iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 7篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 12:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google發表創作者EC平臺Qaya
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/area-120/qaya/" target="_blank">Google內部的Area 120育成中心本周發表</a>了一項新產品<a href="https://qaya.area120.google.com/" target="_blank">Qaya</a>，這是替創作者所設計的電子商務平臺，定位為創作者的商業中心，除了用來展示產品或服務之外，還能整合創作者在其它平臺上的檔案或資源，並提供了管理與分析工具。</p> <p>Qaya總經理Nathaniel Naddaff-Hafrey認為，他相信創作者將是下一代的企業家，而他們也需要與其它創業家同樣的商業工具，從今年1月開始測試以來，創作者透過Qaya銷售各種產品與服務，從健身指南、健康訓練影片、照片濾鏡、背景圖案，甚至是ASMR朗讀等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1216-google%20Qaya-600-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Google</span></p> <p>該平臺同時支援付費及免費的產品/服務，也允許使用者透過小費或訂閱來鼓勵創作者，未來亦會推出其它的付費方式。創作者將會擁有獨立的頻道，以展示自己的產品或服務，或是連結創作者在其它社交網站上的自我介紹，亦能使用Qaya內建的支付機制、管理及分析工具。</p> <p>Qaya於本周正式邁入公開測試，但僅於美國市場試行，期望未來可擴充至其它市場。</p> </div></div></div>
2021/12/16 16:47作者陳曉莉https://www.ithome.com.tw/news/148404
【資安日報】2021年12月16日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>引起全球關注的Log4j重大漏洞「Log4Shell」（CVE-2021-44228），自Apache基金會於上週公布修補程式後，已成為攻擊者大肆利用的對象，不只有資安業者看到10組惡意軟體運用於攻擊行動，甚至國家級駭客也加入行列。而之前Minecraft傳出已有遭到攻擊的現象，現在攻擊者針對非官方的伺服器下手。但在此同時，竟傳出漏洞修補不夠完全的情況！Apache基金會發布了Log4j 2.16.0來緩解這種現象。</p> <p>另一個焦點是因間諜程式Pegasus而惡名昭彰的網路攻擊公司NSO Group，這家公司傳出因為外界的壓力，考慮關閉Pegasus的部門，不排除賣掉整家公司，其背後的因素，主要應該與美國日前祭出實體名單的制裁有關。此外，資安研究員也分析近期Pegasus利用的iOS漏洞Forcedentry，並指出這項攻擊手法極為新穎且難以察覺，而且，使用者有可能幾乎看不到有什麼異狀。</p> <p>再者，APT駭客濫用Slack的免費工作空間發動攻擊的現象也值得留意，因為這種常見的雲端服務，流量往往被視為合法，而被攻擊者用來挾帶攻擊流量。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://thehackernews.com/2021/12/second-log4j-vulnerability-cve-2021.html"><span style="color: rgb(0, 0, 0);">疑似修補不完整，Apache再度針對Log4Shell發布修補程式</span></a></strong></h4> <p>Apache上週公布並修補Log4Shell漏洞CVE-2021-44228，傳出修補不完整情況，導致在部分非預設配置的Log4j系統中，攻擊者仍有機會藉由JNDI查詢特徵產生惡意輸入的資料，觸發Log4Shell漏洞，進行阻斷服務（DoS）攻擊。這項漏洞被列為CVE-2021-45046，CVSS風險層級為3.7分。對此，Apache發布2.16.0版Log4j修補。</p> <h4><strong><a href="https://blog.netlab.360.com/ten-families-of-malicious-samples-are-spreading-using-the-log4j2-vulnerability-now/"><span style="color: rgb(0, 0, 0);">至少10個惡意軟體利用Log4Shell散布</span></a></strong></h4> <p>針對攻擊者大肆利用Log4Shell漏洞發動攻擊的現象，資安業者提出警告。360網路安全實驗室於12月13日指出，他們從密罐系統中，已經看到10種惡意程式利用這項漏洞進行散布，包含了殭屍網路Muhstik、Mirai、Elknot，以及Linux惡意軟體SitesLoader等，攻擊來源包含德國、荷蘭、中國等國，攻擊者偏好的目標是Apache Flink和Apache Solr，這些軟體都包含了Log4j。</p> <h4><strong><a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/"><span style="color: rgb(0, 0, 0);">中國、伊朗國家級駭客已開始利用Log4Shell漏洞</span></a></strong></h4> <p>重大Apache Log4j漏洞「Log4Shell」在公布之後，已遭到攻擊者大肆利用，其中國家級駭客也加入了行列。微軟在12月14日指出，他們觀察到中國、伊朗、北韓、土耳其的國家級駭客，已經在使用Log4Shell發動攻擊。其中，該公司點名伊朗、中國駭客組織Phosphorus與Hafnium，前者藉此散布勒索軟體，後者利用此漏洞攻擊虛擬化平臺。</p> <h4><strong><a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/"><span style="color: rgb(0, 0, 0);">非官方Minecraft伺服器的Log4Shell漏洞，被用於發動勒索軟體攻擊</span></a></strong></h4> <p>廣受玩家歡迎的電玩遊戲Mincraft，微軟繼日前證實Java版本受到Log4Shell漏洞影響後，他們於12月15日提出警告，表示勒索軟體Khonsari鎖定非官方架設的Minecraft伺服器下手，發送惡意訊息，來感染玩家的電腦。他們呼籲自行架設Minecraft伺服器的用戶，應儘速更新軟體；玩家也應該只連接到受信任的Minecraft伺服器。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148373"><span style="color: rgb(0, 0, 0);">網路攻擊公司NSO Group有意出售或關閉間諜軟體Pegasus部門</span></a></strong></h4> <p>彭博社、金融時報、華爾街日報相繼引述消息人士的說法指出，最近成為眾矢之的的以色列網路攻擊公司NSO Group，因不堪外界壓力，有意出售整家公司，或關閉Pegasus間諜軟體部門，以從美國的實體名單解脫。金融時報指出，NSO Group在2019年市值約10億美元，被美國列為實體名單後，違約貸款近5億元。NSO Group拒絕回應上述報導。</p> <h4><a href="https://googleprojectzero.blogspot.com/2021/12/a-deep-dive-into-nso-zero-click.html"><span style="color: rgb(0, 0, 0);"><strong>間諜軟體Pegasus只需電話號碼就能入侵iPhone</strong></span></a></h4> <p>蘋果在9月修補名為Forcedentry的零時差漏洞CVE-2021-30860，當時已遭NSO Group用來植入間諜程式Pegasus，這項漏洞存在於iMessage，但為何會如此難以察覺？Google威脅情報小組Project Zero取得間諜程式進行分析後發現，間諜軟體Pegasus只需電話號碼（或Apple ID），就有機會透過IMessage簡訊圖片引誘點選，進而入侵iPhone；再者，Pegasus在攻擊的過程中無需使用者操作，並使用假造的GIF檔案，來觸發iMessage內含的ImageIO程式庫漏洞。 </p> <h4><a href="https://securityintelligence.com/posts/nation-state-threat-group-targets-airline-aclip-backdoor/"><span style="color: rgb(0, 0, 0);"><strong>伊朗APT駭客利用Slack攻擊航空公司<img alt="" src="https://s4.itho.me/sites/default/files/images/Zz1mYmE3MGQ3ODVkNjMxMWVjOWNlY2Y2OTA2ODJjZDI1ZQ%3D%3D.png" style="width: 300px; height: 287px; float: right;" /></strong></span></a></h4> <p>IBM威脅情報團隊在2021年3月，發現針對1家亞洲航空公司的攻擊行動，攻擊者利用Slack的免費工作空間，掩蓋攻擊意圖，這起攻擊行動約從2019年10月開始，攻擊者部署以PowerShell程式碼製成而成的後門程式Aclip，此後門程式濫用Slack的API，來接收或是傳送資料給C2中繼站。根據分析，攻擊者的身分疑似是伊朗駭客組織ITG17（亦稱MuddyWater）。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/anubis-android-malware-returns-to-target-394-financial-apps/"><span style="color: rgb(0, 0, 0);">安卓惡意軟體Anubis鎖定近400家金融機構客戶</span></a></strong></h4> <p>資安業者Lookout指出，他們發現最近一波的金融木馬Anubis攻擊行動，針對394家金融機構的安卓客戶而來，攻擊者宣稱是名為Orange S.A.的應用程式，企圖竊取用戶的登入帳密。為了避免遭到作業系統內建的防護機制攔截，Anubis會顯示假的對話框，以讓系統能正常運作的名義，要求受害者關閉Google Play Protect。研究人員指出，這些遭到鎖定的金融機構，其中包含了美國和法國等地的銀行。</p> <h4><strong><a href="https://www.trendmicro.com/en_us/research/21/l/yanluowang-ransomware-code-signed-terminates-database-processes.html"><span style="color: rgb(0, 0, 0);">勒索軟體閰羅王運用來源不明但有效的軟體簽章，佯裝合法軟體，並疑似透過RDP入侵受害電腦</span></a></strong></h4> <p>自賽門鐵克於8月發現名為「閰羅王（Yanluowang）」的勒索軟體，這個勒索軟體會停用所有虛擬機器，並終止SQL資料庫和Veeam資料備份解決方案，讓受害組織難以復原。最近趨勢科技也透露更多調查結果，他們發現，這個勒索軟體入侵受害電腦的管道，應該是透過遠端桌面連線（RDP）進行，而難以被發現的原因，主要是此勒索軟體使用了有效的軟體簽章，但對於簽章的來源仍然不明朗，研究人員認為，有可能是偷來的，或是偽造的簽章。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/dhs-announces-hack-dhs-bug-bounty-program-for-vetted-researchers/"><span style="color: rgb(0, 0, 0);">美國國土安全部宣布推出Hack DHS漏洞懸賞計畫</span></a></strong></h4> <p>為了找出潛在的漏洞以提升安全，美國國土安全部（DHS）於12月14日，宣布啟動名為Hack DHS的漏洞懸賞計畫，他們邀及網路安全專家參與以找出漏洞，然後進行修補，這項計畫將分3個階段執行，其目標是開發一種可供其他聯邦機構運用的模型，用來提升機構的網路安全。在Hack DHS計畫中，研究人員因找到的漏洞最多可獲得5千美元獎金。</p> <h4><strong><a href="https://brave.com/privacy-updates/13-pool-party-side-channels/"><span style="color: rgb(0, 0, 0);">隱私瀏覽器Brave著手因應跨站洩露攻擊</span></a></strong></h4> <p>瀏覽器業者Brave於12月15日指出，新興跨來源攻擊手法「Pool-Party」日益嚴重，這種手法是攻擊者利用網站來操縱瀏覽器，從瀏覽器未分區的資源池來建立隱密的通道。對此，該業者預計在接下來的幾個星期內，提供相關的防護措施，並部署到用戶的瀏覽器上，同時，他們也與其他瀏覽器業者共同合作來解決這個問題。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148368">2021年12月15日</a></p> <p><a href="https://www.ithome.com.tw/news/148354">2021年12月14日</a></p> <p><a href="https://www.ithome.com.tw/news/148334">2021年12月13日</a></p> </div></div></div>
2021/12/16 14:18作者周峻佑https://www.ithome.com.tw/news/148402
疫情不可控，蘋果關閉3門市，延後員工回辦公室上班的時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於全球COVID-19的病例持續增加，再加上新病毒株的現身，蘋果本周採取了多項措施，包括暫時關閉位於邁阿密、馬里蘭與安大略州的3家門市，以及重新要求進入美國蘋果門市的所有客戶都必須配戴口罩，同時發布了內部備忘錄，把原本預計於明年2月返回辦公室上班的策略，改為無限期延後。</p> <p>蘋果才在11月對內公告，希望員工可以自明年2月開始返回辦公室上班，但本周三（12/15）蘋果再度改口，將把進辦公室上班的要求無限期延後，而且還會提供每名員工1,000美元的費用，以讓他們添購在家工作所需的設備。</p> <p>其實蘋果的辦公室一直是開放的，讓有需要的員工能夠進辦公室工作，且就算要求員工進辦公室上班，也是一周進辦公室3天，只不過若未訂出規則，有可能就有員工永遠不進辦公室。</p> <p>然而，由於疫情的狀況難測，蘋果要求員工進辦公室的時間一改再改，從今年6月、<a href="https://www.ithome.com.tw/news/144802" target="_blank">9月</a>、10月到明年1月、2月，直至現在已無法再訂出日期。不僅是蘋果，<a href="https://www.ithome.com.tw/news/146638" target="_blank">微軟也已經放棄訂定員工回辦公室上班的時程了</a>。</p> <p>此外，蘋果執行長Tim Cook也在本周鼓勵員工施打疫苗與加強針，以保障自身及周遭親友的安全。</p> </div></div></div>
2021/12/16 14:40作者陳曉莉https://www.ithome.com.tw/news/148403
Google公布NSO Group用來駭進蘋果iMessage的Forcedentry攻擊程式細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/146698" target="_blank">公民實驗室（Citizen Lab）日前揭露</a>以色列資安業者NSO Group以Forcedentry攻擊程式駭進iPhone，再於受害者手機上植入Pegasus間諜程式，Google Project Zero團隊向公民實驗室取得了Forcedentry樣本，<a href="https://googleprojectzero.blogspot.com/2021/12/a-deep-dive-into-nso-zero-click.html" target="_blank">於本周公布該攻擊程式的細節</a>，並說這是該團隊所見過的最精細的攻擊程式之一，證明了過去原本以為只有少數國家所具備的能力，其實也能由NSO Group提供給其它的國家。</p> <p>Forcedentry所開採的是位於蘋果作業系統圖像渲染函式庫CoreGraphics的CVE-2021-30860漏洞，它是一個整數溢位漏洞，在處理惡意的PDF檔案時，將允許駭客執行任意程式。蘋果已於今年9月13日修補該漏洞。</p> <p>根據Google Project Zero團隊的分析，Forcedentry是個零點擊攻擊程式，在駭客透過iMessage傳送假GIF檔案時，iMessage在手機顯示這些圖像時就已先行進行解析，而成為駭客的切入點，代表駭客只要知道目標對象的電話號碼或是Apple ID的使用者名稱就能展開攻擊，完全不需要使用者的任何互動。</p> <p>至於CVE-2021-30860漏洞具體的位置則在於CoreGraphics的PDF解析器，駭客利用PDF內建之影像壓縮標準JBIG2的漏洞展開攻擊，儘管JBIG2本身並未具備編寫腳本的能力，但結合漏洞之後卻能在任何記憶體上模擬任何邏輯閘電路，等於可建置自己的電腦架構及腳本程式，而這就是Forcedentry的功能，它的速度並不如Javascript，但在運算能力上卻是相當的。</p> <p>Google Project Zero團隊指出，Forcedentry便運作在這個邏輯電路上，而整個攻擊環境則是由JBIG2串流的單一解壓縮所造就的，這非常的不可思議，也極為可怕。</p> <p>NSO Group不僅能駭入蘋果裝置，也能駭入Android裝置，Google則說，他們知道NSO Group也銷售鎖定Android的零點擊攻擊程式，歡迎握有樣本的組織或個人與其接洽。</p> </div></div></div>
2021/12/16 14:14作者陳曉莉https://www.ithome.com.tw/news/148401
不打COVID-19疫苗的Google員工傳面臨解僱後果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>變種Omicron推升COVID-19疫情近日在歐美再度升溫，<a href="https://www.cnbc.com/2021/12/14/google-employees-to-lose-pay-if-dont-comply-with-vaccination-policy.html" target="_blank">CNBC報導</a>Google已要求員工施打疫苗，否則可能飯碗不保。</p> <p>根據CNBC取得上個月起Google對內發送的文件，Google要求員工必須在12月3日前申報疫苗接種狀態並上傳文件證明，否則就需申請基於醫療或宗教理由不施打的豁免。之後未上傳文件或豁免被獲得批准的員工會接到公司的詢問。</p> <p>文件顯示，2022年1月18日之前未能完成接種或被批准不施打疫苗的員工，將會要求放30天「支薪行政假」，之後則會被要求放「6個月無薪個人假」，最後結果就是解聘。</p> <p>Google公司發出聲明表示，公司的接種要求是確保員工安全及服務持續的最重要方式之一，且Google表示會堅持接種政策。</p> <p>由於疫情升溫，Google多次延後員工回公司作業的時程。<a href="https://www.cnbc.com/2021/12/02/google-workers-in-us-wont-return-to-office-as-expected-on-jan-10.html" target="_blank">12月初Google最新公布的時程是2022年1月10日</a>。</p> <p>許多企業以保護員工健康為由，延後他們回公司上班的日期，但是<a href="https://www.nbcbayarea.com/news/tech/silicon-valley-tech-companies-tighten-their-rules-on-covid-19-vaccinations/2610842/" target="_blank">CNBC報導</a>矽谷的大小公司漸漸失去耐心，態度趨於嚴格。<a href="https://www.washingtonpost.com/technology/2021/07/28/google-office-vaccinate/" target="_blank">Google在7月首先要求</a>員工打疫苗才能進公司，但<a href="https://www.bizjournals.com/sanjose/news/2021/11/24/googlers-sign-manifesto-opposing-vaccine-mandate.html" target="_blank">遭到Google員工抗議</a>，要求撤回成命。但Google目前的堅持接種政策顯然已不再有妥協的餘地。</p> </div></div></div>
2021/12/16 13:08作者林妍溱https://www.ithome.com.tw/news/148399
【大話資安直播預告】後量子密碼標準箭在弦上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國家標準技術研究院（NIST）在去年十月，公布第三輪後量子密碼（PQC）候選演算法名單，預計最晚在2024年，美國NIST將會公布後量子密碼標準作為全世界參考。</p> <p>大家知道，量子電腦具有強大的運算能力，可以破解現行採用非對稱加密演算法，例如RSA或ECC（橢圓曲線）的各種加密技術和設備，當所有的網路通訊和身分認證都必須仰賴加密演算法作為基礎時，不管是國家安全或者是與民眾生活息息相關的網路和金融相關服務，都已經到了必須面對後量子密碼動向的時刻。</p> <p>在這一波後量子密碼標準的候選名單中，臺灣有三位傑出學者，分別在不同的候選演算法中有傑出貢獻。其中，大話資安很榮幸邀請在「Rainbow」以及「NTRU Prime」有貢獻的中研院資訊科學所楊柏因研究員，以及臺大數學系兼任教授暨匯智安全科技陳君明董事長於2021年12月23日（四）中午12點半，以「後量子密碼標準箭在弦上」為題，與觀眾分享後量子密碼的現況以及標準的進度？為什麼必須採用後量子密碼？而這個後量子密碼標準對於產業界帶來的影響為何？都有專家深入淺出分享解說。</p> <p>＠題目：後量子密碼標準箭在弦上</p> <p>＠時間：2021/12/23（四）中午12點30分</p> <p>＠來賓：</p> <p>＠楊柏因 - 中央研究院資訊科學所研究員 / 臺大電機系兼任教授</p> <p>臺灣最聰明的金頭腦之一，18歲臺大物理系畢業，22歲取得美國MIT博士，回臺後，曾在淡江大學數學系任教職，2011年於中研院資訊所擔任研究員迄今，主要研究專注在應用密碼學組合和演算法分析</p> <p>＠陳君明 - 匯智安全科技董事長 / 臺大數學系兼任助理教授</p> <p>臺大「教學傑出獎」得主，教授課程包括密碼學、破密學、後量子密碼學、金融科技理論與實務。</p> <p>＠臉書直播網址：<a href="https://business.facebook.com/events/313504720647668/">https://business.facebook.com/events/313504720647668/</a></p> <p> </p> </div></div></div>
2021/12/16 10:50作者黃彥棻https://www.ithome.com.tw/news/148383
【Log4Shell漏洞資訊更新】Log4j 2.15.0修補不全、Apache再釋2.16.0新版，國家駭客已開始行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache Log4j日誌軟體漏洞Log4Shell引發全球企業及政府趕忙修補，不過資安專家呼籲IT部門應確認安裝的是最新版修補程式，因為上周五釋出的版本未能修補完全，而衍生新漏洞。而另一方面，攻擊方則愈來愈兇猛，現在國家駭客也加入戰局。</p> <p>編號CVE-2021-44228的Log4j漏洞讓遠端攻擊者發送惡意log訊息、即可開採以執行任意程式碼，影響知名網站如蘋果iCloud、微軟Azure、Amazon、Google等，以及Oracle、IBM、Red Hat、VMware、Cisco、Splunk產品，被視為近10年最嚴重的漏洞。</p> <p><a href="https://www.ithome.com.tw/news/148332" target="_blank">上周五Apache基金會釋出Log4j 2.15.0</a>，不過Apache基金會周一又再釋出2.16.0版。原來是因為之前版本並未能完全解決漏洞。</p> <p><a href="https://www.praetorian.com/blog/log4j-2-15-0-stills-allows-for-exfiltration-of-sensitive-data/" target="_blank">周二安全廠商Praetorian解釋</a>，他們發現2.15.0版仍然允許攻擊者在某些情況下外洩敏感資訊，因而通報並促使Apache基金會再釋出新版軟體。前一版更新未能修補Log4Shell之處，<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-45046" target="_blank">被列為新漏洞CVE-2021-45046</a>。Praetorian<a href="https://logging.apache.org/log4j/2.x/download.html" target="_blank">呼籲用戶應儘速升級到2.16.0版</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1206-hacker-log4j-600.jpg" style="width: 600px;" /></p> <p><a href="https://nvd.nist.gov/vuln/detail/CVE-2021-45046" target="_blank">CVE-2021-45046</a>讓攻擊者在輸入Log4j2 ThreadContext（MDC）資料時使用非預設的Patten Layout改造成惡意查詢輸入，可引發阻斷服務（DoS）攻擊。2.16.0版可解決這個問題。</p> <p>企業及政府機構動作必須要快，因為安全廠商警告，掃瞄系統漏洞的活動數量和類型快速增加。微軟上周已偵測網路有在受害系統安裝採礦軟體、木馬程式及Cobalt Strike意圖的活動。此外還有殭屍網路病毒Mirai、Tsunami/Muhstik和Kinsing。<a href="https://www.ithome.com.tw/news/148362" target="_blank">本周駭客企圖開採漏洞散布第一隻勒索軟體Khonsari</a>。</p> <p>周二在最新分析下，微軟威脅情報小組表示，已觀測來自中國、伊朗、北韓及土耳其等多個國家支持的駭客組織，開始利用Log4Shell/CVE-2021-44228進行的活動涵括開發中的測試、將漏洞整合到惡意程式部署，以及實際攻擊目標系統等。</p> <p>伊朗駭客Phophorus已在部署勒索軟體並取得Log4j的開採程式來修改，但微軟判斷已經開始運作。另一組國家駭客是<a href="https://www.ithome.com.tw/news/143001" target="_blank">今年攻擊Exchange Server ProxyLogon漏洞的Hafnium</a>。微軟發現該中國駭客組織利用DNS服務來辨識並擴大目標範疇。</p> <p>此外，微軟Microsoft 365 Defender部門也發現多個銷售攻擊服務的組織利用Log4Shell漏洞。他們提供存取管道給勒索軟體即服務（ransomware-as-a-service）同夥，讓最終端「客戶」得以在受害者網路上植入勒索軟體。Linux和Windows都是這幫歹徒的目標，微軟預期不久後，人為操作的勒索軟體攻擊會更頻繁。</p> <p>CISA已經將Log4Shell漏洞加入到「已知被開採漏洞」清單，要求美國聯邦政府機關緊急修補或緩解該漏洞。美國國土安全部的安全命令要求聯邦政府，必須在12月24日前完成修補。</p> </div></div></div>
2021/12/16 11:59作者林妍溱https://www.ithome.com.tw/news/148391
微軟修補67項漏洞，包括1個被開採的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周稍早釋出12月Patch Tuesday的安全更新，共修補67項漏洞，其中包含一項已被開採的零時差漏洞。</p> <p>本月修補的漏洞影響產品涵括Windows、Windows元件、Office、Office元件、Edge、SharePoint Server、Windows Mobile Device Management、Hyper-V、ASP.NET Core、Visual Studio、Windows Remote Desktop Client、iSNS Server等。67項漏洞中有7項屬重大漏洞，60項為重要漏洞。6項漏洞已被公開，其中1項則遭到公開開採。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43890" target="_blank">遭到公開開採的漏洞編號 CVE-2021-43890</a>，影響Windows AppX Installer，這是用於在Windows 10電腦上安裝AppX app的工具。<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43890" target="_blank">微軟接獲通報</a>，本漏洞被用來散佈Emotet、Trickbot及Bazaloader等惡意程式。攻擊者可利用釣魚信件散布惡意附件誘使用戶開啟文件以植入惡意程式。本漏洞需要用戶權限來執行程式，若用戶帳號具備管理員權限，影響更為嚴重。安全廠商ZDI指出，這項漏洞屬於中度風險，但若結合權限擴張漏洞，則可能導致系統被接管。</p> <p>其他5項遭公開的漏洞皆屬「重要」風險的權限擴張漏洞，影響產品包括NTFS Set Short Name<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43240" target="_blank">（CVE-2021-43240）</a>、Windows Encrypting File System S<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43893" target="_blank">（CVE-2021-43893）</a>、Windows Installer、Windows Mobile Device Management<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43880" target="_blank">（CVE-2021-43880）</a>及Windows Print Spooler<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-41333" target="_blank">（CVE-2021-41333）</a>。</p> <p>所幸7項重大（critical）風險漏洞皆未被公開。其中較重要的包括3項風險值9.8的程式碼執行（RCE）漏洞，分別涉及iSNS（Internet Storage Name Service）伺服器<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43215" target="_blank">（CVE-2021-43215）</a>、4K Wireless Display Adapter<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43899" target="_blank">（CVE-2021-43899）</a>以及Visual Studio WSL外掛<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43907" target="_blank">（CVE-2021-43907）</a>。影響建置儲域網路（SAN）的客戶、連接4K無線顯示器的電腦、以及以WSL（Windows Subsystem for Linux）開發及執行Linux 環境的開發人員。</p> <p>此外，微軟也修補了Microsoft Office App存在的一個9.6風險值的RCE漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43905" target="_blank">（CVE-2021-43905）</a>，攻擊者透過社交工程傳送惡意Office文件，用戶開啟文件即可被執行程式碼。</p> </div></div></div>
2021/12/16 12:17作者林妍溱https://www.ithome.com.tw/news/148394
密碼管理服務LastPass成為獨立公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.logmein.com/zh/newsroom/press-release/2021/logmein-set-to-establish-lastpass-as-an-independent-cloud-security-company-amid-strong-market-demand#" target="_blank">LogMeIn於14日宣布</a>，有鑑於全球市場愈來愈重視密碼的安全性，準備讓旗下的密碼管理服務LastPass成為一家獨立公司，以迎接未來的商機。</p> <p>LogMeIn為一軟體即服務（SaaS）供應商，它在2015年以1.1億美元買下了LastPass，除了LastPass之外，LogMeIn的麾下還有專門提供線上會議與桌面分享的GoToMeeting服務，雲端電話系統與虛擬會議平臺GoToConnect，以及遠端支援服務Rescue。</p> <p>至於2008年就創立的LastPass則號稱是全球最受歡迎的密碼管理服務，全球用戶數超過3,000萬名，以及8.5萬家企業客戶。LogMeIn表示，在成為一家獨立的公司之後，LastPass將會增加對客戶經驗、市場功能與工程的投資，以加速其密碼管理、單一簽入與多功能認證的進步。</p> <p><a href="https://www.logmein.com/zh/newsroom/press-release/2021/lastpass-psychology-of-passwords-report-finds-people-are-still-practicing-poor-password-hygiene-while-increasing-their-online-presence" target="_blank">根據LastPass今年9月發表的密碼調查報告</a>，全球約有50%的使用者所持有的帳號數量是疫情前的兩倍，意味著疫情所帶動的遠端工作風潮，讓使用者採用了更多的新應用與帳號。</p> <p>負責資安產品的IDC專案總監 Jay Bretzmann指出，全球各種規模的組織，都擁有缺乏SAML或OpenID等單一簽入介面的應用，它們的管理階層也已經意識到不斷重設憑證所帶來的財務成本與對生產力所造成的負擔，LastPass看到了這樣的機會，也計畫替客戶提供更高的策略價值。</p> <p><a href="https://blog.lastpass.com/2021/12/lastpass-investing-even-more-in-your-password-security-in-2022/" target="_blank">LastPass表示</a>，就算轉為獨立公司，客戶的帳號或服務不會有所變更，但將看見加速釋出的新功能。</p> </div></div></div>
2021/12/16 09:32作者陳曉莉https://www.ithome.com.tw/news/148380
英國暗示將對Google與蘋果展開反壟斷行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國競爭與市場管理局（Competition and Markets Authority，CMA）在今年6月宣布，將調查蘋果與Google的行動生態體系是否危及市場競爭及消費者權益，<a href="https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/1040662/Mobile_ecosystems_interim_report_-_FINAL__-_.pdf" target="_blank">並於本周公布了期中報告</a>，指出這兩大業者控制了行動裝置，並暗示可能會對此採取行動，而正式的報告預計要到明年6月才會出爐。</p> <p>CMA之所以會對蘋果及Google展開調查，是因為這兩家業者掌控了行動作業系統（iOS與Android），也控制了行動程式市集（App Store及Google Play），以及行動裝置所使用的瀏覽器（Safari與Chrome），而它們皆是行動生態體系的關鍵元素，事實上，現代人所購買的行動裝置，若不是採用iOS作業系統，就是使用Android。</p> <p>在英國市場上，2020年有超過一半的手機用戶使用iPhone，其它的則是使用Android手機；而英國人所下載的行動程式中，有95%來自App Store或Google Play；在行動裝置上所使用的瀏覽器，有接近50%為Safari，Chrome則占了40%。</p> <p><a href="https://www.gov.uk/government/news/apple-and-google-duopoly-limits-competition-and-choice" target="_blank">CMA行政首長Andrea Coscelli指出</a>，蘋果與Google已經控制了人們使用手機的方式，而這可能會讓英國民眾成為輸家。大多數的人知道蘋果與Google是手機市場的主要玩家，卻很容易忘記所有的規則都是由這兩家業者訂定的，包括要讓哪些程式上架，或者是讓人們不容易更換其它的瀏覽器。</p> <p>他說，任何的干預都必須能夠解決這兩家業者在作業系統、行動市集與瀏覽器市場上的龐大影響力，<a href="https://www.ithome.com.tw/news/141347" target="_blank">而最佳的管道就是由政府賦予權力的數位市場部門（Digital Markets Unit）</a>。</p> <p>依照CMA的看法，在蘋果及Google以雙占（Duopoly，只有兩個競爭者）方式控制了行動生態體系之後，人們將會失去來自新產品或服務的創新，例如網頁應用程式，或是在手機上透過雲端執行遊戲，而缺乏競爭也可能會讓業者提高產品及服務的售價。</p> <p>雖然這只是期中報告，但CMA已經列出了可能採取的行動，包括讓使用者更容易在iPhone及Android手機之間切換，讓使用者更容易自App Store或Google Play之外安裝程式，所有的行動程式皆能提供更多元的付費模式及管道，以及讓使用者決定所要使用的瀏覽器或將其它瀏覽器列為預設。</p> <p>外界可於明年2月7日以前針對此一期中報告提出意見或看法，正式報告則將在明年6月出爐。</p> </div></div></div>
2021/12/16 09:40作者陳曉莉https://www.ithome.com.tw/news/148381
Nike收購NFT工作室RTFKT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.nike.com/news/nike-acquires-rtfkt" target="_blank">知名運動鞋/服飾品牌Nike周一（12/13）宣布</a>，已買下了近來熱度很高的NFT工作室RTFKT，以延伸Nike於數位領域的能力與足跡，儘管外界非常好奇RTFKT的身價，但雙方並未公布交易金額。</p> <p>RTFKT為2020年1月由3名創作者成立的新公司，結合了遊戲引擎、不可替代代幣（Non-Fungible Token，NFT）、區塊鏈驗證及擴增實境等應用，創作了各種虛擬運動鞋與數位產品<a href="https://cryptopunk.rtfkt.com/" target="_blank">。RTFKT不僅在今年5月與創造加密龐克（CryptoPunks）的Larva Labs合作</a>，替1萬個加密龐克角色打造專屬的虛擬運動鞋，<a href="https://clonex.rtfkt.com/" target="_blank">也在今年12月與日本藝術家村上龍合作推出CloneX專案</a>，發行2萬個3D的虛擬化身，由村上龍設計它們的眼睛、嘴巴或衣著，而每個虛擬化身都是源自這些特色的隨機組合，且<a href="https://opensea.io/collection/clonex" target="_blank">CloneX專案的銷售活動正如火如荼地進行中</a>。</p> <p>儘管雙方未揭露交易價格，但RTFKT今年5月募集800萬美元的資金時，身價約為3,330萬美元。</p> <p>Nike執行長John Donahoe表示，該公司所併購的是一個非常有才華的團隊，Nike打算繼續投資RTFKT這個品牌，推動該品牌的創意與社群，同時延伸Nike的數位足跡與能力。</p> </div></div></div>
