iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 19:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Visa臺灣揭露疫後數位支付行為轉變趨勢，更預告將推出數據到行銷的一站式分析服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Visa臺灣在今天（12/7）發布一份消費者支付調查報告，揭露在疫情之下消費者支付行為的轉變。調查發現，臺灣消費者使用非現金支付使用比例大增，從去年的80%，今年成長到99%，換句話說，只有1%消費者完全不用。另外，數位支付金額降低，小額生活消費，將成為支付的必爭之地。</p> <p>Visa今年7月針對2,000名來自臺灣、香港、澳門等地，年齡介於18到55歲的民眾以量化方式進行調查，其中臺灣受訪者人數為1,000名。調查發現，臺灣消費者使用信用卡及簽帳金融卡進行非現金支付的比率，從去年的80%成長到今年的99%。近6成的消費者將持續增加使用非現金支付的比重，有44%的消費者可以超過一周完全不用現金，甚至，有近1成的消費者表示，未來將完全不會使用現金作為支付方式。</p> <p>無接觸金融不只成為消費者支付的習慣，Visa調查發現，消費者以往在大額消費才會使用數位支付；但最新調查顯示，半數消費者在200元以上的消費，就會使用數位支付。Visa臺灣區總經理趙麗芳表示，支付場景逐漸移轉到小額生活消費，包括連鎖超商、超市、速食連鎖餐廳，都將成為支付的必爭之地。</p> <p>Visa指出，疫情之下的另一項消費者行為改變是，促使消費者只想帶手機錢包出門。Visa調查，有32%消費者相較於疫情前，更常使用電子錢包。更有95%的消費者表示，未來1年將持續或更常使用電子錢包。</p> <p>另外，調查顯示，有7成以上的消費者手機已安裝行動銀行App，使用的前3項行動銀行服務，包括查詢帳戶或投資餘額、帳戶間轉帳、帳單支付。有4成以上的消費者，因為疫情的影響使用了更多網銀服務，且有5成以上的消費者表示，每周至少使用一次行動銀行。甚至，有超過4成的消費者，會選擇純網銀作為主要往來銀行，原因是開戶回饋、開戶快速方便、更高的存款利率。</p> <p>Visa更針對23歲以下的Z世代數位原住民進行分析，發現有68%的消費者從未嘗試過無現金支付，因此，趙麗芳表示，Z世代將成為未來的新興潛力族群。</p> <h3><span style="color:#0099ff;"><strong>將運用Visa</strong><strong>支付數據分析提供一站式全服務</strong></span></h3> <p>掌握了龐大消費者的支付資料，趙麗芳進一步揭露了Visa臺灣的下一步，不只作為發卡組織，更要針對合作夥伴，提供數據到行銷的一站式全服務，透過數據分析提供合作夥伴如商家、金融機構等找出更多可以發展的價值。</p> <p>以提供給金融機構的分析服務為例，趙麗芳認為，各家金融機構提供的金融產品趨於同質化，如何走出差異化，是每家金融機構的挑戰。因此，Visa打算從支付數據出發，分析整體Visa消費者的樣貌，比如，Visa臺灣用戶中，前5%刷卡量的這群用戶，占了總刷卡量的比率為多少，並分析這群最主要的刷卡消費族群的輪廓，將分析結果提供給銀行參考，作為金融商品設計、行銷推廣服務之用。</p> <h3><span style="color:#0099ff;"><strong>Visa</strong><strong>在加密貨幣領域的全球布局成果</strong></span></h3> <p>另一方面，趙麗芳也同步揭露Visa在發展加密貨幣領域的布局成果。首先，Visa與全球50多個加密錢包與平臺合作，可支援全球超過7,000萬家商戶中使用加密貨幣消費，2021年上半年使用Visa卡加密貨幣付款支付的金額，超過10億美元。此外，Visa在基礎設施上自行開發了API，可進行數位貨幣與法幣之間的轉換或清算。甚至，更推出Visa Crypto API，可提供數位貨幣買賣與託管服務，來搶攻想踏入數位貨幣的金融機構或新創公司需求。</p> <p>Visa最新布局是建置數位貨幣的交易清算設施，趙麗芳提到，今年3月，Visa已將與美元掛鉤的穩定幣USD Coin（USDC）作為支付網路中的清算貨幣之一。另外，Visa也成立了數位貨幣研究中心與核心小組，提供全球數位貨幣發展資訊給各國央行參考。文⊙李靜宜</p> </div></div></div>
2021/12/7 20:50作者李靜宜https://www.ithome.com.tw/news/148241
今年NFT市場產值已達269億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chainalysis.com/reports/nft-market-report-preview-2021" target="_blank">區塊鏈分析業者Chainalysis近日指出</a>，截至今年10月，支援不可替代代幣（Non-Fungible Token，NFT）的ERC-721與ERC-1155合約交易量已達269億美元，而且不管是NFT的交易量或金額都與日俱增。</p> <p>NFT是個奠基在區塊鏈上的代幣，與其它加密貨幣不同的是，每個NFT都是獨一無二的，它們並不等值，因此無法直接互相交換，主要作為數位資產的憑證。</p> <p>現階段市場上最大的NFT交易市集為OpenSea，今年的交易量超過160億美元，占所有NFT交易的59%，NFT市場上最受歡迎的產品則是加密龐克（CryptoPunks），這是兩名軟體開發者Matt Hall與John Watkinson所建立的實驗性專案，他們創造了1萬個獨特的加密龐克角色，而且開放免費領取，之後成為熱門的NFT產品，迄今有關加密龐克的交易金額已達30億美元，包括<a href="https://www.ithome.com.tw/news/146368" target="_blank">Visa以15萬美元購入了CryptoPunk 7610</a>。</p> <p>此外，現在絕大多數的NFT交易都是屬於零售等級，交易金額低於1萬美元，僅有少數屬於交易金額介於1萬至10萬美元之間的收藏等級，機構等級的交易更低於1%。</p> <p>Chainalysis還發現了一個特別的現象，直接購買新發行NFT的獲利機會低於在市場上交易二手NFT，只有28.5%在一個NFT發行時就購買的使用者實現了獲利，但若是從二級市場向其它使用者購買二手（或多手）NFT，之後再脫手的話則有65.1%是獲利的。</p> </div></div></div>
2021/12/7 16:22作者陳曉莉https://www.ithome.com.tw/news/148229
英國連鎖超市SPAR遭網路攻擊，波及數百家門市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/SPARDSAP/status/1467818935894564867" target="_blank">英國連鎖超市SPAR周一（12/6）指出</a>，其英國服務供應商James Hall & Company遭到網路攻擊，波及北英格蘭的SPAR門市，影響了這些門市的金融卡支付處理能力，使得有些門市直接關店休息，有些則只能以現金付款。</p> <p>SPAR源自於荷蘭，它是一家跨國的連鎖超市，目前在全球48個國家有超過1.3萬家的SPAR門市。James Hall & Company則是SPAR在北英格蘭約600家SPAR門市的供貨商，除了提供各種食物之外，也負責這些門市的收銀機與IT系統。</p> <p><a href="https://www.facebook.com/SparRibchester" target="_blank">其中有一家位於Ribchester的SPAR門市於臉書上表示</a>，由於庫存與會計系統都無法使用，不能銷售任何商品，只能提供預付的報紙或是處理包裏。</p> <p>SPAR僅說這次的意外並未影響北英格蘭的所有門市，但也未透露受到波及的門市數量。<a href="https://www.ncsc.gov.uk/news/spar-stores-incident" target="_blank">英國網路安全中心（NCSC）則已收到通知</a>，並正協助調查中。</p> </div></div></div>
2021/12/7 17:09作者陳曉莉https://www.ithome.com.tw/news/148232
微軟接管中國駭客集團Nickel所使用的42個網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2021/12/06/cyberattacks-nickel-dcu-china/" target="_blank">微軟周一（12/6）表示</a>，已取得維吉尼亞州東區法院的同意，接管了由中國駭客集團Nickel所使用的惡意網域；Nickel專門攻擊美國及其它28個國家的全球機構、智囊團與人權組織，以蒐集情報，接管其惡意網域就算無法全面摧毀Nickel的駭客行為，但相信已移除Nickel最近一波攻擊的關鍵基礎架構。<a href="https://www.documentcloud.org/documents/21138936-nickel_appendix-a-to-compl_a" target="_blank">《TheRecord》</a>取得了相關的法院文件，指出微軟總計接管了Nickel所使用的42個網站。</p> <p>微軟威脅情報中心（Microsoft Threat Intelligence Center，MSTIC）自2016年就開始追蹤Nickel，2019年著手分析Nickel的行動，發現Nickel的攻擊行動非常複雜，經常使用不同的技術，但目標都是於受害系統上植入難以偵測的惡意程式，以監控及竊取資料。</p> <p>手法多元的Nickel有是時利用被危害的VPN服務，或是透過網釣攻擊盜來的憑證，也會透過攻擊程式開採尚未修補的Exchange Server及SharePoint漏洞，以滲透到受害者系統上。</p> <p>此外，微軟還發現Nickel的攻擊目標通常涉及中國政府的利益，而且也有其它資安業者發現Nickel的行動，只是所使用的名稱不同，例如APT15、KE3CHANG、Vixen Panda、Royal APT或Playful Dragon等。</p> <p>微軟是與多家網域名稱註冊業者合作，在取得法院的授權之後，接管了原本由Nickel所控制的42個網站，包括primenuesty.com、beesweiserdog.com或bluehostfit.com等，將這些惡意網站的流量導至微軟的安全伺服器，除了可避免既有的受害者持續受到危害之外，也能防止Nickel再使用同樣的架構展開攻擊。</p> </div></div></div>
2021/12/7 16:08作者陳曉莉https://www.ithome.com.tw/news/148228
AWS機器學習服務SageMaker新功能加快模型訓練速度50％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>機器學習服務Amazon SageMaker現在能夠更快地編譯模型，新的<a href="https://aws.amazon.com/tw/blogs/aws/new-introducing-sagemaker-training-compiler/">Training Compiler</a>功能會自動編譯Python訓練程式碼，並生成模型專用的GPU核心，如此訓練程式碼便能夠使用更少的記憶體和計算資源，模型訓練速度更快，甚至使原本需要3小時訓練時間的GPT-2模型，降至90分鐘。</p> <p>由於深度學習的模型複雜性日益增加，最佳化和訓練的時間也就跟著延長，像是訓練自然語言處理模型RoBERTa，就需要25,000個GPU小時，儘管用戶可以使用一些最佳化技術，來減少模型訓練時間，但是這個過程並不簡單，不只耗時且需要專業技能。</p> <p>目前有三種方法能夠加快訓練速度，第一使用更快的機器處理運算，第二則是跨GPU執行個體叢集分散運算，來平行訓練模型，或是第三種最佳化模型程式碼，更高效地在GPU上運作。</p> <p>而最佳化機器學習程式碼是最困難且耗時的工作，AWS提到，資料科學家常使用Python機器學習框架TensorFlow或PyTorch，來編寫程式訓練碼，仰賴機器學習框架把Python轉換成為可在GPU上執行的數學函式，但是這些從用戶Python程式碼轉換而來的核心，通常效率低落，因為機器學習框架使用預先建置的通用GPU核心，而非用戶模型和程式碼專用的核心。</p> <p>AWS表示，即便是資深的GPU程式開發人員，也需要數個月才能對模型創建自定義核心。因此AWS透過在SageMaker加入Training Compiler新功能，來解決這個問題。</p> <p>SageMaker Training Compiler能夠將深度學習模型，從高階語言表示轉換成為硬體最佳化指令，來加速訓練工作，這些指令比現成框架的訓練速度更快，在背後，SageMaker Training Compiler能夠提供超過原生PyTorch和TensorFlow框架所能提供的最佳化，最大程度提高SageMaker GPU執行個體上的運算和記憶體使用率。</p> <p>AWS解釋，該新功能針對圖（Graph）、資料流和後端進行最佳化，來生成能夠有效使用硬體資源的最佳化模型，訓練速度最高可提升50％。許多深度學習模型都能因新功能受益，但訓練時間更長、規模更大的模型，將節省更多的時間和成本，像是長時間運作的RoBERTa模型，訓練時間和成本可降低30％，考量原本需要的25,000個GPU小時，實際減少的訓練時間相當驚人。</p> </div></div></div>
2021/12/7 16:13作者李建興https://www.ithome.com.tw/news/148227
【資安日報】2021年12月7日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發者很可能為了在傳送資料給其他人的情況下，運用常見的雲端服務，無意間將企業的機密資料公開，要如何在應用系統的開發過程中保護企業機密資料，不致因為疏忽而遭到公開？顯然是時下企業所需面臨的難題。最近Line發出公告表示，他們在11月底發現，9月上旬有外包公司的員工於GitHub上傳用戶交易的資料，而這些資料的來源，是客戶參與特定行銷活動的資訊。值得留意的是，超過半數外洩的是臺灣用戶的資料。所幸外洩資訊裡，沒有信用卡或是銀行帳號等敏感資訊。</p> <p>而在國際的資安新聞中，跨國連鎖商店Spar、美國電力公司DMEA遭到網路攻擊的事件，也相當值得留意，尤其是昨天才傳出有人鎖定北美零售業者的收銀機下手，印出大量煽動員工要求加薪或是離職的社會運動訴求，這種超市遭到攻擊的情況已有數起。連鎖商店Spar在英國發生的事故，也引起當局的高度關注。</p> <p>另一起也相當值得留意的攻擊行動，則是與駭客利用多種應用系統的漏洞，入侵這些伺服器來挖取門羅幣。研究人員指出，駭客不只鎖定了Apache、Atlassian Confluence、F5 BIG-IP、VMware vCenter、Oracle WebLogic Server等應用系統，亦散布能在Linux與Windows伺服器執行的挖礦工具。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://pay.line.me/portal/jp/customer/press/52227?categoryId="><span style="color: rgb(0, 0, 0);">Line Pay外包商員工不慎將行銷資料上傳GitHub，13萬人資料外洩，Line發現後已刪除並公布調查結果</span></a></strong></h4> <p>Line Pay服務在12月6日發布公告，說明在11月24日發現，有外包集團公司員工在9月12日，未經許可在GitHub上傳了用於調查使用者參與特定行銷活動的相關資訊，Line公司在發現當日，已將相關資訊從GitHub中刪除，並在11月30日完成存取狀態等調查，這些外洩資訊曾被存取11次。這次事件牽連全球13萬3484人用戶，包含臺灣7萬1631人與日本5萬1543人，資料內容主要是用戶識別碼（不同於Line ID）、商店管理編號，以及活動相關資訊，但不包含用戶姓名、地址、電話，以及信用卡與銀行帳號等資訊，因此確認對用戶沒有影響。</p> <h4><strong><a href="https://www.facebook.com/rwnewsmedia/posts/119536780546138"><span style="color: rgb(0, 0, 0);">新網路媒體菱傳媒公告遭駭，後臺伺服器無法登入且報導遭刪除</span></a></strong></h4> <p>曾報導顏清標家族事業版圖、上月新成立的網路媒體菱傳媒，於12月6日傍晚6時發布臉書貼文表示，該新聞網站的後臺伺服器在下午4時44分遭駭客攻擊，員工無法登入後臺，網站上的新聞報導與公司資料庫全遭刪除。目前，該網路媒體已報案處理，事件原因有待調查。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/hundreds-of-spar-stores-shut-down-switch-to-cash-after-cyberattack/"><span style="color: rgb(0, 0, 0);"><strong>連鎖商店Spar遭到網路攻擊，波及330家英國門市</strong></span></a></h4> <p>在全球擁有1.3萬家門市的Spar，傳出英國北部門市遭到網路攻擊，使得許多店家被迫暫停營業，或是只能使用現金交易。根據當地媒體BBC報導，攻擊者鎖定位於蘭開夏郡普雷斯頓的James Hall & Company下手，該公司經營Spar當地的收銀機和IT系統，使得他們經營的逾300家門市受到波及。英國國家網路安全中心（NCSC）證實確有此事，並與蘭開夏郡警方著手調查事故發生的原因。</p> <h4><a href="https://www.theregister.com/2021/12/03/dmea_colorado_cyber_attack_billing_systems/"><span style="color: rgb(0, 0, 0);"><strong>美國公營事業遭到勒索軟體攻擊，計費系統遭到關閉</strong></span></a></h4> <p>美國電力公司Delta-Montrose電氣協會（DMEA）近日發出公告，表示他們於11月7日察覺遭到勒索軟體攻擊，約9成內部網路系統失效，包含了電話與電子郵件系統也受到波及，且大部分的資料都被摧毀，其中，這些資料涵蓋了超過20年的歷史資料，計費系統也無法使用。對此，該公司指出，客戶有可能因此無法支付費用，他們預計在12月6日至10日恢復SmartHub和Kiosk自助服務機臺的繳費服務，並在近期恢復計費。</p> <h4><strong><a href="https://www.websiteplanet.com/blog/galeapp-leak-report/"><span style="color: rgb(0, 0, 0);">配置不當的AWS資料庫洩露3萬名美國醫護人士個資<img alt="" src="https://s4.itho.me/sites/default/files/images/medical-worker-data-breach--1.png" style="width: 300px; height: 126px; float: right;" /></span></a></strong></h4> <p>資安研究員Jeremiah Fowler和架站指南業者Website Planet的研究團隊聯手，發現1個沒有密碼保護的資料庫，內容包含170,239筆記錄，且具有3萬名醫務人員、護理人員的詳細資料。研究人員指出，該資料庫包含了這些人的姓名、電話、電子郵件信箱、居住地址，甚至還有照片與社會安全碼（SSN）。經調查後，這個資料庫屬Gale Healthcare Solutions所有，該公司藉由行動裝置App來媒合病人和醫護人員。針對這次的發現，Gale Healthcare Solutions宣稱，此資料庫的用途，為內部系統測試時期所建立的臨時環境。</p> <h4><a href="https://www.ithome.com.tw/news/148196"><span style="color: rgb(0, 0, 0);"><strong>加密貨幣交易所BitMart被盜走1.5億美元加密貨幣</strong></span></a></h4> <p>加密貨幣交易中心BitMart在12月5日證實遭到駭客入侵，指出駭客存取了以太坊（ETH）及幣安智能鏈（BSC）的熱錢包，使得駭客得以提領價值1.5億美元的加密貨幣資產。這起事故最早是區塊鏈資安業者PeckShield發現，起因是他們看到不尋常的大量匯出交易。BitMart宣稱，受到影響的熱錢包僅存放少數資產，其他的錢包則不受影響，在展開徹底的安全檢查之後，該公司預計於12月9日進行系統維護，屆時將暫停所有的交易。</p> <h4><a href="https://www.trendmicro.com/en_us/research/21/l/vulnerabilities-exploited-for-monero-mining-malware-delivered-via-gitHub-netlify.html"><span style="color: rgb(0, 0, 0);"><strong>透過GitHub、Netlify交付的門羅幣惡意軟體利用多個漏洞散布<img alt="" src="https://s4.itho.me/sites/default/files/images/figure1-vulnerabilities-abused-for-monero-mining-github-netlify.png" style="width: 300px; height: 178px; float: right;" /></strong></span></a></h4> <p>日前Apache修補已遭利用的HTTP伺服器漏洞CVE-2021-42013，近期趨勢科技在著手調查受害範圍時，發現這個漏洞也被用於挖取門羅幣的攻擊行動，而且，攻擊者同時針對其他應用系統的漏洞下手，包含了：</p> <p>● Atlassian Confluence（CVE-2021-26084、CVE-2021-26085）<br /> ● F5 BIG-IP（CVE-2020-5902、CVE-2021-22986）<br /> ● VMware vCenter（CVE-2021-22005、CVE-2021-21985、CVE-2021-21972、CVE-2021-21973）<br /> ● Oracle WebLogic Server（CVE-2020-14882、CVE-2020-14750、CVE-2020-14883）<br /> ● Apache（CVE-2021-40438、CVE-2021-41773、CVE-2021-42013）</p> <p>研究人員發現，攻擊者將挖礦工具與指令碼，存放於程式碼代管平臺GitHub和Netlify，這2個代管平臺獲報後已移除有關帳號。</p> <h4><strong><a href="https://blog.talosintelligence.com/2021/12/magnat-campaigns-use-malvertising-to.html"><span style="color: rgb(0, 0, 0);">攻擊者同時利用後門程式、瀏覽器外掛程式、竊密軟體偷竊受害電腦資料<img alt="" src="https://s4.itho.me/sites/default/files/images/image15.jpg" style="width: 250px; height: 253px; float: right;" /></span></a></strong></h4> <p>思科旗下的威脅情報小組Talos指出，他們發現約自2018年下旬開始活動的駭客組織Magnat，這個組織以提供常見應用程式的安裝軟體為由，誘使受害者在電腦上安裝惡意軟體，鎖定加拿大、美國、澳洲，以及部分歐盟國家而來。一旦受害者執行了駭客提供的「安裝軟體」，電腦就會被植入後門程式、竊密工具，以及Chrome瀏覽器外掛程式等3種惡意軟體。思科認為，駭客的目的很可能是透過銷售竊得的帳密，或是藉由詐騙交易，以及遠端存取受害電腦等方式牟取經濟利益。</p> <h4><a href="https://www.ithome.com.tw/news/148215"><span style="color: rgb(0, 0, 0);"><strong>盜版工具KMSpico驚傳竊取瀏覽器個資與加密貨幣錢包</strong></span></a></h4> <p>資安業者FollowRed Canary警告，被用來破解微軟Windows及Office產品的盜版工具KMSpico，暗藏了惡意程式Cryptbot，將可竊取多種加密貨幣錢包，以及Avast Secure、Brave、Opera、Chrome、Firefox、Vivaldi等瀏覽器的機密資訊。研究人員指出，由於這項工具被防毒軟體視為潛在的有害程式，使用者執行時往往會先關閉防毒軟體，而讓駭客有了可乘之機。</p> <h4><a href="https://www.mandiant.com/resources/russian-targeting-gov-business"><span style="color: rgb(0, 0, 0);"><strong>發動SolarWinds供應鏈攻擊的俄羅斯駭客，仍持續針對全球政府和組織發動攻擊</strong></span></a></h4> <p>資安業者Mandiant追蹤發動SolarWinds供應鏈攻擊的俄羅期駭客組織UNC2452（亦稱Nobelium），並於12月6日揭露後續成果。結果發現，與UNC2452有關的2個駭客組織UNC3004、UNC2652，自2020年開始已對於多個科技業者與經銷商下手，並透過第三方取得初始的入侵管道，而在2021年第1季，這些駭客冒用特權帳號來探索敏感的電子郵件資料，再使用家用IP代理伺服器服務與地理位置基礎設施，與受害電腦進行通訊。研究人員表示，這些駭客不只會繞過虛擬機器，還會收集內部路由組態資訊。此外，攻擊者也濫用智慧型手機的推送機制，通過多因素驗證（MFA）。</p> <h4><a href="https://blogs.microsoft.com/on-the-issues/2021/12/06/cyberattacks-nickel-dcu-china/"><span style="color: rgb(0, 0, 0);"><strong>中國駭客組織Nickel用於發動攻擊的網站遭到扣押</strong></span></a></h4> <p>微軟於12月2日向美國維珍尼亞東區地方法院提出訴狀，請求封鎖中國駭客組織Nickel（亦稱KE3CHANG、APT15、Vixen Panda、Royal APT、Playful Dragon）所經營的網站，該網站被用於攻擊美國與其他28個國家。該組織的攻擊目標涵蓋北美洲、中美洲、南美洲、加勒比地區、歐洲，以及非洲等地區的外交組織及外交部，且攻擊行動往往與中國地緣政治及利益存在關連。這項訴狀得到法院核准，並於12月6日封鎖Nickel的網站，有關流量將被引導到微軟的安全伺服器。</p> <h4><a href="https://www.ithome.com.tw/news/148201"><span style="color: rgb(0, 0, 0);"><strong>美國網戰司令部加入對抗勒索軟體的行列</strong></span></a></h4> <p>根據紐約時報的報導，自美國最大燃油管道系統Colonial Pipeline與全球最大肉品業者JBS遭到勒索軟體攻擊後，該國政府決定動用軍方資源採取更積極的行動，因此，他們要求美國網戰司令部（U.S. Cyber Command）加入對抗勒索軟體集團的行列。美國國安局局長暨網戰司令部司令Paul Miki Nakasone向紐約時報透露，他們不只是對抗勒索軟體威脅，並從被動轉變為主動，採取主動出擊的策略。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://hacks.mozilla.org/2021/12/webassembly-and-back-again-fine-grained-sandboxing-in-firefox-95/"><span style="color: rgb(0, 0, 0);">Firefox導入新的隔離技術，防範攻擊者繞過沙箱的行為</span></a></strong></h4> <p>自2020年2月底，<a href="https://www.ithome.com.tw/news/136025">Mozilla宣布推出名為RLBox的沙箱技術</a>，將存在資安風險的Firefox元件，透過名為WebAssembly的沙箱執行，並從Firefox 74、75，提供給Linux與macOS使用者。而到了最近，該公司將這項技術再度強化，並自Firefox 95全面提供給所有電腦版及行動裝置平臺的用戶。Mozilla也調整了漏洞懸賞計畫的內容，若是研究人員發現能夠繞過沙箱的攻擊手法，也將有機會獲得獎金。</p> <h4> </h4> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148199">2021年12月6日</a></p> <p><a href="https://www.ithome.com.tw/news/148162">2021年12月3日</a></p> <p><a href="https://www.ithome.com.tw/news/148132">2021年12月2日</a></p> </div></div></div>
2021/12/7 13:18作者周峻佑https://www.ithome.com.tw/news/148225
WhatsApp新功能讓用戶得以設定訊息有效期限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球市場最熱門的行動傳訊程式WhatsApp繼於去年11月<a href="https://blog.whatsapp.com/introducing-disappearing-messages-on-whatsapp/" target="_blank">推出限時訊息功能</a>，今年8月發表<a href="https://blog.whatsapp.com/view-once-photos-and-videos-on-whatsapp" target="_blank">單次檢視的相片及影片功能</a>之後，<a href="https://blog.whatsapp.com/more-control-and-privacy-with-default-disappearing-messages-and-multiple-durations" target="_blank">本周進一步允許用戶設定訊息的有效期限</a>。</p> <p>限時訊息是在使用者啟用後，於對話中所傳送的訊息會在7天之後消失，單次檢視則會在對方開啟相片及影片之後，就會讓內容人間蒸發。</p> <p>本周WhatsApp新增的功能則是讓使用者把限時訊息設定為預設值，使該功能適用於所有新建立的一對一對話，或者也能在建立群組對話時啟用限時訊息，對方也能在使用者啟用限時訊息時收到通知。</p> <p>此外，WhatsApp亦增加了限時訊息的時間選項，除了既有的7天之外，另外提供24小時與90天的選項。</p> <p><a href="https://www.statista.com/statistics/258749/most-popular-global-mobile-messenger-apps/" target="_blank">根據市場調查機構Statista的統計</a>，WhatsApp為全球最受歡迎的行動傳訊程式，用戶數達20億，其它位於前五名的程式還包括Facebook Messenger（13億）、微軟（12.5億）、QQ（5.9億）與Telegram（5.5億）。至於Line則主要盛行於日本、臺灣及泰國等亞洲市場。</p> </div></div></div>
2021/12/7 13:23作者陳曉莉https://www.ithome.com.tw/news/148226
定位服務Life360遭爆自2016年就開始出售用戶位置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/147981" target="_blank">在上個月宣布買下智慧型追蹤器製造商Tile的定位服務業者Life360</a>，在本周<a href="https://themarkup.org/privacy/2021/12/06/the-popular-family-safety-app-life360-is-selling-precise-location-data-on-its-tens-of-millions-of-user" target="_blank">被《The Markup》踢爆</a>，該公司不僅出售用戶資料予十多家資料掮客，還是資料市場最大的供應商之一。Life360承認了資料銷售是該公司的商業模式之一，但禁止客戶再將資料轉售給任何基於執法目的的政府機關。</p> <p>2008年成立的Life360主要提供家人定位服務，以供使用者隨時掌握家人的行蹤，市場版圖擴及全球，儘管總部設於美國，但2019年選擇在澳洲證券交易所掛牌上市，全球用戶約為3,300萬。</p> <p>《The Markup》引述了Life360前員工與多家資料掮客的說法，指出Life360出售用戶的位置資料予十多家資料掮客，而且是資料市場最大的供應商之一。而這些掮客則再將資料出售給其它業者，包括廣告業者在內。</p> <p>報導指出，Life360自2016年就開始出售用戶資料，去年該業務替Life360帶進1,600萬美元的營收，接近Life360總營收的20%。</p> <p>Life360執行長Chris Hulls則坦承，這是該公司商業模式的一部份，讓該公司得以提供免費的核心服務予大多數的使用者，例如改善司機安全或拯救生命等服務。</p> <p>事實上，<a href="https://support.life360.com/hc/en-us/articles/360043228154-Full-Privacy-Policy" target="_blank">Life360的隱私政策已揭露此事</a>。明文指出該公司會與第三方的資料合作夥伴分享用戶資料，包括位置與移動資料，以作為廣告或研究使用，而且它是預設的，使用者必須主動啟用「Do Not Sell My Personal Information」選項才能避免個資被出售。</p> </div></div></div>
2021/12/7 12:47作者陳曉莉https://www.ithome.com.tw/news/148221
AirTag被歹徒用來偷車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果AirTag推出後被發展出各類用法，像是有機車騎士用來追查自己的失竊愛車。但是<a href="https://www.yrp.ca/en/Modules/News/index.aspx?newsId=167fa5b3-3583-431d-8cc0-91e49aee3bff" target="_blank">加拿大警方發現</a>AirTag落在歹徒手裏也能用來偷車。</p> <p>加國安大略省約克郡警方今年9月偵辦的5起車輛竊案，手法都是歹徒利用AirTag跟蹤名車主住處再下手竊車。他們先在百貨賣場或公眾停車場中搜尋目標，將AirTag置於車上不易為人察知的地方，像是油箱蓋、或任何車身凹陷處等。歹徒使用AirTag及iPhone的藍牙定位功能追蹤到車主住家，最後從其車道上將車開走。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1207-airtag%20car%20theft-600-2.jpg" style="width: 314px;" /></p> <p><span style="color:#696969;">圖片來源_</span><a href="https://www.yrp.ca/en/Modules/News/index.aspx?newsId=167fa5b3-3583-431d-8cc0-91e49aee3bff" target="_blank"><span style="color:#696969;">加拿大警方</span></a></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1207-airtag%20car%20theft-600-1.jpg" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_</span><a href="https://www.yrp.ca/en/Modules/News/index.aspx?newsId=167fa5b3-3583-431d-8cc0-91e49aee3bff" target="_blank"><span style="color: rgb(105, 105, 105);">加拿大警方</span></a></p> <p>警方發現，竊賊利用螺絲起子就能在不觸發警報下開啟正或副駕駛座車門。進入車內以網路上買來的匹配儀連接到儀表板下的資料傳輸埠，輸入程式破解晶片鎖，使車子接受歹徒的車鑰，最後將車開走。</p> <p>AirTag會在用戶被他人跟蹤時發出警告，但車主若沒有iPhone或是沒看到訊息，就會錯過通知。</p> <p>除了提醒車主加裝拐杖鎖及停在安全車庫中，加國警方也建議車主封鎖車上系統的傳輸埠、安裝影像監控裝置，並留意車子是否被放入可疑的追蹤裝置。</p> </div></div></div>
2021/12/7 13:00作者林妍溱https://www.ithome.com.tw/news/148222
Facebook Messenger在美測試攤分付帳功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta持續擴大消費金融業務。繼提供使用者以Facebook Messenger轉帳及<a href="https://www.ithome.com.tw/news/94621" target="_blank">Facebook Pay匯款、購物支付的功能</a>後，<a href="https://messengernews.fb.com/2021/12/03/close-out-the-year-with-messengers-new-expression-tools/" target="_blank">上周宣布攤分付帳功能</a>，首先會在美國地區試行。</p> <p>Meta表示，這項免費功能讓一群人可以快速分攤聚餐費用、家人分攤家用開支或和室友分攤房租。這個動作由某一用戶發出要求，他按下群組聊天的「Get Started」鍵或Messenger的支付中心（Payments Hub）後，就可以依人頭平分費用或是修改分帳比例。其他人利用Facebook Pay支付完成（或未完成）情形，也會顯示在群組聊天的通訊紀錄內，點入支付細節則可看到均分者及其付款狀態。</p> <p>今年6月Meta（當時還名叫臉書）也強化<a href="https://www.ithome.com.tw/news/144966" target="_blank">Messenger產生QR code或連結支付功能</a>，方便用戶轉帳或要求友人付款。</p> <p>其他新增功能則投青少年用戶所好，包括在Messenger或IG群組影像通話時即時加入AR特效，以及和《怪奇物語》影集合作的聲音表情符號（soundmoji）。</p> </div></div></div>
2021/12/7 13:12作者林妍溱https://www.ithome.com.tw/news/148223
駭客以改造版Excel XLL檔散布竊密軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/malicious-excel-xll-add-ins-push-redline-password-stealing-malware/" target="_blank">專業資安網站Bleeping Computer發現</a>有人在網路散布惡意Microsoft Excel XLL外掛檔案，以下載竊密軟體。</p> <p>近日一些網站的聯絡資訊表單或網路論壇留下這些XLL檔案。一旦用戶安裝後，即會下載竊密軟體RedLine，後者是一隻蒐集cookies等敏感資訊的木馬程式，也可在受害者電腦上執行指令。</p> <p class="rtecenter"><img alt="" src="https://www.bleepstatic.com/images/news/security/phishing/r/redline-xll/fake-plutio-site.jpg" style="width: 600px;" /></p> <p><a href="http://www.bleepingcomputer.com/news/security/malicious-excel-xll-add-ins-push-redline-password-stealing-malware/" target="_blank"><span style="color:#696969;">圖片來源_Bleeping Computer</span></a></p> <p>XLL是專門為Microsoft Excel執行的DLL檔，目的在擴充Excel功能，像是從外部資源匯入資料，或是執行需要的功能。</p> <p>Bleeping Computer偕同外部安全專家分析發現到的XLL樣本，可在某些版本Excel執行，但某些版本則無法正確啟動。手動執行會觸發它在User Profile資料夾內下載binary JavaBridge32.exe，後者再下載並自動執行RedLine。分析顯示，這隻木馬程式會搜尋Chrome、Edge、Firefox等瀏覽器cookies、以蒐集帳號密碼、信用卡資訊、FTP伺服器憑證、或是下載其他惡意軟體，或是擷取開啟中的Windows應用程式畫面。</p> <p class="rtecenter"><img alt="" src="https://www.bleepstatic.com/images/news/security/phishing/r/redline-xll/wget.jpg" style="width: 350px;" /></p> <p><a href="http://www.bleepingcomputer.com/news/security/malicious-excel-xll-add-ins-push-redline-password-stealing-malware/" target="_blank"><span style="color: rgb(105, 105, 105);">圖片來源_Bleeping Computer</span></a></p> <p>這類XLL檔案也可能透過垃圾信件發送。媒體建議，防範方式很簡單，就是不要點選任何可疑或陌生郵件。</p> <p>惡意程式利用Office應用程式散布未曾間斷過。<a href="https://www.ithome.com.tw/news/148158" target="_blank">安全研究人員上周才揭露</a>數個國家駭客組織使用名為RTF範本注入（RTF template injection）的手法，變更RTF的文件屬性設定，以便用戶開啟Word文件時，即從遠端網站載入竊密惡意程式。</p> </div></div></div>
2021/12/7 12:04作者林妍溱https://www.ithome.com.tw/news/148220
