，效能上也不會有好的表現。</p> <p><span style="font-size:28px;"><strong>逐步累積信心與經驗</strong></span></p> <p>從事開放原始碼的貢獻，某些程度上就是個逐步累積信心與經驗的過程，簡單的寵物專案是個不錯的開始，如果目標是能對著名專案做出貢獻，那麼，plugin會是個很好的切入點，因為能有許多能學習、模仿的對象。</p> <p>或許我在這方面比較笨拙一些，像是有時心裡會想這樣做可以嗎？然後看到官方也是類似做法時，自己實作起來就會比較有信心。</p> <p>也許哪天plugin能獲得官方認可，或將某功能發PR給官方而被接受的話，那就是令人再高興也不過的一件事了！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%96%8B%E6%94%BE%E5%8E%9F%E5%A7%8B%E7%A2%BC">開放原始碼</a></div><div class="field-item odd"><a href="/tags/%E8%B2%A2%E7%8D%BB">貢獻</a></div><div class="field-item even"><a href="/tags/plugin">plugin</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item even"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2021/11/25 07:00作者林信良https://www.ithome.com.tw/voice/147928
微軟已於Edge 96導入超強安全模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/146067" target="_blank">微軟今年8月於Microsoft Edge測試版中實驗的「超強安全模式」（Super Duper Secure Mode，SDSM）</a>，已悄悄地被部署在今年11月1日釋出的Edge 96。</p> <p>SDSM主要是關閉了用來改善瀏覽器效能的Just-In-Time Compilation（JIT，即時編譯），以減少瀏覽器的安全威脅。微軟指出，V8 JavaScript引擎為駭客攻擊瀏覽器的首選目標，因為它有源源不斷的臭蟲，而且很容易開採，且在2019年之後，與V8有關的安全漏洞中，就有45%藏匿在JIT中，使得Edge團隊決定關閉JIT來強化Edge的安全性。</p> <p><a href="https://twitter.com/spoofyroot/status/1462871833942773763" target="_blank">Edge的漏洞研究負責人Johnathan Norman周二（11/23）透過Twitter指出</a>，Edge 96穩定版已內建SDSM功能，啟用SDSM之後有兩個選項，一是平衡（Balanced），二為嚴格（Strict），前者會在使用者造訪新網站或不常造訪的網站時關閉JIT，後者則是全面關閉JIT。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FE0l8LBVEAEKOKh?format=png&name=medium" style="width: 600px;" /></p> <p>圖片來源_<a href="https://twitter.com/spoofyroot/status/1462871833942773763" target="_blank">Johnathan Norman</a></p> <p>由於JIT是用來改善瀏覽器的效能，且微軟在關閉JIT之後的JavaScript效能評測中，最多觀察到效能下滑了58%，但Edge團隊在模擬實體網站的測試時，發現絕大多數的測試都未看到效能上的改變，參與測試的使用者也未察覺到變化。現在Edge用戶也可以啟用SDSM來親自體驗看看。</p> </div></div></div>
2021/11/24 16:48作者陳曉莉https://www.ithome.com.tw/news/148004
容器無伺服器服務Fargate現支援AWS自家Graviton2處理器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布在其Amazon ECS的<a href="https://aws.amazon.com/tw/blogs/aws/announcing-aws-graviton2-support-for-aws-fargate-get-up-to-40-better-price-performance-for-your-serverless-containers/">容器無伺服器運算引擎AWS Fargate，提供Graviton2執行個體支援</a>，官方提到，在執行相同的容器化應用程式情況下，使用Graviton2處理器，比起基於英特爾x86處理器的Fargate，性價比高了40％，總成本降低20％。</p> <p>Graviton2是AWS使用64位元Arm Neoverse核心所訂製的處理器，其提供的效能是前一代的7倍，浮點數運算效能提高1倍，擁有更大的記憶體通道，而且因為Graviton2支援int8和fp16精度，因此在人工智慧應用的支援度獲得大幅提升，機器學習模型的預測工作負載執行速度更快。</p> <p>Graviton2處理器主打低廉的價格，AWS已經發布許多使用Graviton2的EC2執行個體，而且在其全託管服務，像是Amazon EKS、Amazon RDS和Amazon EMR等，也開始提供Graviton2支援，在AWS Lambda上的Graviton2，甚至能夠使函式效能提高19％，成本降低20％。</p> <p>現在AWS在其Fargate支援Graviton2，使得Fargate也能夠獲得Graviton2的性價比優勢，AWS提到，用戶可以使用容器註冊表，上傳多架構映像檔，或是包含ARM64的映像檔，在透過Amazon ECS進行調度的時候，Fargate就會在Graviton2上執行應用程式。</p> <p>多架構容器映像檔由兩部分組成：映像檔層和清單，一個映像檔可有一層或是多層檔案系統內容，清單指定映像檔各層的群組，以及Runtime的特性，這讓用戶能以相同儲存庫支援多重架構，容器Runtime會根據系統架構，選擇要拉取的映像檔層。</p> <p>原本Fargate的用戶，要從基於x86搬遷到Graviton2的Fargate容器並不困難，使用Graviton2的Fargate能夠獲得所有原本使用x86的Fargate功能。用戶要測試和驗證與ARM64相容的應用程式，除了AWS CodeBuild之外，還可以使用Jenkins和Gitlab執行程式，從測試、建置容器到上傳至Fargate上執行，獲得端到端無伺服器體驗。</p> <p>現在用戶已經可以在幾乎所有提供Fargate服務的地區，在AWS Fargate上用到AWS Graviton2，除了巴林、開普敦、中國和GovCloud地區除外。在版本支援上，只有Fargate平臺1.4.0或以上版本，才有支援此新功能。</p> </div></div></div>
2021/11/24 16:54作者李建興https://www.ithome.com.tw/news/148003
【資安日報】2021年11月24日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本日的資安新聞中，微軟甫於11月例行修補（Patch Tuesday）修補的一項漏洞CVE-2021-41379，竟出現修補不完全的情況，而引起關注。而且，這個現象還是通報這項漏洞的研究人員察覺，他公布了概念性驗證程式來映證修補不完全的問題，同時控訴微軟抓漏獎金大幅縮水，並得到其他資安研究人員的附和。但微軟漏洞修補不完全的現象，已有前例，例如，11月初研究人員發現，<a href="https://www.ithome.com.tw/news/147602">微軟對於本機權限提升（LPE）漏洞CVE-2021-34484的修補不全</a>，而能讓攻擊者利用這項漏洞，在已安裝修補程式的Windows作業系統上提升自己的權限。</p> <p>而除了上述漏洞修補不全的問題，新興的攻擊手法也相當值得留意，例如，攻擊者透過JavaScript載入器散布惡意軟體，由於這個載入器採用JavaScript開發，而使得許多防毒引擎難以解析是否有害。此外，鎖定加密貨幣投資人的惡意軟體Babadeda，也是被用於植入竊密軟體或是RAT木馬，這起攻擊行動另一個特別之處，就是駭客使用即時通訊軟體Discord對受害者進行網路釣魚，引誘他們下載Babadeda進行安裝。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/147976"><span style="color: rgb(0, 0, 0);">研究人員針對自己通報的漏洞發布概念性驗證程式，指控微軟修補不全</span></a></strong></h4> <p>又有研究人員指控微軟抓漏獎金大幅縮水，且修補不完整的情況！揭露Windows Installer漏洞CVE-2021-41379的研究人員Abdelhamid Naceri指出，微軟聲稱於11月例行修補處理了該漏洞，但實際上，經他對於修補程式進行分析後發現，微軟並未妥善處理，而能夠利用類似手法觸發漏洞，且所有版本的Windows都無法倖免於難。</p> <p>為何該研究員會通報漏洞又發布概念性驗證攻擊程式？該員指出，微軟不只修補不完整，還大幅降低抓漏的獎勵，促使他決定公布驗證工具，來突顯微軟對於漏洞不夠重視的現象。</p> <h4><strong><a href="https://threatresearch.ext.hp.com/javascript-malware-dispensing-rats-into-the-wild/"><span style="color: rgb(0, 0, 0);">攻擊者利用JavaScript載入器散布木馬程式<img alt="" src="https://s4.itho.me/sites/default/files/images/ratdispenser_07.png" style="width: 300px; height: 146px; float: right;" /></span></a></strong></h4> <p>HP資安研究團隊揭露名為RATDispenser的惡意程式載入器，這是以JavaScript製作而成，攻擊者用來散布RAT木馬程式與竊密軟體，該團隊看到攻擊者藉此工具散布至少8種RAT，且在VirusTotal上僅有11%防毒引擎能夠識別有害。研究人員指出，這項工具幾乎都被用於投放惡意軟體，他們推測背後提供RATDispenser的人士，身分是專門銷售惡意軟體服務（Malware-as-a-Service）的駭客。</p> <h4><strong><a href="https://www.trendmicro.com/en_us/research/21/k/bazarloader-adds-compromised-installers-iso-to-arrival-delivery-vectors.html"><span style="color: rgb(0, 0, 0);">惡意軟體BazarLoader以合法應用程式進行掩護<img alt="" src="https://s4.itho.me/sites/default/files/images/figure3_blog_bazarloader-adds-compromised-installers-iso-arrival-delivery-vectors.png" style="width: 300px; height: 126px; float: right;" /></span></a></strong></h4> <p>趨勢科技提出警告，他們長期追蹤竊密軟體BazarLoader，發現近期該軟體出現2種過往較少用來散布的手法，其一是使用知名軟體如：VLC、TeamViewer的安裝程式來挾帶，在受害者執行安裝程式時，一併啟動BazarLoader，該竊密軟體隨後將自我複製，並注入到Edge瀏覽器的處理程序持續運作。另一種則是利用ISO檔案打包，這麼做的目的可能是要規避資安系統偵測。</p> <h4><strong><a href="https://unit42.paloaltonetworks.com/exposed-services-public-clouds/"><span style="color: rgb(0, 0, 0);">攻擊者濫用不同IP位址，使用SSH連線入侵應用系統</span></a></strong></h4> <p>曝露在網際網路的雲端工作負載，沒有合適的安全配置的狀況時有所聞，也成為駭客常見的攻擊目標。但這樣的情況究竟有多嚴重？Palo Alto Networks的研究人員部署了320個密罐（Honeypot）來進行實驗，這些密罐分別是RDP伺服器、SSH伺服器、SMB檔案伺服器，以及Postgres資料庫，結果發現，SSH伺服器受到的攻擊次數最多，遠過於其他3種伺服器，此外，其中1個攻擊者在短短的30秒內，破壞近80個Postgres資料庫密罐。</p> <p>值得注意的是，85%的來源IP位址只出現1天，突顯攻擊者很少使用重複的IP位址發動攻擊，若是組織倚賴防火牆阻擋IP位址黑名單，很難防堵攻擊行動。</p> <h4><strong><a href="https://blog.morphisec.com/the-babadeda-crypter-targeting-crypto-nft-defi-communities"><span style="color: rgb(0, 0, 0);">惡意加密器經由Discord發動攻擊，鎖定加密貨幣投資者下手<img alt="" src="https://s4.itho.me/sites/default/files/images/Cryto%20blog.png" style="width: 300px; height: 191px; float: right;" /></span></a></strong></h4> <p>資安業者Morphisec揭露名為Babadeda惡意軟體，攻擊者透過即時通訊軟體Discord，來鎖定加密貨幣、非同質化代幣（NFT）、去中心化金融（DeFi）的投資者下手，這個惡意軟體被用於在受害電腦上植入竊密程式、RAT木馬，甚至是LockBit勒索軟體。</p> <h4><strong><a href="https://www.isac.bio/post/tardigrade"><span style="color: rgb(0, 0, 0);">APT駭客鎖定疫苗製造商的基礎設施發動攻擊</span></a></strong></h4> <p>非營利組織生物經濟資訊共享暨分析中心（BIO-ISAC）於11月22日提出警告，他們發現使用惡意軟體Tardigrade的APT攻擊行動，自今年春季開始，已有2家生物科技公司受害，發動攻擊的駭客主要可能是想要竊取智慧財產，並非想要索討贖金。BIO-ISAC也呼籲這些疫苗製造廠商要嚴加防範。</p> <h4> </h4> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.ptsecurity.com/ww-en/about/news/vulnerability-in-cisco-security-devices-is-dangerous-for-business-processes-of-large-companies/"><span style="color: rgb(0, 0, 0);">思科防火牆嚴重漏洞恐導致服務中斷</span></a></strong></h4> <p>資安業者Positive Technologies指出，思科的Adaptive Security Appliance（ASA）與Firepower Threat Defense（FTD）系列防火牆存在嚴重漏洞CVE-2021-34704，一旦遭到利用恐導致設備服務中斷，防火牆及VPN等功能無法使用，這項漏洞的CVSS風險層級為8.6分，他們呼籲用戶應儘速修補。</p> <h4><strong><a href="https://claroty.com/2021/11/19/blog-research-all-roads-lead-to-openvpn-pwning-industrial-remote-access-clients/"><span style="color: rgb(0, 0, 0);">開源VPN系統OpenVPN存在任意程式碼執行漏洞，影響工控VPN解決方案<img alt="" src="https://s4.itho.me/sites/default/files/images/OpenVPN7.png" style="width: 300px; height: 128px; float: right;" /></span></a></strong></h4> <p>資安業者Claroty指出，多個透過開源VPN系統OpenVPN所打造的工控VPN解決方案遭鎖定，攻擊者使用這些系統的弱點提升權限，並能執行任意程式碼發動攻擊，受影響的VPN廠牌是HMS Industrial Networks、Siemens、PerFact、MB connect line，CVSS風險層級為7.8分到9.6分。這些業者獲報後已著手修補，並提供更新程式。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/147978">2021年11月23日</a></p> <p><a href="https://www.ithome.com.tw/news/147957">2021年11月22日</a></p> <p><a href="https://www.ithome.com.tw/news/147925">2021年11月19日</a></p> </div></div></div>
2021/11/24 14:33作者周峻佑https://www.ithome.com.tw/news/147999
蘋果與Amazon的銷售協議被義大利判罰逾2億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>義大利競爭管理局（AGCM）本周因蘋果與Amazon違反歐盟法令，<a href="https://www.agcm.it/media/comunicati-stampa/2021/11/I842-" target="_blank">分別判罰這兩大業者1.345億歐元及6,870萬歐</a>元，但蘋果與Amazon已準備提出上訴。</p> <p>AGCM指出，蘋果與Amazon在2018年簽署了銷售協議，只有Amazon及特定的經銷商得以透過Amazon銷售蘋果及Beats商品，禁止其它官方或非官方的蘋果或Beats經銷商使用Amazon平臺進行銷售，違反了《歐盟運作條約》（Treaty on the Functioning of the European Union）。</p> <p>AGCM認為，這兩家業者有意限制在Amazon上的零售商數量，還限制跨境銷售，也限制了其它第三方業者所提供的相關商品折扣，等於歧視特定的零售商。</p> <p>特別是義大利的Amazon是當地民眾購買電子產品的首選，有超過7成的消費者電子產品都透過該站售出，並有逾40%的零售業者透過該平臺銷售商品。</p> <p>這使得AGCM要求Amazon必須支付6,870萬歐元的罰款，針對蘋果的罰款則高達1.345億歐元，同時要求這兩家業者必須取消合約內的限制。</p> <p>不只是義大利，法國及西班牙也已針對這兩家業者提出類似的訴訟，蘋果與Amazon則已決定對AGCM的判決提出上訴。</p> </div></div></div>
2021/11/24 15:59作者陳曉莉https://www.ithome.com.tw/news/148002
三星宣布要在德州蓋新的晶圓廠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/us/samsung-new-advanced-semiconductor-fab-site-taylor-texas/" target="_blank">三星電子（Samsung Electronics）周二（11/23）宣布</a>，將斥資170億美元於美國德州的泰勒市（Taylor）打造在美國的第二座晶圓廠，新的晶圓廠占地約500萬平米，與三星於德州奧斯丁市（Austin）既有的晶圓廠只距離25公里，預計於明年上半年動工，2024年下半年投入營運。</p> <p>因全球晶片短缺而意識到半導體對產業與經濟的重要性之後，美國政府積極推動境內的半導體生產，包括<a href="https://www.ithome.com.tw/news/143423" target="_blank">英特爾（Intel）今年3月宣布成立晶圓代工服務事業群</a>，大舉投入晶圓代工市場；<a href="https://pr.tsmc.com/chinese/news/2033" target="_blank">全球晶圓代工龍頭台積電也在去年5月宣布</a>要在既有的華盛頓州卡馬斯市的晶圓廠之外，於亞利桑那州設立美國的第二座晶圓廠，計畫於2024年開始量產。</p> <p>三星電子裝置解決方案部門的執行長Kinam Kim表示，新的晶圓廠將帶來更大的產能，進一步滿足客戶的需求，也能替全球半導體供應鏈的穩定作出貢獻。</p> <p>Kim的說法源自於全球半導體的營收有超過7成來自於臺灣與中國，半導體供應鏈的失衡與臺灣地緣政治的風險，讓不管是美國或歐洲都企圖拉近與半導體產業的關係。目前台積電在半導體產業以52.9%的市占率高居全球第一，第二名就是三星的17.3%。</p> <p>三星表示，在美國新設的晶圓廠將用來生產基於先進製程技術的產品，包括行動、5G、高效能運算（HPC）及人工智慧等類別。</p> <p>不管是台積電或三星的新廠都將有助於提升當地的工作機會，台積電位於亞利桑那州的新廠將會創造1,600個新職缺，三星則估計可對德州帶來2,000個新職缺。</p> </div></div></div>
2021/11/24 14:45作者陳曉莉https://www.ithome.com.tw/news/148000
歐盟通過《數位市場法》，將規範核心平臺在歐洲的行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲議會（European Parliament）的內部市場暨消費者保護委員會在本周二（11/23），<a href="https://www.europarl.europa.eu/news/en/press-room/20211118IPR17636/digital-markets-act-ending-unfair-practices-of-big-online-platforms" target="_blank">以42票對2票通過了《數位市場法》（Digital Markets Act，DMA）</a>，制定了規則來規範所謂的數位「守門人」（Gatekeeper）在歐洲市場可從事或不准從事的行為，包括得以限制這些核心平臺的大型收購案，違反該法令的企業可能會被判罰年營收的4%~20%。</p> <p>被《數位市場法》視為「守門人」的是那些提供核心平臺服務的大型企業，涵蓋了網路仲介服務、社交網路、搜尋引擎、作業系統、網路廣告服務、雲端運算、影片分享服務、瀏覽器、數位助理或連網電視等，且其在歐洲經濟區的年營收超過80億歐元，市值超過800億歐元的企業，意謂著不管是蘋果、Google、Meta或Amazon都將受到該法案的規範。</p> <p>該法案是為了確保公平且開放的市場，因此不管是對目標式廣告或是各種服務的互動性都有額外的規範，包括禁止企業針對未成年人進行目標式廣告，也具備阻止大型併購案的權力，其詳細內容將在今年12月進行全體投票，預計於明年與歐盟各國政府展開協商。</p> <p>由於詳細的規則尚未確定，外界則期許《數位市場法》要求社交平臺與通訊平臺應能與競爭對手互通。</p> </div></div></div>
2021/11/24 15:15作者陳曉莉https://www.ithome.com.tw/news/148001
以色列的NSO Group駭進iPhone，蘋果提告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2021/11/apple-sues-nso-group-to-curb-the-abuse-of-state-sponsored-spyware/" target="_blank">蘋果周二（11/23）宣布</a>，已控告專門銷售間諜程式Pegasus予各國政府的以色列資安業者NSO Group，為了避免NSO Group繼續傷害用戶，已向法院請求永久禁制令，禁止NSO Group再使用任何的蘋果軟體、服務或裝置。也讓蘋果成為<a href="https://www.ithome.com.tw/news/133908" target="_blank">繼Meta之後</a>，第二家對NSO Group提告的美國企業。</p> <p>NSO Group持續對外宣稱該公司所開發的Pegasus，只出售給用來監控犯罪或恐怖份子的政府，<a href="https://www.ithome.com.tw/news/145754" target="_blank">但全球逾80名記者在今年7月發表了一份鑑識報告</a>，指出至少有23名政府官員或新聞記者的手機感染了Pegasus。Pegasus藉由開採Android及iOS的安全漏洞進駐受害者裝置，加拿大的公民實驗室（Citizen Lab）發現NSO Group的攻擊程式Forcedentry開採了蘋果作業系統上的零時差漏洞CVE-2021-30860，<a href="https://www.ithome.com.tw/news/146698" target="_blank">促使蘋果於今年9月展開了緊急更新</a>。</p> <p>在2019年就控告NSO Group的Meta，也是因為NSO Group開採了旗下WhatsApp的安全漏洞，並植入Pegasus，決定根據美國《電腦詐欺及濫用法令》（ Computer Fraud and Abuse Act）與其它相關法令，來追究NSO Group的責任。</p> <p>此外，<a href="https://www.ithome.com.tw/news/147654" target="_blank">美國在今年11月所制裁的4家專門出售駭客工具的業者中</a>，NSO Group便榜上有名。</p> <p>負責軟體工程的蘋果副總裁Craig Federighi表示，像是NSO Group這類由國家支持的私人企業，斥資數百萬美元以開發複雜的監控技術，卻不被問責的狀況必須要改變，就算蘋果是市場上最安全的消費者裝置，但這類私人企業所發展的間諜程式卻愈來愈危險。此外，儘管相關攻擊具備高度的目標性，只有少數的用戶受到影響，但蘋果也將向其究責。</p> <p>雖然NSO Group積極尋找與開採系統的零時差漏洞，但蘋果強調，新釋出的iOS 15嵌入了許多新的安全機制，雖然NSO Group的間諜程式持續進步，但迄今尚未有任何證據顯示iOS 15或之後的版本遭到入侵。</p> <p>為了協助諸如公民實驗室或Amnesty Tech等人權組織對於網路監控所進行的調查，蘋果承諾將捐出1,000萬美元，也將無償提供技術、威脅情報與工程協助。其實公民實驗室在3月就發現一名受害者的iPhone被植入Pegasus，但一直到9月才確認NSO Group所使用的Forcedentry攻擊程式、是開採了蘋果的零時差漏洞，在蘋果的官方協助下，可望加速安全漏洞的辨識與修補。</p> <p>此外，蘋果亦將遵循業界的最佳實作，在用戶受到由國家贊助的間諜程式攻擊時，通知受害者，包括遭到Forcedentry攻擊程式鎖定的目標在內。</p> </div></div></div>
2021/11/24 12:37作者陳曉莉https://www.ithome.com.tw/news/147998
Nvidia展示最新AI藝術生成對抗網路GauGAN2，可從文字生成精確風景圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用戶現在可以在Nvidia AI Demo上，體驗最新生成對抗網路<a href="https://blogs.nvidia.com/blog/2021/11/22/gaugan2-ai-art-demo/">GauGAN2</a>以文字創建圖像的功能，而且也不只可以使用短語，用戶還可以加入簡單的草稿，引導人工智慧創建出更精細的自定義場景。</p> <p>Nvidia在2019年GTC大會的時候，揭露生成對抗網路GauGAN能夠將使用者簡單的草圖，轉換成為驚人的風景畫，而現在新的GauGAN2，則進一步讓用戶輸入「sunset at a beach」等短語，人工智慧就會即時生成場景圖畫，只要用戶額外增加形容詞，像是「sunset at a rocky beach」，或是將sunset改成afternoon或是rainy day，模型就會立刻修改圖片。</p> <p>官方解釋，GauGAN2在單個模型中，結合了分割映射、圖像修復和文字到圖像生成功能，使其能夠根據文字和手繪，來創建逼真的藝術，而且這個最新釋出的範例展示，是第一個在單個對抗網路框架中，結合文字、語義分割、草稿圖和樣式等多個模式，這樣的方法讓藝術家，能夠以更豐富的方法，指引人工智慧快速生成圖像。</p> <p>用戶不需要描繪或是想像場景中的每個元素，只要輸入簡單的短語，模型就能夠快速生成圖像，並且符合短語的關鍵特徵和主題，用戶可以另外使用手繪圖，來自定義景物，像是讓山更高，或是前景添加幾棵樹，甚至是天空多一些雲彩。</p> <p>用戶利用GauGAN2繪製圖是一個迭代的過程，在文字框中輸入的每個單字，都會讓人工智慧在圖像中添加更多的內容，Nvidia提到，GauGAN2背後所使用的人工智慧模型，應用了Nvidia Selene超級計算機，並且使用1,000萬張高品質風景圖進行訓練，研究人員利用神經網路的特性，讓人工智慧學習單字和視覺效果間的關聯，像是冬天、霧或是彩虹等。</p> <p>與其他文字生成圖像或是分割圖生成圖像的應用程式模型相比，Nvidia認為，GauGAN2可以生成更多種類以及更高品質的圖像。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/5Qdr8AUNYqU" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p> </p> </div></div></div>
2021/11/24 08:28作者李建興https://www.ithome.com.tw/news/147986
逾4千家線上商店沒修補Magento已知漏洞，導致客戶刷卡資料曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ncsc.gov.uk/news/guidance-for-retailers-to-prevent-websites-becoming-black-friday-cyber-traps" target="_blank">英國的國家網路安全中心（National Cyber Security Centre，NCSC）本周表示</a>，已有4,151家的線上商店遭到駭客入侵，駭客於這些網站的結帳頁面植入了側錄程式，盜走網站客戶的刷卡資料，因而在感恩節購物季的前夕，提醒全球線上商店要多加注意。</p> <p>NCSC表示，他們在今年9月底至少確認有4,151家線上商店遭到入侵，其中絕大多數的攻擊行動是透過Magento系統的已知漏洞，該中心亦已通知受害網站。</p> <p>Magento為一以PHP撰寫的開源電子商務平臺，<a href="https://www.ithome.com.tw/news/123347" target="_blank">已於2018年以16.8億美元出售給Adobe</a>。<a href="https://www.cloudways.com/blog/top-ecommerce-platforms/#Market-Share" target="_blank">根據Cloudways的統計</a>，Magento現為全球第三大的電子商務平臺，市占率為9%，落後WooCommerce的30%及Shopify的18%。</p> <p>值得注意的是，NCSC說法代表除了Magento用戶之外，也有使用其它平臺的線上商店被植入側錄程式，因而呼籲所有的線上商店都應確保所使用的系統是最新的。</p> <p>線上商店的客戶刷卡資料遭盜除了可能會造成客戶的財務損失，或是讓客戶個資淪落黑市之外，也將危及商家的聲譽，而在感恩節過後，緊接而來的就是聖誕節的年底購物季，購物網站也應趁早檢查自家系統的安全性。</p> </div></div></div>
2021/11/24 08:20作者陳曉莉https://www.ithome.com.tw/news/147985
