iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 6篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 14:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Nvidia季營收再大幅成長53%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-fourth-quarter-and-fiscal-2022" target="_blank">繪圖晶片龍頭Nvidia周三（2/16）公布</a>，截至2022年1月30日的2022財年第四季與全年財報，顯示該季營收成長53%，達76.4億美元，其中包括遊戲、資料中心與專業視覺化等業務也都創下營收紀錄。</p> <p>在76.4億美元的營收中，遊戲營收占了34.2億美元，成長37%；資料中心為32.6億美元，成長71%；專業視覺化營收為6.43億美元，成長109%；汽車與機器人營收為1.25億美元，下滑14%。該季Nvidia的每股盈餘是1.18美元，比去年同期成長了103%。</p> <p>除了季營收創新高之外，Nvidia在2022財年也以269.1億美元的營收寫下了新紀錄，比前一年成長61%。</p> <p>Nvidia執行長黃仁勳表示，他們正看到對該公司運算平臺的龐大需求，而Nvidia也正在推動各種新領域的進步，從AI、數位生物、氣候科學、遊戲、創意設計到自駕車與機器人等。</p> <p>不過，儘管財報超越分析師預期，且對下一季也有不錯的展望，當天Nvidia的盤後股價依然下挫了2.68%，跌至258.01美元。</p> </div></div></div>
2022/2/17 12:10作者陳曉莉https://www.ithome.com.tw/news/149412
跟進Web做法，Google正式推出Android版隱私沙盒計畫，將耗時2年打造兼顧隱私的新App廣告追蹤技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google今日宣佈從2022年初開始，要在Android上實施<a href="https://www.blog.google/products/android/introducing-privacy-sandbox-android/">開源的隱私沙盒（Privacy Sandbox）專案</a>，號召業界提案，來發展替代的App廣告追蹤技術，目標是在保護用戶隱私的前提，也能滿足廣告投放需求。Google亞太區隱私主管Jessica Martin預估，從提案、開發到上線，預計至少要花上2年的時間。</p> <p>Google早在2019年就發起Web環境的隱私沙盒專案，以因應在Chrome中禁用第三方Cookie的決策，這項計畫已提交到全球資訊網國際標準組織W3C，由一群廣告技術供應商組成的網路廣告業務小組共同討論，目標要將新技術推展為網路標準。最知名的提案即為Google力推的群組聯合學習技術（Federated Learning of Cohorts，FLoC），不過在去年7月底已經終止了實驗，近日改以新提案Topics API取代。</p> <p>在Web隱私沙盒計畫發展了2年、累積了30多項提案後，Google現在要將隱私沙盒計畫延伸到Android系統，將過去開發Web版新式廣告追蹤技術的經驗，應用到行動裝置上的App廣告追蹤。Google指出，希望找出新追蹤解方，可以限制與第三方分享使用者資料，而且使用時不需要跨App的ID識別機制就能運作。已有不少業者有意參與開發，包括社交軟體Snapchat、遊戲商Rovio、遊戲商動視暴雪、語言學習網站Duolingo等。</p> <p>在Android隱私沙盒的時程規劃中，今年Q1會進行初始提案，並持續設計、取得回饋與迭代修正，預計在今年推出開發人員預覽版，並在年底發布Beta版功能，明年則會進行規模化的測試，為上線做準備。</p> <p>Jessica Martin強調，由於Web與行動裝置跨網站、跨App追蹤使用者的技術不同，Web是使用第三方Cookie、行動裝置是使用裝置ID（比如iOS系統使用IDFA、Android系統使用GAID等），來識別同一用戶的行為，因此在廣告隱私技術的提案上，雖然可以採用Web先前的提案概念，但技術實作方式完全不同。這也是為什麼，Jessica Martin預估，從提案、開發到上線，預計要需要花上2年的時間。</p> <p>在發佈會上，Google初步提出了Android版的隱私沙盒可能實作的計畫。這些計畫分兩大領域，一是在隱私保護API的領域，目標要在改善用戶隱私時，支持關鍵的應用實例。比如在Web隱私沙盒計畫中提出的歸因報告，能讓廣告商在不使用跨站識別符號（cross-site identifier）的情況下，衡量用戶行為導致的轉化（廣告點擊或查看等）；另一Web隱私沙盒提出的FLEDGE專案，則是針對再行銷與客製化受眾的情境中，不讓第三方組織追蹤用戶跨網站的瀏覽行為；以及當前受到熱議的Topics API，可透過限制廣告商可取得的用戶興趣分類資訊，讓廣告商與網站難以識別單一用戶。這些專案都可能以不同的技術重新在Android平臺上實作。</p> <p>另一領域則要預防第三方隱蔽的廣告追蹤機制，防止未公開的用戶數據被暗中追蹤，比如透過SDK Runtime，提供應用程式與第三方程式碼的處理隔離及動態分佈；未來也可能運用反指紋追蹤機制，減少可被用來進行指紋追蹤的訊息。Google指出，未來將持續開發新技術，讓App能夠更安全地整合廣告SDK，降低用戶被暗中蒐集資料的可能性。</p> <p>不只Google，Apple也針對iOS平臺也推出了隱私保護機制，比如訂定ATT政策（App Tracking Transparency）或替代IDFA的SKAdnetwork等做法。Android安全及隱私產品管理副總經理Anthony Chavez指出，其他平臺採取的廣告隱私權保護機制，著重於限制開發人員和廣告主目前使用的工具，他認為，這類未先提供替代方法的隱私權保護方式，效果可能不如預期，或許還會對使用者隱私和開發人員的工作造成負面影響。</p> <p>Jessica Martin則指出，部分組織尋求廣告隱私機制的做法，仍然仰賴廣告辨識符來進行廣告投放，而Google與他人做法的根本性差異，在於無論是Android或是Chrome生態系，都在試圖開發一個不仰賴廣告辨識符的新技術或解決方案，除了確保個人資料獲得保護，同時也為開發人員和企業提供適當的工具，讓他們在行動裝置上達成廣告投放相關的目標。</p> <p>而面對先前Web隱私沙盒計畫中的FLoC、Topics提案，屢屢遭受到反對者挑戰，Jessica Martin對此持開放套論的態度，她回應：「任何參與與回應，都在推進隱私領域的對話，也能推進技術如何運作的思考，我認為任何形式的回饋都將受到歡迎。」</p> <p>Android隱私沙盒計畫實施後，Google指出，在設計、開發及測試這些新解決方案期間，將維持既有廣告平臺的功能，為期至少兩年。未來如有任何異動，將事先發布重大公告。目前，開發人員已經可以前往<a href="https://developer.android.com/design-for-safety/ads">Android 開發人員網站</a>，查看隱私沙盒的初始設計提案與提供意見。</p> </div></div></div>
2022/2/17 12:15作者翁芊儒https://www.ithome.com.tw/news/149406
Rust 2021大調查顯示，已有59％的Rust使用者將該語言用於工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日漸受到企業矚目的程式語言Rust，在最新的<a href="https://blog.rust-lang.org/2022/02/15/Rust-Survey-2021.html">2021大調查</a>中，呈現企業採用增加的趨勢，有高達59％使用Rust的受訪者，將Rust用於工作之中，而這個數字較去年大幅增加。另外，社群對Rust過去一整年的改進，包括在IDE體驗和編譯器除錯上，都給予肯定，但仍希望編譯時間能繼續改善。</p> <p>開發者使用Rust的比例持續上升，每周至少使用一次的受訪者比例為81％，而這個數字在去年僅有72％，而且有75%的Rust用戶已經可以編寫生產就緒的程式碼，雖然也有27％的人表示，在編寫Rust程式碼時遭遇困難，不過整體而言，99％的人用起Rust都算愉快，僅有1％的人覺得不有趣。</p> <p>官方提到，Rust已經能夠被歸類在專業環境中使用的語言。在使用Rust的受訪者中，59％的人最少偶爾會在工作中使用Rust，有23％的人在大部分程式中使用Rust，而在去年只有42％的受訪者，會在工作中使用Rust，今年跟去年相比大幅成長不少。</p> <p>對大多數將Rust用於工作的使用者而言，似乎都要面臨先甘後苦的過程，有83％的人認為，將Rust用於工作具有挑戰性，官方提到，他們不太確定這個結果，與一般採用新語言的挑戰關係為何，但是至少有82％的受訪者，認為Rust可協助他們的團隊實現目標。</p> <p class="rtecenter"><a href="https://blog.rust-lang.org/images/2022-02-RustSurvey/rust-adoption.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/rust-adoption.png" style="width: 580px; height: 225px;" /></a></p> <p>79％的受訪者認為克服採用Rust的挑戰很值得，且在問卷另一題，詢問這些受訪者，是否願意在未來再次使用Rust，有90％的人表示同意。至於受訪者在工作中採用Rust的原因，最大的理由是為了建置相對正確沒有錯誤的軟體，也有92％的受訪者同意效能也是他們採用Rust語言的主因，89％的受訪者同意在工作選擇Rust，是因為可以享受到Rust的高安全性。</p> <p>Rust仍是一個相對年輕的語言，有許多部分仍在發展，有61％的受訪者認為Rust編譯時間仍需要改進，儘管Rust的編譯時間一直是官方團隊改善的重點，但顯然社群仍覺得不足，其他社群認為需要繼續改善的部分，包括磁碟空間、除錯和GUI開發。Rust對IDE體驗，包括持續採用和rust-analyzer、IntelliJ Rust等工具，以及對編譯器除錯的改進，都獲得大比例受訪者的肯定。</p> <p>這次大調查的參與者，比起去年增加了1,500人，團隊所回收的完整問卷數達到了9,354份，總共來自113個國家，其中來自美國的受訪者最多占24％，其次是德國、中國和英國，除了英文之外，簡體中文、德語和法語也是Rust社群的偏好語言。</p> </div></div></div>
2022/2/17 10:33作者李建興https://www.ithome.com.tw/news/149399
Google Docs現內建AI可自動產生文件摘要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/workspace/delivering-new-innovations-in-google-workspace-with-smart-canvas">Google更新Workspace產品組合</a>，應用人工智慧提供更多功能，並且擴展智慧畫布（Smart Canvas），添加模板簡化文件協作，也加入地圖智慧連結（Smart Chips），供用戶在文件中提供豐富的地圖資訊。</p> <p>Google在Docs中，新添加自動摘要以及無分頁格式，官方提到，由於現在使用者每天處理的資訊量大增，很難找出值得深入閱讀的文件，又或是在不完全閱讀的狀況下，快速掌握重點。因此Google於Docs中內建自動生成摘要功能，提供文件的簡要概述，協助用戶快速解析文件重要資訊。Docs的人工智慧將會自動生成摘要，而用戶也可以手動編輯自動生成的摘要，這項功能目前已經向所有用戶推出。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Ai_summary_Mktng.gif" style="width: 580px; height: 382px;" /></p> <p>針對不同的文件編輯需求，Google Docs現在提供無分頁格式（Pageless Format），官方提到，傳統文件編輯格式中的分頁符號，以及用於文件實體列印的頁面邊距，會使得跨頁內容元素協作變得困難。而Docs新推出的無分頁格式，讓用戶可以移除頁面邊界，創建一個依據裝置螢幕或是視窗延伸的文件頁面。</p> <p>在無列印需求的用例下，團隊成員可在無分頁文件中，加入寬表格、大圖像，並且在文件中加入詳細的評論。用戶可以在需要列印或轉換成PDF時，隨時將文件切回分頁檢視。</p> <p>Google還更新了智慧畫布功能，擴充@選單，讓用戶可以簡單地插入圖像、表格、模板和其他內容。在智慧畫布中，Google提供了互動式建置模塊，像是智慧連結、模板或是清單，讓用戶能夠建立具有豐富上下文的文件，像是文件中提及的人員，能夠不只有姓名資訊，還可以加入位置、頭銜和團隊資訊等。</p> <p>用戶現在可以利用@來方便地協作電子郵件，輸入@就可以選擇增加的電子郵件草稿，供用戶快速編輯需要廣泛傳送的電子郵件。Google解釋，當前的流程十分不便，協作者要在文件編輯器中編寫電子郵件，接著再手動移植到電子郵件中，但藉由使用新加入的電子郵件草稿模板，便可以使用@挑選需要的模板，編輯完成後點選匯出至Gmail，文件內容會被轉換成為草稿電子郵件，所有相關欄位也會自動填充。</p> <p>同樣的，Google也針對會議紀錄新增了模板，該模板可以從日曆會議邀請中，帶入所有相關訊息，包括附件，省去之前創建文件需要的手動步驟。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/meetingnotes.gif" style="width: 580px; height: 354px;" /></p> <p>另外，Docs也添加其他智慧連結和可點擊物件，供用戶直接將相關資訊拉進協作畫布中，減少切換上下文，並建構更豐富的文件，像是使用新的地圖智慧連結，用戶就可以直接在文件中預覽Google地圖，點擊智慧連結時，還可以查看包含有用資訊的縮圖。Google最近也在Sheets中添加智慧連結，讓用戶可以更快查看人員位置、職位和聯絡資訊等。</p> </div></div></div>
2022/2/17 10:45作者李建興https://www.ithome.com.tw/news/149404
Databricks針對金融服務痛點推出專用湖邊小屋解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Apache Spark創建者所創立的Databricks，推出了針對<a href="https://databricks.com/blog/2022/02/15/lakehouse-for-financial-services-paving-the-way-for-data-driven-innovation-in-fsis.html">金融服務專用的湖邊小屋（Lakehouse for Financial Services）</a>。湖邊小屋是Databricks將資料倉儲和資料湖結合在一起的架構，在使用開放格式的雲端儲存中，實現與資料倉儲類似的資料結構和資料管理功能，而金融服務湖邊小屋更多提供了預建置解決方案加速器、資料共享功能和開放標準等功能，以滿足金融服務機構的獨特需求。</p> <p>Databricks提到，金融行業在面臨資料轉型時，通常會面臨幾個重大挑戰，包括擔心遭到特定供應商鎖定，過度仰賴單一雲端供應商，又或是缺乏資料集支援等，而湖邊小屋的特性能夠解決這些問題，執行即時商業智慧資料存取，並且供企業開始推動人工智慧應用，讓銀行、保險和投資市場等企業，都可以利用資料產生影響力，最終使資料和人工智慧技術，成為各業務的核心。</p> <p>除了原先Databricks所提供的湖邊小屋功能，像是即時分析、商業智慧和人工智慧功能之外，金融服務湖邊小屋特別提供了經過審查的資料模型框架、合作夥伴解決方案，和14個預建置的加速器和開源函式庫。</p> <p>加速器和開源函式庫涵蓋金融服務的重要用例，包括交易分析和市場監控，函式庫會利用高效能市場資料時間序列處理引擎，結合核心市場資料和各種資料來源，使資產管理公司能夠大規模預測投資策略，並進行交易成本分析。</p> <p>加速器也提供了地理空間資料庫，可支援超個人化零售銀行業務，更好地理解用戶行為，進行客戶分割，以及制定現代詐騙預防策略。對於監管報告方面，加速器簡化遵循開放資料標準，和開放資料共享協定的監管資料收集、處理和傳輸等工作。</p> <p>同時，加速器也提供遵守被遺忘權法規的技術需求，賦予企業嚴謹的稽核能力，協助用戶遵守GDPR法規。而金融服務湖邊小屋還提供一組通用資料模型框架和加速器，來協助用戶克服整個企業內，標準化資料方面的挑戰。</p> <p>Databricks也在這項新產品發布的同時，宣布加入成員包括高盛、摩根史坦利、瑞銀和摩根大通的FINOS（FinTech Open Source Foundation），以促進金融服務領域的創新和協作。Databricks提到，由於企業希望避免使用複雜、昂貴且專屬於特定供應商的資料格式，開源成為金融服務資料戰略的核心。</p> <p>Databricks整合湖邊小屋與FINOS的Legend平臺，來促進銀行生態系的金融資料處理和交換，並協助制訂下一代產業標準。此外，Databricks在去年推出跨組織即時共享資料的開放協定Delta Sharing，也使得企業更容易消費、共享資料，並利用資料獲利。</p> </div></div></div>
2022/2/17 10:49作者李建興https://www.ithome.com.tw/news/149405
Google著手於Android上建置隱私沙箱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於<a href="https://www.ithome.com.tw/news/144830" target="_blank">去年釋出的Android 12開始限制開發者對廣告ID（Advertising ID）的存取能力</a>之後，<a href="https://blog.google/products/android/introducing-privacy-sandbox-android/" target="_blank">Google周三（2/16）宣布</a>，將著手於Android上建置隱私沙箱（Privacy Sandbox），企圖打造可兼顧開發者廣告收入及使用者隱私的各種解決方案。</p> <p>過去Google於Android平臺上採用匿名的廣告ID來追蹤使用者的行為，雖然是匿名，但該ID讓Google及開發者了解使用者的每一次廣告點選或購買行為，以遞送個人化廣告，儘管允許使用者重設ID，但仍被視為觸犯隱私，於是Google在去年釋出的Android 12變更了廣告ID政策，封鎖開發者存取已退出個人化廣告的廣告ID。當使用者決定退出個人化廣告之後，Android就會直接移除系統上的廣告ID，新政策還將於今年4月擴大至支援Google Play的所有Android裝置與程式。</p> <p>然而，Google於本周強調，Google Play上有超過9成的程式都是免費的，造就這股免費風潮的即是數位廣告，為了確保健康的程式生態體系，讓使用者、開發者或相關行業都能共榮，必須持續發展兼顧廣告及使用者隱私的解決方案。於是Google決定於Android上部署隱私沙箱，將限制與第三方分享使用者資料的能力，也可讓廣告在缺乏跨程式識別的狀況下運作。</p> <p><a href="https://www.privacysandbox.com/" target="_blank">隱私沙箱</a>最早被應用在Chrome瀏覽器上，標榜將減少跨站與跨程式的追蹤，同時讓網路上的內容與服務能夠維持免費。</p> <p>Google也批評其它同業的作法，指出直接限制開發者及廣告主使用既有的技術，而未提供可保障使用者隱私的其它方案，不僅無效，也會讓使用者隱私或開發者業務更糟。雖然Google未指名道姓，但明顯指的是<a href="https://www.ithome.com.tw/news/144059" target="_blank">蘋果的追蹤透明化政策</a>。</p> <p>Google說，該公司對Android隱私沙箱的目標，是開發既有效又能改善隱私的廣告解決方案，使用者會知道自己的資訊受到保護，開發者及廣告主則可獲得適當的廣告工具。</p> <p>此外，Google將循序漸進地打造相關解決方案，Android上原有的廣告功能最少將維繫兩年，且每一次的變更都會事先提醒。Google預計今年就會釋出多個預覽版，並於年底發表測試版。</p> </div></div></div>
2022/2/17 11:00作者陳曉莉https://www.ithome.com.tw/news/149408
IoT雙周報第108期：臺灣兩大IoT通訊供應商之一的Sigfox傳因疫情經營不彰擬出售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>01/29~2/11精選IoT新聞</strong></span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">NCC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電信物聯網 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>臺灣電信物聯網裝置直逼2百萬個，智慧電表、智慧路燈、車聯網裝置為大宗</strong></span></p> <p>根據NCC近日公布<a href="https://www.ncc.gov.tw/chinese/news_detail.aspx?site_content_sn=5018&cate=0&keyword=&is_history=0&pages=0&sn_f=47075">臺灣電信物聯網最新使用狀況</a>，截至去年12月底，全臺已部署約186萬個電信物聯網裝置，從使用040物聯網門號來看，單是2021年增加門號數已逾60萬門，從1月125萬門到12月增加到186萬門，也反映出臺灣電信物聯網技術與應用漸趨成熟。</p> <p>在這些租用IoT門號的裝置中，又以智慧電表、智慧路燈、車聯網裝置採用為大宗，使用蜂巢式物聯網技術（如NB-IoT、LTE-M等），作為各項IoT應用主要的通訊技術，運用到智慧城市、智慧農業、智慧交通等領域。</p> <p>從電信業者來看，5家電信業者中，中華電信目前以約124.6萬個IoT門號居冠，遠高於第二名的遠傳有95萬門，也是唯一一家門號數破百萬的電信業者。遠傳售出IoT門號數約29.6萬門，台哥大則排第3，約17.5萬門，至於台灣之星和亞太電信各有7.9萬門和6.6萬門。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧物流 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 郵局 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>郵局最新一座智慧物流中心，將引進AIoT、AGV無人搬運車提高貨物儲存、揀貨效率</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961%EF%BC%9A%E5%9C%961_IoT%E9%9B%99%E5%91%A8%E5%A0%B1(3).jpg" style="width: 600px; height: 338px;" /></p> <p>中華郵政明年將啟用一座6.8萬坪智慧物流中心在林口智慧物流園區，除了結合5G、AIoT技術，還將導入自動倉儲、AGV無人搬運車，來提高貨物儲存、揀貨、出貨的效率，以及結合AI影像識別，追蹤和管理所有郵件或貨物進出。</p> <p>這座智慧物流中心也是郵政公司未來物流轉型策略之一。從樓層設計來看，整座物流中心地上8樓，4樓層是物流倉，4樓夾層是作為辦公用途，其中物流層採用單元組合式架構設計，一個樓層分4個單元，每個單元面積約2,600坪，4層樓一共16個單元，約4.1萬坪。</p> <p>郵政公司未來將自行經營一個單元，其餘15個單元，由另一家電商業者PChome承租與營運，預計今年上半完工，下半年即可進駐使用，至於郵政物流倉，最快2023年才會全面啟用。</p> <p>在貨物運輸方面，除了持續優化車隊管理之外，郵政公司也開始評估無人載具用於郵政物流的可行性，未來將於園區內展開試驗，如無人載具應用方案、無人機快遞、無人機園區巡檢等。除了無人機，還規畫配送機器人、自駕車等測試場域。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Sigfox </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IoT通訊網路 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>臺灣兩大IoT通訊供應商之一的Sigfox傳因疫情經營不善有意出售</strong></span></strong></p> <p>法國物聯網新創Sigfox 近日因疫情營運不善傳出有意出售，正在積極尋找買主來接手，確保未來能夠維持Sigfox長期發展與成長。</p> <p>2010年成立的Sigfox，是一家以LPWAN（低功耗廣域網路）服務為主的IoT通訊服務商，雖然員工數僅約300人，但所推出Sigfox物聯網通訊網路，迄今在全球75個國家及地區廣泛部署，而且宣稱已涵蓋14億人口。去年一份Sigfox報告則指出，現今採用Sigfox通訊網路的全球IoT裝置數量高達1,950萬個，每天要處理7,600萬條IoT訊息發送。</p> <p>Sigfox過去也獲得許多電信、科技及IT大廠投資，將近3 億歐元，包括英特爾、三星、NTT、SK Telecom、Salesforce等，但仍抵擋不住這波疫情的衝擊，加上電子元件市場嚴重缺料，使得Sigfox近兩年採用不如預期，財務狀況承受極大壓力，因此最近向法國法院聲請進入司法重整程序，以維持公司繼續營運，但強調公司並沒有破產，短期運作不受影響。</p> <p>Sigfox也是臺灣兩大LPWAN通訊供應商之一，Sigfox雖未在臺設點，而是經由授權代理方式在2017年引進，並在短短一年內打造一個全國規模IoT通訊網路，可覆蓋全臺95%人口，<span data-offset-key="4mea9-0-0"><span data-text="true">迄今有許多</span></span><span><span data-offset-key="4mea9-1-0"><span data-text="true">IoT裝置採用</span></span></span>其通訊網路，運用到路邊停車追蹤、溫濕度監控、空氣品質以及智慧路燈等應用。也因此，一旦Sigfox未來出售，勢必可能影響現有IoT裝置的通訊網路更新與後續維護作業。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">智慧零售 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Amazon </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>搶進智慧零售更進一步，Amazon開設第一家實體服飾店</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962%EF%BC%9A%E5%9C%962_IoT%E9%9B%99%E5%91%A8%E5%A0%B1(1).png" style="width: 600px; height: 318px;" /></p> <p>除了開實體店賣起生鮮雜貨，Amazon最近開始進軍實體服裝店，做起服飾生意。該公司近日宣布將在洛杉磯Americana at Brand廣場開設了第一家實體時裝店Amazon Style，更在店內打造結合線上線下的智慧零售購物體驗。</p> <p>根據Amazon的介紹，Amazon Style實體店面主要用於展示流行服飾和提供顧客試穿服務，包括男女服裝、鞋子和配飾等。儘管不像先前Amazon Go商店強調無人購物結帳，這間店還是配有店員，但也引進不少新科技，像是消費者看到想試穿服飾，只須用手機App刷一下衣服下方的QR碼，依序選擇大小尺寸、顏色後，挑選的衣服就會自動送到試衣間，顧客根據手機收到的房號就能前往試穿。</p> <p>試穿室中還會有一個觸控螢幕，讓使用者繼續瀏覽其它選項，例如要求送來其它尺寸或是Amazon根據消費者喜好所推薦的服飾。試穿後決定要買也能一鍵直送結帳櫃臺。</p> <p>所有出現在Amazon Style店內服裝都來自Amazon線上商店，，而且價格也一樣，消費者可以線上購買並到店內試穿。</p> <p>這家時裝店也將加入Amazon實體店的陣容，截至目前Amazon在美國西雅圖、芝加哥、舊金山和紐約等城市開設了24家Amazon Go無人店，提供各種食品、飲料、零食和日常必需品，還有經營大型生鮮超市Amazon Fresh。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Azure Sphere </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 物聯網安全平臺 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>微軟因品質問題取消新版Azure Sphere OS更新，強調不影響其產品安全性</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963%EF%BC%9A%E5%9C%963_IoT%E9%9B%99%E5%91%A8%E5%A0%B1(1).png" style="width: 600px; height: 297px;" /></p> <p>原訂要在 1 月 26 日發布新版Azure Sphere OS，但微軟卻突然無預警取消更新，微軟後來解釋，之所以臨時取消這次更新發布，是遇到品質問題。</p> <p>Azure Sphere是一個結合安全晶片、作業系統與Azure Sphere雲端服務的物聯網安全平臺，自2020年初推出上線以來，歷經多次版本和功能更新。</p> <p>原訂最新一版22.01更新，是在今年1月26日推出上線，但到了當天卻臨時取消更新，引起外界的揣測。微軟在官方技術社群部落格宣布取消更新同時也提出解釋說明，是因為Azure Sphere OS團隊推出更新前收到客戶回報，發現使用ENC28J60乙太網路模組進行Internet連接時，系統更新過程中容易出現網路連線異常而無法更新的狀況。基於服務品質要求，該公司決定取消此次更新發布，同時著手展開調查。</p> <p>微軟強調，22.01版本不包含重要的安全更新，此次取消不會影響基於Azure Sphere產品的安全性。新版本預計延後到2月中發布，版本也跳過22.01改為22.02。</p> <p> </p> <p><strong>攝影／余至浩　圖片來源／亞馬遜</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多IoT動態 </span></strong></span></strong></p> <p><strong><strong>1. 發行憑證的DigiCert買下工業物聯網安全業者Mocana發展IoT安全憑證</strong></strong></p> <p><strong><strong>2.IDC預估2022年全球邊緣運算市場規模上看1,760億美元，較去年增長近2成 </strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年2月</strong></strong></p> </div></div></div>
2022/2/17 08:48作者余至浩https://www.ithome.com.tw/news/149407
【資安日報】2022年2月16日，駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用惡意軟體Squirrelwaffle，並鎖定Exchange漏洞ProxyLogon、ProxyShell發動BEC攻擊的情況，曾於2021年下半出現，但最近再傳出相關事故，使得研究人員提出警告，IT人員不光是要儘速修補Exchange伺服器相關漏洞，還要檢查是否已被入侵的跡象。</p> <p>近期非同質化代幣（NFT）引起各界關注，也成為駭客用來發動攻擊的誘餌，值得留意的是，攻擊者的試算表檔案裡，疑似含有與投資NFT標的有關的資料，而很容易讓受害者掉以輕心。</p> <p>攻擊者利用惡意軟體MyloBot，竟是為了在受害電腦站穩腳根，然後傳送勒索訊息！研究人員指出，駭客日後很有可能會利用MyloBot，在受害電腦投放其他惡意軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/02/15/vulnerable-exchange-server-hit-by-squirrelwaffle-and-financial-fraud/"><span style="color: rgb(0, 0, 0);">駭客利用惡意軟體Squirrelwaffle與Exchange重大漏洞，進行金融詐欺攻擊</span></a></strong></h3> <p>又是駭客意圖利用Exchange重大漏洞，以及惡意軟體Squirrelwaffle來發動商業電子郵件詐騙（BEC）的攻擊事故。資安業者Sophos揭露一起BEC攻擊事故，駭客鎖定尚未修補ProxyLogon、ProxyShell漏洞的Exchange伺服器，並大量散布Squirrelwaffle，駭客在員工既有的電子郵件串裡，植入惡意的回覆內容（Email Thread Hijacking），來進行BEC攻擊，導致受害組織轉帳給駭客，所幸其中一家金融機構察覺異狀進行攔截，使得駭客沒有得逞。</p> <p>研究人員指出，組織的IT人員不只要為Exchange伺服器安裝相關修補程式，還要檢查是否遭到植入Web Shell，才能避免成為這種攻擊手法的受害者。</p> <p><span style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/nft-lure-used-to-distribute-bitrat"><span style="color: rgb(0, 0, 0);"><strong>駭客以NFT為誘餌，散布木馬程式BitRAT</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/img1(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/img1(1).png" style="width: 300px; float: right;" /></a>非同質化代幣（NFT）當紅，多項創作以高價賣出，引起許多人的目光，不少企業搶進這塊市場，但在此同時，駭客也透過這樣的話題做為誘餌，散布木馬程式。資安業者Fortinet發現相當特別的Excel檔案「NFT_Items.xlsm」，內含2個試算表，其中1個使用希伯來語。該檔案列出近20項NFT標的，以及單價、存貨數量、投資Discord聊天室的連結等資訊，疑似針對以色列NFT投資人而來。一旦受害者開啟這個檔案，並依照指示啟用巨集後，電腦就會被植入BitRAT木馬程式。</p> <p>該木馬程式可從受害電腦的應用程式竊取帳密、挖掘門羅幣、側錄用戶鍵盤輸入的內容，甚至能讓駭客使用麥克風聽到用戶的聲音。研究人員警告，這種以NFT為愰子的攻擊手法，近期很有可能會不斷出現。</p> <p><span style="font-size: 22px;"><a href="https://blog.minerva-labs.com/mylobot-2022-so-many-evasive-techniques-just-to-send-extortion-emails"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體MyloBot捲土重來，採用極為迂迴的方法規避偵測</strong></span></a></span></p> <p>駭客散布惡意軟體，目的有可能是為了發送勒索訊息來牟利。資安業者Minerva針對自2018年出現惡意軟體MyloBot進行研究，並指出使用此惡意軟體的駭客近期調整做法，宣稱受害者因瀏覽色情網站電腦遭到監控，索討2,732美元（新臺幣76,919元）的比特幣做為封口費，否則就要將相關資料發送給對方的親朋好友。</p> <p>研究人員指出，MyloBot具備多種規避偵測的機制，如檢測是否在虛擬機器（VM）或沙箱的環境，並使用<a href="https://attack.mitre.org/techniques/T1055/012/">處理程序空心化（Process Hollowing）</a>的處理程序注入手法，於受害電腦上運作，而難以被防毒軟體發現，日後很有可能會被用來當作後門，傳遞各式惡意軟體。</p> <p><span style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/blackcat-alphv-claims-swissport-ransomware-attack-leaks-data/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Black Cat攻擊機場地勤服務業者Swissport，聲稱竊得1.6 TB資料</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-leak-page.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-leak-page.jpeg" style="width: 200px; float: right;" /></a>又有企業成為勒索軟體Black Cat（亦稱Alphv）的受害者。機場地勤服務業者Swissport於2月4日表示，他們的IT基礎設施遭到勒索軟體攻擊，災情已得到控制，該公司正逐步系統運作。但攻擊者的身分為何？根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客Black Cat將Swissport列入受害者名單，並打算求售竊得的1.6 TB資料。這些資料包含了護照、內部資料，以及應徵者的個資等。</p> <p>由於Swissport在全球擁有6.6萬名員工，每年處理2.8億人次的旅客和480萬公噸的行李，這起攻擊事件很可能會對全球的旅遊業帶來衝擊。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.proofpoint.com/us/blog/threat-insight/charting-ta2541s-flight"><span style="color: rgb(0, 0, 0);">駭客組織TA2541鎖定交通與國防產業下手，散布木馬程式</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screen Shot 2022-02-09 at 9_15_21 AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-02-09%20at%209_15_21%20AM.png" style="width: 300px; float: right;" /></a>APT駭客鎖定特定產業，且數年採用類似的誘餌發動攻擊，持續散布RAT木馬程式。資安業者Proofpoint指出，他們自2017年開始追蹤駭客組織TA2541的攻擊行動，該組織長年鎖定航空、運輸、國防等產業，多半使用與運輸相關的事由，如貨物交付事宜、航班、包機等名義，發動釣魚郵件攻擊，進而在受害電腦植入AsyncRAT、NetWire、WSH RAT等十餘木馬程式。</p> <p>這個組織初期透過含有惡意巨集的Office文件，挾帶木馬程式，但近期則是透過存放於Google Drive、OneDrive的Visual Basic程式碼（VBS），於文字檔案共站平臺（如Pastetext、GitHub）下載木馬程式到受害電腦。自2021年底開始，駭客開始採用即時通訊軟體Discord做為散布木馬的媒介。研究人員表示，該組織持續使用相似的手法（TTP）發動攻擊，但目的為何？目前仍不明朗。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/ukrainian-military-agencies-banks-hit-by-ddos-attacks-defacements/"><span style="color: rgb(0, 0, 0);">烏克蘭國防部與2家國營銀行，驚傳遭到DDoS攻擊</span></a></strong></span></p> <p>烏克蘭與俄羅斯的軍事情勢緊張，繼1月中旬發生烏克蘭數十個政府機關遭到攻擊之後，最近又有事故傳出。烏克蘭國防部指出，自2月15日下午開始，當地多個組織的網站遭到DDoS攻擊而服務中斷，這些機關包含了國防部、武裝部隊，兩家國營銀行Privatbank及儲蓄銀行Oschadbank。此外，Privatbank的客戶一度出現無法存取網路銀行，或是存款金額、交易記錄錯誤的情況。至於攻擊者的身分，則有待進一步調查。</p> <p><span style="font-size: 22px;"><strong><a href="https://tw.appledaily.com/local/20220207/3TAFE6E2CRFQDNI7PGXKLKDINQ/"><span style="color: rgb(0, 0, 0);">臺灣隱形眼鏡製造商晶碩製程機密遭前員工竊取，險外流中國</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/XF4HY7FVPJCIFAFSGGSTNQLRUY.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/XF4HY7FVPJCIFAFSGGSTNQLRUY.png" style="width: 300px; float: right;" /></a>中國隱形眼鏡業者宣布轉型，將自行裝造相關產品，並宣稱核心團隊來自臺灣代工業者晶碩光學，背後疑似是晶碩員工意圖帶槍投靠，竊取公司的機密。</p> <p>桃園地檢署、臺北市調查處於2月7日宣布，破獲一起員工竊取營業秘密的案件，隱形眼鏡大廠晶碩光學公司前主管前生產處長黃振瑞涉嫌於離職後，以陸資成立金目科技公司，挖角前東家3名工程師，並竊取晶碩的隱形眼鏡模具相關技術，欲製作模具於2021年12月，輸往中國成立「紅包供應鏈」，供金目公司之幕後金主──上海目荻公司及廈門愛睿思公司使用，所幸檢方即時攔截未果。</p> <p>全案依違反《營業秘密法》等罪，將黃男和同夥等4人提起公訴。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/2/16 17:26作者周峻佑https://www.ithome.com.tw/news/149398
