iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 7篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 13:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

駭客利用惡意廣告散布3種工具，不只控制受害電腦，還側錄使用者鍵盤輸入的內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者同時利用多個惡意軟體，很可能因為部分的環節被人察覺異狀，而導致整個行動事跡敗露，但在思科近期發現的攻擊行動中，駭客組織Magnat自2018年下旬開始，以提供常見軟體的安裝程式名義作為誘餌，經由惡意廣告散布，且這起行動直到3年後才被發現。</p> <p>比較特別的是，攻擊者在受害電腦當中，植入了3種惡意軟體，包含：RDP後門程式MagnatBackdoor、密碼竊取工具Redline，以及惡意Chrome外掛程式MagnatExtension。MagnatBackdoor與Redline的搭配，可讓攻擊者持續透過遠端桌面連線存取受害電腦，而幾乎不受限制；MagnatExtension則是能側錄鍵盤、截取螢幕畫面，進而取得敏感資訊。</p> <p>根據Magnat所使用的C2中繼站IP位址、DNS來分析，約有半數的攻擊鎖定加拿大而來，美國、澳洲次之，而義大利、西班牙、挪威等國家，也有出現零星感染的事故。</p> <h3><span style="color:#0000FF;"><strong>結合後門程式、竊密工具、瀏覽器側錄外掛的攻擊行動</strong></span></h3> <p>這個駭客組織大約是從2018年8月展開攻擊行動，一開始，利用MagnatExtension竊取瀏覽器Chrome的帳密，後來到了2019年10月，該組織開始運用MagnatBackdoor後門程式，思科指出，自此之後，Magnat的攻擊行動都部署3種惡意軟體，也就是：MagnatExtension外掛程式、MagnatBackdoor後門程式，以及竊密工具Azorult。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image3(18).png" style="width: 580px; height: 276px;" /></p> <p>到了2020年2月，駭客的攻擊行動開始停止使用Azorult。會出現這樣的變化，研究人員認為，很可能是當時Chrome推出的第80版當中，採用了新的防護機制，而影響惡意軟體Azorult執行的效果。</p> <p>此後Magnat持續找尋替代Azorult的惡意軟體，並於同年10月起，改用竊密工具Redline，於是這套惡意軟體工具，變成：MagnatExtension、MagnatBackdoor，以及Redline。</p> <h3><strong><span style="color:#0000FF;">攻擊者疑似透過購買廣告的方式，來散布惡意軟體</span></strong></h3> <p>究竟這些駭客如何散布作案工具？思科表示，雖然他們並未實際看到惡意廣告，但根據目前收集的證據來進行推測，這確實是Magnat散布惡意軟體的重要管道。</p> <p>分析受感染的電腦後，研究人員發現，有問題的安裝程式，其實是透過Chrome下載取得，僅連接Cloudflare和Google的IP位址，且下載程式之前，使用者恰巧瀏覽軟體評測網站，但並未執行收信軟體。</p> <p>這些看似相當理所當然的檔案下載操作流程，究竟和惡意廣告有何關連？</p> <p>思科指出，他們發現Redline用於惡意廣告的殭屍網路ID，其他資安人員於2021年8月也發現相關的蛛絲馬跡，例如，曾有人購買Google的線上廣告，卻藉由搜尋引擎排行引誘用戶下載冒牌的WeChat安裝程式，最終目的就是散布Redline，而經過思科分析後，研判該名研究人員所發現的狀況，就是Magnat攻擊行動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image2(25).png" style="width: 350px; height: 463px;" /></p> </div></div></div>
2021/12/10 18:22作者周峻佑https://www.ithome.com.tw/news/148322
駭客濫用微軟OAuth 2.0實作來展開網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.proofpoint.com/us/blog/cloud-security/microsoft-and-github-oauth-implementation-vulnerabilities-lead-redirection" target="_blank">資安業者Proofpoint本周指出</a> ，該公司最近發現許多新型態的攻擊手法，利用微軟及其它業者的OAuth 2.0實作來展開網釣攻擊。</p> <p>OAuth為一開放標準，讓第三方應用得以在未取得使用者名稱及密碼的狀態下，透過存取權杖（Access Token）存取使用者存放於特定網站上的有限資源，例如有些第三方的雲端應用會藉由OAuth 2.0存取使用者置放在Microsoft 365或Google Workspace平臺上的資料。</p> <p>研究人員說明，當一個網頁應用結合使用者控制的參與以指定重新定向的連結時，就會出現開放性的重新定向漏洞，將讓駭客替網頁應用打造一個URL，重新定向到任意的外部網域，經典的開放重新定向攻擊會以自己的URL作為重新定向的目標，但最新技倆的目標URL卻是配置在OAuth供應商的框架中，且未驗證該URL。</p> <p>此外，該重新定向的目標URL將迷失在合法的URL中，得以繞過大多數的網釣偵測解決方案及電子郵件安全解決方案，使用者即會因信任該OAuth供應商而點選此一URL。</p> <p>Proofpoint便發現了針對微軟OAuth實作的攻擊行動，駭客利用數十種不同的Microsoft 365第三方應用，挾帶惡意的重新定向URL，至少有數百名Proofpoint客戶的使用者遭到攻擊；所有的應用都是透過微軟的URL遞送，而將毫無戒心的使用者重新定向至網釣網頁。</p> <p>在攻擊行動中，大多數的網釣頁面都濫用微軟Azure網域來代管，使它們看起來更可信，駭客的目的是為了盜走使用者的Outlook Web Access或PayPal等憑證。</p> <p>且不只是Microsoft 365，GitHub也含有類似的開放性重新定向漏洞。</p> <p>Proofpoint不僅詳述了駭客的攻擊手法，也公布駭客所使用的網釣網址，指出目前最有效的緩解方式就是當使用者要離開現有的應用時，提出清楚的警告，在使用者被自動重新定向前特意延遲時間，或者是在重新定向之前，強迫使用者必須點選連結。</p> </div></div></div>
2021/12/10 16:43作者陳曉莉https://www.ithome.com.tw/news/148314
【資安日報】2021年12月10日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自11月開始一系列的購物節活動，包含了雙11、黑色星期五、網路星期一等，使得駭客鎖定購物商城發動Magecart的交易資料側錄攻擊行動增加，最近2、3個禮拜不斷有資安業者揭露他們發現的事故，呼籲電商網站和消費者要注意。但除了Magecart攻擊，還有一種手法也值得留意，那就是藉由網路機器人自動化買下大量的限定商品，再轉手大賺一筆的情況，資安業者Imperva指出，這種攻擊行動在11月顯著增加，美國政府甚至快速通過相關法案，想要防堵這種掃貨的攻擊行動。</p> <p>另一個值得留意的攻擊，則是與許多開發者會使用的Node.js套件管理器（NPM）有關，資安業者JFrog發現了一批有問題的套件被上架，但與過往有所不同的是，這些NPM套件會竊取受害者即時通訊軟體Discord的登入資訊。不過，究竟攻擊者竊取Token的目的是什麼，仍不得而知。</p> <p>而在國內的資安新聞中，則是臺北馬拉松傳出疑似參賽者個資外洩的情況引起關注。也有不少人表明他們已經接到了詐騙電話。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.imperva.com/blog/grinchbots-strike-again-this-holiday-shopping-season-as-bot-traffic-spikes-73/"><span style="color: rgb(0, 0, 0);">掃貨惡意程式Grinchbot攻擊流量在黑色星期五增加7成<img alt="" src="https://s4.itho.me/sites/default/files/images/Grinchbot-21-image-2.png" style="width: 301px; height: 139px; float: right;" /></span></a></strong></h4> <p>在11月的購物季，各電商平臺無不磨拳擦掌，推出限定、限量的商品來吸引顧客，但購物黃牛透過機器人程式蒐括這些限定商品，再轉手高價賣出的現象也值得注意。資安業者Imperva指出，有人利用名為Grinchbot的機器人，在11月的購物季大肆搶購限定商品的現象，較10月份多出了73%的流量。而在整個11月裡，又以黑色星期五和網路星期一達到流量高峰。</p> <h4><strong><a href="https://www.riskiq.com/blog/external-threat-management/woocommerce-magecart/"><span style="color: rgb(0, 0, 0);">Magecart側錄攻擊鎖定WooCommerce電商網站而來</span></a></strong></h4> <p>側錄線上交易的Magecart攻擊行動，過往有不少事故是針對Magento電子商務平臺而來，但資安業者RiskIQ最近提出警告，他們發現近期鎖定WooCommerce電子商務平臺的攻擊增加，並介紹新的側錄工具WooTheme、Slect、Gateway，呼籲電商網站留意。</p> <h4><a href="https://jfrog.com/blog/malicious-npm-packages-are-after-your-discord-tokens-17-new-packages-disclosed/"><span style="color: rgb(0, 0, 0);"><strong>17個惡意NPM套件利用即時通訊系統Discord發動攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/discord-js-image3.png" style="width: 300px; height: 189px; float: right;" /></strong></span></a></h4> <p>廣受許多開發人員使用的Node.js套件管理器（NPM），最近幾個月已有多起惡意套件的事故，而最近一起攻擊行動，駭客更是同時濫用即時通訊平臺Discord。資安業者JFrog近期發現了17個惡意NPM套件，其共通點是會竊取Discord用戶的Token，研究人員推測，攻擊者竊取此種Token的目的，可能是要掩飾其他攻擊行動，或是用來散布惡意軟體。</p> <h4><a href="https://blog.group-ib.com/hive"><span style="color: rgb(0, 0, 0);"><strong>成立半年的Hive勒索軟體已有逾350個組織受害</strong></span></a></h4> <p>新興勒索軟體駭客組織Hive崛起的現象，引起研究人員的注意。資安業者Group-IB指出，這個駭客組織於資料外洩網站（DLS）上，列出48個不願付贖金的受害組織，而根據他們的調查，實際遭到攻擊的受害組織數量，自2021年6月底到10月16日，總共超過355個。</p> <h4><strong><a href="https://www.reuters.com/technology/ransomware-attack-australian-utility-claimed-by-russian-speaking-criminals-2021-12-08/"><span style="color: rgb(0, 0, 0);">勒索軟體Conti攻擊澳洲電力公司</span></a></strong></h4> <p>澳洲媒體在12月6日報導指出，由中國政府撐腰的駭客疑似攻擊該國昆士蘭州CS Energy電力公司，但該公司否認遭到國家級攻擊。而根據路透社的報導，勒索軟體組織Conti隨後就在網站上公布，CS Energy已遭到他們的攻擊。路透社引述資安公司Emsisoft的說法指出，這起攻擊事故是俄羅斯駭客所為，主要目的是出於牟取經濟利益，與中國APT組織無關。</p> <h4><strong><a href="https://www.prnewswire.com/news-releases/atalanta-corporation-informs-of-data-security-incident-and-offers-support-301439732.html"><span style="color: rgb(0, 0, 0);">美國食品進口業者Atalanta遭到勒索軟體攻擊</span></a></strong></h4> <p>美國食品進口業者Atalanta於12月8日發出新聞稿，證實該公司與Gellert Global集團旗下的相關實體，遭到網路攻擊。他們在2021年7月25日發現攻擊行為，其中包含對於部分系統進行加密。該公司尋求第三方專家著手調查，結果發現，現任與前員工、部分客戶的資料遭到存取，但尚未有跡象表明這些個資被濫用。</p> <h4><strong><a href="https://www.deepinstinct.com/blog/-down-loaded-by-guloader-malware"><span style="color: rgb(0, 0, 0);">攻擊者利用GuLoader投放木馬程式的情況增加<img alt="" src="https://s4.itho.me/sites/default/files/images/guloader-2021amount.png" style="width: 300px; height: 145px; float: right;" /></span></a></strong></h4> <p>資安業者Deep Instinct提出警告，駭客於今年1月鎖定義大利組織散播惡意軟體GuLoader（亦稱CloudEyE、vbdropper）之後，在9月開始，他們又看到另一波大規模攻擊行動，駭客利用GuLoader投放RAT木馬程式Remcos。這個惡意程式由程式語言Visual Basic 6編譯而成，內有Shellcode酬載，攻擊者通常會用來投放RAT木馬程式，如：Agent Tesla、NanoCore、Remcos等。</p> <h4><strong><a href="https://www.proofpoint.com/us/blog/cloud-security/microsoft-and-github-oauth-implementation-vulnerabilities-lead-redirection"><span style="color: rgb(0, 0, 0);">研究人員發現針對OAuth漏洞的重新導向網釣攻擊</span></a></strong></h4> <p>資安業者Proofpoint指出，他們發現攻擊者針對數十個Microsoft 365第三方應用程式，藉由重新導向的方式，大規模攻擊數百家組織。為了看起來更像合法存取，這些網路釣魚攻擊濫用微軟Azure網域，攻擊者運用SeclarityIO網釣工具包，偽造Outlook Web Access、PayPal網頁，側錄帳密和信用卡資料。值得留意的是攻擊行動裡的重新導向URL，是透過OAuth的應用程式框架配置，可能缺乏對於URL的驗證而難以察覺。</p> <h4><strong><a href="https://eclypsium.com/2021/12/09/when-honey-bees-become-murder-hornets/"><span style="color: rgb(0, 0, 0);">30萬臺MikroTik路由器易成為駭客攻擊的目標<img alt="" src="https://s4.itho.me/sites/default/files/images/mikrotik_piechart-80-1.jpg" style="width: 301px; height: 183px; float: right;" /></span></a></strong></h4> <p>日前曾被用來建置Mēris殭屍網路，並在今年9月用來發動大規模DDoS攻擊的MikroTik路由器，似乎是攻擊者偏好的攻擊目標。專精韌體安全的資安業者Eclypsium指出，此廠牌的路由器在全球有超過200萬臺而樹大招風，其中，存在未修補的已知漏洞，或是使用預設管理員帳密等不安全配置的路由器，至少有30萬臺，可能容易遭到攻擊。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148297"><span style="color: rgb(0, 0, 0);">APT駭客透過冒牌Notepad++散布竊密軟體</span></a></strong></h4> <p>資安廠商Minera揭露一起由APT駭客組織StrongPity（亦稱APT-C-41、Promethium）發起的攻擊行動，該組織利用武器化的開源記事本軟體Notepad++安裝程式，進行竊密工作，一旦使用者下載並執行安裝程式，不只會安裝Notepad++，還會投放竊密工具與資料傳輸工具，將使用者鍵盤輸入的內容儲存成TBL檔案，再傳送到C2伺服器。</p> <h4><strong><a href="https://www.recordedfuture.com/chinese-state-sponsored-cyber-espionage-expansion-power-influence-southeast-asia/"><span style="color: rgb(0, 0, 0);">中國政府資助的網絡間諜活動擴大東南亞地區勢力</span></a></strong></h4> <p>資安業者Record Future指出，由中國政府資助的駭客組織TAG-16，過去9個月利用Funny Dream與Chinoxy等惡意軟體入侵東南亞軍事與政府機構並進行監控，馬來西亞、印尼、越南是3大主要目標，但他們也看到在泰國、新加坡、柬埔寨等國的攻擊行動。</p> <h4><strong><a href="https://www.taipeicitymarathon.com/news-page.php?id=88　https://www.sportsnet.org.tw/news_detail.php?Id=853"><span style="color: rgb(0, 0, 0);">臺北馬拉松疑個資外洩，中華民國路跑協會發布反詐騙提醒，已報案且調查中</span></a></strong></h4> <p>即將在12月19日舉行的臺北馬拉松，在12月9日突然發布反詐騙提醒的宣導，疑似發生資料外洩事件，目前正調查中。中華民國路跑協會回覆說明，他們是在12月8日下午4時因接到許多跑友的確認電話而向警方報案，並在當日下午5時發送簡訊通知參與的跑者，目前事件正在調查中，尚未有結果，並提醒參與跑者當心不法人士假冒路跑協會名義，以系統出錯重複刷卡、導入團體訂單導致重複刷卡為由的詐騙電話。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://palisade.consulting/blog/tld-hacking"><span style="color: rgb(0, 0, 0);">頂級網域註冊業者的漏洞恐導致Google、Amazon網域遭接管</span></a></strong></h4> <p>資安顧問公司Palisade指出，他們在10月8日發現，頂級網域（TLD）服務業者Tonga網路資訊中心（TONIC）的註冊系統存在SQL注入漏洞，導致攻擊者可以修改「.to」頂級網域下，任何網域名稱的名稱伺服器，覆蓋這些網域的DNS設置，將流量重新導向攻擊者的網站。例如，一旦有人控制google.to，將能藉由惡意的account.google.com網址，來竊取Google用戶的Token。</p> <p>再者，由於.to廣泛被應用於產生短網址，Amazon（amzn.to）、Uber（ubr.to）和Verizon （vz.to）等公司的短網址可能會遭到濫用。他們通報TONIC後，這個漏洞在24小時內就獲得修復。</p> <h4><strong><a href="https://blog.assetnote.io/2021/11/30/jamf-ssrf/"><span style="color: rgb(0, 0, 0);">蘋果行動裝置控管平臺Jamf Pro驚傳SSRF漏洞</span></a></strong></h4> <p>資安業者Assetnote在蘋果行動裝置控管（MDM）平臺Jamf Pro中，發現2個伺服器端偽造請求（SSRF）漏洞CVE-2021-39303、CVE-2021-40809，CVSS風險層級為8.3分及7.5分，同時影響內部建置與SaaS版本。研究人員指出，由於Jamf Pro的雲端服務版本架設於AWS上，這些漏洞可以被用來取得Jamf的AWS帳密。Jamf獲報後已著手修補。</p> <h4><strong><a href="https://www.fortinet.com/blog/threat-research/manga-aka-dark-mirai-based-campaign-targets-new-tp-link-router-rce-vulnerability"><span style="color: rgb(0, 0, 0);">殭屍網路Mirai變種針對TP-Link路由器而來</span></a></strong></h4> <p>資安業者Fortinet發現名為Manga（亦稱Dark）的殭屍網路病毒，約自11月22日開始，鎖定TP-Link路由器11月12日甫被發現的漏洞CVE-2021-41653大肆入侵，TP-Link已推出修補程式，並強調建議用戶儘速安裝。</p> <h4><strong><a href="https://logging.apache.org/log4j/2.x/download.html　https://github.com/advisories/GHSA-jfh8-c2jp-5v3q"><span style="color: rgb(0, 0, 0);">日誌框架系統Apache Log4j 2修補RCE漏洞，用戶盡速更新至最新版2.15.0</span></a></strong></h4> <p><a href="https://github.com/advisories/GHSA-jfh8-c2jp-5v3q"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-12-10_151232_Log4j2.jpg" style="width: 260px; float: right;" /></a></p> <p>Apache Log4j 2是基於Java的日誌框架，近日他們發布了新版本2.15.0，當中修補了一項遠端程式碼執行漏洞，用戶盡速升級最新版本。根據<a href="https://help.aliyun.com/noticelist/articleid/1060971232.html">阿里雲安全團隊的說明</a>，Apache Log4j2的某些功能存在遞迴解析功能，而攻擊者可直接構造惡意請求，觸發遠端程式碼執行漏洞，並指出Apache Struts2、Apache Solr、Apache Druid、Apache Flink都受影響。目前CVE漏洞編號CVE-2021-44228僅從<a href="https://github.com/advisories/GHSA-jfh8-c2jp-5v3q">GitHub Advisory Database找到相關資訊</a>，NIST <a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44228">NVD尚未公開</a>。</p> <h4><strong><a href="https://helpdesk.kaseya.com/hc/en-gb/articles/4412762258961"><span style="color: rgb(0, 0, 0);">Kaseya旗下的備份系統驚傳重大漏洞，恐造成RCE攻擊</span></a></strong></h4> <p>IT業者Kaseya於12月3日發布資安通告，指出旗下的備份系統Unitrends Backup Appliance存在重大漏洞CVE-2021-43035、CVE-2021-43033，恐被用於未經身分驗證的SQL注入攻擊，或是遠端程式碼執行（RCE）攻擊。這項漏洞波10.0至10.5.4版，Kaseya發布10.5.5版修補上述漏洞。</p> <h4> </h4> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148267">2021年12月9日</a></p> <p><a href="https://www.ithome.com.tw/news/148252">2021年12月8日</a></p> <p><a href="https://www.ithome.com.tw/news/148225">2021年12月7日</a></p> </div></div></div>
2021/12/10 14:06作者周峻佑https://www.ithome.com.tw/news/148307
Amazon濫用市場主導地位妨害物流競爭，遭義大利判罰11.28億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148002" target="_blank">繼上個月之後</a>，義大利競爭管理局（AGCM）本周再以Amazon違反了《歐盟運作條約》（Treaty on the Functioning of the European Union），判罰11.28億歐元，而<a href="https://en.agcm.it/en/media/press-releases/2021/12/A528" target="_blank">這次Amazon遭罰的原因是物流</a>。</p> <p>Amazon為義大利用戶購買電子產品的首要平臺，當地有超過7成的消費者電子產品都透過Amazon售出，並有逾40%的零售業者透過Amazon銷售商品。</p> <p>上個月AGCM才以Amazon與蘋果合作，僅允許特定商家透過Amazon銷售蘋果及Beats商品，要求Amazon支付6,870萬歐元的罰款；本周AGCM則說，Amazon濫用其在義大利的中介市場主導地位，偏好自家的物流服務Fulfilment by Amazon（FBA），而損及競爭對手所提供的物流服務。</p> <p>根據AGCM的調查，只要透過FBA出貨，就可獲得各種的獨家福利，特別是Prime會員，而第三方的物流業者卻無從接觸Prime會員。此外，AGCM也發現，比起採用第三方物流，採用FBA的賣家所受到的績效要求較低。</p> <p>至於Amazon則說該公司非常不同意AGCM的決定，也將提出上訴。</p> </div></div></div>
2021/12/10 15:37作者陳曉莉https://www.ithome.com.tw/news/148310
NCC揭露資安跨域聯防發展現況，主動式防禦成新焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年來，政府持續推動國家級資安戰略與資安聯防，從2009年成立政府資安資訊分享與分析中心（G-ISAC），到近年推動8大關鍵基礎建設領域，打造產業領域的ISAC，並將各領域原有類似資安維運中心（SOC），以及電腦緊急應變中心（CERT）的機制，能夠完善地建立起來。目前，8大CI領域的ISAC，大多在2017年底完成，後續這幾年則是陸續建立起CERT，以及二線的SOC。關於不同領域的發展情形？近期國家通訊傳播委員會（NCC）公布了他們的執行現況</p> <p>關於我國通傳網路資安防護的完備程度，NCC委員孫雅麗表示，他們在近年已有多項行動。</p> <p>首先，在2017年建構國家通訊暨網際安全中心（NCCSC），並在2018年完成南部異地備援中心，確保運作能力，目前中心內已設有4大單位，包括掌握通訊網路運作狀態的C-NOC，情資分享交換的C-ISAC，負責資安緊急應變中心的C-CERT，以及二線資安維運中心的C-SOC。</p> <p>面對私領域的面向，在資安通安全法要求下，NCC已指定通傳領域的關鍵基礎設施（CI），負責協管的特定非公務機關，共涵蓋6大產業，包括有線電視、廣播、衛星、固網、行動與無線網路，以及網際網路連接的IASP、IXP與DNS等。因此，NCCSC的任務，就是將這6大產業領域廠商的資訊，進行蒐集整合與分析，目前已經涵蓋95家通訊、傳播領域業者。因此，NCCSC的任務，會將這6大產業領域廠商的資訊，進行蒐集整合與分析，目前已經涵蓋95家通訊、傳播領域業者。</p> <h3><strong>促進產業對資安議題的認知，多面向推動通傳領域設備安全</strong></h3> <p>在NCC近年在通傳領域聯防體系的執行過程中，孫雅麗說明了他們的經驗與新進展。</p> <p>例如，在NCC提出的通傳網路資通安全維護計畫中，以5G系統資安維護計畫為例，當中除了參考布拉格提案，以及歐盟5G網路安全風險聯合評估報告，並依據NIST CSF提出17項內容，讓業者能依此參考框架，提報計畫參考並進而落實執行。孫雅麗強調，在識別的面向中，除了要有政策、目標、核心業務與維護範圍，以及資安長的配置，她強調，也要有專責人力與經費的配置，否則都只是空談。</p> <p>對於CI提供者的納管，主管機關必須全部有所掌握，建議以逐年納入方式進行。NCC在這三四年來，已陸續將上述所有領域業者納入，不過，後續對於資安事件通報的掌握，還有一處地方需注意，孫雅麗表示，初期NCC曾遇到，這些業者沒有即時通報資安事件的狀況，因為業者往往可能想多蒐集一些資訊再通報，因此，需要讓業者瞭解即時通報的重要性，之後有更多資訊，可以再陸續通報進來。</p> <p>為確保關鍵電信基礎設施資通安全，NCC近期還有幾項重要工作。孫雅麗指出，NCC今年新成立國家級通訊軟體領域安全實驗室（NCSS Lab），將協助5G網路業者、第三方服務商與IoT製造商，完成5G相關軟體安全測試。<a href="https://www.ncc.gov.tw/chinese/news_detail.aspx?site_content_sn=8&cate=0&keyword=%e5%ae%89%e5%85%a8%e5%af%a6%e9%a9%97%e5%ae%a4&is_history=0&pages=0&sn_f=46598">該實驗室原定年初建立完成，但因疫情影響場地施工延宕至年底</a>。</p> <p>同時，NCC新訂定的「關鍵電信基礎設施資通設備資通安全檢測技術規範」，在今年7月正式上路，當中明訂取得審驗合格證明的資通設備，仍應持續進行弱點及漏洞的修補，並針對CVSS評分的嚴重性，提供不同緩衝期限。</p> <p>舉例來說，若是在檢測機構測試階段，發現中風險的弱點，將需在30日內，提供測試報告以佐證修補完成，如果是在設備取證後，有新的CVE弱點遭到揭露，將需在45日測試報告佐證已完成修補；如果測試階段發現高風險漏洞，該測試項目將以不合格計；若取證後有新CVE弱點被揭露，則將暫停審驗合格效力。</p> <p>另一方面，NCC規畫的通傳事業資通設備的資安漏洞通報系統，在今年底也將完成系統設置，進一步推動設備商做好更新修補。</p> <p>此外，對於物聯網裝置的面向，前兩年NCC已與經濟部合作，建構物聯網資安認驗證體系，這項計畫持續發展，在2021年8月，新通過了無限寬頻分享器產業標準。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89NCC%E5%AD%AB%E9%9B%85%E9%BA%97%E8%81%9A%E7%84%A6SOC%E8%88%87%E4%B8%BB%E5%8B%95%E5%BC%8F%E9%98%B2%E7%A6%A6.jpg" style="width: 600px;" /></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">NCC在2021年1月新訂定「</span><a href="https://www.ncc.gov.tw/chinese/files/21012/538_45608_210121_1.pdf" style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">關鍵電信基礎設施資通設備資通安全檢測技術規範</a><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">」，</span><a href="https://www.ncc.gov.tw/chinese/files/21012/538_45608_210121_2.pdf" style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">今年7月1日正式生效</a><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">，當中明訂設備商申請認證的資通設備在取得審驗合格證明後，仍應持續進行弱點及漏洞的維護。</span></p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89NCC%E5%AD%AB%E9%9B%85%E9%BA%97%E8%81%9A%E7%84%A6SOC%E8%88%87%E4%B8%BB%E5%8B%95%E5%BC%8F%E9%98%B2%E7%A6%A6.jpg" style="width: 600px;" /></p> <blockquote><p>繼去年<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">公布「智慧型手機系統內建軟體」及「智慧音箱」資通安全檢測產業標準，今年又有新標準出爐，在2021年8月19日新發布通傳領域無線寬頻分享器資安標準。</span></p> </blockquote> <h3><strong>資安跨域聯防將邁向主動式防禦</strong></h3> <p>特別的是，在資安跨域整合聯防的布局上，孫雅麗新揭露NCCSC今年開始的一項重要計畫，當中將發展主動式防禦，建立早期預警。</p> <p>她表示，這個主動式防禦的特色，是藉由擬真誘捕系統蒐集網路攻擊活動，同時將建構大數據AI分析平臺，以分析潛在攻擊模式，並建立攻擊特徵資料庫。</p> <p>簡單來說，當中包含了真實的設備、誘捕系統，並將創造具欺騙性的互動，同時，會在隱私保護之下，採用自動化、AI與Big Data技術，建立具有主動式防禦能力的資安分析系統，而在資安大數據分析方法論的建構上，也將持續精進，從攻擊Pattern的探勘，到多工式學習（Multi-task AI learning）。</p> <p>關於主動式防禦的推動與導入，顯然已成為我國資安跨域整合聯防的新焦點，對此，NCC已提出「自動化及智能化主動式防禦以創建具韌性之國家關鍵通傳網路」的計畫項目，將分為4年持續投入。事實上，不只NCC通傳會，行政院資通安全處與金管會也在資安策略推動上，提及主動式防禦的相關計畫。目前看來，相較於其他8大CI領域，NCC推動的腳步較明朗，也帶動國內資安跨域整合聯防，在事前預防資安威脅的面向上，能有更進一步的作法。</p> </div></div></div>
2021/12/10 15:42作者羅正漢https://www.ithome.com.tw/news/148311
