iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 5篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2022年1月28日，台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期台達電遭到網路攻擊的事故，外界傳聞就是遭到勒索軟體攻擊，而昨天有不具名的資安業者向國內媒體透露，攻擊者就是Conti，且提及受害規模、勒索軟體病毒檔雜湊值等細節。雖然台達電發出聲明嚴正駁斥，但外界找到<a href="https://www.bleepingcomputer.com/news/security/taiwanese-apple-and-tesla-contractor-hit-by-conti-ransomware/">疑似駭客留下的勒索訊息</a>，甚至有人宣稱取得攻擊該公司的勒索軟體病毒，並上傳至VirusTotal，事故的真相顯然有待進一步分析。</p> <p>而在疫情蔓延使得許多人再度遠距辦公之際，相關應用系統的漏洞也被駭客盯上。其中，又以VMware Horizon遠端工作系統，因存在Log4Shell漏洞，已有數起攻擊事故出現。其中最近一起攻擊行動，則是專門提供駭客初步入侵管道的掮客集團（Initial Access Broker，IAB），開始對於上述遠端工作系統出手，顯示這類存在相關漏洞的系統是許多駭客偏好的攻擊目標。</p> <p>在今日資安新聞中，有近半數（3起）是APT駭客組織發動的攻擊行動，值得留意的是，駭客採用了過往較少見的手法，來隱藏攻擊意圖。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.ctwant.com/article/165246"><span style="color: rgb(0, 0, 0);">台達電駁斥大量電腦與伺服器被Conti勒索加密的傳聞，但網站迄今仍無法運作</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Delta-Electronics_20220128-1714-26685.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Delta-Electronics_20220128-1714-26685.png" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/149021">國內電源供應器大廠台達電在21日，於股市公開觀測站證實遭駭</a>，當時各界懷疑是遭勒索軟體攻擊，<a href="https://www.ithome.com.tw/news/149129">此事於1月27日傳出新的消息</a>──根據國內媒體周刊王（CTWANT）報導，有國外資安公司的分析報告透露，對台達電下手的是勒索軟體Conti，其內部網路的6萬5千臺電腦中，有1千5百臺伺服器與1萬2千臺電腦被加密。</p> <p>該報導中也提及，台達電委託趨勢科技與微軟資安團隊協助事件的調查。</p> <p>針對上述的報導內容，台達電在28日再度於證交所發布發布重大訊息駁斥，指出該報導並非實情，並強調該公司營運相關系統皆已恢復正常。但截至1月28日下午5時，該公司網站仍無法運作，顯示網站系統維護中的訊息。</p> <p><span style="font-size: 22px;"><a href="https://blogs.blackberry.com/en/2022/01/log4u-shell4me"><span style="color: rgb(0, 0, 0);"><strong>駭客大肆收集存在Log4Shell漏洞的VMware遠端工作平臺名單，用戶應加速修補的腳步</strong></span></a></span></p> <p>攻擊者鎖定遠端工作平臺VMware Horizon，並找尋存在Log4Shell漏洞的系統下手的情況，已有數起事故，如今有人疑似專門收集此種型態的攻擊目標名單，再轉售給其他駭客牟利。IT業者BlackBerry的威脅情報團隊指出，以提供攻擊者入侵受害組織管道的掮客（Initial Access Broker，IAB）組織Prophet Spider，近期針對存在上述弱點的VMware Horizon發動攻擊，鎖定其中存在漏洞的Tomcat元件下手，再藉由PowerShell或命令提示字元，植入挖礦軟體，或是植入Cobalt Strike的Beacon進行控制。研究人員認為，當IAB盯上存在某項漏洞的特定系統，代表有許多駭客組織也偏好朝向這類目標下手。</p> <p><span style="font-size: 22px;"><a href="https://blog.malwarebytes.com/threat-intelligence/2022/01/north-koreas-lazarus-apt-leverages-windows-update-client-github-in-latest-campaign/"><span style="color: rgb(0, 0, 0);"><strong>北韓駭客Lazarus以航太職缺發動網釣攻擊，並濫用Windows Update元件進駐受害電腦</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2022-01-25-at-9_56_22-PM-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2022-01-25-at-9_56_22-PM-1.jpg" style="width: 300px; float: right;" /></a>為了藏匿行蹤，駭客將惡意軟體的處理程序，植入合法的元件裡運作，而且常常是選擇作業系統內建的軟體，進行寄生攻擊（LoL）。例如，資安業者Malwarebytes最近揭露一起疑似由北韓駭客組織Lazarus發動的攻擊行動，駭客自2021年12月下旬，以美國航太業者Lockheed Martin的名義，發出徵才的網釣郵件，一旦收信人點選附件的說明文件，就會觸發惡意巨集，然後將攻擊者的程式碼先後注入檔案總管，以及Windows Update元件（wuauclt.exe），以便持續在受害電腦上運作。與過往不同的是，有別於許多駭客藉由檔案共享服務來架設C2中繼站，本次Lazarus濫用的對象是程式碼代管平臺GitHub。</p> <p><span style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/observations-from-the-stellarparticle-campaign/"><span style="color: rgb(0, 0, 0);"><strong>俄國駭客APT29藉由竊取瀏覽器Cookie，繞過雙因素驗證接管Office 365帳號</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1-10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1-10.png" style="width: 300px; float: right;" /></a>駭客破解雙因素驗證（2FA）有新招，而且埋藏了2年才被發現。資安業者揭露俄羅斯駭客組織APT29（亦稱CozyBear、The Dukes）自2019年中旬發起的StellarParticle攻擊行動，駭客藉由憑證跳躍（Credential Hopping）的手法，挾持受害者的Office 365帳號，而這些受害組織的共通點為皆啟用了雙因素驗證機制。</p> <p>究竟這些駭客如何突破相關身分驗證機制？研究人員指出是竊取使用者瀏覽器的Cookie，藉由重放攻擊，來繞過雙因素驗證的流程。此外，APT29也在這起攻擊行動裡運用名為TrailBlazer的惡意軟體，同時針對Windows和Linux電腦下手，目的疑似是為了長期在受害電腦埋伏。</p> <p><span style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/prime-ministers-office-compromised.html"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體利用MSHTML漏洞，攻擊西亞政府高官與國防產業人士</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/pm-office-compromised1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pm-office-compromised1.png" style="width: 300px; float: right;" /></a>在2021年9月被揭露的MSHTML重大漏洞，近期再被用於針對性的攻擊行動。甫由McAfee Enterprise和FireEye合併成立的資安業者Trellix，於1月25日公布疑似由俄國APT28（亦稱Fancy Bear、Strontium）發起的網路間諜攻擊行動，駭客於2021年10月至11月，透過釣魚郵件，向監督國家安全政策的西亞政府高層，以及國防產業人士下手。該組織利用MSHTML重大漏洞CVE-2021-40444，在受害電腦的記憶體內執行惡意程式。</p> <p>研究人員強調，為了埋藏攻擊意圖，駭客將攻擊行動細分成6個階段進行，並使用名為Graphite的惡意軟體，且於OneDrive架設C2中繼站，並藉由Graph API通訊，使得攻擊流量難以識別。</p> <p><span style="font-size: 22px;"><a href="https://blog.zimperium.com/dark-herring-android-scamware-exceeds-100m-installations/"><span style="color: rgb(0, 0, 0);"><strong>安卓騙錢App上億用戶受害，損失數億美元</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/image4(3).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/image4(3).jpg" style="width: 100px; float: right;" /></a>騙錢軟體看似無害，而能上架應用程式市集難被察覺異狀。資安業者Zimperium揭露自2020年3月出現的攻擊行動Dark Herring，駭客鎖定超過70個國家的安卓用戶而來，並在Google Play市集陸續上架近470個應用程式，這些App直接透過電信業者向受害者收費（Direct Carrier Billing，DCB），平均每月為15美元，而使得用戶難以察覺有異，迄今已有1.05億臺設備遇害，研究人員推測，駭客至少騙得數億美元。</p> <p><span style="font-size: 22px;"><a href="https://azure.microsoft.com/en-us/blog/azure-ddos-protection-2021-q3-and-q4-ddos-attack-trends/"><span style="color: rgb(0, 0, 0);"><strong>Azure用戶遭到大規模DDoS攻擊，3.47 Tbps流量再創新高</strong></span></a></span></p> <p>大規模分散式阻斷服務（DDoS）攻擊的流量，再度創下新紀錄。微軟對於Azure用戶的DDoS防護情況，近日公布他們在2021年第3、第4季觀察到的態勢，當中提及他們於2021年11月，緩解了流量高達3.47 Tbps的攻擊事故，其封包傳送的速率為每秒3.4億個，這些流量從1萬個來源發出，分布於臺灣、美國、中國等10個國家。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/28 15:21作者周峻佑https://www.ithome.com.tw/news/149136
小心社交媒體詐騙！美國人去年被騙了7.7億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.gov/news-events/blogs/data-spotlight/2022/01/social-media-gold-mine-scammers-2021" target="_blank">美國聯邦交易委員會（FTC）本周警告</a>，去年在美國發生的詐騙案中，有高達25%始於社交媒體，相關的受害者總計損失了7.7億美元。以損失的金額計算，排名第一的是投資詐騙，第二名為愛情詐騙，若是論及詐騙數量，購物詐騙當仁不讓。</p> <p>FTC表示，對於詐騙者而言，社交媒體有許多好處，包括透過低成本就能觸及全球數十億人口，也很容易偽造身分，或是駭進既有使用者的帳號，也能根據使用者於社交媒體上所分享的資訊來調整詐騙手法，或是利用社交媒體上的廣告工具，以虛假的廣告來鎖定特定族群的受害者，像是年紀、興趣或是曾經購買的產品。</p> <p>不意外地，藉由社交媒體展開的詐騙數量與金額年年增加，在2017年時，相關詐騙的受害者人數為5,000人，詐騙金額為4,200萬美元；但到了2021年，受害者數量增加到9.5萬人，詐騙金額更達到7.7億美元，是2017年的18倍。</p> <p>值得注意的是，社交媒體是投資詐騙的首選。雖然社交媒體僅占所有詐騙的25%，但在所有的投資詐騙中，就有超過一半始於社交媒體，詐騙者利用社交媒體來推廣各種投資機會，甚至偽裝成朋友來說服受害者投資，例如聲稱投資加密貨幣可帶來龐大的報酬，但最終卻落空。</p> <p>在美國去年7.7億美元的社交媒體詐騙損失中，光是投資詐騙就占了37%，居次的是占了24%的愛情詐騙。而去年遭到愛情詐騙的受害者中，就有超過1/3來自臉書或Instagram，詐騙者利用社交媒體結識了受害者，繼之甜言蜜語，接著就以各種花招要錢。</p> <p>雖然投資詐騙及愛情詐騙所造成的損失最多，但它們分別僅占社交媒體詐騙案件數量的18%與9%，社交媒體真正數量最多的詐騙案為購物，所占比例高達45%。這些購物詐騙的受害者通常是看到商品廣告，有接近70%在付款之後沒有拿到商品，且相關廣告十之八九出現在臉書或Instagram。</p> <p>FTC奉勸社交媒體用戶應該透過隱私設定，限制可看到所張貼資訊的對象；而且當於社交媒體上看到來自朋友請求匯款的訊息時，最好打個電話給他；也不要太輕信來自網路的愛情，特別是不要匯錢給未曾謀面的陌生人。</p> </div></div></div>
2022/1/28 17:21作者陳曉莉https://www.ithome.com.tw/news/149143
久沒使用Xbox會員服務卻依然在付費？微軟將主動聯繫英國玩家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/cma-cases/online-console-video-gaming" target="_blank">英國競爭與市場管理局（Competition and Markets Authority，CMA）自2019年4月針對遊戲業者啟動調查</a>，檢查它們線上會員訂閱服務是否合法，特別是與自動續約及退款有關的事項，調查對象包括任天堂（Nintendo）的Switch、Sony Playstation及微軟Xbox等，<a href="https://www.gov.uk/government/news/cma-secures-changes-to-xbox-subscription-practices" target="_blank">並在本周宣布與微軟達成協議</a>，微軟已同意要改善其Xbox的自動續約政策。</p> <p>CMA表示，遊戲業者所提供的線上會員訂閱服務通常會自動續約，卻造成不少消費者的困擾，這使得當局展開了調查，包括業者是否清楚說明了自動續約政策、消費者能否輕易取消自動續約，以及消費者是否沒意識到自己仍在為未使用的服務持續付費等。</p> <p>目前CMA已與微軟取得協議，微軟同意在與消費者簽約時提供更透明的資訊，以協助消費者清楚理解Xbox的會員資格，包括是否自動續約、如何取消、如何退款，以及價格等。</p> <p>此外，微軟也同意要主動聯繫那些訂閱12個月的會員，提供終止合約的選項並取得合理比例的退款；亦將主動聯繫那些已經許久沒有登入或使用會員服務、卻持續付款的客戶，並提醒他們如何終止付款，若這些人一直沒有使用服務，微軟將不再接受相關款項。</p> <p>CMA亦要求微軟在漲價時必須通知客戶，以讓客戶決定是否續約或如何關閉自動續約功能。</p> <p>除了微軟，以及仍在調查的任天堂與Sony之外，CMA執行主任Michael Grenfell提醒，其它提供自動續約會員或訂閱服務的業者也應採取行動，檢查自家的作法以確保符合英國的消費者保護法令。</p> </div></div></div>
2022/1/28 16:22作者陳曉莉https://www.ithome.com.tw/news/149139
IBM下一代大型主機將於今年上半上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theregister.com/2022/01/25/ibm_q4_2021/" target="_blank">The Register</a>及<a href="https://global.techradar.com/en-ae/news/ibm-teases-next-generation-z-series-mainframe" target="_blank">Tech Radar</a>報導，IBM高層證實下一代大型主機Z16將在今年上半正式上市。</p> <p>IBM財務長James Kavanaugh在本周財報分析師會議上指出，Z16在今年上半年底，最遲下半年初推出。他強調新上市的大型主機，將為藍色巨人注入新的成長動力。</p> <p>在去年11月<a href="https://www.ithome.com.tw/news/147680" target="_blank">分拆科技基礎構服務為Kyndryl</a>後，<a href="https://newsroom.ibm.com/2022-1-24-IBM-RELEASES-FOURTH-QUARTER-RESULTS" target="_blank">IBM本周公布去年第4季營收</a>。 IBM上季營收由前一年的159億成長為167億美元，成長6.5%。年營收則達573.5億美元。</p> <p>上一季大型主機部份則下滑4%，現行的Z15是在2019年下半推出，Kavanaugh解釋，按照銷售周期11季後銷售下滑是正常現象。但他指出Z16的推出，將有助於推升IBM今年業績。</p> <p>去年8月宣布的Z16搭載三星生產代號Telum的晶片。這款晶片採用7奈米製程，具有225億顆電晶體，可有效支援AI推論等高運算量的作業。</p> <p>IBM計畫援引Z系列平臺吸引建立混合雲推動業務轉型，以及執行AI、機器學習等應用的企業。推動混合雲是現任執行長Arvind Krishna 2020年初上任以來的主要方針，IBM也在此方向下將不相關的業務相繼出脫。除了分拆出去的科技基礎架構服務外，IBM也在本周將AI醫療業務<a href="https://www.ithome.com.tw/news/149027" target="_blank">Watson Health賣給了私募基金業者</a>。</p> </div></div></div>
2022/1/28 17:00作者林妍溱https://www.ithome.com.tw/news/149141
台達電上周遭駭，昨傳出該事件造成上萬電腦與伺服器被Conti勒索加密，該公司今日澄清非事實
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內上市電源供應器大廠台達電遭駭客攻擊持續受關注，這是今年（2022年）第一起上市櫃公司資安事件重大訊息，在1月27日又傳出新消息指出技該公司是遭受Conti勒索軟體攻擊，並有1千5百臺伺服器與1萬2千臺電腦被加密，並被勒索1,500萬美元，大約4.12億元。對此，台達電在今日（1月28日）下午1時16分新發布公告，指出該報導並非實情。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-21_095123_%E5%8F%B0%E9%81%94.jpg" style="width: 260px; float: right;" /></p> <p>關於<a href="https://www.ithome.com.tw/news/149021">這次攻擊事件，在本月21日周五早上10時左右</a>，資安社群已有相關討論，指出台達電子公司疑被攻擊，並通知所有員工斷網的消息，我們也密切關於這樣的情況，隔日（22日）週六下午2時，台達電公告發生資安事件，他們在證交所發布重大訊息，說明偵測到部分資訊系統遭受駭客網路攻擊，已啟動資安相關防禦機制與應變作業，並通知政府執法機構協助後續調查，目前評估對公司營運無重大影響，且資訊系統陸續回復運作中。</p> <p>由於過往這類資安事件重大訊息，只要提到系統陸續回復運作，多半是勒索軟體攻擊後的復原狀況，因此當時我們猜測，台達電應該也是受到勒索軟體攻擊，只是相關細節揭露有限，也沒有提及子公司受影響。</p> <p>而在事發發生之後，<a href="http://www.deltaww.com/">台達電的官網（https://www.deltaww.com/）</a>就已停止服務出現網站系統維護公告，後續1月25日，在社群媒體上有關心台達電事件的網友，發現該公司有新的網域及網站，<span class="d2edcug0 hpfvmrgz qv66sw1b c1et5uql lr9zc1uh a8c37x1j fe6kdd0r mau55g9w c8b282yb keod5gw0 nxhoafnm aigsh9s9 d3f4x2em iv3no6db jq4qci2q a3bd9o3v b1v8xokw oo9gr5id hzawbc8m" dir="auto">因而引發討論，有網友回應表示，這個新網站</span><a href="http://www.deltapowersolutions.com/">（https://www.deltapowersolutions.com/</a>）其實台達電很早就註冊，應是為了暫時取代原有的官網。而當時我們也推測，該公司可能希望繼續調查入侵過程，而未立刻將網站恢復營運。</p> <p>到了1月27日下午，國內媒體<a href="https://www.ctwant.com/article/165246">周刊王（CTWANT）報導了這起事件的</a>狀況。在周刊王的報導中，提及26日國外1間資安公司發布報告與台達電事件有關，但是並未透露這家資安公司的名稱。</p> <p>關於台達電遭駭的狀況，周刊王引用這一間沒有透露名稱的國外資安業者的資料，指出台達電遭遇的是勒索軟體Conti，並公布可能攻擊台達電的Conti勒索軟體樣本雜湊值，並揭露事件影響範圍，在其內部網路的6萬5千臺電腦中，有1千5百臺伺服器與1萬2千臺電腦被加密，並提及趨勢與微軟資安團隊正在協助事件調查。</p> <p>而這起事件同樣受到國際媒體的關注，在今日（1月28日），國外資安媒體The Record、Bleeping Computer也報導這則消息，他們引用了週刊王的報導內容，並且提供了其他資訊。</p> <p>例如，在<a href="https://therecord.media/conti-ransomware-hits-apple-tesla-supplier/">The Record的報導</a>中另指出，在暗網中的Conti資料外洩網站上，目前台達電的公司名稱尚未被列於其上，可能台達電與該駭客組織仍持續在談判支付贖金的問題。</p> <p>而在<a href="https://www.bleepingcomputer.com/news/security/taiwanese-apple-and-tesla-contractor-hit-by-conti-ransomware/">Bleeping Computer的報導</a>中，他們表示獲得相關資訊，並公布了一張螢幕截圖，內容是Conti勒索軟體駭客組織留給台達電一個README.txt的勒索訊息。</p> <p>另外，網路上也有網友將CTWANT公布的Conti勒索軟體的樣本Hash（5ace33358a8b11ae52050d02d2d6705f04bd47a27c6c6e28ef65028bbfaf5da9），輸入到Virus Total平臺檢測。就目前（1月28日中午）結果來看，在59家資安業者的防毒引擎中，有37家判定為惡意程式。</p> <p>對於國內媒體紛紛報導此事，在今日（1月28日）下午1時左右，台達電再度於證交所發布發布重大訊息，針對周刊王等媒體報導內容做出澄清，指出該報導並非實情，強調實際情形依該公司公告為準，並表示公司營運相關系統皆已恢復正常，並且已經評估對公司營運無重大影響。至於公司網站未恢復的問題，台達電表示，目前他們正針對所有網域與網頁及相關檔案，進行全面的掃描檢測，待檢測完後即可恢復運作。</p> <p>不過，在這次台達電新的公告中，該公司並未揭露初步調查結果，對於感染病毒名稱與入侵管道，以及影響範圍，仍然沒有更進一步的說明，相關遇害狀況仍有待釐清。</p> <h2><strong>2022-01-21 台達電資安事件小檔案</strong></h2> <table border="0" cellpadding="0" cellspacing="0" style="width:547px;" width="547"><colgroup><col /><br /></colgroup><colgroup><col /><br /></colgroup><tbody><tr height="48"><td height="48" style="height:48px;width:170px;"><u>網路攻擊事件類型</u></td> <td style="width:378px;">公告中表示部分資訊系統受駭客網路攻擊。</td> </tr><tr height="24"><td height="24" style="height:24px;width:170px;"><u>事中應變措施</u></td> <td style="width:378px;">啟動防禦機制與復原作業，已通報政府單位。</td> </tr><tr height="48"><td height="48" style="height:48px;"><u>初步調查結果</u></td> <td style="width:378px;">目前透露資訊非常有限，未公布感染病毒名稱，被入侵管道，以及感染方式等。<span style="color:#FF0000;">疑勒索軟體Conti造成</span><span style="color: rgb(255, 0, 0);">。</span></td> </tr><tr height="24"><td height="24" style="height:24px;width:170px;"><u>事件影響範圍</u></td> <td style="width:378px;">僅提及部分資訊系統</td> </tr><tr height="24"><td height="24" style="height:24px;width:170px;"><u>事件對營運的影響</u></td> <td style="width:378px;">對公司營運無重大影響</td> </tr><tr height="48"><td height="48" style="height:48px;width:170px;"><u>事後復原與檢討</u></td> <td style="width:378px;">公司受影響資訊系統陸續回復運作中，將持續提升網路與資訊基礎架構之安全管控。</td> </tr><tr height="48"><td height="48" style="height:48px;width:170px;"><u>對外公告資安事件</u></td> <td style="width:378px;">在1月22日發布於臺灣證券交易所重大訊息，並說明事件發生在1月21日。</td> </tr><tr height="24"><td colspan="2" height="24" style="height:24px;"> 資料來源：iThome整理，2021年11月 (紅字部分為其他管道傳出的資訊)</td> </tr></tbody></table><p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-22_143331_%E5%8F%B0%E9%81%94%E9%9B%BB(1).jpg" style="width: 600px;" /></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">在1月22日，</span>台達電公告部分資訊系統遭受駭客網路攻擊。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-28_142257.jpg" style="width: 600px;" /></p> <blockquote><p>在1月28日，台達電對於周刊王等媒體報導發布補充澄清公告，指出報導並非實情，並表示營運相關系統皆已恢復正常。</p> </blockquote> </div></div></div>
2022/1/28 12:16作者羅正漢https://www.ithome.com.tw/news/149129
iOS 15.4測試版出爐，就算戴口罩也能人臉辨識
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周四（1/27）釋出iOS 15.4測試版予開發人員，<a href="https://twitter.com/brandonbutch/status/1486773540577812490?s=21" target="_blank">於人臉辨識（Face ID）功能中新增了一個選項</a>，讓Face ID也可辨識戴口罩的使用者。</p> <p class="rtecenter"><a href="twitter.com/BrandonButch" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0128-ios15%20beta%20face%20id%20mask.jpg" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/BrandonButch/status/1486773540577812490?cxt=HHwWlIC5uY2qiqIpAAAA" target="_blank"><span style="color:#696969;">圖片來源／Brandon Butch</span></a></p> <p>蘋果是在2017年發表iPhone X時，以Face ID取代了指紋辨識（Touch ID）功能，使用者可透過Face ID來認證使用者身分，以解鎖手機、付款或存取機密資料。</p> <p>Face ID會辨識使用者全臉的各個特徵，但當COVID-19疫情在2020年升溫，全球使用者都戴上口罩之際，iPhone用戶就無法再輕鬆地使用Face ID來解鎖或付款，必須拉下口罩或是搭配Apple Watch使用。</p> <p>蘋果於iOS 15.4測試版中說明，Face ID只有在執行全臉辨識時最準確，若要在戴口罩時使用，iPhone僅能藉由眼睛周遭的區域來辨識，戴口罩的使用者要使用Face ID時，眼睛必須注視著iPhone。</p> <p>此外，該功能還有一個附加選項，允許使用者新增眼鏡，建議戴口罩的使用者最好讓系統能夠辨識每一副不同的眼鏡，惟不支援太陽眼鏡。不過，可辨識戴口罩人臉的Face ID功能，似乎僅支援iPhone 12或iPhone 13，並不適用於更早的機種。</p> </div></div></div>
2022/1/28 15:24作者陳曉莉https://www.ithome.com.tw/news/149137
安全為由，美國政府也撤銷中國聯通營運許可，60天內應終止業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國再度對中國電信公司下驅逐令。繼中國電信後，美國聯邦通訊委員會（Federal Communication Commission，FCC）以國家安全為由，<a href="https://www.fcc.gov/document/fcc-revokes-china-unicom-americas-telecom-services-authority" target="_blank">昨（27）日宣布</a>，撤銷中國聯通（China Unicom）在美的營運許可。</p> <p>去年3月FCC撤銷中國聯通美洲分公司、太平洋網絡公司（Pacific Networks Corp）及其全資子公司ComNet的營運許可。而本周則是在FCC委員4:0表決下通過這項命令案。該項命令要求中國聯通美洲分公司在60天內，停止在美國提供的國內及國際電信服務。</p> <p>FCC稱，在依據行政部門建議，並審核中國聯通對FCC調查提交的報告、公開紀錄及公眾利益考慮下，FCC相信這項行動有助於確保美國電信基礎架構免於安全威脅。</p> <p>中國聯通美洲分公司是中國聯通的美國分公司，提供虛擬行動網路服務、國際虛擬專線（international private leased circuit）、乙太網路專線（Ethernet Private Line）、網際網路接取服務（IP transit）、雲端服務等業務。</p> <p>FCC理由是中國聯通美洲分公司母公司是中國國營企業，受中國政府控制及影響，也受命中國政府，而由於安全環境變遷，使該公司和中國政府的關係引發美國國家安全風險，因中國政府可能存取、儲存、干擾和導引美國通訊流量，藉此進行間諜行動或其他不利美國的活動。此外，FCC稱中國聯通的行為和提交FCC的文件「欠缺坦白、信任及可信度」，違反FCC對電信業者的要求，而中國聯通方面所做的努力，不足以消除美國的國安疑慮。</p> <p>中國聯通是遭美國政府驅逐的第二家中國電信公司。<a href="https://www.ithome.com.tw/news/147494" target="_blank">去年10月美方撤銷了</a>中國電信美洲子公司（China Telecom Americas）的經營許可。<a href="https://www.ithome.com.tw/news/148216" target="_blank">中國電信今年1月3日已結束在美國的電信服務</a>。</p> </div></div></div>
2022/1/28 15:48作者林妍溱https://www.ithome.com.tw/news/149138
蘋果財報出爐，今年供應鏈問題將減緩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/01/apple-reports-first-quarter-results/" target="_blank">蘋果周四（1/27）公布</a>截至去年12月25日的2022財年第一季營收，該季蘋果創下1,239億美元的營收，比前一年同期增加11%，每股盈餘為2.10美元，亦高於前一年同期的1.68美元。<a href="https://www.engadget.com/apple-earnings-q1-2022-iphone-revenue-record-222905681.html" target="_blank">根據《Engadget》的報導</a>，蘋果執行長Tim Cook於財報會議中透露，新一季所面臨的供應鏈緊縮問題將比上一季減緩一些，在美股跌跌不休的當下，蘋果當天盤後股價上漲了5.03%，為167.23美元。</p> <p><a href="https://www.apple.com/newsroom/pdfs/FY22_Q1_Consolidated_Financial_Statements.pdf" target="_blank">從產品類別來看</a>，在1,239億美元的營收中，有716.3億美元來自iPhone的貢獻，占蘋果總營收的57.8%；居次的是195億美元的服務營收（15.7%）；穿戴/家用/配件占了147億美元（11.9%）；Mac營收為109億美元（8.8%）；iPad為72億美元（5.8%）。</p> <p>其中，不管是iPhone、服務、穿戴裝置或Mac所締造的營收都高於前一年，唯iPad營收下滑。</p> <p>在銷售版圖上，蘋果於美洲市場的營收為515億美元，歐洲為297億美元，大中華區為258億美元，日本為71億美元，其它亞太地區則是98億美元。當中唯一營收下滑的市場為日本。</p> <p>蘋果財務長Luca Maestri表示，消費者對蘋果最新發表的產品與服務反應熱烈，使得蘋果不管是在營收或獲利上都有兩位數的成長，也讓活躍的蘋果裝置數量創下歷史新高。</p> </div></div></div>
2022/1/28 14:34作者陳曉莉https://www.ithome.com.tw/news/149135
SUSE發布K8s與容器管理工具Rancher Desktop 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux發行版開發商SUSE發布容器管理工具<a href="https://www.suse.com/c/rancher_blog/rancher-desktop-1-0-0-has-arrived/">Rancher Desktop 1.0</a>，Rancher Desktop是一個開放原始碼應用程式，可供用戶在Mac、Windows和Linux桌面管理Kubernetes和容器。Rancher Desktop可以簡化用戶在桌面上操作Kubernetes的體驗，在桌面提供易於使用的本地端環境，方便地將應用程式打包成Kubernetes應用程式執行。</p> <p>官方提到，過去用戶要在桌面執行Kubernetes，需要使用開源命令列工具，而這些工具又相依於其他外部工具，Rancher Desktop能夠解決工具使用的複雜性，提供簡單且直覺的桌面應用程式操作體驗。而且用戶在生產環境，可能使用各種Kubernetes版本，由於Kubernetes版本間可能存在細微差異，版本間的API也有所不同，Rancher Desktop讓用戶在本地測試與生產環境中，簡單地使用一致的Kubernetes版本。</p> <p>Rancher Desktop內建k3s發行版，並讓用戶能夠自由選擇版本號，因此無論在生產環境和本地Kubernetes環境，都能使用相同版本，官方還提到，Rancher Desktop還能方便地用來測試工作負載，觀察其升級Kubernetes版本後的行為。</p> <p>Rancher Desktop的底層使用containerd或dockerd做為容器引擎，可供用戶自由選擇，並且以nerdctl或Docker CLI來建置、推送和拉取容器映像檔和執行容器，這些工具所建置的映像檔，可以直接在Kubernetes中執行，而不需要再從註冊表推送或是拉取。</p> </div></div></div>
2022/1/28 13:26作者李建興https://www.ithome.com.tw/news/149121
北韓駭客Lazarus利用Windows Update躲避偵測、還以GitHub遠端控制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.malwarebytes.com/threat-intelligence/2022/01/north-koreas-lazarus-apt-leverages-windows-update-client-github-in-latest-campaign/" target="_blank">資安廠商Malwarebytes發現</a>，北韓駭客Lazarus又開始活動，近日攻擊更發展出以Windows Update用戶端執行惡意程式以避免偵測，以及將GitHub當成外部控制伺服器等新式手法。</p> <p><a href="https://www.ithome.com.tw/news/104147" target="_blank">Lazarus最初是在2014年攻擊索尼影業</a>（Sony Pictures）為人所知，而後以發動WannyCry蠕蟲軟體攻擊，癱瘓全世界多個國家機場、企業及或關鍵設施聞名。</p> <p>安全廠商Malwarebytes發現Lazarus兩起手法新穎的釣魚信件攻擊。兩起攻擊分別是發生於去年12月及今年初，都是透過冒名提供洛克希德馬丁（Lockheed Martin）工作機會的Word檔案以誘使用戶下載開啟，作為攻擊第一步。</p> <p class="rtecenter"><img alt="" src="https://blog.malwarebytes.com/wp-content/uploads/2022/01/Screenshot-2022-01-25-at-9.56.22-PM-1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Malwarebytes</span></p> <p>這些檔案內含惡意巨集，經用戶開啟後即展開攻擊過程，包括下載惡意DLL檔及注入合法行程。其中攻擊者在exeplorer.exe載入drop_lnk.dll執行，以便在啟動資料夾下載WindowsUpdateConf.lnk，並檢視是否有wuaueng.dll，如果沒有就再下載其他檔案來完成下載這個dll。研究人員指出，WindowsUpdateConf.lnk執行C:\Windows\system32\wuauclt.exe這個手法相當特殊，因為攻擊者可利用Windows Update用戶端執行惡意程式碼，在其掩護下避免被安全軟體偵測到。</p> <p>若駭客檢視沒有wuaueng.dll，即額外下載runtimebroker.dll，在C:\Wíndows\system32\建立惡意目錄再下載這個.dll檔，這個手法也有助於隱匿蹤跡。透過下載wuaueng.dll這整個攻擊鏈最重要的.dll檔，讓受害者機器中的惡意程式得以和外部C&C伺服器建立連線。</p> <p>利用GitHub作為C&C伺服器的手法，也是安全廠商第一次發現Lazarus駭客使用。研究人員認為用它來進行短期的精準攻擊相當聰明，因為安全軟體很難分辨惡意和合法連線。</p> <p class="rtecenter"><img alt="" src="https://blog.malwarebytes.com/wp-content/uploads/2022/01/Screenshot-2022-01-25-at-4.44.58-PM-1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Malwarebytes</span></p> <p>至於Lazarus駭客究竟在受害者電腦植入了何種核心模組，研究人員還不清楚，因為駭客已經從受害者電腦中將之清除。目前僅知該模組並不會接觸到磁碟，防毒軟體不容易偵測到其存在。此外，它會蒐集用戶使用者名稱、電腦名稱、執行中的行程清單，並將資訊傳給C&C伺服器。</p> </div></div></div>
2022/1/28 13:41作者林妍溱https://www.ithome.com.tw/news/149130
IMF呼籲薩爾瓦多放棄以比特幣為法定貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日比特幣狂跌，<a href="https://www.imf.org/en/News/Articles/2022/01/25/pr2213-el-salvador-imf-executive-board-concludes-2021-article-iv-consultation" target="_blank">國際貨幣基金（IMF）本周呼籲</a>中美洲國家薩爾瓦多放棄以比特幣（Bitcoin）作為法定貨幣。</p> <p>近期IMF和薩爾瓦多官員就該國推動比特幣經濟政策舉行雙邊會談，並在本周一會談結束後公布這項報告。<a href="https://www.ithome.com.tw/news/146598" target="_blank">去年9月薩爾瓦多宣布</a>正式接納比特幣為法定貨幣，並釋出官方的Chivo Wallet比特幣錢包（如下圖所示），成為全球第一個將比特幣視為法定貨幣的國家。同年11月該國又宣布<a href="https://www.ithome.com.tw/news/147966" target="_blank">將打造一座比特幣城（Bitcoin City）</a>，發行10億美元的比特幣債券作為建城資金，建立挖礦用的電廠，將免除比特幣城內所有稅收。</p> <p class="rtecenter"><img alt="" src="https://www.presidencia.gob.sv/wp-content/uploads/2021/10/photo_2021-10-07_12-48-17-1280x635.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／薩爾瓦多政府網站</span></p> <p>其中IMF對薩國接受以比特幣為法定貨幣感到不妥。鑒於比特幣高度波動性，IMF理事強調，使用比特幣對經濟穩定性、完整性及消費者有很大風險及可能衍生的財政責任，IMF呼籲薩國應縮小比特幣的實施範疇，尤其是應去除比特幣作為法定貨幣的地位，另外部份IMF理事也對比特幣債券的風險表達憂慮。</p> <p>薩國總統Nayib Bukele去年以每枚5萬美元，買入6,600萬美元的比特幣，本月稍早還宣布再購入1,500萬美元的比特幣，稱此時「相當便宜」。不過他的比特幣政策引發薩國民眾多次抗議。<a href="https://www.bloomberg.com/news/articles/2022-01-25/imf-board-urges-el-salvador-to-ditch-bitcoin-as-legal-tender" target="_blank">彭博估計</a>薩國去年的投資已蒙受2,000萬美元損失。</p> <p>去年11月比特幣兌美元漲到6.8萬美元的天價後即轉而下滑，原因在多國政府或央行的出手干預。上周在俄羅斯宣布將考慮禁止挖礦及使用加密貨幣後，比特幣價格再下跌到3.2萬美元。昨日比特幣又回漲到3.7萬美元。</p> <p>雖然財經界對比特幣感到不安，但不少行政首長以擁抱加密貨幣為政績。為宣示支持加密貨幣，<a href="https://www.ithome.com.tw/news/149031" target="_blank">紐約市長Eric Adams上周宣布</a>第一份薪水將換算成以太幣（Ethereum）及比特幣領取。佛州邁阿密市長Francis Suarez也有此打算。</p> </div></div></div>