推動臺灣醫療AI產業化！智慧醫材辦公室半年輔導10家廠商和醫院，拚明年初取證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部食藥署昨日（11/23）展示智慧醫材專案辦公室成果，自5月初成立至今，輔導了10家ICT廠商、醫院和學研機構申請AI醫材許可證，如廣達、宏碁、華碩、英業達、長佳智能，以及童綜合醫院、林口長庚、臺大醫院和成大創新中心等。食藥署署長吳秀梅也預告，近期將展開明年度智慧醫材專案收案，預計2022年1月完成收案，並以10個月時間來輔導取證、上市，推動臺灣醫療AI發展。</p> <p><strong><span style="font-size:24px;">5月成立智慧醫材專案辦公室，輔導、法規、人才和媒合一手包辦</span></strong></p> <p>AI大浪衝擊醫療產業多年，不只科技巨頭投資研發醫療AI，醫院和ICT業者也發展各類AI應用。但醫療是個高度監管產業，為把關這類醫療AI應用，各國政府都在摸索一套監管機制，來審核、商品化這些醫療AI解決方案。</p> <p>在這個背景下，臺灣在今年5月成立智慧醫材專案辦公室，來管理、輔導AI/ML醫療器材的申請。吳秀梅指出，專案辦公室執掌涵蓋諮詢輔導、法規制定、人才以及供需媒合等範圍，提供一站式服務，從最初始的產品規畫、臨床前資料準備、臨床試驗，再到查驗登記送件諮詢、取證和媒合落地等，都包括在內。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_9293.jpg" /></p> <p><strong><span style="font-size:24px;">半年來輔導產業、醫院和學研界共10件專案，預計年底結案</span></strong></p> <p>諮詢輔導來說，智慧醫材辦公室採取3種策略，包括主動徵求輔導案、專案諮詢以及電話輔導，來鎖定尚未於國內外上市或仍在研發中，日後預計要申請食藥署TFDA查驗登記的國產第二、三級AI/ML醫材。輔導完成後，申請者即可送件辦理查驗登記。</p> <p>以主動徵求輔導案的成果來說，專案辦公室自4月至6月公開徵求專案，共收了45件申請案，其中產業提出27件、醫院11件、學研界6件，法人1件。經過幾周篩選，7月選定其中10件，包括產業6件、醫院3件、學研1件，協助他們展開撰寫客製化計畫書、定期追蹤進度，預計年底結束輔導，轉而協助取證，而專案諮詢有18件申請，其中17件已完成輔導。</p> <p>獲得食藥署輔導的機構，包括AI Labs旗下臺灣醫學影像公司、廣達、宏碁智醫、華碩、英業達、長佳智能，以及童綜合醫院、林口長庚、臺大醫院和成大創新中心等。其中，臺灣醫學影像中心接受輔導的AI應用是DeepMets腦瘤偵測AI系統，這款是以AI Labs與臺北榮總共同打造的腦轉移瘤辨識AI軟體為基礎，後經聯合學習優化，大幅提高系統通用性和準確率。DeepMets可在30秒內自動偵測、標註腦部MRI中的病灶，並統計病灶數量和面積。臺灣醫學影像公司經理洪梓容分享，專案輔導幫助他們建置QMS品質管理系統，做好認證前資料備製，更協助團隊簡化臨床試驗，降低試驗時間和執行成本。</p> <p>另一個例子是臺大醫院聯手臺大打造的胰臟腫瘤判讀AI系統PANCREASaver，可揪出醫師肉眼難見、小於2公分的病灶，準確率達91.4%。這款系統今年8月展開臨床前驗證，11月正式進行臨床試驗和評估，預計12月申請TFDA查驗登記、明年取證。臺大醫院內科部暨健康管理中心醫師廖偉智指出，食藥署這次主動輔導專案，協助臺大醫院規畫產品研發上市期程，也共同研擬出臨床試驗計畫，並完成不少文件準備工作，如產品說明書撰寫、品質管理系統文件、軟體確效文件等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_9397.jpg" /></p> <p>除此之外，其他專案還包含了童綜合醫院的氣胸輔助辨識系統、成大痰液抹片檢測AI、長庚醫院舟狀骨骨折偵測軟體，以及宏碁智醫的老年性黃斑部病變偵測AI、廣達的智慧胸腔X光系統、英業達的傷口辨識AI英愛膚、長佳智能的急性心肌梗塞偵測軟體。</p> <p><strong><span style="font-size:24px;">未來將公布智慧醫材製造商指引，還要培養更多跨域人才</span></strong></p> <p>再來，AI醫材法規也是專案辦公室的另一重點執掌。吳秀梅表示，專案辦公室負責管理智慧醫材相關指引和文件，可分為技術指引、產品屬性指引和問答集三類別，舉凡醫用軟體分類分級、AI/ML技術之醫療器材軟體查驗登記技術指引、智慧科技醫療器材查驗登記常見問答集等都包括在內。</p> <p>她透露，目前，專案辦公室也正擬定2大文件，包括智慧醫材製造廠工廠品質管理指導文件、智慧醫材品質系統QA問答集，一個鎖定智慧醫材製造商，一個針對品管來說明，預定日後公布。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-11-23%20at%2011_39_59%20PM.png" /></p> <p>不只如此，人才也是專案辦公室工作重點。為輔導申請機構（如醫院、學研單位和業界廠商），食藥署建立一套AI醫材專家人才庫，來提供產品發開、臨床驗證等意見，協助智慧醫材專案辦公室進行主動輔導、專案諮詢和查驗登記審查。</p> <p>這還不夠，吳秀梅強調，為推動醫療AI，食藥署還要培養更多跨領域ICT產業人才，讓大家更理解智慧醫材法規。至今，智慧醫材辦公室已提供67場初、中、高階醫材管理法規訓練課程，並舉辦品質管理實地輔導，來協助對醫療AI有興趣的機構了解申請取證規範和細節。</p> <p>為加速醫療AI發展，智慧醫材辦公室也提供智慧醫材資訊平臺和媒合平臺，以前者來彙整最新消息和法規，後者則提供醫院、廠商異業結盟機會，來加速分流開發。</p> <p>吳秀梅點出，未來，智慧醫材專案辦公室要持續培育更多跨域人才、建置完善的法規環境，還要強化媒合、加速智慧醫材上市時程，推動臺灣醫療AI產業發展。</p> </div></div></div>
2021/11/24 00:13作者王若樸https://www.ithome.com.tw/news/147988
【Line臺灣3大Martech服務一次看】新推AI、Data、OMO解決方案深化官方帳號應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Line臺灣近期預告將在明年釋出3大數位行銷新產品，分別是Line Clova涵蓋的3大AI解決方案、鎖定集團企業用戶的Line Business Manager、瞄準中小商家App開發需求的Line Mini App，今年Q4也即將在Line貼文串推出Line Voom短影音貼文，要透過這些新增功能，讓品牌主深化官方帳號與Line廣告平臺（Line Ads Platform，LAP）的行銷運用。</p> <h3 dir="ltr"><span style="color:#FF8C00;">Line三大AI服務終於落地，整合官方帳號強化行銷運用</span></h3> <p dir="ltr">Line臺灣去年底就預告發佈AI解決方案Line Clova，其中包括了Chatbot、OCR與Face人臉辨識三項服務，不只能夠以獨立軟體形式販售，Line更聚焦這三大服務與官方帳號的整合應用情境，瞄準超過200萬個官方帳號持有者來推動服務，「跟Line產品深度整合，是我們初期販售的賣點之一。」Line臺灣直言，與自家API相關產品的整合，就是Line AI服務差異化優勢之一。</p> <p dir="ltr">比如Chatbot能結合官方帳號管理後臺CMS的功能，自動以貼圖或多元訊息格式來回覆，讓對話更加生動；Chatbot也能與官方帳號API整合，從智能文字機器人，切換為真人文字或語音客服，甚至能擴展到品牌的自有媒體上，如品牌官網、部落格等，成為品牌全溝通管道的智能客服。</p> <p dir="ltr">OCR也可以結合官方帳號的行銷活動來運用，比如品牌舉辦抽獎活動時，可以讓顧客將實體抽獎券的序號拍照、上傳官方帳號，再結合OCR自動識別序號字元，讓顧客不需要手動登打序號內容，即可參加抽獎。</p> <p dir="ltr">Face功能，同樣能用於官方帳號的活動報名流程中，未來品牌若舉辦實體活動，報名者只要透過官方帳號，填入基本資料並上傳自己的照片，後續實體活動報到時，即可透過人臉辨識服務，識別報名照片與實際參與者是否為同一人。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-11-18%20%E4%B8%8B%E5%8D%883_06_14%E6%8B%B7%E8%B2%9D(1).png" style="width: 700px;" /></p> <blockquote><p dir="ltr">官方帳號結合Face人臉辨識功能的活動報名流程。</p> </blockquote> <p dir="ltr">另一大優勢，則是在技術層面上，這三大AI技術都已經針對臺灣場景在地化，比如臺灣團隊提供了40萬組對話來訓練中文NLU引擎，推動Chatbot服務落地；OCR這項服務不只支援中文，Line臺灣也建立了多種臺灣常見證件或文件的特製辨識模型，包括了臺灣的身分證、駕照、健保卡、行照、發票、車票、罰單、提款卡等；就連人臉辨識，都針對東方人的臉孔加強訓練，讓精準度再提升。</p> <p dir="ltr">目前，這三大AI解決方案，都已經與限定品牌主展開合作測試，預計在明年4月正式推出。</p> <h3 dir="ltr"><span style="color:#FF8C00;">瞄準多品牌經營集團，新推跨官方帳號顧客資料整合服務</span></h3> <p dir="ltr">此次發布上，Line臺灣也揭露了一項瞄準多品牌集團企業的服務，稱為Line Business Manager，這項服務要讓集團企業在符合個資法規的前提下，交互運用旗下各品牌採用Line服務所累積的顧客數據。Line臺灣企業解決方案事業部策略企劃資深總監許嘉真指出，這項服務除了打通官方帳號、LAP與促銷活動解決方案（Line Sales Promotions），讓數據可在三個平臺中互相串連，更關鍵的功能，是讓同集團不同品牌，所持有的官方帳號與LAP累積的顧客數據，更容易交互分享運用。</p> <p dir="ltr">許嘉真解釋，大多擁有多個品牌的集團，會透過自身的CDP或CRM來整合不同品牌的顧客資料，並進一步用於跨品牌的廣告行銷，但這些數據的整合運用，過去得靠品牌自己媒合用戶資料，來進行行銷操作。</p> <p dir="ltr">為了讓集團可以更直接媒合不同品牌的用戶數據，Line推出Business Manager功能，讓跨品牌的數據媒合更便利，比如同集團A品牌與B品牌在廣告投放上的受眾類型相似，透過Business Manager，當A品牌在LAP上投放廣告時，除了能將自家官方帳號的用戶打包，匯入LAP平臺作為目標受眾，未來也能將B品牌官方帳號用戶打包匯入，相互媒合後，作為廣告投放之用；反之，若兩品牌的受眾類型不相似，也能在A品牌投放廣告時，把B品牌用戶打包從A品牌用戶中排除，再將剩下的用戶用於廣告投放。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-11-18%20%E4%B8%8B%E5%8D%883_00_33%E6%8B%B7%E8%B2%9D.png" style="width: 700px;" /></p> <blockquote><p dir="ltr">Line新推瞄準多品牌集團企業的服務出Business Manager，這項服務要讓集團企業在符合個資法規的前提下，交互運用旗下各品牌採用Line服務所累積的用戶數據，包括Line官方帳號、廣告帳號等數據均能交互運用。</p> </blockquote> <p dir="ltr">許嘉真也強調，Line臺灣目前正在與品牌合作試驗這項功能，明年產品正式上市前，會進一步釋出同集團跨品牌數據運用規範，「我們會進一步釐清，什麼狀況下可以使用數據、什麼狀況下不行，」以確保跨品牌的數據運用符合臺灣法規及Line的個資政策，「一定會在取得用戶同意、符合個資法規範的情況下實施。」</p> <p dir="ltr">現階段，Business Manager這項服務已經整合了Line廣告解決方案的所有資料，包含官方帳號、Beacon、Mini App等，並能與客戶第一方資料包括CRM、Web與App資料串連，未來更要整合Line家族服務資料與第三方資料，實現數據完全整合的目標。</p> <h3 dir="ltr"><span style="color:#FF8C00;">Line小程式開發平臺Mini App正式進軍臺灣</span></h3> <p dir="ltr">Line這次也將去年已於日本推出的OMO解決方案Line Mini App，正式帶進臺灣。為了確保應用情境與流程的順暢性，目前仍採審核制度，僅申請並通過審核的企業能夠使用該服務，預計在明年初才會正式推出。</p> <p dir="ltr">Mini App是Line日本在2019年就發布的一項產品，這是基於Line的Web應用程式平臺，鎖定中小規模商家的應用程式開發需求，讓商家不必從頭開發一個App或網頁，只要透過Line就能開發簡易的Web應用程式，直接在Line上提供如點餐、發送優惠券、辦會員等服務，目標要將實體購物的顧客導流到Line官方帳號，實現OMO服務串連。</p> <p dir="ltr">比如手搖飲料連鎖品牌迷客夏，就打造了一個線上點餐程式，讓消費者在實體店掃QRCode，能開啟基於Line的線上點餐服務，完成點餐後，還能由這項Mini App服務官方帳號，提供對應的通知訊息，比如消費收據訊息，讓消費者能依據通知在實體店取餐。運用這項服務，迷客夏新好友數增加了5.4倍，封鎖率也僅有5～8%。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot_20211119-141338.png" style="width: 700px;" /></p> <p dir="ltr">又或是日本生活用品連鎖品牌3Coins，則是以Mini App打造了掃描QRCode就能加入會員的流程，讓消費者不必如過去下載應用程式、填寫資料，能直接在掃描QRCode之後，從官方帳號認證用戶身份來加入會員，將原先要3～4分鐘的流程縮短到5秒，現在更已經有8成以上的新客都是透過這個做法來快速成為會員。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot_20211119-141636.png" style="width: 700px;" /></p> <p dir="ltr">而Line 2018年就已經在臺推出了類似的Web應用程式平臺，稱為Line LIFF App（Front-end Framework），同樣讓中小企業商家，能在Line上開發簡易的Web應用程式，來打造多元行銷應用，比如抽獎、瀏覽網頁、發紅包等，這項服務上線至今，許多品牌都已用來打造相關應用。Line臺灣指出，Mini App可視為LIFF App的延伸，兩者都需要在Line中整合LIFF軟體套件，才能進行應用程式開發。</p> <p dir="ltr">雖然都是Line提供的應用程式開發服務，Mini App與LIFF App的一大不同之處，在於Mini App更強調從外部環境連入Line來呼叫服務，比如透過QRCode掃碼，串連線上線下流程，LIFF App則大多從品牌官方帳號中開啟應用程式URL，來使用相關服務；另一大不同之處，則是Mini App擁有服務訊息聊天室的功能，所有透過Mini App開發的服務，都會從這個聊天室來發送通知，比如迷客夏回傳的消費收據，就會從該聊天室回覆。</p> <p dir="ltr">由於要打造Mini App服務，需要程式開發的能力，Line臺灣企業解決方案事業部資深副總經理王俞蓉也表示，有意願採用的商家，可以先尋求Line技術合作夥伴的支援，在共同討論合適的服務場景與流程後，並經Line臺灣審核通過，再投入開發。而這些多元的服務場景，未來也能在Mini App應用更加成熟後，加速複製到其他品牌與產業中。</p> <h3 dir="ltr"><span style="color:#FF8C00;">預計Q4改版貼文串，新推短影音創作社群平臺</span></h3> <p dir="ltr">最後，面對短影音當道，Line臺灣預計在今年Q4改版既有的貼文串，推出影音創作社群平臺Line Voom，讓用戶在發布原有的圖文內容之外，還能夠發布15～20秒的影音內容；而對品牌主來說，則多了一種廣告內容形式，未來能自製短影音來作為廣告素材，再透過LAP進行即時競價與廣告投遞，以觸及Line臺灣用戶群。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot_20211119-142140(1).png" style="width: 700px;" /></p> </div></div></div>
2021/11/23 18:24作者翁芊儒https://www.ithome.com.tw/news/147979
Niantic展開新一輪增資，市值達90億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nianticlabs.com/blog/coatue/?hl=en" target="_blank">Pokémon Go開發商Niantic本周宣布</a>，已獲得來自科技投資管理公司Coatue Management的3億美元資金，估計Niantic的市值已達90億美元。</p> <p>Niantic在2015年脫離Google，成為獨立的公司，當時Google、任天堂與寶可夢（The Pokémon Company）公司在Niantic的A輪投資中，總計投入了3,000萬美元，Niantic在2016年推出了風靡全球的《Pokémon Go》遊戲，迄今該遊戲已創造超過50億美元的營收。</p> <p>Niantic於2019年1月進行了C輪增資，募集了2.45億美元，當時的市值為37億美元，不到3年的時間，隨著元宇宙（Metaverse）概念的竄起，再加上<a href="https://www.ithome.com.tw/news/147739" target="_blank">Niantic在今年11月釋出了內部所使用的元宇宙平臺Lightship</a>，讓Niantic的身價三級跳。</p> <p>Niantic的創辦人暨執行長John Hanke表示，該公司正在打造一個由數位覆蓋現實世界的未來，那裡充斥著各種數位創作、娛樂與資訊，更有趣也更神奇，而這需要針對人才、技術及想像力進行大量的投資，很高興Coatue決定參與。</p> <p>Coatue合夥人Matt Mazzeo則說，他相信Niantic所建立的AR平臺，將會在下一個運算的轉變扮演關鍵角色，它將支持元宇宙，並用來推動網路的下一個創新。</p> <p>有了充裕的資金，Niantic亦宣布成立Niantic Ventures，將利用2,000萬美元的資金來投資未來的AR創新與技術。</p> </div></div></div>
2021/11/23 16:34作者陳曉莉https://www.ithome.com.tw/news/147984
【資安日報】2021年11月23日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在國內疫情趨緩，娛樂場所逐漸開放的情況下，攻擊者針對相關產業發動攻擊的情況，陸續有事故發生：包含甫於週末遭駭的飯店票券業者墨攻票券，以及秀泰影城遭遇網路攻擊，這些事故都有民眾因此接到詐騙電話。但攻擊者也有可能入侵娛樂場所的設備，讓業者營運受到影響：麗寶樂園在週日傍晚，有電子看板疑似遭到入侵，播放成人影片。有民眾向媒體投訴，他們帶著小孩到該遊樂園遊玩，竟出現這種兒童不宜的影片，質疑該樂園的管理不當。</p> <p>但在國內這起資安事故之外，國際上有多則重大的資安新聞，同樣值得留意，例如，GoDaddy的SSL金鑰外洩，波及代管WordPress網站的客戶，但這起事件的曝光，是該公司依據相關法規要求，向美國證券交易委員會（SEC）通報，被媒體發現才予以揭露。到截稿之前，GoDaddy並未在網站上進行公告。</p> <p>除了資料外洩議題，資安研究成果的公布，也是兩面刃：防守方會用來防範攻擊者的手法，而攻擊者也會藉此調整自己的做法，讓防守方更難以預防，究竟研究人員應該公布那些內容、透露多少資訊，也引起爭論──日前資安業者揭露勒索軟體駭客Conti的分析報告，竟因為內容過於詳細，而使得Conti飽受其他勒索軟體駭客攻擊之後，趁機修補漏洞，加強伺服器的防護措施。另一起引發注意的事件，則是有關資安人員與駭客之間的攻防：北韓國家駭客Lazarus，針對最擅長挖掘零時差漏洞的中國資安研究員出手，希望取得這種漏洞作為己用。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.cna.com.tw/news/asoc/202111220245.aspx"><span style="color: rgb(0, 0, 0);">麗寶樂園電子看板疑似遭駭，播放限制級影片</span></a></strong></h4> <p>隨著疫情趨緩，娛樂場所開始解封，不少人攜家帶眷到遊樂園遊玩，但最近卻傳出遊樂園疑似遭到網路攻擊，電子看板出現異狀的現象。麗寶樂園疑似因遭到駭客入侵，以致在11月21日下午5時30分，探索世界園區裡的電子看板出現播放成人影片的情況。</p> <p>麗寶樂園表示，事發時員工發現異狀即關閉看板的電源處理，現場10多名遊客看到影片，他們嚴正譴責駭客散播不雅影片的行為，並於22日向警方報案。但此事是否為網路攻擊造成？有待警方進一步釐清。</p> <h4><strong><a href="https://therecord.media/conti-ransomware-gang-suffers-security-breach/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Conti修補伺服器遭到他人存取的漏洞，起因是研究報告公布的資訊過於詳細<img alt="" src="https://s4.itho.me/sites/default/files/images/FElniETXoAEVdkg.jpg" style="width: 300px; height: 271px; float: right;" /></span></a></strong></h4> <p>資安業者Prodaft於11月18日，針對勒索軟體Conti發布37頁的分析報告，當中提及Conti的復原伺服器詳細資訊，包含IP位址、作業系統、含有存取帳密的htpasswd檔案等，並指出該伺服器存在漏洞。</p> <p>然而，資安新聞網站The Record指出，Prodaft的做法在資安界引起爭議，因為，Conti駭客在得知報告的內容後，便強化了伺服器的安全，而使得執法單位無法利用Prodaft的發現，來摧毀該勒索軟體組織。</p> <h4><strong><a href="https://www.thedailybeast.com/north-korean-hackers-caught-snooping-on-chinas-cyber-squad"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus鎖定中國資安研究員，意圖竊取黑客技術作為己用</span></a></strong></h4> <p>資安業者CrowdStrike向新聞網站The Daily Beast透露，他們約從今年6月發現，北韓駭客組織Lazarus（CrowdStrike稱為Stardust Chollima）發動網路釣魚攻擊，鎖定中國的資安研究人員下手，該組織使用以中文書寫的誘餌文件發動攻擊，這些檔案的名稱是Securitystatuscheck.zip與_signed.pdf。</p> <p>這些駭客近年來已多次針對資安人員下手，而這次不同的是，他們專門鎖定中國的研究人員而來，但原因為何？The Daily Beast取得賽門鐵克的說法指出，中國黑客最擅長利用零時差漏洞發動攻擊，Lazarus很可能想要藉此取得這類漏洞。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/hackers-hit-irans-mahan-airline-claim-confidential-data-theft/"><span style="color: rgb(0, 0, 0);">伊朗馬漢航空坦承遭到網路攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/announcements.jpg" style="width: 300px; height: 248px; float: right;" /></span></a></strong></h4> <p>伊朗交通運輸設施再度傳出遭到攻擊的事故。該國大型民營航空公司馬漢航空（MahahAir）於11月21日表示，他們遭到網路攻擊，導致該公司的網站無法運作，不過，所有的國內與國際航線仍維持正常運作，並不受此次事件影響。</p> <h4><strong><a href="https://www.darkreading.com/attacks-breaches/godaddy-breach-exposes-ssl-keys-of-managed-wordpress-hosting-customers"><span style="color: rgb(0, 0, 0);">GoDaddy驚傳外洩SSL金鑰，影響120萬WordPress用戶</span></a></strong></h4> <p>提供網域名稱註冊與主機代管的GoDaddy，於11月22日向美國證券交易委員會（SEC）通報，他們在11月17日發現，有未經授權的外部人士，存取該公司代管的WordPress網站，他們隨即委請鑑識公司協助調查，並連繫執法單位。攻擊者疑似利用已經外洩的密碼，存取代管WordPress的供應系統中，舊有的程式碼基礎。</p> <p>經調查後發現，本起事故自9月6日發生，約有120萬代管WordPress網站的用戶受到波及，他們的客戶編號與電子郵件信箱都遭到外洩，其中，活躍客戶sFTP及資料庫的帳號、密碼也被曝露；部分活躍客戶的SSL私鑰亦遭洩露。</p> <h4><strong><a href="https://www.ncsc.gov.uk/news/guidance-for-retailers-to-prevent-websites-becoming-black-friday-cyber-traps"><span style="color: rgb(0, 0, 0);">英國逾4千家中小企業網站的客戶交易明細遭竊</span></a></strong></h4> <p>今年的黑色星期五購物檔期即將開跑（11月26日），英國國家網路安全中心（NCSC）於11月22日提出警告，他們在9月底前，總共發現了4,151家線上購物商城遭駭，客戶交易明細可能遭竊，該單位已通報這些商家進行處理，而這些商城網站多數使用Magento建置而成，攻擊者疑似使用特定的已知漏洞下手。NCSC呼籲，這些電子商城的管理者，應該要保持軟體為最新的版本。</p> <h4><strong><a href="https://www.investor.gov/introduction-investing/general-resources/news-alerts/alerts-bulletins/investor-alerts/beware-0"><span style="color: rgb(0, 0, 0);">美國向投資人提出警訊，慎防佯稱證券交易委員會的詐騙手法</span></a></strong></h4> <p>美國證券交易委員會（SEC）於11月19日發布警訊，要求該國的投資人要留意冒名他們的詐騙電話，以及語音信箱訊息。SEC指出，他們獲報近期有人接到來自該單位的電話，對方宣稱，這些投資者的帳戶出現未經授權的交易，或是其他可疑行為。SEC指出，他們不會用這種方式聯繫投資人，假如民眾接到這類電話，切勿提供個人資料給對方，並向SEC監察長辦公室（OIG）通報。</p> <h4> </h4> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/147957">2021年11月22日</a></p> <p><a href="https://www.ithome.com.tw/news/147925">2021年11月19日</a></p> <p><a href="https://www.ithome.com.tw/news/147902">2021年11月18日</a></p> </div></div></div>
2021/11/23 13:53作者周峻佑https://www.ithome.com.tw/news/147978
《Gizmodo》打算分批公布Facebook Papers
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://gizmodo.com/we-re-making-the-facebook-papers-public-here-s-why-and-1848083026" target="_blank">美國科技新聞網站《Gizmodo》本周指出</a>，將在各界專家的審核之後，於近日分批公布集結Meta內部各種討論及研究報告的Facebook Papers。</p> <p><a href="https://www.ithome.com.tw/news/147484" target="_blank">Facebook Papers是由臉書公民誠信團隊的前產品經理Frances Haugen所提供</a>，她向美國證券交易委員會（SEC）提交了8項有關Meta的控訴，指控Meta將自身利益擺在公共利益之上，而且向投資人揭露的內容遠不及所應該揭露的，她準備了數千頁的文件，不只提供給《華爾街日報》、SEC，也提供給美國參議院，以及眾多的媒體，包括《Gizmodo》在內，且已有不少媒體以條列方式公布了部分的內容。</p> <p>根據《Gizmodo》的說法，總計有超過300名的西方記者取得了Facebook Papers，且該報相信大眾需要儘可能地存取更多的文件，於是與一群分別具備隱私、數位新聞學、電腦科學及公共政策等專長的專家合作，準備將所有的文件分批公布。</p> <p>由《Gizmodo》所公布的文件一來將會隱匿涉及個人隱私的資訊，二來將會去除可能助長犯罪分子或間諜理解、臉書如何防禦仇恨內容與不實資訊的機制。</p> <p>該報認為，在臉書現身後，網路已從一個小型的世界變得更浩瀚，同時臉書也成為全球最有影響力的平臺及企業，足以改變全球的政治與生活面貌，公布相關文件將能讓大眾一窺當臉書對外宣稱其宗旨、是為了創造人跟人之間的連結，但文件卻可呈現當該目標及臉書內部目標發生衝突的故事，例如那些當分化人們而能對臉書帶來更大獲利的底層技術。</p> </div></div></div>
2021/11/23 14:54作者陳曉莉https://www.ithome.com.tw/news/147980
Life360買下智慧型追蹤器製造商Tile
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/life360-to-acquire-tile-creating-the-world-leader-in-finding-and-location-solutions-301430364.html" target="_blank">專門提供定位服務的Life360本周宣布</a>，將以2.05億美元買下知名的智慧型追蹤器製造商Tile，預計於明年第一季完成交易。</p> <p>Life360與Tile都是源自於美國，其中，Life主要提供家人定位服務，可隨時掌握家人的行蹤，在必要時發送無聲的通知予家人，還提供緊急救援服務，並在2019年選擇至澳洲證券交易所（ASX）上市。至於Tile則是智慧型物件追蹤器的生產商，<a href="https://www.ithome.com.tw/news/143968" target="_blank">所提供的產品類似蘋果在今年4月發表的AirTag</a>，使用者亦可安裝手機程式，以裝置上的藍牙功能來判斷追蹤器的位置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1123-life360.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Life360</span></p> <p class="rtecenter"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1123-%E8%97%8D%E7%89%99%E8%BF%BD%E8%B9%A4%E8%A3%9D%E7%BD%AE%E8%A3%BD%E9%80%A0%E5%95%86Tile-2-600.jpg" style="width: 598px;" /></span></p> <p><span style="color:#696969;">圖片來源_Tile</span></p> <p><a href="https://www.mordorintelligence.com/industry-reports/smart-tracker-market" target="_blank">市場研究機構Mordor Intelligence指出</a>，2019年全球智慧型追蹤器的市場規模為4.1億美元，預計到了2025年將會增加至8.1億美元，每年成長率為12.4%。<a href="https://www.wboc.com/story/44105127/smart-tracker-market-size-2021-with-a-cagr-of-133-top-companies-data-report-covers-market-specific-challenges-share-growth-trends-and-forecasts" target="_blank">WBOC則說</a>，2019年時智慧型追蹤器的市場龍頭為Tile，其市占率高達33.97%。</p> <p>Life360表示，這次的收購案對該公司而言是一項垂直整合，Tile的技術已被嵌入在逾50家不同的第三方裝置，從無線耳機、筆電到毛小孩的項圈，這將讓Life360不僅能保障家人的安全，也能保護家人所重視的物品的安全。</p> <p>此外，該收購案也將有助於Life360擴大版圖，讓Life360可存取Tile已進駐的2.7萬家實體店面的消費者，由於兩家業者都提供了付費訂閱服務，合併後將讓Life360的付費用戶數增加45%，達到160萬。</p> <p>根據雙方的協議，合併後Tile仍將以獨立的品牌提供服務，領導人依然是Tile現有的執行長CJ Prober，而Prober也將加入Life360的董事會。</p> </div></div></div>
2021/11/23 15:09作者陳曉莉https://www.ithome.com.tw/news/147981
研究人員繞過微軟11月的修補，發布概念性驗證攻擊程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在今年11月9日修補的CVE-2021-41379漏洞，已被揭露它的安全研究人員Abdelhamid Naceri繞過，而且Naceri還在本周透過GitHub公布了開採該漏洞的概念性驗證程式，<a href="https://www.bleepingcomputer.com/news/microsoft/new-windows-zero-day-with-public-exploit-lets-you-become-an-admin/" target="_blank">他向《BleepingComputer》透露</a>，是因為不滿微軟抓漏獎勵專案的獎金不斷調降才有此一行動。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-41379" target="_blank">CVE-2021-41379為Windows Installer的權限擴張漏洞</a>，在微軟本月修補的55個安全漏洞中，僅被列為重要（Important）漏洞，CVSS風險評分為5.5，相較於其他4個零時差漏洞、2個已被開採的漏洞，或者是6個重大漏洞，並未被視為應優先修補的安全漏洞。</p> <p><a href="https://github.com/klinix5/InstallerFileTakeOver" target="_blank">Naceri指出</a>，當他在分析CVE-2021-41379的修補程式時，發現微軟並未妥善修補，使得他得以繞過這些修補，所打造的概念性驗證程式覆蓋了Microsoft Edge的任意存取控制清單（DACL），還能將自己複製到服務區域並加以執行，而取得權限的擴張，該驗證程式適用於每一個部署了11月修補程式的Windows安裝，包括最新的Windows 11及Windows Server 2022。</p> <p>《BleepingComputer》測試了Naceri所釋出的概念性驗證程式，證明只需要幾秒鐘，就能將使用者帳號的權限從標準權限提高到系統權限。</p> <p>對於當初既提交了CVE-2021-41379漏洞予微軟，發現漏洞未修補完整，卻又公開發表概念性驗證程式，Naceri向《BleepingComputer》表示，微軟的抓漏獎勵計畫從去年4月以來就像是廢物，倘若不是微軟決定調降獎金，他不會有如此舉動。也有其它研究人員與Naceri有共鳴，包括抱怨所提交的零時差漏洞獎金從1萬美元被調降到1,000美元，或者是指責微軟任意調整獎金額度等。</p> <p>Naceri說，針對該漏洞的最佳緩解措施就是等待微軟再次修補，但此一漏洞有些複雜，一不小心就可能會直接破壞Windows Installer。</p> </div></div></div>
