iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 01:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2022年11月30日，駭客透過抖音短片散布竊密程式WASP、未修補已知漏洞的Fortinet資安設備網址…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定開發人員並濫用NPM、PyPI套件庫散布惡意軟體的攻擊行動，之前傳出不少事故，但最近研究人員發現極為不同的新手法──駭客透過抖音短片來做為誘餌，並表示他們擁有解除濾鏡效果的工具，一旦觀眾依照指示下載，駭客將從PyPI套件庫取得竊密軟體，並於受害電腦部署。</p> <p>今年10月Fortinet修補的身分驗證繞過漏洞CVE-2022-40684，也出現有人將尚未修補的系統名單進行彙整，並在網路犯罪圈進行兜售的情況！而駭客收集該廠牌有漏洞設備的網址供他人進一步運用的情況，已非首例，<a href="https://www.ithome.com.tw/news/141261">2020年就有人收集近5萬筆Fortinet SSL VPN的IP位址求售</a>。</p> <p>世界盃足球賽相關的網路攻擊行動也相當值得留意，<a href="https://www.ithome.com.tw/news/154378#fifa2022">我們先前報導過針對球迷與球隊的網釣攻擊</a>，但最近有研究人員發現，駭客不止發動釣魚郵件攻擊，還推出假的球場通行證與加密貨幣，並向主辦國卡達的企業發動DDoS攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://checkmarx.com/blog/attacker-uses-a-popular-tiktok-challenge-to-lure-users-into-installing-malicious-package/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客藉由特製的抖音影片散布竊密程式WASP，套件供應平臺、資安研究員、開發者均有可能淪為幫兇</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/tiktok_invisible-01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tiktok_invisible-01.png" style="width: 300px; float: right;" /></a>抖音的特效濾鏡影片成為駭客散布惡意軟體管道！資安業者Checkmarx揭露利用有人散布竊密程式WASP的攻擊行動，駭客先在抖音上傳隱形挑戰（Invisible Challenge）的短片，此種影片用戶會拍攝自己裸體擺出多種動作的影片，再透過抖音應用程式的濾鏡使身體的部分模糊。</p> <p>在此同時，駭客宣傳能破解濾鏡的工具「unfilter」，觀眾若想要取得此軟體，必須加入駭客的Discord伺服器，申請加入的過程中，還會要求觀眾為駭客的GitHub專案給予星級評價（類似臉書的讚）。</p> <p>此GitHub專案存放了BAT批次檔案與YouTube安裝教學影片，一旦受害者依照指示安裝，此批次檔就會從PyPI套件庫下載WASP。研究人員指出，雖然他們向PyPI通報後含有WASP的惡意套件已經下架，但駭客很快又重新製作類似的惡意套件。</p> <h3><a href="https://blog.cyble.com/2022/11/24/multiple-organisations-compromised-by-critical-authentication-bypass-vulnerability-in-fortinet-products-cve-2022-40684/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人兜售未修補已知身分驗證漏洞的Fortinet資安系統名單</span></strong></a></h3> <p>資安業者Fortinet<a href="https://www.ithome.com.tw/news/153533">於10月初修補重大漏洞CVE-2022-40684</a>，此漏洞影響該廠牌的FortiOS、FortiProxy、FortiSwitchManager，且已傳出攻擊行動，如今已有人彙整存在漏洞的設備網路位址清單，並在暗網求售。資安業者Cyble指出，他們在11月17日發現，駭客於網路犯罪論壇上兜售FortiOS的VPN存取資料清單，而這些Fortinet系統的共通點，就是執行尚未修補CVE-2022-40684的FortiOS作業系統，而且，攻擊者試圖將他們的公鑰加入其管理員帳號。</p> <h3><a href="https://cloudsek.com/whitepapers_reports/fifa-world-cup-qatar-2022-cyber-threat-landscape/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客以世界盃足球賽的名義發動網路攻擊，鎖定觀眾、加密貨幣投資人、賭客、當地企業而來</span></strong></a></h3> <p>世界盃足球賽於卡達開打，但駭客也趁機進行各式各樣的攻擊行動。資安業者CloudSEK發現，駭客針對這場球賽的球迷、賭客、加密貨幣投資人，甚至是當地企業發動攻擊，目的是企圖在球賽熱潮獲得經濟利益。研究人員指出，他們看到駭客透過Telegram頻道，以50至150美元的價格出售偽造的球場通行證Hayya卡，或是從中竊取信用卡資料，並針對球迷推銷假的世界盃加密貨幣；再者，攻擊者也鎖定想要下注的球迷，聲稱可提供賽事預測資訊，引誘他們到冒牌投注網站騙取錢財與個資，或是散布惡意軟體。</p> <p>除了上述針對多種類型球迷的攻擊行動，也有人鎖定卡達企業或政府機關發動DDoS攻擊，並在社群網站上公布相關資料，並加上針對卡達、世界盃、FIFA的標籤。</p> <h3><a href="https://cloudsek.com/threatintelligence/advanced-phishing-campaign-targeting-individuals-businesses-in-the-middle-east-part-2/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">假冒阿拉伯聯合大公國人力資源部門的網釣攻擊越來越氾濫</span></strong></a></h3> <p>資安業者CloudSEK於7月發現冒充阿拉伯聯合大公國政府的網釣攻擊，但在進一步調查後發現，該攻擊行動的規模遠比過往要來得更廣泛。研究人員發現，駭客針對中東公司與政府的供應商進行大規模商業電子郵件詐騙（BEC）攻擊行動，假借供應商登記、案件投標為幌子，透過Zoho Mail來發送釣魚郵件。這些駭客會特別買下與目標組織相似的網域來使用，使得收信人更加難以從寄信人的電子郵件信箱察覺有異。</p> <h3><a href="https://www.thehindu.com/news/cities/Delhi/aiims-continues-silence-on-media-reports-of-200-crore-demand-by-hackers/article66201742.ece"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度醫學中心AIIMS疑遭勒索軟體攻擊，相關服務中斷近一週</span></strong></a></h3> <p>11月23日印度醫學中心AIIMS遭到網路攻擊，導致他們的醫療系統運作受到影響，事隔一個星期，該機構仍只能以手動提供相關服務。為何如此？他們表示，eHospital系統資料已成功恢復，但要等到清除網路環境的威脅之後，才會讓相關系統重新上線。當地警方表示已取得勒索軟體攻擊的相關證據，並向駭客進行提告。</p> <h3><a href="https://www.ddsb.ca/Modules/News/index.aspx?newsId=d4ba4f9f-a3ea-46ae-b819-316a3eefd0b0&feedId=9af71d9c-32c0-44a2-b019-e3a0eb84ffd2,23903367-d258-477e-b1e0-66c8a9299356"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大多倫多學區遭到網路攻擊，電話、電子郵件、學生筆電無法使用</span></strong></a></h3> <p>加拿大多倫多學區Durham District School Board（DDSB）於本月25日遭到網路攻擊，27日對外表示該學區的所有學校（136所中小學）會正常開放，但DDSB的電話與電子郵件服務將無法使用，他們將採用人工點名的方式記錄小孩的出缺勤；此外，大部分學生的Chromebook筆記型電腦將無法使用。