2022/1/28 14:03作者林妍溱https://www.ithome.com.tw/news/149131
微軟發現新一波多階段釣魚攻擊，多因素身分驗證成為組織防禦關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/01/26/evolved-phishing-device-registration-trick-adds-to-phishers-toolbox-for-victims-without-mfa/">微軟揭露最近所發現的複雜釣魚活動</a>，攻擊者藉由將自己的裝置加入企業網路中，以執行進一步的傳播活動。這與傳統網路釣魚策略相比，這個多階段的大規模釣魚攻擊，運用了更新的技術，微軟提到，一旦組織沒有啟用多因素身分驗證，攻擊者只要竊取憑證，就能透過自帶裝置（BYOD）註冊自己的裝置。</p> <p>這波釣魚攻擊的第一階段的目標，主要是竊取組織的憑證，標的橫跨澳洲、新加坡、印尼和泰國各國，而釣魚攻擊的第二波，則是使用盜來的憑證，寄發組織內釣魚信件擴展立足點，甚至還會發送外網郵件。</p> <p>在這個案例中，裝置註冊被用於進一步的網路釣魚攻擊中，而根據微軟的觀察，在其他案例也有裝置註冊用於攻擊的情形。多因素身分驗證可以有效防止攻擊者在竊取憑證後，用於存取組織裝置或是網路，但未啟用多因素驗證的組織中，攻擊則會無阻礙地在組織網路中進行。</p> <p>微軟提到，網路釣魚目前仍然是獲得初始進入企業內網的最主要攻擊手段，而這最新一波的釣魚攻擊代表著，託管裝置可見性和保護能力的改進，迫使攻擊者開始探尋替代途徑。企業在家工作的員工增加，擴大了潛在攻擊面，這同時也改變公司內部和外部的網路界限。</p> <p>攻擊者部署各種策略，來針對混合工作、人為錯誤、影子IT，或是未受管理的應用程式、服務、裝置，和其他在標準政策外運作的基礎設施。微軟表示，這些不受管理的裝置，在加入時容易被安全團隊遺漏，因此成為可被利用的攻擊目標。微軟研究人員還指出在這個案例中，最令人擔憂的點，是攻擊者不只成功連接裝置，而且掌握對該裝置完全的操作以及控制能力。</p> <p>微軟所公開的這個最新釣魚攻擊，攻擊者在第一階段攻擊，入侵多個組織的電子郵件信箱，藉由實作收件信箱規則來逃避偵測，並在第二階段攻擊，針對缺乏實作多因素身分驗證協定的組織，註冊攻擊者的非託管裝置，寄發橫向、內部和出站垃圾郵件，進一步傳播惡意訊息。該攻擊顯示，當憑證被盜且零信任政策未到位，攻擊者的非託管裝置，就可能成為組織網路的一部分。</p> </div></div></div>
2022/1/28 12:47作者李建興https://www.ithome.com.tw/news/149119
微軟以索引技術進一步加速Visual Studio程式碼搜尋速度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在最新的Visual Studio 2022 17.1的預覽版中，加入<a href="https://devblogs.microsoft.com/visualstudio/code-search-in-visual-studio-is-about-to-get-much-faster/">新的檔案中搜尋（Find in Files）功能</a>，以提供開發者更好的搜尋體驗，Visual Studio 2022與Visual Studio 2019相比，95％的檔案中搜尋速度已經大幅提升達到2倍速，而在17.1版本中，搜尋速度將再次提升。</p> <p>將各版本的搜尋時間相比（下圖），Visual Studio 2019 16.4版本速度最慢，搜尋查詢平均需要長達21.65秒才能完成，在Visual Studio 2019 16.11版已經縮短到10.05秒，Visual Studio 2022正式版再次縮短一半的時間，而最新的Visual Studio 2022 17.1版本的搜尋速度又更快了，現在執行一個搜尋查詢，僅需花費1秒多。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FiF-Graph.png" style="width: 580px;" /></p> <p>由於目前該功能還在預覽階段，因此開發者要用到最新的檔案中搜尋功能，可以到工具裡的預覽功能選項，啟用索引來加速搜尋體驗。一旦啟用該功能，當解決方案載入或是資料夾開啟時，Visual Studio便會啟動附屬程序ServiceHub.IndexingService.exe，並將檔案列表傳輸給該程序以建構索引。該索引程序在Visual Studio主程序外，以低於一般作業系統優先等級執行，會避免影響解決方案載入、建置和用戶活動。</p> </div></div></div>
2022/1/28 13:13作者李建興https://www.ithome.com.tw/news/149120
台積IT新關鍵能力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/tsmc-906x420.jpg?itok=5lmZqMvC" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">跑在程式碼上的晶圓廠，這是台積電維持競爭優勢鮮為人知的秘訣，但是晶圓廠越蓋越多，台積IT架構、產品設計，如何從單一廠，可以支援到10座、20座，甚至更多座的可能性？這正是台積IT最大的挑戰，也是台積數位轉型的新課題</p> </div></div></div>
2022/1/28 06:37作者王宏仁https://www.ithome.com.tw/article/149122
【獨家披露：台積IT關鍵新能力2】靠新手訓練營統一專業技能，台積電將雲端原生技術變成IT必備基礎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每一個台積IT新人，報到後的第一件事，就是要接受長達3個月的新手訓練，其中2個月更是要集中到特定部門，接受同一套專門技術的培訓，然後才回到原單位進行在職訓練。這套共同的專門技術，就是雲端原生技術的基礎訓練。</p> <p>早在2019年時，台積電就定調IT軟體開發策略，聚焦在雲端應用及手機App的開發，軟體開發流程更從瀑布開發模式，轉為DevOps和Agile開發模式。</p> <p>「IT工程師對台積越來越重要，因此，提升IT工程師的生產力也是一件很重要的事。」台積電IT主管Jenny Hu特別強調。</p> <p>尤其，台積從2021年底新一波校園IT招募時，不只鎖定資工、資管科系背景的學生，還要招募電機，機械，控制，工工，工管，數學，統計科系等理工科系的學生，對於非資工管科系背景的學生，進入台積後更需要提供一套標準化的技術培訓，才能讓IT部門新人能具備同樣的技術基礎，也能熟悉台積IT所用的開發流程和方法。</p> <p>因此，台積IT在2021年設立了一個「新技術應用專案課」（NTAP），除了負責新產品開發，也要負責要用現代化架構來重構廠區的老舊系統，另外還有一項重要任務就是負責新手訓練營，「將台積IT未來要用的一套雲原生技術，教給新進IT，以減少新人技能和日後實際所用技術的落差。」台積電NTAP新技術應用專案課工程師Jack Lo這一席話，點出了這個新手訓練營最重要的目的，讓新手IT人人都具備同一套台積IT未來必備的技術。</p> <p>2020年底時，台積首度公開了自家開發團隊內部所用的開發平臺，稱為TSMC One Platform，可以涵蓋從產品規劃、開發、組建、測試，發布到部署的流程，也都遵循DevOps流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TSMC-Plarform-One(1).png" /></p> <p>在TSMC One Platform平臺上，有一套完善的DevOps和CI/CD工具鏈，「透過這些DevOps工具鏈，可以讓台積的工程師，做好生命周期管理，把關軟體品質，也能提升生產力。」Jenny Hu補充。</p> <p>但是，有了一套完善的DevOps工具鏈還不夠，還需要搭配對應的開發方法論和開發流程，才能真正發揮作用。在台積IT新手訓練營中，培訓內容就涵蓋了這套台積內部所用的工具鏈和最佳開發實務。</p> <h3><strong><span style="color:#FF0000;">打開台積IT新手訓練營課程清單，都是雲端原生技術和工具</span></strong></h3> <p>打開台積IT新手訓練營的課程清單，從DevOps開發流程中，最基本的開源版本控管系統GIT開始介紹，像是最常用的「Pull Request操作」，另外也包括了系統設計與需求溝通必備的「User Story撰寫」。新手課程還提供了針對Web應用開發主流開源技術架構MERN的介紹，例如「MERN後端概論」、「MERN前端React」。還有與測試有關的「TDD與Jest」，其他課程還包括了Mirage.js函式庫、Next.js框架、Functional Programming（FP-TS），Pattern Matching、Azure DevOps Workitem、API文件工具Docusaurus等偏重技術性的課程，除此之外，還包括了「從MERN到CI/CD」、「Quarkus和Kotlin」、「Quarkus和CI/CD」、Temporal.io框架和F#語言。</p> <p>MERN（包括MongoDB、Express、React.js和Node.js）是目前台積電力推的開發框架，而Kotlin則是網頁後端開發所用的技術，而Quarkus則是搭配的框架。培訓內容也包括了管理產品開發上線過程的DevOps實務，從程式碼管理，版本控管、CI/CD自動化到Workitem管理等。台積電還會使用一些開發模式，包括測試驅動開發（TDD），行為驅動開發（BDD）和領域驅動設計（DDD）等模式，這些都是新手培訓範圍。</p> <p>不只是上課學習，台積IT新手訓練營也相當重視實作，報到後的主管啟動日中，就會說明教學內容和專案實作，再展開新手課程，包括TSMC基礎介紹、雲端原生技術和專案實作。前2個月，新手集中訓練期間，聚焦技術深化、溝通技巧、執行和協作。最後1個月，則進行部門實作訓練，新人歸建到原部門進行就職訓練（On-Job Training）</p> <p>前2個月的主要學習地點就是新技術應用專案課，除了接受一系列課程，台積也會安排資深工程師擔任導師，跟新手進行Pair Programming（結對程式設計），兩個人一起用同一個螢幕、同一組鍵盤一起開發來學習。</p> <p>Jack Lo指出：「為了開發一支Cloud Native的App，需要用到上述這些技術，這也都是為了近一兩年來，台積碰到的全球化挑戰，要朝向雲端邁進。」這正點出了新手訓練營背後的戰略意義，同樣為了瞄準台積電全球化挑戰而做的IT準備。</p> <p><span style="color: rgb(0, 0, 255);"><strong>【台積IT新關鍵能力】封面故事</strong></span></p> <p><a href="https://www.ithome.com.tw/news/149123">【獨家披露】2022台積IT發展重點(上)：從自動化製造到智能化製造，全球化營運是台積IT新挑戰</a><br /><a href="https://www.ithome.com.tw/news/149124">【獨家披露】2022台積IT發展重點(下)：新任CIO帶頭，台積IT展開2大變革支援全球營運</a><br /><a href="https://www.ithome.com.tw/news/149125">【獨家披露】台積數位轉型發展史：從AI全面轉型到全球化營運能力（完整圖表下載）</a><br /><a href="https://www.ithome.com.tw/news/149126">【獨家披露：台積IT關鍵新能力1】為何台積電大舉招募SRE和DevOps？</a><br /><a href="https://www.ithome.com.tw/news/149127">【獨家披露：台積IT關鍵新能力2】靠新手訓練營統一專業技能，台積電將雲端原生技術變成IT必備基礎</a></p> </div></div></div>
2022/1/28 09:53作者王宏仁https://www.ithome.com.tw/news/149127
【獨家披露：台積IT關鍵新能力1】為何台積電大舉招募SRE和DevOps？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">去年3月底，台積電官網人才招募網頁上，突然發布了一類新職缺，要招募網站可靠性工程師（Site Reliability Engineering，簡稱SRE），到了去年11月，台積電對這類人才的招募活動不僅沒有滿足，甚至還進一步擴大，要開始招募起SRE團隊的管理幹部。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">SRE是2016年開始崛起的新IT人才類型，當時Google把自家維運10億人規模的搜尋引擎或Email服務背後的那一套維運心法公開，打造成一套可以確保全球性服務高可靠度的作法，也就是SRE維運方法論，大力推廣，不少大型網路公司或科技公司也開始仿效導入，例如Netflix、LinkedIn，SRE成了維運全球性架構網路服務的指標性作法，甚至Netflix的SRE經驗更被許多企業視為學習的典範。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">近幾年，各種產業都相繼展開數位轉型，許多大型企業開始提供跨國性網路服務，也開始擁抱SRE，來確保自家服務不中斷，例如2019年，金融業如新加坡星展銀行，或是零售巨頭美國Target，都開始成立自己的SRE團隊。</p> <h3 style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#FF0000;">台積電是臺灣半導體業擁抱SRE的先行者</span></strong></h3> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">但是，SRE這個在國外科技圈火紅的新人才，在臺灣大多只在網路圈內流行，只有少數網路公司或雲端原生新創導入，直到2020年底、2021年初，才陸續出現幾家大型金控或大型製造業開始接觸SRE維運理念，展開嘗試，也開始出現這類人才的職缺需求。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">到了2021年下半年，在臺灣的人力銀行網站上的SRE職缺數量竟然翻了一倍。後疫新常態暴增的數位通路需求，讓越來越多企業想要強化自己的網站維運能力，從網路設備商、儲存產品商、房仲集團、保險公司、證券商、物流、媒體、實體百貨、超市賣場到線上電商，都要招募SRE人才。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">台積電正是2021年初，臺灣第一批招募SRE的高科技製造業者之一，甚至是半導體業者中，率先嘗試SRE的先行者之一。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">可是，上述積極擁抱SRE的臺灣企業，大多是為了因應零接觸經濟需求而招募，而台積電並非是提供大規模B2C服務的企業，而是半導體製造代工服務業，為何台積電突然開始大舉招募SRE？</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">從台積SRE招募公告中，初步可以看出，與台積IT這兩年數位轉型的新戰略方向，大有關係。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">台積早在兩年前，就開始大舉招募IT人力，2020年底時更打破例行性招募作法，首度舉辦線上徵才活動，要突破地域限制，想辦法吸引更多臺灣北、中、南部，甚至是海外的IT人才。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">當時，台積電不只開出大量的AI職缺，例如資料科學家、ML軟體工程師、ML平臺工程師、ML領域執行經理等，來持續支援從2016年大力推動的生產製造智慧化戰略，另一方面，台積電當時還積極招募3大類IT人才，包括了雲端平臺架構師、基礎建設架構師與工程師和資安維運工程師。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">去年，iThome獨家披露了台積電大舉招募AI和IT人才的關鍵布局，就是為了展開大規模數位轉型所需，尤其要招募的那3類IT職缺，都是基礎架構轉型所需的關鍵人力。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">當時有位台積IT招募主管就直言，台積IT在2020年的三大工作重點，一是要運用各種基礎架構新服務，來支援台積電的數位轉型，二是要運用軟體定義技術，將傳統資料中心轉型為真正的私有雲架構，最後一點則是揭露台積電正持續投入新世代IT基礎架構的研發，包括如5G、IoT、AIOps等新興技術，來支援台積電未來的成長。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">到了2021年，台積電絲毫沒有停下IT人才招募的腳步，甚至還更主動，深入更多場合、透過更多元的管道來招募。這些舉動反映出台積 IT急需更多新戰力的渴望。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">但是，台積IT在2021年需要的新人才，和展開數位轉型前期，也就是和2020年時的需求，不盡相同。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">在2021年下半年台積第二度IT大徵才活動中，進一步要擴大招募5大類人才，除了負責開發的軟體工程師、製造智慧化發展的AI/ML工程師，以及基礎架構工程師之外，2021年新出現的重點職缺，就是 SRE工程師和DevOps工程師，後兩者是2020年第一次IT大舉徵才中，沒有特別著墨的角色。</p> <h3 style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#FF0000;">邁向雲端原生環境，開始積極招募DevOps和SRE</span></strong></h3> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">在2021年10月有次校園徵才活動中，台積電難得透露了IT人才需求改變的關鍵原因。台積電IT主管Jenny Hu指出：「台積要開始邁向雲端原生的環境，DevOps跟SRE是2021年開始的重點新職缺。」</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">她進一步解釋：「台積一方面建立自己的K8s，發展雲端原生架構，完善DevOps工具鏈，也開始推動轉型，將老舊系統轉移到雲原生架構上，也讓我們IT開發的產品轉型，透過這些工具鏈，將產品做得更好。」</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">從台積賦予DevOps和SRE職務的工作重點中，更詳細的點出了這兩類人才在台積電打造雲端原生架構中所扮演的關鍵角色。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">這兩年，台積電一直持續招募大量軟體工程師，來負責內部軟體產品，也要瞄準未來全球營運的挑戰。但在2021年新增加的DevOps工程師的工作內容，不只也需要負責設計、開發和維運TSMC IT的軟體產品，更要使用雲原生技術，來開發全球營運製造的新平臺。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">台積電從2020年就開始積極發展容器化，後來開始發展自己的K8s私有雲環境，也預告未來會將所有服務都會轉移到K8s上。台積DevOps被賦予的工作內容，就是要運用雲端環境開發自動化工具，來建置K8s上的流程，包括CI/CD流程、自動化測試流程、自動化部署流程等，也要搭配，如Prometheus、Kibana等雲端開源工具，來監控軟體產品品質和監控K8s平臺的資源，以確保產品維運的可靠性，還要負責待命任務。也就是說，台積電未來軟體產品所部署的K8s雲端原生環境上，各種流程自動化都是台積DevOps的任務，這些任務也正是國外科技巨頭打造全球網路服務時，為了支援全球性規模所需要的自動化管理能力。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">而從台積SRE工作重點說明中可以看到，SRE要負責實現台積實現基礎架構程式碼化（Infrastructure as code，簡稱IoC），也要運用軟體方法來管理台積電的全球資料中心，包括基礎架構硬體設計、建設和維運。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">而SRE的工作內容則包括了，從裸機、VM、容器到K8s私雲的部署與基礎架構維護工作，以及要負責定義和管理SLO、SLI和錯誤預算（Error Budgets），另外，還要負責定義監控機制和預警機制。當然，IT緊急應變是SRE角色的重要任務，他們得輪班待命處理緊急事件與事後檢討。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">為了優化這些維運和管理工作，台積電的SRE也得具備各項雲端原生技術的開發能力，自己來發展相關的工具和所需的自動化流程。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">從台積賦予這兩類角色的工作內容來看，DevOps和SRE是高度互補的角色，DevOps聚焦AP應用系統層級的大規模管理挑戰，而SRE則更進一步涵蓋到資料中心層級的全球維運和管理，但不論是SRE或是DevOps，都是為了雲端原生架構的大規模管理和維運，這正是台積用來因應全球化營運挑戰的IT新能力。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><img alt="" src="https://s4.itho.me/sites/default/files/images/TSMC-SRE%E8%81%B7%E7%BC%BA.jpg" /></p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><img alt="" src="https://s4.itho.me/sites/default/files/images/TSMC-DevOps%E8%81%B7%E7%BC%BA(1).jpg" /></p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong style="color: rgb(0, 0, 255); font-family: sans-serif, Arial, Verdana, "Trebuchet MS"; font-size: 13px;">【台積IT新關鍵能力】封面故事</strong></p> <p><a href="https://www.ithome.com.tw/news/149123">【獨家披露】2022台積IT發展重點(上)：從自動化製造到智能化製造，全球化營運是台積IT新挑戰</a><br /><a href="https://www.ithome.com.tw/news/149124">【獨家披露】2022台積IT發展重點(下)：新任CIO帶頭，台積IT展開2大變革支援全球營運</a><br /><a href="https://www.ithome.com.tw/news/149125">【獨家披露】台積數位轉型發展史：從AI全面轉型到全球化營運能力（完整圖表下載）</a><br /><a href="https://www.ithome.com.tw/news/149126">【獨家披露：台積IT關鍵新能力1】為何台積電大舉招募SRE和DevOps？</a><br /><a href="https://www.ithome.com.tw/news/149127">【獨家披露：台積IT關鍵新能力2】靠新手訓練營統一專業技能，台積電將雲端原生技術變成IT必備基礎</a></p> </div></div></div>
2022/1/28 09:54作者王宏仁https://www.ithome.com.tw/news/149126
【獨家披露】台積數位轉型發展史：從AI全面轉型到全球化營運能力（完整圖表下載）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3>2020年是台積數位轉型的關鍵第一年，不只推動IT基礎架構三大重心、AI四大應用布局，更開始邁向五大轉型方向。2021年，台積數位轉型進入全新的階段，不只找來矽谷大將擔任CIO，IT組織也大改組，2022年，台積IT更將展開2大關鍵變革，這一切，都是為了發展全球化的營運能力。(可參考另一篇長文：</h3> <h3><strong><span style="color:#FF0000;">自動化製造時期：從半自動邁向生產自動化</span></strong></h3> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2000～2010年：2000年是自動化元年，開始發展機台自動化、物料傳送自動化、晶圓派工自動化。2006年報揭露，超大晶圓廠達到近百分之百的全自動化生產。</p> <h3 style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#FF0000;">智能化製造時期：發展整合平臺和大數據到全面AI化</span></strong></h3> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2011年：智能化元年，開始發展晶圓大數據，率先進入智慧化生產流程，<strong><span style="color:#0000FF;">將人工智慧導入晶圓製造</span></strong></p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2013～2016年以跨界培育人才為主，打造資料整合平臺和高效能計算環境，來發展機器學習平臺。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2017年開始強化智能系統，找來專家參與智能模型開發，建立專家知識庫（分析標的、製程特性、跨站相依性、資料預處理）來精進智能化製造。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2018年，擁有1,000位IT人員和300位機器學習專家</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2018年10月，首度宣布在開放創新平臺（OIP）提供「<strong><span style="color:#0000FF;">虛擬設計環境</span></strong>」VDE，讓客戶透過雲端進行晶片設計，也啟動第5個開放創新平台聯盟「雲端聯盟」，將雲端業者納入晶片設計製造生態系</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2019年開始發展知識智慧化，利用AI來發展智慧排程與精準派工、提升人員生產力、優化機臺生產力、製程與機臺控制、品質監控。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2019年，IT軟體開發策略著重在<span style="color:#0000FF;"><strong>雲端應用</strong></span>以及<span style="color:#0000FF;"><strong>手機App</strong></span>開發，軟體開發流程更從瀑布開發模式，轉為<strong><span style="color:#0000FF;">DevOps</span></strong>和<strong><span style="color:#0000FF;">Agile</span></strong>開發模式。</p> <h3 style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#FF0000;">數位轉型時期：加速數位轉型、發展全球化營運能力</span></strong></h3> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2020年：因為疫情，加速數位轉型腳步，開始發展<strong><span style="color:#0000FF;">AR/MR跨廠遠端協同合作</span></strong>、<strong><span style="color:#0000FF;">強化廠際技術移轉能力，推動數位工廠（Digitized Fab）的製造流程改造計畫</span></strong>，以及<strong><span style="color:#0000FF;">打造遠距辦公系統</span></strong>等</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2020年5月，台積宣布將在美國亞利桑那州設立先進晶圓廠，將於2021年動工，於2024年開始量產。2021年至2029年預計將投資約120億美元。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2020年中，展開<span style="color:#0000FF;"><strong>5G企業內網規畫與部建</strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2020年12月，<strong><span style="color:#0000FF;">台積電IT首次線上大規模徵才</span></strong>，招募海內外IT業界人才，主要招募3大類人才：雲端平臺架構師、基礎建設架構師與工程師和資安維運工程師</p> <h3 style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#FF0000;">● 2020年底成果：</span></strong></h3> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#0000FF;">【TSMC內部雲端軟體開發平臺】</span></strong>，整合DevOps流程和工具，支援上千名工程師開發。多數應用程式已轉移到Kubernetes環境，也採用微服務架構來設計軟體系統。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#0000FF;">【2020台積IT基礎架構團隊三大工作重心】</span></strong>：運用各種基礎架構新技術（完整行動應用、導入協同合作和線上會議服務、雲端服務整合利用）協助企業數位轉型，資料中心透過軟體定義（虛擬化、容器化、基礎架構程式化）轉型成真正的私有雲、基礎架構持續創新（導入新世代5G、IoT製造、AIOps技術）</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#0000FF;">【2020台積AI和ML四大應用布局】</span></strong>：製程研發面：用AI協助理解高複雜高維度的製程開發挑戰。Fab量產面：用AI和ML分析感測資料和檢測影像，來進行品質檢驗、缺陷檢查，協助快速產生高品質的晶圓。業務面：市場動態分析大量使用AI，也用來分析顧客行為模式。IT維運：利用AI協助IT內部複雜系統的維運，異常偵測等。下一代智慧工廠發展策略，要結合行動應用、MR、IoT、大數據和AI來發展下一代AI工廠。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2020年底，公布<strong><span style="color:#0000FF;">【台積數位轉型五大方向】</span></strong>：用AI、大數據及尖端數位科技來打造<strong><span style="color:#0000FF;">智慧製造</span></strong>（如智能調機及機臺邊緣運算）、<strong><span style="color:#0000FF;">數位供應鏈管理</span></strong>、<strong><span style="color:#0000FF;">高效能混合雲端運算及服務</span></strong>（將適合業務上雲，如雲端CRM和雲端HCM）、<strong><span style="color:#0000FF;">工作場所現代化</span></strong>（如內部行動App、RPA、智能會議室等）、<strong><span style="color:#0000FF;">團隊協作</span></strong>（如AR/MR遠端協作、使用者為中心的團隊協作合作平臺）。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2021年2月，找來曾任臉書企業平臺架構處長、Mozilla資訊技術副總的林宏達博士，擔任<strong><span style="color:#0000FF;">台積電資訊長</span></strong>。負責範圍涵蓋台積公司資訊技術相關業務，包括智能製造服務、高效能運算、數位化供應鏈、電子商務、團隊協同合作、現代化辦公室及資訊技術基礎架構等。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2021年5月，<strong><span style="color:#0000FF;">台積IT組織重組</span></strong>。台積IT目前規模超過上千人，分為四大處，人數最多的是技術系統整合處（Technology System Integration Division，簡稱TSID），負責智慧製造相關的系統，和工程技術的系統整合工作，主要任務是打造智慧製造工廠，機台自動化生產力和12吋廠自動化。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">第二大部門是負責基礎架構的資訊建構既通訊服務處（Infrastructure & Communication Services Division，簡稱ICSD），主要任務是負責IT基礎建設和管理，雲端運算服務和網路資訊安全。只要設立新的廠區，ICSD就需要支援新設立的資料中心。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">第三個部門是負責AI 相關的智慧應用整合處（AI Application Integration Division，簡稱AAID），主要任務包括了人工智慧易用、設計研發平臺、工程資料分析和8吋廠自動化。另外還要負責一些分析任務和8吋廠自動化工作。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">最後一個處是企業系統整合處（Business System Integration Division，簡稱BSID），主要任務包括了電子商務系統、企業資源規劃（ERP）、供應鏈管理（SCM）、人力資源管理HCM等系統。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2021年，IT開發邁向Product模式：過去是開發和維運分開，每設立新廠，就設立資料中心和新維運團隊。現在改為Product模式，按照IT軟體產品來規劃，而不是依照工廠建廠來規劃。隨著相關自動化工具越來越完整後，也要將DevOps落實到台積IT各項流程。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2021年10月，再次大規模招募五大類IT人才，首度開始招募<strong>SRE工程師和DevOps工程師</strong>，另外還有軟體工程師、AI/ML工程師和資訊基礎架構工程師，其中以軟體工程師和DevOps工程師招募需求最大。2021年更開始舉辦3個月的新手訓練營，先用2個月集中訓練，學習各項台積IT所需的Cloud Native技術和DevOps工具鏈，再回到原單位進行一個月的就職訓練。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2021年，開始招募SRE團隊，大力發展基礎架構程式碼化（Infrastructure as code），使用軟體的方法管理TSMC全球資料中心、基礎架構硬體設計、建設和維運。</p> <h3 style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#FF0000;">【2022年台積IT發展重點】</span></strong></h3> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● <strong><span style="color:#0000FF;">台積IT主要軟體產品都改為產品開發模式</span></strong>，也會使用DevOps來管理。包括MES、機台自動化、機台控制、品質管理、設備系統、製程良率分析、CRM、ERP、電子商務、生產資料主資料庫、供應鏈管理SCM和人資管理HCM</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● <strong><span style="color:#0000FF;">從Scale up（垂直擴充）邁向Scale out（水平擴充）</span></strong>：<br /> 台積IT已經運用開源技術打造了台積私有的K8s環境（自建K8s而非商用K8s），將會逐漸將各項容器化的應用，轉移到這個TSMC K8s環境上。<span style="color:#0000FF;"><strong>未來台積所有服務都會轉移到K8s上，更要大力發展全球資料中心維運能力，目標是要強化應用程式可靠性和快速回復能力</strong></span>，以公雲全球資料中心營運方式，作為學習的標竿。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">圖片來源／台灣積體電路製造股份有限公司</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">資料來源：台積電官網和台積電IT校園徵才活動紀錄、iThome整理，2022年1月</p> <p><span style="color: rgb(0, 0, 255);"><strong>【台積IT新關鍵能力】封面故事</strong></span></p> <p><a href="https://www.ithome.com.tw/news/149123">【獨家披露】2022台積IT發展重點(上)：從自動化製造到智能化製造，全球化營運是台積IT新挑戰</a><br /><a href="https://www.ithome.com.tw/news/149124">【獨家披露】2022台積IT發展重點(下)：新任CIO帶頭，台積IT展開2大變革支援全球營運</a><br /><a href="https://www.ithome.com.tw/news/149125">【獨家披露】台積數位轉型發展史：從AI全面轉型到全球化營運能力（完整圖表下載）</a><br /><a href="https://www.ithome.com.tw/news/149126">【獨家披露：台積IT關鍵新能力1】為何台積電大舉招募SRE和DevOps？</a><br /><a href="https://www.ithome.com.tw/news/149127">【獨家披露：台積IT關鍵新能力2】靠新手訓練營統一專業技能，台積電將雲端原生技術變成IT必備基礎</a></p> <h2 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 31.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: rgb(255, 0, 0);">一張圖表，了解台積電數位轉型發展史</span></h2> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><a href="https://r.itho.me/tsdx22">下載連結 https://r.itho.me/tsdx22</a><br /> （以<span style="vertical-align: top; color: rgb(0, 0, 255);">CC-BY-NC-ND-4.0</span>釋出，需標示作者<span class="cc-license-title" property="dc:title dct:title" style="vertical-align: top; box-sizing: inherit; display: inline;">姓名，非商業性使用、禁止改作</span>)</p> </div></div></div>
2022/1/28 09:55作者王宏仁https://www.ithome.com.tw/news/149125
【獨家披露】2022台積IT發展重點(下)：新任CIO帶頭，台積IT展開2大變革支援全球營運