Cloud周報第135期：2021年CNCF雲原生大調查出爐，31%後端開發人員使用K8s
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（2022/02/10～2022/02/16）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CNCF基金會 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 雲原生開發 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> K8s採用 </span></strong> </p> <p><span style="font-size: 22px;"><strong>2021年使用K8s的開發人員達560萬名，年成長高達67%</strong></span></p> <p>CNCF基金會近日公布雲原生開發現狀報告，調查了全球超過3千家企業或組織，其中逾2成是規模超過5千人的大型企業。過去一年，K8s採用度大幅成長，如今有560萬名開發人員使用K8s，相比2020年成長高達67%，在後端開發人員的族群中，占比達31%。根據調查，有高達79%的開發人員使用經過認證的K8s代管平臺，其中，最多人使用的是AWS Elastic Container Service for Kubernetes，占比達39%，其次是Azure Kubernetes Service，有23%，再來是占比17%的Azure Engine。CNCF技術長Chris Aniszczyk表示，K8s從一個小眾技術，如今發展為如此普遍的東西，以至於人們甚至不知道正在使用基於K8s技術開發的產品。</p> <p>另外，CNCF也調查了無伺服器技術的採用狀況，有39%的受訪開發者採用無伺服器技術，其中75%使用代管平臺無伺服器服務，相比前一年增加24%，其中，最多人使用AWS Lambda，占比達74%，而Azure Functions居次，達39%。<a href=" https://www.cncf.io/reports/cncf-annual-survey-2021/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 威脅偵測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VM防護 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google雲端安全指揮中心現可偵測VM威脅，防止加密和勒索軟體等攻擊</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2(69).jpg" style="width: 600px; height: 218px;" /></strong></span></p> <p>Google為雲端安全指揮中心（SCC）添加VM威脅偵測功能，可以進行無代理記憶體掃描，偵測Google雲端VM中的惡意軟體。VM威脅偵測功能聚焦保護雲端平臺免受挖礦、資料洩漏和勒索軟體等攻擊，與一般的端點安全解決方案不同，不仰賴在訪客VM安裝軟體代理，來偵測威脅，而是透過安裝在底層的VM協調軟體，從底層收集威脅的訊號。Google表示，不在執行實例安裝代理，對效能影響更小，而且可減少部署和管理代理的負擔，減少曝露的攻擊面。</p> <p>根據Google研究發現，86％感染的雲端執行實例，會用於執行加密貨幣開採中。有鑑於此，新功能除了可以偵測資料洩漏和勒索軟體等攻擊，也能夠發現加密貨幣挖礦的威脅。VM威脅偵測功能目前處預覽階段，接下來會整合Google雲端其他功能，而Google強調，該功能不會處理機密運算節點的記憶體。<a href="https://cloud.google.com/blog/products/identity-security/virtual-machine-threat-detection-in-security-command-center">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> AMD EPYC </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 高運算需求 </span></strong></p> <p><strong style="font-size: 22px;"><strong>主打效能， Google再推出效能更高的第3代AMD EPYC處理器新運算實例C2D，最高可配置112個vCPU</strong></strong></p> <p>繼T2D和N2D執行實例後，Google再次發布採用第三代AMD EPYC處理器的運算最佳化執行實例系列C2D，效能比T2D和N2D更高，可供有高效能運算需求的用戶，執行記憶體密集和運算密集的工作負載。C2D實例使用的新一代AMD EPYC處理器，擁有更新的Zen 3微架構，能提供優化的運算效能，並且新實例支援持久型磁碟、進階網路、壓縮放置政策，還有單租戶節點等功能。這款實例最高可配置112個vCPU、896 GB記憶體和3TB的本地SSD，分為標準、高CPU和高記憶體3種主要配置，每一種配置都提供7種機器類型。</p> <p>除了可用於記憶體密集的工作負載，因C2D具有高CPU也可用於運算密集的工作負載，像是高效能網頁伺服器、多媒體轉碼和3A級遊戲系統。接著，Google也會在C2D上提供機密運算。Google現已經在全球多個雲端地區推出C2D執行實例，包含臺灣、新加坡、美國南加州、荷蘭等地區上線，接下來幾個月會繼續在其他地區推出。<a href=" https://cloud.google.com/blog/products/compute/introducing-compute-optimized-vms-on-amd-epyc-milan">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AMD EPYC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 運算優化實例 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>強調性價比，AWS也推出搭載第3代AMD EPYC處理器的運算優化實例，主打性價比相比前一代實例減少15% </strong></strong></p> <p>就在Google宣布推出新實例C2D不久後，AWS近日也宣布推出搭載第三代AMD EPYC處理器的最新運算優化實例C6a，提供用戶處理運算密集型的工作負載，例如廣告服務、機器學習、多玩家遊戲等。AWS表示，與C5a實例相比，新實例的性價比提高15%，並且相比基於x86的同類EC2實例，成本減少1成。新實例總共有10款尺寸供選擇，最多提供高達50Gbps網路頻寬，以及40Gbps的Amazon EBS區塊儲存用量。</p> <p>為了提升實例的安全性，C6a實例採用AMD透明單金鑰記憶體加密（TSME），提供永遠在線的記憶體加密功能，並支援用於加速加密和解密演算法的新AVX2指令。新的運算優化實例目前先在3個AWS雲端地區推出，包含美國維吉尼亞北部、美國俄勒岡州和愛爾蘭。<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-c6a-instances-powered-by-3rd-gen-amd-epyc-processors-for-compute-intensive-workloads/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> SAP上雲 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> Rise with SAP </span></strong></p> <p><strong style="font-size: 22px;"><strong>IBM宣布成為Rise with SAP首家雲端合作業者，提供SAP S/4HANA雲端代管服務</strong></strong></p> <p>IBM近日宣布成為SAP統包式軟體訂閱服務Rise with SAP的第一家雲端供應商合作業者，提供該訂閱服務的代管、系統上雲整合及顧問服務。因應企業軟體雲端化趨勢，去年初SAP打包核心產品S/4HANA，還有數據管理、API、機器學習及RPA等工具，推出訂閱服務Rise with SAP，協助企業搬遷本地部署的SAP ERP上雲。IBM成為RISE with SAP的頂級供應商後，會提供SAP用戶雲端基礎架構，轉移SAP本地部署環境到IBM雲上，並提供S/4HANA等產品的代管服務。</p> <p>企業使用RISE with SAP除需先模組化既有SAP系統，才能搬遷系統上雲外，還需部署混合雲環境，為此，IBM也推出顧問規畫服務BREAKTHROUGH with IBM for RISE with SAP，提供涵蓋系統搬遷、流程規劃、實際實作及系統整合的顧問服務，完全接手企業搬遷SAP本地部署環境上雲的工程。IBM表示，企業也可以選擇將SAP S/4HANA搬到其他公有雲。<a href="https://newsroom.ibm.com/2022-02-10-IBM-and-SAP-Strengthen-Partnership-to-Help-Clients-Move-Workloads-from-SAP-R-Solutions-to-the-Cloud">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 容器化服務 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> VPC </span></strong> </p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">AWS容器化服務App Runner新增VPC連接器，可連接應用至VPC資料庫</span></strong></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3(51).jpg" style="width: 600px; height: 448px;" /></p> <p>AWS更新容器化服務APP Runner，用戶可以將利用APP Runner建立的應用程式和API，連接託管在VPC的資料庫和應用程式。過去用戶需要透過網際網路，才能將APP Runner應用程式或是API，與AWS服務連接，如今，可以直接經過VPC，連接RDS、ElastiCache、EKS、EC2等服務。現用戶可以在APP Runner中建立VPC連接器，指定私有網路的VPC、子網路和安全群組，待配置完成後，可以使用VPC連接器連接一個或多個APP Runner應用程式。</p> <p>另外，用戶也可以設置VPC終端節點來連接AWS API，像是S3和DynamoDB，以避免NAT網路流量。AWS說明，App Runner的VPC連接器運作方式，與Lambda中的VPC網路相似，是以AWS服務和資源背後使用的網路功能虛擬化系統Hyperplane所建立。目前所有提供App Runner服務的AWS地區，都已經可以使用這項VPC連接器功能。<a href="https://aws.amazon.com/tw/blogs/aws/new-for-app-runner-vpc-support/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 物件儲存 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 批次複製 </span></strong></span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;">AWS為物件儲存服務S3新增批次複製功能，可複製儲存庫現有物件建立災難復原配置</span></strong></p> <p>AWS在物件儲存服務S3新增批次複製功能，用戶可以複製現有S3物件，並在儲存桶間同步資料，建立災難復原配置或是轉移資料。新的批次複製功能是以S3批次操作為基礎建置，補充了原有S3複製的不足，可以複製現有物件到同地區或是跨地區的儲存桶。用戶可以提供要複製的物件列表，或是指定來源儲存桶以及過濾器，像是物件建立日期和複製狀態，由S3建立複製列表，來啟用S3批次複製，再將資料從來源儲存桶複製到一個或是多個目標，藉此複製任意數量的物件。</p> <p>這項新功能與其他S3批次操作類似，用戶可以查看複製進度，並且在任務完成之後，收到詳細的報告，查看每個物件完成複製後的狀態。目前S3批次複製已經在所有AWS地區上線，用戶需要支付跨地區請求和資料傳輸的複製、批次操作費用，如果由S3產生複製列表，則還需支付清單生成費用。<a href="https://aws.amazon.com/tw/blogs/aws/new-replicate-existing-objects-with-amazon-s3-batch-replication/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SRE </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line臺灣 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 可觀察性平臺 </span></strong></span></p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">從音樂、購物到新聞入口等服務維運監控都靠它，Line臺灣百億筆遙測數據的可觀察性平臺架構大公開</span></strong></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4(31).png" style="width: 600px; height: 338px;" /></p> <p>Line臺灣SRE團隊去年順利打造可觀察性平臺，提供各專案團隊監控服務的運作狀態，包含Line Today、Line購物、Line音樂、官方帳號Plus等8大服務，都靠該平臺監控系統，及早發現系統錯誤，減少意外事件。可觀察性平臺是Line臺灣SRE團隊自2020年成立以來，聚焦開發的第一個專案團隊維運共用工具，參考CNCF孵化專案Open Telemetry的可觀察性標準協議，從軟體系統可觀察性的3大面向：指標（Metric）、日誌（Log）和鏈路追蹤（Trace）著手，打造而成。</p> <p>SRE團隊利用開源分析暨視覺化應用Grafana的單一託管實例，提供各專案團隊共用的監控平臺，並用Grafana建立了750個儀表板，還有整合200個資料源。此外，SRE團隊選用反向代理工具Traefik，提供託管負載平衡Ingress Controller服務給各專案，接著，流量從各專案專用節點的Ingress Controller，進入K8s叢集，再通過已整合的指標、日誌和鏈路追蹤配置，收集各項標準化監控數據。</p> <p>根據Line臺灣統計，可觀察性平臺每小時收集3億條日誌，相當於每周400億條日誌，而時間區段內的量化數據指標，每小時則達1,600萬筆，還有鏈路追蹤每小時累積2億筆資料，一周下來，達200億條鏈路。截至今日，該平臺已收集超過百億則監控數據，包含30TB日誌、60TB指標，還有20TB鏈條追蹤。 <a href="https://ithome.com.tw/news/149317">（詳全文）</a></p> <p>圖片來源／ CNCF基金會、Google雲端、AWS、Line臺灣</p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></span></strong></p> <p>1. 微軟調整災害復原服務Azure Site Recovery恢復點保留時間，從72小時延長至15天，協助處理勒索軟體威脅<a href=" https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-365-enterprise-february-2022-updates/ba-p/3131550">（詳全文）</a></p> <p>2. Google Cloud SDK將Node.js 10移至維護模式，3月起僅提供嚴重錯誤和安全修復的支援<a href="https://cloud.google.com/blog/products/application-development/google-cloud-sdk-moves-nodejs-10-to-maintenance-mode">（詳全文）</a></p> <p>3. AWS優化Amazon EFS讀取效能，平均延遲降至600微秒，新、舊EFS檔案系統都可獲加速更新<a href="https://aws.amazon.com/tw/blogs/aws/amazon-elastic-file-system-update-sub-millisecond-read-latency/">（詳全文）</a></p> <p>4. Google雲端語音轉文字API加入視覺化介面，簡化使用API建置應用程式和服務的過程<a href="https://cloud.google.com/blog/products/ai-machine-learning/google-clouds-new-visual-interface-for-speech-to-text-api">（詳全文）</a></p> <p>資料來源：iThome整理，2022年2月</p> </div></div></div>
2022/2/16 17:50作者黃郁芸https://www.ithome.com.tw/news/149401
英特爾終於擁抱開源硬體，正式加入RISC-V社群推動商用化發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>處理器龍頭英特爾近日正式加入RISC-V International組織（前身為RISC-V基金會），將與 Google、WD、SiFive、晶心科技並列，成為該組織的頂級會員。在加入之後，英特爾未來將共同主導RISC-V開源技術發展的方向，也將貢獻其在x86架構的專業知識與設計優化經驗，及提供開源軟體開發平臺，來協助推動RISC-V技術及生態的發展。</p> <p>自從去年初宣布IDM 2.0新戰略後，在新CEO領軍下，英特爾布局動作頻頻，不只對外積極招兵買馬，還重砸百億美元大幅擴廠提高產能，朝向晶圓代工服務商來轉型，除了x86、Arm架構，甚至開始擁抱近年來火紅的RISC-V開源指令集硬體架構，大力投資和布局 RISC-V處理器的相關技術，就是為了要補足英特爾轉型晶圓代工服務（IFS）的重要一塊拼圖，打造世界級的晶圓代工業務，以便能提供支援RISC-V產品在內的代工服務。</p> <p>其實早在幾年前，英特爾就已出資協助RISC-V業者推向市場，直到去年中，英特爾更找上 RISC-V新創SiFive合作，使用其技術來實作7奈米RISC-V處理器開發平臺，提前向開發人員和製造商客戶展示其性能，並在去年成功推出以RISC-V架構打造的Nios V處理器。</p> <h3><strong>英特爾擁抱開源，正式加入RISC-V開源社群</strong></h3> <p>英特爾決定加入RISC-V開源社群，成為RISC-V International 組織的重要成員，更是為了要讓自己能夠掌握RISC-V技術發展以及取得最新設計架構，來加快推出適合不同市場的CPU產品代工服務，從嵌入式到高效能處理器等。</p> <p>2015年成立的RISC-V International組織，截至目前，其成員涵蓋各大軟硬體廠商，包括 Google、IBM、三星、高通、聯發科、Nvidia、WD等，還有各大開源社群、組織及個人等多達 2,000個會員加入。</p> <p>雖然英特爾不是第一家加入的伺服器CPU大廠，但是身為全球CPU晶片龍頭，有了英特爾的加入，無疑是替RISC-V 發展注入強心針。尤其，強調設計彈性的RISC-V處理器的發展，雖然近年來備受重視，成了媲美主流技術的新選擇，但因為大多僅是輔助用途，而非當作最主要的CPU來使用，因而限制了RISC-V處理器在市場上的發展與應用。</p> <p>在加入後，英特爾未來將和Google、WD、SiFive、晶心科技等公司並列，成為RISC-V International組織的頂級會員，將共同主導RISC-V發展的方向。英特爾IFS客戶解決方案工程副總裁 Bob Brennan將成為董事會重要一員，實際參與組織的重要運作與事務，還加入技術指導委員會。英特爾也將貢獻在x86 架構CPU設計專業知識與優化經驗，還將提供旗下IFS代工服務事業群所打造的一個開源軟體開發平臺，可供產業、學術機構及合作夥伴，用於RISC-V 晶片軟體專案的實驗。</p> <p>除了加入RISC-V社群，英特爾透露將提供三類RISC-V產品代工及服務，包括採用IFS技術製造的合夥產品、RISC-V處理器核心IP授權，以及採用RISC-V架構打造的小晶片（Chiplet），更宣布投入10億美元的資金建立RISC-V產品在內的創新代工生態系。</p> <p>目前該公司旗下IFS代工服務部門，正在與多家RISC-V晶片業者展開合作，包括SiFive、Esperanto Technologies、Ventana Micro Systems以及臺灣的晶心科技等，來持續優化製程工藝和封裝技術，確保生產出最佳效能的RISC-V產品，以縮短其客戶上市時間。</p> </div></div></div>
2022/2/16 17:46作者余至浩https://www.ithome.com.tw/news/149400
印度再封鎖54款中國程式，冬海集團中箭落馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/138506" target="_blank">從2020年中開始封鎖中國行動程式的印度</a>，本周傳出再執行另一波的封鎖行動，<a href="https://twitter.com/barandbench/status/1493107391537479680" target="_blank">總計封鎖了54款中國程式</a>，當中最受歡迎的是《Garena’s Free Fire: Illuminate》遊戲，其開發商為擁有騰訊資金的冬海集團（Sea Limited），總部設於新加坡的冬海也打造了知名的蝦皮商場，被視為是東南亞市值最高的數位平臺。</p> <p>印度政府並未針對此次的封鎖行動作出解釋，但前幾次皆宣稱這些程式可能危害印度的國家安全，迄今印度已封鎖超過300款中國程式，從TikTok、微信、百度地圖、百度搜尋到支付寶都未能倖免於難。</p> <p><a href="https://techcrunch.com/2022/02/13/india-ban-china-apps/" target="_blank">根據《TechCrunch》的報導</a>，印度政府已要求App Store及Google Play下架這54款程式，而Google亦已向該報證實收到印度政府的請求，並將遵循此一命令。</p> <p>這次的封鎖事件之所以會再度浮上檯面，是因為它涉及了冬海集團，一來冬海算是新加坡業者，二來冬海所發行的《Garena’s Free Fire: Illuminate》遊戲，在全球的7,500萬名玩家中，就有超過4,000萬名位於印度。</p> <p>消息傳出後，冬海在紐約股市的價格從150美元重挫至130美元，股價下滑15%。</p> <p>冬海集團也在印度推出了蝦皮商場，而蝦皮並未被列在此次的封鎖名單中，不過也有人揣測這應該只是早晚的問題。</p> </div></div></div>
2022/2/16 16:28作者陳曉莉https://www.ithome.com.tw/news/149395
祖克柏描繪Meta全新價值觀：Meta、Metamates、Me
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大社交平臺臉書（Facebook）在去年10月宣布更名為Meta，以向新一代的元宇宙（Metaverse）邁進，本周臉書創辦人祖克柏（Mark Zuckerberg）首度在更名後，<a href="https://www.facebook.com/zuck/posts/10114316913387601" target="_blank">揭露了Meta作為一家企業的全新價值觀與文化</a>，包括快速行動（Move Fast）、關注長期的影響力（Focus on Long-Term Impact）、打造很棒的事物（Build Awesome Things）、活在未來（Live in the Future ）、率直並尊重同事（Be Direct and Respect Your Colleagues），也列出了工作應有的優先順序是Meta（公司）、Metamates（同事）與Me（自己）。而外界及Meta員工對於這番話有各自不同的解讀。</p> <p>祖克柏認為在公司內部培養同樣的價值觀有助於推動公司的發展，指出快速行動將讓Meta的員工在建置與學習上都比其他人還快，並進一步說明這代表大家動作要快一點，今天能做的事不要留到下周。</p> <p>不過，祖克柏也鼓勵員工應該要關注長期的影響力，而非著眼於短期的勝利；不要僅滿足於建置好的事務，而是要打造令人驚豔的產品；抱持著活在未來的心態才能建置出未來的分散式工作模式，並成為自家服務的早期採用者；期望員工能以既直率又尊重的態度與同事互動。</p> <p>受到熱烈討論的就是最後的Meta、Metamates、Me。人們經常以以公司名稱來描述職業，例如在Google工作的稱為Googlers，在Amazon工作的稱為Amazonians，Yahoo員工稱為Yahoos，以前臉書的員工被稱為Facebookers，而現在祖克柏則稱Meta的員工為Metamates。</p> <p>根據<a href="https://www.nytimes.com/2022/02/15/technology/metamates-meta-facebook.html" target="_blank">《紐約時報》（The New York Times）</a>的報導，Meta內部對於企業價值觀的更新有著不同的反應，有些認為這是個新鮮的開始，也有人不以為然，認為祖克柏喊出的是軍事口號，也有人說祖克柏其實只是要員工服從。</p> <p><a href="https://www.washingtonpost.com/technology/2022/02/15/facebook-meta-metamates/" target="_blank">《華盛頓郵報》（The Washington Post）</a>則說祖克柏的精神喊話被員工嘲笑，有員工認為那是一種洗腦。而<a href="https://gizmodo.com/facebook-employees-are-now-called-metamates-metamates-1848543792?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">《Gizmodo》的編輯</a>直接說Metamates真的是個很愚蠢的名字。</p> <p><a href="https://twitter.com/boztank/status/1493661545426870277" target="_blank">Meta技術長Andrew Bosworth</a>解釋，「Meta、Metamates、Me」源自於海軍用語「Ship、Shipmates、Self」，亦即出任務時的優先順序應該是船、同伴，最後才是自己，結果有員工問說：「這是否代表我們處在一艘正在下沈的船上？」</p> <p>不論如何，身為最新科技的前鋒，不管元宇宙未來的發展如何，或者Meta將在其中扮演什麼樣的角色，在過程中似乎難逃被嘲笑的命運。</p> </div></div></div>
2022/2/16 16:50作者陳曉莉https://www.ithome.com.tw/news/149397
內政部推行動自然人憑證，讓個人手機化身自然人憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府推動自然人憑證走向行動化。內政部今天(2/16)推出行動自然人憑證App，手機或平板電腦只要安裝App並完成註冊後，未來不需再插自然人憑證實體卡，就能利用行動裝置的指紋或臉部辨識，通過身分識別或網路簽名，申辦報稅等政府服務。</p> <p>行動自然人憑證App是將自然人憑證行動化，具備行動身分識別，以及自然人憑證的電子簽章功能，讓擁有自然人憑證的用戶，不需使用電腦搭配讀卡機插卡，突破自然人憑證實體卡的使用限制。</p> <p>內政部強調，行動自然人憑證App已通過經濟部工業局安全標章第三級，符合國際FidO 2.0標準，並達到LoA3的數位身分驗證標準。而民眾使用指紋或臉部辨識，為行動裝置上儲存的個人生物特徵，取代輸入帳號密碼，兼顧方便與安全性。</p> <p>要使用行動自然人憑證，用戶必需先在手機、平板電腦安裝行動自然人憑證App，再以電腦連至「行動自然人憑證」平臺，以自然人憑證實體卡進行註冊，並以行動自然人憑證App掃描電腦顯示的QR Code，再根據引導資訊，以指紋、臉部辨識等生物特徵進行認證，經過確認後完成驗證即完成註冊。之後就能以行動自然人憑證App，通過指紋或臉部辨識，取代自然人憑證或帳號密碼，登入網站。</p> <p>值得注意的是，用戶可以註冊綁定多臺個人使用的行動裝置，也可以透過登入網站，瀏覽已綁定的裝置，選擇想要停用或廢止已綁定裝置的憑證。</p> <p>目前內政部的行動自然人憑證已和報稅、MyData平臺、健保網路服務平臺等56個系統介接，民眾使用這些政府服務，不需再記憶帳號密碼。</p> </div></div></div>
2022/2/16 16:59作者蘇文彬https://www.ithome.com.tw/news/149396
英特爾宣布將以54億美元買下以色列晶圓代工業者Tower Semiconductor
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/149378" target="_blank">前一天《華爾街日報》</a>才引用消息來源報導，英特爾（Intel）打算以接近60億美元的價格，買下以色列的晶圓代工廠Tower Semiconductor，<a href="https://www.intel.com/content/www/us/en/newsroom/news/feb-2022-corporate-news.html" target="_blank">英特爾便於15日正式宣布</a>，已與Tower Semiconductor簽署併購協議，準備以每股53美元收購Tower Semiconductor，總價約為54億美元。</p> <p>在消息曝光之後，Tower Semiconductor於15日的股價上漲了42.08%，以47.07美元作收。</p> <p>英特爾表示，此一交易將強化該公司的IDM 2.0策略，進一步擴張其晶片生產能力、全球的足跡與技術，以因應全球市場的需求。</p> <p>IDM的全名為Integrated Device Manufacturer（整合元件製造），指的是從晶片設計、製造、封裝測試到銷售的垂直整合半導體公司，英特爾則是IDM領域的翹楚，但在製造晶片的技術上落後台積電等業者，在全球晶片供不應求的這兩年，英特爾發表了IDM 2.0策略，並<a href="https://www.ithome.com.tw/news/143423" target="_blank">設立晶圓代工服務事業群（Intel Foundry Services，IFS）</a>。</p> <p>至於Tower Semiconductor則專精於行動、汽車與電力等市場的晶片製造，在德州、以色列、義大利與日本都設有工廠，每年提供超過200萬片的晶圓。</p> <p>英特爾晶圓代工服務事業群總裁Randhir Thakur表示，Tower與IFS將攜手於全球提供各種代工解決方案，以實現客戶的抱負。</p> <p>雙方董事會已無異議地通過此一交易，但仍需經過主管機關的核准，預計於12個月內完成交易。</p> </div></div></div>
2022/2/16 15:30作者陳曉莉https://www.ithome.com.tw/news/149393
Chrome擴充程式L.O.C被懷疑存取用戶臉書資料，遭Brave及Meta封鎖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一項熱門Chrome擴充程式可能存取臉書而洩露用戶個人資料，遭到瀏覽器業者Brave封鎖，以及臉書母公司Meta的禁止。</p> <p>遭到封鎖的是L.O.C，<a href="https://chrome.google.com/webstore/detail/loc/eojdckfcadamkapabechhbnkleligand" target="_blank">它是一個集結多種自動化工具的App</a>，可協助臉書用戶一次變更大量臉書貼文，掃視個人臉書動態牆上的友人互動、管理交友呼叫、清點並下載用戶和友人的訊息、尋找用戶加入過的群組、按過讚的粉絲專頁、或是移除和友人的連結等。這項擴充程式下載次數約為70萬。</p> <p><a href="https://github.com/brave/extension-whitelist/issues/48" target="_blank">Brave安全開發人員Francois Marier說明</a>，如果使用者已經登入臉書，則安裝這個程式會自動允許第三方伺服器存取用戶臉書內容。它使用的API在發出存取令牌（access token）前，不會觸發臉書顯示同意提示對話框。</p> <p>Marier引述L.O.C的授權說明，安裝這款程式將使其取得臉書及messenger.com等網站的讀取、寫入許可。之後它會對<a href="https://business.facebook.com/creatorstudio/home" target="_blank">臉書Creator Studio</a>發送呼叫並且建立新的存取令牌（user access token），這個憑證讓App經由呼叫API讀取或修改臉書個人檔案。原本臉書規定，要這麼做App應取得用戶同意。然另一方面，用戶在其臉書帳號下卻無從發現新增的存取令牌。</p> <p>此外L.O.C還警告用戶安裝後，他們的臉書帳號可能會因此被暫時被封鎖，因這是臉書管制措施的一部份。</p> <p>為此Brave將L.O.C加入黑名單，以防止用戶安裝。</p> <p class="rtecenter"><img alt="" src="https://user-images.githubusercontent.com/167821/152625619-e13730ab-8094-4eb4-a079-1bf54aec641d.png" style="width: 524px;" /></p> <p><span style="color:#696969;">圖片來源／Brave</span></p> <p><a href="https://www.theregister.com/2022/02/12/facebook_god_mode/" target="_blank">不過L.O.C開發人員Loc Mai對媒體喊冤</a>。Mai指出它產生的令牌是存在裝置本身，並不會分享給其他人。而且除了付費功能用戶外，他的擴充程式並沒有蒐集任何用戶資料，他對付費用戶也只蒐集UID。</p> <p>Google仍允許這款程式在Chrome擴充程式商店上架，不過The Register報導，L.O.C已被臉書/Meta禁止，且Meta也告知他未經用戶同意傳輸和分享用戶資料，以及買、賣或交易用戶活動如按讚、分享數等數據。</p> <p>程式作者一概否認，但他表示如果臉書沒那麼「鴨霸」或清楚說明其程式帶來何種危害，他會考慮將這款程式移除。</p> </div></div></div>
2022/2/16 15:56作者林妍溱https://www.ithome.com.tw/news/149394
IBM首將大型主機搬上IBM Cloud，鎖定DevOps應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2022-02-14-IBM-Simplifies-Modernization-of-Mission-Critical-Applications-for-Hybrid-Cloud" target="_blank">IBM昨（14）日宣布</a>，其公有雲服務IBM Cloud將提供IBM Z as-a-service開發服務，以支援大型主機客戶在混合雲環境的專案開發測試之用。</p> <p>這也是IBM因應時代演進及企業轉型，首度將大型主機搬上雲端的第一項服務。</p> <p>最新服務是將IBM大型主機z/OS開發環境Wazi，以IBM Wazi as a Service（Wazi aaS）之名搬上IBM Cloud，目前是以封閉測試版上線，預計今年下半正式推出。這讓z/OS開發人員可以在公有雲的開發環境進行軟體開發及測試，依使用量付費，又可彈性獲得不同工具，以因應多變的開發需求。另外，因應IBM Z客戶有些受法規控管的應用需求，Wazi aaS 可在IBM Cloud上以隔離環境部署z/OS Virtual Server on IBM Z。</p> <p>IBM宣稱這項服務讓z/OS開發和測試的部署時程，由幾個星期縮短到6分鐘。IBM引用該公司一項內部標竿測試宣稱，使用IBM Cloud來進行z/OS開發，比x86同類型服務速度快15倍。</p> <p>IBM Z混合雲部門副總裁Tarun Chopra指出，結合IBM Z及IBM Cloud，客戶可獲得混合雲的效益，可迎合應用的需求執行在雲端、本地部署環境或雲端邊緣，可降低風險及加速上市時程。</p> <p>IBM也和大型系統整合商Tata Consultancy Services及BMC合作，協助IBM Z主機客戶部署Wazi aaS或舊式應用、資料及流程部署成混合雲環境。</p> <p>此外，IBM也宣布將在3月釋出Z主機應用現代化工具IBM Z and Cloud Modernization Stack。這項工具將配合<a href="https://www.ibm.com/community/z-and-cloud/" target="_blank">去年12月宣布的IBM Z及雲端現代化中心</a>，協助Z主機客戶的應用雲端化。最新工具包含API、雲端原生開發與分析工具，以及支援Kubernetes等環境的IT自動化開發及部署工具等。</p> <p>配合混合雲市場服務，IBM大型主機產品也即將更新，<a href="https://www.ithome.com.tw/news/149141" target="_blank">媒體報導</a>，IBM可能在今年上半或第3季初推出最新一代大型主機Z16。</p> </div></div></div>