</p> <h3><a href="https://www.cna.com.tw/news/ahel/202211290264.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雄獅旅行社公告遭駭客攻擊，呼籲消費者防範詐騙</span></strong></a></h3> <p>國內旅遊服務業者雄獅旅行社11月29日在網站發布公告，表示他們日前遭到駭客攻擊電腦作業系統，目前自身營運及旅客出團業務皆不受影響，但該公司也獲報有人假借他們名義向客戶進行詐騙，對方所持的理由是訂單錯誤、重複扣款而聲稱會提供特殊優惠。對此，雄獅呼籲消費者要提高警覺。</p> <p>雄獅認為，近半年向他們購買相關產品的客戶，很可能是這些歹徒行騙的主要對象，強調該公司與相關供應商都不會透過電話要求客戶提供信用卡或帳戶資料，以及ATM轉帳、匯款的情況。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.consilium.europa.eu/en/press/press-releases/2022/11/28/eu-decides-to-strengthen-cybersecurity-and-resilience-across-the-union-council-adopts-new-legislation/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐盟正式通過網路安全指令NIS2</span></strong></a></h3> <p>11月28日歐盟執行委員會（EC）通過新的網路安全指令NIS2，此指令將取代自2016年實施的《網路與資訊系統安全指令（Security of Network and Information Systems，NIS Directive）》。</p> <p>新版指令的適用範圍涵蓋更廣，包含能源、交通、公共衛生等關鍵基礎設施，並為其網路安全風險管理制訂基準；再者，NIS2也為歐盟會員國之間的網路安全要求擬訂了監管框架的基本規範。此外，根據新的指令，歐盟將正式成立網路危機聯繫系統EU-CyCLONe，以便因應大規模資安事件的協調與管理。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/trigona-ransomware-spotted-in-increasing-attacks-worldwide/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Trigona攻擊房地產業者</span></span></strong></a></p> <p><a href="https://therecord.media/north-carolina-college-confirms-ransomware-group-stole-sensitive-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國北卡羅來納州學院證實遭到勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/spanish-police-dismantle-operation-that-made-12m-via-investment-scams/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">西班牙警方破獲1,200萬歐元的網路詐騙事故</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154485">【2022年11月29日】 Dell、HP、聯想設備韌體使用老舊版本的OpenSSL、推特網站漏洞恐有更多資料外流</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154451">【2022年11月28日】 Windows網際網路金鑰交換機制漏洞被用於攻擊、Docker Hub存在逾1,600個易受攻擊的映像檔</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154431">【2022年11月25日】閰羅王勒索軟體背後的駭客是俄羅斯人、駭客假借提供微星Afterburner公用程式散布挖礦軟體</a></strong></strong></strong></p> </div></div></div>
2022/11/30 16:40作者周峻佑https://www.ithome.com.tw/news/154493
AWS預計推出三款高階EC2執行個體C7gn、Hpc7g和R7iz
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-instance-types-in-the-works-c7gn-r7iz-and-hpc7g/">AWS即將推出</a>三款針對不同用例的高階執行個體，分別是網路密集型用C7gn，分散式高效能運算用的Hpc7g，以及配備DDR5記憶體的高效能R7iz執行個體。</p> <p>目前R7iz執行個體仍在預覽階段，其針對記憶體最佳化，並且採用高時脈第四代Intel Xeon Scalable處理器Sapphire Rapids，持續全核心超頻可達3.9 GHz。這是目前AWS基於x86架構的EC2執行個體中，擁有最高個別vCPU效能的執行個體，所提供的效能比z1d執行個體還要高出20％，而且也是第一批使用DDR5記憶體的x86架構EC2執行個體。</p> <p>AWS提到，R7iz非常適合用於前端電子設計自動化（EDA），或每核心授權費用昂貴的關聯式資料庫，甚至是財務、資料分析模擬等任何同時需要高效能和高記憶體的工作負載。R7iz具有各種規格，包括兩種裸機大小，最多可以配置128 vCPU和最多1,024 GiB記憶體，R7iz由於使用DDR5記憶體，記憶體頻寬是同類高時脈執行個體的2.4倍，並且擁有50 Gbps網路速度和40 Gbps EBS頻寬。</p> <p>Hpc7g執行個體則是使用AWS最新的處理器Graviton3E，其向量指令處理效能較Graviton3高出35％，Hpc7g設計目的是要提供計算密集型高效能運算，和分散式工作負載高性價比執行個體，其提供200 Gbps的專用網路頻寬，並針對同一VPC中的執行個體間流量進行頻寬最佳化。Hpc7g執行個體也有多種規格，用戶可以選擇最多64個vCPU和128 GiB記憶體，AWS將會在2023年初釋出更多Hpc7g相關消息。</p> <p>針對網路密集型工作負載，像是防火牆、虛擬路由器、負載平衡器等網路虛擬設備，以及資料分析和叢集運算作業，AWS將推出C7gn執行個體，同樣使用AWS Graviton3E處理器，支援200 Gbps網路頻寬，並且提升50％的封包處理能力，用戶可以選擇最多使用64個vCPU和128 GiB記憶體。</p> </div></div></div>
2022/11/30 16:17作者李建興https://www.ithome.com.tw/news/154491
駭客正在銷售最新Fortinet漏洞的存取方式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cyble.com/2022/11/24/multiple-organisations-compromised-by-critical-authentication-bypass-vulnerability-in-fortinet-products-cve-2022-40684/" target="_blank">安全廠商發現</a>，稍早發現的Fortinet網路設備軟體漏洞已經有駭客公開販售存取的方法。</p> <p><a href="http://www.ithome.com.tw/news/153674" target="_blank">10月間Fortinet修補了零時差漏洞CVE-2022-40684</a>，它是HTTP/HTTPS管理介面的驗證繞過漏洞，可被遠端濫用，風險值列為9.6，屬於重大風險。這項漏洞影響多項產品，包括FortiOS、FortiProxy和FortiSwitchManager。</p> <p class="rtecenter"><a href="http://www.fortiguard.com/psirt/FG-IR-22-377" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1130-Update%20Regarding%20CVE-2022-40684.png" style="width: 500px;" /></a></p> <p>Fortinet當時提醒用戶應儘速更新，因為公開前已經遭到濫用。