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><a href="https://www.ithome.com.tw/news/149123"><span style="color:#808080;">【可參考上篇，2022台積IT發展重點(上)：從自動化製造到智能化製造，全球化營運是台積IT新挑戰】</span></a></h3> <h3><strong><span style="color: rgb(255, 0, 0);">找來矽谷大將擔任CIO</span></strong></h3> <p>到了2021年，台積數位轉型發展，進入了全新的階段，因為在這一年的2月，台積找來了曾任臉書企業平臺架構處長、Mozilla資訊技術副總的林宏達博士，擔任台積電資訊長。他負責範圍涵蓋了台積公司資訊技術相關業務，包括智能製造服務、高效能運算、數位化供應鏈、電子商務、團隊協同合作、現代化辦公室及資訊技術基礎架構等。台積IT團隊有了來自矽谷的新領導人，也更積極展開IT體質的大變革。</p> <p>另一方面，也正是從2021年開始，台積IT的開發模式，邁向了Product模式。臺積IT過去是採取開發和維運分開的模式，每次設立一座新廠，就設立資料中心和新維運團隊。但是，現在改為Product模式，按照IT軟體產品來規劃，而不是依照工廠建廠來規劃。隨著相關自動化工具越來越完整後，也開始要將DevOps落實到台積IT各項流程中。</p> <h3><span style="color: rgb(255, 0, 0);"><strong>台積IT組織大重組，重新劃分為四大處</strong></span></h3> <p>除了開發模式大變革，台積IT更在2021年5月展開了組織重組，將台積IT超過上千人規模的團隊，分為四大處，人數最多的是技術系統整合處（Technology System Integration Division，簡稱TSID），負責智慧製造相關的系統，和工程技術的系統整合工作，主要任務是打造智慧製造工廠，機臺自動化生產力和12吋廠自動化。</p> <p>第二大部門是負責基礎架構的資訊建構既通訊服務處（Infrastructure & Communication Services Division，簡稱ICSD），主要任務是負責IT基礎建設和管理，雲端運算服務和網路資訊安全。未來，只要設立新的廠區，ICSD就需要支援新設立的資料中心。另外，負責AI 相關的智慧應用整合處（AI Application Integration Division，簡稱AAID）則是第三個部門，主要任務包括了人工智慧易用、設計研發平臺、工程資料分析和8吋廠自動化。另外AAID還要負責一些分析任務和8吋廠的自動化工作。</p> <p>最後一個處是企業系統整合處（Business System Integration Division，簡稱BSID），主要任務包括了電子商務系統、企業資源規劃（ERP）、供應鏈管理（SCM）、人力資源管理HCM等系統。</p> <p>2021年10月，台積再次展開大規模的IT招募活動，要招募五大類IT人才，除了軟體工程師、AI/ML工程師和資訊基礎架構工程師，更首度開始招募SRE工程師和DevOps工程師，其中以軟體工程師和DevOps工程師的招募需求最大，在台積IT旗下四個部門中，TSID、BSID和AAID都需要這兩類人才，而SRE工程師則是ICSD特別要招募的人才。</p> <h3><span style="color: rgb(255, 0, 0);"><strong>首度公開2022年台積IT發展重點</strong></span></h3> <p>台積IT在今年的發展重點，將聚焦2大變革和5大方向，第一項變革是台積IT主要軟體產品都改為產品開發模式，也會使用DevOps來管理。這些軟體產品包括了MES、機臺自動化、機臺控制、品質管理、設備系統、製程良率分析、CRM、ERP、電子商務、生產資料主資料庫、供應鏈管理SCM和人資管理HCM等系統。</p> <p>另一項變革則是，台積IT的發展策略，要從Scale up（垂直擴充）邁向Scale out（水平擴充）策略。一方面台積IT已經運用開源技術打造了台積私有的K8s環境，將會逐漸將各項容器化的應用，轉移到這個TSMC K8s環境上。甚至，未來台積所有服務都會轉移到K8s上，更要大力發展全球資料中心維運能力，目標是要強化應用程式可靠性和快速回復能力，以公雲全球資料中心營運方式，作為學習的標竿。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TSMC-%E4%B8%BB%E6%96%87-%E5%9C%961-%E5%B0%8F.png" /></p> <p>而對整體台積的數位轉型發展，也更聚焦5大發展方向，包括了「工作環境現代化」，例如居家上班、安全PC、RPA、智慧視訊會議、雲端辦公室、行動化等，第二個方向是高效能雲端運算應用，如雲端HCM、雲端HPC、雲端CRM等。第三個發展方向則要強化外部客戶、供應商及內部員工的協同合作，利用如AR/MR技術、遠端協作、Teams協作平臺、跨裝置通訊、全球網路架構等，另外，第四個方向則是持續發展生產製造的智慧化，包括LITHO（光刻）智慧工具、ETCH（蝕刻）製程AI控制、AI EDA（AI輔助電子設計自動化）、AI排程和運輸，以及遠端協作能力等。最後一項2022年的數位轉型方向則是「數位供應鏈的掌握與管理」，包括要發展Supply Online和TSMC-Online平臺、全球運籌和倉儲現代化，以及行銷智能平臺。</p> <p>在2021年10月中這場校園招募上，台積電資訊長林宏達更是直言：「台積公司本身正經歷數位轉型，這是真實正在發生的事。我們擁有非常清晰的技術藍圖，也有想要達到的遠大願景。當來自矽谷和全世界的頂尖科技，遇上半導體創新和高度製造紀律，彼此交會將帶來什麼樣的火花？這是非常令人振奮的時刻。」</p> <table border="0" cellpadding="1" cellspacing="0"><tbody><tr><td style="background-color: rgb(204, 255, 255);"> <h3><strong>矽谷雲端原生技術大將擔任CIO ，台積IT展開新一波變革</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8F%B0%E7%A9%8D%E9%9B%BBCIO(1).jpg" style="float: left;" />在2021年2月，台積找來了曾任臉書企業平臺架構處長、Mozilla資訊技術副總的林宏達博士，擔任台積電資訊長。他所負責範圍，涵蓋了台積公司資訊技術相關業務，包括智能製造服務、高效能運算、數位化供應鏈、電子商務、團隊協同合作、現代化辦公室及資訊技術基礎架構等。</p> <p>在加入台積公司之前，在2016至2018年間，林宏達擔任臉書（現為Meta公司）企業平臺架構處長，負責工程與軟體為主的營運，支援臉書業務的運算平臺、運行時間、網路、安全性、應用營運、資料營運、以及裝置營運。</p> <p>2018年時，林宏達轉而進入Firefox瀏覽器的主要開發組織Mozilla公司，擔任資訊技術副總經理，負責策略設計及技術藍圖轉型，他也要負責利用微服務及雲端原生設計，來擴大Mozilla的業務架構規模。那一年正是Mozilla開始打造全球性VPN服務，要來發展新的業務類型，2年後，這項VPN服務也順利正式推出。</p> <p>台積IT團隊有了來自矽谷的新領導人，在2021年更加積極展開了IT體質的大變革，不只在2021年展開IT組織重組，也將台積IT主要軟體產品都改為產品開發模式，並從Scale up（垂直擴充）的IT發展策略，轉為Scale out（水平擴充）的發展策略。另外，還開始強化對全球化營運的支援，特別在2021年開始招募SRE團隊，大力發展全球資料中心的維運能力，以公雲全球資料中心營運方式，作為學習的標竿。<br /> </p> <p> 台積電資訊長林宏達小檔案<br /> 學歷：● 美國加州大學柏克萊分校電機暨電腦資訊博士<br /> 經歷：● 台積公司企業資訊技術資訊長● 美國摩茲公司資訊技術副總經理● 美國臉書公司企業平台架構處長● 賽門鐵克工程暨架構營運副總經理</p> <p>資料來源：台積官網，iThome整理，2022年1月</p> </td> </tr></tbody></table><p><span style="color:#0000FF;"><strong>【台積IT新關鍵能力】封面故事</strong></span></p> <p><a href="https://www.ithome.com.tw/news/149123">【獨家披露】2022台積IT發展重點(上)：從自動化製造到智能化製造，全球化營運是台積IT新挑戰</a><br /><a href="https://www.ithome.com.tw/news/149124">【獨家披露】2022台積IT發展重點(下)：新任CIO帶頭，台積IT展開2大變革支援全球營運</a><br /><a href="https://www.ithome.com.tw/news/149125">【獨家披露】台積數位轉型發展史：從AI全面轉型到全球化營運能力（完整圖表下載）</a><br /><a href="https://www.ithome.com.tw/news/149126">【獨家披露：台積IT關鍵新能力1】為何台積電大舉招募SRE和DevOps？</a><br /><a href="https://www.ithome.com.tw/news/149127">【獨家披露：台積IT關鍵新能力2】靠新手訓練營統一專業技能，台積電將雲端原生技術變成IT必備基礎</a></p> <p> </p> </div></div></div>
2022/1/28 09:56作者王宏仁https://www.ithome.com.tw/news/149124
【獨家披露】2022台積IT發展重點(上)：從自動化製造到智能化製造，全球化營運是台積IT新挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/149124"><span style="color:#A9A9A9;">【可參考下篇：2022台積IT發展重點(下)：新任CIO帶頭，台積IT展開2大變革支援全球營運】</span></a></p> <p>「台積IT目前最大的挑戰是，晶圓廠越蓋越多，IT的軟體產品如何快速從一個廠，擴展到其他廠？台積IT架構、產品設計，如何從單一廠，可以支援到10座、20座，甚至更多座的可能性？」台積電IT主管Jenny Hu強調。在2021年10月15日，一場台積IT校園徵才活動中，Jenny Hu透露了台積IT當前最重要的戰略課題，「甚至是，如何監控這些IT系統的可靠度，發生問題如何快速恢復，這些都是台積 IT發展戰略未來的課題。」她的語氣既是興奮，又是急迫，正反映出台積IT一連兩年大舉招募IT人力的迫切需求。</p> <p>2020年5月，台積宣布將在美國亞利桑那州設立先進晶圓廠，2021年動工，2024年要開始量產。這個上百億美元投資的海外設廠計畫，對台積IT帶來全新的挑戰。</p> <p>因為一談到台積電的優勢，眾人第一個想到的就是台積在半導體技術上的領先和發展，但是鮮為大眾所知的是，IT軟體對台積電的重要性，遠超乎一般人的想像，甚至可以說，IT的重要性，不亞於半導體領先技術的價值。</p> <h3><strong><span style="color:#FF0000;">台積競爭優勢的秘訣：跑在程式碼上的晶圓廠</span></strong></h3> <p>「台積電如何維持競爭優勢，一個很重要的秘訣就是『跑在程式碼上的晶圓廠』（Fab runs on code）。」Jenny Hu解釋：「不管是半導體前瞻製程，或是全球製造能力，IT都是非常重要的支援夥伴。過去的高度自動化製造系統，到正在發展的智慧化和應用軟體，每一個單位都會用IT打造的系統和平臺。」</p> <p>在2020年底，台積有史以來第一次舉辦線上IT徵才活動時，一位台積資訊主管就直言，台積一直用IT重新定義半導體的製造和生產。</p> <p>當時台積電更首度公開了自家晶圓廠所採用的IT軟體架構，從生產製造相關的晶圓製造MES系統、機臺自動化，機臺控制系統等，另外還有品質管理、設備管理、製程良率分析等系統，還需要業務管理用的CRM、ERP、電子商務系統、產品資料管理、供應鏈SCM、HCM人資系統等，這些系統都是由台積IT所開發的軟體產品。正因為大量依賴軟體來支援生產製造，所以，才會說台積的晶圓廠是「跑在程式碼上的晶圓廠」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TSMC-%E4%B8%BB%E6%96%87-%E5%9C%962.png" /></p> <h3><strong><span style="color:#FF0000;">30年台積IT發展，從全自動化、AI化到數位轉型</span></strong></h3> <p>而這一路的發展，可以追溯到1995年展開的台積自動化旅程，在2000年從半自動邁進全自動化階段。在台積電於2021年6月公布的「109年度企業社會責任報告」中，台積更將全自動化後、AI化到現在數位轉型的歷程，分為三個階段，2000～2010年是自動化製造時期，以2000年作為自動化元年，開始發展機臺自動化、物料傳送自動化、晶圓派工自動化。</p> <p>到了2011年，開始進入新的發展階段，這一年也是台積智能化元年，開始發展晶圓大數據，率先進入智慧化生產流程，將人工智慧導入晶圓製造。</p> <p>而從2013開始，連續三年，台積以跨界培育人才為主，並且同步打造資料整合平臺和高效能計算環境，來發展機器學習平臺。到了2017年，開始強化智能系統，找來專家參與智能模型開發，建立專家知識庫（分析標的、製程特性、跨站相依性、資料預處理）來精進智能化製造。到了2018年時，台積已經擁有1,000位IT人員和300位機器學習專家，這群人成了智能化製造的關鍵戰力。</p> <p>2018年10月，台積首度宣布在開放創新平臺（OIP）提供「虛擬設計環境」VDE，讓客戶透過雲端進行晶片設計，也啟動第5個開放創新平臺聯盟「雲端聯盟」，將雲端業者納入晶片設計製造生態系。這是台積電大舉運用雲端技術的重要成果之一，也讓台積IT累積更多雲端原生技術能力。</p> <p>台積在2019年開始發展知識智慧化，利用AI來發展智慧排程與精準派工、提升人員生產力、優化機臺生產力、製程與機臺控制、品質監控。</p> <p>2019年，台積一方面持續大舉利用AI來發展智慧排程與精準派工、提升人員生產力、優化機臺生產力、製程與機臺控制、品質監控。另一方面，在IT軟體開發策略上，台積也開始著重在雲端應用以及手機App開發，值得一提的是，台積軟體開發流程更是大變革，從瀑布開發模式，轉為DevOps和Agile開發模式。這些基礎，都成了台積開始擁抱雲端原生架構，展開數位轉型的基礎。</p> <h3><span style="color:#FF0000;"><strong>2020年是台積數位轉型的關鍵第一年</strong></span></h3> <p>2020年是台積從智能化製造，展開數位轉型的關鍵第一年。因為在這一年全球疫情開始暴發，雖然臺灣災情相對影響較小，但台積也因疫情而加快了數位轉型的腳步，開始發展AR/MR跨廠遠端協同合作、強化廠際技術移轉能力，推動數位工廠（Digitized Fab）的製造流程改造計畫，以及打造遠距辦公系統等。2020年中，更展開了5G企業內網規畫與部建。</p> <p>台積電在2020年12月首次舉辦線上大規模徵才，要招募海內外IT業界人才。同時也首度公布了台積電數位轉型的五大方向，包括了用AI、大數據及尖端數位科技來打造智慧製造（如智能調機及機臺邊緣運算）、數位供應鏈管理、高效能混合雲端運算及服務（將適合業務上雲，如雲端CRM和雲端HCM）、工作場所現代化（如內部行動App、RPA、智能會議室等）、團隊協作（如AR/MR遠端協作、使用者為中心的團隊協作合作平臺）。也因為要發展這5大轉型方向，台積除了繼續招募AI/ML人才之外，也開始大舉招募3類IT人才：雲端平臺架構師、基礎建設架構師與工程師和資安維運工程師。</p> <h3><strong><span style="color:#FF0000;">台積數位轉型初步成果首度公開</span></strong></h3> <p>iThome在2021年初，獨家揭露了台積2020年底的數位轉型成果。第一類成果是台積一路從大數據和多年AI化發展後的成果，在AI和ML有4大應用布局。製程研發面，用AI協助理解高複雜高維度的製程開發挑戰。在Fab量產面，用AI和ML分析感測資料和檢測影像，來進行品質檢驗、缺陷檢查，協助快速產生高品質的晶圓。另外在業務面，市場動態分析大量使用AI，也用來分析顧客行為模式。最後一項在IT維運上，利用AI協助IT內部複雜系統的維運，異常偵測等。另外，台積也揭露了下一代智慧工廠的發展策略，要結合行動應用、MR、IoT、大數據和AI來發展下一代AI工廠。</p> <p>另外一類則是台積IT自身的轉型成果，包括了首度公開的TSMC內部雲端軟體開發平臺，整合了DevOps流程和工具，來支援上千名工程師的開發工作。台積多數應用程式已轉移到Kubernetes環境，也採用了微服務架構來設計軟體系統。</p> <p>2020年底，台積IT基礎架構團隊的工作也聚焦三大重心，第一是運用各種基礎架構新技術（完整行動應用、導入協同合作和線上會議服務、雲端服務整合利用）協助企業數位轉型，其次則要將台積的資料中心，透過軟體定義（虛擬化、容器化、基礎架構程式化）轉型成真正的私有雲。最後一項是基礎架構持續創新，例如導入新世代5G、IoT製造、AIOps技術。</p> <h3><span style="color:#FF0000;"><strong>如何面對擴大全球製造的挑戰是未來目標</strong></span></h3> <p>台積在2020年5月宣布的海外設廠計畫，更讓台積IT感受到未來要面對的新挑戰。Jenny Hu指出：「台積雖然有很好的IT基礎，但是還不夠，接下來要面對擴大全球製造的挑戰，如何善用現在的雲端技術，是接下來努力的方向。」</p> <p>尤其，在台積少數廠內，仍有大型主機實體設備，目前台積資訊基礎架構最大宗是虛擬機器，Jenny Hu坦言，台積IT逐漸會遇到垂直擴充（Scale-up）的擴充瓶頸。所以，台積開始構建自己的K8s，計畫將台積所有服務都會陸續部署到K8s上，以利展開快速轉型。「台積要持續成長，未來管理的伺服器數量，可能是現在的5倍，10倍，甚至更多。」</p> <p><strong><a href="http://www.ithome.com.tw/news/149124">請繼續瀏覽下篇：2022台積IT發展重點(下)：新任CIO帶頭，台積IT展開2大變革支援全球營運</a></strong></p> <p><span style="color:#0000FF;"><strong>【台積IT新關鍵能力】封面故事</strong></span></p> <p><a href="https://www.ithome.com.tw/news/149123">【獨家披露】2022台積IT發展重點(上)：從自動化製造到智能化製造，全球化營運是台積IT新挑戰</a><br /><a href="https://www.ithome.com.tw/news/149124">【獨家披露】2022台積IT發展重點(下)：新任CIO帶頭，台積IT展開2大變革支援全球營運</a><br /><a href="https://www.ithome.com.tw/news/149125">【獨家披露】台積數位轉型發展史：從AI全面轉型到全球化營運能力（完整圖表下載）</a><br /><a href="https://www.ithome.com.tw/news/149126">【獨家披露：台積IT關鍵新能力1】為何台積電大舉招募SRE和DevOps？</a><br /><a href="https://www.ithome.com.tw/news/149127">【獨家披露：台積IT關鍵新能力2】靠新手訓練營統一專業技能，台積電將雲端原生技術變成IT必備基礎</a></p> </div></div></div>
2022/1/28 09:56作者王宏仁https://www.ithome.com.tw/news/149123
Martech雙周報第16期：Line臺灣三大Martech應用一次看，靠AI找潛在客群與高價值用戶，更能預測用戶受廣…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0114~0127)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FLoC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Topics </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google以新廣告追蹤技術Topics，取代遭到大家唾棄的FLoC</span></strong></p> <p><a href="https://www.ithome.com.tw/news/142445">Google去年初發表並開始測試的「群組聯合學習」（Federated Learning of Cohorts，FLoC）</a>目標式廣告技術，由於遭到各方的唾棄，去年7月底終止了對FLoC的實驗，但近期又<a href="https://blog.google/products/chrome/get-know-new-topics-api-privacy-sandbox/">發表了用來取代FLoC的Topics</a>。Topics與FLoC一樣，皆為基於使用者興趣的目標式廣告技術，由瀏覽器的歷史紀錄來判斷使用者有興趣的內容，並將它們依主題分門別類，像是旅遊或健身等，而這些主題都只會在使用者的裝置上保留3周，並不會傳送至任何伺服器上。當使用者造訪一個參與Topics技術的網站上，Topics則會從裝置上過去3周的主題紀錄中，挑選3個主題與網站來與廣告主分享。</p> <p>Google也預計在Chrome瀏覽器中提供使用者控制機制，讓使用者能夠查詢所被記錄的主題，還能移除特定的主題或直接關閉Topics功能。且為了避免使用者的敏感資料被歸類，Topics會忽略性別或種族等資訊。（<a href="https://www.ithome.com.tw/news/149080">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> The Trade Desk </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位家外廣告 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程序化廣告 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">TTD程序化廣告平臺觸及臺灣數位家外廣告市場，連美髮店、市府轉運站螢幕都能更精準投放廣告</span></strong></p> <p>全球最大廣告需求方平臺（DSP）業者The Trade Desk（TTD），近期宣布要透過第三方廣告供應方平臺（SSP），與臺灣兩家數位家外（DOOH）媒體合作，分別是搜賣傳媒及統一數網，將程序化廣告的露出管道，觸及數位家外廣告市場，這些廣告播放場所包括近千家美髮沙龍店面中的聯網螢幕、統一時代百貨美食街、市府轉運站售票大廳等數位家外廣告版位。對企業來說，未來透過TTD的程序化購買平臺，就能更精準的在數位家外螢幕上投放廣告，還能即時追蹤並評測廣告活動成效，彈性調整廣告策略，甚至能獲得廣告活動洞察報告等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961%E3%80%81%E6%90%9C%E8%B3%A3%E5%82%B3%E5%AA%92%E9%AD%94%E9%AB%AE%E9%8F%A1%E5%9C%A8%E5%85%A8%E5%8F%B0%E8%BF%911%2C000%E5%AE%B6%E7%BE%8E%E9%AB%AE%E6%B2%99%E9%BE%8D%E9%83%BD%E8%83%BD%E7%9C%8B%E5%88%B0%EF%BC%8C%E8%81%9A%E7%84%A6%E5%A5%B3%E6%80%A7%E7%B6%93%E6%BF%9F.jpg" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 圖嵌入理論 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 用戶特徵 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 廣告投放 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Line臺灣用圖嵌入理論描繪用戶輪廓，比對找出潛在客群來投放廣告</span></strong></p> <p>為了吸引用戶使用特定的Line服務，Line臺灣資料工程師Johnson Wu在Line臺灣開發者大上分享，如何在廣告技術上運用圖嵌入理論，在眾多的Line使用者中，找出更多特定服務的潛在用戶。比如A用戶會在Line上聽音樂、購物、看漫畫等，而B用戶只會在Line上聽音樂，但B可能也是Line漫畫或購物服務的潛在客群，若能對他們投放廣告，就有機會讓用戶觸及更多服務。</p> <p>在這個問題上，Line臺灣運用了大量Line Family服務的用戶使用記錄，組建了一個龐大網絡，同時運用圖嵌入理論，將網絡上的節點（使用服務的用戶）轉化成有意義的特徵，並運用這些特徵來描繪用戶輪廓，比如喜歡閱讀特定類型的新聞、參加特定類型的集點活動、喜歡購買某類商品等。而因應不同的服務內容、數量、性質的差異，團隊也能設計不一樣的圖嵌入模型來因應，比如針對較為簡單的模型，適合用能快速訓練、重複應用的理論來訓練模型；針對複雜的網絡與數據，則可以用GraphSAGE演算法、注意力模型的圖嵌入網路（Graph Attention Network）等進行訓練。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-27%20%E4%B8%8B%E5%8D%8812_57_44.png" style="width: 700px;" /></p> <p>Johnson Wu實際舉例，若要吸引更多官方帳號的用戶使用任務牆（Line Points Wall）服務，首先，團隊先蒐集使用任務牆與Line官方帳號的使用者網路，找出同時使用任務牆與官方帳號的用戶群，以及僅使用官方帳號但未使用任務牆的用戶群。接著，透過圖嵌入模型來描繪用戶輪廓、將用戶分類，比如團隊就發現，使用任務牆的許多官方帳號用戶，喜歡累積點數的行為不同，有些偏好透過購物、有些偏好加好友或官方帳號、有些則偏好閱讀廣告或影片。在找出特徵並進行兩用戶群的特徵比對後，就能進一步排序出對任務牆更有興趣的官方帳號用戶，並對其投放相關廣告。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-27%20%E4%B8%8B%E5%8D%8812_57_58.png" style="width: 700px;" /></p> <p>Johnson Wu指出，模型上線後，近三個月來，任務牆新用戶的累積趨勢顯著提升，每月新用戶自然增加率的占比上，模型帶來的用戶占比已經達到25～50%以上。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 增益模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 廣告投放 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 用戶購買意願 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Line臺灣用增益模型評估廣告對用戶購買意願的影響，找出可被說服的受眾投放廣告</span></strong></p> <p dir="ltr">為了推廣特定創作者的貼圖，Line會透過點數回饋這類廣告形式的推播，來提升用戶的購買意願。不過，如何在預算有限的情況下最大化廣告成效？Line臺灣資料工程師Charlie Tang在Line臺灣開發者大會上分享Line資料工程團隊的做法。</p> <p dir="ltr">首先，團隊從用戶層面著手，根據他們接受廣告的反應區分為四種族群。一是Line貼圖的忠實顧客，由於無論如何都會購買貼圖商品，廣告對於他們並無影響；二是默默在購買貼圖的用戶，受到干擾反而會產生負面想法，廣告對他們而言有負向作用；第三類則是無論如何都不會來購買貼圖的用戶，廣告對他們來說也沒有影響；最後一類，則是可被說服的用戶，雖然他們本來並不想購買貼圖，但若給予一點獎勵或回饋，就有機會說服他們進行購買。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-27%20%E4%B8%8B%E5%8D%8812_58_24.png" style="width: 700px;" /></p> <p dir="ltr">「如果可以把廣告投放在可被說服的人身上，避開另外三種人，就有機會將廣告成效最大化。」Charlie Tang點出，可被說服的群體，才是真正會受廣告影響的用戶群。為了找出這一群用戶，Line採用了增益模型，來評估廣告對於用戶購買意願的增益。這個做法相較於傳統響應式模型，可以更好地區別出忠實顧客與可被說服客群之間的差別，以節省更多廣告成本。</p> <p dir="ltr">Charlie Tang也說明，如何運用增益模型來找出可被說服的用戶群。首先，團隊透過A/B Testing從Line貼圖用戶之中，找出相似的用戶群，並隨機抽取兩組具有代表性的樣本，作為控制組與實驗組，並設定僅實驗組的人會收到廣告，來確定兩組樣本購買行為的差異，來自於廣告投放的效果，進而讓增益模型有能力去推論廣告的影響力。</p> <p dir="ltr">實作過程中，團隊將顧客是否在廣告期間內產生轉換，設為首要目標變數，同時也分析兩組用戶的廣告轉換率數字及差異顯著性，來確認廣告是否有效、是否適合用於增益模型的學習。不只如此，團隊也會針對顧客特徵，搜集過去一個月的歷史資訊，透過顧客對貼圖的瀏覽、購買與使用行為，來描述顧客對於貼圖產品的涉入程度。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-27%20%E4%B8%8B%E5%8D%8812_59_07.png" style="width: 700px;" /></p> <p dir="ltr">有了這些資料後，團隊運用增益模型中的S-Learner進行建模，先將兩組樣本混合在一起，並且建立一個控制變數稱為treatment，以treatment=0或1，來標示該樣本是屬於實驗組還是控制組，再訓練一個單一的分類器，根據用戶的歷史貼圖使用與瀏覽行為，來預測其購買貼圖的機率是多少。此時，透過調整treatment，就能取得一個用戶收到、未收到廣告分別的購買機率，最後將兩個數值相減，則可以得到增益（uplift），得知廣告如何影響一個人的購買意願與程度。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-27%20%E4%B8%8B%E5%8D%8812_59_30.png" style="width: 700px;" /></p> <p dir="ltr">透過這個模型，未來投遞廣告時，操作者就能將所有Line貼圖的用戶行爲輸入模型，推論不同用戶受廣告影響的增益效果，並依照他們的增益進行排序，再根據預算限制與目標，來決定投放的人數比例。這個模型也已經實際用在官方帳號廣告投放上，藉由減少訊息投放、降低成本，來提升廣告的投資報酬率與獲利。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RFM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CLV </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 用戶分群 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">如何找出高價值用戶？Line臺灣結合RFM與CLV模型對用戶貼標分群</span></strong></p> <p dir="ltr">在資源有限的情況下，Line臺灣也希望與對的顧客溝通，優先將行銷預算花在最有價值的用戶群上，來提高營收、加速企業成長，「但要如何找出這群人？」Line臺灣資料工程師Nina Cheng指出，Line臺灣透過RFM與CLV模型來進行用戶分群，讓行銷人員能與不同群體進行有效溝通。</p> <p dir="ltr">就如認識新朋友，通常會針對朋友的喜好與他互動，來建立良好的關係，Nina Cheng指出，這個觀念同樣可以套用到認識顧客之上，透過用戶的歷史購買行為，包括最近一次的消費時間點（Recency）、消費頻率（Frequency）與消費金額（Monetary），也就是運用RFM模型，來了解顧客的歷史價值。「但我們更在意的是，他未來還不會再來買。」因此，團隊也訓練了機器學習模型來預測顧客的未來價值，也就是顧客終身價值模型CLV（Customer Lifetime Value），不僅能提早預知顧客行動來布局，且綜合過去與未來顧客價值評估，還能透過適當的行銷操作，進一步推升用戶的潛在價值。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-27%20%E4%B8%8B%E5%8D%881_02_33(1).png" style="width: 700px;" /></p> <blockquote><p dir="ltr">RFM資料示意圖。</p> </blockquote> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-27%20%E4%B8%8B%E5%8D%881_00_10.png" style="width: 700px;" /></p> <p dir="ltr">實際操作上，團隊會先透過大量歷史交易資料，來計算每位用戶的RFM三個數值，再透過三個數值的大小，在三維空間中切分出八群人，但Nina Cheng點出，「如何切出那一刀，就是一個困難點。」因為在原始數據中的資料分布極為不均，按中間值來切分，仍無法有效區分出屬性相似的用戶。因此，團隊採用聚類分析（Clustering）的技術，比如將資料映射到R、F兩個維度上之後，先透過Clustering找出資料中的代表點再進行切分，如此一來，切分出來的8組群體會更具代表性，能找出真正高價值的顧客。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-27%20%E4%B8%8B%E5%8D%881_01_16.png" style="width: 700px;" /></p> <p dir="ltr">下一步，則是要透過CLV模型預測顧客未來的價值，Nina Cheng指出，CLV模型的整體架構，是透過人口統計、瀏覽記錄、購買歷程、官方帳號互動的行為，從中萃取出上百種特徵來進行建模，團隊會運用過去450天的資料，來預測一個用戶未來180天內，可能帶來多少價值。而在預測結果上，團隊並非將每位顧客的確切價值估算出來，而是將這個問題重構為分類問題，根據預測的價值高低將用戶分為三類，分別是高、中、低價值的客戶，透過為每個用戶貼上標籤，來作為後續進一步利用的基礎。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-27%20%E4%B8%8B%E5%8D%881_01_28.png" style="width: 700px;" /></p> <p>結合RFM與CLV，就能提供行銷人員清楚、可解釋的用戶分群，以便對不同的顧客群進行有效溝通。比如一位過去RFM價值都非常高的人，在經過CLV預測後，發現他未來的價值降低，此時，就能進一步留存（Retain）該位用戶；又或是透過CLV預測到一位用戶未來的價值很高，但從RFM來看，卻發現他RF高、M較低，這時，也能對他進行向上銷售。實際與Line旅遊服務合作後，團隊平均能將點擊率推升到將近3倍，在有價值的顧客上，甚至能將點擊率推升到6倍之多。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ML開發規模化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自動化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 模組化 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">建立自動化與模組化ML開發流程，Line臺灣要將Martech服務規模化</span></strong></p> <p dir="ltr">Line臺灣在運用Martech來輔助廣告行銷後，也遇到一個棘手問題：如何將ML模型規模化？尤其，Line的服務多樣，許多服務都會面臨獲新客、評估用戶價值的挑戰，但是，若要讓模型應用到不同場景，可能面臨資料儲存在各自服務的資料庫中、命名規則不同、儲存格式不同等問題。</p> <p>Nina Cheng指出，Line臺灣工程團隊的做法，是把不同的資料來源進行整合，存放在統一的資料倉儲平臺，以達到集中化；同時也透過資料正規化，處理不同資料來源的資料，並把取得的特徵值存放在Feature Store，以供後續的Pipeline快速存取，省下重複計算的資源；團隊也將Pipeline模組化與自動化，若新服務產生獲客、提升營收等問題，只要擁有足量資料，就能直接利用Pipeline來訓練新模型。目前，Line臺灣的Family Service中，至少已經有5個服務使用了這套自動化與模組化的ML開發流程，來建立Martech服務與應用。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 零售科技 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Amazon Style </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛實整合 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Amazon要開實體時裝店Amazon Style，以科技輔助服飾推薦與試穿，更提供虛實整合購物體驗</span></strong></p> <p><a href="https://www.aboutamazon.com/news/retail/amazon-reimagines-in-store-shopping-with-amazon-style">Amazon宣布</a>，今年將在洛杉磯的Americana at Brand廣場開設該公司首家實體時裝店Amazon Style，要將Amazon線上商店的流行服飾於實體店面提供。商店中運用了多種零售科技，比如消費者只要透過Amazon Shopping行動程式掃描商品的條碼，就能馬上得知它的尺寸、顏色與評價等詳細資訊；若在行動程式上選擇欲試穿的服飾及尺寸，它們就會被送到試穿室，試穿之餘，消費者還能透過試穿室中的觸控螢幕瀏覽其它選項，要求送來其它尺寸或是Amazon推薦的服飾，也可直接將服飾送達結帳櫃臺。</p> <p>不只如此，Amazon Style也提供消費者虛實整合的購物體驗，讓消費者可以在門市試穿，自網路購買；或者是在試穿之後存放於Amazon Shopping程式上，以利之後購買；又或是在網路上購買時直接要求送至門市，試穿後若不滿意則可直接退貨。（<a href="https://www.ithome.com.tw/news/149012" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0122-Amazon%20Style-600-1(1).png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Adobe </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行銷人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 科技工具 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Adobe：科技與數據之於行銷更加重要，但破碎化Martech應用是未來的一大挑戰</span></strong></p> <p>Adobe Workfront去年發布了一份採納了1,100位行銷人意見的調查報告（Tomorrow’s CMO）。這份報告點出，未來的行銷領導人更重視科技帶來的效益，比如有34%行銷人認為，科技可以更好的改善工作流程與資料使用，也能改善即時工作狀態的可見度（33%），以及讓他們更清晰也更有自信的轉換業務優先順序（32%）。</p> <p>行銷人也將更加依賴資料來進行決策、創新、測試與改變，比如有近8成的行銷人會常態性的使用數據來做出行銷決策，也有超過7成5的企業，已經靠技術來管理多樣的活動、專案和創意資產，也透過數據來精簡行銷工作流程和資源、制定客戶體驗旅程，以及向企業其他部門展示行銷工作的價值等。因此，68%行銷人希望在未來對技術層面進行投資，來推動企業創意的提升和流程優化。</p> <p>不過，雖然科技能對疫情間的行銷工作帶來支持，但企業Martech堆疊的破碎化性質卻使行銷變得更加困難，有近7成的行銷人認為，他們的Martech堆疊不能有效地適應遠距工作，也有63%行銷人認為，用來管理行銷工作的工具已經過時了，並沒有讓他們的工作更加容易。因此，需要透過簡化與精簡Martech工具堆疊來調整工作策略，讓團隊以最好的方式來執行工作，這是未來行銷的一大挑戰。</p> <p>研究調查也顯示，未來的CMO需要發展多元技能才能成為靈活的領導者，以推動組織的創新和增長。這些技能包括：資料分析、財務、專案管理和協調工作（31%），管理和激勵員工（26%），以及業務策略與數位化轉型（21%）等。（<a href="https://www.workfront.com/resources/tomorrows-cmo-marketings-generation-change" target="_blank">詳全文</a>）</p> <p dir="ltr"><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Martech動態 </span></strong></span></strong></p> <p>1.<a href="https://www.ithome.com.tw/news/149091" target="_blank">Line CLOVA AI產品中文化落地臺灣，今年新推CLOVA Note，CLOVA Chatbot更推出三種部署版本</a></p> <p>2.<a href="https://www.ithome.com.tw/news/149001" target="_blank">Google Analytics被判違反GDPR，Google呼籲歐美建立新的資料傳輸框架</a></p> <p>3.<a href="https://www.ithome.com.tw/news/148940" target="_blank">Walmart有意發展加密貨幣與NFT</a></p> <p>4.<a href="https://www.ithome.com.tw/news/148975" target="_blank">Google針對零售商推出能精確預測需求的工具Vertex AI Forecast</a></p> <p>責任編輯／翁芊儒</p> <p>圖片來源／Line臺灣、搜賣傳媒、Amazon</p> <p>資料來源：iThome整理，2022年1月</p> </div></div></div>
2022/1/27 18:27作者翁芊儒https://www.ithome.com.tw/news/149109