VS Code Python擴充套件新增模組重新命名功能，讓重構程式碼更簡單！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-december-2021-release/">微軟發布12月適用VS Code的Python擴充套件更新</a>，得力於新的Python語言伺服器Pylance，微軟在新的擴充套件加入各種重構和編輯新功能，來進一步改善用戶開發體驗。另外，微軟也介紹了一款非官方的Python環境管理擴充套件，供開發者方便管理Python開發環境與套件。</p> <p>微軟總算回應開發者的強烈要求，在Python擴充套件中新增模組重新命名功能，透過Pylance，開發者可以使用重新命名功能，更簡單地重構程式碼。過去開發者要重新命名文件或是模組時，需要在程式碼庫中搜尋該模組的參照，並且手動更新每個位置。</p> <p>而在新版本中，重新命名Python檔案和模組後，Pylance能夠找到有需要更新的實例，並且提供需要更改的程式碼預覽給用戶，用戶可以在接受這些變更之前，手動自定義參照，或是在看到需要更改的內容後，改變主意放棄更改。官方提到，有這個功能後，可以加強開發者變更程式碼的信心，並且花更少的時間在重構上。</p> <p>在開發者使用虛擬或是不受信任的工作區時，透過Pylance的支援，Python擴充套件現在還會提供語法錯誤偵測，以及有限的IntelliSense支援，提供像是語意突出顯示、語法錯誤偵測和程式碼導覽等多項功能。如同github.dev或vscode.dev，開發者可以利用一系列編輯功能，虛擬地探索程式碼庫，或是在本地端檢查工作區，來決定是否將該工作區標記為受信任。</p> <p>微軟也宣布調整Python 2.7的除錯功能，這個Python擴充套件，將會是支援本地端Python 2.7除錯的最後一個版本，從2022年1月開始，除錯器debugpy就不會支援Python 2.7。不過，這個影響僅限於本地端開發體驗，遠端除錯仍不受影響，也就是用戶還是可以將除錯器，附加到在Python 2.7中執行的遠端程序。</p> <p>另外，微軟還提到用戶可以使用Python環境管理擴充套件，來檢查Python環境和套件，這個擴充套件並非由微軟官方開發，不過是由團隊的成員，以及Python擴充套件創建者Don Jayamanne開發和維護。</p> <p>該管理器提供檢視圖，能夠讓用戶一目了然機器上的多個Python環境資訊，包括不在工作區中的虛擬環境，並且還可以檢查環境中安裝的軟體套件及版本。用戶可以對不同環境創建多個終端，只要點擊環境旁的終端按鈕，就能簡單地啟動。</p> </div></div></div>
2021/12/10 15:44作者李建興https://www.ithome.com.tw/news/148309
從科層到人本的次世代管理思維
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1210-960-ren_ben_ti_zhi_.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>追求人本體制的本質是犧牲。20 世紀初的管理大師瑪麗．帕克．傅麗特（Mary Parker Follett）認為：「界定領導力的不在於權力的行使，而是讓被領導者提高權力感的能力。」</p> <p>如果你是主管，你無法在沒有下放自身權力的情況下，授權給其他人執行工作。你得把古老的權力貨幣（津貼福利、決策權與賞罰）換成新的貨幣：智慧、慷慨與指導。</p> <p>要把管理工作開始下放給部屬團隊有許多方式，以下是幾項建議。</p> <p><span style="color:#B22222;"><strong>確定方向</strong></span></p> <p>要求你的團隊定義共同的使命。給他們時間集思廣益找出問題的答案，例如：「我們的價值主張是什麼？」「該如何衡量我們團隊的成功？」以及「要增加影響力，我們所能做的最重要的事是什麼？」</p> <p>每個月舉辦一次為時半天的會議，討論業務單位或是全公司層級的策略。要求同事確認他們能做什麼，來支持公司整體的使命。</p> <p>如果公司有正式的規畫流程，要求同事帶頭定義優先重點事項、設定里程碑，以及編列預算。</p> <p><span style="color:#B22222;"><strong>建立技能</strong></span></p> <p>要求團隊成員確認他們想要打造新技能的領域，是在創意的問題解決方案、財務分析、設計思考，還是在人際關係上。</p> <p>要求團隊成員詳盡闡述個人的發展計畫，然後以小筆預算支持這些計畫。</p> <p>全年度支持團隊成員獲取新技能。例如，你可以給大家時間上線上課程、建立工作輪調制度，或是設法成為一個更好的導師。</p> <p><span style="color:#B22222;"><strong>和其他團隊與部門合作</strong></span></p> <p>派遣團隊成員代替你參加主管會議。要確認他們徹底了解狀況，並且具備代表團隊發言的職權。</p> <p>給予團隊成員時間、機會和其他單位與部門聯絡，像是品管、人資、財務與IT 部門。把跨單位協調的管理責任下放給部屬。</p> <p>促進工作輪調，讓員工更能理解需要管理的重要連動環節。</p> <p><span style="color:#B22222;"><strong>安排工作</strong></span></p> <p>給團隊分派工作職務的權力，目標是提升員工參與度與效率。</p> <p>邀請團隊成員寫下他們理想的職務說明。撥空以團隊的角度來檢討與疊代這些職務說明。</p> <p>要求團隊主導設定每日或每週的目標，並評估進展。</p> <p><span style="color:#B22222;"><strong>驅動團隊取得成果</strong></span></p> <p>由團隊安排並主持每週或每個月的單位績效討論。讓團隊成員建構議程，蒐集相關資訊、確認需要改善的地方，並詳細闡述行動計畫。</p> <p>要求團隊成員發展並測試改善的構想，並確保他們有時間與預算做這件事。</p> <p>主持每個月的創新即興發揮，安排為期一整天的會議，讓團隊有機會處理更大、更策略性的問題。</p> <p><span style="color:#B22222;"><strong>管理績效</strong></span></p> <p>詢問團隊成員他們認為績效目標是否適當。如果不適當，請他們建議替代方案。</p> <p>促進同事之間的意見回饋。舉辦會議，讓每一位團隊成員都能對其他同事給予有建設性的回饋意見。</p> <p>邀請團隊成員發展監測團隊健康狀況的每月調查。問卷可以調查員工參與度、效率、協調性與增加的價值。</p> <p><span style="color:#B22222;"><strong>分享資訊</strong></span></p> <p>主持每一季的討論會，讓團隊成員有機會跟平常不會碰到的內部、外部顧客直接互動。</p> <p>詢問團隊成員，額外的財務或營運資訊對他們來說否有用，然後盡力提供資訊給他們。</p> <p>協助第一線團隊成員更加了解業務單位或公司領導人用以判斷組織有效性的策略權衡與調查方式。</p> <p>當你開始下放職權，邀請一些同事響應，別忘了定期讓團隊湊在一塊分享經驗。千萬別以為你必須單打獨鬥對抗科層體制。</p> <p><span style="font-size:28px;"><strong>北美愛迪達：對員工開放</strong></span></p> <p>年營收逾230億美元的愛迪達，是世界首屈一指的運動品牌。儘管這間企業在歐洲足球賽事中勢力龐大，但在美國卻經常受挫。2014 年時，這間公司決心改變這種情形，指派馬克．金恩（Mark King）擔任北美區總裁。金恩曾讓高爾夫球具製造商泰勒梅（TaylorMade）成功的轉虧為盈，現在他要負責重振這個品牌，讓愛迪達的北美公司回到正軌。</p> <p>金恩抵達這間公司位於俄勒岡州波特蘭的總部時，他遇見一支有才幹但士氣低迷的團隊。這個事業群剛把第二名的寶座讓給UA，而且可能會連續第二年銷售量衰退。它正在失去零售貨架空間，而且獲利遠遠落後遍及各大城市的競爭對手Nike。距離總部九個時區之遙的美國團隊知道，他們需要在開發美國特有運動文化方面做得更好。</p> <p>金恩的第一個挑戰是說服董事會提高對北美的投資。作為增加投資的回報，金恩保證讓愛迪達成為美國成長最快速的運動品牌；對於那些習慣北美單位長年績效不佳的人來說，這樣的承諾聽起來很駭人。金恩不只拿到了資金，還採取既務實又具有象徵性的一步棋：把全球設計主管調到波特蘭來。</p> <p>在四處討教美國的營運狀況時，金恩發現大量遭到壓抑的創意。他估計，北美3,500 名員工的內心深處，藏有文藝復興的原始素材。問題在於如何提升創意思考的品質，讓新構想浮現，打造成長策略；而且他們不能花上幾年，在幾個月內就要做到。答案以愛迪達創新學院（Adidas Innovation Academy）的形式出現，這是一個為期十週的計畫，可以教導員工像一個改變遊戲規則的人一般思考，並邀請他們協助塑造公司的策略。</p> <p>訓練計畫的核心是為期四週的單元課程，每一週參與者都會面臨必須想出新洞見的挑戰，並且要在一個共同平台上貼文。整體而言，員工產生超過一萬個洞見，有一些甚至挑戰現有的策略。</p> <p>例如，要成功只能正面迎擊Nike 或UA 嗎？其他的點子則著重在公司雷達尚未偵測到的趨勢，像是快速成長的電競產業（e-sports），玩家組隊比賽電子遊戲，有時還會在歡呼的觀眾面前比賽。</p> <p>接下來四週，員工的挑戰是把洞見變成商業構想。有一個洞見強調零售業者與公司內部壁壘分明的商業團隊互動不佳。他們的創新提案是：打造一個與離線、線上零售商互動時更簡單、更連貫的介面。</p> <p>在這一個月的時間裡，參與者捕捉到近千個商業構想，每一個構想的潛在影響力與可行性都會受到同事的評分。有了這些評價後，員工會將構想貼上標籤，以便搜尋並減少重複。</p> <p>儘管形成構想的過程並沒有限制構想的類別，但是大部分構想最終都被歸類為12 個左右的策略主題，例如增加女性員工、重新塑造與零售商的關係。在這些歸類中，構想經常會有互補的狀況，而且總的來說，這也協助他們確認到更廣泛的商機。</p> <p>2015 年底，所有註冊這個學院的人，都受邀協助篩選有前景的構想。這個過程中有9項提案特別醒目，後來在一場全員參加的「創智贏家」（shark tank）活動中進行推銷。活動結束時，許多提案都快速投入開發。</p> <p>馬克．金恩在2018年7月下台。在他任職的四年時間裡，北美銷售額成長了近50％，營業利益率（operating margin）則是翻了三倍。金恩與現任北美總裁錫安.阿姆斯壯歸功於同事以新方式釋放的創意。儘管參加創新學院完全是自願，但有超過兩千人參與，一千人拿到他們改變遊戲規則的證書。創新學院不但打開新視野，也開啟了企業文化。</p> <p>儘管這些開放策略值得讚賞，卻走得不夠遠。我們認為每一個組織都應該對所有走向他們的人開放策略對話。這個世界上不缺原創性思考，但大部分企業都沒有加以利用。他們沒有在線上發布技能與資產的一覽表，並且問這個世界：「當你擁有這些能力時，你會做什麼？」他們沒有建立一個不斷線、讓顧客、供應商、夥伴、創業家、產業專家、業餘發明家等所有人都能張貼想法的平台。他們沒有規畫出聰明的解決辦法，既保護智慧財產權，又獎勵貢獻作品的人。他們沒有邀請外部創新者與內部團隊一起工作。他們沒想過要打造強大的魅力，吸引世界最激進的思考者與實行者。（摘錄整理自《人本體制》，天下文化提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/300-%E4%BA%BA%E6%9C%AC%E9%AB%94%E5%88%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E6%96%87%E5%8C%96%E5%87%BA%E7%89%88-2.png" style="width: 342px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>人本體制：策略大師哈默爾激發創造力的組織革命</strong></span></p> <p>蓋瑞．哈默爾（Gary Hamel）、米凱爾‧薩尼尼（Michele Zanini）／著；周詩婷／譯</p> <p>天下文化出版</p> <p>售價：600元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>蓋瑞．哈默爾（Gary Hamel）</strong></p> <p>自1983年便任職於倫敦商學院（London Business School），現為該校策略與國際管理客座教授，同時也是「管理創新實驗室」（Management Innovation Lab）的共同創辦人。《經濟學人》封他為「世界第一流的策略大師」。</p> <p><strong>米凱爾‧薩尼尼（Michele Zanini）</strong></p> <p>管理實驗室共同創辦人。麥肯錫管理顧問公司（McKinsey & Company）前合夥人，擔任公司組織、策略與金融服務實務領域的領導者。</p> </div></div></div>
2021/12/10 16:04未署名https://www.ithome.com.tw/article/148313
協助企業建立NFT專案的Palm NFT Studio獲得微軟注資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://m12.vc/news/welcoming-palm-nft-studio-to-the-m12-portfolio" target="_blank">微軟旗下的創投子公司M12本周宣布</a>，已將Palm NFT Studio納入自家的投資組合，主導了Palm約2,700萬美元的B輪增資。</p> <p>Palm NFT Studio創立於今年3月，其創辦人包括以太坊共同創辦人Joseph Lubin、電影製作人David Heyman，及藝術服務公司HENI Group創辦人Joe Hage，主要提供不可替代代幣（Non-Fungible Token，NFT）解決方案，以協助藝術家及創作者發行NFT，自己也發行了PALM代幣。</p> <p>Palm NFT Studio表示，B輪增資的金額為2,700萬美元，除了主導的M12之外，其它的投資人還包括Griffin Gaming Partners、RRE、Third Kind Venture Capital、Sfermion、LAO、Warner Bros.與SK，這筆資金將用來擴大該公司的團隊，以支持該公司成為橫跨娛樂、藝術、遊戲與創意的轉型力量。</p> <p>目前Palm NFT Studio仍在積極開發其技術平臺，以讓創作者更容易於Palm網路上發表NFT。身兼Palm NFT Studio執行長的Dan Heyman指出，在未來的3年內，大多數的NFT都將免費釋出，而人們將看到NFT從獨家收藏成為大眾參與的轉變，而該公司將主導此一轉變。</p> <p>事實上，NFT是一個新興的市場，大多數的投資人仍抱持著觀望的態度，<a href="https://m12.vc/news/welcoming-palm-nft-studio-to-the-m12-portfolio" target="_blank">而M12也表示</a>，市場有許多關於加密貨幣及NFT是否具備持續影響力的討論，而Palm NFT Studio則專注於打造可持續性的技術，包括正在採取措施以減少其解決方案的碳足跡。</p> <p>M12原名Microsoft Ventures，自2016年成立以來已投資超過100家新創企業，通常是在早期階段就注資，著重於企業應用、雲端基礎設施、網路安全暨身分認證、資料暨AI、開發者工具及健康/生命科學等領域。</p> </div></div></div>
2021/12/10 15:03作者陳曉莉https://www.ithome.com.tw/news/148308
IBM分出來的Kyndryl成為Google Cloud服務合作夥伴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月完成<a href="https://www.ithome.com.tw/news/147680" target="_blank">由IBM分拆</a>的IT服務商<a href="https://www.prnewswire.com/news-releases/kyndryl-and-google-cloud-announce-strategic-partnership-to-accelerate-digital-business-transformations-301441075.html" target="_blank">Kyndryl本周宣布與Google Cloud簽訂服務與代管合作協議</a>，協助企業建置維運雲端資料分析、人工智慧應用，以及推動IT基礎架構現代化。</p> <p>在最新合作下Kyndryl成為Google Cloud頂級合作夥伴，雙方合作重點包括資料分析與AI、SAP on Cloud、邊緣運算及金融解決方案。Kyndryl將以其資料管理與整合能力，推動企業採用Google Cloud分析及AI平臺建立雲端資料分析與人工智慧（AI）應用，並推動企業把本地部署的SAP ERP搬上Google Cloud。</p> <p>其次，Kyndryl將推出Google Cloud分散式邊緣運算方案，Kyndryl也將提供這類系統的代管服務。Kyndryl也將運用IBM 30年的金融業服務經驗，推動金融業採用Google Cloud平臺的數位轉型。</p> <p>此外Kyndryl也將於內部成立Google Cloud 學院，旨在加速培訓Google Cloud技術人才，計畫未來幾年間取得數千張證照</p> <p>這項合作將有助於Google Cloud服務金融業客戶。<a href="https://www.ithome.com.tw/news/147676" target="_blank">11月初Google宣布</a>投資10億美元取得芝加哥商品交易所集團（CME Group）持股，Google Cloud也將在10年中為這家金融集團推動雲端轉型。</p> </div></div></div>
2021/12/10 13:56作者林妍溱https://www.ithome.com.tw/news/148306
駭客利用冒牌Notepad++安裝器散布竊密軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Notepad++是一款受歡迎的文字及程式編輯器，<a href="https://blog.minerva-labs.com/a-new-strongpity-variant-hides-behind-notepad-installation" target="_blank">近日安全廠商發現</a>，駭客利用假冒Notepad-++的安裝器（installer）讓用戶電腦感染惡意程式，可能是和一個國家駭客組織有關。</p> <p><a href="https://twitter.com/blackorbird/status/1465521129179660290" target="_blank">最近安全研究人員發現</a>到許多開發人員愛用的編碼程式Notepad++被用來當成惡意攻擊的工具。Notepad++安裝程式被武裝化（weaponized）改造並透過非官方下載網站散布。</p> <p>安全廠商Minera研究人員以其感染手法判斷，類似StrongPity行為模式，它是一群國家駭客，又被稱為APT-C-41 或Promethium。StrongPity首見於2012年，經常在特定合法軟體中加入後門程式而散布。安全廠商卡巴斯基2016年發現StrongPity利用Truecrypt及Winrar等安裝程式於比利時、義大利等地散布。<a href="https://www.ithome.com.tw/news/139629" target="_blank">去年研究人員發現它涉入土耳其軍事行動</a>。</p> <p>Minerva分析，當使用者下載Notepad++ setup.exe，就展開了三階段的攻擊過程。Setup.exe一經啟動，會植入3個程式，第一個是正牌的Notepad++安裝檔，但另外丟入兩個惡意程式，分別是winpickr.exe及鍵盤側錄程式ntuis32.exe。winpickr.exe負責執行ntuis32.exe，後者將用戶鍵擊儲存成隱藏的系統唯讀.tbl檔，執行時還會縮小視窗以免被發現。之後winpickr.exe搜尋這些檔案，並將之傳送給外部C&C伺服器，最後將用戶電腦上的.tbl檔刪除。</p> <p>安全廠商呼籲，為避免受害，最好方法是從官方網站下載程式。</p> </div></div></div>
2021/12/10 12:37作者林妍溱https://www.ithome.com.tw/news/148297
Fintech周報第203期：金控旗下金融業子公司客戶資料共享新進展，金管會年底將發布共享應注意事項訂出可共享範圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">1204~</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">1210</span></strong></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 資料共享 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 風控模型 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金控旗下金融業子公司客戶資料共享新進展，金管會年底將發布共享應注意事項訂出可共享範圍</span></strong><br /><span style="vertical-align: top;">金管會在去年8月底發布金融科技發展路徑圖，在資料共享面有一大推動措施是金控旗下金融業子公司（銀行、保險、證券）客戶資料共享。因為現有法律規範，金控公司目前還不能為旗下子公司建置數據資料庫，以集團整體的客戶建立風控模型，作為子公司認識客戶及評估客戶風險的參考。對此，金管會綜合規劃處處長胡則華揭露了最新進程，今年，金管會已召開2次公聽會，就此議題與金融業相關公會與業者代表進行討論。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">她表示，今年底，金管會將發布金融機構間資料共享的應注意事項。但是，胡則華強調，金控必須在符合個人資料保護法的狀況，以及符合金融機構間資料共享應注意事項的規範下，同時，完成金控內控機制，就能將各子公司客戶資料彙集到金控端，建立客戶風險管理資料庫與建置風控模型。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">這將帶來2面向的好處，其一是可減少金控旗下各子公司重複建置的成本，更可交叉比對及利用以大數據建立的模型，估算客戶的風險等級，預先處理潛在風險。另一項好處是，胡則華提到，能提高客戶便利性的目的，她舉例，客戶到同一金控旗下的銀行端首次開戶時，若以往在如證券端已完成開戶，在客戶的同意下，就能將證券的資料帶過來銀行端，作為開戶時銀行認識客戶的參考依據。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">金管會認為，即便是金控旗下子公司間的資料共享，也需要做到一定程度的控管。所以，她進一步說明，包括個資保護，比如金控旗下子公司在分享資料時，雙方必須具備一致的資料保護水準等。胡則華也透露，金管會將在今年12月前對外公布更多資料共享細節。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位金融管理規範 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 跨業 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會委託政大訂定數位金融服務管理規範的可行性，先聚焦金融3業需求最大的數位身分驗證</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為了因應跨業及場景金融的發展，金管會在金融科技發展路徑圖的基礎工程之一，便是法規調適。在法規調適的第一步，金管會綜合規劃處處長胡則華表示，金管會已整理與增修金融服務各業別現有的數位金融服務相關法令或自律規範，逐步放到金管會官網上。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">另一項較為長遠的規畫是，考量到數位金融具跨銀行、保險、證券3大業別的特性，金管會希望訂定出一套單一數位金融服務管理規範，可以讓各業別提供金融服務時共同遵循。胡則華表示，目前已由金融科技共創平臺中，擔任監理科技組召集人的集中保管結算所，在今年8月委外政治大學金融科技研究中心研究單一數位金融服務管理規範的可行性，研究計畫則為期1年。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">她進一步說明，統整各業別業者意見後，發現業者對數位身分驗證的需求相當高，因此，委外研究主要聚焦多元數位身分驗證機制，其中也包含了電子簽章的研究。胡則華表示，研究方向將會蒐集國際上在數位身分驗證的相關機制與作法，比如英國、瑞典、歐盟、澳洲，並針對相關機制進行研究，以及後續要導入國內能否適用，或者在導入時需要進行相關法規的修正等，整體包括了法規面、技術面、相關金融場景的盤點與研究。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 將來銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">第3家純網銀終於來了！將來銀行取得營業執照，預計明年Q1正式對外開業</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/29_%E5%B0%87%E4%BE%86%E9%8A%80%E8%A1%8C_20210413.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣第3家純網銀終於來了，金管會在12月9日正式核發將來銀行營業執照。金管會表示，對將來銀行不只完成書面及實地的審查作業，也針對外界關切事項完成專案查核，要求將來銀行強化內部管理，所以，正式核發國內第3張純網銀營業執照給將來銀行。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">將來銀行表示，接下來將與各相關單位進行系統連線串接，開業前將舉行試營運，預計在2022年第一季正式對外開業。將來銀行股東囊括中華電信、兆豐銀行、新光集團、全聯實業、凱基銀行及關貿網路，該行表示，未來開業後更能與不同產業進行合作，將以開放金融與智慧生活為發展目標。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 臺企銀 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 新一代網銀 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 容器化 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 微服務 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">臺企銀靠容器技術翻新網銀系統，下一步將採微服務方式部署新系統</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣中小企業銀行（簡稱臺企銀）對外分享過去3年，資訊團隊導入容器化技術的經歷，接下來還要採用微服務方式部署新系統，還有微服務化使用量大的既有應用，來提升應用的執行效能。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣中小企業銀行資訊部襄理周聖鈞點出，促使臺企銀導入容器化技術的關鍵是，全面翻新網路銀行的決策。臺企銀期望藉由容器技術具備的彈性、輕便等特性，提升網銀服務的作業效率，2019年時，展開了容器化技術的導入旅程，打掉網路銀行舊系統，用容器化技術重練新網銀。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">不過，容器化網銀系統上線初期，IT遭遇各種容器效能不彰問題，包括笨重、無法自動擴充、重啟慢等。因此，臺企銀決定導入全面性的容器管理工具，從單一平臺管理、維運和監控容器，才能真正獲得容器技術的特性，提升網銀系統的作業效率。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">有了單一容器管理平臺，可監控應用程式的運作狀況後，下一階段，臺企銀想進一步朝微服務化應用邁進。臺企銀決定逐步推進系統微服務化工程，首先，鎖定笨重、效能較差的容器，要抽出這些容器裡經常改變或常用的應用、服務或API，比如說，銀行顧客最常使用的登錄功能，來進行微服務化工程，提高容器的效能。<strong><a href="https://www.ithome.com.tw/news/148083">（詳全文）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> QR Code 跨行提款 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 中信銀ATM </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 永豐銀行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">永豐銀行百萬數位帳戶用戶，可在中國信託全臺6,700臺ATM掃QR Code跨行提款</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/20211202%E4%B8%AD%E5%9C%8B%E4%BF%A1%E8%A8%97%E6%94%9C%E6%89%8B%E6%B0%B8%E8%B1%90%E9%8A%80%E8%A1%8C%E9%A6%96%E5%89%B5QR%20Code%E8%B7%A8%E8%A1%8C%E6%8F%90%E6%AC%BE%E6%96%B0%E8%81%9E%E5%9C%96.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中國信託銀行統計，受疫情影響，今年1月到10月自家全臺ATM無卡提款交易量破320萬筆，其中，QR Code無卡提款服務量相比去年同期，成長了超過3成，反映出民眾對零接觸金融服務使用量持續增加。觀察到此需求成長，近期中信銀行與永豐銀行合作，透過API串接，首創用QR Code進行跨行ATM無卡提款服務，讓永豐銀行百萬數位帳戶用戶，能在中信銀行全臺超過6,700臺ATM掃碼QR Code跨行提款。永豐銀行也表示，不只數位帳戶，該服務預計2022年擴大到永豐銀行的行動銀行App用戶也能使用。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融詐騙 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 智能防詐 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 刑事局 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">刑事局聯手北富銀推動智能防詐，未來可進一步推廣到其他金融機構</span></strong><br /> 近期，內政部警政署刑事警察局與台北富邦銀行共同簽署合作意向書，要聯合建置金融詐騙偵測暨預警機制，利用刑事局多年來查緝詐欺集團的偵查經驗，以及多年累積的犯罪態樣與可疑徵候，由刑事局及北富銀雙方的資訊團隊共同建置智能模型，來分析具有可靠度的異常指標，建立金融詐騙偵測暨預警機制。</p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">此合作案2大執行方向，其一是分析警示帳戶金流樣態，制定異常偵測指標，另一方向是建立警方與銀行間即時通報管道，強化線上打擊犯罪的能力。刑事局也希望透過與北富銀合作智能防詐的首個示範案，未來可以推廣到其他金融機構。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">北富銀表示，與刑事局合作智能防詐有兩大目的，一是關懷早一步，二是防詐快一步。當警訊出現時，銀行發現顧客帳戶在網銀、行銀、ATM有異常轉帳的交易出現，就能夠主動關懷、提醒顧客有遭詐騙的風險。另外，當銀行偵測到疑似詐騙收款帳戶的提領交易時，就能主動在線上即時通知警方到場進行盤查，攔阻詐騙案件發生。<a href="https://www.ithome.com.tw/news/148152"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt; vertical-align: top;">攝影／洪政偉；圖片來源／中國信託銀行</span><br /> 責任編輯／李靜宜<br /><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1</strong><strong style="vertical-align: top;">. </strong><strong>加密貨幣交易中心BitMart遭駭，駭客盜走價值1.5億美元加密貨幣資產</strong><br /><strong style="vertical-align: top;">2. </strong><strong>經全球27個指定監管機關許可的加密貨幣、交易中心或電子錢包產品，將可在Meta旗下臉書等平臺刊登廣告</strong><br /><strong style="vertical-align: top;">3.</strong><strong style="vertical-align: top;"> </strong><strong>數位支付平臺Square為了迎向區塊鏈（Blockchain），將企業名稱更名為Block</strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年12月</strong></p> </div></div></div>
2021/12/10 12:43作者李靜宜https://www.ithome.com.tw/news/148298
Meta對北美市場開放Horizon Worlds虛擬社交平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta在去年展開Horizon Worlds虛擬社交平臺的邀請測試活動，繼於本周四（12/9）宣布，開放美國與加拿大18歲以上的用戶測試Horizon Worlds。不過，前提是使用者必須擁有Oculus Quest頭戴式虛擬實境裝置。</p> <p>Horizon Worlds允許使用者於虛擬世界中建立自己的世界，打造自己的遊戲，或者是探索與執行他人所建造的世界與遊戲，屬於元宇宙（Metaverse）的應用。</p> <p>Meta表示，該公司對Horizon Worlds的願景是開發一個VR空間，提供一流的工具，以讓創作者得以打造自己的世界並與其他人共同探索。</p> <p>目前Horizon Worlds中的主流應用仍是遊戲，最受歡迎的3款應用分別是多人大逃殺遊戲《Pixel Plummet》、攜著魔杖乘坐魔法掃帚以探索城市的《Wand & Broom》，以及與朋友乘坐河船享受輕鬆旅程的《Mark’s Riverboat》。</p> <p>雖然仍處於早期測試階段，但Meta已替Horizon Worlds設計了Safe Zone安全功能，讓使用者得以封鎖或檢舉其他用戶。</p> <p>Oculus Quest用戶可免費下載Horizon Worlds，但該平臺對Quest 1的支援只到明年的1月13日截止，意味著之後它將只相容於最新的Quest 2。</p> <p>根據<a href="https://www.idc.com/promo/arvr" target="_blank">IDC今年第二季的調查</a>，全球該季售出220萬臺AR/VR頭戴式裝置，比去年同期增加了126.8%，主要的成長力道即來自於2020年10月發表的Quest 2，內建128GB儲存空間的Quest 2售價為299美元。IDC並未公布第二季的AR/VR頭戴式裝置供應商排行，但在<a href="https://www.idc.com/getdoc.jsp?containerId=prUS48041621" target="_blank">第一季的報告</a>中透露，全球有接近2/3的相關裝置出貨量來自Oculus。</p> <p>除了Oculus之外，其它生產AR/VR頭戴式裝置的主要業者還包括中國的DPVR及Pico，臺灣的宏達電與日本的Sony。</p> </div></div></div>