2021/12/16 09:48作者陳曉莉https://www.ithome.com.tw/news/148382
東台精機靠IT加速傳產轉型，還要整合數據分析優化營運
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球爆發COVID-19疫情後，口罩成為各國防疫的重要物資，但當時口罩供應不足，加上引發的搶購浪潮，導致不少民眾買不到口罩，政府去年1月31日找來口罩製造商、工具機業者、法人組織、經濟部、國軍共同組成口罩國家隊，來緊急生產口罩。</p> <p>然而，要在短時間內快速增加口罩生產線並不容易，臺灣工具機暨零組件工業同業公會主動與政府聯絡，成立超過半世紀的老牌工具機業者東台精機也加入這支工具機國家隊，一起支援口罩產線建置。</p> <p>去年2月6日實地勘察口罩製造商產線，他們隨即在2月10日進駐，各家工具機業者自備工具箱、壓縮機等器具，動員主管及工程師支援，終於在40多天內完成92條口罩機生產線，不只大幅提高了臺灣的口罩產能，甚至能在國外疫情吃緊下，提供口罩給有需要的國家。</p> <p>能在這麼短的時間內，建置多個口罩機生產線，背後少不了IT的協助。東台精機資訊中心經理林義傑回憶，去年農曆年休假過後，東台精機也派出IT主管級人員跟著產線團隊北上支援，林義傑則和整個資訊部門在高雄廠內待命，扮演後勤支援的角色，協助如VPN建置、帳號建立，程式開發等，協助統整需要的資料，協助北上團隊查找料件狀況，建立檔案資料共享機制等，「IT必需很快完成遠端支援環境，後續研發、採購、生產管理單位才能加入」，IT成了東台精機參與國家隊快速建置口罩機產線的隱形助力。</p> <p><span style="font-size:28px;"><strong>2008年展開數位化作業</strong></span></p> <p>東台精機之所以能以IT支援口罩國家隊，源於他們從2008年開始打下的數位化基礎。如同其他傳統產業一樣，早期東台精機也相當仰賴紙本作業方式，以工具機業相當重要的售後服務來說，當售服人員接到客戶的訊息，可能直接手寫在紙張、便利貼，或是輸入Excel，但是在資料處理的過程中可能因為紙張遺失，導致資訊傳遞中斷，訊息沒有傳遞給相關單位，使得客戶的體驗不好。</p> <p>其次是，這些紙本資料歸檔之後，不容易查找資料，甚至最後可能發現關鍵資料有缺漏的情形。另一個問題是，當接到客戶的案子後，單位主管無法掌握維修人員出勤動態，僅能從事後的售後服務表去了解。</p> <p>為了改善這些問題，東台精機從2008年開始將紙本作業數位化，將櫃子裡的紙本文件、資料夾，靠人工登打來建立檔案，儲存到資料庫中，後來更進一步以表單的資料欄位，建立一套售服客訴系統，更以此建立一個完整的售服流程，將原來紙本作業登錄方式，改為線上系統資料登錄。現在，維修人員出勤回到公司，必須清楚填寫資料，由專人進行後續系統作業、歸檔。</p> <p>林義傑坦言，對一家超過50年的工具機業者而言，因為新的作業方式對公司文化帶來一大挑戰。一方面當時的主管大多較資深，缺乏系統化管理思維，系統剛上線時，老師傅也對要填寫不少資料，感到相當麻煩。資訊團隊花了許多心力與時間教育使用者，逐漸將過去的紙本作業資料輸入系統後，主管們開始感受到查找資料更方便的好處，甚至主動要求回溯更多的舊資料。</p> <p>現在所有資料都有歸檔，並提供超連結路徑，讓資料查找變得比較方便，主管也能知道客訴點被停留多久沒有被完成，從明細資料也能查詢人員出勤維修次數，每個售服報告表留下客戶簽名，避免後續紛爭。</p> <p>這套新的售服作業模式，加速了東台精機內部的數位化發展，系統上線初期登錄資料維度並不多，但在系統化管理資訊後，管理階層對資料的分析維度不斷增加，直到2014年仍不斷擴充資料欄位，明年規畫將內部管理系統行動化。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/450-%E6%96%87%E5%BD%AC-%E6%9D%B1%E5%8F%B0-%E5%9C%962.jpg" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">攝影_洪政偉</span><br /><strong>東台精機資訊中心經理林義傑表示，資訊部門不只是開發、維運系統的單位，更重要的是扮演管理階層和基層員工之間，承上啟下的橋樑角色。</strong></span></p> <p><span style="font-size:28px;"><strong>導入國外ERP系統</strong></span></p> <p>在售服客訴系統上線後，資訊團隊後續又開發生產管理系統，2017年開始導入國外廠商的ERP系統，以取代原本在AS400大型主機上執行的舊ERP系統，這是東台精機朝向數位化、現代化的重要一步。</p> <p>原本在AS400的舊ERP系統，整合母公司與子公司的ERP，隨著使用時間一久，漸漸無法跟上現在的業務需求。</p> <p>由於舊ERP系統使用介面比較傳統，林義傑指出，舊系統如同房子的主結構，IT在內部建築房間，往往疊床架屋，更讓人詬病的是資料庫，從源頭設計出圖，後續採購、組裝，到後面的總帳成本，各個流程的資料是斷裂的，雖然資料會拋轉，但前端與後端資料並沒有連動，看似整個作業流程是通暢的，但基於作業的方便，人員往往會直接改後端總帳資料，最後發現總帳和源頭的資料不一致。</p> <p>這樣的問題對資深維護人員可能影響不大，因為資深人員清楚前後連動關係，同時調整前後端資料，但後續新的人員接手，不清楚連動關係，會發生前後資料不一致的情形。</p> <p>另外，AS400上的舊ERP系統資料欄位不足，早期的客戶資料只有代號、名稱，所在國家或地區，由於沒有行業別，因而無法以行業別分析客戶相關的資料，雖可透過增加新欄位因應，卻使得資料欄位愈來愈複雜化。</p> <p>因此，東台精機趁著導入新ERP系統的機會，希望解決舊ERP系統前後資料不連動的問題，同時也藉由新的ERP系統導入邏輯性，更細緻化的資料維度，因新舊ERP系統資料欄位不同，他們先和使用單位、顧問討論，找出新舊系統的差異處，對不足處補強資料欄位、增加作業行為或勾稽的動作。為了整合資料，他們以外掛的整合性資料庫介接新ERP系統的資料，將資料庫結構定義非常清楚。</p> <p>然而，新的ERP系統在2017年3月上線，「系統上線才是問題的開始」，林義傑說。</p> <p>林義傑表示，導入新系統遭遇的問題是，因舊系統資料和現場實務資料不一致，雖然盤點資料，但並沒有落實執行，將舊系統錯誤資料置於新系統，使得前後資料不一致，帳、料資料不符。</p> <p>新舊系統在作業模式也有差異之處，舊系統作業模式可植入現場，一個工單可以綁另一個工單，工單直接進入產線，但新的ERP系統必需清楚區分入庫、出庫。有時候最後結帳出現問題，才發現是前面的資料出錯，需要整個重做。光是兩者在作業模式上的差異，資訊團隊就花了兩年時間，教育使用單位如何使用新系統。</p> <p>歷經三年的磨合期，新系統運作才趨於穩定。林義傑有感而發的表示，透過導入新ERP系統，讓東台精機了解自己的不足之處，痛點在哪？哪些資料紊亂？再從流程面、資料面、作業面進行補強。</p> <p>新的ERP系統上線初期，東台精機也花費較多的IT人力維運這套新系統，考量到人力有限，林義傑要求清楚撰寫維護文件，以便將來如果人員離開，後續的新手可以參考維護文件儘早接手。</p> <p>這些年協助東台精機推動數位化轉型，讓林義傑深刻體認到，「數位轉型的背後是大數據的概念，資料必需很嚴謹的串接」。</p> <p><span style="font-size:28px;"><strong>整合各系統資料推動BI分析應用</strong></span></p> <p>東台精機從2008年開始數位化作業，到2012年開發售服系統，後續再推出生產管理系統、汰換ERP系統，並在去年開發品質系統，各項資訊系統翻新，蒐集更多資料之後，東台精機運用林義傑稱為Data Center的數據整合中心，整合各個系統的資料，作為推動數據分析應用的基礎。</p> <p>東台精機如何讓資料串接整合？林義傑表示，先從主管每天看的報表開始，研究其中需要哪些資料，這些資料可能在哪些系統，再利用API從相關的系統取得資料，透過排程將資料集中到數據整合中心，再以此為基礎推展BI分析應用。</p> <p>儘管目前東台精機並沒有使用雲端服務，但林義傑考慮到數據整合並不影響底層資料，未來將數據整合中心放在雲端，能夠降低管理伺服器所需要的人力。</p> <p>原本東台精機的資訊部門包含林義傑在內共有15人，但先前人員遭到挖角後，現在團隊降至10人，需要更有效率的善用人力。</p> <p>接下來，以數據整合中心為基礎，今年資訊團隊委託外部的顧問，正在規畫開發數位戰情室，準備在明年初完成。</p> <p>林義傑坦言，過去資料沒有整合之前，資訊部門一直無法推動數位戰情室，但現在資料蒐集較完整之後，才能往下一步前進，發展相關的大數據分析應用。</p> <p><span style="font-size:28px;"><strong>數位轉型應讓使用者了解價值</strong></span></p> <p>由於數位轉型往往需扭轉公司文化，林義傑認為，企業推動數位轉型，不能只由IT主導推動，而是應該和使用單位充分溝通、討論需求，啟發他們如何去思考需求，讓使用單位了解將數據放到資料庫，從資料庫產生資訊，當使用單位開始有了數位的概念，推動轉型才能夠成功。</p> <p>由於資訊單位經常扮演承上啟下角色，一方面接受管理階層的指令，另方面需和基層部門溝通，推動新系統、新的作業模式。林義傑坦言，IT扮演管理層與基層間的平衡角色確實不容易，以資料為例，管理層因為內部營運決策的需要，要求可分析的資料愈多愈好，但基層往往認為這些是額外的工作，輸入的資料愈少愈好，考驗資訊部門溝通協調能力。</p> <p>林義傑認為，數位轉型可以從兩個方向來看，一個是由上而下，指的是管理階層由上而下所下達的命令，另一個由下而上，底層系統的推動，必須由下而上，蒐集一筆筆的資料。資訊部門從管理層獲得管理的方向後，才能和員工溝通。例如管理階層需要哪些資料，如何以IT的立場，推動業務流程和作業行為的改善。</p> <p>至於如何向其他單位推動數位轉型，林義傑不吝分享他的看法，可以先從小系統示範作起，以現有系統的資料為範本，展示一個小系統，讓他們了解新系統可帶來的效益，將新的需求引導出來。「資訊部門不只是開發、維運系統的單位，更重要的是扮演管理階層和基層員工之間，承上啟下的橋樑角色」。</p> <p>他認為，IT不能只是坐在辦公室寫程式，完成其他部門的需求，而要多和使用者聊天，透過從現場挖掘資料，才能知道如何讓員工的作業更順利，「IT就是服務單位，服務全公司的內部單位」。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>林義傑　東台精機資訊中心經理</strong></p> <p>學歷：高雄第一科技大學資訊管理所</p> <p>經歷：2003年加入東台精機資訊部門，擔任MIS程式設計師，負責總帳、應收應付、固定資產系統等維護，2012年升任副課長，協助推動客訴系統、生產管理系統、BPM系統導入，2018年擔任副理，導入新ERP系統、開發品質系統等，今年6月接任經理職務，帶領資訊團隊</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>東台精機</strong></p> <p>地址：高雄市路竹區路科3路3號</p> <p>成立時間：1969年</p> <p>主要業務：提供工具機產品線，包含立臥式加工中心機、立臥式車床、複合式加工中心、搪銑床、金屬積層製造設備、PCB加工機、雷射加工機等，以及Turnkey方案經驗與整廠整線輸出，從機台選定到最後機台加工的規劃執行。</p> <p>員工數：700人</p> <p>年營收：2020年為77.79億元</p> <p>董事長：嚴瑞雄</p> <p>總經理：嚴瑞雄</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊中心經理</p> <p>資訊部門主管姓名：林義傑</p> <p>資訊部門人數：10人</p> <p>IT預算：年營收千分之5到10</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2012年：開發售服客訴系統</p> <p>●2014年：建置生產管理系統</p> <p>●2015年：蘇州東昱系統整合，BPM系統導入</p> <p>●2017年：導入國外ERP系統</p> <p>●2018年：開發SCM供應鏈系統</p> <p>●2020年：品質系統上線</p> <p>●2021年：規畫開發數位戰情室環境</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-wen_bin_-dong_tai_-tu_1.png" width="960" height="420" alt="" title="東台精機資訊中心經理林義傑　（攝影／洪政偉）" /></div></div></div>
2021/12/16 07:00作者蘇文彬https://www.ithome.com.tw/people/148296
思考Python結構化模式比對
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當Python 3.10推出後，為人關注的新特性之一是結構化模式比對（Structural Pattern Matching），而這個特性最早是在PEP622中提出，後來整理為PEP634，到了PEP635與636當中，分別討論動機，以及提供文件入門；然後，有許多文件就開始嚷嚷著：「Python的switch語法終於出現了」！</p> <p><span style="font-size:28px;"><strong>Python不需要switch？</strong></span></p> <p>當然，Python結構化模式比對使用的是關鍵字match，而不是switch，然而，這其實反映了一件事實：其他語言幾乎都有switch之類的語句，因為「別人都有，就你沒有」的關係，使得Python沒有switch這件事，相對而言就像個異端。</p> <p>因為其他語言幾乎都有，這就使得從其他語言來到Python的使用者，理所當然地，會想要有switch的方案，在Python社群中，也確實曾有提案與討論，而且歷史甚為悠久——早在2001年就提出了PEP275，後來在2006年又有了PEP3103，然而最終它們都被否決了。</p> <p>基本上，否決的原因在於，在社群各式各樣的提案中，沒有一個實現可適切地融入Python既有的語法與風格。事實上，Python之父Guido van Rossum在PEP3103也分析許多情境與方案，以及它們面對的問題，但都覺得過於複雜，若不使用switch的方案還比較單純，於是，其在PEP3103的最後結論就是「現在定案還太早了（It is too early to decide）」。</p> <p>Guido後來在PyCon 2007時做了個快速調查，就投票結果來聲稱PEP3103不受歡迎，合理正當地予以否決了。只不過，「為什麼沒有switch？」這問題仍然被問到爛掉了。甚至，在Python官方的<a href="https://bit.ly/3HtOOpl" target="_blank">〈Design and History FAQ〉</a>直接列出條目來回答這陳年問題，就結論而言，使用if/elif/else或dict完全可以應付需求，然而，乍看之下，很多人應該也會覺得這就是在說「Python就是不需要switch」！</p> <p><span style="font-size:28px;"><strong>不要使用switch？</strong></span></p> <p>「講這麼多，最後還不是加入了switch？」是有些人面對PEP634的論調，這結果論看似大快人心，但社群中也有人不怎麼買單，像是<a href="https://bit.ly/3HFJj7h" target="_blank">Ben Hoyt寫的文章</a>就論述了正反面的效益，在反面批判上雖不留情，然而，在是否使用新特性這方面，是有些可以採納、參考的觀點。</p> <p>Python官方FAQ談到，可以使用if/elif/else來滿足switch的需求，若是覺得寫來冗長，可以改用dict。</p> <p>因為，在Python建立dict很容易，而且，函式在Python中是一級值，可以將動作封裝為函式，作為dict映射的對象，如此一來，就能滿足值與動作的映射需求。</p> <p>如果你是屬於「要求有switch」的一派，對於這種建議可能不以為然，那麼，來看看本來就有switch的語言吧！搜尋「don't use switch」，你可能會訝異這些語言在不少文件中，竟然建議不要使用switch。</p> <p>舉例來說，O'Reilly的《JavaScript應用程式開發實務》，其JavaScript風格指南就建議不要使用switch，可以採用物件實字，透過特性名稱查詢相對應的函式更為靈活，作者也提出了幾個情境，在想要寫下switch處理這些情境前，多思考一下是否有其他可行的設計。</p> <p>你可能會說「那是JavaScript啊！」而在O'Reilly的《21世紀C語言》第二版中的〈教科書過分強調的進階語法〉也談到，switch的break與default可能帶來微妙的臭蟲，若想避免，就不要使用switch，其中也說到替代方案之一，就是使用一系列的if與else。</p> <p>你可以找到更多類似的文件，有些switch可以進一步地改用子型態多型來取代，有些則談到switch會讓階層失控、流程複雜化而難以除錯等。看到這裡，突然間你會覺得，使用switch反而是一種罪過了。</p> <p><span style="font-size:28px;"><strong>switch或match？</strong></span></p> <p>在具有switch的語言中，完全地拒用switch又有點矯枉過正了，畢竟就一名語言初學者而言，若要將特定值對應至某些動作或（傳回）值，switch是個簡單、便利、學習曲線低的工具，如果程式邏輯極為簡單，原始碼在閱讀上也不複雜而直覺，沒道理不使用；然而，請切記不要濫用，若各個case的邏輯或層次變得複雜而難以閱讀時，就應考慮其他設計方式的可行性。</p> <p>當然，Python到3.10之前就是沒有switch，也沒因此而有什麼功能寫不出來，畢竟if/elif/else可以涵蓋switch的作用，使用dict也可以處理掉很多事，甚至<a href="https://bit.ly/3FppBKY" target="_blank">有人覺得</a>，沒有switch的Python，反而讓他累積許多映射的實務經驗，成為更好的開發者。</p> <p>確實地，switch的本質上就是映射，「將值映射至值或動作」，而這就是字典之類的結構可以作為替代方案的原因，某些程度上，Python生態圈沒有switch成為一種良性約束，也讓程式碼有機會獲得更好的設計。</p> <p>Python 3.10的match語法，從名稱上看來就代表映射，不過，請別忘了PEP634的全名是結構化模式比對，而match是將具有特定結構的資料映射至值或動作，其結構就包含了型態、資料成員的名稱、順序、值等。</p> <p>這也就是為什麼match可以搭配的，都是些能提供結構資訊的對象，像是：list、dict、datatclass、namedtuple，以及具有__match_args__定義名稱的類別實例，否則，就要明確地以關鍵字引數指出結構資訊。</p> <p>也就是說，match語法非常強大而複雜，而這份複雜，也只是剛好涵蓋了將值映射至值或動作的單純任務。</p> <p>如果你只是將match像switch那樣使用，等於是解除了方才提及的良性約束，那麼，相對地就要思考：「有因此而獲得更好的設計嗎？」或者只是因為一時的方便使用了match，從而之後因為更複雜的情況，不斷使用了match更複雜的語法，讓match變得更複雜難懂，甚至後續必須得面對match更高的學習曲線，以及維護負擔呢？</p> <p>如果只是將將值映射至值或動作的單純任務，Python過去幾十年來已經累積許多經驗了，這類需求在Python 3.10以後，不見得就要改用match來滿足；相對地，match的應用場合，就是在那些真的要有特定結構的資料映射至值或動作的場合。</p> <p><span style="font-size:28px;"><strong>match根本就不是switch</strong></span></p> <p>那麼，哪些場合才適用結構化模式比對呢？接觸過函數式語言的開發者，可能早就知道答案了：函數式中的模式比對，才是Python結構化模式比對的模仿對象。也因此，函數式中的模式比對應用場合，可以作為借鏡的對象。</p> <p>這時，就不得不提一下Java未來的發展路線，這並不算離題，因為Java也正朝著結構化模式比對的類似道路前進，先前三篇專欄〈<a href="https://www.ithome.com.tw/voice/147531" target="_blank">不只是語法糖的記錄類別</a>〉、〈<a href="https://www.ithome.com.tw/voice/147716" target="_blank">揭露型態邊界的彌封類別</a>〉、〈<a href="https://www.ithome.com.tw/voice/147830" target="_blank">模式比對與多型</a>〉中的相關討論與思考，對Python結構化模式比對的應用會有助益。</p> <p>當然，Python並不是要提倡函數式設計了，只是有些場合會適用結構化模式比對，應用時的思考出發點並非研究match本身，是「為什麼Python始終不加入switch？」記得，那是一種良性的約束，而在面對match新功能時，請謹記：「match根本就不是switch」，它真正處理的是「將特定結構的資料映射至值或動作」！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/python">Python</a></div><div class="field-item even"><a href="/tags/switch">Switch</a></div><div class="field-item odd"><a href="/tags/%E7%B5%90%E6%A7%8B%E5%8C%96%E6%A8%A1%E5%BC%8F%E6%AF%94%E5%B0%8D">結構化模式比對</a></div><div class="field-item even"><a href="/tags/structural-pattern-matching">Structural Pattern Matching</a></div><div class="field-item odd"><a href="/tags/match">Match</a></div></div></div>
2021/12/16 07:00作者林信良https://www.ithome.com.tw/voice/148315
5G專網前進災害搜救現場第一線，未來結合AI、AR頭盔、無人機打造智慧搜救平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球氣候劇烈變化加上天災，突如其來的地震、短時間內的強降雨、強風經常造成災難，為強化我國對災害的應變救援能力，政府推動消防科技專案，其中結合5G推動的消防5G場域計畫，目的之一是建立臺灣的智慧搜救平臺，運用5G專網、AI、AR等科技，強化臺灣在防災救援能力。</p> <p>在災害救援的第一線，需要快速整合各項資訊，例如救災人員、設備的管理，各種救災資源的調度，災害現場的影像、音訊或是文字，儘管臺灣特種搜救隊使用資訊管理系統INSARAG，但在實務上仍是以紙本作業為主，由於災難現場惡劣環境限制，填寫資料不易，加上通訊網路不穩定，也造成資訊傳遞的困難，使得資訊的匯整、傳遞不便且無效率，無法有效提升搜救作業效率。</p> <p>因此，內政部消防署今年開始推動的消防5G場域計畫，利用5G的大頻寬（eMBB）、低延遲（uRLLC）、廣連結（mMTC）三項特性，將5G用於防災教育、搜救作業上，並打造智慧搜救平臺，可整合搜救人員配戴的AR頭盔，獲得災區現場即時影像，並利用空拍機建立災區3D模型，透過現場臨時搭建的5G專網，提升整體搜救作業效率。</p> <p><span style="color:#B22222;"><strong>打造智慧搜救平臺，匯整人員、設備、表單、影像各種資訊</strong></span></p> <p>消防5G場域計畫，底下分為三項子計畫，包括結合VR的防災人員訓練，導入AI與AR的特種搜救隊數位AI救援平臺，以及利用5G通訊控制交通號誌，確保消防車輛通行安全。其中，富鴻網今年取得特種搜救隊5G數位AI救援平臺標案，規畫將參考聯合國INSARAG國際搜救諮詢小組手冊及ICMS救災防災指南，開發智慧搜救平臺。</p> <p>富鴻網智慧城市事業部經理黃守榮表示，目前我國特種搜救所遭遇的困難，在於對人員、設備缺乏資訊化的管理，缺乏系統化管理災害現場的救災資訊，需要導入智慧科技、通訊應用。5G數位AI救援平臺建置專案的目標有三項，首先發展接軌INSARAG的AI智慧搜救平臺，其次，是發展智慧科技及垂直領域應用，第三則是，淬煉5G通信設備與應用服務的國產化、國際化。</p> <p>由於災難救援需要管理大量的資訊，富鴻網指出，目前特種搜救隊對人員、設備的管理，主要使用Google表單，搜救作業則是使用INSARAG，缺乏資訊化的系統管理，因此該專案將建立AI智慧搜救平臺，以符合INSARAG規定，以資訊系統管理搜救作業相關的資訊。</p> <p>這個AI智慧搜救平臺，分為平時與災害時兩種情境，平時部署於內政部消防署資訊室的雲端機房內，當災害發生時，則以具有邊緣運算能力的智慧行動指揮車為主，使用符合INSARAG規範的電子表單管理資料。個別的災害搜救行動則是以專案進行管理，包括每次搜救行動的人員管理、裝備管理、INSARAG表單、GIS圖臺、3D建模、AI影音辨識、資訊整合看板、統計報表、數據分析等等，以專案封包移動資料，管理所有的數據資料，作為災後的行動檢討，以及平時演練之用。</p> <p>黃守榮以人員管理為例，目前在搜救人員管理上，主要是採用紙本紀錄，不僅耗費時間，且不易保存管理，未來人員管理將採電子化管理，運用證件辨識系統，辨識人員的護照、身分證等身分證件；至於傳統裝備管理，也將從人工登打資料，改為以條碼、QR Cod對裝備作紀錄，除了用於平時設備管理，在救災出勤時，追蹤設備的動向。</p> <p>由於INSARAG表單多達86種，而未來完成的AI智慧搜救平臺使用的電子表單系統，目的是化繁為簡，提供即時更新資料、權限管理、勾稽比對, 提供更簡便的表單作業方式。</p> <p>GIS圖臺則介接EMIC的資訊，除了整合靜態資料，還包括現場搜救的圖資，透過圖資套疊的方式，提高搜救作業的效率。</p> <p>傳統的救援工作，經常手寫資訊在白板上，AI智慧搜救平臺提供資訊整合看板，即時更新資訊欄位、受困者解救情形、救災據點盤點及執行狀況，工作指派情形，台灣版還增加6大功能模組：時間序檢索、GIS圖臺、3D模型、AI辨釋、AR影像、UAV影像。</p> <p>搜救人員可戴上AR頭盔，搭配遠端視訊、協作指導子系統，利用AI影像辨識，或是熱顯像、流程操作的功能。可以定位每位搜救人員位置，同時將災區救援的即時影像，回傳給現場的指揮官。</p> <p><strong>搜救人員使用頭盔，搭配AR眼鏡，利用眼鏡上的攝影鏡頭，將現場即時影像回傳給現場搜救指揮中心（圖片由富鴻網提供）：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AR%E7%9C%BC%E9%8F%A1%E9%A0%AD%E7%9B%94-1.jpg" style="width: 600px; height: 338px;" /></p> <p>目前傳統的搜救方式，搜救人員抵達現場才能拍照，而現在AI智慧搜救平臺結合無人機，在出發救援之前，可以先派無人機前往災區，空拍災區的現場影像，了解當地的地形地貌；而在救援時，根據無人機的影像建立災區的3D模型，可以任意縮放、量測、評估災區的範圍，富鴻網表示，以維冠大樓空倒塌的3D模型，1小時內可完成3D建模。</p> <p><strong>現場展示各式無人機，包括專門拍攝影像的無人機，旁邊展示運用空拍影像建立的3D模型，另外，還有通訊中繼無人機，以無人機擴大網路通訊範圍（圖片來源，富鴻網提供）：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%80%9A%E8%A8%8A%E7%84%A1%E4%BA%BA%E6%A9%9F.jpg.jpg" style="width: 600px; height: 405px;" /></p> <p>在AI智慧搜救平臺裡，更整合AI影像辨識，傳統的搜救工作多仰賴經驗判斷，導入AI影音辨識模組，以提高重覆確認的正確性，提升搜救作業的效率。未來進一步透過AI影像辨識，可針對AR眼鏡拍攝的影像、熱顯像，或是UAV無人機空拍影像作辨識。</p> <p><span style="color:#B22222;"><strong>在災區搭建臨時5G</strong><strong>專網，確保搜救作業通暢</strong></span></p> <p>當重大災害發生時，往往導致災區通訊網路中斷，需要搭建網路通訊、調度發電機等設備，未來智慧搜救平臺將結合5G網路，趕赴災害現場的行動指揮車，配備衛星、5G專網設備，讓特搜隊能在災區現場搭建臨時的5G專網，確保現場的救援工作和遠端的指揮中心保持網路通訊。</p> <p>而為了延伸通訊網路，甚至可以無人機隊建立空中無線中繼骨幹網路，擴大無線網路的通訊範圍。該計畫也將開發智能自動組態網路建立技術，讓無人機隊建立的空中串接網路具備自我修復的機制，當其中部分的無人機無法建立通訊時，自動建立備援路徑。</p> <p>富鴻網表示，當災區的通訊網路中斷時，智慧行動指揮車能夠以5G建立搜救作業專用的區域網路，搜救人員則能透過AR眼鏡或是平板電腦，存取行動指揮車提供AI智慧搜救平臺及GIS圖資，行動指揮車扮演搜救作業的中樞角色。</p> <p>智慧行動指揮車預計在2023年交付，車上配備有衛星通訊、5G通訊設備、發電機、災區直播監控顯示設備、軍規筆電、無人空拍機，還有用於簡報說明搜救作業的觸控式指揮面板。</p> <p>整個計畫時程從2021年到2023年，富鴻網將與特搜隊合作分階段完成目標，2021年會先確認智慧搜救平臺使用的表單，完成整合地理空間資訊、災害類別情境、災損統計、建築結構分析等資訊的大數據分析資料庫架構規畫；2022年完成大數據分析資料庫，以及智慧自動組建網路技術；2023年完成物品倉儲管理、整合無人機空拍影像的智慧搜救平臺，預計將交付一輛5G行動指揮車。</p> </div></div></div>
2021/12/15 18:23作者蘇文彬https://www.ithome.com.tw/news/148375
採用Android 12 Go的新手機將於明年問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/introducing-android-12-go-edition/" target="_blank">Google在14日揭露了Android 12 Go的細節</a>，此一專為低階智慧型手機所開發的Android作業系統著重在降低對裝置資源的需求，新版本強化了啟用程式的速度、電池壽命及隱私，預計在明年就會看到採用Android 12 Go的新手機。</p> <p>Android Go為Android平臺的精簡版，它能安裝在擁有較少記憶體、儲存空間或低階處理器的手機上，第一個版本為2017年12月釋出的Oreo，此後Google每年都會發表一個新版Android Go，並跟隨最新Android版本的命名，例如Android 12 Go。迄今全球已有超過2億名使用者啟用Android Go手機。</p> <p>根據Google的說明，Android 12 Go啟用行動程式的速度，比去年發表的Android 11 Go快了30%，程式幾乎是瞬間叫出，而不必再等待；它還能自動將數月未使用的程式變更為休眠（Hibernation）狀態，以釋出手機的儲存空間，並延長電池壽命；更新的Files Go程式允許使用者取回30天內刪除的檔案，讓使用者可以安心地刪除檔案以釋出空間。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Android_Blog_speed_comp.gif" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>此外，Android 12 Go變得更聰明，在移到最近開啟的程式畫面時，可直接選擇聽取內容或是進行翻譯。為了節省用戶頻寬，Android 12 Go得以藉由Nearby Share及Google Play與鄰近的裝置分享程式。若要與友人分享自己的裝置，則可切換至客座檔案來保護自己的隱私。</p> <p>Android 12 Go亦整合了隱私功能，能夠從隱私儀表板上看到各個程式所存取的機密資料，諸如麥克風、攝影機或地理位置，並隨時取消程式權限。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Priavacy_Dashboard_V3_Zoom.gif" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Google</span></p> <p>包括三星、Nokia、Ulefone、Tecno、Umidigi、realme及Motorola都加入了打造Android Go手機的行列，除了少數產品，例如Samsung Galaxy J2 Core要價200美元之外，Android Go手機的售價多在100美元以下。</p> </div></div></div>
2021/12/15 16:49作者陳曉莉https://www.ithome.com.tw/news/148374
Oppo發表Air Glass，邁入智慧眼鏡市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國消費者電子產品製造商<a href="https://www.oppo.com/en/newsroom/press/oppo-air-glass/" target="_blank">Oppo周二（12/14）發表了Air Glass</a>，它被Oppo定義為「輔助實境」（assisted Reality，aR）裝置，<a href="https://www.youtube.com/watch?v=DMQUDSk_4B0" target="_blank">可將2D的訊息投射到使用者的視野裡</a>，並內建天氣、行事曆、翻譯及導航等應用，預計明年第一季在中國市場推出，價格未定。</p> <p>美國媒體把Air Glass視為與Google Glass類似的產品。Google在2013年發表的Google Glass提供語音命令及攝影功能，同樣能在使用者的視野內顯示資訊，首個版本要價高達1,500美元。然而，它在消費者市場並未激起太多漣漪，攝影功能還帶來了隱私爭議，<a href="https://www.ithome.com.tw/news/115656" target="_blank">這使得Google在2017年讓Google Glass轉戰企業市場</a>。</p> <p>而Oppo在多年後才發表的Air Glass更像是尋常的眼鏡，它有半鏡框與全鏡框兩種規格，後者可用來嵌入近視/遠視鏡片，而智慧眼鏡的功能則仰賴Oppo自行開發的Spark微型投影機（Spark Micro Projector），它是Air Glass顯示系統的核心，只有咖啡豆大小，整合在Air Glass顯示系統上，其顯示系統是個單鏡片的設計，只要將它依附在鏡框上就能發揮智慧眼鏡的功能，但並未具備拍照或攝影功能。</p> <p>Air Glass可搭配Oppo Watch 2或任何Oppo手機使用，也能透過Air Glass顯示系統的觸控面板或是語音來控制，它內建天氣、行事曆、健康、提詞、翻譯及導航功能。</p> <p>初期Air Glass支援中文與英文、日本及韓文的雙向翻譯，當對方說出一長串的日文時，Air Glass用戶即可在眼前看到中文翻譯，而其提詞功能則是簡報人士的最佳助手。</p> <p>Oppo尚未公布Air Glass的售價，僅說將在明年第一季於中國市場推出。<a href="https://www.counterpointresearch.com/infographic-q3-2021/" target="_blank">根據Counterpoint今年第三季的調查</a>，Oppo與同樣源自中國的Vivo以10%的市占率並列為全球第四大智慧型手機製造商，落後三星（20%）、蘋果（14%）及小米（13%）。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/DMQUDSk_4B0?start=5" title="YouTube video player" width="560px"></iframe></div> <p> </p> </div></div></div>
2021/12/15 15:36作者陳曉莉https://www.ithome.com.tw/news/148372
OpenAI API服務供用戶自定義GPT-3模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發人員現在可以使用自己的資料，來微調語言模型GPT-3，以創建適合其應用程式的自定義版本，OpenAI表示，<a href="https://openai.com/blog/customized-gpt3/">自定義GPT-3</a>，讓模型能可靠地用於更多使用案例中，並且執行成本更低，速度更快。</p> <p>開發人員可以使用任意大小的資料集自定義模型，或是根據用戶的回饋，來逐步添加資料進行調整，官方提到，透過微調，可使模型輸出的正確率，從83％提升到95％。而要自定義模型也非常簡單，用戶只需要提供資料集檔案，並在OpenAI命令列工具執行單個指令，系統便會自動開始自定義版本訓練，並且在OpenAI API中提供服務。</p> <p>OpenAI從去年開始提供GPT-3的API服務，而只要幾個樣本進行額外的訓練，GPT-3就可以進一步執行各式各樣自然語言任務，這個技術被稱為少樣本學習。用戶只需要提供不到100個樣本，就可以提升GPT-3的效能，隨著用戶提供更多的資料，模型效能就會不斷提高，在去年OpenAI所發表的研究，研究人員使用少於100個樣本，就能有效提高GPT-3在特定任務上的效能，而且研究也發現，樣本數量提高1倍，改進品質會以線性增加。</p> <p>對GPT-3模型是棘手問題的國小數學，使用資料集自定義後，模型解題精確度就可以提升達2到4倍。OpenAI還提到，自定義GPT-3能提高輸出的可靠性，從他們用戶的案例中發現，使用自定義GPT-3模型，不可靠的輸出結果發生頻率從17％下降到了5％，整體工作流程更加順暢，成本和延遲都獲得降低。</p> </div></div></div>
2021/12/15 15:41作者李建興https://www.ithome.com.tw/news/148371
被逼急了？傳NSO Group有意出售或關閉Pegasus間諜軟體部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2021-12-13/spyware-firm-nso-mulls-shutdown-of-pegasus-unit-sale-of-company" target="_blank">《彭博社》</a>（Bloomberg）、<a href="https://www.ft.com/content/c3e90890-0a4d-4290-a111-cb37a5b7d502?desktop=true&segmentId=d8d3e364-5197-20eb-17cf-2437841d178a#myft:notification:instant-email:content" target="_blank">《金融時報》</a>（Financial Times）與<a href="https://www.wsj.com/articles/israeli-cyber-firm-nso-explores-sale-closure-of-spyware-unit-11639503139?mod=djemalertNEWS" target="_blank">《華爾街日報》</a>（The Wall Street Journal）本周相繼引述消息來源報導，最近成為眾矢之的的以色列資安業者NSO Group因不堪外界壓力，有意出售整家公司，或關閉Pegasus間諜軟體部門。</p> <p>NSO Group所開發的Pegasus間諜軟體，可透過Android/iOS平臺或行動程式的零時差漏洞進駐手機裝置，並存取手機簡訊、電子郵件、照片/影片、GPS資料、行事曆、通訊錄，還能啟用麥克風與攝影機，並將相關資料傳送至遠端伺服器。</p> <p>儘管NSO Group不斷強調Pegasus出售給用來追蹤恐怖分子或犯罪行動的政府，但不少調查發現Pegasus被安裝在記者、人權鬥士、活動人士甚至政治人物的手機上，因而懷疑NSO根本就是光明正大地銷售駭客/間諜工具，而且並未真的篩選客戶。</p> <p>這使得Meta在去年12月，<a href="https://www.ithome.com.tw/news/141807" target="_blank">因NSO Group開採WhatsApp漏洞而控告該公司</a>，<a href="https://www.ithome.com.tw/news/145929" target="_blank">以色列政府今年7月決定針對NSO Group的行為展開調查</a>，<a href="https://www.ithome.com.tw/news/147654" target="_blank">美國商務部在今年11月出手制裁NSO Group</a>，緊接著<a href="https://www.ithome.com.tw/news/147998" target="_blank">蘋果也在11月對NSO Group提告</a>。在被列入美國《實體名單》（Entity List）之後，NSO Group當時的執行長Itzik Benbenisti也被迫下臺，而由該公司的共同創辦人Shalev Hulio接任。</p> <p>根據《金融時報》的報導，NSO Group在2019年的身價約為10億美元，但列入《實體名單》後，違約貸款已接近5億美元。</p> <p>各家的報導則指出，NSO Group正與至少兩家的投資基金討論該公司的未來，包括直接出售，或是關閉頻惹爭議的Pegasus部門。也不排除將Pegasus轉為防禦性產品，以從《實體名單》中解脫，惟如何確保Pegasus只被應用在防禦上則是另一難題。</p> <p>對於這三大媒體的報導與求證，NSO Group皆拒絕回應。</p> </div></div></div>