2022/2/16 14:41作者林妍溱https://www.ithome.com.tw/news/149392
臺企銀靠容器翻新2大數位通路，更要建置中臺架構讓核心瘦身
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「以數據先行的戰略為主軸，資訊團隊的任務是進行系統架構的轉型。」臺灣中小企業銀行資訊部協理陳美慧一句話，點出這一家百年行庫的IT部門，在銀行數位轉型中的重要地位。</p> <p><strong><span style="font-size:28px;">採用微服務架構與容器技術重練2大</span></strong></p> <p>臺灣中小企業銀行（簡稱臺企銀）這幾年展開數位轉型的第一階段，以數據先行策略，推動全通路的共通與優化。第一件事，將舊有網路銀行打掉重練，從以往的單體式架構，改採用微服務架構與容器技術來打造新一代網銀，連帶行動銀行也用同樣的方式來翻新。陳美慧提到，新網銀與新行動銀行這2大數位通路在去年已雙雙上線，「這項大轉變也讓臺企銀的架構變得更為敏捷。」</p> <p>新一代網銀是臺企銀採用容器技術打造的第一個系統，陳美慧表示，容器化解決了傳統單體式架構在弱點修復困難與資源使用的瓶頸，帶來快速部署與輕量化的好處。不過，此時，臺企銀IT團隊仍以人工方式部署與監控容器，「維運上，相當耗費資源且效率不佳」。</p> <p>因此，為提升網銀系統的作業效率，去年，臺企銀導入功能完整的商用容器管理平臺軟體，利用單一平臺管理、維運與監控容器。陳美慧表示：「導入容器管理平臺後有2大好處，自動監控與自動擴充。」她解釋，IT人員可利用系統監控每個容器的資源使用狀況，比如容器資源耗損程度，當容器負載量到達一定程度時，則會自動擴充容器的資源。</p> <p>不只容器技術，臺企銀新一代網銀與行銀App皆導入了微服務架構。不過，設計微服務架構時，陳美慧提到，微服務的開發與建置過程甚至比容器化來得複雜，比如，微服務切割的顆粒度大小，團隊最擔心的是，顆粒度太細，每個微服務之間的網路互通太頻繁，反而會影響到系統的效能。</p> <p>這是臺企銀第一次切分微服務，在沒有經驗的狀況下，陳美慧表示，IT團隊參考外部顧問建議，先以業務功能來切分微服務，最後切出了共10個微服務，更在上線前花了較多時間進行測試。</p> <p><span style="font-size:28px;"><strong>將導入顧問案推動系統微服務化工程與敏捷式開發文化</strong></span></p> <p>下階段，將逐步推動系統微服務化工程，陳美慧透露，臺企銀今年將導入另個顧問服務案，以實驗室的作法，率先鎖定經常改變或容易有爆量需求的應用、服務或API，比如銀行顧客最常使用的登錄功能，或像銀行內部需求變動快速的徵授信系統，來進行微服務化工程。甚至，她提到，臺企銀預計今年上線新的端末系統，先以模組化方式切分，再進一步評估是否適合微服務化。</p> <p>陳美慧坦言，除了要透過顧問案培訓內部IT人員的技術能力，學習微服務切分的精髓之外，同時，也希望透過這項實驗找出更適合的切法，以進一步驗證外部顧問對微服務切分建議的合理性。這是臺企銀IT團隊嘗試將技術主導權抓回手上的關鍵一步。</p> <p>臺企銀也將同步開始導入敏捷式開發文化，來強化自有開發能力。先鎖定數金單位提出的需求，由顧問以一對一教練式作法，集中火力培訓IT與數金單位共10位核心種子教官，利用敏捷式開發來上線這些需求。同時，企金部、授管部等負責中小企業金融服務的業務單位，也需列席敏捷式開發的教學說明會，讓業務單位具備敏捷式開發的基礎知識。</p> <p>另外，趁著導入敏捷式開發，臺企銀也計畫透過流程化管理工具串接各項流程，包括從版本控制、原始碼檢測、一路到壓力測試、部署，將既有人工開發流程串接起來，來縮短應用程式上線的時間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_(%E6%8A%BD)%E9%99%B3%E7%BE%8E%E6%85%A7_%E8%87%BA%E7%81%A3%E4%B8%AD%E5%B0%8F%E4%BC%81%E6%A5%AD%E9%8A%80%E8%A1%8C_%E8%B3%87%E8%A8%8A%E9%83%A8_%E5%8D%94%E7%90%86_20220121_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D_jpg%20%E7%9A%84%E5%89%AF%E6%9C%AC(1).jpg" style="width: 350px;" /></p> <p><span style="color:#808080;">攝影／洪政偉</span></p> <p><strong><span style="color:#696969;">臺灣中小企業銀行資訊部協理陳美慧表示，在數據先行策略下，資訊部扮演建置系統架構的角色，將數據快速提供給各業務單位進一步發展數據價值。</span></strong></p> <p><strong><span style="font-size:28px;">將發展e會員，打造數據池與數據中臺以提供前臺客戶歸戶查詢</span></strong></p> <p>環繞數據先行的策略，推動全通路的共通與優化只是臺企銀數位轉型第一步。陳美慧透露，下階段將展開會員e化，透過會員制發展紅利應用，藉此加深顧客與銀行的黏著度。現階段，將從顧客屬性分群開始著手。</p> <p>臺企銀已經建置了一個顧客紅利平臺，對衍生服務更有不少點子，例如要將紅利結合銀行其他金融商品，或者運用紅利進行促銷活動，「讓顧客累積的紅利盡量用於銀行的其他金融商品，」陳美慧指出，這正是臺企銀在思考的另一種金融效益。</p> <p>她坦言，這些應用所涉及的系統規畫層面更大，包括建置數據池、數據中臺、流程中臺，甚至是業務中臺，都是臺企銀數位轉型中期的重點發展目標。</p> <p>下一步，臺企銀將先建置數據池，來整合各種異質資料庫，達到異質資料互通的目的。目前，臺企銀內部已有資料倉儲分析過後的結構化資料，及用來處理非結構化資料的Hadoop資料庫，接下來，陳美慧透露，他們打算建置操作型資料庫，來存放每筆交易明細的資料。甚至，包括如外匯主機、徵審主機等系統，都可成為數據池的資料來源之一。</p> <p>整合異質資料庫之後，臺企銀正在規畫從頭開始建置一個數據中臺，要取代以往系統一對一串接資料的作法。未來，前臺就能透過數據中臺的轉介，來取得數據池的資料。陳美慧進一步說明數據中臺可以帶來的影響，例如原有架構中，前端徵授信業務需要帳務主機的資料時，因為缺乏數據轉接機制，得靠系統一對一串接，才能整合各式資訊如臺幣存款、放款、外幣存款、基金等，對前端提供資訊的速度稍嫌落後。</p> <p>但是，未來透過數據中臺，前臺能快速查詢客戶的歸戶資料，像是該名顧客與臺企銀往來哪些金融產品、貢獻度高低，甚至是哪些產品曾有還款逾期記錄等。陳美慧表示，在此架構下，「臺企銀預計在今年底將客戶歸戶資料的時間落差縮短到1小時。」例如，徵審人員可即時查詢到顧客1小時前與臺企銀往來的所有產品變化，作為徵審的參考依據。</p> <p>除了提供面向客戶端的前臺應用，她提到，數據池與數據中臺也將提供給總行取用動態即時的資料，來製作統計型資料報表、晨報等，預計今年底提供服務。至於，未來臺企銀如何善用數據進一步加值，陳美慧提到，資訊部的角色是建置起系統架構與提供工具，將數據快速提供給各業務單位使用，所以，將由業務單位進一步挖掘更多數據價值。</p> <p><span style="font-size:28px;"><strong>建置流程中臺作為交易流向轉接樞紐，更要做到流量與權限控管</strong></span></p> <p>不只數據中臺，臺企銀也要建構流程中臺。陳美慧表示，雖然臺企銀的IBM帳務主機在2019年完成核心帳務單主機更新，甚至2020年，上線了同地備援的核心帳務雙主機平行系統。但是，這套主機的開放度不夠，IT團隊本來就發展出一套類似流程轉接的機制，來進行閘道的轉接。但是，這套流程轉接機制難以進行更細緻的設定，促使臺企銀也決定打造一套流程中臺，她提到：「流程中臺不只要做到交易的流向轉接，還得負責流量的控管與權限的控管。」</p> <p>臺企銀在核心系統架構的準則是穩定，將核心帳務留在核心主機，而需快速應付前端需求的系統，則可從核心拆離後往前移動，利用流程中臺與數據中臺串接，來支應前臺的需求。</p> <p>甚至，臺企銀未來計畫進一步建置業務中臺，將帳務主機中具有業務共通性的功能或系統，比如額度控管、開戶控管、支付系統等，逐個往外拆離到業務中臺上，來讓帳務主機輕量化。此外，除了帳務主機外，如報表系統、反洗錢系統等業務共用的系統，也計畫整合到業務中臺上，來取代以往當前端有需求時，需一對一設定來串接系統的作法。</p> <p>「不管是流程中臺、數據中臺、業務中臺，都得像萬用插頭一般，接收到前端需求時，做到服務的轉向與提供。」陳美慧如此形容中臺的特性。</p> <p>未來，臺企銀打算與第三方業者合作來經營金融生態圈，這是更為長期的數位轉型規畫。她表示，預計今年3月上線API管理平臺，對外開放Open API，讓第三方業者能測試串接，加速實現金融生態圈。</p> <p><strong><span style="font-size:28px;">數位轉型帶給CIO多項管理新挑戰</span></strong></p> <p>在管理面向，從基層一路升至資訊長的陳美慧坦言，面臨的課題是難以放下過往經驗，容易沈浸在過於底層的細節檢視，可能造成無法綜觀全局的狀況。此外，她在去年升任資訊長後，深刻體會到從事資訊的人員，相較於過往，越來越難實現上下班時間模糊的模式，加上各業界對於IT人才的需求大，讓這類人才有更多外部選擇。因此，如何拿捏對IT團隊的管理強度，也是她正在學習的課題。</p> <p>另一大管理挑戰是，資訊部執掌的8科中，有些科別不只要負責業務系統開發與維護的主要工作，還得同時兼任行政角色，執行採購規畫、預算編列等事宜，容易發生正業與副業無法兼顧的窘況。因此，她提到，資訊部正進行組織型態的調整，將行政與技術面的工作拆分清楚，讓技術人員專心技術領域，行政部分則由熟練這塊領域的人力接手。</p> <p>另外，陳美慧打算採取組織架構扁平化的管理方式，她解釋，組織階層越多，就會衍生越多問題，扁平化管理的好處是，發現問題時能馬上橫向溝通來處理問題。比如，底層科員遇到不合理的業務單位需求時，能夠更快向上反應，改由主管出面與業務單位溝通。</p> <p>「希望讓資訊部上下溝通都能更即時，不要讓底層員科員單獨面對無法處理的難題。」這位浸淫金融業30年之久的資訊長，總是站在第一線員工的角度來思考。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> CIO小檔案 </span></strong></p> <p><strong>臺灣中小企業銀行資訊部協理陳美慧 </strong></p> <p>學歷：臺北工專電子工程科畢業</p> <p>經歷：在臺灣中小企業銀行擁有30年豐富資歷，一路從該行資訊部負責資料庫管理，到擔任程式設計師、襄理、副理等職位；2021年9月升任臺企銀資訊部協理，統領資訊團隊共245人，負責倉儲系統轉置、中心帳務雙主機平行系統轉置、新世代網銀轉置、數位轉型資訊基礎規畫</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 公司檔案 </span></strong></p> <p><strong>臺灣中小企業銀行</strong></p> <p>●成立時間：1915年</p> <p>●主要業務：提供金融服務</p> <p>●董事長：林謙浩</p> <p>●總經理：張志堅</p> <p>●資本額：逾774.31億元</p> <p>●員工人數：5,353人</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資訊部門檔案 </span></strong></p> <p>●資訊部門名稱：資訊部</p> <p>●直屬主管：邱松歲副總經理</p> <p>●資訊部門主管：陳美慧</p> <p>●資訊部門人數：245人</p> <p>●資訊部門分工：共分為8科，其中分析設計共5科，負責業務系統開發與維護，另3科分別為資料處理科、連線管理科、資料管制科</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> IT大事記 </span></strong></p> <p>●2016年：建置新版官網、行動企網App；完成上海、武漢分行人民幣資訊系統、大數據資料分析作業、境外網路交易代收代付系統；完成智慧型分行交易預約填單功能、建置稽核管理系統</p> <p>●2017年：新增財金跨境電子支付平臺服務、行動銀行QR Code掃描支付業務；上線感應式金融卡系統、新增ATM無卡提款功能、建置全行匯利率看板系統</p> <p>●2018年：建置跨境e匯通系統、分行導入指靜脈辨識系統、行動銀行開放可透過生物特徵或圖型辨識碼、新版財富管理系統、資料倉儲擴增建置非結構化資料儲存平臺</p> <p>●2019年：完成中心帳務主機單主機更新、會計結帳流程簡化、HCE雲支付系統上線；建置開放式報表產製平臺、台灣Pay特約商店管理系統、Open API平臺；完成海外分行AS400移機及資料庫欄位加密、SWIFT專機工作站集中作業、分行物聯網設備網段區隔</p> <p>●2020年：中心帳務雙主機平行系統上線、建置智能客服系統、台灣Pay紅利積點平臺、完成行動銀行App應用系統及軟硬體設備更新及建置雙因素互動式推播行動認證平臺</p> <p>●2021年：重建端末系統暨流程改造、容器化電子銀行系統、線上貸款申請平臺、遠距辦公桌面虛擬系統、手機門號Mobile ID身分認證、徵授信引入企業財報資訊自動化、導入RPA輔助防制洗錢告警調查流程、企業輿情分析與應用、容器管理平臺建置</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960_chen_mei_hui_-2.png" width="960" height="420" alt="" title="陳美慧臺灣中小企業銀行資訊部協理　(攝影／洪政偉)" /></div></div></div>
2022/2/16 07:00作者李靜宜https://www.ithome.com.tw/people/149345
從無到有實現球面Voronoi
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國畫家Jackson Pollock曾經說過：「都是在玩構築罷了——有人用刷子，有些人用鏟子，有的人用筆」，我很喜歡這句話，在最後加了句「而有些人，例如我，用的是程式碼」，在我的GitHub、Twitter等網站的自我介紹上，都可以看到這句話。</p> <p>用程式碼構築3D模型是我的樂趣之一，然而，在建立某個模型之後，開心的感覺並不會維持太久，有時甚至會覺得，在試圖建模前的苦惱、搜尋、嘗試，在興致的維持上，還比較耐久一些，有些甚至是維持了數年之久，例如：<a href="https://bit.ly/34hsOPd" target="_blank">迷宮</a>、<a href="https://bit.ly/3G9duSj" target="_blank">龍</a>等，都是多年不斷的主題創作。</p> <p>就我而言，長時間從事某個主題創作的好處是，可以看得出成長的足跡，在外觀上，模型的複雜度漸次提升，在程式層面是程式庫的逐漸豐富，在知識方面，是對數學、資料結構、演算法等的日積月累，而每一次層次提升，都成為下次創作的基石。</p> <p><span style="font-size:28px;"><strong>哈密瓜與球面Voronoi</strong></span></p> <p>最近我構築出一顆平凡無奇的<a href="https://bit.ly/3ACQeuL" target="_blank">哈密瓜</a>，不明就理的人，應該會覺得發布一顆哈密瓜是要幹嘛？我想傳達什麼呢？</p> <p>從我的第一個OpenSCAD作品算起，到寫出哈密瓜花了我六年的時間，如果你曾經處理過Voronoi，應該會知道重要的是瓜面的紋理，也就是球面的Voronoi。</p> <p><span style="font-size:28px;"><strong>球面Voronoi與極點投影</strong></span></p> <p>Voronoi圖案代表著勢力均衡，就程式設計來說，有多種實現的方式，像是半平面交集、Fortune演算，或者是透過Bowyer-Watson演算求Delaunay三角分割後，轉換為Voronoi，這些在先前專欄〈<a href="https://www.ithome.com.tw/voice/142956" target="_blank">Voronoi與Delaunay</a>〉談過，其中也提到一些文件鏈結，當中有說明與實作。</p> <p>如果想實現球面Voronoi，第一個想到的是需要3D版本的Voronoi，問題在於：大多數文件都是談二維平面如何建立Voronoi。多年以來，我試著搜尋Voronoi 3D的文件，大多是附於CAD軟體中的功能，或者像是Scipy之類的程式庫，提供spatial.Voronoi之類的API，可以用來建立3D的Voronoi，我確實也曾基於CadQuery結合spatial.Voronoi來建模。</p> <p>然而，我一直想挑戰純粹使用OpenSCAD來實現球面Voronoi。在難以尋得相關文件的情況下，我曾試著將半平面交集擴充為半空間交集，實現3D版本的Vornoi，但速度過於緩慢到難以忍受。</p> <p>這個議題就擱置了好多年，直到前些日子，我在〈<a href="https://bit.ly/3KT3sZ5" target="_blank">Red Blob Game</a>s〉中，找到了〈<a href="https://bit.ly/3G7Mz9e" target="_blank">Delaunay+Voronoi on a sphere</a>〉，那時，我才知道所欠缺的，其實並不是3D版本的Voronoi，而是<a href="https://bit.ly/3KQAl8E" target="_blank">球極平面投影</a>。</p> <p>簡單來說，我想做的是在「球面」建立Voronoi，而不是整個「球體」建立Voronoi，亦即其實是像Scipy的spatial.SphericalVoronoi，在球面上布點、建立Voronoi，而不是在球體內佈點建立Voronoi。</p> <p>至於球極平面投影，像是XY平面從球的赤道橫切，然後在球的北極點一盞燈，球面上的點沿著光行進的方向，全部映射至XY平面，若對XY平面上的點進行Delaunay三角分割，轉換為Voronoi，再將結果投影回球面，就會是正確的球面Voronoi。</p> <p>其中要注意的是北極上的點，投影結果會在XY平面的無限遠點，因此在求XY平面的Voronoi時，必須有個無限遠點，如此投影回球時，北極點才不會有破洞，雖說需要無限遠點，實際在建模或繪圖時，只要有夠遠的點，讓投影後的破洞看不出來即可。</p> <p>〈<a href="https://bit.ly/3G7Mz9e" target="_blank">Delaunay+Voronoi on a sphere</a>〉有可互動的動畫展示，其中也提供了原始碼可供參考，附帶一提的是，作者本人熱衷於數學與演算法的互動視覺開發，〈<a href="https://bit.ly/3KT3sZ5" target="_blank">Red Blob Game</a>s〉還有不少關於數學與演算法的有趣主題可以挖掘。</p> <p><span style="font-size:28px;"><strong>實作資料結構與演算法</strong></span></p> <p>知道演算法與使用特定語言實現，其實這中間是有段距離的，畢竟語言特性不同，要用OpenSCAD實現Voronoi更是如此。因為有關Voronoi的演算法虛擬碼，多半是以命令式來描述，能找到的程式實作，也都是命令式語言，然而OpenSCAD是個偏向函數式典範的語言。</p> <p>不過，將命令式演算拆解為函數式演算這方面，我已相當有經驗，麻煩的是其中需要的資料結構——OpenSCAD完全沒有排序、搜尋的現成函式，也沒有最重要的字典結構，雖然能用JavaScript之類的命令語言實現出Voronoi，但在OpenSCAD中，我必須先將這些資料結構實現出來。</p> <p>為了能快速處理大量的頂點、索引，我在OpenSCAD要實現基於雜湊的字典結構，為此必須先解決如何計算雜湊的問題，在使用者沒有指定如何計算雜湊值的情況下，我預設會將鍵轉為字串表示，然後對字串進行雜湊，為此我還去看了一下Java原始碼中怎麼對字串做雜湊計算。</p> <p>在能夠實現相關資料結構後，我實現了Bowyer-Watson演算求三角分割，但效能並不好。經過多次評測之後，我發現，字串雜湊值只能作為一種預設方案，針對特定情境，例如，鍵會是一組索引或者是點座標時，若是轉為字串再計算雜湊反而緩慢，此時，需要定義專用的雜湊方式，例如點座標p，我採取的方式是與[73856093,19349669,83492791]（許多文件推薦的組合）進行內積運算，取整數部分的絕對值作為雜湊值，實際評測之後，也確實有不錯的效能改進。</p> <p>然而，還有可以改進的地方。由於OpenSCAD採用不可變動（immutable）特性，Bowyer-Watson演算必須調整，像是一開始就為字典建立適合大小的雜湊桶（hash bucket），這能有效減少建立新狀態的次數，對於效能是否良好，會有很大的決定性。</p> <p>在這之前我還真沒想過：有一天必須自行實現字典這類資料結構。然而透過這樣自行實現，一邊評測、一邊依語言特性調整資料結構、演算法的過程，得到了許多教科書沒看過的經驗；這讓我想起有些開發者會說：「學資料結構、演算法根本就沒有用，因為現代語言都會有標準實作，或者也會有第三方程式庫提供更好的實現」是這樣的嗎？</p> <p>對我來說，資料結構、演算法除了能讓開發者在使用相關程式庫時，比較能掌握對應特性之外，若沒有這類基礎知識，我是不可能在OpenSCAD中實現字典等資料結構，寫出Voronoi，更不可能構築一顆哈密瓜吧！</p> <p><span style="font-size:28px;"><strong>長時間從事創作的積累</strong></span></p> <p>其實能寫出球面的Voronoi後，我試過幾個模型作為範例，目的是<a href="https://bit.ly/3KQ72D0" target="_blank">展現純OpenSCAD也能實現球面Voronoi</a>。有網友問我用的是什麼演算法，他說他的2D版本若是幾百個點，就要花幾個小時，一千個點大概得花一天的時間。</p> <p>這就是我最後選擇，只發布一顆平凡無奇的哈密瓜的原因，如果瓜面有1,000個左右的點，大概一分鐘就可以生成，這讓我有種「懂的人自然就懂了」的虛榮感，不過，雖然執行程式生成一顆瓜只要一分鐘，然而真的要講並不容易，因為，我可是花了六年的積累，才有可能實現！</p> <p>你曾經長時間從事某個主題創作嗎？當然，主題不用像我一樣是3D建模，或許是某個應用程式，或者是開放原始碼之類的東西，這會是個難能可貴的經驗！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E7%90%83%E9%9D%A2voronoi">球面Voronoi</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E7%A2%BC">程式碼</a></div><div class="field-item odd"><a href="/tags/3d%E6%A8%A1%E5%9E%8B">3D模型</a></div><div class="field-item even"><a href="/tags/%E6%A5%B5%E9%BB%9E%E6%8A%95%E5%BD%B1">極點投影</a></div><div class="field-item odd"><a href="/tags/%E6%BC%94%E7%AE%97%E6%B3%95">演算法</a></div></div></div>
2022/2/16 07:00作者林信良https://www.ithome.com.tw/voice/149383
Google推新一代無伺服器函式服務Cloud Functions，具60分鐘執行時間、更大的執行個體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google更新其雲端無伺服器函式服務Cloud Functions，利用無伺服器容器平臺Cloud Run和事件服務Eventarc，建構<a href="https://cloud.google.com/blog/products/serverless/introducing-the-next-generation-of-cloud-functions">第2代Cloud Functions</a>，其具有進階功能集，讓用戶使用更強大的基礎設施，並且在效能和可擴展性上提供更多的控制功能，還可以利用超過90個事件來源觸發函式執行。</p> <p>新的Cloud Functions有一系列新功能，現在提供更長的執行時間，HTTP函式可以執行長達60分鐘，用戶能夠處理更長的工作負載，運算像是來自Cloud Storage或BigQuery的大量資料串流。</p> <p>而Cloud Functions也提供更大的執行個體，用戶可以使用高達16 GB的記憶體和4個vCPU，方便處理記憶體和運算密集的工作負載，並且執行更多平行化運算。第2代Cloud Functions並行性（Concurrency）達到1000個並行請求，最大程度減少冷啟動，並改善擴展時的延遲和成本。</p> <p>用戶可以利用預熱執行個體，減少冷啟動時間，並確保應用程式的啟動時間，不會影響應用程式的執行效能，另外，第2代Cloud Functions還支援分流功能，讓用戶可以同時執行多個應用程式修訂版本，在不同版本間分配流量，或是將函式回退到之前的版本。</p> <p>Google也在Cloud Functions原生支援Eventarc，因此可以使用來自直接來源與Cloud Audit日誌記錄的90多個事件來源，不過，Cloud Functions讓用戶還是可以藉由直接發布到Pub/Sub的方式，使用自定義來源事件。第2代Cloud Functions擁有改良過的UI，以及自定義面板，提供新的使用者體驗和無障礙更新。</p> </div></div></div>
2022/2/16 09:52作者李建興https://www.ithome.com.tw/news/149384
微軟啟動Flash專案全面強化Azure VM可用性監控
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/advancing-azure-virtual-machine-availability-monitoring-with-project-flash/">微軟推動Flash專案</a>，要提供用戶全面且清楚的Azure虛擬機器可用性監控功能，這次的兩項更新發布，包括在資源管理服務Azure Resource Graph中提供虛擬機器可用性資料，還有在監控服務Azure Monitor中，加入虛擬機器可用性指標。</p> <p>這兩項新功能來自於微軟對Azure的可用性監控投資，微軟透過執行Flash專案，要發展出集中式、全面且清晰的Azure虛擬機器可用性監控解決方案，滿足用戶對於虛擬機器的可觀察性需求。Flash專案發展各種功能，讓用戶全面監控虛擬機器的可用性。</p> <p>在Flash專案的第一階段，目標是提供用戶不同選項，方便地存取虛擬機器可用性資料，其目標是在現有功能和解決方案中，像是Health Resources或Activity Log，提供一致的檢視圖。</p> <p>用戶現在可在Azure Resource Graph中，看到虛擬機器的可用性狀態。Azure Resource Graph是Azure中的資源管理服務，讓用戶可以存取Azure環境上的資源，並且掌握雲端庫存，微軟現在於Azure Resource Graph中的Health Resources表格，提供虛擬機器可用性狀態，包括可用、不可用和未知三種狀態，用戶也可以使用Kusto查詢語言，對大型資料集執行篩選查詢。</p> <p>而這項功能也可以追蹤虛擬機器可用性歷史變化，建構自定義儀表板，還有跨多個表格，對眾多的資源屬性進行詳細的調查。微軟預告，在今年稍晚，還會在Health Resources表格中添加故障詳細資訊和降級虛擬機器情境，讓用戶可以進行故障轉移、重新啟動，或採取其他適當的緩解措施。</p> <p>另外，Azure Monitor中也加入開箱即用虛擬機器可用性指標，提供指標警示和監控應用。微軟提到，Azure Monitor中的指標很適合監控和分析虛擬機器可用性的時間序列，以便快速除錯和接收相關警示，擷取可用性下降的早期指標等。</p> <p>新的可用性指標讓用戶能夠追蹤虛擬機器的健康跡象，在預期行為中，該指標的顯示值為1，隨著虛擬機器可用性下降，該指標數值會降至0，當Azure基礎設施故障，則該數值會以虛線表示。目前在Flash專案的第一階段，該功能以私密預覽的形式釋出。</p> </div></div></div>
2022/2/16 09:55作者李建興https://www.ithome.com.tw/news/149385
AWS改善Amazon EFS讀取效能，平均延遲可達次毫秒等級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/amazon-elastic-file-system-update-sub-millisecond-read-latency/">AWS更新其檔案系統服務Amazon Elastic File System（EFS）</a>，將原本的讀取延遲時間，降低至次毫秒等級，無論是新的和舊的EFS檔案系統，都可獲得這項更新加速。</p> <p>Amazon EFS是AWS在2016年正式推出的無伺服器檔案服務，讓用戶可以方便建置需要共用檔案的應用程式。用戶僅需要創建檔案系統，便能夠附加到任意數量的EC2執行個體、Lambda函式甚至是容器上。EFS具有高持久性和可擴展性，提供先讀後寫的一致性模型。</p> <p>AWS從Amazon EFS推出以來，一直更新其功能，包括資料加密，以及各種等級的儲存類型，還提升每秒讀取操作數、客戶端吞吐量和讀取吞吐量。而現在AWS再次更新Amazon EFS，使用戶延遲敏感的工作負載執行速度，約可達到之前的2倍。</p> <p>之前Amazon EFS的讀取操作，包括資料和後設資料，EFS的延遲通常為數毫秒，而在更新之後，新的和現有EFS檔案系統，大多數資料和後設資料的讀取操作，平均延遲降至600微秒。</p> <p>這項效能提升更新，涵蓋One Zone和標準一般用途（Standard General Purpose）EFS檔案系統，無論新舊系統，用戶不需要更改配置也不需要額外付費，都可獲得這項更新帶來的速度提升。</p> <p>官方提到，用戶或許已經有感受到EFS系統效能提升，因為在過去幾周，AWS就已經對現有的EFS一般用途模式的檔案系統，啟用了這項效能加速更新。</p> </div></div></div>
2022/2/16 10:08作者李建興https://www.ithome.com.tw/news/149387
烏克蘭遭網路攻擊，國防部被DDoS攻擊、國營銀行服務中斷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭、俄羅斯軍事情勢緊張，烏克蘭國防部和國營銀行分別遭到分散式阻斷攻擊（Distributed Denial of Service，DDoS）及網站竄改等攻擊。</p> <p><a href="https://cip.gov.ua/en/news/shodo-kiberataki-na-saiti-viiskovikh-struktur-ta-derzhavnikh-bankiv" target="_blank">烏克蘭國防部指出</a>，自當地時間昨（15）日下午起該國多個網站遭強大的DDoS攻擊，烏國國防部及武裝部隊網站斷線，也造成兩家國營銀行Privatbank及儲蓄銀行Oschadbank網站服務中斷。</p> <p><a href="https://twitter.com/DefenceU/status/1493628291844083723" target="_blank">烏克蘭國防部說明</a>，自家網站遭到「每秒極大量次數的呼叫」的DDoS攻擊。而在搶修期間，國防部僅能透過臉書和推特公佈訊息。</p> <p class="rtecenter"><a href="https://twitter.com/DefenceU/status/1493628291844083723" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0216-defense%20of%20ukraine-600(1).png" style="width: 590px;" /></a></p> <p>烏克蘭Privatbank在網站攻擊中被置換首頁，首頁內容遭換成「PrivatBank WAF is watching you」的英文訊息。此外，用戶則發生無法使用網站付款以及銀行App。另一些用戶則是無法登入網銀帳號、或是帳戶餘額及近日交易紀錄錯誤等。儲蓄銀行則是官網還在，但用戶無法登入網銀帳號。</p> <p class="rtecenter"><a href="https://twitter.com/search?q=PrivatBank WAF is watching you&src=typed_query" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0216-%20Photo%20by%20kanatonII%20on%20twitter.png" style="width: 477px;" /></a></p> <p><a href="https://twitter.com/search?q=PrivatBank%20WAF%20is%20watching%20you&src=typed_query" target="_blank"><span style="color:#696969;">Photo by kanatonII on twitter</span></a></p> <p>烏國表示，國營銀行的網站服務已在當地晚間7:30恢復，並增設了防禦措施。</p> <p>烏克蘭國家安全局（SSU）本周一表示，該國遭到一波連續「大規模混合戰爭」鎖定，旨在打擊民心士氣及引發混亂。該單位也發現並解決由外國情報單位及網頁機器人為製造恐慌，而發送出炸彈威脅訊息及假新聞。</p> <p>今年初以來烏克蘭陸續發生針對政府單位的網路攻擊，包括<a href="https://www.ithome.com.tw/news/148908" target="_blank">1月初至少15個烏國政府機關遭到大規模網路襲擊</a>，以及精準釣魚信件攻擊。關於精準網釣攻擊，烏國政府及微軟都相信策動者是和俄羅斯情報單位有關的駭客組織Gamaredon。</p> </div></div></div>
2022/2/16 10:55作者林妍溱https://www.ithome.com.tw/news/149388
微軟開放美國Windows 11用戶測試Android程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2022/02/15/bringing-you-closer-to-what-you-love-with-new-experiences-in-windows-11/" target="_blank">微軟於2月15日開始釋出Windows 11的更新功能</a>，包括改善工作列（Taskbar）的可用性、全新設計的記事本（Notepad）與媒體播放器（Media Player），以及開放美國用戶試用來自Amazon Appstore的Android程式，只不過，這些新功能都必須透過不同的方式取得。</p> <p>現在美國的Windows 11用戶在更新Microsoft Store之後，就能瀏覽與下載來自Amazon Appstore的上千款行動程式與遊戲，例如Audible、Kindle或Subway Surfers等，微軟宣稱這些Android程式在Windows 11上的表現，就如同它們原本就是Windows的一部分一樣。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0216-Android%20app%20on%20Windows%2011%20Preview-600(1).jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>看起來微軟仍在觀察一般使用者對於在Windows上執行Android程式的經驗與反應，預計於今年逐步擴大到其它市場或是開放更多的程式。</p> <p>新的工作列將可改善使用經驗，特別是Microsoft Teams用戶。當Microsoft Teams用戶以工作或學校帳號登入時，工作列的右方將會出現靜音圖示，以方便使用者隨時關閉聲音，或者是只要點選出現在工作列上的已開啟檔案，就能直接於Microsoft Teams上分享。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/0ezWXLDa1aI" title="YouTube video player" width="560px"></iframe></div> <p></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/Ci-b8Y_gA0E" title="YouTube video player" width="560px"></iframe></div> <p>此外，微軟也讓天氣資訊出現在工作列的左方，同時它也是小工具（Widgets）的入口，將滑鼠移到天氣圖示時，就會自動展開小工具的內容。</p> <p><a href="https://support.microsoft.com/en-au/topic/february-15-2022-kb5010414-os-build-22000-527-preview-73e259d0-45ca-45ef-960f-426035104e73" target="_blank">此一有關工作列的更新是透過Windows Update完成</a>，該更新還包含讓Microsoft Edge及Microsoft Edge的IE模式共享Cookie。</p> <p>至於記事本與媒體播放器的更新，則只要自Microsoft Store下載最新版的程式即可。其中，新的記事本不僅支援深色模式，還能多次Undo，提供彩色表情符號，以及更現代化的尋找/替換功能。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/b7es86IzVyI" title="YouTube video player" width="560px"></iframe></div> <p>微軟說明，媒體播放器將是一個功能完整的音樂媒體櫃，支援瀏覽、播放與清單的管理，而且電腦上所有位於音樂及影片文件夾中的內容，都會自動出現在媒體櫃中，使用者亦可藉由設定指引播放器尋找位於他處的內容。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/nG5CNcDyFa8" title="YouTube video player" width="560px"></iframe></div> <p>值得注意的是，新的媒體播放器將會取代微軟於Windows 10及先前版本使用的Groove Music，也會自動將Groove Music的媒體櫃及播放清單轉移到媒體播放器。</p> <p>除了上述之外，微軟今年將會陸續釋出其它的Windows 11功能更新。</p> </div></div></div>