2021/11/23 12:28作者陳曉莉https://www.ithome.com.tw/news/147976
GoDaddy的WordPress代管服務被非法存取兩個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供網域名稱註冊及網站代管服務的GoDaddy，<a href="https://www.sec.gov/Archives/edgar/data/1609711/000160971121000122/gddyblogpostnov222021.htm" target="_blank">在本周一（11/22）提交給美國證券交易委員會（SEC）的文件中指出</a>，受該公司管理的WordPress環境自今年的9月6日到11月17日之間，遭到未經授權的第三方存取，波及了120萬名客戶。</p> <p>GoDaddy是在11月17日才發現此事，在IT鑑證公司的協助下，顯示此一第三方是利用一個被危害的憑證，存取了基於舊程式碼的受管理WordPress環境中的配置系統，也已通知執法機構。</p> <p>由GoDaddy代管的WordPress（Managed WordPress）為一替WordPress網站最佳化的虛擬主機服務，由GoDaddy負責處理WordPress的軟體及安全更新，並可儲存用戶的網站檔案。</p> <p>因此而外洩的資料包括120萬名客戶的電子郵件與姓名，WordPress管理員的密碼，既有客戶的sFTP及資料庫名稱與密碼，部分客戶的SSL私鑰，GoDaddy已重設所有外洩的密碼，並正在發布與安裝新的憑證予私鑰曝光的客戶。</p> <p>目前GoDaddy仍在調查整起事件的發生經過，尚未公布最初遭駭客利用的憑證是如何外洩的。</p> </div></div></div>
2021/11/23 12:54作者陳曉莉https://www.ithome.com.tw/news/147977
Databricks推出Partner Connect供平臺用戶連接第三方資料和工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Databricks推出<a href="https://databricks.com/blog/2021/11/18/now-generally-available-introducing-databricks-partner-connect-to-discover-and-connect-popular-data-and-ai-tools-to-the-lakehouse.html">Partner Connect</a>服務，這是一項連接既有用戶和Databricks合作夥伴的服務，透過介接API，使得用戶能夠輕鬆快速地使用第三方的資料和工具，而Databricks合作夥伴也能夠增加曝光度，Databricks提到，他們要利用Partner Connect來創造一個正向循環的生態系。</p> <p>Partner Connect為一站式入口服務，可供用戶快速探索資料、分析和人工智慧工具，並且跨多個雲端供應商，整合到Databricks湖邊小屋平臺，Partner Connect藉由深度整合，來改變Databricks和其合作夥伴的整合方式，官方表示，這種新的整合方式，能夠讓第三方服務簡單地觸及平臺中數千位原生用戶。</p> <p>之所以Databricks要建立Partner Connect，官方解釋，資料生態系非常龐大，沒有任何一個供應商可以獨立完成所有事情，而每個企業都有大量需要連接、保護和管理的工具和資料，要讓所有企業內的用戶都能探索，並且共享資料的分析結果，需要很大的成本。</p> <p>而Partner Connect試圖解決這樣的挑戰，讓用戶直接在其Databricks湖邊小屋整合資料、分析和人工智慧工具，用戶只需要透過點擊滑鼠，Partner Connect就會自動配置叢集、權杖和連接檔案等資源，供用戶擷取、準備和轉化資料，以及連接商業智慧和機器學習工具。</p> <p>官方提到，Partner Connect考量到易用性，透過與合作夥伴預建構整合的方式，能夠自動創建叢集、SQL端點和安全權杖，並將這些資訊發送到合作夥伴方，讓用戶能夠快速創建試用帳戶。而這些合作夥伴可以供用戶快速存取第三方資料庫和SaaS應用程式，原本可能需要數個月工程資源，才能完成將資料帶到湖邊小屋的用例，現在透過Partner Connect就能快速完成。</p> <p>Databricks透過與其合作夥伴緊密合作，供用戶將Databricks湖邊小屋連接到第三方解決方案，這個初建立的Partner Connect生態系，加入的第三方服務包括Fivetran、微軟Power BI和Tableau等，官方也承諾，在接下來數個月，Partner Connect還會整合更多產品服務。</p> </div></div></div>
2021/11/23 09:37作者李建興https://www.ithome.com.tw/news/147972
VMware在AWS市集上架Tanzu和Carbon Black Cloud跨雲服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VMware增加用戶在AWS取用VMware服務的方便性與可用性，<a href="https://www.businesswire.com/news/home/20211118005471/en/VMware-Cross-Cloud-Services-Help-Customers-Run-their-Businesses-Better-in-AWS">在AWS市集上架新的跨雲服務（Cross-Cloud）</a>，包括網路安全工具Carbon Black Cloud，以及應用程式現代化工具Tanzu。VMware的跨雲服務，賦予IT人員靈活部署工作負載的能力，像是更快地將工作負載搬遷上雲，或是加速應用程式現代化，甚至是以安全且高效的方式，將分散式工作資源連接到雲端。</p> <p>無論VMware用戶的業務是否完全在AWS中運作，抑或是同時擁有AWS和VMware vSphere的混合環境，跨雲服務提供用戶更靈活的控制權，以及搬遷工作負載的自由度。在AWS市集中添加VMware跨雲服務，可以讓開發人員和基礎設施營運人員，快速地使用VMware解決方案，簡化採購加速採用VMware跨雲服務。</p> <p>VMware Tanzu是一個模組化的應用程式平臺，可用在AWS和混合雲基礎架構上，以建構、執行和管理現代化應用程式，VMware提到，Tanzu提供開發人員在雲端和本地端一致的體驗，能夠發揮Kubernetes高效率和縮放規模的特性。Tanzu的核心是一個與上游同步的Kubernetes發行版，提供叢集API來部署和更新叢集，方便用戶操作和維護。</p> <p>具體功能包括供開發人員可以自助存取的叢集，以及提供容器化的應用程式建置模型，而用戶也可以使用機隊政策管理功能，來控制Pod存取、網路功能和安全性，進而對所有叢集和在其上運作的工作負載，能夠更快地排除潛在的異常，並發出智慧警報。</p> <p>VMware Carbon Black Cloud則是一個雲端原生的端點、工作負載和容器保護平臺，讓用戶無論是在AWS環境還是混合雲環境，都可實作一致的安全性功能。Carbon Black Cloud透過每天分析超過一兆個安全事件，可主動發現攻擊者行為模式，並使得用戶可以在任何地方，都能夠即時回應攻擊和修復弱點，在基礎設施和資訊安全團隊共享單一事實來源前提下，能夠有效提高安全性。</p> <p>由於雲端原生端點安全功能同時結合預防和自動偵測，供用戶能夠提升各種複雜攻擊的防禦能力，對資料中心也提供了進階工作負載防護，可以保護虛擬化、私有和混合雲環境。企業級容器的安全功能，使得AWS和私有雲環境，從開發到生產的容器化應用程式，都能獲得持續可見性、安全防護和法遵。</p> <p>除了Tanzu和Carbon Black Cloud，用戶也可以透過AWS市集獲得其他跨雲服務，諸如CloudHealth、NSX Advanced Load Balancer和SASE。CloudHealth是供用戶簡化雲端財務管理工作的工具，而NSX Advanced Load Balancer是一個應用程式服務平臺，可以跨雲端和本地端集中調度，實現負載平衡、縮放等自動化功能。SASE則是將SD-WAN功能和雲端交付的安全功能相結合，像是雲端網頁安全、零信任存取和防火牆等，在任何網路條件下，向客戶端、分公司和分校，提供一致且可靠的應用程式。</p> </div></div></div>
2021/11/23 09:35作者李建興https://www.ithome.com.tw/news/147971
駭客正利用微軟Exchange Server漏洞於企業內部寄送惡意文件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.talosintelligence.com/2021/10/squirrelwaffle-emerges.html" target="_blank">思科旗下的資安團隊Talos在今年10月揭露了一個新的惡意程式家族Squirrelwaffl</a>e，Squirrelwaffle主要透過垃圾郵件散布，<a href="https://www.trendmicro.com/en_us/research/21/k/Squirrelwaffle-Exploits-ProxyShell-and-ProxyLogon-to-Hijack-Email-Chains.html" target="_blank">而趨勢科技則在上周指出</a>，他們分析了幾個發生在中東的Squirrelwaffle感染案例，相信駭客同時使用了ProxyLogon與ProxyShell攻擊程式，滲透企業的Exchange Server，再濫用其回覆郵件的功能讓受害者上勾。</p> <p>ProxyLogon是由4個Exchange Server上的漏洞組成，包括CVE-2021-26855、CVE-2021-26857、CVE-2021-26858與CVE-2021-27065，這4個漏洞皆屬於內部部署的Exchange Server漏洞，由於已發生攻擊事件，使得微軟於今年3月初展開緊急修補。至於ProxyShell則是由CVE-2021-34473、CVE-2021-34523以及CVE-2021-31207等3個漏洞所構成，也是在今年4月便修補。</p> <p>至於趨勢科技則在最近的Squirrelwaffle攻擊事件中，觀察到駭客是透過其中的預先認證代理人漏洞CVE-2021-26855、預先認證路徑混淆漏洞CVE-2021-34473，以及Exchange PowerShell後端權限擴張漏洞CVE-2021-34523滲透了企業的Exchange Server，而且相關的攻擊程式都已可公開取得。</p> <p>值得注意的是，在駭客滲透到企業的郵件伺服器之後，受害者所收到的惡意信件並不是一個新的郵件，而是同事之間的郵件往來或回覆，且不管是寄件者或是收件人的帳號名稱都是真正存在於該網域的，而更能取得受害者的信賴，進而點選郵件中的連結，並開啟惡意的Excel檔案。</p> <p class="rtecenter"><img alt="" src="https://marvel-b1-cdn.bc0a.com/f00000000017219/www.trendmicro.com/content/dam/trendmicro/global/en/research/21/k/squirrelwaffle-exploits-proxyshell-and-proxylogon-vulnerabilities-in-microsoft-exchange-to-hijack-email-chains/figure%206%20squirrelwaffle%20exchange%20exploit.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_趨勢科技</span></p> <p class="rtecenter"><img alt="" src="https://marvel-b1-cdn.bc0a.com/f00000000017219/www.trendmicro.com/content/dam/trendmicro/global/en/research/21/k/squirrelwaffle-exploits-proxyshell-and-proxylogon-vulnerabilities-in-microsoft-exchange-to-hijack-email-chains/figure%208%20squirrelwaffle%20exchange%20exploit.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_趨勢科技</span></p> <p>再仔細分析郵件的路徑，發現其原始郵件也是來自內部的寄送者，因而降低了被偵測到的機會。</p> <p>藉由垃圾郵件散布的Squirrelwaffle通常是先找到於受害系統的立足點，再根據目的以遞送其它的惡意程式，諸如Qakbot或Cobalt Strike等。</p> <p>趨勢科技警告，這意謂著來自可靠對象發送的電子郵件，已經不足以作為全然信賴的指標，因為郵件中所夾帶的連結或檔案也可能是惡意的，也呼籲企業或組織別忘了修補ProxyLogon與ProxyShell漏洞。</p> </div></div></div>
2021/11/22 16:51作者陳曉莉https://www.ithome.com.tw/news/147968
薩爾瓦多準備打造全球第一個「比特幣城」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中美洲的薩爾瓦多繼於今年9月<a href="https://www.ithome.com.tw/news/146598" target="_blank">成為全球第一個接納比特幣（Bitcoin）為法定貨幣的國家</a>之後，再於本周宣布，將打造一個全新的比特幣城（Bitcoin City），發行10億美元的比特幣債券，而且該城市將免除所有的稅收，包括所得稅、財產稅或資本利得稅等。</p> <p><a href="https://www.youtube.com/watch?v=mNdPS940InI" target="_blank">現年40歲的薩爾瓦多總統Nayib Bukele是在一場公開活動上宣布此事</a>，這個新的比特幣城將座落在豐塞卡灣（Gulf of Fonseca）靠近火山的地方，它會呈現錢幣狀，市中心會有一個陳列比特幣符號的廣場，將在此蓋一座電廠，以供該城市及挖礦使用。</p> <p>比特幣城將如同其它城市，會有居民、商業區、機場、港口及鐵路服務，但不徵收任何的稅賦。</p> <p>至於比特幣的資金將來自該國政府所發行的10億美元比特幣債券，這是區塊鏈業者Blockstream在 Liquid Network上所開發的一種金融工具，其中有5億美元會用來建置發電廠與挖礦的基礎設施，另外的5億美元則會用來購買比特幣。</p> <p>根據規畫，此一比特幣債券最初的利息為6.5%，所持有的比特幣有5年的閉鎖期，之後即會開始出售比特幣並提供更高的利息。</p> <p><a href="https://www.ft.com/content/67515f23-ccdc-4dbc-a184-70848e183ac3" target="_blank">《金融時報》報導</a>，在薩爾瓦多推出Chivo Wallet加密貨幣錢包之後，海外的薩爾瓦多人已透過該錢包匯入了3,200萬美元回家鄉，約占這期間所有匯款的2.5%。</p> <p>Bukele在該國有高達8成的支持率，不過，他在今年5月置換了最高法院憲法法庭的5名法官，<a href="https://www.telesurenglish.net/news/Over-60-Year-Old-Salvadoran-Judges-To-Leave-Office-Before-Friday-20210923-0010.html" target="_blank">更於8月底通過一項法令</a>，以罷免所有超過60歲或任職超過30年的法官，使得有248名法官在今年9月離職，約占當地法官總數的1/3強，而被其它國家批評是個專制的總統。</p> </div></div></div>
2021/11/22 15:25作者陳曉莉https://www.ithome.com.tw/news/147966
【資安日報】2021年11月22日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從上週末到本日的資安新聞中，國內最受到關注的，應該就是飯店票券系統「墨攻票券」遭遇網路攻擊，而導致資料外洩，且有民眾接到詐騙電話的事故。而對於此事的說明，目前墨攻票券僅向新聞媒體透露處理的情形，尚未在網站上發布有關的警訊。</p> <p>而在國外的資安事故裡，則有大型風力發電設備製造商Vestas遭受網路攻擊。但根據該公司的公告，他們僅透露部分營業據點的IT系統停止運作，部分的客戶、員工、合作夥伴會受到影響，並未對於細節進一步說明。由於該公司的客戶遍及全球，這些客戶的風力發電機會不會也受到影響？有待日後的追蹤。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.youtube.com/watch?v=6VGFk19_MeE"><span style="color: rgb(0, 0, 0);">飯店票券系統「墨攻票券」遭駭客入侵</span></a></strong></h4> <p>近日正值雙11線上旅展期間，飯店票券系統「墨攻票券」遭駭客入侵，發生資料外洩事件，根據東森新聞報導，已有民眾接到詐騙電話。關於這起事件，墨攻是在11月16日發現駭客行為，當下他們通知各廠商（飯店業），並要廠商發布防詐騙提醒，讓消費者有所注意，墨攻也於17日向警方報案。</p> <p>對於消費者交易資料外洩，該公司董事長黃少風表示，該系統的個資皆經由銀行等加密處理，且不含信用卡資料，但黑市的名單眾多，駭客還是有可能透過比對的方式，拼湊出民眾的個資。由於適逢雙11線上旅展期間，可能會引發甫購買飯店票券的民眾恐慌，擔心自己的個資因此外洩。</p> <h4><strong><a href="https://www.vestas.com/en/media/company-news/2021/vestas-impacted-by-cyber-security-incident-c3457473"><span style="color: rgb(0, 0, 0);">風力發電機製造商Vestas遭到網路攻擊</span></a></strong></h4> <p>丹麥大型風力發電機製造商Vestas於11月20日發出公告，他們在19日遭到網路攻擊，導致該公司多處營業據點的IT系統被迫關閉。該公司表示，他們正與內部及外部伙伴通力合作，來還原受影響的系統，對於用戶、員工，以及合作夥伴，可能會受到波及。至於對於事故的性質，以及影響範圍，該公司沒有說明。</p> <h4><strong><a href="https://www.microsoft.com/security/blog/2021/11/18/iranian-targeting-of-it-sector-on-the-rise/"><span style="color: rgb(0, 0, 0);">伊朗駭客鎖定IT服務業者下手，藉此存取其客戶的內部網路<img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1-notifications-sent-to-IT-services.png" style="width: 300px; height: 150px; float: right;" /></span></a></strong></h4> <p>微軟於11月18日提出警告，伊朗的駭客針對IT服務業者的攻擊升溫，該公司今年已向超過40家IT服務業者，發出1,647個通知，相較之下，2020年僅有20則。</p> <p>此外，因為這類業者開始於印度等國成立主要的服務中心，微軟也看到攻擊者約自8月中旬，針對印度的IT服務公司攻擊開始顯著增加。從8月中旬至9月底，微軟共對印度企業發出1,788則國家級通報，約有8成與此類業者有關。</p> <h4><strong><a href="https://www.channelnewsasia.com/asia/indonesia-police-officers-personal-data-hack-cyber-attack-2325381"><span style="color: rgb(0, 0, 0);">駭客宣稱竊得近3萬名印尼員警資料</span></a></strong></h4> <p>根據新聞網站Cna的報導，有一個駭客在推特上聲稱，他從印尼國家警察隊的伺服器上，取得了28,000名員警的資料，包含了姓名、居住地址、電子郵件信箱、電話號碼，以及血型等，當地警方表示已著手調查。該名駭客曾在上個月底宣稱，他駭入了當地的網路與加密保護局（BSSN），不過BSSN並未針對此起事故提出說明。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/utah-medical-center-hit-by-data-breach-affecting-582k-patients/"><span style="color: rgb(0, 0, 0);">美國放射醫學中心外洩近60萬病人資訊</span></a></strong></h4> <p>位於美國猶他州的放射中心Utah Imaging Associates發布公告，指出在9月4日發現有網路滲透攻擊，攻擊者可能在8月29日入侵，該單位察覺異狀後委託資安公司協助調查，發現未經授權的人士能存取個人姓名、出生日期、社會安全號碼，以及醫療診斷及處方箋等資料，該單位亦指出，目前尚未發現這些個資在網路上遭到洩露的跡象。</p> <h4><strong><a href="https://www.trendmicro.com/en_us/research/21/k/Squirrelwaffle-Exploits-ProxyShell-and-ProxyLogon-to-Hijack-Email-Chains.html"><span style="color: rgb(0, 0, 0);">惡意軟體Squirrewaffle利用Exchange Server的重大漏洞，發動釣魚郵件攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/figure%2010%20squirrelwaffle%20exchange%20exploit.png" style="width: 300px; height: 180px; float: right;" /></span></a></strong></h4> <p>在9月中旬，思科看到攻擊者使用名為Squirrewaffle的惡意軟體，透過釣魚郵件下手，入侵受害者電腦並便植入其他的攻擊工具，當中提及過程中駭客疑似盜用遭駭的電子郵件信箱。而針對Squirrewaffle的滲透手法，近期趨勢科技揭露新的發現，指出這些駭客掌控這些用於攻擊行動的電子郵件信箱，途徑是針對組織的Exchange Server漏洞下手，這些漏洞是ProxyLogon、ProxyShell等已知漏洞，從而取得部分用戶的SID，進而以他們的名義，在組織內部寄送釣魚郵件來散布Squirrewaffle。</p> <h4><strong><a href="https://sansec.io/research/ecommerce-malware-linux-avp"><span style="color: rgb(0, 0, 0);">駭客鎖定電子商務網站下手，植入Linux竊密工具</span></a></strong></h4> <p>資安業者Sansec接獲電子商務網站委託，發現新的Linux後門程式。攻擊者先是鎖定該電子商務網站，探測這種網站常見的數十種弱點，在受害網站的外掛程式裡，發現任意文件上傳的漏洞，進而上傳WebShell來竄改網站程式碼，植入偽裝成JPG圖檔的網頁側錄程式（Web Skimmer），該側錄程式以PHP編寫，再將客戶付款的網頁裡，注入假的付款表單竊取付款資料。其中，攻擊者也利用名為linux_avp的可執行檔案做為後門程式，該檔案由Golang編寫而成，且等待託管在阿里雲的北京伺服器發號司令。此後門程式攻擊者疑似於10月8日上傳到VirusTotal，但沒有防毒引擎能識別為有害。</p> <h4><a href="https://nicst.ey.gov.tw/Page/8770AD7511CB8DC9/f003c45a-1b65-4de0-9606-27043c024d7b"><strong>政府機關10月資安事件通報數63件，需注意騙取機關帳密的釣魚信件</strong></a></h4> <p>行政院資通安全處發布10月資通安全網路月報，報告中指出，上月資安聯防情資共50,545件，以可明確辨識的威脅種類而言，入侵攻擊類（45%）排第一，主要是網頁攻擊行為與跨目錄存取攻擊居多；掃描刺探類（25%）排第二，主要是外部主機執行掃描探測攻擊；政策規則類（19%）排第三，主要是單一帳號持續登入失敗。值得注意的是，近期「郵件帳戶已遭停用」電子郵件主旨的釣魚信大增，且寄件人欄位夾帶政府機關網域名稱。另外，10月資安事件通報數量共63件，比上月件數要低，主要是帳號密碼外洩攻擊活動已持續4個月，近期有趨緩的跡象。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://www.netspi.com/blog/technical/cloud-penetration-testing/azure-cloud-vulnerability-credmanifest/"><span style="color: rgb(0, 0, 0);"><strong>Azure AD存在高危險漏洞，恐導致自動化帳號遭到濫用</strong></span></a></h4> <p>資安業者揭露Azure Active Directory（Azure AD）的漏洞CVE-2021-42306，這項漏洞疑似與微軟的配置不當有關，起因是自動化帳號的執行身分（即使用PFX憑證）功能裡，會將帳密以明文存放，而且任何Azure AD使用者能透過應用程式註冊（App Registration）功能，取得上述明文存放的帳密。攻擊者一旦濫用這項漏洞，將能用來通過應用程式註冊的身分驗證。微軟對此表示，自2020年10月15日至2021年10月15日，若用戶曾經使用自動化帳號的執行身分功能，就可能受到影響，再者，部分Azure Site Recovery的用戶也受到波及。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://[美國要求銀行若遭遇網路攻擊，需在36小時內進行通報](https://www.notion.so/36-afda907649234360bea5e27822c761a9)"><span style="color: rgb(0, 0, 0);">美國要求銀行若遭遇網路攻擊，需在36小時內通報主管機關</span></a></strong></h4> <p>美國聯邦存款保險公司（FDIC）、美國貨幣總稽核辦公室（Office of the Comptroller of the Currency）、聯邦準備理事會聯手，公布《網路安全通知最終規則》（Cybersecurity Incident Final Rule）草案，當中要求銀行必須在察覺到指定層級的資安事件時，必須儘速通報主管機關，且最晚不得超過36小時。該法案也要求，在資安事故可能導致重大服務中斷4小時的情況下，也要通知所有受到影響的客戶。此法規預計於2022年4月1日生效，銀行必須在5月1日前完全遵守有關規範。</p> <h4> </h4> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www2.deloitte.com/tw/tc/pages/about-deloitte/articles/pr20211118-ra.html"><span style="color: rgb(0, 0, 0);">勤業公布2021網路資安調查結果，並指出網路安全零信任浪潮需重視</span></a></strong></h4> <p>對於這一年企業在資安準備上的趨勢，勤業眾信在10月底發布了《2021 Future of Cyber Survey》調查報告，在11月18日，他們根據相關資料發布《2021年網路資安大調查》報告，當中指出數位轉型浪潮下，有7成企業感受到今年網路攻擊比往年更甚的趨勢，而且，有高達9成財務長表示要將財務系統或ERP上雲，而對於網路風險管理的挑戰上，CIO與CISO認為數位轉型（41%）與網路衛生（26%）是兩大難題。同時，勤業眾信提出建議，強調零信任網路安全策略的浪潮正興起，值得企業重視，需透過Zero Trust思維來建立資安防護措施，推動企業在數位轉型之路順利前進。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/147925">2021年11月19日</a></p> <p><a href="https://www.ithome.com.tw/news/147902">2021年11月18日</a></p> <p><a href="https://www.ithome.com.tw/news/147880">2021年11月17日</a></p> </div></div></div>
2021/11/22 13:12作者周峻佑https://www.ithome.com.tw/news/147957
DuckDuckGo釋出新功能以防止Android用戶遭到追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在今年4月釋出iOS 14.5，啟用了追蹤透明化（App Tracking Transparency，ATT）政策，要求所有程式在追蹤用戶之前都必須先取得用戶的明確同意，目前Google尚未完全跟上蘋果的腳步，但隱私搜尋引擎業者DuckDuckGo上周新增了App Tracking Protection for Android功能，主要用來封鎖那些藏匿在App中的第三方追蹤器，包括Google及臉書。</p> <p><a href="https://spreadprivacy.com/introducing-app-tracking-protection/" target="_blank">DuckDuckGo解釋</a>，許多企業都躲在行動程式中來追蹤使用者，例如藏在Nike程式中的Google，這些企業不但能得知使用者於程式中的行為，就算未使用該程式時也能進行追蹤，不少程式的預設是即時紀錄使用者的動態，甚至能夠知道使用者的睡眠時間有多長。</p> <p>因此，使用者手機上所安裝的程式，其實已將用戶的個人資料傳送給數十家第三方業者，以供Google或臉書等廣告網路建立使用者的數位檔案，部署個人化廣告，有些第三方業者可能會將個資出售給其它的資料掮客或政府。</p> <p>根據DuckDuckGo的測試，Android上熱門的免費程式中，超過96%都嵌有第三方的追蹤器，有87%會把資料傳送給Google，有68%會傳送給臉書。</p> <p>因此，DuckDuckGo準備在其Android程式中新增一項App Tracking Protection for Android功能，專門用來阻擋這些第三方的追蹤器，它會檢查Android程式是否將資料傳送至第三方的追蹤企業，並封鎖這些請求。</p> <p>由於該功能利用了本地端的VPN連結功能，因此在啟用之後，裝置會將它視為VPN，但它並未將資料導至外部伺服器，因此並非真的是個VPN。</p> <p>Google其實也計畫採取類似蘋果ATT的政策，<a href="https://www.ithome.com.tw/news/144830" target="_blank">已宣布自Android 12開始</a>，開發者即無法存取已退出個人化廣告的廣告ID，且明年初就會擴大實施至Google Play上的所有程式。</p> </div></div></div>
2021/11/22 14:49作者陳曉莉https://www.ithome.com.tw/news/147965