2021/12/15 15:58作者陳曉莉https://www.ithome.com.tw/news/148373
【資安日報】2021年12月15日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>引起各界高度關注的日誌框架系統Log4j漏洞「Log4Shell」，很快就成為攻擊者大肆利用的目標。之前有多家資安業者指出，他們在這2個星期，看到此漏洞被殭屍網路用於大規模挖礦攻擊，或是植入Cobalt Strike來操控受害電腦。但今天有資安業者指出，他們發現有針對Windows電腦的勒索軟體攻擊行動，會將受害電腦使用者的多個資料夾檔案加密。</p> <p>論及修補Log4Shell這個漏洞，對於許多IT人員而言，安裝修補檔案很可能會存在影響應用系統運作的風險，有資安業者特別製作「疫苗」，宣稱能在干擾較少的情況下，暫時防堵攻擊者利用Log4Shell的攻擊行為。</p> <p>行動裝置的安全，很可能因為Wi-Fi和藍牙晶片共用部分軟硬體資源，而讓攻擊者有可趁之機。近期多個歐洲大學聯手發布的研究指出，使用Broadcom、Silicon Labs、Cypress晶片的數十億裝置存在可被攻擊的漏洞，但這些漏洞能否得到妥善處理？有待後續觀察。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://businessinsights.bitdefender.com/technical-advisory-zero-day-critical-vulnerability-in-log4j2-exploited-in-the-wild"><span style="color: rgb(0, 0, 0);">勒索軟體Khonsari利用Log4Shell漏洞發動攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/5(17).png" style="width: 300px; height: 133px; float: right;" /></span></a></strong></h4> <p>自Apache Log4j重大漏洞CVE-2021-44228（Log4Shell）被公布以來，許多資安業者和研究人員發現，該漏洞已被用於對Linux主機下手，發動挖礦攻擊，或是拿來植入木馬程式。防毒業者BitDefender指出，他們觀察到針對Windows電腦而來的攻擊行動，勒索軟體Khonsari利用這個漏洞散布，使用AES 128 CBC演算法，加密受害電腦的使用者桌面、文件、圖片等資料夾。同時，他們也看到RAT木馬Orcus的攻擊行動。</p> <h4><strong><a href="https://www.cybereason.com/blog/cybereason-releases-vaccine-to-prevent-exploitation-of-apache-log4shell-vulnerability-cve-2021-44228"><span style="color: rgb(0, 0, 0);">針對無法修補Log4j的系統，資安業者推出防堵漏洞濫用的工具</span></a></strong></h4> <p>引起資安界高度重視的Apache Log4j重大漏洞CVE-2021-44228，資安業者和研究人員不斷呼籲用戶要儘速升級Log4j，但無法安裝更新程式的用戶要如何因應？資安業者Cybereason於12月10日推出名為Logout4Shell的「疫苗」，讓無法升級Log4j的用戶，能暫時防堵被用來發動漏洞的管道。Cybereason於GitHub上提供這項工具，並表示IT人員僅需具備基本Java技能就可以操作。</p> <h4><strong><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/espionage-campaign-telecoms-asia-middle-east"><span style="color: rgb(0, 0, 0);">伊朗駭客組織Seedworm鎖定亞洲和中東的電信業者下手</span></a></strong></h4> <p>賽門鐵克在最近半年內，發現一起針對亞洲和中東的攻擊行動，駭客主要的目標是電信業者，但也有一些IT服務業者，以及1家公營事業公司受害。研究人員指出，他們發現駭客幾乎沒有使用自製的攻擊工具，多半為可公開取得的軟體，以寄生攻擊（LoL）的策略進行攻擊，根據他們取得的證據，攻擊者與伊朗駭客組織Seedworm（亦稱 MuddyWater）有關。</p> <h4><strong><a href="https://securelist.com/owowa-credential-stealer-and-remote-access/105219/"><span style="color: rgb(0, 0, 0);">竊密軟體入侵亞洲政府組織的Exchange伺服器</span></a></strong></h4> <p>卡巴斯基在調查Exchange伺服器可能存在的惡意程式時，意外發現可疑的IIS附加模組「Owowa」，一旦Exchange啟用了網頁收信介面Outlook Web Access（OWA），Owowa將會竊取使用者在OWA登入的帳密，並能讓遠端的攻擊者在伺服器底層執行命令。研究人員在馬來西亞、蒙古、印尼、菲律賓發現攻擊行動，受害者多為政府組織，此外，他們認為歐洲可能是下一波的攻擊目標。</p> <h4><strong><a href="https://www.bloomberg.com/news/articles/2021-12-12/philippines-union-bank-freezes-some-accounts-on-hacking-report"><span style="color: rgb(0, 0, 0);">菲律賓民眾銀行帳戶遭駭，當地央行正監控此事發展，並將協調補救措施</span></a></strong></h4> <p>近日菲律賓傳出部分銀行帳戶遭駭，在12月12日菲律賓中央銀行總裁Benjamin Diokno出面說明，指出民眾在社群平臺投訴銀行帳戶遭駭事件激增的情形，當地央行正持續監控，並將與當地金融銀行（BDO Unibank）與菲律賓聯合銀行（Unionbank of the Philippines）合作。目前，BDO表示這次事件是一種複雜的欺詐技術，聯合銀行也已凍結數個帳戶，但相關銀行還無法估計多少資金遭轉移，另根據馬尼拉公報報導，盜取的錢被用於購買比特幣。</p> <h4><a href="https://www.zdnet.com/article/brazilian-ministry-of-health-hit-by-second-cyberattack-in-less-than-a-week/"><span style="color: rgb(0, 0, 0);"><strong>巴西衛生部一週內遭到2次網路攻擊</strong></span></a></h4> <p>巴西衛生部（MoH）於12月10日凌晨，驚傳遭勒索軟體攻擊後，該單位所有網站停止運作，駭客組織Lapsus$宣稱他們竊得約50 TB資料，該國的國家資料保護局（ANPD）著手調查。但就在12月14日，巴西衛生部長Marcelo Queiroga證實，他們於13日晚間遭到第2次攻擊，導致武漢肺炎疫苗證書系統ConecteSUS，無法依照計畫於14日復原。</p> <h4><a href="https://www.hackread.com/indian-pm-modi-twitter-account-hacked-bitcoin-scam/"><span style="color: rgb(0, 0, 0);"><strong>印度總理推特帳號遭駭，被用於發布假消息</strong></span></a></h4> <p>印度總理Narendra Modi的推特帳號於12月12日上午，遭到不明人士入侵，發布推文宣稱，該國將比特幣視為法定貨幣，政府購買了500個比特幣並打算分配給該國國民。在此推文遭到刪除之前，粗估已影響印度總理7,300萬名粉絲，印度當局表示正在著手調查，並向推特進行通報。但此起事故並非印度總理的推特帳號首度遭駭，2020年9月就曾發生且得到推特的證實。</p> <h4><strong><a href="https://www.fujitsu.com/global/about/resources/news/notices/2021/1209-02.html"><span style="color: rgb(0, 0, 0);">針對日本政府的資料外洩事故，富士通表示攻擊者是利用ProjectWEB漏洞入侵</span></a></strong></h4> <p><a href="https://www.ithome.com.tw/news/144686">富士通經營的專案資訊協作平臺ProjectWEB於今年5月遭駭</a>，影響日本國土交通省、外務省等多個政府部門而引起關注。該公司於12月9日公布調查結果指出，他們發現攻擊者使用數個漏洞來存取ProjectWEB帳號，並以合法帳號來取得額外的存取權限，其中1個帳號被用於非法獲取合法帳密。該公司決定停止提供ProjectWEB，並打算將客戶移轉到新的服務，並宣稱此服務符合零信任資安的要求。</p> <h4><strong><a href="https://blog.emsisoft.com/en/39389/forget-the-dark-web-ransomware-gangs-weaponize-social-media-to-pressure-victims/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客利用社群網站向受害者施壓的情況增加</span></a></strong></h4> <p>為了能讓受害者付贖金，近年來勒索軟體駭客往往在網站上公布受害者的身分，來引起媒體注意，進而形成壓力迫使受害者付錢。但資安業者Emsisoft指出，駭客發現在時下新聞已充斥著各式網路攻擊事故，他們的網站宣傳效果有限，改用社群網站來公開攻擊事故的情況越來越多。繼10月攻擊美國步槍協會（NRA）的勒索軟體駭客Grief，透過推特帳號散布有關消息後，Emsisoft指出，他們也看到其他組織如DoppelPaymer、54bb47h、Marketo，採取更直接的方式將社群網站武器化，以推特做為公布的管道。此外，駭客組織RobinHood則是成立了Tumblr帳號，打算以此公布受害者資料。</p> <h4><a href="https://www.cna.com.tw/news/asoc/202112140294.aspx">台北馬拉松跑者遭詐騙，警方證實中華民國路跑協會資料庫遭駭</a></h4> <p>本周165反詐騙諮詢公布解除風險高風險賣場名單，包括：誠品書店、中華民國路跑協會、東森購物、資生堂、樂購蝦皮、老爺酒店與西堤牛排。值得關注的是，上周傳出的中華民國路跑協會的相關詐騙案，根據中央社報導，警方在12月14日指出，已受理17件，經初步調查，發現有駭客使用境外IP位址入侵中華民國路跑協會網站資料庫，進而利用所盜取的會員資料進行詐騙。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/bugs-in-billions-of-wifi-bluetooth-chips-allow-password-data-theft/"><span style="color: rgb(0, 0, 0);">研究人員發現影響數十億裝置的Wi-Fi漏洞<img alt="" src="https://s4.itho.me/sites/default/files/images/resource-sharing.jpg" style="width: 300px; height: 175px; float: right;" /></span></a></strong></h4> <p>達姆施塔特工業大學、布雷西亞大學、CNIT、安全行動網路實驗室聯手，揭露一系列的臭蟲，讓攻擊者可藉由裝置藍牙元件下手，操控Wi-Fi晶片的網路流量，以及竊取密碼等攻擊行為，影響採用Broadcom、Silicon Labs、Cypress晶片的數十億裝置。研究人員指出，智慧型手機等現代連網裝置的SoC，具備獨立的藍牙、Wi-Fi、LTE元件，但它們通常共享天線和無線頻譜等資源，而這些共享的資源就能讓攻擊者有可趁之機，跨晶片發動橫向的提升權限攻擊，執行任意程式碼、讀取記憶體內容，或是造成阻斷服務（DoS）。這些漏洞部分能透過韌體修補，有些則必須透過新的硬體才能處理。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-december-2021-patch-tuesday-fixes-6-zero-days-67-flaws/"><span style="color: rgb(0, 0, 0);">微軟發布例行修補，修補6個零時差漏洞</span></a></strong></h4> <p>微軟於12月14日發布Patch Tuesday例行修補，當中總共修補了6個已被公開的零時差漏洞，其中最受到注目的是CVE-2021-43890，這項漏洞與統一視窗平臺（UWP）的安裝程式（APPX、APPXBUNDLE檔案）有關，已被攻擊者用於散布惡意軟體Emotet、TrickBot、BazarLoader等。微軟指出，其他5個零時差漏洞尚未被用於攻擊行動。</p> <h4><strong><a href="https://thehackernews.com/2021/12/latest-apple-ios-update-patches-remote.html"><span style="color: rgb(0, 0, 0);">蘋果修補了同時影響iOS、macOS的越獄漏洞</span></a></strong></h4> <p>蘋果於12月13日發布iOS 15.2、macOS Monterey 12.1、watchOS 8.3、tvOS 15.2，修補數個在中國天府盃漏洞挖掘競賽被發現的漏洞。其中，最受到關注的漏洞，是CVE-2021-30955，這個漏洞可被攻擊者以核心層級的權限，讓惡意程式執行任意程式碼，進而越獄iOS設備，此漏洞亦影響macOS。這個漏洞讓盤古團隊在天府盃賽事中，成功攻陷執行iOS 15的iPhone13 Pro。 </p> <h4><strong><a href="https://www.cisa.gov/uscert/ics/advisories/icsma-21-343-01"><span style="color: rgb(0, 0, 0);">Hillrom心臟診斷設備存在零時差漏洞，恐遭攻擊者挾持</span></a></strong></h4> <p>美國網路安全暨基礎設施安全局（CISA）近日針對Hillrom旗下的多款Welch Allyn設備提出警告，指出當中存在CVE-2021-43935漏洞，一旦攻擊者利用此漏洞，將能繞過身分驗證，存取特權帳號。這項漏洞的CVSS風險層級為8.1分，Hillrom正在製作修補程式，在此修補程式推出之前，該公司建議用戶暫停使用單一簽入（SSO）的功能。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/sandisk-secureaccess-bug-allows-brute-forcing-vault-passwords/"><span style="color: rgb(0, 0, 0);">SanDisk敏感資料保護軟體出現漏洞，能讓攻擊者暴力破解密碼存取</span></a></strong></h4> <p>硬碟製造商Western Digital近期針對SanDisk SecureAccess軟體（現在更名為SanDisk PrivateAccess），修補漏洞CVE-2021-36750，該公司指出，這項漏洞與SanDisk SecureAccess 3.0.2採用單向加密雜湊與可被猜測的加鹽密碼，而容易受到字典攻擊有關，他們在近期推出的SanDisk PrivateAccess 6.3.5版中，改用PBKDF2-SHA256演算法，以及隨機產生的加鹽密碼來防堵上述漏洞。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202112140001&dtable=News#"><span style="color: rgb(0, 0, 0);">針對國內近期多家證券期貨客戶遭冒名下單港股，金管會公布三大因應措施，並提醒民眾妥善保管密碼</span></a></strong></h4> <p>上月國內傳出券商用戶遭不明人士下單港股的情況，除了將成立SF-CERT，後續又有新的因應辦法，金管會在12月14日發布公告，將要求證券商與期貨商採取三大措施，簡單來說，包括：應於網路下單登入時採多因子認證方式的落實；密碼輸入錯誤次數達3次，應中斷連線的落實；對於帳號登入失敗的記錄，以及對登入異常的監控分析。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148354">2021年12月14日</a></p> <p><a href="https://www.ithome.com.tw/news/148334">2021年12月13日</a></p> <p><a href="https://www.ithome.com.tw/news/148307">2021年12月10日</a></p> </div></div></div>
2021/12/15 13:38作者周峻佑https://www.ithome.com.tw/news/148368
福特於底特律測試自駕車送食物給行動不便長者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://media.ford.com/content/fordmedia/fna/us/en/news/2021/12/14/ford-to-bring-10-000-pounds-of-fresh-food-to-southwest-detroit-r.html" target="_blank">福特汽車周二（12/14）宣布</a>將測試以自駕車為底特律地區的年長者遞送生鮮食材到府。</p> <p>這是福特汽車一系列自駕車開發計畫之一。在這項6個月的測試計畫，福特汽車和其公益基金會合作，將在底特律西南部密西根中央車站區，以自駕車遞送1萬磅（約4.5公噸）的新鮮食材，包括蔬果、牛奶、起司送到當地因行動不便無法出門購物的長者住處。</p> <p>福特基金會之前已經對當地高齡照養中心提供生鮮食物，但這次首先啟用自駕車。自駕車是由福特未來自駕車團隊及全資子公司Quantum Signal AI開發，將以低速循固定路線在底特律研發中心及一棟高齡共同公寓之間行駛，按時將食材發送給居民。自駕車內裝是由福特根據生鮮食品包裝、運送及上、下貨而設計。車上將會全程配置隨車人員，並由遠端營運團隊監控。</p> <p>福特目前在底特律市密西根中央區開發多項行車技術，該公司表示透過日常用品遞送計畫，將累積未來自駕車遞送商品的經驗，包括如何滿足當地居民生活需求。</p> <p>福特是最新一家推動自駕車服務的業者。<a href="https://www.ithome.com.tw/news/146373" target="_blank">Alphabet旗下的Waymo 8月起</a>和Jaguar在美國舊金山試推出自駕車載客服務。另外，<a href="https://www.ithome.com.tw/news/147732" target="_blank">Walmart也和自駕車新創業者Gatik</a>上個月測試以全無人卡車配送商品到超市。</p> </div></div></div>
2021/12/15 14:59作者林妍溱https://www.ithome.com.tw/news/148370
Google將開發新的AR作業系統、裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臉書改名Meta，掀起虛擬實境（VR）及擴增實境（AR）的產業浪潮後，先一步推出AR產品的Google將以新一代AR作業系統及裝置搶下話語權。</p> <p><a href="https://www.linkedin.com/feed/update/urn%3Ali%3Aactivity%3A6876290097113833473/" target="_blank">原本在Facebook Oculus擔任工程主管的Mark Lucovsky本周宣布已加入Google</a>，他將主掌一個AR作業系統的開發團隊。他指出OS只是整個計畫的一部份，最終目標是提供「優異的用戶價值」，而主軸是在OS上開發的使用經驗功能。</p> <p>這個團隊已開始招募人馬。<a href="https://careers.google.com/jobs/results/114627139782746822-senior-software-engineer-full-stack-augmented-reality/" target="_blank">根據一項職缺說明</a>，這個部門正在尋找開發行動裝置、穿戴裝置、Web、Console及桌機應用的人才。</p> <p><a href="https://9to5google.com/2021/12/13/google-augmented-reality-os/" target="_blank">9to5Google則發現其他職缺</a>，工作內容包括開發控制、管理AR裝置的軟體元件以及和AR裝置相關的相機軟體。Google表示OS底層團隊將是第一個和Google未來成立的「創新」AR裝置產品部門合作的單位。</p> <p>9to5Google報導，這些職缺位於美國及加拿大安大略省滑鐵盧（Waterloo）市，<a href="https://www.ithome.com.tw/news/138529" target="_blank">後者是Google去年買下的智慧眼鏡新創公司North所在地</a>。而AR OS部門將歸屬在Google裝置及服務部門，與Pixel手機、智慧螢幕Nest或智慧型手錶同一事業群。</p> <p>事實上Google 很早即投入AR領域。<a href="https://www.ithome.com.tw/news/133629" target="_blank">在Daydream VR 失敗後</a>，Google開發手機AR平臺ARCore以深度感測配合Pixel 4的毫米波雷達，期能發展AR應用。然而相關應用皆未起飛。<a href="https://www.ithome.com.tw/news/143146" target="_blank">臉書公布AR智慧眼鏡相關計畫</a>，今年更改名Meta宣示轉型AR應用開發，掀起元宇宙（metaverse）的產業浪潮，聲勢上似乎後來居上，顯然也促使Google革新再起的想法。</p> <p>Google也不是唯一有動作的業者。一直傳聞開發智慧眼鏡的蘋果，<a href="https://arstechnica.com/gadgets/2021/11/apples-first-mixed-reality-headset-will-run-games-with-top-tier-graphics/" target="_blank">本月</a><a href="http://arstechnica.com/gadgets/2021/11/apples-first-mixed-reality-headset-will-run-games-with-top-tier-graphics/" target="_blank">Ars Technica</a><a href="https://arstechnica.com/gadgets/2021/11/apples-first-mixed-reality-headset-will-run-games-with-top-tier-graphics/" target="_blank">也報導</a>，可能在明年推出一款支援Wi-Fi 6E、著重電玩、影音及通訊的高階混合實境智慧型頭戴裝置。</p> </div></div></div>
2021/12/15 12:59作者林妍溱https://www.ithome.com.tw/news/148366
今年以來新浪微博已因張貼違法內容被中國判罰44次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國互聯網信息辦公室（網信辦）在14日以多次張貼違法內容，對新浪微博祭出300萬元人民幣的罰款，而這已是新浪微博今年以來第44次被罰款，也讓新浪微博當天在香港股市的股價下滑近5%，以219.8港幣作收。</p> <p>新浪微博為中國新浪在2009年推出的微型部落格服務，目前每月用戶超過5.7億，它先行在2014年於美國那斯達克股市公開發行股票，繼之因中、美雙方關係緊張，於今年12月8日另行登上香港股市。</p> <p><a href="http://www.cac.gov.cn/2021-12/14/c_1641080795548173.htm" target="_blank">網信辦指出</a>，最近新浪微博與該平臺上的帳號屢次出現遭到法令或法規禁止發布或傳輸的資訊，依據《網路安全法》及《未成年人保護法》等法令，向其母公司北京微夢創科網路技術公司處以300萬元人民幣的罰款。</p> <p>網信辦還說，從今年1月到11月，新浪微博已被處罰44次，累計罰款為1,430萬元人民幣。</p> <p>這使得甫於香港上市的新浪微博當天股價下挫近5%。新浪微博8日在香港股市的發行價為272.8港幣，但上市後一路下滑，本周二（12/14）的收盤價為219.8港幣。</p> </div></div></div>
2021/12/15 13:13作者陳曉莉https://www.ithome.com.tw/news/148367
Log4Shell漏洞已被開採散布勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>被稱為Log4Shell的Apache Log4j安全漏洞CVE-2021-44228公布後，開採活動大舉展開。<a href="https://businessinsights.bitdefender.com/technical-advisory-zero-day-critical-vulnerability-in-log4j2-exploited-in-the-wild" target="_blank">安全廠商發現</a>，駭客已經出手，藉由開採這項漏洞散布一隻新勒索軟體Khonsari。CISA要求美國聯邦政府機構應在聖誕節前完成修補。</p> <p>Log4Shell漏洞公布後的開採活動多半以Linux系統為目標，不過安全廠商包括BitDefender偵測到的Khonsari則鎖定Windows機器。它是一個.NET binary檔，一旦被執行，該檔案會列出受害機器所有磁碟，除C:\槽外整個加密，而在C:\槽上，Khonsari會加密包括使用者目錄下的文件、影片、圖片、下載及桌面資料夾中，除了.ini及.lnk以外的檔案。檔案被加密後就會加上khonsari的副檔名。</p> <p>安全專家Michael Gillspie指出，Khonsari並非高明的開發人員撰寫，但仍然使用了有效加密法，一旦用戶中招，不是得自行破解就是付贖金一途。</p> <p>奇妙的是，和一般勒索軟體不同，勒索訊息中並未留下付贖金的電子錢包網址或是互動式聯絡方式，而是美國路易西安那州一家名為Khonsari的古董店的Gmail信箱及電話。研究人員以之為該勒索軟體命名，但不確定這名字是個誘餌或是受害者，<a href="https://www.bleepingcomputer.com/news/security/new-ransomware-now-being-deployed-in-log4shell-attacks/" target="_blank">也懷疑Khonsari更可能是個Wiper程式</a>，受害檔案將一去不復返無法贖回。</p> <p>BitDefender也發現，下載Khonsari的伺服器，隨後也散布遠端存取木馬程式（Remote Access Trojan，RAT）Orcus。</p> <p>這是第一起利用Log4Shell漏洞的勒索軟體攻擊。一般相信，針對Log4j重大漏洞的開採活動接下來將不斷湧現，包括手法高度複雜的惡意程式。<a href="https://blog.checkpoint.com/2021/12/11/protecting-against-cve-2021-44228-apache-log4j2-versions-2-14-1/" target="_blank">CheckPoint周一指出</a>，Log4Shell開採程式上線一天內，已經快速衍生出60種更強大的變形，像是可經由HTTP或HTTPS開採，而有的開採程式結合了多種繞過防護的手法，意謂著一層防護已經不足以阻擋可能的惡意活動。</p> <p><a href="https://www.ithome.com.tw/news/148345" target="_blank">微軟已偵測到</a>試圖安裝採礦軟體、木馬程式及滲透測試工具Cobalt Strike的活動。其他安全廠商則觀測到殭屍網路病毒Mirai、Tsunami/Muhstik和Kinsing的蠢動。</p> <p><a href="https://www.cisa.gov/news/2021/12/11/statement-cisa-director-easterly-log4j-vulnerability" target="_blank">美國國土安全部下網路安全暨基礎架構安全署（CISA）主任Jen Esterly上周指出Log4Shell漏洞已遭到大量開採</a>，由於其使用廣泛，對網路防禦人員形成重大挑戰，要求資訊系統廠商必須立刻辨識、緩解及修補使用Apache Log4j的產品，並向客戶提出清楚說明。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-%20LOG4J%20%20Vulner%20%20CISA.jpg" style="width: 600px;" /></p> <p>CISA已經將Log4Shell漏洞加入到「已知被開採漏洞」清單，要求美國聯邦政府機關緊急修補或緩解該漏洞。<a href="https://www.ithome.com.tw/news/147648" target="_blank">根據11月美國國土安全部的安全命令</a>，今年內公布的漏洞應該在2周內修補。由於該漏洞是於12月10日公布，因此聯邦政府必須在12月24日前修補完成。</p> </div></div></div>
2021/12/15 10:57作者林妍溱https://www.ithome.com.tw/news/148362
Microsoft Teams 1對1 VoIP通話支援全程加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-teams-blog/end-to-end-encryption-for-one-to-one-microsoft-teams-calls-now/ba-p/3037697" target="_blank">微軟昨（14）日宣布</a>，通訊及社交平臺Microsoft Teams 1對1 VoIP通話全程加密（end to end encryption，E2EE）功能正式上線。</p> <p><a href="https://www.ithome.com.tw/news/144824" target="_blank">6月份微軟首次公告這項計畫</a>，10月份公告Teams 1對1的視訊及VoIP通話E2EE釋出公眾預覽版。1對1 VoIP是Teams第一個正式支援E2EE的服務。Teams並不會預設啟用全程加密，而需由企業管理員啟用，IT部門可全權控管誰可以使用這項功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-End-to-end%20encryption%20for%20one-to-one%20Microsoft%20Teams%20calls-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>微軟表示，目前美國及歐洲多家大型企業，像是航太業、製造、電信及專業服務產業已經著手部署Teams 1對1通訊的全程加密。</p> <p>用戶可以在Teams的「設定」下「隱私」頁，找到並啟用全程加密通話（End-to End Encrypted Calls）。</p> <p>一旦Teams啟用E2EE，有多項功能將無法使用，包括錄音、即時字幕及轉錄、來電轉接、來電保留、來電整併、來電轉接到另一臺裝置，以及在1對1電話中加入新與會者等功能。必須先關閉E2EE才能使用這些功能。</p> <p><a href="https://www.microsoft.com/en-ww/microsoft-365/roadmap?filters=&searchterms=70780" target="_blank">按照微軟原定計畫</a>，桌機及手機版（Android、iOS）1:1 VoIP都會支援E2EE，不過微軟正式宣布中，目前僅部署到最新版Windows及Mac版Teams App，但預計手機版應該不久後也會支援。</p> <p>微軟正加緊追上其他通訊軟體腳步。除了較早實施E2EE的WhatsApp、Signal外，Zoom於今年初陸續導入E2EE，<a href="https://www.ithome.com.tw/news/146211" target="_blank">Meta旗下的Facebook Messenger也在8月間針對語音、視訊提供全程加密（E2EE）</a>， Messenger群組通訊及Instagram（IG）也正在開發測試中。</p> </div></div></div>
2021/12/15 11:08作者林妍溱https://www.ithome.com.tw/news/148364
紅帽推出映像檔自動建置服務Image Builder
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽（Red Hat）在其RHEL訂閱中，加入了一個稱為<a href="https://www.redhat.com/en/blog/introducing-hosted-beta-experience-red-hat-enterprise-linux-image-builder">Image Builder</a>的託管服務，該服務簡化自訂RHEL作業系統的工作，使用戶能夠在混合雲環境中得以應用最新的內容，並且持續獲得安全更新。</p> <p>官方提到，當前在混合雲環境中，建構和安裝用來部署應用程式的作業系統環境，整個過程不只緩慢且繁瑣，也很容易出錯，而且在傳統虛擬化平臺建構和更新伺服器映像檔，需要各種工具和修改，才能夠順利地在公有雲上運作，另外，本地端資料中心或邊緣實體伺服器，需要不同配置和工作流程，才能符合情境需求。</p> <p>替應用程式制定標準作業環境的工作充滿麻煩和障礙，需要付出許多人力資源和時間，而紅帽所發布的Image Builder服務，能夠提供單一且簡單的映像檔建置體驗，讓用戶針對環境，量身訂做需要的環境映像檔，針對目標環境定義黃金模板套件。</p> <p>Image Builder託管服務現在進入公共測試階段，在這個初始版本中，預設提供Amazon EC2、微軟Azure和GCP最小且推薦的RHEL伺服器映像檔。用戶可以在映像檔配置其他需要的RHEL內容，在創建完成後，便可以將其整合到部署工作流程中，這些映像檔擁有自動註冊現有RHEL訂閱的選項，能夠持續接收未來的更新。</p> <p>除了三個主要公有雲之外，紅帽還計畫要在Image Builder支援VMware vSphere、自定義檔案系統布局，並且要讓用戶能夠下載映像檔，安裝到實體伺服器，支援的RHEL包括9.0、8.5、8.4和7.9等多個版本。</p> </div></div></div>
2021/12/15 08:33作者李建興https://www.ithome.com.tw/news/148359
開源全文檢索、搜尋函式庫Apache Lucene 9.0效能大幅提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用於全文檢索和搜尋的開源專案<a href="https://mail-archives.apache.org/mod_mbox/www-announce/202112.mbox/%3CCAPsWd+OZmAyMjBoaoxyNbt=mW0TMSHpTWp9RN6UiC2tH5CH3Vw@mail.gmail.com%3E">Apache Lucene，開發團隊釋出最新的9.0版本</a>，這個版本的更新重點之一，便是大幅度的效能提升，無論是分面式分類（Taxonomy Faceting）還是排序演算法，速度都有數倍的提升。</p> <p>Apache Lucene是一個高效能且全功能的搜尋引擎函式庫，以程式語言Java開發而成，幾乎適用於所有結構搜尋、全文檢索、分面、跨高維向量最鄰近搜尋，也可用於拼寫校正或是查詢建議等使用情境。Apache Lucene同時也是Elasticsearch和MongoDB Atlas應用程式和服務的基礎。</p> <p>這個版本加入的新功能，開發團隊藉由使用HNSW（Hierarchical Navigable Small World）圖演算法，對高維數值向量提供了最鄰近搜尋法。同時還強化了對多語言的支援，包括加入新的塞爾維亞語、尼泊爾語和泰米爾語的分析器，並且對日語提供IME友善的自動提示，在Snowball 2分析器提供印地語、印尼語、塞爾維亞語、泰米爾語和意第緒語等詞幹分析。</p> <p>Apache Lucene 9.0在效能上，更是有顯著的提升，像是分面式分類法的速度提升至400％，多維度點索引則快10％到15％。而且點索引的欄位排序速度也提升了數倍，官方解釋，該最佳化在8.x後期版本，就開始提供用戶選擇性啟用，但從9.0開始預設啟用，但用戶也可以選擇停用。</p> <p>開發團隊重新調整ConcurrentMergeScheduler設定，透過假設系統使用現代高速I/O，來提高索引效能，能夠避免過去系統以啟發式方法，錯誤偵測系統使用I/O所產生的問題。另外，發布列表的編碼，從FOR-delta變更為PFOR-delta，能夠更節省磁碟空間。</p> <p>而在Apache Lucene 9.0中，不再有拆分的套件，但這項調整需要重新命名Lucene核心JAR外的一些套件，因此用戶可能需要對匯入進行一些相對應調整，另外，值得注意的是，用戶要在Apache Lucene 9.0中使用模組系統，要將其假設為試驗性階段，官方提到，在9.x版本將會有更多的改進。</p> </div></div></div>
2021/12/15 08:36作者李建興https://www.ithome.com.tw/news/148360
政大明年4月發布數位金融服務管理規範研究新進度，將提出金融通用身分驗證發展建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政治大學金融科技研究中心主任王儷玲今天（12/14）在一場金融產業論壇預告，政大明年4月將發布數位金融服務管理規範初步研究成果和政策建議。</p> <p>王儷玲表示，政大與勤業眾信今年4月發布的臺灣金融科技趨勢展望報告中，提到疫情加速了金融產品與服務數位化轉型，技術面要應用AI、大數據、雲端、身分識別等重要技術來發展金融科技。</p> <p>尤其，王儷玲提到：「身分驗證將是服務創新的關鍵。」金管會在訂定金融科技發展路徑圖時，考量到金融三業（銀行、保險、證券）發展數位金融時，有各自的身分驗證機制與規範，為了讓各業別提供金融服務時有同一套規範能夠共同遵循。因此，今年8月，已由金融科技共創平臺中，擔任監理科技組召集人的集中保管結算所，委外政治大學金融科技研究中心，來研究單一數位金融服務管理規範的可行性，更先聚焦各業者需求最大的多元數位身分驗證，進行金融場景、技術面、法規面的盤點與研究。</p> <p>政大盤點了身分認證在金融場景的應用，在銀行業像是多元身分驗證資料串接、運用電子簽章簽署所有紙本文件、客戶開戶及KYC表格整合專案、開放法人能使用電子或數位簽章及視訊方式來開戶。而保險業，比如行動投保客戶簽名事宜、視訊投保等。在證券與期貨業部分，則像是銀行帳戶約定核驗、建立第三方平台開放業者共用客戶KYC資料、基金銷售平臺串接電支機構的身分認證、開放電支帳戶在境外基金的申購與贖回、線上申辦各類金融服務等。</p> <p>在技術面向，涵蓋了身分確認機制、電子簽章或數位簽章、OIDC（OpenID Connect ）認證、Face OTP、防詐欺機制、生物特徵、個人資料檔案維護、交易安全設計、統一API標準與安全機制。在法規面向，則要深入研究電子簽章法、金融機構作業委託他人處理內部作業制度及程序辦法，以及銀行、保險、證券各業別的細部規範。</p> <p>王儷玲表示，要解決數位身分驗證問題，政大將聯合相關業者訂定出這一套數位金融服務管理規範，並針對現行規範提出修正建議，目標是建立起通用的身分驗證與電子簽章機制。她預告，此研究案將在2022年4月進行期中報告發表，來揭露最新研究進度。</p> <h3><span style="color:#0099ff;"><strong>金融機構間資料共享要點，將分為三種情況來訂定</strong></span></h3> <p>另外，金管會金融科技發展與創新中心副執行秘書林羲聖也在此場論壇中，揭露了金融科技發展路徑圖中另一項重點項目，也就是資料共享的新進展。他表示，金管會將訂定金融機構之間資料共享的要點，目前正在整理階段，也已對外徵詢各公會意見。</p> <p>林羲聖表示，金管會以3種情況，訂定這份資料共享要點。第一，金控底下各子公司之間的資料共享，第二是非金控，但屬於同一個金融集團底下各公司之間的資料共享，最後是針對業務合作的金融機構之間的資料共享。他提到，資料共享要點將訂出更為詳細的資料共享範圍，包括客戶的基本資料，甚至是較為機敏的個資或信用資料，但仍僅限於金融機構間共享。</p> <p>持續推動開放銀行也是資料共享中的政策之一，目前，臺灣開放銀行仍停留在第二階段「消費者資訊查詢」，已有12家銀行與2家第三方服務提供者（TSP）獲准推出相關金融服務。</p> <p>林羲聖表示，金管會將視第二階段執行情形，包括資安、消費者保護是否發生重大疑慮，以及TSP業者的規範可以更為落實時，將會考慮進行開放銀行第三階段的「交易面資訊」。文⊙李靜宜</p> </div></div></div>