2022/2/16 11:20作者陳曉莉https://www.ithome.com.tw/news/149389
Google釋出專供舊PC及Mac使用的Chrome OS Flex
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/141708" target="_blank">Google於2020年</a>就買下了專門於舊PC上安裝Chromium OS的Neverware，並終於<a href="https://cloud.google.com/blog/products/chrome-enterprise/chrome-os-flex" target="_blank">在本周發表了可安裝在舊PC或舊Mac上的官方Chrome OS Flex</a>。</p> <p>Chrome OS源自Chromium OS開源專案，定位為雲端作業系統，毋需太多的系統資源，原本只出現在諸如Chromebook或Chromebox等特定的硬體上，而現在有了Chrome OS Flex，使用者家中已不敷使用的舊裝置可望起死回生。但對於Google來說，延長舊裝置的使用壽命並減少電子浪費只是Chrome OS Flex的附加價值，該公司的主要目的是鼓勵學校與企業加入Chrome OS的陣營，以及利用Google的雲端管理服務來管理這些裝置。</p> <p>Chrome OS Flex是個可免費下載的作業系統，它在幾秒內就能開機；學校或企業的IT管理人員可利用隨身碟或網路快速部署Chrome OS Flex，當使用者登入後，就會下載其雲端個人檔案，並自動同步設定、書籤與政策，管理人員也可利用雲端的Google Admin主控臺來管理這些裝置。</p> <p>值得一提的是，Google強調在Chrome OS Flex上不必安裝任何的防毒軟體，因為它定期執行安全更新，內建了對抗病毒、網釣與勒索軟體的防護機制；再者，其沙箱技術把威脅侷限在特定的標籤或程式內；Google Safe Browsing也會在使用者造訪惡意網站時跳出警告。</p> <p>Google說明，Chrome OS Flex與Chrome OS採用同樣的程式碼庫，發布時程也是一致的，因此它具備官方的Chrome瀏覽器、Google Assistant，其跨裝置功能的使用者介面也跟Chrome OS一樣，而且IT管理人員透過Google Admin主控臺可一起管理Chrome OS Flex及Chrome OS裝置。</p> <p>由於Chrome OS Flex與Chrome OS的使用經驗幾乎是一樣的，因此當企業打算汰換裝置，購買Chromebook、Chromebox或Chromebase時，不管是使用者或IT管理人員皆可無痛轉移。</p> <p>不過，目前Chrome OS Flex仍處開發頻道，屬於早期存取階段，<a href="https://chromeenterprise.google/os/chromeosflex/" target="_blank">必須提出申請才能參與測試</a>。</p> <p>其實Google在買下Neverware之後，Google客戶就開始利用Neverware所開發的CloudReady，於舊裝置上安裝Chromium OS，迄今仍是如此。<a href="https://support.google.com/chromeosflex/answer/11547280?hl=en&ref_topic=11618314" target="_blank">Google則公布了Chrome OS Flex與CloudReady的差異</a>，並說當Chrome OS Flex邁入穩定版時，即會取代CloudReady。</p> </div></div></div>
2022/2/16 11:36作者陳曉莉https://www.ithome.com.tw/news/149390
英特爾軟體定義晶片技術可能配合Linux 5.18於2022年上半問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，英特爾一直低調推動的軟體定義晶片（Software Defined Silicon，SDSI）計畫，可能將配合預計今年上半公布的最新版Linux 5.18問世。</p> <p>SDSI是去年9月<a href="https://www.phoronix.com/scan.php?page=news_item&px=Intel-Software-Defined-Silicon" target="_blank">Phoronix</a>及<a href="https://www.theregister.com/2021/10/19/intel_sdsi/" target="_blank">The Register</a>最早發現英特爾向Linux Kernel組織說明的電子郵件而曝光。SDSI原理是晶片已內建許多強大的功能，但都以軟體鎖住，用戶必須付費購買授權來解鎖功能，用戶購買的功能是結合晶片驅動程式控制的啟動功能來解鎖。根據英特爾外洩的信件，Xeon家族產品規畫將支援SDSI。</p> <p>不過英特爾當時不願透露，只說英特爾經常提交可能用於未來產品的程式碼給Linux核心，但英特爾不願說明SDSI完整的功能有哪些，亦未證實SDSI是否和Xeon家族有關，或這項計畫是否只是一個構想，還是會真的貫徹到底。</p> <p><a href="https://www.theregister.com/2022/02/14/intel_sdsi_linux_5_18/" target="_blank">本周媒體再發現</a>IBM旗下Red Hat部門員工發出的郵件說明SDSI計畫。<a href="https://lore.kernel.org/lkml/[email protected]/" target="_blank">郵件指出</a>IBM/Red Hat已經審查了SDSI，計畫在Linux 5.18 merge window之前加入核心。</p> <p>Linux 5.17將在本周釋出RC4，5.18為下一更新版。<a href="https://www.theregister.com/2022/02/14/intel_sdsi_linux_5_18/" target="_blank">The Register</a>報導，5.18 merge window預計3月開啟，可望在5或6月推出，意謂著SDSI可能2022年上半將問世。</p> <p>至於搭配SDSI計畫的晶片產品，<a href="https://www.phoronix.com/scan.php?page=news_item&px=Intel-SDSi-Linux-5.18" target="_blank">媒體Phoronix推測</a>可能是Xeon Scalable Sapphire Rapids，或是Alder Lake晶片，尤其後者在單一裸晶(die)加入不同核心，這使得客戶可在需要時啟動特定核心，以支援例如AI等任務。</p> </div></div></div>
2022/2/16 12:19作者林妍溱https://www.ithome.com.tw/news/149391
【資安日報】2022年2月15日，運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>運動用品業者在網站上發出公告，表示因系統故障，而可能會延遲出貨，但背後原因很可能是因為遭到勒索軟體攻擊。例如，日本大型運動用品業者美津濃（Mizuno）於美國分公司網站上指出，他們出現系統故障的情況，但根據消息人士向資安新聞網站Bleeping Computer透露，該公司就是遭到勒索軟體攻擊，而使得營運受到影響。</p> <p>在今天的資安新聞裡，有2則漏洞的消息相當值得留意，因為都已被駭客用於攻擊行動。其中一個是電商網站軟體Magento的重大漏洞CVE-2022-24086，CVSS風險層級達到9.8分，使得Adobe呼籲用戶要儘速修補。</p> <p>第2個則是Chrome瀏覽器電腦版的漏洞CVE-2022-0609，雖然Google沒有透露太多細節，但基於此漏洞已經遭到利用，用戶最好手動更新該瀏覽器至98.0.4758.102版。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/sports-brand-mizuno-hit-with-ransomware-attack-delaying-orders/"><span style="color: rgb(0, 0, 0);">運動用品業者美津濃傳出將延遲出貨，原因疑似是遭到勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/order-delays-message.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/order-delays-message.jpg" style="width: 300px; float: right;" /></a>運動用品業者遭到駭客盯上，傳出受到勒索軟體攻擊而影響營運。資安新聞網站Bleeping Computer取得消息人士的說法指出，日本大型運動用品業者美津濃（Mizuno）於2月4日遭到勒索軟體攻擊，導致該公司業務嚴重中斷，電話無法使用，或是延遲出貨的現象。美津濃也在美國網站上發出公告，表明該公司出現系統故障的情況，將可能會導致訂單處理延遲，但除此之外沒有透露進一步的資訊。也有客戶聯繫上客服得知，該公司內部系統被迫關閉，而無法搜尋訂單，或是訂購產品，再者，經銷商疑似無法存取該公司的B2B網站進行採購。截至目前為止，美津濃始終沒有對於此事做出回應，攻擊者身分也仍不明朗。</p> <p><span style="font-size: 22px;"><a href="https://www.zdnet.com/article/europes-biggest-car-dealer-hit-with-ransomware-attack/"><span style="color: rgb(0, 0, 0);"><strong>歐洲大型汽車經銷商成為Hive勒索軟體的受害者</strong></span></a></span></p> <p>汽車產業近年來也成為勒索軟體攻擊的目標之一。根據新聞網站ZDNet的報導，瑞士大型汽車經銷商Emil Frey，證實於1月11日遭到勒索軟體攻擊，並表示於數日後恢復公司營運。至於攻擊者的身分，該公司也於2月1日，出現於勒索軟體Hive的受害者名單裡。</p> <p><span style="font-size: 22px;"><a href="https://www.theregister.com/2022/02/11/optionis_stolen_data/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Vice Society攻擊派遣人力業者Parasol Group，竊得資料疑似於暗網公開</strong></span></a></span></p> <p>在1月上旬，派遣人力業者Parasol Group疑似遭到網路攻擊，導致其處理工資的IT系統運作中斷，並得到母公司Optionis的證實。而到了2月初，這起事故出現了後續發展。根據新聞網站The Regsiter的報導，勒索軟體駭客Vice Society聲稱是由他們發動相關攻擊，並於2月11日公布部分竊得的資料。該新聞網站取得數名派遣人員的說法指出，他們僅有取得部分1月份的薪資報酬。</p> <p><span style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/croatian-phone-carrier-data-breach-impacts-200-000-clients/"><span style="color: rgb(0, 0, 0);"><strong>克羅埃西亞電信業者傳出資料外洩，20萬用戶恐受波及</strong></span></a></span></p> <p>又是電信業者資料外洩的事故。克羅埃西亞電信業者A1 Hrvatska近期發出公告，表示他們的用戶資料庫，疑似遭到未經授權的人士存取，大約有10%用戶（約20萬人）受到波及。該公司指出，遭到存取的資料包括用戶姓名、地址，以及電話號碼，至於信用卡與網路帳號的資料，則不受影響。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/emergency-magento-update-fixes-zero-day-bug-exploited-in-attacks/"><span style="color: rgb(0, 0, 0);">電商網站軟體Magento驚傳RCE漏洞</span></a></strong></span></p> <p>知名電商網站軟體Magento，最近出現新的重大漏洞而值得用戶留意。Adobe甫於2月13日，發布緊急更新，修補Magento（商業版稱為Adobe Commerce）的重大漏洞CVE-2022-24086，CVSS風險層級為9.8分，且已有開始利用該漏洞的攻擊行動，一旦駭客成功利用，可在無須身分驗證的情況下發動RCE攻擊。這項漏洞影響2.3.3版以上的Magento，較舊的版本不受影響。<a href="https://sansec.io/research/magento-2-cve-2022-24086">資安業者Sansec指出</a>，雖然他們尚未看到有人能夠成功利用這項漏洞，但應該很快就會出現大規模的掃描行動。</p> <p><span style="font-size: 22px;"><strong><a href="https://chromereleases.googleblog.com/2022/02/stable-channel-update-for-desktop_14.html"><span style="color: rgb(0, 0, 0);">Google緊急修補已被利用的瀏覽器漏洞</span></a></strong></span></p> <p>駭客利用零時差瀏覽器漏洞的情況，迫使開發者緊急發布軟體更新。Google於2月14日發布資安通告，針對Windows、macOS、Linux版用戶，推出Chrome 98.0.4758.102，本次共計修補11個漏洞，有數項與記憶體釋放的濫用（UAF）有關，其中，最值得留意的是CVE-2022-0609，因為已有相關攻擊行為。Google亦表示將會逐步推送新版Chrome，但由於本次已有漏洞遭到利用的情況，使用者應考慮透過手動更新的方式，取得Chrome 98.0.4758.102。而該漏洞也是Google今年修補的第一個零時差漏洞。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-defender-flaw-letting-hackers-bypass-antivirus-scans/"><span style="color: rgb(0, 0, 0);">針對可被攻擊者用於規避掃描的弱點，微軟疑似悄悄修補了Windows防毒軟體</span></a></strong></span></p> <p>資安業者SentinelOne於1月揭露微軟防毒軟體Microsoft Defender的組態漏洞，該漏洞允許一般使用者透過Windows的搜尋功能，就能找到該防毒軟體不會掃描的資料夾，而可能被駭客用來存放惡意軟體以規避偵測。根據資安新聞網站Bleeping Computer的報導，近日Andy Dormann、Antonio Cocomazzi、CISOwithHoodie等資安人員發現，微軟疑似透過Microsoft Defender的情資更新機制，默默地修補此項漏洞。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.qnap.com/zh-tw/news/2022/qnap-%E5%BB%B6%E9%95%B7%E5%81%9C%E5%94%AE-eol-%E7%94%A2%E5%93%81%E7%9A%84%E5%AE%89%E5%85%A8%E6%80%A7%E6%9B%B4%E6%96%B0%E7%B5%82%E6%AD%A2%E6%97%A5%E6%9C%9F"><span style="color: rgb(0, 0, 0);">針對部分已終止支援的NAS設備，威聯通將提供重大安全更新至10月</span></a></strong></span></p> <p>為了讓客戶有更多時間能夠汰換設備，廠商可能針對部分終止支援（EOL）的產品，破例延長維護安全更新的時間。例如，臺灣NAS業者威聯通（QNAP）於2月14日發出公告，表明針對部分已經終止支援的NAS產品，包含可執行QTS作業系統4.2.6、4.3.3、4.3.6、4.4.1版的款式，將額外提供重大漏洞與嚴重漏洞的安全更新至2022年10月。不過，該廠商還是呼籲，用戶最好不要將這些設備直接曝露於網際網路，以免攻擊者針對尚未修補的漏洞下手。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.wsj.com/articles/cisco-made-20-billion-plus-takeover-offer-for-splunk-11644622277"><span style="color: rgb(0, 0, 0);">思科擬開價200億美元買下大數據分析業者Splunk</span></a></strong></span></p> <p>近期大型資安業者併購動作頻頻。根據華爾街日報（WSJ）、路透社（Ruters）等多家新聞媒體於2月12日的報導指出，思科疑似打算以200億美元的價碼，購買大數據分析業者Splunk，此消息傳出後，Splunk股價大漲17%，最高達到126美元。消息人士透露，這筆交易雙方甫提出討論，尚未論及更進一步的細節。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/2/15 15:47作者周峻佑https://www.ithome.com.tw/news/149382
Moxa MXview 3.2.4修補一組風險值10.0的重大安全漏洞，舊版用戶應盡速升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全專家發現四零四科技的網管軟體Moxa MXview平臺5項漏洞，串聯起來可讓遠端攻擊者以最高權限進行遠端程式碼執行（RCE）攻擊，漏洞風險值達到最高的10分，呼籲MXview用戶應立即升級到<a href="https://www.moxa.com/en/support/product-support/software-and-documentation/search?psid=53389" target="_blank">3.2.4版或更新版本</a>。</p> <p>Moxa MXview網路管理軟體是用於配置、監控和管理工業級網路設備。其運作原理是以MQTT broker在不同端點傳輸IPC/ RPC訊息，而為傳送到正確終端，MQTT broker也儲存著通訊頻道(topics)清單。研究人員指出。透過MQTT broker傳送的訊息內含登入憑證，MQTT也註冊了許多執行指令所需的callbacks。攻擊者可利用漏洞存取MQTT取得密碼等敏感資訊，再結合其他漏洞以執行程式碼。</p> <p><a href="https://www.claroty.com/2022/02/10/blog-research-securing-network-management-systems-moxa-mxview/" target="_blank">Claroty旗下的Team82安全團隊發現MXview 5項漏洞</a>，包括CVE-2021-38452、CVE-2021-38456、CVE-2021-38460、CVE-2021-38458和CVE-2021-38454。這5項漏洞涵括類型包括路徑存取、使用寫死的密碼、登入憑證的未防護傳輸、程式碼注入、存取控管不當，各自風險值為5.0到7.5之間。其中的CVE-2021-38452、CVE-2021-38454及CVE-2021-38458可被串聯，而在運行MXview的主機上進行驗證前RCE。</p> <p>安全廠商進一步說明，CVE-2021-38452為路徑穿越漏洞，使攻擊者得以讀取受保護的目錄，取得MQTT登入憑證，而CVE-2021-38454和CVE-2021-38458則出在對ping呼叫加入的IP參數未妥善驗證，使攻擊者可以簡單的ping呼叫OnMessage callback，而在MQTT broker注入惡意MQTT訊息指令，並於MXview伺服器上以NT AUTHORITY/SYSTEM權限執行任意程式碼。</p> <p><a href="https://www.cisa.gov/uscert/ics/advisories/icsa-21-278-03" target="_blank">根據CISA發出的安全公告</a>，成功開採這些漏洞可讓攻擊者建立、執行或覆寫檔案以執行程式碼、存取程式、取得登入憑證、關閉軟體、讀取及修改資料，進而遠端連結內部通訊頻道，或是遠端使用MQTT。</p> <p class="rtecenter"><a href="http://www.cisa.gov/uscert/ics/advisories/icsa-21-278-03" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0215-Moxa%20CISA.png" style="width: 550px;" /></a></p> <p>由於可遠端開採，且攻擊複雜度低，本批漏洞綜合風險值因而一舉被提高到滿分的10.0。</p> <p>受這批漏洞影響的MXview版本包括3.x到3.2.2。<a href="https://www.moxa.com/en/support/product-support/security-advisory/mxview-network-management-software-vulnerabilities" target="_blank">Moxa已經於去年9月釋出3.2.4版</a>（<a href="http://www.moxa.com/en/support/product-support/software-and-documentation/search?psid=53389" target="_blank">目前最新版本為3.2.6</a>），呼籲用戶儘速升級。</p> <p class="rtecenter"><a href="http://www.moxa.com/en/support/product-support/security-advisory/mxview-network-management-software-vulnerabilities" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0215-Moxa%20r2021-09%20release.png" style="width: 600px;" /></a></p> </div></div></div>
2022/2/15 15:55作者林妍溱https://www.ithome.com.tw/news/149381
GitHub原生支援在Markdown檔案以Mermaid語法編輯圖表
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2022-02-14-include-diagrams-markdown-files-mermaid/">GitHub現在於Markdown檔案中支援圖表工具Mermaid語法</a>，可讓用戶方便地在文件中，以文字的方式定義並繪製各種圖表，包括流程圖、UML和甘特圖等。</p> <p>圖表是說明概念的好用工具，而過去用戶要在GitHub的Markdown檔案中加入圖表的唯一做法，便是嵌入圖片，但是這樣的方式並不方便，用戶有時候會希望圖表能夠像是ASCII藝術一樣，隨著文件更新同步，因此GitHub決定在Markdown檔案中支援Mermaid圖表工具。</p> <p>Mermaid是一個JavaScript圖形和圖表工具，供用戶採用Markdown文字定義內容，並在瀏覽器中動態的創建圖表，其支援各種常見圖表類型，包括流程圖、UML、Git圖、使用者旅程圖，甚至是複雜的甘特圖。</p> <p>在GitHub中，當Markdown檔案中存在Mermaid程式碼區塊時，GitHub會生成一個iframe，並將Mermaid語法傳遞給Mermaid.js，該函式庫會在本地端瀏覽器中，將程式碼轉換成為圖表。</p> <p>這項渲染圖表的過程主要分為兩個階段，分別是GitHub的HTML工作管線，以及GitHub內部檔案渲染服務Viewscreen。GitHub在HTML工作管線新增過濾器，以尋找帶有Mermaid語言標籤的程式碼區塊，並將其替換成為模板，方便客戶端在非JavaScript環境中請求帶有嵌入Mermaid內容，能夠看到原始的Markdown程式碼。</p> <p>接下來，當用戶要在JavaScript環境中查看Mermaid內容，GitHub便會將iframe注入到頁面中，並將scr屬性指向Viewscreen服務。這樣的做法帶來幾項好處，官方提到，首先，由於函式庫卸載到外部服務，因此從Rails服務而來的JavaScript內容便會更少，且非同步渲染圖表也能夠減少不必要的渲染成本，而且用戶的內容被鎖定在iframe中，也就不太可能在載入圖表時惡搞GitHub的頁面。經過這些程序，Mermaid語法最終轉換成檔案中的向量圖表。</p> </div></div></div>
2022/2/15 16:02作者李建興https://www.ithome.com.tw/news/149380
英特爾打算以60億美元買下以色列晶圓代工廠Tower Semiconductor
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/amp/articles/intel-near-roughly-6-billion-deal-to-buy-tower-semiconductor-11644876391" target="_blank">《華爾街日報》周一（2/14）引述消息來源報導</a>，英特爾（Intel）正準備以接近60億美元的價格，買下以色列的晶圓代工廠Tower Semiconductor，以替該公司帶來更多的晶片產能，且雙方最快會在本周宣布。</p> <p>1993年成立於以色列的Tower Semiconductor生產SiGe、BiCMOS、SO、RFCMOS、CMOS感應器、非成像感應器、電源管理、非揮發性記憶體與MEMS等，該公司在2008年買下位於美國的Jazz Semiconductor，並將其更名為TowerJazz，2011年再由TowerJazz併購美光的日本工廠以擴大產能，2014年再與Panasonic共同成立TowerJazz Panasonic Semiconductor Co.（TPSCo），由TowerJazz取得51%的股權，而臺灣的<a href="https://www.nuvoton.com/news/news/all/TSNuvotonNews-000385/" target="_blank">新唐科技因於2020年買下Panasonic的半導體事業</a>，而成為Tower Semiconductor的合作夥伴。</p> <p>因此，在《華爾街日報》披露此一消息之後，當天Tower Semiconductor於美國那斯達克股市的盤後股價大漲了48%，股價直接從33.13美元衝上49.05美元。新唐今日（2/15）盤中也出現微幅上漲。</p> <p>目前Tower Semiconductor在以色列、加州、德州與日本都擁有工廠，根據<a href="https://www.trendforce.com/presscenter/news/20210305-10693.html" target="_blank">集邦科技去年3月的統計</a>，Tower Semiconductor為全球十大晶圓代工廠之一，但排名落在五名外，市占率為1%。</p> <p>至於在去年3月成立晶圓代工服務事業群（Intel Foundry Services，IFS）的英特爾，則企圖擴充該公司的生產能力，以迎合美國企圖留住晶圓製造產能的政策，近日<a href="https://www.intel.com/content/www/us/en/newsroom/opinion/semiconductors-run-world.html" target="_blank">英特爾執行長Pat Gelsinger再度重申此事</a>，宣稱在此一半導體黃金時代，生產能力為成敗的關鍵，晶片短缺的狀況將隨著英特爾與其它業者快速擴廠的舉動而緩解，英特爾也將協助於未來幾年打造更具彈性的半導體供應鏈，以確保未來幾年的供應無虞。</p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/0215-Intel%20CEO%20pat%20gelsinger-450.jpg" style="width: 450px;" /></strong></p> <p><span style="color:#696969;"><strong>英特爾執行長Pat Gelsinger</strong>（圖片來源／英特爾）</span></p> <p>目前不管是英特爾或Tower Semiconductor，都未對外回應《華爾街日報》的報導。</p> </div></div></div>
2022/2/15 14:20作者陳曉莉https://www.ithome.com.tw/news/149378
微軟修補了讓駭客繞過Defender掃瞄的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日悄悄修補了端點安全產品Microsoft Defender一個能讓駭客繞過安全偵測的漏洞。</p> <p><a href="https://www.ithome.com.tw/news/148905" target="_blank">上個月SentinelOne研究人員Antonio Cocomazzi揭露</a>Defender防毒產品中的存取控制清單（access control list，ACL）組態存取漏洞。Cocomazzi發現只要在Windows搜尋列中搜尋「HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions」及「HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions」，可以找到用戶對Defender設定、可略過掃瞄的資料夾清單，即使是一般權限用戶也可透過GUI工具找到。此外，具有管理員權限的用戶還可在PowerShell cmdlet指令中執行GetMpPreference存取到這資訊。</p> <p>找到這些例外清單上的資料夾，攻擊者就可以將惡意檔案儲存在這些地方，之後執行也不會觸發Defender的安全警告。<a href="https://www.bleepingcomputer.com/news/security/microsoft-defender-weakness-lets-hackers-bypass-malware-detection/" target="_blank">BleepingComputer則成功測試</a>可在電腦上暗中植入並執行Conti勒索軟體。</p> <p>這項漏洞影響所有版本Windows 10及Windows Server 2019，但不影響Windows 11。研究人員Nathan McNulty證實至少在去年釋出的Windows 21H1及21H2，已經存在這漏洞，但可能追溯到8年前。</p> <p><a href="https://twitter.com/SecGuru_OTX/status/1491708672027901955" target="_blank">本月初代號SecGuru的荷蘭資安專家發現</a>，Defender已經變更存取例外清單的權限為管理員，而不再是所有人。必須輸入管理員密碼才能存取Defender的「病毒與威脅」控制臺下的「例外」清單。<a href="https://twitter.com/splinter_code/status/1491777485457039363" target="_blank">Cocomazzi也證實這點</a>。</p> <p><a href="https://twitter.com/wdormann/status/1491889430877061120" target="_blank">安全專家Andy Dormann分析</a>微軟並非透過Microsoft Update或Defender簽章更新，而是透過Defender的情報更新（intelligence update）、修改控制機碼存取許可的MsMpEng.exe執行檔而成。</p> </div></div></div>
2022/2/15 13:30作者林妍溱https://www.ithome.com.tw/news/149373
SEC將針對投資顧問與私募基金祭出資安規定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2022-20" target="_blank">美國證券交易委員會（SEC）上周通過了一項提案</a>，將要求投資顧問、投資公司或各式私募基金遵循資安規定，包括執行網路風險管理，以及資安事件的揭露等。</p> <p>SEC主席Gary Gensler表示，所提出的規定與修正案是用來強化業者的網路安全準備度，亦能改善投資人對於這些業者在對抗攻擊威脅的信心。</p> <p>相關規定將要求業者採用可解決網路安全風險及危害投資人的網路安全政策及程序，此外，業者也必須在48小時內回報重大的安全風險。所謂重大的安全風險包括造成網站或電子郵件功能關閉，系統遭到入侵或資料外洩等由惡意程式攻擊所造成的災害。</p> <p>此外，業者也必須在公司宣傳手冊與註冊說明書中，列出過去兩年所曾遭遇的網路安全風險及重大資安意外。</p> <p>新的規定將在SEC公布細節的60天內，或是出版於《聯邦公報》（Federal Register）之後的30天內開放公眾提供意見。</p> </div></div></div>
2022/2/15 12:25作者陳曉莉https://www.ithome.com.tw/news/149372
Google緊急修補已遭開採的Chrome漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2022/02/stable-channel-update-for-desktop_14.html" target="_blank">Google於2月14日釋出了</a>支援Windows、macOS與Linux的Chrome 98.0.4758.102，以修補11個安全漏洞，且已有涉及CVE-2022-0609漏洞的攻擊程式現身。</p> <p>此次Google所修補的安全漏洞中，有7個被列為高風險漏洞，當中的CVE-2022-0609為動畫的釋放後使用漏洞，是由Google威脅分析團隊的成員所發現，且坊間已有相關的攻擊程式。</p> <p>Google準備在未來幾天至幾周陸續傳送更新至用戶裝置上，心急的使用者則可透過Chrome設定中的「說明」~>「關於Google Chrome」，來檢查有否最新版本並手動進行更新。</p> </div></div></div>
2022/2/15 11:22作者陳曉莉https://www.ithome.com.tw/news/149368
思科傳提議200億美元收購Splunk
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/cisco-made-20-billion-plus-takeover-offer-for-splunk-11644622277" target="_blank">華爾街日報報導</a>，網路設備大廠思科計畫向網路及IT管理分析軟體業者Splunk提議以200億美元收購的交易案。</p> <p>這將是思科歷來金額最大的收購案，是2005年收購Scientific Atlanta 的70億美元將近3倍。報導引述消息人士指出，這交易是於近日提出，但雙方還未積極洽談本案。</p> <p>思科並未回應媒體詢問，Splunk則表示不願對臆測做出評論。</p> <p>Splunk以提供針對機器事件資料的大數據分析，來辨識IT維運及資安威脅的管理軟體平臺。Splunk歷經2020年的23.6億美元營收高峰後，去年下滑至22.2億美元。公司股價也從最高的220美元幾近腰斬。去年11月公司執行長Doug Merritt下臺，由董事長Graham Smith擔任臨時執行長。</p> <p>報導指出，Splunk希望藉收購解套。另一方面，思科則希望改變以路由器、網路交換器為主的營收結構，擴大軟體收入。<a href="https://investor.cisco.com/news/news-details/2021/Cisco-Reports-First-Quarter-Earnings/default.aspx" target="_blank">上一季思科營收</a>129億美元，年增11%。報導指出思科希望目前占公司營收30%的軟體業務，在2025年時能提高至50%。</p> <p>思科也向來習以收購擴張營收。去年思科以10億美元買下網路監控軟體商ThousandEyes、分散式應用追蹤軟體供應商Epsagon、及德國雲端與Kubernetes架構治理及成本管理商Replex。</p> <p>消息見報後，Splunk股價由114美元大漲17%，最高來到126美元。</p> </div></div></div>
2022/2/15 11:37作者林妍溱https://www.ithome.com.tw/news/149369
微軟將於2月28日重啟總部辧公室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在多次推遲後，隨著美國COVID-19疫情緩和，<a href="https://blogs.microsoft.com/blog/2022/02/14/the-next-chapter-of-our-hybrid-workplace-update-on-our-washington-state-work-sites/" target="_blank">微軟昨（2/14）日宣布</a>總部辧公室將在2月28日完全重啟營運。</p> <p>COVID-19疫情爆發後，微軟於2020年3月實行員工居家辦公政策，<a href="https://www.ithome.com.tw/news/140455" target="_blank">同年10月微軟公布彈性工作場所（Flexible Workplace）</a>允許員工少於50%的時間比例可在家上班，讓遠端工作成為常態。期間微軟依據各地疫情資料，調整員工回公司上班的政策。原本微軟預計2021年重啟的決定，也因Omicron病毒而再次延到2022年新年後。</p> <p>微軟行銷長暨執行副總裁Chris Capossela指出，根據華盛頓州員工居住地區的高度完整接種率及低重症、死亡率、以及快篩工具完備等資料導向的判斷，該公司華盛頓州各辧公室已經來到混合工作模式的第六階段，即完整開放階段，並自2022年2月28日生效。這意謂著所有設施對員工、訪客或合作夥伴開放，所有公司廠區服務也都將回復。</p> <p>微軟員工有30天可以調整工作，並在主管同意下選擇回公司或在家上班。而除了華盛頓州，加州灣區包括矽谷辦公室也都將同步於2月28日重啟，微軟也預期所有其他美國辦公室在條件許可下，也會跟著開放。</p> </div></div></div>
2022/2/15 11:52作者林妍溱https://www.ithome.com.tw/news/149370
