iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 9篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 11:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟釋出新一代對話理解客戶端函式庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出下一代的<a href="https://devblogs.microsoft.com/azure-sdk/introducing-the-next-generation-of-the-conversational-language-understanding-client-library/">對話語言理解（Conversational Language Understanding）客戶端函式庫</a>，供開發者利用Azure雲端對話語言理解服務，訓練模型並且將其用於應用程式，提供相關的語言服務。開發者可以選擇使用.NET或Python，目前這些函式庫仍在測試階段。</p> <p>由於企業對於理解短文的智慧解決方案需求逐漸增加，微軟提到，隨著更複雜的解決方案被開發出來，改進和支援這些複雜使用案例的需求也不斷成長。這些場景從智慧客服機器人，到能夠理解開發者輸入的獨立系統，微軟提供語言認知服務來應對這些場景。</p> <p>語言認知服務（Language Cognitive Service）採用多語言Transformer模型，與現有的語言理解服務相比，官方表示，開發者能夠感受到明顯的效能改進。</p> <p>對話語言理解是一種雲端服務，能夠讓開發者使用先進的技術訓練對話語言模型，而對話語言理解API是Azure認知服務的一部分，為雲端機器學習訓練和人工智慧演算法的集合，開發者可以將這些功能與REST API或是客戶端函式庫一起使用。</p> <p>新的對話語言理解服務還支援創建調度專案（Orchestration Project）的能力，多語言Transformer模型支援這些調度專案，並且讓開發者配置專案，以路由到多個自定義的語言服務，這些服務包括問答知識庫、其他對話語言理解和經典的語言理解服務（LUIS）。</p> <p>開發者可以使用微軟新發布的對話理解客戶端函式庫來建立各種對話應用，像是分析聊天機器人場景的對話，藉由將終端用戶提供的文字對話作為輸入，呼叫客戶端來執行同步操作，指定模型和部署槽以進行分析。開發者也可以對同一模型提供不同語言的話語，來使用嵌入式多語言功能。</p> </div></div></div>
2021/12/22 09:34作者李建興https://www.ithome.com.tw/news/148490
Google在行動鍵盤Gboard使用聯合重建技術改進推薦品質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google揭露行動裝置鍵盤Gboard，所使用的新聯合學習（Federated Learning）技術，這項技術被Google稱為<a href="https://ai.googleblog.com/2021/12/a-scalable-approach-for-partially-local.html">聯合重建（Federated Reconstruction）</a>，目標是要大規模進行部分本地聯合學習，使得在訓練模型時，讓部分模型參數永遠不會在伺服器聚合。</p> <p>Google提到，在矩陣分解（Matrix Factorization）用例，他們推薦使用聯合重建，因為可以將用戶的嵌入保留在用戶的裝置本地端，也就是說，在訓練模型時，針對每個用戶完全個人化，但是又能避免這些參數交流。Google將這項聯合學習技術部署到Gboard中，提供數億鍵盤使用者更好的推薦結果。</p> <p>聯合學習技術讓用戶能夠在不將原始資料發送到中央伺服器的情況下訓練模型，進而避免隱私敏感資料被收集。傳統聯合學習技術，通常所有用戶擁有單一全域模型，像是行動鍵盤應用程式的用戶，會共同訓練建議模型，但因為每個人對建議有不同的偏好，這種差異驅使全域模型可針對每個用戶進行個人化。</p> <p>但研究人員解釋，在特定情況下，因為隱私的考量，可能無法訓練全域模型，像是推薦系統的矩陣分解模型，要訓練一個完全全域模型的聯合模型，將會需要發送用戶嵌入更新到中央伺服器，而這個動作可能會揭露嵌入中用戶的喜好，而且即便模型沒有使用者特有的嵌入，將部分參數完全留在使用者裝置上，也能夠減少伺服器和客戶端的通訊，並且負責任地替每個使用者個人化這些參數。</p> <p>過去部分本地端聯合學習方法使用有狀態演算法，這會需要用戶的裝置儲存多輪聯合訓練的狀態，也就是說，這些方法需要裝置跨輪儲存本地參數。在大規模聯合學習環境中，這些演算法往往不夠實用，因為大多數用戶不參與訓練，而參加的用戶可能僅參與一次，導致狀態很少可用，或是在數輪之後狀態過於陳舊，此外，不參與的用戶都沒有經過訓練的本地端參數，也就阻礙了實際應用。</p> <p>而聯合重建技術是無狀態的，用戶裝置不需要儲存本地端參數，當用戶參與訓練時，在更新任何全域模型參數之前，會在全域參數凍結的情況下，在本地端參數上使用梯度下降法，隨機初始化和訓練本地端參數，接著便可以在本地端參數凍結的情況，計算全域參數更新。聯合重建方法不假設用戶具有前幾輪的訓練狀態，如此便能實現大規模訓練，並且不斷重建本地端參數，避免參數過時。</p> <p>Google為了驗證聯合重建在大規模用例的實用性，便將演算法部署到擁有數億使用者的Gboard中。Gboard用戶使用GIF和表情符號與其他人交流，而用戶對於這些情緒表達有高度的差異，因此剛好非常適合使用矩陣分解，來預測用戶想要分享的情緒表達。</p> <p>Google在用戶情緒表達歸類上使用聯合重建，訓練了矩陣分解模型，將用戶嵌入留存在每個Gboard用戶的本地端，然後部署使用該模型，研究發現表達推薦的點擊率大幅增加29.3%。</p> </div></div></div>
2021/12/22 09:39作者李建興https://www.ithome.com.tw/news/148492
零信任存取解決方案BeyondCorp Enterprise新增政策疑難排除工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端的零信任存取解決方案BeyondCorp Enterprise，現在正式加入<a href="https://cloud.google.com/blog/products/identity-security/unblock-bce-users-for-easy-zero-trust-access">政策疑難排除（Policy Troubleshooter）</a>，供管理員快速分類封鎖存取事件，並且解封使用者。</p> <p>BeyondCorp Enterprise對用戶提供跨雲和跨裝置的應用程式安全存取，管理員能夠配置精細的規則，來管理敏感的企業資源存取，Google提到，雖然這些政策定義了建立和維護信任的方法，但作為零信任模型的一部分，有時候規則分層會使得用戶，難以理解存取應用程式和資源失敗的原因。</p> <p>因此管理員可以啟用BeyondCorp Enterprise政策疑難排除功能，替每個IAP資源存取被拒絕事件，即時產生故障排除URL，被阻擋的用戶會看到該故障排除URL，將其複製並傳送給管理員，管理員便可以快速透過該URL，診斷出問題所在，找出存取請求失敗的原因。</p> <p>政策疑難排除提供管理員，對整個存取事件發生的可見性，在疑難排除分析頁面中，管理員可以看到各種檢視圖，總結檢視圖會顯示所有相關政策，和成員資格調查結果的匯總。另外，IAM政策檢視圖則會顯示有效IAM綁定評估結果、權限授予情況，以及故障發生位置等資訊，同時管理員還可以查看用戶和裝置的上下文資訊列表。</p> <p>管理員可以利用這些檢視圖，向終端用戶提供存取失敗的詳細原因，包括群組成員身份、時間、位置限制和裝置規則等內容，管理員也能夠利用政策疑難排除功能，更新政策來允許用戶存取。</p> </div></div></div>
2021/12/22 09:44作者李建興https://www.ithome.com.tw/news/148494
金管會將開放純網保！需由金融機構與Fintech公司共同發起，最快2023年公布設立許可名單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會在今天（12/21）首度揭露開放設立純網路保險公司（以下簡稱純網保）5大政策目的，及設立純網保的發起人條件、營業據點及監理原則、最低實收資本額、業務範圍、風險管控等規畫細節，更預計2023年4月，臺灣將有純網路保險公司取得設立許可。</p> <p>金管會表示，消費者透過網路取得金融服務形成一股趨勢，國際上紛紛成立純網保公司或以網路保險為主的保險公司，來提供創新、多元、便利的保險商品與服務，擴大普惠保險，提供保險服務可及性及使用性。甚至，純網保公司更透過AI、大數據分析等技術，推動保險業數位轉型。</p> <p>因此，金管會參考了香港、中國、日本、新加坡、美國、歐盟等國家或地區發展純網保的國際經驗，訂定臺灣開放設立純網保公司的5大政策目的與規畫方向。首先，因應零工經濟、平臺經濟、共享經濟等數位化新經濟模式的興起，民眾在面臨新經濟風險時，所需的保險保障也逐漸增加，所以，金管會認為，開放純網保的營運模式，能夠滿足數位時代民眾保險需求，這是第一大目的。</p> <p>目前，國外針對零工經濟已發展出自有工作者保險，在共享經濟也發展出如共享汽車保險、共享房屋保險、共享辦公室保險，在平臺經濟更有租車平臺保險、外送人員平臺保險等創新商品推出。</p> <p>金管會設立純網保的第二大目的是推廣創新商品，金管會解釋，目前國內保險市場商品同質性高，且缺乏創新研發的保險商品，因此，需導入金融科技及數據資源與金融機構合作，來開發創新商品，比如，碎片型保險商品、場景風險保險。</p> <p>此外，擴大保險保障是金管會的第三大目的，金管會表示，臺灣民眾偏好購買儲蓄類型及投資型商品，僅有7成國人有投保人壽保險，且平均保險金額偏低，導致保險保障不足。因此，金管會表示，純網保將結合創新科技，主要提供簡單、易懂的保障型商品，來擴展保險的可及性與使用性。</p> <p>金管會的另一大目的是透過純網保的開放，來加速保險產業數位轉型與升級，進一步提升整體產業競爭力。另外，金管會認為，傳統中介通路主導，追求大量保費，不利推展保障型商品，因此，第五大目的是，開放純網保可運用金融科技，建構直接銷售通路，擴大保障型商品市場，讓有需求的民眾可快速取得保險商品。</p> <h3><span style="color:#0099ff;"><strong>純網保需由金融機構與金融科技業者共同申請成立</strong></span></h3> <p>金管會更一次揭露設立純網保規畫方向，包括最低實收資本額、業務範圍、發起人條件、預定負責人及大股東適格性、營業據點及監理原則、風險管控等。</p> <p>然而，產、壽險業有不同標準，針對產險業的純網保公司，業務範圍需以創新商品為主，保險契約多屬1年期或短期性質，資金以短期運用為主，最低實收資本額為10億元。而壽險業的純網保公司，業務範圍需以保障型商品為主，同時，限制保障年期，考量費率結構、保險金給付金額、不確定性等因素，資金將以中、短期運用為主，最低實收資本額則為20億元。</p> <p>此外，金管會規定，在純網保公司發起人條件中，需同時具備金融機構與金融科技業者2種角色，其中，金融機構部分，需有一家保險公司，或設有保險子公司的金控公司共同發起；另一共同發起人，必須是從事大數據資料分析、介面設計、軟體研發、物聯網、無線通訊等業務的金融科技業者，且得提出成功的業務經營模式。</p> <p>另外，純網保公司除了設置總公司及客戶服務中心外，不得設立其他實體營業據點。在監理原則，金管會認為，純網保公司與一般保險公司的差異點，在於提供服務的通路不同，因此，適用與現有保險公司相同的法規與監理要求。</p> <p>在風險管理面向，金管會表示，純網保公司需考量業務的風險性質、規模及複雜程度，依據保險業風險管理實務守則，建立起適當的風險管理機制，比如，流動性風險、保險風險、資訊安全等風險管理。另外，需建立投保限額、通報作業等機制進行控管。</p> <p>為因應純網保設立，金管會將修正保險業設立許可及管理辦法中，有關最低實收資本額、發起人條件、營業計畫書要求、營運據點等規範。同時，也將針對相關業務執行法規配合修正。</p> <p>金管會更訂出開放設立純網保的時程規畫，接下來，將進行外界意見徵詢，明年3月前將召開公聽會，4到7月將進行法規檢討及預告，並訂定審查機制，在8月時將發布修正法規，並對外公告受理純網保公司設立申請，11月將公布申請設立情形，經過5個月的審查期間，預計在2023年4月，將公布許可設立純網保公司的業者名單。文⊙李靜宜</p> </div></div></div>
2021/12/21 20:13作者李靜宜https://www.ithome.com.tw/news/148491
遠傳成立5G元宇宙加速器，將與新創業者組隊共搶消費、企業商機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看好元宇宙商機，遠傳電信宣布成立5G元宇宙加速器，並找來前臺灣微軟專家技術部總經理暨新創加速器執行長胡德民，擔任遠傳電信資訊暨數位轉型科技群執行副總經理，由胡德民擔任CIO，並負責推動5G元宇宙加速器。</p> <p>遠傳電信總經理井琪表示，元宇宙是以人為基礎發展出的虛擬世界，讓人們利用數位分身，在虛擬世界中克服真實世界的限制，例如距離與時間，從事社交、金融、娛樂、商業等活動。由於人們以數位分身在虛擬世界進行互動，背後仰賴高速傳輸巨量數據及低延遲的網路，才能提供沈浸式的體驗，因此5G成為元宇宙發展的有力條件。</p> <p>看好新科技形塑人們未來的行動生活，遠傳去年推出遠傳心生活，今年在元宇宙概念發燒之下，該公司更進一步成立5G元宇宙加速器，希望結合新創業者與該公司的技術、商模、資金、場景，發展元宇宙中各種場域應用。相較於擁有全球數億用戶的Meta所提出的宏觀元宇宙概念，遠傳聚焦在人們在數位生活、企業不同商業場景的應用，井琪期待元宇宙未來能成為5G的殺手級應用。</p> <p>遠傳所推動的5G元宇宙加速器，包括遠傳心生活共創平臺、遠傳大人物生態圈，分別鎖定消費、商用應用兩大市場。遠傳心生活共創平臺以消費者的行動數位生活體驗為主，將和新創業者合作，鎖定元宇宙、虛擬經濟、5G數位生活，提升消費者在社交、工作、娛樂、購物、教育等方面的體驗。</p> <p>至於遠傳大人物生態圈，則以企業的數位轉型方案為主，遠傳電信認為不論是元宇宙或是數位分身，基礎仍在於大數據、人工智慧、物聯網等技術，與遠傳推動的大人物（大數據、人工智慧、物聯網）不謀而合，未來將引薦新創業者介接遠傳的企業客戶，，依不同企業的應用場景，進行PoC概念驗證、PoS服務驗證與PoB商業驗證，提供數位轉型解決方案，加智慧醫療、智慧金融、智慧製造、智慧交通的實現。</p> <p>今年8月才加入遠傳的胡德民，先前就具有豐富的新創加速扶植經驗，他表示，相較於其他加速器，遠傳電信投入10億元成立的5G元宇宙加速器，除了資金之外，更重要的是提供遠傳的技術及場景支援，加速新創業者技術、商業模式、資金的發展，並有機會進入企業的場域。</p> <p>今天成立之後，到明年1月底前，接受新創業者申請，明年過年後將公布評選結果，4月啟動go to market，預定在明年9月發表成果。遠傳歡迎其他加速器的推薦，並且歡迎其他創投業者或國發基金，對感興趣的新創業者挹注資金。</p> <p>遠傳電信推出加速器的背後，內部也悄悄推動組織改造，前任CIO束宜鵬退休後，井琪將原本的IT部門（遠傳電信資訊科技群），和原本由她帶領的數位轉型辦公室合併，成為遠傳電信資訊暨數位轉型科技群，由胡德民帶領新的部門，同時IT也不只對內，也對外提供顧問服務，協助其他企業加速數位轉型發展。</p> <p>井琪表示，新的資訊暨數位轉型科技群，將遠傳電信內部轉型的最佳實踐方案，例如遠傳在大數據、上雲方面的經驗，向企業客戶推廣。</p> </div></div></div>
2021/12/21 18:48作者蘇文彬https://www.ithome.com.tw/news/148489
【資安日報】2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自Log4Shell漏洞傳出各式各樣的攻擊行動，國家級駭客、惡名昭彰的勒索軟體駭客組織相繼利用這個軟體的漏洞下手，已有國防單位成為受害者。比時時國防部證實於12月16日遭到網路攻擊，且駭客入侵的管道就是Log4Shell漏洞，而成為第1個未修補漏洞而被攻擊者得逞的政府機關。而這個漏洞的威脅態勢加劇的情況，也可以從其他防禦者的動作看出端倪。例如，新加坡特別召集關鍵資訊基礎設施（CII）業者來宣導相關防禦工作。</p> <p>除了上述的漏洞威脅，網路釣魚的威脅也值得我們留意。研究人員發現一波假冒輝瑞（Pfizer）藥廠的釣魚郵件攻擊，特別的是，他們沒有挾帶有惡意軟體或巨集的文件，研究人員推測，攻擊者很可能是為了收集用來商業郵件詐騙（BEC）所需的資料。</p> <p>而在國內的資安新聞中，東元電機與東捷資訊在證交所發布資安事故重大訊息，表明部分資訊系統遭到網路攻擊，後續發展值得關注。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.brusselstimes.com/belgium/198521/belgian-defence-ministry-network-partially-down-following-cyber-attack"><span style="color: rgb(0, 0, 0);">比利時國防部遭到Log4Shell漏洞攻擊，部分系統暫停使用</span></a></strong></h4> <p>根據VRT新聞網站的報導，比利時國防部遭到網路攻擊，從12月16日開始，郵件系統等數個基礎設施因此而癱瘓。比利時國防部發言人表示，他們在12月16日當天發現遭到攻擊的跡象，隨即隔離受到影響的部分，整個團隊於整個週末動員來因應攻擊事故。而該單位遭到入侵的原因，就是近期引起全球關注的Apache Log4j漏洞「Log4Shell」，但為何會沒有修補相關漏洞而受害？比利時國防部拒絕進一步說明。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/log4j-vulnerability-now-used-to-install-dridex-banking-malware/"><span style="color: rgb(0, 0, 0);">攻擊者利用Log4Shell漏洞散布金融木馬Dridex</span></a></strong></h4> <p>資安研究團隊Cryptolaemus指出，他們發現針對Windows電腦的Log4Shell漏洞攻擊行動，攻擊者使用RMI來入侵存在漏洞的Log4j，並下載、啟動惡意HTA檔案，在受害電腦植入Dridex金融木馬。值得留意的是，若是惡意程式偵測到並非在Windows電腦，便會啟動另一種模式，針對Linux或Unix主機下載Python程式碼，安裝遠端Shell工具Meterpreter，以便攻擊者部署更多惡意程式或是執行命令。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/phishing-attacks-impersonate-pfizer-in-fake-requests-for-quotation/"><span style="color: rgb(0, 0, 0);">駭客假冒輝瑞藥廠名義發動網路釣魚攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/PDF.jpg" style="width: 300px; height: 284px; float: right;" /></span></a></strong></h4> <p>郵件安全業者Inky指出，他們看到一起冒充輝瑞（Pfizer）藥廠的釣魚郵件攻擊事故，攻擊者約自2021年8月15日開始行動，以緊急報價、招標、工業設備供應的名義，挾帶沒有攻擊特徵的PDF附件，並要求受害者將報價資料傳送到指定的電子郵件信箱。研究人員指出，雖然攻擊者的目的尚不明朗，但他們將付款資訊列在PDF文件裡面，代表著攻擊者可能會要求受害者提供銀行帳戶的詳細資料，一旦收信人提供有關資料，就可能日後會被用於商業郵件詐騙（BEC）攻擊。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/meta-sues-people-behind-facebook-and-instagram-phishing/"><span style="color: rgb(0, 0, 0);">Meta起訴濫用臉書和IG發動網路釣魚的人士</span></a></strong></h4> <p>Meta於12月20日向美國加洲法院提出訴訟，遏止以他們旗下的臉書、Messenger、Instagram、WhatsApp等社群網站與即時通訊軟體，來發動的網路釣魚攻擊行動。發動這起攻擊的人士，約自2021年3月開始，架設了近4萬個假的登入網頁，來騙取使用者的帳密。Meta也與攻擊者所使用的中繼服務業者合作，封鎖此起攻擊行動裡數千個假登入網頁。</p> <h4><strong><a href="https://securityaffairs.co/wordpress/125792/cyber-crime/clop-ransomware-uk-police.html"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop洩露英國警方資料</span></a></strong></h4> <p>根據每日郵報的報導，勒索軟體駭客Clop在暗網公布他們竊得的英國警察資料，而這些資料竊得的來源是IT業者Dacoll，資料被公布的原因是Dacoll拒絕支付贖金。這家IT業者為該國警方提供多項IT服務，而能存取警方的電腦。而該公司是在10月遭到漏洞攻擊而被入侵，Clop取得管理資料的存取權限，竊得警方持有的1,300萬人個資，此事亦得到Dacoll確認。</p> <h4><a href="https://www.ithome.com.tw/news/148450"><span style="color: rgb(0, 0, 0);"><strong>埃及流亡人士手機遭植入2種間諜程式</strong></span></a></h4> <p>加拿大多倫多大學的公民實驗室（Citizen Lab）揭露，2位埃及知名人士的iPhone被植入了間諜程式，一位是埃及流亡政治人物Ayman Nour，另一位則是不願具名的埃及新聞節目主持人，手機都被植入了由以色列網路攻擊業者Cytrox所打造的Predator間諜程式。此外，Ayman Nour的手機上不但擁有Predator，還被植入網路攻擊公司NSO Group所開發的Pegasus間諜程式。公民實驗室相信，這些間諜程式是由2個不同國家所植入。</p> <h4><strong><a href="https://cointelegraph.com/news/defi-protocol-grim-finance-lost-30m-in-5x-reentrancy-hack"><span style="color: rgb(0, 0, 0);">DeFi平臺Grim Finance遭駭客攻擊，損失3千萬美元</span></a></strong></h4> <p>去中心化金融（DeFi）平臺Grim Finance於12月18日表示，他們發現有外部的攻擊者利用DeFi平臺，竊取價值超過3千萬美元的加密貨幣。Grim Finance指出，本次攻擊事故駭客的手法相當高超，他們利用5個可重入循環的利用協議，而在該平臺處理第1筆款項時，將另外5筆存款偽造到金庫。事發後該平臺業者暫停交易，並呼籲用戶儘速將存款領出，以減少損失。</p> <h4><strong><a href="https://gbhackers.com/hackers-stole-over-1-8-million-people-credit-card-data/"><span style="color: rgb(0, 0, 0);">體育用品商城遭到網路攻擊，外洩180萬人信用卡資料</span></a></strong></h4> <p>根據GBHackers資安新聞網站的報導，Running Warehouse、Tennis Warehouse、Skate Warehouse、Tackle Warehouse等4個體育用品商城，於10月1日遭到大規模網路攻擊，駭客入侵這些網站並竊得超過180萬人信用卡資料。這些商城於10月15日發現攻擊跡象，並於11月29日開始通知客戶此事，12月16日確認受影響的客戶，且寄發資安通報給他們。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148473"><span style="color: rgb(0, 0, 0);">東元電機與東捷資訊有部分資訊系統遭受駭客網路攻擊</span></a></strong></h4> <p>在12月20日傍晚接近6時，國內傳產上市大廠東元電機與上櫃公司東捷資訊，在臺灣證券交易所發布資安事件重大訊息，說明部分資訊系統遭受駭客網路攻擊，他們已在察覺網路異常後，啟動防禦機制與被援作業，目前受影響的系統正陸續復原中，並表示這次事件不影響營運。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-warns-of-easy-windows-domain-takeover-via-active-directory-bugs/"><span style="color: rgb(0, 0, 0);">攻擊者可串連AD網域服務權限提升漏洞，接管網域</span></a></strong></h4> <p>微軟於12月20日發出警告，<a href="https://www.ithome.com.tw/news/147751">在11月例行修補（Patch Tuesday）中</a>，有兩個關於AD網域服務權限提升的漏洞修補，值得關注。根據微軟說明，這兩個漏洞是CVE-2021-42287、CVE-2021-42288，可被輕易利用，使用者要儘速修補網域伺服器，因為攻擊者可串連這些漏洞，將自己提升為網域管理員的權限。另外，微軟指出，日前已有研究人員公開概念性驗證攻擊手法，可能日後會出現攻擊行動。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/fbi-state-hackers-exploiting-new-zoho-zero-day-since-october/"><span style="color: rgb(0, 0, 0);">Zoho裝置管理平臺出現零時差漏洞，已遭APT駭客利用</span></a></strong></h4> <p>美國聯邦調查局（FBI）於12月17日發出警告，他們發現從2021年10月下旬開始，背後有政府撐腰的APT駭客，鎖定裝置管理平臺ManageEngine Desktop Central的零時差漏洞CVE-2021-44515下手，破壞Desktop Central的伺服器，投放Web Shell並列舉用戶和群組，進行偵察並嘗試橫向移動及外洩帳密。這項漏洞的CVSS風險層級為9.8分，Zoho於12月初完成修補，美國網路安全暨基礎架設安全局（CISA）於12月10日要求各聯邦機構，在聖誕節前完成修補作業。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.zdnet.com/article/singapore-holds-emergency-meetings-with-cii-sectors-over-log4j/"><span style="color: rgb(0, 0, 0);">針對Log4Shell漏洞的因應，新加坡對關鍵資訊基礎設施業者召開緊急會議</span></a></strong></h4> <p>隨著Log4Shell漏洞的威脅與日遽增，新加坡網路安全局（CSA）於12月17日，發布第2次資安通報並召集關鍵資訊基礎建設（CII）業者開會，探討Log4Shell的技術細節，並要求要加強異常活動的監控。CSA指出，Log4Shell攻擊正迅速蔓延，已有許多攻擊者探測並攻擊存在漏洞的系統，他們呼籲要儘速安裝修補軟體，不建議CII採用修改配置的緩解措施來因應。</p> <h4><strong><a href="https://therecord.media/the-nca-shares-585-million-passwords-with-have-i-been-pwned/"><span style="color: rgb(0, 0, 0);">英國與Have I Been Pwned網站共享5.85億個外洩密碼</span></a></strong></h4> <p>英國國家犯罪局（NCA）與知名密碼外洩查詢網站Have I Been Pwned（HIBP）合作，共享逾5.85億個遭竊的帳密資料，這是在HIBP與美國聯邦調查局（FBI）合作之後，第2個進行合作的執法單位。HIBP網站經營者Troy Hunt表示，經分析後發現，NCA共提供了2.25億筆新的外洩帳密，這些帳密的來源為英國企業的雲儲存設施，但無法確認與那些網路服務業者有關。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日</a></p> <p><a href="https://www.ithome.com.tw/news/148402">2021年12月16日</a></p> </div></div></div>
2021/12/21 14:28作者周峻佑https://www.ithome.com.tw/news/148484
美國控告5名取得機密資訊以從事違法股票交易的俄羅斯駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-ma/pr/russian-national-extradited-role-hacking-and-illegal-trading-scheme" target="_blank">美國司法部周一（12/20）控告</a>5名俄羅斯駭客，理由是他們駭進兩家協助美國企業發布財報的代理商，以獲得尚未提交給美國證券交易委員會（SEC），或尚未公諸於世的企業季報或年報，而自美國股票市場取得數千萬美元的不法獲利。其中，41歲的Vladislav Klyushin在今年3月於瑞士被捕，且已引渡至美國。</p> <p>除了Klyushin之外，遭到美國控告的其他駭客還包括35歲的Ivan Ermakov，33歲的Nikolay Rumyantsev，43歲的Mikhail Vladimirovich Irzak與42歲的Igor Sergeevich Sladkov。</p> <p>其中，Klyushin、Ermakov與Rumyantsev曾是俄羅斯資訊科技公司M-13的同事，M-13是家專門提供滲透測試與先進持續威脅工具的IT業者，此外，M-13還出售投資管理服務予投資人，並從投資人的獲利中取得最高60%的分潤。</p> <p>調查顯示，這5名俄羅斯駭客從2018年的1月到2020年的9月間，入侵了兩家協助企業提交財報予SEC的代理商，獲取上市公司尚未公開的資料（MNPI），再根據這些財報資料，事先於紐約股市或那斯達克股市大買或放空特定公司的股票，並因此獲利數千萬美元。</p> <p>駭客於受駭代理商所部署的惡意架構，具備獲取員工憑證的能力，因而得以隨時以員工帳號出入，取得上市企業尚未公開的財報資訊，此外，為了躲避追蹤，他們在不同的國家開設了銀行帳戶進行交易，包括俄羅斯、美國、塞普勒斯、丹麥及葡萄牙等。</p> <p>他們被指控串謀未經授權存取電腦、電信詐欺及證券詐欺等罪名，最多可能被處以超過40年的刑期，但目前只有Klyushin落網。</p> </div></div></div>
2021/12/21 15:36作者陳曉莉https://www.ithome.com.tw/news/148485
微軟呼籲用戶儘快修補11月公布的兩個Windows AD漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/security-compliance-and-identity/sam-name-impersonation/ba-p/3042699" target="_blank">微軟周一（12/20）警告</a>，今年11月Patch Tuesday所修補的兩個Windows Active Directory漏洞已出現概念性驗證攻擊程式，呼籲用戶檢查是否遭到入侵並儘速修補。</p> <p>這兩個漏洞分別是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42278" target="_blank">CVE-2021-42278</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42287" target="_blank">CVE-2021-42287</a>，它們皆屬於Active Directory網域服務的權限擴張漏洞，影響Windows Server產品，雖然皆只被列為重要（Important）漏洞，但其CVSS風險等級高達7.5分。</p> <p>微軟是在11月9日修補了這兩個漏洞，但12月12日就出現了同時開採這兩個漏洞的概念性驗證程式。負責Defender for Identity的微軟資深產品經理Daniel Naim指出，當這兩個漏洞被結合時，駭客就能夠建立一個直接路徑至Active Directory環境的網域管理員（Active Directory）用戶，輕鬆地把一般用戶的權限提升為網域管理員。</p> <p>為了因應潛在的攻擊行動，Defender for Identity團隊公布了一個查詢指南以辨識用戶系統內部的可疑行為，判斷相關漏洞是否已被開採，此一查詢指南將可偵測異常變更的裝置名稱，並將它們與用戶環境中的網域控制器進行比對。</p> <p>Naim建議尚未修補相關漏洞的用戶，最好先檢查是否已被開採之後再行修補。</p> </div></div></div>
2021/12/21 15:44作者陳曉莉https://www.ithome.com.tw/news/148486
FBI警告：國家級駭客正在開採Zoho桌面中心產品的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/Media/News/2021/211220.pdf" target="_blank">美國聯邦調查局（FBI）上周警告</a>，已有多個國家級駭客正在開採Zoho的ManageEngine Desktop Central伺服器上的安全漏洞，雖然Zoho已於今年的12月3日修補該漏洞，但駭客的開採行動早在10月便展開了。</p> <p>Zoho為印度軟體業者，最知名的產品是網頁版的生產力軟體Zoho Office Suite，旗下也有另一個專門提供中、小企業IT管理的ManageEngine品牌，桌面中心（Desktop Central）則是ManageEngine中的統一端點管理解決方案，可協助中、小企業集中管理內部的伺服器、個人電腦、手機及平板電腦等。</p> <p><a href="https://www.manageengine.com/products/desktop-central/cve-2021-44515-authentication-bypass-filter-configuration.html" target="_blank">Zoho在今年12月所修補的漏洞為CVE-2021-44515</a>，此為ManageEngine Desktop Central 的身分認證繞過漏洞，將允許駭客繞過認證機制並於Desktop Central伺服器上執行任意程式，被列為重大（Critical）等級漏洞。</p> <p>FBI則說，早在今年10月就有多個先進持續威脅（APT）駭客組織開採了該漏洞，它們以一個惡意的Webshell取代了Desktop Centrl上的合法功能，再下載其它攻擊工具，列舉分析所入侵網頁的使用者及群組，進行網路偵察並企圖橫向移動，還到處蒐集憑證。</p> <p>由於Zoho修補時該漏洞已被開採，因此Zoho也打造了<a href="https://downloads.zohocorp.com/dnd/Desktop_Central/JWcfd8UkKcYzkjN/detector.zip" target="_blank">開採偵測工具</a>及入侵指標，讓用戶在修補前先檢查是否已被入侵，倘若答案是肯定的，就必須先格式化後再重新部署Desktop Central。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1221-FBI%EF%BC%9ACVE-2021-44515-%20600-2.jpg" style="width: 600px;" /></p> </div></div></div>
2021/12/21 16:09作者陳曉莉https://www.ithome.com.tw/news/148487
Visual Studio針對.NET與跨平臺App提供多項好用的測試小功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在<a href="https://devblogs.microsoft.com/visualstudio/vs22-test-tools-for-net-and-cross-platform-apps/">Visual Studio的測試工具</a>中，加入幾項簡單的小功能，供開發者用於測試迴圈中，來讓測試工作更輕鬆容易。像是測試總管（Test Explorer）現在可以在測試執行完成時，播放提示聲音，用戶可以選擇兩種聲音，一種表示測試執行成功，且通過所有測試，另一種音效則用來表示測試執行完成，但至少有一個測試失敗，用戶可以在Windows聲音對話框中進行自訂。</p> <p>測試總管也提供新的指令（Ctrl+E,S），能夠讓用戶快速地從編輯器跳轉到測試總管中，或是用戶也可在編輯器右鍵點擊選單、CodeLens測試字型，以及在解決方案總管上點擊右鍵、跳轉至測試總管。而測試總管中的Console.WriteLine，現在也會出現在測試詳細資訊窗格中，標準輸出和標準錯誤都會顯示在該窗格，用戶能方便地存取測試輸出結果。</p> <p>另外，現在用戶也可以在Linux容器、WSL或是利用SSH連接執行除錯測試。使用Visual Studio進行遠端測試，將讓跨平臺開發更加容易，利用測試總管就能夠連接到遠端環境，在Visual Studio執行Linux測試。微軟提到，過去用戶必須從Linux測試或其他作業系統，將程式碼推送至CI執行，才能獲得測試回饋，但是藉由遠端測試的支援，用戶可以在內部開發循環，就能獲得這些測試回饋，包括在Linux容器中除錯也是。</p> <p>Visual Studio還提供Playwright供開發者測試網頁應用程式，Playwright是最新的跨平臺非同步Web UI測試工具，其在建置的時候，考量了現代瀏覽器和服務，這代表在每個階段Playwright都會使用awaits，微軟提到，這減少Web UI測試脆弱性所帶來的困擾。</p> <p>Playwright不僅跨平臺，還跨語言支援TypeScript、JavaScript、Python、Java和.NET，並且帶有一個紀錄程式，能夠根據用戶的操作生成測試。</p> </div></div></div>
2021/12/21 16:17作者李建興https://www.ithome.com.tw/news/148488
WebSocket成Log4j漏洞攻擊新管道，連不對外網路主機也曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公開兩周的Apache Log4j漏洞，讓全球伺服器管理員疲於奔命忙著修補漏洞及更新軟體。一項研究發現，本漏洞也可能讓包含這項軟體元件的終端機器、或本地主機被遠端執行程式碼。</p> <p><a href="https://www.blumira.com/analysis-log4shell-local-trigger/" target="_blank">這是安全廠商Blumira在Log4j軟體的CVE-2021-44228漏洞發現的另一個攻擊管道</a>。原本該漏洞出在Log4j的JNDI API未能驗證由遠端LDAP、或其他端點發送修改過參數的log訊息，讓遠端攻擊者可從LDAP伺服器下載惡意程式碼至受害伺服器執行。這種情況下，主要是執行Jog4j的對外伺服器曝險。</p> <p>但Blumira團隊發現，攻擊者也可以使用Javascript WebSocket連線來觸發這漏洞，以便在用戶機器上遠端執行程式碼。WebSocket是現代瀏覽器都支援的協定，可用於許多種任務，像是從網站傳送通訊訊息或警示到瀏覽器，讓瀏覽器能快速回覆訊息。</p> <p>但研究人員指出，WebSocket並不像一般跨域的HTTP請求，受同源政策（same-origin policy）規範，而是需伺服器本身自行驗證呼叫來源。這就可能引發跨網域攻擊，由惡意網站呼叫另一網站的服務。<a href="https://www.ithome.com.tw/news/142156" target="_blank">這缺點曾被用在以WebSocket連線傳送惡意呼叫到線纜數據機</a>，或是今天的主角：本地主機。此類攻擊手法也可用來掃瞄本地主機開放的傳輸埠。</p> <p>用戶端本身一般並不能直接控管WebSocket連線，後者是在網頁下載時悄悄啟動。更糟的是，用戶主機內的WebSocket連線可能很難看到連線內容，使得此類攻擊的偵測更加困難。</p> <p>這項研究無疑擴大了Log4Shell漏洞的攻擊表面，即使主機並未對外部網路開放。研究人員表示，這使得用戶機器或內部本地網路也可能遭到攻擊，只要機器上安裝了有漏洞的Log4j應用程式。</p> <p>在一項測試中，Blumira研究人員使用JNDI開採套件，即可在包含SpringFramework框架的本地Java應用程式（版本為Log4j 2.13）引發RCE。研究人員另外也展示了利用WebSocket掃瞄開放傳輸埠，以及執行任意程式。不過目前他們尚未發現開採這漏洞的情形。</p> <p class="rtecenter"><a href="https://www.blumira.com/wp-content/uploads/2021/12/POC_Example.gif" target="_blank"><img alt="" src="https://www.blumira.com/wp-content/uploads/2021/12/POC_Example.gif" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源_Blumira</span></p> <p>安裝最新的<a href="https://issues.apache.org/jira/browse/LOG4J2-3230" target="_blank">Apache Log4j 2.17.0版</a>可以修補這個漏洞，研究人員也呼籲用戶儘速更新。<a href="https://www.ithome.com.tw/news/148457" target="_blank">周末釋出的2.17.0版</a>旨在修補原始中的Log4Shell及RCE漏洞CVE-2021-45046、以及2.16.0版本中新發現的阻斷服務（DoS）漏洞CVE-2021-45105。</p> <p><a href="https://www.ithome.com.tw/news/148457" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 12/20相關報導 </span></span> </strong><span style="color: rgb(51, 153, 255);"><strong>Apache Log4j再釋出2.17版，修補DoS漏洞</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/news/148391" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 12/16相關報導 </span></span> </strong><span style="color: rgb(51, 153, 255);"><strong>Log4j 2.15.0修補不全、Apache再釋2.16.0新版</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/news/148337" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Log4j相關修補時間軸 </span></span> </strong><span style="color: rgb(51, 153, 255);"><strong>Apache Log4j日誌框架系統重大漏洞</strong></span></span></a></p> </div></div></div>
