iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【冠軍模型催生關鍵：業界出題學界解題模式】一場會議催生世界第一物件偵測模型YOLOv4，一張GPU就跑得動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YOLOv4的誕生由一場會議而起。</p> <p>2018年的一個春天，中研院資訊所廖弘源特聘研究員團隊成員們坐在會議室裡，盯著投影簡報上的10道題目。當時沒人知道，這些題目最後會催生出驚艷全球AI社群的物件偵測模型。</p> <p>那是義隆電子與中研院團隊第二次聚會討論，他們因科技部的「業界出題、學界解題」AI計畫相識，共同展開為期4年的改造計畫。那些題目，都是義隆電子研發產品時遇到的挑戰，幾乎都圍繞在電腦視覺上。中研院團隊的核心人物、中研院資訊所所長廖弘源也以「實用」和「能以科學方法解決」這兩個原則，共同篩選出5道題，並從中整理出3項關鍵技術，來集中火力研究。</p> <p><span style="font-size:28px;"><strong>瞄準3技術，解題模型要輕快準</strong></span></p> <p>這3項技術，分別是行人重識別、魚眼鏡頭車流分析，以及手機人臉防偽造。中研院資訊所博士後研究員王建堯解釋，第1項是要辨識同一人在不同場景出現的情況，比如在賣場中，辨識四處移動的消費者，來了解他們的移動軌跡和商品偏好等行為。</p> <p>第2項技術，是要透過裝設在交通號誌下的魚眼鏡頭，來分析道路車流，進一步調控交通號誌燈。至於人臉防偽造，是要防止手機人臉辨識時，有心人以照片或面具來混淆辨識系統。</p> <p>這3種技術雖有各自的應用場景，但其實，它們都面臨同一道挑戰——如何在運算資源不足的低階設備上，執行AI推論且達到高準確度。比如，2018年的手機運算資源有限，大多未內建AI加速晶片，團隊得開發出輕量、準確且快速的AI模型，才能在手機上執行臉部防偽辨識。又比如，要利用魚眼鏡頭畫面來分析車流，只能仰賴交通號誌燈下的簡易供電系統，得選用功耗較低的Nvidia Jetson TX2開發板，運算資源只有一般GPU的十分之一，因此AI模型也得又輕又快又準，才能達到要求。</p> <p><span style="font-size:28px;"><strong>三番兩次研發新方法，拉高15%準確率突破通用性瓶頸</strong></span></p> <p>廖弘源帶著研究員王建堯，負責實踐第1項技術。成功開發出符合要求的辨識系統，但後來考量，這種在公共場所辨識個人的技術，日後可能涉及隱私議題，第一年還沒結束就決定終止，不再繼續研究了。</p> <p>而第2項技術，原由另一組中研院團隊負責。這道題同樣為期4年，每年訂出階段目標。2018年，計畫第一年要完成魚眼車流分析，第二年則是實現路口停等車隊與車流分析、混流車牌識別、行車魚眼多物件追蹤等任務，2020年要結合前兩年的技術，來建立路口交通號誌控制系統。2021年，則進一步完善智慧交通路網號誌控制系統，透過混流車牌識別技術，以科技執法來揪出違規車輛。</p> <p>在2018年展開計畫後，原團隊採用當時熱門的開源物件偵測模型YOLOv3，來分析魚眼鏡頭拍攝的十字路口畫面，進一步辨識車輛、車種，並計算車流量、平均速度、路口平均佔有率等。</p> <p>這套基於YOLOv3的模型，能良好辨識在訓練資料集有涵蓋的場景，但將模型部署到臺中主要幹道的真實場域後，辨識準確度反而下滑了，只有80%左右，無法達到專案要求的90%。</p> <p>YOLOv3已是世界級的物件偵測模型，但研究團隊調校再調校，仍無法解決問題在真實場域中準確度不足的問題。這時，終止第1項技術研究的廖弘源和王建堯加入了第2項技術團隊，來解決這個瓶頸。</p> <p>為了解題，也為了配合硬體資源限制，王建堯先是參考了輕量的物件偵測模型ResNet，改良其學習策略，開發出一套快速、低功耗的輕量級電腦視覺模型PRN。PRN雖比YOLOv3快上兩倍，但準確度比YOLOv3差。</p> <p>第一次嘗試失利，但王建堯再接再厲，2019年研發出CSPNet，提高模型梯度組合，也最大化梯度多元性，一改卷積網路為人詬病的梯度消失問題，大大提高模型學習效率。CSPNet不只耗費的硬體資源更低，準確率也更高。</p> <p>更重要的是，CSPNet部署到真實場域後，面對訓練時未見過的場景，「辨識準確率比基於YOLOv3的模型高出15%！」終於解決前一年難以突破的瓶頸，王建堯回想起來，還是難掩興奮：「CSPNet可以用差不多的速度，突破90%準確率，甚至接近95%！」他點出，這也是義隆電子印象深刻之處，更證明了CSPNet更通用的能力。</p> <p><span style="font-size:28px;"><strong>開源習慣養出YOLOv4</strong></span></p> <p>2019年11月，王建堯按照慣例，也將自行研發的CSPNet專案程式碼開源。有別於學界常用Python來開發AI模型，熟諳晶片軟硬體技術開發的王建堯，自己從2018年開始，就用業界常用的C和C++程式語言，搭配YOLO專用的深度學習框架Darknet來開發模型。因此，不論是PRN還是CSPNet，他一律開源，貢獻給YOLO社群，也因此與社群培養出緊密的關係。</p> <p>「我們開源模型，來尋求原版框架的支援，因此而獲得在GitHub與YOLO社群上的密切討論。」王建堯回憶，他開源的模型，通常會在短時間內獲得Darknet支援，也數次被納入電腦視覺界重要的函式庫OpenCV中。他也會將開發出的新功能程式碼，直接交由YOLOv3 Darknet的維護者Alexey Bochkovskiy處理，新增至新版模型中。這次合作也讓王建堯與Alexey Bochkovskiy開始熟悉，後來Alexey更成了將YOLOv4帶進國際社群的關鍵人物，也名列YOLOv4共同作者。</p> <p>因為，2019年那次開源後，Alexey Bochkovskiy立刻就被CSPNet吸引。他主動聯絡廖弘源和王建堯，要用3種GPU來測試CSPNet性能，還要進一步以CSPNet，開發下一代YOLO模型。</p> <p>不出所料，CSPNet在3種GPU測試中都拿下第一，三方也緊接著在2020年初著手打造新模型。他們以CSPDarkNet53為新模型的Backbone，來加強卷積網路學習能力，Neck部分則加入空間金字塔池化層和PANet，前者用來強化接受區域（Receptive field）作用，能將最重要的特徵區分出來，後者則取代YOLOv3的FPN，在不同等級的偵測器中聚合參數。Head的部分，則採用YOLOv3。</p> <p>過程中，這三人不僅分工開發，Alexey Bochkovskiy也拿著論文草稿，來與YOLO前三代的原作者一一討論。在一連串的努力下，去年4月，YOLOv4正式發表。</p> <p><span style="font-size:28px;"><strong>別讓我知道資料長怎樣！高標準測試讓YOLOv4一問世就成第一</strong></span></p> <p>他們對YOLOv4的講究，還不只如此。在測試模型通用性的關鍵階段，王建堯特別要求義隆電子團隊，「千萬別讓我們知道一部分的標註資料長怎樣！」這是因為，這麼做，模型開發者就不會根據那些資料來設計模型，而是採取更通用的設計方法。</p> <p>而且，「訓練資料與測試資料完全無關，就像是盲測，測出的結果也更公平公正。」王建堯補充，正因為用更嚴格的標準來要求，模型實作出來後，成果往往比預期更好。</p> <p>經嚴格標準打造的YOLOv4，在去年秋季舉辦的微軟COCO即時物件偵測挑戰賽中，一舉奪下全球第一，擊敗Google、臉書、IBM等擁有大量資源的科技巨頭。</p> <p>這個第一名，YOLOv4穩坐了好幾個月。</p> <p>這讓王建堯很訝異。他坦言，一路來，他和團隊只想著如何解決義隆電子難題，要打造一套模型，能在運算資源有限的低階設備上，又輕又快又準地辨識物件。當時，他們就發豪語要超越世界第一，來實現目標，「只是當我們做到後，我沒想過，其他人還沒跟上來。」王建堯解釋，那段時間裡，也有許多團隊在研發更好的物件偵測模型，但研發成果還不及YOLOv4，有段時間差。</p> <p>他也認為，YOLOv4之所以能成為影響世界的AI模型，正因為有業界出題、學界解題這種產學共創模式。「這對AI技術發展很重要！」他點出，學界和業界容易存在技術落地的鴻溝，而產學共創模式，能讓學界了解業界面臨的實際問題，進而研發出能落地的技術。王建堯強調，業界少有「共享知識」的習慣，而學界研發新技術，幾乎得公開發表論文、開源模型，在知識的共享上更為開放。整合業界與學界的知識，就能產出令人驚豔的成果。</p> <p><span style="font-size:28px;"><strong>YOLOv4讓一般企業、個人都能負擔得起AI研究</strong></span></p> <p>不過，對他來說，YOLOv4最大的意義不在於輕、快、準，而是物件偵測技術的普及。「很多模型開源後，一般人不見得能用。」他解釋，因為這些模型大多得仰賴昂貴的硬體設備，如好幾百個TPU，甚至上千張GPU才能訓練模型。相反地，YOLOv4只需個人電腦上的1個GPU，就能訓練好模型、進行推論，甚至，它比科技巨頭用上千顆GPU訓練出的模型還還有更好的表現。</p> <p>「YOLOv4最大的效果是，人人可做AI研究，而不只侷限於大科技公司！」王建堯說。</p> <p>開發出YOLOv4後，王建堯也馬不停蹄展開新研究。因為，義隆電子在去年底，給團隊開出了一個新目標，不只要模型輕快準，還要能執行多任務，而且每個任務都要能做好。</p> </div></div></div>
2021/12/13 07:00作者王若樸https://www.ithome.com.tw/news/148299
【冠軍模型接班人，整合顯隱性知識架構】不只物件偵測快又準，YOLOR能一心多用秒解多任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148299" target="_blank">打造了世界第一快又準的物件偵測模型YOLOv4，讓全世界看見臺灣的AI實力後</a>，中研院沒有停下創新的腳步，反而挑戰更大更難的目標。這一次，他們不只要超越世界第一快的前代模型，還要能一心多用，讓一個模型就能處理不同任務。</p> <p><span style="font-size:28px;"><strong>整合有意識學習的顯性知識與無意間吸收的隱性知識</strong></span></p> <p>什麼是YOLOR？</p> <p>有別於專攻物件偵測的YOLOv4，YOLOR是一套截然不同的類神經網路，「它像一個記憶外掛，能儲存所有輸入模型的訊息。當模型需要執行多任務時，就能從中撈取所需資訊，而不必像傳統方法那樣，從頭訓練模型。」YOLOR核心開發者、中研院資訊所博士後研究員王建堯這麼比喻：「它有如人類的大腦，結合了有意識學習的顯性知識（Explicit knowledge）和無意間吸收的隱性知識（Implicit knowledge），當被問及相關問題時，可從隱性知識中撈出關鍵資訊來回答。」</p> <p>舉例來說，傳統上，訓練一套辨識鳥類的模型，訓練資料會包含鳥類以外的各種資訊，但為了辨識鳥類這個任務，模型只會抽取鳥類特徵來學習，最後也只能訓練出辨識鳥的能力。但要AI模型再學會辨識狗，就得靠遷移學習加入其他資料、重新訓練模型才行，或是，開發者得重新收集狗的照片，標註後再拿來訓練模型，模型才學會辨識狗。</p> <p>但YOLOR不這麼做。它簡化了這個流程，整合了所有輸入資料的特徵，當模型需要辨識鳥，它能用鳥的特徵來學習辨識，當模型需要辨識狗時，模型就會從整合的特徵中，抽取出狗的特徵，來學習辨識狗。這個方法，讓模型只需學習一次，就能應付多種任務。</p> <p>也就是說，傳統上，一個深度學習模型只能利用特定資料，執行一種任務的限制，YOLOR已經克服了。無獨有偶，這也是人人都想突破的挑戰，多任務型AI是現在頂尖科技公司如Google、微軟、臉書等，都想突破的前瞻課題。</p> <p><span style="font-size:28px;"><strong>整合關鍵：一套統一、通用的表徵</strong></span></p> <p>YOLOR的特色，從它的名字---You Only Learn One Representation---就可窺知。「它靠一個統一表徵（Unified representation），來收集輸入模型的所有特徵，這些特徵都儲存在表徵裡，日後模型要執行其他任務時，就會從中提取特徵來學習，」YOLOR另一位核心開發者、中研院資訊所所長廖弘源進一步解釋。</p> <p>意思是，這個表徵（Representation）是各種特徵（Feature）的總和。舉例來說，我們會用身高、體重、戴眼鏡、年齡、髮色和腔調等來形容特定的某人，這些身高、體重、年齡等細節就是特徵，這些特徵組合起來，就是一個表徵，用來代表某個人。</p> <p>這個統一表徵是YOLOR的核心。廖弘源和王建堯在YOLOR論文中寫道，YOLOR是一套統一的類神經網路，透過整合顯性知識和隱性知識，來學習一套通用的表徵，而後用來執行各種電腦視覺任務。</p> <p>他們也在論文中，定義了顯性知識和隱性知識。顯性知識是模型執行任務所需，且與輸入有關的特徵，隱性知識則是模型執行任務時，不依賴輸入資料、僅與任務有關的特徵。比如辨識動物時，模型只需輪廓，不需顏色，此時顯性知識和隱性知識便能從統一表徵中，提取出輪廓，作為辨識任務。</p> <p>為驗證這兩種知識的特徵，他們也將YOLOR的隱性知識應用於核空間校正（Kernel space alignment）、預測精煉（Prediction refinement）和多任務學習三種方法，來展示這兩種知識特徵帶來的效益。</p> <p>接著，他們用向量、類神經網路和矩陣分解三種方法，來對隱性知識建模，並用微軟COCO電腦視覺資料集，來測試這些模型。他們發現，不論是類神經網路還是矩陣分解，都能有效提升電腦視覺模型的表現，其中，矩陣分解的效果最好。而顯性知識建模的方式，則可使用NLP常見的Transformer模型、可處理時間空間成對注意力的Non-local Networks模型等。</p> <p>在整體執行流程上，YOLOR會將一開始輸入至模型的所有特徵儲存起來，形成一個統一、通用的表徵。當模型學會第一個任務（比如辨識鳥類）後，要再學習辨識狗時，就能從統一表徵中提取狗的特徵，直接用來訓練套模型。</p> <p>當然，使用者也可在同樣的模型上，加上幾層輕量的類神經網路，來加強訓練。之後，模型就能執行第二個任務，甚至能同時執行辨識鳥類和狗這兩個任務，不需要重新收集資料再訓練。</p> <p><span style="font-size:28px;"><strong>不只整合知識，更能套用到任何CNN模型上</strong></span></p> <p>在YOLOR中，隱性知識和顯性知識就像是外掛模型，等於用兩種模型，透過不同的深度學習方法，各自訓練這兩種不同知識，再整合到通用的表徵系統中，從通用表徵抽取當前任務所需要的資訊。</p> <p>王建堯更點出，整個YOLOR能如外掛般，套用到各種電腦視覺模型上，來加速學習歷程和準確度，不必再針對不同任務使用不同模型。甚至可以有很多套主模型，針對不同任務來訓練，但都搭配同一個外掛模型，打造出一個可以支援多任務的通用模型。</p> <p>在實作上，他就用YOLOR來改善YOLOv4，發現YOLOR不只能將YOLOv4的平均準確度從43.5%提升到50%，在同等準確度下，還能將Scaled-YOLOv4的推論速度提高超過300%，並讓原本只擅長物件偵測的YOLOv4，具備執行各種電腦視覺任務的能力，舉凡影像辨識、實例分割、物件偵測、物件追蹤等都難不倒它。</p> <p>有了YOLOR，YOLOv4如虎添翼，不必重新收集資料，就能學會這些任務。「這是一種簡單、高效的方式，讓既有模型快速學習新任務，」王建堯指出，YOLOR只需要極少的訓練成本（少於1萬個參數和運算量），就能實現目標，而且完全不增加推論成本。</p> <p><span style="font-size:28px;"><strong>COCO即時物件偵測排行榜包辦前四、Waymo挑戰賽全球第二</strong></span></p> <p>這套YOLOR，也在今年的微軟COCO即時物件偵測排行榜中，一口氣拿下前4名。不只如此，它也在自駕車龍頭Waymo舉辦的開放資料集挑戰賽中大顯身手，滴滴出行聯手天津大學利用這套演算法，在這場平面即時物件偵測挑戰賽中拿下全球第二。</p> <p>物件偵測是自駕車最重要的AI技術之一，愈快分辨出道路上更多種物件，自駕車就能更及時採取適當的因應方式，需要減速、急煞、小迴轉或加速通過等，都得在百分之一秒，甚至是更短時間內辨識完成。</p> <p>這場挑戰賽的目的，是要評比模型從影像中偵測2D物體的準確度和即時性，如行人偵測、車輛偵測、單車騎士偵測、號誌偵測等。滴滴出行團隊聚合了多個一階偵測器（One-stage detector），並用多樣的輸入策略來訓練模型，讓模型能更準確偵測每個類別，特別是小型物件。這些一階偵測器，就是YOLOR模型的不同優化版本。</p> <p>他們看好YOLOR的速度和精準度，採用了一系列YOLOR模型，像是以速度最快的YOLOR-P6作為基準模型，來降低延遲，另也採用參數更多、更精準的YOLOR-W6加入辨識。</p> <p>在模型推論加速框架TensorRT的加持下，滴滴出行的模型mAP（平均精確度均值）可達75%，拿下世界第二，YOLOR-P6則緊追在後。</p> <p>「YOLOR（Scaled-YOLOv4-based）是這次競賽中最快、最準確的模型，而且比YOLOv5和Detr還要準確，」YOLOv3的維護者、YOLOv4論文共同作者Alexey Bochkovskiy在這次競賽的GitHub網站上寫道。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%963-Waymo%E6%8C%91%E6%88%B0%E8%B3%BD-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%9E%A2%E5%B9%95%E6%88%AA%E5%9C%96.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>今年自駕車龍頭Waymo舉辦的2D即時物件偵測大賽中，滴滴車行以YOLOR打造的模型MapVision拿下全球第二。</strong></span></p> <p><span style="font-size:28px;"><strong>AIoT和多模態是未來應用場景</strong></span></p> <p>YOLOR跟YOLOv4去年一樣，一登場就在國際競賽奪下實戰成果，迅速擄獲各國研發團隊的目光。但王建堯對YOLOR有更大的期待。</p> <p>「YOLOR是為了未來AIoT所打造的AI模型。」他解釋，以往AI運算多在電腦上執行，因此有足夠的算力，執行不同模型來解決不同任務。但IoT設備上的運算資源非常有限，難以支援多個模型，來執行不同任務。</p> <p>於是，為了讓IoT設備有效執行模型運算，就得讓單一模型具備執行不同任務的能力。比如，單一模型要能對一段輸入影片，進行物件偵測、追蹤、語義分割，甚至是行為預測等任務。</p> <p>這正是廖弘源和王建堯設計YOLOR的理念，要讓YOLOR找出用於不同任務的統一表徵，來服務多種任務。如今，它也證明了能實現多任務，接下來，YOLOR還要進一步擴大到「多模態運算」的能力。</p> <p>王建堯解釋，多模態的意思是，不同的IoT感測器，可收集不同型態的資料，比如影像、影片、聲音、震度、溫濕度等資訊，這些涵蓋不同型態的資訊集，就是一種多模態（Multi-modal）資料。而過去，一個模型只能處理單一模態的資料，例如只能處理文字資料，或是只能處理影像資料，但現在，YOLOR可對一種資料（例如影像），進行多任務訓練和推論。但同樣的架構可再擴大，他們的未來目標，就是要透過一套通用的表徵，讓一個模型也能處理多模態資料，實現多模態運算和預測。</p> <p>不過，多模態AI並不是新點子，科技巨頭近年大力壓寶Transformer架構，就是在挑戰多模態課題。Google在2017年，發表了這個用來處理時序性資料的類神經網路Transformer，以它為基礎，在隔年打造出知名的NLP預訓練模型BERT，不僅參數破億，無方向性運算的特性，更在各項NLP基準測試奪冠，引發其他科技巨頭爭相投入。</p> <p>OpenAI也馬上利用Transformer架構，在2019年打造出功能強大的文字生成模型GPT-2，2020年則推出第三代GPT-3，它所產生的文章流暢度，連真人都難以辨別。GPT-3也因此與BERT齊名，被視為NLP的劃時代里程碑。</p> <p>但Transformer不是只能用於文字資料。2020年夏天，臉書用Transformer架構來打造影像辨識模型，發表套電腦視覺模型DETR，不只簡化影像辨識工作，表現還達到如Faster R-CNN的高階預測水準。</p> <p>Google也在同年10月，揭露用Transformer架構實作電腦視覺任務的成果，號稱比CNN更有效率，也就是全球社群愛用的ViT模型（Vision Transformer）。此文一出，更引來各大AI領袖和全球機器學習社群的關注。因為，兩大巨頭證實了Transformer的電腦視覺潛力，很可能擠下獨佔鼇頭的CNN，同時也證明Transformer架構處理不同模態資料的能力。</p> <p>這波浪潮，在今年更是大大掀起。2021年初，OpenAI就以Transformer架構，打造出可同時處理影像和文字這兩種模態資料的模型DALL·E，號稱是影像版的GPT-3。臉書也跟著發表一套模型UniT，用Transformer架構來同步處理2種模態資料和7種任務，如自然語言處理、自然語言理解（NLU）、影像辨識、物件偵測等。特別的是，這套模型都用同套參數來學習不同任務，離通用AI又更近了一步。</p> <p>Google也在自家年度開發大會I/O上，也揭露了兩款能同時處理文字和影像的Transformer模型，甚至還預告要用來改善Google搜尋的使用者體驗。與此同時，Line也聯手母公司韓國Naver，揭露了一款以Transformer打造的多語言模型HyperCLOVA，不只用於自家企業級AI產品，還要讓它學會處理影像資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%961-YOLOR-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Karol%20Majek%E7%9A%84%E5%80%8B%E4%BA%BAYouTube%E9%A0%BB%E9%81%93.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Karol Majek的個人YouTube頻道</span><br /><strong>YOLOR模型開源後，也有不少開發者拿來實測。波蘭一位自駕車專家Karol Majek就用YOLOR D6模型打造路況即時監測系統，並將釋出監測結果影片。模型不僅能監測車輛、行人，連右方角落容易忽視的行人包包都能偵測</strong></span></p> <p><span style="font-size:28px;"><strong>目標一致，但設計思維略有不同</strong></span></p> <p>雖然Transformer和YOLOR兩大模型都要挑戰共同的多模態問題，但彼此的設計思維截然不同。</p> <p>Transformer模型的參數動輒數十億，甚至達到數百億個，需要非常龐大的運算資源，才能訓練出預訓練模型，因此成為大型企業才有財力發展的技術，而大多數人，只能使用已經做好的預訓練模型。可是，也不是人人都敢放心用預訓練模型，臺灣曾有家金控，擔心這些大企業的預訓練模型，使用的訓練資料存有版權疑慮，只得斥資自行從頭訓練模型。</p> <p>但YOLOR的出發點就不同了。它瞄準AIoT場域，從設備硬體資源有限的前提下，來挑戰同樣的多模態需求。倘若能成功，YOLOR就能有別於科技巨頭靠財力堆疊Transfomer模型的作法，走出另外一條更多人可以負擔得起的多模態發展新方向。</p> <p>「Transformer和YOLOR要解決的問題很類似。」王建堯解釋，Transformer架構有個很重要的技術，也就是嵌入（Embedding），專門用來將特徵映射到空間中。</p> <p>「這個概念與統一表徵很像，」王建堯繼續說，如果能將嵌入特徵納入到統一表徵中，「其實任何架構都能實踐多模態AI，」他直言。在前往多模態AI的路上，王建堯看到了一道通往終點的曙光。</p> <p> </p> </div></div></div>
2021/12/13 07:00作者王若樸https://www.ithome.com.tw/news/148301
【冠軍模型幕後推手：中研院資訊所博士後研究員王建堯】靠軟硬整合實力拿下兩次世界第一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一時間的抉擇，往往決定一個人的人生際遇。如果中研院資訊所博士後研究員王建堯大學時，沒有下定決心「先碰硬體、再學軟體」，就不會催生出風靡全球的物件偵測模型YOLOv4，甚至是後來低運算AIoT設備也能用的多任務物件偵測模型YOLOR。</p> <p>王建堯進大學時，就清楚訂好未來的發展藍圖。他計畫先把晶片硬體鑽研透徹，唸研究所時，再進一步探究硬體背後的軟體理論，尤其是機器學習。</p> <p>這個決定一步步推著他，在去年先打造出全球AI社群都為之驚艷的物件偵測模型YOLOv4，一舉成名後還馬不停蹄研發出更強大、更通用的多任務外掛模型YOLOR。甚至，他也為下一步布好局了。</p> <p><span style="font-size:28px;"><strong>大學攻硬體，研究所理論帶入實戰催生YOLOv4</strong></span></p> <p>「我是IC設計出身，」他說。雖然靠演算法程式揚名世界，但王建堯大學就讀中央大學資工系時，反而是鎖定硬體晶片的設計，用4年摸熟小巧不起眼但極為關鍵的IC晶片。IC晶片是數位時代的基石，舉凡手機、電腦、各種3C，甚至是IoT感測器、汽車和家電，都得靠它扮演大腦。</p> <p>從紮實的硬體課程中，王建堯累積了各項IC晶片運作原理的知識，讓他清楚知道，開發類神經網路的演算法該如何撰寫，才能有效利用晶片資源。這正是後來，他開發出輕薄又強大的YOLOv4和YOLOR的關鍵。</p> <p>有了硬體知識的基礎，王建堯就讀研究所時，跨出了硬體領域，轉而進入軟體世界，加入中央大學資工系教授王家慶的深度學習與媒體系統實驗室（DLMS），專攻機器學習理論。</p> <p>在一次實驗中，他研究起壓縮感測（Compressed sensing）技術。這是一門發展了數十年的領域，用於將類比訊號轉換數位訊號過程中，來過濾雜訊訊號，抽取出少量但更有意義關鍵訊號的技術，例如相機、攝影機影像畫質優化，或讓核磁共振影像更快更清楚成像的關鍵技術。</p> <p>但這只是王建堯當時嘗試的眾多實驗之一，而非他的主攻項目。直到2016年，他進入中研院資訊所所長廖弘源的研究團隊後，過往學到的經驗，才發酵起來。</p> <p>在中研院，王建堯從理論踏入實戰。「廖老師特別著重開發對人類有幫助的系統，」他回想，自己從純機器學習理論一步跨到實用系統開發，先前所累積的知識經驗，一併帶上戰場。這場實戰，就是2017年科技部的「業界出題、學界解題」AI計畫。</p> <p>廖弘源團隊與義隆電子合作，要來解決AIoT智慧交通運算難題，雙方的目標是開發出又快又準、耗能又低的物件偵測模型，來捕捉道路上車輛資訊，並在邊緣裝置上運算。這個難題，就是YOLOv4的誕生契機。</p> <p>在開發過程中，王建堯的經驗再次扮演要角。他首先設計一套局部殘差網路（PRN），速度比當時最流行的物件偵模型YOLOv3快兩倍，但準確度卻差了2%，不夠理想。在這個基礎上，他再次嘗試，從理論和邊緣運算硬體經驗下手，延續PRN的設計理論，同時整合了硬體推論速度加速的規則，打造出跨階段局部網路CSPNet。</p> <p>這套CSPNet學習效率更好、更準確、硬體耗能更低，王建堯總結：「它是軟硬體整合的最佳化架構設計。」CSPNet開源後更吸引YOLOv3 DarkNet維護者Alexey Bochkovskiy，三人進一步聯手打造出一款包含CSPNet、YOLOv3、PANet等各種優化技術的物件偵測模型：YOLOv4，一問世就奪下2020年9月的MSCOCO物件偵測競賽冠軍。</p> <p><span style="font-size:28px;"><strong>壓縮概念催生YOLOR，用最少資料量表達最大量資料</strong></span></p> <p>雖然所開發的模型站上世界第一的寶座，但王建堯並未自滿。在中央研究院資訊所所長廖弘源的帶領下，他一邊與清大資工系教授林永隆、臺大資工系教授莊永裕組成團隊，繼續進行多物件追蹤的研究。但過程中又再度碰壁，遇上了一個挑戰。</p> <p>「我們發現，物件偵測模型所截取的視覺特徵，無法有效運用於物件追蹤任務。」也就是說，從辨識需求這項任務所找到的特徵，換個任務後，效果卻不好。王建堯說，他開始思考，如何讓一個模型學習到的特徵，有效運用於各式各樣的任務，「甚至是未知的任務。」</p> <p>這時，當年在中央大學資工系教授王家慶實驗室中鑽研的技術，也就是壓縮感測中的字典學習和稀疏編碼，浮現在王建堯腦中。</p> <p>壓縮感測技術是目標是，用最少的資料量，來表達最多的資訊。比如，用極小容量的記憶體，來收集不同權重提取出的特徵，將這些特徵編碼後存入記憶體中，「就像一個大賣場，收集各式各樣的商品，需要時再來拿取。」字典學習和稀疏編碼這兩個技術，能讓模型學習更泛化的統一表徵，也就是各式各樣的特徵。</p> <p>後來，王建堯花了兩個月開發出YOLOR，這是一個能保存所有輸入資料特徵的模型。原本專精單一任務的模型，就能利用保存起來的特徵，來學習其他任務，而不必重新訓練，「這就像整合顯性知識和隱性知識的人腦一樣，」王建堯說。</p> <p>在實作上，YOLOR比前一代Scaled-YOLOv4更輕快，不只提升超過300%的推論速度，還減少47%的參數量和43%的運算量，維持同等準確度。而且， YOLOR還隱藏了王建堯更遠大的目標。「這是一個走向通用AI的技術，」他解釋，YOLOR可讓多模態的輸入能投射在統一的表徵空間，並藉記憶中的隱性知識，解碼成各任務的感知結果。</p> <p>如果要給YOLOR打分數，王建堯靦腆回答，自己會打96分。因為，9和6合起來是無限的符號，而YOLOR，正是為未來多任務與多模態技術所打下的技術研究，能開啟無限多種可能。</p> <p>他下一步也朝這個方向發展。他手上正進行一項研究，要找出輕量類神經網路，打造更準更快且能處理多模態任務的模型，應用於IoT裝置上。</p> <p><span style="font-size:28px;"><span style="color:#3399ff;"><strong>【冠軍模型幕後推手：中研院資訊所所長廖弘源】</strong></span></span><br /><span style="font-size:48px;"><span style="color:#3399ff;"><strong>人生最大目標是讓世界看見臺灣</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E5%BB%96%E5%BC%98%E6%BA%90_%E4%B8%AD%E5%A4%AE%E7%A0%94%E7%A9%B6%E9%99%A2_%E8%B3%87%E8%A8%8A%E6%89%80_%E6%89%80%E9%95%B7_20210720_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影＿洪政偉</span></span><br /><span style="color:#696969;"><strong>「我沒做什麼，只是挖掘千里馬，讓他盡情發揮而已。」提及王建堯，中研院資訊所所長廖弘源總是如此謙虛說道。</strong></span></p> <p><span style="color:#696969;"><strong>世界第一物件偵測技術的誕生，一路來，不單單是中研院資訊所博士後研究員王建堯的獨角戲。幕後還有一個推手靈魂人物，也就是王建堯的中研院指導老師廖弘源，他也正是YOLOv4和YOLOR的共同作者。</strong></span></p> <p><span style="color:#696969;"><strong>廖弘源自己也是多媒體影像技術的世界級專家，超過50篇論文發表在全球知名期刊，甚至多篇獲得上百次引用。他更是數位典藏與數位學習國家型科技計畫中，數位典藏相關技術的主要研發者之一。</strong></span></p> <p><span style="color:#696969;"><strong>廖弘源的研究早在20年多前就揚名世界，當時全球人臉辨識技術都用照片的所有像素來辨識，廖弘源帶著學生用統計，證明了五官辨識比全照片辨識更重要。這項獨步全球的研究，也成為當時全球人臉辨識領域必讀的20篇論文之一。</strong></span></p> <p><span style="color:#696969;"><strong>2005年，廖弘源更發表了世界知名的慢換景偵測自動視訊分鏡技術。2008年，臺灣的電視牆看板有能力自動計算觀看人數，背後靠的也是他研發的人臉辨識機制。後來這個技術，還成為影片搜尋機制，描述動作姿勢就能搜尋到影片對應段落。2011年，廖弘源所發表的影像與視訊修補技術，更是臺灣數位典藏計畫中，許多老照片、舊影片能夠修復重生的關鍵。</strong></span></p> <p><span style="color:#696969;"><strong>廖弘源一直都堅持「研發好東西」。2017年有次媒體採訪時，他透露，一生追求發明5項好東西。從他過往研發成果可以看到，他期許的「好」東西，不只是對民眾生活有用，更要能對世界有所貢獻。但他不自居功勞，反而常歸功給自己實驗室所指導的學生們，也勉勵他們，要成為解決長遠問題的科學家，而不是解決當下問題的工程師，王建堯就是其中一位。</strong></span></p> <p><span style="color:#696969;"><strong>王建堯一進入廖弘源團隊、接手處理義隆電子智慧交通專案時，廖弘源就告訴王建堯，要先把手弄髒，先不考慮論文發表，如此才能從動手做的過程中，找出最佳解法。</strong></span></p> <p><span style="color:#696969;"><strong>這樣的開放心態，鼓勵王建堯一步步嘗試不同方法解決問題。像是，為打造更輕量、適合在邊緣裝置運算的模型，王建堯最初提出了一個想法，利用梯度分流來提高模型準確度和運算效率。</strong></span></p> <p><span style="color:#696969;"><strong>「我著實被那場Talk所震撼和感動！」廖弘源說，那是他5年來聽過最好的演講，雖然王建堯第一個嘗試PRN算不上很成功，但兩人持續合作、改進，進一步結合理論和實務，打造出更輕更快、更準確的CSPNet，並開源出來，進一步催生出YOLOv4。</strong></span></p> <p><span style="color:#696969;"><strong>廖弘源直言，最感動他的是，這一系列研究對臺灣及世界造成的影響。比如，YOLOv4在MSCOCO物件偵測競賽中奪魁，打敗Google、微軟、臉書及Amazon組成的強隊，排行榜榜首一坐就是2個半月之久，更成為全球愛用的AI模型。</strong></span></p> <p><span style="color:#696969;"><strong>「這一生最希望的，是讓世界看見臺灣，不要輕視臺灣。」廖弘源透露，YOLOv4發表後，他們隨即在2020年8月成立一支臺灣隊，邀請莊永裕、林永隆兩位教授團隊，來研究「多物件追蹤」。因為，「這是YOLOv4之後，可能再為臺灣爭光的議題，」廖弘源說。這就是今年5月發表的YOLOR，這個模型不只輕、快、準，還能執行多任務，往通用AI邁進了一步。</strong></span></p> </div></div></div>
2021/12/13 07:00作者王若樸https://www.ithome.com.tw/news/148302
YOLOv4輕快準！邊緣即時偵測應用就靠它
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不論是臺灣智慧路網控制，還是疫情肆虐期間各國用來偵測社交距離，甚至是即時從醫學影像中揪出肉眼難辨的病灶，這些智慧應用的背後，都靠一套輕薄但強大的AI模型來驅動，這就是YOLOv4。一如其名You Only Look Once，只要看一眼，就能分辨萬物，比人眼還銳利，已經在許多應用場景中開始發威。</p> <p><span style="font-size:28px;"><strong>連結路況偵測形成智慧路網</strong></span></p> <p>YOLOv4最知名的應用案例，莫過於智慧路網控制系統。YOLOv4本身就因中研院與義隆電子合作的智慧交通計畫而誕生，由於這個模型輕、快、準的特性，在低運算資源的設備上也能執行，因此問世後，雙方就將模型部署至真實的道路場域上，就在桃園的大園區國道2號下匝道路段。</p> <p>義隆電子在該路段連續5個路口的號誌燈上，分別裝設了可拍攝360度路況的魚眼鏡頭，以及可拍攝平面路況的槍型攝影機，並搭配號誌燈下的Nvidia Jetson TX2平臺，來分析道路路口影片。首先，在魚眼鏡頭的影像中，先靠YOLOv4來辨識畫面中的車輛、車種和數量，比如認出汽車、機車、自行車、聯結車等，還能計算出車流量、車行平均速度、路口平均佔有率和車輛間距。而在槍型攝影機畫面中，則靠YOLOv4來辨識各車道線內的停等車種，比如機車、小客車和大型車，並分析這些車間的距離。</p> <p>有了這些資訊，就能用來調節路口交通號誌燈的秒數，緩解車流壅塞。去年8月，桃園、新竹都共同宣布試用這套智慧路網解決方案，臺北市交通局後來也加入試辦，在內科園區堤頂港墘路口架設偵測設備，來進行交通影像辨識，甚至發展出YOLOv4輕量化模型，不只有效辨識車輛和車型，還能針對特殊天候（如晨峰昏峰、劇烈陽光斜射干擾等）來處理影像，強化辨識準確度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%961-%E9%AD%9A%E7%9C%BC%E9%8F%A1%E9%A0%AD-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E4%B8%AD%E7%A0%94%E9%99%A2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／中研院</span><br /><strong>義隆電子將YOLOv4部署至桃園大園區國道2號下匝道路段連續5個路口處，來分析交通號誌燈旁的魚眼鏡頭和槍型攝影機畫面。圖為魚眼鏡頭即時分析畫面，模型可辨識出車種、車速、轉向等。</strong></span></p> <p><span style="font-size:28px;"><strong>巴士盲區警示、空污預測都在行</strong></span></p> <p>不只如此，2021年4月，義隆電子團隊也進一步擴大應用，以YOLOv4打造一套巴士盲區即時偵測系統。該系統會即時分析巴士兩側後照鏡的監視器畫面，並在巴士駕駛前方的螢幕上，標示出巴士車身兩側的紅線區域，要是有機車、自行車或行人出現在該區，系統會以黃色標示，來警示巴士司機，避免碰撞。</p> <p>這套巴士盲區警示系統，除了能應用於公車、巴士、大貨車和大卡車等大型車輛外，也能拓展至一般汽車和電動車。目前，臺灣已有中興巴士採用該系統，義隆也計畫將這套系統銷往東南亞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%962-%E5%B7%B4%E5%A3%AB%E7%9B%B2%E5%8D%80-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E4%B8%AD%E7%A0%94%E9%99%A2.png" style="text-align: center; width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／中研院</span><br /><strong style="color: rgb(105, 105, 105);">義隆電子以YOLOv4打造巴士盲區偵測系統，可即時分析大型車輛兩側後照鏡的畫面，來判斷是否有機車、自行車或行人過於接近，提醒司機留意。</strong></p> <p>不只如此，還用於更多智慧交通應用上，YOLOv4已經用於預測細懸浮微粒（PM2.5）的暴露風險。PM2.5是衡量空氣污染狀況的指標，來源包括汽機車排放廢氣、工廠廢氣和宮廟煙霧等。中研院最近就發起跨領域都會PM2.5暴險的研究計畫，其中一項子計畫，是要透過路口即時空拍影片，以YOLOv4來辨識行人和車輛的移動方向與數量等訊息。有了這些參數，系統就能進一步計算出，民眾暴露在PM2.5下的風險。</p> <p><span style="font-size:28px;"><strong>一眼就知有無戴口罩、保持社交距離</strong></span></p> <p>除了智慧交通有不少應用案例，YOLOv4也在抗疫上發揮了作用。2020年，在COVID-19疫情肆虐下，許多國家紛紛祭出社交距離和戴口罩政策，來降低感染風險。此政策一出，各大研究平臺和程式碼託管平臺GitHub上也出現大量專案，分享如何以物件偵測模型打造社交距離偵測系統，以及口罩配戴偵測系統。</p> <p>其中，包括印度理工學院在內的幾所印度頂尖大學學生，聯手發表一套YOLOv4社交距離監控系統，能直接在道路監視器上，分析所拍攝的畫面，2秒就可推算出路上行人是否保持社交距離，若未保持，則以紅色框線標出未遵守規定的行人。</p> <p>另外，也有羅馬尼亞軍事技術學院的學生，在GitHub上開源以YOLOv4打造的口罩偵測專案PyQt5，可在多個監視器上，同步偵測行人是否配戴口罩。</p> <p><span style="font-size:28px;"><strong>搖身一變成醫師助手，幫揪大腸息肉</strong></span></p> <p>不只是生活應用，在醫學領域上，YOLOv4也能大顯身手。臺灣專攻數位病理的雲象科技，就與國泰醫院和臺大醫院，先是利用YOLOv4打造一款大腸鏡即時AI息肉偵測系統，可在醫生操作內視鏡的同時，以每秒30次的頻率來偵測腸道、快速標示出息肉，準確率在95%左右。</p> <p>雲象表示，選用YOLOv4的原因在於，它能在運算資源較低的設備上，進行近乎即時的偵測。今年，他們進一步導入YOLOv4衍生模型，讓偵測更輕更快。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E5%A4%A7%E8%85%B8%E6%81%AF%E8%82%89-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%9B%B2%E8%B1%A1%E7%A7%91%E6%8A%80.jpeg" style="text-align: center; width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源-雲象科技</span><br /><strong style="color: rgb(105, 105, 105);">雲象科技聯手國泰醫院，以YOLOv4打造一套大腸內視鏡息肉偵測AI輔助系統，以每秒30次的頻率來偵測息肉。今年，團隊進一步將模型改為YOLOv4衍生模型，更輕更快。</strong></p> <p><span style="font-size:28px;"><strong>就連昆蟲移動路徑也能精準掌握</strong></span></p> <p>YOLOv4還有一個特殊應用。中研院生物多樣研究中心研究員沈聖峰就帶領團隊，利用YOLOv4，來分析埋葬蟲的行為。埋葬蟲是一種12至17毫米的小型昆蟲，專吃動物屍體，因此被稱為自然界的清道夫。</p> <p>為理解埋葬蟲的行為，中研院過往都利用攝影機，拍攝埋葬蟲的行為，但難以分析。後來，團隊用UNet和YOLOv4解決問題，先以前者標示出埋葬蟲，每隻都以不同顏色標註，再以後者偵測埋葬蟲位置。如此一來，就能完整記錄每隻埋葬蟲的移動軌跡，並以三維圖來表示。</p> <p>這個方法，能省下過去人工數個月才能分析的時間成本，利用演算法輔助，2周就能完成了。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%964-%E5%9F%8B%E8%91%AC%E8%9F%B2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E4%B8%AD%E7%A0%94%E9%99%A2.png" style="text-align: center; width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源-中研院<br /><strong>中研院生物多樣研究中心利用UNet和YOLOv4打造一套埋葬蟲行為分析系統，以UNet標示埋葬蟲，再以YOLOv4辨識移動位置，進一步描繪出三維的移動軌跡，省下過去數個月的人工觀察時間。</strong></span></p> </div></div></div>
2021/12/13 07:00作者王若樸https://www.ithome.com.tw/news/148303