2021/12/10 12:54作者陳曉莉https://www.ithome.com.tw/news/148300
明年年報須主動揭露資安作為
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近金管會有一項新規定，引起眾人高度關注。在11月30日時，金管會正式發布了一項影響上市櫃公司年報的重要宣布，新修正的「公開發行公司年報應行記載事項準則」中，規定公司要在年報中，針對資通安全風險管理，以及永續發展推動與執行的面向，來強化資訊揭露的透明度。</p> <p>這項新規定，從明年年報開始實施，也就是在後年公布明年年報時，我們就可以看到上市公司更清楚的資安作為。</p> <p>原本各家企業資安作為，不是法令要求的揭露內容，但這幾年，臺灣企業資安事件頻傳，動輒出現影響企業營運的重大資安事件，例如多起製造業勒索軟體事件，儘管影響時間可能不長，但的確出現了導致產線停擺或服務中斷的情況。</p> <p>所以，今年4月底，證交所先要求，上市櫃公司在發生重大資安事件時，得發布重大訊息對外揭露。這項要求，更讓許多過去隱而不談的資安事件，必須公開。也因此，下半年，我們看到了更多臺灣大型企業重大資安事件的訊息。</p> <p>重大資安事件的公布，只是臨時性的資訊，仍舊無法了解臺灣產業資安的現況，現在，政府更進一步在每年定期公布的年報中，將資安作為揭露列入正式的法令要求，這等於要求企業每年得定期公布資安作為，而不是出事了才要對外說明。</p> <p>值得注意的是，在三項資安管理揭露要求中，企業必須舉例說明，遇到重大資安事件時，如何因應的做法。這等於要求所有企業都得有一套事先備妥的資安應變措施，像是針對不同的資安事件，各會採取甚麼樣的作法或流程。等到發生重大資安事件時，就得按照這個已經公布的作法來處置。這也會成了各界檢視一家企業因應能力，資安韌性的參考資訊。</p> <p>另外，在第二十條中，也明訂了公司應揭露資安風險對財物的影響與因應措施。尤其要求，企業必須把最近年度和年報刊印日之前，因為重大資安事件所遭受的損失，可能影響和因應措施，都列出來。這等於要求所有企業更不能將資安事件秘而不宣，關起門來自己處理。</p> <p>這項年報修正的新要求，不只是讓企業資安作為更透明，也讓臺灣企業的資安災情資訊更透明了。</p> <p>資安事件向來讓人覺得有一種負面形象的味道，這也讓企業不願意對外揭露太多，但是，當每一家上市公司都必須公開資安災情，誰的資安韌性更強，就成了更重要的事，如何在面對資安事件發生後，有一套快速復原的因應對策，現在更是企業非做不可的法遵重點。</p> <p>有了資訊就能比較，有比較才會產生競爭，進而帶動臺灣企業各自的資安實力，最後可以促進全產業的資安韌性。這正是這一項法令修正最重要的價值。</p> <p><span style="font-size:18px;"><a href="https://www.ithome.com.tw/news/148154" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span> </strong></span><span style="color:#3399ff;"><strong>企業主動揭露資安作為成法令強制要求，金管會明訂公司年報需記載</strong></span></a></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item odd"><a href="/tags/%E9%9F%8C%E6%80%A7">韌性</a></div><div class="field-item even"><a href="/tags/%E5%B9%B4%E5%A0%B1">年報</a></div><div class="field-item odd"><a href="/tags/%E9%87%91%E7%AE%A1%E6%9C%83">金管會</a></div><div class="field-item even"><a href="/tags/%E4%B8%8A%E5%B8%82%E6%AB%83%E5%85%AC%E5%8F%B8">上市櫃公司</a></div></div></div>
2021/12/10 11:43作者王宏仁https://www.ithome.com.tw/voice/148295
Dark Mirai殭屍網路程式開採TP-Link家用無線路由器RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fortinet.com/blog/threat-research/manga-aka-dark-mirai-based-campaign-targets-new-tp-link-router-rce-vulnerability" target="_blank">安全廠商Fortinet發現</a>殭屍網路程式Dark Mirai近日開採一款受歡迎的TP-Link家用無線路由器的遠端程式碼執行漏洞，以執行DDoS攻擊。</p> <p>遭到開採的是TP-LINK TL-WR840N EU (V5)<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-41653" target="_blank">安全漏洞CVE-2021-41653</a>，它出在韌體TL-WR840N(EU)_V5_171211版本以前，能讓遠端攻擊者修改主機IP參數值以便在路由器上執行程式碼，是一風險值9.8的重大漏洞。<a href="https://k4m1ll0.com/cve-2021-41653.html" target="_blank">它是由外部研究人員Kamilló Matek發現通報</a>，TP-Link於11月12日發布新版韌體以解決漏洞。</p> <p>如果這款路由器用戶不知道要修補漏洞就可能曝險，因為Fortinet下的FortiGuard實驗室研究人員11月底發現，殭屍網路Dark Mirai正在開採未補漏洞的TP-Link TL-WR840N EU (V5)。Dark Mirai是以Mirai原始碼為基礎發展而來，因其binary檔名又被稱為Dark，也因使用的SSH/telnet指令內含的令牌字串而被稱為MANGA。</p> <p>一如Mirai，Fortinet研究人員發現Dark Mirai開採TP-Link路由器的CVE-2021-41653以下載及執行惡意腳本程式tshit.sh，再下載主要惡意binary。這些binary一來可封鎖其他殭屍網路染指，且長駐在受害裝置內等待外部C&C伺服器，以便執行各種阻斷服務（Denial of Service，DoS）攻擊。研究人員也公布了這次攻擊的入侵指標（indication of compromise，IoC）。</p> <p>一如大部份網路產品防護，<a href="https://www.tp-link.com/no/support/download/tl-wr840n/" target="_blank">最有效防護方式是儘速安裝更新版韌體</a>。</p> </div></div></div>
2021/12/10 10:50作者林妍溱https://www.ithome.com.tw/news/148286
Google：Microsoft Teams造成Pixel手機無法撥打緊急電話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ixel 3手機日前發生無法撥打緊急求助電話，Google指原因出在Microsoft Teams。</p> <p><a href="https://www.reddit.com/r/GooglePixel/comments/r4xz1f/pixel_prevented_me_from_calling_911/" target="_blank">一名Reddit用戶上周指出11月底</a>，他的Pixel 3手機發生問題，使其無法打電話叫救護車。他的阿嬤可能中風，當他以Pixel 3手機撥911，電話響了一聲後，手機就卡住沒有回應。雖然手機顯示已經將其所在地點傳送到911服務臺，但使用者說話傳不出去，無法告知接聽人員他家地址或是家人情況。還好他阿嬤家中還有市內電話，讓他得以再重新呼叫救護車。</p> <p>事後這名用戶又重新複製這個情形，結果顯示他的Pixel手機及Verizon通聯紀錄都沒有顯示他曾撥打911。</p> <p>Google獲知消息後聯絡這名用戶，並著手調查。<a href="https://www.reddit.com/r/GooglePixel/comments/r4xz1f/pixel_prevented_me_from_calling_911/hnrvsr1/" target="_blank">Google 公司員工昨日公布調查結果</a>，他們相信僅手機安裝了微軟Teams App，卻又沒有登入，且作業系統為Android 10版本以上時會發生這情形。Google判斷這是Teams App和底層Android系統發生「不預期互動」的結果。不過Google並未說明是什麼原因。</p> <p>截至目前為止Google僅接獲一宗通報，然而因這情形影響緊急通話，因此Google和微軟都十分重視且優先處理。Google預期微軟很快會釋出新版本Teams。Google也預計明年1月4日將新版Android發送給合作夥伴，包括硬體製造商。</p> <p>Google並提醒用戶留意是否有新版本Teams App，在此之前，避免無法撥通緊急電話的方法是登入Teams App帳號，且要檢查是否不小心登出。Android 10以前版本裝置則不受影響。</p> <p>這是近來第二起合法第三方Android App出現問題。<a href="https://www.androidpolice.com/notifications-feeling-sluggish-this-popular-android-game-may-be-to-blame/" target="_blank">11月不少用戶安裝Niantic一款新遊戲《皮克敏Pikmin Bloom》後發現</a>它在啟動後會造成其他App通知發送延遲。</p> </div></div></div>
2021/12/10 09:29作者林妍溱https://www.ithome.com.tw/news/148280
美國FAA發布《適航指令》以避免5G影響飛安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著美國即將廣泛部署5G服務，<a href="https://www.faa.gov/newsroom/faa-statement-5g" target="_blank">美國聯邦航空管理局（FAA）本周發布了兩項《適航指令》</a>（Airworthiness Directive，AD），禁止飛機在受到5G C頻段（3.7~3.98 GHz）干擾時，使用雷達高度計（Radar Altimeter），預計於明年1月5日正式實施。</p> <p>其實雷達高度計並非使用C頻段，而是在4.2~4.4 GHz間運作，只是兩者的頻段太接近而可能造成干擾。非營利航空無線電技術委員會（FTCA）曾針對此事展開研究與評估，<a href="https://www.rtca.org/wp-content/uploads/2020/10/SC-239-5G-Interference-Assessment-Report_274-20-PMC-2073_accepted_changes.pdf" target="_blank">結論是C頻段將對所有類型民用飛機上的雷達高度計造成有害干擾</a>，此一風險是普遍存在的，亦可能對美國航空營運造成廣泛影響，包括在缺乏適當緩解措施的情況下，發生導致多人死亡的災難性故障。</p> <p>雷達高度計的功能在於替飛機系統提供海拔高度資訊，它比氣壓高度計更準確，通常應用在需要精確測量飛機離地高度時，像是自動著陸或其它的低空操作。儘管雷達高度計非常準確，但如果受到其它頻段的干擾，很可能會提供錯誤的結果。</p> <p>因此，FAA將利用電信業者所提供的資料，來辨識美國境內的哪些機場擁有或將擁有C頻段的基地臺，或是其它可能影響飛機系統的設備，以向飛行員發布《航行通告》（NOTAM），說明特定機場附近的雷達高度計並不可靠，也會在這些區域禁止需要雷達高度計的特定操作。</p> <p>美國電信業者Verizon與AT&T已因飛安問題，將大規模部署C頻段的時程從今年12月延後到明年1月，而FAA本周公布的《適航指令》則將在明年1月5日生效，這兩項指令的內容大同小異，只是規範的對象分別是運輸/通勤類飛機，以及直昇機。</p> </div></div></div>
2021/12/10 08:41作者陳曉莉https://www.ithome.com.tw/news/148278
Meta與IBM等業者成立資料聯盟，以避免基於AI的招聘系統產生偏見
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://dataandtrustalliance.org/news" target="_blank">包括Meta與IBM等十多家業者在周三（12/8）宣布成立資料暨信任聯盟（Data & Trust Alliance）</a>，將共同打造一致的標準，以減輕人力資源與勞工決策中所存在的資料及演算法偏見，包括招聘、薪資及員工發展等。</p> <p>Data & Trust Alliance的創始會員包括美國運通（American Express）、CVS Health、Deloitte、Diveplane、General Motors、Humana、IBM、Mastercard、Meta、Nielsen、Nike、Under Armour與Walmart，它們的員工總數超過350萬名。</p> <p>該聯盟表示，其成員有一個共同的信念，即相信於即將到來的時代中，資料與智慧系統為創造經濟及社會價值的關鍵，但必須負責任的部署。</p> <p>其實上述成員已經開始利用資料、演算法與人工智慧來尋找人才，包括仰賴那些已採用AI及機器學習的人力銀行、人才網站、顧問公司或招聘公司，然而，它們同時也認為利用相關技術的最大風險為可能隱藏著不公平的偏見。</p> <p>因此，Data & Trust Alliance建立了演算法偏差保護措施（Algorithmic Bias Safeguards），首個計畫就是「演算法的安全性：減少勞動力決策的偏見」（Algorithmic Safety: Mitigating Bias in Workforce Decisions），以協助企業根據相關標準來評估招聘服務的供應商，之後也會將該保護措施整合到企業的程序中。</p> <p>目前Algorithmic Bias Safeguards設計了13種類別的55個問題，以作為評估供應商的標準，涵蓋訓練資料、模型設計、偏差測試方法、偏差矯正、透明化與問責、AI倫理與多元性承諾等。</p> </div></div></div>
2021/12/10 08:48作者陳曉莉https://www.ithome.com.tw/news/148279
Deepmind開發具有2,800億參數的語言模型Gopher，探索模型規模對效能的影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下人工智慧研究公司Deepmind最近發表了<a href="https://deepmind.com/blog/article/language-modelling-at-scale">數篇關於語言模型的論文</a>，其中重要的論文包括訓練具有2,800億參數的語言模型Gopher，還提出一個改進的語言模型架構，來降低訓練模型的能源成本。</p> <p>之所以DeepMind團隊致力於研究人工智慧的語言處理和溝通，他們提到，語言是人類說明和促進理解的基本，能夠讓人們交流思想、表達想法、創造記憶並且相互理解，而這同時也是社交智慧的基礎部分。研究人員認為，開發更強大的語言模型，對於人工智慧系統的研究具有很大的潛力，能夠有效率地總結資訊、提供專家建議，並且以自然語言提供指引。</p> <p>在DeepMind的新論文中，訓練了大大小小的Transformer語言模型，從4,400萬個參數到2,800億個參數的模型都有，最大的模型被命名為Gopher。研究人員透過調查這些不同大小模型的優勢和缺點，找出能夠藉由增加規模，繼續提高效能的領域，像是在閱讀理解、事實查核和有毒語言辨識上，而研究人員也發現，在邏輯推理和常識性任務中，模型的規模並無法明顯改善結果。</p> <p>經過DeepMind的研究，他們發現Gopher的能力，在許多重要的任務上都超過現有的語言模型，例如大規模多任務語言理解（Massive Multitask Language Understanding，MMLU）基準測試，Gopher在許多方面都勝過當前先進的語言模型GPT-3和UnifiedQA，包括人性、社會科學和醫療等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig_1.jpg" style="width: 580px;" /></p> <p>研究人員除了對Gopher進行定量評估之外，也透過實際互動探索模型，發現Gopher在被提示進行對話互動時，能夠提供良好的連貫性，即便開發人員沒有對特定對話微調，但是Gopher竟然可以討論細胞生物學，並且引用正確的文獻。</p> <p>除了大模型帶來的優點之外，研究人員也探討了幾種在任何模型大小中，都持續存在的故障模式，諸如反覆傾向（Tendency for Repetition）、刻板印象和傳播不正確資訊。研究人員提到，這些研究之所以重要，是因為可以藉由理解和記錄故障模式，來進一步掌握大型語言模型對下游應用造成的危害，並且知道該朝哪個方向前進，來緩解這些問題。</p> <p>除此之外，DeepMind還提出了一種改進的語言模型架構，該架構能夠降低訓練能源成本，並且使模型輸出更容易追溯至訓練語料庫中的來源。研究人員受大腦在學習時，仰賴專用記憶機制的啟發，開發出了RETRO（Retrieval-Enhanced Transformer），藉由使用網際網路規模的檢索機制，來預訓練模型，RETRO能夠有效地查詢文本段落來改進預測，並且透過將生成的文字和RETRO生成所仰賴的段落進行比較，研究人員可以解釋模型做出部分預測時的原因和來源。</p> </div></div></div>
2021/12/10 08:53作者李建興https://www.ithome.com.tw/news/148273
GitHub運用智慧排名和程式碼索引技術，全面改善程式碼搜尋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub改進<a href="https://github.blog/2021-12-08-improving-github-code-search/">程式碼搜尋功能</a>，讓開發者能夠更快速簡單地搜尋到目標程式碼。該新功能正在技術預覽階段，供受到邀請的用戶，在<a href="https://cs.github.com">https://cs.github.com</a>上進行試用，官方提到，他們替新的程式碼搜尋功能，創建一個單獨的介面，當功能成熟之後，就會整合到主要的github.com頁面中。</p> <p>目前新的搜尋功能，其索引涵蓋超過500萬個受歡迎的公共儲存庫，用戶也可以將其用在具有儲存權限的私有儲存庫。新的程式碼搜尋功能藉由智慧排名，以及針對程式碼最佳化的索引，讓用戶能夠簡單地在最佳結果中，找到想要查詢的內容。</p> <p>該功能支援子字串、特殊字元和正規表示式配對，以搜尋精確的字串，用戶也能使用org:或repo:等限制符號，來限縮搜尋範圍，搜尋框會自動提供完成建議。針對搜尋結果，也可以使用語言、路徑、擴充套件和布林運算子等過濾器，來最佳化結果，另外，新的程式碼搜尋還提供附加功能，像是目錄樹檢視圖、跳轉到定義和選擇搜尋等。</p> <p>GitHub會繼續開發此搜尋功能，包括增加索引，以涵蓋GitHub每個儲存庫，同時官方也會試驗評分和排名啟發方法，以找出最有效的方法，另外，GitHub也會繼續新增特定語言功能，來增加對更多語言的支援。</p> <p>這個新的程式碼搜尋改善功能，是GitHub針對提升開發者生產力，所進行一系列新功能規畫的其中一部分。GitHub提到，作為開發者，要停留在心流狀態非常困難，會因為很多事件而中斷，像是CI中的測試失敗，或是因為需要知道錯誤訊息出現的原因而分心，當開發者解決中斷所需要的時間越長，丟失的上下文也就越多。</p> <p>今年早些時候，GitHub透過加入Copilot和Codespaces，來試圖解決這些問題。Copilot是運用人工智慧，讓開發者即便在不熟悉的領域，也能有效率地進行程式開發，而Codespaces則可以讓開發者隨時隨地進行開發工作，GitHub也展示了自家採用Codespaces來增加生產力的經驗。</p> <p>而在程式碼搜尋部分，官方提到，他們的目標是要讓每個開發人員，都能快速直覺地搜尋、探索、導覽和理解程式碼，而新的程式碼搜尋功能，則是達成此一目的的手段，開發人員只要透過搜尋，就能夠快速獲得相關的結果，且在每一步驟都應用自動化，使開發人員更能維持在心流狀態。</p> <p>官方提到，結果頁面針對程式碼閱讀和理解最佳化，因此即便是在開發者所使用的IDE之外，也能快速掌握陌生程式碼的邏輯。</p> </div></div></div>
2021/12/10 08:56作者李建興https://www.ithome.com.tw/news/148276
Meta採用少樣本學習技術，更全面地偵測社交平臺有害內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta建構並且部署了一種稱為<a href="https://ai.facebook.com/blog/harmful-content-can-evolve-quickly-our-new-ai-system-adapts-to-tackle-it">少量樣本學習（Few-Shot Learner，FSL）的人工智慧技術</a>，將平臺對有害內容的反應時間從數月降低到數周，並且能夠不斷適應新的有害內容類型。該技術適用超過100種語言，還可以從圖像和文字等不同類型的資料中學習，同時能夠強化現有已經部署，用來偵測其他類型有害內容的人工智慧模型。</p> <p>有害內容演變的速度很快，無論是由事件驅動，抑或是惡意人士刻意規避系統偵測的行為，官方提到，人工智慧系統能跟上有害內容演變速度變得很重要，但人工智慧要能偵測這些有害內容，通常需要數個月的時間收集並且標記範例，才能訓練每個單獨的人工智慧系統，發現新類型的內容。</p> <p>而Meta新發展的這個人工智慧系統，使用少樣本學習技術，官方解釋，這是一種相對較新的方法，其模型能夠從對許多不同主題，擁有大量且一般性的理解，接著只要使用少量或甚至零樣本來學習新任務，就能有效地執行任務，Meta以捕魚技術來比喻人工智慧偵測技術，傳統系統類似可以捕捉特定魚種的釣魚線，而少樣本學習技術則像是額外的網子，可以捕捉其他類型的魚。</p> <p>之所以Meta現在才能夠採用少樣本學習技術，研究人員解釋，這是因為最近的技術突破，像是自我監督學習技術，和超高效基礎設施，使該領域能夠開始從傳統、特製的人工智慧系統，轉向更大且更通用的系統，並且降低對標記資料的依賴。</p> <p>Meta使用違反政策的內容，來訓練新的人工智慧系統，最後該模型還以解釋新政策的文字進行訓練，和過去透過比對資料模式的系統不同，FSL使用通用語言，以及違反政策的內容進行訓練，因此可以學習政策的隱藏含義。</p> <p>目前Meta已經在一些較新的事件中，測試FSL的表現，像是辨識暗指疫苗會改變DNA，這類以誤導性或是危言聳聽資訊，嚇阻他人接種COVID-19疫苗的貼文，其他的任務還有改進現有分類器，該分類器能夠標記煽動暴力的內容，偵測到類似「那個人需要所有的牙齒嗎？」這種貼文，官方提到，傳統的方法可能會忽略這類型的煽動性貼文，因為使用DNA來質疑疫苗接種，和利用牙齒來暗示暴力的樣本並不多。</p> <p>官方運用各種方法來衡量模型的效能，並且查看FSL在臉書和Instagram上部署後，有害內容的流行率，也就是人們看到違規內容的次數百分比之間的差異，經過實驗，Meta人工智慧少樣本學習技術，能夠正確偵測傳統系統可能遺漏的貼文，並且透過主動偵測潛在有害內容，來防止有害內容在平臺中傳播，以減少這類內容的流行。</p> </div></div></div>
2021/12/10 09:01作者李建興https://www.ithome.com.tw/news/148277
衛福部預告電子病歷上雲草案，兩大方向法規細節終於公布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部昨日（12/8）終於<a href="https://www.mohw.gov.tw/cp-18-64321-1.html">預告「醫療機構電子病歷製作及管理辦法」修正草案</a>，也就是今年醫界熱烈討論的電子病歷上雲草案。該草案有2大方向，一是允許醫療機構委外建置電子病歷系統，並能使用公雲服務管理電子病歷資料，二是為達無紙化目標，允許醫療機構依電子簽章規定，將院內原有書面文件如紙本病歷、同意書等電子化。該草案預告後，民眾可於今日起的60天內提出建議，草案將於2022年2月7日終止預告。</p> <p><span style="font-size:24px;"><strong>方向一：開放電子病歷上雲</strong></span></p> <p>衛福部在過去數個月來，陸續揭露電子病歷上雲政策。在這次預告的草案中，政策方向也相去不遠，首先是允許醫療機構委託大專院校、法人、機構或團體來建置電子病歷資訊系統。而且，雙方需簽訂書面契約，說明委託事項範圍、受託機構之權利義務等事項，並禁止委外機構，再將委託事項外包給第三方。同時，為確保電子病歷系統的安全和品質，委外機構必須通過中央主管機關的認證，醫院才能委託、建置系統。</p> <p>再來是開放醫療機構使用雲端服務。修正條文第八條指出，醫院在進行系統資料蒐集、處理以及使用資料庫時，若採用雲端服務，必須遵守4個規範，包括採取適當風控措施、避免醫療業務中斷措施、監督雲端服務業者，以及停止雲端服務時，必須有套將資料移轉回委託機構或其他服務業者的機制。</p> <p>草案條文也規定，雲端服務的資料儲存地點，以臺灣境內為限，但若遇上特殊情形，如與國外合作等，經中央主管機關核准，則可使用境外雲端服務。</p> <p>另一方面，這次草案也修正要求，醫療機構使用電子病歷前，須經地方（直轄市、縣市）主管機關核准，若使用範圍有變動，或是停止使用，也需通報地方主管機關。</p> <p><strong><span style="font-size:24px;">方向二：全面推動無紙化</span></strong></p> <p>這次預告草案另一方向，則是無紙化的推動。草案第18條規定，醫療機構可將院內儲存的紙本同意書和紙本病歷，轉錄為電子檔，確認無誤後再以電子簽章封存。</p> <p>不只舊有紙本資料可以電子化，修正條文也指出，原本醫療法規定需要書面的文件，醫院也能以電子方式製作和儲存，不過，要是民眾偏好紙本文件，醫院還是得提供給特定個人。</p> <p>最後，這次草案也規定，經中央主管機關認定的公、私立機構，可設置電子病歷交換平臺，促進跨機構資料交換。不過，醫院得先取得病人同意，才能進行電子病歷資料的交換，但若情況緊急，則不在此限。</p> </div></div></div>
2021/12/9 19:11作者王若樸https://www.ithome.com.tw/news/148275
強化大眾運輸安全，北捷要用AI影像偵測確保入站旅客遵守防疫規定、監控車廂安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為提升大眾捷運安全，臺北捷運(北捷)再宣布和宏碁、國立臺北科技大學(北科大)合作，將以AI強化捷運安全，例如旅客入站防疫安全檢測，透過AI自動偵測旅客是否配戴口罩入站，體溫是否過高，或是偵測車廂內乘客的動態，是否發生逃竄或對峙等異常行為。</p> <p>北捷在本周三宣布啟動臺北大眾捷運安全升級計畫，三方攜手合作，臺北捷運提供場域及大眾運輸服務經驗，加上宏碁與北科大電機系在AI及邊緣運算的產學合作，並開始啟用位於北科大的「AI捷運安全研發中心」，展開AI運輸安全研發工作，加速智慧運輸的轉型發展。</p> <p>北捷總經理黃清信表示，臺北大眾捷運安全升級計畫將以板南線的忠孝新生、忠孝復興、忠孝敦化三個站，建立AI安全示範站點，預計2023年6月完成。該計畫將建置7項安全應用，包括入站防疫安全檢測系統、主動式電扶梯安全系統、虛擬電子圍籬系統、軌道異物入侵偵測系統、車廂人潮異常移動偵測系統、AI站務員服務系統、逃票行為偵測系統。</p> <p>宏碁表示，臺北大眾捷運安全升級計畫涵蓋站安(入站安全)、人安(旅客安全)、行安(運輸安全)。今年底前將先建置入站防疫安全檢測系統，明年再完成主動式電扶梯安全系統、車廂人潮異常移動偵測系統。</p> <p>這項計畫運用Edge邊緣運算與AI，先在宏碁內部完成AI影像辨識的模型，再利用邊緣運算就近進行AI影像辨識，以入站防疫的安全檢測為例，在捷運站出入閘口，透過攝影機拍攝進站旅客影像，由閘口下的邊緣運算裝置，以AI自動辨識進站旅客是否依規定戴口罩，再透過溫度感測器，測量旅客是否體溫有異常，若有旅客進站未配戴口罩或體溫異常，系統就會控制閘門不予開放進站。至於正常配戴口罩、正常體溫的旅客，則可正常通過閘門進站乘車。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/metro-1.jpg" style="width: 600px; height: 336px;" /></p> <p>若旅客進站被偵測出有體溫過高的情形，相關資訊會送到北捷的行控中心，行控中心可透過防疫地圖，了解哪個站點的旅客有較多的體溫過高情形發生，將相關資訊通報給相關單位。</p> <p>宏碁強調，由於閘門使用邊緣運算裝罝，當下以AI辨識分析影像，並沒有儲存影像資料，降低資安的風險。</p> <p>至於電扶梯安全方面，過去曾有旅客因穿著膠鞋、布希鞋搭乘電扶梯，鞋子遭電扶梯卡住，造成旅客傷害事故，未來透過主動式電扶梯安全系統，利用AI影像分析，自動偵測準備搭乘電扶梯的旅客，腳上所穿著的鞋款，如果是膠鞋或布希鞋，自動以語音提醒旅客小心腳下安全。</p> <p>另外，之前在捷運車廂內曾發生旅客攻擊事件，例如不肖人士在車廂內持刀攻擊旅客，因此為維護車廂內的安全，該計畫將建置車廂人潮異常移動偵測系統，利用車廂內攝影機所拍攝的影像，先傳送到車長室，通過邊緣運算裝置，以AI偵測車廂旅客的動態，分析是否有大量人員快速移動的逃竄行為，或是因為旅客發生爭執，大多數人在一旁圍觀的對峙事件。</p> <p>車廂人潮異常移動偵測系統通過邊緣運算，在捷運車廂就近以AI辨識偵測逃竄、對峙的異常事件，當車廂內有異常事件時，向車長室及北捷的行控中心通報。</p> <p>宏碁表示，利用邊緣運算就近執行AI影像辨識技術，僅回傳辨識結果，可降低車長或人員對車廂安全的工作負擔，也避免傳送完整影像所需的網路頻寬，因此使用現有的4G網路即可，可不需採用5G網路。</p> <p>其他未來將建置的AI安全系統，還有自動偵測旅客跨越月臺候車安全線、進入捷運軌道的虛擬電子圍籬系統，以及在捷運列車前方，透過攝影機，以AI偵測前方軌道是否有異物入侵，確保行車安全的軌道異物入侵偵測系統，按照捷運列車長度，在列車最快80公里時速下，偵測前方205公尺以外距離，軌道上是否有異物，讓列車能及早減速煞車因應。</p> <p>逃票行為偵測系統則主要利用AI，協助站務員辨識是否有異常的進站行為，例如進站時一人刷卡，卻有兩人進站的逃票行為。</p> <p>北捷表示，未來3個示範站、7項AI安全應用系統項目建置後，通過驗證後，可望擴大項目，並以多站、全線，甚至推到海外的大眾運輸系統採用。</p> <p>除了與宏碁、北科大的合作，北捷也在11月間與大世科等業者合作試辦5G智慧監控計畫，同樣為運用AI改善大眾捷運的運輸安全，但比較不同的是，該計畫以中山站、松江南京、南京復興三個站為示範，結合5G專網的即時傳輸與AI人工智慧，偵測車廂內旅客是否有爭執、鬥毆事件發生。</p> </div></div></div>
2021/12/9 18:26作者蘇文彬https://www.ithome.com.tw/news/148272