2021/12/21 14:12作者林妍溱https://www.ithome.com.tw/news/148482
甲骨文以283億美元收購電子病歷軟體商Cerner
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/oracle-buys-cerner-301448252.html" target="_blank">甲骨文昨（20）日宣布</a>以283億美元收購電子病歷軟體供應商Cerner，成為該公司金額最高的收購案。</p> <p>甲骨文將每股95美元，總價近283億美元全現金交易收購這家軟體商，預計2022年完成。<a href="https://www.wsj.com/articles/oracle-in-talks-to-buy-cerner-11639697730" target="_blank">華爾街日報</a>昨日率先引述消息人士報導這樁交易案。</p> <p>Cerner是美國兩大電子病歷軟體供應商之一。<a href="https://www.healthleadersmedia.com/innovation/epic-dominates-emr-market-share-wars-cerner-loses-ground" target="_blank">Cerner和EPIC合計</a>占美國電子病歷軟體市場的55%。此外它還提供各種醫療科別應用、護理資訊系統、客戶關係管理及分析軟體、資料倉儲平臺等軟體。根據<a href="https://www.cerner.com/about" target="_blank">該公司網站</a>，Cerner去年營收55億美元，全球20多個國家聘請了2.6萬名夥伴（associate）並擁有600多項專利，<a href="https://www.fedhealthit.com/2021/04/cdc-to-award-contract-for-data-licensing-and-technical-support-services-to-cerner/" target="_blank">客戶涵括</a>全球35國的2.7萬家醫院、診所、照護機構等。</p> <p>這項交易將讓甲骨文的雲端服務得以跨入健康照護業。甲骨文董事長暨執行長Larry Ellison指出，透過收購Cerner，甲骨文可提供工作負載過重的醫護人員更好的資訊存取工具，像是以語音介面存取雲端應用。甲骨文指出，新一代的醫療資訊系統將能減輕醫護人員的行政作業，提升病患隱私和照護效果，以及降低醫療成本。</p> <p>甲骨文財務長Safra Catz則指出，單是在美國，健康照護業市場就高達3.8兆，而Cerner有助於甲骨文打造繼NetSuite之後另一個成長引擎。</p> <p>Cerner客戶包括美國國防部、退伍軍人事務部（VA）、美國海岸防衛隊等軍方單位。<a href="https://federalnewsnetwork.com/defense-main/2021/11/dod-picks-amazon-microsoft-google-and-oracle-for-multibillion-dollar-project-to-replace-jedi-cloud/" target="_blank">甲骨文上個月成為</a>美國國防部准許參與JWCC（Joint Warfighting Cloud Capability）標案的4家廠商之一，另三家為微軟、Amazon 及Google。</p> <p>甲骨文相信，其自主資料庫（Autonomous Database）、低程式碼開發工具及語音數位助理用戶介面等工具有助於現代化Cerner系統，並將之搬上甲骨文第2代雲。甲骨文指出Cerner最大的業務系統及最重要臨床系統已經跑在Oracle Database上，對客戶而言，不需變更什麼，唯一會變的使用者介面；甲骨文預計將使Oracle語音數位助理（Voice Digital Assistant）成為Cerner臨床系統的主要介面，減少醫療人員以鍵盤輸入的比例。</p> <p>Cerner執行長David Feinberg今年年中從Google健康事業群跳槽過來。Google發展醫療AI應用成效不佳，<a href="https://www.ithome.com.tw/news/145213" target="_blank">今年大舉縮編</a>該部門，員工分散到Fitbit及搜尋部門。</p> <p>不過市場似乎並不看好，這樁交易消息一出，甲骨文股價大跌5%。</p> </div></div></div>
2021/12/21 11:54作者林妍溱https://www.ithome.com.tw/news/148478
繼美國之後，英國也加入提供外洩密碼予Have I Been Pwned的行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由澳洲安全專家Troy Hunt在2013年所建立的Have I Been Pwned（HIBP）外洩密碼查詢平臺，<a href="https://www.ithome.com.tw/news/144690" target="_blank">在今年5月開源之際</a>，宣布美國聯邦調查局（FBI）將把所查獲的外洩資料匯入HIBP專案，<a href="https://www.troyhunt.com/open-source-pwned-passwords-with-fbi-feed-and-225m-new-nca-passwords-is-now-live/" target="_blank">本周Hunt指出</a>，英國的國家犯罪調查局（National Crime Agency，NCA）也已將大量的外洩密碼貢獻給HIBP。</p> <p>HIBP原本就蒐集了6.13億筆的外洩密碼，此次NCA則提供了逾5.8億筆的外洩密碼，當中近2.3億筆屬於新密碼，也讓HIBP的外洩密碼資料庫規模超越8.4億筆，增加了38%。HIBP也計算出這8.4億筆的外洩密碼總計被使用了近56億次，顯示有不少使用者在不同的服務中採用同樣的密碼。</p> <p>NCA表示，這些外洩資料都是該組織於過去幾年所取得，特別是與那些平臺被駭或用戶資料遭竊的企業合作，協助企業保護用戶的帳號安全。</p> <p>NCA也透露，最近該組織還在一個曝露的雲端儲存服務中，看到大量的外洩憑證，包含電子郵件帳號與密碼，同時涉及多個已知或未知的資料外洩事件。</p> <p>HIBP服務可讓使用者以電子郵件查詢自己所使用的服務與密碼是否曾外洩過，同時也能讓各業者了解自家服務的安全狀況。研究人員或業者可透過Pwned Passwords API來查詢特定帳號曾在哪些服務外洩，或是那些曾外洩用戶資料的服務，也能查詢單一網站的外洩狀況與外洩模式。</p> <p>雖然HIBP允許外界下載整個外洩資料庫，但壓縮後的檔案大小仍高達17.2GB，建議外界可啟用保障使用者隱私的k-anonymity API來辨識那些新的外洩密碼。</p> </div></div></div>
2021/12/21 12:05作者陳曉莉https://www.ithome.com.tw/news/148479
比利時國防部證實系統因Log4j漏洞遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年最嚴重漏洞Log4Shell成為最近企業及政府資安人員的最大挑戰，修補不及者可能就遭到惡意活動入侵。<a href="https://www.brusselstimes.com/belgium/198521/belgian-defence-ministry-network-partially-down-following-cyber-attack" target="_blank">比利時媒體報導</a>該國國防部證實部份系統的Log4j漏洞，已遭不明人士開採致網路斷線。</p> <p>報導指出，上周四起比利時國防部某系統軟體安全漏洞遭「嚴重攻擊」後、網路就掛掉多天，受影響的包括郵件系統等。<a href="https://www.standaard.be/cnt/dmf20211220_92316559" target="_blank">比利時國防部發言人對當地媒體證實</a>，這事件發生在Apache Log4j軟體上。國防部相關部門周末已全部動員控制災情，並確保網路正常運作。不過比國國防部不願評論重大攻擊的來源為何。</p> <p><a href="https://www.ithome.com.tw/news/148391" target="_blank">微軟上周指出</a>，已觀測來自中國、伊朗、北韓及土耳其等多個國家支持的駭客組織，開採名為Log4Shell的Log4j漏洞CVE-2021-44228。<a href="https://securityscorecard.com/blog/log4j-active-exploitation-from-nation-state-actors-findings" target="_blank">另一家安全廠商則偵測到據信是源自俄羅斯及中國的開採活動</a>。</p> <p>這也是比國政府近半年來第三次揭露遭到攻擊。<a href="https://www.ithome.com.tw/news/144202" target="_blank">5月代管比國政府單位、科學研究機構及大學的ISP Belnet</a>遭不明人士發動分散式阻斷攻擊（Distributed Denial of Service，DDoS）造成斷線，影響200多個單位。此外，比利時主管警務、移民、選務單位及身份證派發等事務的內政部，<a href="https://www.ithome.com.tw/news/144665" target="_blank">該單位Exchange Server的ProxyLogon漏洞同月間也遭不明組織開</a>採，攻擊者已存取了部份地方性資料。</p> <p>針對Log4j漏洞，<a href="https://www.cisa.gov/emergency-directive-22-02" target="_blank">美國網路安全暨基礎架構安全署（CISA）上周五公布緊急指令</a>，要求聯邦政府機關儘速辨識連網系統是否使用Log4j，以及是否受Log4j漏洞CVE-2021-44228的影響，CISA要求美國聯邦政府機關需在12月23日以前修補、採取緩解措施，或是移除曝險軟體。</p> <p><a href="https://www.ithome.com.tw/news/148457" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 12/20相關報導 </span></span> </strong><span style="color: rgb(51, 153, 255);"><strong>Apache Log4j再釋出2.17版，修補DoS漏洞</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/news/148391" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 12/16</span></span></strong></a><a href="https://www.ithome.com.tw/news/148457" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">相關報導</span></span></strong></span></a><a href="https://www.ithome.com.tw/news/148391" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> </span></span> <span style="color: rgb(51, 153, 255);">Log4j 2.15.0修補不全、Apache再釋2.16.0新版，國家駭客已開始行動</span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/148391" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> </span></span></strong></a><a href="https://www.ithome.com.tw/news/148457" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">Log4j相關修補時間軸</span></span></strong></span></a><a href="https://www.ithome.com.tw/news/148337" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> </span></span> <span style="color: rgb(51, 153, 255);">【資安警訊】 Apache Log4j日誌框架系統重大漏洞</span></strong></a></p> </div></div></div>
2021/12/21 10:20作者林妍溱https://www.ithome.com.tw/news/148477
Go泛型終於在Go 1.18測試版初登場！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Go 1.18預計在數月內正式釋出，而現在官方先釋出了<a href="https://go.dev/blog/go1.18beta1">第一個Go 1.18 Beta測試版</a>，這個版本有許多重要更新，但最受矚目的莫過於泛型，這個社群敲碗多年的功能，另外，Go 1.18還加入模糊測試，也提高ARM64的程式碼執行效能。</p> <p>這個Go 1.18 Beta測試版是首個支援參數化類別泛型程式碼的Go版本，而泛型是Go第一個主要版本以來，最重要的變化，也是官方有史以來，所做過最大的單一語言變更，官方提到，對於任何大型新功能，存在錯誤是很常見的情況，因此開發者要小心謹慎使用。</p> <p>對於特殊的使用案例，像是特定類型的遞迴泛型類別，則推延到之後的版本加入，官方希望開發者踴躍把泛型應用在各種用例，以協助開發團隊除錯。</p> <p>這個版本還內建模糊測試支援，自動找尋導致程式崩潰的無效輸入。模糊測試是一種自動化測試，可以操縱程式的輸入來發現各種臭蟲，透過輸入半隨機的資料，能夠發現既有單元測試可能遺漏的程式碼覆蓋（Code Coverage），並且找出被忽略的邊緣案例，對於發現安全漏洞和臭蟲特別有用。</p> <p>用戶還能夠在此Go 1.18測試版用到新的Go工作區模式，供開發者同時使用多個Go模組，該功能對於大型專案用例特別重要。新功能還包含經擴展的Go版本-m指令，該指令現在會記錄建置細節，像是編譯器旗標等，程式可以使用debug.ReadBuildInfo查詢自己的建置詳細資訊，並且使用新的debug/buildinfo套件，從其他二進位檔案中讀取建置詳細資訊。</p> <p>另外，官方在Go 1.17中增加了一個暫存器呼叫約定更新，用來加速x86-64系統上的Go程式碼執行速度，而現在這項更新擴展到了ARM64和PPC64上，執行速度可以提高20％。</p> </div></div></div>
2021/12/21 08:33作者李建興https://www.ithome.com.tw/news/148469
甲骨文更新OCI DevOps服務使其成為端到端CI/CD平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文（Oracle）雲端基礎設施的<a href="https://blogs.oracle.com/cloud-infrastructure/post/devops-service-a-complete-cicd-platform">DevOps服務</a>，現在加入持續整合功能，使其成為一個完整的CI/CD平臺。這次的更新的目標，是要在OCI商業地區提供端到端CI/CD工具，因此開發人員現在能夠將原始碼提交到DevOps程式碼儲存庫，並且使用建置執行程式，建置、執行和測試軟體構件，接著將構件交付到OCI平臺進行部署。</p> <p>官方提到，無論是開發人員所新建置的雲端原生應用程式，還是將現有的應用程式搬遷到OCI中，DevOps服務都能夠簡化軟體交付流程，藉由自動化軟體交付生命周期各個階段，來更快地發布功能減少錯誤發生。</p> <p>DevOps服務現在可作為完整的CI/CD平臺，用戶能夠將GitHub或GitLab儲存庫鏡像到OCI程式碼儲存庫，來加快建置速度。另外，用戶也可以將現有的應用程式，無論是在本地端還是其他雲端平臺，搬遷到OCI上，並同時一併搬遷軟體交付和部署工作管線，OCI DevOps服務可以靈活地和用戶現有CI/CD工作流程整合。</p> <p>當用戶希望保留像是Jenkins等現有CI工作流程，用戶可以將部署程序移到DevOps，從現有CI工作管線觸發部署工作，並使用DevOps部署工作管線調度發布步驟。由於OCI DevOps服務與OCI平臺緊密結合，屬於OCI平臺的一部分，所以用戶可以使用IAM使用者和政策，來配置團隊的存取權限，以OCI資源最低存取權限來保護使用者的建置和部署。</p> <p>DevOps不按使用者數量收費，用戶對建置工作管線和程式碼儲存庫，所使用的運算和儲存資源支付費用，建置執行程式由DevOps服務託管，因此用戶不需要管理或是操作底層建置執行器主機，DevOps專案提供了完整的軟體交付生命周期頁面，所有程式碼儲存庫、建置工作管線、部署工作管線，還有構建和環境，都在該頁面供用戶統一管理查看。</p> </div></div></div>
2021/12/21 08:36作者李建興https://www.ithome.com.tw/news/148474
Meta開源Bean Machine函式庫可量測AI模型不確定性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta發布稱為<a href="https://research.facebook.com/blog/2021/12/introducing-bean-machine-a-probabilistic-programming-platform-built-on-pytorch/">Bean Machine</a>的機率程式開發系統，該系統能夠用來表達和了解，日常所使用機器學習模型中的不確定性。Bean Machine供使用者開發特定領域的機率模型，並使用自動、不確定性學習演算法，來學習模型所未觀察到的屬性。</p> <p>Bean Machine是一種通用的機率程式開發語言，能夠讓使用者使用宣告式語法，對以Python編寫的統計模型進行推理，官方提到，Bean Machine能夠實現快速準確的貝氏分析，讓開發和部署生成式機率模型變得直覺且高效率。</p> <p>Bean Machine的生成式建模，不僅提供有用的預測，就像是傳統機器學習技術所提供的結果一樣，更特別的是，Bean Machine還能用機率分布的形式，估計問題的不確定，而估計不確定性有助於確保預測的可靠性和強健性。</p> <p>與其他機器學習方法相比，使用Bean Machine主要有三大好處，不確定性估計、表現性和可解釋性。不確定性估計讓分析師能夠更全面掌握預測系統的行為，因為預測是透過機率分布形式，來可靠地測量不確定性，分析師不僅可以了解系統的預測，也可以了解其他預測的相對可能性。</p> <p>而且Bean Machine能夠更好地表達結果的意義，直接在原始程式碼中編碼模型，這將讓用戶能夠將模型的結構，以及問題的結果相對應。最後，因為模型與領域相對應，所以可以查詢模型中的中間學習屬性，這代表用戶不僅可以使用模型「黑盒子」，還可以對特定預測的結果做出解釋，對於模型開發過程有很大的幫助。</p> <p>由於Bean Machine建構在PyTorch之上，具有宣告式建模語法，所以能高效率又直覺地建構機率模型時，其透過實作最先進的推理演算法，允許用戶對不同的問題和子問題，選擇和自定義推理方法，進而在自動化和靈活性間取得平衡。</p> <p>Bean Machine所提供的宣告式語法，對隨機變數提供頂級的支援，因此用戶能夠非常直覺地在程式中推論模型，就像在紙上計算一樣，模型簡單地由一組以特定方式相互作用的隨機變數所定義，在Bean Machine中，隨機變數被實現成經裝飾的Python函式，其提供了指向該隨機變數的唯一指標，使用函式就可以輕鬆地確定隨機參數的定義。</p> <p>雖然Bean Machine對張量模型提供良好地推理效能，但是許多機率模型因為結構問題，對大型張量操作來說難以編寫，為了解決這個問題，Meta正在開發Bean Machine Graph（BMG），結合特別的編譯器和Runtime，使得未張量化的模型也能執行推理。BMG推理使用自定義編譯器來解釋Bean Machine模型，並將其轉換成沒有Python相依項目的專門實作，這些都會是自動化運作，但目前支援功能集有限，官方正快速解決該問題，來支援常見的模組問題。</p> </div></div></div>
2021/12/21 08:40作者李建興https://www.ithome.com.tw/news/148475
東元與旗下東捷資訊遭駭客網路攻擊，部分資訊系統受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣上市櫃公司再傳遭駭客攻擊，今日（12月20日）下午5時50多分，上市大廠東元電機與東元集團旗下東捷資訊，先後在臺灣證券交易所發布重大訊息，說明部分資訊系統遭受駭客網路攻擊，並表示資訊系統正陸續復原，對公司營運無重大影響。</p> <p>國內上市傳產大廠東元電機，從早期生產馬達聞名，後續更是跨入諸多產業領域，不只是外界熟知的重電、家電、資訊、通訊、電子關鍵零組件基礎工程建設，包括東元精電、東元家電、東捷資訊、東訊與聯昌電子等，本身的馬達事業也很早就切入到風電領域，此外，東元集團還包括餐飲與服務，例如安心食品旗下品牌摩斯漢堡、宅配通等。目前，東元集團共有6大事業群，包括，機電、電子科技、通訊電信、資訊服務、投資控股，以及餐飲、服務事業。</p> <p>而在1999年從東元獨立出來的東捷資訊，是東元集團第8家上市櫃公司，主要業務為企業資訊服務、業務流程委外服務委外，包含ERP整合規畫、企業e化、CRM，以及其他創新發展應用等，近年並切入到資安產品研發與銷售。</p> <p>根據東元電機的資安事件公告內容，該公司指出偵測到部分資訊系統，遭受駭客網路攻擊，而屬於東元集團旗下的東捷資訊，公告的內容亦完全相同，資安事件重訊發布時間也只相差不到2分鐘，因此，兩起公告應為同一事件。</p> <p>對於事件處理過程，兩家公司表示，在查知網路異常狀態後，資安部門已啟動相關防禦機制與備援作業，同時協調外部資安公司合作處置。</p> <p>從事件影響的揭露狀況來看，兩家公司已說明，經查後對公司營運並無重大影響，目前資訊系統正陸續回復運作中，同時，等到彙集完整異常資料後，他們也將通報政府執法部門與資安單位。</p> <p>整體而言，這次公告僅揭露資訊量有限的初步調查結果，是否遭遇勒索軟體攻擊，還有待官方說明。</p> <p>另外，我們發現東元電機的官方網站，在20日晚間有部分網頁無法正常瀏覽，包括首頁與CSR頁面，會跳轉至ErrorPage，官網其他頁面雖然顯示，但也有些資訊無法顯示的狀況。</p> <p>同時我們檢視東元集團其他公司的狀況，包括東訊、聯昌、東友、菱　光、安心食品與宅配通等，在20日晚間並未發布相關公告。因此，目前看來，這次資安事件僅影響東元電機與東捷資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-12-20_212800.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-12-20_212923.jpg" style="width: 600px;" /></p> </div></div></div>
2021/12/20 22:19作者羅正漢https://www.ithome.com.tw/news/148473
中華電信明年將以國產5G開放網路設備，在桃園、臺南、高雄建立5G示範應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中華電信配合國發會「亞洲.矽谷-5G開放網路整合驗證暨推廣計畫」，除了在中華電信研究院建置5G開放網路端到端實網整合驗測環境，今年也和耀登集團旗下耀睿實驗室合作成立亞洲首個獲O-RAN聯盟認證（全球5個）的OTIC（Open Testing and Integration Centre）實驗室，並將在明年和國產5G設備商合作，在桃園、臺南、高雄三地建置5G示範應用。</p> <p>中華電信與耀睿合作的OTIC認證實驗室，讓國內5G網通設備業者不需遠赴國外，在位於桃園的OTIC實驗室就近驗測，驗測國產5G設備的一致性、互通性、效能，加上中華電信電信研究院的場域測試，獲得O-RAN聯盟與電信商的認證，協助國產5G設備業者走向國際。</p> <p>桃園的OTIC實驗室自今年4月中開放申請以來，已有14家國產5G網通設備商提出申請，包括啟碁、和碩、台達電、萊昂仕、HTC、光寶、亞旭、明泰、中磊、仁寶、泰金寶、富鴻網、雲達、智易等，驗測國產O-RAN設備介接雲達、思科、Nokia、Nokia、Ericsson等業者的5G核心網路。</p> <p>而為了加速國內5G開放網路設備發展，12月初中華電信與耀睿實驗室在臺灣舉辦O-RAN聯盟第三次Global PlugFest 2021插拔大會，以測試不同品牌、種類的5G開放網路設備的互通性，共吸引32家國內外廠商參加，展現5G開放網路的生態系。</p> <p>不只是提供國產5G開放網路設備的驗測環境，國內唯一參與O-RAN聯盟的中華電信，明年更將和國產設備商聯手，與縣市政府合作，明年6月底之前在桃園、臺南、高雄三地建立5個示範應用。</p> <p>中華電信行動通信分公司總經理簡志誠表示，目前國內5G專網應用仍以國際廠牌設備為主，為推廣國產5G開放網路設備，明年將和3縣市政府合作實證場域，使用國產的RU、CU、DU三種網元設備，不同於過去多在實驗環境測試，將在3縣市的實證場域環境進行測試。</p> <p>其中在桃園市，明年將在桃園機場捷運A18站建置3D沈浸式體驗與全息投影，而在臺南市則會選定赤嵌樓建置WebAR應用，以5G開放網路傳輸，民眾只要使用手機或平板電腦掃描古蹟模型，就能獲得該古蹟的影音導覽內容。高雄市則以5G開放網路設備，結合路口感測、監控系統與AI辨識，為經常遭到入侵的輕軌建置防撞機制，另外也會以5G開放網路建置電競的示範應用，以5G的高速、低延遲支援電競比賽。</p> <p>為鼓勵國產5G設備的發展，NCC今年擬定5G基地臺2年共155億元的補助條件，除了要求電信業者依所承諾建置的基地臺數量為基礎，對建置超過承諾的基地臺數量給予補助之外，還要求電信業者使用一定程度的國產5G設備，設定2023年達成4成採用國產基地臺的目標。</p> </div></div></div>
2021/12/20 17:47作者蘇文彬https://www.ithome.com.tw/news/148467
ONNX Runtime 1.10支援Xamarin，供開發者建構AI行動應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>機器學習推理引擎ONNX Runtime從1.10版本開始，支援使用Xamarin以C#建置行動應用程式。<a href="https://cloudblogs.microsoft.com/opensource/2021/12/14/add-ai-to-mobile-applications-with-xamarin-and-onnx-runtime/">ONNX Runtime 1.10版本</a>的NuGet套件中，包含了對Android和iOS的支援，這使得開發人員可以於存在ONNX Runtime的行動裝置上執行ONNX模型，也就是說，賦予開發人員建置跨行動裝置人工智慧應用程式的能力。</p> <p>ONNX Runtime為一個機器學習開源專案，能夠加速各種框架、作業系統和硬體平臺的機器學習模型運算，而ONNX Runtime Mobile則是針對Android和iOS裝置的輕量級推理引擎版本，開發人員可以建置占用較小磁碟容量，經過最佳化的智慧行動應用程式。</p> <p>在這個新釋出的1.10版本中，官方支援開發者使用Xamarin.Forms，建構Android和iOS跨平臺應用程式，其包括使用預設CPU Execution Provider，在裝置CPU上執行ONNX模型，而對於部分行動裝置所使用的專用硬體，ONNX Runtime Mobile套件提供Execution Provider，讓開發者能夠在Android使用NNAPI，在iOS上使用CoreML。</p> <p>Xamarin是一個開源應用程式平臺，供開發者以C#和.NET，建構現代且高效能的iOS和Android應用程式，由於NuGet套件中加入對Android和iOS的支援，開發人員便可以利用ONNX Runtime，在應用程式中加入人工智慧功能。</p> <p>除了對Android和iOS的支援之外，ONNX Runtime 1.10的新功能還包括加入X64和ARM64上的新量化核心，提升運算效能。在硬體的靈活度方面，新版本更新了TensorRT、DirectML、OpenVINO和DNNL Execution Providers，在Nvidia GPU上，Python GPU套件同時支援CUDA和TensorRT Provider，讓用戶能夠更易於測試和使用。</p> <p>新版本也簡化對Mac的部署，Rosetta允許單個二進位檔案跨Apple Silicon和英特爾晶片運作。另外，ONNX Runtime Web則支援WebAssembly SIMD，改進量化模型（Quantized Model）的效能。</p> </div></div></div>
2021/12/20 16:30作者李建興https://www.ithome.com.tw/news/148466
【資安日報】2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCe…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自上週末到今天，Log4Shell漏洞的相關攻擊事故與手法，仍是資安界的焦點。這項漏洞已接二連三被勒索軟體駭客利用，且又有新的漏洞、新的攻擊手法出現，光是本日的新聞就有7則與Log4Shell有關。首先，對於IT人員而言，Apache基金會第3度推出Log4j的更新軟體（2.17版），這項新的漏洞CVE-2021-45105，恐被用於阻斷服務（DoS）攻擊，CVSS風險等級為7.5分。不過，該基金會也把不久前修補的第2個漏洞（CVE-2021-45046），CVSS風險分數一舉從3.7分大幅調整到9分，理由是這項漏洞不只能用於發動DoS攻擊，攻擊者還能進行RCE攻擊。新漏洞的危險程度會不會被上修？顯然是值得觀察的重點。</p> <p>值得留意的是，惡名昭彰的勒索軟體Conti也運用Log4Shell漏洞，並鎖定尚未發布修補程式的VMware vCenter下手。這樣的情況，很有可能還有其他的勒索軟體會跟進。</p> <p>在Log4Shell的攻擊之外，RAT木馬程式DarkWatchman的手法也相當引人關注，因為，攻擊者大肆濫用登錄檔作為傳輸資料的媒介，而使得惡意軟體幾乎不會在磁碟留下蹤跡。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/upgraded-to-log4j-216-surprise-theres-a-217-fixing-dos/"><span style="color: rgb(0, 0, 0);">Apache再度修補Log4j可造成服務阻斷的漏洞</span></a></strong></h4> <p>針對Log4Shell修補不完全的漏洞CVE-2021-45046，Apache基金會推出更新版Log4j 2.16，但研究人員又找到另一個能被用於發動阻斷服務攻擊（DoS）的漏洞，使得該基金會再度修補。Vx-Underground和Hacker Fantastic等研究人員於12月18日指出，雖然在Log4j 2.16版裡，JNDI搜尋功能已經被全面停用來防堵Log4Shell漏洞，但在某些情況下仍然有可能會被使用，而觸發CVE-2021-45105漏洞，此漏洞CVSS風險層級為7.5分，影響2.0 Alpha1至2.16版Log4j，Apache基金會亦於同日發布2.17版予以修補。</p> <h4><strong><a href="https://www.lunasec.io/docs/blog/log4j-zero-day-severity-of-cve-2021-45046-increased/"><span style="color: rgb(0, 0, 0);">Log4Shell修補不全漏洞恐被用於RCE攻擊，Apache改列為重大風險層級</span></a></strong></h4> <p>針對Log4Shell修補不全的漏洞CVE-2021-45046，Apache基金會於12月17日大幅調整CVSS風險層評分，從原本的3.7分提高到9.0分，原因是當初他們認為，這項漏洞僅會被用於阻斷服務（DoS）攻擊，但後來有研究人員發現，攻擊者能繞過Log4j 2.15版中，允許LDAP只能連接到本機的限制，而可被用於RCE攻擊，使得這項漏洞的危險程度大幅增加。</p> <h4><strong><a href="https://www.advintel.io/post/ransomware-advisory-log4shell-exploitation-for-initial-access-lateral-movement"><span style="color: rgb(0, 0, 0);">勒索軟體Conti開始利用Log4Shell漏洞，攻擊VMware vCenter<img alt="" src="https://s4.itho.me/sites/default/files/images/f5c79d_7ca69f78224844af92d9fa94ca8c1db2_mv2.png" style="width: 300px; height: 297px; float: right;" /></span></a></strong></h4> <p>威脅情報業者Advanced Intelligence指出，他們發現勒索軟體駭客Conti，自12月12日開始，開始利用Log4Shell漏洞（CVE-2021-44228）發動攻擊，鎖定VMware vCenter環境下手，藉著漏洞在攻擊目標的內部網路環境中進行橫向移動，已有美國和歐洲的受害組織。針對Log4Shell漏洞，VMware發出資安通報並提供緩解措施，但尚未提供修補程式，vCenter用戶仍有可能成為駭客的攻擊目標。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/tellyouthepass-ransomware-revived-in-linux-windows-log4j-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體TellYouThePass攻擊再度升溫，利用Log4Shell漏洞入侵受害電腦</span></a></strong></h4> <p>資安研究團隊KnownSec 404約於12月13日，發現名為TellYouThePass勒索軟體的攻擊行動，並表明攻擊者利用了Log4Shell漏洞下手，攻擊執行舊版Windows作業系統的電腦。隨後Curated Intelligence發現，當天至少有30個TellYouThePass的惡意軟體樣本發動攻擊。隔日，中國資安業者深信服指出，這個勒索軟體攻擊的受害範圍，已有多個中國省份出現災情，資料遭到加密，受害電腦的共通點，都是執行特定的OA系統，再者，TellYouThePass也同時對Linux伺服器展開攻擊。</p> <h4><strong><a href="https://security.googleblog.com/2021/12/understanding-impact-of-apache-log4j.html"><span style="color: rgb(0, 0, 0);">逾3.5萬個Java套件受到Log4Shell波及</span></a><img alt="" src="https://s4.itho.me/sites/default/files/images/blocked_dep_fix.png" style="width: 300px; height: 238px; float: right;" /></strong></h4> <p>重大漏洞Log4Shell的影響究竟有多廣？Google針對知名的Java套件庫Maven Central進行調查，結果發現，當中有35,863個Java套件依賴存在漏洞的Log4j，相當於有8%的套件受到此漏洞的影響，目前當中已有4,620個套件修補該漏洞完成。研究人員指出，上述逾3.5個套件裡，僅有7千個是直接引入了Log4j程式庫，其餘多數為間接引用，這樣的現象，可能使得開發人員難以能充分了解他們的Java套件中，是否受到Log4Shell影響。</p> <h4><a href="https://www.blumira.com/analysis-log4shell-local-trigger/"><span style="color: rgb(0, 0, 0);"><strong>Log4Shell攻擊出現利用WebSocket的新手法</strong></span></a></h4> <p>繼日前資安業者發現，部分駭客利用Log4Shell漏洞發動攻擊的態勢，從LDAP轉移到RMI服務，有資安業者發現更為隱蔽的手法。資安業者Blumira指出，他們發現能透過JavaScript程式碼，使用WebSocket通訊協定的攻擊手法，由於這類協定只向伺服器驗證來源，而不受限瀏覽器的同源政策管制。研究人員也公布他們概念性驗證攻擊的實作方式，並成功以這項手法觸發Log4Shell漏洞，執行Windows伺服器上的小算盤（Calc.exe）。</p> <h4><strong><a href="https://www.zdnet.com/article/nsw-government-casual-recruiter-suffers-ransomware-hit/"><span style="color: rgb(0, 0, 0);">人力資源業者Finite Recruitment遭到勒索軟體Conti攻擊</span></a></strong></h4> <p>為澳洲新南威爾士州政府提供臨時人力的Finite Recruitment，近日證實他們在10月經歷網路攻擊事件，該公司部分的資料遭駭客公布於暗網。該公司強調，在攻擊事故當下，該公司的營運並未因此中斷。而對於攻擊者的身分，勒索軟體Conti將該公司列為受害者，並宣稱竊得超過300 GB資料，包含財務資料、合約、客戶資料庫，以及員工的詳細資料等。新南威爾士州政府發言人表示，他們採用該公司的服務，並未因為此起事故受到影響。</p> <h4><strong><a href="https://www.independent.ie/news/ransomware-cyberattack-hits-coombe-hospital-it-services-locked-down-as-precaution-41156106.html"><span style="color: rgb(0, 0, 0);">愛爾蘭婦女醫院Coombe遭勒索軟體攻擊，部分IT系統遭到波及</span></a></strong></h4> <p>愛爾蘭婦女醫院Coombe於12月16日指出，他們在15日開始遭到勒索軟體的攻擊，該院發言人表示，他們發現遭到攻擊的跡象，為了防範災情擴大，已經隔離部分IT服務，並與當地衛生部（HSE）通報，HSE則證實，這次事故已經影響該院IT基礎設施的數個系統，且該院已暫時與國家網路切斷連接。</p> <h4><a href="https://decoded.avast.io/threatintel/avast-finds-backdoor-on-us-government-commission-network/"><span style="color: rgb(0, 0, 0);"><strong>美國政府委員會驚傳遭植入後門程式<img alt="" src="https://s4.itho.me/sites/default/files/images/ocidlls.png" style="width: 300px; height: 245px; float: right;" /></strong></span></a></h4> <p>防毒廠商Avast於12月16日指出，他們在美國政府委員會的內部網路上，發現攻擊者以偽裝成OCI.DLL的攻擊工具，並濫用WinDivert來監聽所有網際網路流量，然後在受害電腦下載並執行惡意程式。研究人員也發現另一款攻擊者用來解密的工具，攻擊者可能是用來在受害電腦上執行任意程式碼。Avast認為，這種行動是攻擊者用來偵察網路環境並取得控制，可能是多階段攻擊的第一步。</p> <h4><a href="https://www.prevailion.com/darkwatchman-new-fileness-techniques/"><span style="color: rgb(0, 0, 0);"><strong>木馬程式DarkWatchman藏身於Windows登錄檔進行寄生攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/scheduled_task.png" style="width: 300px; height: 160px; float: right;" /></strong></span></a></h4> <p>資安業者Prevailion於11月下旬，發現了名為DarkWatchman的RAT木馬程式，這個木馬程式以JavaScript程式碼打造而成，大小僅32 kb。DarkWatchman使用網域產生演算法（DGA）與C2中繼站連線，並大量使用現成執行檔、程式碼，以及程式庫來進行寄生攻擊（LoL）。這個木馬程式在每次使用者登入受害電腦時，以工作排程啟動，並執行PowerShell程式碼來編譯鍵盤側錄工具，然後在記憶體內執行。比較特別的是，此款鍵盤側錄工具並非直接與C2中繼站連線傳輸資料，也不會把資料寫入磁碟，而是先把側錄得到的資料儲存於登錄檔，再由DarkWatchman將資料外傳。</p> <h4> </h4> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://security.googleblog.com/2021/12/improving-oss-fuzz-and-jazzer-to-catch.html"><span style="color: rgb(0, 0, 0);">模糊測試工具OSS-Fuzz加入檢測Log4Shell的能力</span></a></strong></h4> <p>針對波及全球各項應用系統的Log4Shell漏洞，也有程式碼檢測工具加入有關的檢測機制，來協助開發者找出可能曝露在這項漏洞的程式碼。Google於12月16日宣布與Code-Intelligence合作，透過後者改良Jazzer模糊測試引擎，以能夠檢測遠端JNDI搜尋的異常情形，來強化OSS-Fuzz模糊測試工具對於Log4Shell的偵測能力。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日</a></p> <p><a href="https://www.ithome.com.tw/news/148402">2021年12月16日</a></p> <p><a href="https://www.ithome.com.tw/news/148368">2021年12月15日</a></p> </div></div></div>