【小國AI大戰略關鍵推手：前科技部長陳良基看冠軍模型】YOLOv4證明臺灣AI有實力成為世界標竿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「臺灣的AI研究有這個實力，可以成為世界標竿，站上最頂端！」前科技部長陳良基談起YOLOv4，眼睛都亮了起來，他說：「這個AI模型證明了臺灣可以做得到，以前有這實力但不敢嘗試，現在，可以到各領域的國際頂尖領域拼戰。」</p> <p>YOLOv4模型的誕生，來自科技部在2017年發起的「小國AI大戰略」中，「業界出題、學界解題」政策所補助的計畫之一。由義隆電子提問，中研院團隊解題，為了解決路口車流影像分析的難題，才誕生了YOLOv4物件偵測模型，在微軟COCO即時物件偵測挑戰賽中，一舉奪下全球第一，打敗了Google、臉書、IBM等科技巨頭。</p> <p>陳良基正是這項小國AI大戰略的主要推手，他也等於是冠軍模型的間接催生者之一。所以，講起這個冠軍模型的源頭，話匣子就停不下來。</p> <p>「將來誰掌握了數據的科技，在未來的時代就會占優勢。現在是第四次工業革命的進行式，臺灣也要順流而上，搶在浪頭上，發揮原有優勢。」</p> <p>資料、演算法和算力，這是現在各國大力發展AI戰略的三大關鍵，但在4年前，並不是每一個國家都願意如此樣樣壓寶。以晶片研發享譽國際的陳良基，在學校從事研究時，就相當清楚演算法的威力，AlphaGo打敗南韓棋王的故事，讓他驚覺到，AI技術已經走出實驗室，變成了真實世界的應用。</p> <p><span style="font-size:28px;"><strong>沒有掌握AI新電力，所有競爭力都會下滑</strong></span></p> <p>當時陳良基就意識到AI發展，對臺灣未來競爭力的發展，非常關鍵。「明天AI若變成新電力，我們若沒有掌握這個能力，所有競爭力都會下滑，這也代表AI會滲透到各個領域，需要各方面的領域知識。」所以，當陳良基在2017年入閣擔任科技部部長時，就將那一年定為臺灣AI元年，開始在臺灣大力推動AI。</p> <p>但是，臺灣不是大國，許多企業的規模也沒那麼大，「如果什麼AI都做，分散資源，最後可能一點機會都沒有。」他回憶當時決定過程。所以，他在行政院院會報告AI政策方向時強調：「AI戰略應該慎重以對，採取小國大戰略，先承認我們的資源不夠，選定對臺灣未來的重要項目，猛力去攻，才可以打敗第四次工業革命中的世界強國。」</p> <p>大戰略選定了AI，但在戰術執行上，要怎麼聚焦，才能善用有限的資源？當時為了思考臺灣的AI戰略，陳良基和科技部團隊，拜訪了好幾個國家，英國、德國、法國等，來了解他們的AI策略。AI論文數是各國思考AI策略時，經常用來衡量國家AI研發實力的指標。但臺灣人口少，再怎麼比論文數，全世界排名還是處於20名左右，很難名列前茅，「如何能夠拿到非常獨特，甚至是全世界都還沒有人知道的題目。」陳良基換個角度思考：「如果我們可以先解出答案，不論數量多少，每一篇都會受到全世界看重。」</p> <p>但誰能知道「未來的題目是什麼？」若從臺灣學界實驗室擅長的題目來選，每個實驗室都覺得自己的題目最重要，還是難以抉擇。陳良基的原則是「誰在第一線戰場，敏感度就會最高。」所以，他決定改由業界提需求來找出優先議題，「業界未來產業要AI化、或是需要AI如何加持，最欠缺什麼AI技術，就透過學界研發團隊來補足這個缺口。」</p> <p>這個戰術角度的轉換，就催生了「業界出題、學界解題」模式。後來，科技部組成了專家小組進行海選，要找出臺灣得優先推動的AI課題。陳良基對海選小組提出一個要求，最後挑選出來的專案，必須將來有機會落地。由產業和學界聯手，有機會能結合臺灣產業優勢，未來發展成產業生態鏈的專案。</p> <p>最後選出了28個計畫，為了提供行政協助，科技部在大學中，成立四大研究中心，但旗下計畫都採取產學融合的型態來進行。義隆電子和中研院合組團隊的計畫就是其中之一。</p> <p><span style="font-size:28px;"><strong>業界不只貢獻題目，也提供了自己的「資料」</strong></span></p> <p>「業界出題、學界解題」模式，是一種「以終為始」的思考策略，「不是單看一家研究機構實力很強就通過計畫，而是以未來的目標，來決定怎麼組合團隊。」陳良基解釋。</p> <p>業界不只貢獻了題目，也提供了自己的「資料」，讓學界可以研發「演算法」，但在AI發展三大關鍵中，只剩下最後一個環節「算力」。</p> <p>「算力是臺灣的優勢」，陳良基解釋，臺灣擁有半導體產業，也是PC王國，大廠的伺服器都是臺灣製造，「如何運用這些技術，對臺灣來說不難。」所以，在科技部AI計畫中，要投資50億元，來發展AI需要的運算環境。後來，後來由國網中心與廣達、台灣大、華碩組成AI 硬體國家隊，用了半年多的時間合力打造出AI超級電腦「台灣杉二號」，在2018年11月拿下世界排名第20名，再次超越了臺灣歷年排名記錄。</p> <p>「國家幫忙建造運算環境，AI研發團隊專注各種不同的領域知識，用那些領域的資料來建立演算法和平臺。」如此一來，所有需要AI訓練的團隊，就可以有一個能夠快速學習的環境，陳良基強調：「如果沒有好的環境，一個想法要隔兩三個禮拜才能驗證，創新熱度就會消失，若讓想法可以很快證明，就能很快再想另一個點子。」</p> <p><span style="font-size:28px;"><strong>YOLOv4不只帶給學界信心，也讓業界更信賴學界研發實力</strong></span></p> <p>YOLOv4比起其他常見的R-CNN類物件偵測模型更優秀，在年秋季舉辦的微軟COCO即時物件偵測挑戰賽中，一舉奪下全球第一，擊敗了美國AI巨頭Google、臉書、IBM等，甚至這個第一名，YOLOv4穩坐了好幾個月，沒有其他競爭模型可以超越。這在激烈的AI技術競爭上，非常少見。</p> <p>「當你不是做別人已經解過的題目，而是解別人沒有辦法解的題目，越創新，就越能有這個優勢，」陳良基剖析，不只是YOLOv4，接班的YOLOR架構也是全新的想法，跟前面v2、v2、v3甚至是v4版都完全不同。「修改別人的問題，和嘗試創新突破，思考的時間可能一樣，訓練的時間可能一樣久，但你設定標竿的目標，就會走在頂尖的方向上。」</p> <p>當年他還不敢大聲喊出，希望臺灣成為AI標準的制訂者。因為大力推動AI時，他也曾遭質疑是講大話，甚至批評科技部將資源過度集中到單一領域中，但是，「不試試看，怎麼知道呢！」他自己這樣打氣的說。「YOLOv4模型就是證明臺灣可以做得到，可以成為世界標竿，站到最頂端，我們研究人員有這個實力，這對臺灣其他研究者可以帶來信心。」</p> <p>陳良基觀察，YOLOv4自己也成了一個世界級平臺，國外很多人透過開源方式，運用這個模型來展示的應用，也越來越多，「這對國內企業和學界也是一個非常好的標竿。」</p> <p>這樣的指標帶來另一個意義，他補充，企業以前考慮頂尖技術時，都覺得國外團隊比較厲害，臺灣企業跟臺灣團隊合作時，都會秤斤秤兩，有一種給你好處的味道，「YOLOv4可以讓企業知道，最厲害的團隊就在你身邊，不用捨近求遠，反而找國際知名研究團隊。」</p> <p>陳良基對臺灣AI發展還有一個有待實現的大夢。YOLOv4證明了臺灣技術可以比國際大廠厲害，一項又一項創新技術，「若能發展出一家家新創，每一家都有獨門絕活，組成產業聚落，全世界任何品牌要推AI在地服務，臺灣可以成為底層服務的供應者。」他認為，AI代工轉型可以是臺灣的下一個發展方向。</p> </div></div></div>
2021/12/13 07:00作者王宏仁https://www.ithome.com.tw/news/148304
臺灣製造！世界第一物件偵測AI
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1055-feng_mian_gu_shi_1-open-960x420_kao_bei_.jpg?itok=fvy4eC7L" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YOLOv4一問世就擊敗科技巨頭，穩坐世界第一物件偵測模型寶座，接棒的YOLOR一發表也登上排行榜第一，還賦予單一模型秒解多任務的能力。這2款冠軍模型都出自臺灣產學聯手的成果，但這不是偶然，而是臺灣AI國力種出的第一把稻穗</p> </div></div></div>
2021/12/13 07:00未署名https://www.ithome.com.tw/article/148305
Cloud周報第128期：全球第二大奢侈品集團歷峰宣布IT全面上雲，Google正式推出非GCP環境資料擷取服務Dat…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2021/12/02～2021/12/08）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 全面上雲 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 精品集團 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 購物體驗優化 </span></strong> </p> <p><span style="font-size: 22px;"><strong>萬寶龍等品牌母公司宣布搬遷逾5千臺VM上雲，來推動產品創新</strong></span></p> <p>卡地亞、萬寶龍等品牌的母公司瑞士精品集團歷峰（Richemont）宣布全面搬遷IT基礎設施上公有雲，預計在2022年底前，關閉歐洲資料中心，以及搬遷位在香港和美國資料中心的工作負載上雲。歷峰有多個珠寶、手錶、時尚和配飾的知名品牌，是世界第二大奢侈品集團。進一步看該集團的上雲計畫，涵蓋搬遷所有關鍵業務的IT應用，從財務、供應鏈管理、製造，到產品生命週期管理、電商等系統，共計將搬遷超過5千臺VM，以及120個SAP執行個體上雲，來實現基礎設施現代化，並推動全球業務營運自動化。</p> <p>另外，歷峰集團還將使用ML、分析、安全和資料庫等雲服務，來加快開發雲原生應用，發展創新的實體和線上通路服務和產品，像是打造店內客製化服務、視訊提供客製化穿搭諮詢等，來提升顧客的消費忠誠度。<a href=" https://press.aboutamazon.com/news-releases/news-release-details/richemont-selects-aws-its-preferred-cloud-provider-drive-product">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料倉儲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 無伺服器服務 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>AWS資料倉儲Redshift新增無伺服器服務版本，能處理企業複雜的資料分析工作</strong></span></p> <p>AWS在re:Invent大會宣布資料倉儲Redshift新增無伺服器服務（Redshift Serverless）的選項，能根據企業的資料分析工作需求，自動調整和配置運算資源。透過Redshift Serverless，企業載入資料後，不需配置和管理叢集就能執行分析工作，可處理運算需求難以預測的資料分析應用，像是多變的工作負載、具閒置時間的周期性工作，還有應付穩定工作負載突如其來的爆增流量，以及需要快速啟動的臨時分析需求，或是測試開發環境。</p> <p>這項資料倉儲無伺服器服務支援Redshift所有SQL功能，以及支援符合JDBC/ODBC的工具，還有Redshift Data API，讓企業查詢資料，而且可建立Redshift預配置叢集的快照，甚至轉變既有的Redshift叢集為無伺服器服務。企業更新SQL應用程式後，可無縫地使用新的無伺服器端點。計費上，新服務以Redshift處理單元為單位，按秒計算運算容量的使用費，並以Redshift儲存和快照的資料容量，來收取儲存費用。<a href="https://aws.amazon.com/tw/blogs/aws/introducing-amazon-redshift-serverless-run-analytics-at-any-scale-without-having-to-manage-infrastructure/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資料擷取複製 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 無伺服器服務 </span></strong></p> <p><strong style="font-size: 22px;"><strong>Google正式推出資料複製服務Datastream，可即時擷取MySQL資料至BigQuery</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1(97).jpg" style="width: 600px; height: 227px;" /></strong></strong></p> <p>Google雲端正式推出異動資料擷取（CDC）和複製服務Datastream，企業可即時擷取非Google環境資料庫中的資料串流，至GCP平臺服務，包含BigQuery、Google Cloud Storage和Cloud Spanner，來獲得即時分析結果，而可支援的資料庫來源包括了甲骨文和MySQL資料庫。此外，Datastream是一項無伺服器服務，會根據企業的資料使用量，自動配置和管理運算資源的叢集，以及擴充資源，因此，企業不需自行管理基礎設施的容量。</p> <p>除可強化即時性數據分析外，企業也可通過這項新服務，快速複製資料庫、建立資料工作流，以及建立事件驅動架構。Google也將持續增加服務支援的資料庫來源，以及資料複製到的目的地，而美國連鎖超市Schnuck Markets現已採用此服務。<a href="https://cloud.google.com/blog/products/data-analytics/serverless-change-data-capture-and-replication">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 應用程式 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 負載測試 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>微軟推出Azure負載測試服務，可產生大規模負載測試應用效能</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2(46).png" style="width: 600px; height: 341px;" /></strong></strong></p> <p>微軟日前發布Azure負載測試（Load Testing）服務，開發和測試人員能夠使用自定義Apache JMeter腳本產生大規模負載，來測試應用的效能，並獲得洞悉見解，以掌握應用程式的效能瓶頸，進一步進行修復。這項新服務是全託管服務，企業不需建置和管理基礎設施，來生成大規模負載進行負載測試，簡化了應用負載測試的準備工作，也縮短測試所需時間，目前提供預覽版。</p> <p>除此之外，微軟為新服務整合了多項Azure監控服務，像是可觀測服務Monitor，會提供應用程式洞察和容器洞察，可呈現不同負載情境下，應用程式各環節的品質、效能和擴充性，並可以比較不同負載的測試結果，以掌握應用程式狀態的變化。<a href="https://azure.microsoft.com/en-us/blog/introducing-azure-load-testing-optimize-app-performance-at-scale/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 機器學習 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> SageMaker精簡版 </span></strong></p> <p><strong style="font-size: 22px;"><strong>AWS發表SageMaker精簡版Studio Lab，開發者只需電子郵件帳號就能免費試驗ML </strong></strong></p> <p>AWS在12月1日發布SageMaker機器學習平臺的精簡版Studio Lab，使用者不需AWS帳號，就可利用電子郵件帳號註冊，免費使用最高15GB的CPU或GPU的運作環境，來學習和試驗資料科學和ML工作。Studio Lab是基於JupyterLab的筆記本開發環境，使用者進入JupyterLab環境後，能匯入資料集，還有建立與執行Jupyter筆記本，以及複製Git儲存庫、安裝各種開源套件，並編輯程式碼檔案，可讓有興趣接觸ML的開發者、學術人員或資料科學家，嘗試和學習ML工作。</p> <p>Studio Lab目前只支援使用者的單項專案，且CPU最多只可持續運作12小時，GPU則最多能運作4小時，時間一到會暫停運作。不過，Studio Lab具備了自動快照功能，會拍下使用者環境在停止運作前的快照，讓使用者重啟環境後，可以從中斷處繼續執行ML工作。AWS會依序接受使用者的申請，約5個工作天內會接受使用者的使用申請，以確保SageMaker Studio Lab的使用品質。<a href=" https://aws.amazon.com/tw/about-aws/whats-new/2021/12/amazon-sagemaker-studio-lab-no-configuration-ml-service/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端nbsp; </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 風險管理 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 安全調查 </span></strong> </p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">聚焦!Google雲端更新安全管理平臺，可過濾企業不需要時時追蹤的風險調查結果</span></strong></strong></p> <p>Google雲端安全風險管理平臺Security Command Center（SSC），近日新增調查結果靜音（Mute）功能，企業可過濾不需持續關注的安全調查結果，以專注與組織高度相關的安全問題。隨著SSC持續擴大GCP平臺的威脅偵測範圍和細緻度，Google注意到，企業安全分析師收到越來越多調查結果，而難以辨識和修復最關鍵的風險。企業現能利用新的靜音功能，設定調查結果的通知條件，節省審查已確認為可接受風險的時間。</p> <p>企業啟動新功能後，SSC仍會繼續記錄各項GCP環境的風險調查結果，因此，企業還是能隨時查看各項調查的結果，並用以滿足稽核和法遵等需求。目前企業可開啟靜音設定的調查對象，包括位於非生產環境中，不需循嚴格規範的資產，還有在不含重要資料專案中，使用自行管理加密金鑰的建議，或是授予廣泛權限，原本就會對外公布的資料等。<a href="https://cloud.google.com/blog/products/identity-security/announcing-mute-findings-capability-security-command-center">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IoT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位分身 </span></strong></span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;">AWS推出數位分身建置服務IoT TwinMaker，靠知識圖譜串聯不同資料來源，即時更新數位分身資訊</span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/6(11).png" style="width: 600px; height: 203px;" /></span></strong></p> <p>AWS推出數位分身建置服務IoT TwinMaker，企業可匯集多個來源的資料，建置現實物件的數位分身，來模擬作業，提高營運效率。IoT TwinMaker整合了IoT SiteWise、Kinesis Video Streams和S3的連接器，讓開發人員可連接設備感測器、影片和業務應用程式等資料來源，收集各種資料。接著，IoT TwinMaker會自動產生一個知識圖譜，整合並理解各資料來源間的關係，來建置設備、裝置和流程的數位分身，並運用系統的即時資訊，更新數位分身。</p> <p>建置數位分身後，開發人員能使用適用於Managed Grafana的IoT TwinMaker外掛程式，建立數位分身的網頁應用，讓工廠操作員和維護工程師可從網頁介面，監控和檢查設備和工業系統的運作狀態。新服務現在多個AWS地區提供預覽，而西門子、Accenture、科氏工業子公司Invista等企業已開始使用IoT TwinMaker。<a href=" https://aws.amazon.com/about-aws/whats-new/2021/11/aws-iot-twinmaker-build-digital-twins/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自動編譯 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Python </span></strong></span></p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">SageMaker增Python編譯器功能Training Compiler，最高可提升模型訓練5成速度</span></strong></strong></p> <p>SageMaker新增Python編譯器，能夠自動編譯Python訓練程式碼，並生成模型專用的GPU核心，使訓練程式碼使用更少的記憶體和運算資源，來加快模型訓練的速度。Training Compiler能夠將深度學習模型，從高階語言表示轉換成，比現成框架訓練速度更快的硬體最佳化指令，並能夠提供優於原生PyTorch和TensorFlow框架的增量優化硬體資源，來最大程度提高SageMaker GPU執行個體上的運算和記憶體使用率。AWS 表示，新功能針對圖、資料流和後端進行最佳化，生成能夠有效使用硬體資源的最佳化模型，最高可提升5成的模型訓練速度，以長時間運作的RoBERTa模型為例，訓練時間和成本可降低3成。<a href="https://aws.amazon.com/tw/blogs/aws/new-introducing-sagemaker-training-compiler/">（詳全文）</a></p> <p>圖片來源／Google雲端、微軟、AWS</p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></span></strong></p> <p>1. 因應雲端與5G業務拓展需要，中華電信要招上百位雲端人才，含雲端行銷經理、雲端架構師等<a href=" https://www.cht.com.tw/zh-tw/home/cht/messages/2021/1201-1710?year=2021&month=12&category=5C8583BDFADF4809A09D3913443F0F7E&list=%7B8DAECF69-AEF0-4F1B-B066-3306E547C0CC%7D">（詳全文）</a></p> <p>2. AWS發布使用M1晶片的新Mac執行個體，企業可開發原生支援蘋果晶片應用程式<a href="https://aws.amazon.com/tw/blogs/aws/use-amazon-ec2-m1-mac-instances-to-build-test-macos-ios-ipados-tvos-and-watchos-apps/">（詳全文）</a></p> <p>3. Google雲端發布高精確性、低延遲ML服務Vertex AI NAS，可用來執行高度複雜的ML工作負載<a href="https://cloud.google.com/blog/products/ai-machine-learning/vertex-ai-nas-makes-the-most--advanced-ml-modeling-possible">（詳全文）</a></p> <p>4. AWS發布簡化相依性管理的第二版CDK，提供穩定API讓開發者使用，並以獨力套件形式發布實驗性API <a href="https://aws.amazon.com/tw/blogs/aws/announcing-general-availability-of-construct-hub-and-aws-cloud-development-kit-version-2/">（詳全文）</a></p> <p>資料來源：iThome整理，2021年12月</p> </div></div></div>
2021/12/10 17:57作者黃郁芸https://www.ithome.com.tw/news/148327
金融FIDO最後決定用晶片金融卡綁定，金管會正輔導7組金融機構準備試辦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由金管會協力聯徵中心、財金公司，多家金控、銀行、保險公司、證券商及期貨商等，在今年5月初成立的「金融行動身分識別聯盟」，已有逾120家金融機構加入。日前，金管會綜合規劃處處長胡則華揭露了金融行動身分識別標準化機制（以下簡稱金融FIDO）最新進展，已確定採用晶片金融卡，作為消費者開通金融FIDO的卡片，甚至，金管會正輔導7組金融機構準備FIDO的試辦案件。</p> <p>金融FIDO規畫透過導入國際FIDO標準，先讓消費者透過實體卡片來綁定行動裝置、生物特徵。未來，消費者在使用金融服務時，就能使用綁定的裝置、生物特徵進行身分識別，不用再透過實體卡片或者帳號密碼來登入。金融FIDO機制有2大好處，對消費者來說，不需再用帳號密碼來驗證，可提高使用的便利性及安全性。而對金融機構而言，則可減少向顧客重複驗證身分的作業。</p> <p>金融FIDO機制分工上，由聯徵中心擔任聯盟召集人，與聯盟成員研商整體FIDO功能、管理機制、開發及運作方式等。胡則華表示，聯盟底下更設有3個委員會，其中，技術委員會由財金公司負責，目前已完成技術規格標準規畫。業務委員會則由中國信託金控擔任召集人，協助彙整金融業者有意支援FIDO的業務範圍，技術開發需求以及彙整有興趣試辦金融FIDO的業者名單等。先完成技術標準與業務面規定後，再由另一個負責安全控管的安控委員會，接手制訂後續規定。</p> <p>至於消費者未來要使用何種實體卡片開通金融FIDO？胡則華透露，聯盟已決定採用晶片金融卡作來開通。她解釋，聯盟成員涵蓋銀行、保險、證券3大業種，晶片金融卡是獲得最多成員支持的作法，主要有3項考量，一是消費者持有晶片金融卡的比率較高，而且幾乎都經過實體臨櫃的身分核驗，安全性較信用卡來得高。</p> <p>第二項原因是，臺灣ATM機臺或便利超商的Kiosk多媒體事務機相當多，消費者開通綁定方便。第三項原因是，在銀行端的電子銀行安控基準中，晶片金融卡可用的業務項目較多，因此較為符合金融業者的期待。</p> <p>不過，胡則華表示，第一階段，僅開放臨櫃實體身分核驗後取得的晶片金融卡，作為綁定之用，來確保是客戶本人。因此，如純網銀發行的金融卡，因為非透過實體臨櫃核身，就不適用第一階段的規範。</p> <h3><span style="color:#0099ff;"><strong>金融FIDO開發先採分散式作法，已有7組金融機構有意願建立金融FIDO自有體系</strong></span></h3> <p>在FIDO平臺開發上，胡則華表示，有兩種作法，集中式或分散式。先前，金管會曾提及，要採取集中式作法開發單一手機身分識別App，導入FIDO標準，來讓消費者綁定實體卡片，以提供跨機構身分識別功能。</p> <p>不過，胡則華坦言，集中式的作法仍有一大問題有待解決，若靠單一營運中心負責營運管理，風險程度過高，在資安與個資保護上都需受到嚴格監管。目前，金管會仍未找到相關機構願意擔任營運中心的角色，因此，金管會決定交由市場自行發展，後續將召開聯盟大會，針對想採取集中式作法的金融機構，舉派有能力擔任營運中心的管理者。</p> <p>胡則華進一步提到，金融FIDO目前採取分散式開發，聯盟內部又稱之為自有體系（簡稱自體系），意思是金控旗下若有金融子公司，可自行建立金融FIDO自體系。她舉例，金控旗下有銀、保、證3種子公司，金控端可以設計一款金融服務App，供旗下3家子公司共用，同時，也可共用最終端的FIDO伺服器。不過，聯盟也規定，子公司各自的公私鑰的配對不能夠彼此交換，以確保同一金控底下銀保證的資料不能互相對接。</p> <p>甚至，胡則華表示，如果有其他金融機構，因無法負荷自行建置FIDO伺服器的成本，也能加入已有一套自有體系的金融機構，但須遵循這個自有體系所訂定的相關規格與設計。因此，「未來市場上將會有多個自體系。」她更透露，金管會正在輔導7組金融機構準備的試辦案件，其中，大多是具備跨業種的金融機構有意願進行試辦。至於何時向金管會申請金融FIDO試辦，胡則華表示，金管會將尊重業者安排的時程。文⊙李靜宜</p> </div></div></div>
2021/12/10 19:11作者李靜宜https://www.ithome.com.tw/news/148324
【5G專網工廠現場直擊】螺絲廠結合5G、大數據分析提高生產力、降低成本，加速產業智慧化轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「一顆相同的螺絲，依照客戶訂單需求，不同的呎吋、處理方式，產生上萬種品項」，位於高雄的螺絲業者久陽精密總經理吳居諺一語道出螺絲產業現況。</p> <p>在高雄梓官、橋頭、崗山一帶，為國內螺絲產業群聚地，臺灣將近有1,800多家螺絲業者，所生產的螺絲不只用於國內，也外銷至國外，從航太、醫療、電動車到3C電子，都有採用螺絲，臺灣更有「螺絲王國」之名，更是僅次於中國、德國，為全球第三大扣件出口國。</p> <p>然而，螺絲產業卻面臨一些問題，由於客戶訂單需求的多樣化，導致螺絲生產少量多樣的現象，以久陽精密為例，該公司一年生產的螺絲品項就多達1萬3千種以上，每年產出約17億隻螺絲，在製造過程中，消耗約5萬件模具，使用7萬5千個船形物流桶。這樣複雜的生產過程中，過去大多是仰賴老師傅，以人工方式回報生產數據，再由專人登打輸入，但容易因為手寫錯誤，或是手動登打輸入數據也可能出錯。此外，傳產業的製造現場勞動人力還面臨逐漸老化，經驗不易傳承，人才斷層的危機。</p> <p><strong>螺絲依呎吋、熱處理、顏色的表面處理，品項多達上萬種：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04463.jpg" style="width: 600px; height: 399px;" /></p> <p>屬於台鋼集團旗下的久陽精密，成立已超過36年，主要生產中碳標準品螺栓，出口6成以歐洲市場為主，3成則是美洲市場。久陽精密的兩年前計畫朝智慧製造發展，希望透過在製造現場導入AIoT，提升該公司在螺絲產業的競爭力。在NCC鼓勵5G的垂直應用發展下，久陽精密與友訊科技、中華電信合作，由中華電信為其代建代管，協助久陽精密在高雄梓官、橋頭兩個廠區以3.5GHz頻段建置5G專用網路，採用中華電信的專網2型架構，單一工廠內建置5G基地臺與MEC邊緣運算，再以VPN串連兩個工廠，後端則搭配中華電信的5G智慧管家+管理平臺，依門號、位置、服務控管5G專網。</p> <p><strong>在柱子上方架設的5G小型基地臺：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04452.jpg" style="width: 600px; height: 399px;" /></p> <p> </p> <p>傳統的螺絲生產過程，包括從上游鋼鐵業者購買原料，經過撞擊成型，輾牙、熱處理、表面處理，到包裝商品、出貨，久陽精密在梓官、橋頭兩個工廠的製造現場，部署小型5G基地臺，兩個廠區共有127個機臺，每個產線安裝5G智慧機上盒(SMB)，通過感測器蒐集生產機台的數據，再由5G智慧機上盒將生產數據經由5G專網，送到工廠的MEC。</p> <p><strong>每個生產機臺都設有5G智慧機上盒(白色方盒)，將機臺上感測器蒐集的數據，透過5G網路送到工廠的MEC：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04454.jpg" style="width: 600px; height: 399px;" /></p> <p>吳居諺指出，為了實現AIoT，為蒐集生產機臺的數據，曾測試使用有線網路，但因為堆高機在廠內移動，可能扯掉或壓斷有線網路，造成數據蒐集中斷，而使用無線網路Wi-Fi，容易因為廠區內的環境所干擾，也測試過使用授權無線頻段的4G網路，但其網路頻寬無法滿足大量生產機臺的數據傳輸。</p> <p>而使用5G網路，一方面使用授權頻譜，較不易受干擾，另方面，5G的高傳輸、低延遲，能夠滿足即時的大數據分析需要。</p> <p>過去由老師傅以人工方式，每小時回報一次機臺的生產數據，現在導入5G AIoT後，設定每5秒蒐集一次自動傳送機臺的生產數據，包括機臺嫁動率、生產周期，產出的螺絲數量、重量，還有船桶在各生製過程所停留的時間、重量，以及生產機臺所使用的模具或耗材使用的壽命、技術員操作機臺時間等等。甚至，現場師傅拿著電子游標卡尺，在不同機臺間抽測產出螺絲的量測結果，不再和以前一樣，需手寫紀錄量測結果，按下電子游標卡尺上的按鈕，就會自動將量測數據透過藍牙送到5G智慧機上盒，和其他數據送到後端。</p> <p>通過5G蒐集生產線上的數據，送到ERP系統，吳居諺表示，經由大數據分析優化各機臺生產排程，將產能最大化，同時準備生產的原物料，經過一個季度的測試，生產效率提高2成。利用大數據計算耗材壽命，以生產螺絲的模具為例，每個模具都以雷雕刻上QR Code，用以追蹤每個模具，而透過蒐集每個生產機臺的模具使用數據，計算每個模具生產螺絲的數量，是否將達到模具的壽命，也能監控每個模具耗材的異使耗損情形，節省約25%的模具成本。</p> <p><strong>每個生產螺絲的模具上，以雷雕刻上QR Code，追蹤每個模具的使用情形，根據機臺的生產數據，分析模具可使用的壽命：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04466.jpg" style="width: 600px; height: 399px;" /></p> <p>此外，還從數據分析提高物料、耗料對生產工作令的配對，建立領料防呆機制，並且建立機臺及品質的異常警示，讓管理者可追蹤哪批貨料出問題，及早因應、找出原因，降低6成的異常件數。</p> <p>工廠內用來裝盛螺絲的船桶，也標有RFID或是QR Code，追蹤船桶在生產過程的動向，而智能生產工具令的先後順序，將原本的交期達成率由8、9成，提高到99%。</p> <p><strong>用於移動的船形桶都以RFID或QR Code追蹤：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04458.jpg" style="width: 600px; height: 399px;" /></p> <p>吳居諺表示，由於螺絲品項的多樣化，沒有一家業者可以完全產出所有的品項，因此螺絲產業維持著競爭且合作的關係，也是螺絲產業形集產業聚集的原因。由於螺絲產業的業者眾多，競爭相當激烈，加上客戶對螺絲除了交期達成，也希望品質達到需求，導入智慧化的生產有利於獲得客戶的信賴，未來透過智慧製造提高製造業的良率、品質將是趨勢，因此導入5G專網，發展AIoT。</p> <p>他更表示，導入AIoT蒐集數據只是第一步，未來的最終目標是向無人工廠發展。</p> <p><span style="color:#B22222;"><strong>智慧製造同場加映：車燈業者龍鋒展示AR產線組裝應用</strong></span></p> <p>距離高雄較近的臺南，除了以小吃、觀光聞名，近年也積極的發展智慧城市，與業者合作成為新科技的實驗場域，除了在沙侖建立自駕車測試場之外，還有自駕公車道路測試，去年還推動n79(4.8到4.9GHz)頻段5G專網實驗場域。其中，臺南市政府促成專門生產汽車車燈的龍鋒企業，和臺灣松下(Panasonic)、雲達、資策會、佐臻合作，利用n79頻段，採用雲達的小基5G基地臺、5G核網、AI伺服器，加上資策會的AR虛實疊加技術、佐臻的AR眼鏡，展示AI+AR輔助車燈組裝訓練、AI組裝過程監測兩項應用。</p> <p>首先，AR輔助車燈組裝訓練，主要適合不熟悉組裝操作的新手，傳統上，新進員工在組裝時，會由老手教導或是一邊觀看手冊進行操作，而導入5G及AR，新手戴上輕量型的AR眼鏡，連接5G手機，就能將AR眼鏡上相機所拍攝的員工視角畫面，經由5G基地臺與核網，送到AI伺服器進行辨識，新手就能透過戴在頭上的AR眼鏡，根據AI的AR擴增實境疊加影像，按部就班操作組裝，例如按照AR影像指示安裝固定螺絲。</p> <p><strong>戴上AR眼鏡後，按照AI的指導組裝車燈燈具：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04485.jpg" style="width: 600px; height: 399px;" /></p> <p> </p> <p><strong>螢幕中顯示員工配戴的AR眼鏡所看到的組裝畫面，經過AI辨識後，以AR指引在哪裡、按步驟鎖上螺絲：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04490.jpg" style="width: 600px; height: 399px;" /></p> <p>另一個應用AI組裝過程監測，適用於一般組裝產線，在車燈組裝產線上方架設相機，拍攝員工組裝車燈過程影像，經5G網路送到AI伺服器，由AI判斷組裝程序是否符合操作規定，若發生錯誤則送出警示訊息。</p> <p><strong>下圖為設置在龍鋒組裝產線上的雲達5G小型基地臺，下方為RU，上方為天線：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04512.jpg" style="width: 600px; height: 399px;" /></p> <p> </p> <p><strong>龍鋒的IT機房內一角，有一櫃裝載有雲達的5G核心網路，採用一般的X86伺服器，搭配一臺採用Nvidia A100 GPU的AI伺服器：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04531.jpg" style="width: 600px; height: 399px;" /></p> </div></div></div>
2021/12/10 22:15作者蘇文彬https://www.ithome.com.tw/news/148325