【資安日報】2021年12月9日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對自家各式服務不斷被攻擊者濫用的情況，最近Google罕見大動作對於駭客組織出手，摧毀感染百萬裝置的Glupteba殭屍網路，並揪出背後發動攻擊的駭客。對於想要濫用該公司服務的駭客而言，千萬別心存僥倖。</p> <p>另一種值得留意的是電商網站的信用卡側錄攻擊（Web Skimming），竟然有越南駭客組織XE Group攻擊長達8年之久，到了最近2年才被資安業者發現。再者，則是針對WooCommerce電商網站出現新的攻擊手法，駭客是隨機選上其中1個WordPress外掛程式植入攻擊程式碼，而難以追蹤。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/148259"><span style="color: rgb(0, 0, 0);">Google與代管業者合作摧毀Glupteba殭屍網路<img alt="" src="https://s4.itho.me/sites/default/files/images/Untitled_7_7UC7Ycl_0373047907460940_max-1000x1000.png" style="width: 200px; height: 245px; float: right;" /></span></a></strong></h4> <p>攻擊者濫用Google服務的情況相當常見，但別以為Google只會封鎖遭到濫用的帳號和服務。Google於12月7日宣布，他們與網路基礎設施、代管業者聯手，關閉殭屍網路Glupteba所使用的伺服器主機與網址，同時他們也找出發動攻擊的2名俄羅斯駭客，並向美國法院提告。該公司指出，該殭屍網路粗估超過百萬裝置受到感染，受害者遍布美國、印度、巴西，以及東南亞。Google亦封鎖1,183個遭濫用的Google帳號、870個廣告服務帳號，並關閉用來散布殭屍網路病毒的6,300萬個Google Docs文件。</p> <h4><strong><a href="https://securityaffairs.co/wordpress/125342/apt/nobelium-targets-french-orgs.html"><span style="color: rgb(0, 0, 0);">ATP駭客組織Nobelium鎖定法國組織下手</span></a></strong></h4> <p>法國國家網路安全局（ANSSI）近日指出，他們在2021年2月開始，發現ATP駭客組織Nobelium不斷攻擊當地組織，挾持這些組織的電子郵件帳號，然後用來對其他國家的機構發送武器化的電子郵件。ANSSI表示，他們在分析相關的網路釣魚活動後，發現其策略、技術，以及手法（TTP）與2020年的SolarWinds供應鏈攻擊存在共同之處。</p> <h4><a href="https://www.volexity.com/blog/2021/12/07/xe-group-exposed-8-years-of-hacking-card-skimming-for-profit/"><span style="color: rgb(0, 0, 0);"><strong>越南駭客組織XE Group暗中側錄信用卡長達8年</strong></span></a></h4> <p>資安業者Volexity揭露名為XE Group的越南駭客組織攻擊行動，該組織鎖定飯店、非營利組織、旅遊業等行業下手，利用Telerik UI開發套件等軟體的已知漏洞，在電商網站植入竊密或是側錄信用卡的程式碼，發動Magecart攻擊。這起攻擊最早由Malwarebytes於2020年發現，本次Volexity公布進一步的分析結果，例如，該組織在側錄工具裡，利用JavaScript程式碼的「物件」關鍵字來產生網域名稱，而不會被防毒引擎察覺攻擊行為。</p> <h4><a href="https://blog.sucuri.net/2021/12/woocommerce-credit-card-swiper-injected-into-random-plugin-files.html"><span style="color: rgb(0, 0, 0);"><strong>攻擊者滲透隨機WordPress外掛程式，藉此在WooCommerce商城發動信用卡側錄攻擊</strong></span></a></h4> <p>在許多鎖定WooCommerce電子商城的信用卡側錄攻擊中，駭客會針對特定的WordPress外掛程式下手，藉此植入側錄的程式碼。但最近網站安全業者Sucuri揭露，最近他們看到新的攻擊手法，是駭客會先入侵WordPress網站，並注入後門，日後存取時會掃描網站管理員的帳號列表，使用已通過授權的Cookie來存取網站，再將側錄程式碼隨機加入到其中1個WordPress外掛程式進行攻擊。攻擊者這麼做的目的，就是避免網站管理者監控特定資料夾而察覺異狀。</p> <h4><strong><a href="https://news.sophos.com/en-us/2021/12/02/two-flavors-of-tor2mine-miner-dig-deep-into-networks-with-powershell-vbscript/"><span style="color: rgb(0, 0, 0);">挖礦軟體Tor2Mine運用Windows帳號與密碼，在內部網路橫向感染<img alt="" src="https://s4.itho.me/sites/default/files/images/tor2mineflow-1.png" style="width: 300px; height: 225px; float: right;" /></span></a></strong></h4> <p>資安業者Sophos指出，他們看到最近的Tor2Mine挖礦攻擊行動，攻擊者使用PowerShell程式碼執行挖礦軟體，並停用防毒軟體、竊取Windows帳號與密碼資訊。研究人員提到，Tor2Mine能夠利用竊得的帳號與密碼資訊自我傳播，一旦受害組織沒有徹底清除Tor2Mine，就有可能導致內部網路的電腦重新遭到感染。</p> <h4><strong><a href="https://www.vpnmentor.com/blog/report-ratp-leak/"><span style="color: rgb(0, 0, 0);">法國大型運輸業者曝露近6萬員工個資</span></a></strong></h4> <p>資安業者於12月6日揭露，他們在10月13日發現未受保護的HTTP網頁伺服器，曝露約5.7萬人的個資，資料約從2014年至2019年建置，疑似是用於員工福利入口網站的舊伺服器。經調查此伺服器是法國國營的巴黎大眾運輸公司（RATP）所有，該公司聯繫了RATP和法國電腦緊急應變小組（CERT-FR），後者獲報後，此伺服器不久就獲得保護。</p> <h4><a href="https://165.npa.gov.tw/#/article/risk/284"><strong>本週165高風險賣場名單多達17家，警方受理案件數資生堂最多，有網友反映對方知道訂單資訊</strong></a></h4> <p>針對解除分期詐騙高風險賣場，本周165反詐騙公布的疑似個資外洩示警名單相當多，包括:資生堂、樂購蝦皮、婕洛妮絲、西堤牛排、東森購物、新光影城、和運租車、誠品網路書局、又一村、王品牛排、Allyoung、NARS、OLENS、松果購物、台北山水戶外用品店、長榮鳳凰酒店、夏慕尼。其中，警方受理案件數最多的資生堂，上週已入榜，近期並<a href="https://www.dcard.tw/f/makeup/p/237553322">有網友反映接到假冒資生堂詐騙電話，對方準確說明姓名與訂單金額</a>，目前<a href="https://wp.shiseido.com.tw/pages/securitypolicy">資生堂在官網發布資安聲明與反詐騙警告</a>。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://positive.security/blog/ms-officecmd-rce"><span style="color: rgb(0, 0, 0);">研究人員揭露由預設URI觸發的Windows 10重大RCE漏洞<img alt="" src="https://s4.itho.me/sites/default/files/images/61a7c22d1ef24755736aa8f3_msofficecmd_cover-p-2000.png" style="width: 300px; height: 139px; float: right;" /></span></a></strong></h4> <p>利用Windows預設的統一資源標識碼（URI），來執行通用Windows平臺（UWP）應用程式、微軟Office軟體的手法，近期已有攻擊者用於網路釣魚攻擊，誘騙使用者下載惡意程式，但這種機制潛藏的危機恐怕不止於此。資安業者Positive Security揭露，他們發現一項透過IE 11或舊版Edge瀏覽器（採用EdgeHTML排版引擎），與Teams串連而形成的RCE漏洞，攻擊者可藉由Windows 10、11在ms-officecmd:的URI預設值，而能觸發這項漏洞。該公司指控，微軟獲報後雖然發布修補程式，但未完全解決，迄今Windows 11仍存在相關漏洞。</p> <h4><strong><a href="https://www.synopsys.com/blogs/software-security/cyrc-advisory-goautodial-vulnerabilities/"><span style="color: rgb(0, 0, 0);">開源客服系統GOautodial存在路徑穿越漏洞</span></a></strong></h4> <p>資安業者Synopsys於12月7日，揭露開源的多合一客服軟體GOautodial漏洞，這個軟體在全球擁有超過5萬個客服中心採用，這些漏洞一旦被攻擊者利用，可在未經身分驗證的情況下存取系統配置資料，或是能使用通過身分驗證的使用者帳號，藉由不受限制的上傳文件漏洞，來執行任意程式碼。GOautodial獲報後約於10月下旬修補相關漏洞。</p> <h4><strong><a href="https://salt.security/blog/api-threat-research-graphql-authorization-flaws-in-financial-technology-platform"><span style="color: rgb(0, 0, 0);">金融科技平臺的GraphQL恐存在API授權漏洞</span></a></strong></h4> <p>最初由Meta開發的開源資料查詢語言GraphQL，因具備較為強大、高效、靈活的網頁API開發特質，也被用於金融產業，但專注API安全的資安公司Salt Security指出，他們調查一家不願透露名稱的企業，所建置的大型金融科技（FinTech）平臺，結果在GraphQL的API串接上存在漏洞，導致一旦遭到利用，攻擊者可對收集他人個資，或是提出未經授權的交易請求。</p> <h4><strong><a href="https://blog.sonarsource.com/nodebb-remote-code-execution-with-one-shot"><span style="color: rgb(0, 0, 0);">電子布告欄軟體NodeBB存在重大漏洞，恐引發RCE攻擊</span></a></strong></h4> <p>資安業者SonarSource指出，他們在NodeBB電子布告欄軟體上發現3個漏洞，這些漏洞可能讓攻擊者得以讀取任意JSON檔案，或是透過跨網站程式碼接管使用者帳號，甚至能完全繞過使用者身分驗證，而能夠引發RCE攻擊。NodeBB獲報後發布1.18.5版修補上述漏洞。</p> <h4><strong><a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0026"><span style="color: rgb(0, 0, 0);">SonicWall修補SSL VPN設備多個重大漏洞</span></a></strong></h4> <p>資安業者SonicWall於12月8日發布資安通報，呼籲SMA 100系列的SSL VPN設備用戶儘速安裝修補程式。這次SonicWall一共修補了8個漏洞，其中最嚴重的是未經驗證的記憶體緩衝區溢出漏洞CVE-2021-20038、CVE-2021-20045，CVSS風險層級分別達到9.8分與9.4分。SonicWall表示，目前尚未發現漏洞被用於攻擊行動的跡象。</p> <h4><strong><a href="https://bishopfox.com/blog/catie-web-v-20-04-0-advisory"><span style="color: rgb(0, 0, 0);">老人照護系統CATIE存在本地檔案曝露漏洞，恐導致伺服器被接管</span></a></strong></h4> <p>專精紅隊演練的資安業者Bishop Fox指出，提供老人照護的系統CATIE存在4個本地檔案曝露（LFD）漏洞，這些漏洞存在於20.04版，但研究人員在8月向開發商Status Solutions通報迄今仍沒有得到回覆，Bishop Fox決定公布他們的發現。不過，最新版本（21.06.0）的CATIE是否也存在相同漏洞？Bishop Fox和Status Solutions沒有進一步說明。</p> <h4><strong><a href="https://source.android.com/security/bulletin/2021-12-01"><span style="color: rgb(0, 0, 0);">Google修補46個Android漏洞</span></a></strong></h4> <p>Google於12月6日發布資安通報，指出他們總共在本月的例行修補中修補了46個漏洞，其中，在多媒體框架的漏洞CVE-2021-0967和CVE-2021-0964最為嚴重，攻擊者在不需額外的權限之下，就能外洩設備資料。此外，該公司亦同時針對Pixel裝置修補85個漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.winbond.com/hq/about-winbond/news-and-events/news/winbond_and_karamba_security_comprehensive_cybersecurity_solution_for_automotive_iot_needs.html?__locale=zh_TW"><span style="color: rgb(0, 0, 0);">記憶體廠商華邦電子聯手物聯網資安業者Karamba，針對汽車推出網路安全解決方案</span></a></strong></h4> <p>臺灣DRAM及快閃記憶體製造商華邦電子於12月8日宣布，他們將與物聯網資安業者Karamba Security合作，共同推出適用於汽車的網路安全防護解決方案。該方案由華邦的安全快閃記憶體TrustME與Karamba XGuard搭配，宣稱能讓車廠符合UN R155等汽車網路安全標準的要求。</p> <h4><a href="https://www.synology.com/zh-tw/company/news/article/Synology2022_main/創新永不停歇 ─ Synology 2022 AND BEYOND"><strong>臺NAS廠接連跨入企業資安領域，群暉正式推出C2 Identity與C2 Transfer</strong></a></h4> <p>臺NAS大廠群暉切入SaaS服務領域，在12月9日舉行C2雲服務發表會，宣布四款SaaS服務在臺上線，除了適用個人與企業的C2 backup，以及類似1Password、LastPass的個人密碼管理工具C2 Password，特別是還有企業資安防護的C2 Identity、C2 Transfer，都在11月中下旬陸續上線，並提供歐洲法蘭克福、北美西雅圖與亞太臺灣（11月上線）的資料中心選項。其中C2 Identity，是能整合企業服務的混合身分驗證系統，用戶可使用Google、Apple、Synology帳戶註冊登入。此外，另一NAS大廠威聯通在今年也跨入企業資安領域，推出實體的網路防護設備ADRA NDR，鎖定中小企業需求，提供偵測、分析與隔離的功能。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148252">2021年12月8日</a></p> <p><a href="https://www.ithome.com.tw/news/148225">2021年12月7日</a></p> <p><a href="https://www.ithome.com.tw/news/148199">2021年12月6日</a></p> </div></div></div>
2021/12/9 13:37作者周峻佑https://www.ithome.com.tw/news/148267
眾籌平臺Kickstarter將把後端移至區塊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2009年創立的眾籌平臺<a href="https://www.kickstarter.com/articles/the-future-of-crowdfunding-creative-projects" target="_blank">Kickstarter在9日宣布</a>，將打造一個開源協定，建立該平臺核心功能的去中心化版本，並存活在公共的區塊鏈上，採用的是強調負碳、以行動為優先的金融分散式應用平臺Celo。Kickstarter將成為此一協定的首批用戶，不過Kickstarter尚未公布時程表。</p> <p>Kickstarter為美國的眾籌平臺，協助各種專案向大眾募集資金，從2009年成立迄今，已支援超過20萬個專案，募集逾60億美元的資金。</p> <p>Kickstarter認為，區塊鏈技術是一個可建立去中心化與分散式網路的強大工具，此一網路將造就新型態的經濟及網路組織，它不僅更容易獎勵參與者，也具備強大的組合能力，可藉由不同的軟體來實現創意、功能或使用案例，而這類的協作則需要一個治理系統，來制定提案、決定及解決衝突的規則。</p> <p>因此，Kickstarter將會先成立一個獨立的組織，以發展所需的開源協定，也將設立另一個獨立的治理實驗室，監督該協定的治理資源與政策，最終將發展出多種區塊鏈的治理模式。</p> <p>至於<a href="https://celo.org/" target="_blank">Celo</a>則是一個開源的去中心化金融平臺，讓使用者只要透過手機就能存取各種去中心化的應用程式（dApp）與加密貨幣支付應用。</p> <p>Kickstarter說明，此一開源協定將會存在於公共區塊鏈上，開放合作對象、貢獻者，甚至是競爭對手存取及使用，未來的Kickstarter平臺也會移至該協定上。</p> <p>Kickstarter鎖定的發展方向被外界稱為Web3，Web 1.0指的是全球網路尚處靜態供應資訊的階段，Web 2.0則為由使用者創造網路內容且加強互動的階段，Web 3.0原本指的是語意網（Semantic Web），利用元資料更清楚定義資訊內容，以理解人類查詢的脈絡，Web3有時也會被稱為Web 3.0，不過它的定義更明確，指的是去中心化的網路，也是目前全球網路的主要趨勢之一。</p> <p>Kickstarter並未公布此一開源協定的問世時程，僅說將會在未來幾周發表白皮書，以解釋該協定的技術與規畫。</p> </div></div></div>
2021/12/9 15:02作者陳曉莉https://www.ithome.com.tw/news/148270
特斯拉讓駕駛可以在汽車行進間玩遊戲惹議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nytimes.com/2021/12/08/business/tesla-video-games-nhtsa.html" target="_blank">《紐約時報》</a>（The New York Times）、<a href="https://news.bloomberglaw.com/product-liability-and-toxics-law/teslas-in-dash-video-games-draw-scrutiny-from-safety-regulator" target="_blank">《彭博社》</a>（Bloomberg）與<a href="https://www.reuters.com/business/autos-transportation/us-auto-safety-agency-discussing-video-game-feature-with-tesla-2021-12-08/" target="_blank">《路透社》</a>（Reuters）本周相繼報導，電動車大廠特斯拉（Tesla）在今年夏天釋出的軟體更新讓駕駛可於行進間玩3款遊戲，而美國國家公路交通安全管理局（National Highway Traffic Safety Administration，NHTSA）也在本周表示正在調查此事。</p> <p>特斯拉電動車原本就內建多種娛樂功能，包括遊戲在內，但過去遊戲只能在已經停好車之後才能玩，不過，特斯拉今年夏天的軟體更新卻讓駕駛能在行進間執行3款遊戲。</p> <p>報導指出，這3款遊戲分別是戰機遊戲《Sky Force Reloaded》、接龍《Solitaire》及策略遊戲《The Battle of Polytopia》，在汽車行進間啟用遊戲時，畫面會出現警告，指出只有乘客才能玩，不能是駕駛，但當駕駛按下「我是乘客」的按鍵時，就算是駕駛也能玩遊戲。</p> <p>其實這項功能早在今年8月就<a href="https://www.youtube.com/watch?v=7ZZjF6ZUKCc" target="_blank">被一個YouTube頻道《Cf Tesla》所揭露</a>，但一直到被上述媒體大肆報導之後才引起注意。</p> <p>根據《路透社》的報導，NHTSA正在與特斯拉討論此事，因為允許駕駛在行進間玩遊戲可能會導致駕駛分心而造成交通意外，光是在2019年，美國公路上就有3,142名因交通意外而死亡的案例是分心所造成，而且相信這個數字被低估了。</p> </div></div></div>
2021/12/9 15:56作者陳曉莉https://www.ithome.com.tw/news/148271
SonicWall再修補SMA100系列漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sonicwall.com/support/product-notification/product-security-notice-sma-100-series-vulnerability-patches-q4-2021/211201154715443/" target="_blank">SonicWall近日發布安全公告</a>，它的防火牆產品SMA 100系列出現多項安全漏洞，包含2個CVSS 風險值9.0以上的重大漏洞。</p> <p>2個重大安全漏洞分別是CVE-2021-20038及CVE-2021-20045。<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-20038" target="_blank">前者為一記憶體堆疊（stack-based）緩衝溢位漏洞</a>，存在SMA 100 Apache httpd server mod_cgi元件，可讓未授權攻擊者以nobody身份登入以執行程式碼。<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-20045" target="_blank">CVE-2021-20045</a>則影響SMA 100 RAC_COPY_TO功能，包含多個記憶體堆積（heap-based）及堆疊緩衝溢位漏洞，可使遠端攻擊者以nobody身份執行程式碼。兩者CVSS風險值各達 9.8及9.4。</p> <p>此外還有一個風險值8.8的漏洞<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-20043" target="_blank">CVE-2021-20043</a>，影響SMA100 getBookmarks元件，攻擊者可透過開採該漏洞執行程式碼。本次另外還公告其他5個中到高度風險的漏洞。</p> <p>受這批漏洞影響的產品涵括SMA 200、210、400、410和500v，此外啟動網頁防火牆功能的SMA 100系列裝置也受到影響。SonicWall已經釋出最新版韌體予以修補，該公司雖然表示沒有證據顯示這些漏洞遭到開採，但仍強烈建議用戶儘速更新至最新版軟體。</p> <p>SonicWall並指9.0.0版韌體已經在10月底終止支援，呼籲用戶升級到最新的10.2.x版。</p> <p>這也是SonicWall SMA100系列最新揭露的漏洞。<a href="https://www.ithome.com.tw/news/142429" target="_blank">年初該系列產品漏洞被開採導致SonicWall自家網路遭駭</a>，為此官方分別進行了<a href="https://www.ithome.com.tw/news/142630" target="_blank">第1次</a>、以及<a href="https://www.ithome.com.tw/news/142842" target="_blank">第2次</a>修補行動；<a href="https://www.ithome.com.tw/news/145643" target="_blank">年中又再次遭駭</a>。</p> </div></div></div>
2021/12/9 12:48作者林妍溱https://www.ithome.com.tw/news/148265
微軟測試M1 Mac、Windows on ARM機器OneDrive同步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>M1 Mac電腦用戶之中也有人希望使用微軟OneDrive儲存或同步檔案，現在終於有解。<a href="https://techcommunity.microsoft.com/t5/microsoft-onedrive-blog/onedrive-sync-for-native-arm-devices-now-in-public-preview/ba-p/3031668" target="_blank">微軟本周宣布</a>支援Windows on ARM以及Apple Silicon電腦的OneDrive App未來幾天內將開放測試。</p> <p class="rtecenter"><img alt="" src="https://techcommunity.microsoft.com/t5/image/serverpage/image-id/331913iCBB8B87189A0896E/image-size/large?v=v2&px=999" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>不過目前僅限參加Insider測試方案的使用者測試，微軟未來幾天內會將該功能釋出到Insider頻道。開啟OneDrive的「設定」>「關於」，即可看到為ARM64或Apple Silicon開發的OneDrive App下載連結。</p> <p>OneDrive是最新支援Apple M1 Mac電腦的雲端儲存App。<a href="https://support.google.com/a/answer/7577057?hl=zh-Hant" target="_blank">Google Drive電腦版已經在10月支援Apple M1 Mac</a>，<a href="https://9to5mac.com/2021/10/28/dropbox-m1-support/" target="_blank">Dropbox也正在測試Dropbox M1</a>，預計明年推出。</p> </div></div></div>
2021/12/9 13:17作者林妍溱https://www.ithome.com.tw/news/148266
AWS為美國政府開設新最高機密雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/publicsector/announcing-second-aws-top-secret-region-extending-support-us-government-classified-missions/" target="_blank">Amazon Web Service（AWS）本周宣布</a>開設最高機密（Top Secret Region）最新區域雲，將用以支援美國國防、情報單位或國安機構雲端基礎架構。</p> <p>最新開設的是第二區最高機密區域雲，名為Top Secret-West，和第一朵區域雲Top Secret-East相隔約1000英哩，後者於2014年開設。兩座最機密雲將讓美國國防、情報及國安單位部署多區域雲端架構，且可支援更多分散式應用負載及使用者。</p> <p>AWS表示，AWS區域雲包含多個可用區域（Availability Zones），而每個可用區域又由各自獨立的資料中心組成，各自擁有網路和供電系統，位於不同地點慎選的設施內。同一區域雲的不同可用區可同步複製資料，跨不同區域雲則可進行非同步複製。客戶可以選擇同區域雲，或跨區域雲部署基礎架構以確保資料安全性及營運持續。</p> <p>至於安全性，AWS強調最高機密區域雲符合美國國防及情報機關等級的安全要求。最新的區域雲符合ICD 503、NIST SP 800-53 v4標準。</p> <p>最高機密雲是在AWS政府雲的最頂級服務。AWS 2011年首先推出政府雲AWS GovCloud。除了2014年安全性最高的Top Secret-East外，AWS又在2017年推出安全等級次高的雲服務Secret Region。</p> <p>AWS強化美國最高安全等級的政府雲，部份原因是為了爭取美國國防部的超大專案。<a href="https://www.datacenterdynamics.com/en/news/oracle-and-google-join-microsoft-and-amazon-in-bidding-for-defense-departments-joint-warfighter-cloud-capability/" target="_blank">11月美國國防部宣布</a>最新的國防雲端合約JWCC（Joint Warfighter Cloud Capability），開放AWS、微軟、Google及甲骨文4家業者競爭投標，而不是<a href="https://www.ithome.com.tw/news/145492" target="_blank">原來的AWS及微軟2家</a>。</p> <p><a href="https://www.ithome.com.tw/news/146244" target="_blank">微軟也在今年8月推出</a>最高政府機密雲Azure Government Top Secret，使其具備完整產品線以符合不同安全等級要求。</p> </div></div></div>
2021/12/9 11:58作者林妍溱https://www.ithome.com.tw/news/148263
全球網站流量排名系統Alexa Internet要在明年5月退休了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon旗下的全球網站流量排名系統<a href="https://support.alexa.com/hc/en-us/articles/4410503838999-We-will-be-retiring-Alexa-com-on-May-1-2022" target="_blank">Alexa Internet周三（12/8）宣布</a>，將在2022年的5月1日結束長達25年的經營，且即日起就不再接受新的訂閱。但不管是Amazon或Alexa Internet都未揭露關閉該服務的原因。</p> <p>成立於1996年的Alexa Internet以數百萬名網路使用者為樣本，追蹤全球網站的不重覆訪客與所瀏覽的頁面數量，提供全球網站的流量排行，可用來觀察特定網站的流量趨勢，或是比較不同網站的流量，也被應用在內容研究、關鍵字研究及競爭研究上，儘管排名結果偶有爭議，但它仍為全球最受歡迎的流量排行參考依據。Amazon是在1999年、以當時價值2.5億美元的股票併購了Alexa Internet。</p> <p>Alexa Internet的聲明很簡短，僅說這是個困難的決定，也非常感謝客戶的支持，並未公布結束的原因。</p> <p>該平臺已於12月8日起就不再提供新用戶的訂閱服務，既有的訂閱用戶可以繼續存取至明年5月1日，而相關的APIs則會在明年12月8日退役，另也提供工具協助用戶匯出資料。</p> </div></div></div>
2021/12/9 12:14作者陳曉莉https://www.ithome.com.tw/news/148264
Google破壞Glupteba殭屍網路，控告兩名俄羅斯駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/new-action-combat-cyber-crime/" target="_blank">Google周二（12/17）宣布</a>，已聯手網路基礎設施及代管供應商，關閉了殭屍網路Glupteba所使用的伺服器及網址，還貼上了警告頁面，亦已追蹤到Glupteba幕後兩名俄羅斯駭客的姓名，並向美國法院提出了告訴。</p> <p>Glupteba殭屍程式主要鎖定全球的Windows與IoT裝置，估計約有超過100萬裝置受到感染，而且每天還以感染數千個新裝置的速度增加中，主要的功能包括竊取使用者的憑證與資料，在受到感染的裝置上植入挖礦程式，或是設定代理人以用來展開服務阻斷攻擊，受害者遍布美國、印度、巴西與東南亞。</p> <p>根據Google威脅分析小組（Threat Analysis Group，TAG）的調查，Glupteba多半透過Pay Per Install廣告網路、向流量散布業者購買流量，或是藏匿在破解軟體中進行散布（如下圖），而且還利用區塊鏈打造了備份服務，當已進駐在受害者上的惡意程式無法存取駭客所建立的命令暨控制（C&C）伺服器時，就會透過特定的比特幣錢包位址，存取已加密的備份網域，企圖重新建立與C&C伺服器的連線。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Untitled_7_7UC7Ycl_0373047907460940_max-1000x1000%5B1%5D.png" style="width: 409px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>此外，駭客還對外出售Glupteba服務，包括以盜來憑證存取虛擬機器的能力、代理裝置存取權，或是信用卡號碼，而這些遭竊的信用卡號碼則被用來執行其它的詐騙行動，例如在Google Ads上支付廣告費用，或是購買其它的Google服務。</p> <p>太歲頭上動土的結果是讓TAG與Google的網路犯罪調查小組（CyberCrime Investigation Group）聯手針對Glupteba展開了調查，特別是涉及Google服務的詐騙部份。</p> <p>在這一年來，Google已經關閉了6,300萬個用來散布Glupteba的Google Docs文件，也終止了1,183個Google帳號，908個雲端專案，以及870個與Glupteba有關的Google Ads帳號，還有350萬個用戶在準備下載惡意檔案時，收到Google Safe Browsing的警告。</p> <p>而最近幾天，Google則與網路基礎設施及代管服務供應商合作，關閉了Glupteba所使用的伺服器及網址，並在這些網站上張貼了警告訊息。</p> <p>在追蹤Glupteba的過程中，Google發現了兩名疑似Glupteba背後藏鏡人的俄羅斯人Dmitry Starovikov與Alexander Filippov，<a href="https://storage.googleapis.com/gweb-uniblog-publish-prod/documents/1_Complaint.pdf" target="_blank">並向紐約南區地方法院提出了訴訟</a>，控告Starovikov及Filippov違反《反勒索及受賄組織法》（Racketeer Influenced and Corrupt Organizations Act）、電腦詐欺及濫用法案（Computer Fraud and Abuse Act，CFAA）、《電子通訊隱私法》（Electronic Communications Privacy Act，ECPA），以及干擾商業關係與不當得利等。</p> <p>Google指出，目前駭客已無法操縱Glupteba殭屍網路，雖然區塊鏈的分散式特性讓Glupteba殭屍網路可以快速復活，但Google將與產業及政府密切合作，共同打擊這類的行為，即便之後Glupteba死而復生，網路也能獲得更好的保護。</p> </div></div></div>
2021/12/9 10:33作者陳曉莉https://www.ithome.com.tw/news/148259
Meta發表Stars Store，讓用戶繞過行動程式市集購買給創作者的獎勵星星
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta自2019年開始測試<a href="https://www.facebook.com/creators/tools/stars" target="_blank">Facebook Stars服務</a>，以讓臉書用戶能夠以星星來獎勵創作者，當時這些星星必須透過行動程式購買，代表程式市集也能抽佣，不過，<a href="https://about.fb.com/news/2021/12/support-creators-with-stars-fest-on-facebook/" target="_blank">Meta在本周發表了Stars Store</a>，讓用戶直接透過該站來購買星星，繞過了程式市集的拆帳機制。</p> <p>在Stars Store上，使用者可以Facebook Pay購買星星，0.99美元可購買45個星星（平均一個星星為0.02美元），購買愈多星星的平均單價愈低，例如一次購買6,400個星星的費用為99.99美元，單價即下降至0.0156美元。另一方面，創作者每收到一個星星，就可獲得0.01美元的獎勵。</p> <p>過去臉書僅支援直播內容收取星星，現在臉書則宣布將擴大到動態消息（News Feed）、Facebook Watch及遊戲上，預計明年會入駐短影音服務Reels。</p> <p>此外，Meta也宣布即日起至今年的12月31日為星星節（Stars Fest），將限時推出購買星星的優惠，例如原本0.99美元只能購買45個星星，現在則可額外獲得35個星星。</p> <p>不過，<a href="https://m.facebook.com/star/" target="_blank">臺灣的星星訂價策略</a>與美國不太一樣，新臺幣8元就能買25個星星，限時優惠則多了2個。</p> <p>為了推廣星星在臉書平臺上的使用，Meta也宣布要在未來幾個月送出價值300萬美元的免費星星予使用者，讓使用者用以與創作者互動。</p> </div></div></div>