2021/12/20 15:19作者周峻佑https://www.ithome.com.tw/news/148463
摩根大通允許員工以WhatApp等平臺通訊，遭罰2億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國金融服務機構摩根大通（JPMorgan Chase）因旗下華爾街部門允許員工透過WhatsApp與其它未經授權的通訊平臺，繞過必須保存通訊記錄的規定，而分別遭到<a href="https://www.sec.gov/news/press-release/2021-262" target="_blank">美國證券交易委員會（SEC）</a>及<a href="https://www.cftc.gov/PressRoom/PressReleases/8470-21" target="_blank">美國商品期貨交易委員會（CFTC）</a>判罰1.25億美元及7,500萬美元。</p> <p>不管是SEC或CFTC都規定企業必須保存通訊記錄與帳本記錄，而且相關記錄必須受到適當的監督，不得藉由官方管道之外的平臺進行。</p> <p>然而，根據SEC的調查，摩根大通從2018年1月至2020年11月間，員工就經常於個人的行動設備上進行證券業務上的交流，包括文字簡訊、WhatsApp或個人的電子郵件帳號，由於是在個人裝置或帳號上執行，因此相關記錄並未被妥善保留，違反了美國聯邦證券法令的規定。</p> <p>調查還顯示，不僅是低階員工，就算是摩根大通的高階主管也都透過自己的個人裝置，來從事有關該公司證券業務的交流。</p> <p>CFTC則說，摩根大通違反相關規定的時間點最早可追溯到2015年，而且該公司並未收集或保留這些藉由其它管道交流的訊息。</p> <p>摩根大通除了接受總計2億美元的罰款之外，也同意聘請法遵顧問，以審查該公司如何管理員工於個人裝置上的通訊行為，並提出改善建議。</p> </div></div></div>
2021/12/20 15:38作者陳曉莉https://www.ithome.com.tw/news/148464
新的無檔案惡意程式DarkWatchman以Windows登錄檔作為藏身之處
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prevailion.com/darkwatchman-new-fileness-techniques/" target="_blank">資安情報業者Prevailion上周揭露</a>了一個新的無檔案惡意程式DarkWatchman，這是一個基於JavaScript的遠端存取木馬（Remote Access Trojan，RAT），研究人員發現它躲藏在Windows登錄檔（Windows Registry）中，而且很可能用來作為部署勒索軟體等其它惡意程式的跳板。</p> <p>Prevailion是在今年的11月發現DarkWatchman，它透過電子郵件散布，發送郵件的伺服器位於俄羅斯，郵件本身也是以俄文撰寫，程式碼雖然是以英文撰寫，但出現部分的拼字錯誤。</p> <p class="rtecenter"><img alt="" src="https://www.prevailion.com/wp-content/uploads/2021/12/4_blog_darkwatchman_12.14.2021-1536x818.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Prevailion</span></span></p> <p>當受害者感染了DarkWatchman之後，Prevailion發現它利用Windows登錄檔進行所有的臨時及永久存取，而且從不於硬碟寫入任何內容，有鑑於登錄檔的內容原本就經常變動，再加上很難辨識哪些變更是來自於正常的系統/軟體功能，又有哪些變更是受到外界干預，因此很難被察覺，也可躲過防毒軟體的偵測。</p> <p>研究人員推測打造DarkWatchman的駭客，對於Windows Operating System及軟體開發有相當程度的了解。</p> <p>DarkWatchman具備了大多數的RAT基本功能，像是執行EXE檔、載入DLL檔、執行命令、評估JavaScript、將檔案上傳至命令暨控制伺服器（C&C）、遠端移除RAT與鍵盤側錄程式，或是遠端更新C&C伺服器位址等，此外，它也具備進階功能，包括遠端更新該RAT及鍵盤側錄程式、在RAT啟動時設定一個自動執行的JavaScript、利用網域生成演算法來強化C&C的彈性，以及當受害者具備管理權限時，它會刪除陰影複本。</p> <p>此外，分析顯示駭客的攻擊行動是有目標性的，看起來像是鎖定大型企業，由於DarkWatchman可自遠端載入其它惡意程式，使得Prevailion相信DarkWatchman只是駭客入侵組織的第一階段，將被用來部署包括勒索軟體在內等更危險的惡意程式。</p> </div></div></div>
2021/12/20 16:00作者陳曉莉https://www.ithome.com.tw/news/148465
馬來西亞《著作權法》納入串流技術，違法最高可處以20年刑期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬來西亞下議院在上周通過了當地《著作權法》修正案，正式將串流技術納入規範，打算針對盜版的串流服務供應商開罰，違法者最高可能被處以20萬令吉（約4.7萬美元）的罰款，或最多20年的牢獄之災。</p> <p>儘管今年馬來西亞的高等法院曾經判決，出售以盜版為目的的串流裝置違反《著作權法》，但其實該法令一直未把以採用串流技術的盜版行為納入規範，現在該國則與時俱進地修改了《著作權法》。</p> <p><a href="https://www.lowyat.net/wp-content/uploads/2021/12/Parlimen-CopyrightAct1987-ammendment-dec21-01.pdf" target="_blank">修正案中闡明</a>，只要是侵犯著作權的行為，不管是生產串流技術、銷售或租賃串流技術、散布串流技術，或向大眾提供相關的服務，都違反了該法令。</p> <p>此外，就算犯罪行為是以公司名義進行，但該公司的法人團隊或高階主管都可能受到牽連。</p> </div></div></div>
2021/12/20 12:57作者陳曉莉https://www.ithome.com.tw/news/148460
本土老牌廣告商靠AI再度轉型，培養自有技術力走出新商模
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>廣告價格向來是廣告業界的秘密，誰都不願意輕易透露自己的資訊，卻又想盡辦法要探聽別人的情報，尤其是數位廣告圈，價格就是版面競爭關鍵，常見的程序化廣告競價中，若能得知對手底價，就能以些微夠高的價格勝出，而不用浪費高價才能搶下版面。</p> <p>但是，臺灣有一家老牌廣告代理商，靠技術力掀開了這個業界不想說的黑盒子。</p> <p>2018年，這家公司集結了數千家企業客戶的Google廣告帳戶資訊，公開了近80個產業的Google廣告成交價格的統計數據，包括每月平均點擊率、單次點擊成本與每千次曝光成本，讓廣告主能透過產業平均數據，來檢視自家的廣告表現，再進一步展開優化。</p> <p>台北數位集團在2007年成為Google在臺灣的第一家廣告代理商，至今將近15年，經手數千家企業的Google廣告代理。而且不只Google一家，後續更一路取得更多廣告平臺的代理權，包括臉書、Amazon、Line與Yahoo等。</p> <p>累積多年的在地顧客大數據，是台北數位集團屢屢爭取到企業顧客的利器，也是領先同業的競爭力源頭，但是，他們竟決定放棄這個靠資訊落差得到的優勢，轉而把情報與顧客共享。</p> <p>「我們可能是擁有臺灣最多廣告實際數據的公司，只有我有數據，我不入地獄，誰入地獄。」一手推動廣告價格公開的台北數位集團董事長藍信彰說：「數據越透明、公開，可以讓產業的進步越快。」因為廣告平均價格公開後，用更高價買下廣告的企業，就會反過來質疑廣告業者，業者就得努力幫該企業降低成本，進而拉低整體平均，但如此一來，又會造成另一家企業的廣告價格高於平均，輪到另一家降低成本。如此一來，就能形成廣告輪流優化的循環。</p> <p>這些數據之所以有參考性，更因台北數位集團經手的Google廣告客戶眾多，有機會讓廣告主取得最接近產業實際的廣告均價資訊。「雖然效益長久後才能顯現，但這能讓臺灣數位廣告產業更專業。」藍信彰指出：「整個行業都得面臨顧客質疑，業者都不得不善用每一分錢，不得不更專業起來。」</p> <p>當時，他們動員了超過50個人，對5千個廣告活動、100萬個廣告群組進行貼標與分類工作，再結合大數據技術，才能即時追蹤數千個廣告活動的廣告價格變動，幾乎是傾全公司之力，才將自家Google帳戶的平均廣告價格公開，變成一種常態性提供的儀表板服務。他們現在也正準備將手上其他廣告平臺，例如臉書廣告均價的數據公開。</p> <p>「如果有一個國家的數位廣告價格透明，能推動產業進步，我希望是臺灣。」藍信彰指出，就像醫學與科技的進步，需要共享知識，數位廣告優化，也需要更透明公開的價格資訊為基礎，「這正是我們公開資料的價值所在。」</p> <p>不過，靠技術顛覆自己的商業模式，已經不是藍信彰第一次嘗試。早在15年前，網路頻寬提升與手機普及化，民眾不僅能利用零散時間隨時隨地上網，更大的頻寬也讓影片廣告得以可能，帶動了數位廣告大幅成長。當時，台北數位集團就抓緊機會，一舉從網路貿易市集的跨境廣告業務模式，轉為瞄準更大規模的內需數位廣告市場，善用更普及的網際網路展開第一波轉型。</p> <p>經營數位廣告代理業多年後，大約2015年前後，台北數位集團再度面臨第二次轉型的考驗，但這一次，是新興技術自己找上門。</p> <h2><span style="font-size:28px;"><strong>新興Martech浪潮來襲，老牌數位廣告代理商也要擁抱AI</strong></span></h2> <p>6、7年前，不少國外運用AI技術或Martech工具的軟體商，找上台北數位集團推銷產品，想要進軍臺灣提供廣告帳戶自動優化、廣告精準投放等服務。這些軟體商找上門，讓藍信彰意識到，數位廣告已經走向個人化投放、24小時自動優化的新戰場，他們只靠人力來操作數位廣告帳戶的作法已經落伍了，這些新興的純技術公司，看準機會大舉切入市場，成了傳統數位廣告業者的競爭對手。</p> <p>「台北數位集團勢必要擁抱新技術與服務，來展開轉型。」藍信彰再一次感受到變革的壓力，但有別於前一波網路技術的變革是助力，這次的AI與Martech技術，對不諳新興技術的老牌數位廣告業者而言，是更大的考驗。</p> <p>一開始的策略，藍信彰本來想從引進國外優良的數位廣告產品先做起，透過熟悉新競爭對手的產品，來了解新興廣告技術。</p> <p>不過，藍信彰回憶，開始測試產品後發現，國外知名的廣告優化產品大多從全球營運考量、大型企業規模的角度來打造產品，難以符合以中小企業為主的臺灣市場，尤其台北數位集團大半客戶是中小企業，光是動輒數十萬的月費，就成為他們推廣採用的一大門檻。</p> <p>「國外產品像是一件大衣，」藍信彰這樣比喻，上手門檻很高，但臺灣企業規模小，沒有辦法使用。</p> <p>不只定價策略落地問題，本土客製化能力不足則是外國商品另一個落地問題。藍信彰解釋，比如臺灣常因在特殊節日時加碼投放促銷廣告，在預算高而活動時間短的情況下，廣告帳戶的操作上，需要高頻率更新策略，又或是部分廣告需求是瞄準目標客群，搭配長期投放策略，由於預算低且長期操作，廣告優化頻率不需太高。而國外的廣告優化產品，不一定能貼近這些在地複雜的需求來設計。</p> <p>藍信彰進一步舉例，例如廣告檔期2周的預算是50萬元，國外產品往往採單一優化目標的設計，像是以降低這個檔期最後的廣告費用來優化廣告效果，但臺灣企業則不只希望優化，還希望用完所有預算等多重目標的需求，甚至要求要針對不同廣告行為進行複合性的設定組合。「國外產品主要鎖定幾種常見的廣告需求類型，而無法照顧到每一種廣告主的需求。」他強調。</p> <p>了解國外產品在地化不足的局限後，「我們開始思考，能不能自己開發符合本地需求的產品？」藍信彰表示，萌生這個想法後，台北數位集團組成了一支研發團隊，要奠基在過去的產品測試經驗上，打造更貼近市場需求的廣告帳戶優化技術。因此，台北數位集團在從5年前開始招募技術人才，組成自己的工程團隊，例如台北數位集團AI中心工程師藍介廷，過去在英國攻讀資料科學畢業，就是其中之一。</p> <h1><span style="font-size:28px;"><strong>從廣告業務跨足技術研發，AI工程師與領域專家協作成挑戰</strong></span></h1> <p>從數位廣告跨入技術研發領域，藍信彰坦言，得面臨許多挑戰，不只要投入工程人力，更要讓這些精通AI與IT的技術人員，能夠與數位廣告領域專家協作，甚至是後續產品的測試與上線過程，「都遇過很多挫折。」</p> <p>「對工程師來講，最大的挑戰其實是領域知識，」藍介廷直指，AI工程師要跨足廣告產業的最大挑戰，就是要學習領域知識，才能與領域專家溝通協作，將客戶需求轉換成技術服務。</p> <p>數位廣告投放邏輯有多複雜？例如3天密集投放的促銷廣告，必須隨時監控不同通路平臺或廣告類型的效果，例如Google廣告和臉書廣告，或是影片廣告或關鍵字搜尋，隨時調整投放策略，將預算轉移到轉換成效高的地方。或是在關鍵字廣告的競價購買上，得即時發現更有效果的特定關鍵字，動態調高出價，才能及時曝光客戶的廣告。</p> <p>過去這些廣告操作大多由廣告企劃人員來管理，現在要改由AI程式來自動判斷與調整，上述這些都還是基本功能，廣告投放還得滿足廣告主的多重需求。比如說，上述提到的例子，盡可能以更低價格購買更多廣告曝光，但又要將廣告預算全部用完，這種在A條件下滿足B條件的多目標廣告投放需求，過去是廣告企劃人員的一大操作挑戰，現在，則變成了工程師的自動化難題。</p> <p>藍介廷指出，前期規劃時，工程師需與操作數位廣告經驗豐富的專家反覆溝通，將各種五花八門的要求定義出每一種指標，甚至像是抽象的「花費太高、太低」，也要清楚定義成參數，「工程師先了解整體數位廣告投放操作，熟悉領域知識後，才能進一步開發自動操作系統，提供參數設定機制，讓廣告企劃人員更容易執行各種廣告投放任務。」</p> <p>數位廣告自動化不只是技術問題，也是業務問題，藍介廷解釋，必須按照廣告主各種不同的需求來建立廣告帳戶的分類，才能根據不同類型的帳戶特性來優化，「帳戶分類越完善，用同一類帳號的數據來訓練AI，才能提供更準確的判斷。」</p> <p>AI產品開發完成後，還得面對一個挑戰，必須不斷測試、修正，來確保系統的可用性，「這對任何一個數位廣告公司來說，都是很大的挑戰。」藍信彰直言，靠AI自動操作帳戶，也會有些許廣告成效劣化的風險。換言之，AI系統上線後，「如果100個廣告帳戶中，3成帳戶的廣告成效變差，如何向那30家客戶交代？」</p> <p>這正是台北數位集團AI中心開發出廣告優化系統後，一開始就碰到的測試難題，自家廣告企劃單位不買單，少有人願意以自己負責的廣告帳戶來執行測試，導致測試流程延宕許久。不過，這個碰壁也反過來督促研發部門，得端出足夠成熟的產品服務，「盡可能找出原因，降低劣化的廣告帳戶數量，」藍信彰指出，廣告成效可以沒有改善，但不能比過去更差，只有達到這個標準，公司內部才有信心採用。</p> <p>2019年，這項內部研發的廣告優化系統正式上線，台北數位集團內部現在已經有上千個Google廣告帳戶操作，都靠這套系統執行，接下來更要將這套技術擴大應用到臉書廣告帳戶中。</p> <h1><span style="font-size:28px;"><strong>以3萬歷史顧客資料為基礎尋找技術優勢</strong></span></h1> <p>除了開發單一廣告帳戶優化軟體，研發團隊也在思考，是否能奠基在累積十多年的廣告投放數據之上，找出過去單一帳戶未能發現的洞察，擴大用於所有帳戶的優化，或將單一廣告平臺的廣告投放洞察，應用到其他廣告平臺中。</p> <p>藍介廷舉例說明，廣告投放時必須避免踩「坑」，也就是得避開廣告轉換成效不彰的版位，但單一帳戶優化機制往往得先踩坑，才會知道如何避開，若能善用大量廣告帳戶各自的踩坑數據，就能交叉比對來優化所有帳戶的廣告投放。</p> <p>或者若能透過長期操作Google關鍵字廣告的經驗，找出不同關鍵字對不同廣告投放場景的轉換效益，就能將這些關鍵字及適用場景，套用於其他廣告投放平臺上。另外，如何自動整合不同平臺的廣告成效報表，轉換點擊或消費行為，歸因出不同平臺各自的成效貢獻比重，避免重複計算等，這些都是他們研發的技術方向。</p> <p>藍信彰認為，長年站在數位廣告投放第一線，累積了3萬間企業客戶的資料，可以比科技新創更容易掌握市場動態來開發新服務與產品，甚至更容易進行實測，先取得顧客的反饋來提前調整。「純技術公司要切入數位廣告產業，沒有客戶作為產品開發基礎，比較吃虧。」</p> <h1><span style="font-size:28px;"><strong>強化技術力是集團數位轉型推動關鍵</strong></span></h1> <p>為了靠技術帶動全集團的數位轉型，台北數位集團從內外兩個面向，來不斷砥礪研發實力進步。藍信彰指出，一方面要勤修內政，持續內化數位廣告新知，研發貼近市場需求的服務，另一方面則要開放門戶，持續測試市場上的產品服務，透過外部技術與內部技術的比較，來給予研發團隊競爭壓力。</p> <p>不只要研發新產品或服務，藍信彰指出，設立研發部門另一個目的，就是要協助全公司抓住數位廣告的趨勢脈動，比如向業務部門傳授技術知識，讓他們了解DMP、CDP等工具的用途和效益。為了加速全公司採用新的軟體服務，研發部門下也附設了一個推廣單位，除了宣揚新技術帶來的效益，更要讓員工了解，AI不是用來取代人，而是用來減少重複性的工作。</p> <p>「我們要投資未來。」藍信彰指出，前瞻技術研發支出上，一家二十五歲的公司，無法像新創一樣靠募資實現想法，反而得在自給自足的情況下，從公司盈利挹注一定比例的資金，來研發自己的產品。</p> <p>5年前，AI研發團隊原本只是台北數位集團工程部門下的一個小組，3年前，藍信彰將研發單位升格為AI中心，每年投入3,000萬元從事研發，現在已有8個專責AI開發人才，再加上其他支援人力，如行銷技術、商業應用、內部推廣人員等，整個AI部門規模約15～20人，這已經本土廣告公司中少見的研發規模。</p> <p>未來，藍信彰更計畫將AI中心獨立為一家公司，變成對外提供軟體服務，就是要擺脫傳統數位廣告代理商的定位，走出屬於老字號的轉型之路。文⊙翁芊儒</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/13_%E8%97%8D%E4%BF%A1%E5%BD%B0_%E5%8F%B0%E5%8C%97%E6%95%B8%E4%BD%8D%E9%9B%86%E5%9C%98_%E8%91%A3%E4%BA%8B%E9%95%B7_20211026(1).jpg" style="text-align: center; width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></p> <p><span style="font-size:20px;"><span style="color: rgb(105, 105, 105);"><strong>在前瞻技術的投資上，老公司無法像新創一樣募資，反而得在自給自足的情況下，從公司盈利挹注一定比例的資金，來研發自己的產品。</strong>─── 臺北數位集團董事長藍信彰</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>台北數位集團</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 關鍵人物 </span></span></strong></p> <p> <strong>台北數位集團董事長藍信彰</strong></p> <p><strong> 台北數位集團AI中心工程師藍介廷</strong></p> <p>● 成立時間：1996年9月28日</p> <p>● 地址：臺北市南港區三重路19之6號7樓</p> <p>● 董事長：藍信彰</p> <p>● 員工人數：300人</p> <p>● 資本額：2千6百萬元</p> <p>● 年營收：逾30億元</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 技術部門小檔案 </span></strong></p> <p>台北數位集團的研發部門，大約在5年前成立，3年前升格為AI中心，現有人數約為20人，負責行銷技術人員有6位，AI技術人員有8位，商業應用人員則有5位，每年研發預算大約3,000萬元，未來一年的技術重點為AI整合投放。目前，AI中心大多研發成果提供內部使用，未來將打包成軟體服務進軍數位廣告市場，AI中心本身也可能在未來獨立為一家公司，來販售AI與Martech服務</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事紀 </span></strong></span></p> <p>● 2007年：成為Google台灣第一家廣告代理商</p> <p>● 2010年：成為臺灣最大數位媒體代理商</p> <p>● 2014、2015、2016年：分別成為Facebook、Line、Yahoo臺灣授權代理商</p> <p>● 2018年：根據自家Google廣告數據資料庫首創臺北數位指數</p> <p>● 2019年：運用AI技術，優化Google廣告帳戶</p> <p>● 2020年：推廣數據對齊觀念，推出報表整合軟體</p> <p>● 2021年：運用AI技術，優化Facebook廣告帳戶</p> <p>● 2022年：計畫推出Facebook版臺北數位指數、廣告帳戶優化與整合報表軟體</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/01_lan_xin_zhang_lan_you_ting_tai_bei_shu_wei_ji_tuan_20211026.jpg" width="960" height="420" alt="" title="台北數位集團董事長藍信彰／台北數位集團AI中心工程師藍介廷（攝影／洪政偉）" /></div></div></div>
2021/12/20 12:26作者翁芊儒https://www.ithome.com.tw/people/148445
攻擊過臺灣、香港的中國駭客又見駭入運輸業網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.trendmicro.com/en_us/research/21/l/collecting-in-the-dark-tropic-trooper-targets-transportation-and-government-organizations.html" target="_blank">趨勢科技發現</a>，一個名為Earth Centaur的中國駭客組織，從去年年中起開始駭入週遭國家大眾運輸業竊取機密資料，可能預備未來發動攻擊。</p> <p>Earth Centaur之前被稱為Tropic Trooper、KeyBoy。從2011年就開始活動，趨勢科技去年7月起觀測到Earth Centaur試圖駭入某些運輸業網路存取內部文件，包括飛行班次表、財務預算文件，以及用戶個資，像是搜尋紀錄等。這個駭客組織甚至還試圖存取運輸業相關政府主管機關。</p> <p>根據分析，Earth Centaur/Tropic Trooper是一使用中文的駭客組織，<a href="https://www.trendmicro.com/en_us/research/18/c/tropic-trooper-new-strategy.html" target="_blank">2018年曾攻擊臺灣、香港及菲律賓的政府、醫療、運輸及高科技產業</a>。</p> <p>在最新一波行動中，Earth Centaur為遂其目的，運用高超手法來躲避受害者網路的安全偵測。根據分析，攻擊者是利用受害者IIS（Internet Information Service）和Exchange伺服器的漏洞，像是ProxyLogon駭入系統，藉此安裝Web Shell程式。之後即安裝名為Nerapack的.NET載入器以及第一階段後門Quasar RAT。之後視受害者環境，植入各種第二階段後門，像是ChiserClient和 SmileSvr。</p> <p>研究人員分析，這駭客組織在第一階段中的下載程式Nerapack中，不但既使用DES或AES不同解密演算法來解密程式，而且使用名為時戳竄改（Timestomping）的手法，變更.bin檔的時戳，以增添分析難度。</p> <p class="rtecenter"><img alt="" src="https://marvel-b1-cdn.bc0a.com/f00000000017219/www.trendmicro.com/content/dam/trendmicro/global/en/research/21/l/collecting-in-the-dark-tropic-trooper-targets-transportation-and-government-organizations/Earth%20Trooper%20Figure%202.png" style="width: 600px;" /></p> <p><a href="https://www.trendmicro.com/en_us/research/21/l/collecting-in-the-dark-tropic-trooper-targets-transportation-and-government-organizations.html" target="_blank"><span style="color:#696969;">圖片來源_趨勢科技</span></a></p> <p>第二階段下載的後門程式中，研究人員發現Earth Centaur開發的數種後門程式。首先駭客安裝ChiselClient後門，使攻擊者得以高度權限存取受害系統資源、寫入、讀取檔案、執行指令。SmileSvr則可連結C&C伺服器。他們還發現Earth Centaur能運用受害者環境中既有開發框架開發客製化後門程式，依不同受害者啟用不同後門程式。</p> <p>而在成功駭入系統後，Earth Centaur能利用多種工具來尋找及入侵受害者內部網路。攻擊者在受害網路上尋找Active Directory（AD）伺服器，並透過SMB（Server Message Block）散布多個內部網路滲透工具，例如以反向代理伺服器（reverse proxy）FRPC允許它繞過NAT伺服器及防火牆等網路安全系統，並以Chisel TCP/UDP tunnel工具和C&C伺服器建立SSH連線，使其從受害系統得以竊取並外送資料。</p> <p>目前這個駭客組織尚未造成重大損害，但研究人員相信他們竊取資料只是在等待未來使用的時機。</p> </div></div></div>
2021/12/20 12:38作者林妍溱https://www.ithome.com.tw/news/148459
Signal視訊同時使用者增至40人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>號稱最安全的通訊程式Signal也陸續擴增功能。繼一年前宣布群組全程加密（End to end encryption，E2EE）後，<a href="https://signal.org/blog/how-to-build-encrypted-group-calls/" target="_blank">上周宣布</a>，將把群組視訊全程加密支援人數由5人增加到40人。</p> <p>市面上沒有軟體可讓Signal支援那麼多人的全程加密，使他們採用自行開發的技術。Signal執行長Peter Fankhauser指出，全程加密需要用到選擇性轉送單元（Selective Forwarding Unit，SFU），原本Signal希望使用開源方案，但市面上的選擇轉送專案最多只能擴充到8名與會者。最後Signal以Rust撰寫全新的SFU。經過9個月調整，可輕鬆擴大到40名與會者，未來可能還會更多。Signal將其新技術稱為Secure Calling Service。</p> <p>除了將新功能部署到新版本外，<a href="https://github.com/signalapp/Signal-Calling-Service" target="_blank">Signal也將其Secure Calling Service開源出來</a>，讓開發人員得以開發與部署自己的群組視訊通話。</p> </div></div></div>
2021/12/20 11:24作者林妍溱https://www.ithome.com.tw/news/148458
Apache Log4j再釋出2.17版，修補DoS漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>周末IT人員可能忙著升級Log4j到2.16版，不過他們至少還需要再忙一趟，因為<a href="https://issues.apache.org/jira/browse/LOG4J2-3230" target="_blank">Apache軟體基金會又釋出了Log4j 2.17.0版來修補新的阻斷服務（Denial of Service，DoS）漏</a>洞。</p> <p>上周一釋出的Apache Log4j 2.16.0版是為了修補早先發現的漏洞。該漏洞被列為CVE-2021-45046，允許攻擊者輸入Log4j2 ThreadContext Map（MDC）資料時、使用非預設的Patten Layout改造成惡意查詢輸入，它原本被列為DoS漏洞，<a href="https://www.ithome.com.tw/news/148391" target="_blank">但隨後有Praetorian安全研究人員發現</a>，Log4j漏洞（Log4Shell）能允許攻擊者在某些情況下外洩敏感資訊。周末CVE-2021-45046不再只被列DoS漏洞，而改成遠端程式碼執行（RCE），風險值由原本的3.9一舉調到9.0。</p> <p>2.16.0還釋出不到一周，<a href="https://twitter.com/hackerfantastic/status/1471947572692590602" target="_blank">又被安全研究人員揭露有新漏洞</a>，且是新的DoS漏洞。<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-45105" target="_blank">新漏洞編號CVE-2021-45105</a>，<a href="https://issues.apache.org/jira/browse/LOG4J2-3230" target="_blank">Apache說明</a>在具有Thread Context Map查詢的變項中，以StrSubstitutor class${${::-${::-$${::-j}}}}代入，造成無限遞迴（infinite recursion），引發應用程式當掉。</p> <p>根據美國NIST漏洞資料庫的描述，2.16.0（除了2.12.3外）無法防止自我參照（self-referential lookups）的查詢，使得具有Thread Context Map查詢指令控制權的攻擊者得以引發DoS攻擊。</p> <p>CVE-2021-45105影響到上周的2.0- beta9到2.16版，CVSS 3.1風險值為7.5。最新釋出的2.17.0可以解決，2.12.3則不受影響。</p> <p>如果企業使用的Log4j版本是1.2版，應注意<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-4104" target="_blank">上周末Apache還修補CVE-2021-4104遠端程式碼執行（RCE）漏洞</a>，不過該版本僅影響1.2版，且已在2015年8月EoL（end of life），因此不會有修補程式。</p> <p><a href="https://www.ithome.com.tw/news/148391" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 12/16</span></span></strong></a><a href="https://www.ithome.com.tw/news/148457" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">相關報導</span></span></strong></span></a><a href="https://www.ithome.com.tw/news/148391" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> </span></span> <span style="color: rgb(51, 153, 255);">Log4j 2.15.0修補不全、Apache再釋2.16.0新版，國家駭客已開始行動</span></strong></a></p> </div></div></div>
2021/12/20 11:05作者林妍溱https://www.ithome.com.tw/news/148457
Visual Studio 2022 for Mac改良用戶自訂視窗布局方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows版本的Visual Studio 2022正式發布已久，而Mac版本則仍在預覽階段，微軟在官方部落格，更新了<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2022-for-mac-preview-4/">Visual Studio 2022 for Mac最新的開發進度</a>。目前開發團隊繼續將IDE移植到原生macOS UI的工作，並且加入視窗布局新功能。</p> <p>Visual Studio中的工具視窗，指得是IDE邊緣的小窗格，像是解決方案列表、Git更改視窗或是檔案大綱等，過去用戶可以透過點擊並且拖動標題列，來移動並且重新排列視窗到IDE另一側，當然用戶也可以選擇自動隱藏，並只在滑鼠懸停時顯示。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/visualstudio/wp-content/uploads/sites/4/2021/12/VSMac17-Preview4-ToolWindowDocking.gif" style="width: 580px;" /></p> <p>而在Visual Studio 2022 for Mac中，微軟提供更好的介面自定義體驗，提供類似Visual Studio 2019 for Mac拖動和停靠工具視窗的功能，但實作Windows版本的Visual Studio的作法，在用戶拖動工具視窗時，會看到螢幕上的指示圖標，顯示工具視窗可以停靠的位置。</p> <p>另外，這項功能也有無障礙設計，用戶只需要點擊工具視窗頂端的下拉選單，就能夠選擇停靠視窗的位置，使得用戶不需要點擊和拖動，就能輕鬆地移動工具視窗，對具有運動控制障礙，和反覆性壓力損傷的開發人員更加友善。</p> <p>最新的Visual Studio 2022 for Mac預覽版本中，微軟除了將所有搜尋結果視窗移植到原生UI之外，還加入新的分組功能，以更好地方式呈現搜尋結果。</p> </div></div></div>
2021/12/20 09:12作者李建興https://www.ithome.com.tw/news/148448
埃及流亡政客Ayman Nour的iPhone同時被植入兩種間諜程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://citizenlab.ca/2021/12/pegasus-vs-predator-dissidents-doubly-infected-iphone-reveals-cytrox-mercenary-spyware/" target="_blank">加拿大多倫多大學的公民實驗室（Citizen Lab）本周再度揭露</a>，有兩位埃及知名人士的iPhone被植入了間諜程式，一位是埃及流亡政客Ayman Nour，另一位則是不願具名的埃及新聞節目主持人，他們兩位的iPhone都被植入了由以色列資安業者Cytrox所打造的Predator間諜程式，而Nour的手機上不但擁有Predator，還被植入另一家以色列資安業者NSO Group所開發的Pegasus間諜程式，而且相信這兩個間諜程式是由兩個不同國家所植入。</p> <p>NSO Group與Cytrox都被視為是網路傭兵，專門替沒有能力監控的國家提供網路監控服務，其中，NSO Group協助客戶的監控行為已遭到Meta及蘋果提告，也被美國列入禁止交易的《實體名單》（Entity List），<a href="https://www.ithome.com.tw/news/148421" target="_blank">至於Cytrox則在本周遭到Meta封鎖</a>，移除了Cytrox在臉書及Instagram上所建立的300個帳號。</p> <p>根據公民實驗室的調查，這兩名埃及受害者都是在今年的6月感染了Predator，他們的iPhone執行的是當時最新的iOS 14.6作業系統，但駭客透過WhatsApp傳送一個惡意連結，於受害者點選連結時植入Predator。</p> <p>Cytrox成立於2017年，所打造的Predator同時支援Android與iOS平臺。Meta的安全團隊在接獲公民實驗室的通知之後也展開了調查，發現Cytrox用來偽裝成合法網站的大量網域，也指出Cytrox的客戶散布在埃及、亞美尼亞、希臘、沙烏地阿拉伯、阿曼、哥倫比亞、象牙海岸共和國、越南、菲律賓及德國等，攻擊目標則是全球的政治人物與新聞記者。</p> <p>遭到攻擊的Ayman Nour曾參選埃及總統，但還沒選舉就被逮捕，目前居住在土耳其，至於另一名新聞節目主持人亦流亡在外。</p> <p>令人驚訝的是公民實驗室在Nour的iPhone上同時發現Predator與惡名昭彰的Pegasus間諜程式。調查顯示Nour所持有的iPhone自今年3月起就反覆遭到Pegasus的感染，並於6月再被Predator感染。</p> <p>公民實驗室認為，發動Predator攻擊的客戶為埃及政府的機率很高，並有另一個政府以Pegasus攻擊Nour。該實驗室已將調查結果分享給蘋果及Meta。</p> </div></div></div>
2021/12/20 08:54作者陳曉莉https://www.ithome.com.tw/news/148450
微軟更新Azure Files支援更高效率的網路檔案系統協定NFS v4.1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布在其雲端檔案共用服務<a href="https://azure.microsoft.com/zh-tw/blog/updates-to-azure-files-nfs-v41-higher-performance-limits-and-reserved-instance-pricing/">Azure Files，正式支援NFS v4.1</a>網路檔案系統協定，其提供Linux虛擬機器、容器工作負載，與POSIX相容的檔案系統，擴展可以在Azure Files上運作的工作負載。Azure Files是微軟全託管，支援SMB和NFS通訊標準的無伺服器企業級雲端檔案共用服務。</p> <p>現在Azure Files已經全面正式支援NFS v4.1，用戶可以在生產環境中，替各種Linux和容器工作負載，部署這項符合POSIX標準的分散式NFS檔案共用功能。</p> <p>當用戶執行重要系統時，同步區域冗餘是實現應用層高可用性的關鍵，而Azure進階檔案共用功能，讓用戶可以選擇本地冗餘儲存或區域冗餘儲存，微軟提到，與較舊的NFS版本相比，NFS v4.1內建鎖定功能，因此能支援仰賴NFS v4.1鎖定功能的軟體，以維持分散式系統內的資料一致性。目前NFS v4.1已經在所有提供Azure Files進階層級的地區上線。</p> <p>另外，微軟也宣布，對所有Azure Files提供進階共享功能，無論使用SMB還是NFS協定，都提供更高的IOPS和吞吐量，現在所有共享皆提供最低的3,000 IOPS，高於之前的400 IOPS，同時還增加最小突發IOPS，使得最小的共享規模，也能夠獲得10,000 IOPS，隨著共享規模增加，IOPS也能夠線性擴展至100,000。</p> <p>而用戶還可以選擇將100％的預配置吞吐量，全用於讀取或是寫入，這代表用戶可以獲得10GB/s的讀取或寫入流量，過去進階共享只能將吞吐量分成40:60的寫入和讀取比率，最大寫入和讀取限制為4 GB/s和6 GB/s。</p> </div></div></div>
2021/12/20 09:09作者李建興https://www.ithome.com.tw/news/148447