如今專門監控暗網上犯罪活動及漏洞情報的廠商Cyble發現，俄羅斯地下網路論壇上，已經有人公開張貼訊息，以銷售存取Fortinet VPN裝置的憑證資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1130-FortiOS%20access%20being%20distributed%20over%20Russian%20Cybercrime%20forums%20by%20Cyble(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cyble</span></span></p> <p>Cyble發現的是「多個」未授權FortiOS裝置的存取資訊，包括網址、管理員用戶的SSH Key。分析這些存取資訊顯示，攻擊者企圖將公開金鑰加入到受害企業管理員帳號中，藉此冒充管理員存取Fortinet設備。根據資料，這些受害企業用的都是過時版本的FortiOS。研究人員相信，張貼廣告的攻擊者應該是對CVE-2022-40684發動攻擊。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.cyble.com/wp-content/uploads/2022/11/Figure-5-%E2%80%93-Exploitation-script-indicating-exploitation-of-FortiOS-.png?w=716&ssl=1" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Cyble</span></p> <p>透過冒充Fortinet管理員，攻擊者可修改管理SSH金鑰、新增本機用戶、修改網路配置變更流量路徑、下載系統配置資訊、抓取封包擷取其他敏感系統或網路資訊，再於暗網銷售。</p> <p>Cyble研究人員指出，針對Fortinet執行個體的攻擊行動，從10月17日起就持續至今。這個時間點大約等同Fortinet第一波悄悄發通知用戶更新軟體的時間。</p> <p>研究人員呼籲用戶儘速安裝修補程式，因為網路上已公開的概念驗證（PoC）程式及自動化工具，讓攻擊者在漏洞公布幾天之內就能發動攻擊。</p> </div></div></div>
2022/11/30 12:24作者林妍溱https://www.ithome.com.tw/news/154488
馬斯克說蘋果威脅要阻擋推特更新App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果與推特（Twitter）過去各擁一片天，互不干涉的情形，隨著推特易主可能改變。<a href="https://twitter.com/elonmusk/status/1597300125243944961" target="_blank">推特執行長馬斯克（Elon Musk）本周抱怨</a>，蘋果威脅App Store將阻擋推特App的更新，而且沒有說明理由。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1130-elon%20musk%20apple(1).png" style="width: 530px;" /></p> <p>此推文不到一小時前，<a href="https://twitter.com/elonmusk/status/1597285572699074560" target="_blank">馬斯克也公布</a>，蘋果已經中止在推特平臺上的廣告，他問道，難道蘋果憎恨美國的言論自由？馬斯克並罕見地直接提及（mention）蘋果執行長庫克（Tim Cook）問道究竟怎麼一回事。</p> <p>這只是馬斯克領導下的推特和兩大App軟體市集之間的最新爭執。<a href="https://twitter.com/elonmusk/status/1593759933773643776" target="_blank">上周馬斯克也曾批評</a>蘋果App Store及Google Play Store兩大平臺壟斷下，向開發商收取30%的稅率太高。</p> <p>蘋果對iOS App開發商採取強硬態度，不時祭出下架懲罰。蘋果曾以App Store政策要求Discord、Tumblr隱藏或封鎖色情、仇恨、犯罪等其他冒犯性內容，違者就會遭到下架。過去積極管制平臺內容的推特在馬斯克接手並宣稱將解除管制，可能因此觸發蘋果的關切。此外，蘋果也會遵從政府要求而下架某些App，例如在中國版App Store撤下VPN，也曾依俄國政府要求<a href="https://www.ithome.com.tw/news/123561" target="_blank">暫停更新iOS版Telegram</a>。</p> <p>蘋果並未對中止在推特平臺上的廣告或拒絕更新推特App一事提供說法。不過馬斯克鬆綁推特內容管制已引發不少廣告主疑慮而暫停下單，包括福斯汽車、GM、通用磨坊、食品大廠億滋國際等。</p> <p><a href="https://www.theverge.com/2022/11/28/23482387/elon-musk-twitter-apple-threat-withhold-app-store" target="_blank">The Verge</a>報導引述蘋果執行長庫克11月接受其他媒體採訪時，表達對推特內容管制的關注，但庫克說他相信推特會維持內容審查。</p> </div></div></div>
2022/11/30 12:53作者林妍溱https://www.ithome.com.tw/news/154489
OpenAI以7萬小時電玩影片訓練AI玩Minecraft
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/vpt/" target="_blank">AI模型開發商OpenAI宣布</a>以創新方法來訓練其AI模型，可望省去標註大量資料的訓練過程。</p> <p>傳統上要訓練AI模型，像是OpenAI的語言模型GPT，需要先以人力在大量訓練資料集上標註再送入神經網路，相當耗時。為此，OpenAI實驗了一種名為影片預訓練（Video Pretraining，VPT）的方法，僅使用少量由約聘人員標註的資料，再經過以模仿學習及增強學習法二次微調，就在大量未標註的遊戲影片上訓練神經網路，使它學會玩《Minecraft》這個知名電玩。</p> <p>《Minecraft》提供多種模式，玩家可利用方塊進行建立一個虛擬世界。像是在生存模式中，玩家必須開採資源求取生存，在創造模式中，玩家擁有無限的資源並可自由創造建築。其他玩家也可以透過公開的網路影片觀摩這些過程。但是影片無法精確展示作者怎麼做到的，例如看不到作者的滑鼠動作及按了哪些按鍵。如果要以建立語言模型GPT的方法來建立打造虛擬世界的AI模型，就會碰到缺乏行為（action）資料標籤的問題。</p> <p>這項計畫中，OpenAI使用了半監督式模仿學習方法，稱為影像預訓練（video pretraining，VPT）。OpenAI一開始先蒐集約聘人員的一小筆（2,000小時）的錄影資料，包括影像及他們的按鍵、滑鼠動作。研究小組先訓練了反向動態模型（inverse dynamics model，IDM），這模型已可以預測影片中玩家的每一動作，然後，研究人員再以這IDM來標籤7萬小時的《Minecraft》網路影片資料集，希望建立一個行為複製（behavioral cloning，BC）模型。</p> <p class="rtecenter"><img alt="" src="https://cdn.openai.com/vpt/overview.svg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span><a href="https://openai.com/blog/vpt/" target="_blank"><span style="color:#696969;">OpenAI</span></a></span></p> <p>前述的影片是研究小組從網路蒐來、玩家分享他們玩《Minecraft》時的影片。這些影像由IDM加註標籤，最後建立出一個模型，稱為VPT基礎模型（VPT foundation model）。這模型完成了增強學習幾乎不可能從頭完成的任務；它會砍樹、蒐集木材，將木材劈成木板，再把木板做成桌子。光是這個過程，嫻熟《Minecraft》的人類玩家都得要花上50秒，或是1,000個連續動作。</p> <p>此外，VPT模型還能執行其他複雜技能，像是游泳、獵捕動物、進食，甚至學會了《Minecraft》裏玩家常見利用方塊在大樓之間跳來跳去的動作。</p> <p>研究人員之後對這VPT模型，以2種方法微調。首先，透過行為複製（behavioral cloning）方法，研究人員以約聘人員玩《Minecraft》蓋房子的新影片來訓練VPT基礎模型，影片只有10分鐘。經過微調，VPT基礎模型技能可因此再深化，能使用木柴，還能使用石材，甚至從其他村莊取得物資。