【資安週報】2021年12月6日至10日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近的2至3個星期裡，資安業者不斷揭露盯上購物季的電子商城Magecart側錄攻擊行動，駭客的攻擊手法又比起過往更加隱密，且有不少側錄攻擊是鎖定WooCommerce軟體架設的商城而來。但在交易資料的安全之外，因疫情而升溫的線上掃貨Grinchbot惡意程式攻擊，也是值得注意的現象，攻擊者透過這種機器人，在短短幾秒之內搶下數百種商品，讓一般消費者無法直接買到，被迫要加價向網路黃牛購買。這種情況究竟有多嚴重？美國<a href="https://tonko.house.gov/news/documentsingle.aspx?DocumentID=3503">在11月底通過《停止Grinch Bot法案（Stopping Grinch Bots Act.）》</a>，並獲得多個消費者組織的支持。</p> <p>除了網路購物存在個資外洩與網路黃牛的問題，零售業的實體門市也是攻擊者下手的目標──跨國連鎖商店Spar在北英格蘭有部分門市遭到攻擊，而使得營運受到衝擊。另一個攻擊行動隱含的資安危機同樣要留心：北美有多家零售業者的收銀機（POS），印出了大辭職（Grand Resignation、亦稱Big Quit）勞工運動文宣，雖然是煽動員工要求集體爭取加薪、待遇不佳就應該考慮另謀高就，但這隱含了攻擊者能夠入侵門市並操控收銀機為所欲為的資安威脅。</p> <p>說到了美國因武漢肺炎而出現的大辭職運動，因武漢肺炎變種病毒Omicron疫情升溫，相關網釣攻擊近期也有再度增加的現象。其中有人假冒英國國家衛生部（NHS）的名義來對當地民眾下手，使得當地的消費者保護組織特別提出警告。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.imperva.com/blog/grinchbots-strike-again-this-holiday-shopping-season-as-bot-traffic-spikes-73/"><span style="color: rgb(0, 0, 0);">掃貨惡意程式Grinchbot攻擊流量在黑色星期五增加7成<img alt="" src="https://s4.itho.me/sites/default/files/images/Grinchbot-21-image-2.png" style="width: 301px; height: 139px; float: right;" /></span></a></strong></h4> <p>在11月的購物季，各電商平臺無不磨拳擦掌，推出限定、限量的商品來吸引顧客，但購物黃牛透過機器人程式蒐括這些限定商品，再轉手高價賣出的現象也值得注意。資安業者Imperva指出，有人利用名為Grinchbot的機器人，在11月的購物季大肆搶購限定商品的現象，較10月份多出了73%的流量。而在整個11月裡，又以黑色星期五和網路星期一達到流量高峰。</p> <h4><strong><a href="https://www.riskiq.com/blog/external-threat-management/woocommerce-magecart/"><span style="color: rgb(0, 0, 0);">Magecart側錄攻擊鎖定WooCommerce電商網站而來</span></a></strong></h4> <p>側錄線上交易的Magecart攻擊行動，過往有不少事故是針對Magento電子商務平臺而來，但資安業者RiskIQ最近提出警告，他們發現近期鎖定WooCommerce電子商務平臺的攻擊增加，並介紹新的側錄工具WooTheme、Slect、Gateway，呼籲電商網站留意。</p> <h4><a href="https://geminiadvisory.io/magecart-google-tag-manager/"><span style="color: rgb(0, 0, 0);"><strong>駭客濫用Google Tag Manager服務，發動Magecart側錄攻擊</strong></span></a></h4> <p>駭客針對電子商城網站發動Magecart攻擊，自2020年起開始運用多項Google的服務，如今又多了一種「<a href="https://support.google.com/tagmanager/answer/6102821?hl=zh-Hant&ref_topic=3441530">Google Tag Manager</a>（GTM）」，這項工具的用途，是提供網站管理者部署Google Ads、Google Analytics、Floodlight或第三方合作夥伴的程式碼，而無須大幅修改網站本身。但攻擊者運用這項工具自建容器發動攻擊，極為難以察覺。資安業者Gemini Advisory指出，他們自2021年2月4日開始，觀察到至少有316個電子商務網站，感染了木馬化的GTM容器，被攻擊者用來發動Magecart側錄攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/hundreds-of-spar-stores-shut-down-switch-to-cash-after-cyberattack/"><span style="color: rgb(0, 0, 0);"><strong>連鎖商店Spar遭到網路攻擊，波及330家英國門市</strong></span></a></h4> <p>在全球擁有1.3萬家門市的Spar，傳出英國北部門市遭到網路攻擊，使得許多店家被迫暫停營業，或是只能使用現金交易。根據當地媒體BBC報導，攻擊者鎖定位於蘭開夏郡普雷斯頓的James Hall & Company下手，該公司經營Spar當地的收銀機和IT系統，使得他們經營的逾300家門市受到波及。英國國家網路安全中心（NCSC）證實確有此事，並與蘭開夏郡警方著手調查事故發生的原因。</p> <h4><a href="https://www.ithome.com.tw/news/148192"><span style="color: rgb(0, 0, 0);"><strong>北美零售業者收銀機被挾持，列出辭職運動標語<img alt="" src="https://s4.itho.me/sites/default/files/images/1638477567778-anti-work-manifesto1.jpeg" style="width: 300px; height: 186px; float: right;" /></strong></span></a></h4> <p>根據Motherboard的報導，北美多家零售業者的IT人員發現，他們的收銀機（POS）系統傳出遭到挾持，而陸續印出武漢肺炎疫情下當地流行的「大辭職（Grand Resignation、亦稱Big Quit）」勞工運動文宣，企圖煽動員工離職或是參與罷工運動。這個情況資安業者GreyNoise也提出類似的觀察，並表示攻擊來源主要是來自荷蘭的代管業者，受害者主要位於北美，約有十多起事件。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/phishing-actors-start-exploiting-the-omicron-covid-19-variant/"><span style="color: rgb(0, 0, 0);">駭客使用Omicron變種病毒為誘餌，鎖定英國民眾發動網釣攻擊</span></a></strong></h4> <p>最早在南非發現的武漢肺炎變種病毒Omicron，近日大舉入侵近40個國家，南非5歲以下兒童大量感染而住院，許多人士即使已經施打2劑疫苗仍然染疫，引起全球恐慌。英國消費者保護組織Which指出，他們發現2個聲稱是英國國家衛生服務部（NHS）的釣魚郵件，內容指出打算為收件人提供免費的PCR測試，來檢測變種武漢肺炎病毒Omicron，一旦收信人點選連結，就會被引導到冒牌的NHS網站填寫資料，並要求支付1.24英鎊的手續費。Which指出，攻擊者並非以收取手續費為目的，而是要竊取受害者的信用卡資料，且在過程中會要求填寫母親的姓名，以便攻擊者接管帳號後，繞過NHS網站的安全問題。</p> <h4><strong><a href="https://pay.line.me/portal/jp/customer/press/52227?categoryId="><span style="color: rgb(0, 0, 0);">Line Pay外包商員工不慎將行銷資料上傳GitHub，13萬人資料外洩，Line發現後已刪除並公布調查結果</span></a></strong></h4> <p>Line Pay服務在12月6日發布公告，說明在11月24日發現，有外包集團公司員工在9月12日，未經許可在GitHub上傳了用於調查使用者參與特定行銷活動的相關資訊，Line公司在發現當日，已將相關資訊從GitHub中刪除，並在11月30日完成存取狀態等調查，這些外洩資訊曾被存取11次。這次事件牽連全球13萬3484人用戶，包含臺灣7萬1631人與日本5萬1543人，資料內容主要是用戶識別碼（不同於Line ID）、商店管理編號，以及活動相關資訊，但不包含用戶姓名、地址、電話，以及信用卡與銀行帳號等資訊，因此確認對用戶沒有影響。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/nordic-choice-hotels-hit-by-conti-ransomware-no-ransom-demand-yet/"><span style="color: rgb(0, 0, 0);"><strong>北歐精品酒店集團遭到Conti勒索軟體攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/FF3rJg_XsAQHD2v.jpg" style="width: 150px; height: 177px; float: right;" /></strong></span></a></h4> <p>北歐精品酒店（Nordic Choice Hotels）集團於12月2日發出公告，表示他們的IT系統遭到電腦病毒攻擊，導致員工無法協助客人訂房、登記入住、退房，以及處理收費的事宜，他們改以人工處理因應，該集團亦向挪威資料保護局和挪威國家安全局等執法單位通報此事。而到了12月6日，該集團公布初步調查結果，表示目前尚未發現資料遭到外洩的跡象，並透露他們遭到名為Conti的勒索病毒攻擊，但沒有收到攻擊者的勒索訊息。</p> <h4><strong><a href="https://therecord.media/qnap-warns-of-new-crypto-miner-targeting-its-nas-devices/"><span style="color: rgb(0, 0, 0);">威聯通警告鎖定NAS的挖礦攻擊行動</span></a></strong></h4> <p>臺灣NAS業者威聯通（QNAP）於12月7日發布資安通報，警告用戶新的挖礦攻擊正鎖定該廠牌的NAS設備而來，該公司指出，一旦攻擊者成功入侵，就會執行名為[oom_reaper]的處理程序，此處理程序約會占用50％的中央處理器資源。此外，這個處理程序會模仿核心處理程序，其PID通常大於1000。QNAP呼籲用戶要使用最新的作業系統及附加元件，並且使用強密碼，如果發現NAS遭到感染，則要依照公告的步驟，使用Malware Remover移除惡意軟體。</p> <h4><a href="https://www.ithome.com.tw/news/148196"><span style="color: rgb(0, 0, 0);"><strong>加密貨幣交易所BitMart被盜走1.5億美元加密貨幣</strong></span></a></h4> <p>加密貨幣交易中心BitMart在12月5日證實遭到駭客入侵，指出駭客存取了以太坊（ETH）及幣安智能鏈（BSC）的熱錢包，使得駭客得以提領價值1.5億美元的加密貨幣資產。這起事故最早是區塊鏈資安業者PeckShield發現，起因是他們看到不尋常的大量匯出交易。BitMart宣稱，受到影響的熱錢包僅存放少數資產，其他的錢包則不受影響，在展開徹底的安全檢查之後，該公司預計於12月9日進行系統維護，屆時將暫停所有的交易。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/us-state-dept-employees-phones-hacked-using-nso-spyware/"><span style="color: rgb(0, 0, 0);">間諜軟體Pegasus監控美國國務院官員</span></a></strong></h4> <p>根據Motherboard、華盛頓郵報、路透社等新聞網站報導，至少有9名美國官員收到蘋果公司的警告，他們的手機疑似最近幾個月遭到攻擊者利用iOS漏洞ForcedEntry，來植入以色列網路攻擊公司NSO Group所製作的間諜軟體Pegasus。這些受害者的身分，是處理烏干達事務的美國官員。NSO Group向Motherboard透露，他們已停用發動此起攻擊的使用者帳號，並將與相關的政府當局合作，提供有關資料，以便釐清案情。不過，NSO Group強調，他們被禁止使用美國的電話號碼，而難以得知是那個組織所發動的攻擊。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148259"><span style="color: rgb(0, 0, 0);">Google與代管業者合作摧毀Glupteba殭屍網路<img alt="" src="https://s4.itho.me/sites/default/files/images/Untitled_7_7UC7Ycl_0373047907460940_max-1000x1000.png" style="width: 200px; height: 245px; float: right;" /></span></a></strong></h4> <p>攻擊者濫用Google服務的情況相當常見，但別以為Google只會封鎖遭到濫用的帳號和服務。Google於12月7日宣布，他們與網路基礎設施、代管業者聯手，關閉殭屍網路Glupteba所使用的伺服器主機與網址，同時他們也找出發動攻擊的2名俄羅斯駭客，並向美國法院提告。該公司指出，該殭屍網路粗估超過百萬裝置受到感染，受害者遍布美國、印度、巴西，以及東南亞。Google亦封鎖1,183個遭濫用的Google帳號、870個廣告服務帳號，並關閉用來散布殭屍網路病毒的6,300萬個Google Docs文件。</p> <h4><a href="https://blog.group-ib.com/hive"><span style="color: rgb(0, 0, 0);"><strong>成立半年的Hive勒索軟體已有逾350個組織受害</strong></span></a></h4> <p>新興勒索軟體駭客組織Hive崛起的現象，引起研究人員的注意。資安業者Group-IB指出，這個駭客組織於資料外洩網站（DLS）上，列出48個不願付贖金的受害組織，而根據他們的調查，實際遭到攻擊的受害組織數量，自2021年6月底到10月16日，總共超過355個。</p> <h4><a href="https://jfrog.com/blog/malicious-npm-packages-are-after-your-discord-tokens-17-new-packages-disclosed/"><span style="color: rgb(0, 0, 0);"><strong>17個惡意NPM套件利用即時通訊系統Discord發動攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/discord-js-image3.png" style="width: 300px; height: 189px; float: right;" /></strong></span></a></h4> <p>廣受許多開發人員使用的Node.js套件管理器（NPM），最近幾個月已有多起惡意套件的事故，而最近一起攻擊行動，駭客更是同時濫用即時通訊平臺Discord。資安業者JFrog近期發現了17個惡意NPM套件，其共通點是會竊取Discord用戶的Token，研究人員推測，攻擊者竊取此種Token的目的，可能是要掩飾其他攻擊行動，或是用來散布惡意軟體。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/grafana-fixes-zero-day-vulnerability-after-exploits-spread-over-twitter/"><span style="color: rgb(0, 0, 0);">圖像化資料分析系統Grafana修補路徑穿越漏洞</span></a></strong></h4> <p>開源的圖像化資料分析解決方案Grafana於12月7日緊急發布更新，修補路徑穿越漏洞CVE-2021-43798，這項漏洞的CVSS風險層級為7.5分，影響本地建置的8.0.0-beta1至8.3.0版Grafana用戶，一旦這個漏洞遭到利用，攻擊者可存取Grafana資料夾以外高權限資料夾路徑，例如存放使用者密碼的/etc/passwd/。Grafana指出，這個漏洞源自於該分析系統安裝的外掛程式URL，而導致該系統容易遭受攻擊。Grafana於12月3日獲報並著手修補，但7日他們得知漏洞已遭公開，且有概念性驗證攻擊程式，決定緊急提供修補程式。此外，Grafana Cloud實體的用戶不受影響。</p> <h4><strong><a href="https://salt.security/blog/api-threat-research-graphql-authorization-flaws-in-financial-technology-platform"><span style="color: rgb(0, 0, 0);">金融科技平臺的GraphQL恐存在API授權漏洞</span></a></strong></h4> <p>最初由Meta開發的開源資料查詢語言GraphQL，因具備較為強大、高效、靈活的網頁API開發特質，也被用於金融產業，但專注API安全的資安公司Salt Security指出，他們調查一家不願透露名稱的企業，所建置的大型金融科技（FinTech）平臺，結果在GraphQL的API串接上存在漏洞，導致一旦遭到利用，攻擊者可對收集他人個資，或是提出未經授權的交易請求。</p> <h4><strong><a href="https://logging.apache.org/log4j/2.x/download.html　https://github.com/advisories/GHSA-jfh8-c2jp-5v3q"><span style="color: rgb(0, 0, 0);">日誌框架系統Apache Log4j 2修補RCE漏洞，用戶盡速更新至最新版2.15.0<img alt="" src="https://s4.itho.me/sites/default/files/images/2021-12-10_151232_Log4j2.jpg" style="width: 300px; height: 132px; float: right;" /></span></a></strong></h4> <p>Apache Log4j 2是基於Java的日誌框架，近日他們發布了新版本2.15.0，當中修補了一項遠端程式碼執行漏洞，用戶盡速升級最新版本。根據<a href="https://help.aliyun.com/noticelist/articleid/1060971232.html">阿里雲安全團隊的說明</a>，Apache Log4j2的某些功能存在遞迴解析功能，而攻擊者可直接構造惡意請求，觸發遠端程式碼執行漏洞，並指出Apache Struts2、Apache Solr、Apache Druid、Apache Flink都受影響。目前CVE漏洞編號CVE-2021-44228僅從<a href="https://github.com/advisories/GHSA-jfh8-c2jp-5v3q">GitHub Advisory Database找到相關資訊</a>，NIST <a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44228">NVD尚未公開</a>。</p> <h4><strong><a href="https://www.synopsys.com/blogs/software-security/cyrc-advisory-goautodial-vulnerabilities/"><span style="color: rgb(0, 0, 0);">開源客服系統GOautodial存在路徑穿越漏洞</span></a></strong></h4> <p>資安業者Synopsys於12月7日，揭露開源的多合一客服軟體GOautodial漏洞，這個軟體在全球擁有超過5萬個客服中心採用，這些漏洞一旦被攻擊者利用，可在未經身分驗證的情況下存取系統配置資料，或是能使用通過身分驗證的使用者帳號，藉由不受限制的上傳文件漏洞，來執行任意程式碼。GOautodial獲報後約於10月下旬修補相關漏洞。</p> <h4><strong><a href="https://www.sentinelone.com/labs/usb-over-ethernet-multiple-privilege-escalation-vulnerabilities-in-aws-and-other-major-cloud-services/"><span style="color: rgb(0, 0, 0);">USB設備網路共享元件存在漏洞，波及多家雲端虛擬桌面解決方案<img alt="" src="https://s4.itho.me/sites/default/files/images/USB-Over-Ethernet.jpg" style="width: 300px; height: 169px; float: right;" /></span></a></strong></h4> <p>隨著居家辦公變得普遍，組織開始相當依賴雲端服務，其中，能讓使用者將本地端的USB設備，延伸在組織提供的雲端虛擬桌面上執行，有賴於將USB設備透過網路執行的技術術（USB over Ethernet）達成。資安業者SentinelOne指出，他們發現開源的Eltima SDK，存在27個漏洞，波及Amazon Workspaces、NoMachine、Eltima USB Network Gate等，部分業者獲報後已著手修補。</p> <h4><strong><a href="https://palisade.consulting/blog/tld-hacking"><span style="color: rgb(0, 0, 0);">頂級網域註冊業者的漏洞恐導致Google、Amazon網域遭接管</span></a></strong></h4> <p>資安顧問公司Palisade指出，他們在10月8日發現，頂級網域（TLD）服務業者Tonga網路資訊中心（TONIC）的註冊系統存在SQL注入漏洞，導致攻擊者可以修改「.to」頂級網域下，任何網域名稱的名稱伺服器，覆蓋這些網域的DNS設置，將流量重新導向攻擊者的網站。例如，一旦有人控制google.to，將能藉由惡意的account.google.com網址，來竊取Google用戶的Token。</p> <p>再者，由於.to廣泛被應用於產生短網址，Amazon（amzn.to）、Uber（ubr.to）和Verizon （vz.to）等公司的短網址可能會遭到濫用。他們通報TONIC後，這個漏洞在24小時內就獲得修復。</p> <h4><strong><a href="https://positive.security/blog/ms-officecmd-rce"><span style="color: rgb(0, 0, 0);">研究人員揭露由預設URI觸發的Windows 10重大RCE漏洞<img alt="" src="https://s4.itho.me/sites/default/files/images/61a7c22d1ef24755736aa8f3_msofficecmd_cover-p-2000.png" style="width: 300px; height: 139px; float: right;" /></span></a></strong></h4> <p>利用Windows預設的統一資源標識碼（URI），來執行通用Windows平臺（UWP）應用程式、微軟Office軟體的手法，近期已有攻擊者用於網路釣魚攻擊，誘騙使用者下載惡意程式，但這種機制潛藏的危機恐怕不止於此。資安業者Positive Security揭露，他們發現一項透過IE 11或舊版Edge瀏覽器（採用EdgeHTML排版引擎），與Teams串連而形成的RCE漏洞，攻擊者可藉由Windows 10、11在ms-officecmd:的URI預設值，而能觸發這項漏洞。該公司指控，微軟獲報後雖然發布修補程式，但未完全解決，迄今Windows 11仍存在相關漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.cna.com.tw/news/afe/202112080229.aspx"><span style="color: rgb(0, 0, 0);">臺灣資安鑄造公司成立舉行揭牌儀式，盼帶動資安智慧聯防與產業合作</span></a></strong></h4> <p>今年7月，資訊工業策進會（資策會）資安所傳出籌備臺灣資安鑄造公司已有進度的消息，在12月8日，臺灣資安鑄造股份有限公司（資安鑄造）正式宣布技轉成立，將透過自主研發的工業物聯網威脅偵測系統，新建立跨IT、OT與5G的供應鏈資安監控平臺，可整合多元資安技術服務，快速偵測資安事件，並聚焦供應鏈安全，針對地方SI、5G、醫療、電商、工控與晶片產業提供合作模式。此外，有意投資資安鑄造的美國矽谷創投Draper Associates與東元，都參與揭牌儀式。隨著該公司的成立，對國內資安生態的幫助與影響，也將成為國內資安領域持續關注的焦點。</p> <h4><a href="https://www.synology.com/zh-tw/company/news/article/Synology2022_main/創新永不停歇 ─ Synology 2022 AND BEYOND"><span style="color: rgb(0, 0, 0);"><strong>臺NAS廠接連跨入企業資安領域，群暉正式推出C2 Identity與C2 Transfer</strong></span></a></h4> <p>臺NAS大廠群暉切入SaaS服務領域，在12月9日舉行C2雲服務發表會，宣布四款SaaS服務在臺上線，除了適用個人與企業的C2 backup，以及類似1Password、LastPass的個人密碼管理工具C2 Password，特別是還有企業資安防護的C2 Identity、C2 Transfer，都在11月中下旬陸續上線，並提供歐洲法蘭克福、北美西雅圖與亞太臺灣（11月上線）的資料中心選項。其中C2 Identity，是能整合企業服務的混合身分驗證系統，用戶可使用Google、Apple、Synology帳戶註冊登入。此外，另一NAS大廠威聯通在今年也跨入企業資安領域，推出實體的網路防護設備ADRA NDR，鎖定中小企業需求，提供偵測、分析與隔離的功能。</p> <h4><strong><a href="https://www.winbond.com/hq/about-winbond/news-and-events/news/winbond_and_karamba_security_comprehensive_cybersecurity_solution_for_automotive_iot_needs.html?__locale=zh_TW"><span style="color: rgb(0, 0, 0);">記憶體廠商華邦電子聯手物聯網資安業者Karamba，針對汽車推出網路安全解決方案</span></a></strong></h4> <p>臺灣DRAM及快閃記憶體製造商華邦電子於12月8日宣布，他們將與物聯網資安業者Karamba Security合作，共同推出適用於汽車的網路安全防護解決方案。該方案由華邦的安全快閃記憶體TrustME與Karamba XGuard搭配，宣稱能讓車廠符合UN R155等汽車網路安全標準的要求。</p> <h4><strong><a href="https://2030.trendmicro.com"><span style="color: rgb(0, 0, 0);">趨勢科技發表2030專案，從當前科技潮流審視網路資安未來情境</span></a></strong></h4> <p>趨勢科技在11月與12月間陸續於全球發布2030專案，當中包含讓讀者可閱讀的報告白皮書，以及可觀賞的系列影片，並設有報告獨立網站。在12月8日，趨勢科技在臺宣布推出此份報告，這是趨勢科技的一項前瞻研究計畫，當中並非是要敘述一個必然發生的未來，而是從當前科技發展與潮流預測可能情境，不只是讓大家思考未來可能的樣貌，也希望激起更多討論，以提醒政府、企業與個人，隨著科技逐漸滲透於日常，對於網路犯罪的未來發展應提早作準備或有所關注。其中有幾個焦點，包括：AI工具使網路範圍門檻降低而氾濫，社交工程詐騙與假訊息更加真實，大量物聯網環境的威脅，網路攻擊溯源更加困難，還有5G、6G網路興起，以及Everything as a Service的結果，而演進的攻擊趨勢。</p> <p> </p> </div></div></div>
2021/12/10 15:54作者周峻佑https://www.ithome.com.tw/news/148312
駭客利用惡意廣告散布3種工具，不只控制受害電腦，還側錄使用者鍵盤輸入的內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者同時利用多個惡意軟體，很可能因為部分的環節被人察覺異狀，而導致整個行動事跡敗露，但在思科近期發現的攻擊行動中，駭客組織Magnat自2018年下旬開始，以提供常見軟體的安裝程式名義作為誘餌，經由惡意廣告散布，且這起行動直到3年後才被發現。</p> <p>比較特別的是，攻擊者在受害電腦當中，植入了3種惡意軟體，包含：RDP後門程式MagnatBackdoor、密碼竊取工具Redline，以及惡意Chrome外掛程式MagnatExtension。MagnatBackdoor與Redline的搭配，可讓攻擊者持續透過遠端桌面連線存取受害電腦，而幾乎不受限制；MagnatExtension則是能側錄鍵盤、截取螢幕畫面，進而取得敏感資訊。</p> <p>根據Magnat所使用的C2中繼站IP位址、DNS來分析，約有半數的攻擊鎖定加拿大而來，美國、澳洲次之，而義大利、西班牙、挪威等國家，也有出現零星感染的事故。</p> <h3><span style="color:#0000FF;"><strong>結合後門程式、竊密工具、瀏覽器側錄外掛的攻擊行動</strong></span></h3> <p>這個駭客組織大約是從2018年8月展開攻擊行動，一開始，利用MagnatExtension竊取瀏覽器Chrome的帳密，後來到了2019年10月，該組織開始運用MagnatBackdoor後門程式，思科指出，自此之後，Magnat的攻擊行動都部署3種惡意軟體，也就是：MagnatExtension外掛程式、MagnatBackdoor後門程式，以及竊密工具Azorult。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image3(18).png" style="width: 580px; height: 276px;" /></p> <p>到了2020年2月，駭客的攻擊行動開始停止使用Azorult。會出現這樣的變化，研究人員認為，很可能是當時Chrome推出的第80版當中，採用了新的防護機制，而影響惡意軟體Azorult執行的效果。</p> <p>此後Magnat持續找尋替代Azorult的惡意軟體，並於同年10月起，改用竊密工具Redline，於是這套惡意軟體工具，變成：MagnatExtension、MagnatBackdoor，以及Redline。</p> <h3><strong><span style="color:#0000FF;">攻擊者疑似透過購買廣告的方式，來散布惡意軟體</span></strong></h3> <p>究竟這些駭客如何散布作案工具？思科表示，雖然他們並未實際看到惡意廣告，但根據目前收集的證據來進行推測，這確實是Magnat散布惡意軟體的重要管道。</p> <p>分析受感染的電腦後，研究人員發現，有問題的安裝程式，其實是透過Chrome下載取得，僅連接Cloudflare和Google的IP位址，且下載程式之前，使用者恰巧瀏覽軟體評測網站，但並未執行收信軟體。</p> <p>這些看似相當理所當然的檔案下載操作流程，究竟和惡意廣告有何關連？</p> <p>思科指出，他們發現Redline用於惡意廣告的殭屍網路ID，其他資安人員於2021年8月也發現相關的蛛絲馬跡，例如，曾有人購買Google的線上廣告，卻藉由搜尋引擎排行引誘用戶下載冒牌的WeChat安裝程式，最終目的就是散布Redline，而經過思科分析後，研判該名研究人員所發現的狀況，就是Magnat攻擊行動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image2(25).png" style="width: 350px; height: 463px;" /></p> </div></div></div>
2021/12/10 18:22作者周峻佑https://www.ithome.com.tw/news/148322
駭客濫用微軟OAuth 2.0實作來展開網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.proofpoint.com/us/blog/cloud-security/microsoft-and-github-oauth-implementation-vulnerabilities-lead-redirection" target="_blank">資安業者Proofpoint本周指出</a> ，該公司最近發現許多新型態的攻擊手法，利用微軟及其它業者的OAuth 2.0實作來展開網釣攻擊。</p> <p>OAuth為一開放標準，讓第三方應用得以在未取得使用者名稱及密碼的狀態下，透過存取權杖（Access Token）存取使用者存放於特定網站上的有限資源，例如有些第三方的雲端應用會藉由OAuth 2.0存取使用者置放在Microsoft 365或Google Workspace平臺上的資料。</p> <p>研究人員說明，當一個網頁應用結合使用者控制的參與以指定重新定向的連結時，就會出現開放性的重新定向漏洞，將讓駭客替網頁應用打造一個URL，重新定向到任意的外部網域，經典的開放重新定向攻擊會以自己的URL作為重新定向的目標，但最新技倆的目標URL卻是配置在OAuth供應商的框架中，且未驗證該URL。</p> <p>此外，該重新定向的目標URL將迷失在合法的URL中，得以繞過大多數的網釣偵測解決方案及電子郵件安全解決方案，使用者即會因信任該OAuth供應商而點選此一URL。</p> <p>Proofpoint便發現了針對微軟OAuth實作的攻擊行動，駭客利用數十種不同的Microsoft 365第三方應用，挾帶惡意的重新定向URL，至少有數百名Proofpoint客戶的使用者遭到攻擊；所有的應用都是透過微軟的URL遞送，而將毫無戒心的使用者重新定向至網釣網頁。</p> <p>在攻擊行動中，大多數的網釣頁面都濫用微軟Azure網域來代管，使它們看起來更可信，駭客的目的是為了盜走使用者的Outlook Web Access或PayPal等憑證。</p> <p>且不只是Microsoft 365，GitHub也含有類似的開放性重新定向漏洞。</p> <p>Proofpoint不僅詳述了駭客的攻擊手法，也公布駭客所使用的網釣網址，指出目前最有效的緩解方式就是當使用者要離開現有的應用時，提出清楚的警告，在使用者被自動重新定向前特意延遲時間，或者是在重新定向之前，強迫使用者必須點選連結。</p> </div></div></div>
2021/12/10 16:43作者陳曉莉https://www.ithome.com.tw/news/148314
【資安日報】2021年12月10日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自11月開始一系列的購物節活動，包含了雙11、黑色星期五、網路星期一等，使得駭客鎖定購物商城發動Magecart的交易資料側錄攻擊行動增加，最近2、3個禮拜不斷有資安業者揭露他們發現的事故，呼籲電商網站和消費者要注意。但除了Magecart攻擊，還有一種手法也值得留意，那就是藉由網路機器人自動化買下大量的限定商品，再轉手大賺一筆的情況，資安業者Imperva指出，這種攻擊行動在11月顯著增加，美國政府甚至快速通過相關法案，想要防堵這種掃貨的攻擊行動。</p> <p>另一個值得留意的攻擊，則是與許多開發者會使用的Node.js套件管理器（NPM）有關，資安業者JFrog發現了一批有問題的套件被上架，但與過往有所不同的是，這些NPM套件會竊取受害者即時通訊軟體Discord的登入資訊。不過，究竟攻擊者竊取Token的目的是什麼，仍不得而知。</p> <p>而在國內的資安新聞中，則是臺北馬拉松傳出疑似參賽者個資外洩的情況引起關注。也有不少人表明他們已經接到了詐騙電話。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.imperva.com/blog/grinchbots-strike-again-this-holiday-shopping-season-as-bot-traffic-spikes-73/"><span style="color: rgb(0, 0, 0);">掃貨惡意程式Grinchbot攻擊流量在黑色星期五增加7成<img alt="" src="https://s4.itho.me/sites/default/files/images/Grinchbot-21-image-2.png" style="width: 301px; height: 139px; float: right;" /></span></a></strong></h4> <p>在11月的購物季，各電商平臺無不磨拳擦掌，推出限定、限量的商品來吸引顧客，但購物黃牛透過機器人程式蒐括這些限定商品，再轉手高價賣出的現象也值得注意。資安業者Imperva指出，有人利用名為Grinchbot的機器人，在11月的購物季大肆搶購限定商品的現象，較10月份多出了73%的流量。而在整個11月裡，又以黑色星期五和網路星期一達到流量高峰。</p> <h4><strong><a href="https://www.riskiq.com/blog/external-threat-management/woocommerce-magecart/"><span style="color: rgb(0, 0, 0);">Magecart側錄攻擊鎖定WooCommerce電商網站而來</span></a></strong></h4> <p>側錄線上交易的Magecart攻擊行動，過往有不少事故是針對Magento電子商務平臺而來，但資安業者RiskIQ最近提出警告，他們發現近期鎖定WooCommerce電子商務平臺的攻擊增加，並介紹新的側錄工具WooTheme、Slect、Gateway，呼籲電商網站留意。</p> <h4><a href="https://jfrog.com/blog/malicious-npm-packages-are-after-your-discord-tokens-17-new-packages-disclosed/"><span style="color: rgb(0, 0, 0);"><strong>17個惡意NPM套件利用即時通訊系統Discord發動攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/discord-js-image3.png" style="width: 300px; height: 189px; float: right;" /></strong></span></a></h4> <p>廣受許多開發人員使用的Node.js套件管理器（NPM），最近幾個月已有多起惡意套件的事故，而最近一起攻擊行動，駭客更是同時濫用即時通訊平臺Discord。資安業者JFrog近期發現了17個惡意NPM套件，其共通點是會竊取Discord用戶的Token，研究人員推測，攻擊者竊取此種Token的目的，可能是要掩飾其他攻擊行動，或是用來散布惡意軟體。</p> <h4><a href="https://blog.group-ib.com/hive"><span style="color: rgb(0, 0, 0);"><strong>成立半年的Hive勒索軟體已有逾350個組織受害</strong></span></a></h4> <p>新興勒索軟體駭客組織Hive崛起的現象，引起研究人員的注意。資安業者Group-IB指出，這個駭客組織於資料外洩網站（DLS）上，列出48個不願付贖金的受害組織，而根據他們的調查，實際遭到攻擊的受害組織數量，自2021年6月底到10月16日，總共超過355個。</p> <h4><strong><a href="https://www.reuters.com/technology/ransomware-attack-australian-utility-claimed-by-russian-speaking-criminals-2021-12-08/"><span style="color: rgb(0, 0, 0);">勒索軟體Conti攻擊澳洲電力公司</span></a></strong></h4> <p>澳洲媒體在12月6日報導指出，由中國政府撐腰的駭客疑似攻擊該國昆士蘭州CS Energy電力公司，但該公司否認遭到國家級攻擊。而根據路透社的報導，勒索軟體組織Conti隨後就在網站上公布，CS Energy已遭到他們的攻擊。路透社引述資安公司Emsisoft的說法指出，這起攻擊事故是俄羅斯駭客所為，主要目的是出於牟取經濟利益，與中國APT組織無關。</p> <h4><strong><a href="https://www.prnewswire.com/news-releases/atalanta-corporation-informs-of-data-security-incident-and-offers-support-301439732.html"><span style="color: rgb(0, 0, 0);">美國食品進口業者Atalanta遭到勒索軟體攻擊</span></a></strong></h4> <p>美國食品進口業者Atalanta於12月8日發出新聞稿，證實該公司與Gellert Global集團旗下的相關實體，遭到網路攻擊。他們在2021年7月25日發現攻擊行為，其中包含對於部分系統進行加密。該公司尋求第三方專家著手調查，結果發現，現任與前員工、部分客戶的資料遭到存取，但尚未有跡象表明這些個資被濫用。</p> <h4><strong><a href="https://www.deepinstinct.com/blog/-down-loaded-by-guloader-malware"><span style="color: rgb(0, 0, 0);">攻擊者利用GuLoader投放木馬程式的情況增加<img alt="" src="https://s4.itho.me/sites/default/files/images/guloader-2021amount.png" style="width: 300px; height: 145px; float: right;" /></span></a></strong></h4> <p>資安業者Deep Instinct提出警告，駭客於今年1月鎖定義大利組織散播惡意軟體GuLoader（亦稱CloudEyE、vbdropper）之後，在9月開始，他們又看到另一波大規模攻擊行動，駭客利用GuLoader投放RAT木馬程式Remcos。這個惡意程式由程式語言Visual Basic 6編譯而成，內有Shellcode酬載，攻擊者通常會用來投放RAT木馬程式，如：Agent Tesla、NanoCore、Remcos等。</p> <h4><strong><a href="https://www.proofpoint.com/us/blog/cloud-security/microsoft-and-github-oauth-implementation-vulnerabilities-lead-redirection"><span style="color: rgb(0, 0, 0);">研究人員發現針對OAuth漏洞的重新導向網釣攻擊</span></a></strong></h4> <p>資安業者Proofpoint指出，他們發現攻擊者針對數十個Microsoft 365第三方應用程式，藉由重新導向的方式，大規模攻擊數百家組織。為了看起來更像合法存取，這些網路釣魚攻擊濫用微軟Azure網域，攻擊者運用SeclarityIO網釣工具包，偽造Outlook Web Access、PayPal網頁，側錄帳密和信用卡資料。值得留意的是攻擊行動裡的重新導向URL，是透過OAuth的應用程式框架配置，可能缺乏對於URL的驗證而難以察覺。</p> <h4><strong><a href="https://eclypsium.com/2021/12/09/when-honey-bees-become-murder-hornets/"><span style="color: rgb(0, 0, 0);">30萬臺MikroTik路由器易成為駭客攻擊的目標<img alt="" src="https://s4.itho.me/sites/default/files/images/mikrotik_piechart-80-1.jpg" style="width: 301px; height: 183px; float: right;" /></span></a></strong></h4> <p>日前曾被用來建置Mēris殭屍網路，並在今年9月用來發動大規模DDoS攻擊的MikroTik路由器，似乎是攻擊者偏好的攻擊目標。專精韌體安全的資安業者Eclypsium指出，此廠牌的路由器在全球有超過200萬臺而樹大招風，其中，存在未修補的已知漏洞，或是使用預設管理員帳密等不安全配置的路由器，至少有30萬臺，可能容易遭到攻擊。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148297"><span style="color: rgb(0, 0, 0);">APT駭客透過冒牌Notepad++散布竊密軟體</span></a></strong></h4> <p>資安廠商Minera揭露一起由APT駭客組織StrongPity（亦稱APT-C-41、Promethium）發起的攻擊行動，該組織利用武器化的開源記事本軟體Notepad++安裝程式，進行竊密工作，一旦使用者下載並執行安裝程式，不只會安裝Notepad++，還會投放竊密工具與資料傳輸工具，將使用者鍵盤輸入的內容儲存成TBL檔案，再傳送到C2伺服器。</p> <h4><strong><a href="https://www.recordedfuture.com/chinese-state-sponsored-cyber-espionage-expansion-power-influence-southeast-asia/"><span style="color: rgb(0, 0, 0);">中國政府資助的網絡間諜活動擴大東南亞地區勢力</span></a></strong></h4> <p>資安業者Record Future指出，由中國政府資助的駭客組織TAG-16，過去9個月利用Funny Dream與Chinoxy等惡意軟體入侵東南亞軍事與政府機構並進行監控，馬來西亞、印尼、越南是3大主要目標，但他們也看到在泰國、新加坡、柬埔寨等國的攻擊行動。</p> <h4><strong><a href="https://www.taipeicitymarathon.com/news-page.php?id=88　https://www.sportsnet.org.tw/news_detail.php?Id=853"><span style="color: rgb(0, 0, 0);">臺北馬拉松疑個資外洩，中華民國路跑協會發布反詐騙提醒，已報案且調查中</span></a></strong></h4> <p>即將在12月19日舉行的臺北馬拉松，在12月9日突然發布反詐騙提醒的宣導，疑似發生資料外洩事件，目前正調查中。中華民國路跑協會回覆說明，他們是在12月8日下午4時因接到許多跑友的確認電話而向警方報案，並在當日下午5時發送簡訊通知參與的跑者，目前事件正在調查中，尚未有結果，並提醒參與跑者當心不法人士假冒路跑協會名義，以系統出錯重複刷卡、導入團體訂單導致重複刷卡為由的詐騙電話。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://palisade.consulting/blog/tld-hacking"><span style="color: rgb(0, 0, 0);">頂級網域註冊業者的漏洞恐導致Google、Amazon網域遭接管</span></a></strong></h4> <p>資安顧問公司Palisade指出，他們在10月8日發現，頂級網域（TLD）服務業者Tonga網路資訊中心（TONIC）的註冊系統存在SQL注入漏洞，導致攻擊者可以修改「.to」頂級網域下，任何網域名稱的名稱伺服器，覆蓋這些網域的DNS設置，將流量重新導向攻擊者的網站。例如，一旦有人控制google.to，將能藉由惡意的account.google.com網址，來竊取Google用戶的Token。</p> <p>再者，由於.to廣泛被應用於產生短網址，Amazon（amzn.to）、Uber（ubr.to）和Verizon （vz.to）等公司的短網址可能會遭到濫用。他們通報TONIC後，這個漏洞在24小時內就獲得修復。</p> <h4><strong><a href="https://blog.assetnote.io/2021/11/30/jamf-ssrf/"><span style="color: rgb(0, 0, 0);">蘋果行動裝置控管平臺Jamf Pro驚傳SSRF漏洞</span></a></strong></h4> <p>資安業者Assetnote在蘋果行動裝置控管（MDM）平臺Jamf Pro中，發現2個伺服器端偽造請求（SSRF）漏洞CVE-2021-39303、CVE-2021-40809，CVSS風險層級為8.3分及7.5分，同時影響內部建置與SaaS版本。研究人員指出，由於Jamf Pro的雲端服務版本架設於AWS上，這些漏洞可以被用來取得Jamf的AWS帳密。Jamf獲報後已著手修補。</p> <h4><strong><a href="https://www.fortinet.com/blog/threat-research/manga-aka-dark-mirai-based-campaign-targets-new-tp-link-router-rce-vulnerability"><span style="color: rgb(0, 0, 0);">殭屍網路Mirai變種針對TP-Link路由器而來</span></a></strong></h4> <p>資安業者Fortinet發現名為Manga（亦稱Dark）的殭屍網路病毒，約自11月22日開始，鎖定TP-Link路由器11月12日甫被發現的漏洞CVE-2021-41653大肆入侵，TP-Link已推出修補程式，並強調建議用戶儘速安裝。</p> <h4><strong><a href="https://logging.apache.org/log4j/2.x/download.html　https://github.com/advisories/GHSA-jfh8-c2jp-5v3q"><span style="color: rgb(0, 0, 0);">日誌框架系統Apache Log4j 2修補RCE漏洞，用戶盡速更新至最新版2.15.0</span></a></strong></h4> <p><a href="https://github.com/advisories/GHSA-jfh8-c2jp-5v3q"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-12-10_151232_Log4j2.jpg" style="width: 260px; float: right;" /></a></p> <p>Apache Log4j 2是基於Java的日誌框架，近日他們發布了新版本2.15.0，當中修補了一項遠端程式碼執行漏洞，用戶盡速升級最新版本。根據<a href="https://help.aliyun.com/noticelist/articleid/1060971232.html">阿里雲安全團隊的說明</a>，Apache Log4j2的某些功能存在遞迴解析功能，而攻擊者可直接構造惡意請求，觸發遠端程式碼執行漏洞，並指出Apache Struts2、Apache Solr、Apache Druid、Apache Flink都受影響。目前CVE漏洞編號CVE-2021-44228僅從<a href="https://github.com/advisories/GHSA-jfh8-c2jp-5v3q">GitHub Advisory Database找到相關資訊</a>，NIST <a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44228">NVD尚未公開</a>。</p> <h4><strong><a href="https://helpdesk.kaseya.com/hc/en-gb/articles/4412762258961"><span style="color: rgb(0, 0, 0);">Kaseya旗下的備份系統驚傳重大漏洞，恐造成RCE攻擊</span></a></strong></h4> <p>IT業者Kaseya於12月3日發布資安通告，指出旗下的備份系統Unitrends Backup Appliance存在重大漏洞CVE-2021-43035、CVE-2021-43033，恐被用於未經身分驗證的SQL注入攻擊，或是遠端程式碼執行（RCE）攻擊。這項漏洞波10.0至10.5.4版，Kaseya發布10.5.5版修補上述漏洞。</p> <h4> </h4> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148267">2021年12月9日</a></p> <p><a href="https://www.ithome.com.tw/news/148252">2021年12月8日</a></p> <p><a href="https://www.ithome.com.tw/news/148225">2021年12月7日</a></p> </div></div></div>