AWS迎來雲服務發展15周年，算力、落地布局、AI戰略全面展開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS滿15歲了！也就是說，按需取用伺服器資源的雲端運算服務，推出至今滿15周年。受疫情影響，時隔兩年，AWS重回拉斯維加斯舉辦實體的年度用戶大會re:Invent，新任執行長Adam Selipsky上臺前，舞臺大螢幕上回顧著自家產品和基礎設施15年來的演進，從推出S3、EC2、RDS等服務，一路到去年推出Mac執行實例。</p> <p>AWS是今年三大雲端業者中，唯一舉辦線下實體年度大會的廠商，且除恢復線下實體活動外，也延續去年活動的舉辦方式，透過線上自建平臺直播大會活動議程，虛實活動雙軌並行，讓無法赴拉斯維加斯的IT人，可以線上免費參與為期6天，邁入第10屆的re:Invent大會。</p> <p>亞馬遜創辦人暨前執行長Jeff Bezos因個人生涯規畫，卸任執行長一職，交棒給原AWS執行長Andy Jassy，因此，AWS在今年7月由前商業智慧軟體商Tableau執行長Adam Selipsky，正式接任成為新的掌舵手。</p> <p>原先外界猜測，新任AWS執行長會由當時的內部高層主管出任，不過，Adam Selipsky對AWS來說，其實不是新面孔，他在擔任Tableau執行長前，就是在AWS服務，並擔任副總裁一職，負責AWS全球的行銷、銷售、業務開發、合作夥伴管理、技術支援、產品行銷管理等業務，對AWS的各項業務都相當熟悉。</p> <p>在過往逾10年的AWS服務經歷中，Adam Selipsky也是協助Andy Jassy建立雲端運算事業的關鍵人物，並且帶領團隊建立了AWS第一個視覺化界面，而他在Tableau服務的4年半期間，轉變其銷售模式，以訂閱制取代買斷制，帶領Tableau成長4倍，而Salesforce在2019年時以價值150億美元的股票收購了Tableau，成為最大軟體收購案之一。</p> <p>今年re:Invent大會是Adam Selipsky上任後，首度以主講人身分，亮相大會主題演講，而整場演講的調性與過往相差不多，適逢AWS 15周年，他花了些時間，鋪層AWS在各項領域一路的發展，才揭露這回的新宣布，雖新發布內容少了些驚豔感，但都更貼近用戶需求。</p> <p>回顧雲端服務15年來的發展，Adam Selipsk表示，「難以置信，AWS剛開始發展時，雲端運算的概念近乎不存在，」他清楚記得，起初向各界說明AWS和雲服務時，大家臉上都會流露困惑的神情，他道，因雲端當時還只是一個概念，很難用完整的脈絡來做解釋。</p> <p><span style="font-size:28px;"><strong>雲端服務發展至今達15年，AWS現提供超過200項服務</strong></span></p> <p>而這一切始於2006年，AWS推出儲存物件服務S3，也就是全球第一個雲端運算服務，以GB為單位提供按需取用的儲存資源，5個月後，再推出運算服務EC2；接著，在2009年推出第一個資料庫服務RDS，發展至今，又陸續推出不同類型的運算、儲存、資料庫等IT架構基礎服務。</p> <p>作為第一家雲端供應商，Adam Selipsk表示，AWS深知必須向企業證明，在雲基礎架構平臺上，執行應用程式的價值，他不諱言，當初業界競爭者中，不乏業者對雲端存疑，他們甚至對外表示，雲端永遠不會發展起來，或直言雲端只適合新創，等到開始有企業採用雲架構後，這些競爭者又說，雲環境不適合執行關鍵工作負載。</p> <p>如今，這些阻礙雲端服務發展的說法，都一一因逐年提升的企業雲端採用度，而打破了，Adam Selipsk更揭露多項AWS雲服務現今的成果，像S3現在累計儲存超過了100兆個物件，還有EC2每日開啟超過6千萬個執行實例。</p> <p>目前AWS共計有超過200項服務，涵蓋運算、儲存、資料庫、機器學習、分析、安全、物聯網、量子運算等領域，並針對不同運算情境的需求，提供了475種執行實例類型，包含一般用途、運算優化、記憶體優化、儲存優化等。</p> <p><span style="font-size:28px;"><strong>算力布局：推出新一代自研晶片Graviton3，疊加算力優勢提供高效服務</strong></span></p> <p>雲端算力上，因應企業對高度且密集運算力的使用需求，AWS是最早投入研發自家晶片的公有雲業者，從2018年以來，已陸續推出兩代，基於Arm架構的自研雲端原生處理器Graviton，還有在2019年時，推出機器學習推論專用晶片Inferentia，以及在去年宣布要研發製造機器學習訓練用晶片Trainium。</p> <p>這次再發布新一代自研晶片Graviton3，相比Graviton2，採用最新一代Graviton晶片處理通用型工作負載，可加快25%的速度，而加密型工作負載的處理速度則提升達兩倍。此外，新一代晶片的能源處理效率也做了優化，相比提供同等效能的其他EC2執行實例，可減少高達6成的能源消耗量。</p> <p>AWS這回不僅發布了新一代的自研處理器，也發布了採用Graviton3的第一款EC2執行實例，稱為C7g，可為運算密集型工作負載提供高性價比的使用體驗，現階段提供預覽版。</p> <p>另外，AWS也發布了搭配Trainium晶片的執行實例Trn1，主打在EC2中進行深度學習模型訓練時，可提供最佳性價比和最快的訓練速度。與P4d執行實例相比，透過Trn1訓練深度學習模型，最多可降低4 成的成本。</p> <p>AWS大力投入自研專用晶片，不僅應不同運算情境需求，擴大自研晶片專用情景的選項廣度，也持續迭代提升晶片的運算效能，朝兩方向不斷推進，成就自身的算力優勢，要以更高的效能、效率，以及更低的成本和能耗，來提供用戶雲運算服務。</p> <p>除了建置更強大的雲端運算能力，AWS也沒忘了回過頭，持續拓展和建置雲端基礎設施，並細化基礎設施的部署類型，從最原先的兩種類型：地理區域、可用區，到增添要鄰近大城市的區域型設施Local Zones，還有部署在5G邊緣網路的Wavelength區域。</p> <p>AWS基礎設施現遍及26個區域的84個可用區，以及14個Local Zones和17個Wavelength區域，並計畫再增8個區域和24個可用區，明年更將在21國建設超過30個Local Zones，提供當地用戶執行對延遲高度敏感、運算密集型的應用。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Graviton_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size:14px;">圖片來源／AWS</span><br /><strong>AWS發布新一代自研晶片Graviton3，比前一代晶片提升25%的處理速度，並發布第一款採用新晶片的EC2執行實例C7g，可為運算密集型工作負載提供高性價比的使用體驗，現處預覽版。</strong></span></p> <p><span style="font-size:28px;"><strong>落地布局：雲服務延伸至Outposts 1U、2U伺服器和5G專網，打造無所不在的雲端</strong></span></p> <p>這還不夠，AWS也持續發展混合雲架構與策略的相關布局，搭建從AWS雲端基礎設施環境連結企業資料中心的橋樑，甚至延伸雲端環境至AWS基礎設施之外，打造落地版的AWS環境，也就是推出近兩年的伺服器硬體Outposts。</p> <p>Outposts最先以42U機櫃為最小單位販售，實體機櫃高達203公分，這樣的大小和容量讓許多有興趣採用的企業卻步，因無法用於空間有限的場景，像是工廠作業現場、醫院、零售商店等。因此，AWS去年即宣布將推出兩個小尺寸的 Outposts伺服器。</p> <p>經過一年的等待，AWS正式推出3個小尺寸的Outposts伺服器，分別是採用Graviton2處理器的1U型號（約4.45公分高），提供多達64vCPU、128GiB記憶體和3.8TB本地NVMe存儲；還有，採用英特爾x86處理器的2U型號（8.89公分高），提供多達64vCPU、128GiB記憶體和3.8TB的本地NVMe儲存，可支援加速器，如Inferentia或GPU；最後是，一樣採用英特爾x86處理器的另一個2U型號，提供最高達128vCPU、256GiB記憶體和7.6TB的本地NVMe儲存。</p> <p>三款小尺寸Outposts伺服器需要的電力和網路連接性，都大幅減少，企業可在空間、電力或網路受限的空間，還有不需大運算容量時，來部署使用。</p> <p>Adam Selipsk強調，Outposts並不是提供一個類似於AWS環境的服務，而是AWS雲端地區本地端機房的延伸，他進一步說明，Outposts是由AWS管理、維護，提供相同於AWS環境的API、控制層和工具，以及使用相同於AWS雲端地區的硬體設備。</p> <p>通過Outposts伺服器，企業能在本地端使用如EC2、ECS、EKS、VPC等服務，而AWS會遠端通過企業網路連接Outposts，來管理基礎設施。例如美國股票交易所那斯達克也宣布在自家位於紐澤西州卡特雷特市（Carteret）的資料中心內，採用Outposts，建置首個單一企業使用的私人AWS Local Zone，以在邊緣端獲得超低延遲的運算支援力，處理對延遲性高度敏感的資本市場交易。</p> <p>不僅如此，AWS還要藉由5G技術，拓展雲端環境至更多的邊緣端。針對企業營運場景連網裝置數不斷增加的態勢，Adam Selipsky觀察，企業現比以往更加依賴高效能和可靠的網路連接，以工廠為例，要串聯機器人、生產線和工作人員手中的平板，來有效掌握生產線狀況，提高作業效率。</p> <p>隨著電信網路邁入5G世代，AWS還要藉由5G技術，拓展雲端環境至更多的邊緣端。這回AWS發布了企業專網服務Private 5G預覽版，企業可直接使用AWS提供的5G專網元件，包括小型基地臺、5G核心及RAN軟體，以及用戶身分認證模組（SIM卡），自建5G專網，並依使用量付費。</p> <p>此外，新服務也提供使用Outposts的本地部署選擇。Adam Selipsky表示，Private 5G創造新的聯網世界，雲端的邊界將拓展至全新的地點，像是5G專網這樣的私有領域。</p> <p>再加上已推出的衛星地面站服務Ground Station，透過衛星地面站接收衛星資料到AWS區域，進行處理，AWS現讓雲端服務的觸及範圍，從自家基礎設施延伸到企業機房、作業邊緣端，還有5G邊緣網路，再一路延伸到衛星，打破雲端邊界，來打造無所不在的雲端。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1056-cover2-600-1-2in1.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size:14px;">圖片來源／AWS</span><br /><strong>AWS原先以42U機櫃為最小單位，銷售Outposts，現正式推出1U和2U的Outposts伺服器，並降低設備對電力和網路連接性要求，可部署在空間、電力或網路受限的空間，像是工廠作業現場、醫院、零售商店等。</strong></span></p> <p><span style="font-size:28px;"><strong>AI布局：提升資料工作流處理效率，也降低ML使用門檻</strong></span></p> <p>數據現是企業推動創新的動力源，Adam Selipsky表示，通過數據分析，企業可了解現正發生的事情，而透過機器學習技術則能分析數據，預測未來，並將理解力整合進系統和應用程式。</p> <p>為簡化機器學習發展環境的建立工作，AWS在2017年推出全代管機器學習服務SageMaker，讓資料科學家和開發人員建構、訓練與部署機器學習模型，推出後，現已累計有150種功能。</p> <p>今年大會上，AWS再宣布7項SageMaker新功能和更新，聚焦兩大主軸，一個是，提升資料工作流程的處理效率，另一個是，降低機器學習使用門檻。Adam Selipsky提到，AWS了解企業數據是在一趟旅途上，旅途的每個站點都很重要，不能跳過任何一個，且每個環節都須有恰當的功能支援，他強調，AWS會繼續建構整個旅程需要的工具。</p> <p>這次AWS新增了多個SageMaker功能，就是為補齊ML工具鏈的完整度，像是在模型建構與演算法編寫環節，更新整合式開發環境Studio ，不同資料領域人員可在單一筆記本中，執行資料工程、分析和機器學習工作流程，也能存取EMR大數據資料，還有，新增Python編譯器功能Training Compiler，能夠自動編譯Python訓練程式碼，並生成模型專用的GPU核心，使訓練程式碼使用更少的記憶體和運算資源，加快模型的訓練速度。</p> <p>而為縮短大型機器學習模型的部署時間，AWS針對推論環節，推出了模型推論運算配置推薦工具Inference Recommender，會自動推薦適合的運算執行實例配置，協助用戶選擇執行實例，宣稱可縮短部署時間至數小時。</p> <p>AWS補強ML工具鏈完整性的同時，也深化SageMaker服務觸及ML工作管線的深度，提升ML技術重度使用者的服務黏著度。</p> <p>另一方面，AWS企圖消除ML技術的採用門檻，讓更多不具備資料科學經驗的人，更容易接近ML技術，甚至能快速上手。Adam Selipsky表示，數據旅程的下一個重點是，讓組織中的每個人都能採取行動，而這意味著他們要能夠找到、分析和理解數據。</p> <p>AWS這回推出了兩大降低ML技術採用門檻的SageMaker新功能，包含無程式碼ML工具Canvas和SageMaker Studio的免費精簡版Lab。通過Canvas視覺化介面，沒有任何機器學習經驗的企業業務分析師，可瀏覽及存取散布雲端或本地端的資料源，組合資料集來訓練模型，進而獲得預測數據。Adam Selipsky表示，Canvas能讓全新的用戶族群利用握有的數據，使用機器學習，來建立業務洞察力。</p> <p>此外，使用者可利用電子郵件帳號直接註冊Studio Lab，不需AWS帳號，就能免費使用最高15GB的CPU或GPU運作環境，來學習和試驗資料科學和ML工作，有興趣接觸ML的開發者、學術人員或資料科學家，可免費利用AWS資源嘗試和學習ML工作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965_SageMaker%20Studio%20Lab_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size:14px;">圖片來源／AWS</span><br /><strong>AWS發表SageMaker精簡版Studio Lab，開發者只需電子郵件帳號，就能免費註冊使用達15GB的CPU或GPU運作環境，在基於JupyterLab筆記本開發環境，匯入資料集，還有建立與執行Jupyter筆記本，以及複製Git儲存庫、安裝各種開源套件，並編輯程式碼檔案，來試驗ML工作。</strong></span></p> <p>或許這回re:Invent大會不若以往，有眾多嶄新的技術發布或創新產品，讓人為之驚艷，然而，今年眾多發布補足了算力、落地和AI布局過往的不足，使得各戰略布局的脈絡更加清晰浮現，凸顯哪怕是相對小的更新和功能，都可對AWS本身，還有用戶，實際產生不可忽視的效益，SageMaker Canvas就是一個例子，讓沒有資料科學經驗的人也可以使用ML。</p> <p>開場演講的最後，Adam Selipsky強調，過去15年，儘管AWS已在多個雲運算面向推進許多發展，但這只是開端，AWS目標讓他人藉由雲端技術，開闢自己的新道路，他表示，雲端已成為一場變革運動，提供重新構想事物的機會，以及提供實現轉型的途徑。</p> </div></div></div>
2021/12/20 07:00作者黃郁芸https://www.ithome.com.tw/news/148433
【AWS 2022新戰略1：雲服務無所不在，從地下延伸到天上】從核心區域機房擴及5G與衛星
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科幻影集Star Trek有段知名的台詞：「太空，人類的終極邊疆」，若以公有雲而言，最大服務範圍究竟可以到達多麼廣泛的地步？</p> <p>對於大多數人而言，可能會認為是下列這樣的形式：分散在全球各地的區域（Regions），以及這些地方所設置的可用區域（Availability Zone，AZ），往外是邊緣位置（Edge Location）；接著，是好幾種延伸方式，例如，從物聯網裝置或閘道設備來連接公有雲、由設在嚴酷環境的邊緣伺服器來連接公有雲，以及由整合機櫃或伺服器來連接公有雲。</p> <p><span style="font-size:28px;"><strong>歷經15年的發展，持續拓展雲端服務的服務邊界</strong></span></p> <p>在今年re:Invent大會期間，AWS新上任的執行長Adam Selipsky、公用運算資深副總裁Peter DeSantis、亞馬遜技術長Werner Vogels的主題演講，均以回顧AWS成立15週年作為開場。</p> <p>Werner Vogels則以此闡述整體擴張過程與涵蓋範圍。他表示，這一年以前，企業與IT創新受到很大的局限，因為所有的硬體設備大多都是各自獨立運作的，而AWS、雲端服務的出現，促使一切都轉變成可程式化的資源，能讓用戶僅需一個按鍵，就能得到運算、儲存、網路、負載平衡、資料庫，甚至是資料中心等級的資源，原本是實體的資源，在這之後也能以虛擬的、可程式化的形式來加以運用，而且用戶對於執行規模的掌控，不再只是透過採購更多、更大型的硬體設備，才能實現縱向擴展（Scale Up），也能根據需求的變化，以更簡便的方式縮減資源使用的規模。</p> <p>以EC2的運算服務發展而言，最初推出的執行個體服務m1，僅提供小、大、超大等三種運算容量選擇，用戶可操作的功能，也只有新建、啟動、終止這3項，到了2021年，AWS已推出近5百種執行個體服務，根據他們的估計，這一年來，每天啟動的執行個體高達6千萬個，是2019年的2倍，而這樣的營運與服務規模，顯然是傳統仰賴裸機部署，所難以想像與達成的。</p> <p>雖然AWS每天啟動執行個體數量相當龐大，處於高度成長的狀態，但他們仍面臨許多限制，像是地理位置、物理法則、網路連線，因此，需設法解決資料的就地處理、存取延遲與頻寬的不足，以及網路連線層面的挑戰。</p> <p>而回歸到實質營運上，2006年AWS只有一個區域的資料中心，也就是美國東部（維吉尼亞北部）區域，難以應付跨洲服務存取要求，且因為回應延遲度太高，之後幾年又陸續成立多個區域。</p> <p>為持續降低服務的延遲，AWS決定擴大布局，在全球各地成立區域資料中心，目前已設立26個區域、84個可用區域，橫跨七大洲，此外，他們還設置超過310個連接點（Points of Presence），不僅支援AWS的CDN服務CloudFront，也能涵蓋在雲端與邊緣設備執行的無伺服器服務Lambda，以及儲存服務S3。</p> <p>除此之外，AWS從2019年起，開始推動本地區域的設置，截至目前為止，已成立了14個本地區域。基本上，每一個AWS本地區域，都是AWS區域的延伸，舉例來說，第一個成立的洛杉磯本地區域，它的母區域就是美國西部（奧勒岡）區域。從2022年起，他們計畫陸續成立30個以上的本地區域，這些機房將會橫跨21個國家，並且分別坐落在全球30個以上的大都會地區。</p> <p>在2019年AWS，還特別再推出新的區域稱為Wavelength，主要是設置在電信業者的5G網路之上，讓用戶透過進駐電信商5G網路邊緣資料中心的AWS運算和儲存服務，存取母區域的各種AWS服務。目前全球已成立50個Wavelength區域，提供這類區域的電信商，包含：專攻美國用戶的Verizon、服務日本用戶的KDDI、以南韓為主的SK Telecom，以及針對歐洲用戶的Vodafone。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Everywhere%20Cloud-2%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAWS.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／AWS</span><br /><strong>AWS從自身建置的區域資料中心，逐步向外拓展多種形式的全代管軟硬體整合服務，可橫跨大都會、5G網路通訊區域、企業與組織內部網路、物聯網設備，以及嚴酷的環境。</strong></span></p> <p><span style="font-size:28px;"><strong>透過整合型設備的部署，公有雲服務也能延伸至企業內部環境使用</strong></span></p> <p>關於推動更多企業使用公有雲服務，過去多數公司有許多應用系統、資料儲存管理，以及資安等種種顧慮，對此，AWS在2018年底宣布要推出全代管的硬體整合設備Outposts，希望能讓企業用戶在自己的內部環境當中，使用這項設備的運算與儲存資源之餘，同時，也能連接AWS公有雲上的其他服務。</p> <p>相隔一年之後，AWS正式推出42U機櫃形式的Outposts，2020年發表機架伺服器形式的Outposts（有1U與2U等兩種尺寸的機箱可選），到了今年，這兩款整合設備正式宣布推出。</p> <p><span style="font-size:28px;"><strong>協助物聯網設備，甚至難以連網的環境，也能直接或間接存取公有雲</strong></span></p> <p>除了上述技術應用形式，隨著物聯網蓬勃發展，關於這類設備的雲端服務存取，在2015年，AWS發表IoT平臺，在2017年，推出讓設備執行相關功能的軟體平臺，名為GreenGrass，以及微控制器作業系統Amazon FreeRTOS，2018年陸續發表IoT系列功能，像是管理眾多設備、建立數位分身的IoTCore、讓IoT Greengrass設備連結其他應用系統的IoT Greengrass Connector。</p> <p>除了生活中常見或普遍設置的物聯網設備，針對工業生產製造領域的資料收集與機器學習處理需求，在2020年底，AWS發表Panorama、Monitron，透過兩種硬體解決方案，來因應製造業產線的應用，而這項創舉也屬於他們將雲端服務延伸到這個領域的重要戰略之一。</p> <p>針對更為嚴峻、甚至網路連線難以穩定運作的環境，AWS也特別開創了一些硬體強固型的設備與傳輸服務，以便支援各種IT應用。</p> <p>例如，他們在2015年推出了Import/Export Snowball解決方案，可運用資料遷移和邊緣運算裝置Snowball，傳輸大量資料；2016年11月，推出可處理100 TB資料的Snowball Edge裝置，以及名為Snowmobile的安全卡車搬移服務，可儲存 100 PB資料；到了2020年，AWS又發表一款類似外接硬碟的整合設備，名為Snowcone，可儲存8 TB資料（2021年額外提供14 TB容量的選擇）。</p> <p>對於整個地球而言，還有其他區域處於極端嚴峻的狀況，像是極地、深海、大氣層，AWS也能提供服務。在2018年11月，AWS發表Ground Station，讓用戶透過分散在全球的12座地面衛星天線接收站，控制衛星的日常操作，並將取自衛星的資料下載到AWS全球基礎架構。隔年5月，這套全代管的地面衛星接收站服務正式推出。</p> </div></div></div>
2021/12/20 07:00作者李宗翰https://www.ithome.com.tw/news/148434
【AWS 2022新戰略2：自己設計多種晶片，展現實質成效】兼具省錢與高效，創造雙贏局面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去，通用伺服器與加速運算平臺的市場供需，主要是由英特爾、AMD、Nvidia等處理器廠商，以及企業用戶所主導，隨著大型網站公司與雲端服務崛起之後，這些仰仗超大規模IT基礎架構來支撐自身業務的用戶，一躍成為市場需求的大宗，而上述運算平臺廠商除了持續推出與更新標準型產品，供應企業所需之餘，也默默推出大量客製型晶片產品（Custom Chip）。</p> <p>以英特爾提供雲端服務的伺服器級處理器為例，在2013年，客製型CPU僅占出貨總量的18％，到了2017年，已增長至一半，2018年又成長至55％。然而，即便廠商幫業者量身打造處理器，隨著自行設計運算平臺的門檻大幅降低，近年來，公有雲業者也以提供理想的每瓦運算效能、價格低廉的服務等旗幟，積極投入硬體晶片的自行設計，展現技術整合實力，最具知名度的例子，當數Google在2016年推出的Cloud TPU。</p> <p>而身為公有雲服務龍頭的AWS，他們的野心更大，前幾年陸續推出多款自己設計的運算晶片（AWS-Designed Chips），範圍涵蓋DPU/IPU、CPU、AI加速晶片，在今年re:Invent大會歡慶成立15週年之際，不只是推出Arm架構新一代處理器Graviton3、基於這款CPU的執行個體服務C7g，以及採用AI訓練加速晶片Trainium的執行個體服務Trn1開放預覽版測試，更重要的是，終於更完整透露這項重要工程的發展歷程，展現當前取得的成就，以及用戶與自身導入的成效，並明確表達這就是AWS回應全球2050淨零碳排要求的部分答案。</p> <p><span style="font-size:28px;"><strong>8年前開始發展自製晶片</strong></span></p> <p>談到AWS自製晶片，多數人都以為可溯及2018年11月底的re:Invent大會，因為他們以自己設計的Graviton處理器，推出EC2執行個體服務A1，僅說這是與硬體設計公司Annapurna Labs合作，而發展出Nitro System硬體卸載架構，並於2015年買下這家公司，共同開發出兩款ASIC晶片，將EC2所有系統功能100％卸載到當中執行（近期熱門的DPU也主打此種應用），幾年之後，這個團隊開始設計自製晶片，希望以更具成本效益的方式，支援橫向擴展規模的負載。</p> <p>不過，在今年的re:Invent大會，AWS Amazon EC2運算與網路服務副總裁David Brown大爆料，公開表示他們發展晶片的時間，比上述時間更早。</p> <p>他在回顧15年來AWS運算創新的演講特別提到：早在2013年、2014年，AWS發展第一張Nitro網路加速卡，就開始搭配他們設計的Arm架構Graviton處理器。</p> <p>這麼做的原因在於，他們想向世界證明Arm架構真的來到雲端服務世界，並且是以伺服器的形態，而不只是行動裝置，同時，想藉此照亮整個生態系統，確保用戶、應用程式開發者、開放原始碼軟體、作業系統，都開始轉移、支援Arm。David Brown表示，如今證明這樣的策略真的奏效，結果也令人驚艷。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-12-AWS%20Silicon-2%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAWS.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／AWS</span><br /><span style="color: rgb(105, 105, 105);"><strong>AWS設計晶片的過程，橫跨8年之久，以技術應用性質而言，這些晶片可區分成Nitro、機器學習、伺服器運算等三大領域。</strong></span></p> <p><span style="font-size:28px;"><strong>Arm架構Graviton大放異彩，二代晶片成多種服務與自身應用主力</strong></span></p> <p>以AWS供應給用戶的執行個體服務而言，在2019年12月初舉行的re:Invent大會，他們宣布基於新一代自製處理器Graviton2，推出3種應用定位、共6個的執行個體服務，包含：一般用途的M6g與M6gd，運算最佳化的C6g與C6gd、記憶體最佳化的R6g與R6gd，相較於旗下既有的x86架構執行個體服務，可提供高出4成的性價比效益；發展至今，AWS有12個執行個體採用Graviton2處理器，涵蓋多種應用類型：一般用途、運算最佳化、記憶體最佳化、網路強化、記憶體強化、暴量效能（burstable），以及新發表的儲存最佳化。</p> <p>而在公開表態採用Graviton處理器執行個體服務的用戶上，不只是成本錙銖必較的新創公司，就連大型企業也成為AWS自製晶片的活招牌，像是商業軟體廠商SAP、大型社群網站業者Twitter、推動一級方程式賽車的Formula One集團，都發布消息，表示既有的SaaS服務（SAP HANA Cloud）、平臺的部分功能（Twitter timelines）將移植到搭配Graviton2的執行個體，並看好採用Graviton3的執行個體，正在測試評估。</p> <p>在具體成效上，AWS也引用Twitter評語突顯Graviton的2代與3代差異。Twitter表示，若以採用Graviton2的執行個體C6g為基準，採用Graviton3的新執行個體C7g可獲得2到8成效能提升，高尾部延遲（tail latencies）減少35％。</p> <p>另一應用實例，是AWS的母公司：跨國電商亞馬遜，在2021年6月的年度商品促銷日Prime Day，啟用基於Graviton2的執行個體，支撐12個核心零售服務。</p> <p>在實際運用上，AWS特別提到，當時亞馬遜主網站的重要服務Datapath，移植到Graviton，運作在53,200臺C6g執行個體組成、跨三個區域的叢集。這項服務支援跨結構化二進化大型物件資料（BLOB）的查找、詢問、連接（join）。而經歷整個活動後，AWS表示，亞馬遜今年僅增加12.5％的單位運算能力（Normalized Instance，NI），以少於6千臺實體伺服器的規模（相當於該公司2020年網路星期一促銷用量），就撐住了所有的工作負載。</p> <p>值得注意的是，AWS對於Graviton2的使用，不只是對外提供高性價比的執行個體，讓用戶有更多選擇，例如，2020年9月推出暴量效能的T4g，2021年3月，發表另一款主打每GB記憶體最低成本的X2gd，他們也將本身營運的許多代管服務，都轉移到這個處理器平臺。</p> <p>以關聯式資料庫服務為例，2020年10月，RDS的三種資料庫引擎：MySQL、MariaDB、PostgreSQL，可搭配基於Graviton2的執行個體：M6g、R6g。到了2021年3月，Aurora的PostgreSQL相容版本與MySQL相容版本，也能搭配基於Graviton2的執行個體服務：R6g。</p> <p>就記憶體內資料庫服務而言，2020年8月，ElastiCache的資料庫引擎：Redis、Memcached，可用M6g與R6g；2021年11月，MemoryDB for Redis可搭基於Graviton2的執行個體服務：T4g。</p> <p>至於文件資料庫服務與圖學資料庫服務，從2021年11月起，DocumentDB與Neptune均可開始搭配T4與R6g。</p> <p>關於資料分析服務的部分，從2020年10月起，可承載多種大數據分析軟體的EMR能夠搭配M6g，另一款基於搜尋與分析軟體Elasticsearch的OpenSearch Service，則是在2021年6月起，可搭配C6g、M6g、R6g、R6gd。</p> <p>在運算類型服務上，2020年8月起，Elastic Kubernetes Service（EKS）用戶可將工作運作在Graviton2執行個體，如C6g、M6g、R6g。到了2021年9月，無伺服器運算服務Lambda用戶可選Arm處理器架構，由Graviton2來執行函式（functions）。同年11月，容器代管服務Amazon Elastic Container Service（ECS），針對容器應用的無伺服器服務Fargate，以及部署Java、.NET、PHP等網站服務的Elastic Beanstalk，此時也提供Arm運算架構（Graviton2）選項，或支援搭配Graviton2的執行個體服務。</p> <p>在儲存類型的雲端服務上，2020年7月起，FSx for Lustre這套檔案系統服務允許用戶從Graviton2的執行個體存取；在2021年11月底推出的FSx for OpenZFS，本身就是採用Graviton2處理器而成。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-12-AWS%20Silicon-4%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAWS.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／AWS</span><br /><span style="color: rgb(105, 105, 105);"><strong>在今年re:Invent大會上，AWS特別公開Graviton第一代與第二代的外觀，並揭露其製程與電晶體數量，至於最新發表的第三代，目前僅知電晶體數量高達550億個。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-12-AWS%20Silicon-3%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAWS.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／AWS</span><br /><strong>AWS推出Graviton2處理器之後，不只是設置更多搭配這款晶片的執行個體服務，其他代管多種雲端服務，也提供搭配Graviton2運算平臺的選擇。</strong></span></p> <p><span style="font-size:28px;"><strong>加速AI推論與訓練的晶片陸續出爐</strong></span></p> <p>除了越來越多的執行個體服務與代管服務採用AWS設計的Graviton系列處理器，可提供更經濟實惠的CPU運算能力，另一個用戶與AWS本身負擔日益繁重的硬體層面成本，則是AI加速運算資源，而AWS這幾年也陸續推出自己設計的晶片，以及搭配的執行個體服務。</p> <p>首先是AI推論加速晶片，在2019年12月，AWS基於他們設計的Inferentia晶片，發表用於AI推論加速的執行個體服務Inf1，用戶最多可搭配16個Inferentia晶片，使用100 Gbps網路頻寬，能提供超過2 PetaOps的推論效能。</p> <p>根據今年的re:Invent大會公布的資訊來看，在每個推論的成本上，Inf1節省幅度最多可達到77％。而在2020年11月，AWS也宣布，亞馬遜旗下的智慧型語音助理服務Alexa，將大部分原本基於GPU來進行機器學習推論的工作負載，遷移到Inf1，為此獲得30％成本節約，而所有環節的存取延遲也降低了25％。</p> <p>線上民宿網站Airbnb也採用了Inf1，根據他們的評估測試，相較於GPU類型的執行個體，在Inf1處理基於PyTorch而成的BERT模型，吞吐量可提升2倍。</p> <p>另一款AWS設計的AI加速晶片，是針對機器學習的訓練。在2020年re:Invent大會預告2021年將推出的AI訓練加速晶片Trainium，當時提到將發布搭配的執行個體服務，並能用於機器學習代管服務SageMaker當中。</p> <p>到了2021年re:Invent大會，AWS發布搭配Trainium的執行個體Trn1預覽版，他們強調Trn1針對深度學習的訓練處理提供最佳性價比，相較於款搭配Nvidia A100 GPU的P4d，成本節省40％。</p> <p>而就規格而言，每臺Trn1最多可搭配16個Trainium晶片，運用800 Gbps的網路頻寬。若需要擴展執行規模，開發者可建置EC2 UltraCluster叢集，可將機器學習的訓練擴展至1萬個以上的Trainium晶片，並以Pbps等級的網路頻寬連接FSx for Lustre檔案系統服務，提供超級電腦等級的效能（2.1 EFLOPS），若面臨最大型、最複雜的模型訓練處理作業，所需時間也能從數月減至數日。</p> <p><span style="font-size:28px;"><strong>破天荒跨入固態儲存領域，推出自己設計的SSD，可支撐資料庫負載</strong></span></p> <p>在今年的re:Invent大會， AWS公用運算資深副總裁Peter DeSantis提到，他們設計了固態硬碟，稱為Nitro SSD，並說明大量使用SSD的挑戰，以及決定自己發展SSD晶片的主要原因。</p> <p>簡而言之，快閃記憶體只能寫入一定次數，之後不能使用，這些作業都由快閃記憶體抽象轉譯層（FTL）來處理，──FTL是複雜的嵌入式軟體，負責快閃記憶體的邏輯位址與實體位址對應，以及正確讀取與寫入位置的對應，也透過平均抹寫技術（Wear Leveling），以便延長快閃記憶體的壽命。</p> <p>然而，每家SSD廠商的FTL實作均不同，而且單一廠商可能會在不同SSD機型採用各自的FTL實作，雖然它們有相同的API，在大部分狀況下，都表現得很稱職，但根據AWS多年來的使用經驗來看，每一款產品都有難以預測、獨特的行為，像是記憶體儲存空間回收（garbage collection）會在意外的時間中執行，從而導致I/O請求的回應延遲，諸如種種突發狀況，都讓雲端服務業者難以提供一致的存取效能，若要以上述無法掌控的儲存環境，來承擔資料庫這類需要維持一致延遲性的負載，也相當困難，但AWS本身與許多用戶都需要執行此種工作負載，如何確保效能一致？</p> <p>對此，AWS想出的方法是從他們採用的底層系統架構Nitro著手。因為之所以發展Nitro，就是希望透過這架構處理所有網路與儲存虛擬化的作業，減少變數和避免干擾用戶的工作負載，所以，他們決定自己發展SSD，當中搭載Annapurna Labs設計的Nitro晶片，裡面實作AWS設計的FTL，搭配的儲存媒體則來自多個快閃記憶體廠商。</p> <p>截至目前為止，他們已部署超過50萬臺的Nitro SSD。而在實際應用的執行個體服務上，AWS在本次re:Invent大會新推出的i4系列：Im4gn、Is4gen、I4i，也率先搭配Nitro SSD，相較於既有的儲存優化執行個體i3系列，i4系列的I/O延遲縮減60％，高尾部延遲降低幅度達75％，更利於執行資料庫工作負載。</p> <p>不過，更讓人驚訝的是，AWS並非最近才搭配Nitro SSD，Peter DeSantis表示，去年re:Invent預告、今年7月上線的EBS區塊儲存io2 Block Express磁碟區，就是採用Nitro SSD，這個儲存區可提供25.6萬IOPS效能與低於1毫秒的延遲。</p> <p>AWS也公布兩種資料庫與其搭配之後的存取效能變化。以PostgreSQL而言，相較於io1，搭配io2 Block Express吞吐量領先幅度達1.4倍，延遲低30％；若是SQL Server，io2 Block Express吞吐量比io1高4倍，延遲縮減83％，成效驚人。</p> <p>整體而言，AWS之所以要自己投入晶片的設計與發展，針對IT基礎架構I/O與運算需求，發展出Nitro System、Graviton，因應新興AI加速需求而設計出Inferentia、Trainium，到了能夠徹底解決儲存效能不一致的Nitro SSD，其動機與目的到了現在才終於真正揭曉。</p> <p>他們最主要的考量，顯然是提供更多用戶選擇、提升自身維運效率，最終則以降低用戶與自身的成本，彼此都受惠，形成雙贏局面，而這樣為了追求最佳化而堅持在關鍵零組件「重新造輪」的技術發展戰略，堪稱獨樹一格，也替整個IT產業開闢新局面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-12-AWS%20Silicon-7%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAWS.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／AWS</span><br /><span style="color: rgb(105, 105, 105);"><strong>在Nitro、Graviton、Inferentia、Trainium相繼推出之後，AWS今年突然宣布他們自己設計固態硬碟，名為Nitro SSD，當中實作出統一的FTL轉譯層軟體，相較於商用SSD產品，I/O延遲可縮減60％，提供一致的存取效能。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-12-AWS%20Silicon-6%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAWS.png" style="width: 300px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／AWS</span><br /><span style="color:#696969;"><strong>關於AI訓練加速的應用，AWS在2020年re:Invent大會預告將推出專屬晶片Trainium，一年後，他們宣布推出基於這款晶片的執行個體服務Trn1預覽版，預計2022年上半全面供應。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-2021-12-AWS%20Silicon-5%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAWS.png" style="width: 365px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／AWS</span><br /><span style="color:#696969;"><strong>在AI推論加速處理上，AWS設計出一款專屬晶片Inferentia，並以此設置了執行個體服務Inf1，於2020年正式推出。</strong></span></p> </div></div></div>
2021/12/20 07:00作者李宗翰https://www.ithome.com.tw/news/148435