2021/12/9 10:39作者陳曉莉https://www.ithome.com.tw/news/148260
AWS Well-Architected加入第六支柱永續性，要改善用戶系統的能耗與執行效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其最佳實務框架<a href="https://aws.amazon.com/tw/blogs/aws/sustainability-pillar-well-architected-framework/">Well-Architected加入永續性支柱</a>，使得企業能夠建立低能耗高效率的基礎設施，官方提到，與典型的本地端部署相比，採用雲端永續性可讓用戶降低80％的耗能。</p> <p>AWS在2015年時發布了Well-Architected Framework，該框架包括設計原則、問題和跨多個支柱的最佳實務，這些支柱有卓越營運、安全性、可靠性、效能達成效率和成本最佳化。在今年的re:Invent大會，AWS根據其企業永續政策，在Well-Architected Framework加入了第六支柱永續性支柱。</p> <p>永續性支柱目的在於評估工作負載的設計、架構和實作，以減少系統能源消耗提高運作效率，該支柱不僅是一個簡單的清單，而是可作為追蹤實務永續性政策和最佳實務進度的工具，協助企業達成更加永續的未來。</p> <p>在AWS雲端的責任共同承擔模型中，同樣適用永續性發展，AWS負責整體雲服務的永續性，而企業則負責雲服務內的永續性。與典型的本地部署相比，雲端永續性可以使AWS的用戶，節省將近80％的能源使用量，官方解釋，由於雲端擁有更高的伺服器利用率、能源和冷卻效率，以及特別的資料中心設計，再加上AWS預計在2025年的時候，使用100％的再生能源，因此能夠達到此一目標。</p> <p>AWS希望透過導入永續性支柱，協助企業提高在雲端中的永續性，AWS表示，這是一項持續且針對所有類型工作負載，改善能源效率的工作。在實務上，永續性支柱能夠協助開發人員和雲端架構師進行權衡，強化模式與最佳實務，並且避免採用反面模式。</p> <p>具體來說，該支柱使得企業更好地了解工作負載的狀態，和定義的永續性目標所帶來的影響，還有針對這些目標的評估方法，甚至是當無法直接評估的地方予以建模。除了在雲端建構永續性工作負載之外，企業也可以使用AWS技術來解決各種永續性問題，像是使用Amazon Monitron來偵測異常行為，進行預防性維護，避免因工業設備故障導致環境事故。</p> <p>永續性支柱的設計原則，包括了解影響、建立永續目標、最大程度提高利用率、採用高效能硬體和軟體、使用託管服務，並且減少雲端工作負載對下游造成的影響。永續性最佳實務的範例，像是依據用戶的位置，最佳化工作負載的地理配置，或是實作資料分類政策，也可以是最小化跨網路的資料移動等。</p> </div></div></div>
2021/12/9 10:51作者李建興https://www.ithome.com.tw/news/148253
微軟發布Android、Linux系統效能分析工具組
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布了一套適用於Linux、Android和Chromium瀏覽器的<a href="https://devblogs.microsoft.com/performance-diagnostics/new-tools-for-analyzing-android-linux-and-chromium-browser-performance/">效能分析工具</a>，其源自於過去15年，微軟用於分析自家作業系統Windows效能的工具集，能夠提供許多有用的功能、方法和生態系。該工具集以開源.NET Core，和新的microsoft-performance-toolkit-sdk為基礎，能夠跨平臺，在任何.NET Core支援的作業系統執行。</p> <p>這些追蹤工具能夠提供深度分析，讓用戶掌握作業系統和應用程式碼的行為，可用於各種診斷和效能分析場景，當分析場景牽涉Windows，還能夠選擇結合Windows效能追蹤，在同一時間軸中共同分析。</p> <p>該工具組在Linux中，用戶可以使用LTTng、perf和Perfetto三種工具，而Android和Chromium，包括Chrome和Edge Chromium，則支援Perfetto。LTTng記錄Linux核心CPU調度、程序、執行緒、磁碟、系統呼叫和檔案事件，而perf能針對Linux CPU進行採樣，Perfetto功能則是記錄Android和Chromium的CPU調度、採樣和頻率，以及FTrace、Android日誌、通用事件和GPU計數器等。</p> <p>微軟提到，只需要幾行程式碼，用戶就可以在命令列工具使用自定義程式，處理或是傾倒事件。而且在任何作業系統的程式和GUI，都可以使用Microsoft-Performance-Tools SDK以及Linux-Android擴充套件來處理事件，此外，當用戶選擇在Windows機器上分析追蹤，該工具包和Windows效能分析器良好整合，因此還可使用強大的GUI工具。</p> </div></div></div>
2021/12/9 10:53作者李建興https://www.ithome.com.tw/news/148254
Django 4.0新增支援Redis快取後端，還改變預設時區實作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門Python網頁框架Django，開發團隊趕在2021年末，發布了第四主要更新版本，這個版本有大量新功能，有三個亮點特別值得注意，第一是使用新的RedisCache後端，提供內建Redis快取支援，第二則是Forms、Formsets和ErrorList現在使用模板引擎渲染，來簡化自定義工作，第三個亮點則是Django現在使用Python標準函式庫zoneinfo作為預設時區實作。</p> <p>Redis是一個記憶體資料庫，能夠被當作快取使用，而在<a href="https://www.djangoproject.com/weblog/2021/dec/07/django-40-released/">Django 4.0</a>，開始提供內建Redis網頁應用程式快取支援，在使用之前，用戶需要設定好Redis伺服器，並且安裝Python綁定，而redis-py則是Django 4.0原生支援的綁定介面。</p> <p>而Django現在預設使用Python標準函式庫中的zoneinfo，官方提到，這是從pytz轉換到zoneinfo的下一階段實行作法。在Django 3.2時，官方允許開發者使用非pytz時區，而到了Django 4.0，zoneinfo則成為預設實作，目前已經棄用pytz支援，並預計在Django 5.0中正式移除。</p> <p>官方提到，zoneinfo是Python 3.9中Python標準函式庫的一部分，如果用戶使用的是Python 3.8，則backports.zoneinfo套件會在開發者安裝Django時一併安裝。目前時區的選擇、日期時間表單和模板中的當前時區轉換，還有UTC日期時間操作都不受預設時區實作改變影響。</p> <p>但是當開發者使用的是非UTC時區，並且還在使用pytz normalize()和localize ()API，或是其他TIME_ZONE設定，就需要重新檢視程式碼，因為pytz和zoneinfo並不完全相等。官方提供開發者搬遷的寬緩時間，使用過渡USE_DEPRECATED_PYTZ配置，就可以在Django 4.0中繼續使用pytz，但是該配置會在Django 5.0時刪除。</p> <p>另外，由zoneinfo作者所開發的pytz_deprecation_shim套件，可以協助開發者搬遷程式碼，更順利地銜接使用zoneinfo，該套件提供了墊片層，讓開發者安全地刪除pytz，並且有詳細的搬遷指南，說明搬遷到zoneinfo API的細節。</p> <p>官方提到，隨著Django 4.0的釋出，Django 3.2的主要支援已經結束，最後一個小錯誤修復版本為3.2.10。由於Django 3.2是一個長期支援版本，因此在2024年4月之前，開發者都還是會收到安全性和資料丟失修補程式，另外，Django 3.1的擴充支援則正式結束，最終安全版本為3.1.14，官方鼓勵所有Django 3.1用戶都能升級到Django 3.2或是更高版本。</p> </div></div></div>
2021/12/9 10:55作者李建興https://www.ithome.com.tw/news/148255
開源的分析暨視覺化應用Grafana緊急修補出現攻擊程式的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源的分析暨互動式視覺化應用<a href="https://grafana.com/blog/2021/12/07/grafana-8.3.1-8.2.7-8.1.8-and-8.0.7-released-with-high-severity-security-fix/" target="_blank">Grafana在本周二（12/7）緊急釋出更新</a>，以修補已出現攻擊程式的CVE-2021-43798漏洞。</p> <p>Grafana可連結各種資料來源，並提供圖表、圖形或警報，為監控堆疊的熱門元件，經常與時序資料庫、監控平臺、資安事件管理平臺及其它資料來源一起使用。</p> <p>資安研究人員是在12月3日通報Grafana，指出該應用含有一個目錄穿越（Directory Traversal）漏洞，允許駭客存取本地檔案。Grafana內部確認該漏洞波及Grafana 8.0.0 Beta1至Grafana 8.3.0版，而且只要預裝Prometheus或MySQL等外掛的Grafana實例都遭到牽連，惟Grafana Cloud並未受到影響。</p> <p>Grafana原本計畫要在7日通知客戶，14日才會對外發表，然而，CVE-2021-43798漏洞資訊不但先行曝光，相關的概念性驗證攻擊程式也現身於Twitter及GitHub，使得Grafana決定提前對外公開，並建議使用者儘速部署已修補該漏洞的Grafana 8.0.7/8.1.8/8.2.7/8.3.1。</p> </div></div></div>
2021/12/9 10:59作者陳曉莉https://www.ithome.com.tw/news/148261
微軟祭出Microsoft 365折扣方案，吸引Office盜版軟體用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為「招降」Office 365盜版用戶，微軟近日針對使用非正版Office的個人及家庭用戶，<a href="https://www.microsoft.com/en-US/microsoft-365/buy/get-genuine-b" target="_blank">在美國祭出Microsoft 365優惠方案</a>，首年折扣50%。</p> <p>微軟以盜版軟體無法接獲重要安全及功能更新，可能引發資料及檔案毁損、惡意程式攻擊為由，企圖說服盜版Office用戶改用正版軟體。促銷產品為Microsoft 365家用及個人版。家用版包含Office應用程式（Word、Excel、PowerPoint、OneNote、Outlook）、Skype以及6TB OneDrive雲端儲存以及手機版安全功能、Family Safety 行動應用程式定位置警示等，最多允許6人使用，全年99.9美元或單月9.99美元。個人版提供的Office服務相同，但僅限1TB雲端儲存，全年69.9美元或單月6.99美元。在促銷方案下，兩產品針對年付方案提供第一年折扣50%。不過臺灣版並未推出此一促銷方案。</p> <p>微軟積極拉抬訂閱版雲端產品銷售，不過近日被人詬病接連調漲價格。尤其是企業版，繼8月宣布企業版Office 365依方案不同，2022年3月1日起將漲價8.5%到20%，<a href="https://www.ithome.com.tw/news/148243" target="_blank">媒體又報導</a>微軟醞釀2022年7月起，調高由雲端合作夥伴銷售的Microsoft 365企業版價格，月付方案客戶可能面臨20%的漲幅。至於年付型方案，根據新實施的商務體驗（New Commerce Experience，NCE）方案，如果一年期間內使用者席次（seat）減少，剩下期間也無法縮減用戶授權。</p> </div></div></div>
2021/12/9 11:15作者林妍溱https://www.ithome.com.tw/news/148262
特力集團如何以IT驅動轉型，帶領貿易與零售兩大核心向前衝
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相較於大眾耳熟能詳的特力屋、HOLA特力和樂等國內零售通路，以貿易起家的特力集團，海外市場的發展更是另一項核心業務，合作的海外供應商超過4千家，更早就走進沃爾瑪（Walmart）、亞馬遜（Amazon）、好市多（Costco）等跨國零售通路，來供給各式貨品。</p> <p>「貿易最難做的是如何用最好的價格、品質，以最快速度採購企業客戶最想要的產品與服務。甚至，不只作為供應商，特力已成為歐美大型零售企業重要的後勤單位之一，替客戶進行供應鏈控管。」特力集團資訊長黃淑華點出這家大型跨國貿易商非用IT不可的原因。</p> <p>比如，特力集團（以下簡稱特力）的貿易自動化系統，串接了沃爾瑪各分店的POS系統，可以直接取得各門店商品的庫存資訊。沃爾瑪只需要設定需求，當安全庫存到達一定水位時，特力就會自動為沃爾瑪進行補貨，從分店下單到安排船運與貨運等全套作業流程，全都仰賴於雙方系統高度自動化串接，沃爾瑪根本無須擔心門店何時缺貨。</p> <p>黃淑華坦言，要走進大型零售企業，對特力來說並非一件容易的事。尤其，作為一家跨國貿易商，合作的供應商大多位於中國、東南亞等地，但大型零售企業客戶幾乎在歐美地區，兩端距離遙遠的狀況下，如何有效進行供應鏈管理，成為業務端與資訊端的一大挑戰。</p> <p>為讓貿易系統的資訊流串接更有效率，這家大型跨國貿易商，在2017年展開了IT大改造工程，先盤點出集團旗下貿易與所有分公司的資訊流與資訊系統現況，再花2年時間展開一連串的IT基礎設施布局，從網路、資訊底層結構的清查與補全，打造行動辦公室，到汰舊、優化地端機房，甚至將大型主機設備轉換為開放式系統，更建置了雲端備援機房，來降低公司營運中斷的風險。</p> <p>不只重新改造基礎設施，黃淑華表示，特力在2018年開始重新檢視應用系統端，目的是建置一套可支援全球供應鏈的完整資訊體系。第一步，先從使用多年的美國應用系統開始優化。當時，為拓展美國倉庫供貨動能，除原有西岸倉庫外，特力更決定在美國東岸蓋起一座新倉庫。「我們只有1年多的時間。」黃淑華回憶，2018年接到在東岸設立新倉庫的任務時，高層就訂下隔年11月需展開試營運的要求。當時，IT團隊決定將美國端的應用系統、東岸與西岸的倉儲管理系統，及ERP系統等海外系統，都改為集中到臺北總部重新建置系統。</p> <p>特力不只將美國端系統改為與集團同樣的SAP解決方案，考量到未來整體營運需與臺北總部密切合作，黃淑華表示，他們還將美國端系統搬上公雲上的私有雲平臺，並與臺北總部地端的私有雲，以跨混合雲模式進行協作。甚至，臺北總部的業務與IT組成團隊直飛美國，與美國當地業務與IT合作，一待就是整整半年，日以繼夜完成這項大工程，才讓東岸倉庫如期展開試營運，並於隔年2月正式切換系統。她指出，因導入過程深入了解美國端的運行方式，因此，後續在美國當地就不用聘請許多IT人力來維運系統，能從總部IT集中控管的作法，來支持與營運管理海外系統。</p> <p><span style="font-size:28px;"><strong>特力資料治理作法</strong></span></p> <p>黃淑華表示：「貿易是一項非常需要資料治理（Data Governance）的業務。」像是在特力的跨國貿易作業流程中，零售企業客戶在美國下單後，訂單拋回臺北總部系統，再由總部轉給供應商，最後再從供應商循著原路完成訂單。這個過程每一段都涉及資料的處理和管理。</p> <p>趁著打造美國新應用系統時，特力召集臺灣總部與美國分公司相關人員，將所有商品主檔、客戶主檔、訂單、會計科目、供應商等資料全部集中梳理，重新定義資料的管理分工，哪些需要由總部集中管理，而當地分公司又得自行維護哪些資訊，也重新評估資料儲存地點。</p> <p>黃淑華表示，多年前特力已成立PMO專案管理辦公室，來統籌跨集團各業務單位主管、IT單位主管的協調合作，層級更直達營運長。她提到，特力資料治理制度相當嚴謹，除必須區分出總部、分部的管理層級外，在總部的資料更分為不同區塊，如財務專屬、船務專屬、客戶服務專屬的資料，不論是權限控管或資料維運機制上，都訂定一套嚴謹的簽核程序與管理辦法，「誰也不能越權亂動別人的資料。」她表示，不論在貿易端或零售端，都得遵循同一套資料治理作法，只要有新系統或新的資訊流，內部便會重新審視一次資料治理作法。每隔一年也會定期評估資料的品質，也蒐集業務端的回饋，重新調整資料控管機制與權限管理作法。「做到如此，才能確保整體資訊的循環良好。」</p> <p>「資料治理中更重要一環是資料安全（Data security）」黃淑華特別強調：「商業機密格外需要保護」，以貿易端來說，以往，一般以為成本單價是相當機敏的數據，卻容易忽略若以庫存金額除以庫存數，也能推算出成本單價，這兩項也是需要視同機密來保護。「一旦資料安全沒有做好，價格外流就糟了」，因此，特力在貿易端控管，從資料倉儲、資料分析到分析報表，甚至是Cube報表生成服務上的資料讀取，皆執行相當嚴謹的卡控與控管。今年，更花了半年時間將資料倉儲裡所有帳號權限控管全數盤點一次，定義出資料機敏的程度，分為機敏資料、次機敏資料、非機敏資料，並導入新機制來記錄各種機敏資料的存取行為，還搭配修訂權限控管的管理辦法，更徹底落實資料安全。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/19_(%E6%8A%BD)%E9%BB%83%E6%B7%91%E8%8F%AF_%E7%89%B9%E5%8A%9B%E9%9B%86%E5%9C%98_%E8%B3%87%E8%A8%8A%E9%95%B7_20211029.jpg" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>特力集團資訊長黃淑華表示，導入新技術時得先試行一個成功案例來說服IT，當團隊成員享受到採用新技術帶來的好處，且建立起信心，後續在推動上就能更為快速。</strong></span></p> <p><span style="font-size:28px;"><strong>貿易系統流程模組化、服務化</strong></span></p> <p>不只補足了基礎設施與重新打造應用系統，黃淑華表示，在供應鏈控管部分，特力早在2016年時，就開始思考如何將貿易系統流程服務化、模組化，打破過往提供涵蓋全部流程作業的整套系統作法，改為讓貿易客戶與供應商合作夥伴可按照需求自選，自訂要採用的服務項目，比如只用產品採購與管理、貿易品質管理服務（QA/QC）等，最終目標是打造出供應鏈合作夥伴的一站式平臺服務，內有多種不同的服務項目。</p> <p>這些年下來，特力逐步拆解大型系統中所有貿易資訊流與業務端的作業系統，在貿易端拆解出訂單管理、供應商管理、船務、應收帳款與供應商融資、品質控管等項目來逐一發展模組化系統。她表示，已上線供應商管理平臺、貿易品質管理服務平臺，下一步將展開訂單管理、船務的服務拆解與模組化。</p> <p>然而，「要動訂單管理，相當可怕。」黃淑華坦言，貿易核心就在訂單，尤其，特力的訂單系統與美國大型零售客戶已透過電子資料交換方式來接收訂單，並自動執行後續的作業流程。所以在訂單管理模組化的改造，必須更為嚴謹，才不會影響到這些跨國客戶。她表示，IT團隊得重新梳理所有訂單流程，訂出一套標準化的訂單控管程序與方法，並透過新技術將流程重新打造一次。另外，也藉機將與客戶串接的訂單機制控管，改造的更為即時、自動化。</p> <p><span style="font-size:28px;"><strong>用微服務打造零售行動數位會員卡</strong></span></p> <p>特力集團第二大核心是零售業務，也是特力勇於嘗試新技術的落地場景。2018年，特力整合會員制度，上線愛家卡會員App服務。黃淑華表示，這款行動數位會員卡一開始就選擇以新興的微服務架構來開發。IT團隊只花了100天，同時上線自行建置的App與API管理平臺（APIM），目前，這個APIM上註冊了數百支API來串接不同的服務。她解釋，零售查詢的項目相當細，在拆解服務的過程中得拿捏顆粒度的大小，比如，點數查詢就是需要拆解出來的服務。IT團隊也會透過已提供出來的終端服務項目，來檢視服務的顆粒度切得適當與否，作為不斷反饋的機制。</p> <p>黃淑華認為，零售端面臨大量即時性資訊及市場變化，必須不斷的調整，一開始選擇從App導入微服務，主要是試水溫，更要藉由這樣的機會將新技術的觀念導入全體IT，「當試行成功，團隊享受到採用新技術帶來的好處後，就會建立起信心，後續要推動到其他IT系統就能更快，」她說。</p> <p>甚至，特力在2018年全面盤點所有開發技術與規範，並要求IT人員在所有新系統開發，必須採取同一套技術標準。她舉例，以往，特力的貿易系統是採用傳統的Java來開發，隨著Java進步到不同層次，特力在Java端的開發技術，使用了Spring框架以及Angular技術來開發，來讓使用體驗做得更好。現在，不管是開發貿易系統或零售系統，IT採用的開發技術都已統一，如此一來，黃淑華表示：「所有工程師的技術職能全部是共用的，在人力的調度上能夠為彈性」，也因為使用的技術一致，IT團隊就不會被侷限一定得找到特定技術開發的人才，又只能做同一件事的狀況。</p> <p><span style="font-size:28px;"><strong>善用數據分析發展新商業模式</strong></span></p> <p>訂定出集團基礎應用系統的標準開發技術後，特力這2年開始大力發展數據。2018年率先推動零售資訊系統數位轉型，建立營運中臺架構機制，將服務的概念與架構逐步拆出。當時，特力並沒有接著建置數據中臺，而選擇先延用既有的資料倉儲、資料市集與資料分析平臺，結合CRM進行精準行銷推薦，近期正嘗試用數據化、科學化方式來推薦如枕頭、床墊等寢具商品。甚至，特力在零售端與貿易端，都利用銷售資訊，如庫存狀況、銷售族群，進行數據彙整分析再去識別化後，提供給供應商回頭檢視並調整自家生產的商品，或提供給特力自家商品開發與採購單位來了解各地區消費者偏好，進而設計產品。這正是特力運用數據加值後，發展出的新商業模式。去年，特力開始發展零售數據中臺，目的是結合線上數位軌跡與線下交易記錄，將客戶360度資訊彙整到數據中臺，今年上線的首個試行應用是熟客經營與管理。這也將是特力展開零售端數據創新應用的第一步。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>特力集團資訊長黃淑華</strong></p> <p>學歷：中山大學資訊管理學系畢業</p> <p>經歷：曾服務於電信業、半導體製造業、科技服務業，在系統開發、基礎架構等領域，具有豐富經驗與歷練。2018年加入特力集團，擔任應用系統部副總經理，負責零售資訊系統的規畫及建置。隔年，晉升為特力集團資訊長，統籌、推動集團資訊系統轉型與發展</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>特力集團</strong></p> <p>●成立時間：1978年8月</p> <p>●主要業務：臺灣地區最大專業貿易商、最大家居家飾通路業者，事業體橫跨貿易、零售、電子商務、商品設計、製造、營建</p> <p>●總裁：何湯雄</p> <p>●董事長：李麗秋</p> <p>●總經理：李麗秋</p> <p>●年營收：逾新臺幣417億元（2020年）</p> <p>●資本額：50.99億元</p> <p>●員工人數：約4,300人（截至2020年底）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門名稱：資訊系統管理部</p> <p>●直屬主管：營運長何采容</p> <p>●資訊部門主管：黃淑華</p> <p>●資訊部門人數：135人</p> <p>●每年部門預算：約為營收之1.2%～2.0%</p> <p>●資訊部門分工：應用系統部、企業資源部、基礎架構部</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2017年：整合零售線上線下通路，推出特力家電商購物網站；打造行動辦公室；汰舊優化地端機房及建置雲端備援機房</p> <p>●2018年：整合會員制度，推出特力愛家卡會員App服務；推動虛實融合，實現電子貨架購物服務；導入RPA機制，全面提升營運效率</p> <p>●2019年：推動零售資訊系統數位轉型，建立營運中臺架構機制，建置倉儲物流管理系統，提升客服管理平臺銷售服務體驗；汰舊優化美國貿易系統，建置東西岸倉儲管理系統</p> <p>●2020年：建立零售數據中臺；擴建勞務及派工管理平臺；實現貿易系統流程模組化，打造供應鏈合作夥伴一站式平臺服務；建立商品圖文資系統</p> <p>●2021年：推出特力Pay錢包及支付服務、熟客經營服務及情境式購物；上線貿易品質管理服務平臺</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/01_nei_ye_huang_shu_hua_te_li_ji_tuan_zi_xun_chang_20211029.png" width="960" height="420" alt="" title="特力集團資訊長黃淑華" /></div></div></div>
2021/12/9 07:00作者李靜宜https://www.ithome.com.tw/people/148129
型態提示、重載與Optional
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從Python 3.5起，正式納入了型態提示（Type Hints）特性，後續各個版本，也不斷增強改進，相關工具至今的支援，已有很高的成熟度，除了最初Python開發者都熟悉的mypy檢查工具（也是typing模組主要的貢獻來源），PyCharm之類的整合開發環境必然是支援的，VSCode也可以安裝新的語言伺服器Pylance，透過設定，令整個專案全面獲得靜態時期的型態檢查能力。</p> <p>對開發中型或大型程式而言，若全面性啟用型態檢查，並在公開介面上標註型態，對程式的維護性有非常大的助益，而且是多個面向的，像是：撰寫程式碼時的自動提示、增加程式碼的可讀性、相關重構工具的進一步支援，或是變動函式簽署就能檢查出錯誤等，在嘗試過型態檢查的便利與彈性之後，在參數、引數、變數等各方面，自然而然地，都會開始考慮起型態的問題，以及相關設計原則。</p> <p><span style="font-size:28px;"><strong>參數列上的Optional？</strong></span></p> <p>大部份情況下，靜態定型語言中怎麼宣告型態，拿來套用在型態提示上都不會有什麼問題，不過，我最近看到某個函式的參數預設值為None，這表示該參數可能或沒有值，而呼叫函式時的預設值是後者，對於有或沒有，在Python中，通常建議使用typing模組的Optional來標註，但我在標註param: Optional[Type] = None後，心裡卻出現違和感。</p> <p>因為Java中也有Optional類別，而它有個使用原則「應該只作為傳回值，不應該用在參數或類別欄位」，事實上，支持此一原則的理由有好幾個，首先，客戶端在呼叫方法時，doSome(Optional.of(value))或是doSome(Optional.empty())，在撰寫或可讀性上，不但沒有幫助，甚至還有點妨礙。</p> <p>另外，參數若是Optional型態，該參數接受到null也是合法的，這麼一來，原本希望參數值彰顯出有或沒有，現在卻有三個可能性，分別是：「null、包裏值的Optional、沒有值的Optional.empty()」，為了避免NullPointException，在方法實作中，勢必要針對null進行檢查，才能進一步確認是否可呼叫Optional的相關方法，但這又使得實作流程變複雜。</p> <p>我們在網路上搜尋「java Optional in parameter」，可以找到更多的文件與案例，以及改善的方式，簡而言之，就Java而言，若是參數可能接受null，此時使用Optional取代並不適合，應該改用重載（overload）。畢竟當參數接受null時，既有的方法實作中，必然是有一道替代流程，這時可以重載出另一個方法，避免使用者誤用，或者是避免他們寫出doSome(null)這種可讀性不佳的呼叫。</p> <p><span style="font-size:28px;"><strong>參數列上的None？</strong></span></p> <p>只不過，Java的設計原則可以套用在Python嗎？Python的Optional只是個型態標示，並非真的有個Optional實例會用來包裹值，接受None的函式在實作時，檢查流程並不會因此而增加，基本上並不會有Java中被指定null之類的問題。</p> <p>然而，要進一步思考的是，Python中函式的參數預設為None的必要性。對於動態定型語言來說，參數指定預設值，除了方便使用者只需修改自訂值之外，還可以用來模擬重載，若參數可能接受None，與其讓使用者以doSome(None)方式呼叫，不如將參數預設值設為None，如此一來呼叫時就可以使用doSome()的方式。</p> <p>因此，在Python中，經常可見參數預設為None的情況，在型態提示時，標註param: Optional[Type] = None合適嗎？可以先想想看param: Optional[Type]表示什麼？這表示只能用doSome(None)或doSome(value)，不能用doSome()，為了可以用doSome()呼叫，才設定預設值為None，對吧！</p> <p>此時何不直接標註為param: Type = None？就語義來說，型態標註表明param接受Type型態的值，而預設值為None，表示param可能有或沒有值，這跟標註為param: Optional[Type] = None，效果也是相同的（若標註為param: Type，預設不能接受None）。</p> <p>那麼，Optional出現在參數的標註時，就只剩下一個作用了，也就是標註為param: Optional[Type]時，若真的沒有值，呼叫時就必須明確指定None，這就要看客戶端呼叫時，要求明確指定None是否有助於可讀性了，但這種情況不多，我想得到的，大概會是某個寫入資料表欄位的方法，想明確表明該欄位被寫為None的這類時機吧！</p> <p><span style="font-size:28px;"><strong>Python中的重載？</strong></span></p> <p>想要求客戶端呼叫函式，在參數沒有值時必須明確指定None的情況不多，因此若想將參數列標註為Optional時，可以思考一下必要性，例如，參數有預設值None時，可以直接標註param: Type = None，而不是param: Optional[Type] = None，另一個思考的方向是，有辦法像Java的做法，透過重載來避免設定None為預設值嗎？</p> <p>Python的typing模組提供overload裝飾器，被裝飾的函式可以僅定義函式簽署，但無法在其中進行實作，它們主要是作為型態檢查之用，參數的型態與順序必須對應一個真正的實作函式，例如，<a href="https://bit.ly/3bUI2uc" target="_blank">可參考我的_plugin.pyhull2D方法的原始碼</a>，它們是底下實作的重載版本：</p> <pre> def hull2D(self: T, points: Iterable[VectorLike] = None, forConstruction: bool = False) -> T:</pre><p>那麼，你會喜歡哪個版本呢？就閱讀原始碼來說，重載的寫法，列出了方法套用時可行的幾個案例，我個人認為易讀易懂一些，只不過原始碼是否易讀易懂，有時很主觀，然而實際上，重載的版本與非重載版本在型態檢查上，還有一點極大的不同，那就是型態檢查時，函式呼叫指定的引數，必須符合重載時宣告的函式簽署。</p> <p>也就是說，_plugin.py中重載的兩個函式簽署是hull2D(self: T)與hull2D(self: T, points: Iterable[VectorLike] = ..., forConstruction: bool = ...)，這表示，在型態檢查時，只能用hull2D()或者是hull2D(points)，雖然hull2D真正的函式實作中，points預設值是None，然而使用hull2D(None)呼叫的話，型態檢查時會過不了。</p> <p>因此，若參數預設值會是None的情況，非重載的版本會允許hull2D(None)的呼叫方式，若你不希望客戶端這麼呼叫，可以改以重載方式來設計，執行型態檢查時，就會出現錯誤來提醒客戶端，獲得原始碼易讀之外的實質效益。</p> <p>當然，若是客戶端沒有執行型態檢查，完全以動態定型觀點使用Python，就仍然能夠進行hull2D(None)呼叫，如果真的不想客戶端這麼做，建議就別模擬重載了，直接定義名稱不同的函式！例如，hull2DFrom(points,forConstruction=True)，以及hull2DInternal(forConstruction=True)，不要使用None作為參數預設值了。</p> <p><span style="font-size:28px;"><strong>Optional只用在傳回型態</strong></span></p> <p>如果你查詢Python官方文件<a href="https://bit.ly/3qqlw4S" target="_blank">有關於typing.Optional的說明</a>，會發現其中的範例，也是標註了arg: Optional[int] = None，然而，這不能說是錯，只不過作用上與arg: int = None沒兩樣就是了。</p> <p>綜上所述，在Java領域中「Optional只用在傳回型態」的建議，其實也適用於Python，如果打算在參數列上標註Optional，可以多思考一下其他的可能性，例如重載，或者是不模擬重載，不使用None作為參數預設值等其他的設計方式。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%9E%8B%E6%85%8B%E6%8F%90%E7%A4%BA">型態提示</a></div><div class="field-item odd"><a href="/tags/type-hints">Type Hints</a></div><div class="field-item even"><a href="/tags/%E9%87%8D%E8%BC%89">重載</a></div><div class="field-item odd"><a href="/tags/optional">Optional</a></div><div class="field-item even"><a href="/tags/python-35">Python 3.5</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item even"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div></div></div>
2021/12/9 07:00作者林信良https://www.ithome.com.tw/voice/148136