2021/12/10 14:06作者周峻佑https://www.ithome.com.tw/news/148307
Amazon濫用市場主導地位妨害物流競爭，遭義大利判罰11.28億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148002" target="_blank">繼上個月之後</a>，義大利競爭管理局（AGCM）本周再以Amazon違反了《歐盟運作條約》（Treaty on the Functioning of the European Union），判罰11.28億歐元，而<a href="https://en.agcm.it/en/media/press-releases/2021/12/A528" target="_blank">這次Amazon遭罰的原因是物流</a>。</p> <p>Amazon為義大利用戶購買電子產品的首要平臺，當地有超過7成的消費者電子產品都透過Amazon售出，並有逾40%的零售業者透過Amazon銷售商品。</p> <p>上個月AGCM才以Amazon與蘋果合作，僅允許特定商家透過Amazon銷售蘋果及Beats商品，要求Amazon支付6,870萬歐元的罰款；本周AGCM則說，Amazon濫用其在義大利的中介市場主導地位，偏好自家的物流服務Fulfilment by Amazon（FBA），而損及競爭對手所提供的物流服務。</p> <p>根據AGCM的調查，只要透過FBA出貨，就可獲得各種的獨家福利，特別是Prime會員，而第三方的物流業者卻無從接觸Prime會員。此外，AGCM也發現，比起採用第三方物流，採用FBA的賣家所受到的績效要求較低。</p> <p>至於Amazon則說該公司非常不同意AGCM的決定，也將提出上訴。</p> </div></div></div>
2021/12/10 15:37作者陳曉莉https://www.ithome.com.tw/news/148310
NCC揭露資安跨域聯防發展現況，主動式防禦成新焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年來，政府持續推動國家級資安戰略與資安聯防，從2009年成立政府資安資訊分享與分析中心（G-ISAC），到近年推動8大關鍵基礎建設領域，打造產業領域的ISAC，並將各領域原有類似資安維運中心（SOC），以及電腦緊急應變中心（CERT）的機制，能夠完善地建立起來。目前，8大CI領域的ISAC，大多在2017年底完成，後續這幾年則是陸續建立起CERT，以及二線的SOC。關於不同領域的發展情形？近期國家通訊傳播委員會（NCC）公布了他們的執行現況</p> <p>關於我國通傳網路資安防護的完備程度，NCC委員孫雅麗表示，他們在近年已有多項行動。</p> <p>首先，在2017年建構國家通訊暨網際安全中心（NCCSC），並在2018年完成南部異地備援中心，確保運作能力，目前中心內已設有4大單位，包括掌握通訊網路運作狀態的C-NOC，情資分享交換的C-ISAC，負責資安緊急應變中心的C-CERT，以及二線資安維運中心的C-SOC。</p> <p>面對私領域的面向，在資安通安全法要求下，NCC已指定通傳領域的關鍵基礎設施（CI），負責協管的特定非公務機關，共涵蓋6大產業，包括有線電視、廣播、衛星、固網、行動與無線網路，以及網際網路連接的IASP、IXP與DNS等。因此，NCCSC的任務，就是將這6大產業領域廠商的資訊，進行蒐集整合與分析，目前已經涵蓋95家通訊、傳播領域業者。因此，NCCSC的任務，會將這6大產業領域廠商的資訊，進行蒐集整合與分析，目前已經涵蓋95家通訊、傳播領域業者。</p> <h3><strong>促進產業對資安議題的認知，多面向推動通傳領域設備安全</strong></h3> <p>在NCC近年在通傳領域聯防體系的執行過程中，孫雅麗說明了他們的經驗與新進展。</p> <p>例如，在NCC提出的通傳網路資通安全維護計畫中，以5G系統資安維護計畫為例，當中除了參考布拉格提案，以及歐盟5G網路安全風險聯合評估報告，並依據NIST CSF提出17項內容，讓業者能依此參考框架，提報計畫參考並進而落實執行。孫雅麗強調，在識別的面向中，除了要有政策、目標、核心業務與維護範圍，以及資安長的配置，她強調，也要有專責人力與經費的配置，否則都只是空談。</p> <p>對於CI提供者的納管，主管機關必須全部有所掌握，建議以逐年納入方式進行。NCC在這三四年來，已陸續將上述所有領域業者納入，不過，後續對於資安事件通報的掌握，還有一處地方需注意，孫雅麗表示，初期NCC曾遇到，這些業者沒有即時通報資安事件的狀況，因為業者往往可能想多蒐集一些資訊再通報，因此，需要讓業者瞭解即時通報的重要性，之後有更多資訊，可以再陸續通報進來。</p> <p>為確保關鍵電信基礎設施資通安全，NCC近期還有幾項重要工作。孫雅麗指出，NCC今年新成立國家級通訊軟體領域安全實驗室（NCSS Lab），將協助5G網路業者、第三方服務商與IoT製造商，完成5G相關軟體安全測試。<a href="https://www.ncc.gov.tw/chinese/news_detail.aspx?site_content_sn=8&cate=0&keyword=%e5%ae%89%e5%85%a8%e5%af%a6%e9%a9%97%e5%ae%a4&is_history=0&pages=0&sn_f=46598">該實驗室原定年初建立完成，但因疫情影響場地施工延宕至年底</a>。</p> <p>同時，NCC新訂定的「關鍵電信基礎設施資通設備資通安全檢測技術規範」，在今年7月正式上路，當中明訂取得審驗合格證明的資通設備，仍應持續進行弱點及漏洞的修補，並針對CVSS評分的嚴重性，提供不同緩衝期限。</p> <p>舉例來說，若是在檢測機構測試階段，發現中風險的弱點，將需在30日內，提供測試報告以佐證修補完成，如果是在設備取證後，有新的CVE弱點遭到揭露，將需在45日測試報告佐證已完成修補；如果測試階段發現高風險漏洞，該測試項目將以不合格計；若取證後有新CVE弱點被揭露，則將暫停審驗合格效力。</p> <p>另一方面，NCC規畫的通傳事業資通設備的資安漏洞通報系統，在今年底也將完成系統設置，進一步推動設備商做好更新修補。</p> <p>此外，對於物聯網裝置的面向，前兩年NCC已與經濟部合作，建構物聯網資安認驗證體系，這項計畫持續發展，在2021年8月，新通過了無限寬頻分享器產業標準。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89NCC%E5%AD%AB%E9%9B%85%E9%BA%97%E8%81%9A%E7%84%A6SOC%E8%88%87%E4%B8%BB%E5%8B%95%E5%BC%8F%E9%98%B2%E7%A6%A6.jpg" style="width: 600px;" /></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">NCC在2021年1月新訂定「</span><a href="https://www.ncc.gov.tw/chinese/files/21012/538_45608_210121_1.pdf" style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">關鍵電信基礎設施資通設備資通安全檢測技術規範</a><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">」，</span><a href="https://www.ncc.gov.tw/chinese/files/21012/538_45608_210121_2.pdf" style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">今年7月1日正式生效</a><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">，當中明訂設備商申請認證的資通設備在取得審驗合格證明後，仍應持續進行弱點及漏洞的維護。</span></p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89NCC%E5%AD%AB%E9%9B%85%E9%BA%97%E8%81%9A%E7%84%A6SOC%E8%88%87%E4%B8%BB%E5%8B%95%E5%BC%8F%E9%98%B2%E7%A6%A6.jpg" style="width: 600px;" /></p> <blockquote><p>繼去年<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">公布「智慧型手機系統內建軟體」及「智慧音箱」資通安全檢測產業標準，今年又有新標準出爐，在2021年8月19日新發布通傳領域無線寬頻分享器資安標準。</span></p> </blockquote> <h3><strong>資安跨域聯防將邁向主動式防禦</strong></h3> <p>特別的是，在資安跨域整合聯防的布局上，孫雅麗新揭露NCCSC今年開始的一項重要計畫，當中將發展主動式防禦，建立早期預警。</p> <p>她表示，這個主動式防禦的特色，是藉由擬真誘捕系統蒐集網路攻擊活動，同時將建構大數據AI分析平臺，以分析潛在攻擊模式，並建立攻擊特徵資料庫。</p> <p>簡單來說，當中包含了真實的設備、誘捕系統，並將創造具欺騙性的互動，同時，會在隱私保護之下，採用自動化、AI與Big Data技術，建立具有主動式防禦能力的資安分析系統，而在資安大數據分析方法論的建構上，也將持續精進，從攻擊Pattern的探勘，到多工式學習（Multi-task AI learning）。</p> <p>關於主動式防禦的推動與導入，顯然已成為我國資安跨域整合聯防的新焦點，對此，NCC已提出「自動化及智能化主動式防禦以創建具韌性之國家關鍵通傳網路」的計畫項目，將分為4年持續投入。事實上，不只NCC通傳會，行政院資通安全處與金管會也在資安策略推動上，提及主動式防禦的相關計畫。目前看來，相較於其他8大CI領域，NCC推動的腳步較明朗，也帶動國內資安跨域整合聯防，在事前預防資安威脅的面向上，能有更進一步的作法。</p> </div></div></div>
2021/12/10 15:42作者羅正漢https://www.ithome.com.tw/news/148311
VS Code Python擴充套件新增模組重新命名功能，讓重構程式碼更簡單！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-december-2021-release/">微軟發布12月適用VS Code的Python擴充套件更新</a>，得力於新的Python語言伺服器Pylance，微軟在新的擴充套件加入各種重構和編輯新功能，來進一步改善用戶開發體驗。另外，微軟也介紹了一款非官方的Python環境管理擴充套件，供開發者方便管理Python開發環境與套件。</p> <p>微軟總算回應開發者的強烈要求，在Python擴充套件中新增模組重新命名功能，透過Pylance，開發者可以使用重新命名功能，更簡單地重構程式碼。過去開發者要重新命名文件或是模組時，需要在程式碼庫中搜尋該模組的參照，並且手動更新每個位置。</p> <p>而在新版本中，重新命名Python檔案和模組後，Pylance能夠找到有需要更新的實例，並且提供需要更改的程式碼預覽給用戶，用戶可以在接受這些變更之前，手動自定義參照，或是在看到需要更改的內容後，改變主意放棄更改。官方提到，有這個功能後，可以加強開發者變更程式碼的信心，並且花更少的時間在重構上。</p> <p>在開發者使用虛擬或是不受信任的工作區時，透過Pylance的支援，Python擴充套件現在還會提供語法錯誤偵測，以及有限的IntelliSense支援，提供像是語意突出顯示、語法錯誤偵測和程式碼導覽等多項功能。如同github.dev或vscode.dev，開發者可以利用一系列編輯功能，虛擬地探索程式碼庫，或是在本地端檢查工作區，來決定是否將該工作區標記為受信任。</p> <p>微軟也宣布調整Python 2.7的除錯功能，這個Python擴充套件，將會是支援本地端Python 2.7除錯的最後一個版本，從2022年1月開始，除錯器debugpy就不會支援Python 2.7。不過，這個影響僅限於本地端開發體驗，遠端除錯仍不受影響，也就是用戶還是可以將除錯器，附加到在Python 2.7中執行的遠端程序。</p> <p>另外，微軟還提到用戶可以使用Python環境管理擴充套件，來檢查Python環境和套件，這個擴充套件並非由微軟官方開發，不過是由團隊的成員，以及Python擴充套件創建者Don Jayamanne開發和維護。</p> <p>該管理器提供檢視圖，能夠讓用戶一目了然機器上的多個Python環境資訊，包括不在工作區中的虛擬環境，並且還可以檢查環境中安裝的軟體套件及版本。用戶可以對不同環境創建多個終端，只要點擊環境旁的終端按鈕，就能簡單地啟動。</p> </div></div></div>
2021/12/10 15:44作者李建興https://www.ithome.com.tw/news/148309
從科層到人本的次世代管理思維
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1210-960-ren_ben_ti_zhi_.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>追求人本體制的本質是犧牲。20 世紀初的管理大師瑪麗．帕克．傅麗特（Mary Parker Follett）認為：「界定領導力的不在於權力的行使，而是讓被領導者提高權力感的能力。」</p> <p>如果你是主管，你無法在沒有下放自身權力的情況下，授權給其他人執行工作。你得把古老的權力貨幣（津貼福利、決策權與賞罰）換成新的貨幣：智慧、慷慨與指導。</p> <p>要把管理工作開始下放給部屬團隊有許多方式，以下是幾項建議。</p> <p><span style="color:#B22222;"><strong>確定方向</strong></span></p> <p>要求你的團隊定義共同的使命。給他們時間集思廣益找出問題的答案，例如：「我們的價值主張是什麼？」「該如何衡量我們團隊的成功？」以及「要增加影響力，我們所能做的最重要的事是什麼？」</p> <p>每個月舉辦一次為時半天的會議，討論業務單位或是全公司層級的策略。要求同事確認他們能做什麼，來支持公司整體的使命。</p> <p>如果公司有正式的規畫流程，要求同事帶頭定義優先重點事項、設定里程碑，以及編列預算。</p> <p><span style="color:#B22222;"><strong>建立技能</strong></span></p> <p>要求團隊成員確認他們想要打造新技能的領域，是在創意的問題解決方案、財務分析、設計思考，還是在人際關係上。</p> <p>要求團隊成員詳盡闡述個人的發展計畫，然後以小筆預算支持這些計畫。</p> <p>全年度支持團隊成員獲取新技能。例如，你可以給大家時間上線上課程、建立工作輪調制度，或是設法成為一個更好的導師。</p> <p><span style="color:#B22222;"><strong>和其他團隊與部門合作</strong></span></p> <p>派遣團隊成員代替你參加主管會議。要確認他們徹底了解狀況，並且具備代表團隊發言的職權。</p> <p>給予團隊成員時間、機會和其他單位與部門聯絡，像是品管、人資、財務與IT 部門。把跨單位協調的管理責任下放給部屬。</p> <p>促進工作輪調，讓員工更能理解需要管理的重要連動環節。</p> <p><span style="color:#B22222;"><strong>安排工作</strong></span></p> <p>給團隊分派工作職務的權力，目標是提升員工參與度與效率。</p> <p>邀請團隊成員寫下他們理想的職務說明。撥空以團隊的角度來檢討與疊代這些職務說明。</p> <p>要求團隊主導設定每日或每週的目標，並評估進展。</p> <p><span style="color:#B22222;"><strong>驅動團隊取得成果</strong></span></p> <p>由團隊安排並主持每週或每個月的單位績效討論。讓團隊成員建構議程，蒐集相關資訊、確認需要改善的地方，並詳細闡述行動計畫。</p> <p>要求團隊成員發展並測試改善的構想，並確保他們有時間與預算做這件事。</p> <p>主持每個月的創新即興發揮，安排為期一整天的會議，讓團隊有機會處理更大、更策略性的問題。</p> <p><span style="color:#B22222;"><strong>管理績效</strong></span></p> <p>詢問團隊成員他們認為績效目標是否適當。如果不適當，請他們建議替代方案。</p> <p>促進同事之間的意見回饋。舉辦會議，讓每一位團隊成員都能對其他同事給予有建設性的回饋意見。</p> <p>邀請團隊成員發展監測團隊健康狀況的每月調查。問卷可以調查員工參與度、效率、協調性與增加的價值。</p> <p><span style="color:#B22222;"><strong>分享資訊</strong></span></p> <p>主持每一季的討論會，讓團隊成員有機會跟平常不會碰到的內部、外部顧客直接互動。</p> <p>詢問團隊成員，額外的財務或營運資訊對他們來說否有用，然後盡力提供資訊給他們。</p> <p>協助第一線團隊成員更加了解業務單位或公司領導人用以判斷組織有效性的策略權衡與調查方式。</p> <p>當你開始下放職權，邀請一些同事響應，別忘了定期讓團隊湊在一塊分享經驗。千萬別以為你必須單打獨鬥對抗科層體制。</p> <p><span style="font-size:28px;"><strong>北美愛迪達：對員工開放</strong></span></p> <p>年營收逾230億美元的愛迪達，是世界首屈一指的運動品牌。儘管這間企業在歐洲足球賽事中勢力龐大，但在美國卻經常受挫。2014 年時，這間公司決心改變這種情形，指派馬克．金恩（Mark King）擔任北美區總裁。金恩曾讓高爾夫球具製造商泰勒梅（TaylorMade）成功的轉虧為盈，現在他要負責重振這個品牌，讓愛迪達的北美公司回到正軌。</p> <p>金恩抵達這間公司位於俄勒岡州波特蘭的總部時，他遇見一支有才幹但士氣低迷的團隊。這個事業群剛把第二名的寶座讓給UA，而且可能會連續第二年銷售量衰退。它正在失去零售貨架空間，而且獲利遠遠落後遍及各大城市的競爭對手Nike。距離總部九個時區之遙的美國團隊知道，他們需要在開發美國特有運動文化方面做得更好。</p> <p>金恩的第一個挑戰是說服董事會提高對北美的投資。作為增加投資的回報，金恩保證讓愛迪達成為美國成長最快速的運動品牌；對於那些習慣北美單位長年績效不佳的人來說，這樣的承諾聽起來很駭人。金恩不只拿到了資金，還採取既務實又具有象徵性的一步棋：把全球設計主管調到波特蘭來。</p> <p>在四處討教美國的營運狀況時，金恩發現大量遭到壓抑的創意。他估計，北美3,500 名員工的內心深處，藏有文藝復興的原始素材。問題在於如何提升創意思考的品質，讓新構想浮現，打造成長策略；而且他們不能花上幾年，在幾個月內就要做到。答案以愛迪達創新學院（Adidas Innovation Academy）的形式出現，這是一個為期十週的計畫，可以教導員工像一個改變遊戲規則的人一般思考，並邀請他們協助塑造公司的策略。</p> <p>訓練計畫的核心是為期四週的單元課程，每一週參與者都會面臨必須想出新洞見的挑戰，並且要在一個共同平台上貼文。整體而言，員工產生超過一萬個洞見，有一些甚至挑戰現有的策略。</p> <p>例如，要成功只能正面迎擊Nike 或UA 嗎？其他的點子則著重在公司雷達尚未偵測到的趨勢，像是快速成長的電競產業（e-sports），玩家組隊比賽電子遊戲，有時還會在歡呼的觀眾面前比賽。</p> <p>接下來四週，員工的挑戰是把洞見變成商業構想。有一個洞見強調零售業者與公司內部壁壘分明的商業團隊互動不佳。他們的創新提案是：打造一個與離線、線上零售商互動時更簡單、更連貫的介面。</p> <p>在這一個月的時間裡，參與者捕捉到近千個商業構想，每一個構想的潛在影響力與可行性都會受到同事的評分。有了這些評價後，員工會將構想貼上標籤，以便搜尋並減少重複。</p> <p>儘管形成構想的過程並沒有限制構想的類別，但是大部分構想最終都被歸類為12 個左右的策略主題，例如增加女性員工、重新塑造與零售商的關係。在這些歸類中，構想經常會有互補的狀況，而且總的來說，這也協助他們確認到更廣泛的商機。</p> <p>2015 年底，所有註冊這個學院的人，都受邀協助篩選有前景的構想。這個過程中有9項提案特別醒目，後來在一場全員參加的「創智贏家」（shark tank）活動中進行推銷。活動結束時，許多提案都快速投入開發。</p> <p>馬克．金恩在2018年7月下台。在他任職的四年時間裡，北美銷售額成長了近50％，營業利益率（operating margin）則是翻了三倍。金恩與現任北美總裁錫安.阿姆斯壯歸功於同事以新方式釋放的創意。儘管參加創新學院完全是自願，但有超過兩千人參與，一千人拿到他們改變遊戲規則的證書。創新學院不但打開新視野，也開啟了企業文化。</p> <p>儘管這些開放策略值得讚賞，卻走得不夠遠。我們認為每一個組織都應該對所有走向他們的人開放策略對話。這個世界上不缺原創性思考，但大部分企業都沒有加以利用。他們沒有在線上發布技能與資產的一覽表，並且問這個世界：「當你擁有這些能力時，你會做什麼？」他們沒有建立一個不斷線、讓顧客、供應商、夥伴、創業家、產業專家、業餘發明家等所有人都能張貼想法的平台。他們沒有規畫出聰明的解決辦法，既保護智慧財產權，又獎勵貢獻作品的人。他們沒有邀請外部創新者與內部團隊一起工作。他們沒想過要打造強大的魅力，吸引世界最激進的思考者與實行者。（摘錄整理自《人本體制》，天下文化提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/300-%E4%BA%BA%E6%9C%AC%E9%AB%94%E5%88%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E6%96%87%E5%8C%96%E5%87%BA%E7%89%88-2.png" style="width: 342px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>人本體制：策略大師哈默爾激發創造力的組織革命</strong></span></p> <p>蓋瑞．哈默爾（Gary Hamel）、米凱爾‧薩尼尼（Michele Zanini）／著；周詩婷／譯</p> <p>天下文化出版</p> <p>售價：600元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>蓋瑞．哈默爾（Gary Hamel）</strong></p> <p>自1983年便任職於倫敦商學院（London Business School），現為該校策略與國際管理客座教授，同時也是「管理創新實驗室」（Management Innovation Lab）的共同創辦人。《經濟學人》封他為「世界第一流的策略大師」。</p> <p><strong>米凱爾‧薩尼尼（Michele Zanini）</strong></p> <p>管理實驗室共同創辦人。麥肯錫管理顧問公司（McKinsey & Company）前合夥人，擔任公司組織、策略與金融服務實務領域的領導者。</p> </div></div></div>
2021/12/10 16:04未署名https://www.ithome.com.tw/article/148313
協助企業建立NFT專案的Palm NFT Studio獲得微軟注資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://m12.vc/news/welcoming-palm-nft-studio-to-the-m12-portfolio" target="_blank">微軟旗下的創投子公司M12本周宣布</a>，已將Palm NFT Studio納入自家的投資組合，主導了Palm約2,700萬美元的B輪增資。</p> <p>Palm NFT Studio創立於今年3月，其創辦人包括以太坊共同創辦人Joseph Lubin、電影製作人David Heyman，及藝術服務公司HENI Group創辦人Joe Hage，主要提供不可替代代幣（Non-Fungible Token，NFT）解決方案，以協助藝術家及創作者發行NFT，自己也發行了PALM代幣。</p> <p>Palm NFT Studio表示，B輪增資的金額為2,700萬美元，除了主導的M12之外，其它的投資人還包括Griffin Gaming Partners、RRE、Third Kind Venture Capital、Sfermion、LAO、Warner Bros.與SK，這筆資金將用來擴大該公司的團隊，以支持該公司成為橫跨娛樂、藝術、遊戲與創意的轉型力量。</p> <p>目前Palm NFT Studio仍在積極開發其技術平臺，以讓創作者更容易於Palm網路上發表NFT。身兼Palm NFT Studio執行長的Dan Heyman指出，在未來的3年內，大多數的NFT都將免費釋出，而人們將看到NFT從獨家收藏成為大眾參與的轉變，而該公司將主導此一轉變。</p> <p>事實上，NFT是一個新興的市場，大多數的投資人仍抱持著觀望的態度，<a href="https://m12.vc/news/welcoming-palm-nft-studio-to-the-m12-portfolio" target="_blank">而M12也表示</a>，市場有許多關於加密貨幣及NFT是否具備持續影響力的討論，而Palm NFT Studio則專注於打造可持續性的技術，包括正在採取措施以減少其解決方案的碳足跡。</p> <p>M12原名Microsoft Ventures，自2016年成立以來已投資超過100家新創企業，通常是在早期階段就注資，著重於企業應用、雲端基礎設施、網路安全暨身分認證、資料暨AI、開發者工具及健康/生命科學等領域。</p> </div></div></div>
2021/12/10 15:03作者陳曉莉https://www.ithome.com.tw/news/148308
IBM分出來的Kyndryl成為Google Cloud服務合作夥伴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月完成<a href="https://www.ithome.com.tw/news/147680" target="_blank">由IBM分拆</a>的IT服務商<a href="https://www.prnewswire.com/news-releases/kyndryl-and-google-cloud-announce-strategic-partnership-to-accelerate-digital-business-transformations-301441075.html" target="_blank">Kyndryl本周宣布與Google Cloud簽訂服務與代管合作協議</a>，協助企業建置維運雲端資料分析、人工智慧應用，以及推動IT基礎架構現代化。</p> <p>在最新合作下Kyndryl成為Google Cloud頂級合作夥伴，雙方合作重點包括資料分析與AI、SAP on Cloud、邊緣運算及金融解決方案。Kyndryl將以其資料管理與整合能力，推動企業採用Google Cloud分析及AI平臺建立雲端資料分析與人工智慧（AI）應用，並推動企業把本地部署的SAP ERP搬上Google Cloud。</p> <p>其次，Kyndryl將推出Google Cloud分散式邊緣運算方案，Kyndryl也將提供這類系統的代管服務。Kyndryl也將運用IBM 30年的金融業服務經驗，推動金融業採用Google Cloud平臺的數位轉型。</p> <p>此外Kyndryl也將於內部成立Google Cloud 學院，旨在加速培訓Google Cloud技術人才，計畫未來幾年間取得數千張證照</p> <p>這項合作將有助於Google Cloud服務金融業客戶。<a href="https://www.ithome.com.tw/news/147676" target="_blank">11月初Google宣布</a>投資10億美元取得芝加哥商品交易所集團（CME Group）持股，Google Cloud也將在10年中為這家金融集團推動雲端轉型。</p> </div></div></div>
2021/12/10 13:56作者林妍溱https://www.ithome.com.tw/news/148306
駭客利用冒牌Notepad++安裝器散布竊密軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Notepad++是一款受歡迎的文字及程式編輯器，<a href="https://blog.minerva-labs.com/a-new-strongpity-variant-hides-behind-notepad-installation" target="_blank">近日安全廠商發現</a>，駭客利用假冒Notepad-++的安裝器（installer）讓用戶電腦感染惡意程式，可能是和一個國家駭客組織有關。</p> <p><a href="https://twitter.com/blackorbird/status/1465521129179660290" target="_blank">最近安全研究人員發現</a>到許多開發人員愛用的編碼程式Notepad++被用來當成惡意攻擊的工具。Notepad++安裝程式被武裝化（weaponized）改造並透過非官方下載網站散布。</p> <p>安全廠商Minera研究人員以其感染手法判斷，類似StrongPity行為模式，它是一群國家駭客，又被稱為APT-C-41 或Promethium。StrongPity首見於2012年，經常在特定合法軟體中加入後門程式而散布。安全廠商卡巴斯基2016年發現StrongPity利用Truecrypt及Winrar等安裝程式於比利時、義大利等地散布。<a href="https://www.ithome.com.tw/news/139629" target="_blank">去年研究人員發現它涉入土耳其軍事行動</a>。</p> <p>Minerva分析，當使用者下載Notepad++ setup.exe，就展開了三階段的攻擊過程。Setup.exe一經啟動，會植入3個程式，第一個是正牌的Notepad++安裝檔，但另外丟入兩個惡意程式，分別是winpickr.exe及鍵盤側錄程式ntuis32.exe。winpickr.exe負責執行ntuis32.exe，後者將用戶鍵擊儲存成隱藏的系統唯讀.tbl檔，執行時還會縮小視窗以免被發現。之後winpickr.exe搜尋這些檔案，並將之傳送給外部C&C伺服器，最後將用戶電腦上的.tbl檔刪除。</p> <p>安全廠商呼籲，為避免受害，最好方法是從官方網站下載程式。</p> </div></div></div>
2021/12/10 12:37作者林妍溱https://www.ithome.com.tw/news/148297
Fintech周報第203期：金控旗下金融業子公司客戶資料共享新進展，金管會年底將發布共享應注意事項訂出可共享範圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">1204~</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">1210</span></strong></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 資料共享 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 風控模型 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金控旗下金融業子公司客戶資料共享新進展，金管會年底將發布共享應注意事項訂出可共享範圍</span></strong><br /><span style="vertical-align: top;">金管會在去年8月底發布金融科技發展路徑圖，在資料共享面有一大推動措施是金控旗下金融業子公司（銀行、保險、證券）客戶資料共享。因為現有法律規範，金控公司目前還不能為旗下子公司建置數據資料庫，以集團整體的客戶建立風控模型，作為子公司認識客戶及評估客戶風險的參考。對此，金管會綜合規劃處處長胡則華揭露了最新進程，今年，金管會已召開2次公聽會，就此議題與金融業相關公會與業者代表進行討論。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">她表示，今年底，金管會將發布金融機構間資料共享的應注意事項。但是，胡則華強調，金控必須在符合個人資料保護法的狀況，以及符合金融機構間資料共享應注意事項的規範下，同時，完成金控內控機制，就能將各子公司客戶資料彙集到金控端，建立客戶風險管理資料庫與建置風控模型。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">這將帶來2面向的好處，其一是可減少金控旗下各子公司重複建置的成本，更可交叉比對及利用以大數據建立的模型，估算客戶的風險等級，預先處理潛在風險。另一項好處是，胡則華提到，能提高客戶便利性的目的，她舉例，客戶到同一金控旗下的銀行端首次開戶時，若以往在如證券端已完成開戶，在客戶的同意下，就能將證券的資料帶過來銀行端，作為開戶時銀行認識客戶的參考依據。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">金管會認為，即便是金控旗下子公司間的資料共享，也需要做到一定程度的控管。所以，她進一步說明，包括個資保護，比如金控旗下子公司在分享資料時，雙方必須具備一致的資料保護水準等。胡則華也透露，金管會將在今年12月前對外公布更多資料共享細節。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位金融管理規範 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 跨業 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會委託政大訂定數位金融服務管理規範的可行性，先聚焦金融3業需求最大的數位身分驗證</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為了因應跨業及場景金融的發展，金管會在金融科技發展路徑圖的基礎工程之一，便是法規調適。在法規調適的第一步，金管會綜合規劃處處長胡則華表示，金管會已整理與增修金融服務各業別現有的數位金融服務相關法令或自律規範，逐步放到金管會官網上。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">另一項較為長遠的規畫是，考量到數位金融具跨銀行、保險、證券3大業別的特性，金管會希望訂定出一套單一數位金融服務管理規範，可以讓各業別提供金融服務時共同遵循。胡則華表示，目前已由金融科技共創平臺中，擔任監理科技組召集人的集中保管結算所，在今年8月委外政治大學金融科技研究中心研究單一數位金融服務管理規範的可行性，研究計畫則為期1年。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">她進一步說明，統整各業別業者意見後，發現業者對數位身分驗證的需求相當高，因此，委外研究主要聚焦多元數位身分驗證機制，其中也包含了電子簽章的研究。胡則華表示，研究方向將會蒐集國際上在數位身分驗證的相關機制與作法，比如英國、瑞典、歐盟、澳洲，並針對相關機制進行研究，以及後續要導入國內能否適用，或者在導入時需要進行相關法規的修正等，整體包括了法規面、技術面、相關金融場景的盤點與研究。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 將來銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">第3家純網銀終於來了！將來銀行取得營業執照，預計明年Q1正式對外開業</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/29_%E5%B0%87%E4%BE%86%E9%8A%80%E8%A1%8C_20210413.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣第3家純網銀終於來了，金管會在12月9日正式核發將來銀行營業執照。金管會表示，對將來銀行不只完成書面及實地的審查作業，也針對外界關切事項完成專案查核，要求將來銀行強化內部管理，所以，正式核發國內第3張純網銀營業執照給將來銀行。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">將來銀行表示，接下來將與各相關單位進行系統連線串接，開業前將舉行試營運，預計在2022年第一季正式對外開業。將來銀行股東囊括中華電信、兆豐銀行、新光集團、全聯實業、凱基銀行及關貿網路，該行表示，未來開業後更能與不同產業進行合作，將以開放金融與智慧生活為發展目標。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 臺企銀 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 新一代網銀 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 容器化 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 微服務 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">臺企銀靠容器技術翻新網銀系統，下一步將採微服務方式部署新系統</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣中小企業銀行（簡稱臺企銀）對外分享過去3年，資訊團隊導入容器化技術的經歷，接下來還要採用微服務方式部署新系統，還有微服務化使用量大的既有應用，來提升應用的執行效能。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣中小企業銀行資訊部襄理周聖鈞點出，促使臺企銀導入容器化技術的關鍵是，全面翻新網路銀行的決策。臺企銀期望藉由容器技術具備的彈性、輕便等特性，提升網銀服務的作業效率，2019年時，展開了容器化技術的導入旅程，打掉網路銀行舊系統，用容器化技術重練新網銀。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">不過，容器化網銀系統上線初期，IT遭遇各種容器效能不彰問題，包括笨重、無法自動擴充、重啟慢等。因此，臺企銀決定導入全面性的容器管理工具，從單一平臺管理、維運和監控容器，才能真正獲得容器技術的特性，提升網銀系統的作業效率。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">有了單一容器管理平臺，可監控應用程式的運作狀況後，下一階段，臺企銀想進一步朝微服務化應用邁進。臺企銀決定逐步推進系統微服務化工程，首先，鎖定笨重、效能較差的容器，要抽出這些容器裡經常改變或常用的應用、服務或API，比如說，銀行顧客最常使用的登錄功能，來進行微服務化工程，提高容器的效能。<strong><a href="https://www.ithome.com.tw/news/148083">（詳全文）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> QR Code 跨行提款 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 中信銀ATM </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 永豐銀行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">永豐銀行百萬數位帳戶用戶，可在中國信託全臺6,700臺ATM掃QR Code跨行提款</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/20211202%E4%B8%AD%E5%9C%8B%E4%BF%A1%E8%A8%97%E6%94%9C%E6%89%8B%E6%B0%B8%E8%B1%90%E9%8A%80%E8%A1%8C%E9%A6%96%E5%89%B5QR%20Code%E8%B7%A8%E8%A1%8C%E6%8F%90%E6%AC%BE%E6%96%B0%E8%81%9E%E5%9C%96.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中國信託銀行統計，受疫情影響，今年1月到10月自家全臺ATM無卡提款交易量破320萬筆，其中，QR Code無卡提款服務量相比去年同期，成長了超過3成，反映出民眾對零接觸金融服務使用量持續增加。觀察到此需求成長，近期中信銀行與永豐銀行合作，透過API串接，首創用QR Code進行跨行ATM無卡提款服務，讓永豐銀行百萬數位帳戶用戶，能在中信銀行全臺超過6,700臺ATM掃碼QR Code跨行提款。永豐銀行也表示，不只數位帳戶，該服務預計2022年擴大到永豐銀行的行動銀行App用戶也能使用。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融詐騙 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 智能防詐 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 刑事局 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">刑事局聯手北富銀推動智能防詐，未來可進一步推廣到其他金融機構</span></strong><br /> 近期，內政部警政署刑事警察局與台北富邦銀行共同簽署合作意向書，要聯合建置金融詐騙偵測暨預警機制，利用刑事局多年來查緝詐欺集團的偵查經驗，以及多年累積的犯罪態樣與可疑徵候，由刑事局及北富銀雙方的資訊團隊共同建置智能模型，來分析具有可靠度的異常指標，建立金融詐騙偵測暨預警機制。</p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">此合作案2大執行方向，其一是分析警示帳戶金流樣態，制定異常偵測指標，另一方向是建立警方與銀行間即時通報管道，強化線上打擊犯罪的能力。刑事局也希望透過與北富銀合作智能防詐的首個示範案，未來可以推廣到其他金融機構。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">北富銀表示，與刑事局合作智能防詐有兩大目的，一是關懷早一步，二是防詐快一步。當警訊出現時，銀行發現顧客帳戶在網銀、行銀、ATM有異常轉帳的交易出現，就能夠主動關懷、提醒顧客有遭詐騙的風險。另外，當銀行偵測到疑似詐騙收款帳戶的提領交易時，就能主動在線上即時通知警方到場進行盤查，攔阻詐騙案件發生。<a href="https://www.ithome.com.tw/news/148152"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt; vertical-align: top;">攝影／洪政偉；圖片來源／中國信託銀行</span><br /> 責任編輯／李靜宜<br /><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1</strong><strong style="vertical-align: top;">. </strong><strong>加密貨幣交易中心BitMart遭駭，駭客盜走價值1.5億美元加密貨幣資產</strong><br /><strong style="vertical-align: top;">2. </strong><strong>經全球27個指定監管機關許可的加密貨幣、交易中心或電子錢包產品，將可在Meta旗下臉書等平臺刊登廣告</strong><br /><strong style="vertical-align: top;">3.</strong><strong style="vertical-align: top;"> </strong><strong>數位支付平臺Square為了迎向區塊鏈（Blockchain），將企業名稱更名為Block</strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年12月</strong></p> </div></div></div>