【AWS 2022新戰略3：以SageMaker為核心，降低ML門檻擴大影響力】完善端到端資料戰略，AI工具鏈變成生態…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5年前發表的AI工具服務，逐漸成了AWS發展AI生態系的關鍵平臺。</p> <p>數據市場向來是公雲業者最激烈的戰場，這幾年的戰火更燒到AI市場的競爭。AWS早在2017年搶進了機器學習開發工具的競爭，推出機器訓練環境的全託管服務SageMaker，到了今年，這款工具類服務，不只發展出了一個完整的機器學習工具鏈，甚至向下串聯了AWS的各種基礎架構服務，資料服務，也向上整合了多種AI應用服務，AI垂直產業解決方案，AWS在2021年年度大會上，更完整揭露要邁向一個完整AI生態系平臺的大戰略。</p> <p>要了解AWS這個AI大戰略的全貌，不能單從AI產品更迭來看，而要從更大領域的資料產品面來觀察。</p> <p>AWS機器學習副總裁Swami Sivasubramanian在機器學習主題演講中指出，企業需要一套端到端的數據平臺，涵蓋儲存、存取、分析、視覺化到預測，甚至為了確保正確對象在適當時間存取資料，還需要針對每一款數據工具，實施資安和存取控管。</p> <p>他所提出的這個企業數據戰略，也是AWS在機器學習市場的戰略架構，甚至可以說，這個架構就是AWS規劃產品藍圖的骨架</p> <p><span style="font-size:28px;"><strong>AWS提出端到端的資料戰略</strong></span></p> <p>他就直言：「AWS的AI戰略就是要涵蓋企業從資料、分析到AI的完整旅程，來提供最完整的服務，還有一套涵蓋端到端的安全控管機制。」</p> <p>從12年前推出Amazon RDS開始，至今都朝這個目標邁進，推出超過上百項機器學習服務，目前已經超過150萬個用戶。</p> <p>從資料到AI的角度來看，AWS今年看似各自分散，眼花撩亂的新資料服務、資料湖新強化、ML工具翻新，都是為了強化這個端到端的資料戰略，包括兩大特色，一是補齊原有產品缺口，另一類則用來擴大既有產品布局。</p> <p>強化資料安全性缺口是今年AI產品發表的第一個亮點。AWS新任執行長Adam Selipsky親自發表的資料湖合規工具Lake Formation新功能，可以做到單欄或單筆等級（Row and Cell-level）的權限控管，可針對單一個欄或行，來設定不同角色的存取權限，Lake Formatio會依據這些權限，自動過濾資料湖對外提供的資料，針對獲得授權的使用者，提供他們所能存取的資料。</p> <p>Lake Formation新功能看似只是資料面新機制，但若回到端到端資料戰略，可以看到與另一個新產品的呼應。</p> <p>AWS另一款引起眾人注目的新發表是無程式碼ML工具SageMaker Canvas，這是可以用拖拉式操作，不用寫程式就能建立ML模型，從資料準備、模型建置、訓練到推論執行都能包辦。</p> <p>但將這麼方便的工具提供給更多人，讓他們更容易接觸原始資料，如何進行安全控管會成為企業採用最大考量。Lake Formation更精細的資料存取控管正補齊了SageMaker Canvas的安全性能力。這個從資料源頭進行精細資料權限控管的作法，可以一路套用到整個資料處理流程、機器學習開發流程。AWS就不用急著在各類數據工具上打造安全機制，從源頭端工具下手更有效率。</p> <p>兩個看似無關的新功能，彼此卻可以相互加乘和互補，這正是AWS背後有這樣一套端到端資料戰略的思考。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-AWS%20ML%E6%9E%B6%E6%A7%8B%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-AWS.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／AWS</span><br /><strong>AWS機器學習架構（AWS ML Stack），清楚呈現出AWS不同AI服務和布局的定位，中間ML層的SageMaker工具鏈是今年發表重點。</strong></span></p> <p><span style="font-size:28px;"><strong>AWS今年聚焦ML工具層推廣</strong></span></p> <p>Swami Sivasubramanian在演講中，揭露了更詳細的AWS機器學習架構（AWS ML Stack），清楚呈現出AWS不同AI服務和布局的定位，可以分為底層的各種ML框架和基礎架構，中間的ML工具層，以及最上層的AI應用層服務。</p> <p>底層ML框架和基礎架構包括了主流深度學習框架、各種雲端運算服務、GPU、FPGU等，這些是AWS擅長也持續演進的產品線。而ML工具層服務的目標是降低企業建置模型的門檻，以及擴大模型導入規模，核心產品就是2017年推出的SageMaker，逐漸發展成一套涵蓋了建置、訓練到部署的工具鏈服務。</p> <p>最上層AI應用層服務，則包括了兩大類，一類是通用型核心AI服務，如視覺辨識、語音AI、文字辨識等，另一類則是專門性AI應用服務，這是從商業需求來定義的AI服務，包括了個人化AI、內部搜尋、詐欺偵測，或是產業AI服務。</p> <p>AWS今年在最底層的基礎架構服務上，透過自行研發的晶片，也有不少的新進展，而上層的AI應用層，則是去年AWS年度大會的重點，垂直產業AI解決方案和特定商業需求的AI解方。</p> <p>今年AWS發表重點則回到中間的SageMaker工具鏈，過去幾年已經發展出了一整套ML開發工具組服務，後來也推出整合式開發工具SageMaker Studio，還進一步往資料預處理，例如資料標記服務發展。</p> <p>今年6項SageMaker新功能中，一方面推出了利用GPU來提高訓練速度的訓練編譯器，AWS宣稱可以提高50%訓練速度。而推論推薦引擎則可以自動向企業推薦可用的運算資源，來加快部署，另外還新推出了無伺服器推論服務，也能降低ML落地成推論服務的上線門檻。</p> <p>另一類SageMaker新功能則是用來降低機器學習使用門檻，除了無程式碼ML工具，原有標記服務Ground Truth推出可以讓企業自訂標記流程的Plus版，不用像過去只能用內建流程，等於只能用來標記AWS提供的資料用途。</p> <p>另外，SageMaker Studio 也推出了通用型筆記本，可以在單一筆記本中，直接存取使用AWS大數據平臺EMR的上執行的Spark、Hive和Presto，或是使用在Amazon S3上執行的資料湖，將資料工程、資料分析和機器學習的工作流程，整合到單一筆記本中，來進行機器學習模型建置，這是鎖定專業資料科學家和資料工程師的新工具。</p> <p>而另一項新推出的Canvas無碼ML工具，則瞄準三大類業務AI需求，從行銷類需求，如銷售預測，顧客生命週期價值預測，混合行銷，或是財務類需求，如信用風險評分、貸款遲繳預測、詐欺偵測，以及維運管理類，如庫存計畫和排程、交貨時間預測、預測性維護等，AWS想要將這三類需求的非技術人員，也變成了ML模型開發成員，來擴大自家ML工具鏈的影響範圍。</p> <p>最後還有一項AWS擴大AI產品影響力的關鍵工具，就是推出了SageMaker的免費精簡版Studio Lab。只要用一個電子郵件帳號就能註冊，15GB容量，也有一定可用的免費CPU或GPU運算資源可用，要來吸引更多人嘗試，甚至作為新手的練習之用。AWS還宣布每年提供1千萬美元的獎學金計畫，訓練2千位高中生和大學生的AI開發能力。</p> <p>回到AWS機器學習架構來看，中間工具層從商用級付費工具，進一步提供免費版工具，這是一個吸引更多人採用的推廣戰術，再加上無程式碼ML工具來拉攏非技術人員，拉近AWS自己的AI世界，隨著這些新手越來越依賴AI，也就會使用AWS上層AI應用和下層AI基礎架構，這正是AWS今年轉而全力擴大AI工具鏈的關鍵布局。</p> </div></div></div>
2021/12/20 07:00作者王宏仁https://www.ithome.com.tw/news/148436
【AWS 2022新戰略4：化永續口號為實質產品，碳足跡數據工具化】主打優化能效和減碳，永續發展納入新發展戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公有雲業者服務上看百萬家企業，資料中心為提供大規模運算資源，不可避免使用大量電力，特別是為讓動輒數千臺，甚至上萬臺伺服器持續運作，必須靠冷卻裝置消除熱能，而冷卻降溫耗電量驚人，所以雲端資料中心始終貼著吃電怪獸的標籤。</p> <p>過去，雲端業者多強調資料中心的電力使用效能（PUE）數值，盡可能提高能源使用效率，期望能以更少的能源服務更多使用者，爾後，面對氣候變遷情勢，永續發展議題浮上檯面，業者紛紛開始大量採購再生能源，甚至興建再生能源發電廠，不管是利用風力或是太陽能，來自行產生再生能源，就是要降低大量能源使用產生的碳排，甚至要實現營運零碳排。</p> <p>為推進永續發展的深度，展現自身實現淨零碳排的決心，AWS母公司亞馬遜已在2019年時，與關注全球氣候危機的Global Optimism組織，共同發起了《氣候宣言》（The Climate Pledge），目標在2040年實現營運淨零碳排。</p> <p>另外，亞馬遜也宣布將在2025年，實現100%使用再生能源驅動公司營運的目標。現階段，共打造了274個再生能源專案，分散全球多國，包含美國、德國、芬蘭、義大利、日本、澳洲等。</p> <p><span style="font-size:28px;"><strong>拓展再生能源使用量，並優化運算執行效率，減少能耗</strong></span></p> <p>去年，亞馬遜在re:Invent大會上，宣布再生能源使用量超過6,500兆瓦後，又宣布另一批3,600兆瓦的風能和太陽能專案，推升再生能源使用量達12,000兆瓦，今年大會上，再宣布增加18個遍布美國和歐洲的再生能源專案，共計會產生2千兆瓦能源，總計將使用超過12,000兆瓦的再生能源，繼續是全球最大的再生能源企業採購者。</p> <p>待日後所有專案都上線後，亞馬遜預計將減少1,370萬公噸的碳排放，AWS效用運算和應用程式資深副總裁Peter DeSantis表示，這相當於每年近3百萬輛美國汽車的碳排放量。</p> <p>為了能全天候使用再生能源發電廠的能源，不受日照時長、風力大小影響，Peter DeSantis更揭露亞馬遜已在兩處再生能源專案中，部署公用事業規模的能源儲存系統，即便沒有陽光和風，電力網全天都會有可用的能源，來發電。</p> <p>首批兩個公用事業規模的能源儲存系統，都是部署在太陽能發電廠專案中，分別是在美國加州因皮里爾谷和亞利桑那州，而兩處發電廠將在白天儲存太陽能，以便在沒有陽光時使用。Peter DeSantis表示，這兩項專案是亞馬遜實現24/7零碳能源負載的第一步。</p> <p>亞馬遜也透過採用AWS服務，來監控、管理專案，以持續優化可再生能源專案的輸出功率，確保最大化各發電廠產生的能源量。Peter DeSantis表示，各發電廠經優化，預計到2025年，可增加提供的能源量，會相當於建置全新的一座200兆瓦風電農場。</p> <p>AWS自身也不斷推進雲端永續性的發展，從資料中心設計，到營運效能追蹤，再到不斷推出更強大的運算技術，以提高服務的執行效率，還有減少能源消耗量。</p> <p>Peter DeSantis表示，自製晶片是提高服務效率最明顯的方式之一，Graviton是AWS最節能的通用型處理器，可提高多數工作負載6成的執行效率，而Trainium則是最節能的推論處理器。</p> <p>日前，AWS委託調研機構451 Research，針對歐洲300多家企業，進行了一項關於搬遷工作負載至AWS的碳排減量機會的調查，要顛覆外界對雲服務產生大量碳排，以及消耗大量能源的既定印象。</p> <p>調查結果顯示，在執行相同任務的情況下，相比傳統本地資料中心，在AWS執行應用程式可減少近8成的能源消耗量，而當AWS使用100%可再生能源供電，則可減少多達96%的碳排量。此外，與普通歐洲公司的運算資源相比，雲端伺服器的效能約高出3倍，而AWS的資料中心能源效率更高出5倍。</p> <p>相比傳統資料中心，AWS資料中心能實現更優異的能源消耗量，以及大幅減少碳排，也證明亞馬遜不斷擴大採用再生能源，以及AWS不斷優化機房設施及服務的軟硬體規格，雙軌並行推進永續經營，獲得階段性的成效。</p> <p>如今，永續發展更成為法遵議題，多國政府提出碳中和實現的目標期限，甚至要求企業提交產品碳排放的證明，而臺灣則是預告會將2050年淨零碳排納入《氣候變遷因應法》中，並要求特定產業企業需揭露永續量化指標。公有雲業者自己展開減碳計畫，已不夠，還需向用戶揭露服務的碳足跡相關資訊。</p> <p>今年大會上，AWS進一步宣布，將推出雲端服務碳足跡工具Customer Carbon Footprint Tool，跟進Google和微軟發布面向企業永續性工具的布局。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-sharedresponsibilitymodel-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-AWS.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／AWS</span><br /><strong>AWS提出了雲端永續性的責任分擔模型，劃分自身和企業各自需負擔責任，AWS會承擔雲端運算本身的永續性責任，而企業則需負責雲端運算資源使用，來實現永續發展的責任，確保選擇最有效率的技術和資源配置。</strong></span></p> <p><span style="font-size:28px;"><strong>發表雲服務碳足跡衡量工具</strong></span></p> <p>新工具除會顯示用戶當前使用的每一個服務的碳足跡，還會顯示隨著亞馬遜持續邁向淨零碳排目標，投入的永續性發展投資會如何降低用戶工作負載的碳強度，提供未來幾年服務產生的碳排預測值，協助企業實現自身的減碳目標。</p> <p>這是AWS將抽象的永續性口號，轉變為實際的產品功能的代表，然而，AWS沒有公開碳足跡的計算方法，且相比Google在發布該工具的同時，提供預覽版讓用戶試用，而微軟則是在10月中，正式推出碳足跡工具，AWS晚了一步。</p> <p>新碳足跡工具目前尚沒有產品介紹頁面，企業想要進一步了解新工具的細節資訊，以及碳足跡呈現的視覺化畫面，還要再等等，AWS預計明年初正式推出Carbon Footprint Tool。</p> <p>值得注意的是，亞馬遜更試圖劃分AWS與企業在雲端世界裡，面對永續發展議題，分別要肩負的責任。</p> <p>亞馬遜技術長Werner Vogels提出了雲端永續性的責任分擔模型，拉入企業用戶的角色，來與AWS共同承擔雲端永續性責任，並明確定訂AWS自身和企業各自需負擔的義務，他表示，AWS會承擔雲端運算本身的永續性（Sustainability of the cloud）責任，做水資源、電力使用優化的管理，並自行研發晶片，提高能源使用效率，而企業則需負責雲端運算資源使用，來實現永續發展（Sustainability in the cloud）的責任，確保選擇最有效率的技術。</p> <p>進一步看這個模型羅列的雙方責任項目，AWS需負責的雲端永續性面向，包含了廢料、資料中心、電力供應，以及冷卻機制、伺服器、水資源和建築材料，企業則需肩負使用雲端運算資源，產生的平臺部署與擴充、軟體應用設計、數據設計與使用，還有資料儲存和程式碼效率的永續性責任。</p> <p><span style="font-size:28px;"><strong>最佳實務框架加入永續性支柱，要改善用戶系統能耗與執行效率</strong></span></p> <p>另外，AWS在雲端架構最佳實務框架Well-Architected中，新增了永續性支柱。該框架提供在雲端設計和執行工作負載的關鍵概念、設計原則，以及架構最佳實踐，原涵蓋5項支柱：運作、安全性、可靠性、效能效率和成本優化。</p> <p>永續性現成第6項支柱，會通過一系列問題，讓企業雲端架構師評估工作負載的設計、架構和實作，是否符合永續發展目標。Werner Vogels表示，AWS會提供掌握到的應用架構的永續性最佳實踐，來建議企業如何建置永續應用程式，並會隨掌握到更多、更好的洞悉，持續更新永續性支柱。</p> <p>永續性支柱採6大設計原則，協助企業建置永續性應用程式，包括了解業務的永續影響性、建立永續目標、最大程度提高資源利用率，還有採用新的高效能硬體和軟體、使用託管服務，並且減少使用者使用應用需要的能源和資源。</p> <p>Werner Vogels也向企業提出了一項建議，若配置了資源，就要善用，不要閒置，讓資源無所事事，他再次提及他在2012年時，提出的「不要忘記關燈」概念，他說明，只需點擊按鈕就可擴充雲端資源，而使用同一個按鈕，也可以縮小資源量，他強調，規模化不僅是擴大規模，縮小規模同等重要，因為每一個未使用的資源，都是最環保的資源。</p> <p>亞馬遜和AWS為自身營運永續發展目標，投入了大量心力，不管是自建再生能源發電廠，擴大再生能源採用量，又或是研發晶片提升算力，提高雲端運算服務執行效率，現在，AWS更開始把永續成果，轉換成產品和功能，搶攻想蒐集碳足跡企業的用雲生意，具體化永續發展對於用戶的影響性，要讓永續性成為公有雲發展的新戰略。</p> </div></div></div>
2021/12/20 07:00作者黃郁芸https://www.ithome.com.tw/news/148437
AWS 2022新戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1056-feng_mian_gu_shi_1-open-960x420_kao_bei_.jpg?itok=HR7zaPq4" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公有雲服務問世15年，AWS也換成新任執行長來掌舵，儘管年度大會上，眾新產品和功能少了驚喜感，但新一代自研晶片、更小尺寸伺服器產品、無程式碼ML工具，正是補齊新戰略布局的關鍵</p> </div></div></div>
2021/12/20 07:00未署名https://www.ithome.com.tw/article/148439
硬體自主是公有雲擴張不可忽視的助力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當大家都不排斥上雲，公有雲業者本身的服務與功能的擴展，真的能充分滿足用戶的需求嗎？縱觀大型公有雲業者，AWS的發展策略真的是相當獨特，有時候會開風氣之先，推出其他業者當時尚未推出的服務與功能，有時卻等市場需求成熟才進場，坐收後發優勢，因此，每年定期於11月底、12月初舉行的全球用戶大會re:Invent，總是讓人期待他們發表的各種新服務與解決方案，而當中傳達的資訊，通常能作為這一年雲端服務技術創新的最佳註腳。</p> <p>在今年這場盛會中，AWS新任執行長Adam Selipsky、公用運算資深副總裁Peter DeSantis，以及Amazon.com技術長Werner Vogels，均提到他們推出的雲端服務改變了IT資源的運用方式，提供的執行個體服務多達475款，而且單以2021年來看，每天啟動的執行個體多達6千萬個，業界無人能及。</p> <p>AWS的服務目前能夠涵蓋的空間，也相當寬廣，不只是遍布全球7大洲，就連圍繞地球的衛星，也能透過地面接收站的整合代管服務，而能處於他們能夠協助與存取資料的範圍之內；對於企業與組織內部環境、部署在許多場所的物聯網設備與工業生產設備，以及溫濕度與壓力極端嚴酷的環境，AWS都提供適合的硬體整合設備與軟體平臺，使其就地執行運算與儲存的作業，並以直接或間接的方式使用他們的雲端服務。</p> <p>然而，除了如同其他公有雲業者，持續擴充與發展更多軟體功能與服務，更令所有人佩服的部分在於，AWS一方面大量採用英特爾、Nvidia、AMD的CPU與GPU運算平臺，成立了許多執行個體，提供不同用途的雲端服務，另一方面，也不忘尋求運算、儲存、網路的硬體晶片技術自主，使其能夠提供更經濟實惠的雲端服務，讓用戶擁有更多選擇之餘，似乎有意將自身支撐各種服務所需的運算平臺，逐漸轉移到自己設計的晶片上。</p> <p>事實上，這幾年以來，隨著AWS推出VMware Cloud on AWS，以及日益增多的Arm架構執行個體服務，甚至是今年初出現的高效能儲存Volume搭配，他們正一步步展露自己設計多款晶片的用意。</p> <p>以Nitro System架構／基礎架構卸載晶片為例，完全承擔了網路、儲存、安全加密、管理等層面的工作負載，而能使伺服器將這些節省下來的運算資源，提供給執行個體使用（賺更多錢），也使其能納入過去大家都認為不可能透過雲服務來提供大量用戶執行的系統平臺，如Mac電腦，但AWS在2020年底做到了，他們基於桌上型電腦Mac mini而推出Mac執行個體，一年後的現在，接續發表M1 Mac執行個體，顯然他們也同樣用Nitro來整合採用M1處理器的Mac mini。</p> <p>另一個成效卓著的例子，是AWS設計出Arm架構的Graviton處理器。第一代Graviton處推出之後，僅有A1執行個體搭配，起初看似聊備一格，但到了第二代（Graviton2）推出後，目前總共有5個執行個體搭配，而且，用戶還能在AWS的無伺服器運算、儲存、資料庫、資料分析等服務，選擇搭配Graviton 2處理器，獲得優於x86處理器的成本效益。</p> <p>而且，既然AWS鼓勵用戶多多採用搭配Graviton的執行個體，兼具夠用的效能，以及節省開支之效，想必AWS本身與Amazon.com也用得很開心吧。</p> <p>巧的是，今年re:Invent大會還真有一場演講的主題，就談Amazon.com如何將大型電商平臺遷移到Graviton2。目前這個工程還在進行中，但在6月舉行的年度商品促銷日Prime Day，已讓他們見識到它的能耐，這也意味著未來單是AWS或Amazon.com內部，可能有更多服務或單位採用，讓他們省下更多費用，而頂著金字招牌的兩個事業體，絕不會冒著丟臉的風險而貿然採用不堪用的硬體技術。</p> <p><a href="https://www.ithome.com.tw/article/148439" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1056-feng_mian_gu_shi_1-open-960x420_kao_bei_.jpg?itok=HR7zaPq4" style="width: 600px;" /></span></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF%E6%9C%8D%E5%8B%99-0">雲端服務</a></div><div class="field-item odd"><a href="/tags/aws">AWS</a></div><div class="field-item even"><a href="/tags/reinvent">re:Invent</a></div><div class="field-item odd"><a href="/tags/graviton">Graviton</a></div><div class="field-item even"><a href="/tags/inferentia">Inferentia</a></div><div class="field-item odd"><a href="/tags/trainium">Trainium</a></div><div class="field-item even"><a href="/tags/%E8%87%AA%E7%A0%94%E6%99%B6%E7%89%87">自研晶片</a></div><div class="field-item odd"><a href="/tags/outposts">Outposts</a></div><div class="field-item even"><a href="/tags/sagemaker">SageMaker</a></div><div class="field-item odd"><a href="/tags/ml">ML</a></div><div class="field-item even"><a href="/tags/%E6%A9%9F%E5%99%A8%E5%AD%B8%E7%BF%92">機器學習</a></div></div></div>
2021/12/20 07:00作者李宗翰https://www.ithome.com.tw/voice/148440
【資安週報】2021年12月13日至17日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個星期的資安新聞，最受到關注的話題，就是影響全球的Apache Log4j重大漏洞「Log4Shell」，這個漏洞在上週末被公布相關細節之後，大量攻擊接連出現，且Windows和Linux電腦都無法倖免於難，且Apache基金會發布的修補版本Log4j 2.15.0，二度傳出仍有能夠被利用的漏洞，其中一個已成為駭客用來發動攻擊的目標。</p> <p>Log4Shell的影響範圍究竟多廣？從蘋果iCloud、推特、微軟Minecraft，以及Valve遊戲平臺Steam等大型應用系統、雲端服務，到ElasticSearch資料庫，甚至是美國國家安全局的Ghidra逆向工程工具，都存在Log4Shell漏洞，但這項漏洞已經不只是對地球造成影響──美國太空總署（NASA）的火星探索直升機「機智號」故障，也傳出可能與這項漏洞有關。</p> <p>另一個也值得關注的，是網路威脅公司NSO Group與其推出的間諜軟體Pegasus，有研究人員解析iOS版Pegasus指出，這是他們看過最精密的武器之一，且攻擊者只需要知道對方的電話號碼或是Apple ID，就能發動相關攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/148332"><span style="color: rgb(0, 0, 0);">日誌框架系統Apache Log4j重大漏洞波及iCloud、Minecraft、Steam等大型應用系統，且已被用於攻擊行動</span></a></strong></h4> <p>甫被Apache修補的日誌框架系統Log4j漏洞「Log4Shell」（CVE-2021-44228），CVSS風險層級到到滿分10分，被資安專家稱為近10年來最嚴重的漏洞之一，Cloudflare執行長Matthew Price認為，是繼Heartbleed、ShellShock之後最為嚴重的漏洞。</p> <p>由於Log4j的JNDI功能可用於組態、記錄訊息，而包含於Apache Struts2、Apache Solr、Apache Druid等許多軟體專案中，有許多大型IT公司或應用系統都使用這款工具，例如蘋果iCloud、推特、微軟Minecraft，以及Valve遊戲平臺Steam等，再加上這個漏洞利用極為容易，已經出現相關攻擊行動。要利用這個漏洞究竟有多容易？研究人員Marcus Hutchins指出，採用這個日誌框架系統的遊戲Minecraft，攻擊者只需在聊天欄位發出訊息就有可能觸發。</p> <h4><strong><a href="https://businessinsights.bitdefender.com/technical-advisory-zero-day-critical-vulnerability-in-log4j2-exploited-in-the-wild"><span style="color: rgb(0, 0, 0);">勒索軟體Khonsari利用Log4Shell漏洞發動攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/5(17).png" style="width: 300px; height: 133px; float: right;" /></span></a></strong></h4> <p>自Apache Log4j重大漏洞CVE-2021-44228（Log4Shell）被公布以來，許多資安業者和研究人員發現，該漏洞已被用於對Linux主機下手，發動挖礦攻擊，或是拿來植入木馬程式。防毒業者BitDefender指出，他們觀察到針對Windows電腦而來的攻擊行動，勒索軟體Khonsari利用這個漏洞散布，使用AES 128 CBC演算法，加密受害電腦的使用者桌面、文件、圖片等資料夾。同時，他們也看到RAT木馬Orcus的攻擊行動。</p> <h4><strong><a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/"><span style="color: rgb(0, 0, 0);">非官方Minecraft伺服器的Log4Shell漏洞，被用於發動勒索軟體攻擊</span></a></strong></h4> <p>廣受玩家歡迎的電玩遊戲Mincraft，微軟繼日前證實Java版本受到Log4Shell漏洞影響後，他們於12月15日提出警告，表示勒索軟體Khonsari鎖定非官方架設的Minecraft伺服器下手，發送惡意訊息，來感染玩家的電腦。他們呼籲自行架設Minecraft伺服器的用戶，應儘速更新軟體；玩家也應該只連接到受信任的Minecraft伺服器。</p> <h4><strong><a href="https://thehackernews.com/2021/12/hackers-begin-exploiting-second-log4j.html"><span style="color: rgb(0, 0, 0);">Log4Shell衍生的漏洞遭到廣泛利用</span></a></strong></h4> <p>網路基礎設施業者Cloudflare指出，Log4Shell未修補完全而產生的第2個漏洞CVE-2021-45046，他們已經看到攻擊者積極利用這項漏洞，呼籲IT人員要儘速更新Log4j至2.16.0版。揭露這項漏洞的資安業者Praetorian指出，他們又在2.15.0版找到第3個漏洞，攻擊者可在特定情況下用於洩露資料，不過，該公司為了避免此漏洞遭到利用，並未透露更多細節。這個Log4j漏洞是否已於2.16.0版修補，目前仍不明朗。</p> <h4><strong><a href="https://blogs.juniper.net/en-us/threat-research/log4j-vulnerability-attackers-shift-focus-from-ldap-to-rmi"><span style="color: rgb(0, 0, 0);">鎖定Log4Shell漏洞的攻擊手法出現變化，駭客以RMI發動挖礦攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/Log4j_rmi_attack.png" style="width: 300px; height: 172px; float: right;" /></span></a></strong></h4> <p>利用Apache Log4j重大漏洞「Log4Shell」發動攻擊的態勢，已出現多種型態的手法，且國家級駭客也加入行列。不過，也有部分的攻擊者調整戰術，而讓IT人員更難以防範。資安業者Juniper Networks指出，他們看到部分利用Log4Shell的攻擊者，從原本使用LDAP的服務，改用遠端方法呼叫（RMI）的API來進行，亦有一些駭客是LDAP、RMI同時並用，最終目的是注入門羅幣挖礦程式。這些駭客改用RMI的原因，研究人員指出，主要是防守方和相關防護工具，聚焦於JNDI和LDAP監控，RMI可能會被忽略，若是受害電腦使用的JVM缺乏嚴略的管制政策，攻擊者有機會更容易發動RCE攻擊。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148425"><span style="color: rgb(0, 0, 0);">NASA探索火星的機智號故障，傳出疑似受到Log4Shell漏洞波及</span></a></strong></h4> <p>在全球造成嚴重災情的Log4Shell漏洞，傳出也可能波及到了外太空！根據The Register等媒體的報導，本月初美國太空總署（NASA）用來探索火星的機智號（Ingenuity）直升機，在第17次探勘任務中，發生飛行過程資料傳輸中斷的情況，再加上Apache在今年6月公開機智號使用Log4j的推文遭到刪除，外界懷疑本次任務出錯與Log4Shell有關。對此，NASA沒有正面回應，僅表示機智號系統正常，只是回傳的資訊不足導致任務沒有圓滿成功。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148373"><span style="color: rgb(0, 0, 0);">網路攻擊公司NSO Group有意出售或關閉間諜軟體Pegasus部門</span></a></strong></h4> <p>彭博社、金融時報、華爾街日報相繼引述消息人士的說法指出，最近成為眾矢之的的以色列網路攻擊公司NSO Group，因不堪外界壓力，有意出售整家公司，或關閉Pegasus間諜軟體部門，以從美國的實體名單解脫。金融時報指出，NSO Group在2019年市值約10億美元，被美國列為實體名單後，違約貸款近5億元。NSO Group拒絕回應上述報導。</p> <h4><a href="https://googleprojectzero.blogspot.com/2021/12/a-deep-dive-into-nso-zero-click.html"><span style="color: rgb(0, 0, 0);"><strong>間諜軟體Pegasus只需電話號碼就能入侵iPhone</strong></span></a></h4> <p>蘋果在9月<a href="https://www.ithome.com.tw/news/146698">修補名為Forcedentry的零時差漏洞CVE-2021-30860</a>，當時已遭NSO Group用來植入間諜程式Pegasus，這項漏洞存在於iMessage，但為何會如此難以察覺？Google威脅情報小組Project Zero取得間諜程式進行分析後發現，間諜軟體Pegasus只需電話號碼（或Apple ID），就有機會透過IMessage簡訊圖片引誘點選，進而入侵iPhone；再者，Pegasus在攻擊的過程中無需使用者操作，並使用假造的GIF檔案，來觸發iMessage內含的ImageIO程式庫漏洞。 </p> <h4><strong><a href="https://www.aircargonews.net/business/cyber-attack-victim-bounces-back/"><span style="color: rgb(0, 0, 0);">跨國物流業者漢宏遭到網路攻擊</span></a></strong></h4> <p>根據新聞網站Air Cargo的報導，跨國物流業者漢宏國際物流（Hellmann Worldwide Logistics）於12月9日發出公告，表示他們遭到網路攻擊，為了防範災害擴大，他們暫時切斷與資料中心的所有連結，對於營運造成重大影響。12月13日，漢宏再度更新公告內容，指出他們已經恢復基本的營運業務，但仍然不能確定是否有資料外洩的情況。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148328"><span style="color: rgb(0, 0, 0);">汽車大廠Volvo驚傳遭到入侵，研發資料外洩</span></a></strong></h4> <p>汽車產業遭到攻擊的現象，今年有數起事故發生。最近，瑞典汽車大廠Volvo也證實成為受害者，他們於12月10日發出公告，指出檔案資料庫遭到非法存取，少量研發資產被竊，且有可能對公司營運造成影響。根據資安新聞網站Bleeping Computer的報導，這起事故是Snatch勒索軟體駭客所為，他們亦公布少量從Volvo竊得的文件。</p> <h4><a href="https://finance.yahoo.com/news/crypto-exchange-ascendex-hacked-losses-105802631.html"><span style="color: rgb(0, 0, 0);"><strong>加密貨幣交易所AscendEX遭駭，損失7,700萬美元</strong></span></a></h4> <p>加密貨幣交易所AscendEX於12月12日公告，他們在12月11日發現，1個熱錢包出現未經授權的交易，該公司將未受影響的資產移轉到冷錢包因應。而這起事件的受害規模，區塊鏈資安業者PeckShield估計，AscentEX被盜走約7,700萬美元的加密貨幣，其中大多數為以太坊、幣安智能鏈，以及Polygon。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/kronos-ransomware-attack-may-cause-weeks-of-hr-solutions-downtime/"><span style="color: rgb(0, 0, 0);">人資管理解決方案業者Kronos遭勒索軟體攻擊，雲端服務用戶受到波及</span></a></strong></h4> <p>人資管理解決方案業者Kronos於12月13日表示，他們因12月11日遭遇勒索軟體攻擊，導致該公司透過私有雲建置的數種UKG解決方案無法使用，復原有可能需要數個星期。其中1個受影響的組織向資安新聞媒體Bleeping Computer透露，他們被迫改用試算表軟體和紙本，來因應人資系統停止運作的情況。</p> <h4><strong><a href="https://ics-cert.kaspersky.com/reports/2021/12/16/pseudomanuscrypt-a-mass-scale-spyware-attack-campaign/"><span style="color: rgb(0, 0, 0);">大規模間諜軟體PseudoManuscrypt攻擊鎖定工控系統而來<img alt="" src="https://s4.itho.me/sites/default/files/images/2112-pseudomanuscrypt-13-en.png" style="width: 300px; height: 154px; float: right;" /></span></a></strong></h4> <p>卡巴斯基指出，他們從2021年6月發現疑似鎖定工業控制系統（ICS）而來的間諜程式PseudoManuscrypt，自1月20日至11月10日，他們在全球195個國家、35,000臺電腦上攔截這個間諜程式的攻擊，攻擊目標為政府組織、軍工業、實驗室，其中，至少有7.2%受害電腦是ICS的一部分。這個間諜軟體具備Lazarus惡意程式Manuscrypt的特徵，但採用中國駭客組織APT41常用的KCP通訊協定，再加上攻擊者使用中文，駭客很有可能來自中國。</p> <h4><strong><a href="https://securelist.com/owowa-credential-stealer-and-remote-access/105219/"><span style="color: rgb(0, 0, 0);">竊密軟體入侵亞洲政府組織的Exchange伺服器</span></a></strong></h4> <p>卡巴斯基在調查Exchange伺服器可能存在的惡意程式時，意外發現可疑的IIS附加模組「Owowa」，一旦Exchange啟用了網頁收信介面Outlook Web Access（OWA），Owowa將會竊取使用者在OWA登入的帳密，並能讓遠端的攻擊者在伺服器底層執行命令。研究人員在馬來西亞、蒙古、印尼、菲律賓發現攻擊行動，受害者多為政府組織，此外，他們認為歐洲可能是下一波的攻擊目標。</p> <h4><a href="https://www.pentestpartners.com/security-blog/gumtree-leaking-your-data-and-not-really-listening/"><span style="color: rgb(0, 0, 0);"><strong>英國廣告網站Gumtree洩露廣告主個資<img alt="" src="https://s4.itho.me/sites/default/files/images/gtree1.png" style="width: 300px; height: 163px; float: right;" /></strong></span></a></h4> <p>滲透測試服務業者Pen Test Partners指出，他們發現英國知名廣告網站Gumtree，在HTML程式碼洩露賣家的個資，包含了電子郵件地址、郵遞區號、GPS位置，以及賣家的姓氏。研究人員指出，他只需要在瀏覽廣告網頁時按下F12，就能取得上述個資。這樣的情況，使得賣家在廣告裡拒絕透露上述資訊的配置形同虛設。此外，該公司指出，Gumtree專門提供給iOS設備的API，容易受到不安全的直接物件參照（IDOR）攻擊，而洩露賣家全名與更多個資。Gumtree獲報後已著手修復，但一度告知研究人員「得到回應就是一種獎勵」，企圖拒絕支付IDOR漏洞的懸賞獎金。</p> <h4><strong><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/noberus-blackcat-alphv-rust-ransomware"><span style="color: rgb(0, 0, 0);">Rust勒索軟體BlackCat透過遠端桌面軟體入侵受害電腦</span></a></strong></h4> <p>資安研究團隊MalwareHunterTeam於12月3日，向Bleeping Computer透露，<a href="https://www.bleepingcomputer.com/news/security/alphv-blackcat-this-years-most-sophisticated-ransomware/">他們在11月21日看到第一個以Rust程式語言製作，且被用於攻擊行動的勒索軟體BlackCat（亦稱Alphv、Noberus）</a>。賽門鐵克於12月16日揭露了更多細節，指出他們看到在11月3日就有相關的攻擊行動，迄今他們已經發現3種BlackCat的變種，並發現攻擊者入侵受害電腦的管道，是透過名為ConnectWise Connect的遠端桌面軟體。</p> <h4><strong><a href="https://www.trendmicro.com/content/dam/trendmicro/global/zh_tw/security-intelligence/threat-report/report/2022%20Predictions_TW_Final.pdf"><span style="color: rgb(0, 0, 0);">勒索軟體駭客將攻擊範圍擴及受害者的供應鏈，形成「4重勒索」</span></a></strong></h4> <p>趨勢科技發表2022年資安預測，提出3大觀察重點，首先是高科技製造業是勒索軟體駭客的頭號目標，駭客可能會發展「4重勒索」攻擊模式，不只加密檔案、外洩內部機密、發動DDoS攻擊，還會藉由供應鏈攻擊讓受害層面擴大；再者，供應鏈也是駭客著眼的攻擊目標，他們會針對開發者、企業配合的外部廠商下手。此外，民眾對於各式網路服務更加依賴，再加上共用密碼的情況相當普及，也使得攻擊者竊取個資的情況將會更為嚴重。</p> <h4> </h4> <h4><a href="https://www.cna.com.tw/news/asoc/202112140294.aspx"><span style="color:#000000;">臺北馬拉松跑者遭詐騙，列本週高風險賣場，警方證實中華民國路跑協會資料庫遭駭</span></a></h4> <p>165反詐騙諮詢公布本周解除分期<a href="https://165.npa.gov.tw/#/article/risk/285">高風險賣場名單</a>，包括：誠品書店、中華民國路跑協會、東森購物、資生堂、樂購蝦皮、老爺酒店與西堤牛排。值得關注的是，上周傳出的中華民國路跑協會、臺北馬拉松的相關詐騙案，根據中央社報導，警方在12月14日指出，已受理17件，經初步調查，發現有駭客使用境外IP位址入侵中華民國路跑協會網站資料庫，進而利用所盜取的會員資料進行詐騙。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.securityweek.com/sap-patches-log4shell-vulnerability-20-applications"><span style="color: rgb(0, 0, 0);">SAP修補20個應用程式的Log4Shell漏洞</span></a></strong></h4> <p>針對Log4j的重大漏洞「Log4Shell」，許多廠商已盤點旗下產品有那些受到影響。例如，根據資安業者Onapsis指出，截至12月14日，SAP已經確認旗下有32個應用程式受到Log4Shell波及，並對於其中20個發布修補程式，另外12個軟體的更新檔案正在製作中。但在Log4Shell漏洞之外，Onapsis也提醒用戶也要安裝SAP推出的例行修補，當中也修復數個重大漏洞。</p> <h4><strong><a href="https://www.rapid7.com/blog/post/2021/12/13/driver-based-attacks-past-and-present/"><span style="color: rgb(0, 0, 0);">Dell驅動程式修補不完全，恐被用於Windows核心層級的攻擊</span></a></strong></h4> <p>Dell於今年5月，修補DBUtil驅動程式存在長達9年的CVE-2021-21551，但最近資安業者Rapid7發現，該公司並未修補完全，僅是限縮管理者帳號的存取。