蘋果對荷蘭約會App開放第三方程式內支付的措施，又被當局罰500萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應荷蘭政府要求，<a href="https://www.ithome.com.tw/news/149209" target="_blank">蘋果對當地約會App開放第三方程式內支付</a>，不料相關措施仍不足以安撫荷蘭當局，又再對蘋果開罰500萬歐元，是連續第4張罰單。</p> <p>2021年在約會App Match Group的投訴下，荷蘭政府消費者與市場管理署（Authority for Consumers and Market，ACM）調查並命令蘋果必須在2022年1月15日之前，調整App Store對約會程式開發商的不合理條款，否則將每周罰款500萬歐元。雖然蘋果承諾允許荷蘭當地約會App使用第三方程式內支付，但ACM以蘋果仍未充分滿足其要求為由，<a href="https://www.ithome.com.tw/news/149051" target="_blank">今年1月首度開罰500萬歐元</a>。</p> <p>但本周ACM再度對蘋果開罰500萬歐元，是自1月來的第4次。這次開罰是針對<a href="https://www.ithome.com.tw/news/149209" target="_blank">本月初蘋果公布修改條款</a>。允許約會App加入程式內第三方支付，或是在App加入連結將用戶導向App原廠網站，但App對於消費者以第三方支付完成的交易，仍需支付蘋果27%的手續費。此外，App開發商需另外提交iOS或iPadOS App二進位檔，理由是這是荷蘭當地專屬的權利。</p> <p><a href="https://www.acm.nl/en/publications/acm-developing-new-app-unnecessary-and-unreasonable-condition-apple-imposes-dating-app-providers" target="_blank">荷蘭當局解釋</a>，這修改條款很沒誠意。本周ACM指出，蘋果要求App開發商另外開發全新App並上傳到App Store，無異迫使開發商支付額外成本，而且App消費者也必須轉到新App才能使用第三方支付方式，刪掉舊App、安裝新App。ACM也對條款的其他元素表達質疑。</p> <p>荷蘭主管機關認為這是很不合理的條款，因而認為蘋果仍然未滿足ACM要求，因此必須再支付500萬美元。從1月以來，蘋果總共已經被荷蘭政府判罰2,000萬歐元。</p> <p><a href="https://www.zdnet.com/article/apples-bid-to-quell-dating-app-concerns-earns-another-eur5-million-fine-from-dutch-regulator/" target="_blank">蘋果之前曾表示</a>會努力遵守荷蘭政府的命令，但該公司也表示將會提出申訴。</p> </div></div></div>
2022/2/15 12:15作者林妍溱https://www.ithome.com.tw/news/149371
YouTube規畫應用NFT技術，並發展元宇宙沈浸式觀影體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下影像串流平臺YouTube正在考慮應用Web3技術，像是NFT和區塊鏈，來強化創作者與粉絲間的連結，並進一步開發新體驗。YouTube或將讓創作者向粉絲販售NFT，並且也讓粉絲能夠互相交易NFT。</p> <p>Web3是在Web 2.0之後，被提出的一個網際網路概念，主要是與區塊鏈相關概念與延伸應用有關，包括加密貨幣與非同質化代幣（Non-Fungible Token，NFT）。YouTube產品長Neal Mohan在官方部落格分享的<a href="https://blog.youtube/inside-youtube/innovations-for-2022-at-youtube/">文章</a>提到自己對於產品、工具和功能未來的見解，表示Web3可以供創作者開闢許多新機會，並且YouTube也相信區塊鏈和NFT等新技術，能夠讓創作者與粉絲建立起更深層次的關係。</p> <p>NFT是一種區塊鏈數位帳本的資料單位，每個單位都是獨特的數位資料，內容能夠是藝術作品、遊戲、影音或是虛擬物件，雖然檔案本身可以被無限複製，但是利用區塊鏈追蹤代幣時，其提供一種有效的驗證方式，能夠提供買家所有權證明，作為驗證數位所有權的憑證。</p> <p>區塊鏈和NFT技術提供創作者另外一種獲利的方式，以可驗證的方式讓粉絲能夠擁有創作者的獨特影片、照片、畫作，甚至是體驗，Neal Mohan表示，採用新技術有許多需要考慮的問題，但是整體來說，他們認為Web3潛力無窮。</p> <p>YouTube在2021年的時候，合作夥伴計畫達到200萬創作者里程碑，並提供創作者10種獲利方式，其大部分獲利方法皆與在影片投放廣告、提供訂閱服務，或是向粉絲尋求贊助有關。而在YouTube加入NFT之後，或將會提供創作者另一個收入來源，並使粉絲能夠交易創作者的虛擬物品。</p> <p>Neal Mohan在部落格文章中也提到元宇宙（Metaverse），要讓觀眾在虛擬環境中一起觀看影片。他並沒有具體說明將會採用的元宇宙環境，但表示，YouTube正在尋求讓觀眾身歷其境的的方式，而元宇宙環境是一個可以實現的方向，特別是在遊戲領域。</p> </div></div></div>
2022/2/15 11:08作者李建興https://www.ithome.com.tw/news/149364
MIT研究人員發表高效能運算專用張量語言ATL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MIT研究人員發展專用於高效能運算的程式語言<a href="https://news.mit.edu/2022/new-programming-language-high-performance-computers-0207">ATL（A Tensor Language）</a>，該語言強調能夠兼具效能與可靠性。ATL以程式語言Coq為基礎，並且提供了證明助理，以驗證ATL的最佳化正確無誤。</p> <p>現在越來越多的應用，像是機器學習與影像處理，皆需仰賴高效能運算，人們普遍認為，在追求速度的同時，可能需要犧牲可靠性，而MIT研究人員則挑戰了此一觀點，研究人員提到，速度和正確性可以不需要競爭，在ATL中可以同時實現。</p> <p>由於高效能運算非常消耗資源，程式需要以最佳化的形式編寫，來加快執行速度，但是開發人員通常以最容易的方式編寫，因此都需要進一步調整。而ATL便能夠在這種時候幫上忙，針對複雜的運算，ATL提供最佳化程式開發框架，可以將原本多步驟的運算過程，轉換成較少的且較快的運算方法。</p> <p>ATL建立在現有程式語言Coq之上，並提供了證明助理，該證明助理能以嚴謹的數學方法，證明最佳化的正確性，經證明助理驗證過後的程式，能夠確保最終仍可獲得正確答案。</p> <p>研究人員提到，過去程式的最佳化不少都要以手動進行，需要經過大量反覆試錯的過程，而ATL提供了更具規則的方式執行程式最佳化。ATL目前是唯一能夠真正驗證其最佳化的張量語言，目前還在初期研究階段，研究人員正提高ATL的可擴展性，以便應用在現實中更大的程式中。</p> </div></div></div>
2022/2/15 11:13作者李建興https://www.ithome.com.tw/news/149365
CHIPS聯盟推動FPGA交換格式專案，以促進產業工具鏈發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google與雲端人工智慧科技公司Antmicro<a href="https://opensource.googleblog.com/2022/02/FPGA%20Interchange%20format%20to%20enable%20interoperable%20FPGA%20tooling.html">合作</a>，啟動了<a href="https://github.com/chipsalliance/fpga-interchange-schema">FPGA交換格式開源專案</a>，其提供可降低開發人員進入門檻的統一框架，並且在使用相同約定，但不同布局和布線工具間建立橋樑。由Google倡議的CHIPS聯盟成員，正在合作開發交換格式定義和相關工具，目的是要讓該專案成為產業開發標準。</p> <p>現場可程式化邏輯閘陣列（FPGA）已經存在數十年，Google提到，特定工具鏈的開發，通常存在於由供應商自己推動的獨立生態系中，但是這個趨勢在最近幾年發生改變，隨著中立開源工具鏈的發展，現在產業需要一個抽象層，來標準化格式描述和定義FPGA架構。</p> <p>標準格式提供架構的通用描述，帶來實踐可交換特定建置模塊的共享方法，並且能夠在工作流程中，各種開源和封閉專有工具間充當橋樑，包括布局布線工具VtR和nextpnr，以及來自賽靈思、英特爾、Lattice和QuickLogic供應商的工具。FPGA交換格式提供三個重要描述，來描述FPGA並與相關的工具互動，包括裝置資源、邏輯網表和實體網表。</p> <p>Google提到，創建標準格式的挑戰，在於定義FPGA架構的通用性和特殊性之間的界線。而該專案採用目前市場主流島形FPGA，使該標準達到一定程度的通用性和簡潔性，易於使用、採用和實作。</p> <p>Antmicro和Google選擇nextpnr作為第一個採用交換格式的布局布線工具，而VtR（Verilog-to-Routing）專案中的VPR（Versatile Place and Route）也計畫採用交換格式，Antmicro正在VPR中原生支援格式，如此便可以交換使用不同的工具執行布局和布線，像是從VPR布局輸出跳轉到nextpnr布線，以更快地改進演算法。</p> </div></div></div>
2022/2/15 11:15作者李建興https://www.ithome.com.tw/news/149367
4年資料暴增百倍，Uber靠三大省錢戰略兼顧可靠性和成本效益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4年前，如果沒有下定決心改變戰略，靠大數據平臺媒合顛覆了全球交通產業的Uber，就算現在手上現金多達68億美元，恐怕也撐不到1年就會用光。</p> <p>因為Uber手上大數據資料量在4年內暴增了100倍，從數PB，增加到數百PB。可是，Uber在2018年時，一年軟硬體IT支出高達12億美元，資料暴增百倍，若採用同樣技術架構，恐怕需要10倍，甚至是數十倍的軟硬體投資才能負擔。這正是4年前，Uber大數據平臺資深主任工程師Zheng Shao所率領的大數據成本效益團隊，必須解決的難題。</p> <p>創立於2010年的Uber，創新的叫車服務快速在全球爆紅，2018年中累計超過100億趟，光是2020年一年就有50億趟。而在2015年推出的餐點外送服務Uber Eat，在2020年疫情之後反而成了主要營收來源，超越了Uber叫車服務。2020年，全球叫車與外送訂單總金額達到580億美元。Uber服務快速擴張，呈現爆炸式成長，也導致他們手上的資料也是指數型成長，不論是資料儲存和分析運算需求都年年大幅增加。</p> <p><span style="font-size:28px;"><strong>2014～2015第一代大數據平臺：用商用軟體打造資料倉儲平臺</strong></span></p> <p>2014年時，Uber的資料量約100GB左右，資料量還算不多，Uber一開始用傳統OLTP資料庫，例如 MySQL和PostgreSQL。當時開發者必須自行存取不同資料庫中的資料表，沒有跨資料庫的整體性資料管理或存取作法。</p> <p>後來叫車業務開始大爆發，資料量成長到數TB，Uber採用商用Vertica軟體來建立資料倉儲，也開發許多ETL處理機制，來處理不同資料源，包括雲端S3或線上服務的Log等，也開始可以透過單一平臺來提供大數據資料的整體視野和存取管理，來支援上千人的數據分析和運算需求，例如城市維運經理，資料科學家或工程團隊。以資料倉儲來處理TB級的資料量，Uber第一代大數據平臺的延遲時間不到一分鐘內。 有了這套好用的分析平臺，Uber分析性資料更是快速累積到數十TB，增加了10倍。因為大量利用特定ETL來獲取資料，缺乏溝通機制，代價是，資料可靠性變成一大問題，程式碼變動就會影響資料源。再加上Uber業務繼續快速成長，資料繼續暴增，也導致資料倉儲的費用越來越昂貴。可是，第一代大數據平臺無法支援水平式擴充，因此，Uber經常得刪除舊資料，才能挪出空間來儲存新資料。再加上缺乏統一的資料格式，大量ETL處理所獲取的資料，得先多儲存一份來整理格式，才能確保資料品質，更讓Uber大數據平臺的儲存量嚴重不足。</p> <p><span style="font-size:28px;"><strong>2016第二代大數據平臺：改用開源Hadoop打造資料湖</strong></span></p> <p>為了解決資料爆量的需求，以及越來越昂貴的平臺軟硬體支出，Uber改用了許多免費的開源Hadoop生態系技術，例如用HDFS打造資料湖，來重新架構第二代的大數據平臺，將所有線上服務的資料源的資料都集中到單一地方。這個架構可以高度擴充能力來獲取海量資料。另外也引進Presto提供互動式的查詢引擎，或是用Spark來進行程式化存取資料的處理，也建置了Hive來提供超大型的資料查詢需求，並且採用了Hadoop主流的Parquet 檔案格式來取代JSON資料格式，來提高分析查詢的運算資源利用率。這些工具可以讓Uber第二代大數據平臺更有彈性，也更方便使用。</p> <p>為了確保擴充性，在這個時期，Uber也將所有資料模型和處理都在Hadoop上進行，只有少數關鍵資料才多儲存一份到原本的資料倉儲系統中。如此一來，大大降低了資料倉儲的維運費用。這個Hadoop資料湖打造的大數據平臺，成了Uber所有分析資料的主要來源。</p> <p>省錢不是Uber當時最迫切的問題，而是開源Hadoop打造資料湖可以採取水平式擴充架構。Uber當時大數據平臺的資料規模已經達到10PB之多，為了處理高達10萬個批次處理任務，這個大數據平臺的核心數也多達上萬個。但是，為了這個海量擴充能力，第二代平臺犧牲了資料即時性，當時最大的缺點是延遲時間非常久，甚至得等到24小時後，批次運算才能得到結果，這對大量仰賴即時分析的叫車服務來說，非常不利。</p> <p><span style="font-size:28px;"><strong>2017第三代大數據平臺：優化Hadoop效能支援即時分析</strong></span></p> <p>2017年，Uber大數據平臺資料量，在HDFS叢集上累計超過了100PB，運算叢集核心數高達10萬個，每天有10萬個Presto查詢，1萬個Spark任務和2萬次Hive查詢。不過，因為Hadoop可以勝任這個架構的資料量，因此Uber決定繼續使用同一個平臺，但要開始展開效能和擴充性的優化。</p> <p>特別是，當資料量達到PB等級時，HDFS叢集的NameNode會出現瓶頸，尤其儲存了大量小型檔案時，會開始影響效能。尤其資料量達到50～100PB時，這個影響就會變成大問題。因此，Uber採取一些分散式架構機制，例如NameNode Federation架構，或者將不同類型的小檔案切割分散到不同的叢集上來降低對效能的影響。</p> <p>另外，Uber也開始重新思考資料處理流程，如何能因應即時資料分析的需求，想辦法來解決新資料得等上24小時的延遲問題，開始尋找方法提供更快的ETL處理和建模機制。</p> <p>後來Uber打造出了Hudi專案，這是一個在HDFS和Parquet上的Spark函式庫，可用來處理龐大資料更新和刪除的維運問題，透過建立資料時間戳記，來對歷史性資料進行遞增式的維護，不用進行完整的資料表掃描，能讓新獲取資料的延遲時間，從24小時，縮短到1小時以內，以提供更即時分析之用。後來，Uber還聚焦資料品質，資料延遲，資料擴衝和可靠性繼續優化大數據平臺的機制，這些都是第三代大數據平臺的重要優化任務。</p> <p>在持續改善大數據平臺之際，Uber開始大量使用ML和AI技術，利用這些技術來優化服務和用戶體驗。尤其Uber服務上的決策，都是利用資料，進行自動化精準判斷，從預估市場供需，到計算駕駛到達時間ETA，都需要靠AI。因此，2017年，Uber打造了一個分散式深度學習框架Horovod，更發展出自己的ML平臺稱為米開朗基羅，可以自動擴充，演化和延伸。可是，這些AI平臺和框架，都增加了大數據平臺的儲存和運算負載。2017年時，Uber大數據團隊最重要的任務就是，盡可能支援新應用和使用案例，讓大數據平臺的使用者可以享有跟過去一樣的可靠度，能夠營收持續增加時，不會出現問題。</p> <p><span style="font-size:28px;"><strong>2019年11.5億美元IT支出，Uber大數據平臺最大宗的支出</strong></span></p> <p>以支援營運發展優先的大數據平臺發展戰略，在5年前的問題不大，Uber大數據平臺資深主任工程師Zheng Shao指出，因為2017年時，Uber大數據平臺的規模還小，只是Uber全球基礎架構的一小部分，但是不到3年，到在2019年初，大數據平臺成了Uber內部三大平臺中最花錢的一個。</p> <p>根據Uber在2019年揭露的資料，2018年一整年，Uber在IT支出花了11.97億美元，其中電腦硬體占了大宗，11.46億元，軟體費用只花了5,100萬美元。當時Uber已經改用免費的開源Hadoop生態系技術，但這些IT支出仍舊用於大數據平臺的運算和儲存設備需求上。在2019年時，Uber大數據平臺的資料量已經達到100PB個規模，Hadoop叢集擁有2萬臺伺服器，多達20萬個vCore。還有2千臺Kafka主機，每天Presto和Hive平臺的查詢多達10萬次，Spark任務一天10萬件。</p> <p>可是，2019年Uber營收不過13億美元，當年IT支出，包括軟硬體加起開就高達15.93億美元，比一年賺得錢還要多。如果，Uber繼續沿用同樣的Hadoop大數據技術架構，達到數百PB時，IT支出又需要暴增到什麼樣的天價，才足以負擔翻了幾倍的大數據平臺成長量？</p> <p>所以，就在2019年，Uber下定決心，要改變「大數據平臺全力支援業務成長」的戰略，「我們開始認真思考，如何讓大數據平臺，維持一貫的可靠性、生產力和對業務的價值，又能降低成本。」Zheng Shao幾年後在技術部落格公開了這段經歷，他正是Uber大數據成本效益改善團隊的關鍵人物之一。</p> <p>除了因為業務指數成長，導致資料大爆增之外，Zheng Shao剖析Uber大數據平臺燒錢的原因還有幾項。其中一項是為了因應災難備援而採取的Active-Acitve架構。Uber 從2016年後，將大數據平臺從單一區域架構，擴展成AA架構，任何一項任務，一種是採取雙倍運算量模式或者是採取單一運算加副本模式，也就是只在一個區域執行一項任務，而將輸出的資料集儲存在另一個區域中。</p> <p>這樣的AA架構設計，的確讓Uber避免了兩次大數據平臺的大災難，一次是2017年夏天時，有一座資料中心冷氣故障事件，另一次則是人為操作錯誤，這兩次都因為雙A架構，只在一個區域出錯，馬上由另一個區域接手提供服務，對顧客沒有造成影響。</p> <p>可是，「雙A架構的代價就是支出沒有效率，雙倍運算需要雙倍運算資源，單一運算加副本模式也要多備一份運算資源避免故障失效的備援，如何避免付出兩倍成本，或是否能將備用運算資源支援其他事呢？」Zheng Shao指出。</p> <p>不只是AA架構的挑戰，如果要控制大數據平臺的成本，開始限制可用的硬體資源，要如何決定重要任務的優先度和QoS？如何確保遇到突發需求仍，重要任務仍保有足夠的容量，不會因為過度節省而當機，或者能否善用臨時性的硬體資源來處理事後分析任務等，這得需要對使用者的大數據任務有詳細的了解，才能進行評估。 可是，Uber大數據平臺有數千位內部使用者，從資深技術專家到不懂技術的業務人員都有。</p> <p>各式各樣來自不同產品線，不同部門的使用者，讓Uber無法更深入了解所有的使用案例，一旦要開始限制大數據平臺的容量或運算量時，很難決定哪些人應該獲得資源，甚至，2019年時，Uber也因為用戶組成太複雜而無法掌握資料的擁有權和彼此之間的相依性關係，這意味著，也就無法決定該由哪些人來負擔資料使用的成本，「龐大的異質用戶不利於降低成本。」Zheng Shao表示。</p> <p><span style="font-size:28px;"><strong>2021年降低25%支出，更喊出3年後要大省一半</strong></span></p> <p>正是因為在2019年調整大數據平臺發展策略，開始重視成本問題，光是2019年第一年，就省下了數百萬美元的成本，Uber也繼續在2020年訂定了大數據省錢發展藍圖，經過2年努力，在2021年8月時，就達到大數據支出節省25%的成果，新的目標是要在未來2 ～3 年要將大數據支出減半，甚至，Uber要將這些大數據省錢做法，套用到線上服務，包括線上儲存，線上服務等。目前正和線上運算平臺團隊和線上儲存平臺合作，最終希望可以大幅降低Uber整體基礎架構的支出。</p> <p><a href="https://www.ithome.com.tw/article/149354" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1065-cover1-960.jpg?itok=tkrggzGR" style="width: 550px;" /></a></p> </div></div></div>
2022/2/15 07:00作者王宏仁https://www.ithome.com.tw/news/149327
【Uber大數據供應端省錢術】落實機器記帳是設備省錢第一步，更要善用大容量硬碟和負載機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儲存和運算設備的成本是Uber大數據平臺最大的成本來源，在Uber大數據省錢術中，如何提高用來執行大數據工作負載的硬體成本效益，就是第一步，也就是先從大數據平臺供應端著手。</p> <p>Uber手上的大數據資料量高達數百PB之多，所部署的Hadoop叢集、Hive叢集、Spark叢集、Kafka叢集、Presto叢集到Flink叢集的規模，都是全球最大規模的叢集。要降低硬體資源的成本，Uber第一步想到的作法就是採用容量更大也更便宜的傳統硬碟。</p> <p>因為大數據運算大多是循序讀取，而非隨機存取，傳統硬碟仍然是高容量和IOPS高比值的好選擇，但唯一的問題是，超大容量硬碟會削弱了每TB可用的IOPS，可能進一步對應用程式效能帶來不利的影響。</p> <p>Uber的HDFS叢集用了數千臺儲存主機，每一臺主機上都有數十顆傳統硬碟（簡稱HDD），這些機器混用了2TB、4TB、8TB和16TB容量的傳統硬碟，平均容量是4TB。Uber透過使用數據發現，只要善用負載平衡，就可以舒緩儲存主機滿載或IOPS滿載時對應用程式效能的影響。</p> <p>Uber改善負載有幾項秘訣，一是主動預測HDFS區塊的資料熱度（存取頻繁度）。分析HDFS區塊建立時間，建立位置，HDFS資料結構和歷史存取模式，來找出區塊未來的資料熱度，提前先將熱區塊的資料，改放到IOPS利用率較低的主機上，來避免IOPS塞車。其次是，進行「讀取時間的負載平衡」作法，因為Uber的HDFS檔案都會儲存3份，傳統做法上，Namenode會選擇任一個Datanode作為讀取來源。一般以為透過叢集負載平衡機制，每一個硬碟的工作負載應該一樣，其實不然，根據Uber實測，要在很短時間讀取大量資料時，將3份資料分散到1,000個節點上的1,000顆硬碟時，Uber發現，37%硬碟竟然沒有任何負載，而忙碌的硬碟卻會有5倍或更多請求，Uber修正做法，先紀錄每一個Datanode的存取次數，當要讀取資料時，就避開儲存在忙碌硬碟上的那一份，改從其他兩份資料讀取。這個簡單的修正，可以明顯減少出現少量熱機的情況。同樣的做法也可以套用在「寫入時間負載平衡」，來避開寫入頻寬的區塊，改寫入如其他閒置硬碟上的區塊。 透過這些負載平衡的調整，Uber就可以在HDFS叢集上大量運用16TB容量超大硬碟，不只減少了每TB的成本，更重要的也降低了叢集所需主機設備的數量，也等於可以減少每TB所耗的電力。另外，就算搭配Hadoop 3.0的糾刪碼演算法，將3份資料量，減少到1.5倍，上述做法也同樣有效果。</p> <p>原本在本地端準備三份備份的HDFS叢集，建置成本向來比雲端物件儲存貴上許多，但改將2TB,4TB,8TB硬碟都換成 16TB之後，Uber大幅縮短兩者之間的成本差距。</p> <p><span style="font-size:28px;"><strong>兩大專案善用閒置運算資源</strong></span></p> <p>除了改用便宜超大硬碟，Uber還發起了兩大善用閒置硬體資源的專案，來提高供應端的成本效益，一個是專案是善用HDFS節點上的閒置CPU和記憶體。因為有充沛網路頻寬，可以把HDFS儲存和資源管理的YARN放在不同的機櫃，讓儲存和運算各自獨立擴充，來因應不同的需求，但這個架構需要在HDFS節點上準備大量備用的CPU和記憶體，遠超過了Datanode的需求。因此，Uber將部分YARN的Nodemanager放到這些運算力充裕的儲存節點上，來減少對運算用節點的需求。</p> <p>另一個專案則是善用線上服務主機上的閒置資源。Uber將線上服務中的閒置主機（用量低的主機），挪出一部分來支援大數據平臺的備援支用，在那些線上服務中安插一部分的大數據平臺的備援服務，只要掌握了線上服務用量的周期性，就能善用離峰時的運算資源來支援大數據運算。</p> <p>除此之外，Uber後來發現，光是做好機器記帳（Machine Accounting），清楚計算每一臺機器的分配和回收，就可以提高不少效益。因為過去幾年快速發展，Uber累積了大量獨立系統，有開發環境，測試環境，POC叢集等各式各樣的環境，甚至有些環境過度分配資源，或者用完沒有回收。「不只Uber，很多快速成長的企業，都會遇到這類的問題。」Uber大數據平臺資深主任工程師Zheng Shao強調。</p> <p>Uber後來設計了集中式儀表板，可以從不同維度來看我們龐大硬體設備的利用情況透過這一組儀表板，半年內，就從好幾個團隊中，釋出了上千臺他們不用的機器。</p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> Uber大數據供應端省錢術 </span></strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:24px;"><strong>1. 全面改用便宜的超大容量硬碟</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:24px;"><strong>2. 主動預測HDFS區塊的資料熱度</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:24px;"><strong>3 讀取時間和寫入時間的負載平衡</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:24px;"><strong>4. 善用HDFS節點上的閒置CPU和記憶體</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:24px;"><strong>5. 善用線上服務主機上的閒置資源</strong></span></span></p> <p><span style="color:#696969;">資料來源：Uber，iThome整理，2022年2月</span></p> <p><a href="https://www.ithome.com.tw/article/149354" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1065-cover1-960.jpg?itok=tkrggzGR" style="width: 550px;" /></a></p> </div></div></div>
2022/2/15 07:00作者王宏仁https://www.ithome.com.tw/news/149335
【Uber大數據需求端省錢術】盤點所有權精算資源用量，重要需求才能獲得更多資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>除了<a href="https://www.ithome.com.tw/news/149335" target="_blank">減少供應端硬體成本</a>，Uber大數據平臺省錢策略還另一個重點戰略，就是從大數據需求端下手。Uber大數據平臺資深主任工程師Zheng Shao甚至強調，從需求端下手，比降低供應端硬體成本更重要。</p> <p>「Uber大數據平臺有上千位內部使用者，從深度技術專家到非技術的業務都包括在內，」Zheng Shao在官方部落格上寫道：「這麼龐大、不同性質的使用者，對大數據平臺成本效益造成負面影響，比如，Uber大數據儲存和運算資源有限，不知道該將資源優先給誰。」這個問題，就是Uber大數據平臺的多租戶難題（Multi-tenant problem）。</p> <p>和許多企業一樣，Uber大數據平臺使用者橫跨多單位，不論是技術端的資料工程師、機器學習工程師、後端工程師，還是業務端的產品經理、業務分析師都算在內，每個人手上更負責不同的業務線。</p> <p>這種錯綜複雜的關係，不僅造成Uber無法深入了解每項業務，再加上大數據儲存和運算資源有限，Uber無法決定該將資源優先分配給哪些使用者。也因為缺乏詳細的所有權角色劃分，Uber難以確定哪些人該為大數據資源的使用負責、付費。</p> <p>這不只是Uber談大數據需求端成本效益時遇到的問題，也是許多企業發展大數據業務時，會遇到或正在經歷的挑戰。不只如此，Uber也面臨其他困境，像是當硬體資源有限時，如何決定大數據工作優先順序，來提供高品質的服務？又或是，如何確保自己擁有足夠的容量來應付需求尖峰，而且在閒置時又不產生過多成本？面對臨時作業需求，Uber能否彈性提供低成本的硬體資源？</p> <p><strong style="font-size: 28px;">作法1：劃分所有權，打造專屬用量管理工具</strong></p> <p>為何Uber認為，控制大數據平臺成本效益，需求端很重要？這是因為，Uber營運靠創新，大數據工作負載大多是實驗性的，內部使用者得不斷嘗試新實驗和機器學習模型。為滿足使用者不斷嘗試的需求，Uber打造一系列工具，來讓使用者管理自己的實驗需求，使用者也能同時知道，自己的實驗如何耗費大數據平臺資源，來精準調整用量。</p> <p>也因此，在開發管理工具前，Uber先劃分大數據平臺儲存量、運算量和工作量的所有權角色，鎖定出關鍵資源使用者，就像是先找出債主，之後才能用來把關大數據資源用量，甚至是用來計價大數據平臺資源用量的依據。Uber在劃分所有權時，特別強調3點，首先是人員，因為組織內部人員會異動，不同組織也會隨著時間重新調整，因此得定義清楚定義所有權角色。</p> <p>再來是資料族譜（Lineage），也就是涵蓋資料從上游產出、加工，再到下游運用的一系列追蹤記錄，就像是資料的血統演變。一般來說，一個完整的資料流程包含數十個步驟，每個步驟都可能由不同人或團隊負責，在多數情況下，資料所有權很難單一歸給資料生產者、資料處理者或資料使用者。Uber就利用領域知識，來把所有權一一劃分給資料處理流程中的各個負責人。</p> <p>最後是所有權的顆粒度。因為一套資料集中，可能會有不同角色使用特定資料，比如，產品團隊需要某段時間的資料，過了那段時間，就希望刪除，但對法遵團隊來說，會希望這些資料儲存久一點。如何滿足不同角色對同一資料的需求，是Uber所有權顆粒度劃分的重點。</p> <p>他們也根據這3大層面，自建了一系列工具來劃分所有權，比如用組織圖表和階層式所有權管理工具，來掌管資源使用者。Uber也正評估新方法，來打造所有權顆粒度工具，要讓不同團隊順利存取資料集中的特定資料。</p> <p><span style="font-size:28px;"><strong>用Databook掌握資料族譜</strong></span></p> <p>至於資料族譜，他們也早在2018年，就開發一套資料追蹤工具Databook，來掌握資料處理歷程資訊，特別是詮釋資料（Metadata）。當時，Uber正面臨業務快速擴增，2016年，他們新增外送服務Uber Eats、卡車貨運服務Uber Freight、單車共享服務Jump Bikes，2年後，每日出行次數超過1,500萬趟，每月活躍用戶更超過7,500萬人。</p> <p>這種增長，讓資料系統和工程架構越來越複雜，比如，在他們使用的分析引擎Hive、Presto和Vertica中，已經散落著數以萬計的表格。隨著業務擴張，表格數量和詮釋資料跟著暴增，為了讓內部的業務分析跟上公司發展腳步，Uber 4年前開發出Databook，就像是一個集中站，能管理、顯示Uber內部所有的詮釋資料，讓使用者更容易探索、運用這些資料。</p> <p>使用者可透過Databook了解資料的背景，像是資料的意義、品質，更讓這些關鍵訊息，不在上千次的分析中遺失。這些詮釋資料，還能讓Uber內部的工程師、資料科學家、作業團隊不再只是觀察原始資料，而是能將資料轉化為可實際動手運用的知識。</p> <p>這就是Uber用來追蹤資料族譜的自動化方法。</p> <p><span style="font-size:28px;"><strong>作法2：掌握每項業務需求</strong></span></p> <p>前段劃分好大數據工作負載的所有權後，接下來第2步，就是根據這些所有權角色，來預測大數據資源的需求變化，並評估是否超出預期，來調整資源用量。</p> <p>Uber觀察發現，大數據平臺需求增長有2種原因，一是業務事件增加，也就是Uber出行次數和UberEats訂單數一旦增加，大數據工作負載需求就會增加。另一個原因是單一業務事件增加，也就是新功能、更多實驗的出現，也可能是更多詳細的日誌出現，或是更多資料分析和機器學習模型出現，這些也會造成大數據資源需求增長。</p> <p>Uber大數據成本效益團隊，每個月會檢查每個所有權小組的大數據資源使用量，是否超出預期。如超過預期量，這些小組就得自行找出原因，也得自己想辦法降低用量。但有些所有權小組太龐大，無從找出原因，因此會請Uber大數據成本效益團隊來拆解。</p> <p><strong><span style="font-size:28px;">自建資料方塊工具，使用者輕鬆了解資源用量</span></strong></p> <p>為此，團隊也開發一套資源用量的資料方塊（Data Cube）工具，方便大數據平臺使用者，進一步了解不同維度資料使用大數據資源的狀況。進一步來說，有別於傳統的平面資料表，資料方塊是由一系列的維度和度量組成，原理就像立方體般，能更完整掌握資料性質。</p> <p>比如，在Uber的Hadoop分散式檔案系統HDFS用量資料方塊中，光是維度，就涵蓋了區域、HDFS叢集、HDFS層、HDFS目錄、Hive資料庫、Hive表格、Hive分區等，而度量則包括檔案數、字節數、預計年度成本。</p> <p>接著，使用者可從這款工具的介面，選擇不同條件、維度分類和度量等，來查看用量細節，不僅能視覺化觀察不同資料消耗的大數據平臺資源，還能幫助使用者找出原因、節省成本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E8%B3%87%E6%96%99%E6%96%B9%E5%A1%8A-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Uber-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Uber大數據平臺成本效益團隊打造一套資料方塊工具，可讓大數據平臺的使用者小組，來查看自己的資料如何消耗平臺資源，並進一步找出可省錢之處。</strong>（圖片來源／Uber）</span></p> <p><span style="font-size:28px;"><strong>作法3：主動分析詮釋資料，找出無用資料集</strong></span></p> <p>除了被動的視覺化呈現大數據平臺資源需求變化，Uber也主動分析詮釋資料，來找出可再節省的資源。</p> <p>在他們的觀察中，有2點是非常能節省大數據平臺成本的。其一就是管理無用的資料集，也就是在過去180天內都沒人讀寫的資料集。這些集多半是隨著應用範例而生，像是實驗或臨時的分析任務等。這些資料表的擁有者，通常只想持有這些資料一段時間，但很少人會在完成後刪除資料。</p> <p>於是，Uber設計一套提醒系統，能自動生成任務，每隔90天就問使用者，是否還需要這些無用的資料集。此外，Uber也新增了表格等級和分區等級的TTL（存活時間）支援，會自動刪除資料表或表中的分區。</p> <p>另一個能節省大數據需求成本的，則是孤立的工作流程，也就是在過去180天內，都沒人讀取的ETL工作流程產出的資料集。而這些資料集，也類似無用的資料集，都是擁有者可以刪除的。</p> <p><span style="font-size:28px;"><strong>作法4：下一步自動決定工作優先順序</strong></span></p> <p>Uber大數據平臺有著各式各樣的使用者、工作和資料表，團隊現在也正擬定一套指引，來劃分工作層級，並根據這些層級提供所需資源，使用者也得依此付費。接下來，Uber大數據成本效益團隊會與定價部門，設計一套優化演算法，來在低成本的條件下，提供最佳客戶體驗。</p> <p>不只如此，Uber還聯手線上運算平臺和線上儲存平臺的同事，要將原本的大數據工作負載，轉換為線上工作負載，比如使用線上服務、線上儲存等，來降低大數據平臺的需求負擔。這正是他們未來2、3年的目標。</p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> Uber大數據需求端省錢術 </span></strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>1. 劃分所有權，找出大數據平臺資源使用者</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>2. 自建資料族譜追蹤工具，將資料轉為知識</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>3. 建立資料方塊工具，掌握資源用量</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>4. 主動分析詮釋資料，找出無用資料集</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>5. 制定計價機制，使用者付費</strong></span></span></p> <p><span style="color:#696969;">資料來源：Uber，iThome整理，2022年2月</span></p> <p><a href="https://www.ithome.com.tw/article/149354" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1065-cover1-960.jpg?itok=tkrggzGR" style="width: 550px;" /></a></p> </div></div></div>
2022/2/15 07:00作者王若樸https://www.ithome.com.tw/news/149336