趨勢科技預警：汽車駭客鎖定車用公版系統伺機埋入惡意程式，臺灣汽車供應鏈業者需留心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了因應環境永續以及減少碳排放、降低空污的目標，預計到2030年，電動車和油電混合車會是主流；但到2040年，全部將成為電動車的市場。隨著大電動車時代的來臨，只要使用的人多，自然就是駭客鎖定研究和攻擊的標的。</p> <p>趨勢科技全球核心技術部未來車研究群資深技術協理張裕敏日前在一場研討會中表示，未來電動車形同是裝著四個輪子的電腦，他分析過去幾年、至少30起以上駭客入侵電動車的各種攻擊手法發現，駭客最喜歡採用入侵汽車的手法就是「讓汽車失控」（Loss of Control）。</p> <p>若從汽車駭客（Car Hacking）的觀點來看，張裕敏認為，駭客最終就是要設法取得汽車的控制權，但因為目前汽車廠牌和作業系統多，透過鎖定特定車種再設法直接入侵汽車的方式，不僅曠日廢時，變現成效也差。</p> <p>因此，張裕敏表示，最近半年來，有越來越多的許多汽車駭客發現，汽車供應鏈周邊廠商資安防護脆弱，便有許多汽車駭客積極鎖定車用公版系統、伺機將後門程式邁入車用公版系統原始碼，這也成為近期常見的汽車駭侵攻擊手法。他說：「全世界有95％車用零組件供應鏈都在臺灣，為了避免汽車駭客入侵，臺灣車用零組件供應鏈業者都應該提高警覺。」</p> <p>此外，因為現在各種汽車廠牌使用的車用作業系統以及車用電腦大不相同，張裕敏指出，該公司也採用MITRE Att&Ck的攻擊手法分類，歸納出14類、97個入侵汽車的攻擊手法，彙整成「MITRE ATT&CK Matrix for Automotive」（車用MITRE攻擊地圖），預計明年將向MITRE提案。</p> <h3><strong>電動車駭侵事件，囊括BMW、克萊斯勒、賓士和特斯拉等大廠</strong></h3> <p>因應環保和便利，燃油車轉向電動車已經是一種趨勢，但隨著汽車連網比例逐漸增加，使用各種雲端服務也越來越多，汽車面臨的資安風險也隨之而來；而電動車只要加上自動駕駛的車用電腦，就成為一臺自駕車，張裕敏說，近期發現，開始有許多美國畢業生不打算考汽車駕照，改開自駕車、交由汽車自動駕駛。</p> <p>除了自動駕駛、上下班自動接送外，自駕車一旦行駛到馬路上，彼此之間就會自動測距、保持安全距離，自駕車之間也會彼此閒聊、打招呼。他說，如此人性化的自駕車除了必須要能連網外，也需要更多的感應器、車用小電腦和各種雲端服務配合，這也成為汽車駭客鎖定攻擊的標的。</p> <p>趨勢科技未來車研究群彙整分析從2015年開始，超過30起駭客入侵電動車的資安事件，影響的汽車品牌從BMW、克萊斯勒Jeep、Lexus、賓士汽車、三菱汽車、Nissan、Tesla（特斯拉）到Volkswagen等；受駭範圍包括汽車App、Passive Keyless Entry System、AfterMarket IVI，以及其他供應商業者等。</p> <p>張裕敏指出，從過去爆發汽車駭客入侵的多起案例發現，各家電動車遭駭的手法，大多是從連網系統、遠端攻擊、無線通訊網路的藍牙系統或是雷達感應煞車胎壓系統等開始入侵，但對車廠或是車主而言，因為攻擊者和受駭者的資訊不對等，要能夠有效防禦有其難度。</p> <h3><strong>歸納出14類、97個汽車駭客攻擊技巧，彙整出車用MITRE攻擊地圖</strong></h3> <p>他認為，之所以要分析汽車遭駭事件的攻擊手法，就是要從新聞報導的蛛絲馬跡中，了解駭客攻擊的技術細節與戰術，進一步找出可重複使用與檢視的攻擊技巧方塊，再藉此分析並檢視駭客使用的攻擊TTP，並找出可以有效防禦的工具，以及可以暫時轉移風險的方法，爭取修補該電動車漏洞的的時間。</p> <p>「因為攻擊資訊不精確、不一致，車廠和車主也不知道該如何防護汽車駭客入侵，汽車產業需要一個更好的工具來做資安協防。」張裕敏說，因此，仿效MITRE ATT&CK的攻擊地圖，歸納出駭客最常使用的14類、97個攻擊技巧，彙整成「MITRE ATT&CK Matrix for Automotive」（車用MITRE攻擊地圖），就可以從俯視的角度了解汽車駭客的攻擊流程，也知道該從哪個環節做防禦。「這個「MITRE ATT&CK Matrix for Automotive」預計明年會向MITRE提案。」他說。</p> <p>根據統計，超過二成（21.3％）的汽車駭客，最喜歡從「Impact」類的攻擊方式入侵；其次是環境操控（Manipulate Environment）和影響車用系統（Affect Vehicle Function），各占14％；第四名是憑證存取（Credential Access），占12.7％，第五名是初始存取（Initial Access），占12％。</p> <p>張裕敏坦言，若是統計過去30起汽車駭侵事件發現，駭客最重要的目的就是占領車子，最常見的氣巧就是讓車子失控（Loss of Control），其次是修正系統影像（Modify System Image），第三是操控Can Bus Message系統，以及監聽網路封包（Network Sniffing）。</p> <h3><strong>駭客鎖定臺灣車用供應鏈業者，伺機將惡意程式植入車用公版系統原始碼中</strong></h3> <p>不過，車子品牌太多，車用作業系統也有十幾種，常用的是：QNX、AGL跟Android automotive等三種車用作業系統；加上，一臺電動車內部動輒50個～100個車用控制單元（Electronic Control Unit，ECU），假設一臺車有15個駭客可以攻擊的入侵點，但駭客要鑽研一個攻擊技術往往曠日廢時，對於希望可以快速變現、追求利潤的駭客往往緩不濟急的情況下，慢慢找漏洞真的太慢了，「汽車駭客也學會超前部署。」張裕敏說道。</p> <p>他進一步解釋，「找漏洞不如埋後門」的情況下，駭客近期也開始透過長期布局，鎖定車用零組件周邊廠商的供應鏈，試圖從資安防護最弱的環節入侵，攻擊供應鏈廠商內部或研發單位內部，將車用惡意程式埋進車用公版系統的原始碼中，直到車商將公版系統部署到汽車後，駭客就可以透過韌體更新啟動惡意程式、伺機而動。</p> <p>張裕敏也提出預警，95％車用零組件業者都在臺灣，最近半年，駭客傾向鎖定車廠供應鏈業者的網站電郵寄發魚叉式釣魚郵件，或者是透過攻擊供應鏈廠商的網站、進到工廠或研發單位內部電腦，再設法把惡意的木馬程式放到一些常用公版系統的原始碼中，等到，原本公版系統的程式被車廠使用後，駭客就可以伺機啟動惡意蹭。趁機勒索車廠和車主。他提醒，相關車廠供應鏈業者，都應該升級資安防護等級。</p> <h3><strong>從法規遵循和V-SOC兩個面向，確保汽車安全性</strong></h3> <p>為了提升車用資訊安全，張裕敏表示，可以從法規遵循和V-SOC兩個面向來看。</p> <p>他表示，原有的國際標準並沒有涵蓋車子新面對的網路安全議題，所以，國際標準組織便針對車用網路安全，提出ISO/SAE 21434汽車網路安全國際標準，法規內容分成15各章節加上附錄，是從風險評估的面向，來辨識各種對汽車造成的關鍵威脅以及如何減輕威脅的方法。</p> <p>他說，該標準主要是使用基於V形圖（V-diagram）的流程來管理相關的實施辦法，同時定義了從車子設計到退役，整個車輛生命週期必須遵循的流程。未來汽車供應鏈業者都可以參考該標準，作為車子的軟硬體，從設計、開發、部署、執行、完工到後續稽核的網路安全參考指南。</p> <p>另外一個重要的法規參考依據就是WP.29公布的管理法規。張裕敏表示，成立於1952年的「世界車輛法規協調論壇」是聯合國歐洲經濟委員會可持續交通系統部門的工作組，也稱為「WP.29」，分別在1958年、1997年以及1998年制定三份有關車輛生產、核可技術規範，以及定期技術檢測的多邊協定，車廠都必須在這三份協定的框架下開發工作。</p> <p>其中，WP.29於1998年在日內瓦制定《全球性汽車技術法規協定書》（簡稱為《1998年協定書》），</p> <p>是針對汽車安全管理弱點以及安全問題遵循的協議書，有其法律位階，各國也必須在各自法律上那同樣架構，這一份規則讓各國都必須在這個法律框架下，共同制定或修訂全球統一的汽車技術法規程序和規則，若不遵照相關規則，該臺汽車則無法上市。</p> <p>其中，《1998年協定書》附錄五列出車子網路安全威脅有關的說明，也整理相關資安威脅與風險轉移的措施；趨勢科技也法法規和課課攻擊技術做對應，不管駭客使用無線網路攻擊、Keyless攻擊等，會在「MITRE ATT&CK Matrix for Automotive」（車用MITRE攻擊地圖）把駭客攻擊技術邊後，「找到97種汽車駭客入侵技術，就可以找到相對應的法規、修補或風險規避方式，確保汽車的安全合規。」他說。</p> <p>另外，張裕敏認為，汽車產業應該要思考打造一個V-SOC做資安情資分享和聯防，車廠應該要自問「對車子掌握度多高？」「車子遭駭時，車廠能否即時知道？」「面對汽車駭侵事件，車廠有無能力做數位鑑識？」</p> <p>加上，未來汽車都將朝向電動車和自駕車發展，需要相關的基礎建設和營運，不管是充電樁、雲端服務、車用軟體OTA（Over The Air）更新服務和網路通訊等，都可能是駭客攻擊的目標，V-SOC是否可以收到相關攻擊，甚至於，即時下指令讓汽車切換頻率、頻道，有效規避相關安全風險呢？甚至於，為了提高汽車安全性，避免許多元件故障造成汽車拋錨、必須進場維修的困境，V-SOC能否收集並監控汽車元件的損耗資訊，在故障前，發訊息通知車主、及早進場維修更換呢？他認為，未來V-SOC將會是保持電動車安全的重要關鍵。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A7%AD%E5%AE%A2%E5%96%9C%E5%A5%BD%E6%94%BB%E6%93%8A%E8%85%8C%E6%98%AF%E7%B5%B1%E8%A8%88_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.png" style="width: 566px; height: 493px;" /></p> <blockquote><p>趨勢科技統計汽車駭客最喜歡採用的攻擊方式發現，超過二成（21.3％）的汽車駭客，最喜歡從「Impact」類的攻擊方式入侵，其次是環境操控（Manipulate Environment）（14％）和影響車用系統（Affect Vehicle Function）（14％）。</p> <p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">資料提供：趨勢科技</span></p> </blockquote> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A7%AD%E5%AE%A2%E5%B8%B8%E8%A6%8B%E6%94%BB%E6%93%8A%E6%B1%BD%E8%BB%8A%E6%8A%80%E8%A1%93_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80%20.png" style="width: 842px; height: 464px;" /></p> <blockquote><p>趨勢科技統計過去30起汽車駭侵事件發現，駭客最常使用的氣巧就是讓車子失控（Loss of Control），其次是修正系統影像（Modify System Image），第三是操控Can Bus Message系統，以及監聽網路封包（Network Sniffing）。</p> <p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">資料提供：趨勢科技</span></p> </blockquote> <p> </p> <p> </p> <p> </p> </div></div></div>
2021/11/22 12:10作者黃彥棻https://www.ithome.com.tw/news/147955
當特斯拉伺服器故障？Model 3車主無法用手機來鎖車與解鎖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周六（11/20），全球有部份特斯拉（Tesla）Model 3車主發現手機上的Tesla程式出現「500伺服器錯誤」的資訊，造成車主無法以程式來操縱汽車，包括鎖車、車子解鎖或是充電等，且大概持續了數個小時，<a href="https://twitter.com/elonmusk/status/1461879721797603331" target="_blank">特斯拉執行長馬斯克（Elon Musk）則透過Twitter回應</a>，這是不小心造成網路流量大增而引起的，將採取措施以確保類似的事件不再發生。</p> <p>消費者在購買Model 3的時候，特斯拉會提供兩張卡片鑰匙，車主也可另行購買遙控鑰匙，或是自手機下載Tesla程式，以手機充當汽車鑰匙，由於太過方便了，有許多車主直接以手機當作汽車鑰匙，並不會特別攜帶卡片鑰匙。</p> <p>南韓汽車雜誌《Dailycar》記者、同時也是Model 3車主的<a href="https://twitter.com/hohocho/status/1461806946978258955" target="_blank">Jaehwan Cho在Twitter上揭露了此事</a>，並在推文上標註了特斯拉與馬斯克。<a href="https://teslamotorsclub.com/tmc/threads/app-is-getting-500-server-error-cant-connect.247264/" target="_blank">在特斯拉社群也有眾多車主遇上了同樣的問題</a>，而他們分布在多個國家與城市，從南韓、美國、加拿大、英國、挪威到瑞典等，意謂著這是個全球性的問題。</p> <p>不過，只有Model 3可以透過程式及卡片鑰匙將手機設為汽車鑰匙，因此，此一無法透過手機開鎖的問題並未波及Model S或Model X。</p> </div></div></div>
2021/11/22 12:24作者陳曉莉https://www.ithome.com.tw/news/147956
美國法規要求銀行需在36小時內通報網路攻擊事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fdic.gov/news/board-matters/2021/2021-11-17-notational-fr.pdf" target="_blank">美國金融主管機關上周頒布新法規要求明年4月開始</a>，銀行必須在獲知發生網路安全事件36小時內向主管機關通報。</p> <p>美國聯邦存款保險公司（Federal Deposit Insurance Corporation，FDIC）、美國貨幣總稽核辦公室（Office of the Comptroller of the Currency）、聯邦準備理事會最新公布的《網路安全通知最終規則》（Cybersecurity Incident Final Rule）草案，要求銀行必須在判斷發生「通報事件」等級的電腦安全事件後儘速通報主管機關，最遲不得晚於36小時。</p> <p>最終規則也要求銀行若發生服務的電腦安全事件，導致或可能導致「重大」服務中斷4小時以上，必須及早通報每位受影響的客戶。</p> <p>這最終規則預計2022年4月1日生效，而銀行完全遵法的期限則可延至5月1日。</p> <p>根據這項規則，電腦安全事件來源可能是勒索軟體等破壞性惡意軟體、網路攻擊如DDoS，或是非惡意的軟硬體、人為失誤造成的運作失靈等。這些事件可能對銀行網路、資料和系統產生不良影響，最終危及回復正常運作的能力。而及早通報主管機關網路安全事件，以及服務中斷影響客戶4小時以上事件，有助於他們得知、評估威脅、採取防禦或解決措施，協調支援及提供整個銀行產業資訊和指引。</p> <p>今年金融銀行業較知名的網路安全事件包括：傳輸服務平台Accellion遭駭客攻擊導致客戶資料外洩，<a href="https://www.ithome.com.tw/news/145578" target="_blank">影響摩根史坦利</a>。此外，<a href="https://www.ithome.com.tw/news/146257" target="_blank">摩根大通銀行今年8月也發生了不知名的系統問題</a>，使銀行客戶在網站、App進行查詢時，可查到其他用戶個資及交易資料。此外<a href="https://www.ithome.com.tw/news/142900" target="_blank">美國聯準會（Federal Reserve）今年2月系統操作錯誤導致停機</a>，多項重要儲匯及支付相關系統數小時無法運作、有些甚至中斷長達10多個小時。</p> </div></div></div>
2021/11/22 10:42作者林妍溱https://www.ithome.com.tw/news/147952
Alphabet的Everyday Robot開始在自家辦公室執行打掃任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下專注在創新研發的射月計畫實驗室Alphabet X，<a href="https://x.company/blog/posts/everyday-robots" target="_blank">最近公布日用機器人專案Everyday Robot新進展</a>，已學習更多技能，已能在Alphabet員工餐廳擦桌子、整理會議室。</p> <p><a href="https://x.company/projects/everyday-robots/" target="_blank">Alphabet X於2019年11月公布</a>通用型學習機器人專案Everyday Robot Project，旨在開發日常任務用機器人，可執行倒垃圾、擦桌子、整理家具、未來還計畫能幫助獨居長者自理家務。Everyday Robot Project 使用攝影機及一組機器學習演算法來認知環境，並從中學習。這些機器人藉此更加理解所在世界，將一種任務學習的能力用於其他不同任務，而無需重新打造另一個機器人或是從頭撰寫程式碼。</p> <p>在兩年後，Alphabet X機器人長Hans Peter Brøndmo宣布拿掉Project，未來這些機器人正名為Everyday Robot。此外，現在Alphabet已經打造了一個100多座Everyday Robot原型機器人團隊，不但具備更多技能，而且在Alphabet公司廠區執行各種任務。</p> <p>Brøndmo指出，運用強化學習、協同學習的機器學習演算法及從示範中學習，Everyday Robot執行特定任務能力更成熟。以抓握小型物件，像是玩具、鑰匙或其他居家物件的動作為例，成功率由兩年前的75%進步到今天90%。在演算法改進下，當初機器人只能倒垃圾、拿杯子，現在倒垃圾的機器人現在也能拿抹布擦桌子，拿杯子的機器手也能開門。機器人甚至從開門的動作中學習，用來展開餐廳的椅子。</p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/OZ8bxAD9MsDXNbdEK8tPngQn-yY8cPm8CylSQ87lKwcAVYtZfDDq49MagEH0c5zahbNNaC7c6lZNis778qVsjF7V8LYmh6bYFXG8vA" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Alphabet</span></p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/qKAdYBvvqUeRvNdG1Weg-O9ulDI3DnLPsmUjPjAtgChfQxUCVbT-2UKFysYMsbw6cYSrQhdNST-l77uKxdqop-gN_mlcmmiJ5znmkCU" style="width: 512px;" /></p> <p><span style="color:#696969;">圖片來源_Alphabet</span></p> <p>目前這些機器人已經在Alphabet大樓內提供服務，包括在員工餐廳擦桌子、打開會議室們檢查是否少了椅子、並將椅子排列整齊。未來這些原型機器人還會增加更多任務。</p> <p>和機器人進展同步，<a href="https://www.ithome.com.tw/news/147581" target="_blank">本月Google公布多模態AI架構Pathways</a>，具備將一種任務的模型泛化的能力，以用於學習其他任務，可加速學習並因應不斷出現的新需求。</p> </div></div></div>
2021/11/22 11:10作者林妍溱https://www.ithome.com.tw/news/147954
TensorFlow新增圖資料神經網路函式庫TF-GNN
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>深度學習函式庫TensorFlow現在新增圖神經網路（Graph Neural Networks，GNN）函式庫<a href="https://blog.tensorflow.org/2021/11/introducing-tensorflow-gnn.html">TF-GNN</a>，讓開發者可以更簡單地處理圖結構化資料。Google已經在垃圾郵件、異常偵測、流量評估和YouTube內容標記上，使用這個初始版本的圖神經網路函式庫。</p> <p>Google在建構這個函式庫的時候，考量到自家的資料種類繁多，因此在設計上特別考量異構圖，現在Google發布這個圖，是希望與業界研究人員，在圖神經網路上進一步合作。</p> <p>TensorFlow加入GNN的原因，官方解釋，這是因為無論是在現實世界或是工程系統中，圖無所不在，包括一組物件、地點或是人，之間的關係都能夠用圖來描述。通常在機器學習問題裡，資料都是結構化或是互相關聯，因此也適合以圖來描述。Google提到，GNN的研究基礎已經有數十年歷史，但直到最近，GNN才真正又被注意，並且應用在交通預測、假新聞偵測、疾病傳播和物理模擬等現代應用上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3(17).png" style="width: 580px; height: 168px;" /></p> <p>圖以節點來表達實體，而邊則代表著實體之間的關係，透過利用節點和邊，甚至是整個圖來描繪特性，進而儲存資訊，另外，圖還可以透過邊的方向性，來描述資訊和交通流。而GNN可以用來回答針對圖中特徵的問題，在圖的層次，GNN能夠預測整個圖的特徵，Google提到，GNN可以來識別圖裡的特定形狀，像是圖中的圓圈可能代表著密切的社交關係。</p> <p>GNN也能被用於解決節點層級的問題，像是對圖的節點進行分類，或是以像是圖像分割的樣子，預測圖中的分區，最後，GNN也能夠被用在解決邊層級的問題，像是探索實體間的連接，或是使用GNN來修剪邊，以辨識物件在場景中的狀態。</p> <p>新加入TensorFlow的這個新函式庫TF-GNN，提供用戶在TensorFlow實作GNN模型的建構模塊，以及處理圖資料的工具。TF-GNN函式庫的初始版本具有許多實用的程序和功能，使得初學者和有經驗用戶都能夠輕易地使用，TF-GNN提供了一個Keras樣式的API，能夠創建和其他類型模型組合的GNN模型。Google解釋，GNN常見的使用情境，會與排序、深度檢索，或是其他圖像和文字模型混合使用。</p> <p>TF-GNN也有用於異構圖的GNN API，官方解釋，在Google和現實世界中，許多圖的問題都包含不同類型的節點和邊，因此TF-GNN提供了一種方法，可以簡單地在此情況建模。TF-GNN使用GraphTensor類型，這是一種保存圖資料的格式，能夠支援批次處理。開發者現在已經可以在TF-GNN的GitHub儲存庫，取得函式庫以及更多資訊，甚至能夠參與維護。</p> </div></div></div>
2021/11/22 09:57作者李建興https://www.ithome.com.tw/news/147938
報導：AirPods不酷了？有線耳機重新流行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/are-airpods-out-why-cool-kids-are-wearing-wired-headphones-11636753407" target="_blank">華爾街日報報導</a>，曾經被視為潮流科技配件的AirPods已經失去魅力了，現在有線耳機再度在年輕族群之間流行起來。</p> <p>蘋果向來是科技界潮流的定義者，雖然不見得是業界之先，但幾乎後來居上成為市場龍頭，最好的例子是AirPods。2016年推出的AirPods很快就躍居同類產品市占第一，推出5年以來也成為公司新營收引擎，將蘋果上季穿戴科技營收推升到383億美元。蘋果於上個月也推出第3代AirPods，具備MagSafe 無線充電、空間音效（spatial audio）及6小時續航力等進階功能。</p> <p>而為了全面邁向無線設計及省下成本，蘋果從2020年的iPhone 12起，也不再附送有線耳機EarPods。</p> <p>不過華爾街日報上周報導，由於AirPods變得隨處可見，令它在年輕消費者間變得「不酷」了而不再想使用。近來有線耳機似乎迎來復古熱潮；一些好萊塢名人及名人二代被拍到戴著蘋果有線耳機，而非AirPods。由於新一代iPhone沒有了耳機孔，網路上還有影片教你怎麼使用。</p> <p><a href="https://9to5mac.com/2021/11/19/opinion-why-are-wired-earpods-making-a-seemingly-bizarre-comeback-in-an-airpods-filled-world/" target="_blank">9to5mac報導</a>，這個現象並不令人意外，而且也在科技史上有不少前例。最近的例子是臉書在大量青年及中年人口加入後，青少年使用者轉向Snapchat，因為他們的父母也在臉書上。</p> <p><a href="https://appleinsider.com/articles/21/11/20/airpods-are-no-longer-cool-claim-people-who-cant-afford-them" target="_blank">Apple Insiders則指出另一個原因是成本</a>。無線耳機並不便宜，AirPods之前定價199美元起跳（第3代降為179美元），消費者無法負擔萬一掉了再買一副的成本。相較之下，EarPods只賣29美元（後來降為19美元），掉了沒那麼心痛。而實際上有線耳機遺失的機會也小得多。AirPods還需要充電，以及129美元充電盒。用EarPods就完全沒有這些問題。</p> <p>此外，EarPods也沒有任何藍牙耳機可能帶來的健康疑慮。雖然一直遭到駁斥，但醫界仍不斷有研究聲稱長期使用無線裝置的電波輻射對人體產生危害，尤其是和大腦僅有數吋之隔的耳機。</p> <p>不過9to5mac記者分析指出，所謂趨勢就是一時現象，青少年只是因為反叛心態才轉向有線耳機，也許幾個月後他們又用回AirPods。或許AirPods不再「酷」，但無線耳機已經成為一種穩定的產品區隔。話雖如此，有線耳機也不會完全消失，未來市場應該會呈現無線與有線耳機並存的狀態。</p> </div></div></div>
2021/11/22 10:08作者林妍溱https://www.ithome.com.tw/news/147946
因應整併後3億日本用戶規模新考驗，Line從3大技術關鍵來強化AI生產力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年滿10歲的Line，正處於關鍵的企業轉型期。</p> <p>3年前，Line在開發者大會宣布轉型成AI公司的大願景，更揭露了AI藍圖要發展8大領域AI。但去年全球疫情肆虐，日本災情衝擊下，Line轉而集中資源發展零接觸商機、遠距抗疫等新需求，如聊天支付、線上視訊會議等，8大AI領域也進一步聚焦到4大AI研發方向。</p> <p>企業定位調整之際，日本Line母公司Naver和日本Yahoo的母公司軟銀合資開設了ZHD控股公司，將日本Line和日本雅虎兩家公司整併成為同一個集團的兩家子公司，在今年3月完成合併。</p> <p>日本最大入口網站和最大即時通訊平臺兩大巨頭，雙方用戶加起來超過3億人，服務的企業店家超過了1,500萬家，橫跨金融、電商、廣告、媒體、網路社群、旅遊等產業。彼此的平臺、技術、資料、人力的資源要能互通，甚至共享，不只是公司體制面的調整，更是技術面的大考驗。過去有不少科技公司整併後營運挫敗甚至消失，就是因為技術面或產品面的整合失敗所致，這正是Line在2021年所面對的課題和挑戰。成則加速飛天，不成則斷翅落地。</p> <p>這個挑戰多大？可從Line的使用規模略知一二。全球各國的每月活躍人數在2021年6月時，達到了2億人規模，不只通訊平臺，廣告，新的影音服務和新聞服務在去年也大幅成長，而新聞服務在日本的單月瀏覽人數更達到154億人次。技術面，Line即時通訊平臺每秒要處理高達40萬個請求，用戶一天上傳的資料量更是高達11PB，包括各種圖片、影片、貼圖等。過去幾年所打造的集中式資料平臺Information Universe（簡稱IU），目前累計有290PB資料，每個月都會再增加10PB的龐大資料量。</p> <p>在IU平臺上更有一套Machin Learning Universe（MLU）平臺，可提供NLP模型、電腦視覺模型、推薦模型、廣告優化模型等，更從Line不同服務的授權Log資料中，蒐集了8千萬種特徵，作為機器學習訓練之用。「因為有這一套資料平臺和機器學習平臺，我們才能更快推出新服務。」Line技術長朴懿彬強調。</p> <p>但上述這些數據，只有Line自己的用戶數據。今年6月時，Line日本用戶數約8,900萬人，而日本Yahoo則有約6,700萬人，旗下支付服務PayPay也有4,000萬人。兩家公司整併後，在使用者端的技術將以Line現有技術為主，也就是說，Line這套技術體系最後得面對的考驗是，超過3億人的日本用戶規模，比Line全球規模還要多了50%，要整併這些新來用戶和資料，都是平臺和技術的超大難題。</p> <p>今年Line開發者大會上，不像過去兩屆大談未來方向，Line今年更聚焦揭露自身技術實力的鍛造成果，其中有3大技術進展，是為了強化前瞻AI技術力、機器學習應用開發速度，甚至能更自動化累積訓練資料的AI生產力關鍵大改造。</p> <p><span style="font-size:28px;"><strong>關鍵1：發展超大規模通用NLP模型和生態圈</strong></span></p> <p>第一個關鍵是超大規模的通用NLP模型HyperCLOVA。朴懿彬表示，MLU是Line對內提供的機器學習平臺，對外部使用者和開發者也有一套通用機器學習平臺，就是HyperCLOVA。</p> <p>Line AI執行長砂金信一郎指出，全球AI技術發展上，不只出現各式各樣的資料集，也出現了各種超大規模的通用型NLP模型，例如Open AI組織發展的GPT 3或是Google的T5，可以用於各種任務的AI推論之用。這正是Line也要自己發展通用NLP模型的原因。</p> <p>Line和Naver聯手，去年先發表了日語版NLP，今年5月更在Line的AI大會上揭露了HyperCLOVA這個超大規模通用NLP專案，新增加了韓語版NLP，號稱是韓文版GPT-3，用2,040億個參數訓練而成，比GPT-3的1,750億參數還要多。而去年日語版NLP模型現在發展到390億個參數。Line也開始打造多語言模型，目前達到390億參數，希望2022年達到820億個參數，而日語版NLP模型明年目標更是驚人的2,040億個參數。</p> <p>「參數越多，代表能描述更多字詞間的關係，NLP的推論能力和泛用性就能越大。」砂金信一郎強調，但語言模型的訓練是NLP應用一大挑戰，往往需要1、2個月才能訓練出一個超大規模的NLP模型，非常耗時，Line希望透過HyperCLOVA這個超大規模NLP模型，再結合少樣本訓練或單樣本訓練來調校，加快開發特定應用NLP模型的速度。為了讓HyperCLOVA打造的NLP模型能提供給第三方商用，Line在訓練語料蒐集上不只排除有版權保護的資料，也不用Line自家服務的資料。</p> <p>不只如此，Line還進一步打造GUI介面的AI開發環境HyperCLOVA Studio服務，內建NLP模型、資料生成機制和ML調校機制，更能直接線上測試NLP應用。還有一套Explorer工具可用來輔助語料文本分類和生成的處理。這兩個工具都內建了過濾層和稽核機制，可因應AI倫理或資料隱私議題。</p> <p>目前Line已經完成了HyperCLOVA的API，正準備釋出，也將開放試用HyperCLOVA Studio。砂金信一郎透露，未來將提供半自動的場景生成工具，可自動產生特定場景的AI應用，如Chatbot和AiCall服務，也打造更多小型的通用語言模型。未來還會邁向多模態通用模型，不只文字語料，也將可以用來訓練影像和聲音的語料。</p> <p><span style="font-size:28px;"><strong>關鍵2：結合MLOps更自動化追蹤ML模型品質</strong></span></p> <p>將通用NLP模型發展成一個推動NLP應用生態圈的技術架構，只是Line強化AI生產力的第一關鍵，另外還有兩個關鍵，第二項就是ML模型品質監控自動化。Line打造了一套MLOps系統，稱為Lupus。Line現在有上百款運用機器學習的產品，分散在20多個部門中，如何讓這些單位都有能力自行掌握所用模型的狀態，尤其當資料漂移，例如使用者行為改變，導致所用機器學習模型的預測力開始下滑時，能夠第一時間發現，進而重新訓練機器學習模型。這套Lupus以專屬監控主機、函式庫和一款網頁應用程式，讓開發者、維運者和專案成員更方便掌握模型最新動態。</p> <p>Lupus不只可以讓開發者容易建立偵測指標，也能自動偵測模型的異常，並且透過視覺化儀表板方便業務團隊參與判斷。這正是AI生產力的第三個關鍵，可以用來維護AI應用的預測品質，還能簡化ML長期維運的工作。</p> <p><span style="font-size:28px;"><strong>關鍵3：打造新一代使用者特徵自動預測系統</strong></span></p> <p>最後一項是，Line在去年重新改造了使用者人格（User Persona）預測系統，這是一個用來推測用戶屬性的系統，可以利用機器學習技術自動預測使用者的興趣、特質、特徵等，作為內容推薦或目標行銷等需用戶分類資訊的場景。</p> <p>這套系統所涵蓋的用戶規模，以Line用戶為主，如8,900萬人日本用戶上，累積的機器學習特徵維度高達480萬維，也涵蓋了臺灣每月活躍用戶近5千萬人次，針對臺灣用戶的特徵維度則有140萬維。這些都是Line的訊息推播、廣告發送、內容推薦能夠更精準鎖定目標對象的關鍵。</p> <p>為了因應未來日本用戶規模達到3億人，Line在去年夏天導入了GPU和K8s叢集，重新改造了這套系統，能夠運用主流的機器學習框架，更計畫要發展一套使用者人格特徵自動產生的機器學習框架，來加快，每次新增一種新使用者機器學習特徵抽取自動化的流程，可以更快將新服務的使用者納入使用者人格系統所涵蓋的範圍中。</p> <p>上述這三項關鍵，可以加速AI應用開發、簡化AI訓練流程，甚至是確保模型品質和長期維運的關鍵，可說是提升AI生產力的核心。這正是今年的 Line提升自身技術體質的成果。</p> <p>「明年，Yahoo開發成果也將會在Line開發者大會上展現。」朴懿彬在開發大會主場演講中這項預告，揭露了她對兩家公司合併後技術整合的期待，將在明年開花結果。</p> </div></div></div>
2021/11/22 07:00作者王宏仁https://www.ithome.com.tw/news/147920