VS Code Java 1.1.0終於解決產生惱人專案後設資料的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最新的<a href="https://devblogs.microsoft.com/java/say-goodbye-to-project-files-in-1-1-0/">VS Code Java擴充套件1.1.0版本</a>，在擴充套件匯入新的Java專案時，將不會在專案預設路徑中，生成專案的後設資料檔案，包括.project、.classpath和配置等，免去用戶在瀏覽檔案，以及Git管理程式碼版本時所產生的麻煩。</p> <p>這個問題要追溯到2018年開發者，在GitHub上提出的問題，該貼文描述到，當使用VS Code的Java擴充套件開啟Java專案時，無論是Maven還是Gradle，擴充套件都會在專案資料中創建許多.project、.settings或.classpath等檔案，貼文作者表示，他必須要把這些檔案添加到.gitignore檔案中，還要把他們加入到VS Code配置中的files.exclude，才能在資源管理器中隱藏。</p> <p>Java擴充套件因為匯入專案時，會在專案目錄下產生後設資料檔案的這個問題，獲得許多一星評價，隨著Java擴充套件功能越來越多，擴充套件使用的人數也穩定增加，影響範圍擴大，微軟決定再次嘗試解決這個問題。微軟提到，並不是他們的產品團隊不想解決這個問題，但這個問題根本原因在於Java語言服務的架構，使他們難以施力。</p> <p>VS Code Java擴充套件使用一個稱為Eclipse JDT Language Server，由微軟和紅帽共同開發的Java語言服務專案，而JDT Language Server使用了部分Eclipse模組，這些惱人的後設資料檔案，便是由這些上游模組產生，因為這些後設資料檔案的路徑，在實作過程在程式碼中都寫死成常數，且已經被各種Eclipse模組和擴充套件參照，所以儼然成為多年的技術債。</p> <p>考慮到改變上游模組的行為，可以能對下游專案產生許多不確定性，微軟過去嘗試了一些方法，像是在VS Code檔案瀏覽器中，隱藏這些後設資料檔案，並引導用戶添加到.gitignore，不過顯然用戶並不買單這個作法，因此經過了三年，微軟再次進行多項嘗試，希望能夠找到更好的解決方案。</p> <p>微軟嘗試了符號連結（Symbolic link）以及Eclipse連結資源（Eclipse Linked Resources）解法，但都因為各種限制不盡理想，最後的解法則是使用檔案系統提供程式（File System Provider）。微軟解釋，檔案系統提供程式是一個Eclipse平臺的擴充點，能讓開發者實現Eclipse檔案系統介面，並將其註冊到擴展點，以處理特定URI架構的檔案請求。</p> <p>微軟從檔案系統提供程式擴展點下手，繼承並覆寫Eclipse預設的檔案處理系統，透過覆寫其中一些方法，檔案系統在處理後設資料檔案時，會重新導向檔案路徑，並且讀寫檔案到專案路徑之外的地方，這項解法的優點是，對其他模組透明，不需要修改就可以正常運作，程式碼變動量也很小，最終實作只改動300行左右的程式碼。</p> <p>雖然這項作法還是有其缺點，其他模組需要透過Eclipse API來讀取後設資料，不過和別的方法比起來，從檔案系統提供程式著手是最不複雜，且最適當的方法，終於解決了這個困擾用戶三年多的問題。</p> </div></div></div>
2021/12/7 09:35作者李建興https://www.ithome.com.tw/news/148212
小心！盜版工具KMSpico暗藏惡意程式以竊取瀏覽器及加密貨幣錢包的機密資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://redcanary.com/blog/kmspico-cryptbot/" target="_blank">美國資安業者FollowRed Canary本周警告</a>，被用來破解微軟Windows及Office產品的盜版工具KMSpico暗藏了惡意程式Cryptbot，將可竊取多種加密貨幣錢包及瀏覽器的機密資訊。</p> <p>KMSpico為一用來啟用Windows及Office完整功能的盜版工具。一般而言，微軟產品的企業授權是先安裝一個Windows金鑰管理服務（Key Management Services，KMS）伺服器，再使用群組原則物件（Group Policy Objects，GPO）來配置客戶端以與KMS伺服器交流，而KMSpico即是在系統上模擬KMS伺服器，來啟用微軟產品的終端授權。</p> <p>KMSpico既是盜版工具，就會在許多地下論壇內流通，也被許多防毒軟體視為潛在的有害程式（Potentially Unwanted Software，PUS），因而會建議使用者要安裝前先關閉防毒軟體，更給了駭客可乘之機。</p> <p>FollowRed Canary即發現，駭客在網路上散布了一款夾帶惡意程式Cryptbot的KMSpico，而Cryptbot主要用來竊取受害者系統上的機密資訊，被鎖定的應用程式包括各種加密貨幣錢包，以及Avast Secure、Brave、Opera、Chrome、Firefox及Vivaldi等瀏覽器。</p> <p>研究人員建議，使用者通常是為了省錢才會使用盜版工具，但稍一不慎就會得不償失，取得正版授權才是上策。</p> </div></div></div>
2021/12/7 09:21作者陳曉莉https://www.ithome.com.tw/news/148215
Google打造增強學習資料集生態系RLDS，促進資料收集和交流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布了一個用於記錄、重播、操作、註釋和共享資料，來支援序列決策，包括離線增強學習、模仿學習或是演示學習的資料生態系<a href="https://ai.googleblog.com/2021/12/rlds-ecosystem-to-generate-share-and.html">增強學習資料集（RLDS）</a>。RLDS能夠讓使用者在不需要了解底層格式，也不遺失任何資料的情況下，簡單地共享資料集，供研究人員在廣泛的任務中，共享和重用資料來測試演算法。</p> <p>大多數增強學習和序列決策演算法，都需要從與環境大量互動中取得訓練資料，來實現最佳效能，Google提到，這是很低效率的方法，尤其是當進行這些互動特別困難時，也就更難以收集資料，像是要以真實機器人收集資料，或是與人類專家互動時。</p> <p>雖然這個問題可以透過重用外部知識來源解決，像是RL Unplugged Atari資料集，就包含遊戲代理玩Atari遊戲的資料，但這同樣存在一些問題，像是這些資料集很少，而且序列決策生成資料的方式各異，研究人員表示，整個社群都只能使用這些數量極少，且不具代表性的資料集，使得這個方法也顯得不切實際。</p> <p>另外，部分資料集僅以適用特定演算法的形式發布，這也阻擋了其他研究人員重複使用這些資料的可能性，像是資料沒有包含與環境互動的順序，而是一組隨機互動的資料，如此便無法重建資料之間的關係，或是部分資料集可能以些微相異的格式發布，而這也使得細微錯誤難以被發現。</p> <p>為了解決這個問題，研究人員發展出了RLDS，透過紀錄任何類型的代理和環境互動，來生成資料集，為了保有其可用性，原始資料以無損格式儲存，透過紀錄產生的所有資料，保持資料項目之間的時間關係，並且不對資料的使用目的進行任何假設。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/a/AVvXsEj4uS00NbYtZuBqs81tGSmTSrrD-RCzzyU2M8gFN_hWzM4HWK9eO_AuQyolS_xthWi8_mc8DKAxe-JyD9XtYneiFCSjorzn7PDUOtfW1cCVHcSoRBkiAxBHgzOsTscFPTjBoMLdfi9xipQV53S20Lq-vNdDPtv8_TFEm6sqj1oBQnvfKPzOgVdABJLe8Q=w576-h640" style="width: 576px;" /></p> <p>RLDS提供了兩個工具，分別是EnvLogger和RLDS Creator。EnvLogger是一個以開放格式紀錄代理和環境互動的軟體函式庫，可記錄代理和環境的互動，並且將這些資訊保存在長期儲存中，EnvLogger目前已經整合到RLDS生態系中，但是Google將其設計成獨立函式庫，來實現模組化。</p> <p>收集用於增強學習的人類資料，是一個耗時且勞力密集的過程，過去通常是透過群眾外包的方式來解決，但這需要友善的工具，以方便大量參與者幫忙，在RLDS生態系中，RLDS Creator是一個網頁工具，提供瀏覽器的通用接面，使研究人員能夠創建可控的環境，讓參與者與環境互動，像是在線上玩Atari遊戲，並且記錄和儲存所有互動資料，供之後分析和訓練代理使用。</p> <p>RLDS和TensorFlow資料集（TFDS）整合，一旦RLDS資料集成為TFDS的一部分，便會在TFDS目錄中加入索引，任何研究人員便可以使用TFDS的函式存取，並且以Tensorflow或Numpy格式載入資料，目前在TFDS中相容於RLDS的資料集，包括RLUnplugged DMLab、Atari和Real World RL資料集，還有使用RLDS工具所生成的三個Robosuite資料集等。</p> </div></div></div>
2021/12/7 09:30作者李建興https://www.ithome.com.tw/news/148211
中國電信上訴失敗，將於明年1月初退出美國市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國電信對抗美國政府撤照的上訴行動，<a href="https://docs.fcc.gov/public/attachments/DOC-378456A1.pdf" target="_blank">在上周遭美國法院判決失敗</a>，中國電信必須在明年1月3日結束在美國的電信服務，退出當地市場。</p> <p>美國哥倫比亞特區上訴法院在12月初的判決，是為了回應中國電信提出暫緩聯邦通訊委員會（FCC）行政命令的緊急臨時動議。法院文件僅僅指出，陳情方未能滿足暫緩執行的嚴格要求。</p> <p>今年4月美國司法部、國土安全部、國防部、商務部等單位以威脅美國國家安全為由，<a href="https://www.ithome.com.tw/news/136928" target="_blank">要求FCC終止中國電信美洲分公司在美國的營運許可</a>。10月底<a href="https://www.ithome.com.tw/news/147494" target="_blank">FCC宣布撤銷中國電信美洲分公司（China Telecom Americas）在美國20年經營許可</a>，不得提供美國國內或國際電信服務，並要求它在60天內結束經營。FCC的理由是中國電信未能清楚解釋何以大量服務未提供加密，以及中國電信美國分公司受到中國政府控制，極可能受制於中國政府，使其得以存取美國電信網路從事間諜活動，威脅美國國家安全。</p> <p>中國電信美國分公司向FCC要求舉行公聽會被拒，於是循司法上訴途徑，希望暫緩FCC的命令，該公司聲明被迫結束營運，將對其業務、聲譽與客戶關係產生重大傷害。</p> <p><a href="https://www.fcc.gov/consumers/guides/information-and-resources-china-telecom-americas-can-no-longer-provide-mobile" target="_blank">根據FCC公告</a>，中國電信美洲分公司需在2022年1月3日前，終止在美境內的所有國內及國際電信服務。FCC要求，使用中國電信MVNO服務CTExcel的用戶需在此之前，移轉到新的服務供應商，同時中國電信必須在終止服務前30天預告用戶。</p> <p>在此之前，中國電信已經在美下市，並於8月在上海證交所掛牌上市。</p> <p>美中關係緊張影響中國企業在美發展，今年6月才在美國IPO的滴滴打車，<a href="https://tw.news.yahoo.com/%E4%B8%AD%E7%BE%8E%E7%9B%A3%E7%AE%A1%E5%A4%BE%E6%93%8A-%E6%BB%B4%E6%BB%B4-%E6%B1%BA%E5%AE%9A%E8%87%AA%E7%BE%8E%E4%B8%8B%E5%B8%82-%E5%9B%9E%E6%B5%81%E6%B8%AF%E8%82%A1-115301553.html" target="_blank">上周宣布從紐約證交所下市</a>，將轉赴香港股市掛牌。</p> </div></div></div>
2021/12/7 10:13作者林妍溱https://www.ithome.com.tw/news/148216
美國國務院多名員工iPhone被植入Pegasus間諜軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/technology/exclusive-us-state-department-phones-hacked-with-israeli-company-spyware-sources-2021-12-03/" target="_blank">《路透社》上周引述消息來源報導</a>，美國國務院至少有9名員工的iPhone被植入了由以色列資安業者NSO Group所打造的間諜軟體Pegasus，隨後<a href="https://www.washingtonpost.com/technology/2021/12/03/israel-nso-pegasus-hack-us-diplomats/" target="_blank">《華盛頓郵報》亦透過消息來源證實了此事</a>，還說其實收到蘋果通知的國務院員工是11名。</p> <p><a href="https://www.ithome.com.tw/news/147654" target="_blank">美國在11月3日出手制裁4家資安業者</a>，將以色列的NSO Group及Candiru，以及俄羅斯的Positive Technologies與新加坡的Computer Security Initiative Consultancy 納入《實體名單》（Entity List），禁止美國個人及業者與這4家業者交易，<a href="https://www.ithome.com.tw/news/147998" target="_blank">蘋果則是在11月23日宣布控告NSO Group</a>，同一天蘋果也表示將通知那些疑似遭國家級駭客攻擊的用戶，而《路透社》與《華盛頓郵報》的報導即是來自於收到蘋果通知的iPhone用戶。</p> <p>根據報導，駭客鎖定的是那些在烏干達或東非國家任職的美國外交人員，而且Pegasus已進駐受害者手機長達數月之久。</p> <p>當由非營利組織禁忌故事（Forbidden Stories）負責協調的<a href="https://www.ithome.com.tw/news/145754" target="_blank">Pegasus專案在今年7月曝光時</a>，便曝露了疑似NSO Group客戶打算攻擊的一份含有5萬筆電話號碼的名單，名單上即包括了各國政要，但不確定這些政要的手機是否已被入侵。</p> <p>一直強調只把駭客工具出售給政府執法及情報機構，並未涉及監控行動的NSO Group回應了《路透社》，表示他們並不知道客戶以Pegasus來監控美國官員，但已暫時禁止相關的客戶存取駭客工具，若調查屬實，將會永遠禁止該客戶使用，並採取法律行動。</p> </div></div></div>
2021/12/7 08:42作者陳曉莉https://www.ithome.com.tw/news/148213
勒索軟體Cuba攻擊美國49個重大基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/Media/News/2021/211203-2.pdf" target="_blank">美國聯邦調查局（FBI）上周警告</a>，勒索軟體Cuba成功入侵了美國重大基礎設施的49個實體，駭客向受害者總計勒索了7,400萬美元，而不法所得則至少有4,390萬美元。</p> <p>這是FBI截至今年11月初的統計，指出受害領域橫跨金融、政府、健康醫療、製造與資訊科技，主要是透過Hancitor惡意程式散布，Hancitor先行利用網釣郵件、Microsoft Exchange安全漏洞、盜來/買來的憑證或合法的RDP工具進駐受害者電腦，再下載包括遠端存取木馬與勒索軟體等惡意程式。</p> <p>接著駭客就會利用諸如PowerShell或PsExec等合法的Windows服務，自遠端透過Windows的管理權限來執行勒索軟體或其它程序，將受害者的系統及網路加密，遭到加密的檔案副檔名為.cuba。</p> <p><a href="https://www.mcafee.com/enterprise/en-us/assets/reports/rp-cuba-ransomware.pdf" target="_blank">根據資安業者McAfee的研究報告</a>，Cuba現身於2019年年底，受害者遍布美洲與歐洲，利用PowerShell腳本程式於受害系統中橫向移動並部署攻擊，也具備許多防偵測技術，而且駭客還會對外出售所盜來的資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1207-cuba%20by%20McAfee(1).jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_</span><a href="https://www.mcafee.com/enterprise/en-us/assets/reports/rp-cuba-ransomware.pdf" target="_blank"><span style="color:#696969;">McAfee</span></a></p> <p>FBI則公布了受到Cuba勒索軟體駭客集團入侵的指標，與該集團所使用的電子郵件帳號、IP位址、比特幣錢包與勒索信等，也建議各組織應要求所有帳號都必須以密碼登入、採用多因素認證、即時更新軟體、移除不必要的遠端管理分享，以及採用基於主機的防火牆。</p> <p>此外，為了避免駭客於受害系統中流竄，各大組織也應隔離重要網路，部署網路監控工具，限制管理權限的使用時間，關閉命令列，維護離線備份資料，以及確保所有離線資料是免疫的。</p> </div></div></div>
2021/12/7 08:54作者陳曉莉https://www.ithome.com.tw/news/148214
AWS推Redshift無伺服器服務，適用工作量多變的資料分析任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其re:Invent大會上，公開無伺服器資料倉儲服務<a href="https://aws.amazon.com/tw/blogs/aws/introducing-amazon-redshift-serverless-run-analytics-at-any-scale-without-having-to-manage-infrastructure/">Amazon Redshift Serverless</a>公共預覽的消息，讓用戶能夠在雲端以任何規模，高效能地執行分析工作負載，而不需要配置和管理叢集，只要載入資料就能開始查詢，而且用戶只要在使用資料倉儲、載入資料或查詢時支付費用，資料倉儲閒置時則不需要付費。</p> <p>由於資料分析的應用在企業內持續擴大，應用的情境也越來越多元，有部分工作負載峰值不可預測，使得企業難以管理容量，而Redshift Serverless能解決這項問題，因為該服務能夠自動配置用戶需要的運算資源，隨著更多用戶和新工作加入時，Redshift會自動擴展適應工作量變化。用戶可以選擇基礎資料倉儲大小，以進一步控制成本，和特定應用程式的SLA。</p> <p>官方提到，當計算需求難以預測時，像是多變的工作負載、具有閒置時間的周期性工作，或是用來應付穩定工作負載突如其來的爆流量，Redshift Serverless將會是更方便的選擇，另外，對於需要快速啟動的臨時分析需求，或是測試開發環境也很適合。</p> <p>Redshift Serverless支援Redshift所有SQL功能，包括半結構化的支援，用戶可以使用任何符合JDBC/ODBC的工具，或是Redshift Data API來查詢資料，而且也可以拍攝Redshift預配置叢集的快照，將原本的Redshift叢集恢復成為無伺服器服務，用戶只要更新SQL應用程式，就可以無縫使用新的無伺服器端點。</p> <p>Redshift Serverless的計費方式，為運算和儲存獨立計價，運算容量以Redshift處理單元（RPU）為單位按秒計費，而儲存方面，用戶需要支付Redshift儲存和快照的資料容量，類似用戶使用RA3執行個體預配置叢集所支付的費用。</p> <p>用戶可以透過制定使用限制來控制成本，以RPU小時為單位指定使用限制，設定每日、每周和每月的用量，官方提到，更高的使用限制，可以提高系統整體的吞吐量，對於需要處理高並行並且維持一致高效能的工作負載特別有用。</p> <p>當運算資源沒有活動時，後臺系統會自動關閉，並且在載入資料或是傳入查詢時恢復運作。由於無伺服器端點是以AWS帳號層級配置，當多個團隊或是專案想要獨立管理成本，可以使用個別的帳戶，並且在預配置的叢集和伺服器端點，甚至是跨帳號的無伺服器端點間共享資料。Amazon Redshift Serverless目前已經在美東、美西、歐洲上線，亞洲則可以在東京地區用到。</p> </div></div></div>
2021/12/7 09:07作者李建興https://www.ithome.com.tw/news/148210
Cloud周報第127期：Adidas將搬遷ERP上雲連結跨國銷售數據，AWS在剛落幕re:Invent大會發布多項新…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2021/11/18～2021/12/01）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 運動品牌 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ERP上雲 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資料驅動 </span></strong></p> <p><strong style="font-size: 22px;">Adidas宣布擴大上雲，要分析各地營運資料優化消費體驗</strong></p> <p>運動品牌Adidas宣布擴大採用公有雲，將搬遷SAP工作負載上AWS，並採用現代化的SAP S/4HANA平臺，來數位化核心業務流程，改善顧客體驗。搬遷ERP系統上雲後，Adidas還要建置雲端資料湖，連結和存放全球各地實體銷售通路的營運數據，再利用雲端機器學習和分析服務，獲得內部業務和顧客消費的洞察，以優化各零售店的供應鏈、庫存和銷售營運的表現，還有打造新的消費者體驗。</p> <p>Adidas資料科學家將採用SageMaker，訓練各式業務的預測模型，像是預測產品季節性需求，確保特定倉庫或零售店在適當時機，有充足且符合當地市場需要的產品，從而提高顧客滿意度，還有，利用銷售資料打造個人化產品，並提供顧客個人化優惠資訊，提升顧客的品牌忠誠度。另外，Adidas將利用公雲運算資源，實現大規模3D設計作業，讓世界各地的設計團隊能同時執行複雜的工作負載，並打造數位分身，以虛擬方式呈現運動服飾和鞋類，以在產品設計初期就獲得消費者回饋，納入後續設計考量的討論中。<a href=" https://press.aboutamazon.com/news-releases/news-release-details/adidas-migrates-sap-environments-aws">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療業 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 產業雲 </span></strong> </p> <p><strong style="font-size: 22px;">鎖定電子病歷上雲需求，微軟在臺引進醫療產業雲，要聯手第三方業者2年建100個智慧醫療應用</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BE%AE%E8%BB%9F%E9%86%AB%E7%99%82%E7%94%A2%E6%A5%AD%E9%9B%B2(1).jpg" style="width: 600px; height: 262px;" /></p> <p>鎖定衛福部電子病歷上雲政策正式上路後，醫院使用公雲服務的需求將大幅提高，臺灣微軟日前宣布將引進旗下醫療產業雲Microsoft Cloud for Healthcare，讓醫療業者利用Azure、Microsoft 365、Dynamics 365和Power Platform的服務，開發所需的應用程式。這朵醫療產業雲可支援3大領域和9大應用場景的醫療需求，3領域包含醫病互動、醫院內部協作，以及醫療資訊洞察，再延伸9種應用情境，像是智慧流程應用開發、患者長期監測、臨床分析、遠距醫療等。</p> <p>此外，臺灣微軟還將聯手15家第三方業者，包含華碩AI研發中心、奇唯科技、亞大基因、遠東醫電等，利用醫療產業雲開發符合臺灣醫療情境的應用程式，且目標2年內打造100個應用。不過，微軟醫療雲仍要待介面中文化工程，告一段落，才會落地臺灣，且因Azure臺灣資料中心要待明年才會啟用，該朵雲會先提供與電子病歷無關的智慧醫療應用，未來才會提供電子病歷相關應用，還有塑造智慧醫療生態系。<a href="https://news.microsoft.com/zh-tw/healthcare-cloud/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 無程式碼工具 </span></strong> </p> <p><span style="font-size: 22px;"><strong>AWS發布無程式碼AI工具SageMaker Canvas，企業業務分析人員將能點擊操作建ML模型</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/sagemaker-canvas.png" style="width: 600px; height: 238px;" /></strong></span></p> <p>AWS近日發表無程式碼AI工具SageMaker Canvas，企業業務分析師不需具備ML專業知識，就能簡單地組合不同資料源的資料，建立機器學習模型，進而獲得預測數據。SageMaker Canvas採用與SageMaker相同的技術，能自動清理和組合不同來源的資料，目前涵蓋S3、Redshift、Snowflake，以及本地端資料集，並在背景建立數百個模型後，選出效能最佳的模型，來生成用戶需要的預測。</p> <p>因此，用戶透過SageMaker Canvas視覺化介面瀏覽及存取，散布雲端或本地端等不同環境的資料後，能依需求點選資料源，組合資料集來訓練模型，接著，只要有新資料出現，模型會生成新的預測。AWS表示，企業資料科學人力有限，缺乏各種演算法、訓練參數、評估指標，以及部署最佳實踐等ML知識條件下，可以利用這項工具來分析和處理日常的資料，建構預測系統。</p> <p>新的機器學習功能也支援二元分類、多元分類，還有數值迴歸和時間序列預測等多種問題類型，用戶可建置像是詐欺偵測、庫存最佳化和減少客戶流失等應用模型。現階段，SageMaker Canvas在俄亥俄州、法蘭克福等美歐AWS地區，上線提供使用。<a href=" https://aws.amazon.com/tw/blogs/aws/announcing-amazon-sagemaker-canvas-a-visual-no-code-machine-learning-capability-for-business-analysts/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> K8s監控 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多雲混合雲 </span></strong></span></p> <p><strong style="font-size: 22px;">Google雲端推出全託管Prometheus監控服務，企業可監控部署各地的K8s</strong></p> <p><strong style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/Prometheu.jpg" style="width: 600px; height: 297px;" /></strong></p> <p>Google雲端推出全託管事件監控和警報解決服務Prometheus，企業可監控部署在各地的K8s，包含多雲和混合雲環境，且不需自行管理Prometheus。Prometheus服務建立了收集、儲存和查詢Prometheus指標的機制，相容開源Prometheus，並建構在Google開發的全球規模記憶體時間序列資料庫Monarch之上，與Google用來監控所有應用程式使用的儲存系統相同，目前仍處於預覽階段。企業透過新服務的介面，可獲得全球範圍的可擴充監控功能，不需大規模手動管理，或是操作Prometheus基礎設施，就能監控K8s部署，並獲得警報。</p> <p>為加快企業上手Prometheus服務，Google讓企業能使有現有的Prometheus配置，且可以選擇部署託管收集器，進一步簡化操作。此外，Prometheus使用與Google雲端其他監控服務相同後端，代表Prometheus服務相容於Cloud Monitoring，企業現除可在Cloud Monitoring中查詢Google雲端平臺指標，還可查詢Prometheus指標。<a href="https://cloud.google.com/blog/products/operations/introducing-google-cloud-managed-service-for-prometheus">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自研晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Arm架構 </span></strong></span> </p> <p><strong style="font-size: 22px;">AWS發布新一代自研晶片Graviton 3，提高機器學習負載3倍效能</strong></p> <p>AWS在今年的re:Invent大會上，再推進自身雲端運算的能力，發布基於Arm架構的新一代自研晶片Graviton 3。相比Graviton 2，通用型工作負載若採用最新一代Graviton晶片，可加快25%的運算處理速度。因應企業對高度且密集運算力的使用需求，AWS是最早投入研發自家晶片的公有雲業者，從2018年開始，推出自行研發的雲端原生處理器，這回的新處理器是Graviton第三代。</p> <p>針對運算密集型工作負載設計的Graviton 3，在高度運算工作負載的使用情境上，相比前一代晶片可更顯其效能上的優化成果，以科學性運算工作負載為例，可提升2倍的浮點運算效能，而加密型工作負載的處理速度，則能加快兩倍，還有可提高3倍機器學習工作負載的效能。此外，相比提供同等效能的其他EC2執行實例，新一代晶片減少達6成的能源消耗量。</p> <p>AWS這回也發布了採用Graviton 3的第一款EC2執行實例，稱為C7g，可為運算密集型工作負載提供高性價比的使用體驗，現階段處於預覽版。與由 Graviton2 處理器支援的前一代 C6g 執行實例相比，這一款執行實例提高了25%的效能。<a href="https://aws.amazon.com/blogs/aws/join-the-preview-amazon-ec2-c7g-instances-powered-by-new-aws-graviton3-processors/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 5G專網 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 低延遲 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 網路容量計費 </span></strong></p> <p><strong style="font-size: 22px;"><strong>簡化企業部署5G網路的工程，AWS推出專網服務Private 5G，延伸雲端服務觸及範圍 </strong></strong></p> <p>AWS近期發表了企業5G專網服務Private 5G，企業可直接使用AWS提供的網路元件，自建5G專網。</p> <p>這項Private 5G網路服務提供了預先搭配好的網路元件，包括小型基地臺、5G核心及RAN軟體，以及用戶身分認證模組（SIM卡），來建置5G專網，不需再自行搭配軟硬體，可使用共享頻譜，來提供5G網路服務功能。計價方式按網路用量來收取使用費，而非以連網裝置數來計價。目前該服務處於預覽版。AWS期望透過這項服務，延伸自家雲服務的可觸及範圍，AWS執行長Adam Selipsky表示，這項服務將拓展AWS雲端的邊界至全新的地點。<a href="https://aws.amazon.com/about-aws/whats-new/2021/11/preview-aws-private-5g/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網頁應用 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料推送 </span></strong></span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;">微軟推出資料即時推送服務Web PubSub，企業能建置網頁應用即時性互動功能</span></strong></p> <p>微軟推出可即時推送資料的雲端服務Azure Web PubSub，企業能即時向網頁應用程式推送資料，建置網頁互動功能。新服務以標準化協定WebSocket為基礎打造，企業能透過Web PubSub，使用WebSocket的全雙工通訊功能，還有發布訂閱模式，建置即時網頁應用程式，像是監控儀表板、跨平臺聊天室，以及地圖即時位置等。</p> <p>Web PubSub是一項全託管服務，現已上線，提供99.9％可用性，而安全功能上，支援 Active Directory，企業能使用單一登入功能保護和治理存取。Web PubSub。並與其他Azure服務緊密整合，像是可利用觸發器或是綁定整合 Functions，也整合Static Web Apps、API Management和Application Gateway等服務，讓企業能建置端到端解決方案。<a href=" https://azure.microsoft.com/zh-tw/blog/build-realtime-web-apps-with-azure-web-pubsub-now-generally-available/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型主機應用 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 搬遷服務 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>AWS新推出大型主機搬遷服務Mainframe Modernization，要加速更多傳統應用上雲</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/MAINFRAME(1).png" style="width: 600px; height: 336px;" /></strong></span></p> <p>為吸引企業搬遷更多工作負載上雲，AWS在剛落幕的re:Invent大會上宣布，將推出大型主機現代化服務Mainframe Modernization，加快傳統應用搬遷上雲的速度，目前提供預覽版的服務。Mainframe Modernization內建了多項應用現代化的開發工具，可重構（Refactor）或重塑（Reolatform）企業大型主機和傳統工作負載，以及測試負載的效能和功能。</p> <p>AWS執行長Adam Selipsky表示，企業在搬遷大型主機負載上雲的過程中，遭遇許多困難，包含需評估應用程式原始碼的複雜性，了解系統間的附屬性等，得花費數月，甚至數年才能完成。這項新服務內建編譯器，可將應用程式的語言從COBOL轉換為Java，簡化應用上雲的改造工程。AWS更宣稱，企業可縮短三分之二搬遷大型主機應用上雲的時間。<a href="https://aws.amazon.com/about-aws/whats-new/2021/11/introducing-aws-mainframe-modernization/">（詳全文）</a></p> <p>圖片來源／Adidas、微軟、AWS、Google雲端</p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></span></strong></p> <p>1.Google針對GCP上50個遭入侵的執行個體，進行分析調查，發現75%遭攻擊執行個體，是源自安全措施不足或使用有問題的第三方軟體<a href="chrome-extension://efaidnbmnnnibpcajpcglclefindmkaj/viewer.html?pdfurl=https%3A%2F%2Fservices.google.com%2Ffh%2Ffiles%2Fmisc%2Fgcat_threathorizons_full_nov2021.pdf">（詳全文）</a></p> <p>2.中華電信連結桃園和馬祖南竿的海纜，近日疑遭底拖漁船損害，導致海纜光訊號不穩<a href="https://www.cht.com.tw/zh-tw/home/cht/messages/2021/1204-1650?year=2021&month=12&category=5C8583BDFADF4809A09D3913443F0F7E&list=%7B8DAECF69-AEF0-4F1B-B066-3306E547C0CC%7D">（詳全文）</a></p> <p>3.AWS發布全託管災難恢復服務DRS，能恢復包括實體、虛擬和雲端基礎設施，還有Windows和Linux作業系統上所有應用程式和資料庫<a href="https://aws.amazon.com/tw/blogs/aws/scalable-cost-effective-disaster-recovery-in-the-cloud/">（詳全文）</a></p> <p>資料來源：iThome整理，2021年12月</p> </div></div></div>
2021/12/6 17:36作者黃郁芸https://www.ithome.com.tw/news/148202