2021/12/14 19:36作者李靜宜https://www.ithome.com.tw/news/148361
Google緊急修補已被用來攻擊的Chrome漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2021/12/stable-channel-update-for-desktop_13.html" target="_blank">Google在12月13日釋出了Chrome 96.0.4664.110</a>，緊急修補了一個已遭到駭客開採的CVE-2021-4102漏洞，亦順手修補其它4個安全漏洞，此一版本並無任何功能上的更新，而且距離下一個Chrome 97版本的問世應該只有短短幾天的時間。</p> <p>已經被開採的CVE-2021-4102漏洞為V8 JavaScript引擎中的釋放後使用漏洞，僅屬於高度風險漏洞，Google並未公布其漏洞細節或遭到攻擊的規模與方式。</p> <p>此次修補的漏洞還包括被列為重大風險的CVE-2021-4098，肇因於Mojo中不足的資料驗證；CVE-2021-4099則為Swiftshader的釋放後使用漏洞；CVE-2021-4100為ANGLE的物件生命周期有問題；CVE-2021-4101屬於Swiftshader中的堆積緩衝區溢位漏洞。</p> <p>該更新適用於Windows、macOS及Linux平臺，預計於未來數日或數周部署，使用者也可逕行檢查Chrome的版本狀態以展開手動更新。</p> </div></div></div>
2021/12/14 15:31作者陳曉莉https://www.ithome.com.tw/news/148357
MGM飯店讓面試者以VR裝置預覽新工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情以來，歐美國家出現年輕世代離職潮，增加企業招聘的困難度及成本。<a href="https://www.businessinsider.com/mgm-resorts-vr-strivr-virtual-reality-labor-shortage-attrition-retention-2021-12" target="_blank">Business Insider報導</a>，旗下擁有多家飯店的MGM飯店集團（MGM Resorts）讓面試者以VR裝置體驗未來工作內容，降低新進員工很快就離職的問題。</p> <p>擁有包括拉斯維加斯Bellagio及MGM Grand等休閒飯店的MGM集團計畫明年1月起面試新員工時，分配一套VR頭戴裝置讓他們體驗真實的工作內容。這些VR頭戴裝置主要用於招聘客服人員，以及新進員工訓練。</p> <p>MGM Resorts人資長Laura Lee指出，光是口頭說明或影片，很難讓應試者真的體會工作內容，而VR頭戴裝置可呈現更逼真的工作體驗。MGM飯店和VR裝置廠商Strivr合作開發工作體驗內容，其中包含「非常困難的客戶互動情境」。MGM飯店希望藉由更清楚溝通，讓應試者想清楚再進來，以降低新進員工短時間離職的問題。MGM Resorts計畫明年進軍特別講求服務的日本。</p> <p><a href="https://www.youtube.com/watch?v=AekzuFWc350" target="_blank">2019年Walmart也和Strivr合作開發VR內容</a>，評估零售賣場內員工應付各種實務狀況的能力，藉此作為員工升職的判斷依據。</p> </div></div></div>
2021/12/14 16:07作者林妍溱https://www.ithome.com.tw/news/148358
【資安日報】2021年12月14日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從上週末（12月10日）引起資安界高度關注的Apache Log4j重大漏洞「Log4Shell」（CVE-2021-44228），有越來越多資安業者和研究人員揭露他們的發現。其中，有數家資安業者指出，至少在12月9日漏洞揭露的1個星期前，就有攻擊者開始利用這項漏洞的跡象，後續效應可能還會再擴大。</p> <p>而在這項漏洞之外，Dell驅動程式漏洞修補不全的情況，也值得留意，因為，攻擊者很可能會用來發動BYOVD（Bring Your Own Vulnerable Driver）攻擊，而難以被察覺。</p> <p>近期關鍵基礎設施頻繁遭到攻擊，大家的焦點往往聚焦在能源產業、醫療產業，但貨物流通扮演重要角色的物流業者也值得我們留意，因為這些業者在疫情中營運更加嚴峻，一旦遭遇資安事故，情況恐怕會雪上加霜。跨國物流業者漢宏國際物流（Hellmann Worldwide Logistics）於上週（12月9日）驚傳遭到網路攻擊，而一度影響營運，這樣的情況也可能對於民眾的生活帶來衝擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/148345"><span style="color: rgb(0, 0, 0);">Apache Log4j重大漏洞已出現攻擊行動超過1週</span></a></strong></h4> <p>甫於上週修補的Apache Log4j重大漏洞CVE-2021-44228，因已出現攻擊行動且影響範圍甚廣，引起資安界高度重視。但根據Cloudflare指出，這個漏洞並非在9日被揭露後才遭到利用，他們最早在12月1日就看到被用於攻擊行動的跡象。也有其他資安業者指出已被用來發動挖礦攻擊，或是植入木馬程式、Cobalt Strike的情形。</p> <h4><strong><a href="https://www.aircargonews.net/business/cyber-attack-victim-bounces-back/"><span style="color: rgb(0, 0, 0);">跨國物流業者漢宏遭到網路攻擊</span></a></strong></h4> <p>根據新聞網站Air Cargo的報導，跨國物流業者漢宏國際物流（Hellmann Worldwide Logistics）於12月9日發出公告，表示他們遭到網路攻擊，為了防範災害擴大，他們暫時切斷與資料中心的所有連結，對於營運造成重大影響。12月13日，漢宏再度更新公告內容，指出他們已經恢復基本的營運業務，但仍然不能確定是否有資料外洩的情況。</p> <h4><a href="https://finance.yahoo.com/news/crypto-exchange-ascendex-hacked-losses-105802631.html"><span style="color: rgb(0, 0, 0);"><strong>加密貨幣交易所AscendEX遭駭，損失7,700萬美元</strong></span></a></h4> <p>加密貨幣交易所AscendEX於12月12日公告，他們在12月11日發現，1個熱錢包出現未經授權的交易，該公司將未受影響的資產移轉到冷錢包因應。而這起事件的受害規模，區塊鏈資安業者PeckShield估計，AscentEX被盜走約7,700萬美元的加密貨幣，其中大多數為以太坊、幣安智能鏈，以及Polygon。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/kronos-ransomware-attack-may-cause-weeks-of-hr-solutions-downtime/"><span style="color: rgb(0, 0, 0);">人資管理解決方案業者Kronos遭勒索軟體攻擊，雲端服務用戶受到波及</span></a></strong></h4> <p>人資管理解決方案業者Kronos於12月13日表示，他們因12月11日遭遇勒索軟體攻擊，導致該公司透過私有雲建置的數種UKG解決方案無法使用，復原有可能需要數個星期。其中1個受影響的組織向資安新聞媒體Bleeping Computer透露，他們被迫改用試算表軟體和紙本，來因應人資系統停止運作的情況。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/cox-discloses-data-breach-after-hacker-impersonates-support-agent/"><span style="color: rgb(0, 0, 0);"><strong>美國電信業者Cox證實，有人冒充客服竊取用戶資料</strong></span></a></h4> <p>根據資安新聞網站Bleeping Computer的報導，美國電信業者Cox Communications自12月初，開始向用戶發出郵件，表示他們在10月11日，發現有不明人士冒充客服人員，並成功竊得少數客戶帳號的存取權限，該公司隨即展開調查並通報執行單位，結果發現，這些人士可能存取了用戶的姓名、地址、Cox帳號、PIN碼，以及帳號的安全問題與答案等資料。不過，對於受害的規模，Cox並未透露。</p> <h4><strong><a href="https://medium.com/ochrona/3-new-malicious-packages-found-on-pypi-a6bbb14b5e2"><span style="color: rgb(0, 0, 0);">惡意Python套件被下載超過1萬次</span></a></strong></h4> <p>Palo Alto Networks高階產品經理Andrew Scott在近期的研究裡，在PyPI套件庫裡發現3個Python惡意套件dpp-client、dpp-client1234、aws-login0tool，總共被下載了近1.5萬次。其中，dpp-client就被下載了10,194次。而研究人員經由VirusTotal分析aws-login0tool，只有14防毒軟體能識別為有害。PyPI獲報後於12月10日下架這些惡意套件。</p> <h4><strong><a href="https://www.fortinet.com/blog/threat-research/phishing-campaign-targeting-korean-to-deliver-agent-tesla-new-variant"><span style="color: rgb(0, 0, 0);">惡意程式Agent Tesla利用簡報檔案，攻擊韓國用戶<img alt="" src="https://s4.itho.me/sites/default/files/images/picture1.png" style="width: 300px; height: 242px; float: right;" /></span></a></strong></h4> <p>惡名昭彰的惡意程式Agent Tesla再度發起攻擊行動了！資安業者Fortinet指出，他們看到新的Agent Tesla攻擊行動，駭客寄送內容為韓文的釣魚郵件，以採購訂單的名義，要求收件人打開附件的PowerPoint簡報檔案，一旦收件人開啟此簡報檔案，攻擊者就會以自動播放來執行巨集，並進而使用VBScript、PowerShell程式碼下載Agent Tesla。新的Agent Tesla變種約能竊取70種應用程式的帳密，涵蓋網頁瀏覽器、VPN用戶端、FTP用戶端、收信軟體、即時通訊軟體等類型。</p> <h4><strong><a href="https://www.proofpoint.com/us/blog/threat-insight/tinynuke-banking-malware-targets-french-entities"><span style="color: rgb(0, 0, 0);">金融木馬TinyNuke鎖定法國企業而來</span></a></strong></h4> <p>資安業者Proofpoint指出，曾在2017年至2018年大肆攻擊法國實體的金融木馬TinyNuke，今年1月與11月，又有再度發動大規模攻擊的跡象，這些活動完全針對法國企業而來，以發票為誘餌，攻擊製造業、工業、科技業、金融業等。研究人員在11月看到多個TinyNuke攻擊行動，大約發送2,500封釣魚信，影響數百個組織。</p> <h4><strong><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/hancitor-doc-drops-via-clipboard/"><span style="color: rgb(0, 0, 0);">惡意程式載入器Hancitor藉由Windows剪貼簿來投放酬載</span></a></strong></h4> <p>資安業者McAfee自2021年9月開始，觀察到新型態的惡意軟體投放手法，駭客使用名為Hancitor的惡意程式載入器，藉由VBA程式碼，以Selection.Copy方法使用Windows內建的剪貼簿功能，來投放惡意酬載，如FickerStealer、Pony、CobaltStrike、勒索軟體Cuba等。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.rapid7.com/blog/post/2021/12/13/driver-based-attacks-past-and-present/"><span style="color: rgb(0, 0, 0);">Dell驅動程式修補不完全，恐被用於Windows核心層級的攻擊</span></a></strong></h4> <p>Dell於今年5月，修補DBUtil驅動程式存在長達9年的CVE-2021-21551，但最近資安業者Rapid7發現，該公司並未修補完全，僅是限縮管理者帳號的存取。研究人員指出，這樣的情況可讓攻擊者投放存在已知漏洞的驅動程式，在行動的過程裡提升權限，或是執行特定的程式碼，發動被稱為BYOVD（Bring Your Own Vulnerable Driver）的攻擊手法。</p> <h4><strong><a href="https://chromereleases.googleblog.com/2021/12/stable-channel-update-for-desktop_13.html"><span style="color: rgb(0, 0, 0);">Google緊急修補Chrome已被利用的漏洞</span></a></strong></h4> <p>針對Chrome的零時差漏洞攻擊，今年已有十多起。Google於12月13日，對於Windows、macOS、Linux使用者，推出Chrome 96.0.4664.110，這次總共修補5個漏洞，其中最受到關注的是CVE-2021-4102，這是記憶體使用後釋放（UAF）漏洞，存在於該瀏覽器的JavaScript引擎V8。該公司指出，這個漏洞已出現相關攻擊行動，呼籲使用者要儘速更新瀏覽器。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/attackers-can-get-root-by-crashing-ubuntu-s-accountsservice/"><span style="color: rgb(0, 0, 0);">Ubuntu的帳號服務元件存在漏洞，恐讓攻擊者能取得Root權限</span></a></strong></h4> <p>GitHub資安研究員Kevin Backhouse於12月13日提出警告，Ubuntu作業系統裡的桌面環境GNOME，其中的AccountsService元件，存在記憶體雙重釋放的漏洞CVE-2021-3939，影響Ubuntu 21.10、21.04、20.04 LTS。一旦攻擊者利用這項漏洞，就能在本機端提升權限，他也提出概念性驗證攻擊影片，並指出此漏洞並非每次都能馬上觸發，但攻擊者可慢慢測試數個小時到成功為止。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/148340"><span style="color: rgb(0, 0, 0);">Visual Studio Code加入能突顯不可見Unicode字元，防範程式碼欺騙攻擊</span></a></strong></h4> <p>針對日益嚴重的Unicode字元濫用的攻擊行為，程式開發工具的業者也開始有所行動。例如，微軟在最近的Visual Studio Code（VS Code）1.63版更新中，加入了新功能Invisible Unicode highlighting，能突顯程式碼裡看不見的Unicode字元，而能夠提醒開發者疑似出現不尋常、易混淆的字元，有可能已經出現Unicode欺騙攻擊的現象。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148334">2021年12月13日</a></p> <p><a href="https://www.ithome.com.tw/news/148307">2021年12月10日</a></p> <p><a href="https://www.ithome.com.tw/news/148267">2021年12月9日</a></p> </div></div></div>
2021/12/14 13:57作者周峻佑https://www.ithome.com.tw/news/148354
研究人員找出Teams造成Android手機打不出緊急電話的原因
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148280" target="_blank">日前發生Android 手機上的Teams造成用戶無法打911緊急求助電話情形</a>。Google和微軟都未說明原因，不過一名研究人員本周說明他的見解。</p> <p>Pixel 3用戶11月底以手機撥911，電話響了一聲後，手機就卡住沒有回應。Google研究後，僅指出這是Teams App和底層Android系統發生「不小心互動」的結果。Google認為僅Android 10版本以上手機安裝了微軟Teams App，卻又沒有登入時會發生這情形。</p> <p><a href="https://medium.com/@mmrahman123/how-a-bug-in-android-and-microsoft-teams-could-have-caused-this-users-911-call-to-fail-6525f9ba5e63" target="_blank">前XDA總編，現任Esper資深技術編輯的Mishaal Rahman和其友人合作找出原因</a>出在Android程式碼和Teams一連串錯誤造成的結果。根本原因在Android要求第三方打電話的App要註冊PhoneAccount加入Android的TelecomManager服務，不論是打普通電話或是緊急電話。Teams可以打普通電話，但不能打緊急電話。有趣的是，一旦使用者撥緊急電話時，Android緊急電話服務卻載入所有打普通電話的App PhoneAccount清單。</p> <p>由於Teams不能打緊急電話，此時Android緊急電話服務的判斷邏輯會按多種條件，找出下一個遞補名單。通常也不難，因為註冊PhoneAccount的App也不多。但這時又碰上另一個Teams的問題：若用戶手機上的Teams App未登入，Teams App每次當掉或重啟（稱為冷啟動）時，就會建立新的UUID（Universally Unique Identifier）來產生PhoneAccount instance。多次之後形成重複的PhoneAccount instance。於是當Android緊急電話服務在尋找遞補名單時，碰到衝突的Instance而引發整數溢位或下溢錯誤（integer overflow/underflow），造成緊急電話當掉。</p> <p>Rahman團隊發現，Teams是在2021年10月底的版本出現這行為，剛好是在Pixel 3用戶事件發生前一個月。</p> <p>至於為什麼會在Android 10才發生。Rahman認為，Teams是在API level 28+ （Android 9 Pie以後）才開始註冊PhoneAccount，但Google方面則是Android 10才導入這項變更，因此只有這個版本以後的手機才會出現問題。</p> <p><a href="https://play.google.com/store/apps/details?id=com.microsoft.teams" target="_blank">微軟昨日釋出Teams 1416/1.0.0.2021194504</a>，解決這隻臭蟲。不過這只解決Teams的問題，其他App可能也有類似狀況，導致Android手機無法撥出911緊急電話。Google上周表示會在明年1月4日將新版Android釋出給合作夥伴，包括硬體製造商。</p> </div></div></div>
2021/12/14 15:02作者林妍溱https://www.ithome.com.tw/news/148356
iFixit與微軟合作，於iFixit站上銷售Surface官方維修工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ifixit.com/News/56078/ifixit-works-with-microsoft-to-manufacture-service-tools-for-repair-techs" target="_blank">3C產品DIY維修教學網站iFixit本周宣布</a>，將與微軟合作，於iFixit平臺上提供Surface產品的官方維修工具，但這次雙方的合作著重於協助維修業者提升維修能力，而非針對一般的使用者。</p> <p>此一合作計畫是由微軟設計了3款維修工具，並由iFixit負責生產與銷售，但銷售對象僅限於取得iFixit認證的iFixit Pro維修人員、微軟授權的服務供應商、微軟體驗中心以及微軟商業（Microsoft Commercial）客戶。</p> <p>這3款維修工具包括Surface螢幕的黏合框架，可在置換Surface螢幕時，以具備重量的框架來把螢幕正確地壓進裝置中；可安全移除Surface螢幕的工具；以及在打開Surface裝置時，可用來保護裝置內部元件的電池蓋。iFixit也正著手撰寫新的Surface維修手冊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-ifixit%20surface%20repair.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_iFixit</span></p> <p>過去3C產品業者並不鼓勵使用者透過官方以外的管道，或是自己維修3C產品，但近來呼籲消費者具備維修權的聲浪已從歐洲蔓延至美國，蘋果除了逐漸擴大第三方維修計畫之外，<a href="https://www.ithome.com.tw/news/147900" target="_blank">也準備在明年設立自助維修的線上商店</a>，讓使用者可以自行購買官方零件來維修蘋果產品。</p> <p>現在微軟雖然仍僅支援商家維修，但很可能未來也會協助使用者自行維修，以減少全球的電子垃圾。</p> </div></div></div>
2021/12/14 14:17作者陳曉莉https://www.ithome.com.tw/news/148355
蘋果發表Tracker Detect程式以避免Android用戶遭到AirTag追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://play.google.com/store/apps/details?id=com.apple.trackerdetect" target="_blank">蘋果於本周發表了支援Android的Tracker Detect程式</a>，這個程式主要的功能就是避免Android用戶遭到諸如AirTag等相容於Find My網路的裝置的追蹤。</p> <p>AirTag為蘋果於今年4月發表的物件追蹤器，可繫在諸如鑰匙圈或包包上，讓iPhone或iPad等用戶透過內建的Find My網路/功能進行追蹤。</p> <p>為了防止有使用者利用AirTag來追蹤人，iPhone或iPad得以偵測身邊有否陌生的AirTag，還能關閉它，而Tracker Detect即是蘋果為了預防Android用戶遭到AirTag或其它相容於Find My的裝置的追蹤，所釋出的行動程式。</p> <p>根據該程式的介紹，它可偵測到身邊不屬於自己的AirTag或其它追蹤裝置，要求它發出聲音，檢視AirTag的序號與所有人資訊。若Android用戶不願被追蹤或想關閉AirTag，蘋果還指導Android用戶如何卸下AirTag的電池。</p> <p>不過，有人認為這其實是個沒什麼太大用處的程式，因為每次都要主動啟用掃描功能才能偵測附近的陌生AirTag，在Android尚未支援Find My的情況下，最大的用途可能就是幫友人尋找他們不小心遺落的AirTag。</p> </div></div></div>
2021/12/14 12:31作者陳曉莉https://www.ithome.com.tw/news/148353
雲端勞動力管理業者Kronos遭勒索軟體攻擊，服務可能停擺數周之久
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供勞動力與人力資本管理解決方案的<a href="https://community.kronos.com/s/feed/0D54M00004wJCdJSAW?language=en_US" target="_blank">Kronos在12日傳出</a>其Kronos Private Cloud（KPC）私有雲服務發生故障，13日證實是遭到勒索軟體攻擊，雖已立即展開調查並緩解災難，但向客戶警告系統可能要長達數周的時間才能恢復，建議客戶評估及採用其它讓業務持續運作的方法。</p> <p>Kronos Private Cloud為Kronos所提供的雲端解決方案，它代管了各式的UKG（人資與勞動力管理解決方案）應用，涵蓋勞動力管理Workforce Central、公安調度Workforce TeleStaff、遠端工作管理TeleTime IP、Enterprise Archive、醫療保健管理（EHC）與績效分析FMSI等。</p> <p><a href="https://community.kronos.com/s/feed/0D54M00004wJKHiSAO?language=en_US" target="_blank">Kronos則說</a>，駭客的攻擊影響了使用KPC的UKG，但並未波及其它並未部署於KPC的UKG Pro、UKG Ready或UKG Dimensions等解決方案，也未影響就地部署的產品，已與資安業者合作進行解決，亦已通知執法機構。</p> <p>然而，其KPC服務迄今仍舊關閉中，而且預期可能要花費數周才能恢復正常運作，使得Kronos建議客戶暫時採用其它方式，來滿足讓業務持續運作的需求。</p> <p>另一薪資軟體供應商Frontier Software也曾在今年11月遭到勒索軟體攻擊，駭客不僅加密了Frontier Software的系統，也盜走了受害系統上的資料，<a href="https://www.ithome.com.tw/news/148333" target="_blank">外洩了南澳政府至少3.8萬名員工的資料</a>。</p> <p>目前Kronos尚未說明勒索軟體的類型，或是否有客戶資料遭竊。</p> </div></div></div>
2021/12/14 11:52作者陳曉莉https://www.ithome.com.tw/news/148351
Dell今年5月針對陳年漏洞發布的新版驅動程式，被質疑修補不全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/144199" target="_blank">Dell 5月修補一個存在長達12年的驅動程式漏洞CVE-2021-21551</a>，可能讓駭客在Dell裝置上執行惡意程式碼。不過安全廠商發現，該漏洞仍存在BYOVD（Bring Your Own Vulnerable Driver）風險。</p> <p>CVE-2021-21551位於Dell驅動程式DBUtil（dbutil_2_3.sys）之中，實際涵括5項瑕疵，後果涵括權限擴張，1項可引發阻斷服務（Denial of Service，DoS）攻擊，Dell統稱為CVE-2021-21551存取控管不足漏洞。該漏洞估計影響上千萬臺Dell筆電或桌機等產品。</p> <p><a href="https://www.rapid7.com/blog/post/2021/12/13/driver-based-attacks-past-and-present/" target="_blank">安全廠商Rapid 7發現</a>，雖然Dell 5月間重新發布了dbutildrv2.sys作為新的驅動程式，但並不完全解決上述漏洞，仍然讓用戶曝露於BYOVD（Bring Your Own Vulnerable Driver）的攻擊風險中。</p> <p>所謂BYOVD是指企業用戶電腦安裝了合法，但並不安全的驅動程式。微軟雖然推動Windows DSE（Driver Signature Enforcement），任何驅動程式或第三方程式都要經過微軟簽章才能確保為正版、安全的程式。由於驅動程式可在Windows核心執行，因此利用BYOVD技倆散布的惡意程式更加危險。<a href="https://www.ithome.com.tw/news/147448" target="_blank">惡意程式取得微軟簽章而散布</a>的情形仍然屢見不鮮，而用於BYOVD攻擊的驅動程式還包括asrdrv101.sys、asrdrv102.sys、ucorew.sys、piddrv.sys、atillk64.sys等。</p> <p>5月後Dell發布了dbutildrv2.sys 2.5 及2.7版驅動程式，<a href="https://docs.microsoft.com/en-us/windows-hardware/drivers/install/kernel-mode-code-signing-policy--windows-vista-and-later-" target="_blank">新版本已經符合微軟新版驅動程式簽章要求</a>，但Rapid7發現，<a href="https://cwe.mitre.org/data/definitions/123.html" target="_blank">新版本並未解決write-what-where問題</a>，即攻擊者可能引發緩衝溢位，而可在任意地點寫入任意值。這使得惡意程式突破微軟LSA防護，而在Windows核心執行任意程式碼。LSA防護是Windows的防護機制，可防止未防護行程讀取Windows LSASS（Local Security Authority Subsystem Service）記憶體或注入程式。</p> <p>研究人員開發了一個概念驗證Metasploit模組，只要攻擊者具備管理員權限，即可用dbutildrv2.sys 2.5 及2.7版本來開啟或關閉行程。</p> <p><a href="https://www.bleepingcomputer.com/news/security/dell-driver-fix-still-allows-windows-kernel-level-attacks/" target="_blank">Bleeping Computer引述Dell說法指出</a>，依據微軟驅動程式模型（Windows Driver Model）指引，由於需要特殊權限才能發動攻擊，Dell將這問題列為弱點（weakness）而非漏洞（vulnerability）。Dell不會對此發布安全公告或漏洞編號。</p> <p>安全公司目前尚未發現這兩款驅動程式被用於惡意目的。</p> </div></div></div>
2021/12/14 12:09作者林妍溱https://www.ithome.com.tw/news/148352
基礎設施即程式碼工具Terraform 1.1更新重構機制並強化Cloud CLI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HashiCorp釋出最新的基礎設施即程式碼工具<a href="https://www.hashicorp.com/blog/terraform-1-1-improves-refactoring-and-the-cloud-cli-experience">Terraform 1.1</a>，這個版本加入了moved陳述式，讓用戶更簡單安全地進行重構，另外，官方還改進了Terraform Cloud和Enterprise的CLI，提供更多新功能以及更好的錯誤訊息提示。</p> <p>Terraform被廣泛地用來配置多雲基礎設施，以及自動化資源調度，而隨著企業所管理的基礎設施和複雜性不斷增加，Terraform配置管理難度也跟著提升。過去在發生這種情況時，用戶通常會想要進行重構，例如把單個模組拆分成多個模組，可能由多個模組共用單一配置，又或是使用多個不同的配置。</p> <p>現在Terraform加入了moved陳述式，使用模組本身程式碼來進行重構的新機制，用戶能夠同時計畫、預覽和驗證多個重構操作。在之前的版本，重構工作需要透過使用CLI，來執行terraform state mv指令，並且對配置進行相對應的更改，官方提到，這個過程通常複雜且具有風險，用戶需要在不破壞以及重建的情況下，更新基礎設施的狀態。</p> <p>另外，模組作者和Terraform Cloud用戶也無法直接重構模組，官方解釋，對模組作者來說，重構模組需要發布一個新的主要版本，以及針對終端使用者提供手動更新狀態的指南，而Terraform Cloud和Enterprise用戶，在核心Terraform Cloud工作流程中進行重構更是不可行，因為用戶需要根據配置更改創建計畫，而這通常會需要管理員使用CLI將工作區切換到本地狀態，來進行有風險的變更。</p> <p>而新的moved陳述式會被寫入到新的模組程式碼中，在計畫階段，Terraform就能夠結合狀態更新和配置變更，因此能夠安全地重構Terraform模組和配置。moved陳述式可被用於重新命名資源、重新命名模組呼叫，還有拆分模組成多個模組等用途。由於這些操作都是在配置中宣告，Terraform會將更新解釋為計畫輸出的一部分，因此用戶可以一次驗證和應用多個操作，在用戶不需要操作狀態的情況下，能更容易且安全地進行重構，模組作者和Terraform Cloud，也就能夠順暢地重構工作流程。</p> <p>在Terraform 1.1中，官方想要透過添加Terraform Cloud和Terraform Enterprise的新整合，來強化由CLI驅動的工作流程。在之前的版本，用戶須在後端配置中宣告一個遠端後端，來連接到Terraform Cloud，雖然這種整合方式可以運作，但是整體體驗和功能不盡理想，新的整合方式做了多項改進，包括更新錯誤訊息和CLI提示、澄清遠端狀態儲存和遠端操作，還讓用戶更好地了解Terraform Cloud工作區等。</p> </div></div></div>
2021/12/14 09:34作者李建興https://www.ithome.com.tw/news/148338
Elastic 7.16強化與第三方資料源整合，用戶擷取分析資料更方便
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業資料搜尋分析工具Elastic更新至7.16版本，這個版本加入許多新功能，特別值得關注的是，Elastic提供許多預建置新工具，簡化搜尋平臺從任何來源獲取資料的過程，而且Elastic搜尋平臺的統一使用者介面，現在還支援Kibana，帶來更強大的視覺化搜尋體驗。</p> <p>官方在<a href="https://www.elastic.co/blog/whats-new-elastic-7-16-0">Elastic 7.16</a>中，更新Elastic Agent加入了數個預建置的資料整合工具，包括AWS網頁應用程式防火牆、Cisco Duo、CrowdStrike和GitHub，讓用戶可一鍵式整合簡單地擷取資料，動態解決DevOps以及SecOps的問題，方便集中管理機隊。</p> <p>Elastic 7.16在Kibana提供了統一的使用者介面，簡化分散式端點代理的管理，因此無論是Elastic Agent、Logstash、Beats，還是特定使用案例的資料整合，像是App Search網路爬蟲，用戶現在都可以花更少的時間，編輯資料擷取工作管線和YAML檔案，花更多時間在資料分析上。</p> <p>Elastic 7.16針對ServiceNow，交付了兩個新認證的應用程式，分別是ServiceNow IT服務管理（ITSM），以及ServiceNow安全事件回應（SIR），同時還更新ServiceNow IT營運管理（ITOM）整合。藉由改善Elastic與ServiceNow的整合，企業可以標準化和簡化警示和案例管理工作流程，來促進ITOps、DevOps、站點可靠性工程和SecOps團隊相互合作。</p> <p>由於ServiceNow ITSM和ITOM的整合，企業能夠自動將Elastic的警示，轉送到ServiceNow中，並且生成相對應的ServiceNow事件，以快速解決營運問題，並且確保各團隊都能持續獲得最新訊息，以大幅縮短回應和解決問題的平均時間。而ServiceNow ITSM和ServiceNow SIR的整合，則可以加快調查和回應時間，清楚切分不同團隊的工作界線，同時調整工作流程，來衡量平均解決問題的時間，降低企業所面臨的風險。</p> <p>藉由在Elastic 7.16中原生整合AWS FireLens，讓用戶更簡單地將AWS中的資料擷取到Elastic Cloud中，包括Amazon ECS和AWS Fargate。AWS FireLens是一種容器日誌路由器，能夠提供可擴展性，使得AWS和合作夥伴的服務能夠相互整合，進行日誌分析和儲存。</p> </div></div></div>
2021/12/14 09:37作者李建興https://www.ithome.com.tw/news/148339
VS Code能突出顯示不可見Unicode字元，助用戶防禦Unicode欺騙攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://code.visualstudio.com/updates/v1_63">VS Code最新的11月更新</a>，雖然沒有加入大功能，但是藉由改善許多操作體驗，能夠讓開發工作更加順利，從主題安裝、Notebook到編輯器等，都有許多有用的更新。</p> <p>VS Code現在會預設突出顯示不常見，且不可見的字元，同時還會突出顯示可能和ASCII字元混淆的字元。官方提到，惡意攻擊者可能會透過利用不可見，或是易混淆的字元，來進行Unicode欺騙攻擊，而VS Code能夠減少這種情況發生的可能性。</p> <p>不過VS Code並無法偵測所有可能的Unicode欺騙攻擊，因為這取決於用戶的字體和區域設定，此外，歧義字元是以啟發式方法偵測，所以為了安全起見，開發者應該使用VS Code工作區域的受信任限制模式來查看原始碼，因為所有非ASCII字元，都會在不受信任的工作區域中突出顯示。</p> <p>而VS Code現在還支援擴充套件的預發布版本，用戶可以選擇安裝這些預發布的擴充套件，來使用擴充套件的最新功能，VS Code在擴充套件安裝下拉選項中，新增額外的安裝選項，能夠安裝預發布版本。</p> <p>變更VS Code的主題現在更直覺，用戶在安裝主題之前，可以先預覽主題帶來的視覺變化，用戶只要從顏色主題下拉選單中，選擇瀏覽其他顏色主題，就可以將滑鼠懸停在不同主題時，看到整個VS Code介面的改變。</p> </div></div></div>
2021/12/14 09:39作者李建興https://www.ithome.com.tw/news/148340