【Line AI生產力關鍵1：通用NLP模型】以HyperCLOVA發展企業NLP服務，下一步搶攻通用AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年開發者大會上，Line揭露了一款超大語言模型HyperCLOVA，宣布要以這個模型，發展一系列企業級的自然語言處理（NLP）服務，包括用來快速打造NLP應用程式的Studio，以及用來處理NLP訓練資料的Explorer，甚至還有一套AI Filter來過濾模型輸入和輸出值，替企業把關產出品質。</p> <p><span style="font-size:28px;"><strong>擁有820億參數，語音助理、開放式對話、標語生成都能做</strong></span></p> <p>這不是HyperCLOVA首次亮相。早在今年5月，Line母公司Naver就在自家AI大會上揭露HyperCLOVA，號稱韓文版GPT-3，用2,040億個參數訓練而成，比GPT-3的1,750億參數還要多。幾個月後的現在，經過Naver和Line共同改良，HyperCLOVA再次現身重量級大會，不同的是，Line揭露的HyperCLOVA懂的語言更多，還更有完整的產品生態系藍圖，以及更多的實用案例。</p> <p>比如，大會現場，Line AI執行長砂金信一郎就親自示範以HyperCLOVA優化的虛擬YouTuber絆愛，來與真人即時問答互動，就連能自動打電話訂位的虛擬助理AiCall，也由HyperCLOVA驅動。甚至，Line NLP團隊經理Toshinori Sato秀出一段自己與HyperCLOVA聊天機器人的對話，對話角色包括他自己和擬人化的商品色鉛筆，當他詢問色鉛筆「你是什麼顏色」時，色鉛筆回答「我是紅色」，當他問「你喜歡什麼顏色」時，它說「藍色，因為藍天和海洋很美麗，不是嗎？」這個簡單的示範，點出了HyperCLOVA作為商品聊天機器人的應用潛力，企業可用來開發專屬機器人，回覆顧客對商品的各種問題。</p> <p>這款HyperCLOVA具有820億個參數，是大型多語言模型，正處於整體發展藍圖的第三階段。這代表，HyperCLOVA已走過只精通日文、規模達130億參數的第一階段，也經過390億參數的多語言模型第二階段。而且，HyperCLOVA在第二階段，就與BERT大型日文模型表現相當，準確度只差1.65（85.03對86.68）。明年，HyperCLOVA還要從第三階段邁入最後階段，不只要達到2,040億參數規模，還要成為超大規模（Hyper-scale）模型。</p> <p><span style="font-size:28px;"><strong>自建語料庫3原則透露商品化野心，用小樣本學習保有通用力</strong></span></p> <p>要訓練如此龐大的HyperCLOVA，得先建立一套語料庫。Toshinori Sato點出，Line收集語料有3個原則，第一是不從Line任何對話服務中取得資料（包括Line社群功能OpenChat），再來是確保語料多樣性，最後是建立語料庫子集，如此才能將語料庫用於Line以外的服務。這3個原則，也凸顯Line要以HyperCLOVA發展AI產品的決心。</p> <p>在這些原則下，他們以NLP經典開源預訓練模型BERT的2019年資料集為語料庫基礎，再以爬蟲方式收集Line搜尋的文字資料，同時購買外部資料，並確保這些資料來自重要的網站，讓模型學習各種日文表達方式。Toshinori Sato強調，Line團隊特別注重個資，語料庫中任何與個資相關的訊息，都會刪除。</p> <p>經過一年多努力，這個語料庫目前累積到1.8TB大，擁有100億個樣本，Token數量達到5,000億個。雖然Line未透露太多HyperCLOVA的模型架構細節，但可以看出，有別於直接拿BERT來微調下游任務的NLP圈常見作法，Line重新打造一套屬於自己的大型預訓練模型。Toshinori Sato表示，BERT雖然只需依使用者需求，用特定任務資料集來簡單微調下游任務（如翻譯、問答），就能享有SOTA模型準確度，但，使用者還是得按不同任務，建立專屬小型資料集來微調BERT，這種監督式學習方法，可能讓BERT喪失通用能力。</p> <p>為保有通用力，設計HyperCLOVA時，Line就決定要讓它可透過小樣本來學習（Few-shot learning），甚至是單樣本（One-shot）和零樣本（Zero-shot）。意思是，在小樣本的情境中，開發者只需給定一個任務描述和少數示例，HyperCLOVA就能以這些樣本來學習解題。在單樣本學習中，開發者給定任務描述和一個示例，模型即可學習，甚至在零樣本中，只需提供任務描述即可，不需任何示例。這麼做，HyperCLOVA可根據簡短的描述或少量樣本來解決各種任務，更貼近一般企業的需求。</p> <p>這就是Line的HyperCLOVA計畫。他們希望，靠HyperCLOVA一個大型模型，就能利用多種資料，來解決多種任務，扭轉過去「一種資料來源-一個模型-一個任務」的窘境。Toshinori Sato舉例，過去，要解決搜尋任務，只能用搜尋模型來分析網頁資料，產出所需的搜尋結果。或是，要用購買紀錄進行商品推薦和顧客關係維護時，得分別打造兩套模型，一套用來推薦，另一套用來維持顧客關係，即便兩者的資料來源都是一樣的，還是得用兩套模型分析。</p> <p>「我們希望用一個大型模型來處理各類資料、執行各種任務，」他舉例，這個超大模型要能分析網頁資料、購買記錄、交易紀錄、語音輸入，並用這些資料來執行搜尋、問答、商品推薦、需求預測、對話等任務，至少先解決這些任務共通的NLP問題。這個方向，定下了HyperCLOVA的發展基調。</p> <p><span style="font-size:28px;"><strong>當引擎驅動兩大應用系統，還要打造企業通用AI生態系</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/%E5%B0%81%E9%9D%A2P3-%E8%8B%A5%E6%A8%B8-HyperCLOVA-960-600.jpg" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2P3-%E8%8B%A5%E6%A8%B8-HyperCLOVA-960-600.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源_Line</span></p> <p>大會上一張HyperCLOVA的發展架構圖，清楚點出未來產品路線。在這張架構圖的最底層，是驅動一切服務的資料層，包括各類大數據和開放資料。在資料層之上是模型層，也是HyperCLOVA模型所在處。這層包括了兩類重要模型，分別是通用的超大規模模型，以及專精各類任務的小型模型，包括日文模型、多語言模型、影像模型等。</p> <p>模型層之上是基礎架構層，包含模型訓練與推論，再往上就是HyperCLOVA所驅動的前端應用系統，包括Explorer和Studio。其中，Explorer專門用來處理AI訓練資料，比如文字資料生成、文字資料分類，讓使用者用來打造AI模型。特別的是，Explorer中還搭配一套AI Filter控管機制，來把關模型的輸入值與輸出值，同時確保HyperCLOVA不被濫用。Studio則是更應用導向的NLP開發工具，它有三大功能，包括用來開發NLP應用的沙盒環境Playground，以及資料生成和強化功能，還有NLP模型微調功能。這些功能都以HyperCLOVA驅動，目前最成熟的功能就屬Playground。</p> <p>Playground可以怎麼用呢？Toshinori Sato在會場上，展示一款以Playground打造的廣告文宣生成應用程式。在這款應用程式中，使用者可輸入自家產品名稱、一句摘要（如產品成分、產地）和說明，系統就會產生一段產品文宣，使用者可調整溫度（Temperator）、重複排除（Repeatition Penalty）和最大詞彙量（Maximum Tokens）等參數，來調整文宣內容。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2P3-%E8%8B%A5%E6%A8%B8-HyperCLOVA-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#808080;">HyperCLOVA Studio中的Playground有如沙盒環境，使用者可用來開發各類NLP應用，比如打造一個快速生成產品廣告文宣的應用程式，只要輸入產品名稱和簡短摘要，就能產出文宣內容，使用者還可調整參數來變更內容。</span><span style="color: rgb(105, 105, 105);">圖片來源_Line</span></p> <p>這個只需輸入單項產品資料、就能產出文宣的功能，就是運用HyperCLOVA單樣本學習的能力。但這只是Playground的範例之一，企業可用Playground來開發多種NLP應用。今年，Line也將開放開發者試用Studio，並釋出Python SDK，要讓大家都能使用。</p> <p>不過，在Line的技術戰略中，NLP應用只是第一步。Line預告，接下來要結合電腦視覺技術，賦予HyperCLOVA「看」的能力，既要能看懂影像，也要懂影像中的文字，比如將多模態AI納入主打的OCR服務，讓AI辨識圖片中文字，還能理解文字含義，甚至，Line要進一步將推動工作流程自動化，利用影像辨識和NLP能力，來自動化法律合約檢視與修改。他們的目標是，用一個模型解決多模態任務，打造MiLAI（Mixed Line），往通用AI邁進、打造更完整的AI產品生態系。</p> <p> </p> </div></div></div>
2021/11/22 07:00作者王若樸https://www.ithome.com.tw/news/147921
【Line AI生產力關鍵2：ML品質監控自動化】自建MLOps監控平臺，上百項ML產品模型漂移能即時調校
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們有100多個機器學習產品，橫跨20多個部門中運作！」Line機器學習開發部工程師石河純輝說。當AI深化到企業內部各流程，就得有套機制來監控模型，以便在模型偏移時即時調整。這種機制就是MLOps。</p> <p>高度仰賴AI的Line深知MLOps重要性，但仍面臨不少挑戰，像是收集模型各類指標、模型異常偵測和監控視覺化等問題。經過一番琢磨，他們找出一套解法，自行開發一套MLOps監控工具Lupus，提供專屬監控主機、專用函式庫和視覺化儀表板的網頁應用，讓開發者、維運者和專案成員更容易掌握ML模型的動態和品質，甚至可用來即時重新訓練模型，修正模型預測的偏差。</p> <p><span style="font-size:28px;"><strong>為何MLOps不好做？資料漂移、周期性特性比DevOps複雜好幾倍</strong></span></p> <p>談起維運，最為人熟知的就是DevOps，諸如資源使用狀況（CPU、記憶體等）、網路流量變化、硬碟讀寫能力等，都能靠一套成熟的監控機制來自動、定時把關，還能用邏輯簡單的警報系統來提醒維運者。</p> <p>但，MLOps遠比DevOps要複雜。石河純輝指出，MLOps是「ML + Dev + Ops」這三種工作流程（也是團隊）的整合，工作流程涵蓋了ML階段的模型設計、分析、評估，再加上Dev階段的資料收集、工作流程建立，還有與Ops階段重疊的模型派送工作等。甚至，Ops階段還需要進行模型維運和監控。</p> <p>要發展一套MLOps流程，得涉及資料和模型兩大層面。就資料來說，維運者得注意輸入資料的變化，也就是資料是否發生漂移，另也需注意輸入值的目標模式變化，即是否發生概念漂移。在模型部分，則要注意模型準確度、推薦值的多樣性，以及模型公平性。</p> <p>而且，石河純輝指出，MLOps監控頻率會因模型而異，無法像傳統DevOps作法，只是簡單地設置閾值警示通知即可。有些模型數小時就得檢測一次，有些是數天才需要，得依不同ML應用的生命周期來設定。</p> <p><span style="font-size:28px;"><strong>Line跨部門上線100多個ML產品，自建管理工具仍不足</strong></span></p> <p>對Line來說，負責管理ML模型應用的就是機器學習開發部門。他們專門設計ML產品，來給不同單位使用。石河純輝透露，他們至今已上線100多個ML產品，遍布內部20多個部門。為管理這些模型，Line機器學習部門也設置一系列MLOps工作流程和工具。</p> <p>他們以K8s和自建的Hadoop叢集資料統一平臺「IU」為主要運算環境，並自建Jupyter主機Jutopia來提供模型開發環境，讓開發者用來分析資料、進行實驗。同時，Line採用3套工作流程引擎如Airflow、Argo Workflows和Azkaban來處理批次工作，並以CI/CD工具ArgoCD、Drone CI進行模型部署派送工作。</p> <p>除了使用開源工具，Line機器學習部門也自建了專屬工具來管理AI模型，像是共用特徵向量管理器，用來收集使用者行為日誌和產品後設資料（Metadata），讓不同ML專案也能使用這些共通性的資料。此外，還有一套內部函式庫，來進行模型收集、分散式訓練和推論、管理輸入和輸出，以及推薦自動化等工作，在測試工具上，也自建一套外部實驗管理軟體，來管理AB測試、生成推薦的展示等。</p> <p>「這些工具解決了ML + Dev + Ops的大部分工作，」但石河純輝話鋒一轉，唯獨Ops中的模型表現監控尚未做到。</p> <p><span style="font-size:28px;"><strong>Line MLOps三大挑戰：資料遺失、模型更新、手動監控</strong></span></p> <p>也因此，他坦言，隨著自家上線的ML產品越多，監控成本越來越大，再加上Line當時的監控和通報機制是每個專案各自建置一套系統，在這種做法下，監控系統的效果不強，只能根據最少量的變動指標來通報。也因為沒有一套好的監控系統，團隊無法察覺資料缺失、模型輸出值的變化等狀況，甚至曾造成已上線ML模型停擺。</p> <p>石河純輝進一步分析，Line MLOps有三大痛點要克服。首先是資料缺失，當模型訓練的資料發生遺漏或延遲發送，就會造成模型預測不佳，甚至產出無效預測值。舉例來說，Line有套Email預測系統，每天根據外部單位傳送的表格資料，來進行行為預測，再將預測結果回傳給外部單位。若表格上的資料有缺漏，就會影響模型表現，沒有好的監控系統，工程師也不會察覺異常，「這發生過幾次了，」他說。</p> <p>第二個痛點是模型更新。他回憶，團隊曾經在模型架構更新時，忽略了新舊模型的預測值分布狀況，即便新模型的預測值更準確，只要預測值分布明顯改變，就會大幅影響個別使用者屬性，給出截然不同的內容，降低使用者體驗。「這種現象，當時要2個禮拜後才發現、改善，」石河純輝強調。</p> <p>第三個痛點則是手動監控問題。因為Line針對各專案，在Jupyter Notebook中建置了專屬監控系統，來追蹤模型指標、視覺化呈現結果。這個做法雖然方便，但手動收集的指標，只在當下有用，很難重複利用。而且，觸發警報的條件只能套用簡單規則，更是常常無法審查整體監控程式碼的品質。</p> <p><span style="font-size:28px;"><strong>瞄準指標收集、異常偵測和視覺化，自建監控機制Lupus</strong></span></p> <p>為克服這些痛點，Line機器學習開發部門決定打造一款MLOps監控工具，要具備三要素，要能輕鬆收集指標、快速偵測異常，還要有友善的視覺化介面，讓專案成員隨時掌握模型動態。</p> <p>這款工具就是Lupus，由三大部分組成，首先是建置Lupus主機，用來管理變動指標、提供異常偵測API，再來是一套Lupus函式庫，可提供各種指標聚合工具和API客戶端。最後是Lupus SPA應用程式，這是一款網頁App，可視覺化圖表來呈現指標狀況和異常偵測結果，也內建驗證功能和後設資料管理。</p> <p>在這套ML模型監控系統中，指標收集任務啟動後，Lupus函式庫會隨之啟動，Lupus SPA也會同步顯示指標狀態。再來，Lupus主機作為入口點，所有請求都由這臺主機處理，也負責授權驗證工作。啟動後，Lupus主機還會發送請求給不同Worker，平行執行指標收集工作和異常偵測工作。這些工作會使用前述的Airflow等工具來排程執行，而Lupus也有一套Worker機制來管理工作流程，以及記錄後設資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2P4-%E8%8B%A5%E6%A8%B8-MLOps-600-1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">Line自行打造的MLOps監測工具中，包含一套網頁App：Lupus SPA，可讓專案成員查看模型指標變化圖表，讓模型變動資訊更容易分享、討論。</span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Line</span></p> <p>至於收集到的指標和異常偵測資料，則長期儲存於開源的資料倉儲Hive，並利用開源搜尋引擎ElasticSearch來提供資訊搜尋和視覺化呈現。</p> <p>指標收集運作上，Lupus函式庫可用來整合不同指標，將指標所需的資料推送到Lupus主機，主機再上傳指標至S3相容的儲存庫，並提交收集工作至佇列。最後，工作流程工具會將資料儲存於ElasticSearch和Hive中。石河純輝指出，指標收集可用來衡量資料漂移、概念漂移，也能決定模型是否要替換。</p> <p>而在異常偵測機制上，可以利用Lupus函式庫的API來發送偵測請求，進而促發工作流程工具來讀取儲存於Hive的指標，開始進行偵測，並將異常資訊儲存於ElasticSearch和Hive。這些都內建在Lupus函式庫中，方便ML開發者容易整合到ML專案中。</p> <p>最後，ML專案所有成員都可以利用Lupus SPA，在App上查看各指標的趨勢圖表和異常偵測結果，也能直接展開細節說明。石河純輝總結，這套MLOps監控工具，讓每日的指標收集工作更容易進行，也能偵測到之前未注意的異常，更能發現新洞察，像是模型準確度的變化，進而激發成員改善ML產品。此外，這個方法也讓Line團隊的監控程式碼經層層審查，比過去的自製方式更可靠。而視覺化的網頁App，則讓團隊更容易分享模型資訊，提高溝通效率。</p> </div></div></div>
2021/11/22 07:00作者王若樸https://www.ithome.com.tw/news/147922
【Line AI生產力關鍵3：新一代使用者特徵自動預測系統】導入GPU和K8s叢集，靠ML大規模自動預測使用者特徵資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年，Line重新改造了使用者人格（User Persona）預測系統，這是一個用來推測用戶屬性的系統，可以利用機器學習技術自動預測使用者的興趣、特質、特徵等，作為內容推薦或目標行銷等需要用戶分類資訊的應用場景。</p> <p>這個系統有多重要？負責打造這套系統的Line資深機器學習工程師渡辺哲朗舉三個場景來說明。因為在這套系統中，記錄了兩大類使用者屬性資料，一種是與人口變項有關的屬性，例如性別、年齡，或是使用者所用裝置資訊，例如OS平臺，另一種則使用者的心理屬性，例如興趣，喜好等。</p> <p>常見用途是廣告發送，Line廣告發送時，外部廣告主可以瞄準目標用戶，在特定可用的屬性中，指定想要行銷的目標對象的屬性，這個屬性就是使用者人格系統中記錄的使用者屬性之一。或者是官方帳號訊息推播，也能簡單指定特定條件的對象，這些條件包括性別、年齡、所用OS類型，地區、訂閱持續期的資訊，也來自人格系統的屬性記錄。</p> <p>還有一項Line自己常見作法是用來解決新服務的冷啟動（Cold Start）問題。當新服務上線時，Line會透過推播訊息來吸引可能有興趣採用的潛在用戶，但是新服務的Log資料有限，無法用於推薦，就能使用者人格系統中累積的推測屬性（非真實而是由機器學習模型抽取的推測屬性），作為推薦對象的篩選，縮小推播範圍。「這對新服務上線的成本控管，有很大幫助。」渡辺哲朗說。</p> <p>但Line用戶全球將近2億人，光是日本就有8,900萬個用戶，臺灣每月活躍帳號也有5千萬個，其中不少是一人有多個帳號。很難一一要求用戶填寫各式各樣的資料，甚至一些心理傾向的屬性，如何標記是一大挑戰。</p> <p>這些用戶屬性資料在Line機器學習訓練中，也是一項重要的資料。在Line統一資料平臺IU中，有一個Z-feature特徵資料集，內有所有用戶可用來提供模型訓練用的使用者特徵資料，例如日本8,900萬名用戶的特徵維度高達480萬維，而臺灣5千萬名用戶的特徵維度則有140萬維。這些龐大的使用者特徵維度，正是Line各種與使用者相關的機器學習模型用來訓練的重要資料集，讓Line的訊息推播服務、廣告發送服務或是各種內容推薦能夠更精準鎖定目標對象的關鍵。</p> <p><span style="font-size:28px;"><strong>用機器學習建立使用者特徵自動化推測機制</strong></span></p> <p>如何產生龐大的使用者特徵資料庫，Line的作法是利用機器學習建立一個可以從使用者的原始Log資料來推測其特徵屬性的自動化推測機制，再套用到所有使用者，而且可以不斷自動化進行，再定期更新，例如每天，這些特徵資料，儲存到UI平臺的Z-feature特徵資料集中，讓各項服務的機器學習模型，都能有最新的使用者特徵資料可用，也可用於各種推播或推薦篩選目標對象條件之用。</p> <p>Line在2014年就打造出第一代的使用者人格推測系統，當時利用Scrath實作出用推測人格特質的神經網絡模型程式碼，為了處理大規模資料，後來進一步導入了MPI平行處理技術，2016年更進一步使用深度學習框架Theano和Mesos叢集打造出一整套系統，這就是第一代的使用者人格推測系統。</p> <p>第一代系統的運算以CPU為主，所用的Theano深度學習框架，經過幾年反而漸漸沒落，甚至無法使用新的主流機器學習函式庫，例如就無法使用PyTorch。</p> <p>隨著使用者規模越來越大，推測系統老舊的問題越來越嚴重，所以，去年夏天，Line決定導入GPU運算技術，也將整套系統轉移到現在主流的容器管理平臺K8S上。為了善用這個環境，Line還自行發展了一套分散式計算的機器學習函式庫稱為ghee，可以使用最新的主流深度學習函式庫來進行使用者人格特徵模型的訓練和推測之用。</p> <p><span style="font-size:28px;"><strong>去年夏天打造第二代系統，採用GPU和K8s</strong></span></p> <p>不過，去年夏天完成了第二代系統後，Line還不滿意，尤其日後要因應與日本Yahoo整併後暴增的3億人用戶規模，得讓這套使用者人格預測系統更有效率，也要更容易擴大規模，Line後續還展開了幾項系統改造工程。</p> <p><span style="font-size:28px;"><strong>為提高效率處理更龐大用戶規模，展開多項系統改造</strong></span></p> <p>為了提高推論預測的準確度，Line將去年夏天所用的單層DNN，改為多層架構的CNN卷積神經網絡中的ResNet深度殘差網絡，也針對不同類型的服務，來區分不同的embedding層，進行不同的嵌入處理程序，進而改善準確度，另外還採用了MLP-Mixer作法，來讓模型更快速達到SOTA等級的預測效果。渡辺哲朗解釋，不是每一個用戶都會用到Line的所有服務，MLP-Mixer這種作法可以彌補用戶所用服務有限時資料不足的影響，能讓對這類少量服務用戶也能達到SOTA等級的預測效果。</p> <p>除了改善模型，另一方面還需要維持屬性推測的穩定性。渡辺哲朗表示，因為採取自動化作法來推測用戶屬性，有時模型推測的結果差異很大，例如昨天推測的40歲族群有10萬人，但隔天模型推測有此特徵的人卻是7萬人，但業務人員可能還來不及調整推播策略的設定，導致這波行銷對象的人數就會少發送3萬人，而不是原本預期的10萬人。「模型輸出不穩定會對業務團隊產生很大的影響。」他強調。</p> <p>所以，Line後來也採用了一些作法，來避免單日波動過大。例如開發了一個數據平滑化API，採用逐日分階段釋出新模型預測結果的作法，例如新模型雖然預測這項屬性的人有10萬人，但Line不會一天就將10萬人的屬性都套用新值，而是分幾天，每天只更新部分使用者的屬性，來避免突然一天出現增加 10萬人異動的大波動，避免業務團隊來不及因應。</p> <p>另外，Line也打造了一套MLOps系統稱為Lupus，可以用來追蹤模型品質，來監控是否出現推論極端變化的情況，例如自動透過SQL指令來查詢不同屬性的用戶數量，來判斷新模型預測屬性是否出現劇烈變化。</p> <p>因為第二代使用者人格預測系統，可以針對不同的資料來源或屬性類型，來採取不一樣的特徵抽取處理程序，但不同流程各自抽取特徵時，處理流程中會有類似的階段或步驟，例如特徵抽取訓練、建立資料集作法，或是進行模型再訓練的作法也會類似。</p> <p>因此，Line建立了一套可以讓不同處理流程都能共用的機器學習函式庫ghee，還提供了一套共用的Model API來進行訓練，甚至是，連預處理都有一套處理API，方便開發者快速進行特徵屬性的資料預處理作業。「經過這些改造，Line才有了一套成熟的使用者人格預測系統。」渡辺哲朗指出。</p> <p>下一階段，Line要將ML函式庫擴充方式也標準化和自動化，建立一個機器學習模型的基礎框架，內有一套可共用的基礎程式碼配置檔。</p> <p>專案團隊中的資料科學家只需要添加額外的程式碼或者是這次專案特殊的配置設定資訊就可以建立新處理流程的模型，來加速建立新模型的速度，未來還要打造一套Auto-persona API，能用來處理所有用戶的屬性預測，自動產生各種服務的使用者屬性預測。</p> </div></div></div>
2021/11/22 07:00作者王宏仁https://www.ithome.com.tw/news/147923
Line 2021 AI生產力大改造
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1052-feng_mian_gu_shi_1_open-960x420_kao_bei_.jpg?itok=QGpP-AFW" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3年前，Line宣布了轉型AI公司的願景，全力發展AI技術，全球疫情催生零接觸和遠距互動新需求，日本Line和日本Yahoo今年3月的整併，更帶來了3億人日本用戶規模的新考驗，如何繼續邁向AI企業轉型之路，Line決定靠技術從提升AI生產力下手</p> </div></div></div>
2021/11/22 07:00未署名https://www.ithome.com.tw/article/147924
Appier一口氣招聘上百名工程師、資料科學家與Martech人才，更引進職涯階梯框架讓員工適性發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">臺灣AI新創獨角獸Appier昨日宣布加碼人才投資，啟動人才招募計畫，要在臺招攬上百位工程師、資料科學家與Martech人才。這些職缺包括各種職級與職務的軟體工程師、產品經理、資料科學家、數據分析師、業務開發與客戶成功經理等，目標要透過更多人才的加入，來驅動創新與商業成長。</p> <p dir="ltr">其中，Appier工程團隊要招攬的人才，幾乎包含了所有工程師的所有職缺，包括前端/後端軟體工程師、數據後端工程師、機器學習工程師、行動裝置開發工程師、自動測試工程師、工程架構師、工程經理、網站可靠性工程師、技術服務工程師、產品經理、資料科學家、數據分析師等職位。舉凡是實習生、研發替代役、新鮮人、2～8年工作經驗、專家、經理、團隊領到者等，全都是Appier的招攬對象。</p> <p dir="ltr">Appier工程團隊資深副總劉碩琛也點出Appier所需人才的特質，包括開放與謙虛的態度、能夠直接的溝通、富有企圖心、具備積極成長的心態，同時，更要以客戶為導向、數據驅動為導向。不只如此，團隊合作、持續學習、敏捷、行動力，也為Appier所重視，「這不是口號，是我們的日常。」</p> <p dir="ltr">為了幫助人才在公司內的職涯發展，Appier也導入了職涯發展階梯（Career Ladder）的框架，Appier全球人力資源副總詹正哲指出，導入職涯發展階梯，是為了讓人才適性發展，透過將職涯發展的期待、機會透明化，讓員工了解未來在公司內的輪調與升遷，可以有哪些選擇，了解短、中、長期的潛在發展後，員工就能更充分的準備自己的能力。</p> <p dir="ltr">劉碩琛也提出對技術人才的職涯發展規劃建議。首先，他建議仍處於職涯發展初期的社會新鮮人，先找出對自己最有挑戰的工作，「因為這些挑戰，會對職涯發展帶來最多收穫。」在這個階段，除了盡可能激發自己的潛力，也要增進自己對產業市場、客戶的理解，並精進溝通能力。</p> <p dir="ltr">在中期職涯發展上，則要擴展技術知識，並訓練解決問題的能力與效率，也要延伸過去的能力來擴大自身影響力，建立起團隊的信賴感，還得深入瞭解市場需求、領域趨勢及客戶痛點。</p> <p dir="ltr">最後，在長期職涯規劃上，則要培養自己的領導能力，成為一個好的領導者而非管理者，也要從單一部門擴及跨部門協作，因應跨部門需求提出好的解決方法；面對客戶時，更要懂的換位思考，了解客戶身處的產業，用策略解決更長遠的命題。</p> <h3 dir="ltr"><span style="color:#FF8C00;">複製矽谷模式：Appier跨國團隊與人才管理方法</span></h3> <p dir="ltr">具有在矽谷工作15年經歷的劉碩琛更直言，Appier的跨國團隊、人才管理方法，就是複製矽谷軟體新創的一個成功案例。他指出，在遠距團隊的管理上，確實會有摩擦、需要協調之處，Appier的管理方法，就是靠直接的溝通來克服，「我們強調開放心態、直接溝通，這些公司文化不是口號，更要有行動力去執行，才能彼此理解。」他更強調，為了養成企業內的溝通文化，從聘僱的階段，就要找出與企業有共同價值認可的人才，才更有機會達到成功。</p> <p dir="ltr">為了遵循直接溝通的文化，即便Appier公司規模持續成長，仍盡可能維持組織扁平化，來追求最有效的溝通，而非增加許多階層式的阻力。Appier營運長暨共同創辦人李婉菱指出，讓資訊在最短的時間內讓每個人了解，員工就能在充分資訊下，積極、開放的討論，企業也能從第一線員工身上快速取得反饋，以做為決策、判斷的基礎。</p> <p dir="ltr">而在公司管理上，Appier則引進了「目標與關鍵結果（OKR）」作為管理框架，這是一種助團隊設定可衡量目標的方法，用來確保公司目標達成的一致性。李婉菱指出，透過企業目標的一致性與資訊分享的即時性，Appier要讓每個據點的同事，都能感受到「我們是一個團隊」的信念，來共同向前邁進。</p> <p dir="ltr">因應疫情，Appier也正在試驗混合辦公的模式，透過辦公室優先、遠距優先，以及辦公室與遠距彈性調整的遠距友善等三種方法，讓員工選擇更適合自己的上班模式，「我們正在試驗，看哪一種模式能找到最好的平衡、彈性，並能更好的追求創新與生產力。」李婉菱說。</p> <h3 dir="ltr"><span style="color:#FF8C00;">兼具包容性與多元化，Appier目標培養世界級AI人才</span></h3> <p dir="ltr">「從創立的第一天開始，我們的研發團隊就在在臺灣，但我們相信我們在做世界的產品與服務。」李婉菱指出，在這個目標下，Appier在全世界有17個營運據點，全球員工數將近550人，來自於17個國家，Appier也持續招募外國籍員工，大約佔整體員工比例3成。因此在團隊合作上，Appier以英文為主要溝通語言。</p> <p dir="ltr">除了廣納不同國籍員工，在員工的性別比例上，女性員工總數佔整體員工42%，產品技術團隊的女性員工也來到31%。顯示Appier也重視女性人才的聘僱與培養。</p> <p dir="ltr">李婉菱指出，Appier的目標，短期內將持續打造新的產品、優化原有產品，並持續解決客戶的商業挑戰；中期來看，則希望能透過包含Appier在內的這類Martech公司，帶動臺灣或其他國家企業的數位轉型；更長遠的目標，則是要成為臺灣國際化AI人才的孵育平臺，讓這些人才有能力做出世界級的產品與服務，甚至引領臺灣的產業轉型。</p> </div></div></div>
2021/11/21 10:00作者翁芊儒https://www.ithome.com.tw/news/147943