儲存管理新變革，HPE提供更完整的雲端化儲存管理服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-dscc.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對來勢洶洶的公有雲儲存服務，傳統儲存廠商持續嘗試在本地端儲存領域，提供類似雲端服務的特色，例如，訂閱或代管型式的採購模式、雲端化的系統管理服務，以及本地端儲存陣列的雲端化版本等，在產品採購、系統管理與儲存產品等3方面，都逐漸朝向「雲端服務化」。</p> <p>身為一線儲存大廠的HPE，近年來積極往前述幾個方向發展，先後推出了GreenLake的訂閱式採購服務，以及Cloud Volumes雲端儲存服務，分別提供了雲端化的採購與儲存產品。</p> <p>而在儲存管理機制的雲端化方面，HPE除了原本發展的InfoSight平臺外，再結合新推出的Data Services Control Console（DSCC）雲端管理平臺，共同構成完整的雲端化儲存管理架構。</p> <p><span style="font-size:28px;"><strong>提供完整的雲端儲存管理</strong></span></p> <p>憑藉繼承自Nimble的InfoSight雲端平臺，HPE原本就是儲存管理平臺的技術領導者。不過，InfoSight屬於IT維運支援類型的管理平臺，無法完整涵蓋儲存應用所需的全部管理功能，主要用於監控、分析診斷與諮詢建議等支援服務，而未能觸及儲存區組態設定、配置與調整等功能，因此，用戶仍無法擺脫對於傳統本地端管理工具的依賴。</p> <p>到了HPE今年推出的DSCC雲端管理平臺，這裡的資料操作管理器（Data Ops Manager），終於補上InfoSight欠缺的主動管理功能。</p> <p>透過DSCC的資料操作管理器，企業可遠端管理位處內部網路的儲存陣列，操作儲存區組態設定、掛載，以及資料服務功能。</p> <p>而關於這樣的功能配置，也意味著，用戶端管理者可藉此擺脫對傳統管理工具的依賴，幾乎能完全透過雲端來管理本地端儲存環境。</p> <p>而InfoSight與DSCC資料操作管理器的組合，也構成了完整的雲端儲存管理平臺組合，透過兩種平臺相輔相成，滿足儲存環境的核心管理需求。</p> <p>其中的DSCC資料操作管理器，用於儲存設備的資源配置管理，提供儲存區建立、配置、掛載與資料服務等功能。</p> <p>至於InfoSight則作為輔助支援平臺，用於提供儲存資源使用分析、問題診斷與故障排除指引、組態調整與升級建議等管理諮詢與建議服務。</p> <p><span style="font-size:28px;"><strong>針對雲端資料管理服務，設置統一入口</strong></span></p> <p>HPE對於DSCC有著十分遠大的應用規畫，企圖以此作為系列雲端資料管理服務的入口，企業可透過API來進行介接、存取HPE自身或合作廠商提供的雲服務，藉此統一管理用戶的資料基礎架構，以及資料服務。</p> <p>資料操作管理器看似DSCC裡的一項服務，但事實上InfoSight現在已經被納入DSCC。</p> <p>整體而言，DSCC平臺目前一共包含下列4項主要服務：</p> <p><strong>● 資料操作管理器（Data Ops Manager）：</strong>企業能從遠端設定與管理用戶端儲存設備的容量與效能的配置，以及資料服務功能操作。</p> <p><strong>● InfoSight：</strong>HPE老牌的雲端儲存管理平臺，可用於遠端集中監控用戶端設備，並提供資源使用分析、診斷、調整與升級建議。</p> <p><strong>● Intent-Based Provision：</strong>基於AI技術，向用戶建議適合執行特定工作負載的儲存區位置。</p> <p><strong>● Audit：</strong>從單一視窗檢視整個環境中所有系統的事件，以及運行狀態記錄。</p> <p>除了前述4項主要服務，DSCC還提供兩項輔助管理工具：</p> <p><strong>● 技術文件（Technical Articles）：</strong>可透過輸入關鍵字，搜尋特定功能的說明資訊。</p> <p><strong>● 任務（Tasks）：</strong>檢視整個用戶環境中，所有系統、使用者、時間內的操作行動。</p> <p>整體來看，在DSCC目前提供的功能中，除了資料操作管理器是用於設定與配置用戶端儲存設備以外，其餘幾項功能，都是以用戶環境的監控、分析，以及基於AI輔助的諮詢與建議功能為主。</p> <p>而DSCC對分析管理應用的強調，則企圖利用雲端平臺的管理功能，透通用戶端複雜環境，幫助實現HPE「通用資料操作（Unifined DataOps）」的願景。</p> <p><span style="font-size:28px;"><strong>邁向通用儲存管理的關鍵環節</strong></span></p> <p>長遠來看，DSCC的推出，可以視為HPE實現「通用資料操作」願景的關鍵環節。</p> <p>過於複雜的儲存與資料管理作業，常常成為企業數位轉型的阻礙。儲存與資料操作應用涉及各個環節，以及多種作業流程，從線上生產資料的存取，到資料備份還原、分析、法規遵循、長期歸檔、災難備援、資料遷移等等，都是分別由不同設備或產品來提供，不僅管理複雜、用戶也難以透通檢視整個儲存與資料操作環境。</p> <p>以HPE自身來說，資料儲存與操作應用領域涉及的產品，就包含了MSA、Nimble、3PAR、Primera、Alletra等儲存陣列產品線，雲端化的Cloud Volumes產品，StoreOnce備份儲存與StoreVitual虛擬化儲存產品線，以及SimpliVity超融合系統，還有ProLiant、Apollo與Synergy等伺服器產品線。不同的產品線，各自有著自身的管理工具，也讓日常維運工作變得十分複雜。</p> <p>而DSCC的最終目標，便是橫跨複雜的底層環境，統一管理用戶的資料基礎架構，並且統一提供橫跨本地端到雲端的資料服務。透過雲端平臺的控制功能，以及藉由AI技術輔助的分析能力，來提供可透通複雜底層環境的洞察力，藉此消除資料管理與基礎架構的孤島及複雜度，提升資料操作的敏捷性、降低業務風險。</p> <p>以目前DSCC的實際能力來看，距離前述目標的實現，還有相當大的空間，因為作為核心的資料操作管理器，目前涵蓋支援的設備產品線與功能仍有限。不過，依照HPE的規畫，到了2022年以後，DSCC能涵蓋的資料服務、基礎架構服務與平臺服務，便能達到較完整的程度，屆時也能為HPE儲存與資料操作環境，帶來本質性的變化。</p> <p><span style="font-size:28px;"><strong>朝向全面雲端服務化</strong></span></p> <p>以新推出的DSCC雲端管理平臺為核心，搭配原有的InfoSight雲端管理平臺，再結合GreenLake訂閱式採購服務，以及Cloud Volumes雲端儲存陣列服務，也讓HPE產品的「雲端服務化」大致成型，在管理、採購與儲存陣列等3方面，都具備類似雲端服務的型式。</p> <p>除了HPE，其他一線儲存大廠也有志一同，正在朝著類似的「雲端服務化」方向發展。</p> <p>舉例來說，Pure Storage在管理方面有Pure1與Pure Fusion等雲端管理平臺，也有Evergreen訂閱式採購服務，以及Cloud Block Store雲端陣列。</p> <p>Dell則有APEX訂閱式採購服務，以及配套的APEX Console管理平臺，搭配既有的CloudIQ雲端管理平臺。</p> <p>NetApp亦有KeyStone訂購模式、ActiveIQ、Cloud Manager等雲端管理平臺，以及CVS、CVO雲端陣列服務，在管理、採購與儲存陣列等3方面，也都逐漸走向了雲端服務化。</p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>DSCC資料操作管理器的運作架構</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1054-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-600.png" style="width: 497px;" /></p> <p><span style="color:#696969;"><strong>HPE新推出的DSCC雲端管理平臺，當中的資料操作管理器（Data Ops Manager）是最重要的核心功能，其基本概念是透過HPE的雲端資料中心，連結用戶端儲存設備，藉此提供跨遠端的雙向儲存服務管理功能。</strong></span></p> <p><span style="color:#696969;"><strong>裡面的HPE雲端資料中心扮演了中介的關鍵角色，可持續接收與匯整用戶端儲存設備回傳的運行資訊，然後呈現在DSCC資料操作管理器介面上，供用戶端管理者檢視；用戶端管理者也能透過DSCC資料操作管理器介面操作，即可經由HPE資料中心，向用戶端儲存設備發送儲存組態設定與配置指令。</strong></span></p> <p><span style="color:#696969;"><strong>也就是說，在原廠雲端資料中心的中介下，用戶端管理者可以利用雲端管理控制臺的介面，從遠端管理自身環境中的儲存設備，擺脫對於傳統本地端管理工具的依賴。</strong></span></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>InfoSight vs. DSCC資料操作管理器</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1054-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-600-2.png" style="width: 420px;" /></p> <p><span style="color:#696969;"><strong>HPE既有的InfoSight雲端儲存管理平臺，與剛問世的DSCC資料操作管理器，共同構成DSCC雲端平臺的兩大核心功能，而且，彼此的運作架構有許多相似之處，都是以HPE的雲端資料中心來連結用戶端儲存設備，提供跨遠端的儲存服務管理功能。</strong></span></p> <p><span style="color:#696969;"><strong>不過，兩者的關鍵差別在於：InfoSight的管理是單向的，只能被動接收用戶端儲存設備回傳的訊息；DSCC資料操作管理器的管理則是雙向的，除了能夠接收用戶端儲存設備回傳的訊息外，也能主動向儲存設備來發送指令。而單向與雙向管理的差別，也帶來兩種雲端管理平臺大不相同的應用面向。</strong></span></p> <p><span style="color:#696969;"><strong>InfoSight只能被動接收用戶端儲存設備回傳訊息，因而提供的服務，是以儲存設備回傳的運作狀態訊息為基礎，提供維運支援類型的服務，包括遠端狀態監控、運行歷史資訊檢視，並結合AI與機器學習技術，進一步提供系統問題診斷、故障排除建議、自動維修案件開立、系統資源使用統計與分析預測、系統組態最佳化調整與升級建議等功能。</strong></span></p> <p><span style="color:#696969;"><strong>而DSCC資料操作管理器不僅能接收用戶端儲存設備回傳訊息，同時，也能向儲存設備發送指令、調整儲存組態配置。因此，DSCC資料操作管理器除了能用於遠端監控，也能用於儲存組態的設定與配置，如建立儲存區、將儲存區掛載給指定主機，以及操作進階服務功能（如快照、複製等）。</strong></span></p> <p><span style="color:#696969;"><strong>但另一方面，DSCC資料操作管理器對於儲存設備回傳訊息的利用深度，則不如InfoSight，因為它只提供基本的狀態監控等功能，而沒有進一步的分析、預測與建議諮詢功能。因此，兩種平臺各有所長，必須結合運用，才能獲得完整的遠端儲存管理功能。</strong></span></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>DSCC資料操作管理器的功能與操作</strong></span></span></p> <p><span style="color:#696969;"><strong>新推出的DSCC平臺，將成為HPE一系列雲端管理服務的入口，企業可以透過HPE的標準API，介接存取一系列雲端服務，這當中包括：既有的InfoSight儲存管理平臺服務，用於監控用戶端設備運行歷史狀態的Audit功能，用於協助負載配置的Intent-Based Provision，以及最重要的新服務，也就是資料操作管理器（Data Ops Manager）。</strong></span></p> <p><span style="color:#696969;"><strong>透過資料操作管理器，用戶可從遠端管理本地端的HPE儲存設備，從遠端監控系統狀態之餘，還能執行儲存區設定、掛載等作業，包括創建Volumet儲存區、設定屬性、掛載給指定主機，以及設定快照等資料服務功能。也就是說，本地端儲存管理控制臺的主要核心功能，現在，都可以改由DSCC的資料管理器來執行。</strong></span></p> <p><span style="color:#696969;"><strong>嚴格來說，目前DSCC資料操作管理器的功能仍不夠完備，無論是支援涵蓋的廣度或是功能的深度都有限，一開始只支援HPE新的Alletra系列儲存陣列，現在也還無法支援部分資料服務功能的遠端操作，例如只能操作快照，但還無法使用Clone。</strong></span></p> <p><span style="color:#696969;"><strong>不過，HPE表示，很快就會擴展DSCC資料管理器的支援範圍與功能。預期只需幾季的時間，DSCC資料管理器就能延伸支援於其他產品線的遠端管理，並且涵蓋更完整的資料服務功能，最終，成為橫跨HPE主要運算與儲存產品線的通用管理平臺。</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/DSCC%E4%B8%BB%E5%9C%962.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color:#696969;"><strong>HPE雲端資料服務的統一入口</strong><br /> DSCC將成為HPE雲端資料服務的統一入口與管理平臺，目前提供4項主要服務，包括：InfoSight與資料管理器這兩種遠端儲存管理平臺，監控用戶端環境事件與狀態的Audit功能，以及協助負載配置的Intent-Based Provision功能。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSCC%E4%B8%BB%E5%9C%963.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>總覽用戶端環境的事件狀態</strong><br /> 透過DSCC平臺提供的Audit功能，可以讓用戶端管理者從單一頁面中，選擇不同時間尺度，總覽整個用戶端環境所有設備的運行事件與活動紀錄，從中檢視不同時間點下，各個儲存系統交互運作的情況，進而發現潛在的系統問題。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSCC%E4%B8%BB%E5%9C%964.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>資料管理器儀表板</strong><br /> DSCC資料管理器的基本功能有4項：透過儀表板（DashBoard）檢視儲存設備運行狀態，透過儲存區（Volume）頁面建立與調整儲存區組態，利用資料存取（Data Access）頁面管理儲存區與主機的掛載，以及藉由任務（Task）頁面檢視儲存設備的活動紀錄。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSCC%E4%B8%BB%E5%9C%965.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>應用型態導向的儲存區建立</strong><br /> 透過DSCC的資料管理器，企業可從遠端建立位於內部網路的儲存設備儲存區，而儲存區的建立是應用導向式的，先選擇預定運行的應用程式類型，系統便會依據應用程式類型，自動調整細部參數設定。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSCC%E4%B8%BB%E5%9C%966.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>提供智慧化的資源配置建議</strong><br /> 若用戶環境同時含有多臺儲存陣列，DSCC資料管理器會評估各儲存陣列的狀態，然後自動推薦用戶適合的磁碟陣列，來為新創建的儲存區提供空間。用戶也能自行指定要使用的儲存陣列，而不依照系統建議。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSCC%E4%B8%BB%E5%9C%967.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>設定儲存區進階屬性</strong><br /> DSCC資料管理器能讓用戶設定個別儲存區的進階屬性，例如，是否啟用資料縮減功能，以及設定儲存空間耗用上限的警示等。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSCC%E4%B8%BB%E5%9C%968.jpg" style="width: 329px;" /></p> <p><span style="color:#696969;"><strong>線上搜尋技術文件與協助</strong><br /> DSCC提供了線上技術支援功能，可以利用關鍵字搜尋特定功能的說明，藉此獲得特定問題的協助。</span></p> <p> </p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/data-services-control-console">Data Services Control Console</a></div><div class="field-item odd"><a href="/tags/dscc">DSCC</a></div><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF%E7%AE%A1%E7%90%86%E5%B9%B3%E8%87%BA">雲端管理平臺</a></div><div class="field-item odd"><a href="/tags/hpe">HPE</a></div><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF%E5%84%B2%E5%AD%98%E7%AE%A1%E7%90%86">雲端儲存管理</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF%E8%B3%87%E6%96%99%E7%AE%A1%E7%90%86%E6%9C%8D%E5%8B%99">雲端資料管理服務</a></div><div class="field-item even"><a href="/tags/%E9%80%9A%E7%94%A8%E8%B3%87%E6%96%99%E6%93%8D%E4%BD%9C">通用資料操作</a></div></div></div>
2021/12/9 07:00作者張明德https://www.ithome.com.tw/tech/148137
【資安日報】2021年12月8日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與大數據分析有關的圖像化資料分析解決方案Grafana，近期因於月初獲報的路徑穿越漏洞CVE-2021-43798，已在網路上出現概念性驗證攻擊而引起關注，使得該公司決定提早發布修補程式，使用者應儘速修補。</p> <p>再者，有關網路儲存裝置的新聞相當值得留意，包含了威聯通（QNAP）針對NAS用戶發出警告，表示有攻擊者鎖定該廠牌設備發動挖礦攻擊，駭客植入的處理程序會占用50%的CPU資源。</p> <p>另外值得留意的趨勢，是近期大肆感染的武漢肺炎變種病毒Omicron，也成為攻擊者拿來發動網路釣魚攻擊的誘餌，美國數十家大專院校遭到鎖定，而相當值得留意這種網釣攻擊的發展。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://therecord.media/qnap-warns-of-new-crypto-miner-targeting-its-nas-devices/"><span style="color: rgb(0, 0, 0);">QNAP警告鎖定NAS的挖礦攻擊行動</span></a></strong></h4> <p>臺灣NAS業者威聯通（QNAP）於12月7日發布資安通報，警告用戶新的挖礦攻擊正鎖定該廠牌的NAS設備而來，該公司指出，一旦攻擊者成功入侵，就會執行名為[oom_reaper]的處理程序，此處理程序約會占用50％的中央處理器資源。此外，這個處理程序會模仿核心處理程序，其PID通常大於1000。QNAP呼籲用戶要使用最新的作業系統及附加元件，並且使用強密碼，如果發現NAS遭到感染，則要依照公告的步驟，使用Malware Remover移除惡意軟體。</p> <h4><strong><a href="https://www.fortinet.com/blog/threat-research/mirai-based-botnet-moobot-targets-hikvision-vulnerability"><span style="color: rgb(0, 0, 0);">Mirai殭屍網路變種病毒攻擊海康威視設備<img alt="" src="https://s4.itho.me/sites/default/files/images/picture12.png" style="width: 300px; height: 258px; float: right;" /></span></a></strong></h4> <p>資安業者Fortinet於12月6日指出，他們針對9月中旬研究人員揭露的CVE-2021-36260漏洞進行調查，這項漏洞波及海康威視網路視訊監控系統、IP攝影機。結果發現，名為Moobot的變種Mirai殭屍網路病毒，利用這項漏洞來偵察設備的狀態，並從受害裝置竊取敏感資料。Fortinet也發現攻擊者透過Telegram頻道，自6月11日起藉由控制的海康威視裝置，提供DDoS攻擊服務。</p> <h4><a href="https://geminiadvisory.io/magecart-google-tag-manager/"><span style="color: rgb(0, 0, 0);"><strong>駭客濫用Google Tag Manager服務，發動Magecart側錄攻擊</strong></span></a></h4> <p>駭客針對電子商城網站發動Magecart攻擊，自2020年起開始運用多項Google的服務，今天又多了一種「<a href="https://support.google.com/tagmanager/answer/6102821?hl=zh-Hant&ref_topic=3441530">Google Tag Manager</a>（GTM）」，這項工具的用途，是提供網站管理者部署Google Ads、Google Analytics、Floodlight或第三方合作夥伴的程式碼，而無須大幅修改網站本身。但攻擊者運用這項工具自建容器發動攻擊，極為難以察覺。資安業者Gemini Advisory指出，他們自2021年2月4日開始，觀察到至少有316個電子商務網站，感染了木馬化的GTM容器，被攻擊者用來發動Magecart側錄攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/nordic-choice-hotels-hit-by-conti-ransomware-no-ransom-demand-yet/"><span style="color: rgb(0, 0, 0);"><strong>北歐精品酒店集團遭到Conti勒索軟體攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/FF3rJg_XsAQHD2v.jpg" style="width: 150px; height: 177px; float: right;" /></strong></span></a></h4> <p>北歐精品酒店（Nordic Choice Hotels）集團於12月2日發出公告，表示他們的IT系統遭到電腦病毒攻擊，導致員工無法協助客人訂房、登記入住、退房，以及處理收費的事宜，他們改以人工處理因應，該集團亦向挪威資料保護局和挪威國家安全局等執法單位通報此事。而到了12月6日，該集團公布初步調查結果，表示目前尚未發現資料遭到外洩的跡象，並透露他們遭到名為Conti的勒索病毒攻擊，但沒有收到攻擊者的勒索訊息。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/new-cerber-ransomware-targets-confluence-and-gitlab-servers/"><span style="color: rgb(0, 0, 0);">勒索軟體Cerber鎖定Confluence與GitLab伺服器發動攻擊</span></a></strong></h4> <p>曾於2019年幾乎消聲匿跡的Cerber勒索軟體，最近被研究人員發現有了新的攻擊行動。先是資安研究團隊MalwareHunterTeam指出，他們發現在11月上旬，Cerber勒索軟體開始有所行動，不只鎖定Windows電腦下手，同時也攻擊Linux伺服器。隨後，資安研究人員BoanBird發現，攻擊者開始鎖定Atlassian Confluence漏洞CVE-2021-26084，以及GitLab的CVE-2021-22205漏洞，來在這些協作平臺上植入Cerber。至於受害者的範圍，騰訊的研究人員指出主要是中國和美國，德國次之。但新舊Cerber勒索軟體攻擊是否為同一組人馬所為？防毒業者Emsisoft指出，新的Cerber勒索軟體與過往的程式碼不同，且使用不同的加密程式庫，又同時鎖定Linux主機，研判新舊攻擊者沒有直接關連。</p> <h4><a href="https://www.proofpoint.com/us/blog/threat-insight/university-targeted-credential-phishing-campaigns-use-covid-19-omicron-themes"><span style="color: rgb(0, 0, 0);"><strong>駭客鎖定美國大專院校，以Omicron病毒為誘餌，發動網釣攻擊</strong></span></a></h4> <p>資安業者Proofpoint發現，自2021年10月開始，新一波鎖定美國大專院校的網路釣魚攻擊行動，攻擊者利用武漢肺炎的變種病毒Delta議題為誘餌，表明希望能夠進行有關測試。而自11月變種病毒Omicron爆發之後，這些攻擊者便調整誘餌的內容，改以新的變種病毒來吸引師生上當。Proofpoint表示，攻擊者偽造北美數十所大學的登錄網頁，竊取使用者的帳號與密碼，而其中有不少可存取受害師生的Office 365帳號。一旦攻擊者成功竊得帳密，就會將受害者重新導向正牌的大學網站。此外，在某些情況中，駭客還會竊取雙因素驗證（MFA）的驗證碼。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/emotet-now-drops-cobalt-strike-fast-forwards-ransomware-attacks/"><span style="color: rgb(0, 0, 0);"><strong>殭屍網路駭客Emotet投放Cobalt Strike進行偵察，疑似為了減少攻擊行動敗露</strong></span></a></h4> <p>資安研究團隊Cryptolaemus、電子郵件安全業者Cofense提出警告，他們發現殭屍網路駭客Emotet在攻擊手法上的變化，目的可能是為了要發動勒索軟體攻擊。這些研究人員不約而同指出，原本Emotet駭客會先在受害電腦部署TrickBot或Qbot木馬程式，再植入滲透測試工具Cobalt Strike的Beacon，以便後續監控或是進行攻擊，但是這些駭客最近跳過木馬程式的步驟，直接在受害電腦投放Cobalt Strike。研究人員Marcus Hutchins指出，駭客這麼做的用意，就是避免受害者能在勒索軟體攻擊之前，因為木馬程式而察覺攻擊行動。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/grafana-fixes-zero-day-vulnerability-after-exploits-spread-over-twitter/"><span style="color: rgb(0, 0, 0);">圖像化資料分析系統Grafana修補路徑穿越漏洞</span></a></strong></h4> <p>開源的圖像化資料分析解決方案Grafana於12月7日緊急發布更新，修補路徑穿越漏洞CVE-2021-43798，這項漏洞的CVSS風險層級為7.5分，影響本地建置的8.0.0-beta1至8.3.0版Grafana用戶，一旦這個漏洞遭到利用，攻擊者可存取Grafana資料夾以外高權限資料夾路徑，例如存放使用者密碼的/etc/passwd/。Grafana指出，這個漏洞源自於該分析系統安裝的外掛程式URL，而導致該系統容易遭受攻擊。Grafana於12月3日獲報並著手修補，但7日他們得知漏洞已遭公開，且有概念性驗證攻擊程式，決定緊急提供修補程式。此外，Grafana Cloud實體的用戶不受影響。</p> <h4><strong><a href="https://www.sentinelone.com/labs/usb-over-ethernet-multiple-privilege-escalation-vulnerabilities-in-aws-and-other-major-cloud-services/"><span style="color: rgb(0, 0, 0);">USB設備網路共享元件存在漏洞，波及多家雲端虛擬桌面解決方案<img alt="" src="https://s4.itho.me/sites/default/files/images/USB-Over-Ethernet.jpg" style="width: 300px; height: 169px; float: right;" /></span></a></strong></h4> <p>隨著居家辦公變得普遍，組織開始相當依賴雲端服務，其中，能讓使用者將本地端的USB設備，延伸在組織提供的雲端虛擬桌面上執行，有賴於將USB設備透過網路執行的技術術（USB over Ethernet）達成。資安業者SentinelOne指出，他們發現開源的Eltima SDK，存在27個漏洞，波及Amazon旗下的Workspaces、Nimble Studio AMI、Nice DCV、AppStream，以及NoMachine、Eltima USB Network Gate、Accops HyWorks、Amzetta zPortal、FlexiHub等，部分業者獲報後已著手修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.cna.com.tw/news/afe/202112080229.aspx"><span style="color: rgb(0, 0, 0);">臺灣資安鑄造公司成立舉行揭牌儀式，盼帶動資安智慧聯防與產業合作</span></a></strong></h4> <p>今年7月，資訊工業策進會（資策會）資安所傳出籌備臺灣資安鑄造公司已有進度的消息，在12月8日，臺灣資安鑄造股份有限公司（資安鑄造）正式宣布技轉成立，將透過自主研發的工業物聯網威脅偵測系統，新建立跨IT、OT與5G的供應鏈資安監控平臺，可整合多元資安技術服務，快速偵測資安事件，並聚焦供應鏈安全，針對地方SI、5G、醫療、電商、工控與晶片產業提供合作模式。此外，有意投資資安鑄造的美國矽谷創投Draper Associates與東元，都參與揭牌儀式。隨著該公司的成立，對國內資安生態的幫助與影響，也將成為國內資安領域持續關注的焦點。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://2030.trendmicro.com"><span style="color: rgb(0, 0, 0);">趨勢科技發表2030專案，從當前科技潮流審視網路資安未來情境</span></a></strong></h4> <p>趨勢科技在11月與12月間陸續於全球發布2030專案，當中包含讓讀者可閱讀的報告白皮書，以及可觀賞的系列影片，並設有報告獨立網站。在12月8日，趨勢科技在臺宣布推出此份報告，這是趨勢科技的一項前瞻研究計畫，當中並非是要敘述一個必然發生的未來，而是從當前科技發展與潮流預測可能情境，不只是讓大家思考未來可能的樣貌，也希望激起更多討論，以提醒政府、企業與個人，隨著科技逐漸滲透於日常，對於網路犯罪的未來發展應提早作準備或有所關注。其中有幾個焦點，包括：AI工具使網路範圍門檻降低而氾濫，社交工程詐騙與假訊息更加真實，大量物聯網環境的威脅，網路攻擊溯源更加困難，還有5G、6G網路興起，以及Everything as a Service的結果，而演進的攻擊趨勢。</p> <h4> </h4> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148225">2021年12月7日</a></p> <p><a href="https://www.ithome.com.tw/news/148199">2021年12月6日</a></p> <p><a href="https://www.ithome.com.tw/news/148162">2021年12月3日</a></p> </div></div></div>
2021/12/8 18:29作者周峻佑https://www.ithome.com.tw/news/148252
報導：蘋果曾與中國秘密簽訂5年的合作協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/facing-hostile-chinese-authorities-apple-ceo-signed-275-billion-deal-with-them" target="_blank">《The Information》本周披露</a>，蘋果執行長Tim Cook在2016年造訪中國時，曾與中國政府簽署一份價值超過2,750億美元的秘密協議，蘋果同意協助中國的經濟發展與訓練中國人才，換來的是中國放鬆對蘋果的管制。</p> <p>根據雙方的協議，蘋果同意協助中國製造商發展最先進的生產技術，協助訓練中國人才，亦承諾要於蘋果裝置中使用更多來自中國供應商的元件及軟體，並與中國的大學合作開發新科技，投資中國的科技公司，以及於中國設立更多的零售商店、研發中心與再生能源專案。</p> <p>此一協議也許說明了<a href="https://www.ithome.com.tw/news/105933" target="_blank">蘋果在2016年以10億美元投資滴滴出行</a>，於2018年<a href="https://www.ithome.com.tw/news/124658" target="_blank">將中國的iCloud資料交給中國業者儲存</a>，2019年<a href="https://www.ithome.com.tw/news/133565" target="_blank">於App Store上移除了報導香港抗爭運動的Quartz新聞</a>，或是在今年1月大舉<a href="https://www.ithome.com.tw/news/142002" target="_blank">移除App Store上4.6萬款缺乏中國官方許可的行動程式</a>。</p> <p>另一方面，相較與其它外國企業，蘋果較少受到中國政府的壓迫，中國更允許蘋果控制iCloud用戶的加密金鑰。</p> <p>根據<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0000320193/42ede86f-6518-450f-bc88-60211bf39c6d.pdf" target="_blank">蘋果提交給美國證券交易委員會的財報</a>，在蘋果2019、2020及2021的3個財年中，除了美國之外，中國是海外市場中唯一替蘋果帶進超過10%營收的市場，2021年蘋果的美國營收為1,338億美元，中國營收亦達684億美元。</p> <p>市場調查機構<a href="https://www.counterpointresearch.com/apple-becomes-largest-smartphone-brand-china-october-2021/" target="_blank">Counterpoint今年10月的統計則顯示</a>，在iPhone 13的推波助瀾下，iPhone成為當月中國最大的手機品牌，超越了原本位居第一的Vivo。</p> </div></div></div>