【資安日報】2022年1月27日，勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾於2021年7月出現大量攻擊行動，<a href="https://www.ithome.com.tw/news/146226">而引起高度關注的勒索軟體LockBit 2.0</a>，如今也開始鎖定VMware的虛擬化平臺ESXi而來，而值得採用這類系統的企業，留意後續的事態發展。</p> <p>駭客以光碟映像檔ISO格式的檔案，來規避防毒軟體偵測的手法，最近又有新的攻擊行動發生，手段更加隱密，而難以透過防毒軟體、網路防護系統察覺異狀。</p> <p>在人手一隻手機的情況下，以寄送釣魚簡訊發動的攻擊行動（Smishing），近期也有資安業者發現這種型態網路釣魚簡訊的攻擊行動，並以應用程式或系統更新的名義引誘使用者上當。這種攻擊的發展，也相當值得各界留意。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.trendmicro.com/en_us/research/22/a/analysis-and-Impact-of-lockbit-ransomwares-first-linux-and-vmware-esxi-variant.html"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit鎖定VMware虛擬化平臺而來</span></a></strong></h4> <p>隨著企業採用虛擬化平臺的情況越來越普遍，約自2021年上旬，許多勒索軟體駭客，如<a href="https://www.ithome.com.tw/news/146432">HelloKitty</a>、<a href="https://www.ithome.com.tw/news/147580">Hive</a>、<a href="https://www.bleepingcomputer.com/news/security/linux-version-of-avoslocker-ransomware-targets-vmware-esxi-servers/">AvosLocker</a>，開始製作Linux版本軟體，鎖定VMware ESXi的環境而來。惡名昭彰的<a href="https://www.ithome.com.tw/news/146421">勒索軟體LockBit</a>，最近幾個月也開始加入針對虛擬化環境下手的行列。趨勢科技於2021年10月，在地下論壇RAMP看到駭客張貼的廣告，宣布開始提供能於VMware ESXi執行的勒索軟體LockBit，同月，研究人員就在網路上發現使用該勒索軟體的攻擊行動。</p> <p>此勒索軟體混合AES與ECC兩種演算法加密檔案，且能夠將虛擬機器（VM）關機或是休眠，以利檔案加密不受中斷。此外，該勒索軟體還能徹底清除可用空間的資料。與Windows版勒索軟體相同的是，駭客在加密完檔案後，同樣於勒索訊息裡，徵求能入侵企業的帳密資料，並宣稱提供者有機會得到數百萬美元的酬庸。</p> <h4><a href="https://blog.morphisec.com/asyncrat-new-delivery-technique-new-threat-campaign"><span style="color: rgb(0, 0, 0);"><strong>駭客以ISO映像檔規避防毒軟體偵測，散布AsyncRAT木馬程式</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/AsyncRAT - Campagin Email Delivery -1、.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AsyncRAT%20-%20Campagin%20Email%20Delivery%20-1%E3%80%81.png" style="width: 300px; float: right;" /></a>過往為了迴避郵件防護系統的偵測，有些駭客會利用ISO、IMG、CDR等光碟映像檔的附件檔案，以此打包作案工具，使得上述防護措施可能因不具掃描光碟映像檔的功能，採取直接放行的策略而達到目的。但這樣的手法如今變得更加複雜──資安業者Morphisec揭露一起自2021年9月12日出現的攻擊事故，駭客以ISO檔案挾帶惡意批次檔或VBScript程式碼，但這個ISO檔實際上是埋藏在HTML檔案的附件裡面，等到收信人打開HTML檔案才「還原」，要求下載到電腦執行，進而從網路上下載AsyncRAT木馬程式。</p> <p>由於駭客以確認訂單的名義寄送釣魚郵件，當中夾帶上述HTML檔案為附件，恐使得收信人降低戒心，依照指示操作。此外，研究人員指出，上述ISO檔案實際上是透過附件的HTML檔案產生，企業的網路安全閘道與防火牆不會察覺異狀。</p> <h4><a href="https://threatpost.com/threat-actors-androids-flubot-teabot-campaigns/177991/"><span style="color: rgb(0, 0, 0);"><strong>網釣簡訊被用於散布手機木馬程式FluBot、TeaBot</strong></span></a></h4> <p>鎖定手機而來的網路釣魚簡訊攻擊（Smishing），近期已有數起散布木馬程式的事故。最近防毒業者Bitdefender表示，他們自2021年12月初開始，至少攔截到10萬個惡意簡訊，這些簡訊是針對安卓裝置而來，用來散布木馬程式FluBot；而在此同時，該公司也在Play市集發現惡意的QR Code掃描器，攻擊者藉此在受害者手機上植入木馬程式TeaBot。</p> <p>但這種透過手機簡訊的網釣攻擊已有前例，例如，芬蘭就曾於2021年11月底，<a href="https://www.kyberturvallisuuskeskus.fi/en/be-aware-malware-spread-sms">針對以網路釣魚簡訊散布安卓木馬FluBot的攻擊行動提出警告</a>，並強調非安卓手機的用戶點選簡訊的連結，也會被引導到惡意網站。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/chaes-banking-trojan-hijacks-chrome-with-malicious-extensions/"><span style="color: rgb(0, 0, 0);"><strong>駭客利用逾800個WordPress網站，向巴西民眾散布銀行木馬Chaes</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/java(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/java(1).jpg" style="width: 300px; height: 219px; float: right;" /></a>鎖定巴西銀行客戶下手的木馬程式，近期的攻擊行動有升溫的跡象。例如，在2020年底首度被發現的木馬程式Chaes，防毒軟體業者Avast近日提出警告，在2021年第4季有超過6.6萬名客戶的電腦，疑似遭到這個木馬程式企圖入侵。該公司調查後發現，Chaes經由逾800個WordPress網站傳播，目標是在巴西銀行用戶的Chrome瀏覽器上，以惡意外掛程式來竊取交易資料，研究人員指出，此起攻擊行動仍然持續，用戶應避免安裝來路不明的應用程式。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/german-govt-warns-of-apt27-hackers-backdooring-business-networks/"><span style="color: rgb(0, 0, 0);"><strong>中國駭客APT27鎖定德國企業下手，使用HyperBro後門程式發動攻擊</strong></span></a></h4> <p>中國駭客不光針對敵對國家發動攻擊，也可能入侵友邦的組織，來掌握更多情資。最近德國聯邦憲法保衛局（BfV）提出警告，表示他們得知背後有中國政府支持的駭客組織APT27，鎖定該國的企業而來，並使用名為HyperBro的木馬程式來竊取受害電腦的各式帳密，其背後的目的為何？該單位推測，駭客可能是要瓢竊商業機密與智慧財產，甚至不排除會進行供應鏈攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/nobel-foundation-site-hit-by-ddos-attack-on-award-day/"><span style="color: rgb(0, 0, 0);"><strong>諾貝爾基金會網站於頒獎日遭到DDoS攻擊</strong></span></a></h4> <p>針對全球在物理、化學、醫學等領域做出重大貢獻的人士，每年頒發的諾貝爾獎，維持該獎項運作的基金會，網站遭到分散式阻斷服務（DDoS）攻擊，而且，還是發生在頒獎當天。諾貝爾基金會與挪威諾貝爾研究所聯合於1月21日發出公告，指出諾貝爾基金會網站於去年12月10日，於頒獎典禮直播的過程遭到DDoS攻擊，他們已向警方報案，但尚未掌握攻擊的來源。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.wired.com/story/safari-flaws-webcam-online-accounts-mic/"><span style="color: rgb(0, 0, 0);">網頁瀏覽器Safari存在漏洞，恐曝露蘋果裝置的視訊鏡頭和用戶資料</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Screen Shot 2021-11-01 at 9_34_38 AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-11-01%20at%209_34_38%20AM.png" style="width: 300px; float: right;" /></a>資安研究員Ryan Pickren揭露一項通用跨網站程式碼（UXSS）漏洞，這項弱點存在於macOS版Safari網頁瀏覽器。若是Mac電腦尚未安裝相關修補程式，iCloud與Safari之間的信任機制就可能會因上述問題，而遭到攻擊者濫用，進而接管Safari，瀏覽受害者上網的內容，存取各式網頁應用系統的帳號，並利用受害者授予網站的權限，來使用視訊鏡頭和麥克風。此外，攻擊者還能藉著這項漏洞存取Mac電腦的資料。研究人員於2021年7月通報，蘋果於2022年初修補相關漏洞，並給予100,500美元的抓漏獎金。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.whitehouse.gov/omb/briefing-room/2022/01/26/office-of-management-and-budget-releases-federal-strategy-to-move-the-u-s-government-towards-a-zero-trust-architecture/"><span style="color: rgb(0, 0, 0);">美國要求政府機關採用零信任的資安防護戰略，於1月26日正式實施</span></a></strong></h4> <p>美國行政管理和預算局（OMB）在2022年1月26日，正式發布新網路安全策略與<a href="https://www.whitehouse.gov/wp-content/uploads/2022/01/M-22-09.pdf">M-22-09備忘錄</a>，要求政府機關都應轉移到零信任架構（Zero Trust Architecture），並在2024財年底（9月30日）之前，符合指定的資安標準要求。這樣的策略，是基於去年5月的14028行政命令，於是OMB在<a href="https://www.ithome.com.tw/news/147725">去年9月提出聯邦零信任戰略草案</a>，歷經近半年時間徵詢意見與討論，現在終於上路。聯邦資安長Chris DeRusha表示，這個戰略將成為聯邦網路安全典範轉移的基礎，並將會成為其他人仿效的模式。</p> <p>在這份備忘錄裡，OMB要求各聯邦機關要在60日內，提出轉移架構的時程規畫，以及2023、2024年度的預算編列，並依據身分驗證、裝置、網路、應用系統與工作負載，以及資料等5個領域，執行相關的盤點與部署工作。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/149077">2022年1月26日，電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">2022年1月25日，CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">2022年1月24日，鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">2022年1月22日，WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">2022年1月21日，Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">2022年1月20日，臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/27 15:04作者周峻佑https://www.ithome.com.tw/news/149112
國泰金控開源釋出區塊鏈部署工具，更將開源控管制度化，未來將釋出更多專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年，國泰金控採用超級帳本（Hyperledger Fabric）區塊鏈框架自行建鏈、發展區塊鏈聯盟，陸續推出電動車車聯網區塊鏈金融平臺，環球貿易共享區塊鏈等，但一直遇到企業級區塊鏈學習門檻過高的挑戰。</p> <p>國泰金控數位架構發展部區塊鏈技術發展科專案經理楊俊書指出，聯盟成員不一定有區塊鏈團隊與技術能力來自行建鏈，但超級帳本的參數設定複雜，「只要一個參數錯誤就可能導致區塊鏈建置失敗，甚至，不同商業應用得採用不同的區塊鏈建置等，這都是企業跨入區塊鏈的現實難題。」</p> <p>為了降低導入門檻，去年11月，國泰金控區塊鏈團隊決定開源釋出自行研發的區塊鏈部署工具（Blockchain Deployment Kit，BDK），在GitHub提供下載。</p> <p>國泰金控區塊鏈技術發展科工程師陳紹鵬提到，國泰將以往累積的知識與經驗濃縮成精華，打造了一套能夠簡化參數、標準化流程、跨平臺架設超級帳本的部署工具。企業IT人員透過這套工具快速建置起區塊鏈的地基，能專注在應用邏輯與應用場景的設計，而不用再花時間培養對超級帳本的知識與熟識程度。楊俊書表示：「這是一個可用來快速部署超級帳本的工具，也是國泰推展聯盟鏈的關鍵之一。」</p> <p>陳紹鵬進一步以國泰世華銀行與7家銀行、2大航運商共組的環球貿易共享區塊鏈為例，以往，光是協助聯盟中一家銀行成員建置區塊鏈，國泰需支援1到2名工程師，花上3到4周專職負責。楊俊書提到，就算在協助建置的過程提供了相關的文件、程式，對方遇到操作問題仍得回頭尋求國泰團隊的協助，一來一往使得建鏈的效率不佳。</p> <p>有了區塊鏈部署工具後，陳紹鵬表示，實際採用的企業IT人員，不到一天就可學會如何使用，也只需1到2小時就完成建鏈，對雙方都節省了不少時間。他更透露，釋出BDK工具是國泰區塊鏈團隊技能提升計畫的重要一步，讓自家工程師可更專注開發應用程式、撰寫智能合約等，而較重複性的工作則交由工具來解決，來加快聯盟鏈擴展的速度。</p> <h3><strong><span style="color:#0099ff;">過往工程師需手動撰寫上百行指令，簡化成30條指令內完成建鏈</span></strong></h3> <p>早在2020年9月，國泰區塊鏈團隊就萌生了打造區塊鏈部署工具的想法。陳紹鵬提到，完成前期技術分析後，花了2個月設計整體架構，特別注重彈性、簡單好用的設計。再找來有實作經驗的團隊成員，一步步拆解出建鏈的步驟與參數設定等，最後繪製出一個龐大的流程圖，涵蓋了建鏈需考慮到的各項環節。</p> <p>拆解出步驟後，團隊便開始動手開發這套BDK工具。國泰金控區塊鏈技術發展科工程師鄒人恩進一步說明，原本架設超級帳本，需利用多個官方提供的工具才能完成，而且不同的工具還得分開下指令。因此，標準的超級帳本建置流程中，工程師需手動撰寫上百行指令，不過，陳紹鵬表示：「國泰梳理後，精簡成20到30條指令就能完成建鏈。」</p> <p>利用這套BDK工具，僅需執行聯盟成員、憑證、機器數量這3項最基礎的設定，其他包括網路連線、憑證發放、憑證管理、憑證交換、共識機制、參數配置、伺服器等模組，則能自動完成部署。鄒人恩提到，這套工具整合了建置超級帳本所需的全部工具，同時，預先設定好每個工具相對應的參數，避免使用者因參數設定錯誤，導致區塊鏈建置失敗。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/01(2).png" /></p> <p><span style="color:#808080;"><span style="font-size:14px;"><em>國泰金控設計的這套區塊鏈部署工具，讓企業IT人員僅需執行聯盟成員、憑證、機器數量這3項最基礎的設定，其他模組則能自動完成部署，2小時內即可快速建置起區塊鏈。（圖片來源／國泰金控）</em></span></span></p> </blockquote> <p>國泰區塊鏈團隊去年3月完成了BDK的第一版，先用內部開發專案來實驗，從開發階段、測試到上線的部署有實際成效後，去年11月才正式開源發布到GitHub。該團隊承諾，會持續維護與更新這套區塊鏈部署工具。BDK工具已支援目前主流的Hyperledger Fabric 2.2版本，下一階段，正準備推行Hyperledger Fabric 2.3版本。</p> <p>「確保BDK架設的區塊鏈符合市場的需求，才能讓工具真正發揮作用。」陳紹鵬提到，這是國泰發展BDK工具的重要原則，未來，團隊將採每月發布的形式持續更新與管理該工具，包括Bug修補或加入新功能等，來符合企業使用區塊鏈的真實需求。</p> <p>區塊鏈部署工具BDK是國泰金控釋出的第一個開源標的，陳紹鵬提到，團隊希望透過技術共享推展聯盟鏈，吸引更多夥伴加入來發展生態圈。他也表示，合作對象不限金融同業，更包含了非金融業、新創公司、中小型企業，甚至是獨立開發者、學生等。</p> <p>BDK工具也對國泰自己帶來不少效益，楊俊書提到，以往，國泰1年只能做2個大型區塊鏈專案，現在，內部許多小型概念性驗證都能透過BDK快速架設，來驗證可行性。甚至，他預告，國泰正醞釀發表2項新的聯盟鏈專案，都將利用BDK工具來開發。</p> <h3><span style="color:#0099ff;"><strong>將開源更多專案，先建立內部開源控制管理辦法，未來將發展成國泰開源專案遵循規章</strong></span></h3> <p>國內金融業將自家技術開源出來的案例並不多，但國泰金控表示，除了已推出的區塊鏈部署工具，未來預計會有雲端、數據、AI等開源專案的規畫。</p> <p>陳紹鵬坦言，國泰內部以往沒有一套針對技術開源的控制管理辦法。因此，在BDK工具開源前，區塊鏈團隊與內部的法務、法遵、資安、風險控管、稽核、對外溝通的公關團隊等，針對開源的特性，共同制訂出一套完整的控制管理辦法。</p> <p>他進一步解釋，以往內部人員開發技術後，經內部審核就能上線。然而，開源的特性是，社群的開發者可能會貢獻程式碼，甚至，提出一些要求調整的意見。因此，在這套控制管理辦法中，不管是外部開發者的貢獻、內部開發的功能，或者有使用者要求發布新功能或變更功能的需求，即便是單純修補小問題，國泰都依照不同的來源、流程，清楚訂定了不同的控制管理路線，同時也設定了不同層級的審核機制。</p> <p>比如說，社群提出一項新功能的需求，國泰這套控制管理辦法就設定需要經過經理、部長層級的審核，確保該項新功能符合開源專案的目標，藉此做到技術開源的維護。甚至，陳紹鵬表示，控制管理辦法將持續發展，變成一套國泰開源專案可遵循的完整規章。</p> <p>另外，在開源軟體授權條款上，國泰的BDK工具採用了Apache License 2.0（簡稱Apache 2.0）的開源許可協議。陳紹鵬提到，團隊與法務先共同檢視開發過程中所使用到的套件與工具，適用哪些條款。同時，也針對不同授權條款進行研究，最後整理出國泰對不同授權條款的看法與解讀。之後，基於將工具完整與社群分享，來推動臺灣聯盟鏈發展的理念，國泰在定義BDK工具的軟體授權條款時，希望透過寬鬆型的開源條款，讓使用者可自由運用。</p> <p>選擇Apache 2.0的原因是，陳紹鵬解釋，相較其他開源條款，Apache 2.0針對著作權、使用權的定義更為明確且完整。此外，考量的另一個因素是，開發者對Apache 2.0的熟識度較高。他提到，使用者只要遵守Apache 2.0條款的相關義務規定，就能自由使用BDK這套工具。文⊙李靜宜</p> </div></div></div>
2022/1/27 15:15作者李靜宜https://www.ithome.com.tw/news/149082
駭客藉由入侵WordPress網站，使造訪者電腦被植入惡意的Chrome擴充程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://decoded.avast.io/anhho/chasing-chaes-kill-chain/">Avast在本周揭露了一起複雜的Chaes金融木馬攻擊手法</a>，駭客先入侵了800個WordPress網站，再引誘造訪相關網站的使用者安裝假冒的Java Runtime，進而於Chrome瀏覽器上植入惡意擴充程式，目的是為了竊取存放於Chrome上的機密憑證。</p> <p>目前Avast並不確定駭客是如何入侵眾多WordPress網站的，猜測是開採WordPress內容管理系統的安全漏洞，且在這800個被駭網站中，有超過700個都是使用巴西的頂級網域名稱，顯示此一攻擊鎖定的是巴西用戶。</p> <p>當使用者造訪了已遭入侵的WordPress網站之後，就會跳出一個要求使用者安裝Java Runtime的視窗，它看起來就像是真的Java安裝功能，但實際安裝的卻是install.js、sched.js與sucesso.js等3個惡意的JavaScript檔案，install.js負責下載另一個腳本程式，以部署下一階段所需的Python環境，sched.js主要建立長駐能力，sucesso.js則擔任向C&C伺服器回報任務進度的角色。</p> <p>接著便進入了Python的記憶體內載入程序，它會載入各種Python/JavaScript腳本程式、Shellcode、Delphi DLLs與.NET PE等，直至執行Instructions.js。</p> <p>而Instructions.js的任務即是下載惡意的Chrome擴充程式，包括紀錄受害者指紋的Online、可擷取螢幕畫面的Mtps4、可自Chrome竊取密碼的、金融木馬Chronodx，以及鎖定線上購物平台Mercado Libre憑證的Chremows。</p> <p><a href="https://s4.itho.me/sites/default/files/images/0127-chaes-圖片來源Avest.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/0127-chaes-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Avest.jpg" style="width: 600px;" /></a></p> <blockquote><p>根據Avest的說明，當使用者造訪了遭入侵的WordPress網站時，網頁上會跳出一個看似要求使用者安裝Java Runtime的視窗，但它實際安裝的是3個惡意JavaScript檔案。</p> </blockquote> </div></div></div>
2022/1/27 15:33作者陳曉莉https://www.ithome.com.tw/news/149113
Cloud周報第133期：IDC調查：2021年Q3公有雲基礎架構支出年成長8.6%，已連續8季正成長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2022/01/20～2022/01/26）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IDC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端市場 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公有雲 </span></strong></span> </p> <p><strong style="font-size: 22px;">IDC調查：2021年Q3公有雲基礎架構支出年成長8.6%，已連續8季正成長</strong></p> <p>市場調查機構IDC近日發布了一份，最新的全球雲端IT基礎架構季度報告，總結2021年第三季全球雲端基礎架構，涵蓋公有雲和私有雲架構市場的表現。去年第三季，全球雲端環境IT基礎架構市場的規模達186億美元，年成長6.6%，其中，公有雲基礎架構市場規模達130億美元，較2020年同季成長8.6%，延續2019年第四季以來，年成長率皆正成長的趨勢，而私有雲基礎架構支出年成長率達13.4%，市場規模為56億美元。</p> <p>IDC預測，2021年全年雲端基礎架構市場規模，相比2020年成長8.3%，達到718億美元，其中公有雲基礎架構市場規模，預計年成長7.2%，而私有雲基礎架構全年支出則預計成長10.7%。從地理面看，亞太地區（不含日本和中國）2021年第三季的雲端基礎架構支出年成長率最高，達64.3%，而美國的成長幅度最弱，為1.1%。IDC更預期，運算和儲存雲端基礎架構支出將以12.4%的年複合成長率，至2025年達到1,188億美元，氣中工友雲基礎架構支出將占70.9%。<a href="https://www.idc.com/getdoc.jsp?containerId=prUS48776122">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料倉儲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 可解釋性AI </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>BigQuery新增可解釋AI功能，企業可驗證ML模型是否符合預期</strong></span></strong></p> <p>Google近日宣布資料倉儲服務BigQuery正式新增可解釋AI（Explainable AI）功能，企業能夠更了解機器學習模型的決策方法。新功能適用多種模型，包括獨立同分布資料（IID Data）的監督式學習模型，和時間序列模型，全面地支援可解釋性AI。針對每一種模型，BigQuery可解釋AI功能都具有不同的可解釋性方法，而每種可解釋性方法都有各自的運算方式，企業能使用單一SQL查詢，並在數秒內獲得數百萬個解釋。</p> <p>可解釋性AI分為兩類，分別是全域可解釋性，還有區域可解釋性。BigQuery可解釋AI透過定義資料列中，每個特徵對預測結果的貢獻，讓企業了解ML模型在分類和迴歸任務生成的結果。Google表示，這個做法是特徵歸因，用來驗證模型的行為是否符合預期，並辨識模型中的偏差，還能獲得改進模型和訓練資料的方法。<a href=" https://cloud.google.com/blog/topics/developers-practitioners/bigquery-explainable-ai-now-ga-help-you-interpret-your-machine-learning-models">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MySQL資料庫 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 稽核功能 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>Cloud SQL for MySQL現支援稽核用擴充套件，企業可自定義稽核規則產生所需日誌</strong></span></p> <p>為方便企業管理MySQL資料庫的敏感數據，Google雲端宣布釋出專為Cloud SQL for MySQL設計的稽核擴充套件，提供多種企業及資料庫稽核常用功能，協助企業維持資料庫的合規性，並且處於安全的狀態。企業原能設定MySQL的慢查詢日誌或是通用日誌，來建立資料庫活動的稽核追蹤，但Google表示，這些日誌會明顯影響資料庫效能，且沒有針對稽核建立最佳化格式。現通過稽核擴充套件，企業可以定義稽核規則，來管理和控制需要記錄的資料庫活動。</p> <p>擴充套件會以資料庫稽核日誌的形式，記錄資料庫活動，並在日誌中掩飾敏感資料，像是用戶密碼等，再發送已處理的資料庫稽核日誌到日誌服務Cloud Logging中。企業後續可在Cloud Logging查看所有使用者對資料進行的操作，也能使用自定義的日誌接收器，將日誌路由到Cloud Storage儲存桶或是BigQuery，進行長時間留存，甚至是使用Splunk或其他日誌管理工具，執行即時異常偵測。Cloud SQL for MySQL 5.7和8.0現開始支援資料庫稽核功能。<a href=" https://cloud.google.com/blog/products/databases/cloud-sql-for-mysql-launches-database-auditing">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業資料搜尋 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 應用程式託管服務 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>Azure整合資料搜尋解決方案Elastic，實現雲地混合Spring Boot應用程式統一監控</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Soring%20Cloud%20x%20Elastic_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px; height: 342px;" /></strong></strong></p> <p>微軟宣布Azure整合企業資料搜尋解決方案Elastic，Azure用戶現可以使用Elastic，收集Azure Spring Cloud應用程式託管服務的日誌和指標，並且以儀表板監控Spring Boot應用程式。企業搬遷本地端Spring Boot應用程式上雲時，需要匯總應用程式的日誌和指標，並使用開發人員熟悉的解決方案進行偵測，現在Elastic與Azure原生整合，企業可將Azure Spring Cloud日誌和指標，無縫傳送到Elastic，方便DevOps和SRE團隊監控Spring Boot應用程式。</p> <p>當日誌和指標資料送至Elastic之後，企業可通過Elastic Observability解決方案，使用視覺化功能以及儀表板，監控、分析和搜尋這些日誌資料，確保應用程式正常運作。此外，企業可以使用Elastic應用程式效能監控工具，來分析和搜尋應用程式的效能資料，並在Elastic APM查看Java虛擬機器的指標，了解堆記憶體、系統記憶體和CPU的使用狀況。<a href="https://tanzu.vmware.com/content/blog/tanzu-empowers-superior-secure-developer-experiences">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> Gartner調查 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> IT投資預測 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端市場 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>Gartner預測：2025年，企業雲端軟體投資將是非雲軟體的2倍</strong></span></p> <p>市場研究機構Gartner日前發布全球IT投資預測報告，預期企業雲端軟體的投資規模，至2025年達非雲端軟體的2倍。根據報告內容，2022年全球IT支出預期將達4.5兆美元，相比2021年成長5.1%，其中，以企業軟體項目的成長幅度最高，達22%。Gartner觀察，一路至2025年，企業CIO將提高對外部顧問的依賴，來實現數位化戰略。Gartner研究部門副總裁John-David Lovelock進一步表示，雲端尤其重要，因為雲是實現數位化目標和支持混合工作的關鍵要素，他預期，大多數大型企業將找外部顧問訂定雲戰略。</p> <p>在企業軟體項目上，2020年雲端軟體占比首次超過非雲軟體，一大原因是COVID-19的大流行。隨著企業聚焦採用SaaS，取代傳統本地端軟體，以支持業務的靈活性和敏捷性，因此，Gartner更預測，雲端服務將貢獻2022年企業軟體項目的成長力道，幾乎等同於該項目11%的預測成長幅度。<a href=" https://www.gartner.com/en/newsroom/press-releases/2022-01-18-gartner-forecasts-worldwide-it-spending-to-grow-five-point-1-percent-in-2022">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 威脅偵測服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EC2實例 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Amazon GuardDuty現可保護EC2實例，偵測憑證濫用行為</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_GuardDuty_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.jpg" style="width: 600px; height: 476px;" /></strong></span></strong></p> <p>AWS宣布更新智慧威脅偵測服務GuardDuty，增加可辨識用戶EC2執行實例憑證遭濫用的行為。EC2執行實例憑證是通過EC2元數據服務，提供給實例上執行的應用程式的臨時憑證，而一旦EC2實例遭到入侵，攻擊者便有機會擷取憑證，獲得憑證具有的IAM角色權限，進一步啟動或終止EC2實例，甚至建立新的IAM角色。現在，GuardDuty會偵測濫用EC2實例憑證的狀況，當偵測到異常時，會發出警報。</p> <p>GuardDuty不僅會偵測從AWS外部IP地址使用憑證的情況，還會偵測從AWS網路內其他AWS帳號使用憑證的情況，以防堵攻擊者藉使用AWS帳號隱藏攻擊活動的手段。威脅偵測服務會依據威脅的嚴重性，劃分警報為兩個層級，若攻擊者從用戶的附屬帳戶濫用憑證時，會標記為中級警報，而若威脅是來自其他來源，則會發出高級警報。GuardDuty新功能現已在所有AWS地區上線，並免費提供用戶使用。<a href=" https://aws.amazon.com/tw/blogs/aws/amazon-guardduty-enhances-detection-of-ec2-instance-credential-exfiltration/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 事件服務 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 控制臺支援 </span></strong> </span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Google在GCP控制臺加入Eventarc使用者介面，方便用戶管理、編輯觸發器</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Google%20Eventarc_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google%E9%9B%B2%E7%AB%AF.png" style="width: 378px; height: 600px;" /></strong></span></strong></p> <p>Google更新事件服務Eventarc，在GCP平臺控制臺加入Eventarc使用者介面（UI），用戶可更方便地控制和管理觸發器，且Eventarc事件目的地增加新選擇。所有GCP用戶現都可在控制臺，集中瀏覽、編輯和刪除Eventarc觸發器，掌握觸發器正在監聽的事件、來源，以及路由的目的地。另外，Eventarc事件路由目的地新增Cloud Run for Anthos。Eventarc服務的目的是，連結許多事件來源至許多事件目的地，現雖已有許多事件來源選擇，但只有一個事件目的地，也就是Cloud Run。因此，Google新增Cloud Run for Anthos服務，作為新的事件目的地，供用戶使用。<a href=" https://cloud.google.com/blog/topics/developers-practitioners/introducing-new-eventarc-ui-cloud-run-anthos-destinations">（詳全文）</a></p> <p><strong>圖片來源／IDC、微軟、AWS</strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1.甲骨文宣布將在南非約翰尼斯堡建立旗下非洲第一個雲端區域，今年更計畫在全球增加14個雲區域</strong><a href=" https://blogs.oracle.com/cloud-infrastructure/post/oracle-cloud-comes-to-johannesburg-meeting-compliance-obligations-in-south-africa">（詳全文）</a></p> <p><strong>2.Google宣布免費企業版G-Suite 7月開始收費，自動調整為付費版Workspace </strong><a href=" https://support.google.com/a/answer/2855120">（詳全文）</a></p> <p><strong>3.微軟發布用於K8s的Azure AD工作負載身分識別，不需使用機密情況下可存取受保護資源</strong><a href=" https://cloudblogs.microsoft.com/opensource/2022/01/18/announcing-azure-active-directory-azure-ad-workload-identity-for-kubernetes/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2022年1月</strong></p> </div></div></div>
2022/1/27 12:25作者黃郁芸https://www.ithome.com.tw/news/149106
Google Drive誤將以阿拉伯數字組成的文件標示為侵犯版權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Drive上個月導入新的版權政策後，本周將一份阿拉伯數字組成的檔案標示為侵犯版權而予以封鎖。</p> <p>上個月<a href="https://workspaceupdates.googleblog.com/2021/12/abuse-notification-emails-google-drive.html">Google宣佈一項內容管理政策，當Google Drive判斷用戶上傳的檔案被判斷為違反服務條款</a>，包括侵犯他人版權時，會在檔案名加上旗標，該檔案將無法分享給他人，也不能公開存取，包括已經有此連結的其他使用者。而在檔案封鎖後，上傳檔案者也會收到Google的電子郵件通知，包括申請複查。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0127-Google%20Drive-%E8%83%8C%E6%99%AF%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FDavid%20Becker%20on%20unsplash.jpg" style="width: 600px;" /></p> <blockquote><p>在2021年12月14日，Google宣布一項<a href="https://workspaceupdates.googleblog.com/2021/12/abuse-notification-emails-google-drive.html">新的內容管理政策</a>，當GoogleDrive上的文件被判斷侵犯版權時，將通知違反服務條款</p> </blockquote> <p>本周美國密西根州立大學<a href="https://twitter.com/emilyldolson/status/1485434187968614411">一名教師Emily Dolson的一個純文字檔遭到Google Drive封鎖</a>。這個純文字檔內以阿拉伯數字1組成的一行內容。</p> <p>這名用戶表示，她被告知該檔案違反了Google Drive的服務條款，因為檔案內容違反了版權侵犯政策，將限制文件的部份功能。而且Google訊息顯示這次封鎖無法申請複查。</p> <p><a href="https://twitter.com/Azumanga/status/1485741718016245760">聖安德魯斯大學另一名學者Chris Jefferson則做了個實驗</a>以複製這項結果。他利用-1000 到1000的數字，建立了2000個檔案並上傳到Google Drive。結果以173、174、186、266、285、302、336、451、500及833組成的檔案都接到了Google判定違反服務條款。</p> <p><a href="https://twitter.com/nixcraft/status/1485870458096726018">一名用戶表示</a>，如果檔案中有以0為組成的一行文字，上傳該檔案的帳號會被Google永久封鎖。因此為防帳號被鎖，Jefferson最後刪除了這項實驗。</p> <p>此事可能和Google 系統一個尚未知的漏洞有關，但Google並未解釋原因，也<a href="https://www.bleepingcomputer.com/news/security/google-drive-flags-nearly-empty-files-for-copyright-infringement/">未回覆媒體詢問</a>。不過<a href="https://twitter.com/googledrive/status/1485842524564606976?ref_src=twsrc%5Etfw">該公司已回覆密西根大學用戶</a>，表示正在解決這項問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0127-Google%20Drive-%E8%83%8C%E6%99%AF%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FTwitter(1).jpg" style="width: 600px;" /></p> <blockquote><p>但在1月24日<a href="http://(https://twitter.com/emilyldolson/status/1485434187968614411">美國一名教師發現</a>，她的一個純文字檔output04.txt遭Google Drive封鎖，但檔案內容其實只有單行一個數字"1"。後續並有多位用戶進行實驗，發現更多這樣的狀況。</p> </blockquote> </div></div></div>
2022/1/27 14:27作者林妍溱https://www.ithome.com.tw/news/149110
蘋果釋出macOS Monterey 12.2、iOS 15.3更新，修補會外洩瀏覽器活動的Safari漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT201222">蘋果於周三（1/26）釋出macOS Monterey 12.2、 iOS 15.3、iPadOS 15.3、tvOS 15.3及watchOS 8.4</a>，以修補安全漏洞，包含日前被揭露的、允許駭客存取瀏覽器機密資訊的Safari 15漏洞CVE-2022-22594。</p> <p>由於蘋果各作業系統的同質性高，因而各平台的安全更新都修補了不少同樣的安全漏洞，例如此次它們一起修補了藏匿在Safari 15中的CVE-2022-22594、CVE-2022-22589、CVE-2022-22592與CVE-2022-22590，以及出現在ColorSync的CVE-2022-22584、Crash Reporter中的CVE-2022-22578、涉及iCloud的CVE-2022-22585，與Kernel中的CVE-2022-22593，總計8個同樣的漏洞。</p> <p>至於macOS Monterey 12.2則額外修補位於AMD Kernel、Intel Graphics Driver、IOMobileFrameBuffer、Model I/O及PackageKit中的安全漏洞，iOS 15.3與iPadOS 15.3額外修補了IOMobileFrameBuffer與Model I/O漏洞，tvOS 15.3亦額外修補Model I/O漏洞。</p> <p>最受外界矚目的是日前被資安業者<a href="https://fingerprintjs.com/blog/indexeddb-api-browser-vulnerability-safari-15/">FingerprintJS披露的CVE-2022-22594</a>。</p> <p>根據FingerprintJS的解釋，Safari 15不當地建置IndexedDB API，而讓Safari用戶所造訪的任何網站都能追蹤使用者的行為，甚至得知使用者的真實身分。</p> <p>IndexedDB為一客戶端儲存的瀏覽器API，可用來存放大量資料，它支援所有主要的瀏覽器，也遵循同源政策，然而，應用在蘋果所有平台上的Safari 15瀏覽器中的IndexedDB API卻違反了同源政策，使得使用者所造訪的網站可得知其它其它視窗或分頁的網站，甚至能夠得知Google替使用者建立的User ID，利用此一User ID再去尋找其它的個人資料。</p> <p>其實蘋果此次修補的安全漏洞中，不乏影響更嚴重的遠端程式攻擊漏洞，儘速更新作業系統才是上策。</p> </div></div></div>
2022/1/27 14:29作者陳曉莉https://www.ithome.com.tw/news/149111
Let’s Encrypt將在5天內撤銷約200萬誤發的憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>免費TLS/SSL憑證發行商<a href="https://community.letsencrypt.org/t/2022-01-25-issue-with-tls-alpn-01-validation-method/170450">Let’s Encrypt本周通知</a>，為了修正稍早的作業問題，將在5天內撤銷大約200萬個發出的憑證。</p> <p>Let’s Encrypt周二接獲檢驗其程式碼的外部單位通知，該公司憑證管理（ACME）Boulder「TLS Using ALPN」驗證方法的實作有2處規格不符合標準。在1月26日協調時間凌晨0點48分修正後，問題已經解決。但是修正前利用TLS-ALPN-01驗證方式驗證及發出的所有憑證都被視為是誤發。</p> <p>為符合其憑證政策，Let’s Encrypt預計在5天內撤銷這些已發出的憑證，該公司將從世界協調時間（UTC）1月28日16:00起執行。Let’s Encrypt估計受影響的憑證不到1%。而受影響的用戶也會接獲電子郵件通知。</p> <p>根據<a href="https://letsencrypt.org/stats/#daily-issuance">Let’s Encrypt的資料</a>，目前有效憑證為2.2億張，因此受到影響的用戶憑證大約在200萬左右。</p> <p><a href="https://www.theregister.com/2022/01/26/lets_encrypt_certificates/">The Register</a>引述Let’s Encrypt 公司說法，這次修正不是出於安全問題，而是因為TLS-ALPN-01需使用TLS 1.2以上版本。</p> </div></div></div>
2022/1/27 12:42作者林妍溱https://www.ithome.com.tw/news/149108
微軟即將於Windows 11上公開預覽Android程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://blogs.windows.com/windowsexperience/2022/01/26/a-new-era-of-the-pc/">本周宣布</a>，將在下個月開放Windows 11用戶公開預覽Android程式，同時改善Windows 11上的各種功能，外界則猜測，這很可能是Windows 11自去年10月發表以來首次的重大更新。</p> <p>微軟早在Windows 11尚未正式出爐前就對外公告它將支援Android程式，只是迄今它一直僅於Insiders測試人員計畫中進行測試，而且<a href="https://www.ithome.com.tw/news/147387">只能存取源自Amazon Appstore的特定程式</a>。</p> <p>此外，屆時Windows 11還會推出重新設計的記事本（Notepad）及媒體播放器（Media Player），以及改善工作列（Taskbar）上的功能，包括通話靜音或取消靜音、新增天氣選項，以及強化分享能力等。</p> <p>Windows 11是微軟6年來最大的一次Windows改版，採用極簡的設計，根據微軟的統計，使用者升級到Windows 11的速度是當初升級到Windows 10的兩倍，同時Windows 11也是Windows史上，使用者對其品質及滿意度最高的版本。</p> <p>與Windows 10相較，使用者於Windows 11上花的時間多了40%，另有接近一半的Windows 11用戶使用全新的Snap Layouts佈局功能，以展開多工並提升生產力。</p> </div></div></div>
2022/1/27 12:26作者陳曉莉https://www.ithome.com.tw/news/149107