IT人才月報第22期：年底IT徵才潮來了！趨勢科技要5百IT人，中華電信開上百雲端職缺，連本土新創Appier都要找百…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1105~1202)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 趨勢科技 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大規模IT徵才 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DevOps人才 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">趨勢科技展開近年最大規模IT徵才，要找500位雲端、軟體開發、DevOps與資料科學領域人才</span></strong></p> <p>雲端資安公司趨勢科技，啟動近年來最大規模的人才招募計畫，預計開放包含雲端開發、軟體開發、DevOps工程師、資料科學家四大熱門領域共500個職缺，更以敏捷與DevOps等企業文化為特點，要吸引軟體領域人才，來參與跨足5G、車聯網、工控等資安領域的技術與產品研發。根據趨勢科技的職缺要求，要招募的雲端開發工程師，以具備AWS、Azure等雲端開發經驗者為佳，在軟體工程師方面，則期許具備C、C++、Python、Java、Golang等程式語言能力，並且要找熟悉AWS、Azure等雲端自動化部署維運的DevOps工程師，以及機器學習、資料分析域的資料科學家。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中華電信 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端人才 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大規模徵才 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">受雲端與5G業務驅動，中華電信要招上百位雲端人才</span></strong></p> <p>中華電信近期也大規模招攬上百位雲端領域工程師，招募職缺包括雲端行銷經理、專案經理、雲端架構師暨系統工程師等。對於雲端人才的大規模需求，一方面是與AWS、Azure、Google合作提供雲端顧問服務後，企業雲端IT架構規劃與建置的業務成長，另一方面是從2021年以來，為了建構智能5G雲服務平臺來打造雲端垂直應用服務，中華電信對於雲端、IT相關技術及具備業務經驗人才的需求再提升，欲透過更多人力量能，來推動公司雲端技術發展。（<a href="https://career-web.cht.com.tw/recruit/index.html">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 本土新創 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT徵才 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Appier </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">本土新創也湧現年底徵才潮，Appier要找上百位技術人才，iKala、CloudAD與漸強實驗室也啟動聯合徵才</span></strong></p> <p>臺灣AI軟體新創Appier<a href="https://www.ithome.com.tw/news/147943">宣布展開大規模徵才</a>，這家今年已經在日本上市的AI獨角獸，要在臺招攬上百位工程師、資料科學家與Martech人才，包括軟體工程師、產品經理、資料科學家、數據分析師、業務開發與客戶成功經理等，舉凡是實習生、研發替代役、新鮮人、2～8年工作經驗、專家、經理、團隊領導者等，全都是Appier的招攬對象。為了幫助人才在公司內的職涯發展，Appier也導入了職涯發展階梯（Career Ladder）的框架，讓員工了解未來在公司內的輪調與升遷，可以有哪些選擇，且在了解短、中、長期的潛在發展後，員工也能更充分的準備自己的能力，朝向目標邁進。</p> <p>無獨有偶，臺灣近期也有不少新創在近期展開徵才，比如臺灣雲端供應商iKala、子公司CloudAD與Line技術合作夥伴漸強實驗室，也聯合<a href="https://ikala.tv/zh-tw/2021-ikala-group-joint-recruitment/">展開徵才</a>，這些職缺從產品業務、雲端架構師、產品設計師、DevOps與前後端工程師、Google Analytics資深數據分析師、廣告優化師到銷售技術顧問均包含在內。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tu_er_talent_talks_-_appiers_zhi_ya_gu_shi_fen_xiang_.jpeg" style="width: 960px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Uipath </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> API自動化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Linux </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Uipath產品功能大更新：新增API自動化功能，更能跨平臺支援Linux環境實現自動化</span></strong></p> <p>機器人流程自動化（RPA）業者Uipath近期在使用者大會接露了2021.10版本4大功能更新，一是整合服務，在UI自動化平臺UiPath Studio中推出API自動化功能，開發者可以像使用UI自動化一樣使用API自動化，並且建立起兼具API與UI自動化的流程，要鎖定企業IT現代化過程中，整合老舊系統的的需求。</p> <p>二是為了強化了資安、自動檢測與治理能力。Uipath與美國資安公司CrowdStrike合作在產品中提供端點資安防護，自家平臺也內建了IT自動化功能來提供機器人自動修復，可評估機器人執行的環境來自動檢測和修復問題，不需人為介入。另外也開始提供執行時的治理功能，來確保工作流程符合企業品質與資安的要求。</p> <p>三是擴增雲原生自動化服務，新版平臺提供更多雲原生自動化服務，可即時啟用或擴充自動化旅程，Uipath自動化套件也可以支援本地環境或公雲，另外，這些自動化套件也能在Linux上單獨安裝。同時，在SaaS服務的提供上，UiPath自動化雲平臺加入了一系列新雲端服務包括流程探勘、測試管理等功能，提供預打包可直接購買的線上服務。</p> <p>最後，新版功能推出自動化應用的開發框架，讓流程探勘更容易客製化，也提供新的AI解決方案模板以及預覽的Forms AI功能，可以更容易在自動化流程中整合AI。其他以開發者為導向的亮點功能還包括支援Windows和Office操作體驗、Studio產品加入AI驅動的素人開發者體驗的設計，Uipath應用程式也可支援表示式（Expressions）來增強控制。過去UiPath以支援Windows環境自動化為主，但新版開始能跨平臺支持Linux機器人。（<a href="https://www.uipath.com/newsroom/uipath-launch-new-innovation-within-enterprise-environments-forward-iv">詳全文</a>）<img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-12-06%20%E4%B8%8B%E5%8D%884_17_07.png" style="width: 960px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 思科 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Webex Hologram </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AR眼鏡 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">思科發布Webex Hologram，將利用AR眼鏡打造沈浸式開會體驗，打造像是面對面溝通的遠距開會情境</span></strong></p> <p>思科近期發布下一代混合工作協作產品Webex Hologram，這是一套即時會議解決方案，思科將利用擴增實境眼鏡，讓Webex會議功能與沉浸式3D全息影像結合。從產品導覽<a href="https://www.youtube.com/watch?v=YEx7h0NKnXE">影片</a>中可見，與會人員只要戴上AR眼鏡穿戴裝置，視野前方就能出現其他與會者的即時的全息影像，營造出像是與對方身處同一空間、面對面交談的情境。透過Webex Hologram，使用者還能分享實體及數位內容，讓用戶能共同創造及協作，以一家汽車製造商為例，與會者可藉著AR體驗和真實的汽車樣板進行互動，檢查並評價汽車引擎和底盤，用戶也可以在沉浸式體驗中，分享汽車的設計效果圖及其他數位內容。</p> <p>同時，該解決方案也支持一對多的開會體驗，能同時多人遠距參與，相比於其他產品只限制於單一角度使用，這項功能讓每個用戶都能獲得多維體驗。這套Webex Hologram設備，也與業界領先的AR裝置兼容，如Magic Leap及Microsoft HoloLens。（<a href="https://projectworkplace.cisco.com/capabilities/hologram">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-12-06%20%E4%B8%8B%E5%8D%884_21_36.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 星展銀行 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT人力 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資訊科技DNA </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">視資訊科技為核心競爭力，星展銀行大幅擴充IT人力達到集團三分之一規模</span></strong></p> <p>為了成為世界最頂尖IT公司一員，星展銀行設計了一個驅動數位轉型的技術面架構，稱為Gandalf轉型，這個轉型架構最底層的基礎就是人才與技術。星展銀行（臺灣）科技長蔡祈岩指出，所有變革必須從人才改變開始。</p> <p>蔡祈岩表示，銀行業過去將資訊科技還視為花錢的、需盡量節省成本的項目，所以大多IT開發採取委外策略，比如星展2009年，85% IT人力來自於外部供應商，自身資訊人力只占了15%。後來，星展從2014年開始推動Gandalf轉型架構，將IT視為核心競爭力，大幅擴大自有資訊人員的規模，時至今日，所有系統開發、維運等IT作業，9成是由自家IT人員負責，更有超過1萬名IT人員，甚至在全集團總員工數約2.9萬人中，資訊人員占比已經超過三分之一。</p> <p>在資訊人員數量大幅提升後，星展組織產生了質變，蔡祈岩表示，疊加一萬名資訊人員、中高階資訊主管，可築起一座比其他部門高度更高的金字塔，IT人員在公司內更容易相互談論IT事物，激盪新的IT生產力。他點出其中的關鍵就是，大量IT人員加入後，組織建立了資訊科技DNA，從根本改變組織樣貌。星展更得以借助IT人才，探尋新技術的應用可能性，如5G、IoT、區塊鏈、元宇宙等技術。（<a href="https://www.ithome.com.tw/news/148185">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-IT%E4%BA%BA%E6%89%8D-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%98%9F%E5%B1%95%E9%8A%80%E8%A1%8C%20web.jpeg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Github </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 混合工作模式 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發文件 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">GitHub年度報告：開發者適應後疫情時代工作模式改變，生產力回歸疫情前水準</span></strong></p> <p>GitHub近期公布了2021年Octoverse年度報告，調查了1.2萬名開發人員的看法，也遙測了超過400萬個儲存庫，來進行趨勢預測。調查顯示，開發者的生產力已經回到疫情前的水準，同時他們也開始適應了工作型態的改變，在疫情前有41%的組織主要是在辦公室上班，有28.1%是採用混合模式，26.5%則是全遠端工作；但在疫情後，只有10.7%會在辦公室工作，混合模式躍居為第一，占了47.6%，全遠端工作的比例也增加到38.8%，Github更指出，開發者的心態已然改變，不再只是想回到過去的生活型態，而是真的理解到遠端工作的需求，欲改變生產流程。</p> <p>今年的報告還強調了文件的重要性，指出不管是在開源碼專案或是企業專案中，只要具備可靠及清楚的說明與文件，開發者的生產力就會提高50%，但在GitHub所調查的開源碼專案中，只有5.75%撰寫了貢獻者準則，倒是有85.9%撰寫了Readme。（<a href="https://www.ithome.com.tw/news/148024">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-12-06%20%E4%B8%8B%E5%8D%884_24_10.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Ｗorkplace </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Microsoft Teams </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Meta攜手微軟整合Workplace及Microsoft Teams，讓內容與影音串流能跨平臺存取</span></strong></p> <p>Meta近期宣布，要將旗下的Workplace及微軟協作平臺Microsoft Teams整合，讓使用者可從Teams存取Workplace內容，明年也能在Workplace社團中觀看Teams Meetings的串流。Workplace負責人Ujjwal Singh指出，從Teams直接存取Workplace內容，將讓使用者不必在兩個程式間切換，而從Workplace社團中串流觀看Teams Meetings的功能，則可以讓使用者不管是在哪個平臺上，都不會錯過會議。這項服務已經免費開放給Workplace與Teams用戶使用，不過，將Teams會議與廣播與Workplace串流的功能，預計在明年才會上線。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://www.ithome.com.tw/news/147781" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id--601027177" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1111-workplace_integrations_with_microsoft_teams-960.jpeg" style="width: 960px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 小型組織協作 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Teams Essentials </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟瞄準小型組織協作需求，推出協同程式Teams Essentials</span></strong></p> <p>微軟近期針對小型組織協同作業需求，宣布推出獨立版企業協同程式Teams Essentials，這是一款將Teams精簡推出的獨立App，在傳統版及免費版Teams之間提供多一個選項，供小型企業、非營利組織、宗教團體、學校及社團等小型組織，或是沒有足夠IT人員、沒有Teams帳號的組織協同使用，每名使用者月費4美元。Teams Essentials允許最多300人同時上線，並支援最長30小時的會議，且1:1或群組討論則不限時間，還整合Outlook行事曆，不久後將新增支援Google行事曆。它的雲端空間則為總和10GB，提供Office 365檔案的共享編輯及分享。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://www.ithome.com.tw/news/148113" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id--601003367" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Meeting-video-call-faces_.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多IT人才動態 </span></strong></span></strong></p> <p>1.<a href="https://www.ithome.com.tw/news/148091">簡立峰：臺灣企業如何留住AI人才、製造業與AI新創如何溝通，將成臺灣AI發展2大挑戰</a></p> <p>責任編輯／翁芊儒</p> <p>圖片來源／趨勢科技、Appier、Uipath、思科、星展銀行、Github、Meta、微軟</p> <p>資料來源：iThome整理，2021年12月</p> </div></div></div>
2021/12/6 19:02作者翁芊儒https://www.ithome.com.tw/news/148198
如被迫開放第三方支付，蘋果打算向競爭業者收取佣金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/drbarnard/status/1466413735220760584" target="_blank">一項文件顯示</a>，如果蘋果被迫開放第三方支付，將考慮向競爭支付平臺單位收取佣金。</p> <p><a href="https://9to5mac.com/2021/12/02/apple-commision-outside-of-the-app/" target="_blank">9to5mac報導</a>，<a href="https://www.scribd.com/document/544010068/21-11-30-Apple-Reply-in-Support-of-Motion-to-Stay-Injunction" target="_blank">蘋果11月底向美國法院遞交的上訴文件指出</a>，如果法院仍欲執行命令，蘋果將考慮針對iPhone用戶經由所有平臺競爭支付系統完成的交易收取佣金，不論是否為程式內購買（in-app purchase，IAP）。</p> <p>在Epic等開發商告上歐美法院及主管機關後，蘋果及Google均承受允許開發商在App內提供第三方支付機制選項的壓力。美國法院9月對蘋果做出強制令，<a href="https://www.ithome.com.tw/news/147202" target="_blank">蘋果於10月提出上訴</a>並要求上訴期間法院暫緩執行命令。</p> <p>蘋果指出，過去蘋果未曾針對透過按鍵或連結產生的數位內容購買收取佣金，因為這類交易不被允許。但如果強制令生效的話，蘋果就會對此類交易收佣金。蘋果想表達，強制令造成很大傷害，因為該公司必須為此建立一個系統及流程，即使上訴成功，蘋果也無法向Epic索討官司耗去的時間及資源。</p> <p>蘋果原本對在其軟體市集上架的App，強制規定使用官方的IAP支付機制，並收取30%的分潤，被稱為蘋果稅（Google則被稱Google稅）。但在Epic等開發商告上歐美法院及管理機關後，<a href="https://www.ithome.com.tw/news/143272" target="_blank">已經將小型開發商分潤比例降到15%</a>，但是蘋果仍然堅持不放棄獨占權利。</p> <p>蘋果同時也計畫對抗俄羅斯政府的要求。<a href="https://www.rt.com/business/542257-apple-takes-russia-court/" target="_blank">RT上周報導</a>，蘋果向俄羅斯法院提出司法審查，欲抵抗俄羅斯反托拉斯主管機關（Federal Anti-monopoly Service，FAS）8月間發出的行政命令，要求蘋果「停止市場濫用行為」，需允許iOS App開發商IAP支付機制提供第三方選項並告知用戶。當局限期蘋果在9月30日前做出變更，否則將依蘋果在俄羅斯的營收開罰。蘋果拒絕遵守，俄國當局於10月啟動裁罰，迫使蘋果以司法手段回應。</p> <p>除了歐盟、美國、俄羅斯外，南韓國會今年8月通過《電信業務法》（Telecommunications Business Act）修正案，禁止Google Play或蘋果App Store等大型行動程式市集，限制消費者購買程式的付費管道，是第一個以法律強制Google及蘋果開放第三方支付的國家。</p> <p>為免觸法，<a href="https://www.ithome.com.tw/news/147678" target="_blank">Google 上個月宣布</a>允許Play Store上架的App同時提供Google及非Google的IAP支付機制，但是根據新作法，即使消費者使用第三方支付，開發商仍需分潤給Google。</p> </div></div></div>
2021/12/6 15:55作者林妍溱https://www.ithome.com.tw/news/148200
美國網戰司令部加入對抗勒索軟體集團的行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nytimes.com/2021/12/05/us/politics/us-military-ransomware-cyber-command.html" target="_blank">《紐約時報》（The New York Times）本周指出</a>，9個月前，美國政府還把勒索軟體攻擊視為執法機關的責任，但隨著美國最大燃油管道系統Colonial Pipeline與全球最大肉品業者JBS，都在今年5月遭到勒索軟體攻擊之後，美國政府決定採取更積極的行動，動用軍方的資源，要求美國網戰司令部（U.S. Cyber Command）加入對抗勒索軟體集團的行列。</p> <p>該報所採訪的對象是美國國安局局長暨網戰司令部司令Paul Miki Nakasone，美國網戰司令部成立於2010年，為美國國防部11個統一作戰司令部之一，初期的目的為防禦網路攻擊，但日益增加攻擊的能力。</p> <p>Nakasone向《紐約時報》透露，網戰司令部不僅加入對抗勒索軟體集團的行列，而且還主動出擊。Nakasone並未公布該司令部的攻擊目標或所採取的行動，但說明首要之務就是深入理解勒索軟體集團，其中一個目的是拉高勒索軟體集團的成本，不管是在勒索軟體集團展開攻擊之前、期間或之後。</p> <p>攻擊Colonial Pipeline的<a href="https://www.ithome.com.tw/news/144452" target="_blank">DarkSide所使用的伺服器在今年5月就被扣押</a>，隨後也<a href="https://www.ithome.com.tw/news/144891" target="_blank">扣押了Colonial Pipeline支付給DarkSide勒索軟體集團的比特幣</a>，並<a href="https://www.ithome.com.tw/news/147690" target="_blank">追捕DarkSide集團的成員</a>；而入侵了Kaseya、廣達與JBS的REvil，則<a href="https://www.ithome.com.tw/news/147422" target="_blank">在今年10月被多國聯手殲滅</a>。</p> <p>Nakasone並未披露網戰司令部是否參與了相關行動，但勒索軟體集團的處境勢必愈來愈艱難。</p> </div></div></div>
2021/12/6 16:15作者陳曉莉https://www.ithome.com.tw/news/148201
【資安日報】2021年12月6日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上週末到今天，最受到關注的資安新聞，應該就是美國官員遭到NSO Group製作的間諜軟體Pegasus監控的情況，這些官員傳出收到蘋果的警告，且NSO Group也特別發出聲明，表示他們已經封鎖了攻擊者的帳號。但實際的情況有待進一步的追蹤。</p> <p>另一起值得留意的網路釣魚攻擊，與Omicron變種病毒有關。英國消費者組織Which特別提出警告，有人假借英國國家衛生服務部（NHS）的名義，宣稱提供免費的PCR檢測，但攻擊者的目的，是要挾持這些人NHS的帳號──他們特別要求受害者填寫母親的姓名，目的是要回答NHS網站的安全問題，讓網站認為是填寫資料的是本人。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/us-state-dept-employees-phones-hacked-using-nso-spyware/"><span style="color: rgb(0, 0, 0);">間諜軟體Pegasus監控美國國務院官員</span></a></strong></h4> <p>根據Motherboard、華盛頓郵報、路透社等新聞網站報導，至少有9名美國官員收到蘋果公司的警告，他們的手機疑似最近幾個月遭到攻擊者利用iOS漏洞ForcedEntry，來植入以色列網路攻擊公司NSO Group所製作的間諜軟體Pegasus。這些受害者的身分，是處理烏干達事務的美國官員。NSO Group向Motherboard透露，他們已停用發動此起攻擊的使用者帳號，並將與相關的政府當局合作，提供有關資料，以便釐清案情。不過，NSO Group強調，他們被禁止使用美國的電話號碼，而難以得知是那個組織所發動的攻擊。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/phishing-actors-start-exploiting-the-omicron-covid-19-variant/"><span style="color: rgb(0, 0, 0);">駭客使用Omicron變種病毒為誘餌，鎖定英國民眾發動網釣攻擊</span></a></strong></h4> <p>最早在南非發現的武漢肺炎變種病毒Omicron，近日大舉入侵近40個國家，南非5歲以下兒童大量感染而住院，許多人士即使已經施打2劑疫苗仍然染疫，引起全球恐慌。英國消費者保護組織Which指出，他們發現2個聲稱是英國國家衛生服務部（NHS）的釣魚郵件，內容指出打算為收件人提供免費的PCR測試，來檢測變種武漢肺炎病毒Omicron，一旦收信人點選連結，就會被引導到冒牌的NHS網站填寫資料，並要求支付1.24英鎊的手續費。Which指出，攻擊者並非以收取手續費為目的，而是要竊取受害者的信用卡資料，且在過程中會要求填寫母親的姓名，以便攻擊者接管帳號後，繞過NHS網站的安全問題。</p> <h4><a href="https://www.ithome.com.tw/news/148192"><span style="color: rgb(0, 0, 0);"><strong>北美零售業者收銀機被挾持，列出辭職運動標語<img alt="" src="https://s4.itho.me/sites/default/files/images/1638477567778-anti-work-manifesto1.jpeg" style="width: 300px; height: 186px; float: right;" /></strong></span></a></h4> <p>根據Motherboard的報導，北美多家零售業者的IT人員發現，他們的收銀機（POS）系統傳出遭到挾持，而陸續印出武漢肺炎疫情下當地流行的「大辭職（Grand Resignation、亦稱Big Quit）」勞工運動文宣，企圖煽動員工離職或是參與罷工運動。這個情況資安業者GreyNoise也提出類似的觀察，並表示攻擊來源主要是來自荷蘭的代管業者，受害者主要位於北美，約有十多起事件。</p> <h4><a href="https://www.mailguard.com.au/blog/scammers-mimic-microsoft-with-spam-notification-phishing-email"><span style="color: rgb(0, 0, 0);"><strong>攻擊者以要求確認垃圾信為誘餌，對Office 365用戶發動網釣攻擊</strong></span></a></h4> <p>資安業者MailGuard揭露，他們發現一波針對Office 365而來的釣魚郵件攻擊，疑似是模仿微軟的防護措施。這些郵件宣稱是通知受害人，郵件伺服器攔截到1封有問題的信件，要使用者儘速確認這封信件是否為垃圾信。一旦受害者點選了確認連結，就會被帶到假冒的登入網頁，來騙取Office 365的帳密。此外，駭客為了取信受害人，還使用quarantine[at]messaging.microsoft.com的電子郵件信箱寄信。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/fbi-cuba-ransomware-breached-49-us-critical-infrastructure-orgs/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Cuba大肆攻擊美國關鍵基礎設施</strong></span></a></h4> <p>美國聯邦調查局（FBI）於12月2日發出警告，勒索軟體Cuba破壞當地至少49個關鍵基礎設施（CI）的網路，這些網路為5個CI所有。這些機構遍及金融、政府、醫療保健、製造業，以及IT產業等。駭客索討的贖金超過7,400萬美元，且至少收到4,390萬美元。FBI向組織呼籲，一旦發現遭到Cuba勒索軟體入侵的跡象，要立即向當地的FBI網路安全隊進行通報。</p> <h4><strong><a href="https://www.cleafy.com/cleafy-labs/mobile-banking-fraud-brata-strikes-again"><span style="color: rgb(0, 0, 0);">攻擊者透過簡訊散布Brata惡意軟體，且會打電話佯稱是銀行客服協助用戶「安裝」<img alt="" src="https://s4.itho.me/sites/default/files/images/61a8ca66801d28966135786d_F1.png" style="width: 300px; height: 172px; float: right;" /></span></a></strong></h4> <p>資安業者Cleafy指出，他們於2021年6月開始，發現新的RAT安卓木馬程式Brata，攻擊者藉由簡訊引誘義大利民眾下載，宣稱是過濾垃圾郵件的App，且會搭配假銀行客服來打電話，催促受害者安裝App。一旦受害者信以為真並安裝，手機就會被植入Brata，最終目的就是存取受害人銀行帳戶，將存款洗劫一空，再透過義大利、立陶宛、荷蘭的金錢螺子洗錢。</p> <h4><a href="https://www.mailguard.com.au/blog/scammers-mimic-microsoft-with-spam-notification-phishing-email"><span style="color: rgb(0, 0, 0);"><strong>攻擊者以要求確認垃圾信為誘餌，對Office 365用戶發動網釣攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/Office%20365%20spam%20alert%20phishing%20sample.png" style="width: 300px; height: 272px; float: right;" /></strong></span></a></h4> <p>資安業者MailGuard揭露，他們發現一波針對Office 365而來的釣魚郵件攻擊，疑似是模仿微軟的防護措施。這些郵件宣稱是通知受害人，郵件伺服器攔截到1封有問題的信件，要使用者儘速確認這封信件是否為垃圾信。一旦受害者不慎點選了確認連結，就會被帶到假冒的登入網頁，來騙取Office 365的帳密。此外，駭客為了取信受害人，還使用quarantine[at]messaging.microsoft.com的電子郵件信箱寄信。</p> <h4><strong><a href="https://news.rub.de/english/press-releases/2021-12-02-it-security-14-new-attacks-web-browsers-detected"><span style="color: rgb(0, 0, 0);">研究人員發現新的網頁瀏覽器竊密攻擊手法</span></a></strong></h4> <p>德國的波鴻魯爾大學（RUB）與Niederrhein應用科學大學聯手，揭露影響時下多款網頁瀏覽器跨網站洩漏攻擊手法（XS-Leak），並找出14個新漏洞，攻擊者一旦利用這些漏洞，就有可能繞過瀏覽器的同源（Same-origin）政策，而能夠使用惡意網站發動攻擊，在背景側錄使用者於受信任的網站上輸入的資料。Chrome、Edge、Safari、Firefox等知名的網頁瀏覽器都可能會受到影響，這些研究人員也設置了XSinator網站，讓使用者能夠自我檢測，瀏覽器受到那些XS-Leak弱點影響。</p> <h4><a href="https://lookout.com/blog/phishing-targeting-military-families"><span style="color: rgb(0, 0, 0);"><strong>奈及利亞駭客鎖定美國軍人發動網釣攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/Edixcg-XgAEQP0F.png" style="width: 300px; height: 323px; float: right;" /></strong></span></a></h4> <p>針對特別對象的網路釣魚攻擊，近期有數起事件傳出。資安業者Lookout發現一系列針對美國軍人的長期詐騙行動，攻擊者建置至少50個詐騙網站，引誘美國軍人的家庭成員，或是想要與軍人交友的人士，以兜售電話卡、軍人職務代班服務、護理包、申請撫卹金服務等名義行騙，一旦受害者上當而購買，不但蒙受金錢損失，還有可能導致軍人的個資外洩。Lookout與有關的網域服務代管業者進行合作，封鎖被用於詐騙的網域。</p> <h4> </h4> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148162">2021年12月3日</a></p> <p><a href="https://www.ithome.com.tw/news/148132">2021年12月2日</a></p> <p><a href="https://www.ithome.com.tw/news/148042">2021年12月1日</a></p> </div></div></div>
2021/12/6 14:13作者周峻佑https://www.ithome.com.tw/news/148199
又有加密貨幣交易中心遭駭，BitMart被盜走1.5億美元的加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加密貨幣交易中心<a href="https://support.bmx.fund/hc/en-us/articles/4411998987419" target="_blank">BitMart在周日（12/5）證實遭到駭客入侵</a>，指出駭客存取了該平臺的以太坊（ETH）及幣安智能鏈（BSC）的熱錢包，使得駭客得以提領價值1.5億美元的加密貨幣資產。</p> <p>BitMart表示，受到影響的熱錢包僅存放了該平臺的少數資產，其它的錢包則安然無恙，在展開徹底的安全檢查之後，BitMart預計於12月9日進行系統維護，屆時將暫停所有的交易。</p> <p>為了避免駭客利用此一時機詐騙用戶，BitMart提醒該平臺不會要求用戶將資產移轉到其它帳號來解決此一問題，也不會要求用戶提供包括登入密碼、簡訊驗證碼或其它機密資料。</p> <p>區塊鏈資安業者PeckShield也發現了BitMart平臺上的熱錢包，有不尋常的大量匯出交易，且根據<a href="https://twitter.com/peckshield/status/1467316799977193476/photo/1" target="_blank">PeckShield所公布的螢幕截圖</a>，BitMart一開始並未承認自己的系統遭駭，之後才由<a href="https://twitter.com/sheldonbitmart/status/1467316252855226368" target="_blank">該平臺的執行長Sheldon Xia透過Twitter證實</a>。</p> </div></div></div>
2021/12/6 11:43作者陳曉莉https://www.ithome.com.tw/news/148196
北美多家零售業者的收據列印機被劫持，印出宣傳辭職運動標語
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.vice.com/en/article/qjbb9d/hackers-are-spamming-businesses-receipt-printers-with-antiwork-manifestos" target="_blank">《Motherboard》上周報導</a>多家零售業者列印收據的列印機遭劫持，列印抗議低薪、鼓勵辭職的標語。</p> <p>上周多家企業的IT管理員在<a href="https://www.reddit.com/r/antiwork/comments/r3708s/these_were_printing_from_the_machines_at_my_work/" target="_blank">Reddit</a>及<a href="https://twitter.com/Mage_Bit/status/1463852669748097031" target="_blank">推特</a>反映，他們用於列印收據的列印機被不明人士駭入，列印出疫情後流行的「大辭職」（Grand Resignation）運動標語，包括僱主給的薪水太低，說明員工有合法權利跟僱主談判、組工會，以及要是僱主不調薪就辭職走人。</p> <p class="rtecenter"><a href="https://pbs.twimg.com/media/FFCmPsWXIAMC0m2?format=jpg&name=large" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1206-%E5%88%97%E5%8D%B0%E5%8A%AB%E6%8C%81-600.jpg" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/Mage_Bit/status/1463852669748097031" target="_blank"><span style="color:#696969;">圖片來源_MⒶGEbit@Mage_Bit</span></a></p> <p>雖然對員工來說這些內容比普通收據有趣多了，但從資安角度而言卻令人憂心。</p> <p><a href="https://www.greynoise.io/blog/receiptprintjacking" target="_blank">資安業者GreyNoise推測</a>這些內容來自Reddit一個r/antiwork社群上的言論，被人丟到這些連網印表機列印出來。這家安全廠商11月底偵測到多名攻擊者利用掃瞄工具如nmap、zmap或massscan等掃瞄網路裝置的port 9100，這是連網印表機常用的傳輸埠。他們追查掃瞄來源IP位址，主要是來自荷蘭一家代管業者，其次是美國，其他地點還包括德國、日本、新加坡等地。攻擊者在感恩節前後由這些IP的伺服器散布訊息。至於散布的目的地，則是以北美用戶為主，不過只有10多起事件。</p> <p>研究人員研判，這些來源IP的伺服器，若不是同夥，就可能是被當作轉發伺服器，以避免被偵測出來。</p> <p>列印劫持（printjacking）事件並不是新聞。幾年前就曾有數十萬臺印表機<a href="https://www.ithome.com.tw/news/111674" target="_blank">被駭入列印惡作劇文字</a>、或<a href="https://www.ithome.com.tw/news/127458" target="_blank">宣傳廣告列印服務</a>。</p> <p>GreyNoise 2018年也曾偵測到有約50萬臺連網印表機被人劫持發送訊息，<a href="https://www.toolbox.com/tech/security/articles/beware-internet-facing-printers-targeted-by-hacking-attacks/" target="_blank">要人訂閱YouTuber天王PewDiePie的YouTube頻</a>道。</p> </div></div></div>
2021/12/6 09:29作者林妍溱https://www.ithome.com.tw/news/148192
Google被前員工控告因抗議公司生意遭不當開除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.npr.org/2021/11/29/1059821677/google-dont-be-evil-lawsuit" target="_blank">《NPR》報導</a>，三名Google前員工控告這家網路巨人，因為他們抗議Google和不公不義的客戶談生意，而被安上違反公司資安政策等罪名開除。</p> <p>三名原告Rebecca Rivers、 Sophie Waldman和Paul Duke控告Google報復他們企圖阻撓公司和政府的一樁大生意，而遭惡意解僱。根據法院文件，2018年Google和美國海關與邊境防衛管理署（Customs and Border Protection，CBP）正在洽談一件合作案。由於當時CBP涉入性侵難民安置營兒童事件，三人認為此案違反了Google不為惡（Don’t Be Evil）的精神，故在公司內發起請願聯署，要求公司中止合作案。</p> <p><a href="https://finance.yahoo.com/news/google-supply-artificial-intelligence-cbp-164616439.html" target="_blank">這項合作案中</a>，Google為當時川普政府下的CBP提供雲端及AI技術以打造「虛擬」邊境牆，即透過影像辨識阻止外國人從美國邊境跨越入境，和代號《Project Maven》的國防部AI影像監控標案類似。不過Google後因員工抗議而<a href="https://www.ithome.com.tw/news/146640" target="_blank">退出Project Maven計畫</a>。</p> <p>2019年Google以存取與工作無關的敏感資訊並對外分享，「多次且明顯」違反公司資訊安全政策，解僱三名原告及另二名員工。</p> <p>三名原告並聲稱，Google解僱他們的另一理由是基於他們的性向。遭到開除的五人中，有三人是變性，一人為同性戀，一人為異性戀。他們向Google要求金錢賠償損失與准許復職。</p> <p>Google去年也鬧出嚴重的勞資對立事件。<a href="https://www.ithome.com.tw/news/148182" target="_blank">Google AI研究人員Timnit Gebru</a>一篇探討現今AI技術大部份為了服務特權人士的論文和公司起衝突，<a href="https://www.ithome.com.tw/news/141504" target="_blank">在協議過程中突遭公司解聘引發議論</a>。</p> <p>2018年Google也被媒體爆料，為中國政府開發能篩除敏感關鍵字的搜尋服務專案《蜻蜓》，該專案隔年也因員工抗議喊卡。</p> </div></div></div>
2021/12/6 09:59作者林妍溱https://www.ithome.com.tw/news/148193
Windows 11終於不再擋用戶預設使用Edge以外的瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows 11原本讓使用者難以變更為Edge以外的瀏覽器，不過Windows 11最新技術預覽版顯示，微軟似乎收回這糟糕的作法。</p> <p>微軟上周在Dev頻道釋出<a href="https://blogs.windows.com/windows-insider/2021/12/01/announcing-windows-11-insider-preview-build-22509/" target="_blank">Windows 11測試版Build 22509</a>，功能包括於「設定」中加入和網路、周邊裝置及應用程式相關的細部變更。描述相當模糊，不易了解微軟到底做了哪些變更。不過其中一項還挺實用：一<a href="https://twitter.com/WithinRafael/status/1466183359680299009" target="_blank">名微軟開發人員發現</a>Build 22509的「設定」>「預設App」下多了一個新按鍵，讓使用者一次就能將預設瀏覽器由Edge，轉換成Chrome、Firefox、Brave等其他產品。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FFjtMMeUUAEMM-V?format=jpg&name=large" style="width: 600px;" /></p> <p><a href="https://twitter.com/WithinRafael/status/1466183359680299009" target="_blank"><span style="color:#696969;">圖片來源_Rafael Rivera@WithinRafae</span></a>l</p> <p>原本Windows 10允許使用者一鍵轉換預設瀏覽器，但<a href="https://www.ithome.com.tw/news/146271" target="_blank">11月Windows 11使用者發現一切變得很困難</a>。用戶若首次啟用Firefox、Chrome或其他瀏覽器時忘了或一時疏忽，沒有在提示對話框中按下「永遠使用這個應用程式」的按鍵，Windows 11會將Edge設為預設瀏覽器。而且之後要修改會很麻煩；用戶必須到控制臺的「設定」中，按檔案或連線類型，如HTML、PDF、SVG、SHTML、WEBP、XHT、XHTML、FTP、HTTP和HTTPS等，一個個點入，將Edge變更成想要的瀏覽器。微軟當時的說法是，這是根據用戶意見做的調整，是為了給使用者更細的設定選項。</p> <p>針對上周的最新更新，微軟對<a href="https://www.theverge.com/2021/12/3/22815209/microsoft-windows-11-default-browser-button-changes" target="_blank">The Verge</a>證實這點，也表示是因應使用者意見而做的變更。</p> <p>不過這功能目前還處於測試版，需要再等一段時間才可能部署到正式版，媒體認為時間點可能在明年上半的重大更新版。</p> <p>這是令人歡迎的變更，表示微軟聽到了用戶心聲，但用戶對Edge的不滿應該還有更多。因為即使用戶成功選擇以Chrome、Firefox作為預設瀏覽器，在Windows 11搜尋或widget中卻不適用，因為這些都仍然會導向由Edge啟動。有些第三方App如EdgeDeflector或Search Deflector可讓使用者繞過Edge，以想要的瀏覽器開啟。不過<a href="https://www.ithome.com.tw/news/147861" target="_blank">兩周前App開發商發現自己的App遭Windows 11封鎖</a>。</p> <p><a href="https://www.ithome.com.tw/news/148174" target="_blank">另有媒體發現</a>，最近Windows 用戶利用Edge造訪Chrome下載網頁時，Edge即跳出一個訊息企圖阻撓用戶安裝。此外，Edge近日加入先買後付（Buy Now, Pay Later）功能，雖然微軟聲稱簡化採購流程，但使用者對微軟為收取分潤營收，不惜犠牲好不容易贏得的用戶信任，且重回IE破壞使用體驗的老路，感到憤怒與失望。</p> </div></div></div>