研究人員指出，這樣的情況可讓攻擊者投放存在已知漏洞的驅動程式，在行動的過程裡提升權限，或是執行特定的程式碼，發動被稱為BYOVD（Bring Your Own Vulnerable Driver）的攻擊手法。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/bugs-in-billions-of-wifi-bluetooth-chips-allow-password-data-theft/"><span style="color: rgb(0, 0, 0);">研究人員發現影響數十億裝置的Wi-Fi漏洞<img alt="" src="https://s4.itho.me/sites/default/files/images/resource-sharing.jpg" style="width: 300px; height: 175px; float: right;" /></span></a></strong></h4> <p>達姆施塔特工業大學、布雷西亞大學、CNIT、安全行動網路實驗室聯手，揭露一系列的臭蟲，讓攻擊者可藉由裝置藍牙元件下手，操控Wi-Fi晶片的網路流量，以及竊取密碼等攻擊行為，影響採用Broadcom、Silicon Labs、Cypress晶片的數十億裝置。研究人員指出，智慧型手機等現代連網裝置的SoC，具備獨立的藍牙、Wi-Fi、LTE元件，但它們通常共享天線和無線頻譜等資源，而這些共享的資源就能讓攻擊者有可趁之機，跨晶片發動橫向的提升權限攻擊，執行任意程式碼、讀取記憶體內容，或是造成阻斷服務（DoS）。這些漏洞部分能透過韌體修補，有些則必須透過新的硬體才能處理。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-december-2021-patch-tuesday-fixes-6-zero-days-67-flaws/"><span style="color: rgb(0, 0, 0);">微軟發布例行修補，修補6個零時差漏洞</span></a></strong></h4> <p>微軟於12月14日發布Patch Tuesday例行修補，當中總共修補了6個已被公開的零時差漏洞，其中最受到注目的是CVE-2021-43890，這項漏洞與統一視窗平臺（UWP）的安裝程式（APPX、APPXBUNDLE檔案）有關，已被攻擊者用於散布惡意軟體Emotet、TrickBot、BazarLoader等。微軟指出，其他5個零時差漏洞尚未被用於攻擊行動。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148416"><span style="color: rgb(0, 0, 0);">聯想電腦管理軟體爆權限擴張漏洞，影響ThinkPad、Yoga系列產品</span></a></strong></h4> <p>資安業者NCC Group在聯想筆電的管理軟體Lenovo Vantage中、系統管理服務Lenovo System Interface Foundation中，發現可被用來提升攻擊者權限的漏洞。這些漏洞存在於上述軟體的IMController元件，影響該公司旗下ThinkPad與Yoga系列的產品。聯想獲報後已完成修補。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/dhs-announces-hack-dhs-bug-bounty-program-for-vetted-researchers/"><span style="color: rgb(0, 0, 0);">美國國土安全部宣布推出Hack DHS漏洞懸賞計畫</span></a></strong></h4> <p>為了找出潛在的漏洞以提升安全，美國國土安全部（DHS）於12月14日，宣布啟動名為Hack DHS的漏洞懸賞計畫，他們邀及網路安全專家參與以找出漏洞，然後進行修補，這項計畫將分3個階段執行，其目標是開發一種可供其他聯邦機構運用的模型，用來提升機構的網路安全。在Hack DHS計畫中，研究人員因找到的漏洞最多可獲得5千美元獎金。</p> <h4><strong><a href="https://www.cyberscoop.com/malvertising-dod-ron-wyden-adblockers/"><span style="color: rgb(0, 0, 0);">美國國防部全面部署防範惡意廣告威脅的措施</span></a></strong></h4> <p>根據美國國防部（DoD）12月13日發出的信件指出，美國國家安全局（NSA）、中央情報局（CIA）、聯邦調查局（FBI）等軍情單位（IC），國防資訊系統局（DISA）已採取一系列的防禦措施，來因應惡意廣告（Malvertising）所帶來的威脅。這些措施包含了網頁內容過濾器、Sharkseer人工智慧偵測工具，以及基於雲端的網際網路隔離系統（CBII）等。</p> <h4><strong><a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202112140001&dtable=News#"><span style="color: rgb(0, 0, 0);">針對國內近期多家證券期貨客戶遭冒名下單港股，金管會公布三大因應措施，並提醒民眾妥善保管密碼</span></a></strong></h4> <p>上月國內傳出券商用戶遭不明人士下單港股的情況，除了將成立SF-CERT，後續又有新的因應辦法，金管會在12月14日發布公告，將要求證券商與期貨商採取三大措施，簡單來說，包括：應於網路下單登入時採多因子認證方式的落實；密碼輸入錯誤次數達3次，應中斷連線的落實；對於帳號登入失敗的記錄，以及對登入異常的監控分析。<span style="color: rgb(255, 255, 255);">㊣</span></p> <h4><strong><a href="https://brave.com/privacy-updates/13-pool-party-side-channels/"><span style="color: rgb(0, 0, 0);">隱私瀏覽器Brave著手因應跨站洩露攻擊</span></a></strong></h4> <p>瀏覽器業者Brave於12月15日指出，新興跨來源攻擊手法「Pool-Party」日益嚴重，這種手法是攻擊者利用網站來操縱瀏覽器，從瀏覽器未分區的資源池來建立隱密的通道。對此，該業者預計在接下來的幾個星期內，提供相關的防護措施，並部署到用戶的瀏覽器上，同時，他們也與其他瀏覽器業者共同合作來解決這個問題。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148340"><span style="color: rgb(0, 0, 0);">Visual Studio Code加入能突顯不可見Unicode字元的機制，防範程式碼欺騙攻擊</span></a></strong></h4> <p>針對日益嚴重的Unicode字元濫用的攻擊行為，程式開發工具的業者也開始有所行動。例如，微軟在最近的Visual Studio Code（VS Code）1.63版更新中，加入了新功能Invisible Unicode highlighting，能突顯程式碼裡看不見的Unicode字元，而能夠提醒開發者疑似出現不尋常、易混淆的字元，有可能已經出現Unicode欺騙攻擊的現象。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/148380"><span style="color: rgb(0, 0, 0);">密碼管理服務LastPass成為獨立公司</span></a></strong></h4> <p>IT服務業者LogMeIn於14日宣布，有鑑於全球市場愈來愈重視密碼安全，他們準備讓旗下的密碼管理服務LastPass，成為獨立的公司來因應這樣的趨勢。LogMeIn表示，LastPass獨立之後，將會增加對客戶經驗、市場功能、工程的投資，以加速其密碼管理、單一簽入（SSO）與多因素認證（MFA）的研發。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/kali-linux-20214-released-with-9-new-tools-further-apple-m1-support/"><span style="color: rgb(0, 0, 0);">滲透測試工具Kali Linux強化Samba相容性，改善Arm裝置支援<img alt="" src="https://s4.itho.me/sites/default/files/images/banner-2021_4-release.jpg" style="width: 300px; height: 157px; float: right;" /></span></a></strong></h4> <p>美國資安業者Offensive Security近日發布Kali Linux 2021.4，新版本增加9項工具，並改良Samba的相容性，以便更容易執行相關的滲透測試工作。值得一提的是，對於搭載蘋果M1處理器的電腦，除了能透過Parallels虛擬化平臺執行，新版本因為導入了Linux Kernel 5.14版，而擁有對應的GPU元件，也能夠在VMware Fusion上運作。</p> </div></div></div>
2021/12/17 15:58作者周峻佑https://www.ithome.com.tw/news/148438
Fintech周報第204期：4家銀行採用區塊鏈技術打造遠匯交易重複性驗證平臺，預防企業到多家銀行重複結匯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">1211～1217</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融機構聯合實證 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 遠匯交易 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">4家銀行採用區塊鏈技術打造遠匯交易重複性驗證平臺，預防企業到多家銀行重複結匯</span></strong><br /><span style="vertical-align: top;">中國信託銀行、華南銀行、臺灣銀行與臺灣中小企業銀行聯手，進行跨金融機構創新實證，針對企業遠期外匯重複交易弊端的共同痛點，以區塊鏈技術打造臺幣遠匯交易重複性驗證平臺，近期揭露了最新實證結果。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">銀行業者在提供遠匯交易服務時，因彼此間缺少相互照會或資料比對的機制，所以面臨了企業客戶在多家銀行重複辦理結匯的共同痛點。為解決此問題，這4家銀行組成的聯合實證團隊，在今年1月開始建置跨金融機構臺幣遠匯交易重覆性驗證平臺，經過半年時間執行可行性評估，包括法令遵循評估、銀行作業流程規畫，及系統規畫與建置，並完成第一階段PoC專案。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">作法上，由參與實證的銀行組成聯盟鏈，當企業客戶向銀行申請遠匯交易服務時，銀行會加密上傳企業提供的交易資料到區塊鏈，資料內容包括了企業統編與發票號碼這2項資料。其次，平臺快速比對鏈上是否有相同遠匯交易記錄，一旦發現重複報送案件，則自動通知查詢銀行，讓銀行業者第一時間與重複報送的銀行，以電話或Email進行照會，來檢核是否發生重複交易的狀況。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">聯合實證團隊採用區塊鏈技術，來實現資料同步、不可竄改、去識別化等3項特性，確保企業客戶交易隱私同時，能讓跨銀行業者查核資料，預防重複結匯。不過，考量到去中心化的資訊架構，非由任一方統一儲存資料庫，所以，團隊採用跨銀行合作的系統架構，由臺灣網路認證公司提供區塊鏈技術解決方案，銀行成員則主要提供業務知識與測試情境。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">下一階段，實證團隊將進行落地營運試行的評估，納入更多功能並擴大實證範圍，來建立起銀行間完整風險聯防網路及相關營運規範。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 電子支付 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 國內外小額匯兌 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">臺灣電子支付用戶數突破1,500萬戶，2家業者國內外小額匯兌業務單月達數百萬元規模</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/04_%E9%87%91%E8%9E%8D%E7%AE%A1%E7%90%86%E5%A7%94%E5%93%A1%E6%9C%83_20170214(5).jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會近期公布電子支付機構業務最新數據，截至今年10月底，全臺有9家專營電子支付機構，以及20家兼營電子支付機構，電子支付帳戶總使用者人數達1,523萬人，其中，街口電子支付用戶最多，約有501萬人，占了電子支付市場總使用人數的三分之一，Line Pay Money則持續緊追在後，用戶人數約有434萬人。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，電子支付機構在當月代理收付實質交易款項金額約85.6億元；當月收受儲值款項金額約160.3億元；支付款項餘額約66.6億元。另一項因新版電子支付條例上路後，專營電子支付機構也能辦理的國內外小額匯兌業務，在今年10月統計中，電子支付機構當月辦理國內外小額匯兌金額約63.1億元，有2家電子支付機構表現最為亮眼，其中一家是Line Pay Money，單月辦理國內外小額匯兌金額約412萬元，另一家街口電子支付匯兌金額約214萬元。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融FIDO </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 試辦 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金融FIDO開發先採分散式作法，已有7組金融機構有意願建立金融FIDO自有體系</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會綜合規劃處處長胡則華近期揭露了金融行動身分識別標準化機制（簡稱金融FIDO）最新進展，由多家金控、銀行、保險公司、證券商及期貨商等共同組成的金融行動身分識別聯盟，已確定採用晶片金融卡，作為消費者開通金融FIDO的卡片。不過，第一階段，僅開放臨櫃實體身分核驗後取得的晶片金融卡，作為綁定之用，來確保是客戶本人。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">胡則華表示，在金融FIDO平臺開發上，有集中式或分散式2種作法。目前，金融FIDO先採取分散式開發，聯盟內部又稱之為自有體系，意思是金控旗下若有金融子公司，可自行建立金融FIDO自體系。她舉例，金控旗下有銀、保、證3種子公司，金控端可以設計一款金融服務App，供旗下3家子公司共用，同時，也可共用最終端的FIDO伺服器。不過，聯盟也規定，子公司各自的公私鑰的配對不能夠彼此交換，以確保同一金控底下銀保證的資料不能互相對接。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">胡則華更透露，金管會正在輔導7組金融機構準備的試辦案件，其中，大多是具備跨業種的金融機構有意願進行試辦。至於何時向金管會申請金融FIDO試辦，金管會將尊重業者安排的時程。<a href="https://www.ithome.com.tw/news/148324"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 行動支付 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Line Pay </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 我的會員卡 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">Line Pay在臺用戶突破千萬，更揭露會員卡整合服務上線近1年成果</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%20Line%20Pay_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Line%20Pay.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">行動支付品牌Line Pay近期宣布，截至今年11月底，在臺用戶數正式突破千萬戶，全臺平均每2.3人就有一人使用Line Pay作為行動支付工具。此外，Line Pay表示，全臺合作的支付據點已超過34萬處，更在今年雙11大型促銷活動，創下單日10億元的交易額，比去年同期成長超過1倍。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">另外，Line Pay揭露了去年底上線的會員卡整合新服務「我的會員卡」最新成果，目前整合了24家特定商家的虛擬會員卡，已有超過百萬用戶使用。其中，7-Eleven整合程度最高，用付款條碼完成一次掃瞄付款，可以同步完成支付、刷發票載具、Line Points點數折抵，以及商家會員平臺點數累積等功能。多數商家只提供商店會員點數累積。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 國泰金控 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 東南亞市場 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 技術輸出 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">國泰金控在台中設立資訊開發中心，將作為海外市場技術輸出總部</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">國泰金控近期宣布，在臺中烏日設立資訊開發中心（Cathay Development Center，CDC），未來，將作為國泰技術輸出海外的總部，主要支援東南亞各地據點。國泰金控台中資訊開發中心協理劉本傑表示，國泰資訊開發中心主要負責集團旗下銀行、壽險與產險在東南亞地區的數位發展及創新業務，將作為海外市場的資訊中心與技術輸出總部，支援各地市場打造數位化產品與中臺開發系統等。國泰金控也鎖定中、南部IT人才，開出超過60個職缺。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> NFT 技術平臺 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Palm NFT Studio </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">Palm NFT Studio獲微軟創投子公司投資，並正開發協助創作者更容易發行NFT的技術平臺</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">微軟旗下的創投子公司M12近期宣布，已將Palm NFT Studio納入自家的投資組合，主導了Palm約2,700萬美元的B輪增資。Palm NFT Studio創立於今年3月，其創辦人包括以太坊共同創辦人Joseph Lubin、電影製作人David Heyman，及藝術服務公司HENI Group創辦人Joe Hage，主要提供不可替代代幣（NFT）解決方案，以協助藝術家及創作者發行NFT，自己也發行了PALM代幣。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Palm NFT Studio表示，B輪增資的金額為2,700萬美元，這筆資金將用來擴大該公司的團隊，以支持該公司成為橫跨娛樂、藝術、遊戲與創意的轉型力量。目前Palm NFT Studio仍在積極開發其技術平臺，以讓創作者更容易於Palm網路上發表NFT。身兼Palm NFT Studio執行長的Dan Heyman指出，在未來的3年內，大多數的NFT都將免費釋出，而人們將看到NFT從獨家收藏成為大眾參與的轉變，而該公司將主導此一轉變。<a href="https://www.ithome.com.tw/news/148308"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt; vertical-align: top;">攝影／洪政偉；圖片來源／</span><span style="font-size: 14pt;">Line Pay</span><br /> 責任編輯／李靜宜<br /><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1</strong><strong style="vertical-align: top;">. </strong><strong>美國眾籌平臺Kickstarter打算將後端移至開源的去中心化金融平</strong>臺<br /><strong style="vertical-align: top;">2. </strong><strong>Facebook Messenger發布攤分付帳功能，首先會在美國地區試行</strong><br /><strong style="vertical-align: top;">3.</strong><strong style="vertical-align: top;"> </strong><strong>區塊鏈分析業者Chainalysis：今年NFT市場產值已達269億美元</strong><br /><strong style="vertical-align: top;">4. </strong><strong>Visa臺灣正在臺力推數據到行銷的一站式分析服務</strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年12月</strong></p> </div></div></div>
2021/12/17 18:13作者李靜宜https://www.ithome.com.tw/news/148446
Spotify買下播客技術平臺Whooshkaa
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.spotify.com/2021-12-16/spotify-is-building-on-megaphones-capabilities-with-the-acquisition-of-whooshkaa/" target="_blank">串流音訊龍頭業者Spotify周四（12/16）宣布</a>，已買下澳洲的播客技術平臺業者Whooshkaa，Whooshkaa提供了可輕易將廣播內容轉換成隨選播客的工具，很快就會把該技術整合到播客出版暨廣告平臺Megaphone上。</p> <p>Whooshkaa其實也是一個播客代管業者，但擁有獨特的技術，可直接將廣播轉成隨選的播客，而這也成為Spotify相中Whooshkaa的主因。</p> <p>近年來Spotify在原有的音樂串流服務之外，積極地發展播客服務，包括<a href="https://www.ithome.com.tw/news/137741" target="_blank">在去年5月</a>以1億美元獨家簽下知名的播客主持人Joe Rogan，同年7月開始<a href="https://www.ithome.com.tw/news/138962" target="_blank">支援影音播客</a>，11月<a href="https://www.ithome.com.tw/news/141059" target="_blank">買下播客出版暨廣告平臺Megaphone</a>，今年4月推出<a href="https://www.ithome.com.tw/news/144103" target="_blank">播客付費訂閱服務</a>，更於11月超越蘋果，<a href="https://www.ithome.com.tw/news/147523" target="_blank">成為美國最大播客平臺</a>。根據Spotify今年第三季的財報，該季該平臺上已提供320萬個播客內容。</p> <p>Spotify表示，把Whooshkaa的播客轉換技術整合到Megaphone之後，廣播公司將能輕易且快速地把既有的內容轉成隨選播客，一來將可擴大收聽用戶，而來也可增加廣告營收。目前Spotify平臺上的廣告主已有接近1/5參與播客的廣告服務。</p> </div></div></div>
2021/12/17 16:23作者陳曉莉https://www.ithome.com.tw/news/148441
Reddit提出IPO申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.redditinc.com/blog/reddit-announces-confidential-submission-of-draft-registration-statement-related-to-proposed-public-offering" target="_blank">新聞社交網站Reddit本周三（12/15）宣布</a>，已向美國證券交易委員會（SEC）提出首度公開發行股票（IPO）的秘密申請。</p> <p>Reddit成立於2005年，會員可張貼、評價及討論新聞，它如同臺灣PTT的看板，提供了各種內容分類。它在Alexa的全球流量排行榜上名列第二十名，美國流量排行榜則高居第七，僅次於Google、YouTube、Amazon、Yahoo、Facebook與Zoom，營收來源為廣告及無廣告的訂閱費用。</p> <p>Reddit所提出的IPO申請是秘密的，表示該公司的營運資訊要到上市前15天才會揭露，而且不必設定上市日期，好處是具備彈性，就算未能通過申請也不必揭露自家經營狀況，也不必擔心競爭對手得知該公司的未來規畫，缺點則是它的會計及法務費用高於傳統IPO，也少了更長的行銷期。</p> <p>其實外界早就揣測Reddit準備在今年公開發行股票，因為該公司在今年初延攬了首位的財務長Drew Vollero，而Vollero則為Snap在2017年首度公開發行股票的推手。《路透社》也曾在今年9月報導Reddit打算IPO的消息。</p> <p><a href="https://www.reuters.com/markets/us/reddit-files-us-ipo-2021-12-16/" target="_blank">根據《路透社》的報導</a>，Reddit今年2月的身價為60億美元，但今年8月募資的身價已達100億美元。</p> </div></div></div>
2021/12/17 16:38作者陳曉莉https://www.ithome.com.tw/news/148442
2021政府機關資安現況揭露，近年20起三級事件通報人為疏失是主因
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著2018年資通安全管理法施行，政府已核定納管機關資安責任等級，在今年2月，總共有7,706個，包括A級機關有90個，B級有372個，C級1,052個，其他多為D級機關，達5,380個，E級則有812個，若以特定非公務機關而言，也逐步納管，達427個。</p> <p>而資安通報制度發展相關現況，也是全民持續關注的焦點。對此，行政院資安處處長簡宏偉在一場活動中，公布近年重大資安事件，並強調落實資安的重要性。</p> <h3><strong>教育體系通報最多，人為操作、設定與網站設計疏失最常見</strong></h3> <p>關於政府機關近年的重大資安事件通報現況，在2020年有9件，2021年至今有11件，它們都是三級事件，最嚴重的四級事件則無。</p> <p>這些重大資安事件看似越來越多，是否可能令民眾無法信任？簡宏偉強調，從政府與聯防角度來看，隨著資安法的頒布施行，資安事件的通報，其實代表政府機關守法，以往發生資安事件並不會通報，但現在都能做到通報，這是好事。</p> <p>一旦有單位通報資安事件，就能通知相關領域業者，並協調相關部會去做聯合防禦，降低讓事件再擴大的可能性，因此，通報事件多並非壞事。這幾年以來，他也不斷強調資安事件通報的重要性。</p> <p>對於近期這些通報事件，是否有需要特別重視之處？簡宏偉指出，從事件根因來看，有15件都與人為疏失有關，突顯當中最大的問題，是在資安管理與落實面；只有2件是駭客入侵，包括機關主機遭植入勒索病毒，以及CI業務系統運作受影響；另外設備問題也包含在內，造成服務中斷，共有3件。</p> <p>對於人為疏失的狀況該如何理解，他舉例，為了做到實聯制，許多地方機關使用Google表單供民眾登記，卻因為表單權限的設定錯誤，導致民眾個人資料可公開瀏覽。</p> <p>還有那些人為疏失，造成資料外洩？</p> <p>舉例來說，地方政府表單試算表的權限設定錯誤，導致他人可公開檢索，也有廠商活動發布抽獎資訊，卻誤放連結，使民眾資料外洩；中央機關則有系統不當變更，導致包含民眾個資的資料外洩，估計有51筆資料遭異常存取。</p> <p>值得關注的是，教育體系的資安通報數量最多，例如：網站存在設計漏洞，遭外部使用者以不當的方式存取；承辦人未將敏感資料進行遮罩處理，就將包含個資的資料上傳至網站；來自國外異常連線以Wi-Fi 基地臺管理者帳號登入網頁，但該職員休假中，疑似因弱密碼遭識破而導致入侵。</p> <p>簡宏偉指出，這樣的資料外洩狀況，通常都是因為管理的問題，或是設定的問題，並不是高深的入侵活動。</p> <p>因此，資安管理與落實是現階段的重點，而這需要大家配合，例如，要求單位加強人員對於資料的保護，調整資安服務採購契約範本，讓機關據以要求廠商負起資安責任，並要求各單位預設禁止遠端存取，同時，要在網站建置時，就導入資安概念。</p> <p>由此可見，人為疏失的問題其實有多個面向。</p> <p>若從上述事件來分析，可以包含三大方面：首先，是人員操作不當的面向，誤將民眾個資寄出，或是誤放連結；第二，人員設定不當的面向，包括權限設定不當，系統不當變，以及敏感資料未進行遮罩保護；第三，網站設計漏洞的面向：存在程式漏洞等。</p> <p>此外，還有像是弱密碼的問題，這不僅是人員缺乏意識，在管理面與系統面，其實也都沒有做好防護所造成。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）三級事件通報多為人為疏失.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E4%B8%89%E7%B4%9A%E4%BA%8B%E4%BB%B6%E9%80%9A%E5%A0%B1%E5%A4%9A%E7%82%BA%E4%BA%BA%E7%82%BA%E7%96%8F%E5%A4%B1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2）三級事件通報多為人為疏失.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962%EF%BC%89%E4%B8%89%E7%B4%9A%E4%BA%8B%E4%BB%B6%E9%80%9A%E5%A0%B1%E5%A4%9A%E7%82%BA%E4%BA%BA%E7%82%BA%E7%96%8F%E5%A4%B1.jpg" style="width: 600px;" /></a></p> <blockquote><p>對於近年政府機關的重大資安事件通報，行政院資安處處長簡宏偉表示，多起三級事件都是起於人為疏失，今年並有許多來自教育體系的通報，但他也強調，機關守法通報是好事，才能聯防並降低事件擴大。</p> </blockquote> <h3><strong>弱密碼與遠端存取的盤點，再次顯現資安缺乏落實</strong></h3> <p>除了上述這些資安資安事件通報，簡宏偉也談到近年幾個資安事件經過深入調查之後，發現有許多管理的問題要解決，這也是為何政府推動資安落實，並一再要求各機關人員，以及供應商都要重視。</p> <p>以今年6、7月發現的事件為例，經調查之後發現，有多個機關郵件帳號遭到利用，寄送社交工程釣魚信，以及惡意程式垃圾郵件，原因是：提供網頁登入的郵件伺服器，並未限制外部存取，而且，有多達34個機關、190組郵件帳密可能被竊取，其中28個機關的143組帳密，竟然是透過郵件主旨回傳給攻擊者。</p> <p>而分析這些遭竊密碼組成後，又讓弱密碼這樣的常見問題浮上檯面。</p> <p>在他們進一步統計中，發現光是密碼與帳號相同狀況，就有33組，密碼是123的竟也有24組，密碼是123456的有14組。然而，落實強式密碼早已是老生常談的資安基礎，但顯然，用弱密碼的人仍無足夠意識，而負責管理的人也無警覺，而未採取更強力的管制。</p> <p>此外，有鑑於近年攻擊者從供應鏈端入侵的態勢，政府機關的確做了許多防護工作，但是，攻擊者從廠商的管道入侵的狀況，實在不能輕忽。</p> <p>例如，他們之前稽核時曾發現有個單位，在政府機關與廠商之間，具有一條存在多年的VPN連線，但是，隨著人員異動，竟導致長期無人管理，後來資安人員清查時更是發現，該連線帳號密碼是群組同仁共</p> <p>用。因此，機關與廠商在資安管理上都有很大的問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%963%EF%BC%89%E4%B8%89%E7%B4%9A%E4%BA%8B%E4%BB%B6%E9%80%9A%E5%A0%B1%E5%A4%9A%E7%82%BA%E4%BA%BA%E7%82%BA%E7%96%8F%E5%A4%B1.jpg" style="width: 600px;" /></p> <blockquote><p>資安管理是當今臺灣政府的重大挑戰，因為各機關仍不斷出現未能落實的狀況，例如，在一起機關電子郵件帳號遭利用的事件中，外洩的系統登入資訊大多都是採用弱密碼，而且密碼與帳號相同狀況的比例也很高。當然，個人的基本資安意識培養也很重要。</p> </blockquote> <h3><strong>社交工程郵件攻擊的威脅，同樣值得關注</strong></h3> <p>上述談了許多人為疏失的問題，還有一種介於人為疏失、但又相當難應對的威脅，就是社交工程郵件。</p> <p>簡宏偉在此演說中，也特別提到2020年520的攻擊概況，而這次事件就是政府體系遭遇多種社交工程郵件攻擊。</p> <p>特別的是，這次公布了更多細節，例如，這段期間政府體系其實遭遇了3波攻擊。</p> <p>第一波攻勢在5月18與19日，主要是針對國安體系，這些惡意釣魚郵件的主旨包括：「韓國瑜政治獻金證據」、「企業防疫紓困報名表」等；第二波則在5月19與20日，針對府院體系，郵件主旨是「請盡快填寫會議議程表」；第三波攻勢發生在5月19到23日，以及6月初，鎖定我國衛福體系，郵件主旨是「志工溫馨增集」等。</p> <p>對於這樣的威脅，除了人員要具備足夠的資安意識，不要一疏忽就中招，簡宏偉表示，政府也希望從源頭開始抵擋防範，否則一旦擴散出去再處理，將耗費太多時間與成本。</p> <p>對此，簡宏偉說明政府的防護策略，近年來不只從管理面著手，朝向資安落實來推動，在技術面上，也將朝向主動式防禦發展，目標是將防禦陣線往前推。</p> <p>另外，他也一再強調事件記錄保存與資源投入的重要性，否則僅是擋住攻擊、恢復系統，但若沒有辦法知道攻擊來自哪裡，或是恢復後又再被攻擊，等於事件沒有真正被處理與改善。</p> </div></div></div>
2021/12/17 15:01作者羅正漢https://www.ithome.com.tw/news/148431
【資安日報】2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>嚴重程度僅次於Heartbleed、ShellShock之重大漏洞Log4Shell，不光是利用相關漏洞的攻擊態勢加劇，還傳出有第2個（CVE-2021-45046）、第3個衍生漏洞！而且，漏洞的影響範圍可能還到了火星。值得留意的是，攻擊者已經開始進一步使用其他攻擊手法，例如，在攻擊流程改以針對JVM使用遠端方法呼叫（RMI）的管道發動攻擊，取代多數Log4Shell攻擊行動所鎖定的LDAP。</p> <p>除此之外，透過間諜軟體攻擊工業控制系統（ICS）的情況，有資安業者看到針對全球的大規模攻擊行動，駭客融合了北韓Lazarus和中國APT41的攻擊手法，而難以判斷攻擊者的身分。</p> <p>趨勢科技最近也發布了2022年的資安趨勢預測，當中特別提及，他們認為勒索軟體駭客將會發動4重勒索，不光加密及外洩檔案、DDoS攻擊，且會對受害組織的上下游進行供應鏈攻擊，以脅迫受害者付贖金，而相當值得留意。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://thehackernews.com/2021/12/hackers-begin-exploiting-second-log4j.html"><span style="color: rgb(0, 0, 0);">Log4Shell衍生的漏洞遭到廣泛利用</span></a></strong></h4> <p>網路基礎設施業者Cloudflare指出，Log4Shell未修補完全而產生的第2個漏洞CVE-2021-45046，他們已經看到攻擊者積極利用這項漏洞，呼籲IT人員要儘速更新Log4j至2.16.0版。揭露這項漏洞的資安業者Praetorian指出，他們又在2.15.0版找到第3個漏洞，攻擊者可在特定情況下用於洩露資料，不過，該公司為了避免此漏洞遭到利用，並未透露更多細節。這個Log4j漏洞是否已於2.16.0版修補，目前仍不明朗。</p> <h4><strong><a href="https://blogs.juniper.net/en-us/threat-research/log4j-vulnerability-attackers-shift-focus-from-ldap-to-rmi"><span style="color: rgb(0, 0, 0);">鎖定Log4Shell漏洞的攻擊手法出現變化，駭客以RMI發動挖礦攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/Log4j_rmi_attack.png" style="width: 300px; height: 172px; float: right;" /></span></a></strong></h4> <p>利用Apache Log4j重大漏洞「Log4Shell」發動攻擊的態勢，已出現多種型態的手法，且國家級駭客也加入行列。不過，也有部分的攻擊者調整戰術，而讓IT人員更難以防範。資安業者Juniper Networks指出，他們看到部分利用Log4Shell的攻擊者，從原本使用LDAP的服務，改用遠端方法呼叫（RMI）的API來進行，亦有一些駭客是LDAP、RMI同時並用，最終目的是注入門羅幣挖礦程式。這些駭客改用RMI的原因，研究人員指出，主要是防守方和相關防護工具，聚焦於JNDI和LDAP監控，RMI可能會被忽略，若是受害電腦使用的JVM缺乏嚴略的管制政策，攻擊者有機會更容易發動RCE攻擊。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148425"><span style="color: rgb(0, 0, 0);">NASA探索火星的機智號故障，傳出疑似受到Log4Shell漏洞波及</span></a></strong></h4> <p>在全球造成嚴重災情的Log4Shell漏洞，傳出也可能波及到了外太空！根據The Register等媒體的報導，本月初美國太空總署（NASA）用來探索火星的機智號（Ingenuity）直升機，在第17次探勘任務中，發生飛行過程資料傳輸中斷的情況，再加上Apache在今年6月公開機智號使用Log4j的推文遭到刪除，外界懷疑本次任務出錯與Log4Shell有關。對此，NASA沒有正面回應，僅表示機智號系統正常，只是回傳的資訊不足導致任務沒有圓滿成功。</p> <h4><strong><a href="https://ics-cert.kaspersky.com/reports/2021/12/16/pseudomanuscrypt-a-mass-scale-spyware-attack-campaign/"><span style="color: rgb(0, 0, 0);">大規模間諜軟體PseudoManuscrypt攻擊鎖定工控系統而來<img alt="" src="https://s4.itho.me/sites/default/files/images/2112-pseudomanuscrypt-13-en.png" style="width: 300px; height: 154px; float: right;" /></span></a></strong></h4> <p>卡巴斯基指出，他們從2021年6月發現疑似鎖定工業控制系統（ICS）而來的間諜程式PseudoManuscrypt，自1月20日至11月10日，他們在全球195個國家、35,000臺電腦上攔截這個間諜程式的攻擊，攻擊目標為政府組織、軍工業、實驗室，其中，至少有7.2%受害電腦是ICS的一部分。這個間諜軟體具備Lazarus惡意程式Manuscrypt的特徵，但採用中國駭客組織APT41常用的KCP通訊協定，再加上攻擊者使用中文，駭客很有可能來自中國。</p> <h4><strong><a href="https://www.trendmicro.com/en_us/research/21/l/collecting-in-the-dark-tropic-trooper-targets-transportation-and-government-organizations.html"><span style="color: rgb(0, 0, 0);">駭客組織Earth Centaur利用ProxyLogon漏洞入侵運輸業者<img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1-EarthCentaur.png" style="width: 300px; height: 164px; float: right;" /></span></a></strong></h4> <p>趨勢科技揭露自2020年7月開始，名為Earth Centaur（亦稱Tropic Trooper）的網路間諜發起攻擊行動，目標是運輸業有關的組織與政府機構。該組織透過易受攻擊的IIS與Exchange伺服器入侵組織（如利用ProxyLogon漏洞），並使用惡意程式載入器Nerapack來投放RAT木馬程式Quasar，攻擊者亦在攻擊行動中，企圖存取航班時刻表、財務規畫文件等組織內部資料，以及探測受害電腦的個人資料。