美國白宮新網路安全戰略正式發布，要求所有聯邦機構採零信任架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>直屬美國總統管轄的行政管理和預算局（Office of Management and Budget，OMB）<a href="https://www.whitehouse.gov/omb/briefing-room/2022/01/26/office-of-management-and-budget-releases-federal-strategy-to-move-the-u-s-government-towards-a-zero-trust-architecture/">周三（1/26）發布一聯邦策略</a>，指示所有聯邦機構的網路安全策略都應轉移到零信任架構（ Zero Trust Architecture），並必須在2024財年底（2024年9月30日）之前符合特定的資安標準與目標。</p> <p>OMB在<a href="https://www.whitehouse.gov/wp-content/uploads/2022/01/M-22-09.pdf">發送給各聯邦機構的備忘錄M-22-09</a>中說明，在目前的威脅環境下，聯邦政府不能再依賴傳統的邊界防禦作法來保護重要系統與資料，因而必須作出大膽的改變，轉移到零信任將替這個新的威脅環境提供一個可防禦的架構。</p> <p><a href="https://www.ithome.com.tw/news/147725"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%81%AF%E9%82%A6%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB%E6%88%B0%E7%95%A5960x420.jpg" style="width: 600px;" /></a></p> <blockquote><p>在去年9月7日美國行政管理和預算局（OMB）<a href="https://www.ithome.com.tw/news/147725">提出「聯邦零信任戰略」（Federal Zero Trust Strategy）草案</a>，如今這個聯邦策略正式發布。</p> </blockquote> <p>零信任模型的基本原則是沒有任何參與者、系統、網路或服務是可靠的，因而必須驗證任何試圖建立存取權限的事物，在理想的狀態下，政府員工應該擁有大型企業等級的受管帳號，以讓他們得以存取工作上所需的資料，同時提供可靠的資安保護，避免遭到針對性且複雜的網釣攻擊；員工的工作設備也將持續受到追蹤與監控，並在賦予造訪權限時考量這些設備的安全狀態；各個聯邦機構的系統是相互隔離的，彼此間互動的流量則是加密的；應用程式需經內部與外部的測試，並可安全地藉由網路提供給員工；各個資安及資料團隊必須合作以建立資料類別及安全規則，以偵測及封鎖未經授權的機密資訊存取。</p> <p>OMB表示，此一策略特別強調身分與存取控制，包含採用雙因素認證（MFA）機制，若缺乏嚴格控管的身分辨識系統，駭客只要取得使用者帳號就能進入特定機構以竊取資料或執行攻擊。</p> <p>美國總統拜登（Joe Biden）是在去年5月頒布「改善美國網路安全」的14028行政命令，當時便宣布要朝向零信任邁進，OMB則於同年的9月公布此一聯邦策略的草案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-27_%E8%81%AF%E9%82%A6%E9%9B%B6%E4%BF%A1%E4%BB%BB%E6%88%B0%E7%95%A5_M-22-09(1).jpg" style="width: 600px;" /></p> <blockquote><p>美國提出的聯邦零信任戰略正式公布，1月26日發布<a href="https://www.whitehouse.gov/wp-content/uploads/2022/01/M-22-09.pdf">M-22-09備忘錄</a>。</p> </blockquote> <h3><strong>相關報導：</strong><a href="https://www.ithome.com.tw/news/147725"><span style="color:#0000CD;"><strong>帶動全美政府組織提升網路安全水準，聯邦零信任戰略草案提出</strong></span></a></h3> </div></div></div>
2022/1/27 11:31作者羅正漢https://www.ithome.com.tw/news/149103
Line CLOVA AI產品中文化落地臺灣，今年新推CLOVA Note，CLOVA Chatbot更推出三種部署版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Line臺灣在開發者大會上發布，三大Line CLOVA AI產品正式中文化落地臺灣。一是CLOVA OCR，將推出完整產品功能，主張無論是特定表格或是證件中的文字內容，都能以OCR快速識別；CLOVA Chatbot則是推出雲端SaaS、地端On-Premise與混合雲部署版本，來滿足企業應用需求；今年更新推CLOVA Note服務，不只要將中文語音轉文字，還要區分出不同的發言者，未來除了可作爲個人助理，也要提供Web service串接到視訊會議來做記錄，這項服務預計在今年稍晚推出。</p> <h3 dir="ltr"><span style="color:#FF8C00;">CLOVA OCR：因應不同辨識情境，提供一般與專用文字辨識模型</span></h3> <p dir="ltr">Line CLOVA團隊Aaron Wu首先揭露CLOVA OCR完整產品功能。Line的OCR產品可分為一般情境的文字辨識模型（General Model）與專門情境辨識模型（Specialized Model），除了經過一年的中文化調整與優化，Line今年也在一般情境辨識模型中，推出新功能Table Extractor，讓用戶在掃描文件或圖片上的表格時，能夠用Table Extractor來辨識，透過將JSON File的參數，對應到每個字元在表格上的欄位，來快速擷取圖片上的表格與其欄位中的文字。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%882_26_55.png" style="width: 700px;" /></p> <p dir="ltr">由於在進行拍攝、截圖或掃描時，圖片的角度或光線都會影響OCR辨識的結果，Line因此新增了以AI自動調整角度的功能，能辨識出直式的表格文字為橫式等。Aaron Wu指出，這項功能在日本推出後大獲好評，比如在疫情期間，用戶需要將疫苗預約單的內容輸入系統來進行疫苗預約，透過訓練出OCR辨識模型，並結合自動調整辨識角度的功能，就能加速資訊擷取的效率，甚至連揉成一團的皺巴巴紙張，都能辨識出紙張上的文字資訊，尤其受到銀髮族的歡迎。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%886_10_07.png" style="width: 700px;" /></p> <blockquote><p dir="ltr">CLOVA OCR能自動調整角度來進行OCR辨識。</p> </blockquote> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%886_11_30.png" style="width: 700px;" /></p> <blockquote><p dir="ltr">經過模型訓練後，連一團皺巴巴的紙張，都可以進行OCR辨識。</p> </blockquote> <p dir="ltr">另一項專門情境辨識模型，則分為兩種類別，一是證件式的模型辨識，包括身分證、健保卡、護照等，雖然格式較固定，但因背景花紋或表格框線的樣式不同，還是需要透過模型訓練來強化辨識能力。二是非證件式的模型辨識，屬於內容相近但格式呈現不同者，比如名片、收據、信用卡、薪資單等，這類格式位置不固定者，就得透過足量資料來進行模型訓練，才能正確捕捉各種欄位資訊。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%886_12_40.png" style="width: 700px;" /></p> <p dir="ltr">針對General Model與Specialized Model兩類模型的訓練，CLOVA OCR更提供了Template Builder工具，提供一個易於操作的介面，讓用戶能透過拖拉的方法，選擇需要辨識的區塊、定位並命名，更提供了足量的標註工具，包括複寫框、多重字元框、Check Box等，以供用戶更精準定義表格並擷取資訊。同時，CLOVA OCR也能串接不同工具或技術，比如自動標註功能（Auto Tagging）、知識圖譜或是RPA流程等，來建立端到端自動化流程。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%886_14_33.png" style="width: 700px;" /></p> <blockquote><p dir="ltr">Template Builder工具提供了許多標註工具，包括複寫框、多重字元框、Check Box等，以供用戶更精準定義表格。</p> </blockquote> <h3 dir="ltr"><span style="color:#FF8C00;">CLOVA Chatbot：Chatbot Bulider讓非開發者快速上手，更提供三種部署方式</span></h3> <p dir="ltr">落地臺灣的CLOVA Chatbot也同樣提供了Chatbot Bulider工具，降低訓練人機對話系統的繁複流程，讓用戶只須準備好由機器人回答的問題與答案，以及相應的訓練資料，就可藉由圖形化介面訓練出專屬的Chatbot模型，並應用到Line官方帳號上，連不具程式開發技能的用戶都能上手。</p> <p dir="ltr">為了滿足各種不同用戶的需求，CLOVA Chatbot提供三種部署方式，其一是雲端SaaS解決方案，透過雲端平臺提供所有的Chatbot模型引擎，日本與韓國均有大量應用案例；其二是地端On-Premise版本，主要針對有落地需求、考量資料安全性的企業用戶，可透過SI廠商將服務導入企業本地端來使用；其三則是專為臺灣企業設計的混合雲架構（Hybrid），結合雲端與地端的優勢，讓用戶一方面可維持隱私資料落地的安全性，一方面也可以降低運算資源的硬體成本投入。</p> <p dir="ltr">Aaron Wu分享，Line客服官方帳號也實際應用了CLOVA Chatbot，2021年正式導入後，已經有8成以上的資料交由CLOVA Chatbot處理，平均每日可以接收超過5,000則以上的詢問訊息，更能維持90%以上的模型精準度。在這項Chatbot服務的設計上，Line引進了情境式對話功能，引導使用者逐步釐清問題，找到需要的答案，來提升滿意度。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%884_13_56.png" style="width: 700px;" /></p> <p dir="ltr">而且，透過CLOVA Chatbot的自動回覆與資料搜集，持續分析客服訊息後，Line發現超過兩成以上使用者問題，都跟帳號轉移相關，因此，Line也計畫在今年第一季推出「帳號移動健檢」功能，透過CLOVA Chatbot的進階功能，將Chatbot串接後端帳號系統，在經過用戶同意的情況下，從後臺自動讀取用戶資料，拋轉到Line內部伺服器後，再以Flex Message格式呈現在對話視窗中，來與用戶確認帳戶移轉的相關資訊。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%884_39_09.png" style="width: 700px;" /></p> <p dir="ltr">比如透過Chatbot先跟用戶確認電話號碼、Email以及是否已經設定密碼，也會確認帳號轉移的手機號碼是否一致，並提醒用戶在資料轉移之前，是否已經先備份資料，以此來幫助用戶更精準、快速的解決問題。在與用戶確認資訊的過程中，Line也會使用CLOVA Chatbot的隱藏式遮蔽功能，將敏感性的資料遮蓋。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%886_18_19.png" style="width: 700px;" /></p> <h3 dir="ltr"><span style="color:#FF8C00;">CLOVA Note將於今年上線，可將語音轉為文字、更能區別不同發言者</span></h3> <p dir="ltr">另一項Line臺灣將在今年稍晚推出的AI新服務，則是CLOVA Note，來轉錄語音進行各式各樣的記錄。CLOVA Note使用了兩項主要的語音技術，一為語音辨識（Speech Recognition），將語音轉換為文字，二是說話者辨別（Speaker Diarization）技術，來分辨不同的發言者。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%886_19_30.png" style="width: 700px;" /></p> <p dir="ltr">在語音辨識的技術中，Line採用的並非傳統語音辨識（ASR）模型的訓練方法。Aaron Wu指出，傳統的ASR模型訓練方法，會先透過聲學模型（Acoustic Model），將聲音轉換為最小的聲音單位，再透過Phoneme-to-grapheme模型，將每個聲音的最小單位轉換為字串，最後再透過語言模型（Language Model），將每個字元組合成一個完整的句子。但如此一來，每個模型都得分開訓練，也需要不同的訓練素材與參數調教，「這對ML來說是一個阻礙。」</p> <p dir="ltr">因此，Line選擇透過自家研發出來的NEST引擎，這是一個以神經網絡架構出的端到端語言辨識模型，不需要訓練三個模型將語音轉為文字，而是能直接將語音輸入神經網絡來進行訓練，不僅能突破對Free Conversation的辨識，也強化了抗噪的功能。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%886_19_38.png" style="width: 700px;" /></p> <p dir="ltr">而在說話者辨識的模型中，則是運用每一個文字的字元字段，進行上下文比對，再透過判斷上下文之間的關係，以辨識出不同的說話者。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%886_19_47.png" style="width: 700px;" /></p> <p dir="ltr">Aaron Wu表示，CLOVA Note除了可以作為個人助理，也能作為Web service服務串接到視訊會議軟體當中，來進行會議記錄，同時區分發言的對象。韓國在上線後，約有9成用戶以此進行會議記錄，臺灣今年也會上線中文服務。</p> </div></div></div>
2022/1/27 11:53作者翁芊儒https://www.ithome.com.tw/news/149091
萬芳醫院靠微服務大膽改造，更要助北醫體系HIS大轉型
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HIS對多數醫護而言，只是單調的日常工作環境，但對萬芳醫院的醫護來說卻很不一樣。「我們醫療資訊系統（HIS）畫面，到聖誕節時會飄雪，就像Line聊天室一樣，甚至計畫在情人節時秀出愛心，」萬芳醫院資訊室主任許權廣越講，眼睛越發亮了起來，「要讓辛苦工作的同仁感受到溫暖。」</p> <p>甚至他打算，讓一天得用好幾套系統的醫生，打開最後一個HIS系統頁面時跳出「恭喜集滿七個系統～獲得今日最辛苦醫師勳章」的驚喜，利用尋寶集點的遊戲化概念，讓使用者體驗更有趣。</p> <p>這個多幫使用者思考一步的思維，讓HIS不再冷冰冰，使用者用起來就像生活中熟悉的工具一般，就是許權廣的開發風格。勇於打破舊有框架，也跳脫傳統IT開發方式，讓他更能大膽嘗試新方法，這正是為何早在4、5年前，遠在微服務浪潮吹進臺灣之前，萬芳就開使思考這樣技術的可行性。</p> <p><span style="font-size:28px;"><strong>直接嚐鮮微服務，解決舊系統問題</strong></span></p> <p>如同其他歷史悠久的醫院，萬芳仍採用大型主機，這種設計雖然安全，IT卻面臨許多挑戰。光是修改日期欄位，只改一處還不夠，IT得手動一一修改所有牽涉日期的系統才行，這只是萬芳醫院維運大型主機系統常見的麻煩事之一。</p> <p>最讓許權廣頭痛的是，大型主機使用老舊程式語言，例如Delphi，人才越來越難找，「最可怕的是，能用的工具也越來越少！」他指出，大型主機系統遇到維護更新時，還得中斷服務，就算暫停1分鐘，都影響HIS服務的持續性。</p> <p>所以，4、5年前一場會議上，萬芳醫院開始思考，能否用微服務來開發系統。當時，臺灣醫界討論微服務的聲浪甚小，但萬芳醫院評估後就認定，微服務架構可解決老舊系統的問題。</p> <p>而真正推了萬芳醫院一把，讓他們成為北醫體系中，第一家擁抱微服務醫院的關鍵，是一項非做不可的國家政策。當時政府力推醫院無紙化，醫院得在平板、手機等行動裝置上執行HIS，但用老舊程式語言開發的系統，必須事先定義固定的畫面尺寸，難以根據裝置螢幕來縮放大小，無法如新式網頁應用程式那樣，可以動態支援不同裝置的螢幕。</p> <p>在雙重挑戰的推力下，萬芳在2018年初，決定大膽改用微服務來開發系統。</p> <p><span style="font-size:28px;"><strong>挑病摘系統先練兵，正式展開微服務開發之路</strong></span></p> <p>他們首先練兵的對象是病摘系統。</p> <p>這是因為，這套系統不如門診系統龐大，但用途廣泛，記載了病人從入院到出院全流程的病歷摘要，也醫院每天必用的系統。再來，病摘系統主要使用者是年輕住院醫師，這群使用者對系統轉換接受度高，也可以快速提供建議給開發團隊。從醫院整體作業角度來看，優化病摘系統，也能進一步提高無紙化程度，讓醫護更習慣在裝置上記錄病歷。</p> <p>從技術面考量，鎖定病摘系統還有一個關鍵理由，就是更容易符合微服務拆分理念，將不同階段的流程模組化，拆分為一支支的服務，再以API串接。</p> <p>選好改造的目標系統後，萬芳IT團隊找來使用者單位和負責統籌的醫務部，聯手開發新系統，一一從入院病摘、病程記錄、出院病摘等關鍵模組著手，再延伸到其他照護系統，將這些模組都打造成網頁化的服務，能根據行動裝置大小縮放使用，甚至還結合Chatbot工具，來發送會診通知。網頁版病摘系統也以API串接其他仍在大型主機上執行的舊系統。</p> <p>這種用微服務介接大型主機舊系統的方法，就像是「在舊按鈕呼叫新服務。」許權廣認為，明顯效益是大幅縮短資料存取時間，因為原本所用的資料庫架構複雜，資料存取相當費時，但改用微服務介接舊系統後，萬芳會先將資料抓取到微服務專用的快取資料庫Redis，再用NoSQL資料庫MongoDB連結快速存取。</p> <p>這種暫存方式，大大加速資料存取時間，使用者能立即讀取資料，而且，IT服務更新不必停機，團隊不需公告系統何時更換，隨時就能逐一更新不同的模組，使用者也能立即體驗操作順暢度。</p> <p>這套以微服務架構開發的病摘系統，後來成為萬芳醫院One系列系統中的OneRecord，更奠定微服務開發基調。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1062%2B1063-CIO-450.jpg" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105);">攝影／洪政偉<br /><strong>萬芳醫院資訊室主任許權廣表示，微服務開發關鍵在於服務資料分類，以及資料定義，得先找出共用模組、規範資料書寫格式，才能順利動工。</strong></span></p> <p><span style="font-size:28px;"><strong>實作微服務2步驟：服務分類、資料定義</strong></span></p> <p>不過，作為微服務開發新手，萬芳醫院IT如何打造微服務系統？</p> <p>他們的原則很簡單，就2件事。首先，IT團隊得先將服務與資料分類，找出醫療流程中共用的重要模組，像是病人基本資料、實驗室檢測數據等。這一步，就像是「先穿好衣服，」許權廣這樣比喻，衣服穿好後，要搭上配件就很容易了。接著第二項原則是建立資料定義，也就是資料標準化。比如，萬芳醫院遵照Google標準時間格式，來紀錄年、月、日，甚至連秒、毫秒都包括在內。</p> <p>服務分類、資料定義，這兩項就是萬芳醫院每周例行開發會議的重點工作。許權廣指出，每周二下午，醫務部會主導開發會議，找來資訊室開發小組、醫療資訊執行長暨放射腫瘤科專任主治醫師陳俊佑和相關使用單位，共同審視現有流程。他們從中分門別類，找出共用功能，再讓IT人員認領開發。</p> <p>微服務拆分後更容易結合敏捷式開發來分工，不僅精簡快速，也十分彈性，團隊不必像傳統IT開發般，按照順序「從1234開發，而是拆分成模組後，從1或10開始都行。」許權廣點出，老派開發要求一人獨挑大樑，IT人員一接到任務就自認倒楣，但微服務開發方法不只分工，還能提高成就感。</p> <p>先完成共用模組的開發後，團隊就能重新組合不同微服務化的模組，來建立整體操作流程。甚至，他們也能在模組間穿插其他功能，像是大數據分析、AI等。對團隊來說，微服務讓不同系統都能透過API呼叫取用，而且，模組改寫一次就能同步更新到所有套用的流程上，不必一一手動改寫所有相關系統。</p> <p><span style="font-size:28px;"><strong>跳脫傳統IT框架：IT人才非相關科系也能做好微服務</strong></span></p> <p>不只在系統開發上跳脫傳統IT框架，許權廣在人才安排上也打破舊有做法。萬芳醫院資訊室人力不多，特別的是，主力開發人員都不是IT背景，「有英文老師、政治系、航太系畢業的同事，還有一位IT團隊主管是醫師，而我自己是護理背景，」他打趣地一一細數團隊成員背景。這群人來歷不同，但都對系統開發抱持高度熱忱，自行尋找開源工具解決問題，更是必備特質。</p> <p>為何出現這樣奇特的人才組成，得從2017年底，萬芳改變招募方式說起。當時，萬芳醫院面臨老舊程式語言人才難尋、又不得不動起來開發的困境，於是下定決心從零開始，只要會網頁式開發的人才，都納入考量。</p> <p>不像傳統透過人力網站徵才的制式方法，萬芳醫院主動出擊，在PTT、各大論壇上尋找對醫療IT有獨到見解之人，主動邀請面試。萬芳醫院IT主管與這些人對談時，除了記錄人格特質，還看重快速反應能力。甚至在面試後，還會找面試者到開發團隊的辦公室，與其他成員閒聊半小時，分享彼此興趣。「大家語言相同，就會留下來，就會開發出許多新東西，獲得成就，」他說。</p> <p>許權廣強調，這些不同背景的開發人才想像力豐富、富有彈性，再加上平時都是IT系統的使用者，更能從使用者角度看問題。「對我們來說，這是很好的改變！」他說。</p> <p>不只如此，萬芳醫院還自創一套人才轉型做法。開發微服務系統時，必須先梳理出關鍵的共用模組，但醫療資料架構龐雜，容易衍生出各式各樣的子分類，對IT新人來說更難分辨。這時，萬芳醫院換個角度，改找來開發舊系統的資深員工，轉型擔任系統架構師，負責拆解龐大的舊系統，再提供架構設計給新進IT人員來打造微服務系統。如此一來，只熟悉舊系統和舊語言的資深人員，也能在新系統開發中發揮關鍵作用。</p> <p><span style="font-size:28px;"><strong>下一步進駐北醫體系，擴散萬芳微服務經驗</strong></span></p> <p>開啟萬芳醫院為服務開發之路的OneRecord，是承襲萬芳另一套一站式病人資訊入口系統OnePage而來。他們也在之後，陸續打造一系列One系統，像是個案查詢系統OneTeam、急診專用系統OneER、醫療資料庫OneFamily和OneBot等。微服務的延伸，不光是系統，更推展到整個腫瘤治療流程上。許權廣透露，目前北醫體系有意改造腫瘤治療流程，未來要以微服務來開發。</p> <p>這些都是萬芳微服務系統延伸應用的一環。因為，北醫大今年2月將啟動專案辦公室，來推動北醫體系3家醫院的HIS轉型，要用微服務架構來改善大型主機舊系統。這個專案辦公室的目標是，將One系列系統導入體系醫院，讓3家醫院透過單一入口查詢所有資訊，甚至納入周邊合作診所的資訊。</p> <p>專案辦公室會先從3家醫院中挑選人才，一面組隊，一面規畫複製萬芳醫院One系列系統的成功經驗，到其他2家醫院，不只包含系統開發，更著重團隊合作和人才組成。尤其，萬芳醫院力推由醫師領導IT團隊，所開發的系統才更貼近使用者需求，而由不同人格特質組成團隊也是關鍵，才能互補進步。在開發過程中，如何讓醫療團隊了解關鍵模組，也是萬芳經驗分享中的重要一環。</p> <p>許權廣特別強調，萬芳IT還建置系統互動區，來讓使用者截圖、反應系統狀況，這也是他眼中，提高使用者體驗的關鍵做法。</p> <p>接下來，北醫體系還要研究世界主流的開源容器平臺K8s，用來管理3院微服務系統。許權廣期許，未來北醫體系微服務模組要像App市集一樣，隨時可供不同系統呼叫、引用，打造更靈活的智慧醫療環境。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>萬芳醫院資訊室主任許權廣</strong></p> <p>學歷：臺北醫學大學醫學資訊碩士畢業</p> <p>經歷：2010年進入北醫大，擔任卓越癌症計畫研究護士，2013年接任北醫大科技學院專案經理，累積IT開發經驗，2年後進入萬芳醫院資訊室護理小組，2017年升任萬芳醫院資訊室副主任，2年後接下資訊室主任一職，2020年則任命為資訊長</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院檔案 </span></strong></span></p> <p><strong>臺北市立萬芳醫院</strong></p> <p>地址：臺北市文山區興隆路三段111號</p> <p>成立時間：1997年</p> <p>主要業務：與臺北醫學大學附設醫院、衛福部立雙和醫院在臨床教學研究、人力資源、醫療服務及其他資源上相互支援</p> <p>員工數：約2,500人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：萬芳醫院資訊室主任</p> <p>資訊部門主管姓名：許權廣</p> <p>醫療資訊執行長：陳俊佑</p> <p>直屬主管：行政副院長</p> <p>資訊部門人數：31人</p> <p>資訊部門分工：分為系統維運組、程式設計組、資訊發展組、資訊服務組、總機組</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2010年：電子病歷系統上線、建置住院醫師查房資訊系統LazyR</p> <p>●2013年：參與北醫體系醫院醫療資訊系統整合計畫</p> <p>●2016年：建立一頁式醫師小助手OnePage，召集北醫教授李友專、萬芳醫師陳俊佑等成立醫資專家群</p> <p>●2017年：導入癌症診斷輔助系統Watson for Oncology、建置智慧病房；打造雲端文件共享服務平臺及雲端運算資料交換管理系統</p> <p>●2018年：發表臺灣首個AI醫療服務聊天機器人「萬小芳」</p> <p>●2019年：以OnePage為核心，打造萬芳One萬平臺，開始微服務轉型</p> <p>●2020年：打造文山區診所系統資料雙向交換環境，建立臺灣首個光配方樂齡智慧病房</p> <p>●2021年：獲得2020年至2021年國家醫療品質獎（NHQA）智慧醫療類競賽六面向全獲智慧標章</p> <p>●2022年：以One萬平臺微服務建構經驗，推動北醫大下一代HIS開發</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/10621063-cio-960-png.png" width="960" height="420" alt="" title="萬芳醫院資訊室主任許權廣　　（攝影／洪政偉）" /></div></div></div>
2022/1/27 11:53作者王若樸https://www.ithome.com.tw/people/149088
5G趨勢月報第27期：廣達展示5G智慧工廠新成果，以5G攝影機即時偵測產線手臂異常，還結合AR眼鏡指引新手組裝機櫃
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>01/01~01/31精選5G趨勢新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">聯發科</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 6G </span></strong></span></p> <p><span style="font-size:22px;"><strong>搶先布局6G標準，聯發科發布6G願景白皮書，首度提出6G設計3大關鍵原則</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%96-%E8%87%B3%E6%B5%A9-%E5%9C%961-5G%E8%B6%A8%E5%8B%A2%E6%9C%88%E5%A0%B1.png" style="width: 600px; height: 432px;" /></p> <p>儘管按ITU-R（國際電信聯盟無線電通信部門）規畫期程，下一代6G標準最快2030年才會展開制定，不過一些大型電信設備商、5G晶片業者早已為布局6G提前展開規畫和投入研究。聯發科是其中一家。該公司近日在新發布一份《6G願景白皮書》中，首度提出6G設計關鍵原則，作為未來 6G標準的可能發展方向。</p> <p>如同現今5G系統設計，以大頻寬（eMBB）、低延遲（URLLC）、多連結（mMTC）發展行動網路關鍵技術，在這份白皮書中，聯發科提出6G系統設計三個關鍵原則，分別是精簡（Simplexity）、優化（Optimization）及融合（Convergence）。像是6G系統應以精簡的設計滿足複雜的新應用場景需求，如不同類型裝置、更廣頻譜範圍、頻譜性質調適、多網融合等。重優化的6G系統需改以使用者為導向進行優化，涵蓋無線網路異質架構整合、通訊網路智慧化及支援個別應用場景的整套設計，滿足新世代的創新應用需求，如全像投影通訊、觸覺通訊、數位分身、親臨實境（telepresence）等。聯發科表示，未來將以三大基本設計原則，建立 6G研究基礎理論，發展核心技術，制定全球統一標準並推動產業生態發展。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">5G智慧工廠</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 廣達</span></strong></span></p> <p><span style="font-size:22px;"><strong>廣達展示5G智慧工廠新成果，結合5G攝影機與AR眼鏡提高自動化生產、機櫃組裝作業效率</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%96-%E8%87%B3%E6%B5%A9-%E5%9C%962-5G%E8%B6%A8%E5%8B%A2%E6%9C%88%E5%A0%B1.jpg" style="width: 600px; height: 372px;" /></p> <p>近期在雲達Q.synergy年會上，廣達有更多5G智慧工廠應用成果展示，將5G大頻寬、低延遲特性，運用在自動化生產線、伺服器機櫃生產組裝作業上，像是為了能偵測多條產線的機械手臂運作安全和周圍環境監控，他們利用5G專網建立一個可以涵蓋長65米、寬55米的通訊範圍，大約8個籃球場大，一次可支援3條生產線共55個720P畫質IP攝影機的影像上傳，而其中一條產線後端搭配一組4K攝影機，拍下每個PCBA板的超高畫質影像，將影像上傳至Edge Cloud儲存，作為後續生產履歷的品質追溯，並透過影像分析，持續改善良率。</p> <p>在機櫃組裝產線也部署5G應用，在長達2公尺的機櫃組裝線進行作業時，作業員可以利用AR眼鏡上的攝影機，結合AI即時追蹤機櫃每個孔位，並將AR虛擬指示快速疊加於眼鏡前方，指引新手組裝，在組裝作業進行的同時，也能將組裝過程的影像結合AI品質檢測。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">5G SA </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 亞太電信 </span></strong></span></p> <p><span style="font-size:22px;"><strong>亞太電信完成5G SA結合毫米波雙連線的數據互通測試，傳輸速度可達2Gbps</strong></span></p> <p>過去1年，全球5G技術正迅速從5G NSA朝更大頻寬的5G SA獨立組網架構發展，國內各大電信商也積極投入，像是亞太電信最近與愛立信及高通聯手，結合中高頻段完成5G SA毫米波雙連線（mmWave NR-DC）的數據通話測試，傳輸速度較NSA架構提升不少，最高可提供2Gbps下載速度，上傳速度也可達600 Mbps，網路延遲則縮減為約5毫秒。</p> <p>在這項5G 雙連線測試中，亞太電信使用愛立信5G RAN和雲端原生的5G核網，並於搭載高通Snapdragon X65 5G數據機射頻系統的工程測試裝置上進行，還搭配5G NR雙連線軟體使其連接到2.6GHz中頻和28GHz毫米波高頻頻段，並在SA獨立組網的5G核網上進行測試，藉此實現更高的5G毫米波傳輸速率、更好的覆蓋範圍，以及改進網路延遲。</p> <p>亞太電信表示，透過結合5G SA和毫米波，將推動更多企業5G專網和消費端的創新應用，包含即時自動化、智慧監測遠端操作和機器人控制等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">5G頻譜</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 飛航安全 </span></strong></span></p> <p><span style="font-size:22px;"><strong>5G頻譜引發飛航安全疑慮！美國兩大電信巨頭暫緩部分機場及周邊C頻段5G服務推出</strong></span></p> <p>美國兩大電信業者AT&T和Verizon近期因開通C頻段（C-Band）5G服務被認為可能干擾飛航運作，遭航空業強力阻撓而引起爭端，也讓這兩大電信業者讓步，暫緩決定在美國部分機場周邊地區部署C頻段5G服務，避免影響美國航班。</p> <p>以AT&T而言，C頻段是AT&T支援的3種5G服務之一，但不像低頻段AT&T 5G，以及使用毫米波的5G+服務之前都順利推出，反觀AT&T的C頻段5G服務開通卻一波三折。由於C頻段5G服務，採用3.7GHz到3.98GHz，屬於中頻段頻譜，兼具高傳輸率及高覆蓋區域的優點，但因距離航空高度計使用4.2到4.4GHz頻段較近，恐有影響飛航安全的疑慮，聯邦航空總署FAA和部分航空業者都同聲示警，不只美國、日本航空，就連臺灣飛美航班也因為擔心影響飛航設備，而有部分延後起飛或甚至取消航班。</p> <p>AT&T與Verizon原訂去年12月中開通，後因遭航空業反彈，延至今年1月19日才推出，在開通前夕，再次受到對方阻撓，雖然最後仍按原定計畫，啟動了C頻段5G服務，但排除美國部分機場周邊地區。</p> <p>至於臺灣5G商用頻譜因使用距離較遠的3.3到3.57GHz頻段，並不干擾飛航安全。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">樂天行動 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G開放架構 </span></strong></span></p> <p><span style="font-size:22px;"><strong>日本樂天行動分拆Symphony部門為獨立公司，專注提供雲原生5G電信開放架構和平臺服務</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%96-%E8%87%B3%E6%B5%A9-%E5%9C%963-5G%E8%B6%A8%E5%8B%A2%E6%9C%88%E5%A0%B1.png" style="width: 600px; height: 372px;" /></p> <p>日本5G電信商樂天行動4日宣布將把旗下Symphony業務分拆出來成獨立公司，名為Rakuten Symphony。</p> <p>Rakuten Symphony將成為樂天行動全資子公司，新公司將由樂天行動技術長Tareq Amin擔任執行長。</p> <p>Symphony是樂天行動去年8月成立新業務部門，負責銷售樂天旗下所有4G、 5G網路產品、服務和解決方案，其中一大主力是2020年推出的樂天通訊平臺（RCP），提供營運商建置行動網路所需一整套Open RAN網路技術，包含虛擬化、容器和微服務等。</p> <p>樂天行動表示，成立獨立公司後，未來將能專注全球市場，提供全球營運商、企業和政府機構使用RCP平臺所需OpenRAN、雲原生產品及服務。該公司還透露了目前已有一家德國電信商1＆1 Drillisch將採用其RCP服務建置行動網路，涵蓋 N、核網、雲端等。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">智慧城市 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G智慧杆 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺北市政府將展開5G智慧杆場域驗證計畫，以IoT路燈結合5G毫米波監測交通、環境及淹水情形</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__63889438.jpg" style="width: 600px; height: 446px;" /></p> <p>近日，臺北市政府宣布將在臺北市區展開5G智慧杆場域驗證計畫，更與5G智慧杆標準推動聯盟合作，使用其標準來打造包含一主杆與二副杆的5G智慧杆，該測試場域選在北市府大樓東側廣場的松智路段進行，使用IoT路燈結合5G毫米波通訊及5G基地臺打造5G智慧杆應用場域。</p> <p>臺北市資訊局表示，將會進行為期一年的PoC驗證，除了用來驗證5G智慧杆功能，還將整合電動車充電樁，以及運用於智慧路燈、道路交通監測、環境氣候偵測、道路淹水偵測，並結合AI及邊緣運算控制LED燈號警示、數位看板等智慧城市應用。</p> <p>AT&T與Verizon原訂去年12月中開通，後因遭航空業反彈，延至今年1月19日才推出，在開通前夕，再次受到對方阻撓，雖然最後仍按原定計畫，啟動了C頻段5G服務，但排除美國部分機場周邊地區。至於臺灣5G商用頻譜因使用距離較遠的3.3到3.57GHz頻段，並不干擾飛航安全。</p> <p> </p> <p>攝影／蘇文彬圖片來源／Apple、聯發科、臺北市政府</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多5G動態 </span></strong></span></p> <p><strong>1.傳蘋果將發表平價iPhone SE 5G，最快4月亮相</strong></p> <p><strong>2.微軟Azure for Operators混合雲方案正式整合AT&T 5G網路平臺</strong></p> <p>資料來源：iThome整理，2022年1月</p> </div></div></div>
2022/1/27 11:56作者余至浩https://www.ithome.com.tw/news/149104
臉書在新興國家推的免費上網服務其實要收費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta前身臉書在新興國家推出的免費上網服務Internet.org雖然有些爭議，但不失立意良善。不過<a href="https://www.wsj.com/articles/facebook-free-india-data-charges-11643035284">華爾街日報報導</a>，臉書反因這項服務賺進數百萬美元。</p> <p>臉書是在2013年推出名為Internet.org、後來改名為Free Basics的服務，宣稱要幫助頻寬不夠快的新興國家人民也能使用免費網路內容。臉書和當地ISP合作，提供以零費率提供用戶上網服務以及健康或資訊類等內容，以及在臉書上讀取文章、貼文或回覆。</p> <p>但報導指出，在印尼、菲律賓及巴基斯坦等地和行動電信商合作這項服務期間，其實用戶被悄悄收取費用。因為Free Basics免費服務僅限於文字內容，用戶讀取相片或影片都會被收費。但付費及免費服務混雜推出，使用者不小心就會點入付費服務。另一方面，大部份用戶是以預付卡使用這項服務，因此未能於第一時間發覺，直到其額度用完才發現。</p> <p>報導指出，Free Basics服務中，用戶應該只會看到文字版Facebook，但因為發生Meta口中的「技術問題」，而讓影片內容出現在Free Basics的臉書服務。又因為另一項問題，讓應該在用戶點入付費服務前發出的提醒並未出現。</p> <p>用戶因此平白收取數個月的費用，且經營團隊並非不知情。Meta內部文件顯示，多收的費用有83%來自影片。巴基斯坦用戶總共被收取了190萬美元，另有20多國也受到影響。</p> <p><a href="https://www.theverge.com/2022/1/25/22900924/facebooks-free-internet-less-developed-costing-users-wsj">臉書對媒體表示</a>，在用戶註冊時已經明白告訴用戶看相片和影片是需要付費的，也儘可能提醒用戶可能的收費結果。</p> <p> Free Basics原本打算要提供給100個國家地區，但推出以來遭到質疑和抗議，<a href="https://www.ithome.com.tw/news/96047">指其假零費率之名破壞言論自由及蒐集用戶個資</a>。批評者相信這是Meta擴增新營收的計畫，不過Meta執行長<a href="https://www.ithome.com.tw/news/102122">Mark Zuckerberg堅稱這項服務是為了縮短數位落差</a>，並非為了利益。<a href="https://www.ithome.com.tw/news/103856">印度則在隔年禁止Free Basics服務</a>。</p> </div></div></div>
2022/1/27 12:13作者陳曉莉https://www.ithome.com.tw/news/149105
郵局6萬8千坪的智慧物流中心明年全面啟用，結合5G、AIoT打造智慧物流，還要優化郵路系統發展智慧郵務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中華郵政終於展開數位轉型，明年還要啟用一座地上8層樓、面積高達6萬8千坪的智慧物流中心。新物流中心不僅是全臺單一座物流中心規模最大，還是該公司轉型的重要發展關鍵，更是郵政智慧物流園區啟用後的重要設施之一。郵政公司還搶先物流服務業規畫在物流倉及園區內<br /> 導入5G專網，結合各種AIoT設備蒐集數據，運用於各項智慧物流應用上，作為園區第一期的重要應用成果。該園區預計2025年啟用，該公司近日揭露更多技術規畫細節。</p> <p>郵政公司未來物流轉型策略有兩大，包括建置智慧物流園區，以及發展智慧郵務服務。</p> <p>郵政公司從去年展開物流園區建置作業，預計花4年分階段完成設置智慧物流中心、北臺灣郵件作業中心、資訊中心、營運中心以及工商服務中心5棟建築。第一期投入258億元，第2期多增加60億元，預計將於2025年完工啟用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0008805.jpg" style="width: 600px; height: 400px;" /></p> <p>17公頃大的園區內皆導入智慧監控、智慧物業管理、能源管理，管控所有人車進出和環境及能源監控，像是針對監測管理設備結合AIoT技術，能及時偵測異常事件和預警，還會建置5G專網打造智慧基礎聯網設施，蒐集所有人車進出數據、園區內車行數據、園區環境數據、能源監控數據、設備狀態數據等。園區內各棟建築物導入BMS辦公管理系統，再統一集中到監控中心的戰情室儀表板上即時呈現。</p> <p>中華郵政經營策略設計委員會副主任委員蔡文慶表示，該園區除了大量運用數位科技發展智慧物流服務，還將結合智慧營運、智慧安全管理、智慧綠色能源，打造以使用者為中心的智慧園區生態圈，還將整合消費物流、區域轉運物流、國際物流等，服務電商、零售等企業客戶。</p> <h3><strong>上萬坪郵政物流中心與新資訊中心最快明年啟用</strong></h3> <p>按原訂期程規畫，郵政物流中心最快2023年全面啟用，再來是資訊中心，同樣在2023年底正式營運，其次是作業中心和營運中心，陸續將於2025年前啟用。蔡文慶透露，新資訊中心啟用後，除了將把臺北總部資訊機房全部集中到新的資訊中心統一管理，還將保留部分空間，提供網路業者所需機房代管服務。</p> <p>這座郵政物流中心完工啟用後，單是樓高就有8層樓，加上地下1層，總面積達6.8萬坪。從樓層設計來看，整座物流中心地上8樓，4樓層是物流倉，4樓夾層是作為辦公用途，其中物流層採用單元組合式架構設計，一個樓層分4個單元，每個單元面積約2,600坪，4層樓一共16個單元，約4.1萬坪。</p> <p>郵政公司未來將自行經營一個單元，其餘15個單元，由另一家電商業者PChome承租與營運，預計今年上半完工，下半年即可進駐使用，至於郵政物流倉，最快2023年才會全面啟用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0008810.jpg" style="width: 600px; height: 400px;" /></p> <p>在這間物流中心內，除了規畫導入倉儲管理系統，還建置自動化倉儲，搭配各種自動化設備來提高物品儲存、揀貨、出貨的效率，而且針對貨物搬運會導入AGV無人搬運車，來輔助人員進行揀貨、搬貨，還將結合AI影像識別，追蹤和管理所有郵件或貨物進出。</p> <p>在貨物運輸方面，除了持續優化車隊管理之外，郵政公司也開始評估無人載具用於郵政物流的可行性，未來將於園區內展開試驗，如無人載具應用方案、無人機快遞、無人機園區巡檢等。除了無人機，還規畫配送機器人、自駕車等測試場域。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20220119_065212207.jpg" style="width: 600px; height: 302px;" /></p> <p>中華郵政還有另一大轉型策略是智慧郵務，將優化收寄、封發、運輸、投遞等一連串郵路系統的流程，利用數位工具和智慧科技，來實現服務雲端化、行控即時化、處理自動化、配送行動化。</p> <p>像是收寄方面，除了推出多元收寄，郵政公司迄今在全臺更設置2,400座i郵箱，提供包裹寄件、自助取件服務，還推出郵件數位分身服務EZpost，讓民眾用App一鍵匯入郵件資訊，簡化窗口作業流程；再者，在付款上也能支援多元支付。</p> <p>甚至未來所有郵件集中進到處理中心進行分封作業時，將通過自動化處理流程，來有效控管產能和提高作業效率，藉此降低對人力影響和依賴。</p> <p>另外在運輸作業上，中華郵政全臺設置約1,300個服務據點，每天上萬輛車組成的郵務車隊往反全臺各據點配送，該公司之後將持續優化郵件運輸管理系統，確保所有郵件寄送都能準時送達，還要建置郵運整合系統，優化郵運班次。</p> <p>其他還有強化車隊運能管理，能即時追蹤調度和遠端控管，以及結合各種行車安全管理機制等。</p> </div></div></div>