【Uber大數據平臺效益優化術】Uber手把手分享平臺效率優化8項心法，從檔案瘦身到聯邦叢集都優化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式創新是Uber的命脈，他們還用開源工具自行打造大數據平臺，來維持源源不絕的創新。但6年前，Uber業務快速擴增，不僅多了外送服務Uber Eats，還新增卡車貨運服務Uber Freight和單車共享服務Jump Bikes，資料量隨之暴增，大數據平臺更成為Uber最燒錢的工具。</p> <p>於是，Uber在2020年初制定了大數據平臺省錢策略，射出三支箭，其一瞄準平臺效率，團隊更毫不藏私地把成功經驗分享出來，手把手告訴身處同樣困難的企業，如何在業務擴增的同時，還能降低大數據平臺開銷。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E5%A4%A7%E6%95%B8%E6%93%9A%E5%B9%B3%E8%87%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Uber.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Uber大數據平臺採用一系列開源工具，像是Spark、Hadoop、Presto，團隊也根據這些平臺，嘗試多種效率優化方法，比如優化檔案格式、用HDFS抹除碼降低重複性資料。</strong>（圖片來源／Uber）</span></p> <p><span style="font-size:28px;"><strong>作法1：大數據檔案格式優化</strong></span></p> <p>他們的平臺效率省錢術，一點都不華麗，直接從最基本的檔案格式著手。常見的熱門開源大數據平臺，像是Spark、Hadoop、Kafka等，都是Uber長年使用的工具，而在他們的Hadoop分散式檔案系統（HDFS）中，大多是Hive表格，並以Parquet或ORC格式儲存。</p> <p>這兩種格式，都是基於區塊的列式儲存格式。也就是說，一個檔案會由好幾個區塊組成，每個區塊則由大量的列組成，比如1萬列，這些資訊，就儲存在不同欄位中。</p> <p>這些檔案容量很大，Uber仔細研究自家的HDFS檔案，想出幾招檔案瘦身方法，首先是採用壓縮演算法。起初，Uber一直將GZIP 6級預設為Parquet格式檔案的壓縮演算法，後來，臉書發表一項新工具，讓ZSTD壓縮演算法也能用於Parquet檔案。</p> <p>於是，Uber用ZSTD來測試壓縮自家檔案，發現ZSTD 9級和19級的壓縮率和解壓縮速度比GZIP要好，就決定用ZSTD 9級來重新壓縮存放1個月的檔案，並用19級來壓縮存放3個月的檔案。這些重新壓縮工作都可背景執行，Uber不必花力氣手動調整。</p> <p>除了壓縮演算法，Uber還嘗試其他檔案瘦身方法，像是重新排序列，他們手動調整內部龐大的Hive表格，將使用者ID和時間戳重新排序，檔案容量就減少了一半。還有一個方法是刪除列，Uber啟用一個功能，來定期刪除從Kafka匯入的Hiva表格欄位。</p> <p><span style="font-size:28px;"><strong>作法2：用HDFS抹除碼降低重複性資料</strong></span></p> <p>再來，Uber提高平臺效率的第2招，是借助HDFS抹除碼來降低HDFS檔案的重複性因子。簡單來說，HDFS抹除碼是一種資料容錯技術，可取代檔案中的重複性資料，大幅釋放容量。Uber指出，由於HDFS的重複性因子預設值為3x，因此透過HDFS抹除碼，HDD的空間需求幾乎可減少一半。</p> <p>他們也評估了2種常見的抹除碼工具，首先是官方的Hadoop 3.0抹除碼，它的好處是，不論大檔案還是小檔案都能用，缺點則是IO效率並不高。另一個是用戶端抹除碼，這是臉書在HDFS-RAID專案中實作出的工具，IO效率非常高，但不適用於小檔案，不符合Uber需求。</p> <p>最後，Uber決定採用Hadoop 3.0抹除碼，來降低各種大小檔案的重複性因子。他們深信，這個方法可大幅降低HDFS成本。</p> <p><span style="font-size:28px;"><strong>作法3：改善YARN排程政策</strong></span></p> <p>另一方面，Uber也鎖定專門執行大數據工作負載的開源工具YARN，來改善平臺效率。就像大多數企業一樣，一開始，Uber用YARN內建的容量排程器來分配工作，透過其中的MIN和MAX設定來配置階層式佇列結構。</p> <p>Uber也用YARN建立2級的階層式佇列結構，第1級以組織為主，使用者可根據需求，進一步發展出第2級佇列。雖然YARN容量排程器給了Uber極好的起頭，但他們很快就遇到YARN叢集容量管理兩難。Uber一方面想盡可能善用叢集資源，一方面又要讓使用者清楚知道，他們能期望使用多少YARN叢集資源。</p> <p>於是，Uber寫了套Dynamic MAX演算法，來準確告訴使用者可用的YARN資源。這套演算法的原理是，佇列在過去23小時如果都沒使用，接下來可處理的佇列最大值，就會為MIN值的24倍。這個設計，足以處理Uber絕大多數的尖峰工作負載。</p> <p>如果佇列在過去23小時內，平均用量都在MIN左右，那麼在下一個小時內，佇列也只限於MIN值。這個規則，讓佇列在24小時內都不會超出MIN值，因此避免了資源濫用的情況。</p> <p>在實際狀況中，Uber把MIN值設定為佇列平均用量的125%，當作是每日用量變量的25%。這也代表，他們的YARN叢集平均使用率在8成左右，是極好又符合成本效益的使用率。</p> <p><span style="font-size:28px;"><strong>作法4：叢集聯邦</strong></span></p> <p>隨著自家YARN和HDFS叢集越來越龐大，Uber開始遇到效能瓶頸，比如，HDFS主要節點NameNode和YARN資源管理器速度越來越慢，不僅影響擴展能力，也大大影響大數據平臺的成本。</p> <p>為解決問題，他們研究了兩種方法，首先是繼續改善單節點效能，像是用更多CPU vCore和記憶體來強化工作表現，另一種則是聯邦叢集方法，也就是「叢集的叢集」（Cluster of clusters）方法，透過建立一個虛擬叢集，負責所有的工作負載路徑分配邏輯，再以這個叢集來優化其他YARN和HDFS叢集效能。</p> <p>後來，Uber選用聯邦叢集方法來解決問題。因為，對他們來說，目前市面上的HDFS和YARN叢集都比他們所需的還要小，如果他們靠改善單節點效能，叢集會越來越龐大，很有可能會出現小叢集沒見過的程式錯誤。再來，要HDFS和YARN擴展到Uber期望的叢集大小，Uber就得更改原始碼，來在效能和精細的功能間取得平衡。</p> <p>於是，為了在不開分支（Forking）的情況下善用Hadoop開源生態資源，Uber決定自己設置聯邦叢集。他們採用Hadoop的YARN Federation和HDFS Federation，目前也已建立了數十個HDFS叢集和一些YARN叢集，Uber主任工程師Zheng Shao甚至表示，這種基於路由的HDFS Federation，已經成為Uber大數據擴展工作的關鍵，更改善大數據平臺成本效益。</p> <p><span style="font-size:28px;"><strong>作法5：通用的負載平衡</strong></span></p> <p>接下來，Uber還想出一招，利用通用負載平衡概念，來提高HDFS和YARN表現。對HDFS來說，這可改善次節點DataNode的磁碟空間使用率，因為，每個DataNode會有不同的磁碟空間使用率，而每個DataNode中，HDD也會有不同的磁碟空間使用率，這些都得經過平衡調整，才能達到整體的高使用率。</p> <p>對YARN來說，每臺機器的CPU和記憶體的使用率與資源分配，也都得經過平衡調整，才能提高整體使用率。Uber就從這些需求中，設計出通用負載平衡方法來解決問題，特別的是，這種方法不只限於大數據的HDFS和YARN，更能用於自家微服務負載平衡、主要儲存負載平衡等領域。</p> <p><span style="font-size:28px;"><strong>更細緻的作法：改善查詢引擎、Hudi專案</strong></span></p> <p>此外，Uber還有其他2種細緻的作法，來改善大數據平臺效率和成本效益。</p> <p>首先是改善查詢引擎，Uber進行大數據分析時，採用多種查詢引擎，像是Hive-on-Spark、Spark、Presto等，這些引擎加上不同的儲存格式如Parquet、ORC，造成了複雜的運算，也增加平臺成本。</p> <p>於是，Uber想出幾種方法來優化查詢引擎，包括盡量使用Parquet檔案格式、修剪巢狀列、優化常見的查詢模式。以使用Parquet格式來說，它雖然與ORC有相同的設計原則，但經過長時間觀察，Uber發現大數據平臺Spark對Parquet的支援更好，Presto則對ORC的支援較好。於是，大量使用Spark的Uber，決定將主力集中在Parquet上，如此一來，就能集中精力維護單一程式碼庫，也容易培養人才知識。</p> <p>另一個改善大數據平臺效率的方法，則是Uber在2016年發起的Hudi專案。對Uber來說，他們常面臨資料增量處理問題，比如，使用者直到要再次叫車時，才會對上一次乘車的司機評價，又或是，某次乘車的信用卡退費，可能要一個月才能處理完。這就造成Uber大數據平臺使用者，得每天檢查好幾天前的舊資料，來更新手邊的查詢資訊，確保查詢結果是最新的。</p> <p>而更有效率的處理方法是，每天更新這些增量資料的變化即可，這就是Hudi專案能做到的事。Uber坦言，至今，Hudi專案仍大幅降低運算量需求。</p> <p><span style="font-size:28px;"><strong>運算資源就像電力，靠後臺分擔前臺工作來節流</strong></span></p> <p>Uber的大數據平臺效率省錢術還沒結束。接下來，他們瞄準叢集運算資源，發起一項HydroElectricity專案，要利用例行性的後臺維運工作，來「擠出」額外運算資源。</p> <p>因為，在Uber眼中，叢集運算資源就像電力，供應量是固定的，但往往難以應付突發的爆量。在能源領域，就有種蓄水發電方法，能將離峰時的多餘電能，以水的位能儲存，當用電尖峰來臨時，再用來發電。</p> <p>Uber引用這個概念，讓優先性不高、可在背景執行的例行後臺工作，像是檔案壓縮、截圖維護、LSM壓縮等，也執行一些前臺工作，來降低CPU耗能。比如，原本大數據收穫系統需寫入ZSTD壓縮的Parquet格式檔案，完全由前臺執行就非常耗CPU資源，因此Uber計畫改為，讓收穫系統也寫入稍微壓縮的Parquet檔案，再由後臺維運工作，重新壓縮這些檔案。這麼做，就能大大降低前臺的CPU耗能。</p> <p>不只要用後臺工作來節流，Uber接下來還要建立一個統一、通用的儲存系統，來處理線上系統和分析系統的查詢。他們也要制定計價機制，來將資源分配給真正需要的使用者，提高大數據平臺運用效率。</p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> Uber大數據平臺效益優化術 </span></strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>1. 大數據檔案瘦身</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>2. HDFS抹除碼降低重複性資料</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>3. 改善YARN排程，提高叢集使用率</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>4. 用叢集聯邦提高擴充效能</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>5. 通用負載平衡，強化整體使用率</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>6. 查詢引擎優化，提高查詢效能</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>7. 每日更新增量變化，降低運算量需求</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>8. 靠後臺分擔前臺工作，減少前臺CPU需求</strong></span></span></p> <p><span style="color:#696969;">資料來源：Uber，iThome整理，2022年2月</span></p> <p><a href="https://www.ithome.com.tw/article/149354" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1065-cover1-960.jpg?itok=tkrggzGR" style="width: 550px;" /></a></p> </div></div></div>
2022/2/15 07:00作者王若樸https://www.ithome.com.tw/news/149352
百倍爆量挑戰！Uber超大數據省錢術
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1065-cover1-960.jpg?itok=tkrggzGR" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Uber大數據資料量4年來暴增100倍，從數PB，增加到數百PB，Uber一年軟硬體IT支出高達12億美元，資料暴增百倍，若採用同樣技術架構，恐怕需要10倍，甚至是數十倍的軟硬體投資才能負擔</p> </div></div></div>
2022/2/15 07:00未署名https://www.ithome.com.tw/article/149354
【資安日報】2022年2月14日，工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網管系統的漏洞，很可能會影響相當廣泛，若是用於管理工控環境的系統，甚至有機會左右工廠的運作。近期資安業者Claroty揭露，臺廠四零四科技（Moxa）的工業級網管軟體存在5個CVSS風險層級高達10分的漏洞，可被串連利用，而使得<a href="https://www.cisa.gov/uscert/ics/advisories/icsa-21-278-03">ICS-CERT也於2021年10月提出警告</a>，呼籲用戶要儘速採取相關緩解措施。</p> <p>但上述漏洞<a href="https://www.moxa.com/en/support/product-support/security-advisory/mxview-network-management-software-vulnerabilities">已在2021年9月修補</a>，為何Claroty要在今年2月才揭露相關細節？研究人員沒有進一步說明。</p> <p>存在於作業系統裡的重要系統元件，有可能被駭客用來挾帶惡意程式，來隱藏攻擊意圖。例如，研究人員發現駭客最近3個月，積極利用Regsvr32來載入惡意軟體Qbot、Lokibot，但攻擊者大肆濫用此元件並非首例。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.uptycs.com/blog/attackers-increasingly-adopting-regsvr32-utility-execution-via-office-documents"><span style="color: rgb(0, 0, 0);">駭客利用Regsvr32元件於受害電腦載入Qbot、Lokibot等惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 1 - regsvr32 scrobj.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%201%20-%20regsvr32%20scrobj.png" style="width: 300px; float: right;" /></a>利用受害電腦作業系統現成的元件，發動寄生攻擊（LoL）的情況，駭客最近重新盯上長年存在於Windows的功能模組。資安業者Uptycs最近提出警告，他們發現駭客透過Office文件挾帶惡意軟體Qbot、Lokibot，並利用Windows的註冊伺服器（Register Server，regsvr32.exe）元件，以註冊ActiveX控制項（OCX）檔案的方式，在受害電腦上執行惡意軟體，並表示使用這種手法的惡意軟體數量，自2021年11月開始顯著增加，到2022年1月已發現超過500個惡意軟體。</p> <p>研究人員提出警告，Regsvr32經常被用於系統例行工作，而使得防毒軟體難以察覺威脅，他們呼籲IT人員要透過EDR系統的事件記錄裡，根據Regsvr32與Word、Excel的處理程序的主從關係，或是找出透過Regscr32載入的Scrobj.dll，來識別攻擊行為。</p> <p><span style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/modifiedelephant-apt-and-a-decade-of-fabricating-evidence/"><span style="color: rgb(0, 0, 0);"><strong>駭客組織疑似串通印度政府，攻擊人權鬥士和律師的電腦，企圖找出定罪的依據</strong></span></a></span></p> <p>APT駭客組織透過RAT木馬程式，暗中監控特定目標的情況，很有可能長達10年才被發現。資安業者SentinelOne近期揭露名為ModifiedElephant的駭客組織，該組織從2012年就開始運作，其攻擊行動與多半與印度的國家利益密切相關。研究人員指出，此駭客組織鎖定印度的人權鬥士、記者、學者，以及專業法律人士，利用NetWire和DarkComet等RAT木馬程式，對於受害者的Windows電腦或Android手機進行監控，以提供印度警方能逮捕對方的理由。研究人員指出，這些APT駭客使用容易取得的作案工具，且僅針對特定區域的目標，而能夠長年躲過資安人員的留意。</p> <p><span style="font-size: 22px;"><a href="https://therecord.media/san-francisco-49ers-confirm-ransomware-attack/"><span style="color: rgb(0, 0, 0);"><strong>美式足球隊遭BlackByte勒索軟體攻擊</strong></span></a></span></p> <p>運動競賽隊伍在即將參與大型賽事的前夕遭到網路攻擊，很可能影響他們準備參加比賽的工作。美式足球聯盟（NFL）球隊舊金山49人隊（San Francisco 49ers）向資安新聞網站Bleeping Computer、Recorded Futrue等證實，他們遭到勒索軟體BlackByte攻擊，導致部分IT網路暫時停止運作，並認為合作廠商沒有受到波及的跡象。此駭客組織亦在網站上公布竊得的部分資料，疑似是該球隊2020年的發票資料，但究竟駭客偷得多少資料？仍有待進一步調查。由於NFL即將於2月13日（臺灣時間2月14日）舉辦超級盃賽事，這起事故很可能影響舊金山49人隊相關賽事的準備。</p> <p><span style="font-size: 22px;"><a href="https://www.ftvnews.com.tw/news/detail/2022211S07M1"><span style="color: rgb(0, 0, 0);"><strong>北市府抽獎網站疑出現後臺使用者管理介面，參加者個資恐外洩</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/1ab5bfb6-e8aa-41f7-a074-7d986d3358ce-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1ab5bfb6-e8aa-41f7-a074-7d986d3358ce-1.jpg" style="width: 300px; float: right;" /></a>政府單位的活動網站，竟出現管理介面隨意讓人瀏覽，而曝露民眾個資的情況。根據民視新聞的報導，有民眾向他們投訴，臺北市政府為鼓勵民眾搭乘公車，於2月11日開始舉辦的抽獎活動，其抽獎登記網站約於當日上午10時30分，開始出現異常，有資訊工程師發現疑似該網站的後臺使用者管理介面，內容列出所有登記民眾個資，且用戶能在沒有登入系統的狀態下查詢他人資料。對此，我們也詢問臺北市公共運輸處科長郭建辰，他表示，委外廠商初步判斷，事發原因是管理者的權限異常，並預計於2月16日會有進一步的調查結果。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.claroty.com/2022/02/10/blog-research-securing-network-management-systems-moxa-mxview/"><span style="color: rgb(0, 0, 0);">臺廠工業級網管軟體存在重大漏洞，恐被攻擊者用於執行任意程式碼</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/MXview1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MXview1.png" style="width: 300px; float: right;" /></a>工業控制環境的網管系統，一旦出現重大漏洞，很可能影響相當廣泛。資安業者Claroty揭露，臺廠四零四科技（Moxa）所推出的工業級網管系統MXview，存在5個漏洞，CVSS風險層級為滿分10分，其中的3個漏洞CVE-2021-38452、CVE-2021-38460、CVE-2021-38458，可被攻擊者串連用來發動RCE攻擊；另外2個漏洞CVE-2021- 38456、CVE-2021-38454，則能被用於解除密碼保護，或是存取其他敏感資訊。</p> <p>四零四科技<a href="https://www.moxa.com/en/support/product-support/security-advisory/mxview-network-management-software-vulnerabilities">於2021年9月發布MXview 3.2.4版</a>予以修補。這些漏洞近期也引起<a href="https://www.cisa.gov/uscert/ics/advisories/icsa-21-278-03">ICS-CERT在2021年10月發出警告</a>，呼籲用戶要儘速採取相關緩解措施。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/02/11/cisa-adds-one-known-exploited-vulnerability-catalog"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構於2週內修補Safari重大漏洞</span></a></strong></span></p> <p>蘋果甫於2月10日發布修補程式，修補Safari瀏覽器重大漏洞CVE-2022-22620，這項漏洞影響Mac電腦與眾多型號的iOS裝置，是該公司2022年修補的第3個零時差漏洞。此項漏洞的嚴重程度，也使得美國網路安全暨基礎設施安全局（CISA）於2月11日下令，聯邦機構要在2月25日前完成修補作業，並指出他們已掌握駭客正在積極利用這項漏洞的證據。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.theverge.com/2022/2/12/22930588/zoom-update-psa-macos-monterey-mic-indicator-light-bug"><span style="color: rgb(0, 0, 0);">macOS版Zoom驚傳臭蟲，會議結束後仍占用麥克風，恐影響用戶隱私</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/zoom_indicator_light_mac_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/zoom_indicator_light_mac_1.png" style="width: 150px; float: right;" /></a>視訊會議軟體若是對於麥克風、視訊鏡頭的管控不佳，有可能造成用戶隱私洩露，或是使得他人能得知會議以外的對話內容。自2021年12月中旬，陸續有macOS版Zoom用戶發現，他們在沒有開啟Zoom用戶端軟體參與會議的情況下，控制中心的橘色指示燈卻持續亮著，顯示電腦的麥克風持續被Zoom占用。</p> <p>對此，Zoom於同月曾發布第一波修補程式，卻被發現修補不全。直到最近，該公司才宣稱，甫於2022年1月25日發布的5.9.3版macOS用戶端軟體，修復了涉及會議後無法正常關閉麥克風的漏洞，並強調沒有用戶的音訊數據，因這項漏洞被傳送到Zoom平臺。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/2/14 16:28作者周峻佑https://www.ithome.com.tw/news/149360
Google去年總計發出870萬美元的抓漏獎金，Chrome與Android漏洞占7成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2022/02/vulnerability-reward-program-2021-year.html" target="_blank">Google上周公布</a>2021年所發出的抓漏獎金總額為870萬美元，再度刷新歷史紀錄，比2020年的670萬美元增加了近30%。Google的抓漏獎勵專案分為五大領域，分別是Google、Google Play、Android、Chrome與濫用，其中，Google針對Chrome漏洞發出了330萬美元的獎金，位居第一，居次的則是與Android漏洞有關的獎金，亦高達294萬美元。</p> <p>去年總計有來自全球62個國家的696名資安研究人員，領走了870萬美元的獎金，其中，Google頒布的單一最高獎金是15.7萬美元，它是涉及Android攻擊鏈的CVE-2021-39698漏洞。此外，資安研究人員也捐出了逾30萬美元的獎金予慈善機構。</p> <p>在Android部分，Google獎勵的是找到Pixel手機及平板電腦安全漏洞的研究人員，其抓漏範圍除了核心程式之外，也涵蓋了Google所研發的Titan-M安全晶片，以及來自第三方供應商的晶片組，其中，獎金最高的是Pixel Titan M的150萬美元，不過，迄今尚未有人成功領走有關Pixel Titan M的獎金。但去年研發人員揭露了220個與其它晶片組有關的漏洞，總計領走29.6萬美元的獎金。</p> <p>此外，去年獲得最多Android獎金的，是專注於發現Android安全漏洞的Bugsmirror Team，該團隊的Aman Pandey提報了232個有效的Android漏洞，惟Google並未透露他所領走的獎金規模。第二名則是來自AndroBugs Security的林禹成，他提出了128個有效漏洞。</p> <p>在Chrome部分，去年總計有115個安全漏洞人員提交了333個Chrome的安全漏洞，領走330萬美元的獎金，其中有310萬美元與Chrome瀏覽器有關，只有25萬美元攸關Chrome OS，當中最高的一筆獎金為4.5萬美元。</p> <p>可以發現，光是Android及Chrome就占了去年抓漏獎金的72%。另有55萬美元的獎金，分給了提報Google Play漏洞的60名安全研究人員。</p> <p><a href="https://www.ithome.com.tw/news/145903" target="_blank">Google去年設立了統一漏洞平臺Bug hunters</a>，整合了Google所有的漏洞獎勵專案，還有名人榜與學習課程，讓資安研究人員方便互相交流及砥礪。</p> </div></div></div>
2022/2/14 16:15作者陳曉莉https://www.ithome.com.tw/news/149359
Mozilla與Meta合作提案隱私廣告機制IPA引來批評
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google積極發展取代第三方Cookie的廣告追蹤技術的同時，另一個瀏覽器陣營Firefox，其開發商Mozilla也開始著手發展自家的隱私廣告技術<a href="https://blog.mozilla.org/en/mozilla/privacy-preserving-attribution-for-advertising/">可互通隱私歸因（Interoperable Private Attribution，IPA）</a>，其提供廣告商執行歸因的能力，並且保障用戶隱私，不過由於Mozilla的合作對象是在個人隱私保護上屢遭批評的Meta（Facebook），因此網路上也出現了不少反對聲浪。</p> <p>數位廣告上的歸因（Attribution），指的是讓廣告商得以掌握廣告活動的成效，也就是讓廣告商，可以藉由歸因生成的指標，來了解廣告活動的效益，而相關的評估技術，也讓發布商能夠協助廣告商，Mozilla提到，雖然歸因對廣告來說非常重要，但是目前的歸因實作中，存在糟糕的隱私屬性。</p> <p>從去年開始，Mozilla便著手探索隱私廣告的可能性，並且與Meta合作制定新的廣告提案，該提案稱作IPA。IPA的目的，使要賦予廣告商執行歸因的能力，並且也提供用戶隱私保證，Mozilla解釋，IPA具有兩個重要的隱私保護特性，第一是使用多方計算（Multi-Party Computation，MPC）技術，來避免網站、瀏覽器製造商和廣告商了解用戶行為。由於過去Mozilla部署過隱私保護遙測系統Prio，因此在MPC方面有一些經驗。</p> <p>另一個重要的隱私保護特性，則是IPA是一個聚合系統，其所產生的結果，無法連結至單一用戶，Mozilla表示，這些功能的總和，代表著IPA無法被用於追蹤和分析用戶。IPA的文件寫道，在設計IPA時，開發團隊尋求一種雙贏的跨平臺歸因測量解決方案，能夠實現隱私、實用性且具競爭力的目標。</p> <p>IPA會在一段時間內，限制有關個人的資訊總量，並對資訊做出強而有力的控制，即便是網路上想要進行指紋辨識、瀏覽追蹤、註冊大量網域或是各種攻擊的惡意方。而在實用性上，IPA的目標是要支援所有的聚合轉化測量用例，包括瀏覽、點擊、廣告支出回報、轉化提升和跨發布商歸因，還有發生在不同瀏覽器和裝置中的廣告展示和廣告轉換等。</p> <p>同時，IPA也會確保競爭公平，讓所有數位廣告參與者，都能應用這些實用性目標，並且避免制定對新進參與者存在障礙的設計。</p> <p>在第三方Cookie退場之後，各方都急著尋找替代方案，而Google作為廣告霸主，便接連提出了<a href="https://www.ithome.com.tw/news/149150">FLoC和Topics API廣告追蹤解決方案</a>，而<a href="https://www.ithome.com.tw/news/122042">Mozilla一直以來都是臉書在隱私作為上的批評者</a>，而這次與Meta在廣告機制提案上的合作，出乎許多人意料，在<a href="https://www.reddit.com/r/technology/comments/sqn92f/mozilla_and_meta_facebook_are_now_actually/">Reddit</a>等網路論壇，便出現許多抨擊言論，指出過去臉書在用戶隱私上的不良紀錄，認為Mozilla不應與Meta合作，還有用戶稱將停用Firefox。</p> <p>這項合作也可看出Meta的新嘗試，在其平臺上建立一個不會侵犯用戶隱私，但同時又對廣告商有用的歸因系統，不過，即便是與隱私模範生Mozilla合作，短期大家可能仍無法扭轉對Meta在隱私上的印象。</p> </div></div></div>
2022/2/14 16:24作者李建興https://www.ithome.com.tw/news/149357
蘋果WebKit漏洞也波及iPhone及iPad上的Chrome與Firefox等瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於2月10日緊急更新macOS、iOS、iPadOS、Apple Watch，以及舊版macOS上的Safari，以修補已被開採的安全漏洞CVE-2022-22620，雖然該漏洞涉及蘋果替Safari所打造的瀏覽器引擎WebKit，<a href="https://www.kaspersky.com/blog/webkit-vulnerability-cve-2022-22620/43650/" target="_blank">但資安業者卡巴斯基（Kaspersky）警告</a>，macOS、iOS與Linux等平臺上的諸多程式都使用WebKit引擎，不只Safari，iOS與iPadOS平臺上的Chrome、Firefox或其它瀏覽器，應該也都受到了波及。</p> <p>WebKit是蘋果於1998年發表的瀏覽器引擎，它除了被用在Safari瀏覽器上之外，蘋果也要求iOS及iPadOS上的瀏覽器必須使用WebKit。</p> <p>這使得卡巴斯基警告，就算iPhone或iPad用戶不使用系統上內建的Safari瀏覽器，而是改用Chrome、Firefox或任何第三方的瀏覽器，一樣會受到CVE-2022-22620漏洞的影響。</p> <p>根據蘋果的說法，CVE-2022-22620為一記憶體釋放後使用漏洞，當處理一個惡意的網頁內容時，可能造成任意程式攻擊。卡巴斯基進一步解釋，它理應與應用程式不當使用動態記憶體有關，駭客只要誘導iPhone或iPad使用者造訪惡意的網頁，就能發動攻擊。</p> <p>由於它非常的危險，使得卡巴斯基也呼籲蘋果用戶應儘速升級至iOS 15.3.1與PadOS 15.3.1。</p> </div></div></div>
2022/2/14 16:34作者陳曉莉https://www.ithome.com.tw/news/149361
Google統計：過去2年業者修補零時差漏洞的時間從54天減少到52天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://googleprojectzero.blogspot.com/2022/02/a-walk-through-project-zero-metrics.html" target="_blank">Google Project Zero上周公布2021年及最近3年來</a>，由該專案所揭露的零時差漏洞，指出業者修補零時差漏洞的間隔愈來愈短，從2018年的平均80天，逐年下滑至67天、54天，到去年大家修補零時差漏洞的平均時間已減少至52天。</p> <p>Project Zero一向秉持90天的漏洞揭露政策，亦即在提交零時差漏洞報告予相關業者之後，釋出90天的緩衝期供業者修補，若來不及修補還能申請額外14天的寬限期，該專案在2021年總計提交了63個零時差漏洞，當中有14%的漏洞申請了寬限期，也只有1個漏洞沒來得及在90天內修補，平均修補時間為52天。</p> <p>去年Google揭露的63個零時差漏洞中，有17個位於自家產品中，16個位於微軟產品，11個存在於蘋果產品，還有5個是Linux漏洞，另外14個則屬於其它業者。修補動作最快的是Linux，平均15天就修補完了，Google花了53天，蘋果花了64天，微軟最久，平均花了76天來修補漏洞。</p> <p>該專案也揭露了這3年來零時差漏洞數量的變化，顯示Project Zero所發現的零時差漏洞愈來愈少，原因之一可能是各大業者推出的抓漏獎勵專案發揮了功效，2019年時，Project Zero總計發現199個零時差漏洞，2020年降至87個，去年再減少至63個。</p> <p>若是歸納這3年總計351個零時差漏洞的修補狀況，這些漏洞中主要來自微軟（96個）、蘋果（85個）及Google（60個），當中有93.4%的漏洞已被修補，3.7%是業者拒絕修補，另有2.9%未修補。</p> <p>也許是為了彰顯自家的優勢，Project Zero特別統計了三大開源瀏覽器Chrome、WebKit與Firefox最近這幾年的零時差漏洞及平均修補時間，其中，Chrome總計有40個零時差漏洞，平均修補時間為29.9天，WebKit有27個漏洞，平均修補時間為72.7天，Firefox有8個漏洞，平均修補時間為37.8天。</p> </div></div></div>
2022/2/14 16:58作者陳曉莉https://www.ithome.com.tw/news/149362
法國政府也宣布Google Analytics違反GDPR
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼奧地利政府後，<a href="https://www.cnil.fr/en/use-google-analytics-and-data-transfers-united-states-cnil-orders-website-manageroperator-comply" target="_blank">法國資料保護主管機關也在上周判定</a>，該國網站使用Google Analytics違反歐盟隱私法GDPR。</p> <p>2020年歐洲法院判定使用美國供應商的追蹤技術違反GDPR，理由是美國監控法要求美國包括Google、臉書等平臺供應商必須將用戶個資提供給美國。在此判決中，歐盟法院也廢除了美國和歐盟之間的隱私盾（Privacy Shield）資訊傳輸保護協議，認為隱私盾協議不足以保護歐盟用戶的隱私。</p> <p>在此判決後，隱私倡議組織NOYB在歐盟27國針對歐洲網站使用Google Analytics一事提出101項官司訴訟。上個月奧地利政府資料保護主管機關Datenschutzbehörde（DSB）率先判定一家德國網站使用Google Analytics違反歐洲隱私法。而法國則是同一批訴訟中的最新一項判決。</p> <p>CNIL指出，Google Analytics整合在電商網站以量測網際網路用戶造訪行為，而每位網站造訪者組成個資的獨特識別碼及相關資料，將會被Google送給美國。在接獲Noyb投訴後，CNIL也著手調查Google Analytics將某個法國網站用戶資料傳輸到美國的資料種類及風險。</p> <p>CNIL並未說明投訴案涉及的法國網站身分，只說調查結果顯示，雖然Google採用額外措施來規範Google Analytics傳輸的資料，但並未能排除美國情報單位存取這些資料的可能性。因此CNIL判斷該網站用戶資料可能曝險。</p> <p>CNIL命令該網站主持人必須符合GDPR，必要時停用Google Analytics，或是使用歐盟國家自有工具。該網站必須在1個月內完成命令遵循。</p> <p>CNIL要求法國網站只能使用產生匿名統計資料的工具，以便可取得豁免權，不再需要取得資料控管者（data controller）同意蒐集或處理資料。該組織也推出決定哪些工具具備豁免權的計畫。</p> <p>除了Google Analytics外，CNIL也和其他歐盟國家主管機關也將注意力轉到其他也會把歐盟民眾個資傳給美國的工具，並表示很快就會提出矯正措施。CNIL並未說明是哪些，但極可能涵括臉書、或是其他美國服務。</p> <p>除了這兩個國家，Noyb榮譽主席Max Schrems預期大部份歐盟會員國，將陸續出現類似判決。</p> <p>歐盟判定隱私盾（Privacy Shield）協議失效，讓美國網站龍頭感到不安。<a href="https://www.ithome.com.tw/news/149001" target="_blank">Google大聲疾呼</a>儘快建立新的資料傳輸框架，而<a href="https://www.ithome.com.tw/news/149251" target="_blank">Meta則認為</a>再沒有資料傳輸協議，未來可能得被迫關閉在歐洲和英國的臉書或Instagram等服務。</p> </div></div></div>
2022/2/14 17:07作者林妍溱https://www.ithome.com.tw/news/149363
蔡祈岩將成為台灣大哥大新任CIO，未來3大目標不只要跨出電信業更要鎖定東南亞新事業場域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台灣大哥大今天宣布已延攬蔡祈岩擔任副總經理，在董事會通過任命後，蔡祈岩也將成為台灣大哥大新任資訊長。蔡祈岩結束了2年在星展台灣的創新之旅，鮮為人知的是，他也是星展併購花旗臺灣消金業務的關鍵推手。蔡祈岩也<a href="https://www.facebook.com/Rock71/posts/10219431825737857">在臉書上</a>揭露了加入台灣大哥大後的三大目標，要讓IT團隊成為台灣大哥大的創造力引擎，更要助台灣大哥大聯手新創，來進軍東南亞新事業場域。</p> <p>2年前，蔡祈岩離開任職了10年的信義集團資訊長職務，加入臺灣星展銀行，這兩年正是星展銀行展開全新SRE轉型，要從數位銀行進化成全球性科技金融的關鍵時期，星展也要具備如大型科技公司Google，臉書，Netflix所擅長的全球服務能力。星展銀行在新加坡和印度之外，於2021年首度在臺灣成立國際金融研發團隊，將全球科技研發能力，延伸到臺灣，蔡祈岩正是這個計畫的關鍵推手，打造出了線上黑客松團隊競賽形式的全線上招募流程，順利招募到30人國際團隊，成為星展研發基地之一。因此，星展總部也決定2022年要翻倍擴編這個在臺研發團隊的規模。</p> <p>不只如此，農曆年前台灣星展銀行宣布了併購花旗台灣消金業務的消息，這相併購背後的重頭戲之一就是IT整合，從信用卡、信用貸款、零售銀行業務、房貸，以及財富管理業務上，不論是資訊系統的整合或是數據的整合，都是完成併購轉移業務的關鍵。擔任資訊長的蔡祈岩也是這起併購中負責IT規劃的關鍵人物。</p> <p>從遊戲軟體冠軍的開發者，到不同產業的管理者和IT主管，蔡祈岩從電信網路、大型製造業、外商銀行、房地產業的高階主管，甚至還負責創立過新創事業。現在，又回到他所熟悉的電信業，但這些跨產業高階主管的歷練，讓蔡祈岩更加熟悉不同異業的整合和創新，這正是台灣大哥大下一階段最重要的任務。</p> <p>台灣大哥大在2020年展開新的品牌再造，一方面進入5G元年的各項布局，積極拓展AI、大數據和雲端服務的異業合作，透過科技來延伸將事業觸角延伸到不同產業。而且不只在臺灣，台灣大哥大總經理林之晨也希望，借重蔡祈岩加速台灣大哥大轉型成區域級科技電信公司，來實現他先前揭露的願景，將台灣打造成東南亞的新創基地。台灣大哥大加速在5G的布建和併購，也是為了實現這個新創目標的基礎建設。</p> <p>蔡祈岩今天也在他的臉書上公開了他對台灣大哥大IT團隊未來的三大目標，要創造集團綜效、創造豐富的用戶端應用，以及創造台灣-東南亞新事業場域。他計畫，一方面台灣大哥大IT要連結MOMO、凱擘、富邦等有集團綜效的項目，其次是透過IT研究開發和維運能力，來創造更多用戶端應用服務。</p> <p>結合上述兩大目標的成果，蔡祈岩希望IT團隊可以進一步走出電信產業，與世界連結，目標就鎖定下一波成長熱點的東南亞，也要助臺灣大哥大可以拓展新的事業機會。</p> <p> </p> </div></div></div>