Apache Log4j漏洞開採活動早在官方公布9天前便開始，現已大舉展開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148332" target="_blank">上周Apache基金會緊急修補的Log4j日誌框架漏洞CVE-2021-44228</a>，安全專家提醒企業必須儘速修補，因為研究發現，這個漏洞的開採行動早在公布前9天就開始。而且，駭客掃瞄未修補漏洞的系統不論活動次數及攻擊類型都快速增加中。</p> <p>又被稱為Log4Shell的Log4j漏洞出在JNDI功能允許修改過參數的log訊息，使受害系統從攻擊者控制的LDAP伺服器下載惡意程式執行，甚至遭到接管。Log4j 2.14.1以前版本受影響，Apache基金會於上周五（12/10）公布最新版2.15.0版。</p> <p><a href="https://twitter.com/eastdakota/status/1469800951351427073" target="_blank">Cloudflare執行長Matthew Price周末指出</a>，Log4j開採活動跡象最早可推到12月1日。雖然當時尚未到大規模開採活動，不過一旦漏洞公布，情況就迅速惡化。</p> <p>安全廠商GreyNoise第一天內就偵測到100多臺Tor網路出口節點的主機開採該漏洞。<a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/" target="_blank">微軟威脅情報中心暨Microsoft 365 Defender威脅情報小組指出</a>，依據漏洞特性，一旦攻擊者取得應用完整控制權，就可用來做很多事。微軟偵測到大量掃瞄主機以及實際開採的活動，包括安裝採礦軟體、多個木馬程式及Cobalt Strike，攻擊者可竊取憑證、在內部網路上橫向移動以及外洩資料。攻擊目標涵括Windows及Linux系統。</p> <p><a href="https://blog.netlab.360.com/threat-alert-log4j-vulnerability-has-been-adopted-by-two-linux-botnets/" target="_blank">Net360發現有2隻殭屍網路程式</a>，包括Mirai及Muhstik已經針對Linux系統發動開採感染，其中Muhstik就是使用Tor網路為掩護。<a href="https://news.sophos.com/en-us/2021/12/12/log4shell-hell-anatomy-of-an-exploit-outbreak/" target="_blank">Sophos則偵測到Mirai、Tsunami（和Muhstik相關）和Kinsing</a>。這家安全公司的資料顯示，從上周四以來，已經有數十萬次利用Log4Shell漏洞執行程式碼的意圖行動，竊取資料類型包括AWS金鑰及其他機密資料。</p> <p><a href="https://blog.checkpoint.com/2021/12/11/protecting-against-cve-2021-44228-apache-log4j2-versions-2-14-1/" target="_blank">CheckPoint周一指出</a>他們已攔阻了超過84萬次掃瞄行動，其中一項開採行動甚至掃瞄了全球超過40%的企業網路。</p> <p>Log4j使用者遍及大型網站，<a href="https://www.ithome.com.tw/news/148337" target="_blank">根據一份網路清單</a>，受漏洞影響者包括iCloud、推特（Twitter）、微軟Minecraft及遊戲平臺Steam、Google、Amazon、ElasticSearch，甚至美國國安局的ghidra。由於開採容易，以微軟Minecraft而言，攻擊者只要發送一則惡意log訊息就能觸發。Log4Shell風險值被列為最嚴重等級的10分，被安全專家視為近10年最嚴重漏洞。</p> </div></div></div>
2021/12/14 10:06作者林妍溱https://www.ithome.com.tw/news/148345
【資安警訊】 Apache Log4j日誌框架系統重大漏洞（CVE-2021-44228），已出現攻擊行動，需儘速採取…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h2><strong>漏洞概要</strong></h2> <p>漏洞編號：CVE-2021-44228<br /> 風險等級：CVSS 3.0評分10分（最嚴重10分） <br /> 影響產品：Apache Log4j 2.0-beta9至2.14.1<br /> 解決方法：1. 安裝Apache推出的Log4j 2.15版 2. 使用較新版本的Java SDK（JDK），限制JNDI漏洞利用<br /> 攻擊利用：已知攻擊手法與攻擊事件</p> <h2><strong>事件概覽</strong></h2> <p>Apache甫於12月初前發布Log4j修補版本2.15.0，修補漏洞CVE-2021-44228，此漏洞約於12月10日受關注。這次漏洞的警訊，是阿里雲安全團隊率先公告，他們指出是在11月24日向Apache官方提報這次漏洞，至於CVE漏洞編號，當時GitHub Advisory Database列出此RCE漏洞是CVE-2021-44228，而NIST NVD的漏洞頁面則尚未公開。</p> <p>到了12月11日與12日，隨著更多資安人員關注到此漏洞，相關漏洞資訊與影響也接連曝光，該漏洞被命名為Log4Shell，CVSS風險分數為滿分10分，而且許多大型IT公司的應用系統都使用這款工具，也導致許多業者已經發布產品資安公告，包括Cisco、NetApp等，還有研究人員指出蘋果iCloud、遊戲平臺Steam等都受影響。研究人員Marcus Hutchins更是指出，「有數百萬款應用程式使用Log4j記錄程式活動，而攻擊者只需在聊天欄位發出訊息，將可能觸發與利用這個漏洞。」</p> <h2><strong>漏洞說明</strong></h2> <p>編號為CVE-2021-44228的日誌框架系統Apache Log4j重大漏洞，肇因於某些功能存在遞迴解析功能，存在JNDI注入漏洞，而攻擊者可直接發出惡意請求，觸發遠端程式碼執行漏洞。</p> <h2><strong>影響程度</strong></h2> <p>此漏洞經由CVSS 3.0漏洞評分系統評估為10分（最嚴重為10分），屬重大危險等級的漏洞。</p> <p>由於使用存在漏洞版本的Log4j，將無法防範攻擊者控制LDAP與其他JNDI有關的端點，一旦攻擊者掌握了事件記錄訊息或是參數，有可能在訊息探索啟用的情況下，從LDAP伺服器載入程式碼的管道，執行任意程式碼。</p> <h2><strong>漏洞利用</strong></h2> <p>研究人員p0rz9於GitHub上揭露該漏洞的概念驗證攻擊程式，公布不到1天，資安廠商GreyNoise已偵測到有將近100臺主機利用CVE-2021-44228發動攻擊，這些伺服器大部分是Tor出口節點。</p> <p>此外，<a href="https://www.cert.govt.nz/it-specialists/advisories/log4j-rce-0-day-actively-exploited/">紐西蘭電腦緊急回應小組（CERT NZ）也於12月10日指出</a>，他們獲報此漏洞遭到廣泛利用的跡象。<a href="https://blog.talosintelligence.com/2021/12/apache-log4j-rce-vulnerability.html">思科亦於12日表示</a>他們在2日開始觀察到相關攻擊活動。<a href="https://news.sophos.com/en-us/2021/12/12/log4shell-hell-anatomy-of-an-exploit-outbreak/">Sophos則發現Mirai、Tsunami、Kinsing等殭屍網路開始利用CVE-2021-44228</a>，以利用受害伺服器進行挖礦，他們從12月9日開始，檢測到數十萬次的漏洞利用探測行為。</p> <h2>漏洞修補</h2> <p>由於有多款軟體套件裡包含了Log4j，例如：Apache Struts2、Apache Solr、Apache Druid、Apache Flink，故應用系統的管理者需著手調查，是否採用名稱含有log4j-core的JAR檔案，假如此檔案有被引入使用，且為受影響的版本，<a href="https://logging.apache.org/log4j/2.x/download.html">管理者應從Apache網站下載最新版本</a>，並儘速升級（2.15.0以上版本）。</p> <p>若是無法更新Log4j，阿里雲也提到能使用較新版本的Java SDK（JDK），藉由限制JNDI漏洞利用的方式，來暫時緩解漏洞所帶來的風險。這些版本的SDK是6u211、7u201、8u191、11.0.1。再者，對於Log4j 2.10以上版本，亦可修改配置來達到緩解效果：將log4j2.formatMsgNoLookups的值設定為True，或將JndiLookup類別從classpath路徑刪除。</p> <p>Log4j 1.x不會直接受到這個漏洞影響，但該版本產品生命週期已經結束（EOL），可能存在其他RCE漏洞且不會有修補程式，使用者仍應升級2.15.0以上版本。</p> <h2><strong>事件時間軸</strong></h2> <p>2021年11月24日阿里雲安全團隊向Apache通報Log4j遠端程式碼執行漏洞CVE-2021-44228<br /> 2021年12月11日 Apache發布Log4j 2.15.0修補漏洞</p> <h2><strong>相關資訊</strong></h2> <ul><li> <p><span style="font-size:18px;"><span style="font-family:lucida sans unicode,lucida grande,sans-serif;"><a href="https://www.alibabacloud.com/blog/apache-log4j2-%E9%98%BF%E9%87%8C%E9%9B%B2%E6%9C%8D%E5%8B%99%E6%87%89%E5%B0%8D%E8%88%87%E5%AE%89%E5%85%A8%E5%BB%BA%E8%AD%B0_598345">阿里雲資安通告</a></span></span></p> </li> <li> <p><span style="font-size:18px;"><span style="font-family:lucida sans unicode,lucida grande,sans-serif;"><a href="https://www.ithome.com.tw/news/148332">Apache Log4j驚爆近年最嚴重漏洞，殃及蘋果、微軟、推特重要服務，連美國國安局都受影響</a></span></span></p> </li> <li> <p><span style="font-size:18px;"><span style="font-family:lucida sans unicode,lucida grande,sans-serif;"><a href="https://gist.github.com/SwitHak/b66db3a06c2955a9cb71a8718970c592">各IT廠商的CVE-2021-44428資安通報彙整</a></span></span></p> </li> <li> <p><a href="https://github.com/YfryTchsGD/Log4jAttackSurface"><span style="font-size: 18px;">可能受影響的業者名單</span></a></p> </li> <li> <p><a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/"><span style="font-size: 18px;">防範、檢測、獵捕CVE-2021-44228漏洞的指南</span></a></p> </li> <li> <p><a href="https://www.govcert.ch/blog/zero-day-exploit-targeting-popular-java-library-log4j/"><span style="font-size: 18px;">針對Log4j零日漏洞的利用分析</span></a></p> </li> </ul><p> </p> </div></div></div>
2021/12/13 16:14作者周峻佑https://www.ithome.com.tw/news/148337
【資安日報】2021年12月13日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從上週末到今天，資安圈最受到關注的新聞，應該就屬日誌框架系統Apache Log4j的重大漏洞「Log4Shell」（CVE-2021-44228），由於許多知名的大型應用系統如推特、iCloud、Minecraft等都使用了Log4j，且這項漏洞極為容易被利用，已經出現攻擊行動的情況，被資安專家稱為近10年來最嚴重的漏洞。</p> <p>另一個值得留意的態勢，是勒索軟體攻擊事故不斷傳出，包含了汽車大廠Volvo疑似遭到勒索軟體攻擊，而可能對公司營運造成影響，再者，則是南澳洲政府因薪資系統服務業者遭到勒索軟體攻擊，而導致員工個資曝險。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/148332"><span style="color: rgb(0, 0, 0);">日誌框架系統Apache Log4j重大漏洞波及iCloud、Minecraft、Steam等大型應用系統，且已被用於攻擊行動</span></a></strong></h4> <p>甫被Apache修補的日誌框架系統Log4j漏洞「Log4Shell」（CVE-2021-44228），CVSS風險層級到到滿分10分，被資安專家稱為近10年來最嚴重的漏洞之一，Cloudflare執行長Matthew Price認為，是繼Heartbleed、ShellShock之後最為嚴重的漏洞。</p> <p>由於Log4j的JNDI功能可用於組態、記錄訊息，而包含於Apache Struts2、Apache Solr、Apache Druid等許多軟體專案中，有許多大型IT公司或應用系統都使用這款工具，例如蘋果iCloud、推特、微軟Minecraft，以及Valve遊戲平臺Steam等，再加上這個漏洞利用極為容易，已經出現相關攻擊行動。要利用這個漏洞究竟有多容易？研究人員Marcus Hutchins指出，採用這個日誌框架系統的遊戲Minecraft，攻擊者只需在聊天欄位發出訊息就有可能觸發。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148328"><span style="color: rgb(0, 0, 0);">汽車大廠Volvo驚傳遭到入侵，研發資料外洩</span></a></strong></h4> <p>汽車產業遭到攻擊的現象，今年有數起事故發生。最近，瑞典汽車大廠Volvo也證實成為受害者，他們於12月10日發出公告，指出檔案資料庫遭到非法存取，少量研發資產被竊，且有可能對公司營運造成影響。根據資安新聞網站Bleeping Computer的報導，這起事故是Snatch勒索軟體駭客所為，他們亦公布少量從Volvo竊得的文件。</p> <h4><a href="https://www.zdnet.com/article/south-australian-government-employee-data-taken-in-frontier-software-ransomware-attack/"><span style="color: rgb(0, 0, 0);"><strong>南澳洲政府的員工資料外洩，起因是薪資系統服務業者遭到勒索軟體攻擊</strong></span></a></h4> <p>南澳洲政府於12月10日發出公告，因薪資系統服務業者Frontier Software遭到勒索軟體攻擊，導致他們可能有8萬名員工的資料遭到外洩，資料包含姓名、出生日期、稅務編號、居住地址、銀行帳號、薪水等。而這是Frontier Software在12月9日公布遭到攻擊的事故調查結果後，南澳洲政府透露受到影響的情形。</p> <h4><strong><a href="https://www.cyber.gov.au/acsc/view-all-content/alerts/conti-ransomware-incidents-australia"><span style="color: rgb(0, 0, 0);">澳洲對於勒索軟體Conti攻擊提出警告</span></a></strong></h4> <p>澳洲網路安全中心（ACSC）於12月10日發布資安通報，表示自2021年11月，他們獲報當地數個組織遭到Conti勒索軟體攻擊，並提供入侵指標(IoC)，以及攻擊的策略、技巧，以及步驟（TTP）等資訊，供當地組織進行防範。ACSC提到，該組織會使用BloodHound偵察AD環境，並透過滲透測試工具Metasploit入侵受害電腦，且使用遠端桌面存取軟體AnyDesk維持持久性。此外，該組織也可能會透過網釣攻擊部署後門程式BazarLoader。</p> <h4><a href="https://therecord.media/alphv-blackcat-is-the-first-professional-ransomware-gang-to-use-rust/"><span style="color: rgb(0, 0, 0);"><strong>研究人員揭露以Rust程式語言製作的勒索軟體BlackCat<img alt="" src="https://s4.itho.me/sites/default/files/images/BlackCat-forum-1.png" style="width: 300px; height: 135px; float: right;" /></strong></span></a></h4> <p>為了資安業者Recorded Future與MalwareHunterTeam聯手，公布他們發現的勒索軟體BlackCat（亦稱Alphv），其最與眾不同之處，就是使用Rust程式語言進行編譯。研究人員指出，這是他們首度看到以這種程式語言製作，且運用於實際攻擊行動的勒索軟體，並警告日後可能會有更多的駭客採用Rust來編譯。但為何攻擊者會想要採用這種程式語言？研究人員沒有進一步說明。</p> <h4><strong><a href="https://www.accenture.com/us-en/blogs/cyber-defense/karakurt-threat-mitigation"><span style="color: rgb(0, 0, 0);">駭客組織Karakurt透過寄生攻擊竊密，向受害組織勒索</span></a></strong></h4> <p>資安顧問公司Accenture指出，自2021年9月開始發動攻擊並竊取組織機密的駭客組織Karakurt，在短短2個月內宣稱已攻擊全球超過40個組織，被鎖定的目標主要是規模較小的公司，或者是子公司，且大多數位於北美。該組織使用多種常見、甚至是現成的工具，如AnyDesk、RDP、PowerShell，發動寄生攻擊（LoL），以持續存取受害的網路環境，但不一定會運用Cobalt Strike。研究人員提到，雖然Karakurt也透過專屬網站公布受害組織身分及洩密，但該組織似乎不太使用勒索軟體進行環境破壞。</p> <h4><strong><a href="https://www.ftc.gov/news-events/press-releases/2021/12/ftc-data-show-major-increase-gift-cards-scam-payment-method"><span style="color: rgb(0, 0, 0);">美國禮品卡詐騙攻擊氾濫，損失近1.5億美元</span></a></strong></h4> <p>美國聯邦貿易委員會（FTC）於12月8日提出警告，在2021年的前9個月裡，他們接獲近4萬起禮品卡的詐騙案件，損失金額達到1.48億美元，已超過2020年全年總和。FTC指出，Target禮品卡是今年詐騙案件最常見的對象，是其他禮品卡的2倍以上，平均每個受害者損失2,500美元，其中近三分之一損失超過5,000美元。</p> <h4><strong><a href="https://cofense.com/blog/german-users-targeted-in-digital-bank-heist-phishing-campaigns/"><span style="color: rgb(0, 0, 0);">網站摘要訂閱服務FeedBurner遭濫用，被用於針對德國銀行用戶的網釣攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/German-Bank-feedbruner-5.png" style="width: 300px; height: 356px; float: right;" /></span></a></strong></h4> <p>郵件安全業者Cofense揭露駭客鎖定德國兩大銀行Sparkasse、Volksbanken Raiffeisenbanken用戶，發動釣魚郵件攻擊的新手法，駭客透過Google旗下的網站摘要訂閱服務FeedBurner，產生重新導向的URL，以規避郵件安全系統的偵測；再著，研究人員也發現駭客也在釣魚郵件使用QR Code，可能是針對行動裝置用戶而來。</p> <h4><strong><a href="https://www.wordfence.com/blog/2021/12/massive-wordpress-attack-campaign/"><span style="color: rgb(0, 0, 0);">160萬個WordPress網站遭到近1,400萬次攻擊</span></a></strong></h4> <p>網站安全業者WordPress揭露一起針對WordPress網站的攻擊行動，駭客自12月8日開始，針對4個外掛程式Kiwi Social Share、WordPress Automatic、Pinterest Automatic、PublishPress的已知漏洞，以及多個Epsilon框架主題的函數注入漏洞，透過1.6萬個IP位址，在36個小時內發動1,370次攻擊。研究人員呼籲管理者應儘速修補相關漏洞，並檢查網站是否遭到入侵。</p> <h4><strong><a href="https://www.microsoft.com/security/blog/2021/12/09/a-closer-look-at-qakbots-latest-building-blocks-and-how-to-knock-them-down/"><span style="color: rgb(0, 0, 0);">研究人員揭露惡意軟體QBot的新興攻擊手法<img alt="" src="https://s4.itho.me/sites/default/files/images/Fig7-Craigslist-Excel.png" style="width: 300px; height: 325px; float: right;" /></span></a></strong></h4> <p>微軟在12月9日揭露他們對於惡意軟體QBot（亦稱Qakbot）的發現，指出駭客採用模組化的方式，在發動攻擊時組裝所需模組，而有不同的特徵。因此，他們在相同的攻擊行動裡，往往會發現駭客使用多種用途的QBot，針對不同的受害電腦，發動勒索軟體攻擊、進行橫向移動，以及竊取帳號與密碼等工作。再者，為了引誘受害者啟用Office巨集，讓QBot能順利執行，攻擊者也謊稱文件由DocuSign服務加密。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148307">2021年12月10日</a></p> <p><a href="https://www.ithome.com.tw/news/148267">2021年12月9日</a></p> <p><a href="https://www.ithome.com.tw/news/148252">2021年12月8日</a></p> </div></div></div>
2021/12/13 14:49作者周峻佑https://www.ithome.com.tw/news/148334
Cloudflare正式推出Page Shield，可防禦惡意腳本攻擊提升網頁安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare推出<a href="https://blog.cloudflare.com/page-shield-generally-available/">Page Shield正式版本</a>，供網路管理員能夠掌握網頁應用程式正在執行的腳本，並且在腳本被入侵或是執行洩露用戶資料等惡意行為時收到通知，用戶只需要在Cloudflare防火牆頁籤中，透過滑鼠點擊啟用Page Shield，不需要額外繁瑣的配置。</p> <p>官方提到，平均而言，任何網頁應用程式都會從八個第三方主機載入腳本，這些腳本可能來自Google等大型企業，也有可能是來自小公司，所提供的隨插即用功能強化模組，像是聊天系統、日期選擇器或是結帳平台等，而這些第三方都可能成為供應鏈攻擊的目標。由於複雜的腳本來源，使得攻擊面變得很大難以監控，Cloudflare還指出，每月有50％的應用程式，會從新的第三方主機載入腳本，這使得攻擊面更加複雜。</p> <p>而Page Shield能在可見性、偵測、緩解和預防各方面著手，使得網路管理員有能力阻擋惡意腳本攻擊，Page Shield將Cloudflare所提供的網路服務當作反向代理，從瀏覽器接收有關載入JavaScript檔案和模組的資訊，並且透過分析這些JavaScript檔案，在發現惡意行為時通知用戶。</p> <p>使用者在啟用Page Shield之後，該服務會利用內容安全策略（Content Security Policy，CSP）中的唯讀指令，來從瀏覽器收集資料，因此Page Shield能夠提供用戶應用程式執行的所有腳本列表，報告的資訊涵蓋載入腳本的頁面、違反CSP的指令、JavaScript檔案的連結等。CSP是一個電腦安全標準，可用來防禦跨站指令碼、點擊劫持等程式碼注入攻擊，阻擋惡意內容在受信任的網頁環境中運作。</p> <p>Page Shield會對JavaScript檔案進行一系列惡意行為掃描，系統會標記來自有疑慮來源的腳本，當有特定URL被確定為惡意來源，Page Shield會下載惡意檔案，並且在分類器中執行，經過去混淆工程、標準化和解碼等程序，確認真正惡意的攻擊腳本。</p> <p>除了用戶可以藉由HTTP回應標頭實作CSP之外，Page Shield之後將會提供進一步的預防和緩解功能，供用戶以觀察到的腳本作為基礎，利用儀表板或是API快速生成CSP來進行阻擋，或是利用Cloudflare的代理，從HTTP回應主體中移除惡意腳本。</p> </div></div></div>
2021/12/13 15:46作者李建興https://www.ithome.com.tw/news/148335
AWS公布上周大規模故障原因：自動化擴充容量造成網路設備過載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148246" target="_blank">AWS（Amazon Web Services）美東US-EAST-1服務區域在太平洋標準時間（PST）周二（12/7）上午7:30（臺北時間7日晚上11:30）出現故障</a>，而且一直到PST當天下午2:22分（臺北時間8日上午6:22分）才排除問題，延續了近7個小時，<a href="https://aws.amazon.com/tw/message/12721/" target="_blank">AWS在10日公布了詳細的故障原因</a>，指出是因為一個自動化的容量擴充程序導致網路設備過載而造成的意外事件。</p> <p>根據AWS的說明，大多數的AWS服務與客戶的應用都是在主要的AWS網路上運作，但AWS還運用一個內部網路來代管許多基本服務，像是監控、內部DNS、授權服務或是部份的EC2控制平面。由於在內部網路中執行的服務非常重要，因此AWS利用多個於地理上隔離的網路設備來連結內部網路，同時還會擴充此一網路的容量來確保網路連結的高可用性。</p> <p>這些網路設備用來提供額外的路由及網路位址的轉換，以支援各種AWS服務在主要網路及內部網路之間的通訊。</p> <p>意外的發生始於PST時間上午7:30，AWS主要網路上的某個AWS服務進行自動化的容量擴充，觸發了內部網路大量客戶端的意外行為，造成主要網路與內部網路的連線活動激增，而讓網路設備不堪負荷，導致這兩個網路之間的通訊延誤。</p> <p>延誤的通訊帶來更多的延遲與錯誤，也造成系統不斷重試，使得連結這兩個網路的設備持續出現擁塞與效能問題。</p> <p>事實上，AWS客戶的負載並未直接受到此一網路問題的影響，因為AWS的主要網路並未出現問題，但只要是必須連結到內部網路的服務幾乎都受到波及。</p> <p>舉例來說，EC2實例並未受到影響，但要透過位於AWS內部網路的EC2控制平面來發布新實例的任務就會遇到錯誤；要存取Amazon S3及DynamoDB也是正常的，但若透過VPC Endpoints存取則會遭遇問題；既有的容器可正常運作，但使用Fargate、ECS與EKS等容器服務則會出錯。</p> <p>此外，由於內部網路代管了監控服務，使得此一意外不僅波及AWS的CloudWatch監控服務，令用戶無法存取服務健康儀表板，還讓AWS在第一時間無法辨識問題的所在。</p> <p>AWS指出，因其內部團隊無法存取即時的監控資料，只好仰賴日誌來辨識與追蹤問題，並率先將內部的DNS流量移出，減少網路擁塞的狀況，再陸續移除其它流量以減輕網路設備的負荷，同時新增其它的網路能力。</p> <p>花了快7個小時的時間才解決，AWS提出了3個原因，一是網路擁塞同時也限制了內部團隊尋找問題的能力，其次是內部系統也受到波及，第三則是主要網路上的服務是正常的，必須很謹慎才能在恢復服務時，不影響這些正常運作的任務。</p> <p>這起意外除了讓AWS暫時關閉並重新設計擴充活動外，也使得該平臺決定於明年初發表全新的服務健康儀表板，以及全新的支援系統架構，以強化與客戶之間的聯繫。</p> </div></div></div>
2021/12/13 16:10作者陳曉莉https://www.ithome.com.tw/news/148336
薪資軟體供應商遭駭，南澳洲至少3.8萬名公務員資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.roblucas.com.au/media-releases/statement-re-ransomware-cyber-attack-directed-at-frontier-software/" target="_blank">南澳洲政府在12月9日指出</a>，由於外部的薪資軟體供應商Frontier Software遭到勒索軟體攻擊，導致至少有3.8萬名員工的個資外洩，而且外洩規模最多可能達8萬名員工。</p> <p>其實Frontier Software發生資安意外的時間點<a href="https://www.frontiersoftware.com/news-and-articles/frontier-software-cyber-incident" target="_blank">是在11月16日</a>，且<a href="https://www.frontiersoftware.com/news-and-articles/frontier-software-cyber-incident" target="_blank">初步調查時</a>還說沒有任何客戶資料外洩，儘管澳洲企業系統遭到駭客加密，但澳洲客戶的人事暨薪資的資料與系統是與澳洲企業系統隔離的，因此並未受到危害。</p> <p>然而，<a href="http://au.frontiersoftware.com/news-and-articles/australian-update-cyber-incident-0" target="_blank">上周Frontier Software卻改口表示</a>，有些位於澳洲企業環境中的資料遭到存取，而南澳政府也同時發出聲明，指出不僅資料遭駭，也已曝露於暗網中。</p> <p>南澳政府指出，至少有3.8萬名員工，最多有8萬名員工的資料遭到存取，目前正在確認數字，被存取的員工資料包括姓名、生日、稅賦文件號碼、地址、銀行帳號、支薪時間、報酬及支付方式等。</p> <p>至於<a href="https://www.bleepingcomputer.com/news/security/data-breach-impacts-80-000-south-australian-govt-employees/" target="_blank">《BleepingComputer》</a>則報導，攻擊Frontier Software的應該是Conti勒索軟體集團，因為該集團在11月16日就公布了攻擊細節，與Frontier Software公布的時間點及內容相符，但現在已被移除，相信是雙方之間的談判已經結束。</p> <p>Frontier Software已通知受影響的客戶，但並未透露是否支付了贖金。</p> </div></div></div>
2021/12/13 13:55作者陳曉莉https://www.ithome.com.tw/news/148333
Apache Log4j漏洞影響iCloud、微軟Minecraft、Steam，專家稱近年來最嚴重
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周揭露的Apache Log4Shell重大風險漏洞，影響包括微軟Minecraft、蘋果iCloud、Steam等大型網站，被資安專家稱為近10年來最嚴重漏洞。研究人員並發現已經有針對該漏洞的開採行動。</p> <p>編號CVE-2021-44228的漏洞發生於開源日誌資料庫Log4j。Log4j的JNDI功能可用於組態、紀錄訊息，包含於許多軟體專案中，包括Apache Struts2、Apache Solr、Apache Druid、Apache Flink等。用戶涵括全球最知名網路服務或網站，如蘋果iCloud、推特（Twitter）、微軟遊戲《Minecraft》及Valve遊戲平臺Steam等，此外ElasticSearch、Elastic Logstash、Redis及美國國安局的Ghidra、以及CloudFlare、騰訊、百度等大型網站服務也都使用這項元件。</p> <p>CVE-2021-44228是由阿里雲安全研究團隊發現、並於11月底通報Apache基金會的遠端程式碼執行（remote code execution，RCE）漏洞。它是Log4j的JNDI API未能驗證遠端攻擊者由惡意LDAP或其他端點發送修改過參數的log訊息，而自LDAP伺服器下載惡意程式碼至受害系統執行，最嚴重可接管整臺系統。CVE-2021-44228又被稱為Log4Shell。</p> <p><a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44228" target="_blank">美國NIST漏洞資料庫</a>並未給定CVE-2021-44228的CVSS 3.1風險值。但<a href="https://blog.qualys.com/vulnerabilities-threat-research/2021/12/10/apache-log4j2-zero-day-exploited-in-the-wild-log4shell" target="_blank">許多安全廠商皆判斷屬最嚴重等級的10分</a>。安全廠商<a href="https://www.theguardian.com/technology/2021/dec/10/software-flaw-most-critical-vulnerability-log-4-shell" target="_blank">Tenable稱其為10年最重大漏洞</a>，<a href="https://twitter.com/eastdakota/status/1469550220191027202" target="_blank">Cloudflare執行長Matthew Price則說</a>它是Heartbleed、ShellShock以來最嚴重漏洞</p> <p>Log4Shell漏洞影響Log4j 2.0-beta-9和以上版本，以及2.14.1和以下版本。<a href="https://logging.apache.org/log4j/2.x/security.html" target="_blank">Apache基金會已釋出更新版本2.15.0版</a>。</p> <p><a href="https://twitter.com/P0rZ9/status/1468949890571337731" target="_blank">上周一名代號p0rz9的研究人員於GitHub揭露該漏洞的概念驗證攻擊程式</a>。漏洞揭露一天內<a href="https://twitter.com/GreyNoiseIO/status/1469326260803416073" target="_blank">安全廠商GreyNoise已偵測</a>到有將近100臺不同主機開採CVE-2021-44228，它們大部份是Tor出口節點。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1213-Log4j%E6%BC%8F%E6%B4%9E-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_</span><a href="https://twitter.com/GreyNoiseIO/status/1469326260803416073" target="_blank"><span style="color:#696969;">GreyNoise</span></a></p> <p><a href="https://montreal.ctvnews.ca/quebec-shuts-down-3-992-websites-as-preventative-measure-after-security-flaw-discovered-1.5704258" target="_blank">加拿大媒體報導</a>，魁北克省上周五在獲知漏洞及PoC後，立刻採取預防措施，關閉近4,000臺伺服器。</p> <p><a href="https://www.minecraft.net/en-us/article/important-message--security-vulnerability-java-edition" target="_blank">Minecraft團隊證實</a>Log4j漏洞影響Minecraft Java Edition。<a href="https://twitter.com/MalwareTechBlog/status/1469290238702874625" target="_blank">知名安全研究人員Marcus Hutchins指出</a>，攻擊者只需要在Minecraft聊天欄位貼上一則短訊即可觸發RCE。</p> <p>微軟已經修補漏洞，但呼籲用戶更新軟體；他們必須先關關所有遊戲的執行個體及Minecraft Launcher再重新啟動、以自動下載最新版。但修改過的用戶端、使用第三方Launcher者，以及自行營運Minecraft遊戲伺服器者則必須確認修補。</p> <p><a href="https://logging.apache.org/log4j/2.x/security.html" target="_blank">Apache基金會建議</a>，企業應立即升級到Log4j v2.15.0。若使用Log4j 2.10以上版本而無法立即升級者，應將系統屬性log4j2.formatMsgNoLookups參數由”false”改為”true”。使用2.10以前版本者，則應從classpath移除JndiLookup class，例如執行以下指令：</p> <pre> zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class</pre> </div></div></div>
2021/12/13 11:48作者林妍溱https://www.ithome.com.tw/news/148332
CentOS將於年底來到EoL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/141582" target="_blank">一年前Red Hat宣布</a>將在今年底結束提供免費的CentOS Linux。<a href="https://www.centos.org/centos-linux-eol/" target="_blank">上周五Red Hat再度提醒</a>，CentOS Linux 8將在今年12月31日來到生命周期終點（End of Life，EoL）。</p> <p>CentOS是Linux發行版之一，是Red Hat依照開放原始碼規定釋出Red Hat Enterprise Linux原始碼編譯而成。由於出自相同原始碼，因此有些要求高度穩定性的伺服器以CentOS替代商業版Red Hat Enterprise Linux。去年Red Hat宣布CentOS將轉為適用提供DevOps人員開發的平臺，而非跑穩定伺服器應用或VM的作業系統，新平臺稱為CentOS Stream，也不會再有CentOS 9。</p> <p>CentOS原定今年第2季釋出的CentOS Stream 9延至11月中推出。<a href="https://www.centos.org/centos-stream/" target="_blank">用戶可以在CentOS網站下載</a>IBM Power、IBM Z、ARM54、x86架構套件。Red Hat表示，CentOS Stream 8不再會自動升級到新版本。</p> <p>最後一版CentOS 8只會更新到2021年12月31日，反倒CentOS 7會更新到2024年6月30日。對於CentOS 8用戶，Red Hat還會在推出RHEL 8.5時，釋出RHEL rebuild版給CentOS用戶，即真正最後一個CentOS版本，時間點也可能落在EOL後。</p> <p>一如RHEL小數點版本（point release）會附帶數次的安全更新，CentOS Linux 8最後一版也會有類似的更新，但是隨著宣布EoL以及時值新年假期，Red Hat支援只會延到2022年1月31日，之後就不再釋出更新。</p> <p>1月底一到，或期間發生CVSS風險值9以上的安全漏洞，這個版本就會從映射網站上移除，並永久歸檔於vault.centos.org網站，後者專門儲存已經EoL的產品。</p> <p>CentOS擁有許多大型企業及網站用戶，包括臉書、迪士尼、GoDaddy、豐田汽車、Verizon及中國電信基礎架構，此外一些廠商則以CentOS作為其產品底層，包括Juniper、F5、Fortinet等。</p> <p><a href="https://www.zdnet.com/article/centos-linux-8-is-about-to-die-what-do-you-do-next/" target="_blank">ZDNet建議</a>，CentOS 8以外的選擇包括AlmaLinux、CloudLinux OS、Rocky Linux及Amazon Linux、HPE ClearOS、Oracle Linux、Ubuntu，當然還有RHEL。</p> </div></div></div>