2022/1/27 10:31作者余至浩https://www.ithome.com.tw/news/149095
Linux 12年漏洞可讓駭客以根權限執行程式碼，影響所有發行版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商<a href="https://blog.qualys.com/vulnerabilities-threat-research/2022/01/25/pwnkit-local-privilege-escalation-vulnerability-discovered-in-polkits-pkexec-cve-2021-4034">Qualys本周揭露一項存在Linux系統管理元件長達12年的漏洞</a>，可讓本地攻擊者以根權限在幾乎所有發行版平台上執行程式碼。研究人員警告該漏洞開採容易，是攻擊者的美夢成真。</p> <p>這個編號CVE-2021-4034的漏洞，存在於Linux的Polkit（前稱PolicyKit），因而漏洞又被稱為PwnKit。Polkit是管理Unix、Linux等OS全系統准許權限的元件，讓一般權限的行程（process）可和高權限行程互動。而Polkit中一項setuid程式pkexec則可讓用戶以root權限執行指令。</p> <p>根據<a href="https://access.redhat.com/security/cve/CVE-2021-4034">Red Hat的說明</a>，現有版本pkexec未正確處理呼叫參數，使其試圖依指令執行環境變項。這讓攻擊者可操弄變項讓pkexec執行任意程式碼，其結果是讓原本沒有特殊權限的本機用戶得以取得在目標機器上的root權限。CVE-2021-4034 CVSS風險值被列為7.8。</p> <p>例如研究人員在環境參數中注入GCONV_PATH即可以root權限執行共享函式庫。</p> <p><a href="https://www.qualys.com/2022/01/25/cve-2021-4034/pwnkit.txt">Qualys強調</a>此弱點是攻擊者的「美夢成真」。一來Qualys驗證後證實這項漏洞影響Ubuntu、Debian、Fedora和CentOS，也可能存在其他Linux發行版或Unix環境，包括Solaris及BSD，除了OpenBSD之外。而且這項漏洞最早可追溯到2009年5月釋出的第一版pkexec，因此所有版本pkexec都受影響。其次，開採該漏洞相當容易，任何無特殊權限的本機用戶都能開採而取得完整root權限。研究人員補充，雖然這項漏洞技術上只是記憶體毁損漏洞，但能產生立即而穩定效果。另外，polkit 精靈程式（daemon）未執行下依然能開採該漏洞。</p> <p>Qualys去年11月通報Linux廠商及社群，後續<a href="https://access.redhat.com/security/vulnerabilities/RHSB-2022-001">Red Hat</a>、<a href="https://www.suse.com/security/cve/CVE-2021-4034.html">SUSE</a>、<a href="https://ubuntu.com/security/notices/USN-5252-2">Ubuntu</a>、<a href="https://ubuntu.com/security/notices/USN-5252-2">Oracle</a>等皆已發布更新版本。</p> <p>研究人員並且警告，由於開採非常容易，且別的研究人員可能會修補程式釋出後發佈攻擊程式。如果用戶的Linux發行版尚未獲得修補，可以移除pkexec中的SUID-bit（例如# chmod 0755 /usr/bin/pkexec）暫時緩解攻擊風險。</p> </div></div></div>
2022/1/27 10:34作者林妍溱https://www.ithome.com.tw/news/149096
系統I/O介面邁向新世代
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">這兩年來，隨著越來越多的處理器平臺支援PCIe 4.0，使得晚近推出的個人電腦與伺服器產品陸續具備完整這項規格的能力。</p> <p dir="ltr">以資料中心的伺服器平臺而言，在2019年，AMD第二代EPYC處理器7002系列登場，開出x86領域支援PCIe 4.0第一槍；到了2021年，該公司推出的第三代EPYC處理器7003系列繼續強打這個規格，而英特爾在這年發表的第三代Xeon Scalable系列處理器，也終於支援PCIe 4.0。</p> <p dir="ltr">在這段期間，陸續有多種新款運算加速卡與網路卡，也開始支援PCIe 4.0。例如，因機器學習廣泛應用而走紅的GPU最受矚目，兩大主要廠商已在新上市產品支援PCIe 4.0，像是：Nvidia在2020年上半發表的A100 GPU，以及後續推出的多款Ampere架構GPU；AMD在2020年11月推新款資料中心GPU加速卡Instinct MI100，2021年6月發表的專業繪圖加速卡Radeon PRO W6000，以及11月登場的Instinct MI200系列，都是採用PCIe 4.0。</p> <p dir="ltr">而在FPGA加速卡的部分，也能從多款新產品的問世看到這股趨勢。例如，在2018年11月，賽靈思推出第一款支援PCIe 4.0的產品Alveo U280，隔年8月，亦即AMD發布第2代EPYC系列伺服器級處理器的前一天，他們推出Alveo U50，2021年先後發表Alveo SN1022、Alveo U55C；英特爾則是在2020年10月推出支援PCIe 4.0的產品，例如，Silicom公司的FPGA SmartNIC N5010（基於英特爾FPGA晶片Stratix 10 DX），在2021年9月，Silicom又發表C5010X FPGA IPU NIC（基於英特爾FPGA晶片Stratix 10 DX 1100），11月推出FPGA SmartNIC N6010系列（基於英特爾FPGA晶片Agilex，以及網路控制器晶片e810CAM2）。</p> <p dir="ltr">關於網路卡與資料處理器（DPU）對於PCIe 4.0的支援，英特爾與Nvidia也都在這兩年發表的產品引進這樣的規格。例如，在2019年4月，英特爾宣布將推出提供100GbE網路介面的Ethernet 800系列，2020年6月，我們看到他們揭露更多技術規格，當中提到此產品將同時支援PCIe 3.0與4.0，後續發布的資訊也證實支援。</p> <p dir="ltr">Nvidia旗下的網路卡產品則是得自於2020年併購Mellanox，該公司早在2016年6月推出的ConnectX-5與BlueField，就開始支援PCIe 4.0，在2019年8月發表的ConnectX-6 Dx，以及BlueField-2，也支援PCIe 4.0，到了2021年11月舉行的GTC秋季大會期間，Nvidia推出ConnectX-7與BlueField-3，也採用2019年定案的PCIe 5.0。</p> <p dir="ltr">另一家我們近期也開始關注的相關廠商Marvell，他們在2020年3月發表的資料處理器Octeon TX2，當中的CN92XX、CN96XX、CN98XX，均支援PCIe 4.0；2021年6月推出的另一款資料處理器Octeon 10，當中的CN103XX、CN106XX、CN106XXS、DPU400率先採用了PCIe 5.0。</p> <p dir="ltr">就儲存裝置而言，有更多廠牌的產品支援PCIe 4.0，大部分都是固態硬碟。以三星（Samsung）而言，早在2018年6月就有這類產品NF1，2019年下半推出PM1733與PM1735，2020年5月發表PM9A3，到了2021年12月，發表支援PCIe 5.0的固態硬碟PM1743。</p> <p dir="ltr">Kioxia（前身為東芝記憶體）在2020年2月推出CM6系列與CD6系列，2021年9月發表儲存級記憶體固態硬碟FL6系列，11月推出外形符合EDSFF E1.S標準的固態硬碟XD6系列，以及EDSFF E3.S外形的PCIe 5.0固態硬碟CD7系列。</p> <p dir="ltr">在2021年10月，美光（Micron）也終於發表該公司的首款PCIe 4.0固態硬碟7400 SSD。而過去曾為固態硬碟大廠的英特爾，他們在資料中心等級PCIe 4.0固態硬碟的產品發表上，可追溯至2020年6月推出的SSD D7-P5500與SSD D7-P5600，以及年底發布的SSD D7-P5510、SSD D5-P5316、Optane SSD DC P5800X。不過，2021年底英特爾正式將固態硬碟業務賣給SK海力士公司，僅保留Optane相關產品，上述其他機型的狀態有待釐清。</p> <p dir="ltr">在NAS與儲存陣列這類產品當中，2021年終於陸續出現採用PCIe 4.0介面的新機型，像是HPE Alletra 6000、Pure Storage FlashArray //XL系列、NetApp AFF A900，以及威聯通TDS-h2489FU。</p> <p dir="ltr">基於上述多種產品發布時程來判斷，2021這年確是PCIe 4.0真正開始普及的重要時刻，展望今年，大數據、機器學習、物聯網、邊緣運算的應用熱潮不減，為了因應更大規模的資料傳輸與處理需求，勢必會出現更多支援PCIe 4.0與5.0的裝置問世。</p> <p dir="ltr"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/149045" target="_blank"><span style="color:#FFFFFF;"> 相關報導 </span></a></span></strong><a href="https://www.ithome.com.tw/article/149045" target="_blank"><span style="color:#FFFFFF;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1061-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=oBi2otY7" style="width: 550px;" /></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/pcie-40">PCIe 4.0</a></div><div class="field-item odd"><a href="/tags/pcie-50">PCIe 5.0</a></div></div></div>
2022/1/27 07:00作者李宗翰https://www.ithome.com.tw/voice/149013
生命遊戲與狀態模式
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不少開發者喜歡刷題，特別是刷LeetCode，一方面，是因為許多公司在面試過程當中，會對求職者進行演算法之類的能力測試，另一方面，是因為有不少開發者認為，進行刷題不只是為了面試，同時也可以是平常用來訓練運算思維的一種工具。</p> <p>雖然我沒有刷LeetCode的習慣，不過，一直以來，當我學習了一門新語言時，如果想更深入理解其特性，往往就會拿<a href="https://bit.ly/3G2f3C3" target="_blank">〈常見程式演算〉</a>的一系列題目做練習，有時會玩玩語言特性，以便讓程式看來簡潔，有時會隨意重構，讓程式更清楚一些，有時基於物件導向或函數式的典範，而想著題目該怎麼寫。</p> <p>在那些題目當中，當我每次拿<a href="https://bit.ly/3eU0zIv" target="_blank">〈康威生命遊戲〉</a>來練習時，總是會讓我停下思考很久，題目的需求本身要解絕不難，只是每次遇上時我總會思考一遍：以物件導向的寫法來說，生命遊戲中的細胞到底該怎麼定義比較好？理想上，以細胞為單位會是個好主意，不過，總覺得職責上沒有分配得很好。</p> <p>最近我在重新整理模式的文件，進度來到了狀態（State）模式，想著是否有比較不玩具的範例，可以適切地呈現出構成狀態模式前的考量，於是，我想到了生命遊戲的細胞，不就有生與死的狀態，若是從狀態管理來考量與重構，結果有可能是類似狀態模式的設計嗎？</p> <p><strong><span style="font-size:28px;">State？還是Rule？</span></strong></p> <p>就像<a href="https://bit.ly/3eU0zIv" target="_blank">〈康威生命遊戲〉</a>所談到的，遊戲可簡化為三個規則：「鄰居數為0、1、4、5、6、7、8時，細胞下次狀態必為死亡」、「鄰居數為2時，下次狀態不變」、「鄰居數為3時，下次狀態必為生存」。</p> <p>運用結構化的寫法並不難，就是用if/else判斷哪個條件成立，然後做對應的狀態變更處理罷了，若要物件導向點的寫法，就是有個Cell實例，具有nextGen方法，將if/else判斷與細胞生死狀態變更的處理寫在裡頭，這沒什麼問題，畢竟生命遊戲最後只歸結為三個規則。</p> <p>然而，有時候在更複雜的遊戲裡，可能會有更多的規則，並根據這些規則來針對各個角色進行對應的狀態轉移，此時，如果我們單純只用if/else之類的條件判斷來處理，結果就會出現瀑布化流程的判斷清單。</p> <p>單就生命遊戲來說，想避免if/else流程，我們可以定義Rule類別，因為有三種規則，可以定義出三個Rule的次型態：Fatal（致命）、Stable（穩定）、Revivable（可復活），而這些Rule實例有個accept方法，接受Cell實例，根據各自封裝的狀態轉移方式，對Cell進行狀態變更的處理，若對完整的實現有興趣，我們可以參考<a href="https://bit.ly/3JIR7Gf" target="_blank">〈State〉</a>的說明。</p> <p>如果就Gof原書說明所用到的類別圖來說，Cell會是Context的角色，而Rule會是State的角色。嗯？Rule是State？而就Gof書中提出的範例來說，用來封裝狀態轉移的角色，若命名為State，是沒什麼大問題，這是因為，書中舉了TCP連線作為範例，而TCPConnection本身含有State物件，也就是State本身就代表著TCPConnection的狀態，所以，狀態與切換規則正好是一對一對應。</p> <p>不過，生命遊戲的細胞會有生與死兩個狀態，然而，遊戲簡化後的規則還是有三個，這時，我們看著Gof類別圖中的State角色，可能就會產生疑惑：State的次型態，應該是Dead、Alive嗎？如果是以這樣的方式設計，Dead、Alive的accept方法中，勢必要根據那三個規則，寫下不同的判斷式（而不是直接實現狀態轉移），這麼一來，朝此方向進行重構的意義不大啊！</p> <p>就我的觀點來看，Gof類別圖中的State角色，若命名為Rule會更通用，因為可適用於狀態與切換規則不是一對一的情況，而且有時狀態切換，不見得會考慮Context角色的狀態，例如，生命遊戲簡化後的規則，只有考量鄰居數，細胞本身原本是生或死，不在考量之內。</p> <p><span style="font-size:28px;"><strong>提取規則用的狀態？</strong></span></p> <p>在要求不可變動（immutable）的場合，若要朝著狀態模式的方向實現，物件狀態無法改變下，替代方案會是生成新物件來封裝新狀態。</p> <p>例如，在<a href="https://bit.ly/3zwdgml" target="_blank">〈圖靈隨想〉</a>我提到的Brainfuck等多種自動機，基本上，就是狀態機，因為，它們實現了狀態模式的概念，並採取了不可變動的特性。</p> <p>事實上，現代一些前端程式庫或框架，為了處理前端複雜的規則與狀態，也經常隱含了狀態模式的實現，而為了便於管理狀態，也常會採用不可變動特性。</p> <p>若以自動機的定義來說，「規則」包含了「狀態」，反過來說，狀態決定了該提取哪個規則，有時識別這種用來提取規則用的狀態很簡單，例如紅綠燈，目前紅接下來就是綠，綠接下來是黃，黃接下來是紅，紅綠燈的目前狀態就決定了要提取哪個規則。</p> <p>有時，要去識別這個狀態不容易，就生命遊戲來說，提取規則用的狀態，其實是鄰居數量，而不是細胞本身的狀態，因為，套用規則才會改變細胞狀態。然而，最後其實也改變了整個盤面，也就是細胞鄰居數也被改變了，下一代就是根據新的鄰居數作為狀態，來取得對應的規則。</p> <p>在實際的應用程式設計時，若規則與狀態的對應，因需求（增加）而（逐漸）構成瀑布化的流程，有時用來提取規則的狀態，可能與型態對應，而狀態轉移可能是某個流程。例如，你可能用了一串instanceof判斷物件型態，然後做出對應的動作，在物件導向程式語言的入門文件中，應該會解釋這麼做不明智，或許該考慮次型態多型，將各個動作定義在子類別。</p> <p>有時用來提取規則的狀態，並不是那麼明顯，例如，生命遊戲的鄰居數為0、1、4、5、6、7、8，這乍看是一組規則，其實，鄰居數為0、1、4、5、6、7、8的狀態，都是用來提取同一個規則。而有時提取規則用的狀態，會是一組條件的組合，像是投資組合、保險條款組合等，你可能使用了and、or等邏輯運算，將數個條件組合出某個成立狀況，這時，很有可能就是隱含著這些條件組合，構成一個提取某規則的狀態。</p> <p>因為有時提取規則用的狀態不是那麼明顯，開發者就常採用直覺而簡單的做法，也就是不斷地增加新的if/else（或switch），然後流程變成小瀑布，久而久之就構成了大瀑布……，你也許已親眼在程式碼中見過那壯闊的景象吧！</p> <p><span style="font-size:28px;"><strong>面對瀑布化的流程</strong></span></p> <p>狀態模式可能是解決瀑布化流程的一種思考方向，若情況更為簡單，例如，並不是要改變狀態，而是要執行某個動作，用物件封裝動作，以某值對應物件，這時，若是採用字典之類的結構，可以建立對應表，這可能也是個解決的方式。</p> <p>因此，面對瀑布化的流程，你應該想到的是「可以這樣繼續下去嗎？」</p> <p>如果那跟狀態有關，那狀態模式會是個思考的方向，當然，瀑布化的流程也有可能構成深入的巢狀層次，像是先前專欄〈<a href="https://www.ithome.com.tw/voice/108380" target="_blank">避免隨意而重複的if/else</a>〉談過的一些情況，此時，你是要繼續讓流程加深、加長呢？或是思考改進的方式呢？</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E5%91%BD%E9%81%8A%E6%88%B2">生命遊戲</a></div><div class="field-item even"><a href="/tags/state">State</a></div><div class="field-item odd"><a href="/tags/rule">Rule</a></div><div class="field-item even"><a href="/tags/%E7%8B%80%E6%85%8B%E6%A8%A1%E5%BC%8F">狀態模式</a></div></div></div>
2022/1/27 07:00作者林信良https://www.ithome.com.tw/voice/149016
【3.0、4.0、5.0、6.0四世代規格同堂並現】PCIe介面發展邁入新階段
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1061-feng_mian_-p2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>作為個人電腦、伺服器、儲存設備基礎I/O介面的PCIe，也可以稱作「I/O介面的I/O介面」，幾乎所有周邊裝置或其他I/O介面，都是直接或間接透過PCIe的介接，來與運算核心連結。這也意味著，PCIe介面規格的更新，將牽一髮而動全身，在IT架構的發展上，勢必影響與帶動所有周邊裝置與其他I/O介面的發展。</p> <p>自2003年問世以來，迄今PCIe的發展正好經歷了20年時間，然而自2010年代初期以來的10年間，整個PCIe規格的應用長期停滯在3.0，直到過去半年多以來，PCIe介面規格與應用才終於出現重要的新進展。</p> <p>PCIe 4.0終於度過漫長、艱苦的推廣階段，開始進入主流應用。而新一代PCIe 5.0的應用則進入推廣的起步階段，第一波支援PCIe 5.0的產品已陸續問世，另一方面，負責規格制定的PCI-SIG組織（PCI Special Interest Group），也於2022年初，完成下一世代PCIe 6.0規格的制定。而這一系列新發展，將在接下來的幾年中，成為推動高速裝置與I/O介面發展的源頭。</p> <p><span style="font-size:28px;"><strong>PCIe規格的更新週期</strong></span></p> <p>依照過去PCIe介面的發展與應用歷程，我們可以把PCIe介面規格的發展與普及過程，分為4個階段：「新規格發布」、「推廣期」、「進入主流應用」，以及「成熟期」。</p> <p><strong>（1）新規格發布：</strong>每一代PCIe規格應用的起點，是始自PCI-SIG組織完成新一代PCIe規格的制定與發布。在新規格發布前、後，相關的元件廠商，也將陸續推出搭配新PCIe規格的控制元件產品。</p> <p><strong>（2）推廣期：</strong>大約在新PCIe規格制定完成後12至18個月，開始會有廠商推出支援新PCIe規格的周邊裝置產品，如SSD、高速網路卡或GPU加速卡，推廣與帶動新一代PCIe規格的應用。</p> <p><strong>（3）進入主流應用：</strong>在周邊裝置開始支援新PCIe規格過後12至18個月，電腦與伺服器的處理器與晶片組也開始支援新PCIe規格，讓新PCIe規格進入電腦與伺服器，從而開始提供主流核心平臺的應用。</p> <p><strong>（4）成熟期：</strong>當伺服器開始支援新PCIe規格過後12至18個月，儲存陣列等外部儲存設備也開始導入新PCIe規格。一般來說，儲存設備的核心架構更新，要比伺服器慢一個世代，所以當儲存設備也開始採用新PCIe規格的時候，也代表著這一世代PCIe規格進入成熟期，開始全面普及。</p> <p>總體來說，PCIe規格大約每隔3至4年便會更新一代，而每一代PCIe規格大約也需要3至4年時間，才會度過從規格發布到成熟期的4階段歷程，逐步滲透到IT基礎設施的各個環節，而當一個世代的PCIe規格全面普及時，下一世代的PCIe規格也會跟著問世，開始下一輪的PCIe規格更新循環。</p> <p>在典型的PCIe規格更新週期下，市場上通常只會同時存在2個世代的PCIe規格，最多不超過3個世代，當新一代規格發表時，上一代規格正處於主流應用與成熟期階段，而上上一代規格則會淡出市場。</p> <p><span style="font-size:28px;"><strong>四代同堂的PCIe應用特殊現象</strong></span></p> <p>以典型的PCIe規格更新週期來看，2010年問世的PCIe 3.0，應該早就退出市場主流，現在的主流規格理當是PCIe 4.0，而下一代的PCIe 5.0則將開始進入推廣階段。</p> <p>但由於PCIe 4.0的普及速度較預期慢了許多，導致PCIe的主流規格繼續長期停滯在PCIe 3.0，接下來，隨著PCIe 5.0與6.0規格陸續推出，以致在近半年來，形成PCIe 3.0、4.0、5.0、6.0等4個世代PCIe規格並存的異常情況。</p> <p><span style="color:#B22222;"><strong>姍姍來遲的PCIe 4.0</strong></span></p> <p>當前PCIe「四代同堂」異常狀況的形成，是PCIe 4.0推廣過於緩慢所致，而PCIe 4.0的應用之所以如此姍姍來遲，主要可以歸因於這兩點：</p> <p>首先，PCI-SIG制定PCIe 4.0規格的時間，就已經延宕了。依照PCIe 1.0到PCIe 3.0的規格更新節奏來看，相對於2010年發布的PCIe 3.0，PCIe 4.0規格應該要在2014或2015年發布，但實際上，PCI-SIG直到2017年中才發布PCIe 4.0，較預期晚2、3年，這連帶也推遲了應用的時間。</p> <p>其次，是作為處理器平臺龍頭廠商的Intel，未能及時支援PCIe 4.0。當PCIe 4.0於2017年底發布後，在2019年前後進入推廣期，除了獲得一些網路卡與SSD產品的支援之外，在主機與伺服器平臺方面，也有IBM的Power 9，以及AMD的Zen 2架構處理器平臺支援，而後者的支援，也讓PCIe 4.0進入了x86平臺應用領域。</p> <p>然而身為處理器平臺領域領導者的Intel，遲遲不願支援PCIe 4.0，導致PCIe 4.0一直無法真正進入主流應用階段。這個僵局直到2020年後才打開，但Intel平臺對PCIe 4.0的支援，仍要等到2021年中才落實，至此，PCIe 4.0也才算是開始進入主流應用階段。</p> <p>在前述這兩個因素共同作用下，大大延遲了PCIe 4.0普及的速度。依照過去幾代PCIe規格的應用歷程，自新的PCIe規格發布到進入主流應用階段，大約只需2年多。然而在PCIe 4.0上，從規格發表到開始進入主流應用，卻花了將近4年，再加上PCIe 4.0規格發布本身就「遲到」2、3年，導致整個PCIe規格的更新節奏，在4.0這一世代，出現了5、6年以上的遲滯。</p> <p><span style="color:#B22222;"><strong>PCIe規格演進延遲的影響</strong></span></p> <p>PCIe 4.0的「遲到」，造成了兩項重大影響：</p> <p>首先，導致PCIe 3.0的生命週期大幅延長，進而對儲存與網路傳輸架構的發展形成了障礙。</p> <p>歷經10年的發展與應用後，PCIe 3.0依舊是當前的主流規格。最初這沒有帶來太大負面影響，在過去的應用環境中，需要耗用大量PCIe資源的裝置並不多，PCIe 3.0已能因應絕大多數伺服器或儲存設備的應用需求，少數需要大量PCIe通道的裝置（如GPU），也能透過匯聚多條通道的PCIe 3.0 x16來滿足。</p> <p>但問題在於：當SSD也開始使用PCIe通道作為傳輸介面時，便讓主機板的PCIe傳輸通道（lane）資源，頓時陷入緊繃。</p> <p>隨著NVMe介面在SSD應用的普及，使得伺服器或儲存設備的PCIe傳輸通道耗用大幅增加。為了獲得足夠的傳輸頻寬，一臺NVMe SSD便需占用4條PCIe 3.0通道，因此，1臺標準的2U伺服器若插滿24臺NVMe SSD，便須占用多達96條PCIe 3.0傳輸通道，從而耗掉伺服器主機板大多數的PCIe資源。</p> <p>此外，新一代的100GbE、200GbE與400GbE等高速網路連線規格，也需要耗用更多的PCIe傳輸通道資源，才能實現更高的傳輸率。</p> <p>無論如何，隨著電腦、伺服器、儲存設備採用需更多PCIe通道的裝置，也意味著，若單靠PCIe 3.0，勢必將成為制約儲存與網路傳輸架構發展的瓶頸。</p> <p>面對這個情況，除了持續增加伺服器主機板的PCIe通道數量，根本的解決辦法便是引進PCIe 4.0——因為PCIe 4.0擁有兩倍於PCIe 3.0的單一傳輸通道頻寬，因而能透過較少的傳輸通道，來為周邊裝置提供足夠的傳輸頻寬。</p> <p><span style="font-size:28px;"><strong>新舊規格並存的局面，可能將長期維持</strong></span></p> <p>在NVMe與高速網路應用的帶動下，使得伺服器與儲存設備領域的PCIe架構應用，終於在2021年開始進入4.0時代。</p> <p>而在PCIe 4.0緩慢的應用普及過程中，新一代的PCIe 5.0與6.0也接踵而來。</p> <p>歷經PCIe 4.0規格制定的嚴重延宕後，PCI-SIG組織加速制定新規格的腳步，更新節奏縮短到2年。PCIe 4.0規格是2017年6月正式發布，2年後，PCI-SIG組織便在2019年5月正式發布PCIe 5.0規格，接著只隔了1年半多，便又在2022年1月發布PCIe 6.0規格。</p> <p>而在實際應用方面，剛剛發布的PCIe 6.0自然還尚無具體進展，不過PCIe 5.0已經進入初步的推廣期，自2021年底開始，便開始有廠商推出支援PCIe 5.0的高速網路卡與SSD產品。</p> <p>因而，這也讓當前的PCIe應用環境，形成了3.0、4.0、5.0、6.0「四代同堂」的奇特現象。</p> <p>整體而言，PCIe 4.0近期進入主流應用，先後滲透到伺服器與儲存設備，但上一代的PCIe 3.0，多年來累積龐大應用基礎，短期內仍不會退出主流，加上新一代PCIe 5.0與PCIe 6.0崛起，陸續投入應用，因而我們可以預期，當前這種4個PCIe世代並存局面，仍將繼續維持。</p> <p class="rtecenter"><strong><span style="color:#3399ff;"><span style="font-size:36px;">PCIe規格的更新時序</span></span></strong></p> <p><strong>從PCI-SIG組織發布歷代PCIe規格的時間，我們可以明顯看出：PCIe 3.0到PCIe 4.0之間，間隔了特別長的時間。自PCIe 1.0到3.0之間，大約是3至4年更新一代，而從4.0到6.0，縮短到每隔2年便更新一代，但PCIe 3.0到4.0之間相隔將近7年。相較於「正常」的更新節奏，PCIe 4.0的問世時間「遲到」了3年以上。</strong></p> <p><strong>而PCIe 4.0的「遲到」，也導致PCIe規格的應用長期停滯在3.0上。接下來PCI-SIG組織加速制定新規格的腳步，接連在2019年中與2022年初推出PCIe 5.0與6.0等2種新規格，但也形成了PCIe 3.0、4.0、5.0、6.0等4世代規格，同時並存的情況。</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 歷代PCIe規格發表時間 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>2003年：PCIe 1.0</strong></span></p> <p><span style="color:#3399ff;"><strong>2007年：PCIe 2.0</strong></span></p> <p><span style="color:#3399ff;"><strong>2010年：PCIe 3.0</strong></span></p> <p><span style="color:#3399ff;"><strong>2017年：PCIe 4.0</strong></span></p> <p><span style="color:#3399ff;"><strong>2019年：PCIe 5.0</strong></span></p> <p><span style="color:#3399ff;"><strong>2022年：PCIe 6.0</strong></span></p> <p><span style="color:#696969;">資料來源：iThome整理，2022年1月</span></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>4世代PCIe規格應用現況</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1061-%E5%B0%81%E9%9D%A2-P2-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>依照規格普及與產品應用的情況，我們可以將PCIe規格的發展歷程，分成下列4個階段——新規格發布、推廣期、進入主流應用與成熟期。目前，同時並存於市場上的4個世代PCIe規格——PCIe 3.0、4.0、PCIe 5.0與PCIe 6.0，各自處於不同的發展階段。</strong></span></p> <p><span style="color:#696969;"><strong>問世於2010年，應用已超過10年的PCIe 3.0，雖然是早已進入成熟期的上一世代技術，但目前仍然是主流規格之一，仍將繼續留存在市場上一段長時間。</strong></span></p> <p><span style="color:#696969;"><strong>在PCIe 4.0方面，自2017年中發布規格後，雖在2019年便滲透到伺服器應用，但直到Intel平臺於2021年大舉支援PCIe 4.0，才算開始進入主流應用；緊接著，從2021年中，HPE、Pure Storage等儲存廠商開始將PCIe 4.0，用於儲存陣列產品，象徵這項規格終於進入成熟階段初期。</strong></span></p> <p><span style="color:#696969;"><strong>再來是2019年中發布的PCIe 5.0，則於2021年底到2022年初，出現了第1批支援的周邊裝置與電腦平臺產品，代表進入了發展的推廣期。</strong></span></p> <p><span style="color:#696969;"><strong>最後是PCIe 6.0，PCI-SIG自2019年中發布了最初的規格草案，經過2年半的發展，於2022年1月正式發布了規格，讓這個最新世代的PCIe規格進入了應用的起點，預期2年之後，便會有第1批支援的周邊產品問世。</strong></span></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>PCIe的進化</strong></span></span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%963-2%20PCI-SIG%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FPCI-SIG.png" style="width: 600px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>PCI/PCIe帶動的傳輸頻寬增長<br /> 從1992年誕生的PCI技術起算，歷經過渡的PCI-X、2003年問世的PCIe，以至甫於2022年初正式發布的PCIe 6.0，電腦I/O技術在30年內提升了200倍的傳輸頻寬，平均每3年提升了2倍。</strong>圖片來源／PCI-SIG</span></p> <p><strong>就應用方式而言，PCIe是一種高速串列匯流排，作為電腦內部各元件與CPU之間傳輸資料的主要幹道。</strong></p> <p><strong>自2003年問世到2022年初為止，PCIe一共推出6個世代，每個新世代的傳輸速率，都比前個世代提高一倍，但2.0到3.0是例外，只提高60%。</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1061-%E5%B0%81%E9%9D%A2-P2-600-2.png" style="text-align: center; width: 400px;" /></p> <p><strong>PCIe匯流排的原始傳輸速率，是以GT/s為單位，即Gigatransfer per second。其實際的傳輸速率，會隨著傳輸信號的編碼方式，以及所使用的通道（lane）數量而異。</strong></p> <p><strong>自PCIe 1.0到5.0，都是採用不歸零（Non-Return-to-Zero，NRZ）編碼技術，其中1.0與2.0是使用8b/10b型式的編碼，也就是10位元編碼輸出中含有8位元有效資料； 3.0、4.0與5.0改用較新的128b/130b編碼，130位元的編碼輸出中含有128位元有效資料，有效頻寬更高。所以PCIe 3.0的原始傳輸率雖然只比2.0提高60%，但憑藉編碼的改進，實際有效頻寬提升近一倍。</strong></p> <p><strong>至於PCIe 6.0，則採用了4級脈波振幅調變編碼技術（Pulse-amplitude modulation-4，PAM-4），但為了彌補PAM-4較高的錯誤率，另搭配前向錯誤校正（Forward Error Correction，FEC)），雖然當中略為降低了有效頻寬，但仍實現大約2倍於PCIe 5.0頻寬的設計目的（實際上是1.92倍）。</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1061-%E5%B0%81%E9%9D%A2-P2-600-3.png" style="text-align: center; width: 600px;" /></p> <p><span style="color:#000000;"><strong>依使用的傳輸通道數量，PCIe有x1、x2、x4、x8、x16等不同的連結傳輸寬度（link width），代表使用1條、2條、4條、8條與16條傳輸通道。</strong></span></p> <p><span style="color:#000000;"><strong>最初的PCIe 1.0，每條傳輸通道可提供2.5 GT/s傳輸率，到了最新的PCIe 6.0則為64 GT/s，在20年內提高了25.6倍的速度。若從PCIe前身的PCI規格起算，1992年誕生的PCI 1.0傳輸率為133 MB/s，相較下，PCIe 6.0的傳輸率足足提升為200倍之多，也就是說30年內提升200倍頻寬，因而PCI-SIG組織宣稱，在PCI/PCIe技術的帶動下，I/O頻寬平均每3年可提升2倍。</strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/pcie">PCIe</a></div><div class="field-item even"><a href="/tags/pcie-40">PCIe 4.0</a></div><div class="field-item odd"><a href="/tags/pcie-50">PCIe 5.0</a></div><div class="field-item even"><a href="/tags/io%E4%BB%8B%E9%9D%A2">I/O介面</a></div></div></div>
2022/1/27 07:00作者張明德https://www.ithome.com.tw/tech/149041
【從周邊裝置、伺服器擴展到儲存設備應用】PCIe 4.0開始進入主流應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1061-feng_mian_-p3-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相較於前幾個世代的PCIe規格，PCIe 4.0的普及速度異常緩慢。如果我們以典型的PCIe規格應用周期來看，2017年中發布的PCIe 4.0，應該在2019年前後，就會進入主流應用，為電腦與伺服器所普遍支援。</p> <p>實際的發展，卻不如大家意料。到了2019年，固然IBM Power 9與AMD Zen 2架構平臺都已支援PCIe 4.0，但身為電腦與伺服器平臺領導者的Intel，此時還大肆宣稱PCIe 4.0不能帶來顯著效益，反而還會有增加PCH晶片負擔、增大功耗、提高主機板成本等副作用，遲遲不願支援PCIe 4.0。</p> <p>這樣的情況到2020年以後才突破，面對AMD處理器的強勢表現，Intel不得不跟進支援PCIe 4.0，以挽回在規格競爭上的劣勢。Intel於2020年底到2021年上半年推出的幾個處理器平臺，都開始支援PCIe 4.0，這也打開PCIe 4.0進入主流應用的大門，迅速推動PCIe 4.0的普及。</p> <p>到了2021年中，PCIe 4.0的應用進一步擴展到儲存設備領域，HPE、Pure Storage等儲存廠商，陸續在新款儲存陣列產品導入PCIe 4.0，象徵PCIe 4.0終於進入成熟階段的初期。</p> <p><span style="font-size:28px;"><strong>導入PCIe 4.0的效益</strong></span></p> <p>比起上一代的PCIe 3.0，PCIe 4.0每條傳輸通道（lane）的原始傳輸率，提升了一倍，從8 GT/s提高到16 GT/s，而在軟體、時脈架構到介面機械規格方面，則仍相容於前幾代PCIe，並同樣適用於PCIe-SIG定義的3種PCIe裝置基本外型規格（Form Factor）——CEM附加卡，U.2與M.2，其中各自又包含多種衍生與變形規格。</p> <p>例如CEM附加卡的尺寸，便有全長度、半長度、矮板（low profile）等3種基本版本，還有GPU方面常見的雙槽寬度變型版本，並能搭配x1、x2、x4、x8與x16等不同傳輸頻寬的連接頭（插槽），電源方面也有從10瓦起跳，到搭配外接電源的300瓦等多種配置。</p> <p>從協定與編碼技術的角度來看，PCIe 4.0與PCIe 3.0十分相似，共用許多共通的架構，包括128b/130b編碼等，事實上，PCIe 4.0與PCIe 3.0之間的相似程度，還高於PCIe 3.0與PCIe 2.0。</p> <p>然而，即便PCIe 4.0擁有較大的頻寬，僅僅只是將主機的傳輸介面升級為PCIe 4.0，並不能直接帶來顯著的效能提升，還有賴其他條件的配合，才能有效利用PCIe 4.0的頻寬。</p> <p>PCIe 4.0的效益，主要是體現在下列這兩點：</p> <p>首先，提供更大的升級餘裕與擴展彈性，以因應新一代PCIe裝置的需求。舉例來說，對於200 Gb/s以上頻寬的新型網路傳輸介面，唯有搭配PCIe 4.0才能發揮線速。</p> <p>其次，PCIe 4.0能改善主機板PCIe傳輸通道資源配置的平衡性，只需一半的傳輸通道數量，就能提供PCIe 3.0同等頻寬，不致因特定裝置耗用太多傳輸通道，而影響其他裝置可用的資源，以及能連接的裝置數量，在效能與連接裝置數量之間取得較佳的平衡。</p> <p>舉例來說，早在2016年，SSD的存取速度就已能達到10GB/s的程度，但是在PCIe 3.0的時代，必須占用PCIe x16傳輸通道，才能讓SSD發揮這樣的速度，而現在有了PCIe 4.0以後，只需PCIe x8就能滿足需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1061-%E5%B0%81%E9%9D%A2-P3-600-(1).png" style="text-align: center; width: 550px;" /></p> <p><strong><span style="font-size:28px;">PCIe 4.0的普及歷程</span></strong></p> <p>以典型的PCIe規格應用過程來說，PCIe新規格的應用大多是從周邊裝置起步，然後擴展到個人電腦與伺服器，最後再滲透到外部儲存設備。相對於周邊裝置，要讓個人電腦與伺服器主機板支援PCIe 4.0，涉及的問題變得複雜許多，除了CPU或PCH晶片組必須提供PCIe 4.0通道外，也須搭配引進支援PCIe 4.0的時脈產生器（Clock Generator）、插槽、訊號中繼器（Redriver）與PCIe交換器（切換器）等元件，不僅工程較為複雜，如何將因此增加的成本控制在可接受的範圍，也是一大考驗。</p> <p>不過當PCIe 4.0規格於2017年中正式發布之後，率先宣布支援的產品，卻是IBM於2017年12月發表，基於Power 9處理器平臺的Power Systems AC922伺服器。但IBM Power處理器的市場影響力有限，並不能有效推動PCIe 4.0的應用。</p> <p>接下來到了2018年中，Netint與三星則推出了最早支援PCIe 4.0的SSD產品。</p> <p>在2019年初，當AMD宣布新一代Zen 2處理器平臺支援PCIe 4.0後，也帶動了一波PCIe 4.0周邊裝置風潮，多家廠商紛紛推出支援PCIe 4.0的SSD控制器與SSD產品，Mellanox的100GbE與200GbE網路卡也支援了PCIe 4.0。</p> <p>但即使如此，仍然還不足以推動PCIe 4.0成為主流規格，直到Intel處理器平臺於2021年正式開始支援PCIe 4.0，這才打開了PCIe 4.0進入主流應用的大門。</p> <p>繼AMD與Intel的桌上型與伺服器處理器都先後支援PCIe 4.0，儲存設備領域也開始導入PCIe 4.0。</p> <p>自2020年中起，HPE與Dell就陸續推出採用AMD EPYC處理器平臺的超融合伺服器產品，從而也具備了PCIe 4.0支援能力。但是，超融合伺服器還不算是「正統」的儲存設備，而是兼具伺服器與儲存設備特性的「融合式」裝置。</p> <p>事實上，首款支援PCIe 4.0的「正統」儲存陣列，是HPE於2021年中推出的Alletra 6000，接著NetApp、Pure Storage與威聯通（QNAP）也跟進，在2021年底推出採用PCIe 4.0的儲存陣列與NAS產品，從而帶動了PCIe 4.0在儲存設備領域的第一波應用。</p> <p>而隨著PCIe 4.0的應用，從SSD、網路卡等周邊裝置領域，逐步滲透到桌上型電腦與伺服器，再進入儲存設備，也象徵著PCIe 4.0的應用逐漸進入成熟期。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1061-%E5%B0%81%E9%9D%A2-P3-600-(2).png" style="text-align: center; width: 558px;" /></p> <p><span style="font-size:28px;"><strong>當前PCIe 4.0的支援情況</strong></span></p> <p>雖然PCIe 4.0的普及程度還遠不及PCIe 3.0，但涵蓋的產品領域已相當完整，包含了網路卡、GPU卡、SSD等周邊裝置，到個人電腦、伺服器，以致儲存設備等產品。</p> <p>在網路卡方面，目前100GbE以上規格的網路卡，大都支援了PCIe 4.0。在GPU卡與NVMe SSD方面，2019年下半年以後推出的新產品，也大都有PCIe 4.0的選項。</p> <p>在個人電腦與伺服器平臺方面，除了最早支援PCIe 4.0的IBM Power 9平臺外，AMD與Intel的新一代主力處理器平臺，也都已支援PCIe 4.0，在個人電腦端，包括：AMD的Ryzen 3000與5000系列處理器，以及Intel的第11代Core i系列（Rocket Lake平臺），兩者必須分別搭配X570晶片組與Z590晶片組；在伺服器端則有AMD的EPYC 7002（Rome平臺）與EPYC 7003（Milan平臺）系列，以及Intel第3代Xeon Scalable（IceLake SP平臺）。</p> <p>另外值得一提的是，屬於Arm架構的Ampere Altra處理器系列，也支援了PCIe 4.0介面。</p> <p>最後是儲存設備領域，目前對於PCIe 4.0的支援仍處於起步階段，第一波支援的產品，包括HPE的Alletra 6000，NetApp的AFF A900，Pure Storage的FlashArray//XL，以及威聯通的TDS-h2489FU，正好涵蓋了高階、中階與入門級儲存產品範圍。預期今年下半以後推出的新款儲存設備，將會開始普遍支援PCIe 4.0。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/pcie">PCIe</a></div><div class="field-item even"><a href="/tags/pcie-40">PCIe 4.0</a></div><div class="field-item odd"><a href="/tags/io%E4%BB%8B%E9%9D%A2">I/O介面</a></div></div></div>