2022/2/14 15:50作者王宏仁https://www.ithome.com.tw/news/149358
Google將於明年關閉Google+企業版Google Currents，Google+掰掰！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://workspaceupdates.googleblog.com/2022/02/currents-spaces-migration.html" target="_blank">Google於10日宣布</a>，將在明年關閉Google+企業版Google Currents，等於正式向2011年發表的Google+社交服務道再見，並準備將相關服務轉移到於2021年發表的Spaces。</p> <p>Google曾多次企圖進入社交媒體領域，例如2010年的Google Buzz，或是<a href="https://www.ithome.com.tw/news/68411" target="_blank">2011年6月捲土重來的Google</a>+。Google大張旗鼓地發表Google+，使得Google+用戶數快速增加，但使用者造訪率及黏著度卻很低，半年後，在2012年2月時，《華爾街日報》直接將缺乏人氣的Google+形容為虛擬鬼城。</p> <p>Google還是撐了7年才<a href="https://www.ithome.com.tw/news/128569" target="_blank">在2019年初關閉了Google+的消費者帳號</a>，並在同年將Google+的企業版更名為Google Currents，它是企業內部的社交平臺，允許組織成員發文、建立內容標籤，或附加其它資料與照片。</p> <p>不過，Google在上周表示，有鑑於該公司於去年發表的Spaces屬於新一代的協作空間，不僅所有Google Workspace用戶都能使用Spaces，且Spaces還密切整合重要的Google服務，因而準備讓Google Currents退場，今年第一季便將關閉乏人問津的Google Currents服務，明年正式畫下句點。</p> <p><a href="https://support.google.com/a/answer/11203022?p=currentsfaq&visit_id=637801097348316846-2249159324&rd=1" target="_blank">預計於今年第一季關閉的Google Currents服務</a>，包括粉絲人數計算、社群見解（Community Insights）、個人影響力（Profile Influence）、標籤頁與文章標籤、行動通知，以及貼文分析等。</p> <p>至於接手Google Currents的則是去年版的Spaces。<a href="https://www.ithome.com.tw/news/105962" target="_blank">Google曾在2016年發表名為Spaces的社群分享服務</a>，但這個Spaces很快就在一年後退場，<a href="https://cloud.google.com/blog/products/workspace/enabling-hybrid-work-with-google-workspace" target="_blank">Google在去年9月發表了採用同樣名稱的Spaces服務</a>，而這卻是Google Workspace中的團隊協作服務，它整合了Calendar、Drive、Docs、Sheets、Slides、Meet與Tasks等Google的生產力與通訊服務，讓團隊成員能夠根據主題進行討論與溝通。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/1_In-line_topic_threading_in_spaces_fuels_.max-2000x2000.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">隸屬Google Workspace的團隊協作服務Spaces 。（圖片來源／Google）</span></p> <p>Google表示，從Google Currents升級到Spaces將讓使用者有一個統一的溝通平臺，也讓組織具備一個能夠反映現代社會工作方式的體驗，它將促進團隊的討論，讓團隊共享知識與想法，推動專案的進行，也能打造社群與團隊文化。</p> </div></div></div>
2022/2/14 14:24作者陳曉莉https://www.ithome.com.tw/news/149355
8大關鍵服務維運監控得靠它，Line臺灣百億筆遙測數據的可觀測性平臺架構大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Line臺灣這幾年在臺灣推出許多新服務，從新聞入口、購物、音樂、旅遊，到翻新改版的官方帳號2.0分眾服務，為了監控這些服務的運作狀態，Line臺灣也打造了一個可以每周追蹤百億則日誌的可觀測平性平臺（Taiwan Observability Platform，TOP），日前首度公開了這個平臺的架構細節和最新採用成果。</p> <p>Line臺灣從2020年全面開始採用K8s，累計到2021年10月有40個專案部署在總部K8s服務平臺VKS上，用了70多個K8s叢集。然而，隨著越來越多應用轉移到K8s，Line臺灣工程團隊不同專案都遭遇相似的維運問題，因此，早在前年第三季Line臺灣也成立了SRE團隊，專職打造通用的維運工具和管理作法，可觀測性平臺就是這個SRE團隊第一個開發的工具。</p> <p>Line臺灣技術長陳鴻嘉表示，為提升開發與維運過程中，專案團隊解決系統問題的效率，SRE團隊參考CNCF孵化專案Open Telemetry的可觀測性標準協議，從軟體系統可觀測性的3大面向：指標（Metric）、日誌（Log）和鏈路追蹤（Trace）著手，率先全球Line打造符合3大標準的可觀測性平臺。</p> <p>Line總部本來也有有一個可收集日誌的監控平臺，但是，該平臺對Line臺灣工程團隊來說，不夠用。陳鴻嘉說明，雖然，可觀測性平臺與總部監控平臺使用的開源軟體工具大部分相同，但可觀測性平臺最重要的功能是，產出通用的維運實作範例。</p> <p>他補充，實作範例能讓團隊共享經驗與資源，快速解決開發與維運過程中遭遇的問題。所以，他極力向總部爭取資源，來建置臺灣團隊專用的維運平臺。臺灣SRE團隊花了半年時間，順利地完成平臺的建置。Line臺灣透過各專案團隊成員一同組成的DevOps任務小組，展開內部推廣，很快地，2021年下半年，所有進行中的專案都採用了這套新的監控平臺，來持續觀測服務的可靠度。</p> <h2><strong>打造可觀測性平臺，解決３大維運痛點</strong></h2> <p>Line臺灣SRE團隊也在年初Line臺灣開發者大會上，現身說法，揭露可觀測性平臺解決的三大維運痛點。</p> <p>首先，各團隊過去需自行部署和維運監控平臺，來處理應用系統產生的運作日誌，不僅產生高昂的維運成本，且建置、管理觀測系統需花費數時。現在統一由SRE團隊利用開源分析暨視覺化應用Grafana的單一託管實例，提供各專案團隊共用的監控平臺。目前更已用Grafana建立了750個儀表板，整合200個資料源，並使用接近300個警報。</p> <p>另外，這個可觀測性平臺還內建了多樣化的資料收集系統，還有提供各種常見維運用例的儀表板和工具，各個專案團隊有了共同的工具，就可以減少原本各自有監控平臺和工具鏈所產生的溝通落差。</p> <p>奠基在可觀測性平臺解決的前兩大痛點，SRE團隊更進一步排除各團隊無法共享維運經驗的痛點。各團隊現使用相同的監控工具，可相互分享平臺導入經驗，共同面對資料收集工具的使用問題，減少維運成本。</p> <p>進一步看可觀測性平臺的整體架構，SRE團隊選用反向代理工具Traefik，提供託管負載平衡Ingress Controller服務給各專案，接著，流量從各專案專用節點的Ingress Controller，進入K8s叢集，再通過已整合的指標、日誌和鏈路追蹤配置，收集各項標準化監控數據。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Untitled%202.png" style="width: 600px; height: 338px;" /></p> <blockquote><p><em style="font-family: Georgia, Times, "Times New Roman", serif;">圖片來源：Line臺灣</em></p> </blockquote> <p>三大系統可觀測性數據也由多項開源工具，來收集。為了收集一定時間內量化的指標數據，像是每秒查詢率（QPS）、每秒事務（TPS）等，SRE團隊使用系統監控警報框架Prometheus搭配K8s CRD，來自動抓取指標，並使用監控服務Thaons，作為資料收集的後端儲存方案，達到長期儲存資料的效果；</p> <p>以文字記錄某個時間發生的事件、資料等資訊的日誌，SRE團隊則使用日誌收集代理Promtail，收集應用程式產生的stdout、stderror的日誌資料，並配置開源日誌紀錄平臺Grafana Loki，作為日誌資料的儲存方案；</p> <p>而記錄各功能其應用程式完整執行過程的鏈路追蹤，SRE團隊使用OpenTelemetry專案的遙測資料接收工具Collector，建立資料管道，來傳遞鏈路追蹤至可觀測性平臺的叢集，再搭配大規模分散式追蹤後端Grafana Tempo，儲存鏈路追蹤的數據。</p> <h2><strong>Line Today、購物、音樂等8大應用團隊採用可觀測性平臺，每小時累積3億條日誌、1,600萬筆指標</strong></h2> <p>到底Line臺灣有多依賴可觀測性平臺呢？目前共有8大應用開發團隊，採用這套新平臺，包含Line Today、Line購物、Line音樂、官方帳號Plus、Line Hub、Line熱點、Line旅遊和貼圖，而使用Grafana實例的組織多達34個，共計有200位使用者，其中活躍使用者每月達120位。</p> <p>Line臺灣統計了可觀測性平臺的遙測數據收集量。該平臺每小時收集3億條日誌，相當於每周400億條日誌，而時間區段內的量化數據指標，每小時則達1,600萬筆，還有鏈路追蹤每小時累積2億筆資料，一周下來，達200億條鏈路。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image031.jpg" style="width: 600px; height: 338px;" /></p> <blockquote><p><em>圖片來源：Line臺灣</em></p> </blockquote> <p>可觀的遙測數據量也直接反映在資料儲存量上。SRE團隊使用<span style="font-family: arial, sans-serif; background-color: rgb(252, 252, 252);">Line總部私有</span>雲平臺Verda的物件儲存服務Object Storage，來儲存該平臺收集的資料，目前日誌儲存量近30TB，有接近2千萬個物件，指標儲存量則近60TB，大約有36萬個物件，而鏈條追蹤使用了20TB的儲存空間，相當於1百萬個物件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Untitled%202(1).png" style="width: 600px; height: 338px;" /></p> <blockquote><p><em style="font-family: Georgia, Times, "Times New Roman", serif;">圖片來源：Line臺灣</em></p> </blockquote> <p>去年，Line臺灣SRE團隊協助專案團隊解決開發和維運問題，再加上推出可觀測性平臺，監控各應用的可靠性，系統平均減少了3成的事件量。陳鴻嘉強調，「要提升開發效率，除了加快開發速度外，系統的品質與穩定度是更重要的關鍵，因欠缺品質與穩定度，會連帶降低開發效率。」</p> <p>接著，SRE團隊計畫利用Prometheus新功能Exemplars，連接指標和鏈條追蹤（Metrics to Traces），還有使用Collector，實現鏈條追蹤連接指標（Traces to Metrics）。並使用Web Vitals指標，找出描述終端用戶使用體驗的方式，再進一步定義數值和使用體驗間的關連性。</p> </div></div></div>
2022/2/14 13:22作者黃郁芸https://www.ithome.com.tw/news/149317
一位優秀的產品經理
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/tiao_tuo_jian_gou_shu_zhai_zhu_tu_960x420_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>優秀的產品經理需要能夠連結業務、技術和設計部門，並利用他們整體的知識。產品經理最糟的特徵之一就是獨來獨往的心態，即他們是唯一負責其產品成功的人的想法。這導致他們變得傲慢無禮，且無視團隊的想法。優秀的產品經理知道，利用其團隊的技能和專業知識將能走得更遠。</p> <p>產品經理不是從無中想出解決方案。他們與UX設計人員一起合作，以了解使用者的關鍵作業流程，而體驗要素可以幫助達成使用者的目標。又他們與開發人員一起合作，以決定如何快速向市場推出產品或功能。</p> <p>我經常聽到的一個問題是：「UX設計和產品管理之間有什麼不一樣？」這兩個學門有很多重疊，但是使用者體驗只是打造出色產品的一部分。設計是成功產品的重要組成，但同樣，它僅是其中的一部分。產品管理是關於照看整個系統，包括需求、功能組成、價值主張、使用者體驗、潛在商業模型、定價和整合，並弄清楚它如何為公司產生收益。它是關於了解組織的全局，並想出產品（不只是體驗）如何相合。</p> <p>公司在聘僱產品經理時犯的最大錯誤之一，是試圖找到技術專家或市場專家。產品經理不是這兩個領域的專家；他們是產品管理方面的專家。這並不意味著他們不需要這兩個領域的知識。他們需要足夠知識與工程師或業務人員談話，並充分了解來做出有根據的決定。</p> <p>產品經理必須具備技術學養，但不是技術專家。這意味著他們跟開發人員在技術上可以有足夠的討論和充分的了解，以做出權衡的決定。他們知道要問工程師哪些問題，以了解某些功能或改善的複雜性。除非產品技術性很高，且他們必須深刻理解該技術才能做出決定，否則產品經理不需要會寫程式。</p> <p>市場端也是如此。雖然很了解市場對產品經理來說很有價值，但這是他們可以習得的。這一切關乎權衡你團隊的技能；如果你團隊中有很專業的市場分析師，那麼一位優秀的產品經理知道要如何與他們談話，向他們學習，並運用他們的技能。</p> <p>這是瑪奎立遇到的一個問題，他們聘請了專業的前行銷人員擔任產品經理，雖然他們確實知道如何行銷，但他們很難去為一家線上教育公司建構出產品。我們最後將他們移到業務內容方面，這才符合他們的職涯目標和公司目標。</p> <p>產品經理要仔細權衡所有學門，才能夠制定策略並決定最適合的產品。一位優秀的產品經理會認真聽取所有團隊成員的投入內容，但最終，他們會做出艱難的選擇，決定出什麼對企業好也同時對使用者好。</p> <p><strong><span style="font-size:28px;">一位優秀的產品經理</span></strong></p> <p>「那麼，優秀的產品經理長什麼樣子？」瑪奎立的團隊問。我認為他們對聽我發表的意見已感到厭煩，所以我請來梅根，一位我認識的產品經理，她曾在一家大型零售銀行開發消費者貸款軟體。她來跟團隊說明，她如何看待自己的角色，以及她每天的工作內容。</p> <p>梅根說：「我總是從我們貸款部門的願景開始。」「那是我們的業務，願景是要讓貸款申請人在申請時（或抵押品持有人使用時）更簡便，從任何地方都可以提供他們的資訊。」</p> <p>梅根負責改善首貸申請人的體驗，她花了很多時間與他們談話並向他們學習。「我真的能感受我的使用者的感受，且弄清楚是什麼使他們沮喪。我打給我的顧客瑪莉和佛瑞德，」她告訴瑪奎立團隊。「他們住在紐約市，正在尋找他們在康乃狄克州的第一個家，因為瑪莉懷孕了，而他們想要更多的空間。你不會相信他們申請此貸款必須經歷多少事情。在過去的一個月裡，他們必須多次去當地銀行分行與一位貸款專員會面，並在辦公室填寫大量紙本文件，萬一忘記一些所需的文件，只能隔天再來並再做一遍。然後，他們必須等待，才能知道是否能貸到需要的金額。」</p> <p>但是她是如何決定要解決哪些痛點呢？這個嘛，梅根已跟她的產品副總一起識別出與部門願景相一致的業務目標：要增加首貸申請者的人數。在當時，60％開始進行貸款流程的首貸申請者，最後沒有在這家銀行完成送件，卻轉向跟處理流程較合理的競爭者申請。</p> <p>她的目標是提高該百分比，因此，當梅根評估客戶需求和貸款服務中的問題點時，她問自己：「這將幫助我們增加這些人完成申請的可能性嗎？」</p> <p>第一件梅根想了解的事，是什麼使放棄率高達60％。她調出資料以找出誰曾開始流程但最後沒有完成，然後與這些人聯絡。不少人說，他們對這一流程感到沮喪，並渴望有人讓它變得更好。</p> <p>梅根開始定期帶她的團隊成員（開發人員和UX設計師）到使用者研究會議，以便每個人都可以清楚地了解問題所在。很快地，他們發現了一種模式：許多潛在客戶被要求到辦公室核對文件，是因為這無法在線上完成；大多數人選擇去另一家銀行，是因為要預約去跟銀行職員核對文件的時間太久。梅根接續進行了更多的調查，發現這是一個普遍存在的問題，且有此問題的人，只有25％真正在她銀行完成他們的申請。</p> <p>現在，她已經找出了問題，梅根召集團隊開會以產生解決方案的想法。他們很小心不立即跳到結論，且想出了幾種解決問題的方法，並決定進行一些小實驗，以查看哪種解決方案最佳。</p> <p>梅根向我們團隊說明了這個實驗所需：以人工承擔這工作，來了解如何建立一個線上系統，做為上傳和核對貸款所需的文件之用。該團隊與選定的初貸申請者合作，讓他們用電子郵件發送文件。在此實驗中，銀行指定人選來審核文件並核准。這段期間，用該方法的新申請者完成比例，比親自到辦公室的完成比例高90％。</p> <p>藉由運作此實驗，梅根能夠證明出，實現其目標和增加使用者滿意的最佳方法，是建構一種方法讓所有東西在網路上做完。「我們知道我們無法一步做到那樣，但這是我們對未來的願景，我們必須朝這個方向努力，並在過程中更了解每個部分。」</p> <p>從那之後，梅根的團隊將工作反推，透過去排序價值和了解所需精力，決定出新產品的第一個版本可能包含哪些內容。他們決定擴大這個成功的實驗，並為使用者在申請時創建更能維持的方式來送出其文件，但他們仍然將核對工作留給人員進行。雖然他們無法線上核對每個人的資訊，但他們可以將所需核對的親自訪問次數減少50％。這是一個很好的開始。</p> <p>他們制定了計劃以繼續迭代其解決方案，包括加上人工智慧（AI）組成和線上公證，直到他們達到完全線上核對的目標。「我在產品管理上學到最大的道理，就是始終專注在問題上。如果你將自己定錨在「為什麼」上，那麼你將更有可能建構對的東西。」梅根說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E8%B7%B3%E8%84%AB%E5%BB%BA%E6%A7%8B%E9%99%B7%E9%98%B1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Melissa%20Perri_jpg%20-2.jpg" style="width: 600px; height: 369px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>一位優秀的產品經理會認真聽取所有團隊成員的投入內容，但最終，他們會做出艱難的選擇，決定出什麼對企業好也同時對使用者好。</strong>圖片來源／Melissa Perri</span></p> <p><strong><span style="font-size:28px;">從「為什麼」開始</span></strong></p> <p>現在，讓我們談談是什麼讓梅根和她的團隊如此成功。她從問「為什麼」開始？</p> <p>● 為什麼我們要在貸款上將所有東西數位化？</p> <p>● 何必要做這個專案？</p> <p>● 我們希望在這裡實現什麼想要的結果？</p> <p>● 成功是什麼樣子的？</p> <p>● 如果我們將其全部數位化但沒有人申請貸款會怎樣？</p> <p>● 我們如何減輕該風險？</p> <p>產品經理太常直接深入創建解決方案，而不仔細考量相關風險。前面提到的每一個問題，對梅根來說都是一個風險，有可能使她的專案失敗。我們為什麼要做這個？在許多零售銀行和其他組織中，產品經理沒有機會去問為什麼，利害關係人或主管交代他們要做怎樣的功能和解決方案。有時，這些功能是在年度預算期間決定並承諾的；在其他時候，這被視為是主管的職責──去決定要建構哪些解決方案。如果採用上述方法執行這些解決方案，你會因成見而招致失敗的風險。所有的解決方案想法，都受組織或個人的成見影響，克服這種成見的唯一方法，是向使用者學習並進行實驗。</p> <p>在許多情況下，當組織下達解決方案時，他們跳過了設定成功指標和目標的過程。如果梅根當初只是被簡單告知：「把申請貸款流程數位化，因此無需親自到場申請」，則她的專案走向可能大不相同。如果她發現她的客戶們不想線上申請，而更想到辦公室申請該怎麼辦？如果流程數位化導致完成率急遽下降怎麼辦？如果沒有給她足夠空間，她該如何做出決定去矯正前述問題呢？</p> <p>當我去幫助組織成為產品主導型時，我從主管那裡聽到的最大問題，是他們的產品經理沒有走上前並「負責產品」。但是，這是一種雙面刃，在許多情況下，產品經理可以做更多來領導產品，他們可以對解決方案提出疑問，並拒絕被交辦的事情。但要去收集資料和證明解決方案需要花時間，這就是人們會將敏捷中所謂的產品負責人和產品經理混淆之處。</p> <p>當你查看大多數Scrum文獻中產品負責人的角色時，該職位的三個職責包括：</p> <p>● 定義產品待辦清單，為開發團隊創建可行動的使用者故事。</p> <p>● 整理並排序待辦清單中的工作。</p> <p>● 接受完成的使用者故事，以確保工作符合標準。</p> <p>這些就是在較短產品負責人訓練（通常一兩天）所關注和教導的。儘管Scrum對於怎麼做產品負責人的流程和行事的資訊有很多，但是它留下了許多未回答的問題，而這些問題對於創造成功產品很重要：</p> <p>● <strong><span style="color:#B22222;">我們如何決定價值？</span></strong></p> <p>● <strong><span style="color:#B22222;">我們如何衡量市場上我們產品的成功？</span></strong></p> <p>● <strong><span style="color:#B22222;">我們如何確保我們正建構對的東西？</span></strong></p> <p>● <strong><span style="color:#B22222;">我們如何定價和包裝我們的產品？</span></strong></p> <p>● <strong><span style="color:#B22222;">我們如何將產品推向市場？</span></strong></p> <p>● <strong><span style="color:#B22222;">要建構還是購買？</span></strong></p> <p>● <strong><span style="color:#B22222;">我們如何整合第三方軟體以進入新市場？</span></strong></p> <p>為產品負責只是產品管理的一部分。一個好的產品經理被教導如何去排序工作（根據明確的、以成果為導向的目標）、去定義和發掘真正的客戶和企業價值，以及去決定需要哪些流程來減少在市場上產品成功的不確定性。</p> <p>沒有產品管理方面的背景，還是可以有效地進行Scrum中產品負責人角色的行動，但是他們永遠無法成功地確保自己在建構對的東西；換句話說，產品負責人是你在Scrum團隊中扮演的角色，產品經理是一個職業。</p> <p>如果你採用非Scrum團隊，也不依照Scrum過程做，你依然會是產品經理。產品管理和Scrum可以很好地協作，但是產品管理不依賴Scrum，此角色應存在於任何框架或流程中，且公司需要了解這一點，才能讓它們的人員邁向成功。</p> <p>大多數組織沒有給員工必要的時間，去做產品願景和研究工作。他們寧願讓他們負責源源不斷的產出，並根據成堆的待辦清單和寫故事來衡量成功。</p> <p>梅根之所以成功，很大程度上是因為她的主管和組織讓她成功；他們一起定義出她的目標，她的老闆給了她實現目標的空間，公司則為她提供了完成目標所需的支持，最重要的是，她擁有被允許與使用者談話的優勢。</p> <p>透過與那些沒有完成貸款的人談話，她了解到文件驗證的問題，因此她可以說：「啊哈！我相信，如果我能找到一種方法來驗證這些文件，我們可以讓人們完成他們的貸款。」她找到了要解決的問題，而不是猜測要做出什麼，然後針對可能存在或可能不存在的問題提出解決方案。</p> <p>然後，梅根與她的團隊合作，找出解決該問題的方法。她不是在演獨角戲，她請開發人員、設計師、利害關係人以及為了成功執行所需的任何其他人員一起參與。在需要這些人員時，讓他們一起參與。她沒有在未診斷出問題時，接受利害關係人的命令來創建功能；相反的在制定對的解決方案時，她依靠貸款業務的利害關係人提供給她資訊和指導。她專注於使用者及其需求上，而不是內部團隊的欲求。在實驗成功之後，她便能夠團結公司在整個功能的遠景上。</p> <p>產品經理最終會扮演一些關鍵角色，但最重要的角色之一，是能夠將業務目標與客戶目標結合起來以實現價值。好的產品經理能夠透過創建或優化產品，來找出達成業務目標的方法，所有這些都是依解決實際客戶問題的觀點。這是非常重要的技能。</p> <p>公司常常不知道產品經理應該做什麼，或者為什麼他們如此重要，我經常聽到人家跟我說，他們公司不需要產品經理：「CEO想出了一切。」我很常聽到這個說法。「我們不是大公司，我們只有幾百人，而領導團隊可以處理這些。」藉口堆積如山，但是當我看這些人的公司時，它們很少能成功地為使用者維持長期價值，它們很快被瓦解，或者，如果它們規模較大，則會慢慢凋零。如果你想擺脫建構陷阱，並開始專注於客戶需要和想要的永續解決方案和產品，則你必須擁抱產品管理。</p> <p><strong><span style="font-size:28px;">一個角色，很多責任</span></strong></p> <p>克里斯開始明白了，「嗯，我真的要有產品經理。它的職涯是什麼？我如何讓他們繼續忙於其中和成長？」我們談論了責任、以及隨著你變得更資深，事情會發生什麼變化。</p> <p>作為產品經理，你的角色和責任將根據你的情境、你產品的階段、或你在組織中的領導層級而變化。與非Scrum團隊或在較小團隊中，你可能會為尚未定義好的產品，做更多的策略和驗證工作；與Scrum團隊，你可能會更專注於解決方案的執行。作為產品經理的主管，你可能會領導較大部分產品的策略，並指導你的團隊去發掘和完善執行。</p> <p>Scaled Agile Framework（SAFe）對此有不同的說法，而我認為這是它整個架構中最弱的部分之一。在SAFe中，產品經理是產品負責人的主管，並負責面向外部的互動和運作。他們與客戶談話、定義要建構產品的要求和範圍，然後將這些資訊傳達給產品負責人；產品負責人則是面向內部、定義解決方案的各組成，並與開發人員合作以發布。</p> <p>我已經訓練了數十個使用SAFe的團隊，但從未見過它運作得好。雖然擁有一個架構，可以將所有你在技術上要做的事清楚列好，聽起來很吸引人，但在實務上它通常會失靈。產品負責人與使用者的連結是斷開的，而無法創建有效的解決方案，因為他們不了解問題所在。產品經理基本只是瀑布式的下達需求，團隊不允許去證明是否建構這些功能是正確的。沒有人在做驗證工作。</p> <p>我聽過很多爭論，說產品負責人沒有時間扮演這兩種角色，在當前情況下，這是對的。曾經有個產品負責人跟我說他每週花40個小時寫大量使用者故事。在這一點上，你需要問，這些使用者故事是否有價值？他們是根據什麼排序它們？他們怎麼知道它們將解決問題？如果你讓一個人每週花費這麼多時間來寫使用者故事，那麼你幾乎肯定是在建構陷阱中了。</p> <p>有良好的策略框架就位，並圍繞幾個關鍵目標進行堅定的優先排序，一個人可以有效地與客戶交談、了解他們的問題，並幫助與團隊一起定義解決方案。外部與內部的工作，將依據產品的成熟度和成功與否而有變化，但是，你永遠不應同時做所有的工作。</p> <p>我教導我的客戶，擔任資深職務的產品經理（像是副總、產品主管或中階主管）專注於為團隊定義出願景和策略，根據市場研究、對公司目標和策略的了解，以及其產品成功與否的現狀。而沒有Scrum團隊或與較小團隊（例如，只有一位UX設計師和一位開發人員）合作的產品經理，則幫助為未來產品驗證並促成該策略。在驗證方向後，我們基於這些人員，建立更大的Scrum團隊並建構出解決方案。</p> <p>同樣重要的是，要能根據你產品的階段，靈活調整團隊規模。如果你在發現階段，就給產品經理一個大型Scrum團隊要維護的待辦清單，他們的待辦清單會一直很滿，在保持工作流向開發人員與嘗試做些工作去驗證方向之間，他們也將陷入拉扯。結果，兩邊最終都做不好。</p> <p>如果你要建構可同時為你企業和客戶都可創造價值的產品，則你的公司需要有好的產品管理基礎；如果你想為你的員工提供職涯，則你需要給他們這個基礎，以便他們可以成長為更資深的角色。因此，提醒你的員工要像產品經理一樣思考，他們可能大部分時間都在Scrum團隊中扮演產品負責人的角色，但是你需要他們像產品經理一樣思考，以驗證你是否正建構對的事物。<span style="color:#696969;">（摘錄整理自《跳脫建構陷阱》第七章，碁峰資訊提供）</span></p> <p class="rtecenter"> </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/300%E8%B7%B3%E8%84%AB%E5%BB%BA%E6%A7%8B%E6%9B%B8%E6%91%98.png" style="width: 300px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span></span></strong>　<span style="color:#0099ff;"><strong>跳脫建構陷阱：產品管理如何有效創造價值</strong></span></p> <p>Melissa Perri／著；王薌君／譯</p> <p>碁峰資訊出版</p> <p>售價：400元</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></span></strong></p> <p><strong>Melissa Perri</strong></p> <p>Melissa Perri深信，創造傑出產品的關鍵在於培養優秀產品領導者。作為Produx Labs的執行長，她幫助許多公司有效地擴展其產品組織。Melissa也成立了線上學校Product Institute，並開啟了一個訓練下一代產品長(CPO)的計劃。她是一位國際公認的、廣受歡迎的主題演講者。</p> </div></div></div>
2022/2/14 13:24未署名https://www.ithome.com.tw/article/149353
利用Office文件針對Windows Rgsvr32公用程式攻擊大量增加
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.uptycs.com/blog/attackers-increasingly-adopting-regsvr32-utility-execution-via-office-documents" target="_blank">安全研究人員發現</a>利用Office文件攻擊Windows公用程式regsvr32.exe的案例，自去年第4季以來大量增加，用以散佈惡意軟體。</p> <p>安全廠商Uptycs自去年11月到今年1月，已偵測到500多個惡意程式樣本利用Regsvr32.exe執行.ocx檔的攻擊案例。這些惡意程式樣本屬於Qbot、Lokibot家族。</p> <p class="rtecenter"><img alt="" src="https://lh4.googleusercontent.com/jyEC-3kyzkwnkqWtckmmgC3eLpuhe-RhyNmKnyFJnjY2Q2zV_O0MRX03TWw6xcxqtkmP9j220a-iZmjUY8PCjmbRqW9Yfh_jFrkjNquJZ_Uzs6I0agcYqVFF5W5Hd1qTEsZG1V13" style="width: 597px;" /></p> <p><span style="color:#696969;">圖片來源／Uptycs</span></p> <p>Regsvr32是經過微軟簽章的指令行公用程式，可用於登錄和取消登錄DLL。登錄DLL檔後，就可將特定資訊加入登錄檔（registry）而為Windows所用，之後其他程式即能使用DLL的功能。</p> <p>攻擊者可利用Regsvr32載入COM scriptlet後執行DLL，這類攻擊不會變更登錄檔，因為COM物件雖有執行但並未登錄，可使攻擊者繞過應用程式的白名單過濾。這類手法通常稱為Squiblydoo。</p> <p>研究人員指出，使用這類攻擊的樣本在去年11月以前只有10件上下，去年11月起突然遽增，12月及今年1月偵測到的樣本來到超過340及100件。97%樣本來自惡意Office文件，其中又以Excel檔案最多，特別是包含.xlsb或.xlsm擴充程式的Excel文件。</p> <p class="rtecenter"><img alt="" src="https://lh6.googleusercontent.com/gGCYs_Tgjs8h0hlQzNN_ZKOzKxyIPZ_tk3St5LA1Y8rEcz2Z6aWCwNxBU9jj5tgbiFicO-IQDfeoAmsbY4v5cdvVRYSu-uvzGmJTeVLeqX3A6fXVnWnz9UG1_HsPZfEYnWqxxbot" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Uptycs</span></p> <p>研究人員指出，嵌入式巨集的xlsb或.xlsm Excel檔、或是嵌入巨集的Word/RTF或複合文件，如.doc、.docx、.docm檔是利用巨集裏的公式，從遠端URL下載或執行惡意程式。Squiblydoo手法則會阻礙安全產品的偵測分析，使駭客意圖得逞。</p> <p>除了使用能辨識Squiblydoo手法的安全產品外，研究人員建議安全管理員特別注意regsvr32g在Word或Excel環境下執行的parent/child行程，尤其是執行COM scriptlet時載入scrobj.dll有無異常情形。</p> </div></div></div>
2022/2/14 12:39作者林妍溱https://www.ithome.com.tw/news/149351
英特爾成立客製化運算部門，專攻區塊鏈硬體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了趕上區塊鏈的浪潮，<a href="https://www.intel.com/content/www/us/en/newsroom/opinion/thoughts-blockchain-custom-compute-group.html" target="_blank">英特爾（Intel）在11日宣布</a>成立新的客製化運算部門（Custom Compute Group），準備推出更具能源效益的區塊鏈加速器，首波客戶將包括挖礦業者Argo Blockchain與支付平臺Block。</p> <p>英特爾表示，區塊鏈技術具備可讓每一個人擁有自行建立的數位內容及服務的潛力，有些人更將它稱為運算領域的轉捩點，隨著人們進入元宇宙與Web 3.0的時代，相關技術將從根本顛覆人們儲存、處理與交易數位資產的方式；不管未來如何發展，讓所有人都能取得更多的運算都將扮演關鍵的角色。</p> <p>有鑑於某些區塊鏈需要龐大的運算能力並消耗巨大能源，使得許多業者開始追求可擴充並持續的解決方案，推動英特爾專注於研發最省電的運算技術，以發揮區塊鏈的全部潛能。</p> <p>英特爾即將於今年推出區塊鏈加速器，相較於目前用來挖礦的主流GPU，英特爾宣稱新產品每瓦特的效能將超過1,000倍。</p> <p><a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-makes-changes-strengthen-execution-innovation-critical-business-areas.html#gs.p18dv4" target="_blank">去年英特爾調整了內部的業務架構</a>，將原有的資料中心事業群拆分為資料中心與AI事業群（Datacenter and AI Group，DCAI），以及網路及邊緣事業群（Network and Edge Group，NEX），也另外成立了新的加速運算系統及繪圖事業群（Accelerated Computing Systems and Graphics Group，AXG），其它事業群還包括客戶端運算事業群（Client Computing Group，CCG）、晶圓代工服務事業群（Intel Foundry Services，IFS），以及鎖定自駕車解決方案的Mobileye。</p> <p>至於新成立的客製化運算部門則被納入AXG，由該事業群的總經理Raja Koduri負責管轄，新部門將聚焦於建置客戶任務所需的矽平臺，除了區塊鏈之外，也包含其它客製化的邊緣加速超級運算產品。</p> </div></div></div>
2022/2/14 11:33作者陳曉莉https://www.ithome.com.tw/news/149338
快升級！Zoom Mac版臭蟲在會議結束後仍存取麥克風
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mac用戶請留意，Monterey macOS版本Zoom終端軟體有隻臭蟲，會在會議結束後時保持麥克風開啟狀態。Zoom已經釋出更新版解決。</p> <p><a href="https://community.zoom.com/t5/Meetings/Why-is-the-Zoom-app-listening-on-my-microphone-when-not-in-a/td-p/29019" target="_blank">去年12月一名macOS Monterey用戶在論壇上抱怨</a>，他偶然發現Mac電腦上的麥克風亮起了橘色指示燈，顯示有App正在使用。點選Mac電腦的控制中心（Control Center）得知是Zoom正在存取麥克風。其實用戶只有開啟Zoom，並未執行會議。自去年12月以來許多用戶反映相同問題。用戶懷疑可能已在無意間遭到竊聽。</p> <p>Zoom說明這是macOS版Zoom的臭蟲，會在用戶結束會議、通話或Webinar後持續開啟麥克風，導致橘色指示燈亮起。蘋果於macOS Monterey在Menu Bar加入指示燈以提醒用戶。麥克風未啟用時是綠色，一旦啟用就轉為橘色。</p> <p><a href="https://support.zoom.us/hc/en-us/articles/201361963-Release-notes-for-macOS" target="_blank">Zoom去年12月釋出5.9.1版來修補這隻臭蟲</a>。不過似乎未修補完全，因而1月25日Zoom再釋出5.9.3版，並表示已解決問題。Zoom也建議用戶升級到最新版本。Zoom建議用戶應經常更新以確保Zoom用戶端在最新版本，並建議用戶啟動自動更新功能。</p> <p><a href="https://www.theverge.com/2022/2/12/22930588/zoom-update-psa-macos-monterey-mic-indicator-light-bug" target="_blank">Zoom對The Verge表示</a>，該臭蟲並不會造成用戶的聲音資源傳到Zoom平臺上。</p> <p>這並不是Zoom Mac版本第一次有隱私漏洞。<a href="https://www.ithome.com.tw/news/131763" target="_blank">2019年資安研究人員也發現</a>macOS版App暗中安裝了本機版的網頁伺服器，可讓外部使用者或App藉由Zoom網頁伺服器，遠端啟動電腦的攝影機。</p> </div></div></div>