</p> <p>其次，OpenAI用增強式學習來進行第2次模型微調。OpenAI利用增強學習方法，訓練VPT基礎模型蒐集鑽石鶴嘴鋤，若使用Minecraft原生介面，又是難上加上的任務。研究人員發現，VPT模型經過這種方法微調後，不但學會打造鑽石鶴嘴鋤，而且能蒐集所有必要材料。這個實驗中，OpenAI首次讓電腦模型完成了人類平均20多分鐘才完成（24,000個動作）的任務。</p> <p>OpenAI研究人員結論，以公開網路影片這種沒有標籤的資料來訓練AI的探索行為（像是打Game、學習電腦）是可能的。透過建立初步模型，再以模仿學習及增強學習方法微調，就能使AI模型學習高難度技能，這也讓無標籤資料訓練變得可能。OpenAI只實驗了《Minecraft》，但研究團隊相信，這種少量樣本訓練方式也可以用在其他領域，像是電腦使用，因為兩者是開放式結局，介面也相似（都是鍵盤、滑鼠）。</p> <p>OpenAI也將約聘人員的資料、《Minecraft》環境、模型程式碼及模型權重等資料都公開出來。<a href="http://www.aicrowd.com/challenges/neurips-2022-minerl-basalt-competition" target="_blank">OpenAI並和遊戲平臺MineRL NeurIPS合作</a>，祭出獎金邀請玩家加入協助微調其VPT模型。</p> </div></div></div>
2022/11/30 10:20作者林妍溱https://www.ithome.com.tw/news/154487
資料安全服務Amazon Macie現在具自動探索敏感資料的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS更新資料安全服務<a href="https://aws.amazon.com/tw/blogs/aws/automated-data-discovery-for-amazon-macie/">Amazon Macie</a>，使其具有自動探索與搜尋敏感資料的能力，能夠快速找出S3中的敏感資料，而且不需要對所有S3儲存桶執行完整資料檢查，解決使用者在龐大資料海中撈針的挑戰，進而節省使用成本。</p> <p>Amazon Macie能夠運用機器學習和模式比對技術發現敏感資料，防範資料安全風險。用戶使用Amazon Macie來保護S3中的資料，需要先掃描敏感資料，像是姓名、地址和信用卡號等，並持續監控加密和存取政策等配置正確性，當Amazon Macie偵測到公開存取的儲存桶、未加密儲存桶或是組織外部AWS帳號共享儲存桶時便會發出警報。</p> <p>用戶可以配置Amazon Macie掃描S3，對S3儲存桶進行完整的敏感資料掃描，但AWS提到，大規模操作的用戶很難知道該從何開始，尤其是員工和應用程式每天在儲存桶中添加PB級資料的組織。</p> <p>而Amazon Macie新功能自動資料探索，可自動且持續地從AWS Organizations層級，跨整組儲存桶探索敏感資料和潛在的資料安全風險，當管理員啟用控制臺中的自動資料探索時，Macie便會開始評估每個儲存桶的敏感度層級，並特別顯示資料安全風險。</p> <p>自動資料探索採用智慧和全託管資料採樣，藉由最佳化採樣率，以明顯減少需要分析的資料量，官方提到，與完整資料檢查的成本相比，能夠降低發現存在敏感資料S3儲存桶的成本。用戶可以調整自動資料探索功能，從100多種敏感資料類型中，選擇與用戶用例相關的資料類型，像是PII和各地區特定的財務紀錄資料。</p> <p>當用戶所要管理的特殊資料類型不在Amazon Macie的列表時，也可以自定義資料類型，像是員工或是患者識別碼。Amazon Macie新用戶將會預設啟用自動資料探索功能，原有用戶則需要管理員在控制臺手動啟用。</p> </div></div></div>
2022/11/30 09:55作者李建興https://www.ithome.com.tw/news/154483
OpenAI API釋出更強大且具有插入文字能力的GPT-3新模型Davinci
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在其API服務正式推出稱為<a href="https://beta.openai.com/docs/models/gpt-3">text-davinci-003</a>的GPT-3模型型號，官方提到，text-davinci-003是目前功能最強大的GPT-3模型，除了能夠完成其他模型可以完成的任務之外，還能夠提供更高的結果品質和文字輸出長度，也能更好地遵循指令，此外，text-davinci-003新增在文字段落中插入完成功能。</p> <p>Text-davinci-003模型的文字插入完成功能，除了運用前綴提示之外，還增加使用後綴提示，可用於編寫長文字、段落過渡和遵循大綱等任務中，除了文字，text-davinci-003也適用於程式碼完成，可用於補完函式或是檔案。</p> <p>OpenAI解釋，之所以後綴提示對於插入預測這麼重要，是因為當語句有了結尾，可預測的結果變得更加清楚，像是前綴提示「我今天決定做出重大改變」，如果加入故事結果「我的新髮型得到許多讚美」，那模型對要預測的文字就更加具體。</p> <p>GPT-3模型能夠理解和生成自然語言，而OpenAI API提供不同的模型型號，以滿足用戶的不同需求和任務，雖然text-davinci-003是目前最強大的GPT-3模型型號，但用戶可以根據需求選用其他模型，像是針對非常簡單的任務，用戶可以選擇使用最快速且最便宜的模型text-ada-001，或是其他層級的text-babbage-001、text-curie-001，以獲得不同的模型能力層級、運算速度和成本。</p> <p>官方建議，用戶可以先試驗使用text-davinci-003，因為這個新模型目前能夠產生最好的結果，當用戶取得正常的結果，便可以開始試試看其他模型，看是否能以更低的延遲或是成本，獲得相同的結果，用戶也可以針對特定任務微調模型，來獲得更好的運算效能。</p> </div></div></div>
2022/11/30 09:57作者李建興https://www.ithome.com.tw/news/154484
【資安日報】2022年11月29日，Dell、HP、聯想設備韌體使用老舊版本的OpenSSL、推特網站漏洞恐有更多資料…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電腦UEFI韌體出現漏洞的情況相當值得留意，其中，有研究人員發現Dell、HP、聯想等多家廠牌使用的韌體裡，竟使用了大量舊版OpenSSL加密程式庫，其中最舊的是2009年推出的程式庫元件。研究人員指出，這樣的問題牽涉到採用第三方元件的軟體供應鏈生態，而難以修復。</p> <p>推特今年7月傳出540萬用戶資料流入駭客論壇的事故，原因是駭客利用該社群網站的漏洞發動攻擊得逞；但資安新聞網站Bleeping Computer指出，該漏洞造成資料外洩的情況遠比當時公布的嚴重許多，根據研究人員的最新發現，有人因此竊得約1,700萬筆資料。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.binarly.io/posts/OpenSSL_Usage_in_UEFI_Firmware_Exposes_Weakness_in_SBOMs/index.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Dell、HP、聯想等廠牌的個人電腦韌體使用老舊版本的OpenSSL程式庫，恐因相關漏洞而曝險</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Dell-HP-Lenovo-Figure2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell-HP-Lenovo-Figure2.png" style="width: 300px; float: right;" /></a>資安業者Binarly針對Dell、HP、聯想電腦的UEFI韌體，調查其使用的OpenSSL加密程式庫元件，結果發現，這3家廠商前後使用的OpenSSL版本多達22個，最舊的是2009年推出的0.9.8l，最新的則是今年3月推出的1.1.1n（編按：該分支最新版本為11月推出的1.1.1s）。其中，研究人員特別以聯想ThinkPad商用產品線為例，該產品線的電腦韌體就採用了3種老舊的OpenSSL版本：1.0.0a、0.9.8zb、1.0.2j，分別是2010年、2014年、2018年推出。</p> <p>Binarly認為，上述研究成果突顯了第三方程式碼供應鏈衍生的問題，引用這些程式碼的韌體開發商通常無法掌握相關的基礎程式碼，使得軟體供應鏈變得更加複雜。