2021/12/6 09:06作者林妍溱https://www.ithome.com.tw/news/148191
【Nvidia 2022新戰略3｜DPU】DOCA軟體平臺拓展多種資安應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了持續支援視覺運算與機器學習的應用，GPU運算技術供應商Nvidia在一年多前，正式跨足資料處理器（DPU）領域，也讓這項加速運算技術不單活躍於高效能運算、5G電信架構數位轉型等應用需求，現在也能延伸至企業資料中心領域，幫忙分攤CPU與GPU的資料存取與處理負擔，於是，形成三足鼎立的運算架構發展。</p> <p>軟體平臺的部分，Nvidia也針對CPU與GPU、CPU與DPU之間，發展出運算統一裝置架構（CUDA），以及資料中心基礎架構單晶片架構（DOCA）。</p> <p>今年11月舉行的GTC秋季大會期間，Nvidia宣布下一代DPU：BlueField-3，預計在2022年5月提供樣品，搭配的DOCA軟體平臺，正式推出1.2版，增加零信任資安框架，能將多種威脅保護能力，像是：負載平衡、深度封包檢測、入侵偵測、分散式網路防火牆、智慧型遙測、安全群組（Security Group），將身分驗證、見證（attestation）、監控等查核機制，拓展到每個接觸點，涵蓋電腦、應用系統、資料、人，以及伺服器、容器、儲存、網路基礎架構。</p> <p>DOCA進化到1.2版後，API新增108支，開發社群成長到1,400人，更多廠商加入BlueField DPU宇宙。以資安廠商而言，新增F5、Juniper Networks、趨勢科技、SentinelOne；系統平臺廠商的部分，有Nutanix加入；邊緣運算的部分，有Versa Networks；在儲存廠商中，新增Dell Technologies、IBM等；雲端廠商的部分，加入OVHcloud、StackPath等。</p> <p>透過DPU的幫忙，Nvidia可協助企業建置多種安全、可掌握安全狀態的雲端服務──藉由控制資源存取、驗證每一支應用程式與每一位使用者，以及隔離可能已經遭到入侵的設備等手段，協助企業保護資料免於破壞與遭竊。</p> <p>在進階的零信任功能上，DOCA 1.2將提供多個程式庫與容器化服務，涵蓋軟體與硬體身分驗證、硬體助力的全線速資料加密，上述的分散式防火牆與智慧型遙測，以及政策強制施行──針對多個微服務、租戶之間的角色存取控制（RBAC），以及安全隔離。</p> <p>而與實現零信任資安有關的技術，還有Nvidia在GTC 2021春季大會宣布發展的AI資安框架Morpheus，現在也釋出第2個初期使用版本，他們希望透過這樣的技術協助開發相關應用的廠商與組織，替資料中心提供新的資安防護機制，而當中支援幾種作法，例如：從IT基礎架構著手，促使應用程式的執行可以彼此隔離；運用加速運算與深度學習技術，提升次世代防火牆的性能之餘，也能持續監控與偵測資安威脅。他們表示，基於這樣的加速與卸載，能將伺服器處理相關負載的速度提升至600倍之高。</p> <p>Nvidia之所以看好零信任資安應用，主要理由在於人工智慧、5G、智慧裝置等創新應用的崛起，大大擴展了當代資料中心所要處理的網路流量，而這也導致我們難以憑藉既有技術去識別潛在的侵害與攻擊活動，而Nvidia現在打算以BlueField DPUs、DOCA、Morpheus這三大技術，來打造零信任資安平臺，協助開發者去建立完整的安全環境，進而針對走向雲端原生架構的資料中心環境，提供即時防護能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FNvidia.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Nvidia</span><br /><strong>圖中是DOCA的執行時期環境的基本運作架構，以及延伸的應用服務，最底層是DPU與融合加速卡，往上依序是核心模式與使用者模式的驅動程式，以及應用程式與使用者模式的程式庫，而在這個應用程式層當中，主要是以容器型態來提供不同的服務（DOCA Service Container）。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-1-DPU2021-2-DOCA%20Arch2%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FNvidia.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Nvidia</span><br /><strong>隨著DOCA 1.2發布，Nvidia揭露整個技術堆疊架構。底層是由BlueField DPU與BlueField-X融合式加速卡，提供運算卸載處理；上層應用情境，可支援網路、資安、儲存、高效能運算／人工智慧、電信、多媒體；中間則是DOCA本體，包含驅動程式、程式庫、應用服務。</strong></span></p> <p><strong style="font-size: 28px;">引領DPU風潮，拉攏VMware為首的企業級廠商搶市</strong></p> <p>在2020年春季召開的GTC大會，Nvidia首開先例，預告將跨足DPU與CPU等兩大領域，到了秋季GTC大會期間，他們併購網路設備廠商Mellanox之後取得的SmartNIC技術，也以DPU的名號，正式浮出檯面。</p> <p>當時他們端出的陣容包含：硬體型態的BlueField-2晶片／智慧型網路卡，以及軟體型態DOCA組成元件、4大應用領域（基礎架構管理、軟體定義儲存、軟體定義資安、軟體定義網路），以及合作的重量級企業應用廠商VMware。</p> <p><span style="color:#B22222;"><strong>DOCA 1.0</strong></span></p> <p>GTC 2021春季大會期間，Nvidia宣布，要推動以DPU來加速的資料中心基礎架構。此時，Nvidia正式發布這系列DPU專屬的軟體開發套件：DOCA SDK 1.0版，他們也調整DOCA的具體架構內容，並公布技術堆疊與元件組成資訊。</p> <p>基本上，DOCA可同時用於兩大領域：底層的基礎架構服務，以及上層的應用程式，廠商與用戶均可針對它們進行軟體開發，運用可程式化能力、功能可相互隔離運作等機制，實現編製型基礎架構（Composable Infrastructure）、資料中心服務卸載至DPU執行，以及安全而不掉速的網路傳輸等目標。</p> <p>DOCA有3大元件：驅動程式、程式庫、服務，可執行在BlueField DPU，以及融合DPU與GPU的BlueField-X。</p> <p>在更上層的是參考應用程式，Nvidia提供6種類型，包含：網路、資安、儲存、高效能運算／人工智慧、電信、多媒體，這些應用均可從伺服器端的CPU當中，卸載到DPU進行處理，以實現加速與隔離的執行方式，進而大幅改善效能與運作效率，協助資料中心提升為兼具虛擬私有雲的隱密性，以及公有雲的擴展性，同時，還能具備加速運作、完整的可程式化彈性、安全保護等特色。</p> <p>就程式開發者角度而言，DOCA運作分成兩區：協助應用程式組建的軟體開發套件（SDK），以及在DPU執行應用程式必備的執行時期元件（runtime）。</p> <p>以SDK而言，包含：程式庫、驅動程式、工具套件、文件、參考應用程式的原始碼；而另一個執行時期元件，包含：程式庫、執行時期元件的二進位型態，以及編譯工具、安裝工具、效能測試器、多種DOCA服務代理程式，可運用多種DPU API與功能，來設定DPU加速卡、安裝作業系統，以及在DPU執行軟體，同時，Nvidia也在此針對伺服器與網路端，提供建置、支援DPU加速卡等功能的管理工具，以便因應容器化與加速服務的調度指揮作業。</p> <p>就管理工具而言，可分為多個元件，Nvidia將陸續提供SDK Manager、建立工具（Provisioning tools）、遙測處理。對於搭配DPU的電腦或伺服器，此處的SDK Manager可協助管理與更新系統中執行的BlueField SDK，並且安裝DOCA軟體開發套件與執行時期元件，以及用來更新DPU端執行的作業系統與DOCA的開發容器（development container）。</p> <p>另一個遙測處理，則是指能針對DPU執行特定資訊擷取功能，以及關鍵網路環境與伺服器狀態的遙測，當中可搭配事件記錄管理、資料分析或網路安全工具，來進行相關資訊的共享或收集。</p> <p>至於建立工具的部分，DOCA在1.0的後續版本才會提供，可簡化設置與自動處理多張DPU加速卡的使用，也將允許用戶透過指令碼與管理工具來操作。</p> <p>在GTC 2021春季大會期間，Nvidia也順勢公布DOCA合作廠商生態系統，當中涵蓋四大領域：軟體定義基礎架構、企業儲存系統、網路安全、邊緣運算。以軟體定義基礎架構廠商而言，有Canonical、Red Hat、VMware；儲存廠商的部分，涵蓋DDN、NetApp、Vast Data、Weka等；資安廠商方面，有Check Point、Fortinet、Guardicore、Palo Alto Networks；邊緣運算部分，有CloudFlare、Juniper Networks、F5等。</p> <p><span style="font-size:28px;"><strong>中國三大雲業者表態支援，DOCA零信任資安浮上檯面</strong></span></p> <p>整個企業IT基礎架構，其實都是DPU應用的範疇，因此在Nvidia發表DOCA軟體平臺之後，後續仍有多種IT技術應用與廠商陸續宣布加入這個生態體系，希望能藉此一解因效能不足而無法發揮所長的困境，而這樣的現象也反映在下半年DOCA改版發布的相關消息當中。</p> <p><span style="color:#B22222;"><strong>DOCA 1.1</strong></span></p> <p>時至7月，Nvidia推出DOCA軟體框架1.1，增加下列5項新特色。首先，是針對Flow的處理，在加速閘道功能中的對應程式庫，能促成分隔網路之間的互通，而在網址、DNS的過濾與轉送功能處理上，也提供了範例應用程式；因應連線追蹤的需求，提供了狀態流向表（Stateful Flow Table，SFT）的加速處理；在搭配DPI程式庫的狀態之下，可針對模式比對處理，提供正規表示式的加速；同時，也提供DOCA Runtime for x86元件，協助x86系統執行的應用程式就地加速，而不需完全卸載到DPU，省去相關傳輸作業。</p> <p>而在DOCA合作廠商與應用生態系統的部分，Nvidia在四大領域中又擴增雲端服務，有3家中國雲端業者加入，分別是百度、京東，以及優刻得（UCloud）。</p> <p><span style="color:#B22222;"><strong>DOCA 1.2</strong></span></p> <p>在GTC 2021秋季大會期間，Nvidia宣布DOCA 1.2將於11月稍晚推出，新版軟體能讓合作廠商與用戶針對BlueField DPU，加快腳步開發相關應用程式，以及全方位的零信任解決方案，當中將新增身分驗證、見證、隔離、監控機制，使其成為零信任與分散式安全平臺。</p> <p>Nvidia將針對DOCA平臺，提供零信任資安框架，以及應用程式保護解決方案名為App Shield，也增加多種DPU加速應用服務，像是Telemetry、Firefly、Host Based Networking（HBN）。</p> <p>其中的DOCA Telemetry服務，可掌握DPU、GPU、主機的即時執行狀態，支援多種串流傳輸協定，可用高頻寬的跨處理程序通訊通道（IPC channel），因應密集串流處理。另一個DOCA Firefly服務負責精準時間同步處理（Precision Time Synchronized），針對整個資料中心環境提供服務，加速時間處理相關應用，如時間感知型流量壅塞控制、分散式快取、分散式同步資料庫。</p> <p>至於DOCA Host Based Networking服務，則是處理DPU與裸機伺服器之間的路由，在底層路由使用BGP協定時，可搭配EVPN以支援多租戶環境。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-5-DPU2021-6-HBN%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FNvidia.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Nvidia</span><br /><strong>在DPU網路應用上，Nvidia提供DOCA Host Based Networking（HBN）服務，可基於DPU在雲端環境裸機伺服器提供路由，管理者可將路由邏輯搬移到邊緣端（DPU），簡化網路設定工作，聚焦在連線處理，並提供可延展的分散式路由架構。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-3-DPU2021-4-Telemetry%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FNvidia.png" style="text-align: center; width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Nvidia</span><br /><strong>DOCA服務中，DOCA Telemetry可即時呈現DPU、GPU與伺服器運作狀態與活動，運用高頻寬的行程間通訊通道（IPC channel）與多種協定，實現密集資料串流，以及硬體效能計數器。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-4-DPU2021-5-Firefly%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FNvidia.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Nvidia</span><br /><strong>另一個Nvidia DPU的服務DOCA Firefly，是可進行精準時間同步處理的服務，可改善運算、儲存、網路的運作方式，目前這項機制可支援多種應用，像是：全球同步資料庫、分散式快取、時間感知壅塞控制。</strong></span></p> <p>為了在資料中心所有應用層面實現零信任，Nvidia將透過DPU與DOCA，提供三大重要功能：一、認證平臺身分的能力；二、提供工具，加快身分認證、存取控制、加密的處理速度；三、實踐「保持質疑、不斷驗證」的態度。</p> <p><strong>● 一、驗證平臺的合法性</strong></p> <p>平臺認證部分，DPU基於硬體信任根，提供安全與可量測（measured）的系統開機能力；這裡將運用基於設備識別組合引擎（DICE）而成的平臺，以及DPU軟體的遠端見證。基本上，DICE是一系列軟硬體技術，可用於硬體加密設備的身分識別、見證、資料加密。</p> <p>BlueField在最底層架構中提供了硬體信任根與獨一無二的裝置ID，能執行可測量的安全開機方式，如此一來，能驗證所有執行在DPU的軟體，確認它們都是獲得數位簽署與通過身分驗證的，同時，可突顯開機映像是否都已妥善完成上述安全程序的檢核，避免實際的開機過程當中載入不同或額外的程式碼。</p> <p>這樣的開機驗證保護，仰賴硬體信任根為信任鏈（chain of trust）延伸起點，而此處所謂的測量，是會針對那些已完成數位簽署的映像檔，計算出安全雜湊值，接著還會觀察映像檔在安全開機過程中載入的狀況。</p> <p><strong>● 二、提供加速安全防護功能的工具</strong></p> <p>關於加速多種安全處理的工具，這裡區分為：卸載（運用公鑰加密的認證與見證）、控制（運用軟體定義與硬體加速的微分段，以及狀態型連線追蹤等技術，執行資產與資料的存取），以及加速（線上與靜態的資料加密）等三種。</p> <p>舉例來說，在見證的處理上，一旦DPU完成完整性的查核作業後，可用來加速公鑰與私鑰的認證，並將信任鏈延伸至其他應用程式、裝置、使用者。</p> <p>在加密處理上，BlueField可針對TLS與IPsec等網路連線加密通訊協定，以及資料儲存的加密運算。在效能表現上，Nvidia表示，可達到200 Gbps的吞吐量，且不占用CPU資源。</p> <p><strong>● 三、不厭其煩地執行驗證</strong></p> <p>在持續驗證的部分，可使用多種作法，如結合DOCA Telemetry服務，以便監控網路流量，以及回報可疑連線活動；也能從處理器將應用程式的執行抽離到DPU，讓軟體在隔離區中運作；或是保護主機端應用程式，以免遭到破壞或惡意竄改。</p> <p>整體而言，若能利用DPU內建的遙測服務，企業能夠持續監控資料中心網路環境上的一舉一動，若發現可疑行為，能主動發出警示，通知安全資訊事件處理系統（SIEM），以及綜合型威脅偵測與反制系統（XDR）來進行應變處置。</p> <p>同時，這項網路遙測收集的資訊，還可送至Nvidia的AI資安框架Morpheus，協助與Nvidia合作的資安廠商，善用機器學習技術，執行惡意軟體偵測、網路入侵偵測與防禦，並針對已慘遭感染和入侵的資產，進行自動隔離的處理。</p> <p>DOCA與Morpheus聯手後，還能運用機器學習，辨識非惡意、實際上卻是嚴重的高風險資安問題，像是組態設定不當的伺服器，以及過時、久未升級或修補漏洞的軟體，甚至還能偵測密碼、信用卡號、醫療記錄等敏感資訊的存取方式，例如以明碼、未加密的方式傳輸。</p> <p>在數位資產的保護上，BlueField也能透過加速軟體定義網路（SDN）平臺執行的方式，協助企業與組織運用角色存取控制與網路微分段的方式，限制應用程式與使用者的存取。</p> <p>舉例來說，容器化應用程式若要在一個儲存裝置分析資料，再將這些資料傳給一個使用者，放在專屬網路分段，此時，這支應用程式只能存取這個儲存裝置與這個使用者，其餘皆不能存取。</p> <p>而要做到這樣的管控與局限，DOCA目前可提供多種手段，如安全群組、網路微分段、動態角色存取控制，預防惡意軟體透過內網的東西向流量散播。</p> <p>透過上述多層次防護，DPU能夠確保與見證系統完整性，隔離資安威脅的活動範圍，以及保護資安軟體代理程式，一旦發生無可避免的網路破壞攻擊，即可局限影響範圍，換言之，一臺受感染的伺服器或虛擬機器，因為受限於角色存取控制與網路微分段，只能接觸到很少的數位資產。</p> <p>若要識別應用程式是否遭入侵破壞，除了透過資安廠商的解決方案，Nvidia也提供DOCA App Shield服務，支援狀態與行為監控，以及入侵偵測；另一個DOCA Telemetry也能搭配Morpheus，偵測可疑的網路流量。若要擋下異常網路活動，目前一些次世代防火牆軟體平臺，也能運用DPU加速來實施更多元、深入的安全檢測與阻攔，而不會拖垮系統整體效能與服務品質。</p> </div></div></div>
2021/12/6 07:00作者李宗翰https://www.ithome.com.tw/news/148125
【Nvidia 2022新戰略2｜邊緣AI】要靠容器搶攻Edge AI戰地，Nvidia發表UCF新統一運算框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年秋季GTC大會上，Nvidia展示一個Kiosk自助點餐機器人語音助理，這個虛擬語音助理很不一樣，不光是Q版機器人造型很討喜，一看到顧客上門還會開心招手，邊聽客人點餐時，會邊注意對方的臉部表情和聲音，來做出生動表情與其互動，還知道起司漢堡是什麼口味，能依客人喜好來推薦套餐或加哪些配料，甚至想要查詢食物的蛋白質含量，或素食漢堡知識也難不倒它。Nvidia在這臺Kiosk機臺裡結合多種AI技術在裡頭。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/ox2Cc88I-Os" title="YouTube video player" width="560px"></iframe></div> <p>自助點餐機上裝有攝影機和收音裝置，顧客點餐的同時，串流影像和聲音會即時輸入到機臺，結合各種視覺、語音AI應用，像是會有一個視覺AI模型，負責客人臉部偵測與追蹤，同時還有ASR語音模型將語音轉成文字，並從文字上下文來理解其意圖，最後合成語音，再透過Omniverse模擬平臺，模擬逼真的機器人臉部表情和動作，再輸出到Kiosk機臺上來顯示。所有過程都是即時處理。</p> <p>Nvidia透露，之所以能夠快速兜出這樣一個邊緣多AI應用的Kiosk對話機器人，靠的就是一套統一運算框架（ Unified Compute Framework,UCF），能夠將個別AI應用，透過統一機器人處理流程，集中到EGX設備上做運算處理，不論是需要AI語音、AI視覺，繪圖運算和模擬處理過程，都可透過這套框架來提供。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%942%EF%BC%9A%20Kiosk-%E8%87%B3%E6%B5%A9-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Nvidia.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Nvidia</span><br /><strong>Nvidia最新展示的Kiosk自助點餐機器人語音助理，是在Maxine數位機器人平臺中來做開發，同樣採用UCF框架。該應用結合電腦視覺、互動式對話AI技術Riva以及使用Omniverse模擬虛擬化身的臉部表情、手勢、身體動作。</strong></span></p> <p><strong style="font-size: 28px;">為何Edge AI需要統一運算框架？</strong></p> <p>Nvidia執行長黃仁勳在會中多次提到這個框架的重要性，甚至將它視為該公司未來搶進Edge AI產業不可缺少的關鍵武器之一，未來可以運用在製造業、零售、交通、醫療等行業等。</p> <p>為何Edge AI需要統一運算框架？黃仁勳解釋，邊緣運算的統一概念，是要能夠處理感測器、高速I/O、訊號與物理處理、AI推論和繪圖運算等一連串技術的組合需求，這和機器人處理流程相同，甚至必須做到即時處理。所以他認為，邊緣應用程式的本質是一個機器人應用程式，都是在類似條件下執行相似的任務，如無人自駕車等，「而為了打造出一個能夠處理機器人流程的邊緣AI應用程式，需要有UCF框架才行。」</p> <p>這些處理流程包括將專用加速器、CUDA GPU、深度學習Tensor核心、RTX繪圖技術、網路、資安和高速IO處理鏈結在一起，讓企業或開發人員能透過UCF框架，迅速打造出所需的即時Edge AI應用程式。</p> <p>也因此，Nvidia的Edge AI策略，明顯不同於其他大型公有雲業者，從雲端AI來切入Edge AI戰場，反而一開始就考慮到邊緣應用本身的特性，從即時處理的Edge AI切入，而UCF框架就是這家公司未來要搶攻Edge AI戰地的重要利器，可以把開發Edge AI應用所需AI軟硬體資源的處理流程，都透過這套框架來提供，以便能夠開發出能立即反應的Edge AI應用程式，也簡化Edge AI應用開發流程。</p> <p>以UCF框架建立出來的Edge AI應用程式，除了可以部署到邊緣運算設備或嵌入式系統中，未來也能夠在資料中心來執行。</p> <p>儘管，Nvidia在會中沒有透露關於UCF框架更多細節，甚至也沒有排專屬議程來介紹這個新框架，不過在他們的官網已經悄悄地將UCF框架公開列入未來重要發展項目。從這個網頁的介紹可知，UCF框架是一個用來開發即時處理Edge AI應用的加速框架，涵蓋從高速網路儲存I/O、資料處理、影像訊號處理，到DNN神經網路和PINN物理神經網路、繪圖運算以及串流處理都包含其流程內，透過這些處理流程的串接，進而實現即時邊緣AI應用。</p> <p><span style="font-size:28px;"><strong>引進容器和微服務，讓Edge AI開發更敏捷</strong></span></p> <p>為了要加速Edge AI開發，Nvidia在UCF框架中還引進當紅的容器技術和微服務架構，目的是要把每種AI應用（包含視覺AI、對話AI、數據分析、繪圖渲染等），都變成一個個微服務，跑在容器裡，未來可以獨立部署和管理在Edge AI應用程式中，藉此讓Edge AI開發變得更敏捷。</p> <p>待完成開發以後，開發人員只須將 UCF應用程式打包到容器中，就能透過Helm圖表來加以部署，後續也能在圖表中管理UCF應用程式中所需的資源。從這個圖表中，可以很清楚看到目前在多AI邊緣應用程式中，使用到哪些AI推論模型、各種資料處理流向，以及搭配硬體彼此間的關係。</p> <p>UCF框架本身也提供一個IDE開發環境和No-Code設計工具，來簡化微服務在應用程式中的建立、管理和部署。開發者可以使用No-Code工具完成程式編寫，只要透過拖移方式，就能迅速組合出邊緣AI應用程式的處理流程，再依據這些流程，建構不同AI形式用途、繪圖和其他處理功能，即使不是專業程式設計人員也能迅速上手。在IDE中也有制定設計規則和驗證程序，來確認UCF應用程式的設計正確性。</p> <p>另外，該框架已經內含預先驗證並部署好的微服務，來加速應用程式開發，開發人員也能使用Nvidia SDK工具來新增或客製所需微服務。該框架也有提供一些個別產業的參考設計，像是零售Kiosk機臺應用、醫療影像診斷應用、智慧交通運輸等。</p> <p>UCF框架本身還提供Edge AI加速運算所需的軟硬體及各種SDK工具，像是底層可以搭配EGX邊緣運算平臺，不同場景AI加速運算，也有提供如DeepStream、Riva、Omniverse、Triton和Magnum IO等相關SDK工具。</p> <p>儘管，該框架明年才會釋出，但Nvidia在主要Edge AI產品中，已經開始使用UCF框架，像是前幾年發表的AI影像分析串流平臺Metropolis，率先使用UCF框架來設計出能支援多感測器的Edge AI 應用。Nvidia表示，透過使用UCF框架，讓以往AI視覺應用更容易跨不同感測器來執行，不只結合AI影像串流的攝影機，未來還能在光達、深度感測器、雷達、超音波等不同感測裝置上提供邊緣AI處理能力。</p> <p>Nvidia最新展示的Kiosk自助點餐機器人語音助理，是在Maxine數位機器人平臺中做開發，同樣採用UCF框架來提供即時處理的Edge AI應用。該應用結合電腦視覺、互動式對話AI技術Riva以及使用Omniverse來模擬虛擬化身的臉部表情、手勢、身體動作，來提供一種即時對話式機器人服務。</p> <p>新發表的醫療診斷邊緣AI平臺Clara Holoscan，也以UCF框架處理這些邊緣運算流程，將不同視覺AI模型、資料視覺化、高速IO、訊號處理流程鏈結到一個軟體定義的醫療儀器設備中來處理，儀器設備商想用它打造屬於自己的醫療邊緣AI應用將更容易許多。</p> </div></div></div>
2021/12/6 07:00作者余至浩https://www.ithome.com.tw/news/148131
【總覽Nvidia 2022新戰略】以多AI技術實現高擬真的3D虛擬分身，更布局邊緣AI三大關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年4月一場線上GTC技術大會上，Nvidia執行長黃仁勳有14秒的演講，是用自己的虛擬分身上陣，Nvidia前陣子才揭露，讓許多當時參加的開發者和全球媒體都大吃一驚，用3D電腦繪圖結合AI模擬出來的虛擬分身已經到了幾可亂真的地步，更在網路上引起熱烈討論。</p> <p>在接下來11月中旬GTC秋季大會上，所有人都在猜測他這次會不會同樣以虛擬分身登場，甚至從一出場開始，就仔細觀察他的臉部表情、手勢、身體動作，任何細節都不放過，想從中找出破綻，但沒有人有把握。直到會後線上記者會上，媒體向他求證時，黃仁勳笑說：「除了我以外，全都是假的。」</p> <p><span style="font-size:28px;"><strong>Q版造型的Toy Me迷你分身，能回答專家艱澀提問</strong></span></p> <p>儘管沒有用自己的虛擬分身介紹產品，但在這場GTC大會上，同樣出現另一個黃仁勳迷你分身Toy-Me，雖然一眼就可看出不是本人，但舉手投足都將本尊模仿唯妙唯肖，連講話語氣也十分相似，還能代表他與一群專家及科學家流暢交談，回應各種艱深提問，像是如何改善氣候變遷等問題，都難不倒它。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/U9Zh57dGsH4" title="YouTube video player" width="560px"></iframe></div> <p>不論是黃仁勳虛擬分身或Toy Me，都是透過Nvidia的3D設計協作與模擬的Omniverse平臺所製作完成，甚至不只是虛擬分身，Omniverse現在還能用於建造Metaverse虛擬世界，以即時3D繪圖、AI和物理模擬出逼真的動態場景，讓人有如置身真實世界中的感受。Omniverse企業版在11月正式推出上線。Omniverse也是黃仁勳這場主題演講中的7大重點之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%9421-%E8%87%B3%E6%B5%A9-7%E5%A4%A7%E4%B8%BB%E8%BB%B8%20-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Nvidia.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Nvidia<br /><strong>在年尾舉行的GTC秋季發布會中，Nvidia執行長黃仁勳的主題演講，主要圍繞7大技術主軸，涵蓋量子運算、AI推論平臺、語音AI、超大語言模型（LLM）、虛擬世界模擬引擎Omniverse、機器人平臺以及高速網路平臺。</strong></span></p> <p><span style="font-size:28px;"><strong>兩大機器學習開發新框架，加速建立物理ML與超大LLM語言模型</strong></span></p> <p>回顧這些年運算發展，黃仁勳表示，加速運算一直都在試圖處理完整技術堆疊（full stack）的運算問題，考慮到不同應用、不同產業，而且跨雲端到邊緣，不論是GPU、CPU和DPU晶片，也不分DGX、HGX、EGX、RTX、AGX系統等，都需要各種優化的SDK，來提供這些行業或產業做加速運算使用。他也說到，目前有3百萬名開發者使用該公司150個加速運算SDK用於繪圖、AI和機器人應用。</p> <p>這次技術大會上，Nvidia更加碼釋出65個新的或更新的SDK，提供各產業使用。舉例來說，ReOpt是物流倉儲搬運機器人用的SDK，可優化機器人移動與行駛路線，以及為機器學習慣用程式語言Python推出的cuNumeric，可加速其擴充函式庫NumPy支援更大規模的矩陣運算。另外cuQuantum則是針對量子運算專用SDK，可供研究人員進行量子科學研究。</p> <p>在AI應用方面，該公司推出兩個極為重要的AI開發框架，一個是物理機器學習模型開發框架Modulus，可透過AI加速建立高度逼真的物理模型，Nvidia還宣稱，以此產生的模型模仿物理的速度，比模擬軟體快1,000到10萬倍之多。另一個NeMo Megatron深度學習框架，則要用來解決超大語言模型（Large Language Model,LLM）訓練的難題，企業或開發者還可以使用以該框架建立的LLM模型NeMo Megatron 530B訓練出自己的語言模型。該語言模型預設使用多達5,300億個參數，還比OpenAI的GPT-3語言模型高出3倍之多，且支援多GPU、多節點分散式運算架構。</p> <p>除了訓練用LLM模型，Nvidia新一代Triton推理伺服器，也能支援LLM模型的推論。也因為LLM模型是未來AI用來理解語言、語意、上下文脈絡的重要關鍵，黃仁勳也看好LLM模型的發展，將成為未來主流HPC應用。</p> <p>此外，在新一代Triton推論伺服器中，現在已經可以處理機器學習和深度學習模型的推論，也可以在Arm架構伺服器中做推論。還有另一個體積更小、運算力更強的Edge AI推論晶片Orin在同一天發布，可以提供每秒200兆次的運算（TOPS），與前一代 Xavier相比提升6倍之多。</p> <p>在企業AI軟體方面，Nvidia原本就有建立相當完整的生態系，涵蓋雲端、本地、邊緣和嵌入式裝置，現在更進一步與資料中心代管服務商Equnix合作推出LaunchPad服務，提供企業預安裝和整合服務，企業以後可以將這些AI軟體部署到Equnix資料中心內，不一定要放在企業內部，不過目前Equnix亞洲機房只有東京和新加坡兩個。</p> <p><span style="font-size:28px;"><strong>借助新AI語音引擎，用30分鐘訓練就能產生新合成語音</strong></span></p> <p>Nvidia同一天推出互動式對話AI引擎Riva，強調只要30分鐘的語音資料訓練，就能產生語音合成模型建立新的AI語音系統，最多可以支援7種語言，包括中文、英文、日文、西班牙文、德文、法文、俄文。除了語音合成，Riva還具備語音助理功能，能回答提問、歸納和理解說話者意圖，也能提供翻譯、即時字幕顯示功能等。</p> <p><span style="font-size:28px;"><strong>力推新UCF統一運算框架，搶攻Edge AI產業應用</strong></span></p> <p>在這次技術大會上，黃仁勳還進一步揭露出該公司Edge AI布局，主要有3大關鍵技術，統一運算框架（Unified Compute Framework,UCF）、虛擬化身Maxine機器人平臺，以及虛擬世界模擬引擎Omniverse。</p> <p>Nvidia首度提到UCF框架，它是一個用來開發即時處理Edge AI應用的加速框架，企業能夠利用它建立處理機器人流程的多AI邊緣應用程式，而且利用這套框架開發出來的邊緣AI應用，不只可以部署到嵌入式機器人系統或邊緣裝置上，也可以在企業或雲端資料中心執行。</p> <p>目前該公司已經有部分Edge AI產品採用UCF框架，例如新推出的醫療儀器設備平臺Clara Holoscan就有使用UCF框架，還有Maxine機器人平臺同樣是採用UCF框架提供虛擬分身開發環境。黃仁勳表示，未來Maxine將可以整合更多AI技術深化應用，包含電腦視覺、神經網路繪圖、動畫模擬、AI語音、對話管理、NLU和推薦等。</p> <p>另一方面，歷經近一年公測，Nvidia的Omniverse企業版正式上線，還釋出重大更新和推出不少新功能，例如最新發表的Omniverse Avatar虛擬化身模擬平臺，整合電腦視覺、語音AI、自然語言理解等技術，讓企業可以在虛擬世界中打造出更聰明的AI虛擬化身，來帶來各種對話式應用或服務，例如Toy Me就是其中一個應用例子。</p> <p>在一項Maxine虛擬分身技術展示中，就有使用Omniverse來模擬Kiosk機器人語音助理的臉部表情、手勢、身體動作，同時串聯電腦視覺、互動式對話AI技術Riva等多種AI技術，來提供即時互動式對話。</p> <p>新發表的Omniverse Replicator模擬框架，則是能產生模擬真實世界所需的物理數據，例如道路表面等，可供自駕車以及機器人在虛擬環境中持續加強訓練。</p> </div></div></div>
2021/12/6 07:00作者余至浩https://www.ithome.com.tw/news/148135
【Nvidia 2022新戰略1｜Metaverse】不只搶攻企業數位分身，更要打造逼真多元的Metaverse世界
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「如果想用3D繪圖軟體模擬拿水倒入玻璃杯的動作，會有多難？」光是一個看似簡單持杯動作，一根手指模型設計就需要超過6千個四面體幾何結構組成，才能夠控制手指尖在玻璃接觸面上產生磨擦力，用磨擦力拿起水杯。杯體中更使用了粒子技術，來模擬液體從高處往下流入杯內的動態變化，半杯水需要使用超過2萬個水粒子，才能模擬出水在杯內流動的狀態。甚至要把所有動作模仿維妙維肖，背後需要考慮到許多技術細節，以及各種物理相互間的作用才能辦到。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/1qhqZ9ECm70?start=643" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>這個倒水3D模擬畫面（如上面影片中所示），其實是今年4月GTC技術大會主題演講上，Nvidia執行長黃仁勳的一張投影簡報內容，甚至不只這張簡報，整場演講簡報中出現所有硬體產品、場景、圖表、影像，都是經過3D模擬效果，黃仁勳更有14秒的演講片段，是站在自家廚房介紹產品，也都是經過模擬合成，而不是真的本人在廚房講話。</p> <p>Nvidia刻意不明講，直到3個月前一段當時幕後製作影片公開後，這件事才曝光，許多人驚覺到原來當天演講簡報和影片都是模擬效果，甚至連黃仁勳都是。所有簡報模擬和黃仁勳虛擬分身，都是在3D設計協作和模擬的Omniverse平臺中進行模擬製作和畫面渲染的成果，透過這項技術展示，也讓外界看見Omniverse在3D繪圖和物理模擬的出色表現。</p> <p>尤其，近兩年，一種以架空世界概念興起的元宇宙（Metaverse）新趨勢，逐漸成為科技產業的熱門話題，包括微軟、Nvidia、臉書等許多網路或科技大廠都開始提及Metaverse，甚至前陣子臉書更將公司更名為Meta，高調宣誓要打造下一代的Metaverse社交世界。</p> <p>但想要在實體世界之外打造出一個或多元Metaverse虛擬世界，未來更需要這種高精細度3D繪圖和物理模擬呈現技術，才能建造出不亞於真實世界的逼真場景和感官體驗，來提供人們彼此互動交流。</p> <p>儘管整場GTC技術大會，黃仁勳都沒談論Metaverse，但會後一場線上媒體上，黃仁勳提出明確的發展策略方向。他表示，我們提供的是建立Metaverse世界所需的技術基礎設施，而不是一個應用程式平臺，「而Omniverse是一個設計引擎、技術引擎和技術平臺，是任何一家企業都能用的模擬虛擬世界引擎，不論是物流公司、社交平臺或消費娛樂等行業都能用。」他這麼說。</p> <p>在黃仁勳眼中，未來虛擬世界規模將遠大實體世界，而且這樣的虛擬世界會很多，除了聚會和遊戲娛樂用途，許多虛擬世界將提供科學家研究、藝術創作和企業應用。例如人們可以在裡面買各種3D物件，就像在網路商店購買數位音樂或電子書，還能買房、買傢具和進行藝術創作。不同虛擬世界能彼此互動，透過USD資料交換格式將人們和運算連到同個虛擬世界，或從其中一個虛擬世界進到其他虛擬世界。他說，操作起來，就像使用網頁超連結那樣容易。所有虛擬世界的建立，就是靠這套Omniverse引擎。</p> <p><span style="font-size:28px;"><strong>打造高度擬真呈現的企業數位分身應用</strong></span></p> <p>儘管不像Metaverse世界觀龐大，早從3～4年前，一些大型企業就已經開始導入類似技術，來複製營運或生產環境局部實體的數位分身（Digital Twin）做應用。製造業發展最早，透過使用如VR或AR等虛實混合技術發展生產工廠數位分身，在產品設計模擬、製造流程規畫、產線建置規畫、AR檢修、營運戰情室，以及VR虛擬展間等都有相關應用，甚至臺灣主要電子代工與高科技半導體製造大廠這1～2年都開始用。</p> <p>市面上已有不少企業級數位分身產品或方案推出，如達梭3DExperience體驗平臺，或者是PTC的ThingWorx與PTC Creo軟體已經在幾年前提供或支援這類功能。大型公有雲業者去年也開始搶進，例如微軟Azure Digital Twins公雲服務已經正式上線，可供企業採用。ERP巨頭SAP也和Ansys合推數位分身方案。這些方案多以製造業為主。</p> <p>除了打造Metaverse世界所需的技術引擎，Nvidia近年來也瞄準數位分身企業戰場，靠的就是Omniverse模擬平臺，提供企業所需的軟硬基礎設施，至今包括愛立信、BMW、西門子等都有用。甚至黃仁勳更誇口：「Omniverse將成為顛覆4千萬名創作設計者未來協作的設計引擎。」</p> <p>自從去年底開放公測以來，Omniverse平臺至今累積超過70,000次下載，多達500家企業有用，企業版今年11月也正式推出上線。</p> <p><span style="font-size:28px;"><strong>用新框架加速AI建立物理模型，比傳統模擬快1,000到10萬倍</strong></span></p> <p>Nvidia這些年光線追蹤和模擬採用的RTX技術，也整合到Omniverse平臺中，因為企業數位分身需要高度擬真呈現，才能夠幫助企業思考和洞察。該平臺還結合遊戲物理加速的即時物理引擎PhysX，能對不同層面的物理效果提供更高效能模擬，例如流體模擬、FEM軟體模擬、機器人關節模擬等。這使得用Omniverse平臺產出的數位分身，比其他競爭對手擁有更多真實場景的細節。</p> <p>在本次大會中，Nvidia還釋出全新ML物理模型框架Modulus，希望透過AI加速物理模型開發及提高模型精準度。Nvidia宣稱，透過這個新框架，在企業數位分身應用中，以此模型模擬物理的速度，比傳統模擬軟體快1,000到10萬倍。該框架支援如PyTorch、TensorFlow主流ML框架，也能透過cuDNN進行GPU加速訓練，並可擴充至多GPU伺服器或多節點叢集。</p> <p>使用該框架後，在Omniverse模擬平臺中可加快大型系統的數位分身產生物理效果的速度，也能根據觀測資料模擬出高度逼真的物理模型，來挖掘更多數位分身應用可能，像是利用模擬發電廠的水蒸氣循環運作情形，找出影響蒸氣機器發生鏽蝕現象的時間和範圍，進而減少日常維護和停機中斷時間。</p> <p>除了企業數位分身，Nvidia還有更大的目標，要用Omniverse打造地球數位分身，供科學家研究全球氣候變遷。黃仁勳也說：「Omniverse架構可以是資料中心規模，甚至有一天可以發展成行星規模（planetary scale）。」</p> <p>不光是企業數位分身與科學研究，自駕車與機器人用數位分身訓練，同樣需要高度擬真、高準確度，確保虛擬環境和真實環境沒有落差。Omniverse平臺也提供這方面的應用。</p> <p>新發表Omniverse Replicator訓練模擬框架，就能產生模擬真實世界所需的物理數據，提供自駕車或機器人的數位分身在虛擬環境中做訓練。</p> <p>Nvidia現場還展示一段用AI模擬產生的行車路況影像，供自駕車做訓練，該影片使用Omniverse模擬平臺和Modulus框架在虛擬世界中建立高擬真訓練場景，用AI模擬出來的場景，不論是道路上行人、路旁的車輛、路燈、季節天氣的細節變化都十分講究，幾乎是已經到了真假難辨的地步。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/gPaFgNEF82Q" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>在功能更新方面，Omniverse這次也有一些重要更新或新功能釋出。像是推出一支行動App，能結合Omniverse技術，協助企業迅速建立符合真實物理情況的虛擬展間；在管理上新增一個Omniverse Farm系統管理平臺，可用來調度和處理各種運算批次任務（如3D渲染、合成AI訓練數據或分散式運算），且能橫跨多個不同系統，包括工作站、伺服器、裸機或虛擬機。Omniverse最新還支援行動AR功能，可以將影像串流到手機或AR眼鏡上顯示。之後也能支援光追技術VR功能。不過目前多數功能是Beta版本。</p> <p>不僅如此，Omniverse還開始提供AI語音助理的虛擬分身製作服務，企業只要透過Omniverse Avatar虛擬分身模擬平臺，就可以很容易打造出擁有虛擬分身的AI語音助理，搭配逼真的3D 臉部動畫和動作，來提供如餐廳點餐、線上客服或視訊會議口譯等服務。</p> </div></div></div>