2022/2/14 10:40作者林妍溱https://www.ithome.com.tw/news/149337
更多Android 12手機將可擁有Material You動態色彩功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原本只有Pixel手機才擁有的設計語言Material You功能，<a href="https://android-developers.googleblog.com/2022/02/material-you-coming-to-more-android.html">Google預告</a>將會出現在更多Android 12手機上，特別是可大幅個人化使用體驗的動態色彩功能，用戶也將可以在三星、OnePlus、Oppo、Vivo、Realme、小米和Tecno等品牌的裝置使用到。</p> <p>Google在發布Android 12的同時，也發布了新的設計語言Material You，該設計語言訴求流暢和個人化，在設計中提供更動感的動畫、滑順的滾動體驗，還有寬敞的布局，而最被人注意的是動態色彩功能，用戶可以選擇喜歡的桌布，之後整個手機介面的配色，無論是桌面還是應用程式，都會根據圖片變動。</p> <p>官方提到，Material You的個人化設計，將會是Android的重要特徵，在未來數年Google會繼續在生態系中推廣，讓開發人員也可以在應用程式中，添加個人化的外觀和體驗。</p> <p>但是在Android 12發表以來，並非所有的Android 12手機都能獲得Material You更新，之前僅有Google自家的Pixel手機才能用到。現在Google正與OEM廠商合作，確保關鍵設計API，尤其是動態色彩的API，能夠在Android生態系中一致的運作，接下來的市場上新推出的Android 12裝置，便能使用更完整的Material You功能。</p> <p>由於要讓開發者能夠更清楚實作動態色彩，甚至讓企業將該功能融入到品牌故事中，Material團隊發布了完整的文件，其中包含程式碼實驗室和指南，指引開發者開始使用Jetpack Compose等開發工具，接下來Google還會持續更新Material Theme Builder和Material Color Utilities，提供開發者設計和實作所需要的工具。</p> </div></div></div>
2022/2/14 09:55作者李建興https://www.ithome.com.tw/news/149326
Google全託管機器學習平臺Vertex AI新功能，供用戶在本地端執行程式碼除錯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/ai-machine-learning/debugging-faster-in-vertex-ai-training">Google機器學習平臺Vertex AI</a>現在讓用戶能使用新的本地端模式（Local Mode），以更簡單快速的方式除錯，並且添加自動容器化打包（Auto-Container Packaging）功能，簡化部署程式碼至雲端的流程。</p> <p>Vertex AI為一個全託管的機器學習平臺，在單一介面提供十多種機器學習工具，供開發者能夠快速地建構、部署和擴展機器學習模型。</p> <p>Google改進了Vertex AI的本地端模式，來強化除錯體驗。Google提到，除錯本質上就是一個重複性的過程，不斷地進行小程式碼更改迭代。在Vertex AI Training託管雲端環境中，用戶可以啟動虛擬機器、載入相依項目、擷取資料、執行程式碼，並且將工作拆分至各個叢集中。</p> <p>Google提到，在這個流程中，即便是測試簡單的程式碼都會產生許多額外成本，同時也減慢除錯的過程，而更好的方式是讓開發者在提交雲端作業之前，可以先在本地端測試程式碼。Vertex AI Training新的本地端模式，供開發者在小型樣本資料集上，進行本地端迭代和測試，不需要等待整個雲端虛擬機器生命周期。本地端模式提供了一個在以雲端規模執行程式碼之前，友善且快速的除錯方法。</p> <p>這個新的本地端模式，是透過Docker容器來實現環境的一致性，本地端模式讓用戶能夠使用與雲端工作相似的環境，讓程式碼在本地按照預期執行，Google提到，這帶來更高的可靠性和可重復性，使得開發者可以更快地對簡單的執行時錯誤進行除錯，而不需要承擔將工作提交到雲端，等待虛擬機器叢集生命周期的開銷。</p> <p>一旦用戶已經準備好能以雲端規模執行的程式碼，Vertex AI的第二個更新自動容器化打包便派上用場，Google解釋，要執行訓練應用程式，用戶需要上傳程式碼以及所有相依項目，這個過程須歷經三個步驟，首先，開發者需要在本地端建置Docker容器，接著將容器推送至容器儲存庫，最後才能創建雲端Vertex AI訓練作業。</p> <p>而藉由自動容器化打包功能，可將這三個步驟濃縮成一個指令，因此即便是不熟悉Docker的用戶，也可以獲得容器化的一致性和可重複性優勢。這兩項新的Vertex AI訓練功能，進一步簡化開發者模型訓練工作流程，簡單來說，本地端模式能快速迭代少量程式碼，抓出執行時錯誤，自動容器化打包功能則減少將本地Python程式碼部署到雲端的步驟。</p> </div></div></div>
2022/2/14 10:00作者李建興https://www.ithome.com.tw/news/149330
【DBS客座文章】資料驅動組織的關鍵，使用一站式資料工具創造完整的分析使用體驗
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/guest-post/149334"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/dbs-data-p1-960.png?itok=ACVDBBbT" width="960" height="420" alt="" /></a></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-inline clearfix"><div class="field-label">圖片來源: </div><div class="field-items"><div class="field-item even">DBS</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>原著：Abhishek Pitliya, Senior Vice President at Middle Office Technology-Risk／新加坡星展銀行資訊暨營運處<br /> 翻譯：李沛衡<br /> 譯註：文中所稱之「我們」、「DBS」、「星展銀行」或「星展」皆係指新加坡星展銀行，所提及之金融服務亦為新加坡國內之服務。<br /> 原文出處：<a href="https://medium.com/dbs-tech-blog/using-a-one-stop-data-utility-to-create-a-complete-user-experience-984cfebadfaf">https://medium.com/dbs-tech-blog/using-a-one-stop-data-utility-to-create-a-complete-user-experience-984cfebadfaf</a></strong></p> <p>在現今之數位環境下，數據（Data）是每間公司的精髓，無論是將其用在研究疫苗或是推動新市場之成長策略，Data都扮演關鍵性的推動者角色。然而我們如何將所受限制之資料挖掘出價值，以給予更廣泛的使用者呢？是否有任何的替代方案讓這些受限之資料，可以在正確的時間以及完善控制的前提下給予適合之使用者？這些領域對許多組織來說是一項艱鉅的挑戰，這也是本篇文章所要探討數據民主化（Data democratization）的重要性。</p> <p>建立正確之數據文化思維是開始數據轉型的第一步，特別對金融產業而言，這可說是非常有挑戰性的行為，因金融機構需要在嚴格監管的環境中進行營運，以及在眾多數據儲存的技術下（如RDMS, NoSQL, Big Data等）處理大量機密的資料，因此如何在相關的金融法令規範下，準確且有效地取得不同面向之數據需求，在兩者之間取得平衡，並讓銀行的內部使用者以數據導向（data-driven）思維為核心做出決策，以提升客戶體驗，對金融機構是一件至關重要的任務。</p> <p>由於特定之限制，相同之數據可能難以給予其他部門進行存取，並分析其所需之內容。因此在適當的權衡下，不同單位間分享數據，可以打破資料孤立性，並讓各個團隊得以用手上的數據作出決策。而在一個組織中，數據乃是由不同部門及不同授權之內部使用者擁有，因此透過相對應之控制，相關之訊息可以更簡單地提升其可用性。因此數據民主化的方式可以讓使用者不需透過其他相關之單位或人員，就能以數位化方式存取所需之資料。</p> <h3><span style="color:#FF8C00;"><strong>數據存取及其工具之重要性</strong></span></h3> <p>要成為真正的data-driven組織，內部使用者必須使用正確的工具，以提升用戶體驗，同時保持數據安全性與效能。在當今的數位化環境，隨著人與機器、或機器與機器間之交流快速成長，科技已成為這世界強大的驅動力。隨著快速變化的腳步，大多數企業的業務與數據緊緊相依，特別是銀行和其它金融機構，遵守監管要求並確保數據安全性和完整性，對其來說至關重要。</p> <p>對於銀行中參與Big data的使用者而言，使用單一入口快速且安全地存取不同數據來源，一直是個長期挑戰，使用者必須存取數百萬、甚至數十億的數據量，同時保持數據的完整及乾淨度。雖然有可用的開源工具（Open source）可以整合不同數據庫來源，但這些工具在銀行等金融機構高度監管環境下，在性能、可用性和安全性等方面仍有落差。</p> <p>直到幾年前，大數據平台對各組織來說還是相當新穎，而且很少有人熟悉如何從此類數據儲存工具中獲取資料。雖然這些平台和工具能夠實現具有成本效益的儲存大規模數據，但要即時獲取資料，並跟以 RDBMS（關聯式資料庫管理系統）提供的相同複雜性的查詢所得出之分析結果相同極為不便，同時還有兩個關鍵需要考慮：</p> <p><strong>1.</strong>確保寫得不佳或是效率次佳之查詢方式對數據儲存的營運不會有負面影響，因為其中很多對於及時監管報告或內部報告與分析至關重要。因此，<strong>需要預先檢測可能對多租戶（multi-tenanted）環境中的其他使用者和程序產生不利影響的結果或惡意查詢。</strong></p> <p><strong>2</strong>.在當今趨勢下，目前許多勞動者需要遠程工作，還需定義針對在家工作（WFH）條件的規則。因此<strong>需要Data Owner的核准及監督，以安全的方式進行存取和共享數據。</strong></p> <h3><span style="color:#FF8C00;"><strong>Celerity: 實現資料的迅速存取以及維護獨立性</strong></span></h3> <p>在當今以「數據即資產」的世界中，速度和準確性至關重要。擁有可擴展、有彈性、安全且適合不同用途的解決方案是讓我們開發內部解決方案 Celerity 的催化劑。選擇Celerity這個名字是因為它意味著「swiftness of movement（迅速動作）」，這正是我們解決多重問題的產品過程中需要實現的速度和精確度的意義。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dbs-data-p1.jpg" /></p> <h3><strong><span style="color:#FF8C00;"><span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">Celerity</span>：提供無縫之數據存取、共享和協調</span></strong></h3> <table cellpadding="0" cellspacing="0" class="t1" style="border-collapse: collapse;"><tbody><tr><td class="td1" colspan="2" style="border-style: solid; border-width: 1px; border-color: rgb(154, 154, 154); padding: 1px 5px;" valign="top">key feature</td> </tr><tr><td class="td1" style="border-style: solid; border-width: 1px; border-color: rgb(154, 154, 154); padding: 1px 5px; vertical-align: top; background-color: rgb(255, 204, 204);"> <p class="p1" style="margin: 0px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".PingFang TC";"><span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".AppleSystemUIFont";">1.</span>數據存取</p> </td> <td class="td1" style="border-style: solid; border-width: 1px; border-color: rgb(154, 154, 154); padding: 1px 5px;" valign="top"> <p class="p1" style="margin: 0px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".PingFang TC";">・由單一入口之授權方式，讓不同之數據來源可以安全地被使用者存取</p> </td> </tr><tr><td class="td1" style="border-style: solid; border-width: 1px; border-color: rgb(154, 154, 154); padding: 1px 5px; vertical-align: top; background-color: rgb(255, 204, 204);"> <p class="p1" style="margin: 0px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".PingFang TC";"><span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".AppleSystemUIFont";">2.</span>數據共享</p> </td> <td class="td1" style="border-style: solid; border-width: 1px; border-color: rgb(154, 154, 154); padding: 1px 5px;" valign="top"> <p class="p1" style="margin: 0px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".PingFang TC";">・在適當之安全性控管下進行即時查詢、分享以及傳輸</p> </td> </tr><tr><td class="td1" style="border-style: solid; border-width: 1px; border-color: rgb(154, 154, 154); padding: 1px 5px; vertical-align: top; background-color: rgb(255, 204, 204);"> <p class="p1" style="margin: 0px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".PingFang TC";"><span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".AppleSystemUIFont";">3.</span>數據偵查</p> </td> <td class="td1" style="border-style: solid; border-width: 1px; border-color: rgb(154, 154, 154); padding: 1px 5px;" valign="top"> <p class="p1" style="margin: 0px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".PingFang TC";">・在短時間內以<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".AppleSystemUIFont";">Summary</span>及<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".AppleSystemUIFont";">Detail</span>的觀點比較不同的數據來源</p> </td> </tr><tr><td class="td1" style="border-style: solid; border-width: 1px; border-color: rgb(154, 154, 154); padding: 1px 5px; vertical-align: top; background-color: rgb(255, 204, 204);"> <p class="p2" style="margin: 0px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".AppleSystemUIFont";">4.<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".PingFang TC";">效能</span></p> </td> <td class="td1" style="border-style: solid; border-width: 1px; border-color: rgb(154, 154, 154); padding: 1px 5px;" valign="top"> <p class="p1" style="margin: 0px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".PingFang TC";">・具備可擴充性與<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".AppleSystemUIFont";">on-demand</span>服務</p> </td> </tr><tr><td class="td1" style="border-style: solid; border-width: 1px; border-color: rgb(154, 154, 154); padding: 1px 5px; vertical-align: top; background-color: rgb(255, 204, 204);"> <p class="p1" style="margin: 0px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".PingFang TC";"><span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".AppleSystemUIFont";">5.</span>連通性</p> </td> <td class="td1" style="border-style: solid; border-width: 1px; border-color: rgb(154, 154, 154); padding: 1px 5px;" valign="top"> <p class="p1" style="margin: 0px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".PingFang TC";">・連接不同數據來源與整合第三方套件</p> </td> </tr><tr><td class="td1" style="border-style: solid; border-width: 1px; border-color: rgb(154, 154, 154); padding: 1px 5px; vertical-align: top; background-color: rgb(255, 204, 204);"> <p class="p1" style="margin: 0px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".PingFang TC";"><span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".AppleSystemUIFont";">6.</span>合規性</p> </td> <td class="td1" style="border-style: solid; border-width: 1px; border-color: rgb(154, 154, 154); padding: 1px 5px;" valign="top"> <p class="p1" style="margin: 0px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".PingFang TC";">・監控使用者行為將風險降至最低</p> </td> </tr><tr><td class="td1" style="border-style: solid; border-width: 1px; border-color: rgb(154, 154, 154); padding: 1px 5px; vertical-align: top; background-color: rgb(255, 204, 204);"> <p class="p2" style="margin: 0px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".AppleSystemUIFont";">7.<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".PingFang TC";">品質</span></p> </td> <td class="td1" style="border-style: solid; border-width: 1px; border-color: rgb(154, 154, 154); padding: 1px 5px;" valign="top"> <p class="p1" style="margin: 0px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: ".PingFang TC";">・時時監控惡意或非最佳化之查詢方式</p> </td> </tr></tbody></table><p>除上述功能外，Celerity套件還包含自定義資料品質（Data Quality）功能，以分析數據準確性，使用者還可以自定Data Quality的標準和報告。同時Celerity提供資料處理歷程（Data Lineage）自動化的需求，以對應到相應之數據流，並幫助呈現數據從來源到其目的地之視覺化過程。總的來說，Celerity提供了一套完整且全面的工具，讓分析人員在使用數據的過程中，有更良好的使用者體驗。</p> <p>在前面的段落中，我們已經闡述了星展為什麼需要構建Celerity這樣的工具，也簡要介紹了 Celerity 的功能。在下一篇文章中，將分享對 Celerity 不同模組的更多介紹，以及Celerity如何改善星展使用者對使用數據工具的體驗。更多分享敬請期待Celerity Part 2!</p> <p><strong>免責聲明和重要通知</strong><p></p></p> <p>本文章(英文)係由DBS LTD提供並經星展銀行（台灣）(下稱｢本行｣)翻譯為中文，僅供參考，本行及DBS LTD不對使用本文章所引起之任何損失或損害負任何責任。如您有任何疑問或欲參考本文章而為行事之依據，本行建議您諮詢您的專業顧問之意見，以保障您的權益。非經本行之事前書面同意，任何人不得對本文章為複製、轉載、引用、抄襲、修改、散佈或為任何其他方式之使用<p></p></p> </div></div></div>
2022/2/14 08:46作者星展銀行https://www.ithome.com.tw/guest-post/149334
結合漏洞管理與網路分段功能，紅帽推出K8原生安全解決方案
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/rhacs-main2.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年1月，紅帽宣布併購2014年成立的資安新創廠商StackRox，有別於市面上出現的第一代容器安全平臺，提供的是聚焦在容器的解決方案，這家公司受到看重的主要部分在於，他們提供的是Kubernetes原生安全平臺，企業能夠更輕鬆地控管與強制實施資安政策，並且運用與Kubernetes同樣的宣告方法，使得IT人員與開發人員在擴展應用程式的執行規模之餘，也能維持必要的安全性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ACS-2021-02-StackRox features.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACS-2021-02-StackRox%20features.jpg" style="width: 600px;" /></a></p> <p>除此之外，StackRox的軟體可將政策強制實施與深層封包收集的相關元件，直接部署到Kubernetes叢集基礎架構當中，而能清楚掌握所有的Kubernetes叢集狀態，可減少建置安全性防護的時間與人力，加速資安分析、調查、矯正。同時，該公司的政策引擎包含數百種內建控制處理，像是執行時期防護、同時涵蓋容器與Kubernetes的組態管理，也能強制實施資安最佳實務與業界標準，例如，網際網路中心（CIS）發展的CIS Benchmarks，以及美國國家標準與技術研究院（NIST）的應用程式與容器安全指南SP 800-190。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHACS-2021-02-StackRox Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHACS-2021-02-StackRox%20Arch.jpg" style="width: 600px;" /></a></p> <p>同年2月紅帽宣布完成合併StackRox，4月他們針對用戶自行管理的OpenShift，推出新的版本區分方式，對應不同的應用需求：新增的OpenShift Kubernetes Engine版本支援入門級建置，提供Red Hat Enterprise Linux CoreOS、Kubernetes、OpenShift Virtualization、管理者主控臺；既有的OpenShift Container Platform版本可支援企業級混合雲建置，額外提供開發者主控臺、事件記錄管理與測量／成本管理、OpenShift Serverless、OpenShift ServiceMesh、OpenShift GitOps；新增的OpenShift Platform Plus版本支援單一混合雲建置，會再額外提供Advanced Cluster Management for Kubernetes（ACM）、Advanced Cluster Security for Kubernetes（ACS）、OpenShift Data Foundation、Quay。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-04-cl-openshift-platform-plus-diagram-us291604wg-202104-01-web.jpg" style="width: 600px;" /></p> <p>OpenShift Platform Plus當中的ACS，負責的功能在於針對整個應用程式生命週期，提供Kubernetes原生安全防護，而這套解決方案正是源自2021年完成併購的StackRox。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RHACS-2021-07-OpenShift%20Plus1.jpg" style="width: 600px;" /></p> <p>而在5月底，也就是紅帽高峰會前夕，他們公開更多ACS的功能特色。若就發布版本而言，紅帽陸續已針對ACS推出9個更新版本，最初登場的是5月中發布的3.0.60，而目前最新版是今年2月上場的3.68。</p> <h2><span style="color: rgb(0, 0, 205);"><strong><a href="https://s4.itho.me/sites/default/files/images/RHACS-2021-07-coverage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHACS-2021-07-coverage.jpg" style="width: 600px;" /></a></strong></span></h2> <h2><span style="color:#0000CD;"><strong>保護範圍包含軟體的開發、部署、上線運作，在應用程式生命週期的不同階段，均可提供容器與K8s安全防護</strong></span></h2> <p>整體而言，ACS主要能提供3大類型的防護，分別是：軟體供應鏈安全、雲端安全態勢管理（CSPM）、雲端工作負載防護，對應開發流程、基礎架構、工作負載的安全性要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHACS-2021-12-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHACS-2021-12-overview.jpg" style="width: 600px;" /></a></p> <p>細部來看，ACS可涵蓋下列7種應用需求：透明度、弱點管理、政策遵循、網路分段、風險態勢剖析（Risk Profiling）、組態管理、執行時期的偵測與反應。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHACS-2021-07-Features.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHACS-2021-07-Features.jpg" style="width: 600px;" /></a></p> <p>以透明度而言，用戶需要知道正在使用的容器映像，了解這些軟體的起源，掌握它們包含的漏洞與嚴重等級，同時，還需要知道執行這些具有漏洞的容器的Pod、命名空間與部署方式，以及它們受攻擊的層面與遭遇外洩的潛在爆發範圍，而ACS揭露整個OpenShift環境的狀態，以及隨之而來的資安問題，像是映像、容器、漏洞的CVE編號，以及評估後而得來的嚴重性分數。</p> <p>除此之外，ACS也會運用Kubernetes當中的前後脈絡資訊，強化狀態的透明度，像是網路傳輸路徑、執行時期處理程序的執行、機密的暴露，以及環境的其他屬性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ACS-2021-10-Dashboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACS-2021-10-Dashboard.jpg" style="width: 600px;" /></a></p> <p>在弱點管理上，ACS可提供系統映像的完整生命週期管理，以及容器的掃描，這套產品會結合Kubernetes資料的漏洞細節，以及漏洞衝擊目前所在的生命週期階段，以便量化對環境構成漏洞的資安風險，讓企業能準確標定受此漏洞影響的相關Pod、命名空間、部署方式，以及叢集。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ACS-2021-10-Vulnerability Management.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACS-2021-10-Vulnerability%20Management.jpg" style="width: 600px;" /></a></p> <p>針對政策遵循的需求，ACS內建多種檢測Docker與Kubernetes的業界標準，像是PCI、HIPAA、NIST的SP 800-90與SP 800-53，若要了解驗證結果，IT人員僅需點選，即可獲得系統產生的報告，能提供給稽核人員作為證據。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ACS-2021-09-Compliance.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACS-2021-09-Compliance.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ACS-2021-09-Compliance1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACS-2021-09-Compliance1.jpg" style="width: 600px;" /></a></p> <p>網路分段也是ACS內建的功能，透過網路政策的管理，可幫助企業在Kubernetes擴展執行規模之際，也能提供健全與可移植的強制施行機制，可確保資安、維運、開發等團隊，能運用單個來源的真相與一致的資訊，以便有效限制網路存取活動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ACS-2021-09-Network Segment.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACS-2021-09-Network%20Segment.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-05-A%20brief%20introduction%20to%20Red%20Hat%20Advanced%20Cluster%20Security%20for%20Kubernetes-2-Network%20Segmentation.jpg" style="width: 600px;" /></p> <p>關於風險剖析，ACS可基於整個應用程式生命週期的資訊，針對每種部署方式來提供數值型態的風險排行。紅帽將系統映像的資安漏洞與嚴重性，搭配豐富的前後文脈絡資料，執行交互關連，協助用戶能夠了解需要立即矯正漏洞的部署，以便突顯風險等級最高的應用程式建置與設定。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-05-A brief introduction to Red Hat Advanced Cluster Security for Kubernetes-3-Risk.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-05-A%20brief%20introduction%20to%20Red%20Hat%20Advanced%20Cluster%20Security%20for%20Kubernetes-3-Risk.jpg" style="width: 600px;" /></a></p> <p>在組態管理的層面，ACS提供以部署為中心的觀點，可呈現系統映像、容器、部署的執行狀態，IT人員能更容易識別是否錯失最佳實務與建議的落實。這類型的功能，可讓企業評估運用角色存取控制（RBAC）的方式，而能理解使用者與服務帳號的權限，進而找出有風險的應用程式組態，同時，也能追蹤機密的運用方式，及早發現非必要的暴露，進而可以主動限制這些存取行為。</p> <p>若偵測到組態設定錯誤的狀況，IT人員可透過ACS來建立政策，或運用這套系統現成提供的控管規則，來強制實施更安全的設定，能在應用程式組建之際，可結合CI/CD流程，或是應用程式部署時，可運用動態許可控制（Dynamic Admission Control）來執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ACS-2021-12-CI_CD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACS-2021-12-CI_CD.jpg" style="width: 600px;" /></a></p> <p>在執行時期的偵測與反應處理上，ACS會結合自動化的處理程序探查功能，以及基於行為的安全基準確保機制──自動建立處理程序的許可清單，而能判斷是否為實際威脅，而非良性的異常行為。</p> <p>ACS也提供預先設定的組態，可偵測常見的資安威脅，包含加密貨幣挖礦、權限上擴，以及多種漏洞濫用行為。這當中使用了Kubernetes原生控制手段，並以卸除Pod、重新啟動，或是將部署規模降低至最低等級等多種方式來緩解威脅，藉此確保事故反應的相關處理不會導致應用程式停止運作，或形成其他維運風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ACS-2021-09-Violation.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <blockquote><p>Red Hat Advanced Cluster Security for Kubernetes<br /> ●原廠：Red Hat<br /> ●建議售價：廠商未提供<br /> ●架構組成元件：集中化元件（Central、Scanner）、叢集節點元件（Sensor、Admission controller）、節點元件（Collector）<br /> ●系統需求：OpenShift Container Platform 4.5<br /> ●叢集節點支援作業系統：Amazon Linux、CentOS、Container-Optimized OS from Google、Red Hat Enterprise Linux CoreOS、Debian、Red Hat Enterprise Linux、Ubuntu<br /> ●叢集節點硬體需求：2顆處理器核心、3GiB記憶體</p> </blockquote> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2022/2/12 15:02作者李宗翰https://www.ithome.com.tw/review/149333