2021/12/10 12:43作者李靜宜https://www.ithome.com.tw/news/148298
Meta對北美市場開放Horizon Worlds虛擬社交平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta在去年展開Horizon Worlds虛擬社交平臺的邀請測試活動，繼於本周四（12/9）宣布，開放美國與加拿大18歲以上的用戶測試Horizon Worlds。不過，前提是使用者必須擁有Oculus Quest頭戴式虛擬實境裝置。</p> <p>Horizon Worlds允許使用者於虛擬世界中建立自己的世界，打造自己的遊戲，或者是探索與執行他人所建造的世界與遊戲，屬於元宇宙（Metaverse）的應用。</p> <p>Meta表示，該公司對Horizon Worlds的願景是開發一個VR空間，提供一流的工具，以讓創作者得以打造自己的世界並與其他人共同探索。</p> <p>目前Horizon Worlds中的主流應用仍是遊戲，最受歡迎的3款應用分別是多人大逃殺遊戲《Pixel Plummet》、攜著魔杖乘坐魔法掃帚以探索城市的《Wand & Broom》，以及與朋友乘坐河船享受輕鬆旅程的《Mark’s Riverboat》。</p> <p>雖然仍處於早期測試階段，但Meta已替Horizon Worlds設計了Safe Zone安全功能，讓使用者得以封鎖或檢舉其他用戶。</p> <p>Oculus Quest用戶可免費下載Horizon Worlds，但該平臺對Quest 1的支援只到明年的1月13日截止，意味著之後它將只相容於最新的Quest 2。</p> <p>根據<a href="https://www.idc.com/promo/arvr" target="_blank">IDC今年第二季的調查</a>，全球該季售出220萬臺AR/VR頭戴式裝置，比去年同期增加了126.8%，主要的成長力道即來自於2020年10月發表的Quest 2，內建128GB儲存空間的Quest 2售價為299美元。IDC並未公布第二季的AR/VR頭戴式裝置供應商排行，但在<a href="https://www.idc.com/getdoc.jsp?containerId=prUS48041621" target="_blank">第一季的報告</a>中透露，全球有接近2/3的相關裝置出貨量來自Oculus。</p> <p>除了Oculus之外，其它生產AR/VR頭戴式裝置的主要業者還包括中國的DPVR及Pico，臺灣的宏達電與日本的Sony。</p> </div></div></div>
2021/12/10 12:54作者陳曉莉https://www.ithome.com.tw/news/148300
明年年報須主動揭露資安作為
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近金管會有一項新規定，引起眾人高度關注。在11月30日時，金管會正式發布了一項影響上市櫃公司年報的重要宣布，新修正的「公開發行公司年報應行記載事項準則」中，規定公司要在年報中，針對資通安全風險管理，以及永續發展推動與執行的面向，來強化資訊揭露的透明度。</p> <p>這項新規定，從明年年報開始實施，也就是在後年公布明年年報時，我們就可以看到上市公司更清楚的資安作為。</p> <p>原本各家企業資安作為，不是法令要求的揭露內容，但這幾年，臺灣企業資安事件頻傳，動輒出現影響企業營運的重大資安事件，例如多起製造業勒索軟體事件，儘管影響時間可能不長，但的確出現了導致產線停擺或服務中斷的情況。</p> <p>所以，今年4月底，證交所先要求，上市櫃公司在發生重大資安事件時，得發布重大訊息對外揭露。這項要求，更讓許多過去隱而不談的資安事件，必須公開。也因此，下半年，我們看到了更多臺灣大型企業重大資安事件的訊息。</p> <p>重大資安事件的公布，只是臨時性的資訊，仍舊無法了解臺灣產業資安的現況，現在，政府更進一步在每年定期公布的年報中，將資安作為揭露列入正式的法令要求，這等於要求企業每年得定期公布資安作為，而不是出事了才要對外說明。</p> <p>值得注意的是，在三項資安管理揭露要求中，企業必須舉例說明，遇到重大資安事件時，如何因應的做法。這等於要求所有企業都得有一套事先備妥的資安應變措施，像是針對不同的資安事件，各會採取甚麼樣的作法或流程。等到發生重大資安事件時，就得按照這個已經公布的作法來處置。這也會成了各界檢視一家企業因應能力，資安韌性的參考資訊。</p> <p>另外，在第二十條中，也明訂了公司應揭露資安風險對財物的影響與因應措施。尤其要求，企業必須把最近年度和年報刊印日之前，因為重大資安事件所遭受的損失，可能影響和因應措施，都列出來。這等於要求所有企業更不能將資安事件秘而不宣，關起門來自己處理。</p> <p>這項年報修正的新要求，不只是讓企業資安作為更透明，也讓臺灣企業的資安災情資訊更透明了。</p> <p>資安事件向來讓人覺得有一種負面形象的味道，這也讓企業不願意對外揭露太多，但是，當每一家上市公司都必須公開資安災情，誰的資安韌性更強，就成了更重要的事，如何在面對資安事件發生後，有一套快速復原的因應對策，現在更是企業非做不可的法遵重點。</p> <p>有了資訊就能比較，有比較才會產生競爭，進而帶動臺灣企業各自的資安實力，最後可以促進全產業的資安韌性。這正是這一項法令修正最重要的價值。</p> <p><span style="font-size:18px;"><a href="https://www.ithome.com.tw/news/148154" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span> </strong></span><span style="color:#3399ff;"><strong>企業主動揭露資安作為成法令強制要求，金管會明訂公司年報需記載</strong></span></a></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item odd"><a href="/tags/%E9%9F%8C%E6%80%A7">韌性</a></div><div class="field-item even"><a href="/tags/%E5%B9%B4%E5%A0%B1">年報</a></div><div class="field-item odd"><a href="/tags/%E9%87%91%E7%AE%A1%E6%9C%83">金管會</a></div><div class="field-item even"><a href="/tags/%E4%B8%8A%E5%B8%82%E6%AB%83%E5%85%AC%E5%8F%B8">上市櫃公司</a></div></div></div>
2021/12/10 11:43作者王宏仁https://www.ithome.com.tw/voice/148295
Dark Mirai殭屍網路程式開採TP-Link家用無線路由器RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fortinet.com/blog/threat-research/manga-aka-dark-mirai-based-campaign-targets-new-tp-link-router-rce-vulnerability" target="_blank">安全廠商Fortinet發現</a>殭屍網路程式Dark Mirai近日開採一款受歡迎的TP-Link家用無線路由器的遠端程式碼執行漏洞，以執行DDoS攻擊。</p> <p>遭到開採的是TP-LINK TL-WR840N EU (V5)<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-41653" target="_blank">安全漏洞CVE-2021-41653</a>，它出在韌體TL-WR840N(EU)_V5_171211版本以前，能讓遠端攻擊者修改主機IP參數值以便在路由器上執行程式碼，是一風險值9.8的重大漏洞。<a href="https://k4m1ll0.com/cve-2021-41653.html" target="_blank">它是由外部研究人員Kamilló Matek發現通報</a>，TP-Link於11月12日發布新版韌體以解決漏洞。</p> <p>如果這款路由器用戶不知道要修補漏洞就可能曝險，因為Fortinet下的FortiGuard實驗室研究人員11月底發現，殭屍網路Dark Mirai正在開採未補漏洞的TP-Link TL-WR840N EU (V5)。Dark Mirai是以Mirai原始碼為基礎發展而來，因其binary檔名又被稱為Dark，也因使用的SSH/telnet指令內含的令牌字串而被稱為MANGA。</p> <p>一如Mirai，Fortinet研究人員發現Dark Mirai開採TP-Link路由器的CVE-2021-41653以下載及執行惡意腳本程式tshit.sh，再下載主要惡意binary。這些binary一來可封鎖其他殭屍網路染指，且長駐在受害裝置內等待外部C&C伺服器，以便執行各種阻斷服務（Denial of Service，DoS）攻擊。研究人員也公布了這次攻擊的入侵指標（indication of compromise，IoC）。</p> <p>一如大部份網路產品防護，<a href="https://www.tp-link.com/no/support/download/tl-wr840n/" target="_blank">最有效防護方式是儘速安裝更新版韌體</a>。</p> </div></div></div>
2021/12/10 10:50作者林妍溱https://www.ithome.com.tw/news/148286
Google：Microsoft Teams造成Pixel手機無法撥打緊急電話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ixel 3手機日前發生無法撥打緊急求助電話，Google指原因出在Microsoft Teams。</p> <p><a href="https://www.reddit.com/r/GooglePixel/comments/r4xz1f/pixel_prevented_me_from_calling_911/" target="_blank">一名Reddit用戶上周指出11月底</a>，他的Pixel 3手機發生問題，使其無法打電話叫救護車。他的阿嬤可能中風，當他以Pixel 3手機撥911，電話響了一聲後，手機就卡住沒有回應。雖然手機顯示已經將其所在地點傳送到911服務臺，但使用者說話傳不出去，無法告知接聽人員他家地址或是家人情況。還好他阿嬤家中還有市內電話，讓他得以再重新呼叫救護車。</p> <p>事後這名用戶又重新複製這個情形，結果顯示他的Pixel手機及Verizon通聯紀錄都沒有顯示他曾撥打911。</p> <p>Google獲知消息後聯絡這名用戶，並著手調查。<a href="https://www.reddit.com/r/GooglePixel/comments/r4xz1f/pixel_prevented_me_from_calling_911/hnrvsr1/" target="_blank">Google 公司員工昨日公布調查結果</a>，他們相信僅手機安裝了微軟Teams App，卻又沒有登入，且作業系統為Android 10版本以上時會發生這情形。Google判斷這是Teams App和底層Android系統發生「不預期互動」的結果。不過Google並未說明是什麼原因。</p> <p>截至目前為止Google僅接獲一宗通報，然而因這情形影響緊急通話，因此Google和微軟都十分重視且優先處理。Google預期微軟很快會釋出新版本Teams。Google也預計明年1月4日將新版Android發送給合作夥伴，包括硬體製造商。</p> <p>Google並提醒用戶留意是否有新版本Teams App，在此之前，避免無法撥通緊急電話的方法是登入Teams App帳號，且要檢查是否不小心登出。Android 10以前版本裝置則不受影響。</p> <p>這是近來第二起合法第三方Android App出現問題。<a href="https://www.androidpolice.com/notifications-feeling-sluggish-this-popular-android-game-may-be-to-blame/" target="_blank">11月不少用戶安裝Niantic一款新遊戲《皮克敏Pikmin Bloom》後發現</a>它在啟動後會造成其他App通知發送延遲。</p> </div></div></div>
2021/12/10 09:29作者林妍溱https://www.ithome.com.tw/news/148280
美國FAA發布《適航指令》以避免5G影響飛安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著美國即將廣泛部署5G服務，<a href="https://www.faa.gov/newsroom/faa-statement-5g" target="_blank">美國聯邦航空管理局（FAA）本周發布了兩項《適航指令》</a>（Airworthiness Directive，AD），禁止飛機在受到5G C頻段（3.7~3.98 GHz）干擾時，使用雷達高度計（Radar Altimeter），預計於明年1月5日正式實施。</p> <p>其實雷達高度計並非使用C頻段，而是在4.2~4.4 GHz間運作，只是兩者的頻段太接近而可能造成干擾。非營利航空無線電技術委員會（FTCA）曾針對此事展開研究與評估，<a href="https://www.rtca.org/wp-content/uploads/2020/10/SC-239-5G-Interference-Assessment-Report_274-20-PMC-2073_accepted_changes.pdf" target="_blank">結論是C頻段將對所有類型民用飛機上的雷達高度計造成有害干擾</a>，此一風險是普遍存在的，亦可能對美國航空營運造成廣泛影響，包括在缺乏適當緩解措施的情況下，發生導致多人死亡的災難性故障。</p> <p>雷達高度計的功能在於替飛機系統提供海拔高度資訊，它比氣壓高度計更準確，通常應用在需要精確測量飛機離地高度時，像是自動著陸或其它的低空操作。儘管雷達高度計非常準確，但如果受到其它頻段的干擾，很可能會提供錯誤的結果。</p> <p>因此，FAA將利用電信業者所提供的資料，來辨識美國境內的哪些機場擁有或將擁有C頻段的基地臺，或是其它可能影響飛機系統的設備，以向飛行員發布《航行通告》（NOTAM），說明特定機場附近的雷達高度計並不可靠，也會在這些區域禁止需要雷達高度計的特定操作。</p> <p>美國電信業者Verizon與AT&T已因飛安問題，將大規模部署C頻段的時程從今年12月延後到明年1月，而FAA本周公布的《適航指令》則將在明年1月5日生效，這兩項指令的內容大同小異，只是規範的對象分別是運輸/通勤類飛機，以及直昇機。</p> </div></div></div>
2021/12/10 08:41作者陳曉莉https://www.ithome.com.tw/news/148278
Meta與IBM等業者成立資料聯盟，以避免基於AI的招聘系統產生偏見
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://dataandtrustalliance.org/news" target="_blank">包括Meta與IBM等十多家業者在周三（12/8）宣布成立資料暨信任聯盟（Data & Trust Alliance）</a>，將共同打造一致的標準，以減輕人力資源與勞工決策中所存在的資料及演算法偏見，包括招聘、薪資及員工發展等。</p> <p>Data & Trust Alliance的創始會員包括美國運通（American Express）、CVS Health、Deloitte、Diveplane、General Motors、Humana、IBM、Mastercard、Meta、Nielsen、Nike、Under Armour與Walmart，它們的員工總數超過350萬名。</p> <p>該聯盟表示，其成員有一個共同的信念，即相信於即將到來的時代中，資料與智慧系統為創造經濟及社會價值的關鍵，但必須負責任的部署。</p> <p>其實上述成員已經開始利用資料、演算法與人工智慧來尋找人才，包括仰賴那些已採用AI及機器學習的人力銀行、人才網站、顧問公司或招聘公司，然而，它們同時也認為利用相關技術的最大風險為可能隱藏著不公平的偏見。</p> <p>因此，Data & Trust Alliance建立了演算法偏差保護措施（Algorithmic Bias Safeguards），首個計畫就是「演算法的安全性：減少勞動力決策的偏見」（Algorithmic Safety: Mitigating Bias in Workforce Decisions），以協助企業根據相關標準來評估招聘服務的供應商，之後也會將該保護措施整合到企業的程序中。</p> <p>目前Algorithmic Bias Safeguards設計了13種類別的55個問題，以作為評估供應商的標準，涵蓋訓練資料、模型設計、偏差測試方法、偏差矯正、透明化與問責、AI倫理與多元性承諾等。</p> </div></div></div>
2021/12/10 08:48作者陳曉莉https://www.ithome.com.tw/news/148279
Deepmind開發具有2,800億參數的語言模型Gopher，探索模型規模對效能的影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下人工智慧研究公司Deepmind最近發表了<a href="https://deepmind.com/blog/article/language-modelling-at-scale">數篇關於語言模型的論文</a>，其中重要的論文包括訓練具有2,800億參數的語言模型Gopher，還提出一個改進的語言模型架構，來降低訓練模型的能源成本。</p> <p>之所以DeepMind團隊致力於研究人工智慧的語言處理和溝通，他們提到，語言是人類說明和促進理解的基本，能夠讓人們交流思想、表達想法、創造記憶並且相互理解，而這同時也是社交智慧的基礎部分。研究人員認為，開發更強大的語言模型，對於人工智慧系統的研究具有很大的潛力，能夠有效率地總結資訊、提供專家建議，並且以自然語言提供指引。</p> <p>在DeepMind的新論文中，訓練了大大小小的Transformer語言模型，從4,400萬個參數到2,800億個參數的模型都有，最大的模型被命名為Gopher。研究人員透過調查這些不同大小模型的優勢和缺點，找出能夠藉由增加規模，繼續提高效能的領域，像是在閱讀理解、事實查核和有毒語言辨識上，而研究人員也發現，在邏輯推理和常識性任務中，模型的規模並無法明顯改善結果。</p> <p>經過DeepMind的研究，他們發現Gopher的能力，在許多重要的任務上都超過現有的語言模型，例如大規模多任務語言理解（Massive Multitask Language Understanding，MMLU）基準測試，Gopher在許多方面都勝過當前先進的語言模型GPT-3和UnifiedQA，包括人性、社會科學和醫療等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig_1.jpg" style="width: 580px;" /></p> <p>研究人員除了對Gopher進行定量評估之外，也透過實際互動探索模型，發現Gopher在被提示進行對話互動時，能夠提供良好的連貫性，即便開發人員沒有對特定對話微調，但是Gopher竟然可以討論細胞生物學，並且引用正確的文獻。</p> <p>除了大模型帶來的優點之外，研究人員也探討了幾種在任何模型大小中，都持續存在的故障模式，諸如反覆傾向（Tendency for Repetition）、刻板印象和傳播不正確資訊。研究人員提到，這些研究之所以重要，是因為可以藉由理解和記錄故障模式，來進一步掌握大型語言模型對下游應用造成的危害，並且知道該朝哪個方向前進，來緩解這些問題。</p> <p>除此之外，DeepMind還提出了一種改進的語言模型架構，該架構能夠降低訓練能源成本，並且使模型輸出更容易追溯至訓練語料庫中的來源。研究人員受大腦在學習時，仰賴專用記憶機制的啟發，開發出了RETRO（Retrieval-Enhanced Transformer），藉由使用網際網路規模的檢索機制，來預訓練模型，RETRO能夠有效地查詢文本段落來改進預測，並且透過將生成的文字和RETRO生成所仰賴的段落進行比較，研究人員可以解釋模型做出部分預測時的原因和來源。</p> </div></div></div>
2021/12/10 08:53作者李建興https://www.ithome.com.tw/news/148273
GitHub運用智慧排名和程式碼索引技術，全面改善程式碼搜尋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub改進<a href="https://github.blog/2021-12-08-improving-github-code-search/">程式碼搜尋功能</a>，讓開發者能夠更快速簡單地搜尋到目標程式碼。該新功能正在技術預覽階段，供受到邀請的用戶，在<a href="https://cs.github.com">https://cs.github.com</a>上進行試用，官方提到，他們替新的程式碼搜尋功能，創建一個單獨的介面，當功能成熟之後，就會整合到主要的github.com頁面中。</p> <p>目前新的搜尋功能，其索引涵蓋超過500萬個受歡迎的公共儲存庫，用戶也可以將其用在具有儲存權限的私有儲存庫。新的程式碼搜尋功能藉由智慧排名，以及針對程式碼最佳化的索引，讓用戶能夠簡單地在最佳結果中，找到想要查詢的內容。</p> <p>該功能支援子字串、特殊字元和正規表示式配對，以搜尋精確的字串，用戶也能使用org:或repo:等限制符號，來限縮搜尋範圍，搜尋框會自動提供完成建議。針對搜尋結果，也可以使用語言、路徑、擴充套件和布林運算子等過濾器，來最佳化結果，另外，新的程式碼搜尋還提供附加功能，像是目錄樹檢視圖、跳轉到定義和選擇搜尋等。</p> <p>GitHub會繼續開發此搜尋功能，包括增加索引，以涵蓋GitHub每個儲存庫，同時官方也會試驗評分和排名啟發方法，以找出最有效的方法，另外，GitHub也會繼續新增特定語言功能，來增加對更多語言的支援。</p> <p>這個新的程式碼搜尋改善功能，是GitHub針對提升開發者生產力，所進行一系列新功能規畫的其中一部分。GitHub提到，作為開發者，要停留在心流狀態非常困難，會因為很多事件而中斷，像是CI中的測試失敗，或是因為需要知道錯誤訊息出現的原因而分心，當開發者解決中斷所需要的時間越長，丟失的上下文也就越多。</p> <p>今年早些時候，GitHub透過加入Copilot和Codespaces，來試圖解決這些問題。Copilot是運用人工智慧，讓開發者即便在不熟悉的領域，也能有效率地進行程式開發，而Codespaces則可以讓開發者隨時隨地進行開發工作，GitHub也展示了自家採用Codespaces來增加生產力的經驗。</p> <p>而在程式碼搜尋部分，官方提到，他們的目標是要讓每個開發人員，都能快速直覺地搜尋、探索、導覽和理解程式碼，而新的程式碼搜尋功能，則是達成此一目的的手段，開發人員只要透過搜尋，就能夠快速獲得相關的結果，且在每一步驟都應用自動化，使開發人員更能維持在心流狀態。</p> <p>官方提到，結果頁面針對程式碼閱讀和理解最佳化，因此即便是在開發者所使用的IDE之外，也能快速掌握陌生程式碼的邏輯。</p> </div></div></div>
2021/12/10 08:56作者李建興https://www.ithome.com.tw/news/148276
Meta採用少樣本學習技術，更全面地偵測社交平臺有害內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta建構並且部署了一種稱為<a href="https://ai.facebook.com/blog/harmful-content-can-evolve-quickly-our-new-ai-system-adapts-to-tackle-it">少量樣本學習（Few-Shot Learner，FSL）的人工智慧技術</a>，將平臺對有害內容的反應時間從數月降低到數周，並且能夠不斷適應新的有害內容類型。該技術適用超過100種語言，還可以從圖像和文字等不同類型的資料中學習，同時能夠強化現有已經部署，用來偵測其他類型有害內容的人工智慧模型。</p> <p>有害內容演變的速度很快，無論是由事件驅動，抑或是惡意人士刻意規避系統偵測的行為，官方提到，人工智慧系統能跟上有害內容演變速度變得很重要，但人工智慧要能偵測這些有害內容，通常需要數個月的時間收集並且標記範例，才能訓練每個單獨的人工智慧系統，發現新類型的內容。</p> <p>而Meta新發展的這個人工智慧系統，使用少樣本學習技術，官方解釋，這是一種相對較新的方法，其模型能夠從對許多不同主題，擁有大量且一般性的理解，接著只要使用少量或甚至零樣本來學習新任務，就能有效地執行任務，Meta以捕魚技術來比喻人工智慧偵測技術，傳統系統類似可以捕捉特定魚種的釣魚線，而少樣本學習技術則像是額外的網子，可以捕捉其他類型的魚。</p> <p>之所以Meta現在才能夠採用少樣本學習技術，研究人員解釋，這是因為最近的技術突破，像是自我監督學習技術，和超高效基礎設施，使該領域能夠開始從傳統、特製的人工智慧系統，轉向更大且更通用的系統，並且降低對標記資料的依賴。</p> <p>Meta使用違反政策的內容，來訓練新的人工智慧系統，最後該模型還以解釋新政策的文字進行訓練，和過去透過比對資料模式的系統不同，FSL使用通用語言，以及違反政策的內容進行訓練，因此可以學習政策的隱藏含義。</p> <p>目前Meta已經在一些較新的事件中，測試FSL的表現，像是辨識暗指疫苗會改變DNA，這類以誤導性或是危言聳聽資訊，嚇阻他人接種COVID-19疫苗的貼文，其他的任務還有改進現有分類器，該分類器能夠標記煽動暴力的內容，偵測到類似「那個人需要所有的牙齒嗎？」這種貼文，官方提到，傳統的方法可能會忽略這類型的煽動性貼文，因為使用DNA來質疑疫苗接種，和利用牙齒來暗示暴力的樣本並不多。</p> <p>官方運用各種方法來衡量模型的效能，並且查看FSL在臉書和Instagram上部署後，有害內容的流行率，也就是人們看到違規內容的次數百分比之間的差異，經過實驗，Meta人工智慧少樣本學習技術，能夠正確偵測傳統系統可能遺漏的貼文，並且透過主動偵測潛在有害內容，來防止有害內容在平臺中傳播，以減少這類內容的流行。</p> </div></div></div>
2021/12/10 09:01作者李建興https://www.ithome.com.tw/news/148277
衛福部預告電子病歷上雲草案，兩大方向法規細節終於公布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部昨日（12/8）終於<a href="https://www.mohw.gov.tw/cp-18-64321-1.html">預告「醫療機構電子病歷製作及管理辦法」修正草案</a>，也就是今年醫界熱烈討論的電子病歷上雲草案。該草案有2大方向，一是允許醫療機構委外建置電子病歷系統，並能使用公雲服務管理電子病歷資料，二是為達無紙化目標，允許醫療機構依電子簽章規定，將院內原有書面文件如紙本病歷、同意書等電子化。該草案預告後，民眾可於今日起的60天內提出建議，草案將於2022年2月7日終止預告。</p> <p><span style="font-size:24px;"><strong>方向一：開放電子病歷上雲</strong></span></p> <p>衛福部在過去數個月來，陸續揭露電子病歷上雲政策。在這次預告的草案中，政策方向也相去不遠，首先是允許醫療機構委託大專院校、法人、機構或團體來建置電子病歷資訊系統。而且，雙方需簽訂書面契約，說明委託事項範圍、受託機構之權利義務等事項，並禁止委外機構，再將委託事項外包給第三方。同時，為確保電子病歷系統的安全和品質，委外機構必須通過中央主管機關的認證，醫院才能委託、建置系統。</p> <p>再來是開放醫療機構使用雲端服務。修正條文第八條指出，醫院在進行系統資料蒐集、處理以及使用資料庫時，若採用雲端服務，必須遵守4個規範，包括採取適當風控措施、避免醫療業務中斷措施、監督雲端服務業者，以及停止雲端服務時，必須有套將資料移轉回委託機構或其他服務業者的機制。</p> <p>草案條文也規定，雲端服務的資料儲存地點，以臺灣境內為限，但若遇上特殊情形，如與國外合作等，經中央主管機關核准，則可使用境外雲端服務。</p> <p>另一方面，這次草案也修正要求，醫療機構使用電子病歷前，須經地方（直轄市、縣市）主管機關核准，若使用範圍有變動，或是停止使用，也需通報地方主管機關。</p> <p><strong><span style="font-size:24px;">方向二：全面推動無紙化</span></strong></p> <p>這次預告草案另一方向，則是無紙化的推動。草案第18條規定，醫療機構可將院內儲存的紙本同意書和紙本病歷，轉錄為電子檔，確認無誤後再以電子簽章封存。</p> <p>不只舊有紙本資料可以電子化，修正條文也指出，原本醫療法規定需要書面的文件，醫院也能以電子方式製作和儲存，不過，要是民眾偏好紙本文件，醫院還是得提供給特定個人。</p> <p>最後，這次草案也規定，經中央主管機關認定的公、私立機構，可設置電子病歷交換平臺，促進跨機構資料交換。不過，醫院得先取得病人同意，才能進行電子病歷資料的交換，但若情況緊急，則不在此限。</p> </div></div></div>
2021/12/9 19:11作者王若樸https://www.ithome.com.tw/news/148275
強化大眾運輸安全，北捷要用AI影像偵測確保入站旅客遵守防疫規定、監控車廂安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為提升大眾捷運安全，臺北捷運(北捷)再宣布和宏碁、國立臺北科技大學(北科大)合作，將以AI強化捷運安全，例如旅客入站防疫安全檢測，透過AI自動偵測旅客是否配戴口罩入站，體溫是否過高，或是偵測車廂內乘客的動態，是否發生逃竄或對峙等異常行為。</p> <p>北捷在本周三宣布啟動臺北大眾捷運安全升級計畫，三方攜手合作，臺北捷運提供場域及大眾運輸服務經驗，加上宏碁與北科大電機系在AI及邊緣運算的產學合作，並開始啟用位於北科大的「AI捷運安全研發中心」，展開AI運輸安全研發工作，加速智慧運輸的轉型發展。</p> <p>北捷總經理黃清信表示，臺北大眾捷運安全升級計畫將以板南線的忠孝新生、忠孝復興、忠孝敦化三個站，建立AI安全示範站點，預計2023年6月完成。該計畫將建置7項安全應用，包括入站防疫安全檢測系統、主動式電扶梯安全系統、虛擬電子圍籬系統、軌道異物入侵偵測系統、車廂人潮異常移動偵測系統、AI站務員服務系統、逃票行為偵測系統。</p> <p>宏碁表示，臺北大眾捷運安全升級計畫涵蓋站安(入站安全)、人安(旅客安全)、行安(運輸安全)。今年底前將先建置入站防疫安全檢測系統，明年再完成主動式電扶梯安全系統、車廂人潮異常移動偵測系統。</p> <p>這項計畫運用Edge邊緣運算與AI，先在宏碁內部完成AI影像辨識的模型，再利用邊緣運算就近進行AI影像辨識，以入站防疫的安全檢測為例，在捷運站出入閘口，透過攝影機拍攝進站旅客影像，由閘口下的邊緣運算裝置，以AI自動辨識進站旅客是否依規定戴口罩，再透過溫度感測器，測量旅客是否體溫有異常，若有旅客進站未配戴口罩或體溫異常，系統就會控制閘門不予開放進站。至於正常配戴口罩、正常體溫的旅客，則可正常通過閘門進站乘車。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/metro-1.jpg" style="width: 600px; height: 336px;" /></p> <p>若旅客進站被偵測出有體溫過高的情形，相關資訊會送到北捷的行控中心，行控中心可透過防疫地圖，了解哪個站點的旅客有較多的體溫過高情形發生，將相關資訊通報給相關單位。</p> <p>宏碁強調，由於閘門使用邊緣運算裝罝，當下以AI辨識分析影像，並沒有儲存影像資料，降低資安的風險。</p> <p>至於電扶梯安全方面，過去曾有旅客因穿著膠鞋、布希鞋搭乘電扶梯，鞋子遭電扶梯卡住，造成旅客傷害事故，未來透過主動式電扶梯安全系統，利用AI影像分析，自動偵測準備搭乘電扶梯的旅客，腳上所穿著的鞋款，如果是膠鞋或布希鞋，自動以語音提醒旅客小心腳下安全。</p> <p>另外，之前在捷運車廂內曾發生旅客攻擊事件，例如不肖人士在車廂內持刀攻擊旅客，因此為維護車廂內的安全，該計畫將建置車廂人潮異常移動偵測系統，利用車廂內攝影機所拍攝的影像，先傳送到車長室，通過邊緣運算裝置，以AI偵測車廂旅客的動態，分析是否有大量人員快速移動的逃竄行為，或是因為旅客發生爭執，大多數人在一旁圍觀的對峙事件。</p> <p>車廂人潮異常移動偵測系統通過邊緣運算，在捷運車廂就近以AI辨識偵測逃竄、對峙的異常事件，當車廂內有異常事件時，向車長室及北捷的行控中心通報。</p> <p>宏碁表示，利用邊緣運算就近執行AI影像辨識技術，僅回傳辨識結果，可降低車長或人員對車廂安全的工作負擔，也避免傳送完整影像所需的網路頻寬，因此使用現有的4G網路即可，可不需採用5G網路。</p> <p>其他未來將建置的AI安全系統，還有自動偵測旅客跨越月臺候車安全線、進入捷運軌道的虛擬電子圍籬系統，以及在捷運列車前方，透過攝影機，以AI偵測前方軌道是否有異物入侵，確保行車安全的軌道異物入侵偵測系統，按照捷運列車長度，在列車最快80公里時速下，偵測前方205公尺以外距離，軌道上是否有異物，讓列車能及早減速煞車因應。</p> <p>逃票行為偵測系統則主要利用AI，協助站務員辨識是否有異常的進站行為，例如進站時一人刷卡，卻有兩人進站的逃票行為。</p> <p>北捷表示，未來3個示範站、7項AI安全應用系統項目建置後，通過驗證後，可望擴大項目，並以多站、全線，甚至推到海外的大眾運輸系統採用。</p> <p>除了與宏碁、北科大的合作，北捷也在11月間與大世科等業者合作試辦5G智慧監控計畫，同樣為運用AI改善大眾捷運的運輸安全，但比較不同的是，該計畫以中山站、松江南京、南京復興三個站為示範，結合5G專網的即時傳輸與AI人工智慧，偵測車廂內旅客是否有爭執、鬥毆事件發生。</p> </div></div></div>
2021/12/9 18:26作者蘇文彬https://www.ithome.com.tw/news/148272
【資安日報】2021年12月9日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對自家各式服務不斷被攻擊者濫用的情況，最近Google罕見大動作對於駭客組織出手，摧毀感染百萬裝置的Glupteba殭屍網路，並揪出背後發動攻擊的駭客。對於想要濫用該公司服務的駭客而言，千萬別心存僥倖。</p> <p>另一種值得留意的是電商網站的信用卡側錄攻擊（Web Skimming），竟然有越南駭客組織XE Group攻擊長達8年之久，到了最近2年才被資安業者發現。再者，則是針對WooCommerce電商網站出現新的攻擊手法，駭客是隨機選上其中1個WordPress外掛程式植入攻擊程式碼，而難以追蹤。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/148259"><span style="color: rgb(0, 0, 0);">Google與代管業者合作摧毀Glupteba殭屍網路<img alt="" src="https://s4.itho.me/sites/default/files/images/Untitled_7_7UC7Ycl_0373047907460940_max-1000x1000.png" style="width: 200px; height: 245px; float: right;" /></span></a></strong></h4> <p>攻擊者濫用Google服務的情況相當常見，但別以為Google只會封鎖遭到濫用的帳號和服務。Google於12月7日宣布，他們與網路基礎設施、代管業者聯手，關閉殭屍網路Glupteba所使用的伺服器主機與網址，同時他們也找出發動攻擊的2名俄羅斯駭客，並向美國法院提告。該公司指出，該殭屍網路粗估超過百萬裝置受到感染，受害者遍布美國、印度、巴西，以及東南亞。Google亦封鎖1,183個遭濫用的Google帳號、870個廣告服務帳號，並關閉用來散布殭屍網路病毒的6,300萬個Google Docs文件。</p> <h4><strong><a href="https://securityaffairs.co/wordpress/125342/apt/nobelium-targets-french-orgs.html"><span style="color: rgb(0, 0, 0);">ATP駭客組織Nobelium鎖定法國組織下手</span></a></strong></h4> <p>法國國家網路安全局（ANSSI）近日指出，他們在2021年2月開始，發現ATP駭客組織Nobelium不斷攻擊當地組織，挾持這些組織的電子郵件帳號，然後用來對其他國家的機構發送武器化的電子郵件。ANSSI表示，他們在分析相關的網路釣魚活動後，發現其策略、技術，以及手法（TTP）與2020年的SolarWinds供應鏈攻擊存在共同之處。</p> <h4><a href="https://www.volexity.com/blog/2021/12/07/xe-group-exposed-8-years-of-hacking-card-skimming-for-profit/"><span style="color: rgb(0, 0, 0);"><strong>越南駭客組織XE Group暗中側錄信用卡長達8年</strong></span></a></h4> <p>資安業者Volexity揭露名為XE Group的越南駭客組織攻擊行動，該組織鎖定飯店、非營利組織、旅遊業等行業下手，利用Telerik UI開發套件等軟體的已知漏洞，在電商網站植入竊密或是側錄信用卡的程式碼，發動Magecart攻擊。這起攻擊最早由Malwarebytes於2020年發現，本次Volexity公布進一步的分析結果，例如，該組織在側錄工具裡，利用JavaScript程式碼的「物件」關鍵字來產生網域名稱，而不會被防毒引擎察覺攻擊行為。</p> <h4><a href="https://blog.sucuri.net/2021/12/woocommerce-credit-card-swiper-injected-into-random-plugin-files.html"><span style="color: rgb(0, 0, 0);"><strong>攻擊者滲透隨機WordPress外掛程式，藉此在WooCommerce商城發動信用卡側錄攻擊</strong></span></a></h4> <p>在許多鎖定WooCommerce電子商城的信用卡側錄攻擊中，駭客會針對特定的WordPress外掛程式下手，藉此植入側錄的程式碼。但最近網站安全業者Sucuri揭露，最近他們看到新的攻擊手法，是駭客會先入侵WordPress網站，並注入後門，日後存取時會掃描網站管理員的帳號列表，使用已通過授權的Cookie來存取網站，再將側錄程式碼隨機加入到其中1個WordPress外掛程式進行攻擊。攻擊者這麼做的目的，就是避免網站管理者監控特定資料夾而察覺異狀。</p> <h4><strong><a href="https://news.sophos.com/en-us/2021/12/02/two-flavors-of-tor2mine-miner-dig-deep-into-networks-with-powershell-vbscript/"><span style="color: rgb(0, 0, 0);">挖礦軟體Tor2Mine運用Windows帳號與密碼，在內部網路橫向感染<img alt="" src="https://s4.itho.me/sites/default/files/images/tor2mineflow-1.png" style="width: 300px; height: 225px; float: right;" /></span></a></strong></h4> <p>資安業者Sophos指出，他們看到最近的Tor2Mine挖礦攻擊行動，攻擊者使用PowerShell程式碼執行挖礦軟體，並停用防毒軟體、竊取Windows帳號與密碼資訊。研究人員提到，Tor2Mine能夠利用竊得的帳號與密碼資訊自我傳播，一旦受害組織沒有徹底清除Tor2Mine，就有可能導致內部網路的電腦重新遭到感染。</p> <h4><strong><a href="https://www.vpnmentor.com/blog/report-ratp-leak/"><span style="color: rgb(0, 0, 0);">法國大型運輸業者曝露近6萬員工個資</span></a></strong></h4> <p>資安業者於12月6日揭露，他們在10月13日發現未受保護的HTTP網頁伺服器，曝露約5.7萬人的個資，資料約從2014年至2019年建置，疑似是用於員工福利入口網站的舊伺服器。經調查此伺服器是法國國營的巴黎大眾運輸公司（RATP）所有，該公司聯繫了RATP和法國電腦緊急應變小組（CERT-FR），後者獲報後，此伺服器不久就獲得保護。</p> <h4><a href="https://165.npa.gov.tw/#/article/risk/284"><strong>本週165高風險賣場名單多達17家，警方受理案件數資生堂最多，有網友反映對方知道訂單資訊</strong></a></h4> <p>針對解除分期詐騙高風險賣場，本周165反詐騙公布的疑似個資外洩示警名單相當多，包括:資生堂、樂購蝦皮、婕洛妮絲、西堤牛排、東森購物、新光影城、和運租車、誠品網路書局、又一村、王品牛排、Allyoung、NARS、OLENS、松果購物、台北山水戶外用品店、長榮鳳凰酒店、夏慕尼。其中，警方受理案件數最多的資生堂，上週已入榜，近期並<a href="https://www.dcard.tw/f/makeup/p/237553322">有網友反映接到假冒資生堂詐騙電話，對方準確說明姓名與訂單金額</a>，目前<a href="https://wp.shiseido.com.tw/pages/securitypolicy">資生堂在官網發布資安聲明與反詐騙警告</a>。