2021/12/6 07:00作者余至浩https://www.ithome.com.tw/news/148177
元宇宙還缺這塊拼圖
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「除了我，全都是假的。」GTC秋季大會開場演講後的一場線上記者會中，Nvidia執行長黃仁勳給出了完全相反的答案。</p> <p>今年上半年GTC開場演講中，那一段14秒的黃仁勳虛擬分身，毫無破綻，沒有人發現。會後眾人才驚覺，數位分身的模擬技術，已經進展到，肉眼都難以分辨真假切換的過程。</p> <p>幾個月後，當臉書創辦人祖克柏喊出元宇宙（Metaverse）大夢，甚至將公司改名為Meta時，應該有不少人覺得，數位分身技術都進展到如此程度了，元宇宙應該有機會走出「科幻小說」中的世界吧。</p> <p>這正是GTC秋季大會，眾人最好奇的問題，這一次虛擬分身會出場多久？1分鐘？還是1小時？答案照慣例又跌破眾人眼鏡，1秒都沒有，全程都是本尊出演。</p> <p>反倒是搭配了一個藍色小精靈般（小叮噹世代應該知道這個詞）的Q版黃仁勳虛擬公仔，維妙維肖地，連語氣都神似的應答自如，什麼問題都難不倒。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%941-%E8%87%B3%E6%B5%A9-TOYME-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Nvidia.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Nvidia</span></span></p> <p>虛擬分身技術沒有太大驚喜，但是黃仁勳的後半句「全都是假的」，卻揭開了元宇宙虛擬空間技術的新高度。因為不只虛擬分身或虛擬公仔，都是Nvidia利用3D設計協作與模擬的Omniverse平臺所製作，現在這個平臺還可以用來打造Metaverse虛擬世界，以即時3D繪圖、AI和物理模擬出逼真的動態場景，讓人有如置身真實世界中的感受。Omniverse企業版正是秋季大會正式推出的產品之一。</p> <p>Omniverse平臺可以用來打造模仿真實世界物體的虛擬物件，換句話說，這正是一個可以用來打造元宇宙虛擬世界中的虛擬物體的工具，尤其是要將真實物件複製投影到虛擬世界時，Omniverse平臺的模擬能力，可以發揮不少作用。</p> <p>而Nvidia也很清楚，Metaverse將是自家工具的重要應用場景，因此不只積極發展虛擬分身技術，這次大會中還新發表了Omniverse Replicator模擬框架，能進一步讓虛擬世界擁有真實世界中的物理特性，例如能建立具有真實物理特性的道路表面等，作為自駕車及機器人AI的訓練之用。</p> <p>但這樣就夠了嗎？有了打造元宇宙的技術，就能打造出元宇宙嗎？總覺得少了點什麼？這是我一直很少談及元宇宙的緣故，總覺得少了一塊拼圖，這個元宇宙，對我而言仍就只是一個無法真實落地的科幻夢，變成遊戲沒問題，但要成為世界的真實投影，不夠，還不夠。</p> <p>利用模擬技術，來模擬各種真實世界的作法，故事聽起來很耳熟，不就跟開發圈現在當紅的「容器」技術或是上一代的虛擬化技術很類似。</p> <p>對一支AP而言，不論是VM或是Container，都是用來創造一種隔離層來塑造一個讓AP更容易執行、運作的模擬執行空間。VM底層的Hypervisor層，模擬的是硬體伺服器的CPU、記憶體、硬碟等，而Container則是把各式各樣的OS，函式庫、Runtime之間的「相依性」封裝起來，形成了一個可以通吃各種異質傳統執行環境的模擬執行空間。</p> <p>那麼，讓VM技術或Container技術加速普及，甚至落地各種產業、應用場景的關鍵是什麼？資安技術。不論是虛擬化資安技術或是各種容器資安技術，都是讓企業放心、大幅擁抱這兩種AP環境模擬技術的關鍵。</p> <p>當批評者大力抨擊，元宇宙帶來龐大隱私問題、資安風險，但從另一方面來看，資安不就是元宇宙具體化所欠缺的關鍵一塊拼圖，可能不只這一塊，但光追蹤這塊不足的發展，可以成為元宇宙成熟度的重要觀察指標，值得好好留意。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%85%83%E5%AE%87%E5%AE%99">元宇宙</a></div><div class="field-item odd"><a href="/tags/%E9%9A%B1%E7%A7%81">隱私</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item odd"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item even"><a href="/tags/%E9%BB%83%E4%BB%81%E5%8B%B3">黃仁勳</a></div><div class="field-item odd"><a href="/tags/metaverse">Metaverse</a></div><div class="field-item even"><a href="/tags/%E8%99%9B%E6%93%AC%E5%88%86%E8%BA%AB">虛擬分身</a></div></div></div>
2021/12/6 07:00作者王宏仁https://www.ithome.com.tw/voice/148183
Nvidia 2022新戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1054-feng_mian_gu_shi_1-open-960x420_kao_bei_.jpg?itok=0h1ZISYO" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不同於上半年GTC聚焦硬體，11月秋季大會上，Nvidia聚焦技術應用情境與開發平臺，混用多種AI讓語音助理更聰明，推新平臺能打造高擬真3D虛擬分身，更布局三大關鍵技術搶攻明年邊緣AI新商機</p> </div></div></div>
2021/12/6 07:00未署名https://www.ithome.com.tw/article/148184
IDC預測臺灣2022年ICT十大技術新趨勢，聚焦永續經營雲端運算、虛實整合混合辦公新模式，更要打造高擬真的Metav…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場調查機構IDC昨日（12/3）公布了臺灣2022年ICT市場十大科技關鍵趨勢預測，不同於往年，今年技術趨勢預測，不少圍繞於虛實整合相關的科技投資，從虛實混合辦公模式，到近來火紅的Metaverse（元宇宙）都上榜，看好成為企業明年重要投資重點。因受到全球淨零排放趨勢的影響，IDC首度在雲端科技中結合永續營運作法，列為明年重要關鍵技術之一，成為企業未來發展數位創新的重要核心能力。另外在AI技術發展上，也逐步朝向跨多領域和融合AI應用來發展。</p> <p>受全球疫情延續不減的影響，IDC臺灣區總經理江芳韻表示，這也將影響明年企業重要科技投資策略，將以數位優先（Digital first）策略為主，希望透過這些數位科技與創新，除了幫助公司轉型創新，更要在面對高度不確定風險下建立營運韌性，她也引用自家最新調查數據，企業明年在新產品、新服務提供的技術投資占比，將逼近5成（48%），相比5～6年前投資高出2成多，反映出企業對創新服務的IT投資越來越重視。</p> <p>值得一提的是，今年不少技術趨勢都跟虛擬整合技術相關，她表示，從技術角度來看，以前虛實整合著重在模擬相關技術，用AR或VR建立實體物的複製品，但未來應用會更加強調在兩者之間建立高度互操作性，而且必須要能夠即時處理，甚至需要考慮到空間，時間運算等，這需要許多不同技術的整合才能辦到。</p> <h3><span style="color: rgb(255, 140, 0);"><strong>Metaverse產業明年仍在發展初期，離真正商用落地還太早</strong></span></h3> <p>在這些虛實整合技術中，IDC今年首度將以架空世界為概念興起的Metaverse（元宇宙），列入明年重要關鍵技術趨勢之一。近期因臉書更名，更讓Metaverse成為當紅議題。不過，外界目前對於Metaverse概念還沒有一個很明確通用定義，而根據IDC自己定義，Metaverse是指一個可以跟真實世界精準且無縫串連的虛實整合場域。</p> <p>也因為基於這樣的定義，IDC預估，Metaverse要真正能夠落地應用，至少需要5到10年，主要是有8大關鍵技術還沒到位，包括雲原生基礎設施、智慧人機互動介面、分散式追蹤機制、空間運算設備、內容創作平臺、平臺經濟、資訊安全與智慧分析。儘管2022年仍在發展初期，IDC提到說，一些較不需要高精準、無縫串連要求的應用發展會較快，如遊戲、娛樂、活動展演、製造業數位分身相關。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20211203_070536214.jpg" style="width: 600px; height: 338px;" /></p> <h3><span style="color: rgb(255, 140, 0);"><strong>企業混合辦公未來也將發展出新的虛實混合工作模式</strong></span></h3> <p>另外，在企業混合辦公上，IDC表示，未來企業不只有遠距、到公司上班的模式，也將朝向整合虛實混合辦公模式發展，IDC預估，2025年時，9成企業新舊辦公環境的基礎設施，都將支援這樣嶄新的辦公模式。讓員工可以在企業建立虛擬辦公室來工作，並能與實體工作環境彼此互動共享資訊，例如在虛擬辦公室中進行電腦作業時，可以保持與實體工作場所的電腦作業同步，而實體電腦上操作上也能快速切換到虛擬場所中操作，來完成交辦任務，兩者需要有高度互通性。</p> <p>甚至不只辦公環境，未來這樣的技術甚至有機會改變傳統勞力工作模式，IDC就認為，在醫療、製造業、運輸業領域都有機會來推動。</p> <h3><span style="color: rgb(255, 140, 0);"><strong>雲端運算發展也要向永續營運靠攏，將有機會帶動新一波雲市場成長</strong></span></h3> <p>除了虛實整合相關技術之外，延續往年，今年雲端運算、AI也都再度上榜，但各自有不一樣發展。像在雲端方面，不像前幾年多以混合多雲、電信雲發展為主，IDC今年罕見在科技趨勢預測中，將永續營運與雲端運算發展做結合，甚至認為有機會掀起新一波雲市場發展。目前在雲端永續發展中，以三大公有雲腳步最快，Google、AWS、Azure三家公有雲業者過去幾年都有在永續營運方面投入許多資源，包括使用再生能源、採用新技術加強水資源管理和提高能源效率，持續朝向零碳目標發展，還訂出履行時間表。</p> <p>考慮到淨零排放已成國際共識，IDC認為，這也將影響到企業未來對上雲的意願，將有可能採取提高公有雲採用比例的作法，來達到永續經營的目標。根據IDC研究，如果未來4年企業資料中心上雲，合計至少減少10公噸碳排放總量。</p> <h3><span style="color: rgb(255, 140, 0);"><strong>2024年臺灣整體AI投資上看155億元，金融、零售的AI投資6成占最多</strong></span></h3> <p>近幾年，臺灣越來越多企業開始導入AI，甚至把AI技術視為加轉型的關鍵，也反應在A投資上，有逐年提高的趨勢，根據IDC預測，臺灣整體AI技術的投資，到2024年達到5.62億美元，相當於155億新臺幣，其中金融、零售的AI投資最多，占整體6成以上。</p> <p>在AI技術演進上，IDC表示，明年下一波AI發展，將從原本被動分析AI，發展成能主動預測AI，應用場景也將逐步朝向跨多場域和虛實融合AI應用來發展，IDC也用Omnipresent AI（無所不在AI）來形容這樣AI應用型態的改變，將能夠跨不同場域，而且須涵蓋融合AI、自動化AI、可解釋AI、無偏見AI等不同AI層面技術，甚至也要能因應新場景和應用的新挑戰，如5G、Metaverse等。</p> </div></div></div>
2021/12/4 18:12作者余至浩https://www.ithome.com.tw/news/148189
星展銀行數位轉型經驗大公開，7年雲端實踐歷程的抉擇與成果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:.05pt;">「數位轉型源於技術，企業構思數位轉型時，一定要引進技術專家，描繪企業願景同時，也要描繪出自身科技發展的願景，若沒有選定一條技術發展的清晰路徑，終究無法成功推動數位轉型，」星展銀行（臺灣）科技長蔡祈岩在剛落幕的臺灣雲端大會上強調。</p> <p style="margin-left:.05pt;">星展銀行從2014年展開數位轉型大改造，全力發展數位銀行，因數位轉型成果更兩度獲指標性獎項「全球最佳數位銀行」的評價，轉型經驗成許多企業參考的對象。雲是星展數位轉型的關鍵技術，藉由雲端技術增加系統的擴充性和靈活性，大幅提升作業效率。蔡祈岩在這場演說中，揭露了星展過去7年的雲端技術實踐歷程。</p> <p style="margin-left:.05pt;">2008年金融海嘯後，星展銀行在2009年至2014年間，整體營收表現穩健，逐年成長，然而，也感受產業面臨了4大威脅。第一，全球性超大型平臺出現，像是阿里巴巴、支付寶、Paypal等，威脅傳統銀行業者；其次，因各國積極推動金融科技變革，金融服務新進者湧入金融市場。從那時候開始，蔡祈岩表示，銀行業不再是擁有大型護城河的行業。</p> <p style="margin-left:.05pt;">銀行業供應商則是另一個威脅來源，因為銀行業追求穩定，且身處高度監管的環境，只要供應商告知產品將停止服務，銀行業會馬上編預算，購買新版產品。隨著銀行業供應商提供的科技服務越來越貴，也成了星展觀察到的第三大威脅。</p> <p style="margin-left:.05pt;">最後一項，隨著時間推移，銀行業客戶群中，數位原生人數的占比越來越高，客戶對於金融服務的期待，也跟著改變，這是第四項威脅。</p> <p style="margin-left:.05pt;">剖析四大威脅出現的原因，星展銀行發現，造成威脅的核心竟是「摩爾定律」。蔡祈岩說明，人類發明的所有科技中，只有電腦運算遵循摩爾定律，運算效能每兩年都會翻倍成長，不管汽車、土木工程、航太等科技的效能，都不具這樣的成長特徵，「數位科技是人類所有發明裡，唯一一項超越人類想像力的作品。」</p> <p style="margin-left:.05pt;">星展銀行體認只有深化自身數位科技的應用，才能享受到運算效能每兩年提升一倍的好處，來因應4大威脅。</p> <p style="margin-left:.05pt;">因此，2014年時，星展開始推動數位轉型，喊出的口號是成為「Gandalf中的D」。Gandalf是奇幻小說《魔戒》中最強的巫師甘道夫的名字，星展用每一個字母代表不同的科技巨頭，G代表Google、A是亞馬遜、N是Netflix、D是星展銀行、A是蘋果、L是LinkedIn和F是臉書，而星展想要成為D，就是希望能與這些科技巨頭並駕齊驅。蔡祈岩道，資訊科技就是現代世界真實的魔法，「成為最強的IT公司，是星展銀行的願景。」</p> <h2 style="margin-left: 0.05pt;"><strong>星展數位轉型5大要素：系統平臺化、敏捷文化導入、流程自動化、應用現代化和組織改造</strong></h2> <p style="margin-left:.05pt;">星展銀行立定了5大數位轉型戰略的要素，來推動轉型工程。第一個要素，從專案思維轉變為平臺思維。蔡祈岩解釋，銀行有非常多的系統，每個系統過去都採專案進行，但未來要轉為平臺思維，他進一步比喻其中的差別，系統平臺化的意義是，「不要只看到單棵樹木，而是要看到一座座的森林。」</p> <p style="margin-left:.05pt;">下一個要素是敏捷文化。星展不僅在開發團隊引入敏捷文化，也改變營運、維運等團隊的運作模式，提升整體組織的工作效率，加快服務的上線速度。第三，發展自動化流程，目標讓所有流程朝自動化發展，降低手動作業需求，像是減少系統後臺維運所需的人力。</p> <p style="margin-left:.05pt;">第四項要素則要發展現代化應用，升級既有機房。最後一項要素是，調整組織。蔡祈岩表示，每年組織面都會經歷不同程度的調整，促進人員相互交流知識，找出因應客戶需求與科技發展的方式。</p> <h2 style="margin-left: 0.05pt;"><strong>視資訊科技為核心競爭力，大幅擴充IT人員規模占集團三分之一人力</strong></h2> <p style="margin-left:.05pt;">為了成為世界最頂尖IT公司一員，星展除了落實5大要素，也設計了一個驅動數位轉型的技術面架構，稱為Gandalf轉型。</p> <p style="margin-left:.05pt;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-Gandalf%20Transformation-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%98%9F%E5%B1%95%E9%8A%80%E8%A1%8C%20web.JPG" style="width: 600px; height: 337px;" /></p> <blockquote><p style="margin-left:.05pt;">星展設計了一套驅動數位轉型的技術面架構，稱為Gandalf轉型，由下而上，以人才與技能作為最底層的要項，再來是網路安全，並向上實現三大技術目標，包含轉變資訊基礎架構為雲原生架構，還有加速資訊應用發布節奏，以及打造API與可量測機制。圖片來源／星展銀行</p> </blockquote> <p style="margin-left:.05pt;">由下而上，這個轉型架構最底層的基礎就是人才與技術。蔡祈岩指出，所有變革必須從人才改變開始。星展重新思考如何投資人才與技能，以打造具敏捷文化的團隊，加快組織運作效率。</p> <p style="margin-left:.05pt;">過去，星展銀行高度仰賴外部資訊服務供應商，開發各項資訊應用系統，甚至可以說，大多採委外開發方式建置資訊系統，不管是由外部單位負責開發、維運，或是供應商派駐在星展的外部人力來開發。大量外包的做法下，星展所用的IT人力，2009年時，85%來自外部供應商，也就是說，自身資訊人力只占了15%。</p> <p style="margin-left:.05pt;">蔡祈岩表示，銀行業過去不僅將資訊科技視為工具，還視為是花錢的、需盡量節省成本的項目，所以才採取委外策略，但是，他指出，今天的銀行業已經將IT視為核心競爭力，就不能繼續採用外包策略。</p> <p style="margin-left:.05pt;">星展銀行從2014年開始，推動Gandalf轉型架構，強力投資科技軟實力，大幅擴大自有資訊人員的規模，改變IT人力在組織中的占比，展現了推動數位轉型的無比決心。</p> <p style="margin-left:.05pt;">截至今日，星展所有系統開發、維運等IT作業，9成是由自家IT人員負責，有超過1萬名IT人員，換句話說，全集團總員工數約2.9萬人中，資訊人員占比已經超過三分之一。</p> <p style="margin-left:.05pt;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-IT%E4%BA%BA%E6%89%8D-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%98%9F%E5%B1%95%E9%8A%80%E8%A1%8C%20web.JPG" style="width: 600px; height: 339px;" /></p> <blockquote><p>為成為金融科技公司，星展將資訊科技視為核心競爭力，改變組織人才結構，大幅擴大資訊人力規模，2009年時，85%的IT人力來自外部供應商，今日高達9成IT人力是自家人員，能盡可能自行開發、維運資訊應用系統。圖片來源／星展銀行</p> </blockquote> <p style="margin-left:.05pt;">但要做到這一步人力布局的改變，代表星展不只需投入大筆資金，納入原先在供應商端協助開發系統的人員，也要招募更多資訊人才加入，這都需負擔更多人力管理成本，不過，蔡祈岩指出：「當企業把一項能力視為核心競爭力時，就不能外包這項能力，因為一旦外包，就會失去核心競爭力。」就如台積電，若將晶圓製造工作外包，便會失去核心競爭力，不會成為今日的台積電。</p> <p style="margin-left:.05pt;">既然成為金融科技公司是星展的目標，因此，星展體認必須將資訊科技視為核心競爭力，才會徹底改變組織的人才結構，拿回全部資訊系統應用的主導權，盡可能全部自行開發、維運，也才讓星展今天擁有了幾乎可以開發所有系統的能力。</p> <p style="margin-left:.05pt;">資訊人員數量大幅提升，星展組織產生了質變，蔡祈岩表示，疊加一萬名資訊人員、中高階資訊主管，可築起一座比其他部門高度更高的金字塔，IT人員在公司內更容易相互談論IT事物，激盪新的IT生產力。他點出其中的關鍵就是，大量IT人員加入後，組織建立了資訊科技DNA，從根本改變組織樣貌。</p> <p style="margin-left:.05pt;">也因為一萬名IT人力是自己的人員，星展也得以借助IT人才，探尋新技術的應用可能性，如5G、IoT、區塊鏈、元宇宙等技術。今年，星展還在各市場據點遴選了新興技術的專家人選，蔡祈岩自己就被指派為5G、IoT專家，需負責研究兩大技術的新發展方向，向總部管理高層報告，以發展組織的新興科技力。</p> <p style="margin-left:.05pt;">因銀行業屬高度監管行業，星展銀行也將網路安全視為驅動數位轉型的基礎要項，並以人才和資安作為Gandalf轉型架構的兩大基礎，向上實現三大技術目標，分別是轉變雲原生架構、導入敏捷文化加速資訊應用發布節奏8.5倍，以及打造大量API與可量測機制，來管理、追蹤多而散的微服務運作狀況。</p> <h2 style="margin-left: 0.05pt;"><strong>從三層次檢視傳統架構缺陷，決定大力擁抱雲端架構建私有雲</strong></h2> <p style="margin-left:.05pt;">為了翻新資訊基礎架構，提升組織數位韌性和擴充性，星展從三層次比較傳統架構和雲架構的差異，才確立朝雲原生架構發展的藍圖。在應用系統層次，傳統架構下，應用程式須部署在特定作業系統，搭配特定硬體主機，相對而言，雲端架構下的應用系統，不挑選硬體廠牌。</p> <p style="margin-left:.05pt;">作業平臺層來看，傳統架構多採單一供應商的作業平臺外，作業框架得因特定應用系統客製，缺乏彈性和可擴充性，而雲架構可採開源方式建作業平臺，擴充成本低，且蔡祈岩指出，全世界有眾多工程師都會投入開源作業平臺的優化工作，等於養了龐大的研發團隊。</p> <p style="margin-left:.05pt;">最後一項硬體層，傳統架構上，應用系統大多得跟特定供應商購買硬體，硬體高度客製化無法挪作他用，相對於雲架構下，所有硬體可共享，可採用不同廠牌，甚至是搭配白牌伺服器，可選擇的供應商較多也降低了採用成本，且透過標準化，硬體可具備高容錯能力。</p> <p style="margin-left:.05pt;">由於銀行業需符合監管規範，以及對風險控管、客戶個資保護等條件有高度要求，新加坡總部打造了一朵專屬的私有雲，採取自建雲端環境，不過，星展想要發展的雲端應用型態，不是「雲端就緒」（Cloud Ready）的應用，而是「雲端原生」的應用。</p> <h2 style="margin-left: 0.05pt;"><strong>雲端就緒和雲端原生大不相同</strong></h2> <p style="margin-left:.05pt;">雲端就緒是指，應用程式可以上雲，但雲原生應用則是指善用雲端架構特性開發的應用程式。蔡祈岩更直言，雲原生就是容器化，將應用程式改造為容器化應用。</p> <p style="margin-left:.05pt;">他進一步剖析兩者的差異。原本執行在專用電腦的應用程式，搬遷進VM，與其他應用共用x86主機，未來也能搬上雲端VM環境，這就做到了「雲端就緒」。但有3大不足，第一，應用程式部署需前置時間，IT人員需根據應用程式需求，先配置、調教中介軟體、作業系統等，得花費數分鐘至數小時，才能部署應用。</p> <p style="margin-left:.05pt;">第二個不足是，程式周期補丁與更新作業，需要人力介入，導致維運效率不佳，若每一臺主機和VM的配置不同，則衍生雲端就緒的第三點不足，跨VM與系統的配置缺乏一致性。蔡祈岩說明，因配置不同，當VM要跨實體主機擴充，需要重新配置組態，得等上數分鐘至數小時，才能完成。</p> <p style="margin-left:.05pt;">但是，應用程式經過雲原生容器化處理，不只能共用一致的資料中心基礎設施，就連作業平臺、中介軟體都能有一致的配置，蔡祈岩形容，應用程式容器化後，就像打包成一個個的貨櫃，任何聯結車都可以拖運，且任何一個儲藏空間都可以儲存，可以產生巨大的效益。</p> <p style="margin-left:.05pt;">相對雲端就緒，星展列舉了3大雲原生應用的特點。第一點是，維運成本較低，因共用單一印象檔，更容易部署補丁和更新；第二，可快速水平擴充，不管是伸展或縮小資源，都可以快速跨實體主機擴充，能充分利用運算資源池。第三，上線部署時間大幅縮短，數秒內可完成，且易於實現藍綠部署，可以降低系統換版時，發生服務中斷狀況的機會。</p> <p style="margin-left:.05pt;">然而，企業應用要獲得上述雲原生的3大特點，需付出代價才能符合雲原生設計原則，蔡祈岩表示，新應用程式可直接以雲原生設計，既有應用則需經過相當程度的改造，一步一步改寫，才能符合雲原生，他提到，需動輒3至5年計畫來推動。</p> <p style="margin-left:.05pt;">星展從2014年開始發展雲端技術，打造私有雲環境，更建置了一套完整的雲端環境管理工具集，也發展出自家的AP雲端市集，讓內部一萬名IT能自行訂閱需要的服務。蔡祈岩表示，通過這個自助式服務平臺，IT人員不需向後端團隊打電話、發送需求單等，就可自行配置資源。</p> <p style="margin-left:.05pt;">這個雲端市集涵蓋了建置、變更管理，以及維運三階段的IT工具需求，其中，超過半數都是星展自行開發的工具，以變更管理工具來說，除了負責資產管理的Invensys採用開源解決方案外，其他包含域名管理、負載平衡管理、網路存取閘道、MariaDB管理平臺等，都是星展IT自行開發。</p> <p style="margin-left:.05pt;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-DBS%20Marketplace-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%98%9F%E5%B1%95%E9%8A%80%E8%A1%8C%20web.JPG" style="width: 600px; height: 338px;" /></p> <blockquote><p>星展建置了一套完整的雲端環境管理工具集，也發展出自家的AP雲端市集，讓內部IT能自行訂閱需要的服務，雲端市集涵蓋了建置、變更管理，以及維運三階段的IT工具需求，超過半數都是星展自行開發的工具。圖片來源／星展銀行</p> </blockquote> <h2 style="margin-left: 0.05pt;"><strong>採用雲原生技術增加系統擴充性，機櫃效能也能依循摩爾定律每兩年增一倍</strong></h2> <p style="margin-left:.05pt;">星展歷經7年，雲端技術實踐的數位轉型旅程，蔡祈岩揭露多項星展私有雲現階段成果。首先，以虛擬化程度來看，星展超過99%的應用已經虛擬化，大幅超過一般業界5成應用虛擬化的水準。不只是虛擬化，星展還進行了應用改造工程，近9成應用都完成了雲端最佳化的調整工程，進而大幅提升了VM執行效率。</p> <p style="margin-left:.05pt;">面對大量VM的部署、維運需求，星展也建置了VM管理自動化機制，每位雲端維運人員現平均能管理820臺VM，遠高於一般業界IT每人平均管理50臺VM的能耐，這也反映出星展私有雲高度自動化管理的水準。</p> <p style="margin-left:.05pt;">應用程式優化帶來的另一個好處是VM集縮比。以單一臺伺服器可承載的VM數量來看，星展的集縮比水準達到1比100，一臺伺服器可開啟超過100個VM。蔡祈岩說明，星展一個機櫃約裝載10臺伺服器，意謂可以有1千個VM。</p> <p style="margin-left:.05pt;">蔡祈岩指出，如果沒有將應用系統部署在x86的VM上，英特爾、AMD、台積電等業者推出更便宜、更省電、更快速的CPU、記憶體時，都與你無關。</p> <p style="margin-left:.05pt;">但在星展，2016年時，星展單一機櫃可開啟250個VM，到了2018年時，同樣尺寸的機櫃單一櫃的裝載量成長至500個VM，2020年更達到每櫃1千個VM個規模，星展機櫃集縮比水準也能每兩年提升一倍效能，就如同享受到摩爾定律發展的成果一樣，這正是星展大力發展數位轉型的成果，也成為持續優化數位銀行服務力最堅強的後盾。</p> <p style="margin-left:.05pt;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E6%91%A9%E7%88%BE%E5%AE%9A%E5%BE%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%98%9F%E5%B1%95%E9%8A%80%E8%A1%8C%20web.JPG" style="width: 600px; height: 339px;" /></p> <blockquote><p>星展銀行採雲原生技術增加系統擴充性，機櫃可承載VM數量每兩年提升一倍，2016年時，每個機櫃可開啟250個VM，現同尺寸機櫃可開啟高達1千個VM，運算效能就如同摩爾定律的發展，每兩年提升一倍。圖片來源<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">／</span>星展銀行</p> </blockquote> <p style="margin-left:.05pt;">星展私有雲集縮比成果，也讓實體主機數量大幅精簡。2013年時，機房內有3千臺實體主機，執行超過3千個作業系統，展開雲原生工程後，主機數量不斷減少，蔡祈岩以2018年為例，經4年雲原生改造，機房當時剩約420臺主機，比2013年減少84%。</p> <p style="margin-left:.05pt;">大幅減少實體主機數量的同時，星展也朝永續發展目標邁進一步，要提升10倍的能源效率，也就是，每一瓦電力可供應的量能提升10倍，逐步實現淨零碳排的目標。</p> <p style="margin-left:.05pt;">實體主機數量減少後，星展也搬遷資料中心至新地點，減少新加坡寸土寸金的空間使用成本，而資料中心從2013年時，占地約833坪的空間，如今縮小為208坪，僅剩原空間的四分之一，且蔡祈岩表示，機房現仍有許多閒置機櫃，可以隨時擴充部署虛擬環境，最多可以再增加10倍的私有雲容量。</p> <p style="margin-left:.05pt;">蔡祈岩也透露了星展機房的設計方式，採取雙活（Active-Active）設計，以提高系統韌性。兩座異地機房同時在線服務，當一邊機房出問題時，另一座機房會無縫地遞補，接續服務。</p> <p style="margin-left:.05pt;">不僅發生問題時，兩機房會互相支援，若是出現影響系統效能的狀況，像是網路速度緩慢、特定節點塞車等，兩機房也會互相平衡負載流量，運作狀況較穩定的機房會動態調整自身資源，來支援另一座機房的需求。</p> <h2 style="margin-left: 0.05pt;"><strong>建立DevOps運作平臺，消彌開發、維運團隊間溝通阻礙</strong></h2> <p style="margin-left:.05pt;">另外，為加速資訊應用發布節奏，星展導入敏捷文化，為DevOps設計了一套全面性的運作平臺，供開發、維運兩端工程師緊密合作，例如自行開發了類似Stack Overflow網站的問答平臺SourceX、掃描測試工具、自助式混沌工程服務等。</p> <p style="margin-left:.05pt;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%966-DBS%20DevOps%20PlatformWEB.JPG" style="width: 600px; height: 337px;" /></p> <blockquote><p>為推動敏捷文化，星展設計了一套DevOps運作平臺，要消弭開發和維運團隊間的隔閡，從計畫、程式撰寫，到建置、掃描測試，最後到部署上線，都提供了多項工具，讓兩團隊人員可緊密合作。圖片來源／星展銀行</p> </blockquote> <p style="margin-left:.05pt;">除了建立全方位DevOps運作平臺，星展也積極發展DevOps程式自動化測試、發布機制。2018年時，星展應用程式自動發布比例已達百分百，蔡祈岩表示，內部現在已經沒有人工上版情況，IT人員只需完成設定，時間一到，系統就會自動發布程式。</p> <p style="margin-left:.05pt;">與2014年相比，星展在2018年時已大幅採用自動測試工具，進行自動化測試的次數，成長10倍以上，而每月平均程式發布數量也成長8.5倍，蔡祈岩表示，這都是因程式發布節奏加快，而可發布更多程式。</p> <p style="margin-left:.05pt;">因應容器微服務應用多而散的部署特性，星展也打造大量的API與可量測機制，來管理、追蹤微服務運作狀況，更在總部設立了系統及網路營運中心，負責全面性監控系統、網路、資安等狀況。該監控中心有一個超大型螢幕，會隨時呈現系統運作狀態的視覺化資料，還會以圖示方式顯示異常事件發生之處，讓維運人員直接從瓶頸處下手，採取阻斷、預防、回應等動作。文⊙黃郁芸</p> </div></div></div>
2021/12/3 17:31作者黃郁芸https://www.ithome.com.tw/news/148185
北韓駭客組織Lazarus去年在日本發動APT攻擊，細部的攻擊手法首度在海外揭露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在過往，惡名昭彰的北韓駭客組織Lazarus（亦稱Hidden Cobra、Zinc、APT38），陸續傳出發動各式的攻擊行動，光是今年被揭露的資安事故就有數起，例如，<a href="https://www.ithome.com.tw/news/143981">鎖定南韓使用者發動的木馬程式攻擊</a>，因將惡意程式碼藏匿於BMP圖檔，而成功迴避不少資安系統的攔截；再者，<a href="https://www.ithome.com.tw/news/143885">他們針對電商網站發動BTC Changer側錄攻擊</a>，挾持網站客戶的付款；<a href="https://www.ithome.com.tw/news/143580">該組織也鎖定資安研究員發動釣魚攻擊</a>，無論是攻擊的類型和範圍，都算是相當廣泛。不過，這些資訊的揭露，多半來自資安業者，鮮少有美國政府以外的政府單位，公布有關資訊。</p> <p>從我們報導過的Lazarus攻擊事故來看，攻擊目標包含了南韓、歐美，甚至是<a href="https://www.ithome.com.tw/news/143751">南非</a>，但鄰近北韓的日本，是否也會成為他們的攻擊目標？我們卻鮮少聽聞相關的消息。在11月26日於中央研究院舉行的HITCON 2021會議中，日本電腦網路危機處理暨協調中心（JPCERT/CC）針對2起鎖定日本組織的攻擊行動，解析Lazarus的攻擊手法。</p> <p>這些攻擊行動被稱為Operation Dream Job與Operation JTrack，前者是針對1家日本國防工業而來，後者則是廣泛對於日本多個企業下手。研究人員也公布攻擊行動裡，Lazarus所使用的戰術、技巧，以及程序（TTP），以便資安人員能夠加以運用，來防範該駭客組織的攻擊行動。</p> <p>針對這2起發生在2020年的攻擊事故，JPCERT/CC先是在今年初，揭露他們的初步發現：包含了<a href="https://blogs.jpcert.or.jp/en/2021/01/Lazarus_tools.html">Lazarus攻擊過程會運用的工具</a>，以及該組織在<a href="https://blogs.jpcert.or.jp/en/2021/01/Lazarus_malware2.html">Operation Dream Job</a>與<a href="https://blogs.jpcert.or.jp/en/2021/03/Lazarus_malware3.html">Operation JTrack</a>所使用的惡意程式。之後，JPCERT/CC才於上個月的Code Blue 2021會議，以及這次HITCON 2021的議程上，揭露更多的細節。</p> <p>針對日本國防工業下手的Operation Dream Job，發生在2020年5月與9月，Lazarus的攻擊目標，是1家國防工業公司的海外辦公室，他們疑似挾持某個人力資源部門的LinkedIn帳號進行網路釣魚攻擊，向國防工業公司的員工下手，一旦聯繫上被鎖定的員工後，便要求改以WhatsApp或Skype等即時通訊軟體進行後續溝通，若是對方照做，駭客接著透過上述即時通訊軟體，傳送含有惡意文件的URL，而這個URL是透過短網址服務Bitly產生，攻擊者這麼做的用意，很可能是要藉此規避資安系統的偵測。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ope-dream-job-attack-timeline.png" style="width: 580px; height: 346px;" /></p> <p>受害者依照指示下載，會取得Word文件Boeing_DSS_SE.docx，內容宣稱是波音公司的職缺。一旦將其開啟，這份文件就會以下載文件範本（17.dotm）的名義，在受害電腦投放惡意軟體。JPCERT/CC發現Lazarus藉此投放LazarusMTB、Torisma等2款惡意軟體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ope-dream-job-maldoc.png" style="width: 580px; height: 325px;" /></p> <p>另一起針對多個日本組織的Operation JTrack，則是發生在2020年9月，JPCERT/CC指出，Lazarus並非直接攻擊目標組織，而是透過供應鏈攻擊的方式，先入侵代管服務業者（MSP），再感染目標組織的網路環境。JPCERT/CC在這起攻擊行動中，也發現2款RAT木馬程式VSingle、ValeforBeta，前者被用於執行任意程式碼攻擊，後者則由Delphi開發、功能較為簡化的VSingle。比較特別的是，這起攻擊行動中，Lazarus不只是攻擊執行Windows的電腦和伺服器，他們也鎖定Linux伺服器，開發了ELF_VSingle。</p> <p>針對VSingle這個木馬程式，JPCERT/CC也與2019年卡巴斯基揭露在印度發生的Dtrack行動，以及2020年6月賽門鐵克揭露的Stonefly行動進行比對，發現Lazarus在這些攻擊行動裡所使用的TTP存在相似之處：JTrack與Dtrack行動中，駭客都是挾持日本公司的網站做為C2中繼站；而他們在JTrack與Stonefly行動裡，都使用了3Proxy代理伺服器軟體、命令列SSH軟體Plink，並透過SSH通道進行通訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ope-jtrack-dtrack-stonefly.png" style="width: 580px; height: 334px;" /></p> <p>而在Dream Job與JTrack兩起事故裡，Lazarus也運用寄生攻擊（LoL）的手法，進行橫向移動、遠端存取、資料竊取等工作。不過，在這些攻擊行動裡，Lazarus所使用的工具不盡相同，例如，在Dream Job橫向移動的過程中，他們使用了ADFind、SMBMap，而在另一起攻擊行動中，Lazarus則是使用了Mimikatz和smbexec。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ope-dream-job-jtrack-lol-tools.png" style="width: 580px; height: 314px;" /><br /> </p> </div></div></div>
2021/12/3 18:49作者周峻佑https://www.ithome.com.tw/news/148151