Cloud周報第126期：ThousandEyes網路洞察工具新增全球SaaS故障事件地圖，供企業掌握自家採用SaaS…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2021/11/11～2021/11/17）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路洞察工具 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> SaaS故障 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 監控地圖 </span></strong></p> <p><strong style="font-size: 22px;">ThousandEyes全球網路洞察地圖添SaaS服務監控，追蹤逾2萬座機房內SaaS運作狀況</strong></p> <p>思科旗下網路效能監控業者ThousandEyes，近日為自家推出的網路洞察監控工具，添加應用程式故障監控功能，以地圖呈現當前全球各地發生的SaaS故障事件，供IT維運人員掌握應用程式的運作情形。企業除可從ThousandEyes網路故障地圖上，掌握各地網路服務故障事件，現還可監控應用程式故障事件，並從地圖一旁的列表中，了解過去5天發生的SaaS中斷事件，然目前無法點選單一事件來獲得故障狀況的進一步資訊。</p> <p>這個新功能類似監控網站Downdetector提供的監控工具，但不同的是，新功能的SaaS運作資料是來自，部署在超過2萬座資料中心的ThousandEyes可觀測性套件回傳的資訊，而Downdetector則是仰賴民眾主動通報應用程式故障狀況，以及採用開源方式收集資訊。因此，思科宣稱ThousandEyes地圖提供的資訊，相比其他同質性服務更接近源頭。<a href=" https://newsroom.cisco.com/press-release-content?type=webcontent&articleId=2208000">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 網路基礎設施 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 中斷事件 </span></strong> </p> <p><span style="font-size: 22px;"><strong>Google雲端網路基礎設施又發生故障，導致Spotify、Snapchat等多個網站停擺</strong></span></p> <p>Google雲端服務在太平洋標準時間11月16日10點左右，又發生大規模故障事件，導致大量仰賴其雲端資源的網站停擺，包含Snapchat、Discord、Spotify、Etsy、Home Depot等網站都受影響，無法提供服務。Google在當日10點10分發布了服務中斷事件公告，提到因網路基礎設施服務Cloud Networking發生故障，導致由對外代理負載平衡器服務的網站，出現404錯誤。</p> <p>此外，Cloud Networking故障也連帶造成GCP平臺其他服務，包含App Engine、Cloud Functions、Apigee和Cloud Run，暫時中斷。整起雲端服務故障事件，歷經近2小時排除。Google說明，故障發生當下，對外代理負載平衡器的配置更改未生效，使得用戶的網站停擺，經調整，配置已可正常推送，並表示，經內部完整調查後，會對外發布此次事件的分析報告。<a href="https://status.cloud.google.com/incidents/6PM5mNd43NbMqjCZ5REh">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本政府上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span></p> <p><strong style="font-size: 22px;">日本政府選定AWS和GCP作為首批上雲系統的執行環境，目標統一各機關系統基礎設施減少維運成本</strong></p> <p>甫於9月正式成立的日本政府數位廳，已在10月底宣布，選定AWS和GCP平臺作為執行全國性行政系統的首批公有雲環境。這項宣布是隸屬在日本政府共用平臺上雲建置工作專案，目的是要統一和標準化各部會和機關自行維運系統的基礎設施，以降低維運人力需求，減少維護成本。</p> <p>根據日媒日經新聞的報導，數位廳選擇外部雲端環境時，在安全、資料管理和法遵面，約有350項要求，而經檢核AWS和GCP環境，確認兩者滿足各項需求，會先搬遷數位廳的網站，還有8個市政廳網站上雲，作為試點基礎，進行測試。數位廳計畫鼓勵各地方政府在2025年前，搬遷所有自行維運的系統上政府雲，預估可減少約3成的政府年度IT預算。<a href=" https://www.digital.go.jp/posts/ZYzU5DYY">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 工作管線建置 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google推出機器學習工作管線建置服務，加速機器學習工作流程</strong></span></p> <p><strong style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/6(14).jpg" style="width: 600px; height: 173px;" /></strong></p> <p>Google近日推出機器學習工作管線服務Vertex Pipelines，企業可用來建立機器學習工作管線，加速在內部複製機器學習工作流程，甚至可進一步利用工作管線建立系統，來自動重新訓練和部署模型，實現MLOps。Vertex Pipelines支援Kubeflow Pipelines（KFP）和TensorFlow Extended（TFX）開源函式庫，企業可透過KFP和TFX將工作管線步驟轉換成容器，來封裝機器學習流程，並在Vertex Pipelines上執行。</p> <p>另外，Vertex Pipelines是一項無伺服器服務，企業上傳和執行KFP或TFX工作管線後，不需處理基礎設施的配置，可專注機器學習作業，由Vertex AI處理配置和擴充基礎設施。Vertex Pipelines與Vertex AI以及其他Google工具緊密整合，企業可在Vertex Pipeline中配置一系列工作管線步驟，包含從BigQuery匯入資料，到使用Vertex AI訓練模型，接著用Cloud Storage儲存工作管線產出物，最後獲得模型評估指標，並且部署模型到Vertex AI端點。<a href="https://cloud.google.com/blog/products/ai-machine-learning/serverless-machine-learning-pipelines-on-google-cloud">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 應用韌性評估 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 恢復時間目標 </span></strong></p> <p><strong style="font-size: 22px;"><strong>AWS推出可評估應用程式韌性的Resilience Hub服務，可用來發現應用韌性弱點</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/3(40).png" style="width: 600px; height: 326px;" /></strong></strong></p> <p>針對應用程式的韌性需求，AWS推出應用韌性評估服務Resilience Hub，企業可自行定義、追蹤和管理應用程式的韌性。Resilience Hub的韌性評估功能採用Well-Architected Framework最佳實踐，可發現應用基礎設施不完整或是錯誤的配置，找出潛在的韌性弱點，來評估企業應用程式的韌性。通過Resilience Hub，企業可依自身業務和應用程式的狀況，用秒、分、小時和天為單位，來衡量應用恢復時間目標（RTO），也就是應用從故障中恢復的時間，還有設定應用恢復點目標（RPO），代表故障發生後，經最長多少時間應用可能會丟失資料。</p> <p>接著，Resilience Hub會根據企業設定的目標，評估應用程式的配置是否滿足要求，提供建議和韌性分數，來追蹤、改善應用程式的韌性。AWS表示，AWS Resilience Hub評估涵蓋的範圍，不僅是應用程式軟體和程式碼，還包括託管應用程式的整個基礎設施堆疊，像是網路、VM和資料庫等。目前新韌性服務已在美國俄亥俄州、奧勒岡州、法蘭克福、新加坡、東京等地區提供，會陸續在更多的地區上線。用戶可以免費試用Resilience Hub服務6個月，之後按追蹤的應用程式數量，每個應用每月15美元來付費。<a href="https://aws.amazon.com/tw/blogs/aws/monitor-and-improve-your-application-resiliency-with-resilience-hub/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資料庫服務 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資料清除 </span></strong> </p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">Google Cloud Spanner現在可以設定資料刪除政策，降低清理對資料庫效能造成的影響</span></strong></strong></p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/5(20).jpg" style="width: 600px; height: 197px;" /></span></strong></strong></p> <p>Google在分散式資料庫服務Cloud Spanner加入Time To Live（TTL）功能，企業雲端管理員可用來設定政策，來定期清理Spanner資料表中不要的資料，除減少儲存空間降低成本外，也能確保資料庫資料符合資料留存法規。TTL會在Spanner後臺持續運作，管理員可用宣告方式指定資料表列的刪除政策，像是刪除時間點，不需撰寫程式碼，或是使用外部腳本來清理資料。之後，TTL會依照管理員設定的政策，在指定時間清除資料。</p> <p>TTL因是Spanner的內建功能，具擴充性，可掃描和刪除企業執行實例所有節點的過期資料，即便資料庫規模隨時間推進，越來越大，TTL也會因應自動擴充掃瞄範圍。此外，與執行一次性的資料清理腳本相比，因TTL清除程序會選在系統處低優先需求的時間段，來運作，能夠最大程度減少對資料庫工作負載產生的影響。TTL功能還整合進Cloud Monitoring中，管理員能端到端監控進度和警示，不需建立和維護額外的工作管線。TTL現已經上線，提供所有Spanner用戶免費使用。<a href="https://cloud.google.com/blog/products/spanner/reduce-costs-and-simplify-compliance-with-managed-ttl-in-spanner">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DDoS 防護 </span></strong></span></p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">微軟推出內嵌式DDoS防護方案，搭配第三方防護使用Azure DDoS服務，提升Azure環境防護力</span></strong></strong></p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1(96).jpg" style="width: 600px; height: 408px;" /></span></strong></strong></p> <p>因應DDoS攻擊複雜性和頻率迅速演變的態勢，微軟近日發布內嵌式DDoS防護方案預覽版，可通過部署了Azure Gateway負載平衡器，以及整合Azure DDoS防護標準服務的合作夥伴網路虛擬設備，來緩解DDoS攻擊。內嵌式DDoS防護結合了Azure DDoS防護標準服務，提供L3至L7的全面防護，來緩解體積型的DDoS攻擊，包含短時間爆發的低量DDoS攻擊，保護企業存放在Azure的資源，且不影響對延遲高度敏感應用的可用性或效能。企業可至Azure市集挑選虛擬設備，來部署網路虛擬設備執行實例，就可以展開內嵌式DDoS防護方案的部署工作。新方案未來將在所有Azure地區提供使用。<a href="https://azure.microsoft.com/zh-tw/blog/protect-workloads-with-inline-ddos-protection-from-gateway-load-balancer-partners/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GKE </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基礎設施管理 </span></strong></span> </p> <p><strong style="font-size: 22px;">GKE基礎設施自動管理功能Autopilot現支援競價式Pod，供企業執行不需高可靠度負載省成本</strong></p> <p>Google為K8s服務GKE的基礎設施自動管理功能Autopilot，添加競價式（Spot）Pod的支援，供企業可以為不需高可靠性的工作負載，選擇更便宜的方式在GKE Autopilot上執行。Google考量企業有些工作負載不需生產等級的可靠性，像是容錯批次處理負載，可使用競價式Pod執行GKE叢集和節點池，來降低使用成本，因而為可自動管理K8s基礎設施的Autopilot，增加競價式Pod的支援。企業使用競價式 Pod執行工作負載時，可以獲得少於定價6成至91％的折扣，然而，當GCP平臺運算資源需求量高時，企業競價式資源可能會被收回。GKE從1.21.4版本開始提供競價式Pod，而Autopilot會將競價式Pod和一般Pod分開，不會落在同一節點上。<a href="https://cloud.google.com/blog/products/containers-kubernetes/announcing-spot-pods-for-gke-autopilot">（詳全文）</a></p> <p>圖片來源／ThousandEyes、Google雲端、AWS、微軟</p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></span></strong></p> <p>1. 臺南市政府採混合雲架構，打造城市動態影像AI感知平臺，辨識重要路口交通情形、景點人流及公共場所防疫狀況<a href=" https://www.tainan.gov.tw/News_Content.aspx?n=13370&s=7840177">（詳全文）</a></p> <p>2. 微軟找上剛正式從IBM脫離的基礎架構管理服務商Kyndryl合作，要推進Microsoft Cloud在混合雲市場的發展。<a href="https://news.microsoft.com/2021/11/12/kyndryl-and-microsoft-establish-global-strategic-partnership-to-accelerate-digital-transformation-across-industries/">（詳全文）</a></p> <p>3. AWS發布搭載Nvidia A10G GPU的EC2執行實例G5，機器學習效能達前一代3倍以上<a href="https://aws.amazon.com/tw/blogs/aws/new-ec2-instances-g5-with-nvidia-a10g-tensor-core-gpus/">（詳全文）</a></p> <p>4. Google承諾5年內投資澳洲10億美元，強化當地自家雲端服務設施<a href="https://blog.google/intl/en-au/company-news/outreach-initiatives/digital-future-initiative/">（詳全文）</a></p> <p>資料來源：iThome整理，2021年11月</p> </div></div></div>
2021/11/19 19:13作者黃郁芸https://www.ithome.com.tw/news/147944
MedTech醫療科技月報第5期：長庚半數實體門診原地支援遠距看診
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(1016～1115)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">遠距醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 長庚 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 實體門診 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>落實醫療平權最後一哩路，長庚半數實體門診原地支援遠距看診</strong></span></p> <p>遠距醫療健保給付元年過了大半場，不只在疫情衝擊下迎來慢性病視訊診療、院內視訊問診，健保署更宣布明年要加碼預算。臺灣遠距醫療正在起飛，但仍有許多措施尚未塵埃落定。深耕該領域20多年的林口長庚紀念醫院近日分享獨家經驗，院內約三分之一至二分之一的實體門診，已與遠距醫療門診結合，原地支援遠距看診。</p> <p>「遠距醫療對臺灣來說，是醫療平權非常重要的最後一哩路！」林口長庚紀念醫院總執行長潘延健日前在臺灣醫院資訊主管會議上強調。在這個概念下，長庚醫院十多年來派出許多醫師進入偏鄉、服務當地居民，後來也以專科診療方式加強支援。但潘延健點出，專科醫師駐點仍無法配合當地居民的就醫時間。因此，在政府力推遠距醫療、視訊診療的鼓勵下，長庚發展出一套獨有的作業模式，讓全院三分之一到二分之一的實體門診，都能原地支援遠距診療，醫師不需離開位置，直接切換畫面即可。</p> <p>「如此，病人可從診間走進來，也能從電腦連線進來，」潘延健認為，這種方式是將遠距看診常態化，「才能走得長久。」他也指出，遠距醫療將帶動更頻繁的健康資料交換，長庚醫院也因此看重國際醫療資料交換標準FHIR，更在本月初參加臺灣第二屆FHIR聯測，來測試自家系統是否能順利拋轉FHIR格式資料。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺北榮總 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HIS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微服務 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>臺北榮總啟動微服務和敏捷開發教育訓練，為下一波HIS改造養精蓄銳</strong></span></p> <p>臺北榮總資訊室主任郭振宗日前指出，臺北榮總IT已展開微服務和敏捷開發教育訓練，要準備發展下一代HIS。雖然，臺北榮總才在去年底完成大型主機轉換工作，但早在2018年，他們就已嘗試熱門的開源容器管理平臺Kubernetes（簡稱K8s），並搭配同是開源的版本控制系統Git，來打造自動化部署流程。</p> <p>他們採取「單一叢集部署全部」的策略，針對不同階段的環境，如開發、準備前臺（Staging）和正式環境，各自部署一套K8s叢集，來執行各階段的所有專案。在單一叢集內，臺北榮總IT則利用Namespaces標籤來區分不同K8s專案，方便調度和管理同一專案下的容器化應用，再利用版本控管工具Git來建立自動化部署流程，將容器化打包、建立基礎配置檔、各種環境配置準備和叢集動態同步等作業，都整合到同一套自動化流程中。這個方法，讓IT團隊更容易上手K8s。</p> <p>K8s搭配Git的作法帶來有三大好處，比如能建立單一程式碼來源、利用Git儲存庫來儲存各種環境的配置檔，簡化YAML配置檔管理。再來，開發者可以自己熟悉的Git流程來管理K8s叢集，而且，K8s搭配Git，還能將K8s叢集的行為最小化，進一步讓叢集狀態變更管理更安全，也能大幅降低手動操作K8s物件的需求。這一套就是現在新創圈當紅的GitOps作法，臺北榮總3年前就開始嘗試，現在要擴大這套作法，實際用K8s和Git來開發藥囑UD系統，未來將擴大到新一代HIS上。<a href="https://www.ithome.com.tw/people/147828">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 奇美醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MLOps </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> InfuseAI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>奇美醫院導入國產MLOps平臺，加速AI落地臨床流程</strong></span></p> <p>奇美醫院在2019年成立AI中心，同年就聯手資訊室打造一款急診患者重症風險預測AI，一鍵就能判斷高風險患者的重症和死亡風險，並部署到臨床流程中。在這個專案中，資訊室負責準備研發環境和模型部署環境，但光是這個準備工作，就得花上數個工作天，而且，當模型訓練或部署遇發生問題時，還得依排程等待，無法立即調整。</p> <p>這就是典型的機器學習維運管理（MLOps）痛點。為解決問題，奇美醫院找上國產MLOps平臺服務商InfuseAI，分階段導入MLOps平臺PrimeHub來管理醫院AI模型。進一步來說，PrimeHub提供資料集管理功能，可連接多種資料源，使用者不必另寫連接程式碼，就能在平臺中建立資料集、管理開發群組的存取權限。再來，該平臺也提供模型開發環境管理，系統管理員可設定個開發群組所需的運算環境和AI框架，如PyTorch或TensorFlow等，讓開發者快速啟動Jupyter開發環境。</p> <p>在模型訓練階段，平臺除了提供背景訓練機制外，也會保留訓練紀錄，如所需時間、資源用量、AI框架版本、訓練指令和訓練過程中產生的檔案等，以便研究結果能回溯、複製。在部署部分，平臺提供API打包功能，開發者不必進行模型封裝作業，直接以API服務鏡像就能快速部署。至於上線後的模型監控，平臺也提供即時的視覺化圖表，來呈現模型動態和歷史狀況，若出現異常，也會發送警告給使用者。奇美醫院AI中心表示，原本需與其他單位溝通5、6天，才能上線模型，但採MLOps工具後，1小時內就可上線。<a href="https://s.itho.me/ccms_slides/2021/11/12/c3ef1c21-7a26-4d3e-847d-0ab7425d2144.pdf">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-11-20%20at%201_33_32%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 衛福部 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電子病歷 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上雲 </span></strong></span></p> <p><span style="font-size:22px;"><strong>電子病歷上雲草案2大重點首度公開：中央設專屬交換平臺、允許醫院全面無紙化</strong></span></p> <p>衛福部常務次長石崇良11月5日揭露，為因應新健康照護模式，衛福部提出醫療機構電子病歷製作及管理辦法修正草案，將賦予電子病歷上雲的法源依據，從資安、委外到平臺建置等都能有所依循，衛福部也將設置交換平臺，供醫療機構進行遠距醫療跨機構電子病歷交換。另外，修正草案另一大特色是，將開放醫療機構以電子方式儲存原本需要書面的同意文件，原有紙本病歷和相關文件都能改用電子檔，等於開放醫院全面無紙化。</p> <p>在委外部分，該草案允許醫療機構自建電子病歷資訊系統，也能委託大專院校、依法登記的法人、機構或團體來建置並管理。再來，這個系統使用雲端服務時，雲端服務的儲存地點應以境內為限，除非遇上特殊情形，可提報中央主管機關審核。特別的是，在交換平臺部分，衛福部將設置交換平臺，來提供不同醫療機構交換電子病歷。「但這只限於遠距醫療交換使用，醫師可查閱病歷資料，但不涉及資料儲存，」他說明：「除了中央設置平臺，民間也可自行建置。」</p> <p>另一方面，該草案也允許醫療機構，將過去許多需要書面簽署的文件，以電子簽章簽核、以電子檔案方式保存。而且，「醫院也能將過去保存的紙本文件，轉錄為電子檔案，確認與原文件相符後，可不必保留書面文件了。」石崇良強調，如此，醫療機構就能真正落實全面無紙化！多位醫院CIO表態期待這個草案的訂定，全數對電子病歷上雲樂觀其成，但他們希望，衛福部能整合旗下各單位的交換平臺，降低醫院資料處理負擔。<a href="https://www.ithome.com.tw/news/147698">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%A2%9D%E6%96%871.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EHR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 拜登 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Kurt DelBene </span></strong></span></p> <p><span style="font-size: 22px;"><strong>拜登提名微軟前副總擔任退伍軍人部CIO，要接手榮民EHR系統架構現代化</strong></span></p> <p>美國總統拜登日前提名微軟前執行副總裁Kurt DelBene擔任美國政府退伍軍人事務部CIO暨資訊科技部門副部長，來接手進行中的160億美元EHR系統現代化專案。Kurt Delbene在微軟任職25年，擅長推動跨部門（特別是IT和業務）大型計畫，他也曾在歐巴馬時期擔任重要角色，受聘為健康與人道服務部HHS資深顧問，負責建置歐巴馬健保（即《平價醫療法案》）的註冊網站Healthcare.gov，解決許多系統上線問題。</p> <p>若他順利成為退伍軍人事務部CIO，就得接手退伍軍人照護專用的EHR架構現代化這個燙手山芋，因為該專案不只進度落後，還追加許多預算，更遭受國會議員質疑資料隱私性。但是，前退伍軍人事務部IT總監Ed Meagher認為，將退伍軍人事務部的老舊EHR系統VISTA現代化，是條非走不可的路。VISTA是美國1977年開始發展的退伍軍人照護系統，經歷數十載演進，最終於2018年由美國醫療IT大廠Cerner得標，要將VISTA系統汰換為新式的EHR系統架構。這個專案在去年秋季展開試點計畫，先搬遷2,400萬份退伍軍人的EHR記錄到新平臺，接著將陸續把VISTA程式資料轉置到新平臺，預計2028年完成。<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2021/11/03/president-biden-announces-key-nominations-10/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> FHIR </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療資安 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺灣第二屆FHIR聯測開跑產業更多元，連電信業和法人都加入，明年還要納入醫療資安</strong></span></p> <p>第二屆臺灣FHIR聯測11月1日正式在林口新創園區展開，今年參加團隊不僅橫跨醫院、企業、學校和法人單位，大幅增加到34家機構，測試類別更新增了時下熱門的基因定序、數位病理和整體影像檢查流程，要讓參與者在不同情境下，測試自家系統能否以國際醫療資料交換標準FHIR來拋轉資料。明年，FHIR聯測還將納入身分驗證類別，將測試範圍擴大到醫療資安領域，與電子病歷上雲政策相輔相成。</p> <p>臺灣醫療影像資訊標準協會（MISAT）歷經5年籌備，在2020年終於成功舉辦第一屆臺灣FHIR聯測。聯測的目的，是要讓醫院、醫資廠商的系統，用符合HL7組織制定的國際醫療資料標準來互通資料，打破資料溝通障礙，改善未來國內外醫療資料的互通性。今年，MISAT舉辦第二屆臺灣FHIR聯測，參加團隊數大幅增加，不只有6家醫院（如花蓮慈濟醫院、童綜合醫院、林口長庚醫院）、7間學校（如成大、陽交大、北護大FHIR與DICOM開源專案團隊），還有19家企業及2家法人（工研院、資策會）。特別的是，這19家企業中不只有老牌醫資廠商如康統醫學、商之器，還有從科技跨入醫療領域的遠傳電信、奇唯科技，更有12家新創參與。而且，在上述6家醫院中，還有一家是位於國外的慈濟印尼雅加達醫院，將透過VPN方式遠端參與這次FHIR聯測。</p> <p>MISAT理事長蕭嘉宏指出，明年，FHIR聯測還將納入更多測試類別，特別是身分驗證機制、授權機制，來加強醫療資安標準化。這一點也與衛福部資訊處處長龐一鳴推廣的電子病歷上雲政策相輔相成，因為開放上雲後，資源較不充足的基層院所，就能選擇符合資安要求的廠商，來處理醫療資料交換。<a href="https://www.ithome.com.tw/news/147594">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> SNQ </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 國家生技醫療品質獎 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧健康 </span></strong></span></p> <p><span style="font-size:22px;"><strong>醫院如何獲得SNQ國家品質標章？評審委員告訴你</strong></span></p> <p>SNQ國家品質標章號稱臺灣生醫屆奧斯卡獎，每年由生策會號召國內權威專家，經過嚴謹的評選挑出頂尖的醫護服務和生醫產品。SNQ評審委員暨秀傳醫療體系醫療資訊副院長劉立指出，SNQ可分為9大類，包括營養保健食品、防疫產品、化粧品、醫療保健器材、醫療周邊、藥品、長照、護理照護服務，以及醫療院所。</p> <p>其中，醫療院所類別可分為醫院醫務管理組，評分主題聚焦於科技輔助臨床流程的智慧醫療、優化流程的品質管理，以及精進研習等三部分。評分重點一樣有三部分，包括結構面、過程面和結果面，其中，結構面涵蓋目標定位、人力結構、軟硬體建置等，占評分權重的10%，過程面則占45%，範圍包含特色和服務流程創新、資源整合、品管、團隊合作和執行率。結果面評分權重也是45%，評分內容包括普及度、安全性、正負效果（含不良事件發生率）、效益數據等。</p> <p>以獲得SNQ的義大醫院行動化雲端智慧資產管理系統來說，他們將院內所有設備和儀器，都貼上QR Code或條碼資產履歷，甚至連回收桶都包括在內，讓職員用手機掃描、拍照和電子簽章，就能申請設備維修。他們申請SNQ時，除了特色說明和列舉成效，如一天完修率從2018年06月的50.1%，提高至2019年03月的98.5%外，還附上與不同醫院的比較表格，讓SNQ評委更容易比較、查證。</p> <p>最後，劉立指出，今年SNQ獎還新增了智慧健康類，著重ICT於醫療和健康領域的應用，可分為智慧醫療組（如醫療機構系統應用）和健康管理組（如穿戴式裝置），明年3月將啟動新年度的SNQ報名。<a href="https://s.itho.me/ccms_slides/2021/11/12/0040deff-4acc-4eec-922c-ac3a75439d40.pdf">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-11-20%20at%2010_31_23%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 長庚醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高速運算 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>長庚醫院宣布用5年打造高速運算AI資訊中心，要讓AI模型訓練快5倍</strong></span></p> <p>長庚醫院近日宣布，要以5年分階段打造高速運算AI資訊中心，加速長庚醫院的實驗室如醫療AI核心實驗室、基因醫學核心實驗室等研發能量。長庚醫院一直重視IT，早在2000年，長庚醫院核心系統HIS就從大型主機走向開放式架構，2014年成為臺灣第一家獲醫策會認可的智慧醫院，並在2018年成立專屬的醫療AI核心實驗室，來研發多種醫療AI應用，目前就有50、60個AI專案在進行，更有20、30個專案已經導入臨床流程，正式使用。</p> <p>但醫療AI涉及大量複雜的運算。為加速研發，長庚醫院在2018年醫療AI核心實驗室成立時，就先購置4臺專攻複雜運算的Nvidia DGX-1（含32張Tesla V100 GPU）超級電腦，現在，他們更進一步聯手國眾電腦、英特爾和思科來建置高速運算AI資訊中心，強化算力。</p> <p>在這個高速運算環境中，長庚醫院將使用搭載英特爾最新處理器的思科UCS伺服器，同時搭配思科網路設備和流程管理軟體，來跨資料中心調度運算資源。特別的是，之後還有一套專門的機器學習程式來評估資源決策，能即時優化資源分配。該高速運算AI中心建置後，整個長庚體系將具備100張Tesla V100 GPU，成為臺灣算力最強的醫院。<a href="https://www.ithome.com.tw/news/147813">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 心電圖判讀 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 長佳智能 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TFDA </span></strong></span></p> <p><span style="font-size: 22px;"><strong>長佳智能心電圖AI獲衛福部TFDA認證</strong></span></p> <p>長佳智能日前宣布旗下心電圖判讀AI軟體獲得衛福部食藥署TFDA認證，取得智慧醫材許可證，可望加速落地。這套心電圖判讀AI由長佳智能與中國附醫共同研發，可辨識13種心律特徵，如心房顫動、心房早期收縮、心室早期收縮和ST波段上升型心肌梗塞等，即時辨識準確率達97%。長佳智能董事長陳明豐表示，這套心電圖判讀軟體可幫助病人及早發現問題、及早治療。</p> <p>長佳智能旗下包含三大事業體，如醫療大數據、醫療 AI 軟體醫材與雲端平臺，目前已取得4張TFDA認證、1張美國FDA醫材許可證，明年上半年還將揭露多項與壽險業者的合作專案。<a href="https://www.everfortuneai.com.tw/zh/%e6%96%b0%e8%81%9e%e4%b8%ad%e5%bf%83/">（詳全文）</a></p> <p>圖片來源／InfuseAI、劉立</p> <p>攝影 / 王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. Google母公司Alphabet重新組隊，專攻藥物開發</strong></p> <p><strong>2. 華碩推出HGX高速運算伺服器，要來加速醫療AI複雜運算</strong></p> <p><strong>3. 安克生醫甲狀腺超音波判讀AI新版或美國FDA許可證</strong></p> <p>資料來源：iThome整理，2021年11月</p> </div></div></div>
2021/11/20 14:15作者王若樸https://www.ithome.com.tw/news/147942