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://positive.security/blog/ms-officecmd-rce"><span style="color: rgb(0, 0, 0);">研究人員揭露由預設URI觸發的Windows 10重大RCE漏洞<img alt="" src="https://s4.itho.me/sites/default/files/images/61a7c22d1ef24755736aa8f3_msofficecmd_cover-p-2000.png" style="width: 300px; height: 139px; float: right;" /></span></a></strong></h4> <p>利用Windows預設的統一資源標識碼（URI），來執行通用Windows平臺（UWP）應用程式、微軟Office軟體的手法，近期已有攻擊者用於網路釣魚攻擊，誘騙使用者下載惡意程式，但這種機制潛藏的危機恐怕不止於此。資安業者Positive Security揭露，他們發現一項透過IE 11或舊版Edge瀏覽器（採用EdgeHTML排版引擎），與Teams串連而形成的RCE漏洞，攻擊者可藉由Windows 10、11在ms-officecmd:的URI預設值，而能觸發這項漏洞。該公司指控，微軟獲報後雖然發布修補程式，但未完全解決，迄今Windows 11仍存在相關漏洞。</p> <h4><strong><a href="https://www.synopsys.com/blogs/software-security/cyrc-advisory-goautodial-vulnerabilities/"><span style="color: rgb(0, 0, 0);">開源客服系統GOautodial存在路徑穿越漏洞</span></a></strong></h4> <p>資安業者Synopsys於12月7日，揭露開源的多合一客服軟體GOautodial漏洞，這個軟體在全球擁有超過5萬個客服中心採用，這些漏洞一旦被攻擊者利用，可在未經身分驗證的情況下存取系統配置資料，或是能使用通過身分驗證的使用者帳號，藉由不受限制的上傳文件漏洞，來執行任意程式碼。GOautodial獲報後約於10月下旬修補相關漏洞。</p> <h4><strong><a href="https://salt.security/blog/api-threat-research-graphql-authorization-flaws-in-financial-technology-platform"><span style="color: rgb(0, 0, 0);">金融科技平臺的GraphQL恐存在API授權漏洞</span></a></strong></h4> <p>最初由Meta開發的開源資料查詢語言GraphQL，因具備較為強大、高效、靈活的網頁API開發特質，也被用於金融產業，但專注API安全的資安公司Salt Security指出，他們調查一家不願透露名稱的企業，所建置的大型金融科技（FinTech）平臺，結果在GraphQL的API串接上存在漏洞，導致一旦遭到利用，攻擊者可對收集他人個資，或是提出未經授權的交易請求。</p> <h4><strong><a href="https://blog.sonarsource.com/nodebb-remote-code-execution-with-one-shot"><span style="color: rgb(0, 0, 0);">電子布告欄軟體NodeBB存在重大漏洞，恐引發RCE攻擊</span></a></strong></h4> <p>資安業者SonarSource指出，他們在NodeBB電子布告欄軟體上發現3個漏洞，這些漏洞可能讓攻擊者得以讀取任意JSON檔案，或是透過跨網站程式碼接管使用者帳號，甚至能完全繞過使用者身分驗證，而能夠引發RCE攻擊。NodeBB獲報後發布1.18.5版修補上述漏洞。</p> <h4><strong><a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0026"><span style="color: rgb(0, 0, 0);">SonicWall修補SSL VPN設備多個重大漏洞</span></a></strong></h4> <p>資安業者SonicWall於12月8日發布資安通報，呼籲SMA 100系列的SSL VPN設備用戶儘速安裝修補程式。這次SonicWall一共修補了8個漏洞，其中最嚴重的是未經驗證的記憶體緩衝區溢出漏洞CVE-2021-20038、CVE-2021-20045，CVSS風險層級分別達到9.8分與9.4分。SonicWall表示，目前尚未發現漏洞被用於攻擊行動的跡象。</p> <h4><strong><a href="https://bishopfox.com/blog/catie-web-v-20-04-0-advisory"><span style="color: rgb(0, 0, 0);">老人照護系統CATIE存在本地檔案曝露漏洞，恐導致伺服器被接管</span></a></strong></h4> <p>專精紅隊演練的資安業者Bishop Fox指出，提供老人照護的系統CATIE存在4個本地檔案曝露（LFD）漏洞，這些漏洞存在於20.04版，但研究人員在8月向開發商Status Solutions通報迄今仍沒有得到回覆，Bishop Fox決定公布他們的發現。不過，最新版本（21.06.0）的CATIE是否也存在相同漏洞？Bishop Fox和Status Solutions沒有進一步說明。</p> <h4><strong><a href="https://source.android.com/security/bulletin/2021-12-01"><span style="color: rgb(0, 0, 0);">Google修補46個Android漏洞</span></a></strong></h4> <p>Google於12月6日發布資安通報，指出他們總共在本月的例行修補中修補了46個漏洞，其中，在多媒體框架的漏洞CVE-2021-0967和CVE-2021-0964最為嚴重，攻擊者在不需額外的權限之下，就能外洩設備資料。此外，該公司亦同時針對Pixel裝置修補85個漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.winbond.com/hq/about-winbond/news-and-events/news/winbond_and_karamba_security_comprehensive_cybersecurity_solution_for_automotive_iot_needs.html?__locale=zh_TW"><span style="color: rgb(0, 0, 0);">記憶體廠商華邦電子聯手物聯網資安業者Karamba，針對汽車推出網路安全解決方案</span></a></strong></h4> <p>臺灣DRAM及快閃記憶體製造商華邦電子於12月8日宣布，他們將與物聯網資安業者Karamba Security合作，共同推出適用於汽車的網路安全防護解決方案。該方案由華邦的安全快閃記憶體TrustME與Karamba XGuard搭配，宣稱能讓車廠符合UN R155等汽車網路安全標準的要求。</p> <h4><a href="https://www.synology.com/zh-tw/company/news/article/Synology2022_main/創新永不停歇 ─ Synology 2022 AND BEYOND"><strong>臺NAS廠接連跨入企業資安領域，群暉正式推出C2 Identity與C2 Transfer</strong></a></h4> <p>臺NAS大廠群暉切入SaaS服務領域，在12月9日舉行C2雲服務發表會，宣布四款SaaS服務在臺上線，除了適用個人與企業的C2 backup，以及類似1Password、LastPass的個人密碼管理工具C2 Password，特別是還有企業資安防護的C2 Identity、C2 Transfer，都在11月中下旬陸續上線，並提供歐洲法蘭克福、北美西雅圖與亞太臺灣（11月上線）的資料中心選項。其中C2 Identity，是能整合企業服務的混合身分驗證系統，用戶可使用Google、Apple、Synology帳戶註冊登入。此外，另一NAS大廠威聯通在今年也跨入企業資安領域，推出實體的網路防護設備ADRA NDR，鎖定中小企業需求，提供偵測、分析與隔離的功能。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148252">2021年12月8日</a></p> <p><a href="https://www.ithome.com.tw/news/148225">2021年12月7日</a></p> <p><a href="https://www.ithome.com.tw/news/148199">2021年12月6日</a></p> </div></div></div>
2021/12/9 13:37作者周峻佑https://www.ithome.com.tw/news/148267
眾籌平臺Kickstarter將把後端移至區塊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2009年創立的眾籌平臺<a href="https://www.kickstarter.com/articles/the-future-of-crowdfunding-creative-projects" target="_blank">Kickstarter在9日宣布</a>，將打造一個開源協定，建立該平臺核心功能的去中心化版本，並存活在公共的區塊鏈上，採用的是強調負碳、以行動為優先的金融分散式應用平臺Celo。Kickstarter將成為此一協定的首批用戶，不過Kickstarter尚未公布時程表。</p> <p>Kickstarter為美國的眾籌平臺，協助各種專案向大眾募集資金，從2009年成立迄今，已支援超過20萬個專案，募集逾60億美元的資金。</p> <p>Kickstarter認為，區塊鏈技術是一個可建立去中心化與分散式網路的強大工具，此一網路將造就新型態的經濟及網路組織，它不僅更容易獎勵參與者，也具備強大的組合能力，可藉由不同的軟體來實現創意、功能或使用案例，而這類的協作則需要一個治理系統，來制定提案、決定及解決衝突的規則。</p> <p>因此，Kickstarter將會先成立一個獨立的組織，以發展所需的開源協定，也將設立另一個獨立的治理實驗室，監督該協定的治理資源與政策，最終將發展出多種區塊鏈的治理模式。</p> <p>至於<a href="https://celo.org/" target="_blank">Celo</a>則是一個開源的去中心化金融平臺，讓使用者只要透過手機就能存取各種去中心化的應用程式（dApp）與加密貨幣支付應用。</p> <p>Kickstarter說明，此一開源協定將會存在於公共區塊鏈上，開放合作對象、貢獻者，甚至是競爭對手存取及使用，未來的Kickstarter平臺也會移至該協定上。</p> <p>Kickstarter鎖定的發展方向被外界稱為Web3，Web 1.0指的是全球網路尚處靜態供應資訊的階段，Web 2.0則為由使用者創造網路內容且加強互動的階段，Web 3.0原本指的是語意網（Semantic Web），利用元資料更清楚定義資訊內容，以理解人類查詢的脈絡，Web3有時也會被稱為Web 3.0，不過它的定義更明確，指的是去中心化的網路，也是目前全球網路的主要趨勢之一。</p> <p>Kickstarter並未公布此一開源協定的問世時程，僅說將會在未來幾周發表白皮書，以解釋該協定的技術與規畫。</p> </div></div></div>
2021/12/9 15:02作者陳曉莉https://www.ithome.com.tw/news/148270
特斯拉讓駕駛可以在汽車行進間玩遊戲惹議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nytimes.com/2021/12/08/business/tesla-video-games-nhtsa.html" target="_blank">《紐約時報》</a>（The New York Times）、<a href="https://news.bloomberglaw.com/product-liability-and-toxics-law/teslas-in-dash-video-games-draw-scrutiny-from-safety-regulator" target="_blank">《彭博社》</a>（Bloomberg）與<a href="https://www.reuters.com/business/autos-transportation/us-auto-safety-agency-discussing-video-game-feature-with-tesla-2021-12-08/" target="_blank">《路透社》</a>（Reuters）本周相繼報導，電動車大廠特斯拉（Tesla）在今年夏天釋出的軟體更新讓駕駛可於行進間玩3款遊戲，而美國國家公路交通安全管理局（National Highway Traffic Safety Administration，NHTSA）也在本周表示正在調查此事。</p> <p>特斯拉電動車原本就內建多種娛樂功能，包括遊戲在內，但過去遊戲只能在已經停好車之後才能玩，不過，特斯拉今年夏天的軟體更新卻讓駕駛能在行進間執行3款遊戲。</p> <p>報導指出，這3款遊戲分別是戰機遊戲《Sky Force Reloaded》、接龍《Solitaire》及策略遊戲《The Battle of Polytopia》，在汽車行進間啟用遊戲時，畫面會出現警告，指出只有乘客才能玩，不能是駕駛，但當駕駛按下「我是乘客」的按鍵時，就算是駕駛也能玩遊戲。</p> <p>其實這項功能早在今年8月就<a href="https://www.youtube.com/watch?v=7ZZjF6ZUKCc" target="_blank">被一個YouTube頻道《Cf Tesla》所揭露</a>，但一直到被上述媒體大肆報導之後才引起注意。</p> <p>根據《路透社》的報導，NHTSA正在與特斯拉討論此事，因為允許駕駛在行進間玩遊戲可能會導致駕駛分心而造成交通意外，光是在2019年，美國公路上就有3,142名因交通意外而死亡的案例是分心所造成，而且相信這個數字被低估了。</p> </div></div></div>
2021/12/9 15:56作者陳曉莉https://www.ithome.com.tw/news/148271
SonicWall再修補SMA100系列漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sonicwall.com/support/product-notification/product-security-notice-sma-100-series-vulnerability-patches-q4-2021/211201154715443/" target="_blank">SonicWall近日發布安全公告</a>，它的防火牆產品SMA 100系列出現多項安全漏洞，包含2個CVSS 風險值9.0以上的重大漏洞。</p> <p>2個重大安全漏洞分別是CVE-2021-20038及CVE-2021-20045。<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-20038" target="_blank">前者為一記憶體堆疊（stack-based）緩衝溢位漏洞</a>，存在SMA 100 Apache httpd server mod_cgi元件，可讓未授權攻擊者以nobody身份登入以執行程式碼。<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-20045" target="_blank">CVE-2021-20045</a>則影響SMA 100 RAC_COPY_TO功能，包含多個記憶體堆積（heap-based）及堆疊緩衝溢位漏洞，可使遠端攻擊者以nobody身份執行程式碼。兩者CVSS風險值各達 9.8及9.4。</p> <p>此外還有一個風險值8.8的漏洞<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-20043" target="_blank">CVE-2021-20043</a>，影響SMA100 getBookmarks元件，攻擊者可透過開採該漏洞執行程式碼。本次另外還公告其他5個中到高度風險的漏洞。</p> <p>受這批漏洞影響的產品涵括SMA 200、210、400、410和500v，此外啟動網頁防火牆功能的SMA 100系列裝置也受到影響。SonicWall已經釋出最新版韌體予以修補，該公司雖然表示沒有證據顯示這些漏洞遭到開採，但仍強烈建議用戶儘速更新至最新版軟體。</p> <p>SonicWall並指9.0.0版韌體已經在10月底終止支援，呼籲用戶升級到最新的10.2.x版。</p> <p>這也是SonicWall SMA100系列最新揭露的漏洞。<a href="https://www.ithome.com.tw/news/142429" target="_blank">年初該系列產品漏洞被開採導致SonicWall自家網路遭駭</a>，為此官方分別進行了<a href="https://www.ithome.com.tw/news/142630" target="_blank">第1次</a>、以及<a href="https://www.ithome.com.tw/news/142842" target="_blank">第2次</a>修補行動；<a href="https://www.ithome.com.tw/news/145643" target="_blank">年中又再次遭駭</a>。</p> </div></div></div>
2021/12/9 12:48作者林妍溱https://www.ithome.com.tw/news/148265
微軟測試M1 Mac、Windows on ARM機器OneDrive同步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>M1 Mac電腦用戶之中也有人希望使用微軟OneDrive儲存或同步檔案，現在終於有解。<a href="https://techcommunity.microsoft.com/t5/microsoft-onedrive-blog/onedrive-sync-for-native-arm-devices-now-in-public-preview/ba-p/3031668" target="_blank">微軟本周宣布</a>支援Windows on ARM以及Apple Silicon電腦的OneDrive App未來幾天內將開放測試。</p> <p class="rtecenter"><img alt="" src="https://techcommunity.microsoft.com/t5/image/serverpage/image-id/331913iCBB8B87189A0896E/image-size/large?v=v2&px=999" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>不過目前僅限參加Insider測試方案的使用者測試，微軟未來幾天內會將該功能釋出到Insider頻道。開啟OneDrive的「設定」>「關於」，即可看到為ARM64或Apple Silicon開發的OneDrive App下載連結。</p> <p>OneDrive是最新支援Apple M1 Mac電腦的雲端儲存App。<a href="https://support.google.com/a/answer/7577057?hl=zh-Hant" target="_blank">Google Drive電腦版已經在10月支援Apple M1 Mac</a>，<a href="https://9to5mac.com/2021/10/28/dropbox-m1-support/" target="_blank">Dropbox也正在測試Dropbox M1</a>，預計明年推出。</p> </div></div></div>
2021/12/9 13:17作者林妍溱https://www.ithome.com.tw/news/148266
AWS為美國政府開設新最高機密雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/publicsector/announcing-second-aws-top-secret-region-extending-support-us-government-classified-missions/" target="_blank">Amazon Web Service（AWS）本周宣布</a>開設最高機密（Top Secret Region）最新區域雲，將用以支援美國國防、情報單位或國安機構雲端基礎架構。</p> <p>最新開設的是第二區最高機密區域雲，名為Top Secret-West，和第一朵區域雲Top Secret-East相隔約1000英哩，後者於2014年開設。兩座最機密雲將讓美國國防、情報及國安單位部署多區域雲端架構，且可支援更多分散式應用負載及使用者。</p> <p>AWS表示，AWS區域雲包含多個可用區域（Availability Zones），而每個可用區域又由各自獨立的資料中心組成，各自擁有網路和供電系統，位於不同地點慎選的設施內。同一區域雲的不同可用區可同步複製資料，跨不同區域雲則可進行非同步複製。客戶可以選擇同區域雲，或跨區域雲部署基礎架構以確保資料安全性及營運持續。</p> <p>至於安全性，AWS強調最高機密區域雲符合美國國防及情報機關等級的安全要求。最新的區域雲符合ICD 503、NIST SP 800-53 v4標準。</p> <p>最高機密雲是在AWS政府雲的最頂級服務。AWS 2011年首先推出政府雲AWS GovCloud。除了2014年安全性最高的Top Secret-East外，AWS又在2017年推出安全等級次高的雲服務Secret Region。</p> <p>AWS強化美國最高安全等級的政府雲，部份原因是為了爭取美國國防部的超大專案。<a href="https://www.datacenterdynamics.com/en/news/oracle-and-google-join-microsoft-and-amazon-in-bidding-for-defense-departments-joint-warfighter-cloud-capability/" target="_blank">11月美國國防部宣布</a>最新的國防雲端合約JWCC（Joint Warfighter Cloud Capability），開放AWS、微軟、Google及甲骨文4家業者競爭投標，而不是<a href="https://www.ithome.com.tw/news/145492" target="_blank">原來的AWS及微軟2家</a>。</p> <p><a href="https://www.ithome.com.tw/news/146244" target="_blank">微軟也在今年8月推出</a>最高政府機密雲Azure Government Top Secret，使其具備完整產品線以符合不同安全等級要求。</p> </div></div></div>
2021/12/9 11:58作者林妍溱https://www.ithome.com.tw/news/148263
全球網站流量排名系統Alexa Internet要在明年5月退休了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon旗下的全球網站流量排名系統<a href="https://support.alexa.com/hc/en-us/articles/4410503838999-We-will-be-retiring-Alexa-com-on-May-1-2022" target="_blank">Alexa Internet周三（12/8）宣布</a>，將在2022年的5月1日結束長達25年的經營，且即日起就不再接受新的訂閱。但不管是Amazon或Alexa Internet都未揭露關閉該服務的原因。</p> <p>成立於1996年的Alexa Internet以數百萬名網路使用者為樣本，追蹤全球網站的不重覆訪客與所瀏覽的頁面數量，提供全球網站的流量排行，可用來觀察特定網站的流量趨勢，或是比較不同網站的流量，也被應用在內容研究、關鍵字研究及競爭研究上，儘管排名結果偶有爭議，但它仍為全球最受歡迎的流量排行參考依據。Amazon是在1999年、以當時價值2.5億美元的股票併購了Alexa Internet。</p> <p>Alexa Internet的聲明很簡短，僅說這是個困難的決定，也非常感謝客戶的支持，並未公布結束的原因。</p> <p>該平臺已於12月8日起就不再提供新用戶的訂閱服務，既有的訂閱用戶可以繼續存取至明年5月1日，而相關的APIs則會在明年12月8日退役，另也提供工具協助用戶匯出資料。</p> </div></div></div>
2021/12/9 12:14作者陳曉莉https://www.ithome.com.tw/news/148264
Google破壞Glupteba殭屍網路，控告兩名俄羅斯駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/new-action-combat-cyber-crime/" target="_blank">Google周二（12/17）宣布</a>，已聯手網路基礎設施及代管供應商，關閉了殭屍網路Glupteba所使用的伺服器及網址，還貼上了警告頁面，亦已追蹤到Glupteba幕後兩名俄羅斯駭客的姓名，並向美國法院提出了告訴。</p> <p>Glupteba殭屍程式主要鎖定全球的Windows與IoT裝置，估計約有超過100萬裝置受到感染，而且每天還以感染數千個新裝置的速度增加中，主要的功能包括竊取使用者的憑證與資料，在受到感染的裝置上植入挖礦程式，或是設定代理人以用來展開服務阻斷攻擊，受害者遍布美國、印度、巴西與東南亞。</p> <p>根據Google威脅分析小組（Threat Analysis Group，TAG）的調查，Glupteba多半透過Pay Per Install廣告網路、向流量散布業者購買流量，或是藏匿在破解軟體中進行散布（如下圖），而且還利用區塊鏈打造了備份服務，當已進駐在受害者上的惡意程式無法存取駭客所建立的命令暨控制（C&C）伺服器時，就會透過特定的比特幣錢包位址，存取已加密的備份網域，企圖重新建立與C&C伺服器的連線。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Untitled_7_7UC7Ycl_0373047907460940_max-1000x1000%5B1%5D.png" style="width: 409px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>此外，駭客還對外出售Glupteba服務，包括以盜來憑證存取虛擬機器的能力、代理裝置存取權，或是信用卡號碼，而這些遭竊的信用卡號碼則被用來執行其它的詐騙行動，例如在Google Ads上支付廣告費用，或是購買其它的Google服務。</p> <p>太歲頭上動土的結果是讓TAG與Google的網路犯罪調查小組（CyberCrime Investigation Group）聯手針對Glupteba展開了調查，特別是涉及Google服務的詐騙部份。</p> <p>在這一年來，Google已經關閉了6,300萬個用來散布Glupteba的Google Docs文件，也終止了1,183個Google帳號，908個雲端專案，以及870個與Glupteba有關的Google Ads帳號，還有350萬個用戶在準備下載惡意檔案時，收到Google Safe Browsing的警告。</p> <p>而最近幾天，Google則與網路基礎設施及代管服務供應商合作，關閉了Glupteba所使用的伺服器及網址，並在這些網站上張貼了警告訊息。</p> <p>在追蹤Glupteba的過程中，Google發現了兩名疑似Glupteba背後藏鏡人的俄羅斯人Dmitry Starovikov與Alexander Filippov，<a href="https://storage.googleapis.com/gweb-uniblog-publish-prod/documents/1_Complaint.pdf" target="_blank">並向紐約南區地方法院提出了訴訟</a>，控告Starovikov及Filippov違反《反勒索及受賄組織法》（Racketeer Influenced and Corrupt Organizations Act）、電腦詐欺及濫用法案（Computer Fraud and Abuse Act，CFAA）、《電子通訊隱私法》（Electronic Communications Privacy Act，ECPA），以及干擾商業關係與不當得利等。</p> <p>Google指出，目前駭客已無法操縱Glupteba殭屍網路，雖然區塊鏈的分散式特性讓Glupteba殭屍網路可以快速復活，但Google將與產業及政府密切合作，共同打擊這類的行為，即便之後Glupteba死而復生，網路也能獲得更好的保護。</p> </div></div></div>
2021/12/9 10:33作者陳曉莉https://www.ithome.com.tw/news/148259
Meta發表Stars Store，讓用戶繞過行動程式市集購買給創作者的獎勵星星
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta自2019年開始測試<a href="https://www.facebook.com/creators/tools/stars" target="_blank">Facebook Stars服務</a>，以讓臉書用戶能夠以星星來獎勵創作者，當時這些星星必須透過行動程式購買，代表程式市集也能抽佣，不過，<a href="https://about.fb.com/news/2021/12/support-creators-with-stars-fest-on-facebook/" target="_blank">Meta在本周發表了Stars Store</a>，讓用戶直接透過該站來購買星星，繞過了程式市集的拆帳機制。</p> <p>在Stars Store上，使用者可以Facebook Pay購買星星，0.99美元可購買45個星星（平均一個星星為0.02美元），購買愈多星星的平均單價愈低，例如一次購買6,400個星星的費用為99.99美元，單價即下降至0.0156美元。另一方面，創作者每收到一個星星，就可獲得0.01美元的獎勵。</p> <p>過去臉書僅支援直播內容收取星星，現在臉書則宣布將擴大到動態消息（News Feed）、Facebook Watch及遊戲上，預計明年會入駐短影音服務Reels。</p> <p>此外，Meta也宣布即日起至今年的12月31日為星星節（Stars Fest），將限時推出購買星星的優惠，例如原本0.99美元只能購買45個星星，現在則可額外獲得35個星星。</p> <p>不過，<a href="https://m.facebook.com/star/" target="_blank">臺灣的星星訂價策略</a>與美國不太一樣，新臺幣8元就能買25個星星，限時優惠則多了2個。</p> <p>為了推廣星星在臉書平臺上的使用，Meta也宣布要在未來幾個月送出價值300萬美元的免費星星予使用者，讓使用者用以與創作者互動。</p> </div></div></div>
2021/12/9 10:39作者陳曉莉https://www.ithome.com.tw/news/148260
AWS Well-Architected加入第六支柱永續性，要改善用戶系統的能耗與執行效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其最佳實務框架<a href="https://aws.amazon.com/tw/blogs/aws/sustainability-pillar-well-architected-framework/">Well-Architected加入永續性支柱</a>，使得企業能夠建立低能耗高效率的基礎設施，官方提到，與典型的本地端部署相比，採用雲端永續性可讓用戶降低80％的耗能。</p> <p>AWS在2015年時發布了Well-Architected Framework，該框架包括設計原則、問題和跨多個支柱的最佳實務，這些支柱有卓越營運、安全性、可靠性、效能達成效率和成本最佳化。在今年的re:Invent大會，AWS根據其企業永續政策，在Well-Architected Framework加入了第六支柱永續性支柱。</p> <p>永續性支柱目的在於評估工作負載的設計、架構和實作，以減少系統能源消耗提高運作效率，該支柱不僅是一個簡單的清單，而是可作為追蹤實務永續性政策和最佳實務進度的工具，協助企業達成更加永續的未來。</p> <p>在AWS雲端的責任共同承擔模型中，同樣適用永續性發展，AWS負責整體雲服務的永續性，而企業則負責雲服務內的永續性。與典型的本地部署相比，雲端永續性可以使AWS的用戶，節省將近80％的能源使用量，官方解釋，由於雲端擁有更高的伺服器利用率、能源和冷卻效率，以及特別的資料中心設計，再加上AWS預計在2025年的時候，使用100％的再生能源，因此能夠達到此一目標。</p> <p>AWS希望透過導入永續性支柱，協助企業提高在雲端中的永續性，AWS表示，這是一項持續且針對所有類型工作負載，改善能源效率的工作。在實務上，永續性支柱能夠協助開發人員和雲端架構師進行權衡，強化模式與最佳實務，並且避免採用反面模式。</p> <p>具體來說，該支柱使得企業更好地了解工作負載的狀態，和定義的永續性目標所帶來的影響，還有針對這些目標的評估方法，甚至是當無法直接評估的地方予以建模。除了在雲端建構永續性工作負載之外，企業也可以使用AWS技術來解決各種永續性問題，像是使用Amazon Monitron來偵測異常行為，進行預防性維護，避免因工業設備故障導致環境事故。</p> <p>永續性支柱的設計原則，包括了解影響、建立永續目標、最大程度提高利用率、採用高效能硬體和軟體、使用託管服務，並且減少雲端工作負載對下游造成的影響。永續性最佳實務的範例，像是依據用戶的位置，最佳化工作負載的地理配置，或是實作資料分類政策，也可以是最小化跨網路的資料移動等。</p> </div></div></div>
2021/12/9 10:51作者李建興https://www.ithome.com.tw/news/148253
微軟發布Android、Linux系統效能分析工具組
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布了一套適用於Linux、Android和Chromium瀏覽器的<a href="https://devblogs.microsoft.com/performance-diagnostics/new-tools-for-analyzing-android-linux-and-chromium-browser-performance/">效能分析工具</a>，其源自於過去15年，微軟用於分析自家作業系統Windows效能的工具集，能夠提供許多有用的功能、方法和生態系。該工具集以開源.NET Core，和新的microsoft-performance-toolkit-sdk為基礎，能夠跨平臺，在任何.NET Core支援的作業系統執行。</p> <p>這些追蹤工具能夠提供深度分析，讓用戶掌握作業系統和應用程式碼的行為，可用於各種診斷和效能分析場景，當分析場景牽涉Windows，還能夠選擇結合Windows效能追蹤，在同一時間軸中共同分析。</p> <p>該工具組在Linux中，用戶可以使用LTTng、perf和Perfetto三種工具，而Android和Chromium，包括Chrome和Edge Chromium，則支援Perfetto。LTTng記錄Linux核心CPU調度、程序、執行緒、磁碟、系統呼叫和檔案事件，而perf能針對Linux CPU進行採樣，Perfetto功能則是記錄Android和Chromium的CPU調度、採樣和頻率，以及FTrace、Android日誌、通用事件和GPU計數器等。</p> <p>微軟提到，只需要幾行程式碼，用戶就可以在命令列工具使用自定義程式，處理或是傾倒事件。而且在任何作業系統的程式和GUI，都可以使用Microsoft-Performance-Tools SDK以及Linux-Android擴充套件來處理事件，此外，當用戶選擇在Windows機器上分析追蹤，該工具包和Windows效能分析器良好整合，因此還可使用強大的GUI工具。</p> </div></div></div>
2021/12/9 10:53作者李建興https://www.ithome.com.tw/news/148254
Django 4.0新增支援Redis快取後端，還改變預設時區實作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門Python網頁框架Django，開發團隊趕在2021年末，發布了第四主要更新版本，這個版本有大量新功能，有三個亮點特別值得注意，第一是使用新的RedisCache後端，提供內建Redis快取支援，第二則是Forms、Formsets和ErrorList現在使用模板引擎渲染，來簡化自定義工作，第三個亮點則是Django現在使用Python標準函式庫zoneinfo作為預設時區實作。</p> <p>Redis是一個記憶體資料庫，能夠被當作快取使用，而在<a href="https://www.djangoproject.com/weblog/2021/dec/07/django-40-released/">Django 4.0</a>，開始提供內建Redis網頁應用程式快取支援，在使用之前，用戶需要設定好Redis伺服器，並且安裝Python綁定，而redis-py則是Django 4.0原生支援的綁定介面。</p> <p>而Django現在預設使用Python標準函式庫中的zoneinfo，官方提到，這是從pytz轉換到zoneinfo的下一階段實行作法。在Django 3.2時，官方允許開發者使用非pytz時區，而到了Django 4.0，zoneinfo則成為預設實作，目前已經棄用pytz支援，並預計在Django 5.0中正式移除。</p> <p>官方提到，zoneinfo是Python 3.9中Python標準函式庫的一部分，如果用戶使用的是Python 3.8，則backports.zoneinfo套件會在開發者安裝Django時一併安裝。目前時區的選擇、日期時間表單和模板中的當前時區轉換，還有UTC日期時間操作都不受預設時區實作改變影響。</p> <p>但是當開發者使用的是非UTC時區，並且還在使用pytz normalize()和localize ()API，或是其他TIME_ZONE設定，就需要重新檢視程式碼，因為pytz和zoneinfo並不完全相等。官方提供開發者搬遷的寬緩時間，使用過渡USE_DEPRECATED_PYTZ配置，就可以在Django 4.0中繼續使用pytz，但是該配置會在Django 5.0時刪除。</p> <p>另外，由zoneinfo作者所開發的pytz_deprecation_shim套件，可以協助開發者搬遷程式碼，更順利地銜接使用zoneinfo，該套件提供了墊片層，讓開發者安全地刪除pytz，並且有詳細的搬遷指南，說明搬遷到zoneinfo API的細節。</p> <p>官方提到，隨著Django 4.0的釋出，Django 3.2的主要支援已經結束，最後一個小錯誤修復版本為3.2.10。由於Django 3.2是一個長期支援版本，因此在2024年4月之前，開發者都還是會收到安全性和資料丟失修補程式，另外，Django 3.1的擴充支援則正式結束，最終安全版本為3.1.14，官方鼓勵所有Django 3.1用戶都能升級到Django 3.2或是更高版本。</p> </div></div></div>
2021/12/9 10:55作者李建興https://www.ithome.com.tw/news/148255
開源的分析暨視覺化應用Grafana緊急修補出現攻擊程式的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源的分析暨互動式視覺化應用<a href="https://grafana.com/blog/2021/12/07/grafana-8.3.1-8.2.7-8.1.8-and-8.0.7-released-with-high-severity-security-fix/" target="_blank">Grafana在本周二（12/7）緊急釋出更新</a>，以修補已出現攻擊程式的CVE-2021-43798漏洞。</p> <p>Grafana可連結各種資料來源，並提供圖表、圖形或警報，為監控堆疊的熱門元件，經常與時序資料庫、監控平臺、資安事件管理平臺及其它資料來源一起使用。</p> <p>資安研究人員是在12月3日通報Grafana，指出該應用含有一個目錄穿越（Directory Traversal）漏洞，允許駭客存取本地檔案。Grafana內部確認該漏洞波及Grafana 8.0.0 Beta1至Grafana 8.3.0版，而且只要預裝Prometheus或MySQL等外掛的Grafana實例都遭到牽連，惟Grafana Cloud並未受到影響。</p> <p>Grafana原本計畫要在7日通知客戶，14日才會對外發表，然而，CVE-2021-43798漏洞資訊不但先行曝光，相關的概念性驗證攻擊程式也現身於Twitter及GitHub，使得Grafana決定提前對外公開，並建議使用者儘速部署已修補該漏洞的Grafana 8.0.7/8.1.8/8.2.7/8.3.1。</p> </div></div></div>
2021/12/9 10:59作者陳曉莉https://www.ithome.com.tw/news/148261
微軟祭出Microsoft 365折扣方案，吸引Office盜版軟體用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為「招降」Office 365盜版用戶，微軟近日針對使用非正版Office的個人及家庭用戶，<a href="https://www.microsoft.com/en-US/microsoft-365/buy/get-genuine-b" target="_blank">在美國祭出Microsoft 365優惠方案</a>，首年折扣50%。</p> <p>微軟以盜版軟體無法接獲重要安全及功能更新，可能引發資料及檔案毁損、惡意程式攻擊為由，企圖說服盜版Office用戶改用正版軟體。促銷產品為Microsoft 365家用及個人版。家用版包含Office應用程式（Word、Excel、PowerPoint、OneNote、Outlook）、Skype以及6TB OneDrive雲端儲存以及手機版安全功能、Family Safety 行動應用程式定位置警示等，最多允許6人使用，全年99.9美元或單月9.99美元。個人版提供的Office服務相同，但僅限1TB雲端儲存，全年69.9美元或單月6.99美元。在促銷方案下，兩產品針對年付方案提供第一年折扣50%。不過臺灣版並未推出此一促銷方案。</p> <p>微軟積極拉抬訂閱版雲端產品銷售，不過近日被人詬病接連調漲價格。尤其是企業版，繼8月宣布企業版Office 365依方案不同，2022年3月1日起將漲價8.5%到20%，<a href="https://www.ithome.com.tw/news/148243" target="_blank">媒體又報導</a>微軟醞釀2022年7月起，調高由雲端合作夥伴銷售的Microsoft 365企業版價格，月付方案客戶可能面臨20%的漲幅。至於年付型方案，根據新實施的商務體驗（New Commerce Experience，NCE）方案，如果一年期間內使用者席次（seat）減少，剩下期間也無法縮減用戶授權。</p> </div></div></div>
2021/12/9 11:15作者林妍溱https://www.ithome.com.tw/news/148262
特力集團如何以IT驅動轉型，帶領貿易與零售兩大核心向前衝