研究人員指出，Earth Centaur精通紅隊演練的技巧，並依據攻擊目標使用各式後門，或是透過反向代理繞過資安系統的監控。</p> <h4><a href="https://blog.checkpoint.com/2021/12/16/phorpiex-botnet-is-back-with-a-new-twizt-hijacking-hundreds-of-crypto-transactions/"><span style="color: rgb(0, 0, 0);"><strong>殭屍網路Phorpiex變種挾持加密貨幣交易，得手近50萬美元</strong></span></a></h4> <p>資安業者Check Point發現名為Twizt的殭屍網路病毒，藉由名為Crypto Clipping的攻擊手法，自動透過作業系統剪貼簿的功能，將受害者的錢包網址替換成駭客的錢包，在最近1年內，至少有969筆交易遭到攔截，攻擊者得手3.64個比特幣、55.87個以太幣，以及價值5.5萬美元的ERC20代幣，價值接近50萬美元，受害者大多位於衣索比亞、奈及利亞、印度。研究人員指出，Twizt是自2016年出現的殭屍網路Phorpiex變種。</p> <h4><a href="https://www.pentestpartners.com/security-blog/gumtree-leaking-your-data-and-not-really-listening/"><span style="color: rgb(0, 0, 0);"><strong>英國廣告網站Gumtree洩露廣告主個資<img alt="" src="https://s4.itho.me/sites/default/files/images/gtree1.png" style="width: 300px; height: 163px; float: right;" /></strong></span></a></h4> <p>滲透測試服務業者Pen Test Partners指出，他們發現英國知名廣告網站Gumtree，在HTML程式碼洩露賣家的個資，包含了電子郵件地址、郵遞區號、GPS位置，以及賣家的姓氏。研究人員指出，他只需要在瀏覽廣告網頁時按下F12，就能取得上述個資。這樣的情況，使得賣家在廣告裡拒絕透露上述資訊的配置形同虛設。此外，該公司指出，Gumtree專門提供給iOS設備的API，容易受到不安全的直接物件參照（IDOR）攻擊，而洩露賣家全名與更多個資。Gumtree獲報後已著手修復，但一度告知研究人員「得到回應就是一種獎勵」，企圖拒絕支付IDOR漏洞的懸賞獎金。</p> <h4><strong><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/noberus-blackcat-alphv-rust-ransomware"><span style="color: rgb(0, 0, 0);">Rust勒索軟體BlackCat透過遠端桌面軟體入侵受害電腦</span></a></strong></h4> <p>資安研究團隊MalwareHunterTeam於12月3日，向Bleeping Computer透露，<a href="https://www.bleepingcomputer.com/news/security/alphv-blackcat-this-years-most-sophisticated-ransomware/">他們在11月21日看到第一個以Rust程式語言製作，且被用於攻擊行動的勒索軟體BlackCat（亦稱Alphv、Noberus）</a>。賽門鐵克於12月16日揭露了更多細節，指出他們看到在11月3日就有相關的攻擊行動，迄今他們已經發現3種BlackCat的變種，並發現攻擊者入侵受害電腦的管道，是透過名為ConnectWise Connect的遠端桌面軟體。</p> <h4><strong><a href="https://www.trendmicro.com/content/dam/trendmicro/global/zh_tw/security-intelligence/threat-report/report/2022%20Predictions_TW_Final.pdf"><span style="color: rgb(0, 0, 0);">勒索軟體駭客將攻擊範圍擴及受害者的供應鏈，形成「4重勒索」</span></a></strong></h4> <p>趨勢科技發表2022年資安預測，提出3大觀察重點，首先是高科技製造業是勒索軟體駭客的頭號目標，駭客可能會發展「4重勒索」攻擊模式，不只加密檔案、外洩內部機密、發動DDoS攻擊，還會藉由供應鏈攻擊讓受害層面擴大；再者，供應鏈也是駭客著眼的攻擊目標，他們會針對開發者、企業配合的外部廠商下手。此外，民眾對於各式網路服務更加依賴，再加上共用密碼的情況相當普及，也使得攻擊者竊取個資的情況將會更為嚴重。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.securityweek.com/sap-patches-log4shell-vulnerability-20-applications"><span style="color: rgb(0, 0, 0);">SAP修補20個應用程式的Log4Shell漏洞</span></a></strong></h4> <p>針對Log4j的重大漏洞「Log4Shell」，許多廠商已盤點旗下產品有那些受到影響。例如，根據資安業者Onapsis指出，截至12月14日，SAP已經確認旗下有32個應用程式受到Log4Shell波及，並對於其中20個發布修補程式，另外12個軟體的更新檔案正在製作中。但在Log4Shell漏洞之外，Onapsis也提醒用戶也要安裝SAP推出的例行修補，當中也修復數個重大漏洞。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148416"><span style="color: rgb(0, 0, 0);">聯想電腦管理軟體爆權限擴張漏洞，影響ThinkPad、Yoga系列產品</span></a></strong></h4> <p>資安業者NCC Group在聯想筆電的管理軟體Lenovo Vantage中、系統管理服務Lenovo System Interface Foundation中，發現可被用來提升攻擊者權限的漏洞。這些漏洞存在於上述軟體的IMController元件，影響該公司旗下ThinkPad與Yoga系列的產品。聯想獲報後已完成修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.cyberscoop.com/malvertising-dod-ron-wyden-adblockers/"><span style="color: rgb(0, 0, 0);">美國國防部全面部署防範惡意廣告威脅的措施</span></a></strong></h4> <p>根據美國國防部（DoD）12月13日發出的信件指出，美國國家安全局（NSA）、中央情報局（CIA）、聯邦調查局（FBI）等軍情單位（IC），國防資訊系統局（DISA）已採取一系列的防禦措施，來因應惡意廣告（Malvertising）所帶來的威脅。這些措施包含了網頁內容過濾器、Sharkseer人工智慧偵測工具，以及基於雲端的網際網路隔離系統（CBII）等。</p> <p><strong><a href="https://nicst.ey.gov.tw/Page/8770AD7511CB8DC9/9590697f-3908-487b-bd85-7120cfb1192e">資安處公布11月資安事件通報數91件，並公布9大事項要各機關注意</a></strong></p> <p><a href="https://nicst.ey.gov.tw/Page/8770AD7511CB8DC9/9590697f-3908-487b-bd85-7120cfb1192e"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-12-17_141353_%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%B6%B2%E8%B7%AF%E6%9C%88%E5%A0%B1.jpg" style="width: 280px; float: right;" /></a></p> <p>在12月15日，行政院資通安全處發布資通安全網路月報（110年11月），除指出本月資安事件通報數量為91件，當中也提到近期多項重要政策已施行，執行面需要各機關配合，包括：包括優先採購國內資安自主產品、落實原則禁止遠端連線，導入資安弱點通報（VANS）及端點偵測機制（EDR），以及參考最新版資訊服務採購契約範本，在今年12月底前將資安相關要求，納入契約規範等。<span style="color:#FFFFFF;">㊣</span></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/148380"><span style="color: rgb(0, 0, 0);">密碼管理服務LastPass成為獨立公司</span></a></strong></h4> <p>IT服務業者LogMeIn於14日宣布，有鑑於全球市場愈來愈重視密碼安全，他們準備讓旗下的密碼管理服務LastPass，成為獨立的公司來因應這樣的趨勢。LogMeIn表示，LastPass獨立之後，將會增加對客戶經驗、市場功能、工程的投資，以加速其密碼管理、單一簽入（SSO）與多因素認證（MFA）的研發。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/kali-linux-20214-released-with-9-new-tools-further-apple-m1-support/"><span style="color: rgb(0, 0, 0);">滲透測試工具Kali Linux強化Samba相容性，改善Arm裝置支援<img alt="" src="https://s4.itho.me/sites/default/files/images/banner-2021_4-release.jpg" style="width: 300px; height: 157px; float: right;" /></span></a></strong></h4> <p>美國資安業者Offensive Security近日發布Kali Linux 2021.4，新版本增加9項工具，並改良Samba的相容性，以便更容易執行相關的滲透測試工作。值得一提的是，對於搭載蘋果M1處理器的電腦，除了能透過Parallels虛擬化平臺執行，新版本因為導入了Linux Kernel 5.14版，而擁有對應的GPU元件，也能夠在VMware Fusion上運作。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148402">2021年12月16日</a></p> <p><a href="https://www.ithome.com.tw/news/148368">2021年12月15日</a></p> <p><a href="https://www.ithome.com.tw/news/148354">2021年12月14日</a></p> </div></div></div>
2021/12/17 13:31作者周峻佑https://www.ithome.com.tw/news/148426
巴克萊銀行將私有雲搬上HPE GreenLake
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.hpe.com/us/en/newsroom/press-release/2021/12/barclays-selects-hpe-greenlake-for-private-cloud-platform.html" target="_blank">HPE昨（16）日宣布</a>英國巴克萊銀行（Barclays）將把全球基礎架構搬上HPE GreenLake私有雲平臺，以執行10萬多項工作任務。</p> <p>在這項合約下，巴克萊銀行將把舊式系統搬上以HPE GreenLake邊緣到雲端（edge to cloud）平臺架構私有雲，以推動這家銀行的混合雲及數位轉型策略。未來架構在HPE GreenLake上的巴克萊全球私有雲將執行數千項應用，以及10萬多項任務，涵括虛擬桌機基礎架構（virtual desktop infrastructure，VDI）、SQL Server<em>資</em>料庫，以及Windows和Linux系統。</p> <p>由舊式系統搬到HPE GreenLake的工作，將由HPE Pointnext 服務部門和巴克萊合作。這私有雲的管理、安全修補、功能更新及最佳化也都由HPE負責。未來巴克萊只需依使用資源付費，一切採購、擴充、使用量、或安全控管設定都可由HPE GreenLake Central介面來操作。</p> <p>HPE GreenLake目前在50國有1,250家客戶，客戶合約價值57億美元。<a href="https://www.ithome.com.tw/news/146352" target="_blank">HPE 8月公布成立GreenLake銷售部門</a>，將Ezmeral容器管理、協同、IT自動化、AI產品、GreenLake Lighthouse零信任安全軟體以及相關軟體整合為一，強化以GreenLake為中心的雲端服務（as a service）業務。</p> <p>HPE的雲端業務將直接與<a href="https://www.ithome.com.tw/news/148306" target="_blank">由IBM分拆的IT服務商Kyndryl</a>競爭。10月Kyndryal與Google Cloud簽訂合作，將鎖定雲端資料分析、人工智慧應用、SAP搬上雲端等業務重點，也將推動金融業採用Google Cloud平臺的建置及維運。</p> </div></div></div>
2021/12/17 14:43作者林妍溱https://www.ithome.com.tw/news/148429
蘋果釋出Swift Playgrounds 4，可直接在iPad上打造並提交程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.apple.com/news/?id=v868vy6e&1639593362" target="_blank">蘋果本周三（12/15）正式釋出了Swift Playgrounds 4</a>，這是蘋果專為Swift程式語言所設計的學習及建置環境，最新的版本允許開發者直接於iPad上撰寫程式，並直接將程式提交至App Store Connect。</p> <p>Swift Playgrounds同時支援iPad與Mac，但過去只能在Mac上撰寫及提交程式，在iPad上的功能則是著重於學習。然而，Swift Playgrounds 4翻轉了此一情況，開發者不但能在iPad上建置程式，還能邊修改程式碼邊預覽程式，或是以全螢幕預覽，並直接提交程式，讓iPad搖身一變成為開發裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1217-Swift%20Playgrounds-4.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_蘋果</span></p> <p>此外，Swift Playgrounds 4也支援Swift Packages，它內含許多可重複使用的程式碼，以加速程式開發腳步。此一版本支援採用iPadOS 15.2或更新版本的iPad。</p> </div></div></div>
2021/12/17 14:49作者陳曉莉https://www.ithome.com.tw/news/148430
美國政府以侵害人權為由，將DJI等8家中國業者列入投資黑名單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/141789" target="_blank">美國商務部去年基於國安理由</a>，將大疆科技（DJI）等中國業者列入禁止科技輸入的實體清單。<a href="https://home.treasury.gov/news/press-releases/jy0538" target="_blank">本周美國財政部再將DJI等8家中國廠商加入投資黑名單</a>，理由是協助中國政府監控新疆地區維吾爾人。</p> <p>美國財政部外國資產控管制辦公室（Office of Foreign Assets Control）指出，這8家廠商協助開發生物辨識技術，支持中國政府對少數民族及宗教團體的監控，包括新疆自治區的維吾爾穆斯林，它們已被列入「非SDN-中國軍事綜合體企業（Non-SDN Chinese Military-Industrial Complex Companies (NS-CMIC)）清單。此舉將禁止美國人買賣與這些公司有關的證券或股票。</p> <p>美國政府指出，中國自2016年擴大對新疆維吾爾自治區的監控，包括設立警察監控哨、無所不在的監控攝影機、收集生物辨識資料以查證身份、侵入式監控網路使用，以及關押上百萬當地人民。美國政府指控這8家廠商提供科技或技術，協助中國政府執行侵害人權的監控行動。</p> <p><a href="https://home.treasury.gov/news/press-releases/jy0538" target="_blank">根據這項清單</a>，這8家廠商包括大疆科技、曠視科技（Megvii）、東方網力科技（NETPOSA）、立昂技術（LEON TECHNOLOGY）、曙光信息（Dawning Industry）、雲從科技（Cloudwalk）、依圖科技（Yitu）、美亞柏（Meiyo Pico）。</p> <p>這些業者都未公開回應。但<a href="https://www.theverge.com/2021/12/16/22839970/dji-chinese-military-industrial-complex-investment-blacklist" target="_blank">The Verge</a>引述DJI公司去年被列入實體清單時的聲明，指出DJI從未涉入任何實體清單指稱的作為，該公司向來致力於開發拯救性命造福社會的產品。</p> <p><a href="https://www.ithome.com.tw/news/148045" target="_blank">上個月美國商務部也公布最新實體清單</a>，禁止美國量子電腦技術輸出給8家廠商及學術機構。美國政府宣稱此舉是為了防範其量子技術被用於協助中國解放軍開發破解加密的量子電腦，以及不可被破解的加密技術等。</p> </div></div></div>
2021/12/17 14:05作者林妍溱https://www.ithome.com.tw/news/148427
Alphabet旗下打造智慧城市應用的Sidewalk Labs結束營運，相關產品將併入Google
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/sidewalk-talk/my-next-chapter-fighting-als-207ce7ca69c8" target="_blank">Alphabet旗下專門研發智慧城市的Sidewalk Labs本周宣布</a>，將結束公司，並將相關產品與技術轉移至Google。</p> <p><a href="https://www.ithome.com.tw/news/96723" target="_blank">Google在2015年成立Sidewalk Labs</a>，因<a href="https://www.ithome.com.tw/news/98007" target="_blank">Google組織重組</a>之故，Sidewalk Labs同年即成為Alphabet子公司，而Sidewalk Labs從創立以來一直由Daniel Doctoroff擔任執行長。</p> <p>Doctoroff表示，他的家族有遺傳性硬化症（ALS，漸凍人），而這兩年他也幾乎被確診為ALS，決定多留一些時間陪伴家人，以及投入他在2010年創立的Target ALS硬化症研究組織，因此將辭去Sidewalk Labs執行長一職，而Sidewalk Labs在他任內所建立的產品與服務，都將移轉至Google。</p> <p>Sidewalk Labs在2017年於加拿大發起Quayside專案，計畫於當地建立一個導入先進城市設計與數位技術的Quayside社區，該社區可能充斥著自動車、以創新的方式來收集垃圾、有全新設計的建築、特別的自行車道，還會架設數百個監視器，來偵測空氣品質或人們的移動。</p> <p>然而，Quayside專案卻受到當地居民的排斥，民眾拒絕成為數位實驗的白老鼠，批評眾多的監視器會讓該社區變成監控烏多邦，也擔心隱私問題，使得該專案的腹地從最初規畫的800英畝（323萬平方米）土地，大幅縮小至12英畝（4.8萬平方米），Sidewalk Labs則在去年5月，以受到COVID-19疫情影響為由，宣布放棄Quayside專案。</p> <p>不論Sidewalk Labs結束原因為何，該公司在這幾年所開發的產品及服務都將轉移至Google，包括<a href="https://www.sidewalklabs.com/insights/introducing-pebble-a-low-cost-way-to-manage-parking-and-curbs" target="_blank">停車管理產品Pebble</a>、<a href="https://www.sidewalklabs.com/products/mesa" target="_blank">大樓電力管理產品Mesa</a>、<a href="https://www.sidewalklabs.com/products/delve" target="_blank">房地產設計工具Delve</a>，以及<a href="https://www.sidewalklabs.com/products/affordable-electrification" target="_blank">家用電力管理產品Affordable Electrification</a>。</p> <p>上述產品或服務雖然將轉至Google，但仍將由Sidewalk Labs的城市產品總裁Prem Ramaswami與技術長Craig Nevill-Manning負責。</p> <p>此外，Sidewalk Labs原本計畫成立一家可製造大型木結構建築的<a href="https://www.sidewalklabs.com/products/mass-timber" target="_blank">自動化工廠Canopy Buildings</a>，此一任務則會交由Alphabet接棒。</p> </div></div></div>
2021/12/17 14:15作者陳曉莉https://www.ithome.com.tw/news/148428
NASA探索火星的機智號可能也被Log4Shell漏洞影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache Log4j漏洞已經影響地表上多數知名網站，甚至也可能影響到火星上。因為美國太空總署（NASA）用以探索火星的機智號（Ingenuity）直升機也使用了這項軟體。</p> <p><a href="https://www.theregister.com/2021/12/16/ingenuity_mars_helicopter_log4j_network/" target="_blank">The Register報導</a>，<a href="https://webcache.googleusercontent.com/search?q=cache:_Tc7UHqzsHAJ:https://twitter.com/theasf/status/1400875147163279374+&cd=1&hl=zh-TW&ct=clnk&gl=tw" target="_blank">今年6月Apache基金會宣布</a>機智號直升機使用了Log4j。不過<a href="https://twitter.com/TheASF/status/1400875147163279374" target="_blank">這則推文</a>現已被刪除。</p> <p>但在本月初機智號出任務時卻發生問題。機智號與地面探勘車毅力號（Perseverance）在12月5日的第17次火星探勘任務中，機智號飛行結束前資料傳輸發生不預期中斷。毅力號負責提供機智號與地球控制中心的通訊基地臺，以便將機智號收到的火星影像傳回給地球。透過毅力號隨後傳回的資料，<a href="https://www.nasa.gov/feature/jpl/nasa-s-ingenuity-mars-helicopter-reaches-a-total-of-30-minutes-aloft" target="_blank">NASA指出</a>機智號系統正常，但是提供的資訊太少，使NASA無法宣布任務圓滿成功。</p> <p>機智號事件和Log4j 2漏洞是否有關不得而知。</p> <p>所幸機智號健康情況良好。本月初這架直升機在火星以每秒5公尺的速度，離火星表面12公尺處飛行3,592公尺，全程歷時30分鐘48秒。</p> <p>上周Apache公布的Log4j 2 RCE漏洞（又稱Log4Shell）影響Amazon、Google Cloud、微軟、遊戲平臺Steam及推特等網路服務及眾多軟體。安全廠商已經偵測到該漏洞有駭客試圖掃瞄不幸的受害者，以植入殭屍網路程式、勒索軟體、挖礦軟體、木馬程式等，<a href="https://www.ithome.com.tw/news/148391" target="_blank">並且已有國家支持的駭客組織開始行動</a>。</p> <p><a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/#Minecraft" target="_blank">微軟證實由第三方廠商代管的Minecraft平臺，已經遭人開採感染勒索軟體Khonsari</a>。</p> <p>安全廠商並發現上周的Log4j 2.15.0版修補不全，而且還有至少1個以上的新漏洞可引發阻斷服務（Denial of Service，DoS）攻擊及資訊外洩。新漏洞被列為CVE-2021-45046。資安廠商呼籲企業用戶應立刻升級到周一釋出的2.16.0版。</p> </div></div></div>
2021/12/17 12:28作者林妍溱https://www.ithome.com.tw/news/148425
臺灣資安即國安戰略意涵大公開，推動資安不只是政府的事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，大家都在談論日益嚴峻的資安問題，當中有些是企業面臨的威脅，有些是個人面對的威脅，但，到底什麼是國家層級的資安威脅？這些資安層面又有何差異？</p> <p>有人質疑，為何資安要與國安掛勾？然而，他們可能不曾試圖瞭解背後關連與概念，或是常指責資安事件發生，但未站在不同角度思考如何幫忙，近日行政院資通安全處處長簡宏偉對此提出說明。</p> <p>透過相當淺顯易懂的表達方式，介紹基本的觀念與議題，簡宏偉希望能讓大眾對政府推動資安產生更大的認同，協助不熟悉資安領域的人，建立相關背景認知的輪廓，了解到資安不只是政府的事。事實上，政府的確要將該做的事做好，但產業與個人也要一起協力。</p> <h3><strong>政府對於資安事件與議題是如何解析？</strong></h3> <p>以國家層級資安威脅而言，一般人可能馬上聯想到的是，有他國政府扶植的網軍，透過跳板攻擊臺灣，但政府考量的角度只有這樣嗎？</p> <p>簡宏偉首先以GPS定位的普遍應用，舉例說明資安何以與國安有關。</p> <p>在2018年，有日本人感念臺灣對311的幫助，運用跑步與GPS定位，以及Google地圖時間軸，顯示愛臺灣的文字。但這樣的作法，也會讓敏感地區資訊被記錄，例如，民眾使用健身App記錄的地理資訊，其實就相當敏感──在國內，可以透過這樣的程式與數據，看到宜蘭監獄的巡邏路線圖，而國際上，則能看到中東衝突地區外國軍事基地營區。</p> <p>雖然這只是個人應用，GPS定位也僅是服務的一項功能，但從上述國防的角度來看，其實，不論是個人資料、資安、國家威脅，其實都相互關連。</p> <p>還有像是個人資料外洩，雖然看似只攸關個人，但政府也必須關注，因為從社會安全面而言，資料外洩可用於詐騙，而國家安全面，資料外洩也能被用來建立個人側寫（Profile）。</p> <p>簡宏偉指出，這也是為何臺灣2016年就主張資安即國安，隨著科技與威脅的演變，政府已充分體認三者是一脈相承。</p> <p>再從國際上發生的種種資安事件來看，有那些攸關國家安全議題？最明顯的例子，就是對能源、金融產業的攻擊，因為相關資安事件可能造成經濟崩潰，危害國家安全，但不僅如此，在2021年發生美國淨水廠遭駭，對方意圖將水中的氫氧化鈉濃度調高100倍，使添加物超過上限，這些也都是資安事件，影響的層面不只是社會安全、社會穩定，還包括人民生命財產，這也是近年許多國家都在強調關鍵基礎設施防護的原因。</p> <h3><strong>政府推動資安的挑戰：人力、資源與落實</strong></h3> <p>面對各式資安議題，政府在資安推動上，又是如何應對？</p> <p>簡宏偉表示，資安其實可以畫分三大層面，分別是國家層級的資安、政府與社會層級的資安，以及個人層級的資安。</p> <p>在此當中，個人的資安，對應到個人資料保護法；國家層級的資安，對應到國家安全法；而政府與社會的資安，就是資安管理法的範圍。這些是政府之前已經做的事。</p> <p>若更進一步、從國際資安戰略來看，簡宏偉指出，推動資安，並不是政府說了，就能做得好，需要與產業合作。</p> <p>以政府角度而言，除了做好法規治理，並特別重視關鍵基礎建設，同時，政府與業界也需要共同發力，帶動國內資安產業興起，並要讓所有產業都有資安。此外，包括提升產業資安意識，政府與產業合作，以及如何確保供應鏈安全，已是每個國家都再關切的議題。</p> <p>但是，這些工作都是逐步推動，並非一蹴可成，而人力與資源的面向，更是近年我們看到的最大挑戰。</p> <p>特別是人才不足的問題，簡宏偉指出，雖然國內有資通安全管理法，要求ABC級機關設資安長與專責人力，同時，對於國內產業，也將要求上市櫃公司依不同等級來設置，藉此推動產業對於資安治理與文化。</p> <p>因此，資安人才的需求端已經創造，但供給端的缺口很大，他強調，這不只是政府與民間在競爭，人才需求是全球競爭，因為，其他國家也會向我們挖角。因此，國內資安人才培育，需跨部會進行並與產業、社群合作。</p> <p>而且，除了國家與產業的面向，事實上，在每個面向中，都有本身的防護工作要推動。以個人來說，必須體認到個資保護的重要性，謹慎提供這些資訊。例如，今年調查局破獲房仲小白機的事件，對於一般民眾而言，除了責怪業者沒有妥善保護個資，也必須反思是否管好自己的個資，例如，在填寫線上或實體活動資料時，是否曾注意到個人資訊的去向，以及對方能否妥善保管、不外洩的狀況。</p> <p>而政府方面也有同樣的狀況，隨著資通安全法逐步推動，近年也將開始要求產業做好資安，而政府對於機關組織，也將從之前的逐步要求，進一步發展到逐步落實。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%AE-%EF%BC%88%E5%9C%961%EF%BC%89%E7%82%BA%E4%BD%95%E8%B3%87%E5%AE%89%E5%8D%B3%E5%9C%8B%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2_%E8%A3%81.jpg" style="width: 600px; height: 403px;" /></p> <blockquote><p>從國際資安戰略發展來看，政府本身除了從法規治理出發，並重視關鍵基礎建設安全，還要推動防禦、應變與復原，以及物聯網安全、產業資安環境與資安意識，但這些其實需要政府與產業的合作，才能有效進行，同時近年更聚焦於供應鏈安全與資安人才培育。</p> </blockquote> <p>另一方面，政府在資安推動上，從風險管理角度，資源分配與成本也是重要考量，這是各界往往忽略之處。</p> <p>簡宏偉表示，在他們資安稽核的經驗中，常看到許多機關單位為了節省經費，而將印表機的管理維運作業開放給廠商透過遠端來維護，但這就會帶來一定程度的資安風險。</p> <p>但他更要強調的是，資安並不是要無限上綱，通通做到百分百安全，在風險管理的考量因子中，其實包含了資源的分配。</p> <p>他用一個簡單易懂的例子，來說明這個考量原則，「不要用一千元去保護十元，但可以用一百元去保護一千元。」</p> <p>事實上，在每個層面其實會有不同的考量，例如，國家安全領域需要做到百分之百，這時「用一千元保護十元」，都是必要手段；但在政府與社會層面，考量的是風險管理，我們可以「用一千元保護一萬元」，但不要「用一千元保護一百元」。</p> <p>而且，從國家角度來看，要讓整體環境的安全防護提升，需要每個組織、企業自己都把資安做好。</p> <p>對此，簡宏偉提到木桶理論。這常被引用在資安領域，其概念是木桶的最大裝水量，取決於最短的一根木材，說明整體資安防護，要提升到一致的水準，因為木桶裝滿水的高度，就是這根短木板的長度，一旦超過，就會溢出。</p> <p>不僅如此，資安上還有種種考量，例如，當為了因應資安而做出種種限制，使得組織人員作業不方便時，往往會想出奇怪招式與對策，如同「生命自然會找到出路」道理。例如，在一些地方內部網路雖然嚴格禁止把資料送出去，但工作人員仍能用手機傳出去，因此，重點將是如何改善資安管理。</p> <h3><strong>資安落實與跨域聯防是近年政府資安推動主軸</strong></h3> <p>知己知彼，百戰不殆，想要做好資安，對於那些有意滲透、傷害我們的對手，不能不了解。</p> <p>而從資安攻擊的來源與動機來看，我們需知道：入侵者的型態有哪些？</p> <p>以最簡單的方式來看，簡宏偉指出，可區分為組織型與非組織型，而組織型又可細分為兩種：一種是有政治目的的網軍，像是Winnti等，一種是有經濟利益的駭客組織，像是Darkside、REvil等。</p> <p>為了讓大家更容易理解，若對比現實社會，組織型的網軍就像軍隊，組織型的駭客組織就像黑幫，非組織型的入侵者則像小偷。</p> <p>對於不同來源的威脅，基本上，政府主要聚焦在組織型的攻擊，會協助處理，而針對個人的威脅，政府也會關注，但我們自己同樣要做好防護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%AE-%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E7%82%BA%E4%BD%95%E8%B3%87%E5%AE%89%E5%8D%B3%E5%9C%8B%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2_%E8%A3%81.jpg" style="width: 600px;" /></p> <blockquote><p>關於資安攻擊的來源，主要分為三大類，包括組織型的網軍、組織型的駭客組織，以及非組織型的入侵者，政府主要聚焦的是組織型的攻擊，但同時也要推動產業與個人重視安全防護。（攝影／羅正漢）</p> </blockquote> <p>基本上，在面對組織型的攻擊時，政府會更花更多心力在國家級的攻擊層面。不過，面對真正的網路作戰部隊，其實各機關政府是擋不住的，因此防護策略是需要政府、國安體系聯手合作，才有辦法因應，但並不是要做到完全阻擋，而是希望要把衝擊降到最小。</p> <p>真的不容易抵擋資安威脅嗎？例如，年初發生、轟動全美的SolarWinds供應鏈攻擊事件，不只是震撼美國的政府和民間，全球資安領域也在關切原因與過程，而這家IT廠商從遭入侵到察覺受駭，時間長達一年三個月，溯源追蹤必須花上幾個禮拜，這也顯示國家級駭客組織攻擊的威脅之難防。</p> <p>因此，他也談到資安攻擊與防護的最大差異。基本上，發動攻擊時，對方只要在範圍中找到一小點的破洞，就能趁虛而入；但防守時，我們必須要確保整個範圍都沒有問題。而這其實相當難，所以資安防護才會強調縱深防禦，透過第二層、第三層防護來鞏固安全。</p> <p>只是，在機構與企業自身的防護之外，整體供應鏈與委外安全也是近年各界關注焦點，因此這也可以看出，資安防護的範圍越來越大。</p> <p>但實務上，更應注意的地方在於：許多的資安事件之所以發生，不一定是因為對方擁有高深的攻擊技術，而是身為目標的我們，在資安的層面存在著種種控管不落實的問題，例如：採用過時的作業系統，軟體漏洞沒修補，存在共用密碼的問題等。</p> <p>因此，近年政府在推動資安防護的策略上，我們常看到會所強調的重點，在於發展聯防體系，以及推動資安落實，來因應高級的威脅，以及減少低級的錯誤。</p> <p>整體而言，事實上，資安即國安的戰略報告內容，其實是很全面的說明資安上的挑戰，提出願景、目標與方針，並規畫推動策略，但對於一般民眾而言，這些專業領域的資訊不易吸收，加上資安本就是一環扣一環，許多觀念需要能先建立。</p> <p>儘管還有許多資安議題與面向可談，但從上述內容來看，已將整體資安概念的輪廓描繪出，讓大家在關注資安議題的同時，可以有較通盤且全面的角度去看待，讓大家對於資安的想像，不要只有局部的認知。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%AE-%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E7%82%BA%E4%BD%95%E8%B3%87%E5%AE%89%E5%8D%B3%E5%9C%8B%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2_%E8%A3%81.jpg" style="width: 600px;" /></p> <blockquote><p>關於資安攻擊的來源，主要分為三大類，包括組織型的網軍、組織型的駭客組織，以及非組織型的入侵者，政府主要聚焦的是組織型的攻擊，但同時也要推動產業與個人重視安全防護。（攝影／羅正漢）</p> </blockquote> </div></div></div>
2021/12/17 10:55作者羅正漢https://www.ithome.com.tw/news/148415