2022/1/27 07:00作者張明德https://www.ithome.com.tw/tech/149043
【邁向次世代的PCIe介面規格】PCIe 5.0與PCIe 6.0來臨
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1061-feng_mian_-p4-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當PCI-SIG於2017年中發布PCIe 4.0規格時，曾表示他們接下來會加速制定規格的腳步，以彌補先前延宕的時光。該小組確實兌現承諾，在PCIe 4.0問世後不過4年半時間，便接連發布PCIe 5.0與6.0等2個世代的新規格。</p> <p>目前PCIe 5.0正以超乎尋常的速度進入市場，正式規格發布不過2年時間，應用環境便已初步就緒，於2021年底到2022年初，湧現了第1批支援PCIe 5.0的電腦平臺與周邊裝置產品。</p> <p>至於2周前剛剛發布正式規格的PCIe 6.0，則是自PCIe 3.0以來，PCIe發展歷程中最大的一次技術變革，引進新的編碼技術，以實現提高傳輸速率的目標。</p> <p><span style="font-size:28px;"><strong>迅速推進的PCIe 5.0產品</strong></span></p> <p>PCIe 5.0的架構與PCIe 4.0相似，同樣採用128b/130b編碼技術，但每通道（lane）的傳輸速率提高到32 GT/s，是PCIe 4.0的2倍，更是PCIe 3.0的4倍，同時仍保有向下相容性。</p> <p>在匯聚16條通道的x16組態下，PCIe 5.0可提供128Gb/s的總頻寬，足以支撐新一代400GbE資料中心骨幹網路的需求，也能為不同周邊裝置的傳輸應用，在成本與頻寬之間取得更佳的平衡。</p> <p>一開始，PCIe 5.0的應用進度也和前幾代PCIe相近，自PCI-SIG於2019年5月發布規格後，Rambus、Microchip等元件廠商，便於2019年底到2020年初陸續推出相關的控制元件。如同PCIe 4.0剛發布時的情況，IBM也是第一波應用PCIe 5.0的大廠，在2020年8月宣布Power 10處理器平臺將納入PCIe 5.0，接著在一年後的2021年9月，推出基於Power 10的Power E1080伺服器，成為最早支援PCIe 5.0的主機產品。但Power 10這種專屬平臺，不足以成為推動PCIe 5.0應用的力量。</p> <p>到此時為止，PCIe 5.0的應用進程，都和先前歷代PCIe相似，依照過去的經驗，下一步的應用進程，應該是在2021年底到2022年初之間，出現第一批採用PCIe 5.0的SSD等周邊裝置產品，然後在2022年下半年到2023年初左右，開始進入主流的x86平臺電腦與伺服器應用。</p> <p>如同預期，第一批支援PCIe 5.0的SSD產品在2022年初的CES大會中湧現，除此之外，PCIe 5.0的應用也擴展到高階網路卡領域，例如Nvida的400Gb高階網路卡與資料處理器卡（DPU），都是基於PCIe 5.0介面。</p> <p>但出人意料的是，或許是記取了先前在PCIe 4.0時期，落後於競爭對手AMD的教訓，在前述PCIe 5.0周邊裝置發表之前，Intel搶先在2021年10月宣布，第12代Core處理器將支援PCIe 5.0，並協同多家主機板廠商發表了第一批產品。這也讓PCIe 5.0進入主流處理器平臺的時間，比原先的預期提早一年以上，使得PCIe 5.0的應用環境初步成形。</p> <p>PCIe 5.0從規格發布，到應用於x86平臺、構成初步應用環境，只花了短短2年，在PCIe規格發展史上，可說是異乎尋常迅速，比PCIe 4.0快一倍以上。</p> <p><span style="font-size:28px;"><strong>當前PCIe 5.0支援現況</strong></span></p> <p>雖然PCIe 5.0的應用仍處於起步階段，但已能涵蓋周邊裝置與主機領域，初步構成完整的應用環境。</p> <p>在周邊裝置方面，ADATA、FADU、Kioxia與三星等廠商，都在2022年初的CES大會中，推出了支援PCIe 5.0的SSD新產品。在網路卡方面，Nvida的400Gb網路卡如ConnectX-7與BlueField-3，也都是採用PCIe 5.0介面。</p> <p>在電腦與伺服器平臺方面，除了IBM Power 10平臺外，x86平臺方面目前只有Intel的第12代Core處理器（Alder Lake架構）支援PCIe 5.0，搭配Z690晶片組，各主要的主機板廠商也都已有相關產品上市。接下來，Intel預訂於2022年初推出的H670、B660與H610晶片組，也都會支援PCIe 5.0。在伺服器處理器方面，Intel預訂於2022年發表的下一世代Xeon處理器平臺Sapphire Rapids，也會有PCIe 5.0。</p> <p>在AMD方面，則預訂於2022年推出的Zen 4處理器平臺上，引進PCIe 5.0。</p> <p><span style="font-size:28px;"><strong>PCIe 6.0的技術變革</strong></span></p> <p>在第一波PCIe 5.0產品陸續問世的同時，PCI-SIG也於2022年1月正式發表了下一代的PCIe 6.0規格。</p> <p>PCIe 6.0可說是自從10多年前的PCIe 3.0以來，PCIe發展最重大的一次變革。如同過去幾個世代的升級，PCIe 6.0再次將傳輸速率翻倍，從PCIe 5.0的32GT/s提高到64GT/s，但採用了不同的信號編碼技術。</p> <p>自PCIe 3.0延用到4.0與5.0的128b/130b NRZ編碼，隨著傳輸率的不斷提高，也給信號傳輸帶來越來越嚴苛的需求，導致線路長度上限越來越短，給元件設計帶來很大困難，要在同樣的技術路線下繼續提高傳輸速率，勢必會遭遇許多難以解決的問題，於是PCI-SIG在PCIe 6.0上改用PAM編碼。</p> <p>PAM並不是新技術，普遍被應用於200Gb以上的超高速網路中，相較於只有0或1兩種信號狀態的NRZ編碼，PAM編碼有4個信號狀態，因而可在相同頻率內承載兩倍資料，但錯誤率也比NRZ高出許多，故 PCIe 6.0另外結合了前向糾錯技術（FEC）來確保資料完整性。至於這種新架構的代價，是PAM編碼的應用成本較NRZ高出許多，額外糾錯功能也會略為降低有效資料頻寬。</p> <p><span style="font-size:28px;"><strong>多頭並進的PCIe規格應用</strong></span></p> <p>彷彿是像追趕失去的時間一般，PCIe 規格正以異乎尋常的速度演進中。透過PCIe 5.0與6.0這兩種新規格，有助於將個人電腦與伺服器的I/O效能提升到新高度，但迅速演進的新規格，也造成不同世代規格同時並存的局面。</p> <p>當前PCIe 4.0仍未充分普及，PCIe 5.0便已進入市場，接著又誕生了PCIe 6.0，這也讓PCIe的升級路線出現分歧。整體而言，PCIe 6.0規格才剛問世，預期最快兩年後才會有實際產品，可暫時不論，主要問題將出在PCIe 4.0與5.0之間。</p> <p>固然目前PCIe 4.0的產品應用要比5.0成熟許多，但到了2022年下半與2023年初以後，PCIe 5.0的產品選擇將比現在豐富許多，成本也將下降，屆時對於既有的PCIe 3.0用戶來說，便有升級到PCIe 4.0，或直接跳到5.0的兩種選擇。</p> <p>短期來看，可能會形成PCIe 4.0與5.0高低規混合應用的形勢，通用型主機與周邊裝置使用成本較低的PCIe 4.0，高效能型主機與周邊則用PCIe 5.0。但長期來看，若PCIe 5.0元件與周邊的成本下降得夠快，那麼直接跳到5.0世代或許更具吸引力。PCIe 5.0平臺可視情況使用5.0、4.0或3.0的周邊裝置，但PCIe 4.0平臺則無法發揮5.0裝置的效能，因而直接升級使用5.0平臺，將是更具靈活性的選擇。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/pcie">PCIe</a></div><div class="field-item even"><a href="/tags/pcie-50">PCIe 5.0</a></div><div class="field-item odd"><a href="/tags/io%E4%BB%8B%E9%9D%A2">I/O介面</a></div></div></div>
2022/1/27 07:00作者張明德https://www.ithome.com.tw/tech/149044
2022 PCIe世代交替來臨
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1061-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=oBi2otY7" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>作為IT應用基礎I/O介面的PCIe，過去半年多歷經一系列重大發展，4.0規格終於出現普及應用跡象，基於5.0規格的首批產品陸續問世，6.0規格亦正式發布，而PCIe的演進，也將帶動其他I/O介面的進一步發展。</p> </div></div></div>
2022/1/27 07:00作者張明德https://www.ithome.com.tw/article/149045
Google Pixel手機只支援3年安全更新遭批評
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為資安媒體Motherboard資深作者、同時也是Pixel 3手機用戶的Aaron Gordon，<a href="https://www.vice.com/en/article/dypxpx/google-is-forcing-me-to-dump-a-perfectly-good-phone" target="_blank">在本周刊出一篇文章</a>，指出他因為Google終止了對Pixel 3的支援，迫使他將投入蘋果iPhone的懷抱，而Gordon的抱怨亦引起了其它媒體的共鳴。</p> <p>Gordon說，他是在3年前買了Pixel 3，它喜歡沒那麼大的Pixel 3，就算經常摔到也不會壞，而且3年以來並沒有看到電池壽命明顯下滑；他對手機的看法跟對冰箱一樣，就是一個設備，只要還符合需求便不必更換，然而，由於Google不再支援Pixel 3的安全更新，讓他被迫丟棄它，因為安全更新是每個人為了保護自己數位安全的基本需求，缺乏了安全更新，手機就會承受每一個新安全漏洞的風險。</p> <p>於是，就算Gordon很想留在Android生態體系，但依然決定要投入蘋果陣營，因為至少蘋果在這部分表現得比Google好太多。</p> <p>Google是在2018年10月發表Pixel 3/3 XL，根據Google的安全更新政策，每款Pixel手機都至少可取得3年的安全更新，<a href="https://web.archive.org/web/20210401163640/https://support.google.com/pixelphone/answer/4457705#zippy=%2Cpixel-phones" target="_blank">而Google對Pixel 3/3 XL的安全更新支援即止於2021年10月</a>，從去年10月起，Pixel 3/3 XL就不再收到安全更新。</p> <p>有比較才有傷害。<a href="https://support.apple.com/zh-tw/HT213043" target="_blank">蘋果今年1月釋出的iOS 15.2.1安全更新</a> ，還持續支援蘋果於2015年9月發表的iPhone 6s，儘管蘋果並未明訂安全支援期限，但算起來已經超過6年。</p> <p>Gordon表示，安全或功能更新一直是Android生態體系存在已久的問題，例如很久才取得更新，過去Google都把問題丟給Android手機製造商或銷售Android手機的電信業者，但當Google自行推出Pixel手機之後，問題並沒有得到解決。</p> <p>Gordon的心聲引起《<a href="https://phandroid.com/2022/01/25/its-time-for-google-to-be-better-about-software-updates/" target="_blank">Phandroid</a>》、《<a href="https://9to5google.com/2022/01/25/android-updates-security-problem-not-features/" target="_blank">9to5Google</a>》及《<a href="https://www.androidheadlines.com/2022/01/google-is-still-happy-with-3-years-of-software-updates.html" target="_blank">Android Headlines</a>》等媒體的共鳴。</p> <p>其中，《9to5Google》指出，整個Android生態體系所支援的更新時間都不夠久，包括Google與三星在內，諷刺的是，三星的表現似乎優於Google，於去年2月便宣布只要是2019年及之後推出的Galaxy裝置，都能獲得3年的主要更新及4年的安全更新，至於Google則僅針對去年10月發表的Pixel 6採用新的更新政策，提供3年的主要更新與5年的安全更新。</p> </div></div></div>
2022/1/26 22:56作者陳曉莉https://www.ithome.com.tw/news/149094
微軟發布2021下半年DDoS攻擊趨勢，UDP協定攻擊成主流、遊戲業為重災戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/142686">從COVID-19疫情以來</a>，DDoS攻擊持續在全球肆虐，而根據微軟Azure DDoS保護團隊的<a href="https://azure.microsoft.com/zh-tw/blog/azure-ddos-protection-2021-q3-and-q4-ddos-attack-trends/">最新趨勢報告</a>，DDoS攻擊在2021下半年，無論是攻擊頻率還是規模，都達到前所未有的高峰，遊戲產業災情嚴重，以地區來看，印度的DDoS攻擊大幅增加，東亞仍受攻擊者青睞。</p> <p>微軟發表2021下半年的DDoS攻擊趨勢，每天緩解1,955次攻擊，而這個數字是2021上半年的140％，最大量的紀錄發生在2021年8月10日，那天微軟總共偵測到4,296次攻擊，而下半年微軟全球基礎設施，總共緩解359,713次以上不重複攻擊。</p> <p>微軟提到，過去DDoS攻擊往往在年底假期達到高峰，但2021年下半年的趨勢則顯示，攻擊者的攻擊模式發生轉變，2021年第3季的攻擊比第4季多，高峰發生在8月。</p> <p>DDoS攻擊的力道也逐漸加強，微軟光在2021下半年，就緩解了3次每秒數TB等級的攻擊。在11月，微軟偵測到史上最大規模的DDoS攻擊，這個針對亞洲Azure用戶的攻擊，每秒鐘攻擊流量達到3.47 TB，每秒封包量則達到3.4億個。微軟提到，該次為分散式攻擊，來自1萬個來源，分散於美國、中國、俄羅斯、泰國、印度和臺灣等多個國家。</p> <p>該次攻擊向量使用SSDP（Simple Service Discovery Protocol）、CLDAP（Connection-less Lightweight Directory Access Protocol）、DNS（Domain Name System）和NTP（Network Time Protocol），總體攻擊時間長達15分鐘。</p> <p>而在2021年12月，微軟又分別偵測到2次超過2.5 Tbps的攻擊，而且地區同樣發生在亞洲，一次是針對80和443連接埠所發動的3.25 Tbps UDP攻擊，持續時間超過15分鐘，另一次則是針對443連接埠的2.55 Tbps UDP流量攻擊，這次攻擊時間較短，僅約5分鐘。</p> <p>微軟分析，2021下半年與上半年一樣，大多數攻擊都是短暫的，但在下半年，30分鐘或是更短時間的攻擊，比例從74％下降到57％，時間超過1小時的攻擊則增加了一倍多，從13％上升到27％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fd74cc89-bfa7-443e-bc18-a046777fed12.png" style="width: 580px;" /></p> <p>在各種DDoS攻擊種類中，UDP欺騙洪水型攻擊（UDP Spoof Flood）為主流，UDP攻擊占所有攻擊比例達55％，比2021上半年增加16％；而TCP攻擊從54％下降至19％，TCP ACK洪水型攻擊則為14％；DNS放大攻擊為6％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/d0367af8-5437-40f1-8936-194e808744de.png" style="width: 580px;" /></p> <p>目前遊戲業仍是DDoS攻擊災情最嚴重的產業，微軟提到，由於不少遊戲為延遲敏感的工作負載，像是多人遊戲伺服器，便無法容忍短突發的UDP攻擊，因為只要短短數秒鐘中斷，就會影響競賽公平性，持續超過10秒的中斷，通常就會結束一場比賽。UDP常被用於遊戲和串流媒體應用程式，因此通常對遊戲產業的攻擊，都是Mirai殭屍網路的變形，和UDP協定攻擊。</p> <p>至於攻擊的熱區，美國仍是最大的攻擊目標占54％，但是微軟也觀察到，針對印度的攻擊急劇增加，從2021上半年的2％上升到23％，香港也持續受攻擊者青睞占8％，而歐洲地區的DDoS活動熱度消退，從上半年19％下降到6％。</p> <p>之所以DDoS攻擊者偏好亞洲，微軟認為，跟遊戲普及有關，特別是中國、日本、韓國、香港和印度的手機與行動遊戲興起，而在印度，也可能與數位印度政策有關，使該地區整體網路風險增加。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/d9e9a85f-6e93-4c0e-a6f1-b58ee3ec6eaf.png" style="width: 580px;" /></p> </div></div></div>
2022/1/26 23:07作者李建興https://www.ithome.com.tw/news/149093
Visual Studio 2022 for Mac開始原生支援M1晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出了最新的<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2022-for-mac-preview-5/">Visual Studio 2022 for Mac第5預覽版</a>，這是第一個在.NET 6上運作，並且原生支援Apple M1晶片的版本，另外，這個版本，開發團隊也繼續將用戶常使用的功能，移植到原生的macOS UI上。</p> <p>在.NET 6 CLR上執行Visual Studio for Mac，是微軟一項重要的計畫，如此便能夠使Visual Studio for Mac用到最新的.NET功能。微軟提到，從Mono移植到.NET 6的第一個好處，就是開發者可以感受到新I/O實作，在各種場景種帶來的效能提升。</p> <p>但微軟也提醒，目前這項功能還在初期階段，用戶可能獲得略有不同的結果，他們還會繼續最佳化M1處理器上的Visual Studio for Mac。</p> <p>另外，現在有更多Visual Studio for Mac功能，移植到原生的macOS UI上，過去IDE是使用原生UI，以及非原生控制元件庫自定義繪製UI的組合，而現在Visual Studio for Mac整個IDE體驗，則建立在原生的macOS UI實作上。</p> <p>到目前為止，微軟已經在新的Visual Studio 2022 for Mac中，移植將近95％的用戶體驗，包括編輯器、常用工具視窗、大多數偏好設定和專案配置，在第5預覽版中，微軟還移植了Document Switcher和Document Outline視窗，向前推進移植的進度。</p> </div></div></div>
2022/1/26 17:44作者李建興https://www.ithome.com.tw/news/149089
Google開源App Engine標準Java Runtime
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布<a href="https://cloud.google.com/blog/topics/developers-practitioners/open-sourcing-app-engine-standard-java-runtime">開源應用服務引擎App Engine的Java Runtime</a>，目前用戶可以在GitHub上的儲存庫取用。透過開源Java Runtime，Google想要讓用戶能夠更靈活地在其他地方建置App Engine環境，包括本地開發環境、資料中心或是Cloud Run等平臺執行Java工作負載。</p> <p>Java是App Engine第二個支援的程式語言，在App Engine上，Java開發人員可以不需要管理基礎設施，就能輕鬆地部署和擴展基於servlet的網頁應用程式。而且也並非只能執行Java，其他JVM語言包括Apache Groovy和Kotlin也沒問題。</p> <p>Google這次開源的部分，包括Java標準環境、生產用的Runtime、API，和本地端SDK。開發者可以在儲存庫各個目錄中，找到com.google.appengine.api套件中的API，可用於存取App Engine服務，像是儲存資料的Datastore，或是用於保存二進位大型物件的Blobstore，還有佇列計算服務Taskqueue等。</p> <p>官方提到，App Engine的方便之處，在於提供本地開發環境，讓開發者可以在本地端開發機器執行應用程式。因此上述的服務都有本地端實作，讓開發者可以在自己的機器上啟動應用程式，而不需要每次進行更新，都要在雲中部署。</p> <p>而要使用雲端中的服務，開發者可以使用Google內建的遠端API，從任何Java應用程式存取App Engine服務，像是用戶可以使用遠端API，從本地電腦上執行的應用程式，存取生產用的Datastore；甚至可以使用遠端API，從App Engine應用程式存取另一個應用程式的Datastore。</p> <p>Google沒有開源App Engine與底層Borg叢集管理系統捆綁的專有中介層，官方提到，專有中介層位在Google基礎設施內部，由於開發人員沒有辦法在自己的環境中，簡單地複製出整個Google後端，因此這次並沒有開源這些中介層。</p> <p>至於Google開源這些App Engine標準Java Runtime的原因，官方解釋，Google遵循開放雲端（Open Cloud）方法，讓用戶不被特定工具、環境和供應商綁住，使用戶的工作負載可以自由地在任何地方執行。</p> <p>過去Google已經開源了許多相關技術，包括Kubernetes以及gVisor沙盒。gVisor是容器應用核心，可以提供縱深防禦的應用程式執行環境，而App Engine就是應用gVisor沙盒所實作的應用環境。</p> </div></div></div>
2022/1/26 15:53作者李建興https://www.ithome.com.tw/news/149079
美國商務部公布全球半導體供需報告：全球晶片短缺現象在6個月內仍無法緩解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國商務部（US Department of Commerce，DoC）去年9月向全球的半導體製造商與用戶發出了「資訊請求書」（Request for Information，RFI），以理解半導體產業的供需狀態，總計收到了164家業者的回應，並於<a href="https://www.commerce.gov/news/blog/2022/01/results-semiconductor-supply-chain-request-information">周二（1/25）公布</a>根據這些資料所彙整的結論，指出全球晶片短缺現象在6個月內仍無法緩解，供需最不平衡的半導體類別為傳統邏輯晶片（Legacy Logic Chips）、類比晶片（Analog Chips ），以及光電晶片（Optoelectronics Chips），而這很可能是迄今最完整也最接近真實的全球半導體市場報告。</p> <p>DoC形容這波全球半導體的供需失衡是一場「完美風暴」（perfect storm），在2020年以前，半導體投產就存在著某些難題，包括取得製造舊款晶片的設備，或是用於電子組裝的二極管、電容器與基板等，而當時因為電動車與5G的興起，市場需求已逐漸升溫。</p> <p>繼之而來的COVID-19疫情則強化了市場對半導體的需求，然而一系列的黑天鵝事件卻讓形勢更為惡化，從工廠的火災、風雪的襲擊、能源短缺到疫情造成工廠停擺等。</p> <p>回應RFI的164家業者中，有44家屬於半導體及相關產品的供應商，55家為中介或終端用戶，以及21家的材料與設備供應商。在分析了業者與用戶所提供的資訊之後，DoC發現，2021年買家對晶片的需求中位數比2019年增加了17%，有鑑於半導體業者的擴大生產量能趕不上市場需求，使得買家的半導體庫存量也從2019年的40天，縮短到2021年的5天。</p> <p>至於半導體用戶中，汽車產業就占了42%，居次的是健康照護產業（18%），行動裝置及網路基礎設施占了16%，製造業占了13%，消費者產品則占6%。</p> <p>DoC指出，半導體有許多不同的種類，一個半導體節點代表一個特定的設計與生產流程，也會有不同的供應鏈，而用戶可能需要許多不同的晶片，因而產生極其複雜的供應鏈，半導體製造商並不一定清楚地知道市場需求，而用戶也不總是了解它們所需的晶片從何而來，此一現象令業界更難找出半導體短缺的解決方案，但藉由RFI則能透明化市場的供需狀況。</p> <p>該報告便發現，市場供需最失衡的3類晶片為傳統邏輯晶片、類比晶片與光電晶片，其中，傳統邏輯晶片多被應用在醫療裝置、汽車與其它產品上，如40、90、150、180及250奈米節點；類比晶片則多應用於電力管理、影像感應器及無線射頻上，採用40、130、160、180與800奈米節點；用於感應器及開關上的光電晶片則需65、110及180奈米節點。</p> <p>對美國而言，這份報告最關鍵的發現在於，當半導體用戶的庫存量剩下5天時，一旦海外的供應斷了炊，或者是生產中斷兩、三周，將會直接癱瘓美國的用戶或工廠，迫使員工放假。其實從去年初開始，美國政府便持續祭出各種政策與預算，大力支持當地的半導體發展。</p> </div></div></div>
2022/1/26 17:24作者陳曉莉https://www.ithome.com.tw/news/149086
科技部今年改制新國科會，吳政忠：跨部會協調科技計畫將更有效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>掌管臺灣科研政策的科技部將改制為國家科學及技術委員會（新國科會），最快今年3月掛牌，科技部今天（1/26）舉行新春記者會，面對外界關心新國科會定位，推動科技部轉型為新國科會的部長吳政忠強調，新國科會將扮演各部會科技計畫的協調角色，且運作將會更有效率。</p> <p>在改制為新國科會前的最後一次以科技部名義舉辦的新春記者會上，科技部回顧2021年4大任務，包括擘劃科技政策、支援基礎研究、完善科學園區、推動創新創業，其中在擘劃科技政策方面，科技部力推太空發展法子法、發展低軌衛星、整合4個AI研究中心，建立臺灣對外的AI卓越中心Taiwan AICoE及防疫科學研究中心等等。科技部並推動女性科研、人文社會，透過和科技會報辦公室緊密合作，協調各部會科技計畫工作。</p> <p>科技部的前身原是行政院國家科學委員會（國科會），成立運作逾50年，2014年才改制為科技部，未來科技部將改制為新國科會，按行政院規畫，新國科會的主委將由行政院政務委員兼任，整合現行科技部業務外，負責國家科技發展的整體規畫，預算分配研訂科研整合應用，並仍管理原本科技部底下的科學園區管理局、國家災害防救科技中心等。</p> <p>科技部表示，新國科會將繼續扮演科技創新推動引擎的角色，在4大任務上，發揮跨部會跨領域的協調角色，協調的部會涵蓋中研院、數發部、經濟部、衛福部、交通部、教育部、農委會，相關部會推動的科技計畫，並串聯上中下游產業。</p> <p><span style="color:#FF0000;"><strong>新國科會將整合行政院科技會報辦公室，效率更好</strong></span></p> <p>然而，從業務上來看，未來科技部改制新國科會，仍整合科技部原有業務，將來改制之後，新國科會將扮演什麼角色？究竟和過去的國科會有何不同？引起外界的關心。</p> <p>吳政忠表示，從國外的角度來看，臺灣的科技應是科技部加上其他部會，過去臺灣的科技布局，是由行政院科技會報辦公室和科技部一起合作，因科技部前身為國科會，過去科技部確實偏向上游科技專案，但從去年開始科技部及法人已認知到當前進國際時，不論是科技部或未來的國科會都應代表臺灣的科技，在這個前提之下，臺灣的科技布局一定要攜手其他部會，在有限的資源之下，一起分工分配走向國際。因此科技部、科技會報辦公室需要變成一個單位，科技會報辦公室未來將納進新國科會。</p> <p>對於未來臺灣的科技布局，吳政忠認為，臺灣的強項是半導體，也就是晶片，臺灣剛好掌握全世界未來20年的科技重點，全世界各國都需要晶片，但是，晶片並不是全部，人們的食、衣、住、行、育、樂，如電動車、低軌通訊衛星，這幾個項目是臺灣在2030年必需，且有機會躍上國際的重要產業。</p> <p>他以目前相當熱門的低軌通訊衛星商機為例，臺灣在發射火箭、低軌衛星、地面接收設備已有一定的產值，但臺灣在地面的應用服務則較無經驗，科技部正努力補強這部分，將來補強之後，臺灣有機會搶佔第一個應用服務的商機。利用臺灣在半導體產業優勢，讓晶片產業的優勢外溢至其他產業，臺灣在其他的產業並非沒有成績，只是沒有發揮很好的加乘效果。未來的產業，愈貼近人們生活食、衣、住、行、育、樂，產業所創造的價值愈高。</p> <p>至於科技部何時改制為新國科會掛牌運作，吳政忠表示，科技部已準備好，但是新國科會何時掛牌需由行政院決定，在行政院組改策略之下，他現在的任務是將科技部轉型、精進為新國科會。</p> <p>對於科技部從舊國科會（國家科學委員會），改制為新國科會（國家科學及技術委員會）有何不同？</p> <p>吳政忠指出，舊國科會偏向科學基礎研究布局及人才培育，而新國科會將負責整體國家未來科技政策，包括前瞻科技計畫，推動協調各部會協作達成，未來科技會報辦公室和科技部整合後，政策執行將更為無縫接軌，加上由行政院政務委員擔任新國科會主委，以行政院的高度進行整合，執行及協調的效率會更好。儘管未來數位發展部將掌管臺灣的數位科技政策，但新國科會也會掌握部分政策，數位科技不會單獨存在，而是和各產業都有連結，未來新國科會將以新的高度，對科技政策的執行，分工分配，協調數位發展部如何和首其他部會的產業介接。</p> <p>在行政院這波組織改造中，吳政忠表示，新國科會及未來將協調與科技相關的部會，此一系統已和行政院長、總統報告，因此他根據院長與總統的想法推動，期許未來科技與社會、經濟、環境、國際政治環境接軌，科技不會單獨發展，必需要普惠社會，若大家都聽不懂科技在做什麼，就代表科技脫離民眾生活。</p> </div></div></div>
2022/1/26 17:41作者蘇文彬https://www.ithome.com.tw/news/149087
英國國家網路安全中心釋出漏洞掃描專案，首波鎖定21Nails漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國國家網路安全中心（National Cyber Security Centre，NCSC）及Industry 100專家團隊（i100）合作，在<a href="https://www.ncsc.gov.uk/blog-post/introducing-scanning-made-easy">本周發表了基於Nmap腳本引擎的Scanning Made Easy（SME）專案</a>，以協助各組織掃描自家系統上是否含有已知的安全漏洞，<a href="https://github.com/nccgroup/nmap-nse-vulnerability-scripts/blob/master/smtp-vuln-cve2020-28017-through-28026-21nails.nse">首個釋出的腳本程式</a>可用來掃描涉及Exim Message Transfer Agent（MTA）的21個安全漏洞（21Nails）。</p> <p>NCSC表示，當一個軟體漏洞被揭露時，要找到它的概念性攻擊程式比找到它的防禦工具還容易，讓形勢更惡劣的是，就算坊間已存在相關的掃描腳本程式，但使用者卻不知道它是否安全，或是其掃描結果有否正確，而這便是NCSC打造SME的原因。</p> <p>SME專案奠基於發展已經超過20年的Nmap腳本引擎（Nmap Scripting Engine，NSE），<a href="https://www.ncsc.gov.uk/information/industry-100">相關的腳本程式都是由來自產、官、學界的i100專家團隊</a>，依照NCSC公布的SME開發者準則所撰寫，每個腳本程式都含有用來說明漏洞驗證途徑的摘錄，並提供直覺及簡單的介面，正確地說，SME是個NSE腳本程式的集合。</p> <p>NCSC並不打算替每個漏洞撰寫掃描程式，而是僅會針對重大或持續造成災難的安全漏洞作出回應，像是21Nails，NCSC還說，就算IT管理人員不認為自家網路安裝了Exim MTA，也值得利用該腳本程式掃描一下，或許會有意外的收穫。</p> </div></div></div>
2022/1/26 17:46作者陳曉莉https://www.ithome.com.tw/news/149090
全託管檔案系統Amazon EFS開始內建備份功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布其可用於EC2執行個體，以及AWS Lambda函式與容器的完全託管檔案系統Amazon EFS，現在開始提供<a href="https://aws.amazon.com/tw/blogs/aws/new-replication-for-amazon-elastic-file-system-efs/">備份功能</a>，供用戶能夠以輕鬆的方式，備份檔案來符合法規，或是用於災難復原。</p> <p>官方提到，用戶在數分鐘內，就可以替新的或是現有的EFS檔案系統配置備份，在同一AWS分區（Partition）中，無論是在單個AWS地區（Region），或是兩個AWS地區，都能進行備份。</p> <p>配置完成後，備份作業便會立即開始，所有備份流量都會在AWS全球主幹網路中傳輸，大多數更新的備份，都會在1分鐘內完成，AWS提到，對大多數檔案系統而言，RPO（Recovery Point Objective）的目標為15分鐘。</p> <p>備份不會消耗爆量點數（Burst Credit），而且也不計入檔案系統的預配置吞吐量。目前這項功能已經上線，在AWS美東、美西、加拿大、歐州和南美地區的用戶都已經可以使用，而亞洲則在孟買、大阪、首爾、新加坡、雪梨和東京地區提供。</p> </div></div></div>
2022/1/26 18:10作者李建興https://www.ithome.com.tw/news/149084
【資安日報】2022年1月26日，電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電動車提供許多智慧功能，一旦相關業者遭到網路攻擊，就有可能導致各式的服務被迫中斷。臺灣電動機車大廠Gogoro在上週末於使用者論壇發出公告，證實他們遭到網路攻擊，但強調對營運沒有造成重大影響。這起事故在公告數日後，受到各家媒體報導，原因是即將交車的客戶指控，疑似因此被迫延後取得機車，但Gogoro卻沒有主動通知，讓這名民眾只能空等。但交車延期是否與這起網路攻擊有關？顯然有待釐清。</p> <p>近期勒索軟體駭客鎖定NAS下手的情況，已經不是新鮮事，但最近一起攻擊行動中，出現與過往不同的情況，駭客不只要NAS用戶付錢換回檔案，還囂張地打算將他們用於攻擊的零時差漏洞，賣給NAS廠商，頗有挖苦NAS廠商的意味。</p> <p>對於Linux作業系統上的漏洞，最近陸續有資安研究人員公布他們的發現，而在今天的資安日報裡，出現了2個影響相當廣泛的漏洞，一個存在於系統元件，可能影響幾乎所有的Linux發行版；而另一個漏洞則是可被用於攻擊Kubernetes環境。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://forum.gogoro.com/t/topic/17779?fbclid=IwAR3JW9dp3yxDZDGz_l4-7zxkkSdaRGUouZNImNgWyn-xqbAmJejP2jATeoo"><span style="color: rgb(0, 0, 0);">電動機車業者Gogoro遭網路攻擊，疑影響交車、無法預約進廠維修時間</span></a></strong></h4> <p>隨著電動車越來越普遍，針對相關業者發動攻擊，可能導致多種服務受到波及。電動車Gogoro在1月22日晚間9點表示，他們在1月21日週五偵測到部分資訊系統遭受駭客網路攻擊，該公司資訊部門在偵測偵測到網路異常後，已啟動資安事件應變，與外部資安公司協同處理，並通報政府單位。根據他們的說明，目前，受影響的部分資訊系統正陸續回復，對日常營運並無重大影響，電池交換網路、銷售與維修通路、客戶服務系統皆持續運作。</p> <p>巧合的是，最近幾日陸續有民眾指控，<a href="https://www.cna.com.tw/news/afe/202201260096.aspx">已經即將交車的時程被迫延期</a>，也有<a href="https://www.mirrormedia.mg/story/20220126fin001/">車主反應無法預約進廠維修的時間</a>，使得這起事件引起外界關注，但這些情況是否與網路攻擊有關？顯然還有待釐清。</p> <p>該公司在公告指出，同時間亦有其他臺灣廠商遭遇類似的狀況，但這些廠商是否為採用Gogoro電池交換系統Powered by Gogoro Network（PBGN）的聯盟成員？該公司沒有進一步說明。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/new-deadbolt-ransomware-targets-qnap-devices-asks-50-btc-for-master-key/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體DeadBolt攻擊威聯通NAS，意圖向製造商兜售漏洞細節</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/master-key-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/master-key-note.jpg" style="width: 300px; float: right;" /></a>勒索軟體入侵NAS設備的情況，陸續傳出事故，但如今駭客得寸進尺，打算將攻擊事故做為向設備廠商兜售漏洞細節的管道。資安新聞網站Bleeping Computer指出，他們發現勒索軟體DeadBolt約自1月25日開始，攻擊威聯通（QNAP）的NAS設備，並向受害者索討0.03個比特幣，相當於1,100美元，至少有15臺NAS受害，駭客宣稱是透過未揭露的漏洞來下手。值得留意的是，在勒索訊息裡，還包含給威聯通的「重要訊息」，內容是他們打算向該公司以50個比特幣（約185萬美元）的價格，出售上述漏洞的細節，以及可解鎖所有受害設備資料的主鑰（Master Key）。</p> <h4><a href="https://nationalpost.com/news/politics/canadas-foreign-affairs-department-targetted-in-significant-cyber-attack"><span style="color: rgb(0, 0, 0);"><strong>加拿大外交部遭網路攻擊，部分服務中斷</strong></span></a></h4> <p>外交單位屢屢成為國家級駭客的攻擊目標，而這次事故發生的原因，疑似與俄羅斯和烏克蘭的政治局勢有關。加拿大於1月19日證實，該國外交機構加拿大全球事務部（Global Affairs Canada）遭到網路攻擊，部分網路服務將無法使用。加拿大政府強調，尚無跡象指出其他政府機關遭到波及。雖然該國政府沒有透露攻擊者的身分，但意有所指地要求公部門，加強對於俄羅斯網路威脅的防護。</p> <h4><a href="https://thehackernews.com/2022/01/hackers-infect-macos-with-new-dazzlespy.html"><span style="color: rgb(0, 0, 0);"><strong>DazzleSpy後門程式發動水坑式攻擊，鎖定香港macOS用戶下手</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-fightforhk_com-as-archived-by-the-Wayback-Machine-on-November-13th.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-fightforhk_com-as-archived-by-the-Wayback-Machine-on-November-13th.png" style="width: 300px; float: right;" /></a>Google在2021年8月，<a href="https://www.ithome.com.tw/news/147795">發現到駭客鎖定香港的媒體網站，以及社會運動網站展開水坑式攻擊</a>，並運用漏洞CVE-2021-30869於受害者的蘋果電腦、行動裝置上，植入木馬程式，這起攻擊事故的調查最近有了更多進展。資安業者ESET指出，這些駭客分別入侵當地的網路廣播電臺D100，並製作帶有惡意iframe的假社會運動聲援網站，來引誘香港的民主運動人士上當，其中，針對瀏覽廣播電臺網站的Mac電腦使用者，駭客使用名為DazzleSpy的後門程式，來控制受害電腦。研究人員指出，這起攻擊行動與2020年iOS惡意程式LightSpy手法相似，但無法斷定是由同一組駭客出手。