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/54-million-twitter-users-stolen-data-leaked-online-more-shared-privately/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">導致540萬筆用戶個資外洩的推特漏洞，災情可能比先前揭露時嚴重，因為有人將其用於收集上千萬筆個資</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/mastodon-post.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/mastodon-post.jpg" style="width: 300px; float: right;" /></a>今年7月<a href="https://www.ithome.com.tw/news/152367">推特傳出540萬筆（5,485,635筆）用戶資料流入駭客論壇求售</a>，該公司隨後證實起因是社群網站的漏洞遭到利用所致，但上述漏洞造成的災情，實際上可能更加嚴重。根據資安新聞網站Bleeping Computer的報導，駭客論壇Breached的經營者Pompompurin向他們透露，前述的資料已免費散布，但該名駭客表示後來取得140筆遭停權的推特帳號資料。</p> <p>此外，資安研究員Chad Loder先後於推特、Mastodon爆料，有人利用相同的漏洞從推特收集多達1,700萬筆資料，內容自2021年開始收集，光是美國與歐洲就有數百萬用戶受到影響。該新聞網站取得其中部分資料，當中有1,377,132個法國用戶的電話號碼，他們進行檢驗發現是有效資料，並指出這些個資並未在先前的外洩事件流出。</p> <h3><a href="https://www.itworldcanada.com/article/canadian-menswear-chain-harry-rosen-confirms-cyber-attack/515325"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大男裝業者Harry Rosen遭到網路攻擊</span></strong></a></h3> <p>勒索軟體BianLian聲稱攻陷加拿大男性服飾業者Harry Rosen，並取得該公司檔案伺服器的資料，涉及專案計畫、市場行銷、人力資源、公共關係等業務。資安業者Emsisoft指出，駭客公布1GB的樣本資料，內容是該公司Gold+級客戶名單、行銷資料等文件。Harry Rosen執行長Larry Rosen證實此事，表示他們在10月9日遭到網路攻擊，目前該公司的網路已復原，但不願證實這起事故是否為勒索軟體攻擊。</p> <h3><a href="https://cybernews.com/news/maple-leaf-foods-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大食品供應商Maple Leaf Foods證實遭勒索軟體攻擊，並表明不會支付贖金</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/basta-maple-leaf.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/basta-maple-leaf.png" style="width: 300px; float: right;" /></a>11月初加拿大食品供應商Maple Leaf Foods發生資安事故，導致營運受到衝擊，現在該公司坦承遭到勒索軟體攻擊，但不會向駭客低頭。根據資安新聞網站Cybernews的報導，勒索軟體Black Basta近日將該食品業者列為受害組織，並公布部分竊得檔案，內有標為機密的文件，該新聞網站研判包含了生產工廠與其他設施有關的資料。</p> <p>對此，<a href="https://www.itworldcanada.com/article/black-basta-ransomware-group-claims-it-hit-maple-leaf-foods/515358">Maple Leaf Foods向另一家媒體IT World Canada證實是勒索軟體攻擊</a>，並表明不會支付贖金，但對於攻擊者的身分，該公司不願透露。</p> <h3><a href="https://www.thepeterboroughexaminer.com/ts/news/gta/2022/11/23/osstf-victim-of-ransomware-attack-notifies-members-of-personal-data-compromised.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大教師公會OSSTF證實遭到勒索軟體攻擊，會員個資遭到外洩</span></strong></a></h3> <p>根據加拿大報社Peterborough Examiner的報導，當地安大略省高中教師公會OSSTF於5月25日至30日，遭到未經授權的第三方存取，並透過勒索軟體加密系統檔案，導致其成員的個資遭到外洩，像是社會安全碼、居住地址等。OSSTF表示尚未發現相關資料遭到濫用的跡象，但沒有說明受影響的人數。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/vice-society-ransomware-claims-attack-on-cincinnati-state-college/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國辛辛那堤州社區學院遭到勒索軟體Vice Society攻擊</span></strong></a></h3> <p>勒索軟體Vice Society聲稱攻擊了辛辛那堤州技術與社區學院（Cincinnati State Technical and Community College），並公布竊得的資料。根據駭客公布的資料，內容包含2022年11月24日的檔案，資安新聞網站Bleeping Computer指出，這很可能代表駭客能夠持續存取該校內部網路。</p> <p>對此，辛辛那堤州技術與社區學院於11月22日表示，他們修復了校園網路、電子郵件系統，以及部分的教室電腦；但語音信箱、網路列印、VPN，以及數項線上申請服務仍無法使用。</p> <h3><a href="https://www.ithome.com.tw/news/143850"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Meta因資料外洩遭愛爾蘭罰2.65億歐元</span></strong></a></h3> <p>針對日前Meta遭人利用「資料抓取」手法收集5億筆用戶個資，而可能違反GDPR的情況，愛爾蘭資料保護委員會（DPC）自2021年4月著手調查，最近結果出爐，他們於11月28日宣布，將處以2.65億歐元的行政罰款，相當於新臺幣86億元。這是DPC今年對Meta祭出的第3次處罰。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/acer-fixes-uefi-bugs-that-can-be-used-to-disable-secure-boot/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">宏碁擬修補能停用安全開機的UEFI漏洞</span></strong></a></h3> <p>宏碁於11月23日發布資安通告，指出旗下數款筆電的UEFI韌體漏洞CVE-2022-4020，攻擊者有可能藉由竄改NVRAM記憶體的參數，來更動UEFI韌體的安全開機設定，進而植入惡意軟體，並繞過防毒軟體與作業系統的防護機制，該公司旗下Aspire系列的A315-22、A115-21、A315-22G，以及Extensa產品線的EX215-21、EX215-21G，都存在上述漏洞，該公司著手製作修補程式。</p> <p>揭露該漏洞的資安業者ESET表示，這項漏洞與DXE驅動程式的HQSwSmiDxe模組有關，由於此模組會檢查NVRAM的BootOrderSecureBootDisable參數，一旦該參數存在內容，DXE將會停用安全開機。</p> <h3><a href="https://yoroi.company/research/cve-advisory-partial-disclosure-cisco-ise-multiple-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科修補身分驗證系統ISE的命令注入漏洞</span></strong></a></h3> <p>11月16日思科修補身分驗證系統ISE的4個漏洞，這些漏洞的共通點，是攻擊者必須取得有效的ISE使用者權限才能利用。