【資安週報】2021年11月29日至12月3日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本週的資安新聞裡，莫過於IKEA、Panasonic遭到網路攻擊的事故最受到各界的關注。前者的母集團Inter IKEA的電子郵件系統疑似遭到入侵，而使得該集團出現合作夥伴向員工寄送釣魚信的現象。由於信件是經由內部人員寄出，郵件安全系統難以察覺是否由駭客所為，這樣的情況也使得該公司特別向員工提出警告。</p> <p>第2起受到關注的重大事故，則是家電大廠Panasonic公布遭到網路攻擊的事故，根據當地媒體的報導，攻擊者疑似從6月底多次入侵，直到11月初因網路流量異常才被察覺。</p> <p>而在國內受到矚目的資安新聞，則是從上週末到星期一（25日至29日），連續傳出金融機構的資安事故。無論是證券用戶的帳號遭不明人士下單特定股票，還是薪資轉帳戶頭的金融卡遭到盜刷，這樣的事故都令當事人錯愕、覺得自己的財產不保。儘管薪轉戶的盜刷事件中，<a href="https://www.cna.com.tw/news/firstnews/202111300305.aspx">平均每張卡片被盜刷200元</a>，損失金額並不高（140張卡片遭盜刷、共損失3.3萬元），但整起事故的發生原因，恐怕才是各界關注的焦點。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.twse.com.tw/zh/news/newsDetail/ff8080817d22b9cb017d5afcf6350124"><span style="color: rgb(0, 0, 0);">證交所證實元大證券、統一證券出現異常港股委託情事</span></a></strong></h4> <p>元大證券、統一證券於11月25日下午，傳出有部分客戶的帳號遭不明人士冒用，進行複委託下單並成交深藍科技控股的香港股票，上述2家券商緊急暫停複委託電子交易，改以人工下單因應。此事臺灣證券交易所於26日發出新聞稿證實，並指出是這2家券商的複委託下單系統遭到駭客入侵所致，並表示近期券商遭到撞庫攻擊的資安事件頻傳，他們已請券商重新檢視身分驗證的防護力是否足夠，並確認最近2星期更新的密碼是否為客戶本人所為。</p> <p>針對本次事件，元大證券與統一證券也發出公告進一步說明。元大證券於26日20時29分在股市公開觀測站發布重大訊息，表明他們確認異常港股委託非客戶本人交易後，暫停「行動精靈」App的電子交易，並強調另一款由該公司開發的「投資先生」App不受影響。統一證券亦於同日發出公告，表示在清查後，總共有7名客戶受害。</p> <p>此起事故也傳出疑似是三竹資訊開發的下單系統不安全所引起，對此，三竹資訊也在26日在股市公開觀測站發布重大訊息，聲稱此次攻擊是撞庫攻擊，而非該公司提供的系統遭到入侵。</p> <h4><strong><a href="https://www.taifex.com.tw/file/taifex/CHINESE/11/attach/%E6%9C%9F%E8%BC%94%E9%83%A8%E9%A7%AD%E5%AE%A2%E6%96%B0%E8%81%9E%E7%A8%BF(2).pdf"><span style="color: rgb(0, 0, 0);">凱基期貨電子交易系統驚傳遭駭</span></a></strong></h4> <p>繼元大證券、統一證券傳出複委託下單系統遭駭，部分客戶帳戶遭不明人士下單港股並成交，也有期貨公司傳出遭到駭客攻擊。凱基期貨也於11月26日17時37分向臺灣期貨交易所通報，他們的網頁交易平臺疑似遭到駭客攻擊，該公司隨即封鎖攻擊來源，並表示近期的帳號、密碼申請將採人工加強驗證等措施因應。</p> <h4><strong><a href="https://tw.appledaily.com/property/20211129/FDKV6FURLRDTXOUSAPYZDKL7BA/"><span style="color: rgb(0, 0, 0);">中國信託薪轉戶驚傳遭集體盜刷</span></a></strong></h4> <p>根據蘋果日報、中央社等媒體報導，臺中有一家公司使用中國信託銀行做為薪資轉帳的帳戶，近期傳出員工的借帳金融卡（Debit卡）陸續遭到盜刷的情況，至少有十多人受害，由於僅有透過公司向中國信託開戶的員工卡片遭到盜刷，懷疑是當時申辦的個資外洩。</p> <p>對此，中國信託表示，此案很可能是不法人士隨機測試客戶的卡號、有效日期等資料，於網站冒用進行交易，該公司主動察覺異常並聯繫客戶。而這些遭盜刷的款項，中國信託強調將依爭議帳款進行處理，持卡人無需負擔，他們也協助客戶更換新卡。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/ikea-email-systems-hit-by-ongoing-cyberattack/"><span style="color: rgb(0, 0, 0);">IKEA電子郵件系統傳出持續遭到網路攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/ikea-internal-email-phishing.jpg" style="width: 300px; height: 166px; float: right;" /></span></a></strong></h4> <p>根據資安新聞網站Bleeping Computer的報導，宜家家居（IKEA）向內部員工提出警告，攻擊者正以員工或是其他合作廠商的名義，發動釣魚郵件攻擊。在這封信件提及，此起事件攻擊者鎖定母集團Inter IKEA的郵件伺服器下手，其他IKEA組織、供應商，以及合作夥伴，也有可能遭駭，並寄信給Inter IKEA的員工。IKEA警告員工，這些郵件往往是從工作上有交集的人士寄出，因此郵件安全系統也很難察覺異狀，員工要特別留意。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/panasonic-discloses-data-breach-after-network-hack/"><span style="color: rgb(0, 0, 0);">Panasonic證實遭到入侵，內部資料被非法存取</span></a></strong></h4> <p>日本家電大廠Panasonic於11月26日發布新聞稿指出，他們於11月11日發現，內部網路遭到第三方非法存取。該公司已經向有關執法單位通報，並強化資安，且會同外部專家進行調查，以釐清本次事故中，是否有客戶的個資或敏感資料與社交基礎架構（Social Infrastructure）有關。根據當地媒體NHK與每日新聞的報導，攻擊者疑似在6月22日至11月3日之間，多次存取Panasonic的內部網路，直到網路流量異常才被發現。</p> <h4><strong><a href="https://therecord.media/hackers-steal-120-million-from-badger-defi-platform/"><span style="color: rgb(0, 0, 0);">中心化金融平臺Badger遭駭，攻擊者竊得1.2億美元</span></a></strong></h4> <p>去中心化金融平臺（DeFi）遭到駭客入侵並盜走大量加密貨幣的事故，最近幾個月出現數起。去中心化金融平臺Badger於12月2日表示他們遭到駭客攻擊，目前正在著手調查事故發生的原因，暫時停止交易。而這起事故的受害規模為何？根據區塊鏈資安公司PeckShield指出，攻擊者疑似竊得超過2,100個比特幣、151個以太幣，總計相當於1.2億美元，其中，有1名用戶損失逾900個比特幣（相當於5,050萬美元）。至於事故發生的原因，多家加密貨幣新聞媒體指出，攻擊者可能是透過使用者介面的漏洞入侵系統。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/planned-parenthood-la-discloses-data-breach-after-ransomware-attack/"><span style="color: rgb(0, 0, 0);">美國洛杉磯計劃生育協會遭到勒索軟體攻擊</span></a></strong></h4> <p>醫療產業遭到勒索軟體攻擊的情況，最近陸續出現。美國洛杉磯計劃生育協會（PPLA）近期向病人發出通知，他們在10月9日到17日，遭到網路攻擊，該單位於17日察覺將受影響的系統下線，並聘請網路安全公司協助調查。初步調查的結果發現，未經授權的人士自10月9日到17日存取PPLA的網路，並竊取部分文件，他們於11月4日確定遭竊資料的範圍，包含病人的地址、保險資料、出生日期，以及就診資料等。PPLA發言人John Erickson向華盛頓郵報透露，此起事件為勒索軟體攻擊，約有40萬病人資料外洩。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/former-ubiquiti-dev-charged-for-trying-to-extort-his-employer/"><span style="color: rgb(0, 0, 0);"><strong>Ubiquiti遭駭事故調查結果出爐，起因竟是前員工竊密</strong></span></a></h4> <p><a href="https://www.ithome.com.tw/news/142165">網路設備業者Ubiquiti於今年1月，傳出雲端系統遭到入侵</a>而引起各界關注。但這起事故的攻擊來源為何？根據美國司法部（DOJ）的起訴書，是名為Nickolas Sharp的前員工自2020年12月10日開始，透過他所持有的AWS與GitHub帳號，竊取Ubiquiti數GB的公司機密，以及複製數百個GitHub儲存㢑，並在2021年1月Ubiquiti公布資料外洩情事後，該員工冒充匿名的駭客要求近200萬美元贖金未果，後來在3月底佯裝舉報人向媒體散布消息，宣稱Ubiquiti刻意淡化攻擊事件。Nickolas Sharp遭指控4項罪名，最高可能會面臨37年監禁。</p> <h4><a href="https://unit42.paloaltonetworks.com/tiltedtemple-manageengine-servicedesk-plus/"><span style="color: rgb(0, 0, 0);"><strong>中國APT駭客鎖定客服系統下手，近3千組織恐成為目標</strong></span></a></h4> <p>自9月16日開始，美國網路安全暨基礎設施安全局（CISA）提出警告，<a href="https://www.ithome.com.tw/news/146787">有APT駭客鎖定密碼自助管理平臺ManageEngine ADSelfService Plus的漏洞發動攻擊</a>，近期這起行動有了新的進展。資安業者Palo Alto Networks指出，這些駭客自10月25日至11月8日轉移攻擊的目標，鎖定ManageEngine旗下另一款產品ServiceDesk Plus的漏洞CVE-2021-44077，可能有2,900個組織曝露在此漏洞的風險之中。母公司Zoho於11月22日發出資安通報，表示這是他們已在9月修補的漏洞，呼籲用戶要儘速修補。而對於攻擊者的身分，Palo Alto也提進一步的說法，他們根據駭客所使用的工具及手法，研判與APT27（亦稱TG-3390、Emissary Panda）有關。</p> <h4><strong><a href="https://services.google.com/fh/files/misc/gcat_threathorizons_full_nov2021.pdf"><span style="color: rgb(0, 0, 0);">北韓駭客Zinc偽裝三星徵才，鎖定資安研究人員下手</span></a></strong></h4> <p>Google在近期推出的Threat Horizons威脅情資報告裡，提及他們發現了背後有北韓政府撐腰的駭客組織Zinc，佯裝成三星的人力資源部門發動釣魚郵件攻擊，向南韓防毒軟體公司的員工發出求才信件做為幌子，這封信件會挾帶PDF文件。但Google指出，實際上這個PDF文件的格式錯誤，無法透過一般的PDF檢視器檢視，一旦收信者向對方反應，駭客便會提供「安全的PDF檢視器」應用程式的下載連結。Google分析之後指出，這個安裝檔案是攻擊者將PDFTron檢視器加入惡意程式而成，一旦收信人信以為真依照指示安裝，電腦就會被植入木馬程式。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/stealthy-wirte-hackers-target-governments-in-the-middle-east/"><span style="color: rgb(0, 0, 0);"><strong>Wirte駭客組織鎖定中東地區政府單位下手</strong></span></a></h4> <p>卡巴斯基發現名為Wirte的駭客組織，涉及一項自2019年以來針對政府組織的攻擊行動，這起事故中使用惡意的Excel 4.0巨集發動攻擊，主要的目標為中東的知名公共與私人實體，包含外交單位、金融機構、政府、律師事務所、軍事機構，以及科技公司，不過，Wirte也曾對其他地區發動攻擊。卡巴斯基指出，與其他的駭客組織相比，Wirte具有較好的操作安全（OpSec）與更為隱蔽的手法，而能夠長時間躲避資安系統的偵測。</p> <h4><strong><a href="https://www.proofpoint.com/us/blog/threat-insight/injection-new-black-novel-rtf-template-inject-technique-poised-widespread"><span style="color: rgb(0, 0, 0);">印度、俄羅斯、中國APT駭客大肆運用RTF範本注入攻擊</span></a></strong></h4> <p>資安業者Proofpoint指出，他們觀察到自2021年2月開始，與印度與中國國家利益相關的DoNot Team、TA423等2個APT駭客組織，採用了RTF範本注入（RTF Template Injection）的手法，分別於3月15日及4月8日開始交付武器化工具，隨後於4月及5月發動多次攻擊。這樣的手法也被與俄羅斯聯邦安全局（FSB）有關的駭客組織Gamaredon運用，在10月5日攻擊烏克蘭政府的時候，作為檔案誘餌。由於這種手法較基於微軟Office軟體的範本注入攻擊而言，更難被防毒軟體察覺有異，研究人員認為，日後恐怕會有更多駭客使用這種攻擊手法。</p> <h4><a href="https://sansec.io/research/nginrat"><span style="color: rgb(0, 0, 0);"><strong>RAT木馬程式鎖定Nginx伺服器而來，發動MageCart側錄攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/nginrat.png" style="width: 301px; height: 166px; float: right;" /></strong></span></a></h4> <p>資安業者Sansec日前揭露<a href="https://www.ithome.com.tw/news/148040">Linux木馬程式CronRAT</a>，鎖定電商網站的伺服器，發動Magecart攻擊。但這種鎖定網頁伺服器下手發動側錄攻擊的情況，該業者又有新的進展──他們在調查北美與歐洲CronRAT受害情形時，發現另一個木馬程式NginRAT，這個木馬程式藏匿在Nginx伺服器上運作，而得以繞過資安防護系統，NginRAT劫持了Nginx應用程式，並修改Linux主機系統的核心功能，並嵌入在Nginx處理程序中運作。研究人員指出NginRAT的感染途徑，疑似是透過CronRAT傳送到受害主機。</p> <h4><a href="https://www.kyberturvallisuuskeskus.fi/en/be-aware-malware-spread-sms"><span style="color: rgb(0, 0, 0);"><strong>芬蘭警告FluBot惡意軟體鎖定安卓用戶而來</strong></span></a></h4> <p>芬蘭國家網路安全中心（NCSC-FI）於11月26日發出警告，他們要當地安卓用戶留意惡意軟體FluBot的攻擊行動，這次攻擊者透過簡訊傳播，且使用芬蘭語書寫，該單位指出，這些簡訊沒有斯堪地那維亞的特殊字母，但內容在許多地方插入了+、/、&、%、@等符號，使得電信業者難以過濾這類簡訊。不過，所有簡訊的共通點，就是要收件人點選URL，一旦使用者點選後，手機就會下載FluBot並要求安裝，手機在被安裝FluBot之後，便可能遭到竊密，並發送散布FluBot的詐騙簡訊。NCSC-FI在24小時內，發現FluBot約發送了7萬個簡訊。值得留意的是，雖然FluBot鎖定安卓用戶而來，但其他裝置的使用者若點選簡訊的URL，會被導向各種詐騙網站。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148094"><span style="color: rgb(0, 0, 0);">逾30萬安卓用戶自Google Play市集下載惡意程式</span></a></strong></h4> <p>荷蘭資安業者ThreatFabric警告，自今年8月以來，駭客利用具備完善功能的行動程式夾帶後門，再藉由偽造的更新來植入金融木馬程式，這些被用來夾帶後門程式的App成功在Google Play市集上架，4個月內就有超過30萬次的安裝。ThreatFabric指出，至少有4款金融木馬家族，利用此手法進駐Play市集，它們分別是Anatsa、Alien、Hydra，以及Ermac。</p> <h4><strong><a href="https://www.welivesecurity.com/2021/12/01/jumping-air-gap-15-years-nation-state-effort/"><span style="color: rgb(0, 0, 0);">研究人員揭露17種用於攻擊隔離網路的惡意框架<img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-4_-Online-and-offline-communication-channels-in-connected-frameworks.png" style="width: 300px; height: 253px; float: right;" /></span></a></strong></h4> <p>隔離網路（Air-Gapped Networks）通常用來保護SCADA、ICS等重要設施，但針對這種環境的攻擊行動這2年似乎有增加的跡象。ESET最近發布對於隔離網路攻擊的分析，彙整17種攻擊框架的特徵，並指出光是在2020年上半，就出現4種過往未曾出現的攻擊框架。ESET指出，17個框架的共通點在於，都透過USB儲存裝置做為將資料與外部交換的媒介，且用於執行間諜行動，並針對Windows作業系統而來。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://www.securityweek.com/recently-patched-apache-http-server-vulnerability-exploited-attacks"><span style="color: rgb(0, 0, 0);"><strong>Apache甫修補的HTTP伺服器漏洞已被用於攻擊行動</strong></span></a></h4> <p>德國資訊安全聯邦辦公室（BSI）、思科在11月26日發出資安通報，指出他們觀察到攻擊者在鎖定甫於9月修補的Apache HTTP Server漏洞CVE-2021-40438下手，這是伺服器端請求偽造（SSRF）漏洞，一旦攻擊者利用這項漏洞，就能對於啟用mod_proxy模組的Apache伺服器，讓這個模組將連線請求轉發到其他伺服器，進而洩露受害組織的機密，或是存取其他組織內的伺服器。BSI表示，他們至少發現1起攻擊事件，攻擊者利用此漏洞於受害組織取得使用者憑證的雜湊值；而思科則是公告旗下至少有5款產品受到波及。</p> <h4><a href="https://labs.f-secure.com/publications/printing-shellz"><span style="color: rgb(0, 0, 0);"><strong>150款HP印表機存在重大漏洞</strong></span></a></h4> <p>防毒業者F-Secure於4月29日，發現了HP多功能事務機的2個漏洞CVE-2021-39238、CVE-2021-39237，並將其命名為Print Shellz。這些漏洞波及部分HP LaserJet、HP LaserJet Managed、HP PageWide，以及HP PageWide Managed系列的印表機，估計有150個型號存在上述漏洞，HP於11月初提供修補程式。</p> <h4><a href="https://thehackernews.com/2021/12/critical-bug-in-mozillas-nss-crypto.html"><span style="color: rgb(0, 0, 0);"><strong>Mozilla推出的加密程式庫出現重大漏洞，恐影響多款應用程式</strong></span></a></h4> <p>Mozilla最近針對加密程式庫Network Security Services（NSS）的重大漏洞CVE-2021-43527進行修補，推出3.68.1與3.73版更新軟體。這項漏洞是Google的研究人員發現，出現在驗證數位簽章的過程中，若是使用DER元件格式的編碼，將可能出現記憶體緩衝區溢位的弱點，一旦攻擊者利用此漏洞，恐導致應用程式當機，甚至能夠執行任意程式碼，研究人員將這項漏洞命名為BigSig。而對於漏洞的影響範圍，Mozilla強調，旗下的Firefox瀏覽器不受此漏洞影響，但其他依賴NSS進行簽章驗證的應用程式，如Thunderbird、LibreOffice、Evolution、Evince就有可能受到波及。</p> <h4><a href="https://www.wordfence.com/blog/2021/12/xss-vulnerability-patched-in-plugin-designed-to-enhance-woocommerce/"><span style="color: rgb(0, 0, 0);"><strong>WordPress外掛程式存在XSS漏洞，8萬WooCommerce商城恐遭波及</strong></span></a></h4> <p>專注於WordPress網站安全的業者Wordfence指出，名為Variation Swatches for WooCommerce的外掛程式存在跨站指令碼（XSS）漏洞，一旦遭到利用，攻擊者就能沒有高權限的狀態下，注入惡意JavaScript，等到網站管理員存取此外掛程式的設置面板時，執行JavaScript的內容，這個外掛程式約有8萬WooCommerce網站使用。Wordfence在11月12日進行通報後，此外掛程式的作者於23日發布2.1.2版予以修補。</p> <h4><a href="https://www.iot-inspector.com/wp-content/uploads/2021/11/Chip-IoT-Inspector-Router-Sicherheit-Test.pdf"><strong><span style="color:#000000;">德國自動化安全分析業者針對9款Wi-Fi路由器測試，發現226個安全漏洞，包含華碩、群暉、D-link與訊舟及國外等知名品牌</span><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-12-03_163403_Iot%20Inspector.jpg" style="width: 300px; height: 129px; float: right;" /></strong></a></h4> <p>在12月2日，德國IoT Inspector發布一份關於9款Wi-Fi路由器弱點的分析報告，這是他們與當地IT雜誌CHIP合作進行，並是以自動化分析平臺對韌體分析而產生漏洞報告，測試產品包括AVM FritzBox 7530 AX、AVM FritzBox 7590 AX、Linksys Velop MR9600、Netgear Nighthawk AX12、TP-Link Archer AX6000，以及臺廠設備，包括Asus ROG Rapture GT-AX11000、D-Link DIR-X5460、Edimax BR-6473AX與Synology RT-2600ac，共發現226個漏洞，以TP-Link Archer AX6000最多。IoT Inspector表示，這些漏洞皆已通知設備商，不過目前仍有業者尚未修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><a href="https://www.twse.com.tw/zh/news/newsDetail/ff8080817d22b9cb017d6abcba2f0144"><span style="color: rgb(0, 0, 0);"><strong>證交所針對證券、期貨業者，設置資安事故緊急應變支援小組</strong></span></a></h4> <p>券商、期貨商的資安事故接連發生，使得有關業者的應變處理能力變得相當重要。為了能強化該產業處理資安事故的能量，臺灣證券交易所等證券期貨相關機構於11月30日，共同成立「證券暨期貨市場電腦緊急應變支援小組（Securities and Futures Computer Emergency Response Team，SF-CERT）」，將全天候協助證券期貨業者因應資安事件。</p> <p>為達到資安聯防的策略，臺灣證券交易所、臺灣期貨交易所、財團法人中華民國證券櫃檯買賣中心、臺灣集中保管結算所、中華民國證券商業同業公會、中華民國期貨業商業同業公會，以及中華民國證券投資信託暨顧問商業同業公會等相關機構，將共同維運此資安事件應變處理體系。</p> <h4><a href="http://gazette.nat.gov.tw/egFront/detail.do?metaid=128436&log=detailLog"><strong>公開發行公司年報記載資訊的法令修正發布，強調資安管理與ESG的資訊必須公開揭露</strong></a></h4> <p>近年政府在推動資安上，開始聚焦讓每個產業都要導入資安，今年4月臺灣證券交易所已正式明訂，當上市、上櫃、興櫃公司發生重大資安事件時，需發布重大訊息對外揭露。最近，法令規範新修出爐，將上市公司企業年報揭露資安一事，正式列入要求。證期局在11月30日公告，發布修正「公開發行公司年報應行記載事項準則」，當中主要針對公司在永續發展推動與執行，以及資通安全風險管理的面向，目標是強化公司在這兩方面的資訊揭露透明度。</p> <h4><a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-213.pdf"><strong>NIST正式發布物聯網設備網路安全指南SP 800-213</strong></a> </h4> <p>對於物聯網的採購與使用安全，美國NIST在11月29日正式發布SP 800-213標準文件，這是一份從設備角度考慮系統安全性的指南，統整了相關背景知識與建議，目的是提供聯邦機構在採購時，需考慮物聯網設備需要提供哪些安全功能的建議，同時，搭配NISTIR 8259B、8259C與8259D的文件，希望幫助政府與IoT設備開發設計者，對於IoT設備的網路安全問題能保持一致的，進而將物聯網 (IoT) 設備安全提升到一定的水準，並可整合到聯邦資訊系統。而這樣的指南，也成為外界對於IoT設備安全的參考。</p> <h4><a href="https://money.udn.com/money/story/10860/5932811"><strong>國內持續推動IoT資安檢測，門禁系統資安標準將出爐</strong></a></h4> <p>為促使臺灣企業資安升級轉型，自2019年來，政府已帶頭推動「物聯網資安檢測認證標準」的制訂，在經濟部工業局方面，從最早的影像監控系統，一直到智慧巴士、智慧路燈、空氣品質微型感測裝置與消費性網路攝影機，在近日舉辦的「物聯網資安標準推動研討會」中，除了說明全國已有106款產品取得認證，並指出在影像監控系統方面，奇偶科技、利凌科技與晶睿通訊這三家業者，通過驗證產品最多，都在10件以上，同時會中還透露，門禁系統資安標準將出爐，除了共通性的要求，還將包括智慧門鎖、門禁讀取器、門禁閘道控制器，以及門禁管理平臺4大部分。</p> <p> </p> <h3><strong>【國家資安技術管制】</strong></h3> <h4><a href="https://www.ithome.com.tw/news/148045"><span style="color: rgb(0, 0, 0);"><strong>美國禁止量子電腦技術輸出中國機構</strong></span></a></h4> <p>美國以國安為由，公布禁止取得美國科技的實體清單（Entity List），防堵多家業者，包括中國8家機構及廠商不得取得美國量子電腦相關技術，理由是要防堵美國新興科技被用於中國發展支援軍式應用，像是反隱形及反潛技術、破解加密或是發展不可破解的加密。這8家中國業者包括杭州中科微電子、湖南國科微電子、杭州華三通信、西安航天華迅、蘇州雲芯、合肥微尺度物質科學國家研究中心、國盾量子、上海國盾量子等。</p> <h4><a href="https://therecord.media/israel-restricts-cyberweapons-export-list-by-two-thirds-from-102-to-37-countries/"><span style="color: rgb(0, 0, 0);"><strong>以色列限制網路攻擊工具出口，從102國減至37國</strong></span></a></h4> <p>以色列新聞網站Calcalist於11月25日指出，他們取得一份政府於11月分公布可出售網路攻擊工具的國家名單，這份列表總共列出了37個國家，大部分位於西歐、澳洲、美國，以及加拿大等。相較於先前許可的102國，大約踢出了近三分之二的國家，當中包括摩洛哥、墨西哥、沙烏地阿拉伯，以及阿拉伯聯合大公國等。由於當地資安產業市場規模達100億美元，其中網路攻擊工具的出口即占10%，為何以色列政府要大幅限縮出口範圍？很有可能與日前美國公布的外國網路攻擊公司實體清單裡，包含了該國的NSO Group和Candiru有關。</p> </div></div></div>
2021/12/3 15:53作者周峻佑https://www.ithome.com.tw/news/148178
AWS發布第二版CDK以及開源建構庫Construct Hub
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/announcing-general-availability-of-construct-hub-and-aws-cloud-development-kit-version-2/">AWS正式推出</a>雲端開發工具（CDK）第二版本，這版本改進第一版CDK在相依性管理上的麻煩，而新發布的Construct Hub，則可以促進雲端開發社群共享建構（Construct）。</p> <p>AWS CDK是一個開源的框架，供開發者使用熟悉的程式語言，來簡化雲端資源的定義，現在支援C#、TypeScript、Java、Python和Go等多種程式語言。開發人員可以在應用程式中，以使用程式語言其他類型一樣的方式，使用稱為建構的類型，來創建和配置雲端資源，開發者也可以自定義建構，並且與團隊共享。</p> <p>官方提到，由於每個AWS服務在第一版CDK中，都擁有獨立的套件，這使得管理應用程式相依性工作變得麻煩。在第二版中，所有獨立的套件都整合成為一個單體套件，簡化CDK應用程式和建構套件的相依性管理，參照多個服務建構更加方便，尤其是當這些服務都有對等相依項目時。</p> <p>第一版CDK中存在一些實驗性API，部分API被標記為已棄用，已經由更好的方法取代，已棄用的API會在第二版中刪除，讓開發人員能夠更清楚地使用這些API，此外，CDK團隊會採用新的發布流程，來發布實驗性建構。從第二版本開始，單體CDK套件只會包含穩定的API，供用戶放心使用，實驗性API會以獨立的套件發布，確保用戶不會觸發某些在第一版本中破壞性變更的問題。</p> <p>而新發布的Construct Hub，則是一個開源建構庫，供社群、雲端服務供應商，使用和共享所有CDK建構，目前Construct Hub中已經有700多個CDK函式庫，包括核心AWS CDK模組，讓用戶能夠以熟悉的語言，操作CloudFormation、Terraform或Kubernetes等配置引擎。</p> <p>所有人都可以向Construct Hub貢獻建構函式庫，想要共享建構的發布者，需要先將函式庫發布到Npm公共註冊表，並且使用標籤標記，Construct Hub會自動檢索已經發布的函式庫，並在Hub公開。發布者可以決定套件要支援的程式語言，Construct Hub便會自動對這些語言生成API參照，並將發布者提供的範例程式碼，自動翻譯成適用這些語言的程式碼。</p> <p>AWS表示，要發布到Construct Hub的所有建構函式庫，都必須要是開源的，同時Construct Hub採用信任透明模型，用戶可以回報濫用的函式庫，AWS支援團隊會調查這些套件，並且移除違規的套件，當然，用戶也可以向發布者提供回饋，使得建構獲得改進。</p> <p>Construct Hub和AWS CDK一樣，本身也是開源專案，並且以建構的形式建置，用戶甚至可以直接在Construct Hub中找到並且使用。</p> </div></div></div>
2021/12/3 16:31作者李建興https://www.ithome.com.tw/news/148179
9款知名品牌Wi-Fi路由器含有逾200個潛在漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國的自動化安全分析平臺IoT Inspector近日與德國IT雜誌《CHIP》合作，分析了市場上9款知名的Wi-Fi路由器，<a href="https://www.iot-inspector.com/blog/router-security-check-2021/" target="_blank">發現它們總計出現了226個安全漏洞</a>，其中以TP-Link Archer AX6000的32個漏洞為最。</p> <p>此次的研究鎖定8個品牌的9款Wi-Fi路由器，從所發現的安全漏洞數量排序，依序為TP-Link Archer AX6000（32個）、SynologyRT-2600ac（30個）、Netgear Nighthawk AX12（29個）、D-Link DIR-X5460（26個）、Edimax BR-6473AX（25個）、Asus ROG Rapture GT-AX11000（25個）、Linksys Velop MR9600（21個）、AVM FritzBox 7530 AX（20個）及AVM FritzBox 7590 AX（18個）。</p> <p>它們只是把上述產品的韌體上傳到IoT Inspector的漏洞分析平臺上，並由該平臺自動產生詳細的漏洞報告及風險評估，再將漏洞報告提供給各製造商。</p> <p>IoT Inspector指出，這些漏洞的嚴重程度不一，但所有的裝置都含有輕易就能讓駭客入侵的重大漏洞，顛覆了人們對這些小型或家用路由器的期待。</p> <p>值得注意的是，所有的製造商的韌體設計都出現了典型的安全問題，例如採用未更新的Linux核心或VPN軟體，也有許多製造商依然以「admin」作為預設密碼，有些還以明文紀錄。研究人員強調，不管是家中或企業網路，在啟用新的Wi-Fi路由器時，要求變更密碼及啟用自動更新必須成為標準作法，而且製造商應該對產品安全漏洞所造成的傷害負責。</p> <p>受到通知的業者或多或少都已修補了漏洞，但仍有些尚未修補，IoT Inspector也呼籲使用者應啟用自動更新，或者手動部署新韌體。</p> </div></div></div>
2021/12/3 15:24作者陳曉莉https://www.ithome.com.tw/news/148176
AWS發布M1 Mac執行個體，性價比較前一代高出60％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在去年的re:Invent大會上，發表了Mac執行個體，供用戶方便地開發Apple生態系裝置的應用程式，隨著Apple發表自家設計的M1晶片，AWS在今年的re:Invent大會，也推出新的<a href="https://aws.amazon.com/tw/blogs/aws/use-amazon-ec2-m1-mac-instances-to-build-test-macos-ios-ipados-tvos-and-watchos-apps/">M1 Mac執行個體</a>預覽版本。</p> <p>EC2 Mac執行個體讓Apple開發人員，也能夠在AWS上靈活地進行開發工作，並且獲得可擴展性和成本優勢等雲端平臺優點，AWS解釋，EC2 Mac執行個體可說是一臺專用的Mac mini電腦，是透過Thunderbolt連接AWS Nitro系統，使得Mac mini能夠以EC執行個體的方式呈現。</p> <p>EC2 Mac執行個體能夠連接到VPC，並且從EBS磁碟啟動，還能利用EBS快照、安全群組和各種AWS服務，用戶可以使用Mac執行個體擴展建置和測試Mac機群，並且按需付費，Mac執行個體並不使用虛擬機器管理程式，因此用戶能夠用到完整的Mac mini裸機效能。</p> <p>而最新的EC2 M1 Mac執行個體，提供使用搭載M1晶片的Mac電腦，想要開發原生支援Apple晶片應用程式的用戶，便可以選用M1 Mac執行個體，簡單快速地建置Mac、iPhone、iPad、Apple Watch和Apple TV應用程式。</p> <p>在iPhone和Mac應用程式建置工作負載上，M1 Mac執行個體相較於x86的EC2 Mac執行個體，性價比高出60％。M1 Mac執行個體中有一臺搭載M1晶片的Mac mini，具有8個CPU核心、8個GPU核心、16 GiB記憶體和16核心Apple神經引擎，透過高速Thunderbolt連接AWS Nitro系統，可提供10 Gbps的VPC網路頻寬，和8 Gbps的EBS儲存頻寬。</p> <p>目前M1 Mac執行個體先在美東北維吉尼亞和美西奧勒岡地區推出預覽版，其他地區則會陸續發布，定價標準類似上一代Mac執行個體，會以專用主機保留小時收費，而非執行個體的執行時間，每次最低費用為24小時的專用主機保留費用。目前在這兩個地區預覽的M1 Mac執行個體，每小時費用為0.6498 美元，用戶可以選擇Savings Plans，比按需價格節省42％。</p> </div></div></div>
2021/12/3 15:28作者李建興https://www.ithome.com.tw/news/148175
遭Google驅逐的黑人AI專家Timnit Gebru創立自己的AI研究協會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年12月宣稱遭到Google突然解僱的黑人AI專家Timnit Gebru，<a href="https://www.dair-institute.org/press-release" target="_blank">於近日成立了分散式人工智慧研究協會</a>（Distributed Artificial Intelligence Research institute，DAIR），標榜為一獨立且奠基於社群的協會，將對抗大型科技業者與AI相關的研發及部署所帶來的普遍影響。</p> <p>Gebru曾是Google倫理AI團隊的共同負責人，<a href="https://www.ithome.com.tw/news/141504" target="_blank">與Google的爭議</a>源自於Gebru擅自提交了一篇未經Google審核的論文《On the Dangers of Stochastic Parrots: Can Language Models Be Too Big？》，該論文宣稱大多數的語言技術都是為了滿足社會上的特權人士而開發，其主管Jeff Dean要求Gebru撤回論文，Gebru則要求Dean提供否決論文的討論內容及所諮詢的名單，否則就要離職，結果Dean就直接關閉了Gebru的員工帳號，在Gebru聲稱自己遭到開除時，Dean則說他只是主動同意了Gebru的離職。</p> <p>然而，此事不僅牽涉到Gebru與Dean之間的溝通不良，支持者還認為Gebru因為種族而受到Google的不平等對待，<a href="https://www.ithome.com.tw/news/141632" target="_blank">而掀起一場風波</a>。</p> <p>一年後Gebru即創立了DAIR，她說她相信嵌在AI技術裡的傷害是能夠預防的，只要它在生產及部署時納入不同的觀點，且是經過深思熟慮，AI即可以用來服務人們，而DAIR的目標就是建立一個以倫理及福祉為優先的獨立環境，而非是個以獲利為本的架構或系統。</p> <p>Gebru表示，AI已被提升到超人的水準，讓人們相信它既不可避免，卻又無從掌控，然而，AI必須要接地氣，當AI的研發及部署一開始就是根植於人們或社群時，就能戰勝相關的危害，創造一個重視公平與人性的未來。</p> <p>DAIR受到多個基金會的贊助，包括福特基金會（Ford Foundation）、麥克阿瑟基金會（John D. and Catherine T. MacArthur Foundation）、 Kapor Center及開放社會基金會（Open Society Foundation）等，上述基金會都專注於透過技術的力量以造福大眾，期待DAIR能進一步推動公平及包容性技術的實現。</p> </div></div></div>
2021/12/3 16:18作者陳曉莉https://www.ithome.com.tw/news/148182
微軟企圖干預Windows 11用戶下載Chrome
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瀏覽器市場的明爭暗鬥似乎不曾停歇，縱使微軟的Microsoft Edge瀏覽器已在2020年改用Chromium，成為Chrome瀏覽器的同類，但<a href="https://www.windowslatest.com/2021/12/02/windows-11s-edge-is-trying-to-dissuade-users-from-downloading-chrome/" target="_blank">《WindowsLatest》</a>最近發現，當Windows 11用戶利用Edge造訪Chrome下載網頁時，Edge即會跳出一個訊息，說明Edge與Chrome是基於同樣的技術，而且還加上微軟所提供的信任，企圖干預使用者下載Chrome。</p> <p>而<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-edge-now-bashes-google-chrome-when-you-download-it/" target="_blank">《BleepingComputer》</a>則進一步指出，微軟在Edge中存放了5種不同的訊息，以在使用者造訪Chrome下載網頁時跳出，包括宣稱Chrome是2008年的老舊瀏覽器，Microsoft Edge才是未來的瀏覽器；Microsoft Edge才是唯一針對Windows 10最佳化的瀏覽器；Microsoft Edge是線上購物最佳瀏覽器；以及Microsoft Edge是個快速、安全且由微軟推薦的瀏覽器等。</p> <p>不過，<a href="https://www.ithome.com.tw/news/135964" target="_blank">去年當Microsoft Edge用戶造訪Chrome Web Store時</a>，該市集也會建議使用者切換至Chrome瀏覽器，還附上Chrome瀏覽器的下載連結。</p> <p>瀏覽器業者各出奇招來推廣自家瀏覽器，但微軟挾著Windows作業系統的高市占率，擁有更多的優勢，例如<a href="https://www.ithome.com.tw/news/135739" target="_blank">去年也曾在Windows 10的開始功能表中推廣Microsoft Edge</a>，或是讓用戶一不小心就會把Edge設為預設瀏覽器，<a href="https://www.ithome.com.tw/news/146271" target="_blank">而且變更手續繁複</a>，Mozilla為了反制微軟的作法，繞過了微軟的防劫持保護，<a href="https://www.ithome.com.tw/news/146708" target="_blank">讓Windows用戶可一鍵將Firefox設為預設瀏覽器</a>。</p> <p><a href="https://gs.statcounter.com/browser-market-share" target="_blank">目前Chrome仍為全球最受歡迎的瀏覽器</a>，市占率高達64%，居次的是Safari的19.23%，至於Edge則有4.19%，Firefox以3.9%排名第四。</p> </div></div></div>