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/segway-store-hacked-to-steal-customers-credit-cards/"><span style="color: rgb(0, 0, 0);"><strong>平衡車業者Segway網路商店遭Magecart攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/image-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-5.png" style="width: 300px; float: right;" /></a>網路商店遭到Magecart交易資料側錄攻擊（Card Skimming）的現象，不時有業者受害。資安業者Malwarebytes指出，他們發現Magecart Group 12約自2021年1月6日開始，攻擊銷售平衡車、電動滑步車的中國業者Segway，駭客疑似利用Magento漏洞入侵，並將側錄交易資料的程式碼，藏匿於其購物網站的圖示（favicon.ico）。資安新聞網站Bleeping Computer指出，迄今相關程式碼尚未移除。</p> <h4><a href="https://therecord.media/ddos-attacks-on-andorras-internet-linked-to-squid-game-minecraft-tournament/"><span style="color: rgb(0, 0, 0);"><strong>安道爾候國網路遭DDoS攻擊，原因疑似與Minecraft魷魚遊戲錦標賽有關</strong></span></a></h4> <p>又是針對電玩產業而來的攻擊行動。由電玩影片串流平臺Twitch舉辦的Minecraft 錦標賽「Squidcraft Games」，從1月20日開始舉行，鎖定使用西班牙語Minecraft玩家而來，但過程中傳出，來自安道爾候國（Andorra）的十多名直播主，因當地的ISP業者遭到DDoS攻擊，而被迫中斷比賽。消息人士向Recorded Future透露，DDoS攻擊的流量一度高達100 Gbps。</p> <h4><a href="https://www.theverge.com/2022/1/22/22896785/dark-souls-3-remote-execution-exploit-rce-exploit-online-hack"><span style="color: rgb(0, 0, 0);"><strong>電玩遊戲黑暗靈魂驚傳RCE漏洞</strong></span></a></h4> <p>電玩遊戲一旦連接到網際網路，很有可能成為攻擊者入侵電腦的管道。根據電玩新聞網站Dexerto的報導，一名SkeleMann玩家提出警告，他發現電腦版的黑暗靈魂3（Dark Souls 3），存在嚴重的RCE漏洞，有可能對電腦造成損害，並呼籲其他玩家暫時不要執行網路對戰模式，以免遭到攻擊。後來，有其他玩家通報，即將上市的遊戲艾爾登法環（Elden Ring），可能也存在相同的漏洞。遊戲業者萬代南夢宮娛樂（Bandai Namco）於1月23日發出公告，為調查網路服務所出現的問題，提供電腦玩家的PVP伺服器將暫時停止運作。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/linux-system-service-bug-gives-root-on-all-major-distros-exploit-released/"><span style="color: rgb(0, 0, 0);">Linux系統元件漏洞PwnKit可被用於取得root權限，恐波及所有發行版</span></a></strong></h4> <p>Linux系統元件所存在的漏洞，很可能影響各種版本的作業系統。資安業者Qualys揭露名為PwnKit的漏洞（CVE-2021-4034），這項漏洞存在於控制系統層級的元件Polkit（舊稱PolicyKit）裡，一旦攻擊者利用該漏洞，就能以不具特權身分的使用者，在Linux主機上取得root權限，影響自2009年5月以來所有版本的Polkit。研究人員在預設組態部署的Ubuntu、Debian、Fedora、CentOS上，透過PwnKit於本機取得root權限，研判該漏洞存在於多數版本的Linux作業系統，紅帽已發布修補程式。資安新聞網站Bleeping Computer於上述漏洞細節公布後不久，就在網路上看到概念性驗證（PoC）攻擊工具。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/linux-kernel-bug-can-let-hackers-escape-kubernetes-containers/"><span style="color: rgb(0, 0, 0);">Linux核心存在漏洞，恐被用於逃脫K8s容器並攻擊主機</span></a></strong></h4> <p>Linux核心的嚴重漏洞，有可能危及容器平臺Kubernetes（K8s）。搶旗賽（CTF）團隊Crusaders of Rust發現，記憶體緩衝區溢位漏洞CVE-2022-0185，存在於Linux核心5.1-rc1以上版本的檔案系統框架（File System Context）元件，一旦駭客利用這個漏洞，將有機會發動越界寫入、阻斷服務（DoS）、任意程式碼執行攻擊，而使得駭客能夠逃脫容器，進而存取K8s伺服器的資源。該漏洞已於Linux 5.16.2版修補，IT人員也可以針對沒有具備特殊權限的使用者，停用命名空間（Namespace）的相關功能，來緩解這項漏洞。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/uk-govt-releasing-nmap-scripts-to-find-unpatched-vulnerabilities/"><span style="color: rgb(0, 0, 0);">英國政府以Nmap程式碼打造檢測工具，供IT人員掃描OT環境漏洞</span></a></strong></h4> <p>工業控制系統（ICS）安全日益受到重視，政府亦提供相關的工具給企業，以便儘速因應重大漏洞。英國國家網路安全中心（NCSC）於1月25日，發布針對網路安全工具Nmap編寫的指令碼，以協助企業掃描Exim訊息傳輸代理（MTA）設備裡，合稱為21Nails的RCE漏洞。NCSC表示，即使企業沒有部署Exim MTA，IT人員還是可以試著運用這個指令碼來掃描網路環境。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/149061">2022年1月25日，CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">2022年1月24日，鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">2022年1月22日，WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">2022年1月21日，Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">2022年1月20日，臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/26 15:06作者周峻佑https://www.ithome.com.tw/news/149077
Google以新廣告追蹤技術Topics，取代遭到大家唾棄的FLoC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/142445">Google去年初發表並開始測試的「群組聯合學習」（Federated Learning of Cohorts，FLoC）</a>目標式廣告技術，由於遭到各方的唾棄，使得Google在去年7月底終止了對FLoC的實驗，<a href="https://blog.google/products/chrome/get-know-new-topics-api-privacy-sandbox/" target="_blank">繼之於本周發表用來取代FLoC的Topics</a>。</p> <p>不管是FLoC或Topics API都是Google用來置換Cookie，以讓廣告主可以在兼顧使用者隱私的前提下，提供目標式廣告。然而，FLoC一現身就受到各界的抨擊，從<a href="https://www.ithome.com.tw/news/143067">電子前線基金會（EFF）</a>、<a href="https://www.ithome.com.tw/news/143795">隱私瀏覽器Brave</a>到<a href="https://www.ithome.com.tw/news/144975">Mozilla</a>都批評FLoC存在嚴重隱私問題、<a href="https://www.ithome.com.tw/news/143829">DuckDuckGo及Vivaldi也決定封鎖FLoC</a>，<a href="https://www.ithome.com.tw/news/143922">Wordpress指責FLoC可能助長歧視</a>，GitHub關閉該平臺的FLoC功能，而且不管是Microsoft Edge或Opera等基於Chromium的瀏覽器也都不支援FLoC。</p> <p>至於Google新推出的Topics與FLoC一樣，皆為基於使用者興趣的目標式廣告技術，由瀏覽器的歷史紀錄來判斷使用者有興趣的內容，並將它們依主題分門別類，像是旅遊或健身等，而這些主題都只會在使用者的裝置上保留3周，並不會傳送至任何伺服器上。</p> <p>此外，當使用者造訪一個參與Topics技術的網站上，Topics則會從裝置上過去3周的主題紀錄中挑選3個主題與網站及廣告主分享。同時Google也預計在Chrome瀏覽器中提供使用者控制機制，以讓使用者能夠查詢所被記錄的主題，還能移除特定的主題或直接關閉Topics功能。且為了避免使用者的敏感資料被歸類，Topics會忽略性別或種族等資訊。</p> <p>目前Google已透過<a href="https://github.com/jkarlin/topics">GitHub分享Topics技術</a>，並解釋Topics與FLoC的差別，明確地承認了FLoC的不足，包括FLoC加入了太多可用來辨識使用者身分的指紋，對使用者的透明度太差，缺乏足夠的使用者控制，以及將使用者敏感資料歸類等。而Google則強調，Topics已經改善了上述FLoC遭到質疑的元素。</p> </div></div></div>
2022/1/26 16:23作者陳曉莉https://www.ithome.com.tw/news/149080
微軟財報出爐，營收成長20%，雲端業務成長最強
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://www.microsoft.com/en-us/investor/earnings/fy-2022-q2/press-release-webcast">周二（1/25）公布</a>了截至去年12月31日的2022財年第二季財報，該季微軟締造了517億美元的營收，比前一年同期成長20%，淨收入為188億美元，成長21%，穩定的成長及符合分析師的預期，讓微軟在美股持續下挫之際，當天的盤後股價上揚了1.2%，每股價格為291.94美元。</p> <p>該季微軟生產力與業務流程（Productivity and Business Processes）營收為159億美元，成長19%；智慧雲端（Intelligent Cloud）為183億美元，成長26%；更多個人運算（More Personal Computing）營收為175億美元，成長15%。</p> <p>在個別的產品類別或服務上，成長最快的是Azure與其它雲端服務，總計成長了46%，其次是成長45%的Dynamics 365，LinkedIn營收成長了37%，廣告服務營收亦成長32%。</p> <p><a href="https://www.theverge.com/22901252/microsoft-q2-2022-earnings-revenue-cloud-services-surface-gaming-xbox?scrolla=5eb6d68b7fedc32c19ef33b4">《The Verge》則報導</a>，微軟執行長Satya Nadella也在財報會議上提出了他對元宇宙（Metaverse）的願景，指出未來的網路將是一個更開放的世界，允許任何人打造自己的元宇宙世界，而微軟非常有機會抓住這波浪潮。</p> </div></div></div>
2022/1/26 16:29作者陳曉莉https://www.ithome.com.tw/news/149081
Minecraft遊戲競賽導致歐洲小國網路斷線4天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周一場跨國Minecraft電玩賽事引發的分散式阻斷服務（DDoS）攻擊，致使安道爾（Principat d'Andorra）這個歐洲小國，全國網路斷線4天。</p> <p>上周Twitch舉辧了一場模仿Netflix熱門影集《魷魚遊戲》（Squid Games）的Minecraft對抗賽事，名為Squidcraft Games。這場賽事僅開放歐洲及南美的西語系玩家組隊參賽，由1月21日一連舉行5天，贏家獎金高達10萬美元。</p> <p>不過比賽進行到第2天時，位於西班牙及法國交界的小國安道爾唯一一家<a href="https://twitter.com/AndorraTelecom/status/1484632485879234567">電信業者Andorra Telecom貼出</a>公告遭到旨在傷害部份Youtubers的DDoS攻擊，影響部份用戶的網際網路和4G服務。電信公司公告一連持續4天。</p> <p><a href="https://therecord.media/ddos-attacks-on-andorras-internet-linked-to-squid-game-minecraft-tournament/">The Record報導指出</a>，斷線迫使10多名知名玩家退賽。</p> <p>攻擊可能是出於比賽恩怨。<a href="https://twitter.com/auronplay/status/1484981375308791811">Auron宣佈退賽</a>時指出，希望他的退賽能使攻擊者放過他的隊友。</p> <p>消息人士指出這場DDoS攻擊可能是使用了DDoS for hire服務，即攻擊者租用了DDoS殭屍網路基礎架構發動攻擊，流量最高達到100Gbps。</p> <p>安道爾是僅有不到8萬人口的小國，安道爾電信的中小型資料中心自然耐不住這場攻擊斷線，連帶波及當地家庭、企業及政府。根據<a href="https://www.datacenterdynamics.com/en/news/andorras-internet-brought-down-by-ddos-attack-aiming-to-disrupt-minecraft-competition/">Data Center Dynamics報導</a>，攻擊導致該國流量掉了37.5%。</p> <p>雖然安道爾用戶無法參賽，但Squidcraft Games仍成為Twitch最多人觀看的對抗賽，吸引上百萬人觀戰。</p> <p> </p> <p> </p> </div></div></div>
2022/1/26 16:44作者羅正漢https://www.ithome.com.tw/news/149083
Crypto.com證實因2FA被破而遭駭，將提升成MFA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新加坡的加密貨幣交易平臺<a href="https://www.ithome.com.tw/news/148985">Crypto.com上周傳出被駭客入侵盜轉</a>，該公司證實是雙因素驗證（2-factor authentication, 2FA）遭到突破而引發這次事件，Crypto.com未來也將提升到多因素驗證防護以避免事件重演。</p> <p>1月17日Crypto.com發生平台用戶的加密貨幣，包括以太幣、比特幣等加密貨幣帳號被不明人士盜轉。經過媒體報導及該公司高層以推特說明後，<a href="https://crypto.com/product-news/crypto-com-security-report-next-steps">Crypto.com稍後也提出說明災情及原因</a>。</p> <p>10天前事件中，有483名用戶帳號遭非授權提領，總共有4,836.26個以太幣（ETH）及443.93個比特幣（BTC），以及其他加密貨幣約66,200 美元遭轉出。這些用戶的損失已全數獲得補償。</p> <p>Crypto.com解釋，事件發生在世界協調時間（UTC）1月17日凌晨12:46，該公司風險控管系統偵測到部份用戶帳號的轉帳交易在未經用戶2FA驗證獲得許可執行。系統立即通知相關團隊評估事件，並導致該公司暫停交易，同時撤銷所有用戶2FA密碼。同時該公司也要求所有用戶重新登入並重設2FA密碼。</p> <p>Crypto.com約14小時後回復提領基礎架構，並在1月18日下午5:46重新開放提領服務。</p> <p>為了強化日後平台安全性，除了請來外部團隊對平臺進行安全稽核，Crypto.com接下來也將實施全球帳號防護方案，強化Crypto.com App及Crypto.com Exchange交易平台的防護。</p> <p>全球帳號防護方案措施包括換掉2FA系統，換成真正的多因素驗證（multi-factor authentication, MFA），將於近日內部署到所有交易服務。Crypto.com用戶未來所有交易服務都需啟用MFA、設定防釣魚碼（anti-phishing code）、不得使用被越獄（jailbreak）過的裝置。此外，用戶若發生盜轉必須報警備查及填寫問卷以協助調查。</p> </div></div></div>
2022/1/26 15:34作者林妍溱https://www.ithome.com.tw/news/149078
Nvidia可能放棄Arm收購案，這樁400億美元併購恐告吹
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GPU晶片大廠Nvidia在2020年9月宣布，將以400億美元向日本軟體銀行（Soft Bank）買下Arm，並預計於18個月內（至2022年3月）完成交易，然而，<a href="https://www.bloomberg.com/news/articles/2022-01-25/nvidia-is-said-to-quietly-prepare-to-abandon-takeover-of-arm">彭博社（Bloomberg）本周引述消息來源報導</a>，由於各國遲遲未能批准此一交易，已讓Nvidia準備放棄。</p> <p>根據Nvidia最初的規畫，此一併購案將可結合Nvidia的AI運算平臺與龐大的Arm生態體系，企圖於人工智慧時代建立一家一流的運算企業，加速創新並擴大市場。</p> <p>然而，除了諸如高通、Google與微軟等Nvidia既有及潛在競爭對手<a href="https://www.ithome.com.tw/news/142755">向監管機關投訴此案</a>之外，<a href="https://www.ithome.com.tw/news/148159">美國</a>與<a href="https://www.ithome.com.tw/news/143945">英國</a>也相繼出手阻止該併購案。此外，就算美、英等國通過Nvidia與Arm的交易，在中國也會面臨阻礙。</p> <p>根據報導，Nvidia已向合作夥伴透露，雙方可能無法完成此一交易，另一方面，在該交易可能告吹之際，軟體銀行則計畫推動Arm的上市。</p> </div></div></div>
2022/1/26 14:13作者陳曉莉https://www.ithome.com.tw/news/149075
Linux核心臭蟲可讓攻擊者執行Kunbernetes容器突破攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.aquasec.com/cve-2022-0185-linux-kernel-container-escape-in-kubernetes">安全廠商Aqua Security發現Linux核心存在一項漏洞</a>，讓攻擊者可突破Kubernetes容器而在主機系統執行程式碼。</p> <p>編號CVE-2022-0185的漏洞是一項堆積型記憶體緩衝溢位漏洞，出在Linux核心的Filesystem Context功能中的legacy_parse_param函式對輸入指令參數未能妥善驗證，讓沒有管理員權限的使用者在特定Kubernetes環境下可擴充其權限到root權限以執行程式碼，即所謂容器突破（container breakout）攻擊。</p> <p>發現本項漏洞的Aqua Security公司指出，要執行這項攻擊，攻擊者必須為本地用戶，且須具備CAP_SYS_ADMIN權限。CAP_SYS_ADMIN並非Docker或其他容器環境的預設功能，必須在啟動容器時特別開啟。不過攻擊者只需利用unshare(CLONE_NEWNS|CLONE_NEWUSER)即可以CAP_SYS_ADMIN許可進入命名空間。</p> <p>而在標準Docker提供的另一項保護下，unshare指令會被Docker seccomp filter封鎖而無法執行。但是研究人員指出一項例外情況：在Kubernetes叢集下的Docker或其他容器平台上，這filter是預設關閉的，意謂未能封鎖unshare指令,而讓研究人員在Linux系統得以行使完整的shell指令。</p> <p>目前安全公司尚未發現這項漏洞的實際開採程式碼，然而一名研究人員已公佈(<a href="https://github.com/Crusaders-of-Rust/CVE-2022-0185">https://github.com/Crusaders-of-Rust/CVE-2022-0185</a>)在Google強化的COS（Container-Optimized OS）上的概念驗證程式。安全廠商預期真正的開採程式可能也很快會發佈。</p> <p>本項漏洞風險被列為7.8。在研究人員通報下，主要Linux發行版如<a href="https://access.redhat.com/security/cve/CVE-2022-0185">Red Hat</a>、<a href="https://ubuntu.com/security/notices/USN-5240-1">Ubuntu</a>、<a href="https://www.suse.com/security/cve/CVE-2022-0185.html">SUSE</a>、<a href="https://linux.oracle.com/errata/ELSA-2022-0188.html">Oracle Linux</a>等已釋出更新版本。</p> </div></div></div>
2022/1/26 14:50作者羅正漢https://www.ithome.com.tw/news/149076
Android銀行木馬BRATA再度現身，先騙走錢財再重置受害者手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商<a href="https://www.cleafy.com/cleafy-labs/how-brata-is-monitoring-your-bank-account#5">Cleafy近日發現，一隻名為BRATA的Android木馬程式</a>，除了會騙取用戶銀行帳戶存款外，還會藉由重置用戶手機來躲避偵查。</p> <p>BRATA為Brazilian RAT Android最初是2019年卡巴斯基發現，因流竄於巴西，針對Android用戶的RAT（remote access trojan）程式而得名。但之後它擴大到美國及西班牙等地。Cleafy研究人員去年11月起再度偵測到BRATA活動，除了拉丁美洲、義大利等原有區域，並新增英國、波蘭，此外西班牙及中國也有零星個案。</p> <p>這波感染中，BRATA是透過簡訊誘使用戶下載防護垃圾郵件軟體，而安裝到用戶手機上。這波BRATA活動有3個變種。分析BRATA，研究人員發現在最常見的變種中，惡意程式作者新增了多項新功能，包括回復手機出廠設定、GPS定位、和C&C伺服器之間使用多重傳輸通道（HTTP、TCP），以及透過VNC（Virtual Network Computing，具遠端操作及螢幕分享）及鍵盤側錄功能擷取用戶銀行帳戶密碼等資訊。</p> <p>為了突破手機既有安全防護，例如限制App存取權限，因此在安裝時，BRATA誘使用戶同意數項權限，包括取得手機輔助服務（Accessibility Services）以啟動VNC、蒐集GPS定位紀錄及回復手機出廠設定並刪除裝置所有資料。研究人員指出，回復出廠設定是這隻惡意程式的kill switch功能；當駭客完成匯款，或是發現防毒軟體偵測時，攻擊者即可遠端執行，目的在刪除所有資料以消滅跡證。</p> <p>事實上已有兩起受害者手機遭到重置，在資料被刪除後受害者即使發現戶頭短少也完全無從追查原因。</p> <p>最後，BRATA的多重傳輸通道功能則讓它先以HTTP協定和C&C伺服器建立連線、驗證並刪除裝置上的防毒App，再轉換到更有效的WebSocket協定，以便持續從C&C伺服器接收檔案或將蒐集到的手機資訊傳給攻擊者。</p> </div></div></div>
2022/1/26 13:23作者林妍溱https://www.ithome.com.tw/news/149071
GitLab 14.7加入稽核事件串流、群組存取令牌功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DevOps平臺GitLab開發團隊，發布了該專案<a href="https://about.gitlab.com/releases/2022/01/22/gitlab-14-7-released/">14.7版本</a>，這個版本主要有三項更新，除了GitLab Runner開始遵守美國聯邦資訊處理標準（Federal Information Processing Standards，FIPS）之外，也加入串流稽核事件，以及群組存取令牌（Group Access Tokens）功能。</p> <p>開發者在這個版本，可以選擇將稽核事件串流傳輸至特定目的地，官方提到，這是將GitLab稽核事件，與用戶所擁有的其他資料串流相關聯、維護稽核事件備份，或是建構自有自動化功能的好方法，尤其是自建構的自動化功能，能夠在特定稽核事件發生時，迅速採取行動。</p> <p>用戶可以藉由使用GitLab新的GraphQL API來指定HTTPS端點，並且將事件以Webhook進行發送，這些訊息與Audit Events UI的資訊相同，包括發生的時間、參與的人員，以及額外的後設資料等。在收到這些訊息後，開發人員可以根據人員、類型進行過濾，或是將資料注入到第三方工具，官方提到，像是當新用戶被創建，或是更改關鍵設定的時候，便能夠以該方法觸發用戶自定義自動化功能。</p> <p>GitLab 14.7也開始提供群組存取令牌，該功能可讓用戶使用單個令牌執行群組存取操作、管理群組專案，以及在GitLab 14.2或是更新版本，利用HTTPS以Git進行身分驗證。</p> <p>過去群組存取令牌僅在自管理的執行個體提供，並且只能使用Rails控制臺產生，而現在官方擴展群組存取令牌支援，開發者可以使用UI和API來創建群組存取令牌，並自定義名稱、到期日期，甚至是撤銷現有群組存取令牌。</p> <p>另外，對於部分被要求使用的軟體，必須符合FIPS的用戶，官方表示，現在GitLab Runner已經符合FIPS 140-2，適用於AMD64計算架構和RHEL發布版本。</p> </div></div></div>
2022/1/26 11:31作者李建興https://www.ithome.com.tw/news/149065
Google揭露Pixel 6人像模式可計算精確景深效果的秘密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.googleblog.com/2022/01/accurate-alpha-matting-for-portrait.html">Google</a>在Pixel 6中，使用一種全新的技術，來計算自拍人像精確的Alpha遮罩，目的是要改善人像模式的拍攝效果，在合成景深效果的時候，能夠利用精確的Alpha遮罩，來擷取拍攝對象的輪廓，並且分離前景和背景。官方提到，這個技術讓擁有各種髮型的用戶，使用人像模式自拍時，都能取得漂亮的照片。</p> <p>影像去背（Image Matting）是一種擷取精確Alpha遮罩的程序，該遮罩可以將前景和背景物體分開，被廣泛地應用在電影或是圖像編輯中，以達成替換背景或是合成景深效果等視覺效果。在傳統的影像分割技術中，圖像會以二元的方法進行分割，每個像素皆屬於前景或是背景。</p> <p>研究人員解釋，影像分割技術無法處理細緻的場景，像是頭髮或是毛皮，除非替前景物體，估算每個像素透明值。而與分割遮罩不同，具有透明資訊的Alpha遮罩，可以保留髮絲等級的細節，並且精確地標記出前景邊界。</p> <p>雖然目前深度學習技術，在影像去背方面有了明顯的進展，但Google提到，這項技術仍然存在許多挑戰，像是生成準確基準真相Alpha遮罩的方法，或是提高野外圖像的泛化能力，甚至是在行動裝置上，使用模型對高解析度圖像進行推理的障礙等。</p> <p>Pixel 6人像模式所使用的人像去背技術，則克服了這些挑戰，Google訓練了一個由序列編碼器和解碼器模塊，所組成的全卷積神經網路，來估計高品質的Alpha遮罩。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image5(9).png" style="width: 580px;" /></p> <p>研究人員使用MobileNetV3模型作為骨幹，加上淺層解碼器，將RGB圖像以及粗糙的Alpha遮罩作為輸入，取得初步低解析度經改善過的Alpha遮罩。</p> <p>接著則是通過序列淺層編碼器和解碼器模塊，來處理高解析度圖像，以及上一步經改善過的Alpha遮罩，研究人員解釋，淺層編碼器和解碼器比MobileNetV3，更仰賴低階的特徵，能夠利用高解析度的結構特徵，來預測每個像素最終的透明度數值。</p> <p>全卷積神經網路能夠細化初始前景Alpha遮罩，並擷取像是髮絲等非常精細的細節，該神經網路架構，皆使用Tensorflow Lite，並可在Pixel 6上高效能地運作。</p> <p>當前多數的影像去背深度學習研究，都仰賴人工註解每個像素以產生Alpha遮罩，以分開前景和背景，這些遮罩由圖像編輯工具或是綠幕生成，Google提到，這個過程很無聊，也難以產生大型資料集，而且Alpha遮罩也容易出現錯誤。</p> <p>Google則是使用容積擷取系統Light Stage，來生成高品質的訓練資料集，跟過去的資料集相比更加真實，另外，Google還透過合成野外圖像的Alpha遮罩，來提高模型的泛化能力。</p> </div></div></div>
2022/1/26 11:35作者李建興https://www.ithome.com.tw/news/149066
國內個資外洩詐騙案頻傳，2021年報案件數劇增，誠品書店、東森購物與王品集團最嚴重
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因個資外洩造成的社會詐騙層出不窮，為了因應此一問題，刑事警察局持續藉由公布高風險名單，包括網購平臺、商家或組織，通知業者疑個資外洩情事發生，並提醒民眾注意相關詐騙，但仍有許多人上當，在1月22日刑事警察局發布的最新公告中，揭露了2021年全年前5大高風險賣場名單，前五名分別是：誠品書店、東森購物、蝦皮購物、婕洛妮絲、金石堂，而且，光是警方受理這些商家的件數，就逼近3千。</p> <p>對此，大家須再提高警覺，因為自2021下半年開始，警方接獲民眾報案件數，開始出現大幅增加情形，而且，臺灣社會資料外洩嚴重的問題，不只發生在網路購物平臺，還包括實體通路餐飲業王品集團，以及多個公益慈善機構，他們本身都擁有大量的會員資料，以及捐款者資料。</p> <h2><strong>2021個資外洩情形比往年嚴重許多，報案件數大幅增加</strong></h2> <p>根據刑事警察局統計，2021年解除分期詐騙的5大民眾通報高風險賣場中，誠品書店有940件、東森購物有868件、蝦皮購物有500件，三者的情況最嚴重，民眾通報件數都在5百件以上，前兩名更是都將近1千件，超越警方歷年公布的年度統計資料，相關個資外洩及詐騙風險達到前所未見的程度。</p> <p>回顧2020年，當時刑事警察局統計出來的高風險賣場，第一名為383件，第二到第五名都是2百多件，對比之下，2021年通報件數的確處於暴增狀態。</p> <p>不僅誠品網路書店、東森購物等網路購物平臺屢屢上榜，以實體店面為主要經營環境的王品集團也值得關注。而在長期追蹤之下，我們發現這樣的狀況，根據警方每週公布解除分期詐騙案的結果，該集團旗下持續有多個餐飲品牌入榜，這段時間通報案件應該不少，對此，我們向警方徵詢更多資訊，這當中涵蓋的餐廳有：西堤牛排、王品牛排、陶板屋，以及夏慕尼、品田牧場、原燒、聚北海道鍋物與和牛刷等等，總共有587件。</p> <p>若以此數量來看，該集團僅低於誠品書店與東森購物，堪稱全年度通報件數第三多。</p> <p>對於詐騙件數暴增的主要原因，刑事警察局預防科偵查員林奕辰表示，主要是2021年疫情關係，網路購物興盛，以及外洩資料太多而導致，儘管警方長期不斷提醒小心這樣的詐騙手法，宣導ATM並不提供解除分期功能，希望民眾接獲相關電話應主動求證，但至今仍有民眾上當。由於詐騙集團使用的話術會不斷轉變，因此民眾須具備資安與防詐意識。</p> <h3><a href="https://s4.itho.me/sites/default/files/images/（圖）刑事警察局2021年年度前5大高風險賣場.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96%EF%BC%89%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%802021%E5%B9%B4%E5%B9%B4%E5%BA%A6%E5%89%8D5%E5%A4%A7%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B4.jpg" style="width: 600px;" /></a></h3> <blockquote><p>內政部警政署刑事警察局165反詐騙於1月22日，公布<a href="https://www.facebook.com/165bear/posts/4927888510603943">2021年全年前5大高風險賣場名單</a>，分別是：誠品書店、東森購物、蝦皮購物、婕洛妮絲，以及金石堂。其中誠品書店、東森購物兩者快要千件最為嚴重。警方呼籲民眾要避免被騙，也督促電商強化資安。</p> </blockquote> <h3><a href="https://s4.itho.me/sites/default/files/images/（圖4）刑事警察局2021年年度前5大高風險賣場.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%802021%E5%B9%B4%E5%B9%B4%E5%BA%A6%E5%89%8D5%E5%A4%A7%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B4.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖5）刑事警察局2021年年度前5大高風險賣場.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%802021%E5%B9%B4%E5%B9%B4%E5%BA%A6%E5%89%8D5%E5%A4%A7%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B4.jpg" style="width: 295px;" /></a></h3> <blockquote><p>在2021年警方每周公布的高風險賣場中，王品集團旗下多個餐飲品牌出現在榜上的次數不少，雖然品牌多呈現也很分散，但同一集團同時入榜的狀況，也引發關注。舉例來說，在2021年5月的一周，陶板屋、聚北海道鍋物與夏慕尼入榜，在11月的一周，有西堤牛排、王品牛排與陶板屋入榜。我們向警方取得相關統計資訊，王品集團旗下餐飲品牌的加總件數為587件。</p></blockquote> <h3><strong>警方持續公布高風險賣場揭露疑個資外洩商家，業者是否找出根因受關注</strong></h3> <p>究竟這些業者的個資外洩是何種狀況？從2021年最嚴重的三家業者來看出端倪。</p> <p>以誠品書店而言，警方是在2021年4月間，接獲多位受害者遭詐騙報案，許多網友當時也都在網路上發文指出，對方不僅假冒為誠品的客服人員，而且相當清楚客戶的訂單內容、日期、金額與住址等資訊，甚至，詐騙集團還會再假冒金融機關人員來電。對此誠品雖然發布防詐騙電子郵件與公告，但遲遲並未針對個資外洩事件詳細說明他們調查的結果。</p> <p>後來，這樣的情形還是持續發生。在2022年1月6日，立法委員劉世芳因接獲相關陳情，而<a href="https://www.facebook.com/2016newpower/posts/4991939290869585">召開「誠品資安有漏洞，消費者權益誰來顧？」記者會</a>，列席的刑事局科技研發科科長林建隆指出，誠品書店的會員民眾遭受詐騙後，向警方報案，集中在4月、6月、8月到12月，但該公司並未有效找出這個資安事件個資外洩的根因，因此，他建議業者需要假設某一天會被入侵的思維，才能解決問題。</p> <p>面對這些廠商無法改善的狀況，政府是否該採取更積極的行動？經濟部商業司專委蕭旭東表示，他們將依照個人資料保護法第22條規定，先啟動行政檢查，若該公司仍無法達到個資法或主管機關的要求，再依個資法第48條規定，令業者限期改善，若無法達成保護消費者個資的要求，將可執行行政裁罰。</p> <p>另一家民眾通報件數僅次於誠品書店的東森購物，他們是從2021下半年，開始被傳出資料外洩事件，但民眾通報件數竟迅速升到全國全年度第二。警方是在2021年8月後密集接獲民眾報案，<a href="https://ptt-politics.com/e-shopping/l/POLITICS.M.1631258048.A.3EF">9月曾有網友發文表示</a>，他們曾接獲冒名東森購物客服人員的電話，對方竟能與其核對姓名、購買日期及購買內容等，可見業者個資洩漏的欄位並不少。更受關注的是，單看第四季而言，就有453件民眾通報，以這段期間而言，狀況可能比誠品書店更為嚴重。</p> <p>至於王品集團，<a href="https://www.facebook.com/wangsteak1993/posts/3920602447982585">在2021年3月，公告王品牛排所屬的「電子菁英會員」系統的顧客資料被盜</a>，並持續向會員發布防詐騙簡訊與公告。</p> <p>然而，王品集團旗下多個品牌的餐飲事業，也都出現客戶個資外洩問題，似乎未能解決，許多受害者報案，也有人曾接到詐騙電話。在11月底，桃園市前議員王浩宇也於臉書發文，指控王品集團旗下品田牧場發生個資外洩狀況，詐騙集團清楚知道他的用餐時間、餐點與金額。</p> <p>就目前的狀況來看，警方已公開指出，誠品書店仍未找到資安事件根因，須設法改善，但王品集團與東森購物是否也出現同樣狀況，將是大眾另一個持續關注的焦點，而且，這些問題若不徹底解決，商家個資外洩引發的詐騙事件，仍可能會一再發生。</p> <p>諷刺的是，這三家業者雖然都發布防詐騙公告，通知會員與消費者提高警覺，但僅有王品牛排坦承顧客資料遭盜竊，其他業者卻並未主動對外表達他們是否受害與處理狀況，有欺騙消費者的嫌疑。</p> <p>面對這些事件的發生，各界都很關注來龍去脈。就結果而言，由於詐騙者清楚知道訂單明細與個資，但個資外洩究竟如何發生？問題出在消費者端，還是商家與其合作夥伴？商家真的進行調查了嗎？若是業者遲遲找不出原因，也還是必須對外說明，同時，民眾期望政府能為他們的權益把關，而能加強督導，勢必會加強監管企業的力道。</p> <h2 class="rtecenter"><span style="color: rgb(0, 153, 255);"><strong>2021每季解除分期詐騙前5大高風險賣場名單</strong></span></h2> <p><span style="color: rgb(0, 153, 255);"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖1）刑事警察局2021年年度前5大高風險賣場9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%802021%E5%B9%B4%E5%B9%B4%E5%BA%A6%E5%89%8D5%E5%A4%A7%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B49.jpg" style="width: 600px;" /></a></strong></span></p> <blockquote><p>這幾年，刑事警察局每週公布高風險賣場名單與件數，並提醒民眾注意相關詐騙，根據2021年每季公布的資料來看，第一季與往年相差不大，但自第二季開始，解除分期詐騙的報案件數開始大增，甚至第四季光是東森購物的案件數，就逼近第一季前五名總和。</p> </blockquote> <h3><strong>出現因大量捐款資料外洩引發的詐騙事件</strong></h3> <p>除了上述業者遭遇個資外洩的資安事件，2021年還有個特殊現象，那就是：公益慈善募款機構的資料庫，也不幸被詐騙集團取得，並用於詐騙。</p> <p>關於這類型通報案件，警方指出，自2021年7月27日至今，也就是大約半年的時間，詐騙集團假冒公益慈善機構進行解除分期付款詐騙，其報案諮詢加總為370件，並有多達數十家公益慈善機構都遇駭，因詐騙方掌握捐款人姓名、電話、捐款金額等資料，藉此取信被害人，再利用解除分期詐騙手法重新包裝話術，致使善心民眾上當。</p> <p>這起事件的發生，讓多個慈善機構意識個資保護重要性，須關注系統委外合作的資安防護。因為這源於多個公益機構協會使用的資訊服務商網軟遭駭，後續<a href="https://www.intersoft.com.tw/RWD01/list_1.aspx?id=595">網軟公司也已在自家網站發布了資安公告</a>。</p> <p>在此同時，非營利組織資安該如何做的議題，也因此受到外界更大的關注，畢竟在經濟能力與行政作業的完備度上，非營利組織仍與商業組織很大的差異，政府該如何協助與輔導也成議題。</p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>違反個資法有公開判例可參考</strong></span></h2> <p>關於電商業者因違反個人資料法遭法院判決或提起上訴，近期是否有相關公開判例，可供外界參考，對此，刑事警察局預防科提供了三個公開判例：</p> <p class="rtecenter">●<a href="https://fyjud.lawbank.com.tw/list.aspx">臺灣士林地方法院 109 年度湖簡字第 1959 號判決</a><br /> ●<a href="https://fyjud.lawbank.com.tw/list.aspx">臺灣新竹地方法院 108 年度竹小字第 68 號判決</a><br /> ●<a href="https://fyjud.lawbank.com.tw/list.aspx">臺灣臺北地方法院 110 年度北小字第 1949 號判決</a></p> <p> </p> <h2 class="rtecenter"><span style="color: rgb(0, 153, 255);"><strong>解除分期詐騙手法不再只是針對網路購物平臺，「高風險賣場」一詞可能也要適時調整</strong></span></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%802021%E5%B9%B4%E5%B9%B4%E5%BA%A6%E5%89%8D5%E5%A4%A7%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B4.jpg" style="width: 320px; float: right;" /></p> <p>刑事警察局每週公布高風險賣場名單已有多年，但隨著解除分期詐騙手法，現在已經不只針對網路購物平臺，還有包括擁有客戶資料庫的餐飲與服務業，甚至是擁有捐款者資料的公益慈善機構，這也讓使得「高風險賣場」一詞的適用性，可能有需要適時調整。</p> <p>但要如何調整，這不僅考驗著執法單位，也反映了現實的局勢。雖然，過去資料外洩問題主要發生在線上購物平臺，不過現在的商家多朝向線上與線下整合發展。</p> <p>舉例來說，以網購平臺而言，像是誠品網路書店有實體門市，也有線上購物；而非網購平臺而言，像是王品集團也發展線上會員，除了旗下個別品牌有會員系統，像是王品牛排的電子菁英會員，而集團本身也有像是「王品瘋美食」App的會員系統。再者，以2021年8月2日到8月8日的每週高風險賣場為例，當時詐騙集團非法取得捐款資料，運用解除分期詐騙手法，假冒公益慈善機構致電捐款者，由於使用手法相同，因此，遭民眾通報的公益慈善機構，也被列為高風險賣場。</p> <p>如此看來，儘管「高風險賣場」一詞沿用多年，未來是否有需要調整，才不會讓民眾搞混，以為這些機構也在網路賣東西，是執法單位可以探討的面向。</p> </div></div></div>
2022/1/25 14:36作者羅正漢https://www.ithome.com.tw/news/149057