2021/12/8 14:14作者陳曉莉https://www.ithome.com.tw/news/148248
Twitter買下傳訊新創Quill
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Twitter周二（12/7）宣布，已買下今年2月才正式發表的商用傳訊程式Quill。</p> <p><a href="https://quill.chat/" target="_blank">Quill提供傳訊與協作功能</a>，為Slack的競爭對手，支援macOS、Windows、Linux、Android與iOS等平臺，也有網頁版，正式推出不到1年就受到Twitter的青睞，惟雙方並未公布Quill目前的用戶數量或交易金額。</p> <p><a href="https://twitter.com/nickcald/status/1468221427354517504" target="_blank">Twitter核心技術總經理Nick Caldwell表示</a>，Quill團隊打造了一個更新鮮也更慎重的交流方式，將把該團隊的經驗及創意帶進Twitter，提供用戶一個更有用的表達方式。</p> <p>目前看來Twitter並不打算保留Quill服務，因為<a href="https://quill.chat/updates/2021-12-07-quill-twitter/" target="_blank">Quill已宣布</a>要在今年的12月11日關閉服務，鼓勵用戶在該日期之前匯出訊息的歷史紀錄，因為屆時Quill也會刪除所有的訊息，對於付費用戶則會全數退費。</p> </div></div></div>
2021/12/8 14:20作者陳曉莉https://www.ithome.com.tw/news/148249
手機版Gmail 現在可打1對1視訊及語音電話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> </p> <p><a href="https://workspaceupdates.googleblog.com/2021/12/start-meetings-or-audio-calls-from-one-on-one-google-chat-messages.html" target="_blank">Google本周宣布</a>，現在用戶可利用Android及iOS版Gmail App直接撥打1對1的視訊或VoIP電話。</p> <p><a href="https://www.ithome.com.tw/news/138858" target="_blank">去年10月Google宣布</a>將Google Meet視訊會議、Google Chat文字通訊服務與Chat Rooms團隊協作功能全部整合到Gmail中，Chat Rooms並新增檔案與任務分享功能，使Gmail成為每日工作及通訊的中控臺。<a href="https://www.ithome.com.tw/news/145035" target="_blank">今年6月Gmail已經先整合了Chat文字通訊功能</a>，還將Workspace服務開放給所有Google帳號持有人，包括一般個人用戶。</p> <p>9月Google宣布Gmail和Meet的整合成果，用戶可利用Gmail的Meet來撥打1對1語音通話，無需再開啟Google Meet App。這項服務於本周上線，且增加了1對1視訊功能。按下Gmail App上方的電話及攝影機圖示，即可啟動VoIP及視訊通話。通話時，Gmail會顯示和哪位友人通訊、友人狀態，以及通話時間紀錄等。未接來電也會以紅色圖示標明。</p> <p>新服務將部署到Workspace企業用戶、G Suite Basic和Business用戶，以及任何有Google帳號的個人用戶。預計不久後用戶就能在Gmail進行群組通話及視訊。</p> </div></div></div>
2021/12/8 12:34作者林妍溱https://www.ithome.com.tw/news/148247
Meta發布數分鐘可開發出行動AI應用的PyTorch Live
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta發布了一套稱為PyTorch Live的工具，讓開發者能夠更簡單地在行動裝置上，開發人工智慧應用。<a href="https://github.com/pytorch/live/">PyTorch Live</a>建構在PyTorch Mobile和React Native之上，透過命令列工具就能完成大部分環境配置，供開發主快速建構內含機器學習模型的Android和iOS應用程式，並且可與廣泛的PyTorch社群交流。</p> <p>PyTorch Mobile是一個端到端工作流程，能夠用來訓練和部署iOS與Android行動裝置用模型，不只簡化行動裝置的生產環境研究，也支援透過聯合學習來保護使用者隱私。</p> <p>PyTorch Live是一組用於建置行動人工智慧程式的工具，其包含了PyTorch Live命令列介面，以及能夠以PyTorch Mobile執行裝置上推理的React Native套件，還有一些React Native範例模板，供開發者可以快速部署到行動裝置上。</p> <p>官方強調，只要使用PyTorch Live，開發者可以在數分鐘內，建置出人工智慧應用程式，整體的使用非常簡單，經過命令列工具引導就能快速地設定環境，並且開始機器學習行動裝置專案開發，而且針對現有的應用程式，也能夠簡單地整合裝置上模型，目前裝置上模型可支援圖片分類、問答、手寫數字辨識，或是其他用戶自定義的模型。得力於PyTorch和React Native開源專案，使用PyTorch Live所建立的應用程式，能夠跨平臺運作。</p> <p>PyTorch Live目前仍在Beta版本，僅支援MacOS，但官方提到，很快就會新增Windows和Linux的支援。開發者還會需要安裝Node.js，想要在iOS模擬器或是實際iOS裝置上執行應用程式，開發者也需要安裝Xcode。</p> </div></div></div>
2021/12/8 11:16作者李建興https://www.ithome.com.tw/news/148244
微軟Azure Quantum新增Rigetti量子電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.globenewswire.com/news-release/2021/12/06/2346638/0/en/Microsoft-to-Bring-Rigetti-Superconducting-Quantum-Computers-to-Azure-Quantum.html" target="_blank">微軟與量子運算系統商Rigetti昨（7）日宣布</a>，將把Rigetti的量子電腦引進微軟Azure Quantum雲端服務。</p> <p>完成系統整合後的新服務預計於2022年第1季正式推上線。雙方表示，屆時這項服務將是經由Azure Quantum存取最大的量子電腦。</p> <p>雙方表示Rigetti量子電腦比現有其他已商用化的量子運算技術執行速度更快，擴充性更高，這些特性讓Rigetti能協助解決多種領域運算難題，包括機器學習、藥物發現、乾淨能源、運籌供應鏈最佳化及金融模擬等。</p> <p><a href="https://www.globenewswire.com/news-release/2021/06/29/2255028/0/en/Rigetti-Computing-introduces-world-s-first-scalable-multi-chip-quantum-processor.html" target="_blank">今年6月Rigetti宣布</a>號稱全球第一座多晶片量子系統，具備專屬模組化架構，可克服擴充問題，形成具容錯能力的量子電腦。Rigetti當時表示將在今年底前推出80-qubit的量子電腦，並透過自有雲端服務平臺Quantum Cloud Services開放使用。</p> <p>微軟量子運算部門總經理Krysta Svore指出，Rigetti的可擴充量子電腦技術為Azure雲開發社群開創新契機，雙方將合作量子與傳統運算混合的雲服務，以提供過去無法實現的運算效能。</p> <p>雙方也計畫解決量子產品間的相容性問題。Azure Quantum的開發商將可運用主流的量子軟體框架在Rigetti系統上撰寫程式。本周在Q2B 2021大會上Rigetti將示範利用微軟量子中間展現層（Quantum Intermediate Representation，QIR）技術，在雲端Rigetti量子系統上執行量子化學演算法運算。</p> <p>Rigetti是微軟Azure Quantum最新合作的量子硬體廠商。<a href="https://www.ithome.com.tw/news/142568" target="_blank">今年初微軟服務擴大測試時</a>，宣布合作的業者包括Honeywell及加拿大商1Qbit。</p> <p><a href="https://www.ithome.com.tw/news/148155" target="_blank">Honeywell本月初宣布分拆旗下量子業務</a>，並收購英國軟體業者Cambridge Quantum，成為全球最大獨立量子運算公司。</p> </div></div></div>
2021/12/8 11:35作者林妍溱https://www.ithome.com.tw/news/148245
AWS US-EAST-1區域故障，牽連Disney+、Netflix及Slack等眾多服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS（Amazon Web Services）美東US-EAST-1服務區域在太平洋標準時間（PST）周二（12/7）上午9:37（臺北時間8日凌晨1:37）左右發生故障，牽連了使用該區架構的眾多服務，包括Disney+、Netflix及Slack等，以及Amazon自家的電子商務遞送服務。</p> <p><a href="https://status.aws.amazon.com/?ascsubtag=[]vg[p]22586373[t]w[r]google.com[d]D" target="_blank">根據AWS服務儀表板的說明</a>，此一故障的根本原因是US-EAST-1區域的多個網路設備受損，波及了該區域的EC2、Connect、DynamoDB、Glue、Athena、Timestream、Chime與其它的AWS服務，也影響AWS部份的監控及意外回應工具。</p> <p>AWS一直到下午2:43（臺北時間8日上午6:43）才排除故障，並逐步恢復服務，至臺北時間上午8點半還未完全恢復正常。</p> <p>AWS並未公布有多少客戶受到影響，但根據外電報導，被牽連的名單包括Disney+、Netflix、Slack、Roku、Robinhood、Coinbase等，以及Amazon自家的Ring與電子商務服務。</p> <p><a href="https://www.vice.com/en/article/qjbkbm/aws-outage-throws-amazon-into-chaos" target="_blank">《Motherboard》報導</a>，AWS的故障造成Amazon自家的交付程式Flex及追蹤程式Dolphin亦無法使用，導致數百個Amazon的倉儲無法出貨。</p> </div></div></div>
2021/12/8 11:57作者陳曉莉https://www.ithome.com.tw/news/148246
報導：2022年Microsoft 365月付方案將漲兩成，以迫使客戶綁年約
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2021/12/06/microsoft-will-charge-more-for-office-customers-paying-month-to-month.html" target="_blank">CNBC報導</a>，微軟將在2022年上半推行新的雲端產品訂閱方案，其中月費制價格將調漲20%，以力推企業客戶轉為年約制。</p> <p><a href="https://usc.pax8.com/resource/display/81338" target="_blank">微軟今年10月對雲端解決方案供應商（Cloud Solution Provider, CSP）宣布新商務體驗</a>（New Commerce Experience，NCE），稱其是客戶與微軟交易的新方式，這是依使用者席次（seat-based）計價的採購方案。而對CSP合作夥伴而言，微軟稱這是「多階段的長期投資」，有助於簡化授權複雜性、提供客戶採購彈性及加速業務成長。微軟在2019年對Azure服務推行NCE方案，而在10月將此方案推向Microsoft 365、Dynamic 365及Power Platform的CSP。</p> <p><a href="https://blogs.partner.microsoft.com/mpn/coming-to-the-cloud-solution-provider-program-seat-based-offers-in-new-commerce/" target="_blank">微軟將要求CSP夥伴及企業客戶移轉到新方案</a>。針對CSP，原定今年10月14日正式實施，11月微軟宣布將日期延後到2022年1月，理由是讓CSP業者技術面準備好，像是透過Partner Center及API將現有企業客戶訂閱轉移到NCE。針對現有雲端方案客戶的期限，則由之前的2022年3月10日延到6月30日，微軟說這能讓CSP有更多時間移轉客戶訂閱。不過現有方案將在明年3月10日終止下單。微軟也祭出月費及年費制客戶幾個月的5%折扣促銷方案。</p> <p>CNBC引述一些具名CSP及不具名消息來源報導，微軟並未公告，但是已經通知CSP們，新方案下，月費制服務將調漲20%，除非他們改成年費制。年費版則維持不變。</p> <p>綁年約對微軟好處是有穩定的未來營收可見度，並防止客戶流失。新方案影響較大的是小型企業。年費制的平均月費會比月費制來得便宜，因此一些較有錢的企業會採年費制，但許多小型企業偏好月費制，因為可依使用者人數彈性增減訂閱，尤其是去年以來COVID-19疫情讓許多企業不得不縮編因應一落千丈的業務。</p> <p>報導指出，一家經銷商抱怨微軟並未說明月費制將漲價，而在和企業客戶溝通後，有的客戶相當不滿，讓他們很難做事。</p> <p>更糟的是，CNBC宣稱取得內部文件顯示，新方案下不允許企業用戶縮減訂閱人數席次，亦即合約期間即使企業縮編，或是不再使用Microsoft 365，在剩下的期間都還是需要付費。</p> <p><a href="https://www.ithome.com.tw/news/146291" target="_blank">今年8月微軟才宣布</a>企業版Office 365依方案不同，明年3月1日將漲價8.5%到20%。</p> <p><a href="https://www.reddit.com/r/msp/comments/qhqiaa/feedback_on_the_new_commerce_nce_for_microsoft_365/" target="_blank">近日有人在Reddit上抱怨</a>月費方案漲價、造成會計作業困擾且強迫合作夥伴加入。另外<a href="https://www.change.org/p/microsoft-petition-for-microsoft-to-revoke-the-20-price-increase-on-monthly-microsoft-365-products" target="_blank">有用戶發起聯署</a>，希望要求微軟中止這項政策，上線13小時以來已有1500人聯署。</p> <p>對此微軟對CNBC指出，微軟提供彈性採購選擇滿足客戶不同要求。微軟並拒絕公開對合作夥伴的訂價策略。</p> <p>轉向雲端服務後，微軟營收及股價持續攀高。雲端業務帶動下，微軟上季營收比去年同期成長22%，而今年內微軟股價上漲了46%。</p> </div></div></div>
2021/12/8 10:28作者林妍溱https://www.ithome.com.tw/news/148243
資策會MIC發布年底4大ICT與10大軟體產業新趨勢，除了邁向混合IT架構、大廠自研晶片，更多產業明年將跨足元宇宙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">資策會MIC發布了對ICT與軟體產業的年底趨勢觀察，分別對半導體與資訊、軟體產業提出多項趨勢。MIC指出，在半導體及資訊產業上，受到高效能運算（HPC）驅動，帶來了4大變革；而在軟體產業上，則是以元宇宙為主軸，分享含括多個領域在內的10大趨勢觀察。</p> <h3 dir="ltr"><span style="color:#FF8C00;">半導體與資訊產業4大趨勢分析</span></h3> <p dir="ltr">資策會MIC資深產業分析師兼組長魏傳虔指出，隨著高效能運算發展日益成熟，處理器、伺服器與雲端服務商，紛紛推出更多核心數、更高記憶體頻寬，或是高擴充性的運算服務，驅動了更多元、新型態的應用場景，包括天氣預測、太空研究、能源探勘、生技製藥等應用。在這個發展之下，半導體與資訊產出現了4大值得關注的趨勢。</p> <p dir="ltr">首先，企業IT正在走向高效能、分散、混合式的IT架構。魏傳虔分析，一大原因，是雲端服務業者推出的高運算力處理器更加成熟，包括在雲端伺服器導入AI，使資料中心變得更高效率、高效能與更智慧化；加上微服務、分散式架構成熟，讓企業能導入邊緣運算叢集，實現有別於傳統集中化的運算與儲存服務。</p> <p dir="ltr">另一大原因，則是在疫情之下，企業對於IT的需求，不再如過去般呈現穩定成長的狀態，而是會受到遠距工作或是線上業務驅動，導致突然增長的IT需求。為此，企業可能選擇租用雲端服務、VPN或是頻寬，來維持短期內爆量的需求。換句話說，疫情下突如其來的IT需求，也成為企業採用更多公有雲或SaaS服務，實現混合式、分散IT架構的一大推手。</p> <p dir="ltr">其次，則是科技大廠的產品設計走向自研晶片，也更重視資安防護。觀察到企業對於數據分析的需求與能力提升，雲端供應商者為了切合企業客戶的需求，也開始透過自研晶片，來優化自家雲產品軟硬體的設計，來強化與競品的差異性，同時，透過掌握晶片研發技術，也能更有效管理關鍵零組件交付時間，降低產品研發成本。而資安防護的強化，則是受到美中科技衝突影響，ICT產品切入國際市場時，得更重視資安合規議題。</p> <p dir="ltr">其三，是Covid-19疫情與碳中和目標，驅動巨量資料數據交換的需求提升，前者是導致製造業供應鏈面臨斷鏈問題，讓供應鏈上下游的資訊串連變得更為重要，後者則是要透過取得供應鏈整體的碳排放數據，加以改善來符合國際標準。這些趨勢發展，使得各國逐漸形成訂定資料交換標準的共識，比如醫療領域積極導入FHIR標準，歐盟也提倡開放式數據基礎建設GAIA-X。</p> <p dir="ltr">魏傳虔指出，在這股趨勢之下，「雖然臺灣沒有太多能力來領導資料標準訂定，但是勢必要去關注、參與討論。畢竟臺灣在雲平臺代工、智慧製造領域，都還有發言權。」他認為，臺廠也要及早掌握國際數據交換標準，並加速投入相關基礎建設的布建，來與其接軌。</p> <p dir="ltr">其四，則是臺灣IC的先進製程，帶動了AI、自駕車與邊緣運算等高效能運算的應用發展，且透過先進的封測技術，也能整合感測、分析、通訊、驅動等多重功能，進一步滿足多元應用服務的需求，驅動產業創新。</p> <h3 dir="ltr"><span style="color:#FF8C00;">以元宇宙為核心，分析軟體產業明年10大新趨勢</span></h3> <p dir="ltr">在軟體產業方面，MIC發布了涵蓋多個領域在內的10大趨勢，其中5大趨勢更是與近期火紅的「元宇宙」相關。資策會MIC產業顧問兼主任王義智指出，在科技巨頭力拱之下，元宇宙躍升為軟體產業熱門關鍵字，ICT產業也受其影響，儘管元宇宙不會在短期內成形，但已經預期可以看到許多單點應用，「小宇宙逐漸成形。」</p> <p dir="ltr">因此，MIC預估，明年首要軟體產業趨勢，即是元宇宙的熱度不減，將由科技大廠擔任領頭羊、新創公司踴躍參與，帶動產業更多資金與技術投入，來持續突破技術瓶頸，讓元宇宙生態發展更完善。</p> <p dir="ltr">第二個趨勢，則是疫情之下，工作方式產生許多變化，尤其在元宇宙的浪潮之下，未來不僅是線上結合線下的混合辦公情境，更可能融合XR遠距協作、AR應用，走向虛實混合工作模式，透過更沈浸式的虛擬互動情境，來遠距與他人協作。王義智指出，虛實互動工具與既有工具的整合能力，是虛實辦公市場成長突破的關鍵。</p> <p dir="ltr">第三，同樣在元宇宙的熱潮之下，「娛樂內容先行。」王義智表示，比如臺灣的內容創作、遊戲部分已經蘊含元宇宙的概念，讓玩家得以建立豐富的虛擬內容。MIC認為，要促使元宇宙持續發展，就要建立起用戶生成內容的生態系，比如Nvidia近期揭露的元宇宙內容設計與技術引擎Omniverse，讓開發者能在平臺上開發更多元宇宙應用，這類開發平臺的出現，將吸引更多產業進入生態系，建立自己的虛擬應用情境。</p> <p dir="ltr">第四，則是NFT熱潮（非同質化代幣，Non-Fungible Token），將加速數位市場發展。王義智指出，由於元宇宙具備交互操作性（Interoperability）的特性，數位資產可相互流通，不侷限單一平臺。而以NFT驗證發行的各種商品，就像是虛擬世界發行的資產，甚至可以在市集交易、或用來投資，讓更多開發者、企業、品牌商加入，將帶動更多元數位資產發展，包括藝術品、房地產、會員卡、精品配件等。</p> <p dir="ltr">第五，則是電商的銷售模式將從B2C、B2B2C走向D2C（Direct to Customer），「電商明年的重點是，如何去中間商，也就是消減電商平臺與銷售通路的影響，更直接面對消費者。」王義智表示，品牌商將以官網自有的銷售通路，結合社群媒體，透過D2C模式，蒐集顧客行為與交易數據，來優化自家的產品服務。同時，由於環保意識提升，電商也將朝向永續發展，比如運用環境友善材質生產與包裝商品，並結合科技減少物流碳足跡，消費者對環境永續的訴求，也會促使環保意識融入電商營運的DNA。</p> <p dir="ltr">第六，則是在企業防疫同時，防駭也更加重要，尤其在居家辦公成為常態後，透過遠距辦公維持營運，或運用線上平臺讓服務不中斷，都讓端點防護更加困難，「資安防護很難做到百分之百，你終究會被駭客攻破，因此，如何在服務中斷的情況下快速復原，就是資安韌性的重要性。」王義智指出，企業勢必轉換原有資安策略，強化資安韌性。</p> <p dir="ltr">第七，是為了填補資訊人才缺口，低程式碼工具興起。王義智解釋，低程式碼、無程式碼工具，是用來建立簡單應用程式的工具，讓素人開發者不需擁有IT背景或程式碼開發能力，只要透過視覺化拖曳或表單就能建立應用系統，「某種程度上可以填補資訊人才缺口，讓員工每個人都有機會成為開發者，」藉此來緩解數位轉型浪潮下，中小企業資訊人才稀缺的問題。</p> <p dir="ltr">另一個優勢，則是能加速產業知識落地。王義智說明，由於員工就是最熟悉領域知識的人，這些低程式碼工具，能讓企業員工更容易將領域知識以數位工具落實，加速企業數位轉型的進程，「比起傳統把系統委外給廠商，員工自己開發系統，更貼近數位轉型由下而上推行的概念。」</p> <p dir="ltr">第八，則是臺灣正在透過新創能量，為各行各業的數位轉型賦能。近兩年在疫情之下，臺灣企業開始積極與新創合作，加速投入數位轉型，更掀起一波CSE浪潮（企業參與新創，Corporate Startup Engagement）。累積了許多能量後，臺灣新創今明兩年，也陸續獲得國際大筆募資或IPO出場，帶動臺灣新創生態圈正向循環，這些已經或即將上市的新創，比如91App、Gogoro、Appier、Just Kitchen等。</p> <p dir="ltr">第九，則是隨AI技術發展成熟，除了結構化的數據之外，圖像、語音等非結構化資料也能即時分析與運用，加上各種場域、裝置、行為產生更多資料量，在進一步精煉與分析後，可能帶來更多智慧服務與創新商業模式。「我們相信以數據為中心的商業模式會成為主流。」王義智說。</p> <p dir="ltr">第十，則是數位轉型浪潮，更擴大了企業IT投資。隨著2021年經濟復甦，企業開始大量增加IT投資，不論是軟體、硬體皆有顯著成長，王義智指出，資訊軟體與服務是成長最快的領域之一，主要是企業為因應關鍵任務工作負載，且要避免高昂的內部營運成本，增加了基礎設施即服務的支出。</p> </div></div></div>
2021/12/8 08:18作者翁芊儒https://www.ithome.com.tw/news/148242
Firefox 95加入新的沙盒技術RLBox，可高效隔離惡意程式保護瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Firefox安全性再強化，Firefox 95導入最新的沙盒技術<a href="https://hacks.mozilla.org/2021/12/webassembly-and-back-again-fine-grained-sandboxing-in-firefox-95/">RLBox</a>，透過高效能的隔離技術來隔離子元件，使得即便受隔離的模組存在零日漏洞，也完全不會使Firefox受到威脅。</p> <p>這個稱為RLBox的新型沙盒技術，是Mozilla和加利福尼亞大學聖地牙哥分校合作開發，有別與傳統基於程序的沙盒，RLBox使用WebAssembly來隔離具有潛在臭蟲程式碼，現在Graphite、Hunspell、Ogg、Expat和Woff2總共5個模組，已經使用該隔離技術，並且在桌面和行動Firefox全平臺提供支援。</p> <p>目前所有主要瀏覽器，都是透過沙盒程序來執行網頁內容，這種方法在理論上，可以避免惡意程式碼透過瀏覽器漏洞，來入侵用戶的電腦，在桌面作業系統，Firefox甚至會在自己的程序中，隔離每個網站，以確保網站間的安全。</p> <p>不過惡意攻擊者也不是省油的燈，Mozilla提到，他們通常會透過聯合使用兩個漏洞來攻擊用戶，除了破壞網站的沙盒程序之外，也儘可能逃離沙盒的隔離。因此除了在程序上隔離，沙盒技術的下一階段發展，便是要朝向在功能之間設下隔離邊界前進，像是Firefox在執行解碼任務時，會在一個專用且鎖定的程序中進行，使該程序僅擁有受限的介面。</p> <p>但這個方法存在嚴重的限制，Mozilla提到，除了需要先解耦程式碼，使其成為非同步運作之外，這個工作還很耗時，也可能產生額外的效能成本，另外，每個程序都有固定的記憶體開銷，添加更多的程序，會使得應用程式占用的記憶體增加。</p> <p>現在Mozilla提出另一種更精細的隔離方法RLBox，RLBox並不會將程式碼放到單獨的程序中執行，而是將其編譯成為WebAssembly，並將該WebAssembly編譯成為原生程式碼，因此在Firefox中不會加入任何.wasm檔案，WebAssembly僅為建置過程的中間語言。</p> <p>但這個轉換步驟對於目標程式碼，設置了兩個重要的限制，第一是不能意外跳轉到程式其餘部分，第二則是不能存取指定區域以外的記憶體。這些限制使得可信和不可信程式碼間共用記憶體空間變得更加安全，並且大致上能跟過去一樣，在同一個程序中執行。這個方法還有另一項好處，便是不需要大動作重構程式碼，就能完成實作。</p> <p>官方提到，RLBox保護Firefox免受意外臭蟲，以及供應鏈攻擊，在上游元件揭露漏洞時，開發人員也不需要著急地修補。Mozilla會繼續將RLBox隔離技術擴展使用到更多的元件上，不過像是太過於仰賴與其他程式共享記憶體，或是效能敏感的元件，無法接受任何額外成本的元件，便不適合應用RLBox隔離技術。</p> </div></div></div>
2021/12/8 09:29作者李建興https://www.ithome.com.tw/news/148233
GCP混合雲平臺Anthos加入新多雲API簡化跨雲叢集管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google更新其混合雲管理平臺Anthos，在最新版本中，用戶可以藉由<a href="https://cloud.google.com/blog/products/containers-kubernetes/google-cloud-anthos-multicloud-api-and-gke-on-azure-ga">Multi-Cloud API</a>，讓多雲管理工作更簡單。這個新版本開始全面支援在Azure上執行Anthos叢集，並且增加整合型日誌記錄和監控功能，同時還支援能夠統一存取叢集的Connect Gateway。</p> <p>Anthos能夠統一本地端、邊緣和跨多個公有雲的應用程式與基礎設施管理，使用戶能夠大規模，採用Google雲端控制平面，一致地進行操作。要達到這個目的，過去Anthos要求用戶要在每個雲中安裝管理叢集，但在最新版本中，將可減少安裝管理叢集占用的空間，以及叢集管理技術，讓用戶能夠直接使用單個API，操作AWS和Azure中執行的Anthos叢集，管理其生命周期。</p> <p>Anthos Multi-Cloud API和Google雲端控制平面，現在會完成繁瑣的叢集操作配置工作，這個Anthos版本，Google標準化gcloud CLI在AWS、Azure和GCP中部署集群的操作，用戶在其他雲中創建的叢集，也會顯示在Google雲端控制臺中，進而獲得一個包含叢集遙測，和日誌記錄的集中管理檢視圖。</p> <p>用戶使用一個簡單的gcloud命令，就可以在GCP、AWS和Azure上創建新的Anthos叢集。Multi-Cloud API會藉由服務帳戶或是應用程式註冊資料，在每個雲端進行身份驗證，並允許將叢集部署到現有或是新創建的VPC或Vnet上。</p> <p>Multi-Cloud API支援各個雲端平臺多種機器類型，並且隨著時間將會開放更多類型，官方還提到，Azure、AWS上的Anthos叢集，皆整合每個雲中的原生KMS、儲存設施以及負載平衡，因此使用上更加靈活。</p> <p>此外，用戶在新版本中，還可以使用Connect Gateway來連接AWS和Azure中的Anthos叢集。藉由Connect Gateway，用戶能夠安全地操作Anthos叢集，Google解釋，叢集命令會由GCP服務，透過加密連接路由到用戶的叢集中，因此用戶不需要使用VPN，就能安全地進行操作。</p> <p>Anthos Multi-Cloud API讓用戶在三個主要雲中，操作由Google管理的Kubernetes叢集更加簡單，而且用戶現在也可以使用Anthos配置管理（ACM），無論是在本地端、GCP還是其他公有雲上，對Kubernetes叢集進行大規模自動化政策和安全性管理。</p> </div></div></div>
2021/12/8 09:33作者李建興https://www.ithome.com.tw/news/148240
Visa臺灣揭露疫後數位支付行為轉變趨勢，更預告將推出數據到行銷的一站式分析服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Visa臺灣在今天（12/7）發布一份消費者支付調查報告，揭露在疫情之下消費者支付行為的轉變。調查發現，臺灣消費者使用非現金支付使用比例大增，從去年的80%，今年成長到99%，換句話說，只有1%消費者完全不用。另外，數位支付金額降低，小額生活消費，將成為支付的必爭之地。</p> <p>Visa今年7月針對2,000名來自臺灣、香港、澳門等地，年齡介於18到55歲的民眾以量化方式進行調查，其中臺灣受訪者人數為1,000名。調查發現，臺灣消費者使用信用卡及簽帳金融卡進行非現金支付的比率，從去年的80%成長到今年的99%。近6成的消費者將持續增加使用非現金支付的比重，有44%的消費者可以超過一周完全不用現金，甚至，有近1成的消費者表示，未來將完全不會使用現金作為支付方式。</p> <p>無接觸金融不只成為消費者支付的習慣，Visa調查發現，消費者以往在大額消費才會使用數位支付；但最新調查顯示，半數消費者在200元以上的消費，就會使用數位支付。Visa臺灣區總經理趙麗芳表示，支付場景逐漸移轉到小額生活消費，包括連鎖超商、超市、速食連鎖餐廳，都將成為支付的必爭之地。</p> <p>Visa指出，疫情之下的另一項消費者行為改變是，促使消費者只想帶手機錢包出門。Visa調查，有32%消費者相較於疫情前，更常使用電子錢包。更有95%的消費者表示，未來1年將持續或更常使用電子錢包。</p> <p>另外，調查顯示，有7成以上的消費者手機已安裝行動銀行App，使用的前3項行動銀行服務，包括查詢帳戶或投資餘額、帳戶間轉帳、帳單支付。有4成以上的消費者，因為疫情的影響使用了更多網銀服務，且有5成以上的消費者表示，每周至少使用一次行動銀行。甚至，有超過4成的消費者，會選擇純網銀作為主要往來銀行，原因是開戶回饋、開戶快速方便、更高的存款利率。</p> <p>Visa更針對23歲以下的Z世代數位原住民進行分析，發現有68%的消費者從未嘗試過無現金支付，因此，趙麗芳表示，Z世代將成為未來的新興潛力族群。</p> <h3><span style="color:#0099ff;"><strong>將運用Visa</strong><strong>支付數據分析提供一站式全服務</strong></span></h3> <p>掌握了龐大消費者的支付資料，趙麗芳進一步揭露了Visa臺灣的下一步，不只作為發卡組織，更要針對合作夥伴，提供數據到行銷的一站式全服務，透過數據分析提供合作夥伴如商家、金融機構等找出更多可以發展的價值。</p> <p>以提供給金融機構的分析服務為例，趙麗芳認為，各家金融機構提供的金融產品趨於同質化，如何走出差異化，是每家金融機構的挑戰。因此，Visa打算從支付數據出發，分析整體Visa消費者的樣貌，比如，Visa臺灣用戶中，前5%刷卡量的這群用戶，占了總刷卡量的比率為多少，並分析這群最主要的刷卡消費族群的輪廓，將分析結果提供給銀行參考，作為金融商品設計、行銷推廣服務之用。</p> <h3><span style="color:#0099ff;"><strong>Visa</strong><strong>在加密貨幣領域的全球布局成果</strong></span></h3> <p>另一方面，趙麗芳也同步揭露Visa在發展加密貨幣領域的布局成果。首先，Visa與全球50多個加密錢包與平臺合作，可支援全球超過7,000萬家商戶中使用加密貨幣消費，2021年上半年使用Visa卡加密貨幣付款支付的金額，超過10億美元。此外，Visa在基礎設施上自行開發了API，可進行數位貨幣與法幣之間的轉換或清算。甚至，更推出Visa Crypto API，可提供數位貨幣買賣與託管服務，來搶攻想踏入數位貨幣的金融機構或新創公司需求。</p> <p>Visa最新布局是建置數位貨幣的交易清算設施，趙麗芳提到，今年3月，Visa已將與美元掛鉤的穩定幣USD Coin（USDC）作為支付網路中的清算貨幣之一。另外，Visa也成立了數位貨幣研究中心與核心小組，提供全球數位貨幣發展資訊給各國央行參考。文⊙李靜宜</p> </div></div></div>