2021/12/3 14:52作者陳曉莉https://www.ithome.com.tw/news/148174
【資安日報】2021年12月3日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞中，加密貨幣的交易平臺又再傳出遭到入侵，駭客轉走大量數位貨幣的情形──去中心化金融平臺Badger於12月2日公告遭到攻擊，資安業者指出攻擊者總共竊得約1.2億美元的加密貨幣，而這起事故的規模，僅次於PolyNetwork（6億美元）、Cream Finance（1.3億美元）遭到網路攻擊的事件。</p> <p>值得留意的還有攻擊事故的後續追蹤，在9月中旬傳出APT駭客鎖定密碼自助管理平臺ManageEngine ADSelfService Plus，對於多個組織發動攻擊，這個駭客組織最近有了新的動作：他們自10月底開始也針對ManageEngine ServiceDesk Plus下手。而使用CronRAT攻擊電商網站的駭客，也似乎針對這類網站常會使用的Nginx軟體，部署第二個RAT木馬程式NginRAT。</p> <p>再者，殭屍網路Emotet的攻擊態勢也相當值得留意。有日本資安業者和法人組織發現該組織於當地的攻擊行動。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://therecord.media/hackers-steal-120-million-from-badger-defi-platform/"><span style="color: rgb(0, 0, 0);">去中心化金融平臺Badger遭駭，攻擊者竊得1.2億美元</span></a></strong></h4> <p>去中心化金融平臺（DeFi）遭到駭客入侵並盜走大量加密貨幣的事故，最近幾個月出現數起。去中心化金融平臺Badger於12月2日表示他們遭到駭客攻擊，目前正在著手調查事故發生的原因，暫時停止交易。而這起事故的受害規模為何？根據區塊鏈資安公司PeckShield指出，攻擊者疑似竊得超過2,100個比特幣、151個以太幣，總計相當於1.2億美元，其中，有1名用戶損失逾900個比特幣（相當於5,050萬美元）。至於事故發生的原因，多家加密貨幣新聞媒體指出，攻擊者可能是透過使用者介面的漏洞入侵系統。</p> <h4><a href="https://unit42.paloaltonetworks.com/tiltedtemple-manageengine-servicedesk-plus/"><span style="color: rgb(0, 0, 0);"><strong>中國APT駭客鎖定客服系統下手，近3千組織恐成為目標</strong></span></a></h4> <p>自9月16日開始，美國網路安全暨基礎設施安全局（CISA）提出警告，<a href="https://www.ithome.com.tw/news/146787">有APT駭客鎖定密碼自助管理平臺ManageEngine ADSelfService Plus的漏洞發動攻擊</a>，近期這起行動有了新的進展。資安業者Palo Alto Networks指出，這些駭客自10月25日至11月8日轉移攻擊的目標，鎖定ManageEngine旗下另一款產品ServiceDesk Plus的漏洞CVE-2021-44077，可能有2,900個組織曝露在此漏洞的風險之中。母公司Zoho於11月22日發出資安通報，表示這是他們已在9月修補的漏洞，呼籲用戶要儘速修補。而對於攻擊者的身分，Palo Alto也提進一步的說法，他們根據駭客所使用的工具及手法，研判與APT27（亦稱TG-3390、Emissary Panda）有關。</p> <h4><strong><a href="https://research.checkpoint.com/2021/smishing-botnets-going-viral-in-iran/"><span style="color: rgb(0, 0, 0);">殭屍網路Smishing攻擊伊朗安卓手機<img alt="" src="https://s4.itho.me/sites/default/files/images/s1(2).jpg" style="width: 300px; height: 184px; float: right;" /></span></a></strong></h4> <p>資安業者Check Point揭露鎖定伊朗安卓用戶的Smishing殭屍網路，攻擊者冒充當地政府的名義，透過手機簡訊發動網路攻擊，引誘受害者下載Android惡意程式，藉此取得他們的信用卡詳細資料，以及雙因素驗證（2FA）所需的驗證碼。該公司依據調查的結果指出，恐拍有數以萬計的人士受到影響。Check Point指出，雖然這些攻擊行動已經引起當地警方的注意，但這些攻擊者幾乎每天在改良其惡意軟體與基礎設施。</p> <h4><a href="https://sansec.io/research/nginrat"><span style="color: rgb(0, 0, 0);"><strong>RAT木馬程式鎖定Nginx伺服器而來，發動MageCart側錄攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/nginrat.png" style="width: 301px; height: 166px; float: right;" /></strong></span></a></h4> <p>資安業者Sansec日前揭露<a href="https://www.ithome.com.tw/news/148040">Linux木馬程式CronRAT</a>，鎖定電商網站的伺服器，發動Magecart攻擊。但這種鎖定網頁伺服器下手發動側錄攻擊的情況，該業者又有新的進展──他們在調查北美與歐洲CronRAT受害情形時，發現另一個木馬程式NginRAT，這個木馬程式藏匿在Nginx伺服器上運作，而得以繞過資安防護系統，NginRAT劫持了Nginx應用程式，並修改Linux主機系統的核心功能，並嵌入在Nginx處理程序中運作。研究人員指出NginRAT的感染途徑，疑似是透過CronRAT傳送到受害主機。</p> <h4><strong><a href="https://english.kyodonews.net/news/2021/12/664128524ebd-notorious-emotet-malware-resurfaces-detected-in-japan.html"><span style="color: rgb(0, 0, 0);">殭屍網路Emotet透過釣魚信攻擊日本</span></a></strong></h4> <p>今年1月底基礎設施遭到摧毀的殭屍網路Emotet，最近開始出現行動而引起資安界關注，資安業者也發現疑似針對特定地區的攻擊事故。根據日本共同通訊社的報導，當地資安業者Lac於11月17日發現，Emotet近期透過釣魚郵件感染日本的電腦。此外，日本資訊科技推動局（IPA）也宣稱，從釣魚郵件裡找到9種類型的Emotet惡意軟體。</p> <h4><strong><a href="https://www.welivesecurity.com/2021/12/01/jumping-air-gap-15-years-nation-state-effort/"><span style="color: rgb(0, 0, 0);">研究人員揭露17種用於攻擊隔離網路的惡意框架<img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-4_-Online-and-offline-communication-channels-in-connected-frameworks.png" style="width: 300px; height: 253px; float: right;" /></span></a></strong></h4> <p>隔離網路（Air-Gapped Networks）通常用來保護SCADA、ICS等重要設施，但針對這種環境的攻擊行動這2年似乎有增加的跡象。ESET最近發布對於隔離網路攻擊的分析，彙整17種攻擊框架的特徵，並指出光是在2020年上半，就出現4種過往未曾出現的攻擊框架。ESET指出，17個框架的共通點在於，都透過USB儲存裝置做為將資料與外部交換的媒介，且用於執行間諜行動，並針對Windows作業系統而來。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://thehackernews.com/2021/12/critical-bug-in-mozillas-nss-crypto.html"><span style="color: rgb(0, 0, 0);"><strong>Mozilla推出的加密程式庫出現重大漏洞，恐影響多款應用程式</strong></span></a></h4> <p>Mozilla最近針對加密程式庫Network Security Services（NSS）的重大漏洞CVE-2021-43527進行修補，推出3.68.1與3.73版更新軟體。這項漏洞是Google的研究人員發現，出現在驗證數位簽章的過程中，若是使用DER元件格式的編碼，將可能出現記憶體緩衝區溢位的弱點，一旦攻擊者利用此漏洞，恐導致應用程式當機，甚至能夠執行任意程式碼，研究人員將這項漏洞命名為BigSig。而對於漏洞的影響範圍，Mozilla強調，旗下的Firefox瀏覽器不受此漏洞影響，但其他依賴NSS進行簽章驗證的應用程式，如Thunderbird、LibreOffice、Evolution、Evince就有可能受到波及。</p> <h4><a href="https://www.wordfence.com/blog/2021/12/xss-vulnerability-patched-in-plugin-designed-to-enhance-woocommerce/"><span style="color: rgb(0, 0, 0);"><strong>WordPress外掛程式存在XSS漏洞，8萬WooCommerce商城恐遭波及</strong></span></a></h4> <p>專注於WordPress網站安全的業者Wordfence指出，名為Variation Swatches for WooCommerce的外掛程式存在跨站指令碼（XSS）漏洞，一旦遭到利用，攻擊者就能沒有高權限的狀態下，注入惡意JavaScript，等到網站管理員存取此外掛程式的設置面板時，執行JavaScript的內容，這個外掛程式約有8萬WooCommerce網站使用。Wordfence在11月12日進行通報後，此外掛程式的作者於23日發布2.1.2版予以修補。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148132">2021年12月2日</a></p> <p><a href="https://www.ithome.com.tw/news/148042">2021年12月1日</a></p> <p><a href="https://www.ithome.com.tw/news/148089">2021年11月30日</a></p> </div></div></div>
2021/12/3 13:37作者周峻佑https://www.ithome.com.tw/news/148162
美政府要求鐵路公司進行漏洞評估、24小時內通報安全事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鐵路運輸屢屢成駭客攻擊目標，<a href="https://www.dhs.gov/news/2021/12/02/dhs-announces-new-cybersecurity-requirements-surface-transportation-owners-and" target="_blank">美國交通主管機關本周要求</a>公、私營鐵路運輸業者必須強化資安策略，包括設立資安協調人、執行漏洞評估，且在確定發生資安事件24小時內通報主管機關。</p> <p>美國國土安全部下的運輸安全管理署（Transportation Security Authority, TSA）本周發布兩道安全命令及相關指引，通令全國鐵路公司遵循新措施，以因應愈來愈頻繁的資安事件。國土安全部長表示，新的規範及建議可確保公眾安全及關鍵基礎架構免於威脅。</p> <p>在新行政命令下，TSA要求各鐵路公司指派網路安全協調官，並且在發生資安事件24小時內，通報網路安全暨基礎架構管理署（CISA）。此外，鐵路公司也被要求建立並實施資安事件應變計畫以減低營運中斷的衝擊，並且完成網路系統的漏洞評估，找出系統內的不足或安全漏洞。</p> <p>TSA也在稍早發布航空運輸安全指令，要求機場及管理單位實作上述要求。TSA表示將這些安全擴大到整個航空運輸業，並對小型營運業者發布指引。TSA也預告將針對特定地面運輸單位制訂相關的網路安全命令。</p> <p>鐵路或捷運系統被駭或惡意軟體攻擊事件屢見不鮮，<a href="https://www.ithome.com.tw/news/142043" target="_blank">加拿大國營運輸局</a>、美國舊金山交通局都曾經受害。今年駭客也入侵伊朗鐵路局系統，散布火車班次延誤或是取消的假消息，事實上更<a href="https://www.ithome.com.tw/news/145956" target="_blank">植入資料抹除程式</a>，目的在癱瘓該國交通。</p> <p>除了運輸業，美國其他產業也被要求強化資安措施。<a href="https://www.dhs.gov/news/2021/05/27/dhs-announces-new-cybersecurity-requirements-critical-pipeline-owners-and-operators" target="_blank">國土安全部5月首先對關鍵管線系統發布類似的命令</a>，包括設立網路安全協調官，在發生疑似安全事件，管線持有及營運單位需通報CISA，及30日內完成漏洞評估及改善計畫。<a href="https://www.ithome.com.tw/news/147952" target="_blank">上周金融主管機關頒布新法規</a>則要求明年4月開始，銀行必須在獲知發生網路安全事件36小時內向主管機關通報。</p> </div></div></div>
2021/12/3 12:40作者林妍溱https://www.ithome.com.tw/news/148160
Google智慧手錶可望於明年問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/google-pixel-watch-rohan-android-smartwatch-development-fitbit-launch-2021-12?op=1&scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">《Insider》本周引述消息來源報導</a>，Google終於要在明年發表首款智慧手錶。</p> <p>其實Google推出智慧手錶並不令人意外，該公司在2016年就<a href="https://www.ithome.com.tw/news/110320" target="_blank">買下了智慧手錶新創業者Cronologics</a>，也在2019年<a href="https://www.ithome.com.tw/news/128344" target="_blank">收購Fossil的智慧手錶技術</a>，此外，Google亦替智慧手錶打造了基於Android的Wear OS平臺，已有包括三星、HTC及LG等十多家業者推出採用Wear OS的智慧手錶。</p> <p><a href="https://www.idc.com/promo/wearablevendor/vendor" target="_blank">根據IDC今年第二季的調查</a>，該季全球智慧穿戴裝置的出貨量為1.14億個，相較去年同期成長32.3%，市占率前四名依序為蘋果（32.2%）、小米（14%）、華為（11.7%）與三星（9.7%）。</p> <p>報導指出，Google智慧手錶的內部開發代號為Rohan，將採用最新的Wear OS以及圓型錶盤，也將內建健康及運動功能，已有部份內部員工開始試戴，有員工直接將它稱為Pixel Watch或Android Watch，但還是每天都要充電。</p> <p>此外，Google也在內部會議上透露準備於明年對外公開發表Rohan，只是正式的名稱或時程皆未定。</p> </div></div></div>
2021/12/3 12:50作者陳曉莉https://www.ithome.com.tw/news/148161
企業主動揭露資安作為成法令強制要求，金管會證期局明訂公司年報需記載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來上市櫃公司重大資安事件頻傳，國內有些公司已經積極應對，但有些公司仍然被動，該如何面對，許多企業仍無所適從，今年政府開始採取多項行動，希望從政策面推動國內企業在落實資安，在建立基礎時能有依循方向，金融監督管理委員會（金管會）在11月30日正式公告，發布修正「公開發行公司年報應行記載事項準則」，當中規定公司要在年報中，需針對資通安全風險管理，以及永續發展推動與執行的面向，強化資訊揭露的透明度。</p> <p>事實上，在資安即國安2.0戰略下，近年政府在推動資安，開始聚焦讓每個產業都要導入資安，今年已有不少動作。例如，今年4月27、28日，證交所臺灣證券交易所已正式明訂，當上市、上櫃、興櫃公司發生重大資安事件時，需發布重大訊息對外揭露。最近，新修法令規範出爐，將公司年報揭露資安作為一事，列入正式的法令要求。</p> <p>金管會證期局表示，在11月30日，發布修正「公開發行公司年報應行記載事項準則」，涵蓋對象包含所有上市、上櫃、興櫃與公開發行公司，在資安管理面有三個重點：首先，就是明訂資安管理的資訊公開，讓投資人能有判斷，第二，需揭露重大資安事件的損失與影響，並要說明遇到事件時，公司是如何因應，第三，需揭露資通安全風險對公司財務業務的影響與因應措施。這也意味著，公司從明年開始編製的年報，也就是從2021年（110年）公司年報起，將需載明上述資安管理作為。</p> <p>從修訂完的條款來看，在第十八條營運概況記載事項中，增訂第六款（原第六款移為第七款），就是主要對資安資通安全的要求。</p> <p>該條款明訂，公司要敘述說明包括資通安全風險管理架構、資通安全政策與具體管理方案，以及投入資通安全管理的資源，這裡的資源包括人力、作為與預算，例如投入人員總數、相關會議召開次數，或是投保情形等。</p> <p>同時，為落實公司對資通安全的風險揭露，公司需揭露重大資通安全事件所遭受的損失、可能影響及因應措施。當中也舉例說明，影響可包含營運或商譽的層面，對於無法估計的狀況，也要明確說明無法合理估計的事實。而在第二十條中，也有明訂公司應揭露資安風險對財物的影響與因應措施。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%85%AC%E9%96%8B%E7%99%BC%E8%A1%8C%E5%85%AC%E5%8F%B8%E5%B9%B4%E5%A0%B1%E6%87%89%E8%A8%98%E8%BC%89%E8%B3%87%E5%AE%89%E7%AE%A1%E7%90%86%E4%BD%9C%E7%82%BA.jpg" style="width: 600px;" /></p> <blockquote><p>關於11月30日所發布的新版「公開發行公司年報應行記載事項準則」，資通安全管理的重點在第十八條營運概況記載事項中所增訂的第六款，明確要求公司年報必須揭露資安管理政策與風險管理架構，以及投入的資源，同時必須說明資安事件的因應，另在第二十條中，也要求需揭露資通安全風險對公司財務業務的影響與因應措施。</p> </blockquote> <p>在這樣的法令之下，勢必帶動更多企業建立資安治理基礎。過去，已有一些企業展現對於資安的重視，在網站上公布資安政策、組織架構與目標，或是在年報中的其他重要風險管理因應面向，提及相關作為。前兩年，證交所在新版公司治理評鑑指標也納入資安項目，現在，法規更是明訂企業必須在年報中公開揭露這方面的資訊，將促使所有國內上市櫃公司的資安作法，都變得更透明，同時，這些上市櫃公司所揭露的資訊，也將成為各產業其他企業的借鏡與參考。</p> <p>只是，揭露程度沒有明確定義，會不會造成企業敷衍交差的情形？金管會證期局表示，以年報資訊揭露而言，實質面就是資訊公開，讓投資人判斷。要將資安作為納入年報說明，其實過去經過很長時間的討論，畢竟每個企業狀況不同，現在終於成為法令要求，儘管企業公開揭露與實際執行狀況，不一定能畫上等號，但如果企業連形式上的揭露都沒有，連基本的資安組織架構都無法說明，更何況是讓企業去落實資安治理。</p> <p>另一方面，企業在ESG方面的資訊公開揭露也是重點，除了將條文從公司履行企業社會責任情形，修正為推動永續發展執行情形，對於ESG資訊的揭露，有更具體量化的內容，例如，揭露溫室氣體排放、用水量、廢棄物、女性職員及高階主管占比、職災數據等，以利公司揭露更為具體明確及量化之環境及社會議題相關內容。</p> <p>整體而言，資安與ESG已是企業治理無法迴避的議題，未來政府也將提出更多行動，帶動整體產業都能跟上時代。</p> <p>例如，除了上述公司需發布重大資安事件重大訊息，在年報資訊需揭露資安管理作法，金管會在11月25日，公布另一項法規命令修正的預告，要求上市櫃公司配置適當的資安人力，將進一步規範公司在資安治理面，需建立一定的基礎。在此當中，將依據公司規模與經營能力，做出不同要求，以第一級而言，符合規模百億元，或主要經營電商等條件的上市櫃公司，必須在2022年底之前，設置資安長並成立專責單位，預計此修正草案將在通過預告期後，也就是明年初，就會正式實施。</p> </div></div></div>
2021/12/3 11:01作者羅正漢https://www.ithome.com.tw/news/148154
Honeywell獨立量子電腦業務與Cambridge Quantum合併成最大量子運算公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.honeywell.com/us/en/news/2021/11/things-to-know-about-quantinuum" target="_blank">Honeywell周二宣布</a>旗下量子業務完成收購英國Cambridge Quantum，成為全球最大獨立量子運算公司。</p> <p><a href="https://www.honeywell.com/us/en/press/2021/06/honeywell-quantum-solutions-and-cambridge-quantum-computing-will-combine-to-form-worlds-largest-most-advanced-quantum-business" target="_blank">Honeywell是在今年6月宣布</a>旗下量子運算解決方案部門將分拆出來，並收購Cambridge Quantum這家英國新創量子運算業者。Honeywell宣稱兩者合併後將成為全球最大、且最先進的獨立量子運算公司，放眼幾十年內1兆美元的量子運算市場。本周二雙方完成合併，並公布新公司名為Quantinuum。</p> <p>雙方之前就是合作夥伴，曾合作日本製鐵（Nippon Stell）的製程排程及DHL一臺集裝設備（unit load device, ULD）的最佳化。Cambridge Quantum也是<a href="https://www.ithome.com.tw/news/138327" target="_blank">Honeywell商用量子服務System Model H0</a>的第一家外部用戶。今年初Honeywell宣布投資兩家量子運算軟體及演算法新創公司，Cambridge Quantum則是其中一家。IBM也是Cambridge Quantum的股東。</p> <p>新成立的Quantinuum將整合Honeywell量子運算部門的離子阱系統及Cambridge Quantum的軟體及演算法，以提供端到端的整合量子平臺，Honeywell的H系列硬體也將歸給這家新公司。不過Quantinuum表示，新公司的軟體業務將維持平臺中立，仍將持續支援各大量子硬體供應商。</p> <p>新公司在美、英、歐洲及日本設有辦公室，員工近400人，而其中將近300人為研究及技術職位。新公司將採雙總部，分別位於美國科羅拉多州及英國劍橋。</p> <p>合併後Honeywell將擁有Quantinuum公司近54%股權，是最大股東，並將投資新公司近6億美元。Honeywell不但是H系列的客戶，該公司位於明尼蘇達州的航太製造商，也將持續生產Quantinuum量子電腦核心的離子阱。</p> <p>雙方預計12月就會推出第一項產品，為一項安全服務。Quantunuum宣稱不但是業界第一個量子安全服務，無法以傳統電腦實作出來，因此也是真實情境下第一個貨真價實的量子產品。</p> <p>此外Quantinuum也正在開發新藥發現及產出、材料科學、金融、量子自然語言處理、供應鏈及運籌等運算最佳化任務、人工智慧等。</p> <p>Honeywell去年3月推出6 qubit量子運算商用服務Model H0，該公司去年11月宣布的<a href="https://www.ithome.com.tw/news/140870" target="_blank">Model H1</a>推升到10-qubit。</p> </div></div></div>
2021/12/3 11:27作者林妍溱https://www.ithome.com.tw/news/148155
Meta強制高風險人士臉書帳號啟用雙因素驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2021/12/expanding-facebook-protect-to-more-countries/" target="_blank">Meta昨（2）日宣布將要求</a>記者、異議人士、政治人物等臉書帳號，必須啟用雙因素驗證（2 factor authentication, 2FA）以進一步確保安全。</p> <p>為了確保高風險人物的帳號安全，Meta臉書平臺設計了Facebook Protect安全方案，於2018年首度測試，並在2020年美國總統大選前擴充到美國政治人物。今年9月Meta將之推向全球，以涵括人權運動者、記者、官員等經常成為惡意駭客攻擊目標的用戶。</p> <p>Facebook Protect除了提供帳號2FA登入，還強化粉絲專頁（Page）的控管，像是不允許在候選人粉絲專頁張貼污辱或攻擊性的內容，也要求粉絲頁管理員必須登錄真實姓名。</p> <p>臉書將針對他們認為的高風險帳號，主動通知加入該方案。由於2FA設定仍需要一些程序，像是下載第三方驗證App，為提升意願，臉書也簡化了註冊Facebook Protect及使用2FA的流程、改進技術支援。</p> <p>自9月的早期測試以來，有150萬個帳號加入了Facebook Protect方案，其中9.5萬新加入的帳號啟用2FA。接下來幾個月Meta仍持續推動，預計年底前將該方案推向50多國，包括美國、印度、葡萄牙等。</p> <p>Google原本只針對進階保護計畫（Advanced Protection Program）用戶啟用2FA（或2-Step Verification），<a href="https://www.ithome.com.tw/news/144240" target="_blank">今年5月起也強制所有用戶啟用</a>。有媒體認為，或許哪天Meta也會將這項要求推向所有用戶。</p> </div></div></div>
2021/12/3 11:44作者林妍溱https://www.ithome.com.tw/news/148156
駭客以合法RTF範本躲避偵測發動網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/injection-new-black-novel-rtf-template-inject-technique-poised-widespread" target="_blank">安全廠商發現新的釣魚信件手法</a>，駭客使用合法的RTF範本植入惡意網站連結，以便將用戶導向下載惡意程式。</p> <p>安全公司Proofpoint發現今年第2、3季國家駭客組織發送的釣魚信件，使用名為RTF範本注入（RTF template injection）的新穎手法。RTF範本注入是變更RTF的文件屬性設定，把純文字目的改成允許存取外部URL，以便用戶開啟文件時即從遠端網站載入內容，或是惡意程式。在該公司發現的案例中，駭客改寫了.doc.rtf檔，使惡意RTF範本檔案經由Microsoft Word開啟。而這手法在.rtf檔案外掛格式也一樣可行。</p> <p class="rtecenter"><img alt="" src="https://www.proofpoint.com/sites/default/files/inline-images/Figure%2011.JPG" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Proofpoint</span></p> <p>Proofpoint指出，此類RTF範本注入手法的特色是實作容易，也相當新穎，因此市面防毒軟體的偵測率，比廣為人知的Office範本注入手法更低，透過社交工程散布，增添防範困難。</p> <p>研究人員認為有多國的國家駭客使用這類攻擊手法。他們推斷今年2到4月的案例來自印度和中國。和印度有關的DoNot Team攻擊巴基斯坦及斯里蘭卡，中國駭客組織APT 423涉嫌攻擊馬來西亞深層水能探勘業者。到了10月，又發現疑似俄國APT集團Gamaredon假造烏克蘭政府文件發動攻擊。研究人員也偵測到3種以RTF範本攻擊下載到受害者系統的木馬程式。</p> <p>以微軟Office文件散布惡意程式仍然是最有效的管道。為了防範惡意文件，<a href="https://www.ithome.com.tw/news/148112" target="_blank">微軟本周發布的</a>Defender for Endpoint卻因調升了對木馬程式Emotet的偵測靈敏度而導致誤判，讓企業管理員虛驚一場。</p> </div></div></div>
2021/12/3 12:00作者林妍溱https://www.ithome.com.tw/news/148158
政府跨部會組量子國家隊，以5年80億元投入研發核心技術、培育人才，5年內打造國產自製量子電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正當各國投入量子運算技術研發，臺灣也不落人後。行政院本周四宣布啟動量子運算戰略，除了跨部會成立量子國家隊之外，還將在未來5年投入80億元，研發量子運算的核心技術、培養科研人才等，加速我國在量子運算的發展。</p> <p>科技部本周向行政院長蘇貞昌報告「新世代量子布局」，蘇貞昌表示，量子電腦已被視為下世代的運算工具，其強大的平行運算能力，將和AI、大數據在未來形塑智能社會，量子技術未來將對金融、資安、產業、國防、運輸等各方面產生革命性的影響，吸引各國政府及企業相繼投入。</p> <p>因此，行政院在今年啟動我國量子計算新戰略，今年先推動跨部會合作計畫，由科技部、經濟部、中研院共同組成量子國家隊，並將在2022年到2026年的未來5年之間，投入80億元加速臺灣在量子科技的發展，同時也將在臺南沙崙科學園區將成立中研院量子科研基地。</p> <p>政府為何需要投入量子運算技術？科技部自然科學及永續研究發展司長羅夢凡指出，量子技術的核心是量子電腦，具備強大的計算能力，隨量子位元的數目呈指數的成長，40位元的量子電腦計算能力，相當於一兆位元的超級電腦，當64量子位元的量子電腦計算難題耗費200秒，以目前的超級電腦而言則需花費100年。</p> <p>他進一步解釋，量子電腦將對社會產生正負面的影響，在負面影響部分，因量子電腦具有的強大計算能力，更容易破解現行的加密，銀行帳號或機密資料的帳號，可能在幾秒內被破解，因此未來有量子通訊加密、量子密碼學的研究；至於正面影響是，以其強大計算能力提升模擬能力，可投入基因研究、AI、新藥物開發，帶來新的突破。</p> <p><span style="color:#B22222;"><strong>臺灣具兩大發展優勢</strong></span></p> <p>羅夢凡指出，臺灣在發展量子技術上有兩項優勢，第一項優勢是，量子電腦一大部分製程和現在半導體製程重疊，而臺灣在半導體的製程、封裝、IC設計居領先地位，讓臺灣在開發量子電腦具有很大優勢；第二項優勢是，量子電腦中的量子位元及控制需要跨領域的基礎研究，其中包含數學、物理、電機、通訊、資訊、材料等等，臺灣長期培育優秀的基礎研發人才，將可在量子技術的研發上發揮優勢。「這兩把利刃，將讓臺灣在量子電腦、量子技術開發扮演重要角色」。</p> <p>政策方面，跨部會成立量子國家隊，整合研究能力在關鍵技術開發，建立共同研究平臺，並成立核心技術的研發基地，並以核心技術及人才與國際合作。</p> <p>未來5年政府投入80億元，發展臺灣自有的量子技術，7項重點（下圖，來源：行政院）是，發展量子電腦與量子通訊的核心技術、建立量子電腦與量子密碼研發平臺、研發前瞻的硬體次技術、培育量子世代人才、科普推廣及基礎人才培育、建立量子技術的尖端核心設施，以及建立產業交流平臺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/8-1(2).jpg" style="width: 600px; height: 346px;" /></p> <p><strong style="color: rgb(178, 34, 34);">目標：5年內開發臺灣自製可真實運算的量子電腦</strong></p> <p>科技部也揭露未來臺灣發展量子電腦關鍵技術的藍圖，主要涵蓋三個部分，通用量子電腦的硬體技術、光量子技術、量子科技的軟體技術，其中在通用量子電腦硬體技術上，將發展半導體量子位元與超導體量子位元技術，「結合軟體發展，我們希望在5年內建構臺灣自製可真實運算的量子電腦」，羅夢凡說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/quantum-1.jpg" style="width: 600px; height: 337px;" /></p> <p>至於光量子技術，將發展光量子運算、量子通訊技術，目標為未來5年內建構臺灣自己的量子通訊網路系統。</p> <p>羅夢凡表示，我國的目標是在2030年在全球量子科技產業中佔有一席之地，透過前瞻部署量子科技的發展，由基礎研發扮演火車頭，結合應用工程及研究促成產業結構的轉型，促成產業典範的轉移。</p> </div></div></div>
2021/12/3 12:00作者蘇文彬https://www.ithome.com.tw/news/148157
美國FTC提告以阻止Nvidia買下Arm
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（FTC）在12月2日，針對Nvidia併購Arm一案提出行政訴訟，以妨礙市場競爭及創新為由，<a href="https://www.ftc.gov/news-events/press-releases/2021/12/ftc-sues-block-40-billion-semiconductor-chip-merger" target="_blank">要求美國阻止此一併購案</a>。</p> <p>Arm為總部設於英國的半導體及軟體設計公司，它在2016年以320億美元賣給日本軟體銀行，Nvidia則是在2020年9月宣布，將以400億美元的現金及股票買下Arm。</p> <p>FTC以嚴厲的措辭反對這起交易，指出這起垂直併購案將使得全球最大的晶片公司之一，控制了競爭對手所仰賴的運算技術，合併後的新公司將擁有各種可扼殺新一代創新技術的手段與動機。</p> <p>FTC競爭局局長Holly Vedova指出，明日的技術奠基於保留今日晶片市場的競爭，此一交易將會破壞Arm於晶片市場的角色，而讓Nvidia與Arm得以削弱競爭對手，美國將積極採取行動，避免關鍵基礎設施市場受到非法垂直合併的影響。</p> <p>這是因為開發半導體架構與設計的Arm，主要的營收來源並非是晶片或裝置的銷售，而是授權給各大業者，長久以來都被視為是家中立的業者，且不管是智慧型手機、平板電腦、汽車輔助駕駛系統或資料中心，都會採用Arm架構，屬於「大家」的供應商。</p> <p>至於Nvidia則是全球繪圖晶片的龍頭，所生產的GPU被廣泛應用在負責AI與繪圖處理的個人電腦與資料中心上，同時也開發先進網路、資料中心及汽車輔助駕駛系統的產品，而不管是Nvidia或其競爭對手，在這些市場都同時仰賴Arm的技術。</p> <p>因此，FTC認為此一併購案將危害汽車輔助駕駛系統、DPU SmartNICs網路產品，以及基於Arm架構的雲端運算服務供應商的市場競爭，而且Nvidia還能藉由此一併購案取得其競爭對手的機密資料。</p> <p>事實上，Nvidia在宣布此一併購案時，已預料到會引來大規模的反壟斷調查，估計要18個月才能完成交易，而除<a href="https://www.ithome.com.tw/news/143945" target="_blank">了英國率先對此案採取行動</a>之外，FTC還說相關調查是與英國、歐盟、日本及南韓負責反壟斷的機構共同進行的，顯示不僅是美國與英國，其它國家亦謹慎面對此一交易。</p> <p>由FTC所提出的訴訟案預計要明年8月才會開始審理，意謂著它將超過Nvidia所預期的交易時程。</p> </div></div></div>
2021/12/3 12:07作者陳曉莉https://www.ithome.com.tw/news/148159
刑事局與北富銀聯手建置金融詐騙偵測暨預警機制，利用警方多年偵辦經驗結合AI與大數據技術來防詐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>內政部警政署刑事警察局（以下簡稱刑事局）與台北富邦銀行在今天（12/2）共同簽署合作意向書，要聯合建置金融詐騙偵測暨預警機制，利用刑事局多年來查緝詐欺集團的偵查經驗，以及多年累積的犯罪態樣與可疑徵候，由刑事局及北富銀的資訊團隊建置智能模型，打造金融詐騙偵測暨預警機制。</p> <p>此合作案2大執行方向，其一是分析警示帳戶金流樣態，制定異常偵測指標，另一方向是建立警方與銀行間即時通報管道，強化線上打擊犯罪的能力。刑事局也希望透過與北富銀合作智能防詐的首個示範案，未來可以推廣到其他金融機構。</p> <p>根據刑事局統計，近4年來，國內詐欺犯罪案件數每年皆突破2萬件。刑事警察局預防科科長丁靖表示，以今年1到10月的統計數據顯示，在各項詐欺類型中，以解除分期付款、假網拍的詐欺案件數較多，光是今年，民眾受到解除分期付款的詐騙案近3,500件，被詐騙損失的總金額為5.2億元。</p> <p>甚至，在疫情期間，民眾遭遇假投資的詐欺案件數與財損金額創下歷年新高，光是今年就有近3,900件，民眾財損總金額達到16.2億元。</p> <p>由於刑事局較難查緝電信詐欺的發話源頭，因此，轉而在金流面追蹤上著墨更多。丁靖解釋，刑事局以被害人遭詐騙匯款為起點，當這筆金錢轉到人頭帳戶，由洗錢的共犯於實體與虛擬帳戶間交叉洗錢，他提到，雖然詐騙集團透過此手法建立金流斷點來避免追蹤，但，最終仍須到實體帳戶提領兌現，這也成為了刑事局追查的契機點。</p> <h3><span style="color:#0099ff;"><strong>刑事局與多家銀行合作防詐，今年成功在臨櫃攔阻被害人轉帳逾13</strong><strong>億元</strong></span></h3> <p>以往，刑事局已與多家金融機構合作，目的是斬斷詐騙金流、溯源偵辦。在金流偵防策略上大致分為3項：臨櫃攔阻、帳戶審查、分析金流。丁靖解釋，首先，增強臨櫃攔阻的能力，刑事局從大量被害人的相關特徵，分析出異常匯款徵候，將這些分析資訊提供給銀行，作為行員關懷顧客的判斷依據，促使被害人在第一時間能有所警覺。</p> <p>在臨櫃作業的異常態樣分析中，他舉例，如果被害人平日交易單純但突然間有大額提款行為，或者被害人在短時間內密集透過網銀與臨櫃轉帳匯款，甚至，解除了定存保單或申請個人信貸，卻又將大筆資金隨即轉出到其他人頭帳戶。「這些交易模式的改變，都能作為銀行行員關懷顧客疑似遭詐騙的基礎判斷。」這樣的合作模式，讓刑事局與金融機構在今年成功攔阻了被害人臨櫃轉帳匯款逾13億元。</p> <p>在第二項金流偵防策略上，刑事局加強了人頭帳戶的審查機制，分析歷年警示帳戶，來分析出可疑指標，並將這些異常指標提供給銀行，作為人頭帳戶審查基準，來遏阻人頭帳戶被利用。他提到，刑事局與金融機構光在今年就揪出近39,000個涉案的警示帳戶。</p> <p>丁靖表示，刑事局以往已分析了人頭帳戶的可疑金流徵候，提供給金融機構作為審查標準。比如，詐欺集團因為較難開立銀行新帳戶，會透過收購方式誘使第三被害人提供帳戶，作為人頭帳戶使用。他進一步表示，這類人頭帳戶的可疑徵候，像是平時並沒有交易，且是低餘額的靜止戶；卻突然活躍起來，不但設定多個約定帳戶，還在短期內進出大筆金額。或者，刑事局會分析人頭帳戶的交易明細，發現存入的大筆金額在金融機構的ATM密集提領，「這些都是指標，」他說。</p> <p>甚至，刑事局更進一步運用了警示帳戶的往來明細來分析金流，藉此往上追蹤幕後詐欺集團與金主，這是第三項金流偵防策略。</p> <h3><span style="color:#0099ff;"><strong>以警方偵辦經驗結合AI</strong><strong>與大數據技術來防詐</strong></span></h3> <p>有了這3項金流偵防基礎，刑事局更要與金融機構有更密切的配合，因此，率先與台北富邦銀行合作推行智能防詐機制。丁靖表示，首先，利用警方彙整多年的偵查資料，從中分析特定樣態，來形成犯罪徵候。接著，將這些犯罪徵候交由刑事局與北富銀雙方的資訊團隊，進入資料庫進行交叉驗證，來分析具有可靠度的異常指標，建立金融詐騙偵測暨預警機制。下一步要將偵查情資分級，累積不同因應的偵查作為，並建立即時通報查緝。</p> <p>台北富邦銀行金融安全部副總經理蔡佩玲表示，對於北富銀來說，與刑事局合作智能防詐有兩大目的，一是關懷早一步，二是防詐快一步。作法上，將刑事局提供的犯罪樣態，透過北富銀AI與大數據技術，來分析詐欺類型與交易模式，找出案件共通性與預警指標。</p> <p>當警訊出現時，蔡佩玲舉例，銀行發現顧客帳戶在網銀、行銀、ATM有異常轉帳的交易出現，就能夠主動關懷、提醒顧客有遭詐騙的風險。另外，當銀行偵測到疑似詐騙收款帳戶的提領交易時，就能主動在線上即時通知警方到場進行盤查，攔阻詐騙案件發生。文⊙李靜宜</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_9615.JPG" /></p> </div></div></div>
2021/12/2 21:03作者李靜宜https://www.ithome.com.tw/news/148152