Martech雙周報第14期：Line Pay官方帳號如何精準發送訊息來提升用戶體驗？Line揭露兩大關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1126~1216)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line Pay官方帳號 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 精準訊息發送 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Line Pay官方帳號精準推播兩大關鍵，先量化訊息價值再鎖定相似受眾</span></strong></p> <p dir="ltr">Line在年底開發者大會中分享，如何透過量化Line Pay官方帳號訊息的價值，以及提升對用戶投放訊息的精準度，來改善Line Pay官方帳號的使用者體驗。</p> <p dir="ltr">Line Pay目前有那約4,800萬用戶為Line Pay官方帳號好友。Line金融資料科學團隊資料科學家Koya Sugimoto指出，在2019年8月前，Line Pay官方帳號的用戶，每月都會從Line Pay官方帳號收到超過30則訊息通知，像是功能更新或活動促銷等資訊。由於這些訊息大多對用戶無用，Line決定從兩個方向來展開訊息發送的優化。</p> <p dir="ltr">第一步先將官方帳號的訊息價值量化，來找出對用戶更有用的資訊，提高有用資訊的傳遞。Line先透過所有官方帳號訊息發送後，統計其訊息點擊率與官方帳號未封鎖率（Non-block rate）兩個指標，藉由用戶的點擊與封鎖反應，來衡量該則訊息的有用程度。然而，這遇到了一個問題，因為一天也可能發布2～3則訊息，在官方帳號未封鎖率的衡量上，較難用簡單的邏輯來找出每封訊息帶來的封鎖影響。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-12-13%20%E4%B8%8B%E5%8D%885_36_16.png" style="width: 700px;" /></p> <p dir="ltr">因此，Line將一個統計模型，應用到一段時間封鎖數量的時間序列資料中，並將其分別解構為，因訊息而封鎖、因其他原因而封鎖兩大類。</p> <p dir="ltr">Line首先分析用戶的封鎖行為，發現未發送訊息仍被封鎖的行為有其週期性，每週的統計數據相差無幾；而因訊息發送而被封鎖的行為，這類封鎖隨著訊息剛被發送出來數量會急遽增加，隨著時間久了增加幅度會趨緩，這個曲線同時符合累積的訊息點擊量，訊息發送後點擊率同樣會先大幅攀升再逐漸趨緩，且統計後發現，80%的用戶會在訊息發送後的6小時內點擊，20%則是超過6小時後點擊。</p> <p dir="ltr">有了這項數據後，Line也反過來用於封鎖率，將訊息發送後6小時內的封鎖行為，歸咎於無用訊息所致。接著，藉由週期性的封鎖、受訊息影響而封鎖這兩大數據，Line建立出能夠衡量每則訊息封鎖率的模型。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-12-15%20%E4%B8%8A%E5%8D%8810_33_49.png" style="width: 700px;" /></p> <p dir="ltr">至此，透過點擊率與未封鎖率，Line已經能找出更有用的訊息類型，比如特惠訊息、Line Pay新功能發布等，以及較無用的訊息，比如Line金融與家庭服務的推廣訊息，來減少無用訊息的發送。</p> <p dir="ltr">下一步，則是要透過更精準的訊息發送，改善Line Pay官方帳號的使用者體驗。Line為此採用了ML團隊開發的相似受眾瞄準方法，將種子用戶輸入，根據這群用戶使用Line服務的多元行為（Z Features），找出Line Pay官方帳號用戶中與這類用戶相似的受眾。</p> <p dir="ltr">Koya Sugimoto指出，這項任務的關鍵問題是，Line如何在減少訊息發送的同時，維持甚至增加新用戶的數量？</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-12-15%20%E4%B8%8A%E5%8D%8810_34_12.png" style="width: 700px;" /></p> <p dir="ltr">為了找出答案，Line採用了A/B測試方法。Koya Sugimoto舉例，在Line提供加密資產交易服務Bitmax這個訊息上，原本的行銷方法，是根據Bitmax用戶統計，瞄準30多歲男性白領階級用戶來發送訊息，然而，這個方式卻不太有效。因此，Line分別針對與Bitmax用戶高度相似的受眾，以及基於種子用戶特徵的相似受眾，來發送相關訊息，經過兩種方法的測試比較後，發現後者方法更加有效，只要發送與前者相比1/10的訊息量，就能達到前者獲客數的1/2。</p> <p>經過這項測試後，Line決定施行相似受眾瞄準的訊息發送策略，並開發了一套系統，讓規劃者能透過API，從內容管理系統（CMS）使用這項功能。當種子用戶名單被上傳到CMS之後，系統將會呼叫API來生成相似用戶的名單，由規劃者對這群受眾發送訊息。而種子名單則是會從企業產品中以SQL提取出來，再同樣以API上傳到CMS中。（<a data-reactroot="" data-token-index="1" href="https://www.youtube.com/watch?v=4AxGriBzYBQ" rel="noopener noreferrer" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 全家 </span></strong></span> </strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">3D導購廊道</span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛實整合 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">全家試驗3D導購廊道，要靠影像辨識、AI推薦與3D虛擬商品打造虛實整合的顧客體驗</span></strong></p> <p>全家便利商店忠孝光復店正在進行一項3D導購廊道POC驗證，目標要靠AI互動體驗達到如「櫥窗購物」（Window shopping）的攬客功效，透過螢幕進行更加個人化的互動推薦，將顧客導流到實體店消費，創造OMO、虛實整合的消費體驗。例如當行人路過廊道時，以AI即時辨識顧客服裝和年齡，來預測消費者偏好，並主動推薦適合的產品；在虛擬商品的呈現上，則能以螢幕呈現商品720度3D影像，讓顧客能透過觸控螢幕觀看商品細節，包括珠寶奢侈品、話題性公仔等不易於店內陳列的商品。同時，透過虛擬小幫手導覽及互動遊戲，也能提供顧客優惠券，將其導流至實體店舖購買，藉此打造差異化的導客策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image002(4).jpg" style="width: 611px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 特力集團 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 顧客數據分析 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 精準行銷 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">特力集團大力發展數據來了解消費者偏好，發展從精準行銷到熟客經營管理等加值應用</span></strong></p> <p dir="ltr">國內涵蓋特力屋、HOLA特力和樂等零售通路，且國外合作供應商超過4千家的特力集團（以下簡稱特力），這2年開始大力發展數據。特力2018年率先推動零售資訊系統數位轉型，建立營運中臺架構機制，將服務的概念與架構逐步拆出。當時，他們先延用既有的資料倉儲、資料市集與資料分析平臺，結合CRM進行精準行銷推薦，比如嘗試以數據化、科學化方式來推薦如枕頭、床墊等寢具商品，甚至在零售端與貿易端，都利用銷售資訊進行數據彙整分析，提供給供應商或自家商品的開發與採購單位，來了解各地區消費者偏好，進而設計產品。這正是特力運用數據加值後，發展出的新商業模式。</p> <p dir="ltr">去年，特力開始發展零售數據中臺，目的是結合線上數位軌跡與線下交易記錄，將客戶360度資訊彙整到數據中臺，今年上線的首個試行應用是熟客經營與管理。這也是特力展開零售端數據創新應用的第一步。（<a data-reactroot="" data-token-index="1" href="https://www.ithome.com.tw/people/148129" rel="noopener noreferrer" target="_blank">詳全文</a>）</p> <div> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 家樂福 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 顧客體驗 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">家樂福要靠臉書社群與數位工具，強化數位行銷、提升顧客體驗</span></strong></p> <p dir="ltr">家樂福在11月宣布與Meta達成合作，來強化員工及顧客更加個人化與連結性的體驗，臺灣家樂福也涵蓋在這次包括9個國家的策略合作中。這個合作橫跨許多家樂福內部溝通、員工體驗到顧客關係、數位廣告、數位化傳單、在地溝通與社交商務（social commerce）。</p> <p dir="ltr">在數位行銷方面，家樂福要透過WhatsApp與Messenger提供即時與個人化的用戶體驗。因應直播購物與新型態消費的興起，家樂福也要透過臉書的客製工具和新格式來開發電子目錄，並透過WhatsApp Business API進行數位推銷。兩家公司更在數據平臺Carrefour Links中，開發一個活動受眾定位與衡量功能，要透過該平臺集結零售媒體解決方案，來改善廣告活動的成效。（<a data-reactroot="" data-token-index="1" href="https://www.carrefour.com/en/actuality/partenariatmeta" rel="noopener noreferrer" target="_blank">詳全文</a>）</p> <div> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Linkedin </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 第一方資料 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> B2B行銷工具 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Linkedin正在開發基於用戶隱私的B2B數位行銷解決方案</span></strong></p> <p>Linkedin宣布要在兼顧企業用戶數據隱私的前提下，提供更多B2B行銷工具。比如說，Linkedin將利用自身的第一方數據，將相同專業身份屬性的企業分群，像是資歷或產業，讓用戶能跨管道接觸到目標受眾，但不需進行個人級別（individual-level）的跨網站追蹤。針對B2B行銷活動的衡量，Linkedin提出三大投資方向，其一，是利用AI來更準確的衡量成效轉換，其二，是將線下的轉換歸因，其三，則是改用第一方Cookie來統計成效轉換。</p> <p>Linkedin也提出另外三項擴大B2B行銷成效的發展方向，其一，持續測試多種方法，以擴大受眾的媒合，讓行銷人員可以利用在Linkedin上發布的內容來觸及第一方受眾；其二，是找出在用戶裝置上處理資料的方法，來更有效衡量活動轉換、瞄準目標受眾，同時確保個人隱私資料與第三方資料不會在平臺中分享；其三，則是建立聚焦隱私的活動ROI最佳化工具，來自動廣告優化活動，不僅要能蒐集有效轉換，更要能在跨通道的所有展示位置中，找出性價比高的版位。（<a data-reactroot="" data-token-index="1" href="https://www.linkedin.com/business/marketing/blog/measurement/how-were-helping-b2b-marketers-in-a-changing-privacy-landscape" rel="noopener noreferrer" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Snapchat </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 食物掃描 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相似商品推薦 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Snap相機一鍵掃描除了可查詢商品資訊、推薦相似單品，現在更能查詢食譜</span></strong></p> <p>社交媒體Snapchat加入了一項「<a href="https://newsroom.snap.com/food-scan" target="_blank">食物掃描（Food Scan）</a>」新功能，讓使用者在以此掃描一項食材後，能夠在Allrecipes平臺中找出這項食材製作的食譜，給使用者參考，掃描功能目前也經能識別上百種狗食、超過60萬種植物以及上百萬首歌與產品，只要掃描即可取得商品資訊。Snap今年5月的發佈更指出，若用戶以相機掃描朋友的服裝，Screenshop功能就能從數百種品牌中，進行相似商品的購物推薦。外媒Social Media Today則指出，相機掃描功能是Snap AR生態圈的一環，掃描功能未來可能促成另一個層次的AR連結，成為Snap產品中的重要元素。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Untitled_presentation__1_.jpeg" style="width: 700px;" /></p> </div> </div> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Martech動態 </span></strong></span></strong></p> <p><strong>1.Google、蘋果皆因用戶資料在義大利被罰1,000萬歐元（<a href="https://www.ithome.com.tw/news/148063" target="_blank">詳全文</a>）</strong></p> <p>責任編輯／翁芊儒</p> <p>圖片來源／Line、資策會、Snap</p> <p>資料來源：iThome整理，2021年12月</p> </div></div></div>
2021/12/17 11:14作者翁芊儒https://www.ithome.com.tw/news/148417
臺灣推動金融監理科技面臨4大挑戰，監理機關需促進技術的多樣化與創新才能有效管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不只金融機構運用金融科技來創新，科技巨頭也紛紛靠科技力量進軍金融體系，這促使了各國金融監理機關，也需用科技方案有效監理，才能因應金融科技帶來的創新風險。政治大學金融科技研究中心監理科技創新實驗室執行長臧正運，近日在一場論壇中，借鏡國外金融監理科技作法，進一步探討臺灣推動監理科技面臨的挑戰與成功要件。</p> <p>臧正運表示，金融機構、非金融機構、監理官、消費者、生態系的輔助者等，都是金融生態系的重要成員，其中，非金融機構又能細分，像是Fintech新創、巨型科技業者（Big Tech），以及如零售業者、醫療機構、科技系統製造商。他提到，每個成員會在金融生態系中運作與互動，都會受到科技變革、市場特性、法制監理等3大環境因子所帶來的影響。</p> <p>如巨型科技業者也帶來哪些金融科技監理挑戰呢？他引述國際清算銀行（BIS）旗下金融穩定研究所（FSI）在今年3月發布的一份報告，梳理了全球巨型科技業者包括Google、Apple、Facebook、Amazon、Alibaba等共11家科技巨頭，紛紛進軍銀行、信用供給、支付、保險、資產管理、群眾募資等金融領域。</p> <p>臧正運提到，巨型科技業者有4大特色，不只會匯集網路效應，也能成為數位市場中重要的守門員角色，一旦形成一套會員網絡，就有決定他人能否進入市場的權力，另外也擁有龐大群眾基礎和極為巨量的資料。</p> <p>所以，他觀察，當巨型科技業者踏進金融服務產業，就帶來了3種風險，第一種風險是，造成金融體系的動盪不安。再者，這些巨型科技業者挾帶通路優勢，可提供客戶貸款，甚至進行更有效率的徵信，久而久之削弱了傳統銀行的角色，這是第二種風險，科技業者排擠了既有金融業的生存空間，為市場帶來不公平的競爭。第三種風險是，巨型科技業者掌握了龐大資料，對於金融生態系成員來說，帶來資料運用上許多不可預測的問題。為此，國際上多家監理機關對巨型科技業者提出的監理議題，包括了資料隱私、消費者保護、洗錢防制。</p> <h3><span style="color:#0099ff;"><strong>全球多國正在發展數位監理申報機制，臺灣也開始推動但面臨4大挑戰</strong></span></h3> <p>反觀臺灣金融科技發展，近年因法規開放，帶來了法制監理環境的變遷。他舉例，比如，開放3家純網銀為金融業帶來新型物種，監理科技的運用帶來科技平臺的創新，雲端委外作業則影響了Fintech業者的發展，開放銀行影響了第三方服務業者，虛擬通貨平臺管理辦法則影響到傳統非金融體系以外的加密貨幣服務提供者。</p> <p>臧正運表示，在物種多元化、科技與環境變遷快速的狀況下，監理的主責機關就得有相應的作法。比如，在監理資源有限的狀況下，靠監理科技以利精準投入資源。甚至，他認為，隨著金融科技快速發展，政府應促進監理技術的多樣化與創新，來發展監理科技。</p> <p>不過，監理科技要多元化發展，他進一步指出，前提是必須提供監理官足夠的資料，才能進一步預測與判斷。目前，已有十多個國家，如澳洲審慎監理署、義大利央行、歐洲央行、英國金融行為監理總署、新加坡金融管理局等，都在推行數位監理申報機制，用數位化、自動化方式，由受監理機關以特定方式，將營運資料遞送給監理機關。臧正運提到，這些國家在數位監理申報的創新，包括了資料標準化、規則轉換、申報格式、申報資料的顆粒度、資料傳輸、資料可及性等場域。</p> <p>臺灣在發展數位監理申報機制的腳步也不落人後，為了因應3家純網銀的流動性風險管理，金管會委由中央存款保險公司開發一套純網銀監理系統，以API串接來蒐集純網銀的申報資料。在即時流動性警訊監控機制上，若發現有一筆存款交易超過10分鐘仍無法執行，或當跨行業務結算擔保專戶餘額不足等情況發生時，系統能自動偵測到異常並進行警示，第一時間通報監理機關。</p> <p>不過，臧正運梳理了數位監理申報系統的流程，歸納出臺灣發展監理科技時面臨的4項挑戰，一是目前的監理資源仍不足，再者監理文化也必須改變，他解釋，這套數位監理申報機制未來落實到所有銀行、證券業者，監理機關需要擁抱創新，來帶動監理機關內的職能與文化的變革。此外，第三項挑戰是監理官的監理責任如何有效分攤。如何評估監理科技方案帶來的監理效果則是最後一項。</p> <h3><span style="color:#0099ff;"><strong>資料治理是推動監理科技的關鍵</strong></span></h3> <p>借鏡國際經驗，臧正運提到，推動監理科技有4項成功要件。包括建構完善的問責制度，具備客觀衡量成效的標準，並充實監理資源的法治環境，「沒有監理資源的話，不可能期待監理官大力推動創新，」因此，這是第一項成功要件。此外，必須有來自監理機關與受監理機關高層的強力支持。第三項成功要件是，必須有文化的變革與創新，需建構資料驅動、勇於發展開放性實驗的文化，以及建立能夠推翻機關內傳統保守思維的文化創新。最後一項是需要形成資料策略並建立資料治理框架。</p> <p>他建議，可參考國際現有資料治理相關規範。比如，在資料分享上，澳洲立法訂定了消費者資料權的制度，或者新加坡金融管理局訂定了資料分析制度，以及科技風險治理框架。</p> <p>「監理科技是讓金融生態系永續發展最重要的根基，而資料治理則是監理科技能夠成功的關鍵。」臧正運表示，政府需重視幾項基礎工程，數位身分機制、推動機器可讀及可執行的數位監理系統、建立科技監理的公用設施以及消費者資料賦權機制的法制設計，還要從生態系的視角進行系統性的思考。</p> <p>更進一步，臧正運建議，未來，或許臺灣能夠建置一個巨型的科技監理平臺，彙整金管會與央行底下的單一申報平臺，中央存保公司針對純網銀建置的的即時流動性風險監控平臺，集保結算所針對票券公司建置的即時監控平臺，以及聯徵中心的信用資料，聯合信用卡中心的信用卡詐欺報告與偵測，還有法務部洗錢防制處與經濟部的洗錢防制可疑交易申報、實質受益人申報等，進行橫向、跨部會的運用，將會是金融生態系永續發展的根基。文⊙李靜宜</p> </div></div></div>
2021/12/17 11:42作者李靜宜https://www.ithome.com.tw/news/148376
Meta封鎖7家於該公司平臺從事監控的業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/wp-content/uploads/2021/12/Threat-Report-on-the-Surveillance-for-Hire-Industry.pdf" target="_blank">Meta於本周四（12/16）發布了《監控僱傭產業威脅報告》</a>（Threat Report on the Surveillance-for-Hire Industry），揭露各國組織如何透過該產業於網路上蒐集資訊與監控目標用戶，<a href="https://about.fb.com/news/2021/12/taking-action-against-surveillance-for-hire/" target="_blank">同時宣布已在臉書及Instagram平臺上封鎖7家提供相關服務的業者</a>，並通知5萬名遭到鎖定的用戶。</p> <p><a href="https://about.fb.com/news/2021/12/taking-action-against-surveillance-for-hire/" target="_blank">Meta說明</a>，監控僱傭（Surveillance-For-Hire）產業鎖定全球網路來蒐集資訊，並提供入侵軟體工具予那些原本不具備相關能力的組織，而且通常分三階段進行，從一開始的資訊蒐集，到與目標對象建立關係，一直到最後竊取目標對象的憑證或於其裝置上植入惡意軟體。</p> <p>這些受僱的網路傭兵會先透過網路上的所有資源，蒐集目標對象的資訊，包括社交媒體、部落格、維基百科、新聞、論壇或暗網；繼之企圖與目標對象建立連結並贏取信任；再伺機傳送網釣頁面以竊取目標對象的社交網站、電子郵件、金融服務或企業的憑證，也會傳送惡意連結企圖於目標對象的裝置上植入惡意程式。</p> <p>遭到Meta封鎖的7家業者中有4家來自以色列，包括Cobwebs Technologies、Cognyte、Black Cube與Bluehawk CI，還有來自印度的BellTroX，北馬其頓的Cytrox，以及另一家不確定名稱的中國公司。</p> <p>Meta移除了上述業者於臉書及Instagram上所建立的1,500個帳號，也通知了遭到這些業者鎖定、散布在逾100個國家的5萬名用戶。</p> <p>Meta指出，在該公司平臺上進行監控已違反社群守則及服務條款，除了移除相關帳號之外，也封鎖其網路基礎設施，發出停止及終止（cease and desist）信件，亦已與資安社群、其它平臺及政府官員分享其研究結果，以提醒它們採取適當行動。</p> </div></div></div>
2021/12/17 11:48作者陳曉莉https://www.ithome.com.tw/news/148421
聯想電腦管理軟體爆權限擴張漏洞，影響ThinkPad、Yoga系列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.lenovo.com/cy/en/product_security/len-75210" target="_blank">聯想（Lenovo）近日公告</a>筆電內建的電腦管理軟體2項安全漏洞，可使攻擊者取得權限控制用戶電腦，從ThinkPad到Yoga系列都受影響。</p> <p class="rtecenter"><a href="http://support.lenovo.com/cy/en/product_security/len-75210" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1217-%E8%81%AF%E6%83%B3%E9%9B%BB%E8%85%A6%E7%AE%A1%E7%90%86%E8%BB%9F%E9%AB%94%E6%BC%8F%E6%B4%9E-600(1).png" style="width: 450px;" /></a></p> <p>2項漏洞是出現在聯想筆電管理軟體Lenovo Vantage中、系統服務Lenovo System Interface Foundation的IMController元件。Lenovo System Interface Foundation是整合驅動程式更新、系統服務及擴充服務的套件，IMController服務可讓聯想裝置和其通用軟體，例如Lenovo Settings、Lenovo ID或Lenovo Companion互動。聯想旗下筆電如ThinkPad或Yoga等產品都內建這些元件。</p> <p>兩項漏洞分別為CVE-2021-3922及CVE-2021-3969，<a href="https://research.nccgroup.com/2021/12/15/technical-advisory-lenovo-imcontroller-local-privilege-escalation-cve-2021-3922-cve-2021-3969/" target="_blank">是由NCC Group於11月間發現並通報聯想</a>。CVE-2021-3922為一條件競爭（race condition）漏洞，可讓本機攻擊者連結IMController的子行程的命名管理，並下載檔案到檔案系統。CVE-2021-3969則為TOCTOU（Time of Check Time of Use）漏洞，允許本機攻擊者升高權限。NCC Group指出，IMController是以系統權限執行，會定期執行子行程設定系統組態及系統維護工作。這2項漏洞發生在IMController處理高權限子行程未適當驗證，使僅具一般權限的攻擊者擴充權限到系統管理員身分，最後在檔案系統中寫入惡意檔案並執行。可升級到系統權限的威脅，往往能讓攻擊者接管整臺系統。</p> <p>這兩項漏洞影響IMController 1.1.20.3以前的版本。聯想已經於11月釋出新版本，IMController 會自動由Lenovo System Interface Foundation升級到1.1.20.3版。</p> <p>電腦預載官方軟體經常成為安全破口。<a href="https://www.ithome.com.tw/news/132632" target="_blank">2019年聯想筆電內建軟體Lenovo Solution Centre（LSC）中一個第三方軟體爆發漏洞</a>，可使駭客取得管理員權限執行程式，甚至接管裝置。<a href="https://www.ithome.com.tw/news/145255" target="_blank">今年6月Dell裝置也傳出內建管理軟體SupportAssist的BIOSConnect元件含有4個安全漏洞</a>，使駭客可自遠端執行任意程式</p> </div></div></div>
2021/12/17 11:00作者林妍溱https://www.ithome.com.tw/news/148416
Brave：所有瀏覽器皆存在泳池派對攻擊漏洞，允許追蹤器跨站追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Brave瀏覽器隱私團隊發現了一個新類型的追蹤漏洞，利用該漏洞發動的攻擊被稱為<a href="https://brave.com/privacy-updates/13-pool-party-side-channels/">泳池派對攻擊（Pool-party Attacks）</a>。第三方追蹤器能夠使用瀏覽器有限但是共享的資源集合，來創建側通道，追蹤器便能使用這些側通道來跨站追蹤用戶，規避瀏覽器的隱私保護功能。目前已知所有瀏覽器都存在該漏洞，Brave在接下來幾周會釋出相關更新，防範用戶遭受泳池派對攻擊。</p> <p>過去已經有部分論文，發表類似的攻擊研究，而泳池派對攻擊的發現，建立在過去的研究成果，更完整呈現該類攻擊的全貌。泳池派對攻擊的嚴重性，遠超過之前的認知，嚴重且受影響範圍也非常廣，官方提到，更令人擔心的是，泳池派對攻擊可以針對Gecko引擎瀏覽器，透過用戶檔案來追蹤用戶，並且將隱私瀏覽和一般瀏覽關聯起來，暴露隱私瀏覽者的身份。</p> <p>多數瀏覽器原來都有防跨站追蹤的保護機制，無論是Brave、Firefox、Safari還是Tor Browser，皆使用分區（Partitioning）的技術，來阻止追蹤器跨網站追蹤使用者，也就是防止網站上的追蹤器，在用戶瀏覽另一個網站時，關聯兩次瀏覽為同一使用者，能夠避免用戶受到最常見的跨網站追蹤。</p> <p>雖然分區功能並非萬能，無法阻擋特定的追蹤方法，但仍是保護網頁隱私有用且重要的技術。而Brave新發現的泳池派對攻擊，也能使分區保護失效，網站可以繞過瀏覽器中基於分區的隱私保護，Brave隱私團隊把利用共享資源來跨網站邊界進行溝通的攻擊手法，稱為泳池派對攻擊，在他們的研究之中，有三點新發現。</p> <p>第一，過去的研究工作只發現了泳池派對攻擊中的特定案例，事實上瀏覽器充斥這類攻擊漏洞，第二，這類攻擊所產生的影響，實際比過去研究大上許多，網站可利用泳池派對攻擊漏洞，在網站之間傳遞任意資料，第三，泳池派對攻擊不只是理論上可執行的攻擊手法，而是已經可實際應用的隱私威脅。</p> <p>目前所有熱門瀏覽器都受到泳池派對攻擊的威脅，只要瀏覽器所提供的API滿足特定功能，就能夠被追蹤器用於跨站追蹤，像是當網站資源使用受到限制，也就是網站從資源池中請求資源，直到達到限制，網站便無法存取更多資源，又或是資源沒有分區，不同的網站都可以從同一個有限的資源池要求資源，甚至是網站可不受限制地消耗資源池的資源，這些API都可被用於泳池派對攻擊。</p> <p>Brave隱私團隊解釋，泳池派對攻擊是一種存在於所有瀏覽器引擎中的側通道攻擊，比多數側通道容易被使用，由於大多數的側通道都使用CPU快取、記憶體快取等共享資源，在實務中，因為這些資源雜訊過多而難以被用來通訊，相對來說，泳池派對攻擊的目標，是由瀏覽器管理，且特定於瀏覽器的共享資源，雜訊要少得多，很容易用於通訊。</p> <p>要防禦泳池派對攻擊並不簡單，因為電腦一定會限制提供給網站的資源，電腦擁有有限的記憶體和磁碟空間，攻擊者可以利用這些限制進行泳池派對攻擊。雖然瀏覽器無法從根本解決問題，但是卻可以讓這項攻擊難以實作，像是在網頁出現異常行為時，便自動關閉瀏覽器。</p> <p>Brave隱私團隊在論文中提出的解決方法，主要是解除對高頻寬資源使用的限制，當追蹤器需要消耗夠多的資源，來使系統產生飢餓現象，則使用者便會注意到這個攻擊，停止瀏覽發動泳池派對攻擊的網站，就能立刻阻止攻擊。</p> <p>Brave現在正積極部署第一套泳池派對攻擊防禦機制，在接下來數周會陸續推送更新給用戶，同時Brave也正與其他瀏覽器合作，以保護網路使用者免受相關攻擊影響。</p> </div></div></div>
2021/12/17 08:54作者李建興https://www.ithome.com.tw/news/148408
MLCommons釋出多語言口語大型語音辨識資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球開放非營利組織MLCommons發布第一個<a href="https://mlcommons.org/en/news/spoken-words-blog/">多語言口語語料庫（Multilingual Spoken Words Corpus，MSWC）</a>版本，這個大規模資料集包含50種不同語言的口語音訊資料，而且資料集容量還持續不斷增加。MSWC的貢獻者包含來自Coqui、Factored、Google、哈佛大學、英特爾、Landing AI、Nvidia和密西根大學的研究人員。</p> <p>MSWC資料集內容包含的50種語言，涵蓋全球50億人口，對於不少語言來說，MSWC是第一個可用來訓練語音介面的公開免費資料集，官方在MSWC使用CC-BY 4.0授權對外釋出，來促進全球關鍵字探索、口語搜尋和各種學術與商業應用，官方提到，他們的最終目標是要讓基於語音的關鍵字辨識介面，能夠支援更多語言的關鍵字。</p> <p>目前語音互動技術已經普及，無論是Apple Siri、Amazon Alexa，還是Google的語音助理，都已經搭載至用戶的手機和智慧裝置上，關鍵字辨識系統使用低功耗的硬體來持續監聽關鍵短語，以觸發像是開燈或是喚醒複雜介面的動作，對於視障人士等，更是足以改變其生活方式。</p> <p>但官方提到，強大的語音互動功能，需要使用大型資料集來訓練機器學習模型，這些關鍵字資料集需要付出大量的資源，從不同的說話者和背景環境中，收集並驗證每個包含關鍵字的語句，而現在多數公共關鍵字資料集，都為單語言並且只包含少數關鍵字，許多常用的語言缺乏可用的公共資料集，使得要為這些語言使用者，提供基本的語音功能更為困難。</p> <p>MLCommons所開發和維護的MSWC資料集，便是要解決這個問題，MSWC是一個包含50種語言的口語大型語音辨識資料集，該資料集總共包含超過34萬個單詞和2,300萬個一秒音訊樣本，總共有超過6,000小時的語音，官方提到，他們利用開源工具，從Common Voice群眾外包專案收集的句子中，擷取單詞來建構這個資料集，語音助理開發者便可以使用這個資料集，訓練模型聽懂各種語言的關鍵字。</p> <p>在MSWC資料集中，有12種高資源語言，具有超過100小時的資料，12種中等資源語言，擁有10到100小時不等的音訊資料，而其中26種是低資源語言，只有不到10小時的音訊，而MSWC資料集中，有46種語言的資料，是該語言唯一的開源口語資料集。</p> </div></div></div>
2021/12/17 09:04作者李建興https://www.ithome.com.tw/news/148409
Meta擴大臭蟲賞金計畫，要研究人員幫忙尋找資料爬蟲漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2021/12/15/security/bug-bounty-scraping/">Meta宣布</a>改進其臭蟲賞金計畫，開出兩個新的臭蟲獎勵領域，分別是資料抓取漏洞以及未受保護的臉書使用者資料集，同時還要提供研究人員進一步教育機會。</p> <p>因為資料爬蟲普遍存在於網際網路之中，而Meta在打擊爬蟲行為的工作面臨困難，所以他們試圖透過臭蟲賞金計畫，解決爬蟲對Meta平臺造成的影響。因此在Meta Gold+ HackerPlus研究人員的私人賞金計畫中，臭蟲賞金計畫將會獎勵有關爬蟲漏洞的回報。</p> <p>這項計畫的目標，是要找出攻擊者會用來繞過抓取限制，進而存取比預期更大規模資料的漏洞，使得Meta能夠快速辨識，並且找出能低成本執行資料抓取的場景，官方提到，這是目前業界第一個爬蟲漏洞賞金計畫。</p> <p>另外，擴大的賞金計畫，還包含新增獎勵尋找未受保護或公開的臉書使用者公共資料集，Meta要安全研究人員幫忙尋找包含10萬筆以上，不重複的臉書使用者紀錄資料集，資料包括電子郵件、電話號碼、實際地址、宗教或政治傾向等資訊。安全人員必須回報獨特、過去Meta未曾發現過的資料集，官方提到，他們會與相關實體合作，致力刪除該資料集，並透過法律途徑解決問題。</p> <p>不過在資料集尋找的獎勵上，Meta會以慈善捐贈的形式，向特定的非營利組織捐贈獎勵，官方提到，這個作法是為了避免錯誤獎勵資料爬蟲活動。</p> <p>考量臭蟲賞金計畫長久發展，Meta想透過提供教育，擴大這些安全研究人員能夠涵蓋的領域，官方提到，部分長期合作的研究人員向他們反映希望能夠獲得教育訓練，來擴大研究的範圍，特別是部分難以跨越的領域，像是軟體到硬體的臭蟲搜尋。</p> <p>Meta從自家年度賞金會議BountyCon中獲得靈感，他們發現研究人員共同提交臭蟲時，能夠發現更嚴重的臭蟲，並且相互了解各自擅長的領域，為了支援這種團隊合作和學習，Meta在今年度推出了研究人員協作計畫，接著還要在今年稍晚時候，推出專門的教育中心，協助臭蟲賞金研究人員快速了解不同產品和技術，縮短他們尋找新漏洞需要的時間。</p> </div></div></div>
2021/12/17 09:11作者李建興https://www.ithome.com.tw/news/148410
國內多家證券客戶遭冒名下單港股，金管會強調帳戶安全的落實
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上月底<a href="https://www.ithome.com.tw/news/148072">國內傳出證券用戶遭不明人士下單港股的情況，多家券商都出狀況</a>，為保障整體市場交易安全，數日後，臺灣證券交易所與金管會先是宣布，11月30日證券期貨業者共同<a href="https://www.twse.com.tw/zh/news/newsDetail/ff8080817d22b9cb017d6abcba2f0144">成立「證券暨期貨市場電腦緊急應變支援小組」（SF-CERT）</a>，最近，在<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202112140001&aplistdn=ou=news,ou=multisite,ou=chinese,ou=ap_root,o=fsc,c=tw&dtable=News">12月14日，金管會宣布再推因應辦法</a>，要求證券商與期貨商需強化三大防護措施，包括多因子認證、密碼錯誤3次中斷連線與異常登入方面的落實。同時，在SF-CERT方面，近日也揭露了相關規畫，將提供指引與辦理多項資安演練。</p> <p>金管會表示，金融帳號密碼是客戶身分識別、認證，以及各項交易服務授權的主要工具，為保障網路下單交易安全，證券期貨商需強化安全措施，民眾也該有相關資安意識。</p> <p>在金管會這次公布內容中，指出臺灣證券交易所與臺灣期貨交易所，需督導證券商及期貨商，針對三大防護措施面做好強化。</p> <p>第一，應於網路下單登入時落實採多因子認證方式，如下單憑證、綁定裝置、OTP、生物辨識等，並強化憑證換發之驗證機制，以確保為客戶本人登入。</p> <p>第二、應使用優質密碼設定，也就是建立密碼安全設定原則並進行控管，同時，需確實執行密碼輸入錯誤次數達3次，應中斷連線。此外，還有密碼更新的加強宣導。</p> <p>第三、針對核心系統的帳號登入失敗紀錄、非客戶帳號登入嘗試紀錄等，應每日進行監控及分析異常登入原因，並於異常IP登入時，通知投資人，及留存相關紀錄。</p> <p>此外，對於投資人而言，為避免下單帳戶遭盜用，金管會也再三呼籲，應謹記多項原則，包括：提高交易密碼強度，勿在不同服務使用相同的帳號密碼，不要於公用電腦輸入敏感資訊，不要共用帳密或交由他人保管，以及妥善保存身分證件、網路交易帳號密碼及相關的電子憑證。</p> <p>值得關注的是，這些措施應是證券業早有的基本安全規範，但，這次事件似乎反映出業者不夠落實的問題。</p> <p>金管會證期局回覆表示，在<a href="http://www.selaw.com.tw/LawArticle.aspx?LawID=G0100479">「建立證券商資通安全檢查機制」的法規</a>中，已有明確條列，是證券商必須遵循，且納入內控的規範，若未遵循將可依證交法處置。例如，在第8條的存取控制中，在密碼管理一項，就有包含「密碼輸入錯誤次數達三次者，應予中斷連線。」的規範。此外，管理單位的督導與查核，同樣是需關注的面向。</p> <p>附帶一提的是，以近期而言，在今年<a href="https://www.sfb.gov.tw/ch/home.jsp?id=2&parentpath=0&mcustomize=news_view.jsp&dataserno=202105040003&dtable=News">5月初，金管會也曾要求證券商強化相關措施</a>，這是因為發現詐騙集團製作假冒的證券商頁面，並利用釣魚簡訊誘導民眾連至該網頁，騙取交易帳號與密碼。而我們也從金融資安資訊分享與分析中心網站找到疑似相關資訊，例如，在4月19日有疑似偽冒群益金鼎證券網站，在4月21日有疑似偽冒元大證券網站，還有疑似偽冒富邦證券、富邦期貨的App。而現在這次事件，金管會除了要證交所與證期所都要督導，內容也多了強化憑證換發的驗證機制，以及確實執行密碼輸入錯誤次數達3次者應予中斷連線。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%87%91%E7%AE%A1%E6%9C%83%E5%88%B8%E5%95%86%E4%B8%8B%E5%96%AE%E4%B8%89%E5%A4%A7%E5%9B%A0%E6%87%89.jpg" style="width: 600px;" /></p> <blockquote><p>對於近期券商用戶疑似遭撞庫攻擊導致冒名下單的事件，金管會在本月14日表示，將要求臺灣證交所與臺灣證期所督導券商強化三大措施。</p> </blockquote> </div></div></div>
2021/12/16 22:07作者羅正漢https://www.ithome.com.tw/news/148411
Windows終端機明年將成為Windows 11的預設終端機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/commandline/windows-terminal-as-your-default-command-line-experience/" target="_blank">微軟周二（12/14）宣布</a>，明年將把Windows 11的預設終端機，從Windows主控臺（Windows Console Host）改為Windows終端機（<a href="https://www.microsoft.com/zh-tw/p/windows-terminal/9n0dx20hk701?rtc=1&activetab=pivot:overviewtab#" target="_blank">Windows Terminal</a>）。</p> <p>Windows中的預設終端機是一個終端機模擬器，會在使用者開啟命令列應用時啟用，在Windows有史以來，其預設值就是Windows主控臺。</p> <p>不過，微軟在2019年發表了Windows終端機，打算取代Windows主控臺，它可於單一視窗上開啟多個分頁，並支援命令提示字元、PowerShell及各式Linux版本。</p> <p class="rtecenter"><img alt="" src="https://store-images.s-microsoft.com/image/apps.28865.13926773940052066.16e93a5b-b25f-4aaf-8a38-77375e237879.78e2aeac-6ede-4855-acb1-79a854b5556d?w=1399&h=792&q=90&format=jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_微軟</span></span></p> <p>現在微軟已經開放Windows 11用戶將Windows終端機或其它終端機、設為Windows預設的虛擬終端機，而且會在明年直接將Windows終端機設為Windows 11的預設終端機，計畫逐步從Windows Insider專案、擴大到所有Windows 11的用戶。</p> </div></div></div>
2021/12/16 17:25作者陳曉莉https://www.ithome.com.tw/news/148406
全聯搶攻線上生鮮用品外送商機，年底將開設24小時幕後店
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全聯在今年初與Uber Eats合作生鮮外送，消費者透過Uber Eats訂購全聯的生鮮用品，由外送員將訂購的商品送到指定地點，今天（12/16）兩家公司再宣布，Uber Eats上接受訂購的全聯門店，從50家擴大到214家，一舉提高到全聯總店數的十分之一，全聯更準備在今年底開設7間24小時幕後店（Dark Store），專門服務線上訂購的消費者。</p> <p>今年初全聯就已推出自家外送服務「小時達」，隨後和外送業者Uber Eats的合作，擴大電商的服務版圖，除了今天宣布擴大Uber Eats合作門店至214家，明年將增加至270家門市上線，雙方也公布合作以來的成果，全聯在Uber Eats上架的商品數已超過2500件，外送帶動單點業績提升2到3倍。</p> <p>全聯總經理室協理初貴民表示，上線至Uber Eats的全聯門市，需考慮到門市密集、周邊用戶的需求，也會參考Uber Eats的訂單熱點分析。全聯在經營生鮮外送服務有三大策略，包括線上與線下商品定價一致、線上菜單更新頻率、PDA揀貨改善外送效率。</p> <p>其中之一，為了提升生鮮用品的外送效率，全聯和Uber Eats以API整合雙方的系統，當消費者從Uber Eats訂購全聯的生鮮日用品，訂單就會送到指定全聯門市的行動智能揀貨PDA，再由專人根據揀貨PDA在賣場揀貨，目前已能在十分鐘內完成揀貨，呼叫外送員取貨，縮短送到消費者指定地點的時間，約30分鐘至40分鐘送至消費者手中。</p> <p>全聯能夠縮短揀貨時間，除了系統串接訂單外，還有熟練的揀貨人員，在賣場快速完成揀貨，但目前線上訂購，受限於全聯線上門市的營業時間，因此，全聯計畫今年底開設7家幕後店，不對外開放購物，專門服務線上訂購的消費者，明年擴大至50家幕後店。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pxmart-ue.jpg" style="width: 600px; height: 414px;" /></p> <p>初貴民表示，相較於一般門市，24小時經營的幕後店，可在一般門市關門後，繼續服務的線上消費者，由於幕後店性質不同，空間坪數規畫也會比較小，有利於快速揀貨，因此幕後店能再縮短揀貨時間。此外，Uber Eats上線的全聯門市，外送服務範圍為門市周邊的3公里，未來幕後店將擴大到5公里。</p> <p>全聯投入生鮮用品外送服務，一方面是透過線上服務敦促線下門市改善服務品質，另方面蒐集線上消費者數據，整合線上線下數據打造數據中臺，從大量數據挖出更多黃金。</p> <p>初貴民表示，生鮮用品外送服務為超短鏈的模式，全聯目前以4項指標衡量外送服務績效，上線率、覆約率、缺貨率、揀貨率，4項指標不僅用來衡量線上服務，也能促使線下門市改善服務。例如以前消費者在實體門市採買，如果因為缺貨而買不到商品，最後可放棄購買或是改買其他商品替代，門市不容易獲得消費者的反映，但是在線上，這樣的消費經驗就能透過揀貨率指標衡量，消費者線上訂購商品，因門市庫存不足而買不到，在系統上都能留下足跡，以此敦促實體門市的商品庫存管理，改善消費者體驗。</p> <p>目前全聯的線上電商服務，除了與Uber Eats合作，還有全聯自家經營的箱購、小時達、分批取，其中的小時達和Uber Eats生鮮外送相似，但是由全聯和物流業者合作外送，並且和Uber Eats生鮮外送服務客群略有不同，小時達以40歲以上的家庭主婦為主，而Uber Eats生鮮外送是原本就使用外送餐點的年輕客群。</p> </div></div></div>
2021/12/16 17:53作者蘇文彬https://www.ithome.com.tw/news/148407