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相較於大眾耳熟能詳的特力屋、HOLA特力和樂等國內零售通路，以貿易起家的特力集團，海外市場的發展更是另一項核心業務，合作的海外供應商超過4千家，更早就走進沃爾瑪（Walmart）、亞馬遜（Amazon）、好市多（Costco）等跨國零售通路，來供給各式貨品。</p> <p>「貿易最難做的是如何用最好的價格、品質，以最快速度採購企業客戶最想要的產品與服務。甚至，不只作為供應商，特力已成為歐美大型零售企業重要的後勤單位之一，替客戶進行供應鏈控管。」特力集團資訊長黃淑華點出這家大型跨國貿易商非用IT不可的原因。</p> <p>比如，特力集團（以下簡稱特力）的貿易自動化系統，串接了沃爾瑪各分店的POS系統，可以直接取得各門店商品的庫存資訊。沃爾瑪只需要設定需求，當安全庫存到達一定水位時，特力就會自動為沃爾瑪進行補貨，從分店下單到安排船運與貨運等全套作業流程，全都仰賴於雙方系統高度自動化串接，沃爾瑪根本無須擔心門店何時缺貨。</p> <p>黃淑華坦言，要走進大型零售企業，對特力來說並非一件容易的事。尤其，作為一家跨國貿易商，合作的供應商大多位於中國、東南亞等地，但大型零售企業客戶幾乎在歐美地區，兩端距離遙遠的狀況下，如何有效進行供應鏈管理，成為業務端與資訊端的一大挑戰。</p> <p>為讓貿易系統的資訊流串接更有效率，這家大型跨國貿易商，在2017年展開了IT大改造工程，先盤點出集團旗下貿易與所有分公司的資訊流與資訊系統現況，再花2年時間展開一連串的IT基礎設施布局，從網路、資訊底層結構的清查與補全，打造行動辦公室，到汰舊、優化地端機房，甚至將大型主機設備轉換為開放式系統，更建置了雲端備援機房，來降低公司營運中斷的風險。</p> <p>不只重新改造基礎設施，黃淑華表示，特力在2018年開始重新檢視應用系統端，目的是建置一套可支援全球供應鏈的完整資訊體系。第一步，先從使用多年的美國應用系統開始優化。當時，為拓展美國倉庫供貨動能，除原有西岸倉庫外，特力更決定在美國東岸蓋起一座新倉庫。「我們只有1年多的時間。」黃淑華回憶，2018年接到在東岸設立新倉庫的任務時，高層就訂下隔年11月需展開試營運的要求。當時，IT團隊決定將美國端的應用系統、東岸與西岸的倉儲管理系統，及ERP系統等海外系統，都改為集中到臺北總部重新建置系統。</p> <p>特力不只將美國端系統改為與集團同樣的SAP解決方案，考量到未來整體營運需與臺北總部密切合作，黃淑華表示，他們還將美國端系統搬上公雲上的私有雲平臺，並與臺北總部地端的私有雲，以跨混合雲模式進行協作。甚至，臺北總部的業務與IT組成團隊直飛美國，與美國當地業務與IT合作，一待就是整整半年，日以繼夜完成這項大工程，才讓東岸倉庫如期展開試營運，並於隔年2月正式切換系統。她指出，因導入過程深入了解美國端的運行方式，因此，後續在美國當地就不用聘請許多IT人力來維運系統，能從總部IT集中控管的作法，來支持與營運管理海外系統。</p> <p><span style="font-size:28px;"><strong>特力資料治理作法</strong></span></p> <p>黃淑華表示：「貿易是一項非常需要資料治理（Data Governance）的業務。」像是在特力的跨國貿易作業流程中，零售企業客戶在美國下單後，訂單拋回臺北總部系統，再由總部轉給供應商，最後再從供應商循著原路完成訂單。這個過程每一段都涉及資料的處理和管理。</p> <p>趁著打造美國新應用系統時，特力召集臺灣總部與美國分公司相關人員，將所有商品主檔、客戶主檔、訂單、會計科目、供應商等資料全部集中梳理，重新定義資料的管理分工，哪些需要由總部集中管理，而當地分公司又得自行維護哪些資訊，也重新評估資料儲存地點。</p> <p>黃淑華表示，多年前特力已成立PMO專案管理辦公室，來統籌跨集團各業務單位主管、IT單位主管的協調合作，層級更直達營運長。她提到，特力資料治理制度相當嚴謹，除必須區分出總部、分部的管理層級外，在總部的資料更分為不同區塊，如財務專屬、船務專屬、客戶服務專屬的資料，不論是權限控管或資料維運機制上，都訂定一套嚴謹的簽核程序與管理辦法，「誰也不能越權亂動別人的資料。」她表示，不論在貿易端或零售端，都得遵循同一套資料治理作法，只要有新系統或新的資訊流，內部便會重新審視一次資料治理作法。每隔一年也會定期評估資料的品質，也蒐集業務端的回饋，重新調整資料控管機制與權限管理作法。「做到如此，才能確保整體資訊的循環良好。」</p> <p>「資料治理中更重要一環是資料安全（Data security）」黃淑華特別強調：「商業機密格外需要保護」，以貿易端來說，以往，一般以為成本單價是相當機敏的數據，卻容易忽略若以庫存金額除以庫存數，也能推算出成本單價，這兩項也是需要視同機密來保護。「一旦資料安全沒有做好，價格外流就糟了」，因此，特力在貿易端控管，從資料倉儲、資料分析到分析報表，甚至是Cube報表生成服務上的資料讀取，皆執行相當嚴謹的卡控與控管。今年，更花了半年時間將資料倉儲裡所有帳號權限控管全數盤點一次，定義出資料機敏的程度，分為機敏資料、次機敏資料、非機敏資料，並導入新機制來記錄各種機敏資料的存取行為，還搭配修訂權限控管的管理辦法，更徹底落實資料安全。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/19_(%E6%8A%BD)%E9%BB%83%E6%B7%91%E8%8F%AF_%E7%89%B9%E5%8A%9B%E9%9B%86%E5%9C%98_%E8%B3%87%E8%A8%8A%E9%95%B7_20211029.jpg" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>特力集團資訊長黃淑華表示，導入新技術時得先試行一個成功案例來說服IT，當團隊成員享受到採用新技術帶來的好處，且建立起信心，後續在推動上就能更為快速。</strong></span></p> <p><span style="font-size:28px;"><strong>貿易系統流程模組化、服務化</strong></span></p> <p>不只補足了基礎設施與重新打造應用系統，黃淑華表示，在供應鏈控管部分，特力早在2016年時，就開始思考如何將貿易系統流程服務化、模組化，打破過往提供涵蓋全部流程作業的整套系統作法，改為讓貿易客戶與供應商合作夥伴可按照需求自選，自訂要採用的服務項目，比如只用產品採購與管理、貿易品質管理服務（QA/QC）等，最終目標是打造出供應鏈合作夥伴的一站式平臺服務，內有多種不同的服務項目。</p> <p>這些年下來，特力逐步拆解大型系統中所有貿易資訊流與業務端的作業系統，在貿易端拆解出訂單管理、供應商管理、船務、應收帳款與供應商融資、品質控管等項目來逐一發展模組化系統。她表示，已上線供應商管理平臺、貿易品質管理服務平臺，下一步將展開訂單管理、船務的服務拆解與模組化。</p> <p>然而，「要動訂單管理，相當可怕。」黃淑華坦言，貿易核心就在訂單，尤其，特力的訂單系統與美國大型零售客戶已透過電子資料交換方式來接收訂單，並自動執行後續的作業流程。所以在訂單管理模組化的改造，必須更為嚴謹，才不會影響到這些跨國客戶。她表示，IT團隊得重新梳理所有訂單流程，訂出一套標準化的訂單控管程序與方法，並透過新技術將流程重新打造一次。另外，也藉機將與客戶串接的訂單機制控管，改造的更為即時、自動化。</p> <p><span style="font-size:28px;"><strong>用微服務打造零售行動數位會員卡</strong></span></p> <p>特力集團第二大核心是零售業務，也是特力勇於嘗試新技術的落地場景。2018年，特力整合會員制度，上線愛家卡會員App服務。黃淑華表示，這款行動數位會員卡一開始就選擇以新興的微服務架構來開發。IT團隊只花了100天，同時上線自行建置的App與API管理平臺（APIM），目前，這個APIM上註冊了數百支API來串接不同的服務。她解釋，零售查詢的項目相當細，在拆解服務的過程中得拿捏顆粒度的大小，比如，點數查詢就是需要拆解出來的服務。IT團隊也會透過已提供出來的終端服務項目，來檢視服務的顆粒度切得適當與否，作為不斷反饋的機制。</p> <p>黃淑華認為，零售端面臨大量即時性資訊及市場變化，必須不斷的調整，一開始選擇從App導入微服務，主要是試水溫，更要藉由這樣的機會將新技術的觀念導入全體IT，「當試行成功，團隊享受到採用新技術帶來的好處後，就會建立起信心，後續要推動到其他IT系統就能更快，」她說。</p> <p>甚至，特力在2018年全面盤點所有開發技術與規範，並要求IT人員在所有新系統開發，必須採取同一套技術標準。她舉例，以往，特力的貿易系統是採用傳統的Java來開發，隨著Java進步到不同層次，特力在Java端的開發技術，使用了Spring框架以及Angular技術來開發，來讓使用體驗做得更好。現在，不管是開發貿易系統或零售系統，IT採用的開發技術都已統一，如此一來，黃淑華表示：「所有工程師的技術職能全部是共用的，在人力的調度上能夠為彈性」，也因為使用的技術一致，IT團隊就不會被侷限一定得找到特定技術開發的人才，又只能做同一件事的狀況。</p> <p><span style="font-size:28px;"><strong>善用數據分析發展新商業模式</strong></span></p> <p>訂定出集團基礎應用系統的標準開發技術後，特力這2年開始大力發展數據。2018年率先推動零售資訊系統數位轉型，建立營運中臺架構機制，將服務的概念與架構逐步拆出。當時，特力並沒有接著建置數據中臺，而選擇先延用既有的資料倉儲、資料市集與資料分析平臺，結合CRM進行精準行銷推薦，近期正嘗試用數據化、科學化方式來推薦如枕頭、床墊等寢具商品。甚至，特力在零售端與貿易端，都利用銷售資訊，如庫存狀況、銷售族群，進行數據彙整分析再去識別化後，提供給供應商回頭檢視並調整自家生產的商品，或提供給特力自家商品開發與採購單位來了解各地區消費者偏好，進而設計產品。這正是特力運用數據加值後，發展出的新商業模式。去年，特力開始發展零售數據中臺，目的是結合線上數位軌跡與線下交易記錄，將客戶360度資訊彙整到數據中臺，今年上線的首個試行應用是熟客經營與管理。這也將是特力展開零售端數據創新應用的第一步。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>特力集團資訊長黃淑華</strong></p> <p>學歷：中山大學資訊管理學系畢業</p> <p>經歷：曾服務於電信業、半導體製造業、科技服務業，在系統開發、基礎架構等領域，具有豐富經驗與歷練。2018年加入特力集團，擔任應用系統部副總經理，負責零售資訊系統的規畫及建置。隔年，晉升為特力集團資訊長，統籌、推動集團資訊系統轉型與發展</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>特力集團</strong></p> <p>●成立時間：1978年8月</p> <p>●主要業務：臺灣地區最大專業貿易商、最大家居家飾通路業者，事業體橫跨貿易、零售、電子商務、商品設計、製造、營建</p> <p>●總裁：何湯雄</p> <p>●董事長：李麗秋</p> <p>●總經理：李麗秋</p> <p>●年營收：逾新臺幣417億元（2020年）</p> <p>●資本額：50.99億元</p> <p>●員工人數：約4,300人（截至2020年底）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門名稱：資訊系統管理部</p> <p>●直屬主管：營運長何采容</p> <p>●資訊部門主管：黃淑華</p> <p>●資訊部門人數：135人</p> <p>●每年部門預算：約為營收之1.2%～2.0%</p> <p>●資訊部門分工：應用系統部、企業資源部、基礎架構部</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2017年：整合零售線上線下通路，推出特力家電商購物網站；打造行動辦公室；汰舊優化地端機房及建置雲端備援機房</p> <p>●2018年：整合會員制度，推出特力愛家卡會員App服務；推動虛實融合，實現電子貨架購物服務；導入RPA機制，全面提升營運效率</p> <p>●2019年：推動零售資訊系統數位轉型，建立營運中臺架構機制，建置倉儲物流管理系統，提升客服管理平臺銷售服務體驗；汰舊優化美國貿易系統，建置東西岸倉儲管理系統</p> <p>●2020年：建立零售數據中臺；擴建勞務及派工管理平臺；實現貿易系統流程模組化，打造供應鏈合作夥伴一站式平臺服務；建立商品圖文資系統</p> <p>●2021年：推出特力Pay錢包及支付服務、熟客經營服務及情境式購物；上線貿易品質管理服務平臺</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/01_nei_ye_huang_shu_hua_te_li_ji_tuan_zi_xun_chang_20211029.png" width="960" height="420" alt="" title="特力集團資訊長黃淑華" /></div></div></div>
2021/12/9 07:00作者李靜宜https://www.ithome.com.tw/people/148129
型態提示、重載與Optional
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從Python 3.5起，正式納入了型態提示（Type Hints）特性，後續各個版本，也不斷增強改進，相關工具至今的支援，已有很高的成熟度，除了最初Python開發者都熟悉的mypy檢查工具（也是typing模組主要的貢獻來源），PyCharm之類的整合開發環境必然是支援的，VSCode也可以安裝新的語言伺服器Pylance，透過設定，令整個專案全面獲得靜態時期的型態檢查能力。</p> <p>對開發中型或大型程式而言，若全面性啟用型態檢查，並在公開介面上標註型態，對程式的維護性有非常大的助益，而且是多個面向的，像是：撰寫程式碼時的自動提示、增加程式碼的可讀性、相關重構工具的進一步支援，或是變動函式簽署就能檢查出錯誤等，在嘗試過型態檢查的便利與彈性之後，在參數、引數、變數等各方面，自然而然地，都會開始考慮起型態的問題，以及相關設計原則。</p> <p><span style="font-size:28px;"><strong>參數列上的Optional？</strong></span></p> <p>大部份情況下，靜態定型語言中怎麼宣告型態，拿來套用在型態提示上都不會有什麼問題，不過，我最近看到某個函式的參數預設值為None，這表示該參數可能或沒有值，而呼叫函式時的預設值是後者，對於有或沒有，在Python中，通常建議使用typing模組的Optional來標註，但我在標註param: Optional[Type] = None後，心裡卻出現違和感。</p> <p>因為Java中也有Optional類別，而它有個使用原則「應該只作為傳回值，不應該用在參數或類別欄位」，事實上，支持此一原則的理由有好幾個，首先，客戶端在呼叫方法時，doSome(Optional.of(value))或是doSome(Optional.empty())，在撰寫或可讀性上，不但沒有幫助，甚至還有點妨礙。</p> <p>另外，參數若是Optional型態，該參數接受到null也是合法的，這麼一來，原本希望參數值彰顯出有或沒有，現在卻有三個可能性，分別是：「null、包裏值的Optional、沒有值的Optional.empty()」，為了避免NullPointException，在方法實作中，勢必要針對null進行檢查，才能進一步確認是否可呼叫Optional的相關方法，但這又使得實作流程變複雜。</p> <p>我們在網路上搜尋「java Optional in parameter」，可以找到更多的文件與案例，以及改善的方式，簡而言之，就Java而言，若是參數可能接受null，此時使用Optional取代並不適合，應該改用重載（overload）。畢竟當參數接受null時，既有的方法實作中，必然是有一道替代流程，這時可以重載出另一個方法，避免使用者誤用，或者是避免他們寫出doSome(null)這種可讀性不佳的呼叫。</p> <p><span style="font-size:28px;"><strong>參數列上的None？</strong></span></p> <p>只不過，Java的設計原則可以套用在Python嗎？Python的Optional只是個型態標示，並非真的有個Optional實例會用來包裹值，接受None的函式在實作時，檢查流程並不會因此而增加，基本上並不會有Java中被指定null之類的問題。</p> <p>然而，要進一步思考的是，Python中函式的參數預設為None的必要性。對於動態定型語言來說，參數指定預設值，除了方便使用者只需修改自訂值之外，還可以用來模擬重載，若參數可能接受None，與其讓使用者以doSome(None)方式呼叫，不如將參數預設值設為None，如此一來呼叫時就可以使用doSome()的方式。</p> <p>因此，在Python中，經常可見參數預設為None的情況，在型態提示時，標註param: Optional[Type] = None合適嗎？可以先想想看param: Optional[Type]表示什麼？這表示只能用doSome(None)或doSome(value)，不能用doSome()，為了可以用doSome()呼叫，才設定預設值為None，對吧！</p> <p>此時何不直接標註為param: Type = None？就語義來說，型態標註表明param接受Type型態的值，而預設值為None，表示param可能有或沒有值，這跟標註為param: Optional[Type] = None，效果也是相同的（若標註為param: Type，預設不能接受None）。</p> <p>那麼，Optional出現在參數的標註時，就只剩下一個作用了，也就是標註為param: Optional[Type]時，若真的沒有值，呼叫時就必須明確指定None，這就要看客戶端呼叫時，要求明確指定None是否有助於可讀性了，但這種情況不多，我想得到的，大概會是某個寫入資料表欄位的方法，想明確表明該欄位被寫為None的這類時機吧！</p> <p><span style="font-size:28px;"><strong>Python中的重載？</strong></span></p> <p>想要求客戶端呼叫函式，在參數沒有值時必須明確指定None的情況不多，因此若想將參數列標註為Optional時，可以思考一下必要性，例如，參數有預設值None時，可以直接標註param: Type = None，而不是param: Optional[Type] = None，另一個思考的方向是，有辦法像Java的做法，透過重載來避免設定None為預設值嗎？</p> <p>Python的typing模組提供overload裝飾器，被裝飾的函式可以僅定義函式簽署，但無法在其中進行實作，它們主要是作為型態檢查之用，參數的型態與順序必須對應一個真正的實作函式，例如，<a href="https://bit.ly/3bUI2uc" target="_blank">可參考我的_plugin.pyhull2D方法的原始碼</a>，它們是底下實作的重載版本：</p> <pre> def hull2D(self: T, points: Iterable[VectorLike] = None, forConstruction: bool = False) -> T:</pre><p>那麼，你會喜歡哪個版本呢？就閱讀原始碼來說，重載的寫法，列出了方法套用時可行的幾個案例，我個人認為易讀易懂一些，只不過原始碼是否易讀易懂，有時很主觀，然而實際上，重載的版本與非重載版本在型態檢查上，還有一點極大的不同，那就是型態檢查時，函式呼叫指定的引數，必須符合重載時宣告的函式簽署。</p> <p>也就是說，_plugin.py中重載的兩個函式簽署是hull2D(self: T)與hull2D(self: T, points: Iterable[VectorLike] = ..., forConstruction: bool = ...)，這表示，在型態檢查時，只能用hull2D()或者是hull2D(points)，雖然hull2D真正的函式實作中，points預設值是None，然而使用hull2D(None)呼叫的話，型態檢查時會過不了。</p> <p>因此，若參數預設值會是None的情況，非重載的版本會允許hull2D(None)的呼叫方式，若你不希望客戶端這麼呼叫，可以改以重載方式來設計，執行型態檢查時，就會出現錯誤來提醒客戶端，獲得原始碼易讀之外的實質效益。</p> <p>當然，若是客戶端沒有執行型態檢查，完全以動態定型觀點使用Python，就仍然能夠進行hull2D(None)呼叫，如果真的不想客戶端這麼做，建議就別模擬重載了，直接定義名稱不同的函式！例如，hull2DFrom(points,forConstruction=True)，以及hull2DInternal(forConstruction=True)，不要使用None作為參數預設值了。</p> <p><span style="font-size:28px;"><strong>Optional只用在傳回型態</strong></span></p> <p>如果你查詢Python官方文件<a href="https://bit.ly/3qqlw4S" target="_blank">有關於typing.Optional的說明</a>，會發現其中的範例，也是標註了arg: Optional[int] = None，然而，這不能說是錯，只不過作用上與arg: int = None沒兩樣就是了。</p> <p>綜上所述，在Java領域中「Optional只用在傳回型態」的建議，其實也適用於Python，如果打算在參數列上標註Optional，可以多思考一下其他的可能性，例如重載，或者是不模擬重載，不使用None作為參數預設值等其他的設計方式。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%9E%8B%E6%85%8B%E6%8F%90%E7%A4%BA">型態提示</a></div><div class="field-item odd"><a href="/tags/type-hints">Type Hints</a></div><div class="field-item even"><a href="/tags/%E9%87%8D%E8%BC%89">重載</a></div><div class="field-item odd"><a href="/tags/optional">Optional</a></div><div class="field-item even"><a href="/tags/python-35">Python 3.5</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item even"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div></div></div>
2021/12/9 07:00作者林信良https://www.ithome.com.tw/voice/148136
儲存管理新變革，HPE提供更完整的雲端化儲存管理服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-dscc.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對來勢洶洶的公有雲儲存服務，傳統儲存廠商持續嘗試在本地端儲存領域，提供類似雲端服務的特色，例如，訂閱或代管型式的採購模式、雲端化的系統管理服務，以及本地端儲存陣列的雲端化版本等，在產品採購、系統管理與儲存產品等3方面，都逐漸朝向「雲端服務化」。</p> <p>身為一線儲存大廠的HPE，近年來積極往前述幾個方向發展，先後推出了GreenLake的訂閱式採購服務，以及Cloud Volumes雲端儲存服務，分別提供了雲端化的採購與儲存產品。</p> <p>而在儲存管理機制的雲端化方面，HPE除了原本發展的InfoSight平臺外，再結合新推出的Data Services Control Console（DSCC）雲端管理平臺，共同構成完整的雲端化儲存管理架構。</p> <p><span style="font-size:28px;"><strong>提供完整的雲端儲存管理</strong></span></p> <p>憑藉繼承自Nimble的InfoSight雲端平臺，HPE原本就是儲存管理平臺的技術領導者。不過，InfoSight屬於IT維運支援類型的管理平臺，無法完整涵蓋儲存應用所需的全部管理功能，主要用於監控、分析診斷與諮詢建議等支援服務，而未能觸及儲存區組態設定、配置與調整等功能，因此，用戶仍無法擺脫對於傳統本地端管理工具的依賴。</p> <p>到了HPE今年推出的DSCC雲端管理平臺，這裡的資料操作管理器（Data Ops Manager），終於補上InfoSight欠缺的主動管理功能。</p> <p>透過DSCC的資料操作管理器，企業可遠端管理位處內部網路的儲存陣列，操作儲存區組態設定、掛載，以及資料服務功能。</p> <p>而關於這樣的功能配置，也意味著，用戶端管理者可藉此擺脫對傳統管理工具的依賴，幾乎能完全透過雲端來管理本地端儲存環境。</p> <p>而InfoSight與DSCC資料操作管理器的組合，也構成了完整的雲端儲存管理平臺組合，透過兩種平臺相輔相成，滿足儲存環境的核心管理需求。</p> <p>其中的DSCC資料操作管理器，用於儲存設備的資源配置管理，提供儲存區建立、配置、掛載與資料服務等功能。</p> <p>至於InfoSight則作為輔助支援平臺，用於提供儲存資源使用分析、問題診斷與故障排除指引、組態調整與升級建議等管理諮詢與建議服務。</p> <p><span style="font-size:28px;"><strong>針對雲端資料管理服務，設置統一入口</strong></span></p> <p>HPE對於DSCC有著十分遠大的應用規畫，企圖以此作為系列雲端資料管理服務的入口，企業可透過API來進行介接、存取HPE自身或合作廠商提供的雲服務，藉此統一管理用戶的資料基礎架構，以及資料服務。</p> <p>資料操作管理器看似DSCC裡的一項服務，但事實上InfoSight現在已經被納入DSCC。</p> <p>整體而言，DSCC平臺目前一共包含下列4項主要服務：</p> <p><strong>● 資料操作管理器（Data Ops Manager）：</strong>企業能從遠端設定與管理用戶端儲存設備的容量與效能的配置，以及資料服務功能操作。</p> <p><strong>● InfoSight：</strong>HPE老牌的雲端儲存管理平臺，可用於遠端集中監控用戶端設備，並提供資源使用分析、診斷、調整與升級建議。</p> <p><strong>● Intent-Based Provision：</strong>基於AI技術，向用戶建議適合執行特定工作負載的儲存區位置。</p> <p><strong>● Audit：</strong>從單一視窗檢視整個環境中所有系統的事件，以及運行狀態記錄。</p> <p>除了前述4項主要服務，DSCC還提供兩項輔助管理工具：</p> <p><strong>● 技術文件（Technical Articles）：</strong>可透過輸入關鍵字，搜尋特定功能的說明資訊。</p> <p><strong>● 任務（Tasks）：</strong>檢視整個用戶環境中，所有系統、使用者、時間內的操作行動。</p> <p>整體來看，在DSCC目前提供的功能中，除了資料操作管理器是用於設定與配置用戶端儲存設備以外，其餘幾項功能，都是以用戶環境的監控、分析，以及基於AI輔助的諮詢與建議功能為主。</p> <p>而DSCC對分析管理應用的強調，則企圖利用雲端平臺的管理功能，透通用戶端複雜環境，幫助實現HPE「通用資料操作（Unifined DataOps）」的願景。</p> <p><span style="font-size:28px;"><strong>邁向通用儲存管理的關鍵環節</strong></span></p> <p>長遠來看，DSCC的推出，可以視為HPE實現「通用資料操作」願景的關鍵環節。</p> <p>過於複雜的儲存與資料管理作業，常常成為企業數位轉型的阻礙。儲存與資料操作應用涉及各個環節，以及多種作業流程，從線上生產資料的存取，到資料備份還原、分析、法規遵循、長期歸檔、災難備援、資料遷移等等，都是分別由不同設備或產品來提供，不僅管理複雜、用戶也難以透通檢視整個儲存與資料操作環境。</p> <p>以HPE自身來說，資料儲存與操作應用領域涉及的產品，就包含了MSA、Nimble、3PAR、Primera、Alletra等儲存陣列產品線，雲端化的Cloud Volumes產品，StoreOnce備份儲存與StoreVitual虛擬化儲存產品線，以及SimpliVity超融合系統，還有ProLiant、Apollo與Synergy等伺服器產品線。不同的產品線，各自有著自身的管理工具，也讓日常維運工作變得十分複雜。</p> <p>而DSCC的最終目標，便是橫跨複雜的底層環境，統一管理用戶的資料基礎架構，並且統一提供橫跨本地端到雲端的資料服務。透過雲端平臺的控制功能，以及藉由AI技術輔助的分析能力，來提供可透通複雜底層環境的洞察力，藉此消除資料管理與基礎架構的孤島及複雜度，提升資料操作的敏捷性、降低業務風險。</p> <p>以目前DSCC的實際能力來看，距離前述目標的實現，還有相當大的空間，因為作為核心的資料操作管理器，目前涵蓋支援的設備產品線與功能仍有限。不過，依照HPE的規畫，到了2022年以後，DSCC能涵蓋的資料服務、基礎架構服務與平臺服務，便能達到較完整的程度，屆時也能為HPE儲存與資料操作環境，帶來本質性的變化。</p> <p><span style="font-size:28px;"><strong>朝向全面雲端服務化</strong></span></p> <p>以新推出的DSCC雲端管理平臺為核心，搭配原有的InfoSight雲端管理平臺，再結合GreenLake訂閱式採購服務，以及Cloud Volumes雲端儲存陣列服務，也讓HPE產品的「雲端服務化」大致成型，在管理、採購與儲存陣列等3方面，都具備類似雲端服務的型式。</p> <p>除了HPE，其他一線儲存大廠也有志一同，正在朝著類似的「雲端服務化」方向發展。</p> <p>舉例來說，Pure Storage在管理方面有Pure1與Pure Fusion等雲端管理平臺，也有Evergreen訂閱式採購服務，以及Cloud Block Store雲端陣列。</p> <p>Dell則有APEX訂閱式採購服務，以及配套的APEX Console管理平臺，搭配既有的CloudIQ雲端管理平臺。</p> <p>NetApp亦有KeyStone訂購模式、ActiveIQ、Cloud Manager等雲端管理平臺，以及CVS、CVO雲端陣列服務，在管理、採購與儲存陣列等3方面，也都逐漸走向了雲端服務化。</p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>DSCC資料操作管理器的運作架構</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1054-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-600.png" style="width: 497px;" /></p> <p><span style="color:#696969;"><strong>HPE新推出的DSCC雲端管理平臺，當中的資料操作管理器（Data Ops Manager）是最重要的核心功能，其基本概念是透過HPE的雲端資料中心，連結用戶端儲存設備，藉此提供跨遠端的雙向儲存服務管理功能。</strong></span></p> <p><span style="color:#696969;"><strong>裡面的HPE雲端資料中心扮演了中介的關鍵角色，可持續接收與匯整用戶端儲存設備回傳的運行資訊，然後呈現在DSCC資料操作管理器介面上，供用戶端管理者檢視；用戶端管理者也能透過DSCC資料操作管理器介面操作，即可經由HPE資料中心，向用戶端儲存設備發送儲存組態設定與配置指令。</strong></span></p> <p><span style="color:#696969;"><strong>也就是說，在原廠雲端資料中心的中介下，用戶端管理者可以利用雲端管理控制臺的介面，從遠端管理自身環境中的儲存設備，擺脫對於傳統本地端管理工具的依賴。</strong></span></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>InfoSight vs. DSCC資料操作管理器</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1054-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-600-2.png" style="width: 420px;" /></p> <p><span style="color:#696969;"><strong>HPE既有的InfoSight雲端儲存管理平臺，與剛問世的DSCC資料操作管理器，共同構成DSCC雲端平臺的兩大核心功能，而且，彼此的運作架構有許多相似之處，都是以HPE的雲端資料中心來連結用戶端儲存設備，提供跨遠端的儲存服務管理功能。</strong></span></p> <p><span style="color:#696969;"><strong>不過，兩者的關鍵差別在於：InfoSight的管理是單向的，只能被動接收用戶端儲存設備回傳的訊息；DSCC資料操作管理器的管理則是雙向的，除了能夠接收用戶端儲存設備回傳的訊息外，也能主動向儲存設備來發送指令。而單向與雙向管理的差別，也帶來兩種雲端管理平臺大不相同的應用面向。</strong></span></p> <p><span style="color:#696969;"><strong>InfoSight只能被動接收用戶端儲存設備回傳訊息，因而提供的服務，是以儲存設備回傳的運作狀態訊息為基礎，提供維運支援類型的服務，包括遠端狀態監控、運行歷史資訊檢視，並結合AI與機器學習技術，進一步提供系統問題診斷、故障排除建議、自動維修案件開立、系統資源使用統計與分析預測、系統組態最佳化調整與升級建議等功能。</strong></span></p> <p><span style="color:#696969;"><strong>而DSCC資料操作管理器不僅能接收用戶端儲存設備回傳訊息，同時，也能向儲存設備發送指令、調整儲存組態配置。因此，DSCC資料操作管理器除了能用於遠端監控，也能用於儲存組態的設定與配置，如建立儲存區、將儲存區掛載給指定主機，以及操作進階服務功能（如快照、複製等）。</strong></span></p> <p><span style="color:#696969;"><strong>但另一方面，DSCC資料操作管理器對於儲存設備回傳訊息的利用深度，則不如InfoSight，因為它只提供基本的狀態監控等功能，而沒有進一步的分析、預測與建議諮詢功能。因此，兩種平臺各有所長，必須結合運用，才能獲得完整的遠端儲存管理功能。</strong></span></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>DSCC資料操作管理器的功能與操作</strong></span></span></p> <p><span style="color:#696969;"><strong>新推出的DSCC平臺，將成為HPE一系列雲端管理服務的入口，企業可以透過HPE的標準API，介接存取一系列雲端服務，這當中包括：既有的InfoSight儲存管理平臺服務，用於監控用戶端設備運行歷史狀態的Audit功能，用於協助負載配置的Intent-Based Provision，以及最重要的新服務，也就是資料操作管理器（Data Ops Manager）。</strong></span></p> <p><span style="color:#696969;"><strong>透過資料操作管理器，用戶可從遠端管理本地端的HPE儲存設備，從遠端監控系統狀態之餘，還能執行儲存區設定、掛載等作業，包括創建Volumet儲存區、設定屬性、掛載給指定主機，以及設定快照等資料服務功能。也就是說，本地端儲存管理控制臺的主要核心功能，現在，都可以改由DSCC的資料管理器來執行。</strong></span></p> <p><span style="color:#696969;"><strong>嚴格來說，目前DSCC資料操作管理器的功能仍不夠完備，無論是支援涵蓋的廣度或是功能的深度都有限，一開始只支援HPE新的Alletra系列儲存陣列，現在也還無法支援部分資料服務功能的遠端操作，例如只能操作快照，但還無法使用Clone。</strong></span></p> <p><span style="color:#696969;"><strong>不過，HPE表示，很快就會擴展DSCC資料管理器的支援範圍與功能。預期只需幾季的時間，DSCC資料管理器就能延伸支援於其他產品線的遠端管理，並且涵蓋更完整的資料服務功能，最終，成為橫跨HPE主要運算與儲存產品線的通用管理平臺。</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/DSCC%E4%B8%BB%E5%9C%962.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color:#696969;"><strong>HPE雲端資料服務的統一入口</strong><br /> DSCC將成為HPE雲端資料服務的統一入口與管理平臺，目前提供4項主要服務，包括：InfoSight與資料管理器這兩種遠端儲存管理平臺，監控用戶端環境事件與狀態的Audit功能，以及協助負載配置的Intent-Based Provision功能。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSCC%E4%B8%BB%E5%9C%963.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>總覽用戶端環境的事件狀態</strong><br /> 透過DSCC平臺提供的Audit功能，可以讓用戶端管理者從單一頁面中，選擇不同時間尺度，總覽整個用戶端環境所有設備的運行事件與活動紀錄，從中檢視不同時間點下，各個儲存系統交互運作的情況，進而發現潛在的系統問題。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSCC%E4%B8%BB%E5%9C%964.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>資料管理器儀表板</strong><br /> DSCC資料管理器的基本功能有4項：透過儀表板（DashBoard）檢視儲存設備運行狀態，透過儲存區（Volume）頁面建立與調整儲存區組態，利用資料存取（Data Access）頁面管理儲存區與主機的掛載，以及藉由任務（Task）頁面檢視儲存設備的活動紀錄。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSCC%E4%B8%BB%E5%9C%965.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>應用型態導向的儲存區建立</strong><br /> 透過DSCC的資料管理器，企業可從遠端建立位於內部網路的儲存設備儲存區，而儲存區的建立是應用導向式的，先選擇預定運行的應用程式類型，系統便會依據應用程式類型，自動調整細部參數設定。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSCC%E4%B8%BB%E5%9C%966.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>提供智慧化的資源配置建議</strong><br /> 若用戶環境同時含有多臺儲存陣列，DSCC資料管理器會評估各儲存陣列的狀態，然後自動推薦用戶適合的磁碟陣列，來為新創建的儲存區提供空間。用戶也能自行指定要使用的儲存陣列，而不依照系統建議。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSCC%E4%B8%BB%E5%9C%967.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>設定儲存區進階屬性</strong><br /> DSCC資料管理器能讓用戶設定個別儲存區的進階屬性，例如，是否啟用資料縮減功能，以及設定儲存空間耗用上限的警示等。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSCC%E4%B8%BB%E5%9C%968.jpg" style="width: 329px;" /></p> <p><span style="color:#696969;"><strong>線上搜尋技術文件與協助</strong><br /> DSCC提供了線上技術支援功能，可以利用關鍵字搜尋特定功能的說明，藉此獲得特定問題的協助。</span></p> <p> </p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/data-services-control-console">Data Services Control Console</a></div><div class="field-item odd"><a href="/tags/dscc">DSCC</a></div><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF%E7%AE%A1%E7%90%86%E5%B9%B3%E8%87%BA">雲端管理平臺</a></div><div class="field-item odd"><a href="/tags/hpe">HPE</a></div><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF%E5%84%B2%E5%AD%98%E7%AE%A1%E7%90%86">雲端儲存管理</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF%E8%B3%87%E6%96%99%E7%AE%A1%E7%90%86%E6%9C%8D%E5%8B%99">雲端資料管理服務</a></div><div class="field-item even"><a href="/tags/%E9%80%9A%E7%94%A8%E8%B3%87%E6%96%99%E6%93%8D%E4%BD%9C">通用資料操作</a></div></div></div>
2021/12/9 07:00作者張明德https://www.ithome.com.tw/tech/148137