【資安週報】2021年11月15日至19日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本週的國內資安新聞中，雲林縣國中小共構網站於11月4日遭到勒索軟體攻擊的事故，經過1週因媒體的報導而曝光，而受到各界的觀注。幸運的是，這起事故沒有波及學校的校務檔案，以及學生的學習記錄等敏感資料，但這也突顯該共構系統的配置問題：所有學校網站的內容與樣式，都集中存放於單一資料庫，也就是說，只要這個資料庫出現異狀，就有可能再度出現全雲林縣國中小的師生無法存取網站的情況。</p> <p>另外國內也引起大家注意的是民眾個資外洩事故，分別是學生與家長的個資被盜取，以及員警串通徵信業者洩露民眾個資的情況，前者主嫌非法取得大量學生資料，涵蓋幾乎全國的高中、國中，以及小學學生資料；而後者則可能是洩露特定民眾的資料－－後續檢方調查後發現，<a href="https://www.chinatimes.com/realtimenews/20211118002280-260402">徵信業者疑似透過員警取得25名民眾的資料</a>。</p> <p>值得留意的是，國際上的資安新聞也有不少事故，包含了在上週末美國聯邦調查局驚傳發出數萬封恐嚇信，經資安研究團隊調查發現，是該單位遭入侵所致；再者，惡名昭彰的Emotet惡意軟體，在基礎設施於1月遭歐洲刑警組織等單位摧毀之後，最近竟然再度活動，使得資安業者和研究人員開始留意該組織接下來情勢的發展。此外，則是針對DRAM與Windows事件檢視器（ETW），研究人員發現新的漏洞與攻擊手法，而且，前者因DRAM元件已在市面上流通而難以修補，後者研究人員認為是微軟設計上的瑕疵，微軟很可能否認是漏洞而不予處理，但卻會影響所有透過ETW取得電腦執行記錄的資安防護系統，因此，這些漏洞與攻擊手法的後續也值得觀察。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://udn.com/news/story/6885/5888400"><span style="color: rgb(0, 0, 0);">雲林縣教育處遭勒索軟體攻擊，百餘所學校網站無法存取</span></a></strong></h4> <p>雲林縣教育處與當地185所國中小的共構網站，傳出11月4日遭到勒索軟體攻擊，導致雲林縣百餘所學校網站全數無法運作－－老師和學生無法上網，家長亦不能查閱孩童成績、閱讀學校公告。事發後，教育處報警並尋求資訊工程師搶救資料，至13日時救回約8成資料。雲林縣教育處邱孝文表示，駭客透過RDP入侵，並針對資料庫伺服器攻擊，而且，不只資料庫，連帶備份的檔案也遭到加密。教育處已成立緊急應變小組，並加強共構平臺的資安，並提升備份效能。</p> <p>對此，雲林縣政府於15日發出公告進一步說明，指出遭到勒索軟體攻擊的資料庫，只有存放每個學校的網站架構及樣式，以及學校的公告，沒有學生的學習記錄外洩。這突顯了此網站共構系統將資料集中存放問題，因為，一旦這個資料庫出現異常，類似本次事故師生無法存取網站的情況，將會再度發生。</p> <h4><a href="https://www.tnc.moj.gov.tw/media/265359/1101117-%E5%8D%97%E6%AA%A2%E5%81%B5%E8%BE%A6%E9%A7%AD%E5%AE%A2%E7%9B%9C%E5%8F%96%E5%AD%B8%E7%94%9F%E5%8F%8A%E5%AE%B6%E9%95%B7%E5%80%8B%E8%B3%87%E6%96%B0%E8%81%9E%E7%A8%BF.pdf?mediaDL=true"><span style="color:#000000;"><strong>全國高中小個資遭盜取販售長達5年，臺南地檢署宣布逮捕幕後3名主嫌</strong></span></a></h4> <p>臺南地檢署在11月17日揭露全國學生個資盜賣事件，關於這起事件的偵辦，臺南市調查處在7月接獲檢舉，歷經2個月調查，先是掌握到販售個資的陳男IP位址，首波搜索後查到幕後主嫌47歲蔡男，他亦是知名補習班數學老師。調查結果顯示，蔡男自2015年開始組團犯罪，與具資訊背景的36歲柴男，以及具駭客知識的27歲張男合作，非法取得750萬筆個資，幾乎涵蓋全國高中、國中、國小學生，包含校名、年級與班級、姓名、身分證號、住址、電話，還有父母姓名與職業，以每筆個資10元至20元轉售其他補習班。警方並呼籲，補教業招生勿透過不明管道取得學生家長個資，以免受罰。</p> <h4><strong><a href="https://police.gov.taipei/News_Content.aspx?n=0B762199E50C4AB2&sms=72544237BBE4C5F6&s=225346155BE06F9B"><span style="color:#000000;">北市員警涉勾結徵信業並洩漏民眾個資</span></a></strong></h4> <p>臺北市警察局在11月17日發布公告，指出台北市警局去年偵辦刑事案件時，在搜索徵信業電腦時，發現與北市員警的往來資訊，有員警涉嫌利用警政知識聯網查詢民眾個資，再洩露給徵信業者，因此昨日已與警政署政風室進行搜索，並以刑法洩密罪，以及違反個人資料保護法偵辦。警方同時強調，此事由內部發現主動查辦防弊，並表示將加強落實內部資安管理，以及資訊稽核作為。</p> <h4><strong><a href="https://krebsonsecurity.com/2021/11/hoax-email-blast-abused-poor-coding-in-fbi-website/"><span style="color: rgb(0, 0, 0);">美國聯邦調查局郵件伺服器遭駭，發出數萬封垃圾郵件<img alt="" src="https://s4.itho.me/sites/default/files/images/FEEEWfZXsAE5QOW-1.png" style="width: 300px; height: 77px; float: right;" /></span></a></strong></h4> <p>美東時間11月12日深夜，在數個小時內，出現數萬封疑似來自美國聯邦調查局（FBI）與美國國土安全部（DHS）的恐嚇郵件。威脅情資組織Spamhaus發出警訊，指出這些郵件的來源，確實是從FBI與DHS的基礎架構「執法企業入口網站（LEEP）」寄出，但經過分析之後，證實這些郵件的內容都是捏造的。此事FBI亦於11月13日發出公告，證實確有此事，並於14日指出是LEEP的軟體組態配置錯誤所致。</p> <h4><strong><a href="https://www.ithome.com.tw/news/147883"><span style="color: rgb(0, 0, 0);">中東網站遭到以色列網路攻擊公司Candiru攻擊</span></a></strong></h4> <h4><strong><a href="https://www.ithome.com.tw/news/147883"><span style="color: rgb(0, 0, 0);"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2_-Cloned-version-of-the-Medica-Trade-Fair-website.png" style="width: 300px; height: 233px; float: right;" /></span></a></strong></h4> <p>資安業者ESET發現2波針對中東網站的水坑式攻擊，第1波始於2020年4月，持續到同年7月底；第2波出現於今年1月，攻擊延續至8月，這2波攻擊總共危害數十個網站，受害者包含了專門報導中東新聞的英國媒體Middle East Eye，伊朗外交部、葉門內政部、葉門財政部、敘利亞電力部，以及敘利亞和葉門的ISP等。至於攻擊者的身分，ESET研判就是甫遭美國制裁的以色列網路攻擊公司Candiru。</p> <h4><strong><a href="https://us-cert.cisa.gov/ncas/alerts/aa21-321a"><span style="color: rgb(0, 0, 0);">伊朗政府資助的駭客利用Exchange Server與Fortinet漏洞，針對關鍵基礎設施發動攻擊</span></a></strong></h4> <p>美國網路安全暨基礎架構安全局（CISA）、美國聯邦調查局（FBI）、澳洲網路安全中心（ACSC）、英國國家網路安全中心（NCSC）聯手提出警告，他們自2021年3月以來，發現由伊朗政府資助的APT駭客，鎖定多個關鍵基礎設施下手，其中入侵受害組織的管道，包含了Fortinet SSL VPN漏洞CVE-2018-13379、CVE- 2019-5591、CVE-2020-12812，以及Exchange Server的ProxyShell漏洞（CVE-2021-34473）。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/emotet-malware-is-back-and-rebuilding-its-botnet-via-trickbot/"><span style="color: rgb(0, 0, 0);">惡意軟體Emotet捲土重來，透過TrickBot基礎設施重建殭屍網路</span></a></strong></h4> <p>今年年初，由歐洲刑警組織與歐洲司法組織聯手，接管了Emotet的基礎設施，並逮捕2名成員，但最近，研究人員看到Emotet再度活動的跡象。資安業者GData、Advanced Intelligence，以及資安研究團隊Cryptolaemus指出，他們看到攻擊者透過TrickBot惡意軟體在受害裝置上，植入Emotet的載入器，經調查後發現，Emotet背後的駭客透過TrickBot現有的基礎設施，重新建置Emotet的殭屍網路。</p> <h4><strong><a href="https://www.flashpoint-intel.com/blog/ramp-ransomware-chinese-threat-actors/"><span style="color: rgb(0, 0, 0);">俄羅斯勒索軟體駭客企圖尋求與中國駭客結盟<img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-11-09%20at%2012_58_42%20PM.png" style="width: 300px; height: 116px; float: right;" /></span></a></strong></h4> <p>資安業者Flashpoint發現，駭客論壇RAMP近期一改以俄文為主要的使用語言，管理者不只改以英文發布訊息，且針對中文使用者提供專屬討論區。研究人員提到，10月便有使用者向2名中國用戶，尋求勒索軟體與漏洞購買的消息。目前此論壇約有30名中國用戶。</p> <h4><strong><a href="https://www.domaintools.com/resources/blog/seeing-red?"><span style="color: rgb(0, 0, 0);">網路釣魚攻擊利用Glitch服務竊取帳密</span></a></strong></h4> <p>資安業者DomainTools揭露一起利用軟體專案管理平臺Glitch的網釣攻擊，攻擊者以看似無害的PDF檔案做為誘餌，引導受害者存取建置於Glitch的釣魚網站。這起攻擊約自7月30日起開始活動，並利用免費版本Glitch網頁只能執行5分鐘的限制，讓研究人員難以追查行蹤。</p> <h4><strong><a href="https://abnormalsecurity.com/blog/tiktok-credential-phishing"><span style="color: rgb(0, 0, 0);">釣魚郵件攻擊鎖定125個TikTok名人帳號下手<img alt="" src="https://s4.itho.me/sites/default/files/images/tiktok-email-october.png" style="width: 300px; height: 227px; float: right;" /></span></a></strong></h4> <p>郵件安全業者Abnormal Security指出，他們看到攻擊者在10月2日及11月1日，總共向超過125個名人或是企業，發送釣魚郵件，疑似鎖定TikTok用戶而來。信件的內容宣稱，用戶疑似上傳侵權影片，必須依照指示回覆，否則TikTok帳號將在48小時內刪除。一旦依照指示回信，攻擊者就會要求透過WhatsApp進行對話，藉此繞過TikTok的雙因素驗證，進而挾持受害者的帳號。</p> <h4><strong><a href="https://www.kaspersky.com/blog/netflix-phishing/42927/"><span style="color: rgb(0, 0, 0);">冒牌Netflix註冊系統挾持用戶帳號</span></a></strong></h4> <p>卡巴斯基揭露鎖定Netflix影音串流平臺用戶的網路釣魚攻擊，駭客同時針對想要訂閱該平臺服務的新用戶與現有用戶下手，目的是挾持使用者的Netflix帳號。對於新用戶而言，他們成立了冒牌的註冊網頁，並使用熱門影片的預告來引誘新用戶上當；而針對現有的Netflix用戶，他們則是發送付款確認通知的釣魚信，要求用戶依照指示處理，否則將關閉帳號。無論是新舊Netflix用戶，一旦遵照歹徒的指引，就有可能面臨信用卡遭到盜刷，或是Netflix帳號被轉賣給他人的情況。</p> <h4><strong><a href="https://www.microsoft.com/security/blog/2021/11/11/html-smuggling-surges-highly-evasive-loader-technique-increasingly-used-in-banking-malware-targeted-attacks/"><span style="color: rgb(0, 0, 0);">利用HTML偷渡作案工具的攻擊顯著增加<img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1-HTML-smuggling-overview.png" style="width: 300px; height: 217px; float: right;" /></span></a></strong></h4> <p>微軟的研究人員提出警告，一種利用正常的HTML5和JavaScript功能，來發動HTML走私攻擊（HTML Smuggling）的手法，最近有升溫的現象。他們曾在5月，觀察到Nobelium駭客在網路釣魚攻擊使用這類手法，但研究人員最近看到，有人用來散布多種惡意軟體，如TrickBot、AsyncRAT，以及Mekotio等。</p> <h4><strong><a href="https://comsec.ethz.ch/research/dram/blacksmith/"><span style="color: rgb(0, 0, 0);">新的Rowhammer攻擊繞過現有的記憶體防禦機制</span><img alt="" src="https://s4.itho.me/sites/default/files/images/blacksmith_arch.jpg" style="width: 300px; height: 150px; float: right;" /></a></strong></h4> <p>資安研究團隊Comsec發現新的記憶體攻擊手法，能繞過現有DDR4的Rowhammer防護機制，研究人員將其命名為Blacksmith，這項漏洞編號為CVE-2021-42114。這項漏洞得到DRAM大廠三星、海力士、美光，以及英特爾、AMD、微軟、甲骨文、Google的證實，研究人員與英特爾合作，企圖找出緩解的方法。</p> <h4><strong><a href="https://www.binarly.io/posts/Design_issues_of_modern_EDR%E2%80%99s_bypassing_ETW-based_solutions/index.html"><span style="color: rgb(0, 0, 0);">研究人員揭露可繞過Windows事件追蹤器的手法，恐影響EDR系統運作<img alt="" src="https://s4.itho.me/sites/default/files/images/Figure4(1).png" style="width: 300px; height: 139px; float: right;" /></span></a></strong></h4> <p>韌體安全業者Binarly在Black Hat Europe 2021上，揭露2種可繞過Windows事件追蹤器（ETW）的攻擊手法，並實際利用Process Monitor與Microsoft Defender展示。由於ETW受到不少端點偵測與回應（EDR）系統使用，此次研究人員展示的ETW繞過手法，將會讓多款EDR系統無法發揮作用。雖然該公司針對Windows內建的防毒軟體進行展示，但他們強調，這種手法恐導致運用ETW的資安系統失效，而且難以被發現。</p> <h4><strong><a href="https://www.ithome.com.tw/news/147845"><span style="color: rgb(0, 0, 0);">全球駭客偏好開發中國家的頂級網域</span></a></strong></h4> <p>資安業者Palo Alto Networks調查了全球惡意網域所使用的頂級網域名稱（Top-Level Domains，TLD），結果發現，駭客所使用的惡意網域名稱，有超過9成集中在25個頂級網域名稱，而且特別偏好開發中國家的國家頂級網域名稱（ccTLD），像是.tk、.pw及.ws等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/npm-fixes-private-package-names-leak-serious-authorization-bug/"><span style="color: rgb(0, 0, 0);">Npm修補他人能冒名發布新版套件的漏洞</span></a></strong></h4> <p>知名Node.js套件管理器Npm近期修補了2個漏洞，其中1個可讓他人在未經充分授權的情況下，以開發者的名義發布新版Npm套件。這項漏洞發生的原因，是Npm註冊表與多個微服務之間，身分驗證查核與資料驗證不當所致。此外，有鑑於日前UA-Parser.js、COA、Rc等多個套件遭到挾持，Npm也預告，將於2022年第一季要求開發者啟用雙因素驗證（2FA）。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/microsoft/new-microsoft-emergency-updates-fix-windows-server-auth-issues/"><span style="color: rgb(0, 0, 0);">微軟緊急修補Windows Server漏洞</span></a></strong></h4> <p>微軟於11月14日針對多個版本Windows Server，發布修補程式，被修補的漏洞與Kerberos驗證有關，恐影響作為網域控制器（DC）的Windows Server。受影響範圍為Windows Server 2019以下的版本，不過，值得留意的是，這項緊急修補無法直接透過Microsoft Update自動更新，IT人員必須從Microsoft Update Catalog下載對應的更新程式。</p> <h4><a href="https://www.ic3.gov/Media/News/2021/211117-2.pdf"><span style="color:#000000;"><strong>FBI警告近日有攻擊者利用FatPipe產品零時差漏洞發動攻擊</strong></span><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-11-18_FBI%2BFatPipe.jpg" style="width: 280px; float: right;" /></a></h4> <p>FBI在11月16日示警，他們發現有APT組織鎖定FatPipe網路公司的WARP、MPVPN與IPVPN的零時差漏洞，該漏洞可讓攻擊者任意上傳檔案，然後導致特權提升與潛在的後續行動，以此漏洞作為進入其他漏洞的起點。值得關住的是，這樣的攻擊行動最早可以追溯到今年5月，目前該漏洞尚未通過CVE編號，FatPipe已經發布更新修補，建議用戶立即更新到最新版，另一方面，FBI也發布相關IOC與YARA資訊，供使用FatPipe的企業檢查是否受影響。此外，根據The Record報導，思科、微軟、F5 Networks、Palo Alto Networks、Fortinet與Citrix等公司也可能受影響。</p> <h4><a href="https://www.securityweek.com/netgear-patches-code-execution-vulnerability-affecting-many-products"><span style="color: rgb(0, 0, 0);"><strong>Netgear網路設備存在RCE漏洞</strong></span></a></h4> <p>資安研究團隊Grimm指出，Netgear旗下鎖定小型辦公室的網路設備，包含了路由器、數據機、Wi-Fi訊號延伸器等，存在RCE漏洞CVE-2021-34991，一旦攻擊者利用這項漏洞，可在區域網路的環境裡，取得Root權限來發動遠端程式碼攻擊，CVSS風險層級為8.8分。Netgear獲報後也發布修補程式，並呼籲用戶應儘速更新。</p> <h4><a href="https://www.ithome.com.tw/news/147843"><span style="color: rgb(0, 0, 0);"><strong>AMD Radeon GPU存在18個高風險漏洞</strong></span></a></h4> <p>最近AMD修補50個漏洞，其中有18個為高風險漏洞。新聞網站Digital Trends呼籲用戶要進行修補，因為除了資安漏洞獲得緩解，廠商也可能同時會改善顯示卡的執行效能。根據他們的測試，安裝最新軟體的AMD RX 6800 XT顯示卡，效能比上市時要多出9%。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://us-cert.cisa.gov/ncas/current-activity/2021/11/16/new-federal-government-cybersecurity-incident-and-vulnerability"><span style="color: rgb(0, 0, 0);">美國發布資安事故與弱點的因應指引</span></a></strong></h4> <p>美國白宮於5月發布行政命令，要求美國網路安全暨基礎設施安全局（CISA）制訂標準的作業程序，讓聯邦機構能夠遵循。CISA於11月16日，發布《聯邦政府資訊安全事故與弱點因應指引》（Federal Government Cybersecurity Incident and Vulnerability Response Playbooks），該指引提供決策樹（Decision Tree）與因應步驟的細節，讓聯邦市民執行分支機構（FCEB）能對於資安事故與漏洞的緩解，有一套標準的操作程序。</p> <p> </p> <h3><strong>【隱私保護】</strong></h3> <h4><strong><a href="https://www.gov.taipei/News_Content.aspx?n=74806083EBDF5A03&sms=72544237BBE4C5F6&s=4976C82FFF0D406B"><span style="color: rgb(0, 0, 0);">臺北通遭質疑實聯制資料保管不當，市政府進行說明</span></a></strong></h4> <p>臺北市市議員林亮君在質詢時提出，臺北市政府的手機應用程式「臺北通」，可能有暗中收集民眾資料多達5千萬筆的疑慮，且可能因為有外國人使用而違反GDPR。對此臺北市政府資訊局指出，上述的5千萬筆為實聯制資料，在28天後就會刪除，臺北市政府與中央都沒有保存歷史資料，而對於個資的收集與處理，則是依據個資法辦理，並強調個資受到嚴格保護，甫成立的大數據中心僅會將資料用於輔助市府決策，不會販賣民眾的個資。至於GDPR的部分，資訊局表示，臺北通並無出於商業目的之資料監控或個人分析行為，也沒有在歐盟境內設立據點與資料運用，故不適用GDPR。</p> <h4><a href="https://www.moj.gov.tw/2204/2795/2796/123192/post"><span style="color:#000000;"><strong>因應Deepfake犯罪行為與保護個人隱私，司法院提出修法草案，修法加重刑責並增訂3條罪刑</strong></span></a></h4> <p>Deepfake帶來的資安隱憂，前兩三年已經持續被探討，包括影音資訊竄改帶來的身分冒用、社交工程與假資訊操弄，隨著國內出現相關事件，帶來隱私層面的影響，政府終於開始採取行動，法務部在11月17日下午4時發布公布指出，隨著AI發展與運用，電腦合成的各種犯罪行為恐將更為嚴重，社會大眾對於資訊將更難辨別，影響社會安定、國家安全，也衝擊民主體制與人性尊嚴，因此提出修正草案並向行政院陳報，研議刑法增訂「散布性私密影音罪」、「製作或散布他人不實性影音罪」、「製作或散布他人不實活動、言論、談話罪」，並加重處罰「竊錄性影音罪」。</p> </div></div></div>
2021/11/19 15:33作者周峻佑https://www.ithome.com.tw/news/147931
美國8州檢察長將著手調查IG如何影響青少年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國有8個州的檢察長在18日共同宣布，將對Meta旗下的Instagram（IG）如何影響兒童與青少年身心一事展開調查。</p> <p><a href="https://www.ithome.com.tw/news/146731" target="_blank">《華爾街日報》（The Wall Street Journal，WSJ）</a>今年9月率先引用Meta內部文件，指稱Meta早就知道IG可能對青少年造成負面影響，但Meta卻企圖淡化此事。隨後，臉書公民誠信團隊的前產品經理、也是提供WSJ爆料文件的Frances Haugen，透過律師組成一個新聞聯盟，提供數千頁的相關文件予17家美國媒體，<a href="https://www.ithome.com.tw/news/147484" target="_blank">將Meta的研究報告與內部討論公諸於世</a>。</p> <p><a href="https://ag.ny.gov/press-release/2021/attorney-general-james-investigating-instagrams-impact-young-people" target="_blank">紐約州檢察長Letitia James表示</a>，不管是稱作IG、臉書或Meta都是一樣的，這些社交平臺極其危險，而且已證明會對年輕人的身心造成傷害，祖克柏（Mark Zuckerberg，臉書創辦人）與他的公司都將獲利置於安全之上，而他們的調查準備終止此一行為。</p> <p>8個宣稱要參與調查的州檢察長，分別來自加州、弗羅里達州、肯塔基州、麻州、內布拉斯加州、紐澤西州、田納西州與佛蒙特州，分別來自民主黨與共和黨，將調查Meta是否在明知IG對青少年身心有害的情況下還提供並推廣該社交平臺，檢視此一行為是否違反了各州的消費者保護法並讓公眾處於危險之中。</p> <p>調查將涵蓋Meta用來增加年輕用戶持續參與的時間與頻率的相關技術，以及這些技術造成青少年的長期使用所帶來的傷害。</p> <p><a href="https://ago.nebraska.gov/news/ag-peterson-joins-nationwide-investigation-instagram%E2%80%99s-impact-young-people" target="_blank">內布拉斯加州檢察長Doug Peterson則說</a>，當社交平臺將大家的孩子視為單純的商品，進行操縱以讓他們停留在螢幕前更久並提取資料時，檢察長就必須基於消費者保護法展開調查。</p> <p>不管是紐約州或是內布拉斯加州都曾參與今年5月由44個州檢察長組成的活動，當時他們呼籲臉書不要推出鎖定13歲以下兒童的IG版本，<a href="https://www.ithome.com.tw/news/146931" target="_blank">IG也在9月宣布棄守兒童版</a>。</p> </div></div></div>
2021/11/19 16:21作者陳曉莉https://www.ithome.com.tw/news/147935
OpenAI擴大開放以GPT-3為基礎的語言生成API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/api-no-waitlist/">OpenAI現在要擴大對外開放基於語言模型GPT-3的語言生成API</a>，用戶申請之後，已經不需要漫長等待即可使用。在去年6月的時候，OpenAI正式釋出語言生成API，由於當初考量強大的GPT-3會被濫用，因此僅有限制地開放用戶申請付費使用。</p> <p>語言模型GPT-3是由OpenAI所開發，運用深度學習技術，分類或是生成人類可以理解的自然語言，可良好地處理一些常見的自然語言任務。GPT-3比GPT-2強大許多，擁有1,750億個參數，是前一代的100倍，由於其受到完整的預訓練，因此用戶僅需要輸入少量的文字範例，GPT-3即可產生高品質的結果。</p> <p>OpenAI在2020年的時候，以GPT-3為基礎推出語言生成付費服務，以API的形式對外釋出，企業可以在產品中整合該API，開發出創新語言應用。但因為GPT-3模型太過強大，外界一直存在GPT-3可能遭到濫用的疑慮，像是垃圾郵件、造假甚至用於操控輿論等目的，因此OpenAI在API推出的初期，僅供有限的用戶申請使用，並且承諾會投入避免GPT-3被濫用的研究。</p> <p>而現在OpenAI完成對該語言生成API的更新，包括背後被稱為Instruct Series的GPT-3模型，現在能夠更好地遵循用戶的指令，同時還提供開發人員免費的內容過濾器，來降低服務遭到濫用的可能性，同時OpenAI現在也能夠在用戶應用程式上線前，對其進行審查，以監控濫用的情況，並且支援開發者了解該技術帶來的影響。</p> <p>官方提到，透過開放API來存取模型，使得更多開發人員能夠以創新的方法，將人工智慧應用在大量應用程式和開放問題上。由於OpenAI想要確保用戶，能夠以更負責任的方式使用API，OpenAI提供工具讓開發者能夠依循最佳實踐，讓應用程式更快地投入生產，並且隨著API服務的發展，OpenAI持續簡化開發人員流程，強化保護措施，並且進一步改進使用指南。</p> <p>OpenAI不只明訂禁止使用API的方式，像是禁止用來生成仇恨言論，在新的指南中，官方也明確地闡述API能夠生成的內容，而為了使得開發人員可以確保應用程式能夠符合預期使用，且避免潛在的濫用，以完全遵守OpenAI規定，OpenAI釋出免費內容過濾器供用戶使用，OpenAI現在正針對特定內容類別測試這個新的過濾器。</p> <p>OpenAI還提到，他們禁止在GPT-3上使用像是成人等部分類型的內容，原因是他們現在還無法可靠地從這些內容中，辨識出有害的部分，因此當這些內容過濾器足夠強大，系統經過改進後，他們會考慮對部分類別，在可接受的範圍開放使用。</p> <p>另外，OpenAI也更新了Playground，讓用戶可以更簡單地設計模型雛形，其具有完整的範例庫，能夠幫助用戶更快入門，而且還加上OpenAI新研發，可以將自然語言轉為程式碼的人工智慧系統Codex，也就是說，用戶可以使用簡單的口語指令，來編寫程式操作API。</p> </div></div></div>
2021/11/19 16:26作者李建興https://www.ithome.com.tw/news/147932
臉書即將測試可以讓使用者調整動態消息內容的功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/business/news/introducing-more-control-for-brands-and-people-in-feed" target="_blank">臉書在18日宣布</a>，將允許使用者客製化於動態消息（News Feed ）上所看到的內容，預計於未來幾周展開小規模的測試，且自明年起，廣告主將可控制自家廣告不要出現在某些內容的旁邊。</p> <p>目前臉書的使用者已經可以透過Favorites、Snooze、Unfollow及Reconnect，來控制動態消息上所出現的內容，不過，臉書準備增加其它的控制選項，讓使用者得以透過動態內容偏好設定來增加或減少他們從親友、社團或粉絲頁所看到的內容。</p> <p>此一功能將於未來幾周出現在全球市場的少數使用者的臉書上，允許使用者客製化自己動態消息上各種內容的比例。</p> <p>此外，有鑑於有些廣告主並不滿意自家廣告出現的時機，因此，臉書打算在明年第一季，針對廣告主提供使用者動態消息上的「主題排除」（Topic Exclusion）控制，以拒絕自家廣告與特定的內容相鄰，初期可選擇3個所要排除的主題，包括新聞與政治、社會議題，以及犯罪及悲劇。</p> <p>臉書說明，一旦廣告主選擇了上述任何所要排除的主題，其廣告就不會遞送給最近曾於動態消息上與這些主題互動的使用者，也不會與這些主題相鄰。</p> <p>在早期的測試中，若廣告主排除了新聞及政治類別，其廣告未與相關內容相鄰的機率達到94%，排除悲劇內容的成功機率達到99%，排除社會議題的成功機率亦有95%。</p> <p>另一方面，使用者亦可透過廣告偏好進行設定，以表明是否願意被納入廣告排除。</p> </div></div></div>
2021/11/19 16:43作者陳曉莉https://www.ithome.com.tw/news/147936