2021/12/13 09:13作者林妍溱https://www.ithome.com.tw/news/148329
蘋果Apple Wallet可儲存飯店房卡，Hyatt首發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.hyatt.com/news-releases?item=124174" target="_blank">蘋果與知名飯店Hyatt上周宣布</a>，Apple Wallet將可儲存Hyatt集團旗下6家飯店的數位房卡，讓使用者可利用iPhone或Apple Watch出入飯店房間、健身房、SPA等其他設施。</p> <p>這項服務是今年6月WWDC宣布iOS 15中Apple Wallet新增功能的一部份。除了可當錢包外，Apple Wallet也能儲存數位車鑰、門鑰、房卡及數位學生證或駕照。Hyatt最新宣布使其成為第一家提供Apple Wallet儲存房卡的飯店品牌，讓入住的房客以iPhone或Apple Watch出入房間，或是使用以房卡管制的設施，像是健身中心、SPA、游泳池、電梯等。</p> <p>要使用這項服務，Hyatt會員在預約住房後，需以專屬Hyatt App將數位房卡的憑證加入Apple Wallet更新入住時間等資訊。Apple Wallet的數位房卡會在房客入住時啟用並通知用戶。用戶必須先將iPhone 升級到iOS 15，或將Apple Watch升級到watchOS 8以上版本。</p> <p>住客入住Check -in並分配住房前，Apple Wallet中的房卡都不會生效。之後若住客想換房間、延長居住時間或申請延遲退房，都可以直接在Apple Wallet App操作。退房時住客也需以Hyatt專屬App操作，由此解除Apple Wallet中的數位房卡，房卡資訊也會歸檔在Apple Wallet中。</p> <p>在住房期間使用飯店設施時，用戶可以iPhone手機或智慧手錶靠近NFC門鎖刷入。如果用戶iPhone使用 Express模式，甚至手機不用掏出口袋就可刷入。若iPhone或Apple Watch電量過低，在啟用省電模式（Power Reserve）下最長5小時仍能以Apple Wallet出入飯店。</p> <p>實施這項服務的Hyatt飯店有6家，涵括夏威夷Andaz Maui at Wailea Resort、佛州 Hyatt Centric Key West Resort & Spa、芝加哥Hyatt House Chicago/West Loop-Fulton Market、德州達拉斯 Hyatt House Dallas/Richardson、矽谷Hyatt Place Fremont/Silicon Valley，和加州長灘 Hyatt Regency Long Beach。</p> <p>Apple Wallet其他應用方面，<a href="https://www.ithome.com.tw/news/146494" target="_blank">9月已有8州加入這項計畫</a>，允許以iPhone或Apple Watch儲存駕照及州身分證。另外，也有更多美國及加拿大大學<a href="https://www.apple.com/newsroom/2021/08/student-ids-on-iphone-and-apple-watch-expand-to-canada-and-more-us-universities/" target="_blank">推行Apple Wallet儲存數位學生證</a>。</p> </div></div></div>
2021/12/13 09:41作者林妍溱https://www.ithome.com.tw/news/148330
微軟擴展Azure Space衛星圖像與地理空間功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟擴展其太空與衛星服務，<a href="https://azure.microsoft.com/zh-tw/blog/new-satellite-connectivity-and-geospatial-capabilities-with-azure-space/">Azure Space</a>計畫和Azure Orbital服務都有功能更新，供用戶能夠結合雲端的優勢，發展出更多創新應用。透過與空中巴士合作，Azure Space開始提供高解析度影像，而Azure Orbital則進入預覽階段，供用戶以視覺化方式控制彗星通訊。</p> <p>Azure Orbital是微軟在2020年9月所公開的衛星資料處理服務，其屬於地面展服務，能夠讓用戶控制與衛星的通訊，並且利用Azure服務來處理和儲存衛星資料。在2020年10月的時候，微軟發表了Azure Space計畫，Azure Orbital成為Azure Space底下的服務，微軟也透過與更多的衛星服務業者合作，來推行各種太空產業服務。</p> <p>Azure Orbital供用戶以雲端規模控制衛星資料，微軟提到，公部門和企業開始向太空發射大量衛星，這提高了對地面上低延遲、高容量基礎設施的需求。微軟、衛星服務供應商和和地面基礎設施合作夥伴，共同支援並提供Azure Orbital服務，使衛星營運商能夠不需要建構專用地面站網路，只要透過Azure Orbital以及微軟的合作夥伴，就能夠向全球提供低成本服務。</p> <p>Azure Orbital預覽功能包含對微軟和KSATlite地面站的支援，從這個月開始，用戶可以透過Azure Orbital API或是Azure入口服務，與使用微軟和KSAT天線的衛星通訊，微軟提到，與KSAT建立合作夥伴關係，可以讓服務足以覆蓋全球，而微軟的雲端服務，則能處理、儲存和擷取來自衛星的資料。</p> <p>微軟研究院利用Azure服務，建構能夠看穿雲層的SpaceEye技術。由於地球上有67％的表面被雲層覆蓋，因此對從太空觀測地球的任務，造成極大的挑戰，而SpaceEye以人工智慧技術為基礎，可以生成每日無雲的光學和多光譜圖像。</p> <p>SpaceEye使用哨兵一號衛星（Sentinel-1）上的合成孔徑雷達，作為基礎資料來源，利用雷達資料不受雲層覆蓋影響的優勢，結合歷史光學圖像，以人工智慧生成雲層下地表的樣貌，官方提到，這項技術能夠被用於農業、土地利用偵測，甚至是災難救援等領域。</p> <p>另外，微軟還啟動了圖靈計畫，來強化衛星圖像的解析度，這項技術可以對衛星拍到的圖像，大幅提升解析度，使其能夠媲美航空相片，這大幅度提升人類對高空圖像的觀測體驗，現在這項技術已經在Azure上運作，並且用來強化全球的Bing地圖，覆蓋用戶50％的請求。</p> <p>Azure Space計畫還包含了微軟與空中巴士的合作，在Azure地圖服務提供高品質衛星圖像和高程資料。在這個合作中，空中巴士將會使用SPOT、Pléiades和Pléiades Neo各種解析度的衛星圖像，還有WorldDEM4Ortho的高程資料，提供Azure地圖圖資。</p> </div></div></div>
2021/12/13 08:41作者李建興https://www.ithome.com.tw/news/148320
GitHub現在能夠提供精確的程式碼導覽功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub宣布對所有公共和私有的Python儲存庫，啟用更加精確的<a href="https://github.blog/2021-12-09-introducing-stack-graphs/">程式碼導覽</a>功能。這個新的精確程式碼導覽功能，底層應用由GitHub所建立的堆疊圖（Stack Graphs）開源框架，能以宣告式的領域特定語言（DSL），替程式語言定義名稱綁定規則。藉由使用堆疊圖，不需要儲存所有者的配置，也不須進入建置和其他CI作業，GitHub就能對儲存庫生成程式碼導覽資料。</p> <p>程式碼導覽是指一系列的功能，可讓開發者深入探索程式碼中的關係和相依項目，基本的程式碼導覽功能像是跳轉到定義，以及查詢所有參照。兩者的功能都是基於程式碼中的名稱，程式語言讓開發者能夠定義函式、類別、模組、方法和變數名稱，這些物件都具有名稱，使得開發者可以在程式碼其他部分參照。</p> <p>程式碼導覽的查詢參照功能，如同下圖，在這個Python模組中，檔案末端的broil，是對檔案中藍色broil函式定義的參照，而GitHub的目標，是收集關於定義和參照列表的資訊，並且確保每個參照都能對應到GitHub上託管的程式碼定義。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/python-simple.png" style="width: 380px; height: 490px;" /></p> <p>不過，這項工作卻充滿挑戰，官方提到，上圖的例子因為情況比較簡單，能夠直覺地看出定義和參照的關係，不過在實際情況，並不總是那麼簡單。像是可能存在多個同名定義，因為在Python中，名稱可以相互遮蔽，這代表broil參照必會是兩個定義中的後者。</p> <p>不過這些規則又因程式語言不同而相異，像是在Rust中，頂級定義不允許相互遮蔽，但是局部變數卻可以，因此如果根據Rust語言規範，將上述案例從Python轉換到Rust上便是錯誤的。而這只是單個檔案的案例，在實際的情況，程式碼更可能被拆分成多個檔案、套件甚至是存在不同儲存庫中，程式語言允許開發者引用位置遙遠的定義，而且這同樣在不同的語言，有不同的行為。</p> <p>另一個困難是規模，GitHub想對所有託管的儲存庫都提供程式碼導覽服務，並希望儲存庫擁有者不需要手動進行配置。在GitHub中，每分每秒都有大量的程式碼提交到平臺上，且不少提交可能只有少量檔案被修改，因此這項新功能還必須要能支援增量處理和儲存。</p> <p>面對這些建立程式碼導覽功能的挑戰，GitHub運用台夫特理工大學Eelco Visser研究小組的範圍圖（Scope Graphs）框架，藉由創建堆疊圖來解決這些問題。運用堆疊圖，GitHub實現了跳轉到定義功能，當用戶點擊參照，GitHub會載入提交中每個檔案的堆疊圖，並且合併這些堆疊圖，接著從參照節點開始執行路徑搜尋，演算法會確保過程不產生無效路徑。</p> </div></div></div>
2021/12/13 08:46作者李建興https://www.ithome.com.tw/news/148323
Volvo汽車遭駭導致研發資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.media.volvocars.com/global/en-gb/media/pressreleases/292817/notice-of-cyber-security-breach-by-third-party-1" target="_blank">汽車大廠Volvo Cars上周公告</a>，今年稍早網路遭駭，致使公司研發資料被竊。</p> <p>Volvo Cars原為瑞典Volvo集團一部份，2010年出售給了中國吉利汽車集團。</p> <p>事件發生時間不明，Volvo Cars僅說檔案資料庫遭第三方人士非法存取，並有「少量」研發資產遭竊。發現事件後，Volvo已經切斷駭客存取管道，也通報相關單位。</p> <p>根據現有資訊Volvo Cars周五證實入侵事件可能對公司營運產生影響。但Volvo表示目前沒有跡象顯示客戶車輛或個資受到影響。</p> <p>Volvo Cars並未提供任何事件描述，不過<a href="https://www.bleepingcomputer.com/news/security/volvo-cars-discloses-security-breach-leading-to-randd-data-theft/" target="_blank">Bleeping Computer報導</a>，元兇可能是勒索軟體。Snatch勒索軟體駭客組織宣稱是其所為，他們宣稱11月底成功入侵且竊走Volvo檔案。這幫歹徒還張貼了檔案螢幕截圖，並釋出近36MB的資料。</p> <p>不過Volvo Cars對<a href="https://www.securityweek.com/hackers-steal-research-data-swedens-volvo-cars" target="_blank">法新社</a>否認此次是勒索軟體攻擊事件。</p> <p>這是汽車大廠最新一起資安事件。光是今年內就有<a href="https://www.ithome.com.tw/news/145020" target="_blank">賓士汽車</a>及<a href="https://www.ithome.com.tw/news/145309" target="_blank">德國福斯汽車</a>分別因外部廠商及外包商安全疏漏，造成客戶個資外洩。</p> </div></div></div>
2021/12/13 09:02作者林妍溱https://www.ithome.com.tw/news/148328
【冠軍模型催生關鍵：業界出題學界解題模式】一場會議催生世界第一物件偵測模型YOLOv4，一張GPU就跑得動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YOLOv4的誕生由一場會議而起。</p> <p>2018年的一個春天，中研院資訊所廖弘源特聘研究員團隊成員們坐在會議室裡，盯著投影簡報上的10道題目。當時沒人知道，這些題目最後會催生出驚艷全球AI社群的物件偵測模型。</p> <p>那是義隆電子與中研院團隊第二次聚會討論，他們因科技部的「業界出題、學界解題」AI計畫相識，共同展開為期4年的改造計畫。那些題目，都是義隆電子研發產品時遇到的挑戰，幾乎都圍繞在電腦視覺上。中研院團隊的核心人物、中研院資訊所所長廖弘源也以「實用」和「能以科學方法解決」這兩個原則，共同篩選出5道題，並從中整理出3項關鍵技術，來集中火力研究。</p> <p><span style="font-size:28px;"><strong>瞄準3技術，解題模型要輕快準</strong></span></p> <p>這3項技術，分別是行人重識別、魚眼鏡頭車流分析，以及手機人臉防偽造。中研院資訊所博士後研究員王建堯解釋，第1項是要辨識同一人在不同場景出現的情況，比如在賣場中，辨識四處移動的消費者，來了解他們的移動軌跡和商品偏好等行為。</p> <p>第2項技術，是要透過裝設在交通號誌下的魚眼鏡頭，來分析道路車流，進一步調控交通號誌燈。至於人臉防偽造，是要防止手機人臉辨識時，有心人以照片或面具來混淆辨識系統。</p> <p>這3種技術雖有各自的應用場景，但其實，它們都面臨同一道挑戰——如何在運算資源不足的低階設備上，執行AI推論且達到高準確度。比如，2018年的手機運算資源有限，大多未內建AI加速晶片，團隊得開發出輕量、準確且快速的AI模型，才能在手機上執行臉部防偽辨識。又比如，要利用魚眼鏡頭畫面來分析車流，只能仰賴交通號誌燈下的簡易供電系統，得選用功耗較低的Nvidia Jetson TX2開發板，運算資源只有一般GPU的十分之一，因此AI模型也得又輕又快又準，才能達到要求。</p> <p><span style="font-size:28px;"><strong>三番兩次研發新方法，拉高15%準確率突破通用性瓶頸</strong></span></p> <p>廖弘源帶著研究員王建堯，負責實踐第1項技術。成功開發出符合要求的辨識系統，但後來考量，這種在公共場所辨識個人的技術，日後可能涉及隱私議題，第一年還沒結束就決定終止，不再繼續研究了。</p> <p>而第2項技術，原由另一組中研院團隊負責。這道題同樣為期4年，每年訂出階段目標。2018年，計畫第一年要完成魚眼車流分析，第二年則是實現路口停等車隊與車流分析、混流車牌識別、行車魚眼多物件追蹤等任務，2020年要結合前兩年的技術，來建立路口交通號誌控制系統。2021年，則進一步完善智慧交通路網號誌控制系統，透過混流車牌識別技術，以科技執法來揪出違規車輛。</p> <p>在2018年展開計畫後，原團隊採用當時熱門的開源物件偵測模型YOLOv3，來分析魚眼鏡頭拍攝的十字路口畫面，進一步辨識車輛、車種，並計算車流量、平均速度、路口平均佔有率等。</p> <p>這套基於YOLOv3的模型，能良好辨識在訓練資料集有涵蓋的場景，但將模型部署到臺中主要幹道的真實場域後，辨識準確度反而下滑了，只有80%左右，無法達到專案要求的90%。</p> <p>YOLOv3已是世界級的物件偵測模型，但研究團隊調校再調校，仍無法解決問題在真實場域中準確度不足的問題。這時，終止第1項技術研究的廖弘源和王建堯加入了第2項技術團隊，來解決這個瓶頸。</p> <p>為了解題，也為了配合硬體資源限制，王建堯先是參考了輕量的物件偵測模型ResNet，改良其學習策略，開發出一套快速、低功耗的輕量級電腦視覺模型PRN。PRN雖比YOLOv3快上兩倍，但準確度比YOLOv3差。</p> <p>第一次嘗試失利，但王建堯再接再厲，2019年研發出CSPNet，提高模型梯度組合，也最大化梯度多元性，一改卷積網路為人詬病的梯度消失問題，大大提高模型學習效率。CSPNet不只耗費的硬體資源更低，準確率也更高。</p> <p>更重要的是，CSPNet部署到真實場域後，面對訓練時未見過的場景，「辨識準確率比基於YOLOv3的模型高出15%！」終於解決前一年難以突破的瓶頸，王建堯回想起來，還是難掩興奮：「CSPNet可以用差不多的速度，突破90%準確率，甚至接近95%！」他點出，這也是義隆電子印象深刻之處，更證明了CSPNet更通用的能力。</p> <p><span style="font-size:28px;"><strong>開源習慣養出YOLOv4</strong></span></p> <p>2019年11月，王建堯按照慣例，也將自行研發的CSPNet專案程式碼開源。有別於學界常用Python來開發AI模型，熟諳晶片軟硬體技術開發的王建堯，自己從2018年開始，就用業界常用的C和C++程式語言，搭配YOLO專用的深度學習框架Darknet來開發模型。因此，不論是PRN還是CSPNet，他一律開源，貢獻給YOLO社群，也因此與社群培養出緊密的關係。</p> <p>「我們開源模型，來尋求原版框架的支援，因此而獲得在GitHub與YOLO社群上的密切討論。」王建堯回憶，他開源的模型，通常會在短時間內獲得Darknet支援，也數次被納入電腦視覺界重要的函式庫OpenCV中。他也會將開發出的新功能程式碼，直接交由YOLOv3 Darknet的維護者Alexey Bochkovskiy處理，新增至新版模型中。這次合作也讓王建堯與Alexey Bochkovskiy開始熟悉，後來Alexey更成了將YOLOv4帶進國際社群的關鍵人物，也名列YOLOv4共同作者。</p> <p>因為，2019年那次開源後，Alexey Bochkovskiy立刻就被CSPNet吸引。他主動聯絡廖弘源和王建堯，要用3種GPU來測試CSPNet性能，還要進一步以CSPNet，開發下一代YOLO模型。</p> <p>不出所料，CSPNet在3種GPU測試中都拿下第一，三方也緊接著在2020年初著手打造新模型。他們以CSPDarkNet53為新模型的Backbone，來加強卷積網路學習能力，Neck部分則加入空間金字塔池化層和PANet，前者用來強化接受區域（Receptive field）作用，能將最重要的特徵區分出來，後者則取代YOLOv3的FPN，在不同等級的偵測器中聚合參數。Head的部分，則採用YOLOv3。</p> <p>過程中，這三人不僅分工開發，Alexey Bochkovskiy也拿著論文草稿，來與YOLO前三代的原作者一一討論。在一連串的努力下，去年4月，YOLOv4正式發表。</p> <p><span style="font-size:28px;"><strong>別讓我知道資料長怎樣！高標準測試讓YOLOv4一問世就成第一</strong></span></p> <p>他們對YOLOv4的講究，還不只如此。在測試模型通用性的關鍵階段，王建堯特別要求義隆電子團隊，「千萬別讓我們知道一部分的標註資料長怎樣！」這是因為，這麼做，模型開發者就不會根據那些資料來設計模型，而是採取更通用的設計方法。</p> <p>而且，「訓練資料與測試資料完全無關，就像是盲測，測出的結果也更公平公正。」王建堯補充，正因為用更嚴格的標準來要求，模型實作出來後，成果往往比預期更好。</p> <p>經嚴格標準打造的YOLOv4，在去年秋季舉辦的微軟COCO即時物件偵測挑戰賽中，一舉奪下全球第一，擊敗Google、臉書、IBM等擁有大量資源的科技巨頭。</p> <p>這個第一名，YOLOv4穩坐了好幾個月。</p> <p>這讓王建堯很訝異。他坦言，一路來，他和團隊只想著如何解決義隆電子難題，要打造一套模型，能在運算資源有限的低階設備上，又輕又快又準地辨識物件。當時，他們就發豪語要超越世界第一，來實現目標，「只是當我們做到後，我沒想過，其他人還沒跟上來。」王建堯解釋，那段時間裡，也有許多團隊在研發更好的物件偵測模型，但研發成果還不及YOLOv4，有段時間差。</p> <p>他也認為，YOLOv4之所以能成為影響世界的AI模型，正因為有業界出題、學界解題這種產學共創模式。「這對AI技術發展很重要！」他點出，學界和業界容易存在技術落地的鴻溝，而產學共創模式，能讓學界了解業界面臨的實際問題，進而研發出能落地的技術。王建堯強調，業界少有「共享知識」的習慣，而學界研發新技術，幾乎得公開發表論文、開源模型，在知識的共享上更為開放。整合業界與學界的知識，就能產出令人驚豔的成果。</p> <p><span style="font-size:28px;"><strong>YOLOv4讓一般企業、個人都能負擔得起AI研究</strong></span></p> <p>不過，對他來說，YOLOv4最大的意義不在於輕、快、準，而是物件偵測技術的普及。「很多模型開源後，一般人不見得能用。」他解釋，因為這些模型大多得仰賴昂貴的硬體設備，如好幾百個TPU，甚至上千張GPU才能訓練模型。相反地，YOLOv4只需個人電腦上的1個GPU，就能訓練好模型、進行推論，甚至，它比科技巨頭用上千顆GPU訓練出的模型還還有更好的表現。</p> <p>「YOLOv4最大的效果是，人人可做AI研究，而不只侷限於大科技公司！」王建堯說。</p> <p>開發出YOLOv4後，王建堯也馬不停蹄展開新研究。因為，義隆電子在去年底，給團隊開出了一個新目標，不只要模型輕快準，還要能執行多任務，而且每個任務都要能做好。</p> </div></div></div>
2021/12/13 07:00作者王若樸https://www.ithome.com.tw/news/148299
【冠軍模型接班人，整合顯隱性知識架構】不只物件偵測快又準，YOLOR能一心多用秒解多任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148299" target="_blank">打造了世界第一快又準的物件偵測模型YOLOv4，讓全世界看見臺灣的AI實力後</a>，中研院沒有停下創新的腳步，反而挑戰更大更難的目標。這一次，他們不只要超越世界第一快的前代模型，還要能一心多用，讓一個模型就能處理不同任務。</p> <p><span style="font-size:28px;"><strong>整合有意識學習的顯性知識與無意間吸收的隱性知識</strong></span></p> <p>什麼是YOLOR？</p> <p>有別於專攻物件偵測的YOLOv4，YOLOR是一套截然不同的類神經網路，「它像一個記憶外掛，能儲存所有輸入模型的訊息。當模型需要執行多任務時，就能從中撈取所需資訊，而不必像傳統方法那樣，從頭訓練模型。」YOLOR核心開發者、中研院資訊所博士後研究員王建堯這麼比喻：「它有如人類的大腦，結合了有意識學習的顯性知識（Explicit knowledge）和無意間吸收的隱性知識（Implicit knowledge），當被問及相關問題時，可從隱性知識中撈出關鍵資訊來回答。」</p> <p>舉例來說，傳統上，訓練一套辨識鳥類的模型，訓練資料會包含鳥類以外的各種資訊，但為了辨識鳥類這個任務，模型只會抽取鳥類特徵來學習，最後也只能訓練出辨識鳥的能力。但要AI模型再學會辨識狗，就得靠遷移學習加入其他資料、重新訓練模型才行，或是，開發者得重新收集狗的照片，標註後再拿來訓練模型，模型才學會辨識狗。</p> <p>但YOLOR不這麼做。它簡化了這個流程，整合了所有輸入資料的特徵，當模型需要辨識鳥，它能用鳥的特徵來學習辨識，當模型需要辨識狗時，模型就會從整合的特徵中，抽取出狗的特徵，來學習辨識狗。這個方法，讓模型只需學習一次，就能應付多種任務。</p> <p>也就是說，傳統上，一個深度學習模型只能利用特定資料，執行一種任務的限制，YOLOR已經克服了。無獨有偶，這也是人人都想突破的挑戰，多任務型AI是現在頂尖科技公司如Google、微軟、臉書等，都想突破的前瞻課題。</p> <p><span style="font-size:28px;"><strong>整合關鍵：一套統一、通用的表徵</strong></span></p> <p>YOLOR的特色，從它的名字---You Only Learn One Representation---就可窺知。「它靠一個統一表徵（Unified representation），來收集輸入模型的所有特徵，這些特徵都儲存在表徵裡，日後模型要執行其他任務時，就會從中提取特徵來學習，」YOLOR另一位核心開發者、中研院資訊所所長廖弘源進一步解釋。</p> <p>意思是，這個表徵（Representation）是各種特徵（Feature）的總和。舉例來說，我們會用身高、體重、戴眼鏡、年齡、髮色和腔調等來形容特定的某人，這些身高、體重、年齡等細節就是特徵，這些特徵組合起來，就是一個表徵，用來代表某個人。</p> <p>這個統一表徵是YOLOR的核心。廖弘源和王建堯在YOLOR論文中寫道，YOLOR是一套統一的類神經網路，透過整合顯性知識和隱性知識，來學習一套通用的表徵，而後用來執行各種電腦視覺任務。</p> <p>他們也在論文中，定義了顯性知識和隱性知識。顯性知識是模型執行任務所需，且與輸入有關的特徵，隱性知識則是模型執行任務時，不依賴輸入資料、僅與任務有關的特徵。比如辨識動物時，模型只需輪廓，不需顏色，此時顯性知識和隱性知識便能從統一表徵中，提取出輪廓，作為辨識任務。</p> <p>為驗證這兩種知識的特徵，他們也將YOLOR的隱性知識應用於核空間校正（Kernel space alignment）、預測精煉（Prediction refinement）和多任務學習三種方法，來展示這兩種知識特徵帶來的效益。</p> <p>接著，他們用向量、類神經網路和矩陣分解三種方法，來對隱性知識建模，並用微軟COCO電腦視覺資料集，來測試這些模型。他們發現，不論是類神經網路還是矩陣分解，都能有效提升電腦視覺模型的表現，其中，矩陣分解的效果最好。而顯性知識建模的方式，則可使用NLP常見的Transformer模型、可處理時間空間成對注意力的Non-local Networks模型等。</p> <p>在整體執行流程上，YOLOR會將一開始輸入至模型的所有特徵儲存起來，形成一個統一、通用的表徵。當模型學會第一個任務（比如辨識鳥類）後，要再學習辨識狗時，就能從統一表徵中提取狗的特徵，直接用來訓練套模型。</p> <p>當然，使用者也可在同樣的模型上，加上幾層輕量的類神經網路，來加強訓練。之後，模型就能執行第二個任務，甚至能同時執行辨識鳥類和狗這兩個任務，不需要重新收集資料再訓練。</p> <p><span style="font-size:28px;"><strong>不只整合知識，更能套用到任何CNN模型上</strong></span></p> <p>在YOLOR中，隱性知識和顯性知識就像是外掛模型，等於用兩種模型，透過不同的深度學習方法，各自訓練這兩種不同知識，再整合到通用的表徵系統中，從通用表徵抽取當前任務所需要的資訊。</p> <p>王建堯更點出，整個YOLOR能如外掛般，套用到各種電腦視覺模型上，來加速學習歷程和準確度，不必再針對不同任務使用不同模型。甚至可以有很多套主模型，針對不同任務來訓練，但都搭配同一個外掛模型，打造出一個可以支援多任務的通用模型。</p> <p>在實作上，他就用YOLOR來改善YOLOv4，發現YOLOR不只能將YOLOv4的平均準確度從43.5%提升到50%，在同等準確度下，還能將Scaled-YOLOv4的推論速度提高超過300%，並讓原本只擅長物件偵測的YOLOv4，具備執行各種電腦視覺任務的能力，舉凡影像辨識、實例分割、物件偵測、物件追蹤等都難不倒它。</p> <p>有了YOLOR，YOLOv4如虎添翼，不必重新收集資料，就能學會這些任務。「這是一種簡單、高效的方式，讓既有模型快速學習新任務，」王建堯指出，YOLOR只需要極少的訓練成本（少於1萬個參數和運算量），就能實現目標，而且完全不增加推論成本。</p> <p><span style="font-size:28px;"><strong>COCO即時物件偵測排行榜包辦前四、Waymo挑戰賽全球第二</strong></span></p> <p>這套YOLOR，也在今年的微軟COCO即時物件偵測排行榜中，一口氣拿下前4名。不只如此，它也在自駕車龍頭Waymo舉辦的開放資料集挑戰賽中大顯身手，滴滴出行聯手天津大學利用這套演算法，在這場平面即時物件偵測挑戰賽中拿下全球第二。</p> <p>物件偵測是自駕車最重要的AI技術之一，愈快分辨出道路上更多種物件，自駕車就能更及時採取適當的因應方式，需要減速、急煞、小迴轉或加速通過等，都得在百分之一秒，甚至是更短時間內辨識完成。</p> <p>這場挑戰賽的目的，是要評比模型從影像中偵測2D物體的準確度和即時性，如行人偵測、車輛偵測、單車騎士偵測、號誌偵測等。滴滴出行團隊聚合了多個一階偵測器（One-stage detector），並用多樣的輸入策略來訓練模型，讓模型能更準確偵測每個類別，特別是小型物件。這些一階偵測器，就是YOLOR模型的不同優化版本。</p> <p>他們看好YOLOR的速度和精準度，採用了一系列YOLOR模型，像是以速度最快的YOLOR-P6作為基準模型，來降低延遲，另也採用參數更多、更精準的YOLOR-W6加入辨識。</p> <p>在模型推論加速框架TensorRT的加持下，滴滴出行的模型mAP（平均精確度均值）可達75%，拿下世界第二，YOLOR-P6則緊追在後。</p> <p>「YOLOR（Scaled-YOLOv4-based）是這次競賽中最快、最準確的模型，而且比YOLOv5和Detr還要準確，」YOLOv3的維護者、YOLOv4論文共同作者Alexey Bochkovskiy在這次競賽的GitHub網站上寫道。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%963-Waymo%E6%8C%91%E6%88%B0%E8%B3%BD-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%9E%A2%E5%B9%95%E6%88%AA%E5%9C%96.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>今年自駕車龍頭Waymo舉辦的2D即時物件偵測大賽中，滴滴車行以YOLOR打造的模型MapVision拿下全球第二。</strong></span></p> <p><span style="font-size:28px;"><strong>AIoT和多模態是未來應用場景</strong></span></p> <p>YOLOR跟YOLOv4去年一樣，一登場就在國際競賽奪下實戰成果，迅速擄獲各國研發團隊的目光。但王建堯對YOLOR有更大的期待。</p> <p>「YOLOR是為了未來AIoT所打造的AI模型。」他解釋，以往AI運算多在電腦上執行，因此有足夠的算力，執行不同模型來解決不同任務。但IoT設備上的運算資源非常有限，難以支援多個模型，來執行不同任務。</p> <p>於是，為了讓IoT設備有效執行模型運算，就得讓單一模型具備執行不同任務的能力。比如，單一模型要能對一段輸入影片，進行物件偵測、追蹤、語義分割，甚至是行為預測等任務。</p> <p>這正是廖弘源和王建堯設計YOLOR的理念，要讓YOLOR找出用於不同任務的統一表徵，來服務多種任務。如今，它也證明了能實現多任務，接下來，YOLOR還要進一步擴大到「多模態運算」的能力。</p> <p>王建堯解釋，多模態的意思是，不同的IoT感測器，可收集不同型態的資料，比如影像、影片、聲音、震度、溫濕度等資訊，這些涵蓋不同型態的資訊集，就是一種多模態（Multi-modal）資料。而過去，一個模型只能處理單一模態的資料，例如只能處理文字資料，或是只能處理影像資料，但現在，YOLOR可對一種資料（例如影像），進行多任務訓練和推論。但同樣的架構可再擴大，他們的未來目標，就是要透過一套通用的表徵，讓一個模型也能處理多模態資料，實現多模態運算和預測。</p> <p>不過，多模態AI並不是新點子，科技巨頭近年大力壓寶Transformer架構，就是在挑戰多模態課題。Google在2017年，發表了這個用來處理時序性資料的類神經網路Transformer，以它為基礎，在隔年打造出知名的NLP預訓練模型BERT，不僅參數破億，無方向性運算的特性，更在各項NLP基準測試奪冠，引發其他科技巨頭爭相投入。</p> <p>OpenAI也馬上利用Transformer架構，在2019年打造出功能強大的文字生成模型GPT-2，2020年則推出第三代GPT-3，它所產生的文章流暢度，連真人都難以辨別。GPT-3也因此與BERT齊名，被視為NLP的劃時代里程碑。</p> <p>但Transformer不是只能用於文字資料。2020年夏天，臉書用Transformer架構來打造影像辨識模型，發表套電腦視覺模型DETR，不只簡化影像辨識工作，表現還達到如Faster R-CNN的高階預測水準。</p> <p>Google也在同年10月，揭露用Transformer架構實作電腦視覺任務的成果，號稱比CNN更有效率，也就是全球社群愛用的ViT模型（Vision Transformer）。此文一出，更引來各大AI領袖和全球機器學習社群的關注。因為，兩大巨頭證實了Transformer的電腦視覺潛力，很可能擠下獨佔鼇頭的CNN，同時也證明Transformer架構處理不同模態資料的能力。</p> <p>這波浪潮，在今年更是大大掀起。2021年初，OpenAI就以Transformer架構，打造出可同時處理影像和文字這兩種模態資料的模型DALL·E，號稱是影像版的GPT-3。臉書也跟著發表一套模型UniT，用Transformer架構來同步處理2種模態資料和7種任務，如自然語言處理、自然語言理解（NLU）、影像辨識、物件偵測等。特別的是，這套模型都用同套參數來學習不同任務，離通用AI又更近了一步。</p> <p>Google也在自家年度開發大會I/O上，也揭露了兩款能同時處理文字和影像的Transformer模型，甚至還預告要用來改善Google搜尋的使用者體驗。與此同時，Line也聯手母公司韓國Naver，揭露了一款以Transformer打造的多語言模型HyperCLOVA，不只用於自家企業級AI產品，還要讓它學會處理影像資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%961-YOLOR-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Karol%20Majek%E7%9A%84%E5%80%8B%E4%BA%BAYouTube%E9%A0%BB%E9%81%93.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Karol Majek的個人YouTube頻道</span><br /><strong>YOLOR模型開源後，也有不少開發者拿來實測。波蘭一位自駕車專家Karol Majek就用YOLOR D6模型打造路況即時監測系統，並將釋出監測結果影片。模型不僅能監測車輛、行人，連右方角落容易忽視的行人包包都能偵測</strong></span></p> <p><span style="font-size:28px;"><strong>目標一致，但設計思維略有不同</strong></span></p> <p>雖然Transformer和YOLOR兩大模型都要挑戰共同的多模態問題，但彼此的設計思維截然不同。</p> <p>Transformer模型的參數動輒數十億，甚至達到數百億個，需要非常龐大的運算資源，才能訓練出預訓練模型，因此成為大型企業才有財力發展的技術，而大多數人，只能使用已經做好的預訓練模型。可是，也不是人人都敢放心用預訓練模型，臺灣曾有家金控，擔心這些大企業的預訓練模型，使用的訓練資料存有版權疑慮，只得斥資自行從頭訓練模型。</p> <p>但YOLOR的出發點就不同了。它瞄準AIoT場域，從設備硬體資源有限的前提下，來挑戰同樣的多模態需求。倘若能成功，YOLOR就能有別於科技巨頭靠財力堆疊Transfomer模型的作法，走出另外一條更多人可以負擔得起的多模態發展新方向。</p> <p>「Transformer和YOLOR要解決的問題很類似。」王建堯解釋，Transformer架構有個很重要的技術，也就是嵌入（Embedding），專門用來將特徵映射到空間中。</p> <p>「這個概念與統一表徵很像，」王建堯繼續說，如果能將嵌入特徵納入到統一表徵中，「其實任何架構都能實踐多模態AI，」他直言。在前往多模態AI的路上，王建堯看到了一道通往終點的曙光。</p> <p> </p> </div></div></div>
2021/12/13 07:00作者王若樸https://www.ithome.com.tw/news/148301