其中嚴重程度最高的漏洞是CVE-2022-20964，存在於ISE的網頁管理介面，攻擊者取得相關權限後，可存取tcpdump模組觸發漏洞，進而發動命令注入攻擊，此漏洞的CVSS風險層級為6.3分。資安業者Yoroi指出，假如駭客將CVE-2022-20964與10月份修補的CVE-2022-20959串連，攻擊者能輕易遠端取得ISE的root shell。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/malicious-android-app-found-powering-account-creation-service/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">販售帳號的網站經營者散布惡意App，挾持受害手機來產生帳號</span></span></strong></a></p> <p><a href="https://blog.sucuri.net/2022/11/new-wave-of-socgholish-cid27x-injections.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體SocGholish攻擊WordPress網站</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154451">【2022年11月28日】 Windows網際網路金鑰交換機制漏洞被用於攻擊、Docker Hub存在逾1,600個易受攻擊的映像檔</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154431">【2022年11月25日】閰羅王勒索軟體背後的駭客是俄羅斯人、駭客假借提供微星Afterburner公用程式散布挖礦軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154404">【2022年11月24日】俄羅斯駭客今年前7個月竊取逾5千萬組密碼、歐洲議會遭到駭客組織Killnet的DDoS攻擊</a></strong></strong></strong></p> </div></div></div>
2022/11/29 18:52作者周峻佑https://www.ithome.com.tw/news/154485
健保署揭露新版健保雲端查詢系統，提供更好UX還新添BC型肝炎專區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>健保雲端系統是民眾就醫和醫療診斷治療的關鍵IT系統，健保署今日（11/29）揭露新版健保雲端系統2.0，不只提供更直覺的使用者介面和客製化、視覺化功能，還放寬了醫事人員登錄權限，提供第一線各職類醫事人員使用。特別的是，這次雲端系統還整合國健署篩檢資料，新增B、C型肝炎專區，提供病人最近1次的B、C型肝炎用藥和檢驗檢查等紀錄，讓醫師及早發現來治療。</p> <p>健保署還預告，接下來他們要將雲端系統中的用藥和檢驗檢查資料，改為視覺化圖像，方便醫事人員掌握資訊外，也要結合虛擬健保卡、擴大納入特材紀錄及終生給付數量上限項目等資料。健保署署長李伯璋表示，健保署長年推動醫療資訊整合、鼓勵醫院即時上傳就醫資料至雲端系統，目的就是要落實分級醫療，減少病人重複檢驗檢查（如拍X光片）和來回申請資料的時間成本，同時讓他院醫師更容易調閱判斷，提高診斷治療效率。</p> <p><span style="font-size:26px;"><strong>盤點健保雲端系統10年發展：從雲端藥歷到雲端查詢系統</strong></span></p> <p>臺灣自1995年推動全民健保，2004年開始發行第一代健保IC卡、打造健保資訊網（VPN），2013年則打造雲端藥歷系統，要讓醫事人員看診時，來查詢病人資料。</p> <p>健保署醫審及藥材組科長何小鳳指出，在這個基礎上，2016年，健保署更進一步將藥歷系統擴展為健保雲端查詢系統，提供12類醫療資料供查詢，除了有看診最需要的手術明細、檢查檢驗資料外，還包括西醫、中醫用藥紀錄、牙科處置和手術紀錄、過敏藥物紀錄、特定管制藥品用藥紀錄、特定凝血因子用藥紀錄、復健醫療紀錄、出院病歷摘要，以及CDC預防接種等。</p> <p>最近這幾年，雲端查詢系統新添更多資料整合應用，比如2018年，健保署推動醫療影像分享平臺，讓醫療院所上傳36項檢查醫令影像，像是電腦斷層（CT）、磁振造影（MRI）、齒顎全景X光、大腸鏡、內視鏡、超音波、X光等到健保雲端查詢系統，讓民眾到不同醫院就醫時，醫師也能查詢先前的檢查資料。</p> <p>當時，健保雲端系統也開始發展主動提示功能，包括高達1,352萬筆的過敏藥物提示，以及上千筆的西藥和中西藥交互作用提示，還有重複用藥提示，以及在疫情間緊急新增100多項COVID-19藥品交互作用提示。甚至，健保署還針對占健保點數大宗的腎病用藥，推出主動提示功能，包括中、重度腎病患者用藥訊息，如NSAIDs，在今年11月24日也進一步增加腎功能狀態不明的用藥提示，預估每月會有6萬人受惠。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6705.JPG" /></p> <p>另一方面，健保署2019年試辦虛擬健保卡時，也將虛擬健保卡與健保雲端系統整合，甚至，去年疫情爆發時，在48小時內就打造TOCC雲端查詢程式，串聯疾管署、出入境管理局等部會資料，來保障第一線醫護人員，至今更累積19.9億次查詢、3萬多家機構使用。</p> <p>何小鳳揭露，這套維持臺灣醫療行為運作的關鍵系統中，就醫病人雲端系統平均每月有3.6千萬查詢人次，醫療院所整體使用率更達98%。而至今年7月，健保資料庫還累積了776億筆大量資料，是未來發展精準醫療的寶貴資產。</p> <p>系統的發展，也帶來不少效益。何小鳳舉例，隨著主動提示功能發展，健保署推算，2014年至2021年間共省下109.7億點重複用藥費，2018至2021年間的重複檢查檢驗費用，也省了16.4億點。</p> <p><strong><span style="font-size:26px;">打造健保雲端系統2.0：更好的UX、放寬權限、新增BC型肝炎專區</span></strong></p> <p>不過，雲端系統使用至今，仍有不少問題待改善。</p> <p>健保署調查發現，醫護使用者最常反應的系統問題，不外乎是使用者體驗（UX）可加強，像是系統鑑別度、病人姓名和生日沒顯示、摘要區占空間，或是字太小、排序不佳，以及疾管署預防接種資料沒串接等。</p> <p>於是，為解決問題，健保署找來專家先評估，再展開易用性測試、開發模擬網頁，讓50位使用者體驗後，才正式推出新版系統。</p> <p>比如，他們將原本分散的7個雲端系統服務網站，統一納入雲端系統單一入口網頁，方便醫護使用者查找。另也新添患者資訊，如身分證字號、姓名和生日、性別，來便於醫護人員確認。此外，健保署也提供疾管署預防接種連結，並新添搜尋功能和字體大小選擇，還提供拖拉式功能，來讓使用者客製化自己的頁籤和欄位順序，來強化使用者體驗。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%95%AB%E9%9D%A2%E9%87%8D%E6%95%B4.JPG" /></p> <p>甚至，健保署還重整頁籤架構，調整為1、2層頁籤，並在第2層新增3項頁籤（終生給付數量上限、針傷治療和特殊疾病門診照護），以及從第2層頁籤延伸出的專區功能。舉例來說，第1層頁籤為主要資訊，如摘要、西醫用藥、牙科處置記錄、出院病摘等，第2層則是第1層細項，如西醫用藥中的用藥記錄、特定管制用藥，而專區功能則從用藥記錄中，延伸出慢連箋專區、藥品交互作用查詢等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(18).JPG" /></p> <p>特別的是，在專區部分，還新增了「B、C型肝炎專區」，整合國健署篩檢資料，顯示病人最近1次B、C型肝炎用藥、檢查檢驗等紀錄，來讓醫師及早發現、治療C肝病人。</p> <p>再來，健保署也放寬權限，讓第一線各職類的醫事人員使用健保雲端查詢系統，如呼吸治療師、放射師、醫事檢驗師、助產師、護理師，以及物理、職能治療師，還有社區復健相關的臨床心理師等。</p> <p><span style="font-size:26px;"><strong>下一步：建置視覺化圖表、打造響應式網頁</strong></span></p> <p>健保雲端查詢系統的優化不只如此。何小鳳透露，健保署還正建置視覺化圖像，要將西醫用藥的用藥記錄圖形化，比如以時間軸顯示用藥歷史記錄，還有以圓餅圖比例顯示近6個月用藥記錄來源。此外，中醫用藥記錄也相仿，以時間軸顯示用藥記錄，另外還有牙科處置部分，要新增牙位圖標示，如根管治療、牙周病治療、口腔外科治療等。健保署也要針對檢查檢驗結果，新增摘要表，來方便醫護掌握。</p> <p>另一方面，健保署也要打造新版系統的響應式網頁，來讓醫護使用者在各種行動裝置上，都能使用健保雲端系統，便於居家醫療的執行。何小鳳指出，明年，健保署也會將特材紀錄及終生給付數量上限項目等資料納入系統中，提供使用者更多資料，另也要利用機器學習演算法，找出最適合個人的精準治療方案。</p> <p>最後，健保署也透露參與次世代HIS開發的討論，也研擬將虛擬健保卡、視訊診療等相關遠距醫療功能，納入新版HIS模組中。</p> </div></div></div>