Fintech周報第201期：中央存保建置純網銀監理系統強化流動性風險管理，存款交易無法執行或跨行專戶餘額不足2異常系…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">1023～1029</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀監理系統 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 中央存保 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 流動性風險 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">中央存保建置純網銀監理系統強化流動性風險管理，存款交易無法執行或跨行專戶餘額不足2異常系統將自動示警通報</span></strong><br /><span style="vertical-align: top;">甫從中央存款保險公司董事長轉任保險安定基金董事長的林銘寬，近期在一場金融科技論壇中，分享了純網銀流動性風險管理機制。由於純網銀是24小時營業，在不能設立任何實體分行的限制下，使得所有交易全程必須在網路完成，為此，金管會對純網銀流動性風險的管理更為重視，特別是夜間與假日流動性風險的監控與因應。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">在此前提下，金管會委託中央存款保險公司（CDIC）開發一套純網銀監理系統，並以 API串接來蒐集純網銀的2類監理資料，包括即時通報與定時申報資料。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">林銘寬表示，在定期申報資料的自動化報送機制，純網銀監理系統運用API介接，讓純網銀可透過自動化方式定期申報相關資料，申報頻率包括每日、每周、每半個月、每月，比如說，純網銀每日需申報即時存放款資料、流動準備比率等資料。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">另一個是即時流動性警訊監控機制，他舉例，當有一筆存款交易超過10分鐘尚未執行，或者當跨行業務結算擔保專戶餘額不足等情況發生時，系統會自動偵測異常並進行示警通報，包括金管會、中央銀行、中央存保等監理機關的監理人員，都會透過手機簡訊與Email即時收到通報訊息，以便在第一時間掌握問題並採取因應措施。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">此外，中央存保建置了新的數據倉儲系統，數據來源包括儲存在純網銀監理系統的申報資料，同時，也從金管會單一申報窗口系統下載資料存放在這個數據倉儲中。在數據管理上，林銘寬提到，中央存保會選擇較為重要的數據來建置數據市集（Data Marts），並針對監測的需求，以視覺化的數據儀表板產出所需的分析或報表，來強化監控流動性風險。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 新型態理賠服務 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 台灣人壽 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 7-Eleven </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">台灣人壽保戶可在全臺6千家7-Eleven門市申請保險理賠</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">近期，金管會保險局核准台灣人壽與7-Eleven合作試辦的「ibon線上理賠申請」，在經過1年多的試辦驗證，可正式開辦此服務，為國內保險業界首創。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">這項服務讓台灣人壽保戶可透過超商門市的多媒體服務機（Kiosk）線上辦理理賠申請，申請完成後，台灣人壽會同步接收到保戶的理賠申請資料與影像，便能進行理賠審核與給付，節省過往理賠申請文件的寄送時間。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">雙方的合作在去年4月展開試辦，近期獲得保險局核准開辦服務，同時，保險局發布了保險業辦理超商Kiosk線上理賠申請業務應遵循事項規範，提供給保險業者遵循辦理。台灣人壽統計，試辦期間每個月有將近百名保戶的理賠申請件，其中，非都會區的案件近6成，最遠的案件來自金門縣金城鎮。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/TAISHO(1).jpeg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Robinhood </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 遭駭 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">駭客以社交工程手法攻擊股票交易程式Robinhood，造成數百萬名客戶個資外洩</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">今年7月才登上美國那斯達克股市的股票暨加密貨幣交易程式Robinhood近期揭露，有未經授權的第三方存取了該公司系統，造成部份客戶的個人資料外洩，包括500萬用戶的電子郵件，200萬用戶的姓名，以及310名用戶的姓名、生日與郵遞區號，另有10名客戶被存取更多的資料。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Robinhood說明，此一未經授權的第三方是透過電話假冒為該公司負責客戶支援的員工，成功地進行了社交工程攻擊，而得以存取特定的客戶支援系統。除了上述資料外，客戶的社會安全碼、銀行帳號或是簽帳卡號碼並未外洩，也未因此造成客戶的財務損失。此外，駭客在入侵成功後，還回頭向Robinhood索取贖金。Robinhood並未公布是否支付了贖金，僅說已通知受影響的客戶，知會執法機關，同時聘請資安業者Mandiant協助調查。<strong><a href="https://www.ithome.com.tw/news/147737">（詳全文）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 店家貸款 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 街口電支 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 凱基銀行 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">街口電子支付串接凱基銀行數位信貸API，為街口商戶推出小額貸款服務</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">街口電子支付近期宣布與凱基銀行合作，在自家JKO Fintech Hub推出店家貸款服務，作為街口商家向銀行申請小額周轉基金的另一管道。作法上，街口電支串接了凱基銀行數位信貸API，在商家的同意下，系統將自動預先填入店家基本資料，來減少申貸填寫欄位，街口電支宣稱，3分鐘可完成貸款申請。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，申貸過程中，商家可同意提供街口電支收款記錄作為財力證明，來向銀行申貸，以加速貸款流程，凱基銀行表示，最快1個工作天能完成審核，審核通過並線上簽約確認後，商家就能動用資金。同時，街口電支也在店家管理App設計了申貸查詢狀態、貸款額度動用、即時還款等功能，來連結銀行服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/JKO.jpeg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 城市加密貨幣 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 美國邁阿密 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">邁阿密開挖城市加密貨幣MiamiCoin已賺進2千萬美元，市長承諾將收益分潤給市民</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">CityCoins在今年8月初啟動邁阿密幣（MiamiCoin）的挖礦活動，這是CityCoins所發行的第一個城市加密貨幣，並會自動把3成的收益挪至該城市的加密貨幣錢包中。CityCoins是專門協助各個城市發展它們的城市加密貨幣，而要發行城市幣主要有2個步驟，一是市民投票，二為市政府必須接受城市幣協議的貢獻。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">根據報導，在開挖MiamiCoin的3個月以來，已替邁阿密賺進2,100萬美元，如果換算成年度獲利，約等於邁阿密總稅收的1/5。這使得邁阿密市長Suarez決定把城市錢包的獲利以比特幣分給所有市民，計畫替市民設計一個加密貨幣錢包，並與各個加密貨幣交易平臺合作，協助市民取得錢包、註冊及認證身分，成為首個以比特幣分潤給市民的美國城市。<a href="https://www.ithome.com.tw/news/147812"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位團險平臺 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 國泰人壽 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">國泰人壽新推數位團險平臺，提供企業戶客製化電商團險服務</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">國泰人壽近期推出數位團險平臺Groupins+，提供電商購物的團險服務體驗，除了套裝及不同場景的團險服務，企業主或人資可依照自身需要，如同電商線上購物一般，挑選想要的團險產品組合加入購物清單中，並快速取得客製化的線上報價。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">國泰人壽數位轉型辦公室協理林佳穎指出，企業為員工購買團險服務通常面臨3大痛點，首先是自主性低，因為大多是套裝團險，較難提供即時的客製化服務，其次是仰賴人員服務，第三點則是花費較多時間等待報價，因作業時間，通常需要等待3到5個工作天。因此推出數位團險平臺，並提供企業自主權，自己找、自己選、自己組的創新體驗。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">林佳穎表示，團隊為了打造自主彈性的團險體驗，除了花費相當多時間掌握使用者的需求，背後仰賴中台的微服務架構，以支援數位場景及應用的發展，以數據為客戶打造專屬體驗。國泰人壽還運用領域驅動設計（Domain Driven Design）定義團隊的共通語言，將程式、業務邏輯匯至開發模型，讓跨部門團隊能因應變化，快速達成共識，解決業務問題，並透過敏捷開發新功能模組，花了8個月時間就打造了全新的數位團險平臺。<a href="https://www.ithome.com.tw/news/147668"><strong>（詳全文）</strong></a></span></p> <p><span style="font-size: 14pt; vertical-align: top;">圖片來源／</span><span style="font-size: 14pt;">台灣人壽</span><span style="font-size: 14pt; vertical-align: top;">、</span><span style="font-size: 14pt;">街口電子支付</span><br /> 責任編輯／李靜宜<br /><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1</strong><strong style="vertical-align: top;">.</strong><strong style="vertical-align: top;"> </strong><strong>亞洲先買後付（BNPL）公司Atome宣布進軍臺灣市場，已與30多家零售品牌合作為顧客提供先買後付的支付選項<br /> 2. </strong><a href="https://www.ithome.com.tw/news/147714"><strong>美國國會新通過基礎設施投資與就業法案（IIJA），將針對美國當地加密貨幣保管者及加密貨幣交易行為進行課稅</strong></a><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;">3.</strong><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;"> </strong><strong>樂天國際銀行新推24小時線上貸款申請及存款開戶一次完成功能<br /> 4. <a href="https://www.ithome.com.tw/news/147844">調查機構Pew Research Center：美國有16%的成人曾投資加密貨幣，又以亞裔、非裔與西班牙裔為多數</a></strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年11月</strong></p> </div></div></div>
2021/11/19 16:02作者李靜宜https://www.ithome.com.tw/news/147933
【資安日報】2021年11月19日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在勒索軟體攻擊中，惡名昭彰的Conti，發動攻擊的情況不時有消息傳出，但這個組織究竟向受害者拿到了多少贖金？最近有資安業者揭露他們協同區塊鏈分析公司追蹤的結果：光是自今年7月到現在，這個組織就進帳超過2,500萬美元，且有部分轉入「整合錢包」（Consolidation Wallet）。雖然該公司沒有說明駭客為何要使用整合錢包，但他們指出，執法單位將比較有機會追回這些贓款。</p> <p>另一個比較特別的勒索軟體攻擊事故，是駭客發現自製的勒索軟體會被受害組織的防毒軟體攔截，改以WinRAR壓縮軟體來發動攻擊，他們將受害電腦的檔案打包到受密碼保護的RAR壓縮檔，再向受害者勒索。而這種利用常見的壓縮軟體發動攻擊的手法並非首例，今年4月，<a href="https://www.ithome.com.tw/news/144004">鎖定威聯通NAS的Qlocker勒索軟體攻擊</a>，實際上就是運用開源壓縮軟體7-Zip來「加密」檔案。</p> <p>而除了勒索軟體攻擊的態勢之餘，新興攻擊手法的揭露也相當值得留意。有資安公司最近揭露了能繞過Windows事件追蹤器（ETW）的攻擊手法，並指出多家端點偵測與回應（EDR）系統，都會透過這個內建模組來監控電腦的活動，影響範圍可能相當廣泛，且因為會造成資安系統無法偵測攻擊行動，攻擊者一旦運用這種手法，也將會難以察覺。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://therecord.media/conti-gang-has-made-at-least-25-5-million-since-july-2021/"><span style="color: rgb(0, 0, 0);">勒索軟體Conti近半年不法所得達2,550萬美元<img alt="" src="https://s4.itho.me/sites/default/files/images/Conti-Elliptic-payments.png" style="width: 300px; height: 202px; float: right;" /></span></a></strong></h4> <p>資安業者Prodaft於11月18日發布針對勒索軟體Conti的研究報告，該公司與區塊鏈分析公司Elliptic聯手進行調查發現，勒索軟體駭客組織Conti所持有的113個加密貨幣錢包，自2021年7月以來，贖金等不法所得進帳至少有500個比特幣，相當於2,550萬美元。其中，攻擊者將其中約620美元的比特幣分成數筆款項，並存入「整合錢包」（Consolidation Wallet）列管，而對於駭客使用整合錢包的發現，研究人員認為有利於執法單位追討不法所得。</p> <h4><strong><a href="https://news.sophos.com/en-us/2021/11/18/new-ransomware-actor-uses-password-protected-archives-to-bypass-encryption-protection/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客以受密碼保護的RAR檔案發動攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/memento-flow.png" style="width: 300px; height: 225px; float: right;" /></span></a></strong></h4> <p>資安業者Sophos在10月下旬，發現新的勒索軟體駭客組織Memento Team，但這個組織並非使用勒索軟體發動攻擊，而是使用廣為人知的WinRAR壓縮軟體，將受害電腦的檔案加入被密碼保護的RAR壓縮檔案，然後再將原始檔案刪除。而這個駭客組織入侵受害組織的管道，疑似是利用VMware vCenter伺服器的漏洞CVE-2021-21972。</p> <h4><strong><a href="https://www.proofpoint.com/us/resources/threat-reports/triple-threat-north-korea-aligned-ta406-scams-spies-and-steals"><span style="color: rgb(0, 0, 0);">北韓網路間諜組織TA406鎖定多個國家發動攻擊</span></a></strong></h4> <p>資安業者Proofpoint指出，他們發現北韓政府資助的駭客組織TA406，在今年的3月和6月利用不同的惡意軟體發動攻擊，鎖定外交政策專家、記者，以及非政府組織（NGO）成員。TA406鎖定的國家相當廣泛，包括北美、俄羅斯、中國、南韓、日本、德國、法國、英國、南非，以及印度等。除了透過網路釣魚發動惡意軟體攻擊，TA406也從事加密貨幣竊盜。</p> <h4><strong><a href="https://blog.talosintelligence.com/2021/11/attackers-use-domain-fronting-technique.html"><span style="color: rgb(0, 0, 0);">駭客利用網域前置手法，在緬甸組織植入Cobalt Strike<img alt="" src="https://s4.itho.me/sites/default/files/images/image7(2).jpg" style="width: 300px; height: 274px; float: right;" /></span></a></strong></h4> <p>思科的威脅研究團隊Talos於今年9月，發現鎖定多個緬甸組織的攻擊行動，並在受害組織植入Cobalt Strike。其中，針對緬甸政府，攻擊者運用了網域前置（Domain Fronting）的手法，藉由Cloudflare的CDN，將緬甸政府的網域導向攻擊者的伺服器。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/redcurl-corporate-espionage-hackers-resume-attacks-with-updated-tools/"><span style="color: rgb(0, 0, 0);">鎖定企業進行間諜行動的駭客組織RedCurl，今年已發動4起攻擊</span></a></strong></h4> <p>威脅情報業者Group-IB針對從事企業間諜行動的駭客組織RedCurl，公布他們追蹤的結果。他們發現該組織今年發動4次攻擊，其中有2次是鎖定1家俄羅斯大型零售業。這2次攻擊時間間隔約7個月，RedCurl疑似在第2次攻擊前大幅改良攻擊手法，從先前使用的批次檔和PowerShell指令碼進駐受害電腦，轉變成使用可執行檔，且成功規避防毒軟體的偵測，然後在受害組織的網路橫向移動。</p> <h4><strong><a href="https://www.domaintools.com/resources/blog/seeing-red?"><span style="color: rgb(0, 0, 0);">網路釣魚攻擊利用Glitch服務竊取帳密</span></a></strong></h4> <p>資安業者DomainTools揭露一起利用軟體專案管理平臺Glitch的網釣攻擊，攻擊者以看似無害的PDF檔案做為誘餌，引導受害者存取建置於Glitch的釣魚網站。這起攻擊約自7月30日起開始活動，並利用免費版本Glitch網頁只能執行5分鐘的限制，讓研究人員難以追查行蹤。</p> <h4><a href="https://www.kaspersky.com/blog/netflix-phishing/42927/"><span style="color:#000000;">冒牌Netflix註冊系統挾持用戶帳號</span></a></h4> <p>卡巴斯基揭露鎖定Netflix影音串流平臺用戶的網路釣魚攻擊，駭客同時針對想要訂閱該平臺服務的新用戶與現有用戶下手，目的是挾持使用者的Netflix帳號。對於新用戶而言，他們成立了冒牌的註冊網頁，並使用熱門影片的預告來引誘新用戶上當；而針對現有的Netflix用戶，他們則是發送付款確認通知的釣魚信，要求用戶依照指示處理，否則將關閉帳號。無論是新舊Netflix用戶，一旦遵照歹徒的指引，就有可能面臨信用卡遭到盜刷，或是Netflix帳號被轉賣給他人的情況。</p> <h4><strong><a href="https://www.binarly.io/posts/Design_issues_of_modern_EDR%E2%80%99s_bypassing_ETW-based_solutions/index.html"><span style="color: rgb(0, 0, 0);">研究人員揭露可繞過Windows事件追蹤器的手法，恐影響EDR系統運作<img alt="" src="https://s4.itho.me/sites/default/files/images/Figure4(1).png" style="width: 300px; height: 139px; float: right;" /></span></a></strong></h4> <p>韌體安全業者Binarly在Black Hat Europe 2021上，揭露2種可繞過Windows事件追蹤器（ETW）的攻擊手法，並實際利用Process Monitor與Microsoft Defender展示。由於ETW受到不少端點偵測與回應（EDR）系統使用，此次研究人員展示的ETW繞過手法，將會讓多款EDR系統無法發揮作用。雖然該公司針對Windows內建的防毒軟體進行展示，但他們強調，這種手法恐導致運用ETW的資安系統失效，而且難以被發現。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://www.securityweek.com/netgear-patches-code-execution-vulnerability-affecting-many-products"><span style="color:#000000;"><strong>Netgear網路設備存在RCE漏洞</strong></span></a></h4> <p>資安研究團隊Grimm指出，Netgear旗下鎖定小型辦公室的網路設備，包含了路由器、數據機、Wi-Fi訊號延伸器等，存在RCE漏洞CVE-2021-34991，一旦攻擊者利用這項漏洞，可在區域網路的環境裡，取得Root權限來發動遠端程式碼攻擊，CVSS風險層級為8.8分。Netgear獲報後也發布修補程式，並呼籲用戶應儘速更新。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://get.managedmethods.com/k12-cloud-security-report-2021-22"><span style="color: rgb(0, 0, 0);">美國K-12學校雲端防護不足</span></a></strong></h4> <p>美國的幼稚園、國小，以及中學（統稱K-12）學校普遍將學校的基礎設施，建置於雲端，且逾半數學校（56%）認為他們的雲端環境安全且兼顧隱私。但根據EdWeek研究中心與雲端監控平臺業者ManagedMethods聯手進行的調查指出，約有半數學校對於雲端環境的資安防護狀態不佳，部分並未部署有關的防護系統，部分則是不清楚他們是否已擁有這類防護機制。</p> <h4> </h4> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/147902">2021年11月18日</a></p> <p><a href="https://www.ithome.com.tw/news/147880">2021年11月17日</a></p> <p><a href="https://www.ithome.com.tw/news/147857">2021年11月16日</a></p> </div></div></div>
2021/11/19 13:05作者周峻佑https://www.ithome.com.tw/news/147925
瑞典：CBDC與無現金化發展先鋒國
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_wei_huo_bi_tu_pian_lai_yuan_wu_nan_tu_shu_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">五南圖書</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> 央行發行的數位貨幣，簡稱CBDC，可區分為對一般大眾發行的零售型（Retail），和針對特殊機構（例如銀行發行）的批發型（Wholesale）。也可區分為代幣（儲值）型（Token based）與帳戶型（Account based）兩種。儲值型與帳戶型的主要差異是在確認（Verification）方式上，前者是收到Token的人來驗證，係將CBDC儲存在電子錢包（Wallet）中；後者是由中介（Interface）依據帳戶持有者來驗證，類似銀行存款的運作機制。</p> <p>傳統貨幣與CBDC的主要應用差異將會有：央行存款過去不可能隨時使用，以後就有可能；以前的鈔票有絕對匿名性，以後就難說；以前的鈔票不會有利息，以後有可能了。</p> <p><span style="font-size:28px;"><strong>無鈔化進程最快的國家</strong></span></p> <p>瑞典是全球先進國家中最先進行先導實驗CBDC的國家。也是無現金社會發展最快的國家。</p> <p>為什麼瑞典無鈔化進程推進得這麼快？瑞典理工學院專門研究支付系統創新的尼克拉斯．阿維德松（Niklas Arvidsson）教授解釋說，瑞典消費者喜歡新技術，所以開始得比較早。另外，瑞典基礎設施不錯，是歐盟網路最發達的國家之一；瑞典人口相對較少，是理想的創新測試溫床；再就是這個國家一直以來腐敗程度很低。「瑞典人比較信任銀行和政府機構……不怕『老大哥』盯著自己，也不會很擔心電子欺詐。」</p> <p>瑞典是世界上少數幾個現金流通金額逐年下降的國家，其現金相對GDP的比率，由1950年的10%，持續下降至目前的1.5%左右。最近10年，流通中現金的名目金額呈現下降趨勢，已從2007年最高峰接近1,000億瑞典克朗（SEK），大幅減少1/3。尤以過去2-3年降幅最多。</p> <p>瑞典央行預期現金的使用量仍會持續減少。一方面，因為消費者零售支付習慣已改變，造成近年來現金提領金額大量減少。根據統計，2015年該國現金支付占零售支付的比率只有20%（2010年為39%），電子化支付的比率則相對大幅增加，主要的支付工具為轉帳卡及信用卡。</p> <p>依據該行調查統計，使用現金支付100克朗以下交易的比率，已從2010年的59%降至2016年的26%，且63%的受訪者認為，日常生活中不需要用到現金。另將近一半的受訪商家預計在2025年以前停止收受現金。此外，銀行推行200克朗以下的卡片支付不須輸入密碼，將促使更多小額支付電子化。</p> <p>現在瑞典有一半以上的人口會在手機下載快捷支付App（Swish），用於零售支付，以取代現金，主要因為該國人口稀少，使得現金流通成本相對較高，加上網際網路及通訊基礎設施發達，因此，銀行積極縮減現金服務，並鼓勵民眾使用電子化支付。另一方面，以往只能收取現金的零售商家，也因為新的手機App（iZettle），可以當作卡片的銷售點終端機（POS），而不用收取現金。因此，瑞典央行估計，截至2020年，瑞典的現金流通金額會再減少25%-50%。</p> <p>在推動無現金社會的發展，瑞典央行扮演以下的角色：</p> <p><span style="color:#B22222;"><strong>(一) 協助推動零售支付發展</strong></span></p> <p>雖然現金使用量減少主要是市場因素造成，然而，瑞典央行在創新零售支付服務研發當時，也參與其中，並提供大額支付系統辦理款項清算。</p> <p>此外，該行亦修正現金收存的相關法規，將以往每日由該行處理的銀行與零售商間的現金收存事宜，改由銀行與其他民營單位負責，以及將鈔券及硬幣改版，使其更輕、更小等，均有助於降低現金的流通與處理成本。</p> <p><span style="color:#B22222;"><strong>(二) 關注零售支付發展情形</strong></span></p> <p>為了解零售支付發展情形，瑞典央行舉辦支付論壇，邀請各界參與討論。此外，該行已於2014年成立零售支付委員會，持續關注支付市場發展，並定期公布相關研究報告。</p> <p><span style="color:#B22222;"><strong>(三) 研議發行e-krona</strong></span></p> <p>由於現金的使用量持續下降，相對提高現金處理成本，且隨著資訊科技快速發展，支付方式更趨多元，瑞典央行為研議發行電子形式克朗（e-krona）之可行性，於2017年3月公布行動計畫。該行已於2020年2月啟動先導試驗，開發並試驗相關技術解決方案；預計2021年2月完成，並將視需要延長計畫時程（最多可再延長6年）。不過，瑞典央行強調，即使最後決定發行e-krona，也只是作為實體現金的補充工具，無意取代現金。</p> <p>由於本計畫需要數年時間研議與執行才能完成，且支付技術發展日新月異，因此，瑞典央行必須每年檢討計畫內容與預算。該行規劃在本計畫第1階段研擬一個或數個e-krona發行方案，提報執行委員會討論，以決定是否繼續進入第2階段作業，或者是停止本計畫。第2階段主要研擬e-krona及其系統之技術解決方案、測試環境、法規與治理架構等，若執行委員會做出由瑞典央行發行e-krona之決議，將進入第3階段執行面作業，訂定e-krona發行、管理、技術、法規架構等面向的細部內容。e-Krona可分為存放在瑞典央行帳戶的「帳戶基礎」，以及屬預付工具性質的「價值基礎」等2種運作模式。帳戶基礎可計息，價值基礎則不允許計息。價值基礎在250歐元內小額交易可匿名，帳戶基礎則不可匿名。</p> <p>瑞典幾大銀行，包括瑞典北歐斯安銀行（SEB）、瑞典銀行（Swedbank）、北歐聯合銀行（Nordea Bank）等，有半數以上的分行不存現金，也不接受現金存款。他們說這顯著節省了保安成本，因為劫匪搶劫銀行的誘因沒有了。但是，不是每個人都喜歡新潮流。瑞典有個全國性組織，名叫Kontant upproret（Cash Rebellion），意思是「現金抗爭」。除了為「弱勢群體」爭取繼續用現金的權利，它還關心身分盜用、消費者債務上升和網路攻擊等問題。</p> <p>前瑞典國家員警總監兼國際刑警組織主席，艾利克森（Bjorn Eriksson）就指出：「我個人喜歡信用卡。但是我生氣，因為有上百萬人可能不喜歡用卡─老人、剛出獄的人、遊客、移民。銀行不管，因為這些人不是能帶來存款的主要客戶。」他現在擔任瑞典私營保安公司協會會長，這協會是一個保護現金流通的遊說團體，指責銀行和信用卡公司試圖「用高定價將現金擠出市場」，讓位給卡式支付和電子化支付好要求費用獲取收入。「我不認為這事應該由它們決定」，他說：「它們應該利用其市場力量，使瑞典成為一個無現金社會嗎？」「這個系統太容易受到干擾或操縱了……只要切斷支付系統，我們就束手無策。」艾利克森說。</p> <p>這倒不是誇大其詞。過去10年，瑞典的電子欺詐案翻了一倍以上；瑞典政府因為IT服務外包導致重大資料洩露，幾乎把執政聯盟拉下馬。從那以後，關於資料安全的討論越來越多地出現在政府議程上。雖然多數瑞典人接受無現金創新，但三分之二的人不想完全擺脫紙幣和硬幣。瑞典可能引領全球潮流，走向無現金未來，但在此過程中，一個更傳統的瑞典特質也會發生作用，那就是謹慎。</p> <p>瑞典銀行家協會官員雷夫．特羅根承認，銀行從無現金化革命中能獲得可觀的費用收入。特羅根說，但由於銀行和企業用現金開展交易是有成本的，減少現金的使用在財務上是合理的。現金當然還沒有死。瑞典央行瑞典國家銀行（Riksbank）預計現金流通量將下降得很快，但未來20年仍然會流通。瑞典國家銀行近日剛剛推出硬幣和紙幣的新設計。但是，對於越來越多的消費者來說，現金付款已不再是消費習慣。在哥德堡大學（University of Gothenburg）的學生說，他們幾乎只用卡式支付和電子化支付。</p> <p>正如瑞典央行在2021年4月e-Krona第一階段報告所強調，需要同時兼顧安全、隱私與便利性，e-Krona是在R3的Corda區塊鏈平台下運作，由瑞典央行決定參與者並向系統提供流動性，該網路與現行支付體系是平行運作的，可以降低因任一方的中斷所導致的損害，但是尚有許多不足要持續強化，例如推動完整的線下運作模式、辨識是否有屬於個人資料被儲存及管理、並確保在零售運用範圍尚能達到規模經濟，因此整體計畫可能需要到2026年才能完成。（<span style="color:#696969;">摘錄整理自《數位貨幣》第六章，五南圖書提供</span>）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/300_%E6%95%B8%E4%BD%8D%E8%B2%A8%E5%B9%A3_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E4%BA%94%E5%8D%97%E5%9C%96%E6%9B%B8.png" style="width: 300px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_五南圖書</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span></strong> <strong>數位貨幣：從傳統到創新，從國際到台灣</strong></p> <p>沈中華、王儷容、沈大白、劉湘國、柯瓊鳳、蕭惠元、李儀坤、蘇哲緯／著</p> <p>五南圖書出版</p> <p>售價：460元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介</span></strong></span> </p> <p><strong>沈中華</strong></p> <p>曾任實踐大學財金系講座教授、中華科技金融學會副理事長、臺灣大學財金系教授、花旗銀行(臺灣)獨立董事以及臺灣銀行獨立董事。</p> <p><strong>王儷容</strong></p> <p>現任中華經濟研究院國際所研究員、中華科技金融學會監事、中華金融科技產業促進會常務理事以及凱基銀行獨立董事。</p> </div></div></div>
2021/11/19 14:37未署名https://www.ithome.com.tw/article/147929