【冠軍模型幕後推手：中研院資訊所博士後研究員王建堯】靠軟硬整合實力拿下兩次世界第一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一時間的抉擇，往往決定一個人的人生際遇。如果中研院資訊所博士後研究員王建堯大學時，沒有下定決心「先碰硬體、再學軟體」，就不會催生出風靡全球的物件偵測模型YOLOv4，甚至是後來低運算AIoT設備也能用的多任務物件偵測模型YOLOR。</p> <p>王建堯進大學時，就清楚訂好未來的發展藍圖。他計畫先把晶片硬體鑽研透徹，唸研究所時，再進一步探究硬體背後的軟體理論，尤其是機器學習。</p> <p>這個決定一步步推著他，在去年先打造出全球AI社群都為之驚艷的物件偵測模型YOLOv4，一舉成名後還馬不停蹄研發出更強大、更通用的多任務外掛模型YOLOR。甚至，他也為下一步布好局了。</p> <p><span style="font-size:28px;"><strong>大學攻硬體，研究所理論帶入實戰催生YOLOv4</strong></span></p> <p>「我是IC設計出身，」他說。雖然靠演算法程式揚名世界，但王建堯大學就讀中央大學資工系時，反而是鎖定硬體晶片的設計，用4年摸熟小巧不起眼但極為關鍵的IC晶片。IC晶片是數位時代的基石，舉凡手機、電腦、各種3C，甚至是IoT感測器、汽車和家電，都得靠它扮演大腦。</p> <p>從紮實的硬體課程中，王建堯累積了各項IC晶片運作原理的知識，讓他清楚知道，開發類神經網路的演算法該如何撰寫，才能有效利用晶片資源。這正是後來，他開發出輕薄又強大的YOLOv4和YOLOR的關鍵。</p> <p>有了硬體知識的基礎，王建堯就讀研究所時，跨出了硬體領域，轉而進入軟體世界，加入中央大學資工系教授王家慶的深度學習與媒體系統實驗室（DLMS），專攻機器學習理論。</p> <p>在一次實驗中，他研究起壓縮感測（Compressed sensing）技術。這是一門發展了數十年的領域，用於將類比訊號轉換數位訊號過程中，來過濾雜訊訊號，抽取出少量但更有意義關鍵訊號的技術，例如相機、攝影機影像畫質優化，或讓核磁共振影像更快更清楚成像的關鍵技術。</p> <p>但這只是王建堯當時嘗試的眾多實驗之一，而非他的主攻項目。直到2016年，他進入中研院資訊所所長廖弘源的研究團隊後，過往學到的經驗，才發酵起來。</p> <p>在中研院，王建堯從理論踏入實戰。「廖老師特別著重開發對人類有幫助的系統，」他回想，自己從純機器學習理論一步跨到實用系統開發，先前所累積的知識經驗，一併帶上戰場。這場實戰，就是2017年科技部的「業界出題、學界解題」AI計畫。</p> <p>廖弘源團隊與義隆電子合作，要來解決AIoT智慧交通運算難題，雙方的目標是開發出又快又準、耗能又低的物件偵測模型，來捕捉道路上車輛資訊，並在邊緣裝置上運算。這個難題，就是YOLOv4的誕生契機。</p> <p>在開發過程中，王建堯的經驗再次扮演要角。他首先設計一套局部殘差網路（PRN），速度比當時最流行的物件偵模型YOLOv3快兩倍，但準確度卻差了2%，不夠理想。在這個基礎上，他再次嘗試，從理論和邊緣運算硬體經驗下手，延續PRN的設計理論，同時整合了硬體推論速度加速的規則，打造出跨階段局部網路CSPNet。</p> <p>這套CSPNet學習效率更好、更準確、硬體耗能更低，王建堯總結：「它是軟硬體整合的最佳化架構設計。」CSPNet開源後更吸引YOLOv3 DarkNet維護者Alexey Bochkovskiy，三人進一步聯手打造出一款包含CSPNet、YOLOv3、PANet等各種優化技術的物件偵測模型：YOLOv4，一問世就奪下2020年9月的MSCOCO物件偵測競賽冠軍。</p> <p><span style="font-size:28px;"><strong>壓縮概念催生YOLOR，用最少資料量表達最大量資料</strong></span></p> <p>雖然所開發的模型站上世界第一的寶座，但王建堯並未自滿。在中央研究院資訊所所長廖弘源的帶領下，他一邊與清大資工系教授林永隆、臺大資工系教授莊永裕組成團隊，繼續進行多物件追蹤的研究。但過程中又再度碰壁，遇上了一個挑戰。</p> <p>「我們發現，物件偵測模型所截取的視覺特徵，無法有效運用於物件追蹤任務。」也就是說，從辨識需求這項任務所找到的特徵，換個任務後，效果卻不好。王建堯說，他開始思考，如何讓一個模型學習到的特徵，有效運用於各式各樣的任務，「甚至是未知的任務。」</p> <p>這時，當年在中央大學資工系教授王家慶實驗室中鑽研的技術，也就是壓縮感測中的字典學習和稀疏編碼，浮現在王建堯腦中。</p> <p>壓縮感測技術是目標是，用最少的資料量，來表達最多的資訊。比如，用極小容量的記憶體，來收集不同權重提取出的特徵，將這些特徵編碼後存入記憶體中，「就像一個大賣場，收集各式各樣的商品，需要時再來拿取。」字典學習和稀疏編碼這兩個技術，能讓模型學習更泛化的統一表徵，也就是各式各樣的特徵。</p> <p>後來，王建堯花了兩個月開發出YOLOR，這是一個能保存所有輸入資料特徵的模型。原本專精單一任務的模型，就能利用保存起來的特徵，來學習其他任務，而不必重新訓練，「這就像整合顯性知識和隱性知識的人腦一樣，」王建堯說。</p> <p>在實作上，YOLOR比前一代Scaled-YOLOv4更輕快，不只提升超過300%的推論速度，還減少47%的參數量和43%的運算量，維持同等準確度。而且， YOLOR還隱藏了王建堯更遠大的目標。「這是一個走向通用AI的技術，」他解釋，YOLOR可讓多模態的輸入能投射在統一的表徵空間，並藉記憶中的隱性知識，解碼成各任務的感知結果。</p> <p>如果要給YOLOR打分數，王建堯靦腆回答，自己會打96分。因為，9和6合起來是無限的符號，而YOLOR，正是為未來多任務與多模態技術所打下的技術研究，能開啟無限多種可能。</p> <p>他下一步也朝這個方向發展。他手上正進行一項研究，要找出輕量類神經網路，打造更準更快且能處理多模態任務的模型，應用於IoT裝置上。</p> <p><span style="font-size:28px;"><span style="color:#3399ff;"><strong>【冠軍模型幕後推手：中研院資訊所所長廖弘源】</strong></span></span><br /><span style="font-size:48px;"><span style="color:#3399ff;"><strong>人生最大目標是讓世界看見臺灣</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E5%BB%96%E5%BC%98%E6%BA%90_%E4%B8%AD%E5%A4%AE%E7%A0%94%E7%A9%B6%E9%99%A2_%E8%B3%87%E8%A8%8A%E6%89%80_%E6%89%80%E9%95%B7_20210720_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影＿洪政偉</span></span><br /><span style="color:#696969;"><strong>「我沒做什麼，只是挖掘千里馬，讓他盡情發揮而已。」提及王建堯，中研院資訊所所長廖弘源總是如此謙虛說道。</strong></span></p> <p><span style="color:#696969;"><strong>世界第一物件偵測技術的誕生，一路來，不單單是中研院資訊所博士後研究員王建堯的獨角戲。幕後還有一個推手靈魂人物，也就是王建堯的中研院指導老師廖弘源，他也正是YOLOv4和YOLOR的共同作者。</strong></span></p> <p><span style="color:#696969;"><strong>廖弘源自己也是多媒體影像技術的世界級專家，超過50篇論文發表在全球知名期刊，甚至多篇獲得上百次引用。他更是數位典藏與數位學習國家型科技計畫中，數位典藏相關技術的主要研發者之一。</strong></span></p> <p><span style="color:#696969;"><strong>廖弘源的研究早在20年多前就揚名世界，當時全球人臉辨識技術都用照片的所有像素來辨識，廖弘源帶著學生用統計，證明了五官辨識比全照片辨識更重要。這項獨步全球的研究，也成為當時全球人臉辨識領域必讀的20篇論文之一。</strong></span></p> <p><span style="color:#696969;"><strong>2005年，廖弘源更發表了世界知名的慢換景偵測自動視訊分鏡技術。2008年，臺灣的電視牆看板有能力自動計算觀看人數，背後靠的也是他研發的人臉辨識機制。後來這個技術，還成為影片搜尋機制，描述動作姿勢就能搜尋到影片對應段落。2011年，廖弘源所發表的影像與視訊修補技術，更是臺灣數位典藏計畫中，許多老照片、舊影片能夠修復重生的關鍵。</strong></span></p> <p><span style="color:#696969;"><strong>廖弘源一直都堅持「研發好東西」。2017年有次媒體採訪時，他透露，一生追求發明5項好東西。從他過往研發成果可以看到，他期許的「好」東西，不只是對民眾生活有用，更要能對世界有所貢獻。但他不自居功勞，反而常歸功給自己實驗室所指導的學生們，也勉勵他們，要成為解決長遠問題的科學家，而不是解決當下問題的工程師，王建堯就是其中一位。</strong></span></p> <p><span style="color:#696969;"><strong>王建堯一進入廖弘源團隊、接手處理義隆電子智慧交通專案時，廖弘源就告訴王建堯，要先把手弄髒，先不考慮論文發表，如此才能從動手做的過程中，找出最佳解法。</strong></span></p> <p><span style="color:#696969;"><strong>這樣的開放心態，鼓勵王建堯一步步嘗試不同方法解決問題。像是，為打造更輕量、適合在邊緣裝置運算的模型，王建堯最初提出了一個想法，利用梯度分流來提高模型準確度和運算效率。</strong></span></p> <p><span style="color:#696969;"><strong>「我著實被那場Talk所震撼和感動！」廖弘源說，那是他5年來聽過最好的演講，雖然王建堯第一個嘗試PRN算不上很成功，但兩人持續合作、改進，進一步結合理論和實務，打造出更輕更快、更準確的CSPNet，並開源出來，進一步催生出YOLOv4。</strong></span></p> <p><span style="color:#696969;"><strong>廖弘源直言，最感動他的是，這一系列研究對臺灣及世界造成的影響。比如，YOLOv4在MSCOCO物件偵測競賽中奪魁，打敗Google、微軟、臉書及Amazon組成的強隊，排行榜榜首一坐就是2個半月之久，更成為全球愛用的AI模型。</strong></span></p> <p><span style="color:#696969;"><strong>「這一生最希望的，是讓世界看見臺灣，不要輕視臺灣。」廖弘源透露，YOLOv4發表後，他們隨即在2020年8月成立一支臺灣隊，邀請莊永裕、林永隆兩位教授團隊，來研究「多物件追蹤」。因為，「這是YOLOv4之後，可能再為臺灣爭光的議題，」廖弘源說。這就是今年5月發表的YOLOR，這個模型不只輕、快、準，還能執行多任務，往通用AI邁進了一步。</strong></span></p> </div></div></div>
2021/12/13 07:00作者王若樸https://www.ithome.com.tw/news/148302
YOLOv4輕快準！邊緣即時偵測應用就靠它
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不論是臺灣智慧路網控制，還是疫情肆虐期間各國用來偵測社交距離，甚至是即時從醫學影像中揪出肉眼難辨的病灶，這些智慧應用的背後，都靠一套輕薄但強大的AI模型來驅動，這就是YOLOv4。一如其名You Only Look Once，只要看一眼，就能分辨萬物，比人眼還銳利，已經在許多應用場景中開始發威。</p> <p><span style="font-size:28px;"><strong>連結路況偵測形成智慧路網</strong></span></p> <p>YOLOv4最知名的應用案例，莫過於智慧路網控制系統。YOLOv4本身就因中研院與義隆電子合作的智慧交通計畫而誕生，由於這個模型輕、快、準的特性，在低運算資源的設備上也能執行，因此問世後，雙方就將模型部署至真實的道路場域上，就在桃園的大園區國道2號下匝道路段。</p> <p>義隆電子在該路段連續5個路口的號誌燈上，分別裝設了可拍攝360度路況的魚眼鏡頭，以及可拍攝平面路況的槍型攝影機，並搭配號誌燈下的Nvidia Jetson TX2平臺，來分析道路路口影片。首先，在魚眼鏡頭的影像中，先靠YOLOv4來辨識畫面中的車輛、車種和數量，比如認出汽車、機車、自行車、聯結車等，還能計算出車流量、車行平均速度、路口平均佔有率和車輛間距。而在槍型攝影機畫面中，則靠YOLOv4來辨識各車道線內的停等車種，比如機車、小客車和大型車，並分析這些車間的距離。</p> <p>有了這些資訊，就能用來調節路口交通號誌燈的秒數，緩解車流壅塞。去年8月，桃園、新竹都共同宣布試用這套智慧路網解決方案，臺北市交通局後來也加入試辦，在內科園區堤頂港墘路口架設偵測設備，來進行交通影像辨識，甚至發展出YOLOv4輕量化模型，不只有效辨識車輛和車型，還能針對特殊天候（如晨峰昏峰、劇烈陽光斜射干擾等）來處理影像，強化辨識準確度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%961-%E9%AD%9A%E7%9C%BC%E9%8F%A1%E9%A0%AD-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E4%B8%AD%E7%A0%94%E9%99%A2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／中研院</span><br /><strong>義隆電子將YOLOv4部署至桃園大園區國道2號下匝道路段連續5個路口處，來分析交通號誌燈旁的魚眼鏡頭和槍型攝影機畫面。圖為魚眼鏡頭即時分析畫面，模型可辨識出車種、車速、轉向等。</strong></span></p> <p><span style="font-size:28px;"><strong>巴士盲區警示、空污預測都在行</strong></span></p> <p>不只如此，2021年4月，義隆電子團隊也進一步擴大應用，以YOLOv4打造一套巴士盲區即時偵測系統。該系統會即時分析巴士兩側後照鏡的監視器畫面，並在巴士駕駛前方的螢幕上，標示出巴士車身兩側的紅線區域，要是有機車、自行車或行人出現在該區，系統會以黃色標示，來警示巴士司機，避免碰撞。</p> <p>這套巴士盲區警示系統，除了能應用於公車、巴士、大貨車和大卡車等大型車輛外，也能拓展至一般汽車和電動車。目前，臺灣已有中興巴士採用該系統，義隆也計畫將這套系統銷往東南亞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%962-%E5%B7%B4%E5%A3%AB%E7%9B%B2%E5%8D%80-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E4%B8%AD%E7%A0%94%E9%99%A2.png" style="text-align: center; width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／中研院</span><br /><strong style="color: rgb(105, 105, 105);">義隆電子以YOLOv4打造巴士盲區偵測系統，可即時分析大型車輛兩側後照鏡的畫面，來判斷是否有機車、自行車或行人過於接近，提醒司機留意。</strong></p> <p>不只如此，還用於更多智慧交通應用上，YOLOv4已經用於預測細懸浮微粒（PM2.5）的暴露風險。PM2.5是衡量空氣污染狀況的指標，來源包括汽機車排放廢氣、工廠廢氣和宮廟煙霧等。中研院最近就發起跨領域都會PM2.5暴險的研究計畫，其中一項子計畫，是要透過路口即時空拍影片，以YOLOv4來辨識行人和車輛的移動方向與數量等訊息。有了這些參數，系統就能進一步計算出，民眾暴露在PM2.5下的風險。</p> <p><span style="font-size:28px;"><strong>一眼就知有無戴口罩、保持社交距離</strong></span></p> <p>除了智慧交通有不少應用案例，YOLOv4也在抗疫上發揮了作用。2020年，在COVID-19疫情肆虐下，許多國家紛紛祭出社交距離和戴口罩政策，來降低感染風險。此政策一出，各大研究平臺和程式碼託管平臺GitHub上也出現大量專案，分享如何以物件偵測模型打造社交距離偵測系統，以及口罩配戴偵測系統。</p> <p>其中，包括印度理工學院在內的幾所印度頂尖大學學生，聯手發表一套YOLOv4社交距離監控系統，能直接在道路監視器上，分析所拍攝的畫面，2秒就可推算出路上行人是否保持社交距離，若未保持，則以紅色框線標出未遵守規定的行人。</p> <p>另外，也有羅馬尼亞軍事技術學院的學生，在GitHub上開源以YOLOv4打造的口罩偵測專案PyQt5，可在多個監視器上，同步偵測行人是否配戴口罩。</p> <p><span style="font-size:28px;"><strong>搖身一變成醫師助手，幫揪大腸息肉</strong></span></p> <p>不只是生活應用，在醫學領域上，YOLOv4也能大顯身手。臺灣專攻數位病理的雲象科技，就與國泰醫院和臺大醫院，先是利用YOLOv4打造一款大腸鏡即時AI息肉偵測系統，可在醫生操作內視鏡的同時，以每秒30次的頻率來偵測腸道、快速標示出息肉，準確率在95%左右。</p> <p>雲象表示，選用YOLOv4的原因在於，它能在運算資源較低的設備上，進行近乎即時的偵測。今年，他們進一步導入YOLOv4衍生模型，讓偵測更輕更快。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E5%A4%A7%E8%85%B8%E6%81%AF%E8%82%89-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%9B%B2%E8%B1%A1%E7%A7%91%E6%8A%80.jpeg" style="text-align: center; width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源-雲象科技</span><br /><strong style="color: rgb(105, 105, 105);">雲象科技聯手國泰醫院，以YOLOv4打造一套大腸內視鏡息肉偵測AI輔助系統，以每秒30次的頻率來偵測息肉。今年，團隊進一步將模型改為YOLOv4衍生模型，更輕更快。</strong></p> <p><span style="font-size:28px;"><strong>就連昆蟲移動路徑也能精準掌握</strong></span></p> <p>YOLOv4還有一個特殊應用。中研院生物多樣研究中心研究員沈聖峰就帶領團隊，利用YOLOv4，來分析埋葬蟲的行為。埋葬蟲是一種12至17毫米的小型昆蟲，專吃動物屍體，因此被稱為自然界的清道夫。</p> <p>為理解埋葬蟲的行為，中研院過往都利用攝影機，拍攝埋葬蟲的行為，但難以分析。後來，團隊用UNet和YOLOv4解決問題，先以前者標示出埋葬蟲，每隻都以不同顏色標註，再以後者偵測埋葬蟲位置。如此一來，就能完整記錄每隻埋葬蟲的移動軌跡，並以三維圖來表示。</p> <p>這個方法，能省下過去人工數個月才能分析的時間成本，利用演算法輔助，2周就能完成了。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%964-%E5%9F%8B%E8%91%AC%E8%9F%B2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E4%B8%AD%E7%A0%94%E9%99%A2.png" style="text-align: center; width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源-中研院<br /><strong>中研院生物多樣研究中心利用UNet和YOLOv4打造一套埋葬蟲行為分析系統，以UNet標示埋葬蟲，再以YOLOv4辨識移動位置，進一步描繪出三維的移動軌跡，省下過去數個月的人工觀察時間。</strong></span></p> </div></div></div>
2021/12/13 07:00作者王若樸https://www.ithome.com.tw/news/148303
【小國AI大戰略關鍵推手：前科技部長陳良基看冠軍模型】YOLOv4證明臺灣AI有實力成為世界標竿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「臺灣的AI研究有這個實力，可以成為世界標竿，站上最頂端！」前科技部長陳良基談起YOLOv4，眼睛都亮了起來，他說：「這個AI模型證明了臺灣可以做得到，以前有這實力但不敢嘗試，現在，可以到各領域的國際頂尖領域拼戰。」</p> <p>YOLOv4模型的誕生，來自科技部在2017年發起的「小國AI大戰略」中，「業界出題、學界解題」政策所補助的計畫之一。由義隆電子提問，中研院團隊解題，為了解決路口車流影像分析的難題，才誕生了YOLOv4物件偵測模型，在微軟COCO即時物件偵測挑戰賽中，一舉奪下全球第一，打敗了Google、臉書、IBM等科技巨頭。</p> <p>陳良基正是這項小國AI大戰略的主要推手，他也等於是冠軍模型的間接催生者之一。所以，講起這個冠軍模型的源頭，話匣子就停不下來。</p> <p>「將來誰掌握了數據的科技，在未來的時代就會占優勢。現在是第四次工業革命的進行式，臺灣也要順流而上，搶在浪頭上，發揮原有優勢。」</p> <p>資料、演算法和算力，這是現在各國大力發展AI戰略的三大關鍵，但在4年前，並不是每一個國家都願意如此樣樣壓寶。以晶片研發享譽國際的陳良基，在學校從事研究時，就相當清楚演算法的威力，AlphaGo打敗南韓棋王的故事，讓他驚覺到，AI技術已經走出實驗室，變成了真實世界的應用。</p> <p><span style="font-size:28px;"><strong>沒有掌握AI新電力，所有競爭力都會下滑</strong></span></p> <p>當時陳良基就意識到AI發展，對臺灣未來競爭力的發展，非常關鍵。「明天AI若變成新電力，我們若沒有掌握這個能力，所有競爭力都會下滑，這也代表AI會滲透到各個領域，需要各方面的領域知識。」所以，當陳良基在2017年入閣擔任科技部部長時，就將那一年定為臺灣AI元年，開始在臺灣大力推動AI。</p> <p>但是，臺灣不是大國，許多企業的規模也沒那麼大，「如果什麼AI都做，分散資源，最後可能一點機會都沒有。」他回憶當時決定過程。所以，他在行政院院會報告AI政策方向時強調：「AI戰略應該慎重以對，採取小國大戰略，先承認我們的資源不夠，選定對臺灣未來的重要項目，猛力去攻，才可以打敗第四次工業革命中的世界強國。」</p> <p>大戰略選定了AI，但在戰術執行上，要怎麼聚焦，才能善用有限的資源？當時為了思考臺灣的AI戰略，陳良基和科技部團隊，拜訪了好幾個國家，英國、德國、法國等，來了解他們的AI策略。AI論文數是各國思考AI策略時，經常用來衡量國家AI研發實力的指標。但臺灣人口少，再怎麼比論文數，全世界排名還是處於20名左右，很難名列前茅，「如何能夠拿到非常獨特，甚至是全世界都還沒有人知道的題目。」陳良基換個角度思考：「如果我們可以先解出答案，不論數量多少，每一篇都會受到全世界看重。」</p> <p>但誰能知道「未來的題目是什麼？」若從臺灣學界實驗室擅長的題目來選，每個實驗室都覺得自己的題目最重要，還是難以抉擇。陳良基的原則是「誰在第一線戰場，敏感度就會最高。」所以，他決定改由業界提需求來找出優先議題，「業界未來產業要AI化、或是需要AI如何加持，最欠缺什麼AI技術，就透過學界研發團隊來補足這個缺口。」</p> <p>這個戰術角度的轉換，就催生了「業界出題、學界解題」模式。後來，科技部組成了專家小組進行海選，要找出臺灣得優先推動的AI課題。陳良基對海選小組提出一個要求，最後挑選出來的專案，必須將來有機會落地。由產業和學界聯手，有機會能結合臺灣產業優勢，未來發展成產業生態鏈的專案。</p> <p>最後選出了28個計畫，為了提供行政協助，科技部在大學中，成立四大研究中心，但旗下計畫都採取產學融合的型態來進行。義隆電子和中研院合組團隊的計畫就是其中之一。</p> <p><span style="font-size:28px;"><strong>業界不只貢獻題目，也提供了自己的「資料」</strong></span></p> <p>「業界出題、學界解題」模式，是一種「以終為始」的思考策略，「不是單看一家研究機構實力很強就通過計畫，而是以未來的目標，來決定怎麼組合團隊。」陳良基解釋。</p> <p>業界不只貢獻了題目，也提供了自己的「資料」，讓學界可以研發「演算法」，但在AI發展三大關鍵中，只剩下最後一個環節「算力」。</p> <p>「算力是臺灣的優勢」，陳良基解釋，臺灣擁有半導體產業，也是PC王國，大廠的伺服器都是臺灣製造，「如何運用這些技術，對臺灣來說不難。」所以，在科技部AI計畫中，要投資50億元，來發展AI需要的運算環境。後來，後來由國網中心與廣達、台灣大、華碩組成AI 硬體國家隊，用了半年多的時間合力打造出AI超級電腦「台灣杉二號」，在2018年11月拿下世界排名第20名，再次超越了臺灣歷年排名記錄。</p> <p>「國家幫忙建造運算環境，AI研發團隊專注各種不同的領域知識，用那些領域的資料來建立演算法和平臺。」如此一來，所有需要AI訓練的團隊，就可以有一個能夠快速學習的環境，陳良基強調：「如果沒有好的環境，一個想法要隔兩三個禮拜才能驗證，創新熱度就會消失，若讓想法可以很快證明，就能很快再想另一個點子。」</p> <p><span style="font-size:28px;"><strong>YOLOv4不只帶給學界信心，也讓業界更信賴學界研發實力</strong></span></p> <p>YOLOv4比起其他常見的R-CNN類物件偵測模型更優秀，在年秋季舉辦的微軟COCO即時物件偵測挑戰賽中，一舉奪下全球第一，擊敗了美國AI巨頭Google、臉書、IBM等，甚至這個第一名，YOLOv4穩坐了好幾個月，沒有其他競爭模型可以超越。這在激烈的AI技術競爭上，非常少見。</p> <p>「當你不是做別人已經解過的題目，而是解別人沒有辦法解的題目，越創新，就越能有這個優勢，」陳良基剖析，不只是YOLOv4，接班的YOLOR架構也是全新的想法，跟前面v2、v2、v3甚至是v4版都完全不同。「修改別人的問題，和嘗試創新突破，思考的時間可能一樣，訓練的時間可能一樣久，但你設定標竿的目標，就會走在頂尖的方向上。」</p> <p>當年他還不敢大聲喊出，希望臺灣成為AI標準的制訂者。因為大力推動AI時，他也曾遭質疑是講大話，甚至批評科技部將資源過度集中到單一領域中，但是，「不試試看，怎麼知道呢！」他自己這樣打氣的說。「YOLOv4模型就是證明臺灣可以做得到，可以成為世界標竿，站到最頂端，我們研究人員有這個實力，這對臺灣其他研究者可以帶來信心。」</p> <p>陳良基觀察，YOLOv4自己也成了一個世界級平臺，國外很多人透過開源方式，運用這個模型來展示的應用，也越來越多，「這對國內企業和學界也是一個非常好的標竿。」</p> <p>這樣的指標帶來另一個意義，他補充，企業以前考慮頂尖技術時，都覺得國外團隊比較厲害，臺灣企業跟臺灣團隊合作時，都會秤斤秤兩，有一種給你好處的味道，「YOLOv4可以讓企業知道，最厲害的團隊就在你身邊，不用捨近求遠，反而找國際知名研究團隊。」</p> <p>陳良基對臺灣AI發展還有一個有待實現的大夢。YOLOv4證明了臺灣技術可以比國際大廠厲害，一項又一項創新技術，「若能發展出一家家新創，每一家都有獨門絕活，組成產業聚落，全世界任何品牌要推AI在地服務，臺灣可以成為底層服務的供應者。」他認為，AI代工轉型可以是臺灣的下一個發展方向。</p> </div></div></div>
2021/12/13 07:00作者王宏仁https://www.ithome.com.tw/news/148304
臺灣製造！世界第一物件偵測AI
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1055-feng_mian_gu_shi_1-open-960x420_kao_bei_.jpg?itok=fvy4eC7L" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YOLOv4一問世就擊敗科技巨頭，穩坐世界第一物件偵測模型寶座，接棒的YOLOR一發表也登上排行榜第一，還賦予單一模型秒解多任務的能力。這2款冠軍模型都出自臺灣產學聯手的成果，但這不是偶然，而是臺灣AI國力種出的第一把稻穗</p> </div></div></div>
2021/12/13 07:00未署名https://www.ithome.com.tw/article/148305
Cloud周報第128期：全球第二大奢侈品集團歷峰宣布IT全面上雲，Google正式推出非GCP環境資料擷取服務Dat…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2021/12/02～2021/12/08）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 全面上雲 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 精品集團 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 購物體驗優化 </span></strong> </p> <p><span style="font-size: 22px;"><strong>萬寶龍等品牌母公司宣布搬遷逾5千臺VM上雲，來推動產品創新</strong></span></p> <p>卡地亞、萬寶龍等品牌的母公司瑞士精品集團歷峰（Richemont）宣布全面搬遷IT基礎設施上公有雲，預計在2022年底前，關閉歐洲資料中心，以及搬遷位在香港和美國資料中心的工作負載上雲。歷峰有多個珠寶、手錶、時尚和配飾的知名品牌，是世界第二大奢侈品集團。進一步看該集團的上雲計畫，涵蓋搬遷所有關鍵業務的IT應用，從財務、供應鏈管理、製造，到產品生命週期管理、電商等系統，共計將搬遷超過5千臺VM，以及120個SAP執行個體上雲，來實現基礎設施現代化，並推動全球業務營運自動化。</p> <p>另外，歷峰集團還將使用ML、分析、安全和資料庫等雲服務，來加快開發雲原生應用，發展創新的實體和線上通路服務和產品，像是打造店內客製化服務、視訊提供客製化穿搭諮詢等，來提升顧客的消費忠誠度。<a href=" https://press.aboutamazon.com/news-releases/news-release-details/richemont-selects-aws-its-preferred-cloud-provider-drive-product">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料倉儲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 無伺服器服務 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>AWS資料倉儲Redshift新增無伺服器服務版本，能處理企業複雜的資料分析工作</strong></span></p> <p>AWS在re:Invent大會宣布資料倉儲Redshift新增無伺服器服務（Redshift Serverless）的選項，能根據企業的資料分析工作需求，自動調整和配置運算資源。透過Redshift Serverless，企業載入資料後，不需配置和管理叢集就能執行分析工作，可處理運算需求難以預測的資料分析應用，像是多變的工作負載、具閒置時間的周期性工作，還有應付穩定工作負載突如其來的爆增流量，以及需要快速啟動的臨時分析需求，或是測試開發環境。</p> <p>這項資料倉儲無伺服器服務支援Redshift所有SQL功能，以及支援符合JDBC/ODBC的工具，還有Redshift Data API，讓企業查詢資料，而且可建立Redshift預配置叢集的快照，甚至轉變既有的Redshift叢集為無伺服器服務。企業更新SQL應用程式後，可無縫地使用新的無伺服器端點。計費上，新服務以Redshift處理單元為單位，按秒計算運算容量的使用費，並以Redshift儲存和快照的資料容量，來收取儲存費用。<a href="https://aws.amazon.com/tw/blogs/aws/introducing-amazon-redshift-serverless-run-analytics-at-any-scale-without-having-to-manage-infrastructure/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資料擷取複製 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 無伺服器服務 </span></strong></p> <p><strong style="font-size: 22px;"><strong>Google正式推出資料複製服務Datastream，可即時擷取MySQL資料至BigQuery</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1(97).jpg" style="width: 600px; height: 227px;" /></strong></strong></p> <p>Google雲端正式推出異動資料擷取（CDC）和複製服務Datastream，企業可即時擷取非Google環境資料庫中的資料串流，至GCP平臺服務，包含BigQuery、Google Cloud Storage和Cloud Spanner，來獲得即時分析結果，而可支援的資料庫來源包括了甲骨文和MySQL資料庫。此外，Datastream是一項無伺服器服務，會根據企業的資料使用量，自動配置和管理運算資源的叢集，以及擴充資源，因此，企業不需自行管理基礎設施的容量。</p> <p>除可強化即時性數據分析外，企業也可通過這項新服務，快速複製資料庫、建立資料工作流，以及建立事件驅動架構。Google也將持續增加服務支援的資料庫來源，以及資料複製到的目的地，而美國連鎖超市Schnuck Markets現已採用此服務。<a href="https://cloud.google.com/blog/products/data-analytics/serverless-change-data-capture-and-replication">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 應用程式 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 負載測試 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>微軟推出Azure負載測試服務，可產生大規模負載測試應用效能</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2(46).png" style="width: 600px; height: 341px;" /></strong></strong></p> <p>微軟日前發布Azure負載測試（Load Testing）服務，開發和測試人員能夠使用自定義Apache JMeter腳本產生大規模負載，來測試應用的效能，並獲得洞悉見解，以掌握應用程式的效能瓶頸，進一步進行修復。這項新服務是全託管服務，企業不需建置和管理基礎設施，來生成大規模負載進行負載測試，簡化了應用負載測試的準備工作，也縮短測試所需時間，目前提供預覽版。</p> <p>除此之外，微軟為新服務整合了多項Azure監控服務，像是可觀測服務Monitor，會提供應用程式洞察和容器洞察，可呈現不同負載情境下，應用程式各環節的品質、效能和擴充性，並可以比較不同負載的測試結果，以掌握應用程式狀態的變化。<a href="https://azure.microsoft.com/en-us/blog/introducing-azure-load-testing-optimize-app-performance-at-scale/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 機器學習 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> SageMaker精簡版 </span></strong></p> <p><strong style="font-size: 22px;"><strong>AWS發表SageMaker精簡版Studio Lab，開發者只需電子郵件帳號就能免費試驗ML </strong></strong></p> <p>AWS在12月1日發布SageMaker機器學習平臺的精簡版Studio Lab，使用者不需AWS帳號，就可利用電子郵件帳號註冊，免費使用最高15GB的CPU或GPU的運作環境，來學習和試驗資料科學和ML工作。Studio Lab是基於JupyterLab的筆記本開發環境，使用者進入JupyterLab環境後，能匯入資料集，還有建立與執行Jupyter筆記本，以及複製Git儲存庫、安裝各種開源套件，並編輯程式碼檔案，可讓有興趣接觸ML的開發者、學術人員或資料科學家，嘗試和學習ML工作。</p> <p>Studio Lab目前只支援使用者的單項專案，且CPU最多只可持續運作12小時，GPU則最多能運作4小時，時間一到會暫停運作。不過，Studio Lab具備了自動快照功能，會拍下使用者環境在停止運作前的快照，讓使用者重啟環境後，可以從中斷處繼續執行ML工作。AWS會依序接受使用者的申請，約5個工作天內會接受使用者的使用申請，以確保SageMaker Studio Lab的使用品質。<a href=" https://aws.amazon.com/tw/about-aws/whats-new/2021/12/amazon-sagemaker-studio-lab-no-configuration-ml-service/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端nbsp; </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 風險管理 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 安全調查 </span></strong> </p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">聚焦!Google雲端更新安全管理平臺，可過濾企業不需要時時追蹤的風險調查結果</span></strong></strong></p> <p>Google雲端安全風險管理平臺Security Command Center（SSC），近日新增調查結果靜音（Mute）功能，企業可過濾不需持續關注的安全調查結果，以專注與組織高度相關的安全問題。隨著SSC持續擴大GCP平臺的威脅偵測範圍和細緻度，Google注意到，企業安全分析師收到越來越多調查結果，而難以辨識和修復最關鍵的風險。企業現能利用新的靜音功能，設定調查結果的通知條件，節省審查已確認為可接受風險的時間。</p> <p>企業啟動新功能後，SSC仍會繼續記錄各項GCP環境的風險調查結果，因此，企業還是能隨時查看各項調查的結果，並用以滿足稽核和法遵等需求。目前企業可開啟靜音設定的調查對象，包括位於非生產環境中，不需循嚴格規範的資產，還有在不含重要資料專案中，使用自行管理加密金鑰的建議，或是授予廣泛權限，原本就會對外公布的資料等。<a href="https://cloud.google.com/blog/products/identity-security/announcing-mute-findings-capability-security-command-center">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IoT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位分身 </span></strong></span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;">AWS推出數位分身建置服務IoT TwinMaker，靠知識圖譜串聯不同資料來源，即時更新數位分身資訊</span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/6(11).png" style="width: 600px; height: 203px;" /></span></strong></p> <p>AWS推出數位分身建置服務IoT TwinMaker，企業可匯集多個來源的資料，建置現實物件的數位分身，來模擬作業，提高營運效率。IoT TwinMaker整合了IoT SiteWise、Kinesis Video Streams和S3的連接器，讓開發人員可連接設備感測器、影片和業務應用程式等資料來源，收集各種資料。接著，IoT TwinMaker會自動產生一個知識圖譜，整合並理解各資料來源間的關係，來建置設備、裝置和流程的數位分身，並運用系統的即時資訊，更新數位分身。</p> <p>建置數位分身後，開發人員能使用適用於Managed Grafana的IoT TwinMaker外掛程式，建立數位分身的網頁應用，讓工廠操作員和維護工程師可從網頁介面，監控和檢查設備和工業系統的運作狀態。新服務現在多個AWS地區提供預覽，而西門子、Accenture、科氏工業子公司Invista等企業已開始使用IoT TwinMaker。<a href=" https://aws.amazon.com/about-aws/whats-new/2021/11/aws-iot-twinmaker-build-digital-twins/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自動編譯 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Python </span></strong></span></p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">SageMaker增Python編譯器功能Training Compiler，最高可提升模型訓練5成速度</span></strong></strong></p> <p>SageMaker新增Python編譯器，能夠自動編譯Python訓練程式碼，並生成模型專用的GPU核心，使訓練程式碼使用更少的記憶體和運算資源，來加快模型訓練的速度。Training Compiler能夠將深度學習模型，從高階語言表示轉換成，比現成框架訓練速度更快的硬體最佳化指令，並能夠提供優於原生PyTorch和TensorFlow框架的增量優化硬體資源，來最大程度提高SageMaker GPU執行個體上的運算和記憶體使用率。AWS 表示，新功能針對圖、資料流和後端進行最佳化，生成能夠有效使用硬體資源的最佳化模型，最高可提升5成的模型訓練速度，以長時間運作的RoBERTa模型為例，訓練時間和成本可降低3成。<a href="https://aws.amazon.com/tw/blogs/aws/new-introducing-sagemaker-training-compiler/">（詳全文）</a></p> <p>圖片來源／Google雲端、微軟、AWS</p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></span></strong></p> <p>1. 因應雲端與5G業務拓展需要，中華電信要招上百位雲端人才，含雲端行銷經理、雲端架構師等<a href=" https://www.cht.com.tw/zh-tw/home/cht/messages/2021/1201-1710?year=2021&month=12&category=5C8583BDFADF4809A09D3913443F0F7E&list=%7B8DAECF69-AEF0-4F1B-B066-3306E547C0CC%7D">（詳全文）</a></p> <p>2. AWS發布使用M1晶片的新Mac執行個體，企業可開發原生支援蘋果晶片應用程式<a href="https://aws.amazon.com/tw/blogs/aws/use-amazon-ec2-m1-mac-instances-to-build-test-macos-ios-ipados-tvos-and-watchos-apps/">（詳全文）</a></p> <p>3. Google雲端發布高精確性、低延遲ML服務Vertex AI NAS，可用來執行高度複雜的ML工作負載<a href="https://cloud.google.com/blog/products/ai-machine-learning/vertex-ai-nas-makes-the-most--advanced-ml-modeling-possible">（詳全文）</a></p> <p>4. AWS發布簡化相依性管理的第二版CDK，提供穩定API讓開發者使用，並以獨力套件形式發布實驗性API <a href="https://aws.amazon.com/tw/blogs/aws/announcing-general-availability-of-construct-hub-and-aws-cloud-development-kit-version-2/">（詳全文）</a></p> <p>資料來源：iThome整理，2021年12月</p> </div></div></div>
2021/12/10 17:57作者黃郁芸https://www.ithome.com.tw/news/148327