2022/11/29 19:53作者王若樸https://www.ithome.com.tw/news/154486
長庚醫院啟用AI智能客服，與民眾對話協助查詢門診、預約掛號、住院等資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長庚醫院加速AI在醫療落地，與長庚醫科共同開發AI智能客服，結合AI辨識技術，以擬人化對答方式，協助民眾文字或電話語音掛號、查詢門診，甚至主動傳送簡訊或撥電話給等待住院或預約手術的病人，確認報到及術前回覆事項。</p> <p>長庚醫院表示，傳統上，民眾撥打電話語音掛號，必須先自行瀏覽門診表，通過多階層選單才能預約掛號，過程中可能因選項輸入錯誤或是忘記代碼導致失敗，必須重新撥話，花費較多時間。</p> <p>這項智能客服歷時約2年時間開發，系統落地長庚醫院，以避免民眾個資外漏風險，讓民眾透過長庚醫院官網、App，或是撥打單一市話專線，在AI文字客服或語音客服的協助之下，查詢或預約門診掛號、病床，以及衛教諮詢。該院宣稱透過AI文字、語音客服，民眾將需求「說出來」，平均可節省50%時間。</p> <p>林口長庚院長陳建宗指出，智能客服以病人需求為導向，結合醫、護、藥、資訊、工務、行政等團隊，跨團隊合作，整併就醫程序，智能客服以單一窗口提供服務，包括門診、住院、手術、檢查四大服務。</p> <p>在技術方面，當民眾撥電話給智能客服，先經由語音AI，利用STT技術辨識、校正，將語音轉為文字，再送到文字AI，通過AI大腦，通過NLU自然語言理解，辨別民眾的需求為FAQ問答，或是其他的需求意圖，再回傳文字回覆，經由語音AI的TTS將文字轉為語音，由AI客服以口說方式回覆民眾。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ailine.jpg" style="width: 600px; height: 333px;" /></p> <p>長庚智慧醫療總會副主席林志哲表示，智能客服以單一市話專線提供服務，可選擇長庚醫院底下9個院區，24小時提供掛號、門診、開刀、床位、檢查等資訊及服務。除了民眾撥話進來，例如查詢住院、開刀排程，系統也能反向推播訊息，或是以電話簡訊通知民眾就醫資訊，如還是聯絡不到，AI客服以語音撥打電話通知民眾，降低民眾等候焦慮、保障其權益，也減輕醫院行政及醫護人員負擔。</p> <p>為了打造這項AI客服，長庚根據過去傳統客服與民眾的互動、需求，拆解為40至50個流程，以民眾最常使用門診查詢、掛號為例，包含預約掛號、查詢掛號、取消掛號、更改掛號時間等不同需求、流程。例如，民眾撥電話給AI客服想要預約掛號，可說出指定科別、預約特定醫師姓名的門診，如果沒有指定的醫師門診，則可以說出要掛號的科別，不限醫師門診，由AI客服在後臺查詢醫師門診資訊，再讓民眾來選擇。</p> <p>另外，基於防疫需要，病人到院前TOCC，對於預約住院病人、門診手術病人，智能客服也會撥電話給民，查詢TOCC、確認住院、手術報到。民眾如果對於用藥問題，例如藥來速預約查詢、確認慢性病處方箋領藥日，或是回家後對用藥方式有疑問，可通過官網、App掃描藥袋的QR Code，查詢門診所開的藥品、用藥資訊、衛教諮詢等等。</p> <p>長庚醫院行政中心總執行長潘延健指出，智能客服今年5月試營運以來，每月已服務超過8萬人次，平均每位使用者在2到3分鐘完成服務，較先前節省50%時間，滿意度提高至92%。透過與民眾的互動回饋，明年還將擴大至手術檢查時間查詢、更改與諮詢。</p> <p>目前長庚AI客服，語音以國語為主，該院表示，台語、客語將是接下來努力的方向。</p> </div></div></div>
2022/11/29 17:37作者蘇文彬https://www.ithome.com.tw/news/154482
俄羅斯科技巨頭Yandex宣布組織重整，準備撤出俄羅斯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在俄羅斯入侵烏克蘭之後，因受到歐盟與美國的制裁，造成許多國際品牌退出俄羅斯市場，而今，於俄羅斯成長茁壯、也是俄羅斯最大科技業者的Yandex，也準備撤出俄羅斯市場，<a href="https://yandex.com/company/press_center/press_releases/2022/2022-11-25" target="_blank">其荷蘭母公司Yandex N.V.上周五（11/25）宣布組織重整</a>，表示將把特定服務退出俄羅斯市場，並出售對俄羅斯Yandex Group的控制權。</p> <p>Yandex被譽為俄羅斯的Google，因為它提供許多與Google相仿的服務，從搜尋、地圖、導航、廣告、雲端運算、自駕車、電子商務、食物外送到娛樂等，是俄羅斯僅次於Google的第二大搜尋引擎，雖然Yandex的總部設於俄羅斯，但其控股公司Yandex N.V則在荷蘭註冊。</p> <p>然而，Yandex也不免受到俄烏戰爭的波及，今年初，其新聞服務的負責人遭到歐盟制裁，促使Yandex將新聞服務賣給當地另一網路業者VK，也因被制裁而無法償還債務，並於今年9月將網域名稱從yandex.ru變更為ya.ru，似乎已在替撤出俄羅斯市場作準備。</p> <p>根據Yandex N.V.的規畫，該公司計畫將自駕車、雲端運算、資料標註與教育科技等特定服務撤出俄羅斯市場，於俄羅斯以外獨立運作，也打算卸下Yandex N.V對Yandex Group所有其它服務的控制權，包括搜尋、廣告、行動服務、電子商務、食物外送及娛樂等。</p> <p>此外，Yandex N.V.將會更名，把Yandex品牌留給被剝離的服務使用。</p> <p>簡單地說，Yandex N.V.企圖把俄羅斯境內的各種服務出售給當地業者，並於俄羅斯之外繼續經營自駕車及雲端運算等國際服務，等於是撤出俄羅斯市場。</p> <p><a href="https://www.ft.com/content/5ac72014-d7af-4435-aaaf-2a15033fb2a1" target="_blank">根據《金融時報》（Financial Times）的報導</a>，Yandex N.V.正在徵求俄羅斯總統普丁（Vladimir Putin）對此一重組計畫的許可。</p> <p>Yandex N.V.表示，目前此一重組程序仍處於初步階段，無法保證能依照計畫完成重組，或能否找到完美的買家。Yandex董事長John Boynton坦言，這是個非常棘手的時刻，他們將分析所有的選項，儘可能地保護股東的價值與2萬名員工的機會。</p> </div></div></div>
2022/11/29 16:05作者陳曉莉https://www.ithome.com.tw/news/154479
GitHub開始以日期命名REST API版本號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2022-11-28-to-infinity-and-beyond-enabling-the-future-of-githubs-rest-api-with-api-versioning/">GitHub</a>更新API版本控制的命名方法，以日期來命名版本號，像是在2025年12月25日發布的新版本，該版本就會被命名成2025-12-25，這項規則僅適用於具有重大變更的版本。這項基於日期的版本控制方法，讓官方可以不斷發展API，但同時有提供順暢的搬遷路徑和充足的時間，供用戶進行整合。</p> <p>目前GitHub API有數百萬使用者，包含開發者自建，以及來自GitHub Marketplace第三方應用程式的整合。API隨著時間推移會出現變化，勢必加入更新的產品功能、修復錯誤或是改善開發人員體驗，但另一方面，在API更改時，官方無法期待API使用者會不斷地更新整合。</p> <p>API變更分成兩種，一種是不會對現有整合產生負面影響的情況，稱為非破壞性變更，另一種破壞性變更，則會出現刪除回應欄位、參數變更或是完全刪除端點等情況。GitHub在10年前釋出API V3，這個版本雖然運作良好，但是未提供適當的工具和流程，無法在進行重大更新時支援現有用戶順暢的搬遷。</p> <p>GitHub建議所有整合都要使用最新的API版本，官方提到，他們通常並不會頻繁地淘汰舊版本，或是強制用戶升級，當有新的REST API版本發布時，也會至少支援舊版本2年。當新版本升級，之前的版本同樣可用，用戶不會被強迫升級，並且可以使用X-GitHub-Api-Version標頭要求指定使用的版本，來選擇所要使用的版本。</p> <p>正在使用GitHub REST API的開發者，目前不需要採取任何行動，GitHub API的現有狀態，也就是用戶當前使用的版本為2022-11-28，但官方鼓勵用戶更新整合，並且主動發送X-GitHub-Api-Version: 2022-11-28標頭。不過，GitHub在接下來幾個月內，就會發布另一個包含重大更新的版本，要搬遷到該版本，就會需要使用X-GitHub-Api-Version標頭並且指向新版本。</p> <p>目前這個以日期為基礎的API版本號控制方法僅適用於REST API，在GraphQL API和webhooks則未提供。</p> </div></div></div>