英特爾與生策會聯手，要以軟硬體資源助臺灣醫療產業轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣醫療科技展今天（12/2）開展，今天開始至12月5日在南港展覽館一館展出，英特爾也和社團法人國家生技醫療產策進會(簡稱生策會)簽署合作意向書，英特爾將以醫療健康產業的生態夥伴，結合該公司的軟硬資源，加速臺灣智慧醫療發展。</p> <p>總統蔡英文出席醫療科技展開幕致詞時表示，這幾年政府重點投入生技產業，以創新研發，因此在面對疫情挑戰時，能迅速整合資源成立跨部會的應變小組，發揮生醫產業不同面向的專長和實力，國內的專家在5年前提出新觀念，讓醫院成為大健康產業發展的平臺，以醫院串連上下游產業鏈，強化產業的科技開發，加速應用落地，成為推動大健康產業的關鍵力量。</p> <p>她表示，生策會這幾年促成生技醫療與資訊的跨領域合作，臺灣在資通訊、生技產業都具有優勢，結合兩個領域的研發與實力，作為臺灣精準醫療產業的堅實基礎。政府去年提出臺灣精準健康發展戰略，結合AI、數位科技、物聯網及國家級資料庫，健康大數據的共享應用，可發展出全方位的個人化精準健康服務，涵蓋預防、診斷到治療的項目，打造臺灣特有的精準健康平臺。未來政府會持續投入國家級的基會投資、提供租稅優惠、調整法規，優化整體產業環境，各部會持續鼓勵醫療科技的創新發展，讓臺灣的生技產業能在國際上大放異彩，開創更多商機。</p> <p>而生策會和英特爾的合作，雙方將共同合作促進臺灣智慧醫療發展。英特爾執行長Pat Gelsinger也以影片表示，未來4股科技超級力量（雲端、AI、邊緣運算與5G）將成為產業數位轉型的關鍵力量，加速創新提供新的健康服務，並帶來人們對科技、醫療的新體驗。</p> <p>英特爾表示，將臺灣PC及醫療生態系夥伴，結合英特爾在全球的業務、技術、公關及行銷資源，提供醫療保健、健康照護市場強大的生態系優勢。相關產業可以藉由英特爾的軟硬體、開發資源，加速產品上市時間、優化效能、服務品質。</p> <p>該公司也強調未來將專注在三項重點：智慧聯網醫院、AI智慧醫療、生命科學。其中，智慧聯網醫院包括5G等資通訊技術建立醫院的聯網應用，以及善用虛擬、雲端化技術，簡化醫院的IT部署及管理；AI智慧醫療方面則以英特爾提出的OpenVINO框架加速AI模型的訓練及推論，還有聯合學習、Intel SGX。生命科學則以Intel Select的HPC框架用於基因定序研究。</p> <p><strong>聯手系統生態夥伴搶攻醫療健康產業轉型商機</strong></p> <p>在智慧醫療部分，英特爾透過醫療領域相關系統整合商，例如華碩、研華、緯創，加速對醫療健康產業的布局。今天英特爾就宣布和緯創醫學科技、高雄榮總合作，打造OWL（cOllaboration Without Limit）數位病理平臺，該平臺蒐集儲存標準化的數位病理影像資料，例如將臨床病理玻片庫的玻片，經過掃描建立標準化的數位影像資料，讓不同地點醫護人員能夠分享報告或是進行會診，未來應用在AI推論、輔助決策、標註經驗。該平臺也採用FHIR，強調可和國際接軌。</p> <p>高雄榮總研創中心創新長楊宗龍表示，OWL平臺將從12月開始在高雄榮總病理部推廣。由於玻片的數位病理資料量相當龐大，較小的資料量約2GB，較大的高達50GB，因此高榮已建置800TB的儲存系統，未來將會以該數位病理平臺，和臺北榮總進行遠端報告、會診的POC驗證，再擴大至其他的醫院。</p> <p>該數位病理平臺也利用英特爾的OpenVINO和模型伺服器開源架構，加快部署AI模型，建立模型生能供應鏈。另外，針對訓練模型需要，未來可導入英特爾Open Federated Learning聯合學習，讓各個醫院仍保有病理資料，兼顧病人隱私之下，透過聯合學習訓練模型的參數、權重，如此，即使是資料量不多的個別醫院，仍能透過聯合學習，結合各醫院擁有的資料，共同訓練、優化AI模型。</p> </div></div></div>
2021/12/2 17:59作者蘇文彬https://www.ithome.com.tw/news/148144
美國計畫生育聯盟分會遭勒索軟體攻擊，40萬名病患資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.plannedparenthood.org/planned-parenthood-los-angeles/notice" target="_blank">美國計畫生育聯盟（Planned Parenthood）的洛杉機分會Planned Parenthood LA近日對外揭露</a>，該組織於今年17日發現駭客攻擊行動，駭客入侵了該組織的網路，盜走了資料，並植入勒索軟體。Planned Parenthood LA<a href="https://thehill.com/policy/cybersecurity/583909-data-on-thousands-of-planned-parenthood-los-angeles-patients-breached" target="_blank">並向《The Hill》透露</a>，約有40萬名病患的資料被竊。</p> <p>Planned Parenthood是個非營利組織，主張人們擁有生育權，它在美國有159個醫療或非醫療的合作夥伴，涵蓋逾600個醫療診所，也與其它12個國家的相關組織合作。位於洛杉磯的Planned Parenthood LA則提供醫療服務、性教育，以及推動人們的生育權。</p> <p>Planned Parenthood LA表示，他們是在10月17日察覺到內部網路的可疑行動，立即切斷系統網路，通知執法機關，同時聘請第三方的資安公司協助調查。迄今已確定駭客是在10月9日便入侵該組織的網路，並開始竊取資料及植入勒索軟體。</p> <p>上個月確定了駭客存取了特定病患的姓名、生日、地址、保險號碼，以及診斷、治療或處方內容等。</p> <p>儘管目前並無證據顯示相關資訊已被用來進行詐騙，但Planned Parenthood LA還是著手通知了受到影響的病患，也提醒病患注意其醫療費用申請是否曾被盜用。</p> <p>Planned Parenthood LA並未公布該組織是否支付了贖金，也未揭露勒索軟體名稱，但<a href="https://www.bleepingcomputer.com/news/security/planned-parenthood-la-discloses-data-breach-after-ransomware-attack/" target="_blank">《BleepingComputer》認為</a>，倘若Planned Parenthood LA沒有支付贖金，那麼駭客應該會公布受害者的資料，也會讓駭客身分浮上檯面。</p> </div></div></div>
2021/12/2 16:49作者陳曉莉https://www.ithome.com.tw/news/148142
Meta擴大與AWS的合作，將共同推動PyTorch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/news-releases/news-release-details/meta-selects-aws-key-long-term-strategic-cloud-provider/" target="_blank">Meta與AWS在12月1日宣布</a>，Meta已選擇AWS作為長期策略的雲端供應商，準備深化彼此的合作，包括擴大使用AWS服務的幅度，以及將共同推動企業使用AWS上的開源深度學習框架PyTorch。</p> <p>Meta原本就有就地部署的基礎設施，但同時也利用AWS的運算、儲存、資料庫或安全服務等資源，來彌補就地部署的不足。然而，當Meta在2012年買下Instagram時，是把Instagram的後端架構從AWS遷移到Meta的就地部署設施上，透露出Meta仍舊希望以就地部署為主的後端策略。</p> <p>不過，本周Meta宣布將加深與AWS的合作，除了仍舊將AWS視為補充Meta就地部署架構的雲端服務之外，未來將於AWS上執行與第三方的合作，而且只要所併購的業者原本就使用AWS服務，之後將維持採用AWS。</p> <p>此外，未來Meta的AI部門將使用AWS的運算服務來加速AI的研發，也會與AWS共同改善AWS上執行PyTorch的效能，包括協助開發者加快建置、訓練、部署及操作AI或機器學習模型的速度。</p> <p>PyTorch是由Meta的AI實驗室在2016年推出的開源機器學習庫，為一深度學習框架，主要應用在電腦視覺與自然語言處理上，隨著AI浪潮的興起，AWS也規畫了PyTorch on AWS，結合Amazon EC2、Elastic Fabric Adapter及AWS上的儲存及網路資源，讓開發者可透過Amazon SageMaker機器學習服務大規模地建置、訓練及部署PyTorch模型。</p> <p>現在Meta則打算與AWS合作，讓全球的組織能夠更方便地透過AWS，把深度學習模型從研究專案快速變成產品。</p> <p>負責商業開發的AWS副總裁Kathrin Renz表示，此一合作案代表AWS將繼續協助Meta研發與創新，也將大規模地與第三方及開源社群合作，而客戶將可仰賴Meta及AWS在PyTorch上的合作，更容易於AWS上建置、訓練及部署深度學習模型。</p> </div></div></div>
2021/12/2 17:03作者陳曉莉https://www.ithome.com.tw/news/148143
Amazon發表SageMaker Studio Lab，免AWS帳號就能免費實驗與學習ML
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/about-aws/whats-new/2021/12/amazon-sagemaker-studio-lab-no-configuration-ml-service/" target="_blank">Amazon在12月1日發表了SageMaker Studio Lab</a>，這是Amazon SageMaker機器學習平臺的精簡版，為一基於JupyterLab的筆記本開發環境，使用者只要透過電子郵件帳號就能免費註冊，可建立一個專案與15GB的空間，以學習與實驗資料科學及機器學習。</p> <p>AWS說明，SageMaker Studio Lab雖然是在AWS上運作，但並不需要AWS帳號，只要以電子郵件就能註冊，登入後啟動一個CPU或GPU運作環境，再開啟專案，在瀏覽器中就能完成，一旦進入JupyterLab環境，就能匯入資料集，建立與執行Jupyter筆記本，複製Git儲存庫，安裝各種開源套件，以及編輯程式碼檔案。</p> <p>SageMaker Studio Lab採用與AWS機器學習平臺SageMaker Studio一致的架構及使用者介面，但前者主要用來實驗及學習，因此僅具備有限的運算及儲存資源，功能也受限。</p> <p>它只支援單個專案及15GB的儲存空間，每次啟動時可以選擇一個CPU或GPU的運作環境，前者可持續12小時，後者可持續4小時，時間截止之後必須重新啟動，由於它具備自動儲存功能，會自動存放使用者的通信期間，因此重新啟動之後也可從中斷之處繼續執行，此外，它也整合了GitHub及Git。</p> <p>由於它是個精簡版的機器學習平臺，因此完全不需要配置就能使用，適用於有興趣學習與實驗機器學習的開發者、學術人員或資料科學家。</p> <p>為了維護SageMaker Studio Lab的使用者經驗，<a href="https://studiolab.sagemaker.aws/" target="_blank">AWS會依序接受使用者的申請</a>，估計會在5個工作天之內完成。</p> </div></div></div>
2021/12/2 15:30作者陳曉莉https://www.ithome.com.tw/news/148139
AI趨勢周報第181期：Meta開源懂128種語言的語音辨識預訓練模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(1126～1201)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音辨識 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> XLS-R </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta開源懂128種語言的大型語音辨識預訓練模型</strong></span></p> <p>Meta旗下臉書AI研究院開源一套大型語音辨識預訓練模型XLS-R，是一套自監督學習模型，具20億個參數、懂128種語言，能執行多種語音相關任務。這套模型架構是以臉書AI研究院先前打造的wav2vec 2.0為基礎，整個模型用了43萬6千多小時的公開語音檔案訓練而成，比前一代XLSR-53模型還要多了10倍。</p> <p>團隊表示，他們這次用了各種主題的語音資料，從法庭程序到有聲書都包括在內，語言種類更是比前一代多了2.5倍。他們認為，XLS-R雖是單一模型，但能執行多語言任務，為驗證這個想法，團隊微調了XLS-R，讓它執行語音辨識、語音翻譯、語言辨識等任務，並在多個測試基準拿下高階表現，如BABEL、CommonVoice、VoxPopuli、CoVoST-2和VoxLingua107等。臉書AI研究員表示，XLS-R是一個重要進展，代表跨語言預訓練模型，能有效改善資源不足的語言表現。<a href="https://github.com/pytorch/fairseq/tree/main/examples/wav2vec/xlsr">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IoT RoboRunner </span></strong></span></p> <p><span style="font-size: 22px;"><strong>AWS發布企業級機器人服務預覽版，要加速機器人App開發和部署</strong></span></p> <p>AWS在近日年會re:Invent上發布新服務AWS IoT RoboRunner預覽版，是一款專為機器人應用設計的服務，可讓企業更容易打造和部署機器人App，方便集中管理各種類型的機器人。</p> <p>進一步來說，這款服務是建立在AWS倉庫中已使用的機器人管理技術，能讓使用者將機器人和現有的自動化軟體連結起來，來統一管理機器人。使用者也能在服務中的集中式資料庫整合數據、進行標準化，如功能、地點、任務等。開發者可用IoT RoboRunner來存取建立App所需的資料，也能利用內建的軟體函式庫來打造任務App，如工作分配等。此外，IoT RoboRunner還能以API整合至企業的儀表板，來讓使用者查詢機器人表現指標和KPI。與此同時，AWS也揭露AWS機器人新創加速器，與非營利組織MassRobotics聯手，來解決機器人自動化、IoT技術中的難題。<a href="https://aws.amazon.com/blogs/aws/preview-aws-iot-roborunner-for-building-robot-fleet-management-applications/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/q8POXvJ4nMI?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GauGAN2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 圖像生成 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia發布新一代AI藝術應用GauGAN2，一句話就能生成精美風景圖</strong></span></p> <p>Nvidia揭露新一代圖像生成AI：GauGAN2，使用者只要輸入一句話，這套AI軟體就能即時產生場景圖，現已開放<a href="http://gaugan.org/gaugan2/">Navidia AI Demo</a>讓大眾使用。Nvidia在2019年發布GauGAN第一代，以生成對抗網路訓練而成，可根據使用者簡單的草圖，產生出栩栩如生、更加精緻的圖畫。</p> <p>現在，使用者只需輸入一句話，如「Sunset at a beach」，GauGAN2就會即時產生場景圖，使用者只要額外增加形容詞，像是「Sunset at a rocky beach」，或是將Sunset改成Afternoon，模型就會立刻修改圖片。Nvidia指出，GauGAN2在單個模型中結合了分割映射、圖像修復和文字到圖像生成功能，使其能根據文字和手繪，來建立逼真的藝術。這是首次在單個對抗網路框架中，結合文字、語義分割、草稿圖和樣式等多個模式，來生成豐富的圖像。<a href="https://blogs.nvidia.com/blog/2021/11/22/gaugan2-ai-art-demo/">（詳全文）</a></p> <p><img alt="" src="https://blogs.nvidia.com/wp-content/uploads/2021/11/tattoine.png.webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Chatbot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Bot-in-a-Box </span></strong></span></p> <p><span style="font-size:22px;"><strong>小型企業與顧客溝通新選擇！Google商家留言版新增聊天機器人功能</strong></span></p> <p>在Google搜尋和Google地圖的商家簡介中，原本就有提供了聊天室功能Business Messages，可讓顧客留言或發問。最近這項聊天室功能，新增了聊天機器人功能（Bot-in-a-Box），這是Google用自家AI對話工具DialogFlow所開發的新功能，商家不必撰寫任何程式碼，就能建立一個自動回答的Chatbot，例如商家可以用常見問題網頁，來快速建立一個能回答這些問題的Chatbot。而且這支Chatbot可準確理解「顧客意圖」，就算顧客以不同方式來表達類似問題，都能得到準確的回應。<a href="https://cloud.google.com/blog/products/workspace/strengthening-conversations-with-customers-using-ai-powered-business-messages">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Wake-County.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料中心 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> A2 Tensor Core </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 邊緣運算 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia推出入門級資料中心GPU，搶攻邊緣運算AI推論市場</strong></span></p> <p>Nvidia在GTC 2021秋季大會上發表Ampere架構的入門款Tensor Core繪圖處理器A2，鎖定邊緣環境，來支援低功耗、小型的深度學習推論加速處理。若以處理器為基準，A2可提供20倍以上的推論運算效能。在Nvidia主導的產品認證系統當中，也將涵蓋A2這款用於邊緣伺服器的GPU。</p> <p>除了用於推論處理，A2還可支援智慧型視訊分析應用（IVA），以及其他的多精度機器學習與深度學習部署，也能涵蓋到視訊轉碼、渲染、音訊與視訊的AI特效處理、數據分析、虛擬工作站、桌面虛擬化等工作負載。由於它的體型較小，本身是採用被動式散熱的單槽短版PCIe介面卡，採用熱功耗為40瓦到60瓦，特別適合空間與散熱需求局限的場所使用，像是5G邊緣設備與工業環境。<a href="https://www.nvidia.com/en-us/data-center/products/a2/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Alphabet </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 日用機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Everyday Robot </span></strong></span></p> <p><span style="font-size:22px;"><strong>Alphabet日用機器人專案新進展！掃地、做家事沒問題</strong></span></p> <p>Alphabet旗下創新研發射月計畫實驗室Alphabet X，最近公布日用機器人專案Everyday Robot新進展，旗下機器人學會更多技能，已能在Alphabet員工餐廳擦桌子、整理會議室。</p> <p>Alphabet X在2019年發起通用型學習機器人專案Everyday Robot Project，要打造能執行日常任務的機器人，如倒垃圾、擦桌子、整理家具等，甚至還要能幫助獨居長者自理家務。該專案用攝影機和一組ML演算法來讓機器人認知環境，並將一種任務學習的能力擴大到其他任務，如此就不必重新打造另一個機器人，或從頭撰寫程式。經兩年發展，該專案已有100多座Everyday Robot原型機器人，不但具備更多技能，如拿抹布擦桌子、開門、排椅子，還已在Alphabet公司廠區執行各種任務，且動作執行成功率從75%進步為現在的90%，<a href="https://x.company/blog/posts/everyday-robots">（詳全文）</a></p> <p><img alt="" src="https://lh3.googleusercontent.com/OZ8bxAD9MsDXNbdEK8tPngQn-yY8cPm8CylSQ87lKwcAVYtZfDDq49MagEH0c5zahbNNaC7c6lZNis778qVsjF7V8LYmh6bYFXG8vA" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 字節跳動 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> BERT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影像辨識 </span></strong></span></p> <p><span style="font-size:22px;"><strong>字節跳動以BERT架構打造SOTA等級影像辨識新模型</strong></span></p> <p>字節跳動聯手約翰霍普金斯大學和上海交大，共同開發一套以BERT為基礎的自監督影像辨識預訓練模型iBOT，且在影像分類上達到高階表現。團隊指出，BERT在自然語言處理（NLP）任務中，表現突出的關鍵是遮罩語言模型（MLM），也就是以克漏字方式，來雙向預測被遮住的字詞機率，比傳統的單向預測更準確。</p> <p>於是，團隊將這個概念延伸到影像辨識上，想發展一個遮罩影像模型（MIM）來解決電腦視覺任務。他們先打造一個視覺標記器（Vision tonkenizer），來將遮罩的區塊轉換為系統性訊號，給目標模型處理。接著，團隊將MIM轉化為知識蒸餾（KD）來學習標記器的知識，並以一個老師模型作為線上標記器，來讓MIM進行自蒸餾。如此一來，目標網路就能將遮罩的影像視為輸入值，線上標記器則能保有原影像。這麼做，也能讓目標網路學會復原被遮罩的影像區塊。最後，團隊表示，iBOT在ImageNet-1K資料集的測試中，在影像分類裡達到高階表現（83.8%），在一些下游任務中也比現有的模型表現還要好。<a href="https://arxiv.org/abs/2111.07832">（詳全文）</a></p> <p>圖片來源／AWS、Nvidia、Google、Alphabet</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 微軟釋出高效能MoE函式庫Tutel</strong></p> <p><strong>2. 愛立信聯手瑞典大學，用ML和聯合學習來預測空氣品質</strong></p> <p>資料來源：iThome整理，2021年12月</p> </div></div></div>
2021/12/2 15:30作者王若樸https://www.ithome.com.tw/news/148140
【資安日報】2021年12月2日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼昨天有鎖定DNA檢驗公司的網路攻擊事故，今天則有美國洛杉磯計劃生育協會（PPLA）公告他們遭到勒索軟體攻擊，而有可能導致40萬人資料外洩。這種對於特定類型的醫療機構發動攻擊的情況，很可能會使得DNA親子鑑定的資料，或是人工授孕等敏感資料外流，衍生其他社會問題，而成為這2天受到關注的攻擊事件。</p> <p>在攻擊手法的部分，APT駭客開始採用RTF範本注入（RTF Template Injection）的攻擊手法，而值得各界留意，因為攻擊者不再偏好微軟Office文件，而是鎖定另外一款跨平臺的文件格式RTF（Rich Text Format）。由於許多文書處理軟體都能開啟這種格式，即使是不使用微軟Office的企業，也可能會受到影響。</p> <p>而除了攻擊事件之外，今天也有多則新聞與攻擊事故的調查有關，包含了惡名昭彰的勒索軟體REvil、Gandcrab的附屬組織不法所得查封，以及逮捕協助網路罪犯洗錢、提供代管主機的人士。其中，比較特別的是今年1月發生的Ubiquiti遭駭事故，最近也有偵察結果出爐，竟是內部員工所為。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/planned-parenthood-la-discloses-data-breach-after-ransomware-attack/"><span style="color: rgb(0, 0, 0);">美國洛杉磯計劃生育協會遭到勒索軟體攻擊</span></a></strong></h4> <p>醫療產業遭到勒索軟體攻擊的情況，最近陸續出現。美國洛杉磯計劃生育協會（PPLA）近期向病人發出通知，他們在10月9日到17日，遭到網路攻擊，該單位於17日察覺將受影響的系統下線，並聘請網路安全公司協助調查。初步調查的結果發現，未經授權的人士自10月9日到17日存取PPLA的網路，並竊取部分文件，他們於11月4日確定遭竊資料的範圍，包含病人的地址、保險資料、出生日期，以及就診資料等。PPLA發言人John Erickson向華盛頓郵報透露，此起事件為勒索軟體攻擊，約有40萬病人資料外洩。</p> <h4><a href="https://redcanary.com/blog/blackbyte-ransomware/"><span style="color: rgb(0, 0, 0);"><strong>攻擊者利用Exchange Server漏洞入侵受害組織，部署BlackByte勒索軟體</strong></span></a></h4> <p>資安業者Red Canary指出，勒索軟體駭客BlackByte於攻擊行動中，使用ProxyShell漏洞於受害組織的Exchange Server上，植入Web Shell，並藉由此Web Shell投放Cobalt Strike Beacon，注入到Windows Update代理程式（wuauclt.exe），然後轉存受害伺服器上的使用者帳號及密碼，再使用AnyDesk進行橫向移動。此外，BlackByte也會在受害電腦上刪除工作管理器與資源監視器，並使用混淆的PowerShell指令來停止Microsoft Defender服務。</p> <h4><strong><a href="https://www.proofpoint.com/us/blog/threat-insight/injection-new-black-novel-rtf-template-inject-technique-poised-widespread"><span style="color: rgb(0, 0, 0);">印度、俄羅斯、中國APT駭客大肆運用RTF範本注入攻擊</span></a></strong></h4> <p>資安業者Proofpoint指出，他們觀察到自2021年2月開始，與印度與中國國家利益相關的DoNot Team、TA423等2個APT駭客組織，採用了RTF範本注入（RTF Template Injection）的手法，分別於3月15日及4月8日開始交付武器化工具，隨後於4月及5月發動多次攻擊。這樣的手法也被與俄羅斯聯邦安全局（FSB）有關的駭客組織Gamaredon運用，在10月5日攻擊烏克蘭政府的時候，作為檔案誘餌。由於這種手法較基於微軟Office軟體的範本注入攻擊而言，更難被防毒軟體察覺有異，研究人員認為，日後恐怕會有更多駭客使用這種攻擊手法。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/emotet-now-spreads-via-fake-adobe-windows-app-installer-packages/"><span style="color: rgb(0, 0, 0);"><strong>殭屍病毒Emotet透過偽造的Adobe應用程式進行散布<img alt="" src="https://s4.itho.me/sites/default/files/images/install-prompt.jpg" style="width: 300px; height: 198px; float: right;" /></strong></span></a></h4> <p>根據資安新聞網站Bleeping Computer的報導，研究人員發現殭屍網路病毒Emotet的攻擊行動，駭客以預覽PDF文件的名義，引誘受害者下載通用Windows平臺（UWP）的App，一旦受害者信以為真下載且執行安裝程式，就會看到安裝Adobe PDF元件的訊息，但實際上，這會在受害電腦植入Emotet惡意軟體，並在電腦開機時自動執行。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/fbi-seized-23m-from-affiliate-of-revil-gandcrab-ransomware-gangs/"><span style="color: rgb(0, 0, 0);"><strong>美國聯邦調查局起出勒索軟體REvil、Gandcrab附屬組織不法所得230萬美元</strong></span></a></h4> <p>根據近期美國德州北區地方法院一份起訴書中，提及美國聯邦調查局（FBI）於今年8月，在針對1個REvil、Gandcrab勒索軟體的附屬組織，從Exodus錢包起出近40個比特幣，相當於230萬美元（查封時約150萬美元）。這份起訴書提及錢包內含有來自REvil勒索軟體的不法所得，以及持有者的部分資訊，根據起訴書所提及的資料，遭到起訴的勒索軟體附屬組織是Lalartu。</p> <h4><strong><a href="https://www.europol.europa.eu/newsroom/news/european-money-mule-action-leads-to-1-803-arrests"><span style="color: rgb(0, 0, 0);">歐洲刑警組織逮捕逾1800名協助網路犯罪洗錢的人士</span></a></strong></h4> <p>歐洲刑警組織（Europol）聯手27個國家、歐洲司法組織、國際刑警組織、歐洲銀行業聯合會（EBF），以及金融科技金融犯罪交易所，自9月15日開始，執行第7次歐洲金錢騾子追緝行動（EMMA 7），迄今總計1,803人被補，並發現18,351名車手（Money Mule），這些人士涉及超過7千次詐欺事件（SIM卡挾持、中間人攻擊、商業郵件詐騙、網絡釣魚等）。歐洲刑警組織初步估計，他們防止了6,750萬歐元流入罪犯手中。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/bulletproof-hosting-founder-imprisoned-for-helping-cybercrime-gangs/"><span style="color: rgb(0, 0, 0);">防彈主機代管業者創辦人因協助網路犯罪遭到判刑</span></a></strong></h4> <p>美國司法部（DOJ）指出，俄羅斯人Aleksandr Grichishkin因自2008年到2015年間，提供防彈主機代管（Bulletproof Hosting）服務給網路犯罪組織，用於攻擊美國金融機構，被判坐牢60個月。這名俄羅斯人是該防彈主機代管公司的創始人及負責人，他為網路犯罪活動提供有關的基礎設施，讓駭客能夠用來散布惡意軟體（Zeus、SpyEye、Citadel、Blackhole Exploit Kit）、存放網路釣魚工具包、建置殭屍網路，以用來破壞受害組織網路與竊取銀行帳密等攻擊行動。根據美國聯邦存款保險公司（FDIC）估計，在2011年，SpyEye與Zeus的攻擊就造成約6,400萬美元的損失。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/former-ubiquiti-dev-charged-for-trying-to-extort-his-employer/"><span style="color:#000000;"><strong>Ubiquiti遭駭事故調查結果出爐，起因竟是前員工竊密</strong></span></a></h4> <p><a href="https://www.ithome.com.tw/news/142165">網路設備業者Ubiquiti於今年1月，傳出雲端系統遭到入侵</a>而引起各界關注。但這起事故的攻擊來源為何？根據美國司法部（DOJ）的起訴書，是名為Nickolas Sharp的前員工自2020年12月10日開始，透過他所持有的AWS與GitHub帳號，竊取Ubiquiti數GB的公司機密，以及複製數百個GitHub儲存㢑，並在2021年1月Ubiquiti公布資料外洩情事後，該員工冒充匿名的駭客要求近200萬美元贖金未果，後來在3月底佯裝舉報人向媒體散布消息，宣稱Ubiquiti刻意淡化攻擊事件。Nickolas Sharp遭指控4項罪名，最高可能會面臨37年監禁。</p> <h4><strong><a href="https://mops.twse.com.tw/mops/web/t146sb05">上櫃生技醫療雙美在11月9日發布資安事件公告，說明部分資訊系統遭受駭客網路攻擊</a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-12-02_142428_%E9%9B%99%E7%BE%8E%E5%AF%A6%E6%A5%AD.jpg" style="width: 280px; float: right;" /></p> <p>回顧11月初有一連串上市櫃公司發布資安事件重大訊息，在11月9日還有一起事件，上櫃生技醫療業雙美實業公告遭網路攻擊。根據該公告內容，雙美說明公司部分資訊系統遭受駭客網路攻擊，指出資安團隊已於第一時間啟動防禦機制及備援作業，因此可能與勒索軟體攻擊有關，處理上也與外部資訊公司合作並通報警方，並說明初步調查結果，對日常營運無重大影響，內部資訊系統陸續回復運作中。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://www.scmagazine.com/analysis/risk-management/report-insulin-pump-management-vulnerability-could-enable-device-takeover"><span style="color: rgb(0, 0, 0);"><strong>胰島素泵浦管理系統漏洞可能導致設備遭到接管</strong></span></a></h4> <p>資安顧問業者Lyrebirds揭露，Insulet OmniPod胰島素管理系統OmniPod Eros存在通訊協定的漏洞，一旦遭到利用，攻擊者可用來控制胰島素泵浦設備，並發送程式化的命令，甚至能夠立即注射胰島素。這項漏洞於1年前發現並通報Insulet，目前尚未有緩解措施，該公司試圖協助用戶改用另一款不受影響的產品OmniPod DASH。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-213.pdf"><strong>NIST正式發布物聯網設備網路安全指南SP 800-213</strong></a> </h4> <p>對於物聯網的採購與使用安全，美國NIST在11月29日正式發布SP 800-213標準文件，這是一份從設備角度考慮系統安全性的指南，統整了相關背景知識與建議，目的是提供聯邦機構在採購時，需考慮物聯網設備需要提供哪些安全功能的建議，同時，搭配NISTIR 8259B、8259C與8259D的文件，希望幫助政府與IoT設備開發設計者，對於IoT設備的網路安全問題能保持一致的，進而將物聯網 (IoT) 設備安全提升到一定的水準，並可整合到聯邦資訊系統。而這樣的指南，也成為外界對於IoT設備安全的參考。</p> <h4><a href="https://gazette.nat.gov.tw/egFront/detail.do?metaid=128436&log=detailLog"><strong>公開發行公司年報新修正式發布，強調ESG與資安管理的資訊揭露</strong></a></h4> <p>近年政府在推動資安上，開始聚焦讓每個產業都要導入資安，今年4月臺灣證券交易所已正式明訂，當上市、上櫃、興櫃公司發生重大資安事件時，需發布重大訊息對外揭露。最近，法令規範新修出爐，將上市公司企業年報揭露資安一事，正式列入要求。證期局在11月30日公告，發布修正「公開發行公司年報應行記載事項準則」，當中主要針對公司在永續發展推動與執行，以及資通安全風險管理的面向，強化公司在這兩方面的資訊揭露透明度</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148042">2021年12月1日</a></p> <p><a href="https://www.ithome.com.tw/news/148089">2021年11月30日</a></p> <p><a href="https://www.ithome.com.tw/news/148072">2021年11月29日</a></p> </div></div></div>
2021/12/2 13:49作者周峻佑https://www.ithome.com.tw/news/148132
支付平臺Square將企業名稱變更為Block
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如同臉書為了走入新一代的元宇宙（Metaverse），<a href="https://www.ithome.com.tw/news/147558" target="_blank">把企業名稱從Facebook變更成Meta</a>，在2009年創立的數位支付平臺Square也為了迎向區塊鏈（Blockchain），<a href="https://www.businesswire.com/news/home/52543725/en" target="_blank">在12月1日宣布將把企業名稱更名為Block</a>，預計於12月10日正式生效，但其那斯達克股市代號SQ則將維持不變。</p> <p>Square更名的原因與臉書頗為相似，臉書一開始只建立了臉書平臺，但之後除了臉書之外，還增加了Instagram、WhatsApp、Messenger等應用，以及Diem加密貨幣，原有的企業名稱已無法涵蓋所有服務，於是更名為Meta。而Square也一樣，最知名的Square平臺代表的是該公司的賣家業務，提供各種商務解決方案、軟體及金融服務，但該公司之後陸續加入了Cash App、聲音串流服務Tidal及比特幣 DeFi 開發平臺TBD54566975，因而決定將企業名稱從Square改為Block。</p> <p>Block共同創辦人暨執行長Jack Dorsey表示，雖然使用了新的名稱，但該公司賦予用戶經濟權力的目的不變，不管公司如何成長或變動，都將繼續打造可協助增加經濟存取能力的工具。</p> <p>這只是一個簡單的企業名稱變動，不管是Square、Cash App、Tidal或TBD54566975都將維持原本的品牌名稱，但該公司用來推動比特幣的Square Crypto部門，將更名為Spiral。</p> <p>Block表示，新的企業名稱有許多意義，包括打造街區或當地業務，區塊鏈，一段程式碼，社群聚集在充滿音樂的街區聚會上，或者是需要克服的障礙。</p> </div></div></div>
2021/12/2 13:49作者陳曉莉https://www.ithome.com.tw/news/148133
Meta鬆綁加密貨幣廣告政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑑於加密貨幣產業日益成熟，再加上許多政府也開始接納加密貨幣，<a href="https://www.ithome.com.tw/news/121018" target="_blank">曾在2018年對加密貨幣廣告發布全面禁令的Meta</a>，在<a href="https://www.facebook.com/business/news/expanding-eligibility-to-run-ads-about-cryptocurrency" target="_blank">本周宣布將鬆綁於該公司平臺上的相關廣告規定</a>，意謂著未來使用者將會在Meta的各式平臺上看到更多有關加密貨幣、交易中心或電子錢包的廣告。</p> <p>其實Meta是隨著加密貨幣產業的進展與各國政策，來決定是否放行相關廣告，在2018年1月全面封鎖加密貨幣廣告之後，<a href="https://www.ithome.com.tw/news/124163" target="_blank">同年6月即部分解除禁令</a>，要求欲刊登相關廣告的業者必須先經過臉書的審核，<a href="https://www.ithome.com.tw/news/130506" target="_blank">2019年5月進一步放行區塊鏈相關技術的廣告</a>。</p> <p>Meta本周指出，之前該平臺只接受取得全球3個監管機關許可的加密貨幣產品刊登廣告，<a href="https://www.facebook.com/policies/ads/restricted_content/cryptocurrency_products_and_services" target="_blank">現在則擴大到27個監管機關</a>，涵蓋美國、澳洲、加拿大、芬蘭、法國、德國、香港、印尼、日本、馬來西亞、荷蘭、挪威、菲律賓、新加坡、南韓及英國等國家的金融監管機關。</p> <p>根據Meta的加密貨幣廣告政策，舉凡是有關加密貨幣的平臺、軟體或產品，包括交易中心、電子錢包、硬體或軟體挖礦等產品，都必須先取得上述任一監管機關的許可，才得以於Meta各平臺上刊登廣告。</p> <p>若是有關加密貨幣的教育或新聞、區塊鏈新聞、諸如NFT的非虛擬貨幣的區塊鏈產品，以及未提供交易功能只具備儲存服務的電子錢包，則不需要許可。</p> <p>Meta說，加密貨幣產業日益成熟及穩定，再加上政府的監管，釐清了該產業的明確責任與期望，未來Meta將不再依賴自家所建立的各種審核標準，而是可透過各國的許可，作為加密貨幣相關廣告的上架依據。</p> </div></div></div>
2021/12/2 14:08作者陳曉莉https://www.ithome.com.tw/news/148134