金融FIDO最後決定用晶片金融卡綁定，金管會正輔導7組金融機構準備試辦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由金管會協力聯徵中心、財金公司，多家金控、銀行、保險公司、證券商及期貨商等，在今年5月初成立的「金融行動身分識別聯盟」，已有逾120家金融機構加入。日前，金管會綜合規劃處處長胡則華揭露了金融行動身分識別標準化機制（以下簡稱金融FIDO）最新進展，已確定採用晶片金融卡，作為消費者開通金融FIDO的卡片，甚至，金管會正輔導7組金融機構準備FIDO的試辦案件。</p> <p>金融FIDO規畫透過導入國際FIDO標準，先讓消費者透過實體卡片來綁定行動裝置、生物特徵。未來，消費者在使用金融服務時，就能使用綁定的裝置、生物特徵進行身分識別，不用再透過實體卡片或者帳號密碼來登入。金融FIDO機制有2大好處，對消費者來說，不需再用帳號密碼來驗證，可提高使用的便利性及安全性。而對金融機構而言，則可減少向顧客重複驗證身分的作業。</p> <p>金融FIDO機制分工上，由聯徵中心擔任聯盟召集人，與聯盟成員研商整體FIDO功能、管理機制、開發及運作方式等。胡則華表示，聯盟底下更設有3個委員會，其中，技術委員會由財金公司負責，目前已完成技術規格標準規畫。業務委員會則由中國信託金控擔任召集人，協助彙整金融業者有意支援FIDO的業務範圍，技術開發需求以及彙整有興趣試辦金融FIDO的業者名單等。先完成技術標準與業務面規定後，再由另一個負責安全控管的安控委員會，接手制訂後續規定。</p> <p>至於消費者未來要使用何種實體卡片開通金融FIDO？胡則華透露，聯盟已決定採用晶片金融卡作來開通。她解釋，聯盟成員涵蓋銀行、保險、證券3大業種，晶片金融卡是獲得最多成員支持的作法，主要有3項考量，一是消費者持有晶片金融卡的比率較高，而且幾乎都經過實體臨櫃的身分核驗，安全性較信用卡來得高。</p> <p>第二項原因是，臺灣ATM機臺或便利超商的Kiosk多媒體事務機相當多，消費者開通綁定方便。第三項原因是，在銀行端的電子銀行安控基準中，晶片金融卡可用的業務項目較多，因此較為符合金融業者的期待。</p> <p>不過，胡則華表示，第一階段，僅開放臨櫃實體身分核驗後取得的晶片金融卡，作為綁定之用，來確保是客戶本人。因此，如純網銀發行的金融卡，因為非透過實體臨櫃核身，就不適用第一階段的規範。</p> <h3><span style="color:#0099ff;"><strong>金融FIDO開發先採分散式作法，已有7組金融機構有意願建立金融FIDO自有體系</strong></span></h3> <p>在FIDO平臺開發上，胡則華表示，有兩種作法，集中式或分散式。先前，金管會曾提及，要採取集中式作法開發單一手機身分識別App，導入FIDO標準，來讓消費者綁定實體卡片，以提供跨機構身分識別功能。</p> <p>不過，胡則華坦言，集中式的作法仍有一大問題有待解決，若靠單一營運中心負責營運管理，風險程度過高，在資安與個資保護上都需受到嚴格監管。目前，金管會仍未找到相關機構願意擔任營運中心的角色，因此，金管會決定交由市場自行發展，後續將召開聯盟大會，針對想採取集中式作法的金融機構，舉派有能力擔任營運中心的管理者。</p> <p>胡則華進一步提到，金融FIDO目前採取分散式開發，聯盟內部又稱之為自有體系（簡稱自體系），意思是金控旗下若有金融子公司，可自行建立金融FIDO自體系。她舉例，金控旗下有銀、保、證3種子公司，金控端可以設計一款金融服務App，供旗下3家子公司共用，同時，也可共用最終端的FIDO伺服器。不過，聯盟也規定，子公司各自的公私鑰的配對不能夠彼此交換，以確保同一金控底下銀保證的資料不能互相對接。</p> <p>甚至，胡則華表示，如果有其他金融機構，因無法負荷自行建置FIDO伺服器的成本，也能加入已有一套自有體系的金融機構，但須遵循這個自有體系所訂定的相關規格與設計。因此，「未來市場上將會有多個自體系。」她更透露，金管會正在輔導7組金融機構準備的試辦案件，其中，大多是具備跨業種的金融機構有意願進行試辦。至於何時向金管會申請金融FIDO試辦，胡則華表示，金管會將尊重業者安排的時程。文⊙李靜宜</p> </div></div></div>
2021/12/10 19:11作者李靜宜https://www.ithome.com.tw/news/148324
【5G專網工廠現場直擊】螺絲廠結合5G、大數據分析提高生產力、降低成本，加速產業智慧化轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「一顆相同的螺絲，依照客戶訂單需求，不同的呎吋、處理方式，產生上萬種品項」，位於高雄的螺絲業者久陽精密總經理吳居諺一語道出螺絲產業現況。</p> <p>在高雄梓官、橋頭、崗山一帶，為國內螺絲產業群聚地，臺灣將近有1,800多家螺絲業者，所生產的螺絲不只用於國內，也外銷至國外，從航太、醫療、電動車到3C電子，都有採用螺絲，臺灣更有「螺絲王國」之名，更是僅次於中國、德國，為全球第三大扣件出口國。</p> <p>然而，螺絲產業卻面臨一些問題，由於客戶訂單需求的多樣化，導致螺絲生產少量多樣的現象，以久陽精密為例，該公司一年生產的螺絲品項就多達1萬3千種以上，每年產出約17億隻螺絲，在製造過程中，消耗約5萬件模具，使用7萬5千個船形物流桶。這樣複雜的生產過程中，過去大多是仰賴老師傅，以人工方式回報生產數據，再由專人登打輸入，但容易因為手寫錯誤，或是手動登打輸入數據也可能出錯。此外，傳產業的製造現場勞動人力還面臨逐漸老化，經驗不易傳承，人才斷層的危機。</p> <p><strong>螺絲依呎吋、熱處理、顏色的表面處理，品項多達上萬種：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04463.jpg" style="width: 600px; height: 399px;" /></p> <p>屬於台鋼集團旗下的久陽精密，成立已超過36年，主要生產中碳標準品螺栓，出口6成以歐洲市場為主，3成則是美洲市場。久陽精密的兩年前計畫朝智慧製造發展，希望透過在製造現場導入AIoT，提升該公司在螺絲產業的競爭力。在NCC鼓勵5G的垂直應用發展下，久陽精密與友訊科技、中華電信合作，由中華電信為其代建代管，協助久陽精密在高雄梓官、橋頭兩個廠區以3.5GHz頻段建置5G專用網路，採用中華電信的專網2型架構，單一工廠內建置5G基地臺與MEC邊緣運算，再以VPN串連兩個工廠，後端則搭配中華電信的5G智慧管家+管理平臺，依門號、位置、服務控管5G專網。</p> <p><strong>在柱子上方架設的5G小型基地臺：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04452.jpg" style="width: 600px; height: 399px;" /></p> <p> </p> <p>傳統的螺絲生產過程，包括從上游鋼鐵業者購買原料，經過撞擊成型，輾牙、熱處理、表面處理，到包裝商品、出貨，久陽精密在梓官、橋頭兩個工廠的製造現場，部署小型5G基地臺，兩個廠區共有127個機臺，每個產線安裝5G智慧機上盒(SMB)，通過感測器蒐集生產機台的數據，再由5G智慧機上盒將生產數據經由5G專網，送到工廠的MEC。</p> <p><strong>每個生產機臺都設有5G智慧機上盒(白色方盒)，將機臺上感測器蒐集的數據，透過5G網路送到工廠的MEC：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04454.jpg" style="width: 600px; height: 399px;" /></p> <p>吳居諺指出，為了實現AIoT，為蒐集生產機臺的數據，曾測試使用有線網路，但因為堆高機在廠內移動，可能扯掉或壓斷有線網路，造成數據蒐集中斷，而使用無線網路Wi-Fi，容易因為廠區內的環境所干擾，也測試過使用授權無線頻段的4G網路，但其網路頻寬無法滿足大量生產機臺的數據傳輸。</p> <p>而使用5G網路，一方面使用授權頻譜，較不易受干擾，另方面，5G的高傳輸、低延遲，能夠滿足即時的大數據分析需要。</p> <p>過去由老師傅以人工方式，每小時回報一次機臺的生產數據，現在導入5G AIoT後，設定每5秒蒐集一次自動傳送機臺的生產數據，包括機臺嫁動率、生產周期，產出的螺絲數量、重量，還有船桶在各生製過程所停留的時間、重量，以及生產機臺所使用的模具或耗材使用的壽命、技術員操作機臺時間等等。甚至，現場師傅拿著電子游標卡尺，在不同機臺間抽測產出螺絲的量測結果，不再和以前一樣，需手寫紀錄量測結果，按下電子游標卡尺上的按鈕，就會自動將量測數據透過藍牙送到5G智慧機上盒，和其他數據送到後端。</p> <p>通過5G蒐集生產線上的數據，送到ERP系統，吳居諺表示，經由大數據分析優化各機臺生產排程，將產能最大化，同時準備生產的原物料，經過一個季度的測試，生產效率提高2成。利用大數據計算耗材壽命，以生產螺絲的模具為例，每個模具都以雷雕刻上QR Code，用以追蹤每個模具，而透過蒐集每個生產機臺的模具使用數據，計算每個模具生產螺絲的數量，是否將達到模具的壽命，也能監控每個模具耗材的異使耗損情形，節省約25%的模具成本。</p> <p><strong>每個生產螺絲的模具上，以雷雕刻上QR Code，追蹤每個模具的使用情形，根據機臺的生產數據，分析模具可使用的壽命：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04466.jpg" style="width: 600px; height: 399px;" /></p> <p>此外，還從數據分析提高物料、耗料對生產工作令的配對，建立領料防呆機制，並且建立機臺及品質的異常警示，讓管理者可追蹤哪批貨料出問題，及早因應、找出原因，降低6成的異常件數。</p> <p>工廠內用來裝盛螺絲的船桶，也標有RFID或是QR Code，追蹤船桶在生產過程的動向，而智能生產工具令的先後順序，將原本的交期達成率由8、9成，提高到99%。</p> <p><strong>用於移動的船形桶都以RFID或QR Code追蹤：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04458.jpg" style="width: 600px; height: 399px;" /></p> <p>吳居諺表示，由於螺絲品項的多樣化，沒有一家業者可以完全產出所有的品項，因此螺絲產業維持著競爭且合作的關係，也是螺絲產業形集產業聚集的原因。由於螺絲產業的業者眾多，競爭相當激烈，加上客戶對螺絲除了交期達成，也希望品質達到需求，導入智慧化的生產有利於獲得客戶的信賴，未來透過智慧製造提高製造業的良率、品質將是趨勢，因此導入5G專網，發展AIoT。</p> <p>他更表示，導入AIoT蒐集數據只是第一步，未來的最終目標是向無人工廠發展。</p> <p><span style="color:#B22222;"><strong>智慧製造同場加映：車燈業者龍鋒展示AR產線組裝應用</strong></span></p> <p>距離高雄較近的臺南，除了以小吃、觀光聞名，近年也積極的發展智慧城市，與業者合作成為新科技的實驗場域，除了在沙侖建立自駕車測試場之外，還有自駕公車道路測試，去年還推動n79(4.8到4.9GHz)頻段5G專網實驗場域。其中，臺南市政府促成專門生產汽車車燈的龍鋒企業，和臺灣松下(Panasonic)、雲達、資策會、佐臻合作，利用n79頻段，採用雲達的小基5G基地臺、5G核網、AI伺服器，加上資策會的AR虛實疊加技術、佐臻的AR眼鏡，展示AI+AR輔助車燈組裝訓練、AI組裝過程監測兩項應用。</p> <p>首先，AR輔助車燈組裝訓練，主要適合不熟悉組裝操作的新手，傳統上，新進員工在組裝時，會由老手教導或是一邊觀看手冊進行操作，而導入5G及AR，新手戴上輕量型的AR眼鏡，連接5G手機，就能將AR眼鏡上相機所拍攝的員工視角畫面，經由5G基地臺與核網，送到AI伺服器進行辨識，新手就能透過戴在頭上的AR眼鏡，根據AI的AR擴增實境疊加影像，按部就班操作組裝，例如按照AR影像指示安裝固定螺絲。</p> <p><strong>戴上AR眼鏡後，按照AI的指導組裝車燈燈具：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04485.jpg" style="width: 600px; height: 399px;" /></p> <p> </p> <p><strong>螢幕中顯示員工配戴的AR眼鏡所看到的組裝畫面，經過AI辨識後，以AR指引在哪裡、按步驟鎖上螺絲：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04490.jpg" style="width: 600px; height: 399px;" /></p> <p>另一個應用AI組裝過程監測，適用於一般組裝產線，在車燈組裝產線上方架設相機，拍攝員工組裝車燈過程影像，經5G網路送到AI伺服器，由AI判斷組裝程序是否符合操作規定，若發生錯誤則送出警示訊息。</p> <p><strong>下圖為設置在龍鋒組裝產線上的雲達5G小型基地臺，下方為RU，上方為天線：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04512.jpg" style="width: 600px; height: 399px;" /></p> <p> </p> <p><strong>龍鋒的IT機房內一角，有一櫃裝載有雲達的5G核心網路，採用一般的X86伺服器，搭配一臺採用Nvidia A100 GPU的AI伺服器：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04531.jpg" style="width: 600px; height: 399px;" /></p> </div></div></div>
2021/12/10 22:15作者蘇文彬https://www.ithome.com.tw/news/148325
【資安週報】2021年12月6日至10日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近的2至3個星期裡，資安業者不斷揭露盯上購物季的電子商城Magecart側錄攻擊行動，駭客的攻擊手法又比起過往更加隱密，且有不少側錄攻擊是鎖定WooCommerce軟體架設的商城而來。但在交易資料的安全之外，因疫情而升溫的線上掃貨Grinchbot惡意程式攻擊，也是值得注意的現象，攻擊者透過這種機器人，在短短幾秒之內搶下數百種商品，讓一般消費者無法直接買到，被迫要加價向網路黃牛購買。這種情況究竟有多嚴重？美國<a href="https://tonko.house.gov/news/documentsingle.aspx?DocumentID=3503">在11月底通過《停止Grinch Bot法案（Stopping Grinch Bots Act.）》</a>，並獲得多個消費者組織的支持。</p> <p>除了網路購物存在個資外洩與網路黃牛的問題，零售業的實體門市也是攻擊者下手的目標──跨國連鎖商店Spar在北英格蘭有部分門市遭到攻擊，而使得營運受到衝擊。另一個攻擊行動隱含的資安危機同樣要留心：北美有多家零售業者的收銀機（POS），印出了大辭職（Grand Resignation、亦稱Big Quit）勞工運動文宣，雖然是煽動員工要求集體爭取加薪、待遇不佳就應該考慮另謀高就，但這隱含了攻擊者能夠入侵門市並操控收銀機為所欲為的資安威脅。</p> <p>說到了美國因武漢肺炎而出現的大辭職運動，因武漢肺炎變種病毒Omicron疫情升溫，相關網釣攻擊近期也有再度增加的現象。其中有人假冒英國國家衛生部（NHS）的名義來對當地民眾下手，使得當地的消費者保護組織特別提出警告。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.imperva.com/blog/grinchbots-strike-again-this-holiday-shopping-season-as-bot-traffic-spikes-73/"><span style="color: rgb(0, 0, 0);">掃貨惡意程式Grinchbot攻擊流量在黑色星期五增加7成<img alt="" src="https://s4.itho.me/sites/default/files/images/Grinchbot-21-image-2.png" style="width: 301px; height: 139px; float: right;" /></span></a></strong></h4> <p>在11月的購物季，各電商平臺無不磨拳擦掌，推出限定、限量的商品來吸引顧客，但購物黃牛透過機器人程式蒐括這些限定商品，再轉手高價賣出的現象也值得注意。資安業者Imperva指出，有人利用名為Grinchbot的機器人，在11月的購物季大肆搶購限定商品的現象，較10月份多出了73%的流量。而在整個11月裡，又以黑色星期五和網路星期一達到流量高峰。</p> <h4><strong><a href="https://www.riskiq.com/blog/external-threat-management/woocommerce-magecart/"><span style="color: rgb(0, 0, 0);">Magecart側錄攻擊鎖定WooCommerce電商網站而來</span></a></strong></h4> <p>側錄線上交易的Magecart攻擊行動，過往有不少事故是針對Magento電子商務平臺而來，但資安業者RiskIQ最近提出警告，他們發現近期鎖定WooCommerce電子商務平臺的攻擊增加，並介紹新的側錄工具WooTheme、Slect、Gateway，呼籲電商網站留意。</p> <h4><a href="https://geminiadvisory.io/magecart-google-tag-manager/"><span style="color: rgb(0, 0, 0);"><strong>駭客濫用Google Tag Manager服務，發動Magecart側錄攻擊</strong></span></a></h4> <p>駭客針對電子商城網站發動Magecart攻擊，自2020年起開始運用多項Google的服務，如今又多了一種「<a href="https://support.google.com/tagmanager/answer/6102821?hl=zh-Hant&ref_topic=3441530">Google Tag Manager</a>（GTM）」，這項工具的用途，是提供網站管理者部署Google Ads、Google Analytics、Floodlight或第三方合作夥伴的程式碼，而無須大幅修改網站本身。但攻擊者運用這項工具自建容器發動攻擊，極為難以察覺。資安業者Gemini Advisory指出，他們自2021年2月4日開始，觀察到至少有316個電子商務網站，感染了木馬化的GTM容器，被攻擊者用來發動Magecart側錄攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/hundreds-of-spar-stores-shut-down-switch-to-cash-after-cyberattack/"><span style="color: rgb(0, 0, 0);"><strong>連鎖商店Spar遭到網路攻擊，波及330家英國門市</strong></span></a></h4> <p>在全球擁有1.3萬家門市的Spar，傳出英國北部門市遭到網路攻擊，使得許多店家被迫暫停營業，或是只能使用現金交易。根據當地媒體BBC報導，攻擊者鎖定位於蘭開夏郡普雷斯頓的James Hall & Company下手，該公司經營Spar當地的收銀機和IT系統，使得他們經營的逾300家門市受到波及。英國國家網路安全中心（NCSC）證實確有此事，並與蘭開夏郡警方著手調查事故發生的原因。</p> <h4><a href="https://www.ithome.com.tw/news/148192"><span style="color: rgb(0, 0, 0);"><strong>北美零售業者收銀機被挾持，列出辭職運動標語<img alt="" src="https://s4.itho.me/sites/default/files/images/1638477567778-anti-work-manifesto1.jpeg" style="width: 300px; height: 186px; float: right;" /></strong></span></a></h4> <p>根據Motherboard的報導，北美多家零售業者的IT人員發現，他們的收銀機（POS）系統傳出遭到挾持，而陸續印出武漢肺炎疫情下當地流行的「大辭職（Grand Resignation、亦稱Big Quit）」勞工運動文宣，企圖煽動員工離職或是參與罷工運動。這個情況資安業者GreyNoise也提出類似的觀察，並表示攻擊來源主要是來自荷蘭的代管業者，受害者主要位於北美，約有十多起事件。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/phishing-actors-start-exploiting-the-omicron-covid-19-variant/"><span style="color: rgb(0, 0, 0);">駭客使用Omicron變種病毒為誘餌，鎖定英國民眾發動網釣攻擊</span></a></strong></h4> <p>最早在南非發現的武漢肺炎變種病毒Omicron，近日大舉入侵近40個國家，南非5歲以下兒童大量感染而住院，許多人士即使已經施打2劑疫苗仍然染疫，引起全球恐慌。英國消費者保護組織Which指出，他們發現2個聲稱是英國國家衛生服務部（NHS）的釣魚郵件，內容指出打算為收件人提供免費的PCR測試，來檢測變種武漢肺炎病毒Omicron，一旦收信人點選連結，就會被引導到冒牌的NHS網站填寫資料，並要求支付1.24英鎊的手續費。Which指出，攻擊者並非以收取手續費為目的，而是要竊取受害者的信用卡資料，且在過程中會要求填寫母親的姓名，以便攻擊者接管帳號後，繞過NHS網站的安全問題。</p> <h4><strong><a href="https://pay.line.me/portal/jp/customer/press/52227?categoryId="><span style="color: rgb(0, 0, 0);">Line Pay外包商員工不慎將行銷資料上傳GitHub，13萬人資料外洩，Line發現後已刪除並公布調查結果</span></a></strong></h4> <p>Line Pay服務在12月6日發布公告，說明在11月24日發現，有外包集團公司員工在9月12日，未經許可在GitHub上傳了用於調查使用者參與特定行銷活動的相關資訊，Line公司在發現當日，已將相關資訊從GitHub中刪除，並在11月30日完成存取狀態等調查，這些外洩資訊曾被存取11次。這次事件牽連全球13萬3484人用戶，包含臺灣7萬1631人與日本5萬1543人，資料內容主要是用戶識別碼（不同於Line ID）、商店管理編號，以及活動相關資訊，但不包含用戶姓名、地址、電話，以及信用卡與銀行帳號等資訊，因此確認對用戶沒有影響。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/nordic-choice-hotels-hit-by-conti-ransomware-no-ransom-demand-yet/"><span style="color: rgb(0, 0, 0);"><strong>北歐精品酒店集團遭到Conti勒索軟體攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/FF3rJg_XsAQHD2v.jpg" style="width: 150px; height: 177px; float: right;" /></strong></span></a></h4> <p>北歐精品酒店（Nordic Choice Hotels）集團於12月2日發出公告，表示他們的IT系統遭到電腦病毒攻擊，導致員工無法協助客人訂房、登記入住、退房，以及處理收費的事宜，他們改以人工處理因應，該集團亦向挪威資料保護局和挪威國家安全局等執法單位通報此事。而到了12月6日，該集團公布初步調查結果，表示目前尚未發現資料遭到外洩的跡象，並透露他們遭到名為Conti的勒索病毒攻擊，但沒有收到攻擊者的勒索訊息。</p> <h4><strong><a href="https://therecord.media/qnap-warns-of-new-crypto-miner-targeting-its-nas-devices/"><span style="color: rgb(0, 0, 0);">威聯通警告鎖定NAS的挖礦攻擊行動</span></a></strong></h4> <p>臺灣NAS業者威聯通（QNAP）於12月7日發布資安通報，警告用戶新的挖礦攻擊正鎖定該廠牌的NAS設備而來，該公司指出，一旦攻擊者成功入侵，就會執行名為[oom_reaper]的處理程序，此處理程序約會占用50％的中央處理器資源。此外，這個處理程序會模仿核心處理程序，其PID通常大於1000。QNAP呼籲用戶要使用最新的作業系統及附加元件，並且使用強密碼，如果發現NAS遭到感染，則要依照公告的步驟，使用Malware Remover移除惡意軟體。</p> <h4><a href="https://www.ithome.com.tw/news/148196"><span style="color: rgb(0, 0, 0);"><strong>加密貨幣交易所BitMart被盜走1.5億美元加密貨幣</strong></span></a></h4> <p>加密貨幣交易中心BitMart在12月5日證實遭到駭客入侵，指出駭客存取了以太坊（ETH）及幣安智能鏈（BSC）的熱錢包，使得駭客得以提領價值1.5億美元的加密貨幣資產。這起事故最早是區塊鏈資安業者PeckShield發現，起因是他們看到不尋常的大量匯出交易。BitMart宣稱，受到影響的熱錢包僅存放少數資產，其他的錢包則不受影響，在展開徹底的安全檢查之後，該公司預計於12月9日進行系統維護，屆時將暫停所有的交易。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/us-state-dept-employees-phones-hacked-using-nso-spyware/"><span style="color: rgb(0, 0, 0);">間諜軟體Pegasus監控美國國務院官員</span></a></strong></h4> <p>根據Motherboard、華盛頓郵報、路透社等新聞網站報導，至少有9名美國官員收到蘋果公司的警告，他們的手機疑似最近幾個月遭到攻擊者利用iOS漏洞ForcedEntry，來植入以色列網路攻擊公司NSO Group所製作的間諜軟體Pegasus。這些受害者的身分，是處理烏干達事務的美國官員。NSO Group向Motherboard透露，他們已停用發動此起攻擊的使用者帳號，並將與相關的政府當局合作，提供有關資料，以便釐清案情。不過，NSO Group強調，他們被禁止使用美國的電話號碼，而難以得知是那個組織所發動的攻擊。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148259"><span style="color: rgb(0, 0, 0);">Google與代管業者合作摧毀Glupteba殭屍網路<img alt="" src="https://s4.itho.me/sites/default/files/images/Untitled_7_7UC7Ycl_0373047907460940_max-1000x1000.png" style="width: 200px; height: 245px; float: right;" /></span></a></strong></h4> <p>攻擊者濫用Google服務的情況相當常見，但別以為Google只會封鎖遭到濫用的帳號和服務。Google於12月7日宣布，他們與網路基礎設施、代管業者聯手，關閉殭屍網路Glupteba所使用的伺服器主機與網址，同時他們也找出發動攻擊的2名俄羅斯駭客，並向美國法院提告。該公司指出，該殭屍網路粗估超過百萬裝置受到感染，受害者遍布美國、印度、巴西，以及東南亞。Google亦封鎖1,183個遭濫用的Google帳號、870個廣告服務帳號，並關閉用來散布殭屍網路病毒的6,300萬個Google Docs文件。</p> <h4><a href="https://blog.group-ib.com/hive"><span style="color: rgb(0, 0, 0);"><strong>成立半年的Hive勒索軟體已有逾350個組織受害</strong></span></a></h4> <p>新興勒索軟體駭客組織Hive崛起的現象，引起研究人員的注意。資安業者Group-IB指出，這個駭客組織於資料外洩網站（DLS）上，列出48個不願付贖金的受害組織，而根據他們的調查，實際遭到攻擊的受害組織數量，自2021年6月底到10月16日，總共超過355個。</p> <h4><a href="https://jfrog.com/blog/malicious-npm-packages-are-after-your-discord-tokens-17-new-packages-disclosed/"><span style="color: rgb(0, 0, 0);"><strong>17個惡意NPM套件利用即時通訊系統Discord發動攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/discord-js-image3.png" style="width: 300px; height: 189px; float: right;" /></strong></span></a></h4> <p>廣受許多開發人員使用的Node.js套件管理器（NPM），最近幾個月已有多起惡意套件的事故，而最近一起攻擊行動，駭客更是同時濫用即時通訊平臺Discord。資安業者JFrog近期發現了17個惡意NPM套件，其共通點是會竊取Discord用戶的Token，研究人員推測，攻擊者竊取此種Token的目的，可能是要掩飾其他攻擊行動，或是用來散布惡意軟體。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/grafana-fixes-zero-day-vulnerability-after-exploits-spread-over-twitter/"><span style="color: rgb(0, 0, 0);">圖像化資料分析系統Grafana修補路徑穿越漏洞</span></a></strong></h4> <p>開源的圖像化資料分析解決方案Grafana於12月7日緊急發布更新，修補路徑穿越漏洞CVE-2021-43798，這項漏洞的CVSS風險層級為7.5分，影響本地建置的8.0.0-beta1至8.3.0版Grafana用戶，一旦這個漏洞遭到利用，攻擊者可存取Grafana資料夾以外高權限資料夾路徑，例如存放使用者密碼的/etc/passwd/。Grafana指出，這個漏洞源自於該分析系統安裝的外掛程式URL，而導致該系統容易遭受攻擊。Grafana於12月3日獲報並著手修補，但7日他們得知漏洞已遭公開，且有概念性驗證攻擊程式，決定緊急提供修補程式。此外，Grafana Cloud實體的用戶不受影響。</p> <h4><strong><a href="https://salt.security/blog/api-threat-research-graphql-authorization-flaws-in-financial-technology-platform"><span style="color: rgb(0, 0, 0);">金融科技平臺的GraphQL恐存在API授權漏洞</span></a></strong></h4> <p>最初由Meta開發的開源資料查詢語言GraphQL，因具備較為強大、高效、靈活的網頁API開發特質，也被用於金融產業，但專注API安全的資安公司Salt Security指出，他們調查一家不願透露名稱的企業，所建置的大型金融科技（FinTech）平臺，結果在GraphQL的API串接上存在漏洞，導致一旦遭到利用，攻擊者可對收集他人個資，或是提出未經授權的交易請求。</p> <h4><strong><a href="https://logging.apache.org/log4j/2.x/download.html　https://github.com/advisories/GHSA-jfh8-c2jp-5v3q"><span style="color: rgb(0, 0, 0);">日誌框架系統Apache Log4j 2修補RCE漏洞，用戶盡速更新至最新版2.15.0<img alt="" src="https://s4.itho.me/sites/default/files/images/2021-12-10_151232_Log4j2.jpg" style="width: 300px; height: 132px; float: right;" /></span></a></strong></h4> <p>Apache Log4j 2是基於Java的日誌框架，近日他們發布了新版本2.15.0，當中修補了一項遠端程式碼執行漏洞，用戶盡速升級最新版本。根據<a href="https://help.aliyun.com/noticelist/articleid/1060971232.html">阿里雲安全團隊的說明</a>，Apache Log4j2的某些功能存在遞迴解析功能，而攻擊者可直接構造惡意請求，觸發遠端程式碼執行漏洞，並指出Apache Struts2、Apache Solr、Apache Druid、Apache Flink都受影響。目前CVE漏洞編號CVE-2021-44228僅從<a href="https://github.com/advisories/GHSA-jfh8-c2jp-5v3q">GitHub Advisory Database找到相關資訊</a>，NIST <a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44228">NVD尚未公開</a>。</p> <h4><strong><a href="https://www.synopsys.com/blogs/software-security/cyrc-advisory-goautodial-vulnerabilities/"><span style="color: rgb(0, 0, 0);">開源客服系統GOautodial存在路徑穿越漏洞</span></a></strong></h4> <p>資安業者Synopsys於12月7日，揭露開源的多合一客服軟體GOautodial漏洞，這個軟體在全球擁有超過5萬個客服中心採用，這些漏洞一旦被攻擊者利用，可在未經身分驗證的情況下存取系統配置資料，或是能使用通過身分驗證的使用者帳號，藉由不受限制的上傳文件漏洞，來執行任意程式碼。GOautodial獲報後約於10月下旬修補相關漏洞。</p> <h4><strong><a href="https://www.sentinelone.com/labs/usb-over-ethernet-multiple-privilege-escalation-vulnerabilities-in-aws-and-other-major-cloud-services/"><span style="color: rgb(0, 0, 0);">USB設備網路共享元件存在漏洞，波及多家雲端虛擬桌面解決方案<img alt="" src="https://s4.itho.me/sites/default/files/images/USB-Over-Ethernet.jpg" style="width: 300px; height: 169px; float: right;" /></span></a></strong></h4> <p>隨著居家辦公變得普遍，組織開始相當依賴雲端服務，其中，能讓使用者將本地端的USB設備，延伸在組織提供的雲端虛擬桌面上執行，有賴於將USB設備透過網路執行的技術術（USB over Ethernet）達成。資安業者SentinelOne指出，他們發現開源的Eltima SDK，存在27個漏洞，波及Amazon Workspaces、NoMachine、Eltima USB Network Gate等，部分業者獲報後已著手修補。</p> <h4><strong><a href="https://palisade.consulting/blog/tld-hacking"><span style="color: rgb(0, 0, 0);">頂級網域註冊業者的漏洞恐導致Google、Amazon網域遭接管</span></a></strong></h4> <p>資安顧問公司Palisade指出，他們在10月8日發現，頂級網域（TLD）服務業者Tonga網路資訊中心（TONIC）的註冊系統存在SQL注入漏洞，導致攻擊者可以修改「.to」頂級網域下，任何網域名稱的名稱伺服器，覆蓋這些網域的DNS設置，將流量重新導向攻擊者的網站。例如，一旦有人控制google.to，將能藉由惡意的account.google.com網址，來竊取Google用戶的Token。</p> <p>再者，由於.to廣泛被應用於產生短網址，Amazon（amzn.to）、Uber（ubr.to）和Verizon （vz.to）等公司的短網址可能會遭到濫用。他們通報TONIC後，這個漏洞在24小時內就獲得修復。</p> <h4><strong><a href="https://positive.security/blog/ms-officecmd-rce"><span style="color: rgb(0, 0, 0);">研究人員揭露由預設URI觸發的Windows 10重大RCE漏洞<img alt="" src="https://s4.itho.me/sites/default/files/images/61a7c22d1ef24755736aa8f3_msofficecmd_cover-p-2000.png" style="width: 300px; height: 139px; float: right;" /></span></a></strong></h4> <p>利用Windows預設的統一資源標識碼（URI），來執行通用Windows平臺（UWP）應用程式、微軟Office軟體的手法，近期已有攻擊者用於網路釣魚攻擊，誘騙使用者下載惡意程式，但這種機制潛藏的危機恐怕不止於此。資安業者Positive Security揭露，他們發現一項透過IE 11或舊版Edge瀏覽器（採用EdgeHTML排版引擎），與Teams串連而形成的RCE漏洞，攻擊者可藉由Windows 10、11在ms-officecmd:的URI預設值，而能觸發這項漏洞。該公司指控，微軟獲報後雖然發布修補程式，但未完全解決，迄今Windows 11仍存在相關漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.cna.com.tw/news/afe/202112080229.aspx"><span style="color: rgb(0, 0, 0);">臺灣資安鑄造公司成立舉行揭牌儀式，盼帶動資安智慧聯防與產業合作</span></a></strong></h4> <p>今年7月，資訊工業策進會（資策會）資安所傳出籌備臺灣資安鑄造公司已有進度的消息，在12月8日，臺灣資安鑄造股份有限公司（資安鑄造）正式宣布技轉成立，將透過自主研發的工業物聯網威脅偵測系統，新建立跨IT、OT與5G的供應鏈資安監控平臺，可整合多元資安技術服務，快速偵測資安事件，並聚焦供應鏈安全，針對地方SI、5G、醫療、電商、工控與晶片產業提供合作模式。此外，有意投資資安鑄造的美國矽谷創投Draper Associates與東元，都參與揭牌儀式。隨著該公司的成立，對國內資安生態的幫助與影響，也將成為國內資安領域持續關注的焦點。</p> <h4><a href="https://www.synology.com/zh-tw/company/news/article/Synology2022_main/創新永不停歇 ─ Synology 2022 AND BEYOND"><span style="color: rgb(0, 0, 0);"><strong>臺NAS廠接連跨入企業資安領域，群暉正式推出C2 Identity與C2 Transfer</strong></span></a></h4> <p>臺NAS大廠群暉切入SaaS服務領域，在12月9日舉行C2雲服務發表會，宣布四款SaaS服務在臺上線，除了適用個人與企業的C2 backup，以及類似1Password、LastPass的個人密碼管理工具C2 Password，特別是還有企業資安防護的C2 Identity、C2 Transfer，都在11月中下旬陸續上線，並提供歐洲法蘭克福、北美西雅圖與亞太臺灣（11月上線）的資料中心選項。其中C2 Identity，是能整合企業服務的混合身分驗證系統，用戶可使用Google、Apple、Synology帳戶註冊登入。此外，另一NAS大廠威聯通在今年也跨入企業資安領域，推出實體的網路防護設備ADRA NDR，鎖定中小企業需求，提供偵測、分析與隔離的功能。</p> <h4><strong><a href="https://www.winbond.com/hq/about-winbond/news-and-events/news/winbond_and_karamba_security_comprehensive_cybersecurity_solution_for_automotive_iot_needs.html?__locale=zh_TW"><span style="color: rgb(0, 0, 0);">記憶體廠商華邦電子聯手物聯網資安業者Karamba，針對汽車推出網路安全解決方案</span></a></strong></h4> <p>臺灣DRAM及快閃記憶體製造商華邦電子於12月8日宣布，他們將與物聯網資安業者Karamba Security合作，共同推出適用於汽車的網路安全防護解決方案。該方案由華邦的安全快閃記憶體TrustME與Karamba XGuard搭配，宣稱能讓車廠符合UN R155等汽車網路安全標準的要求。</p> <h4><strong><a href="https://2030.trendmicro.com"><span style="color: rgb(0, 0, 0);">趨勢科技發表2030專案，從當前科技潮流審視網路資安未來情境</span></a></strong></h4> <p>趨勢科技在11月與12月間陸續於全球發布2030專案，當中包含讓讀者可閱讀的報告白皮書，以及可觀賞的系列影片，並設有報告獨立網站。在12月8日，趨勢科技在臺宣布推出此份報告，這是趨勢科技的一項前瞻研究計畫，當中並非是要敘述一個必然發生的未來，而是從當前科技發展與潮流預測可能情境，不只是讓大家思考未來可能的樣貌，也希望激起更多討論，以提醒政府、企業與個人，隨著科技逐漸滲透於日常，對於網路犯罪的未來發展應提早作準備或有所關注。其中有幾個焦點，包括：AI工具使網路範圍門檻降低而氾濫，社交工程詐騙與假訊息更加真實，大量物聯網環境的威脅，網路攻擊溯源更加困難，還有5G、6G網路興起，以及Everything as a Service的結果，而演進的攻擊趨勢。</p> <p> </p> </div></div></div>
2021/12/10 15:54作者周峻佑https://www.ithome.com.tw/news/148312