2021/12/7 20:50作者李靜宜https://www.ithome.com.tw/news/148241
今年NFT市場產值已達269億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chainalysis.com/reports/nft-market-report-preview-2021" target="_blank">區塊鏈分析業者Chainalysis近日指出</a>，截至今年10月，支援不可替代代幣（Non-Fungible Token，NFT）的ERC-721與ERC-1155合約交易量已達269億美元，而且不管是NFT的交易量或金額都與日俱增。</p> <p>NFT是個奠基在區塊鏈上的代幣，與其它加密貨幣不同的是，每個NFT都是獨一無二的，它們並不等值，因此無法直接互相交換，主要作為數位資產的憑證。</p> <p>現階段市場上最大的NFT交易市集為OpenSea，今年的交易量超過160億美元，占所有NFT交易的59%，NFT市場上最受歡迎的產品則是加密龐克（CryptoPunks），這是兩名軟體開發者Matt Hall與John Watkinson所建立的實驗性專案，他們創造了1萬個獨特的加密龐克角色，而且開放免費領取，之後成為熱門的NFT產品，迄今有關加密龐克的交易金額已達30億美元，包括<a href="https://www.ithome.com.tw/news/146368" target="_blank">Visa以15萬美元購入了CryptoPunk 7610</a>。</p> <p>此外，現在絕大多數的NFT交易都是屬於零售等級，交易金額低於1萬美元，僅有少數屬於交易金額介於1萬至10萬美元之間的收藏等級，機構等級的交易更低於1%。</p> <p>Chainalysis還發現了一個特別的現象，直接購買新發行NFT的獲利機會低於在市場上交易二手NFT，只有28.5%在一個NFT發行時就購買的使用者實現了獲利，但若是從二級市場向其它使用者購買二手（或多手）NFT，之後再脫手的話則有65.1%是獲利的。</p> </div></div></div>
2021/12/7 16:22作者陳曉莉https://www.ithome.com.tw/news/148229
英國連鎖超市SPAR遭網路攻擊，波及數百家門市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/SPARDSAP/status/1467818935894564867" target="_blank">英國連鎖超市SPAR周一（12/6）指出</a>，其英國服務供應商James Hall & Company遭到網路攻擊，波及北英格蘭的SPAR門市，影響了這些門市的金融卡支付處理能力，使得有些門市直接關店休息，有些則只能以現金付款。</p> <p>SPAR源自於荷蘭，它是一家跨國的連鎖超市，目前在全球48個國家有超過1.3萬家的SPAR門市。James Hall & Company則是SPAR在北英格蘭約600家SPAR門市的供貨商，除了提供各種食物之外，也負責這些門市的收銀機與IT系統。</p> <p><a href="https://www.facebook.com/SparRibchester" target="_blank">其中有一家位於Ribchester的SPAR門市於臉書上表示</a>，由於庫存與會計系統都無法使用，不能銷售任何商品，只能提供預付的報紙或是處理包裏。</p> <p>SPAR僅說這次的意外並未影響北英格蘭的所有門市，但也未透露受到波及的門市數量。<a href="https://www.ncsc.gov.uk/news/spar-stores-incident" target="_blank">英國網路安全中心（NCSC）則已收到通知</a>，並正協助調查中。</p> </div></div></div>
2021/12/7 17:09作者陳曉莉https://www.ithome.com.tw/news/148232
微軟接管中國駭客集團Nickel所使用的42個網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2021/12/06/cyberattacks-nickel-dcu-china/" target="_blank">微軟周一（12/6）表示</a>，已取得維吉尼亞州東區法院的同意，接管了由中國駭客集團Nickel所使用的惡意網域；Nickel專門攻擊美國及其它28個國家的全球機構、智囊團與人權組織，以蒐集情報，接管其惡意網域就算無法全面摧毀Nickel的駭客行為，但相信已移除Nickel最近一波攻擊的關鍵基礎架構。<a href="https://www.documentcloud.org/documents/21138936-nickel_appendix-a-to-compl_a" target="_blank">《TheRecord》</a>取得了相關的法院文件，指出微軟總計接管了Nickel所使用的42個網站。</p> <p>微軟威脅情報中心（Microsoft Threat Intelligence Center，MSTIC）自2016年就開始追蹤Nickel，2019年著手分析Nickel的行動，發現Nickel的攻擊行動非常複雜，經常使用不同的技術，但目標都是於受害系統上植入難以偵測的惡意程式，以監控及竊取資料。</p> <p>手法多元的Nickel有是時利用被危害的VPN服務，或是透過網釣攻擊盜來的憑證，也會透過攻擊程式開採尚未修補的Exchange Server及SharePoint漏洞，以滲透到受害者系統上。</p> <p>此外，微軟還發現Nickel的攻擊目標通常涉及中國政府的利益，而且也有其它資安業者發現Nickel的行動，只是所使用的名稱不同，例如APT15、KE3CHANG、Vixen Panda、Royal APT或Playful Dragon等。</p> <p>微軟是與多家網域名稱註冊業者合作，在取得法院的授權之後，接管了原本由Nickel所控制的42個網站，包括primenuesty.com、beesweiserdog.com或bluehostfit.com等，將這些惡意網站的流量導至微軟的安全伺服器，除了可避免既有的受害者持續受到危害之外，也能防止Nickel再使用同樣的架構展開攻擊。</p> </div></div></div>
2021/12/7 16:08作者陳曉莉https://www.ithome.com.tw/news/148228
AWS機器學習服務SageMaker新功能加快模型訓練速度50％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>機器學習服務Amazon SageMaker現在能夠更快地編譯模型，新的<a href="https://aws.amazon.com/tw/blogs/aws/new-introducing-sagemaker-training-compiler/">Training Compiler</a>功能會自動編譯Python訓練程式碼，並生成模型專用的GPU核心，如此訓練程式碼便能夠使用更少的記憶體和計算資源，模型訓練速度更快，甚至使原本需要3小時訓練時間的GPT-2模型，降至90分鐘。</p> <p>由於深度學習的模型複雜性日益增加，最佳化和訓練的時間也就跟著延長，像是訓練自然語言處理模型RoBERTa，就需要25,000個GPU小時，儘管用戶可以使用一些最佳化技術，來減少模型訓練時間，但是這個過程並不簡單，不只耗時且需要專業技能。</p> <p>目前有三種方法能夠加快訓練速度，第一使用更快的機器處理運算，第二則是跨GPU執行個體叢集分散運算，來平行訓練模型，或是第三種最佳化模型程式碼，更高效地在GPU上運作。</p> <p>而最佳化機器學習程式碼是最困難且耗時的工作，AWS提到，資料科學家常使用Python機器學習框架TensorFlow或PyTorch，來編寫程式訓練碼，仰賴機器學習框架把Python轉換成為可在GPU上執行的數學函式，但是這些從用戶Python程式碼轉換而來的核心，通常效率低落，因為機器學習框架使用預先建置的通用GPU核心，而非用戶模型和程式碼專用的核心。</p> <p>AWS表示，即便是資深的GPU程式開發人員，也需要數個月才能對模型創建自定義核心。因此AWS透過在SageMaker加入Training Compiler新功能，來解決這個問題。</p> <p>SageMaker Training Compiler能夠將深度學習模型，從高階語言表示轉換成為硬體最佳化指令，來加速訓練工作，這些指令比現成框架的訓練速度更快，在背後，SageMaker Training Compiler能夠提供超過原生PyTorch和TensorFlow框架所能提供的最佳化，最大程度提高SageMaker GPU執行個體上的運算和記憶體使用率。</p> <p>AWS解釋，該新功能針對圖（Graph）、資料流和後端進行最佳化，來生成能夠有效使用硬體資源的最佳化模型，訓練速度最高可提升50％。許多深度學習模型都能因新功能受益，但訓練時間更長、規模更大的模型，將節省更多的時間和成本，像是長時間運作的RoBERTa模型，訓練時間和成本可降低30％，考量原本需要的25,000個GPU小時，實際減少的訓練時間相當驚人。</p> </div></div></div>
2021/12/7 16:13作者李建興https://www.ithome.com.tw/news/148227
【資安日報】2021年12月7日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發者很可能為了在傳送資料給其他人的情況下，運用常見的雲端服務，無意間將企業的機密資料公開，要如何在應用系統的開發過程中保護企業機密資料，不致因為疏忽而遭到公開？顯然是時下企業所需面臨的難題。最近Line發出公告表示，他們在11月底發現，9月上旬有外包公司的員工於GitHub上傳用戶交易的資料，而這些資料的來源，是客戶參與特定行銷活動的資訊。值得留意的是，超過半數外洩的是臺灣用戶的資料。所幸外洩資訊裡，沒有信用卡或是銀行帳號等敏感資訊。</p> <p>而在國際的資安新聞中，跨國連鎖商店Spar、美國電力公司DMEA遭到網路攻擊的事件，也相當值得留意，尤其是昨天才傳出有人鎖定北美零售業者的收銀機下手，印出大量煽動員工要求加薪或是離職的社會運動訴求，這種超市遭到攻擊的情況已有數起。連鎖商店Spar在英國發生的事故，也引起當局的高度關注。</p> <p>另一起也相當值得留意的攻擊行動，則是與駭客利用多種應用系統的漏洞，入侵這些伺服器來挖取門羅幣。研究人員指出，駭客不只鎖定了Apache、Atlassian Confluence、F5 BIG-IP、VMware vCenter、Oracle WebLogic Server等應用系統，亦散布能在Linux與Windows伺服器執行的挖礦工具。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://pay.line.me/portal/jp/customer/press/52227?categoryId="><span style="color: rgb(0, 0, 0);">Line Pay外包商員工不慎將行銷資料上傳GitHub，13萬人資料外洩，Line發現後已刪除並公布調查結果</span></a></strong></h4> <p>Line Pay服務在12月6日發布公告，說明在11月24日發現，有外包集團公司員工在9月12日，未經許可在GitHub上傳了用於調查使用者參與特定行銷活動的相關資訊，Line公司在發現當日，已將相關資訊從GitHub中刪除，並在11月30日完成存取狀態等調查，這些外洩資訊曾被存取11次。這次事件牽連全球13萬3484人用戶，包含臺灣7萬1631人與日本5萬1543人，資料內容主要是用戶識別碼（不同於Line ID）、商店管理編號，以及活動相關資訊，但不包含用戶姓名、地址、電話，以及信用卡與銀行帳號等資訊，因此確認對用戶沒有影響。</p> <h4><strong><a href="https://www.facebook.com/rwnewsmedia/posts/119536780546138"><span style="color: rgb(0, 0, 0);">新網路媒體菱傳媒公告遭駭，後臺伺服器無法登入且報導遭刪除</span></a></strong></h4> <p>曾報導顏清標家族事業版圖、上月新成立的網路媒體菱傳媒，於12月6日傍晚6時發布臉書貼文表示，該新聞網站的後臺伺服器在下午4時44分遭駭客攻擊，員工無法登入後臺，網站上的新聞報導與公司資料庫全遭刪除。目前，該網路媒體已報案處理，事件原因有待調查。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/hundreds-of-spar-stores-shut-down-switch-to-cash-after-cyberattack/"><span style="color: rgb(0, 0, 0);"><strong>連鎖商店Spar遭到網路攻擊，波及330家英國門市</strong></span></a></h4> <p>在全球擁有1.3萬家門市的Spar，傳出英國北部門市遭到網路攻擊，使得許多店家被迫暫停營業，或是只能使用現金交易。根據當地媒體BBC報導，攻擊者鎖定位於蘭開夏郡普雷斯頓的James Hall & Company下手，該公司經營Spar當地的收銀機和IT系統，使得他們經營的逾300家門市受到波及。英國國家網路安全中心（NCSC）證實確有此事，並與蘭開夏郡警方著手調查事故發生的原因。</p> <h4><a href="https://www.theregister.com/2021/12/03/dmea_colorado_cyber_attack_billing_systems/"><span style="color: rgb(0, 0, 0);"><strong>美國公營事業遭到勒索軟體攻擊，計費系統遭到關閉</strong></span></a></h4> <p>美國電力公司Delta-Montrose電氣協會（DMEA）近日發出公告，表示他們於11月7日察覺遭到勒索軟體攻擊，約9成內部網路系統失效，包含了電話與電子郵件系統也受到波及，且大部分的資料都被摧毀，其中，這些資料涵蓋了超過20年的歷史資料，計費系統也無法使用。對此，該公司指出，客戶有可能因此無法支付費用，他們預計在12月6日至10日恢復SmartHub和Kiosk自助服務機臺的繳費服務，並在近期恢復計費。</p> <h4><strong><a href="https://www.websiteplanet.com/blog/galeapp-leak-report/"><span style="color: rgb(0, 0, 0);">配置不當的AWS資料庫洩露3萬名美國醫護人士個資<img alt="" src="https://s4.itho.me/sites/default/files/images/medical-worker-data-breach--1.png" style="width: 300px; height: 126px; float: right;" /></span></a></strong></h4> <p>資安研究員Jeremiah Fowler和架站指南業者Website Planet的研究團隊聯手，發現1個沒有密碼保護的資料庫，內容包含170,239筆記錄，且具有3萬名醫務人員、護理人員的詳細資料。研究人員指出，該資料庫包含了這些人的姓名、電話、電子郵件信箱、居住地址，甚至還有照片與社會安全碼（SSN）。經調查後，這個資料庫屬Gale Healthcare Solutions所有，該公司藉由行動裝置App來媒合病人和醫護人員。針對這次的發現，Gale Healthcare Solutions宣稱，此資料庫的用途，為內部系統測試時期所建立的臨時環境。</p> <h4><a href="https://www.ithome.com.tw/news/148196"><span style="color: rgb(0, 0, 0);"><strong>加密貨幣交易所BitMart被盜走1.5億美元加密貨幣</strong></span></a></h4> <p>加密貨幣交易中心BitMart在12月5日證實遭到駭客入侵，指出駭客存取了以太坊（ETH）及幣安智能鏈（BSC）的熱錢包，使得駭客得以提領價值1.5億美元的加密貨幣資產。這起事故最早是區塊鏈資安業者PeckShield發現，起因是他們看到不尋常的大量匯出交易。BitMart宣稱，受到影響的熱錢包僅存放少數資產，其他的錢包則不受影響，在展開徹底的安全檢查之後，該公司預計於12月9日進行系統維護，屆時將暫停所有的交易。</p> <h4><a href="https://www.trendmicro.com/en_us/research/21/l/vulnerabilities-exploited-for-monero-mining-malware-delivered-via-gitHub-netlify.html"><span style="color: rgb(0, 0, 0);"><strong>透過GitHub、Netlify交付的門羅幣惡意軟體利用多個漏洞散布<img alt="" src="https://s4.itho.me/sites/default/files/images/figure1-vulnerabilities-abused-for-monero-mining-github-netlify.png" style="width: 300px; height: 178px; float: right;" /></strong></span></a></h4> <p>日前Apache修補已遭利用的HTTP伺服器漏洞CVE-2021-42013，近期趨勢科技在著手調查受害範圍時，發現這個漏洞也被用於挖取門羅幣的攻擊行動，而且，攻擊者同時針對其他應用系統的漏洞下手，包含了：</p> <p>● Atlassian Confluence（CVE-2021-26084、CVE-2021-26085）<br /> ● F5 BIG-IP（CVE-2020-5902、CVE-2021-22986）<br /> ● VMware vCenter（CVE-2021-22005、CVE-2021-21985、CVE-2021-21972、CVE-2021-21973）<br /> ● Oracle WebLogic Server（CVE-2020-14882、CVE-2020-14750、CVE-2020-14883）<br /> ● Apache（CVE-2021-40438、CVE-2021-41773、CVE-2021-42013）</p> <p>研究人員發現，攻擊者將挖礦工具與指令碼，存放於程式碼代管平臺GitHub和Netlify，這2個代管平臺獲報後已移除有關帳號。</p> <h4><strong><a href="https://blog.talosintelligence.com/2021/12/magnat-campaigns-use-malvertising-to.html"><span style="color: rgb(0, 0, 0);">攻擊者同時利用後門程式、瀏覽器外掛程式、竊密軟體偷竊受害電腦資料<img alt="" src="https://s4.itho.me/sites/default/files/images/image15.jpg" style="width: 250px; height: 253px; float: right;" /></span></a></strong></h4> <p>思科旗下的威脅情報小組Talos指出，他們發現約自2018年下旬開始活動的駭客組織Magnat，這個組織以提供常見應用程式的安裝軟體為由，誘使受害者在電腦上安裝惡意軟體，鎖定加拿大、美國、澳洲，以及部分歐盟國家而來。一旦受害者執行了駭客提供的「安裝軟體」，電腦就會被植入後門程式、竊密工具，以及Chrome瀏覽器外掛程式等3種惡意軟體。思科認為，駭客的目的很可能是透過銷售竊得的帳密，或是藉由詐騙交易，以及遠端存取受害電腦等方式牟取經濟利益。</p> <h4><a href="https://www.ithome.com.tw/news/148215"><span style="color: rgb(0, 0, 0);"><strong>盜版工具KMSpico驚傳竊取瀏覽器個資與加密貨幣錢包</strong></span></a></h4> <p>資安業者FollowRed Canary警告，被用來破解微軟Windows及Office產品的盜版工具KMSpico，暗藏了惡意程式Cryptbot，將可竊取多種加密貨幣錢包，以及Avast Secure、Brave、Opera、Chrome、Firefox、Vivaldi等瀏覽器的機密資訊。研究人員指出，由於這項工具被防毒軟體視為潛在的有害程式，使用者執行時往往會先關閉防毒軟體，而讓駭客有了可乘之機。</p> <h4><a href="https://www.mandiant.com/resources/russian-targeting-gov-business"><span style="color: rgb(0, 0, 0);"><strong>發動SolarWinds供應鏈攻擊的俄羅斯駭客，仍持續針對全球政府和組織發動攻擊</strong></span></a></h4> <p>資安業者Mandiant追蹤發動SolarWinds供應鏈攻擊的俄羅期駭客組織UNC2452（亦稱Nobelium），並於12月6日揭露後續成果。結果發現，與UNC2452有關的2個駭客組織UNC3004、UNC2652，自2020年開始已對於多個科技業者與經銷商下手，並透過第三方取得初始的入侵管道，而在2021年第1季，這些駭客冒用特權帳號來探索敏感的電子郵件資料，再使用家用IP代理伺服器服務與地理位置基礎設施，與受害電腦進行通訊。研究人員表示，這些駭客不只會繞過虛擬機器，還會收集內部路由組態資訊。此外，攻擊者也濫用智慧型手機的推送機制，通過多因素驗證（MFA）。</p> <h4><a href="https://blogs.microsoft.com/on-the-issues/2021/12/06/cyberattacks-nickel-dcu-china/"><span style="color: rgb(0, 0, 0);"><strong>中國駭客組織Nickel用於發動攻擊的網站遭到扣押</strong></span></a></h4> <p>微軟於12月2日向美國維珍尼亞東區地方法院提出訴狀，請求封鎖中國駭客組織Nickel（亦稱KE3CHANG、APT15、Vixen Panda、Royal APT、Playful Dragon）所經營的網站，該網站被用於攻擊美國與其他28個國家。該組織的攻擊目標涵蓋北美洲、中美洲、南美洲、加勒比地區、歐洲，以及非洲等地區的外交組織及外交部，且攻擊行動往往與中國地緣政治及利益存在關連。這項訴狀得到法院核准，並於12月6日封鎖Nickel的網站，有關流量將被引導到微軟的安全伺服器。</p> <h4><a href="https://www.ithome.com.tw/news/148201"><span style="color: rgb(0, 0, 0);"><strong>美國網戰司令部加入對抗勒索軟體的行列</strong></span></a></h4> <p>根據紐約時報的報導，自美國最大燃油管道系統Colonial Pipeline與全球最大肉品業者JBS遭到勒索軟體攻擊後，該國政府決定動用軍方資源採取更積極的行動，因此，他們要求美國網戰司令部（U.S. Cyber Command）加入對抗勒索軟體集團的行列。美國國安局局長暨網戰司令部司令Paul Miki Nakasone向紐約時報透露，他們不只是對抗勒索軟體威脅，並從被動轉變為主動，採取主動出擊的策略。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://hacks.mozilla.org/2021/12/webassembly-and-back-again-fine-grained-sandboxing-in-firefox-95/"><span style="color: rgb(0, 0, 0);">Firefox導入新的隔離技術，防範攻擊者繞過沙箱的行為</span></a></strong></h4> <p>自2020年2月底，<a href="https://www.ithome.com.tw/news/136025">Mozilla宣布推出名為RLBox的沙箱技術</a>，將存在資安風險的Firefox元件，透過名為WebAssembly的沙箱執行，並從Firefox 74、75，提供給Linux與macOS使用者。而到了最近，該公司將這項技術再度強化，並自Firefox 95全面提供給所有電腦版及行動裝置平臺的用戶。Mozilla也調整了漏洞懸賞計畫的內容，若是研究人員發現能夠繞過沙箱的攻擊手法，也將有機會獲得獎金。</p> <h4> </h4> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148199">2021年12月6日</a></p> <p><a href="https://www.ithome.com.tw/news/148162">2021年12月3日</a></p> <p><a href="https://www.ithome.com.tw/news/148132">2021年12月2日</a></p> </div></div></div>
2021/12/7 13:18作者周峻佑https://www.ithome.com.tw/news/148225
WhatsApp新功能讓用戶得以設定訊息有效期限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球市場最熱門的行動傳訊程式WhatsApp繼於去年11月<a href="https://blog.whatsapp.com/introducing-disappearing-messages-on-whatsapp/" target="_blank">推出限時訊息功能</a>，今年8月發表<a href="https://blog.whatsapp.com/view-once-photos-and-videos-on-whatsapp" target="_blank">單次檢視的相片及影片功能</a>之後，<a href="https://blog.whatsapp.com/more-control-and-privacy-with-default-disappearing-messages-and-multiple-durations" target="_blank">本周進一步允許用戶設定訊息的有效期限</a>。</p> <p>限時訊息是在使用者啟用後，於對話中所傳送的訊息會在7天之後消失，單次檢視則會在對方開啟相片及影片之後，就會讓內容人間蒸發。</p> <p>本周WhatsApp新增的功能則是讓使用者把限時訊息設定為預設值，使該功能適用於所有新建立的一對一對話，或者也能在建立群組對話時啟用限時訊息，對方也能在使用者啟用限時訊息時收到通知。</p> <p>此外，WhatsApp亦增加了限時訊息的時間選項，除了既有的7天之外，另外提供24小時與90天的選項。</p> <p><a href="https://www.statista.com/statistics/258749/most-popular-global-mobile-messenger-apps/" target="_blank">根據市場調查機構Statista的統計</a>，WhatsApp為全球最受歡迎的行動傳訊程式，用戶數達20億，其它位於前五名的程式還包括Facebook Messenger（13億）、微軟（12.5億）、QQ（5.9億）與Telegram（5.5億）。至於Line則主要盛行於日本、臺灣及泰國等亞洲市場。</p> </div></div></div>
2021/12/7 13:23作者陳曉莉https://www.ithome.com.tw/news/148226
定位服務Life360遭爆自2016年就開始出售用戶位置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/147981" target="_blank">在上個月宣布買下智慧型追蹤器製造商Tile的定位服務業者Life360</a>，在本周<a href="https://themarkup.org/privacy/2021/12/06/the-popular-family-safety-app-life360-is-selling-precise-location-data-on-its-tens-of-millions-of-user" target="_blank">被《The Markup》踢爆</a>，該公司不僅出售用戶資料予十多家資料掮客，還是資料市場最大的供應商之一。Life360承認了資料銷售是該公司的商業模式之一，但禁止客戶再將資料轉售給任何基於執法目的的政府機關。</p> <p>2008年成立的Life360主要提供家人定位服務，以供使用者隨時掌握家人的行蹤，市場版圖擴及全球，儘管總部設於美國，但2019年選擇在澳洲證券交易所掛牌上市，全球用戶約為3,300萬。</p> <p>《The Markup》引述了Life360前員工與多家資料掮客的說法，指出Life360出售用戶的位置資料予十多家資料掮客，而且是資料市場最大的供應商之一。而這些掮客則再將資料出售給其它業者，包括廣告業者在內。</p> <p>報導指出，Life360自2016年就開始出售用戶資料，去年該業務替Life360帶進1,600萬美元的營收，接近Life360總營收的20%。</p> <p>Life360執行長Chris Hulls則坦承，這是該公司商業模式的一部份，讓該公司得以提供免費的核心服務予大多數的使用者，例如改善司機安全或拯救生命等服務。</p> <p>事實上，<a href="https://support.life360.com/hc/en-us/articles/360043228154-Full-Privacy-Policy" target="_blank">Life360的隱私政策已揭露此事</a>。明文指出該公司會與第三方的資料合作夥伴分享用戶資料，包括位置與移動資料，以作為廣告或研究使用，而且它是預設的，使用者必須主動啟用「Do Not Sell My Personal Information」選項才能避免個資被出售。</p> </div></div></div>
2021/12/7 12:47作者陳曉莉https://www.ithome.com.tw/news/148221
AirTag被歹徒用來偷車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果AirTag推出後被發展出各類用法，像是有機車騎士用來追查自己的失竊愛車。但是<a href="https://www.yrp.ca/en/Modules/News/index.aspx?newsId=167fa5b3-3583-431d-8cc0-91e49aee3bff" target="_blank">加拿大警方發現</a>AirTag落在歹徒手裏也能用來偷車。</p> <p>加國安大略省約克郡警方今年9月偵辦的5起車輛竊案，手法都是歹徒利用AirTag跟蹤名車主住處再下手竊車。他們先在百貨賣場或公眾停車場中搜尋目標，將AirTag置於車上不易為人察知的地方，像是油箱蓋、或任何車身凹陷處等。歹徒使用AirTag及iPhone的藍牙定位功能追蹤到車主住家，最後從其車道上將車開走。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1207-airtag%20car%20theft-600-2.jpg" style="width: 314px;" /></p> <p><span style="color:#696969;">圖片來源_</span><a href="https://www.yrp.ca/en/Modules/News/index.aspx?newsId=167fa5b3-3583-431d-8cc0-91e49aee3bff" target="_blank"><span style="color:#696969;">加拿大警方</span></a></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1207-airtag%20car%20theft-600-1.jpg" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_</span><a href="https://www.yrp.ca/en/Modules/News/index.aspx?newsId=167fa5b3-3583-431d-8cc0-91e49aee3bff" target="_blank"><span style="color: rgb(105, 105, 105);">加拿大警方</span></a></p> <p>警方發現，竊賊利用螺絲起子就能在不觸發警報下開啟正或副駕駛座車門。進入車內以網路上買來的匹配儀連接到儀表板下的資料傳輸埠，輸入程式破解晶片鎖，使車子接受歹徒的車鑰，最後將車開走。</p> <p>AirTag會在用戶被他人跟蹤時發出警告，但車主若沒有iPhone或是沒看到訊息，就會錯過通知。</p> <p>除了提醒車主加裝拐杖鎖及停在安全車庫中，加國警方也建議車主封鎖車上系統的傳輸埠、安裝影像監控裝置，並留意車子是否被放入可疑的追蹤裝置。</p> </div></div></div>
2021/12/7 13:00作者林妍溱https://www.ithome.com.tw/news/148222
Facebook Messenger在美測試攤分付帳功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta持續擴大消費金融業務。繼提供使用者以Facebook Messenger轉帳及<a href="https://www.ithome.com.tw/news/94621" target="_blank">Facebook Pay匯款、購物支付的功能</a>後，<a href="https://messengernews.fb.com/2021/12/03/close-out-the-year-with-messengers-new-expression-tools/" target="_blank">上周宣布攤分付帳功能</a>，首先會在美國地區試行。</p> <p>Meta表示，這項免費功能讓一群人可以快速分攤聚餐費用、家人分攤家用開支或和室友分攤房租。這個動作由某一用戶發出要求，他按下群組聊天的「Get Started」鍵或Messenger的支付中心（Payments Hub）後，就可以依人頭平分費用或是修改分帳比例。其他人利用Facebook Pay支付完成（或未完成）情形，也會顯示在群組聊天的通訊紀錄內，點入支付細節則可看到均分者及其付款狀態。</p> <p>今年6月Meta（當時還名叫臉書）也強化<a href="https://www.ithome.com.tw/news/144966" target="_blank">Messenger產生QR code或連結支付功能</a>，方便用戶轉帳或要求友人付款。</p> <p>其他新增功能則投青少年用戶所好，包括在Messenger或IG群組影像通話時即時加入AR特效，以及和《怪奇物語》影集合作的聲音表情符號（soundmoji）。</p> </div></div></div>
2021/12/7 13:12作者林妍溱https://www.ithome.com.tw/news/148223