【資安日報】2021年12月8日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與大數據分析有關的圖像化資料分析解決方案Grafana，近期因於月初獲報的路徑穿越漏洞CVE-2021-43798，已在網路上出現概念性驗證攻擊而引起關注，使得該公司決定提早發布修補程式，使用者應儘速修補。</p> <p>再者，有關網路儲存裝置的新聞相當值得留意，包含了威聯通（QNAP）針對NAS用戶發出警告，表示有攻擊者鎖定該廠牌設備發動挖礦攻擊，駭客植入的處理程序會占用50%的CPU資源。</p> <p>另外值得留意的趨勢，是近期大肆感染的武漢肺炎變種病毒Omicron，也成為攻擊者拿來發動網路釣魚攻擊的誘餌，美國數十家大專院校遭到鎖定，而相當值得留意這種網釣攻擊的發展。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://therecord.media/qnap-warns-of-new-crypto-miner-targeting-its-nas-devices/"><span style="color: rgb(0, 0, 0);">QNAP警告鎖定NAS的挖礦攻擊行動</span></a></strong></h4> <p>臺灣NAS業者威聯通（QNAP）於12月7日發布資安通報，警告用戶新的挖礦攻擊正鎖定該廠牌的NAS設備而來，該公司指出，一旦攻擊者成功入侵，就會執行名為[oom_reaper]的處理程序，此處理程序約會占用50％的中央處理器資源。此外，這個處理程序會模仿核心處理程序，其PID通常大於1000。QNAP呼籲用戶要使用最新的作業系統及附加元件，並且使用強密碼，如果發現NAS遭到感染，則要依照公告的步驟，使用Malware Remover移除惡意軟體。</p> <h4><strong><a href="https://www.fortinet.com/blog/threat-research/mirai-based-botnet-moobot-targets-hikvision-vulnerability"><span style="color: rgb(0, 0, 0);">Mirai殭屍網路變種病毒攻擊海康威視設備<img alt="" src="https://s4.itho.me/sites/default/files/images/picture12.png" style="width: 300px; height: 258px; float: right;" /></span></a></strong></h4> <p>資安業者Fortinet於12月6日指出，他們針對9月中旬研究人員揭露的CVE-2021-36260漏洞進行調查，這項漏洞波及海康威視網路視訊監控系統、IP攝影機。結果發現，名為Moobot的變種Mirai殭屍網路病毒，利用這項漏洞來偵察設備的狀態，並從受害裝置竊取敏感資料。Fortinet也發現攻擊者透過Telegram頻道，自6月11日起藉由控制的海康威視裝置，提供DDoS攻擊服務。</p> <h4><a href="https://geminiadvisory.io/magecart-google-tag-manager/"><span style="color: rgb(0, 0, 0);"><strong>駭客濫用Google Tag Manager服務，發動Magecart側錄攻擊</strong></span></a></h4> <p>駭客針對電子商城網站發動Magecart攻擊，自2020年起開始運用多項Google的服務，今天又多了一種「<a href="https://support.google.com/tagmanager/answer/6102821?hl=zh-Hant&ref_topic=3441530">Google Tag Manager</a>（GTM）」，這項工具的用途，是提供網站管理者部署Google Ads、Google Analytics、Floodlight或第三方合作夥伴的程式碼，而無須大幅修改網站本身。但攻擊者運用這項工具自建容器發動攻擊，極為難以察覺。資安業者Gemini Advisory指出，他們自2021年2月4日開始，觀察到至少有316個電子商務網站，感染了木馬化的GTM容器，被攻擊者用來發動Magecart側錄攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/nordic-choice-hotels-hit-by-conti-ransomware-no-ransom-demand-yet/"><span style="color: rgb(0, 0, 0);"><strong>北歐精品酒店集團遭到Conti勒索軟體攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/FF3rJg_XsAQHD2v.jpg" style="width: 150px; height: 177px; float: right;" /></strong></span></a></h4> <p>北歐精品酒店（Nordic Choice Hotels）集團於12月2日發出公告，表示他們的IT系統遭到電腦病毒攻擊，導致員工無法協助客人訂房、登記入住、退房，以及處理收費的事宜，他們改以人工處理因應，該集團亦向挪威資料保護局和挪威國家安全局等執法單位通報此事。而到了12月6日，該集團公布初步調查結果，表示目前尚未發現資料遭到外洩的跡象，並透露他們遭到名為Conti的勒索病毒攻擊，但沒有收到攻擊者的勒索訊息。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/new-cerber-ransomware-targets-confluence-and-gitlab-servers/"><span style="color: rgb(0, 0, 0);">勒索軟體Cerber鎖定Confluence與GitLab伺服器發動攻擊</span></a></strong></h4> <p>曾於2019年幾乎消聲匿跡的Cerber勒索軟體，最近被研究人員發現有了新的攻擊行動。先是資安研究團隊MalwareHunterTeam指出，他們發現在11月上旬，Cerber勒索軟體開始有所行動，不只鎖定Windows電腦下手，同時也攻擊Linux伺服器。隨後，資安研究人員BoanBird發現，攻擊者開始鎖定Atlassian Confluence漏洞CVE-2021-26084，以及GitLab的CVE-2021-22205漏洞，來在這些協作平臺上植入Cerber。至於受害者的範圍，騰訊的研究人員指出主要是中國和美國，德國次之。但新舊Cerber勒索軟體攻擊是否為同一組人馬所為？防毒業者Emsisoft指出，新的Cerber勒索軟體與過往的程式碼不同，且使用不同的加密程式庫，又同時鎖定Linux主機，研判新舊攻擊者沒有直接關連。</p> <h4><a href="https://www.proofpoint.com/us/blog/threat-insight/university-targeted-credential-phishing-campaigns-use-covid-19-omicron-themes"><span style="color: rgb(0, 0, 0);"><strong>駭客鎖定美國大專院校，以Omicron病毒為誘餌，發動網釣攻擊</strong></span></a></h4> <p>資安業者Proofpoint發現，自2021年10月開始，新一波鎖定美國大專院校的網路釣魚攻擊行動，攻擊者利用武漢肺炎的變種病毒Delta議題為誘餌，表明希望能夠進行有關測試。而自11月變種病毒Omicron爆發之後，這些攻擊者便調整誘餌的內容，改以新的變種病毒來吸引師生上當。Proofpoint表示，攻擊者偽造北美數十所大學的登錄網頁，竊取使用者的帳號與密碼，而其中有不少可存取受害師生的Office 365帳號。一旦攻擊者成功竊得帳密，就會將受害者重新導向正牌的大學網站。此外，在某些情況中，駭客還會竊取雙因素驗證（MFA）的驗證碼。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/emotet-now-drops-cobalt-strike-fast-forwards-ransomware-attacks/"><span style="color: rgb(0, 0, 0);"><strong>殭屍網路駭客Emotet投放Cobalt Strike進行偵察，疑似為了減少攻擊行動敗露</strong></span></a></h4> <p>資安研究團隊Cryptolaemus、電子郵件安全業者Cofense提出警告，他們發現殭屍網路駭客Emotet在攻擊手法上的變化，目的可能是為了要發動勒索軟體攻擊。這些研究人員不約而同指出，原本Emotet駭客會先在受害電腦部署TrickBot或Qbot木馬程式，再植入滲透測試工具Cobalt Strike的Beacon，以便後續監控或是進行攻擊，但是這些駭客最近跳過木馬程式的步驟，直接在受害電腦投放Cobalt Strike。研究人員Marcus Hutchins指出，駭客這麼做的用意，就是避免受害者能在勒索軟體攻擊之前，因為木馬程式而察覺攻擊行動。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/grafana-fixes-zero-day-vulnerability-after-exploits-spread-over-twitter/"><span style="color: rgb(0, 0, 0);">圖像化資料分析系統Grafana修補路徑穿越漏洞</span></a></strong></h4> <p>開源的圖像化資料分析解決方案Grafana於12月7日緊急發布更新，修補路徑穿越漏洞CVE-2021-43798，這項漏洞的CVSS風險層級為7.5分，影響本地建置的8.0.0-beta1至8.3.0版Grafana用戶，一旦這個漏洞遭到利用，攻擊者可存取Grafana資料夾以外高權限資料夾路徑，例如存放使用者密碼的/etc/passwd/。Grafana指出，這個漏洞源自於該分析系統安裝的外掛程式URL，而導致該系統容易遭受攻擊。Grafana於12月3日獲報並著手修補，但7日他們得知漏洞已遭公開，且有概念性驗證攻擊程式，決定緊急提供修補程式。此外，Grafana Cloud實體的用戶不受影響。</p> <h4><strong><a href="https://www.sentinelone.com/labs/usb-over-ethernet-multiple-privilege-escalation-vulnerabilities-in-aws-and-other-major-cloud-services/"><span style="color: rgb(0, 0, 0);">USB設備網路共享元件存在漏洞，波及多家雲端虛擬桌面解決方案<img alt="" src="https://s4.itho.me/sites/default/files/images/USB-Over-Ethernet.jpg" style="width: 300px; height: 169px; float: right;" /></span></a></strong></h4> <p>隨著居家辦公變得普遍，組織開始相當依賴雲端服務，其中，能讓使用者將本地端的USB設備，延伸在組織提供的雲端虛擬桌面上執行，有賴於將USB設備透過網路執行的技術術（USB over Ethernet）達成。資安業者SentinelOne指出，他們發現開源的Eltima SDK，存在27個漏洞，波及Amazon旗下的Workspaces、Nimble Studio AMI、Nice DCV、AppStream，以及NoMachine、Eltima USB Network Gate、Accops HyWorks、Amzetta zPortal、FlexiHub等，部分業者獲報後已著手修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.cna.com.tw/news/afe/202112080229.aspx"><span style="color: rgb(0, 0, 0);">臺灣資安鑄造公司成立舉行揭牌儀式，盼帶動資安智慧聯防與產業合作</span></a></strong></h4> <p>今年7月，資訊工業策進會（資策會）資安所傳出籌備臺灣資安鑄造公司已有進度的消息，在12月8日，臺灣資安鑄造股份有限公司（資安鑄造）正式宣布技轉成立，將透過自主研發的工業物聯網威脅偵測系統，新建立跨IT、OT與5G的供應鏈資安監控平臺，可整合多元資安技術服務，快速偵測資安事件，並聚焦供應鏈安全，針對地方SI、5G、醫療、電商、工控與晶片產業提供合作模式。此外，有意投資資安鑄造的美國矽谷創投Draper Associates與東元，都參與揭牌儀式。隨著該公司的成立，對國內資安生態的幫助與影響，也將成為國內資安領域持續關注的焦點。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://2030.trendmicro.com"><span style="color: rgb(0, 0, 0);">趨勢科技發表2030專案，從當前科技潮流審視網路資安未來情境</span></a></strong></h4> <p>趨勢科技在11月與12月間陸續於全球發布2030專案，當中包含讓讀者可閱讀的報告白皮書，以及可觀賞的系列影片，並設有報告獨立網站。在12月8日，趨勢科技在臺宣布推出此份報告，這是趨勢科技的一項前瞻研究計畫，當中並非是要敘述一個必然發生的未來，而是從當前科技發展與潮流預測可能情境，不只是讓大家思考未來可能的樣貌，也希望激起更多討論，以提醒政府、企業與個人，隨著科技逐漸滲透於日常，對於網路犯罪的未來發展應提早作準備或有所關注。其中有幾個焦點，包括：AI工具使網路範圍門檻降低而氾濫，社交工程詐騙與假訊息更加真實，大量物聯網環境的威脅，網路攻擊溯源更加困難，還有5G、6G網路興起，以及Everything as a Service的結果，而演進的攻擊趨勢。</p> <h4> </h4> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148225">2021年12月7日</a></p> <p><a href="https://www.ithome.com.tw/news/148199">2021年12月6日</a></p> <p><a href="https://www.ithome.com.tw/news/148162">2021年12月3日</a></p> </div></div></div>
2021/12/8 18:29作者周峻佑https://www.ithome.com.tw/news/148252
報導：蘋果曾與中國秘密簽訂5年的合作協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/facing-hostile-chinese-authorities-apple-ceo-signed-275-billion-deal-with-them" target="_blank">《The Information》本周披露</a>，蘋果執行長Tim Cook在2016年造訪中國時，曾與中國政府簽署一份價值超過2,750億美元的秘密協議，蘋果同意協助中國的經濟發展與訓練中國人才，換來的是中國放鬆對蘋果的管制。</p> <p>根據雙方的協議，蘋果同意協助中國製造商發展最先進的生產技術，協助訓練中國人才，亦承諾要於蘋果裝置中使用更多來自中國供應商的元件及軟體，並與中國的大學合作開發新科技，投資中國的科技公司，以及於中國設立更多的零售商店、研發中心與再生能源專案。</p> <p>此一協議也許說明了<a href="https://www.ithome.com.tw/news/105933" target="_blank">蘋果在2016年以10億美元投資滴滴出行</a>，於2018年<a href="https://www.ithome.com.tw/news/124658" target="_blank">將中國的iCloud資料交給中國業者儲存</a>，2019年<a href="https://www.ithome.com.tw/news/133565" target="_blank">於App Store上移除了報導香港抗爭運動的Quartz新聞</a>，或是在今年1月大舉<a href="https://www.ithome.com.tw/news/142002" target="_blank">移除App Store上4.6萬款缺乏中國官方許可的行動程式</a>。</p> <p>另一方面，相較與其它外國企業，蘋果較少受到中國政府的壓迫，中國更允許蘋果控制iCloud用戶的加密金鑰。</p> <p>根據<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0000320193/42ede86f-6518-450f-bc88-60211bf39c6d.pdf" target="_blank">蘋果提交給美國證券交易委員會的財報</a>，在蘋果2019、2020及2021的3個財年中，除了美國之外，中國是海外市場中唯一替蘋果帶進超過10%營收的市場，2021年蘋果的美國營收為1,338億美元，中國營收亦達684億美元。</p> <p>市場調查機構<a href="https://www.counterpointresearch.com/apple-becomes-largest-smartphone-brand-china-october-2021/" target="_blank">Counterpoint今年10月的統計則顯示</a>，在iPhone 13的推波助瀾下，iPhone成為當月中國最大的手機品牌，超越了原本位居第一的Vivo。</p> </div></div></div>
2021/12/8 14:14作者陳曉莉https://www.ithome.com.tw/news/148248
Twitter買下傳訊新創Quill
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Twitter周二（12/7）宣布，已買下今年2月才正式發表的商用傳訊程式Quill。</p> <p><a href="https://quill.chat/" target="_blank">Quill提供傳訊與協作功能</a>，為Slack的競爭對手，支援macOS、Windows、Linux、Android與iOS等平臺，也有網頁版，正式推出不到1年就受到Twitter的青睞，惟雙方並未公布Quill目前的用戶數量或交易金額。</p> <p><a href="https://twitter.com/nickcald/status/1468221427354517504" target="_blank">Twitter核心技術總經理Nick Caldwell表示</a>，Quill團隊打造了一個更新鮮也更慎重的交流方式，將把該團隊的經驗及創意帶進Twitter，提供用戶一個更有用的表達方式。</p> <p>目前看來Twitter並不打算保留Quill服務，因為<a href="https://quill.chat/updates/2021-12-07-quill-twitter/" target="_blank">Quill已宣布</a>要在今年的12月11日關閉服務，鼓勵用戶在該日期之前匯出訊息的歷史紀錄，因為屆時Quill也會刪除所有的訊息，對於付費用戶則會全數退費。</p> </div></div></div>
2021/12/8 14:20作者陳曉莉https://www.ithome.com.tw/news/148249
手機版Gmail 現在可打1對1視訊及語音電話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> </p> <p><a href="https://workspaceupdates.googleblog.com/2021/12/start-meetings-or-audio-calls-from-one-on-one-google-chat-messages.html" target="_blank">Google本周宣布</a>，現在用戶可利用Android及iOS版Gmail App直接撥打1對1的視訊或VoIP電話。</p> <p><a href="https://www.ithome.com.tw/news/138858" target="_blank">去年10月Google宣布</a>將Google Meet視訊會議、Google Chat文字通訊服務與Chat Rooms團隊協作功能全部整合到Gmail中，Chat Rooms並新增檔案與任務分享功能，使Gmail成為每日工作及通訊的中控臺。<a href="https://www.ithome.com.tw/news/145035" target="_blank">今年6月Gmail已經先整合了Chat文字通訊功能</a>，還將Workspace服務開放給所有Google帳號持有人，包括一般個人用戶。</p> <p>9月Google宣布Gmail和Meet的整合成果，用戶可利用Gmail的Meet來撥打1對1語音通話，無需再開啟Google Meet App。這項服務於本周上線，且增加了1對1視訊功能。按下Gmail App上方的電話及攝影機圖示，即可啟動VoIP及視訊通話。通話時，Gmail會顯示和哪位友人通訊、友人狀態，以及通話時間紀錄等。未接來電也會以紅色圖示標明。</p> <p>新服務將部署到Workspace企業用戶、G Suite Basic和Business用戶，以及任何有Google帳號的個人用戶。預計不久後用戶就能在Gmail進行群組通話及視訊。</p> </div></div></div>
2021/12/8 12:34作者林妍溱https://www.ithome.com.tw/news/148247
Meta發布數分鐘可開發出行動AI應用的PyTorch Live
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta發布了一套稱為PyTorch Live的工具，讓開發者能夠更簡單地在行動裝置上，開發人工智慧應用。<a href="https://github.com/pytorch/live/">PyTorch Live</a>建構在PyTorch Mobile和React Native之上，透過命令列工具就能完成大部分環境配置，供開發主快速建構內含機器學習模型的Android和iOS應用程式，並且可與廣泛的PyTorch社群交流。</p> <p>PyTorch Mobile是一個端到端工作流程，能夠用來訓練和部署iOS與Android行動裝置用模型，不只簡化行動裝置的生產環境研究，也支援透過聯合學習來保護使用者隱私。</p> <p>PyTorch Live是一組用於建置行動人工智慧程式的工具，其包含了PyTorch Live命令列介面，以及能夠以PyTorch Mobile執行裝置上推理的React Native套件，還有一些React Native範例模板，供開發者可以快速部署到行動裝置上。</p> <p>官方強調，只要使用PyTorch Live，開發者可以在數分鐘內，建置出人工智慧應用程式，整體的使用非常簡單，經過命令列工具引導就能快速地設定環境，並且開始機器學習行動裝置專案開發，而且針對現有的應用程式，也能夠簡單地整合裝置上模型，目前裝置上模型可支援圖片分類、問答、手寫數字辨識，或是其他用戶自定義的模型。得力於PyTorch和React Native開源專案，使用PyTorch Live所建立的應用程式，能夠跨平臺運作。</p> <p>PyTorch Live目前仍在Beta版本，僅支援MacOS，但官方提到，很快就會新增Windows和Linux的支援。開發者還會需要安裝Node.js，想要在iOS模擬器或是實際iOS裝置上執行應用程式，開發者也需要安裝Xcode。</p> </div></div></div>
2021/12/8 11:16作者李建興https://www.ithome.com.tw/news/148244
微軟Azure Quantum新增Rigetti量子電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.globenewswire.com/news-release/2021/12/06/2346638/0/en/Microsoft-to-Bring-Rigetti-Superconducting-Quantum-Computers-to-Azure-Quantum.html" target="_blank">微軟與量子運算系統商Rigetti昨（7）日宣布</a>，將把Rigetti的量子電腦引進微軟Azure Quantum雲端服務。</p> <p>完成系統整合後的新服務預計於2022年第1季正式推上線。雙方表示，屆時這項服務將是經由Azure Quantum存取最大的量子電腦。</p> <p>雙方表示Rigetti量子電腦比現有其他已商用化的量子運算技術執行速度更快，擴充性更高，這些特性讓Rigetti能協助解決多種領域運算難題，包括機器學習、藥物發現、乾淨能源、運籌供應鏈最佳化及金融模擬等。</p> <p><a href="https://www.globenewswire.com/news-release/2021/06/29/2255028/0/en/Rigetti-Computing-introduces-world-s-first-scalable-multi-chip-quantum-processor.html" target="_blank">今年6月Rigetti宣布</a>號稱全球第一座多晶片量子系統，具備專屬模組化架構，可克服擴充問題，形成具容錯能力的量子電腦。Rigetti當時表示將在今年底前推出80-qubit的量子電腦，並透過自有雲端服務平臺Quantum Cloud Services開放使用。</p> <p>微軟量子運算部門總經理Krysta Svore指出，Rigetti的可擴充量子電腦技術為Azure雲開發社群開創新契機，雙方將合作量子與傳統運算混合的雲服務，以提供過去無法實現的運算效能。</p> <p>雙方也計畫解決量子產品間的相容性問題。Azure Quantum的開發商將可運用主流的量子軟體框架在Rigetti系統上撰寫程式。本周在Q2B 2021大會上Rigetti將示範利用微軟量子中間展現層（Quantum Intermediate Representation，QIR）技術，在雲端Rigetti量子系統上執行量子化學演算法運算。</p> <p>Rigetti是微軟Azure Quantum最新合作的量子硬體廠商。<a href="https://www.ithome.com.tw/news/142568" target="_blank">今年初微軟服務擴大測試時</a>，宣布合作的業者包括Honeywell及加拿大商1Qbit。</p> <p><a href="https://www.ithome.com.tw/news/148155" target="_blank">Honeywell本月初宣布分拆旗下量子業務</a>，並收購英國軟體業者Cambridge Quantum，成為全球最大獨立量子運算公司。</p> </div></div></div>
2021/12/8 11:35作者林妍溱https://www.ithome.com.tw/news/148245
AWS US-EAST-1區域故障，牽連Disney+、Netflix及Slack等眾多服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS（Amazon Web Services）美東US-EAST-1服務區域在太平洋標準時間（PST）周二（12/7）上午9:37（臺北時間8日凌晨1:37）左右發生故障，牽連了使用該區架構的眾多服務，包括Disney+、Netflix及Slack等，以及Amazon自家的電子商務遞送服務。</p> <p><a href="https://status.aws.amazon.com/?ascsubtag=[]vg[p]22586373[t]w[r]google.com[d]D" target="_blank">根據AWS服務儀表板的說明</a>，此一故障的根本原因是US-EAST-1區域的多個網路設備受損，波及了該區域的EC2、Connect、DynamoDB、Glue、Athena、Timestream、Chime與其它的AWS服務，也影響AWS部份的監控及意外回應工具。</p> <p>AWS一直到下午2:43（臺北時間8日上午6:43）才排除故障，並逐步恢復服務，至臺北時間上午8點半還未完全恢復正常。</p> <p>AWS並未公布有多少客戶受到影響，但根據外電報導，被牽連的名單包括Disney+、Netflix、Slack、Roku、Robinhood、Coinbase等，以及Amazon自家的Ring與電子商務服務。</p> <p><a href="https://www.vice.com/en/article/qjbkbm/aws-outage-throws-amazon-into-chaos" target="_blank">《Motherboard》報導</a>，AWS的故障造成Amazon自家的交付程式Flex及追蹤程式Dolphin亦無法使用，導致數百個Amazon的倉儲無法出貨。</p> </div></div></div>
2021/12/8 11:57作者陳曉莉https://www.ithome.com.tw/news/148246
報導：2022年Microsoft 365月付方案將漲兩成，以迫使客戶綁年約
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2021/12/06/microsoft-will-charge-more-for-office-customers-paying-month-to-month.html" target="_blank">CNBC報導</a>，微軟將在2022年上半推行新的雲端產品訂閱方案，其中月費制價格將調漲20%，以力推企業客戶轉為年約制。</p> <p><a href="https://usc.pax8.com/resource/display/81338" target="_blank">微軟今年10月對雲端解決方案供應商（Cloud Solution Provider, CSP）宣布新商務體驗</a>（New Commerce Experience，NCE），稱其是客戶與微軟交易的新方式，這是依使用者席次（seat-based）計價的採購方案。而對CSP合作夥伴而言，微軟稱這是「多階段的長期投資」，有助於簡化授權複雜性、提供客戶採購彈性及加速業務成長。微軟在2019年對Azure服務推行NCE方案，而在10月將此方案推向Microsoft 365、Dynamic 365及Power Platform的CSP。</p> <p><a href="https://blogs.partner.microsoft.com/mpn/coming-to-the-cloud-solution-provider-program-seat-based-offers-in-new-commerce/" target="_blank">微軟將要求CSP夥伴及企業客戶移轉到新方案</a>。針對CSP，原定今年10月14日正式實施，11月微軟宣布將日期延後到2022年1月，理由是讓CSP業者技術面準備好，像是透過Partner Center及API將現有企業客戶訂閱轉移到NCE。針對現有雲端方案客戶的期限，則由之前的2022年3月10日延到6月30日，微軟說這能讓CSP有更多時間移轉客戶訂閱。不過現有方案將在明年3月10日終止下單。微軟也祭出月費及年費制客戶幾個月的5%折扣促銷方案。</p> <p>CNBC引述一些具名CSP及不具名消息來源報導，微軟並未公告，但是已經通知CSP們，新方案下，月費制服務將調漲20%，除非他們改成年費制。年費版則維持不變。</p> <p>綁年約對微軟好處是有穩定的未來營收可見度，並防止客戶流失。新方案影響較大的是小型企業。年費制的平均月費會比月費制來得便宜，因此一些較有錢的企業會採年費制，但許多小型企業偏好月費制，因為可依使用者人數彈性增減訂閱，尤其是去年以來COVID-19疫情讓許多企業不得不縮編因應一落千丈的業務。</p> <p>報導指出，一家經銷商抱怨微軟並未說明月費制將漲價，而在和企業客戶溝通後，有的客戶相當不滿，讓他們很難做事。</p> <p>更糟的是，CNBC宣稱取得內部文件顯示，新方案下不允許企業用戶縮減訂閱人數席次，亦即合約期間即使企業縮編，或是不再使用Microsoft 365，在剩下的期間都還是需要付費。</p> <p><a href="https://www.ithome.com.tw/news/146291" target="_blank">今年8月微軟才宣布</a>企業版Office 365依方案不同，明年3月1日將漲價8.5%到20%。</p> <p><a href="https://www.reddit.com/r/msp/comments/qhqiaa/feedback_on_the_new_commerce_nce_for_microsoft_365/" target="_blank">近日有人在Reddit上抱怨</a>月費方案漲價、造成會計作業困擾且強迫合作夥伴加入。另外<a href="https://www.change.org/p/microsoft-petition-for-microsoft-to-revoke-the-20-price-increase-on-monthly-microsoft-365-products" target="_blank">有用戶發起聯署</a>，希望要求微軟中止這項政策，上線13小時以來已有1500人聯署。</p> <p>對此微軟對CNBC指出，微軟提供彈性採購選擇滿足客戶不同要求。微軟並拒絕公開對合作夥伴的訂價策略。</p> <p>轉向雲端服務後，微軟營收及股價持續攀高。雲端業務帶動下，微軟上季營收比去年同期成長22%，而今年內微軟股價上漲了46%。</p> </div></div></div>
2021/12/8 10:28作者林妍溱https://www.ithome.com.tw/news/148243
資策會MIC發布年底4大ICT與10大軟體產業新趨勢，除了邁向混合IT架構、大廠自研晶片，更多產業明年將跨足元宇宙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">資策會MIC發布了對ICT與軟體產業的年底趨勢觀察，分別對半導體與資訊、軟體產業提出多項趨勢。MIC指出，在半導體及資訊產業上，受到高效能運算（HPC）驅動，帶來了4大變革；而在軟體產業上，則是以元宇宙為主軸，分享含括多個領域在內的10大趨勢觀察。</p> <h3 dir="ltr"><span style="color:#FF8C00;">半導體與資訊產業4大趨勢分析</span></h3> <p dir="ltr">資策會MIC資深產業分析師兼組長魏傳虔指出，隨著高效能運算發展日益成熟，處理器、伺服器與雲端服務商，紛紛推出更多核心數、更高記憶體頻寬，或是高擴充性的運算服務，驅動了更多元、新型態的應用場景，包括天氣預測、太空研究、能源探勘、生技製藥等應用。在這個發展之下，半導體與資訊產出現了4大值得關注的趨勢。</p> <p dir="ltr">首先，企業IT正在走向高效能、分散、混合式的IT架構。魏傳虔分析，一大原因，是雲端服務業者推出的高運算力處理器更加成熟，包括在雲端伺服器導入AI，使資料中心變得更高效率、高效能與更智慧化；加上微服務、分散式架構成熟，讓企業能導入邊緣運算叢集，實現有別於傳統集中化的運算與儲存服務。</p> <p dir="ltr">另一大原因，則是在疫情之下，企業對於IT的需求，不再如過去般呈現穩定成長的狀態，而是會受到遠距工作或是線上業務驅動，導致突然增長的IT需求。為此，企業可能選擇租用雲端服務、VPN或是頻寬，來維持短期內爆量的需求。換句話說，疫情下突如其來的IT需求，也成為企業採用更多公有雲或SaaS服務，實現混合式、分散IT架構的一大推手。</p> <p dir="ltr">其次，則是科技大廠的產品設計走向自研晶片，也更重視資安防護。觀察到企業對於數據分析的需求與能力提升，雲端供應商者為了切合企業客戶的需求，也開始透過自研晶片，來優化自家雲產品軟硬體的設計，來強化與競品的差異性，同時，透過掌握晶片研發技術，也能更有效管理關鍵零組件交付時間，降低產品研發成本。而資安防護的強化，則是受到美中科技衝突影響，ICT產品切入國際市場時，得更重視資安合規議題。</p> <p dir="ltr">其三，是Covid-19疫情與碳中和目標，驅動巨量資料數據交換的需求提升，前者是導致製造業供應鏈面臨斷鏈問題，讓供應鏈上下游的資訊串連變得更為重要，後者則是要透過取得供應鏈整體的碳排放數據，加以改善來符合國際標準。這些趨勢發展，使得各國逐漸形成訂定資料交換標準的共識，比如醫療領域積極導入FHIR標準，歐盟也提倡開放式數據基礎建設GAIA-X。</p> <p dir="ltr">魏傳虔指出，在這股趨勢之下，「雖然臺灣沒有太多能力來領導資料標準訂定，但是勢必要去關注、參與討論。畢竟臺灣在雲平臺代工、智慧製造領域，都還有發言權。」他認為，臺廠也要及早掌握國際數據交換標準，並加速投入相關基礎建設的布建，來與其接軌。</p> <p dir="ltr">其四，則是臺灣IC的先進製程，帶動了AI、自駕車與邊緣運算等高效能運算的應用發展，且透過先進的封測技術，也能整合感測、分析、通訊、驅動等多重功能，進一步滿足多元應用服務的需求，驅動產業創新。</p> <h3 dir="ltr"><span style="color:#FF8C00;">以元宇宙為核心，分析軟體產業明年10大新趨勢</span></h3> <p dir="ltr">在軟體產業方面，MIC發布了涵蓋多個領域在內的10大趨勢，其中5大趨勢更是與近期火紅的「元宇宙」相關。資策會MIC產業顧問兼主任王義智指出，在科技巨頭力拱之下，元宇宙躍升為軟體產業熱門關鍵字，ICT產業也受其影響，儘管元宇宙不會在短期內成形，但已經預期可以看到許多單點應用，「小宇宙逐漸成形。」</p> <p dir="ltr">因此，MIC預估，明年首要軟體產業趨勢，即是元宇宙的熱度不減，將由科技大廠擔任領頭羊、新創公司踴躍參與，帶動產業更多資金與技術投入，來持續突破技術瓶頸，讓元宇宙生態發展更完善。</p> <p dir="ltr">第二個趨勢，則是疫情之下，工作方式產生許多變化，尤其在元宇宙的浪潮之下，未來不僅是線上結合線下的混合辦公情境，更可能融合XR遠距協作、AR應用，走向虛實混合工作模式，透過更沈浸式的虛擬互動情境，來遠距與他人協作。王義智指出，虛實互動工具與既有工具的整合能力，是虛實辦公市場成長突破的關鍵。</p> <p dir="ltr">第三，同樣在元宇宙的熱潮之下，「娛樂內容先行。」王義智表示，比如臺灣的內容創作、遊戲部分已經蘊含元宇宙的概念，讓玩家得以建立豐富的虛擬內容。MIC認為，要促使元宇宙持續發展，就要建立起用戶生成內容的生態系，比如Nvidia近期揭露的元宇宙內容設計與技術引擎Omniverse，讓開發者能在平臺上開發更多元宇宙應用，這類開發平臺的出現，將吸引更多產業進入生態系，建立自己的虛擬應用情境。</p> <p dir="ltr">第四，則是NFT熱潮（非同質化代幣，Non-Fungible Token），將加速數位市場發展。王義智指出，由於元宇宙具備交互操作性（Interoperability）的特性，數位資產可相互流通，不侷限單一平臺。而以NFT驗證發行的各種商品，就像是虛擬世界發行的資產，甚至可以在市集交易、或用來投資，讓更多開發者、企業、品牌商加入，將帶動更多元數位資產發展，包括藝術品、房地產、會員卡、精品配件等。</p> <p dir="ltr">第五，則是電商的銷售模式將從B2C、B2B2C走向D2C（Direct to Customer），「電商明年的重點是，如何去中間商，也就是消減電商平臺與銷售通路的影響，更直接面對消費者。」王義智表示，品牌商將以官網自有的銷售通路，結合社群媒體，透過D2C模式，蒐集顧客行為與交易數據，來優化自家的產品服務。同時，由於環保意識提升，電商也將朝向永續發展，比如運用環境友善材質生產與包裝商品，並結合科技減少物流碳足跡，消費者對環境永續的訴求，也會促使環保意識融入電商營運的DNA。</p> <p dir="ltr">第六，則是在企業防疫同時，防駭也更加重要，尤其在居家辦公成為常態後，透過遠距辦公維持營運，或運用線上平臺讓服務不中斷，都讓端點防護更加困難，「資安防護很難做到百分之百，你終究會被駭客攻破，因此，如何在服務中斷的情況下快速復原，就是資安韌性的重要性。」王義智指出，企業勢必轉換原有資安策略，強化資安韌性。</p> <p dir="ltr">第七，是為了填補資訊人才缺口，低程式碼工具興起。王義智解釋，低程式碼、無程式碼工具，是用來建立簡單應用程式的工具，讓素人開發者不需擁有IT背景或程式碼開發能力，只要透過視覺化拖曳或表單就能建立應用系統，「某種程度上可以填補資訊人才缺口，讓員工每個人都有機會成為開發者，」藉此來緩解數位轉型浪潮下，中小企業資訊人才稀缺的問題。</p> <p dir="ltr">另一個優勢，則是能加速產業知識落地。王義智說明，由於員工就是最熟悉領域知識的人，這些低程式碼工具，能讓企業員工更容易將領域知識以數位工具落實，加速企業數位轉型的進程，「比起傳統把系統委外給廠商，員工自己開發系統，更貼近數位轉型由下而上推行的概念。」</p> <p dir="ltr">第八，則是臺灣正在透過新創能量，為各行各業的數位轉型賦能。近兩年在疫情之下，臺灣企業開始積極與新創合作，加速投入數位轉型，更掀起一波CSE浪潮（企業參與新創，Corporate Startup Engagement）。累積了許多能量後，臺灣新創今明兩年，也陸續獲得國際大筆募資或IPO出場，帶動臺灣新創生態圈正向循環，這些已經或即將上市的新創，比如91App、Gogoro、Appier、Just Kitchen等。</p> <p dir="ltr">第九，則是隨AI技術發展成熟，除了結構化的數據之外，圖像、語音等非結構化資料也能即時分析與運用，加上各種場域、裝置、行為產生更多資料量，在進一步精煉與分析後，可能帶來更多智慧服務與創新商業模式。「我們相信以數據為中心的商業模式會成為主流。」王義智說。</p> <p dir="ltr">第十，則是數位轉型浪潮，更擴大了企業IT投資。隨著2021年經濟復甦，企業開始大量增加IT投資，不論是軟體、硬體皆有顯著成長，王義智指出，資訊軟體與服務是成長最快的領域之一，主要是企業為因應關鍵任務工作負載，且要避免高昂的內部營運成本，增加了基礎設施即服務的支出。</p> </div></div></div>
2021/12/8 08:18作者翁芊儒https://www.ithome.com.tw/news/148242
Firefox 95加入新的沙盒技術RLBox，可高效隔離惡意程式保護瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Firefox安全性再強化，Firefox 95導入最新的沙盒技術<a href="https://hacks.mozilla.org/2021/12/webassembly-and-back-again-fine-grained-sandboxing-in-firefox-95/">RLBox</a>，透過高效能的隔離技術來隔離子元件，使得即便受隔離的模組存在零日漏洞，也完全不會使Firefox受到威脅。</p> <p>這個稱為RLBox的新型沙盒技術，是Mozilla和加利福尼亞大學聖地牙哥分校合作開發，有別與傳統基於程序的沙盒，RLBox使用WebAssembly來隔離具有潛在臭蟲程式碼，現在Graphite、Hunspell、Ogg、Expat和Woff2總共5個模組，已經使用該隔離技術，並且在桌面和行動Firefox全平臺提供支援。</p> <p>目前所有主要瀏覽器，都是透過沙盒程序來執行網頁內容，這種方法在理論上，可以避免惡意程式碼透過瀏覽器漏洞，來入侵用戶的電腦，在桌面作業系統，Firefox甚至會在自己的程序中，隔離每個網站，以確保網站間的安全。</p> <p>不過惡意攻擊者也不是省油的燈，Mozilla提到，他們通常會透過聯合使用兩個漏洞來攻擊用戶，除了破壞網站的沙盒程序之外，也儘可能逃離沙盒的隔離。因此除了在程序上隔離，沙盒技術的下一階段發展，便是要朝向在功能之間設下隔離邊界前進，像是Firefox在執行解碼任務時，會在一個專用且鎖定的程序中進行，使該程序僅擁有受限的介面。</p> <p>但這個方法存在嚴重的限制，Mozilla提到，除了需要先解耦程式碼，使其成為非同步運作之外，這個工作還很耗時，也可能產生額外的效能成本，另外，每個程序都有固定的記憶體開銷，添加更多的程序，會使得應用程式占用的記憶體增加。</p> <p>現在Mozilla提出另一種更精細的隔離方法RLBox，RLBox並不會將程式碼放到單獨的程序中執行，而是將其編譯成為WebAssembly，並將該WebAssembly編譯成為原生程式碼，因此在Firefox中不會加入任何.wasm檔案，WebAssembly僅為建置過程的中間語言。</p> <p>但這個轉換步驟對於目標程式碼，設置了兩個重要的限制，第一是不能意外跳轉到程式其餘部分，第二則是不能存取指定區域以外的記憶體。這些限制使得可信和不可信程式碼間共用記憶體空間變得更加安全，並且大致上能跟過去一樣，在同一個程序中執行。這個方法還有另一項好處，便是不需要大動作重構程式碼，就能完成實作。</p> <p>官方提到，RLBox保護Firefox免受意外臭蟲，以及供應鏈攻擊，在上游元件揭露漏洞時，開發人員也不需要著急地修補。Mozilla會繼續將RLBox隔離技術擴展使用到更多的元件上，不過像是太過於仰賴與其他程式共享記憶體，或是效能敏感的元件，無法接受任何額外成本的元件，便不適合應用RLBox隔離技術。</p> </div></div></div>
2021/12/8 09:29作者李建興https://www.ithome.com.tw/news/148233
GCP混合雲平臺Anthos加入新多雲API簡化跨雲叢集管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google更新其混合雲管理平臺Anthos，在最新版本中，用戶可以藉由<a href="https://cloud.google.com/blog/products/containers-kubernetes/google-cloud-anthos-multicloud-api-and-gke-on-azure-ga">Multi-Cloud API</a>，讓多雲管理工作更簡單。這個新版本開始全面支援在Azure上執行Anthos叢集，並且增加整合型日誌記錄和監控功能，同時還支援能夠統一存取叢集的Connect Gateway。</p> <p>Anthos能夠統一本地端、邊緣和跨多個公有雲的應用程式與基礎設施管理，使用戶能夠大規模，採用Google雲端控制平面，一致地進行操作。要達到這個目的，過去Anthos要求用戶要在每個雲中安裝管理叢集，但在最新版本中，將可減少安裝管理叢集占用的空間，以及叢集管理技術，讓用戶能夠直接使用單個API，操作AWS和Azure中執行的Anthos叢集，管理其生命周期。</p> <p>Anthos Multi-Cloud API和Google雲端控制平面，現在會完成繁瑣的叢集操作配置工作，這個Anthos版本，Google標準化gcloud CLI在AWS、Azure和GCP中部署集群的操作，用戶在其他雲中創建的叢集，也會顯示在Google雲端控制臺中，進而獲得一個包含叢集遙測，和日誌記錄的集中管理檢視圖。</p> <p>用戶使用一個簡單的gcloud命令，就可以在GCP、AWS和Azure上創建新的Anthos叢集。Multi-Cloud API會藉由服務帳戶或是應用程式註冊資料，在每個雲端進行身份驗證，並允許將叢集部署到現有或是新創建的VPC或Vnet上。</p> <p>Multi-Cloud API支援各個雲端平臺多種機器類型，並且隨著時間將會開放更多類型，官方還提到，Azure、AWS上的Anthos叢集，皆整合每個雲中的原生KMS、儲存設施以及負載平衡，因此使用上更加靈活。</p> <p>此外，用戶在新版本中，還可以使用Connect Gateway來連接AWS和Azure中的Anthos叢集。藉由Connect Gateway，用戶能夠安全地操作Anthos叢集，Google解釋，叢集命令會由GCP服務，透過加密連接路由到用戶的叢集中，因此用戶不需要使用VPN，就能安全地進行操作。</p> <p>Anthos Multi-Cloud API讓用戶在三個主要雲中，操作由Google管理的Kubernetes叢集更加簡單，而且用戶現在也可以使用Anthos配置管理（ACM），無論是在本地端、GCP還是其他公有雲上，對Kubernetes叢集進行大規模自動化政策和安全性管理。</p> </div></div></div>
2021/12/8 09:33作者李建興https://www.ithome.com.tw/news/148240