2022/11/29 16:10作者李建興https://www.ithome.com.tw/news/154472
AWS誓言要在2030年前達到水資源正效益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/aws/aws-water-positive-by-2030" target="_blank">Amazon Web Services（AWS）周一（11/28）宣布</a>，將在2030年以前實現水資源正效益（Water Positive），跟上<a href="https://blogs.microsoft.com/blog/2020/09/21/microsoft-will-replenish-more-water-than-it-consumes-by-2030/" target="_blank">微軟</a>、<a href="https://sustainability.google/commitments/water/#" target="_blank">Google</a>、<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-achieves-net-positive-water-3-countries.html#gs.jyzopa" target="_blank">Intel</a>與<a href="https://about.fb.com/news/2021/08/restoring-water/" target="_blank">Meta</a>的腳步，這些科技業者對Water Positive所設下的目標都是2030年，代表屆時它們所補充的水量將會超越所消耗的水量。</p> <p><a href="https://www.unicef.org/wash/water-scarcity" target="_blank">根據聯合國的估計</a>，全球有超過20億人生活在供水不足的國家，到了2025年，會有一半的人口生活在面臨缺水的地區，且低收入戶將首當其衝。</p> <p>不過，AWS水資源可持續發展負責人Will Hewes表示，現在他們在水資源領域看到很多的創新，包括新科技、新的融資模式，以及新的商業模式，將可從根本上改變人們解決水資源不足的問題。</p> <p>水在AWS的關鍵用途是冷卻全球各地的資料中心，而AWS對水資源正效益的承諾則透過效率、回收、再利用與補給來呈現，特別是於資料中心提高用水效率，以及增加可持續水源的使用。</p> <p>為了減少資料中心對水的需求，AWS打造了高效率的冷卻系統，首選冷卻策略為蒸發技術，讓自外部吸入的熱空氣經過浸水的冷卻墊，再將已冷卻的空氣送進伺服器機房；另也設計了一款自由空氣冷卻系統，部署感應器來追蹤溫度及溼度等氣候參數，一旦條件達到安全工作範圍，蒸發冷卻系統就會關閉，讓來自外部的冷空氣直接輸送到伺服器機房。</p> <p class="rtecenter"><img alt="" src="https://assets.aboutamazon.com/dims4/default/9cfc059/2147483647/strip/true/crop/1920x1080+0+0/resize/1320x743!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F5d%2F60%2Fdff13e2e43cfac834e580fc52d56%2Fdirectevapcooling.gif" style="width: 550px;" /></p> <p class="rtecenter"><img alt="" src="https://assets.aboutamazon.com/dims4/default/c682c3a/2147483647/strip/true/crop/1920x1080+0+0/resize/1320x743!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F7e%2Fdc%2Fe141043a40cc82e97cdba4a91f22%2Faws-freeaircooling.gif" style="width: 550px;" /></p> <p>上述作法讓愛爾蘭與瑞典的AWS有95%的時間完全不需要水，而是利用自然空氣進行冷卻；而加州聖塔克拉拉的資料中心，在從既有冷卻系統切換到直接蒸發冷卻系統之後，每年減少了85%的用水量。</p> <p>AWS也投資現場水處理系統，以回收更多的水，減少冷卻水用量，並開發可持續水源，例如聖塔克拉拉的資料中心就是使用循環水或再生廢水，而非以飲用水進行冷卻。此外，AWS還把自資料中心回收的安全冷卻水，運送到附近的農地或社區，並贊助各種補水專案，包括水質的改善及水資源管理等。</p> </div></div></div>
2022/11/29 16:28作者陳曉莉https://www.ithome.com.tw/news/154481
AWS推出端到端加密企業通訊服務Wickr
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS發布了端到端加密企業通訊服務<a href="https://aws.amazon.com/tw/blogs/aws/aws-wickr-a-secure-end-to-end-encrypted-communication-service-for-enterprises-with-auditing-and-regulatory-requirements/">Wickr</a>，該服務讓企業和公部門可以更安全地進行通訊，同時又符合組織稽核、監管和FOIA要求。目前Wickr已經先在美東北維吉尼亞區域上線。</p> <p>與許多企業通訊工具不同，Wickr使用特別的加密機制，確保訊息、檔案、語音和視訊通話，只能由預期的收訊者存取，Wickr管理人員也可以管理頻道並保留資訊以滿足監管需求，保留的資訊會在用戶選擇的伺服器上，完全受用戶控制。</p> <p>Wickr可讓兩個或是多個通話者進行安全通訊，該服務提供真實性與機密性，也就是說任何未經授權的人，無法在系統注入訊息，而非預期的人也無法存取或是理解通訊內容。</p> <p>AWS解釋，每則訊息都有唯一的AES加密金鑰和唯一的ECDH公鑰，用於和其他收訊者協商金鑰交換，訊息內容在發送裝置上使用訊息專屬的AES金鑰加密，這個金鑰會透過DEDCH521和收訊者交換，確保由預期的收訊者，以訊息專屬的AES金鑰來解密訊息。</p> <p>訊息專屬的金鑰透過金鑰衍生函式傳遞，該函式將金鑰交換綁定到特定的收訊者裝置，當收訊者之後將裝置添加到帳號時，預設新裝置看不到訊息歷史紀錄，用戶可以藉由在兩臺裝置配置SSO，將歷史紀錄從舊裝置搬移到新裝置上。</p> <p>為了確保Wickr的安全性，AWS公開Wickr安全訊息傳輸協定供社群檢查，而且Wickr客戶端實作安全訊息協定的程式碼，也同樣可供稽核和審查。</p> <p>Wickr管理員可以留存資料並且使用機器人程式。管理員能夠將訊息留存到安全且受控的資料儲存中，僅供收訊者取用，包括AWS在內沒有其他人可以存取金鑰解密對話或是文件，使組織能夠完全控制資料。</p> <p>資料留存實作如同加入對話的過程也需要交換金鑰，管理員可以選擇EC2虛擬機或是其他位置。這個資料留存程序能以Docker容器方式部署，將明文訊息儲存在選擇的儲存上，可以是本地、遠端檔案系統或是S3。</p> <p>Wickr支援各種功能機器人，像是廣播機器人可向網路中成員或是特定群組廣播訊息，開發人員可以使用Wickr Bots創建工作流程，或是使用NodeJS編寫機器人。</p> </div></div></div>
2022/11/29 16:35作者李建興https://www.ithome.com.tw/news/154480
Google Health首度將乳癌篩檢AI模型授權予商業公司iCAD
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/ai/icad-partnership-breast-cancer-screening/" target="_blank">Google Health與醫療裝置製造商iCAD於本周宣布</a>，Google Health將授權旗下的乳房攝影AI研究模型予iCAD使用，這是Google Health首度將該模型授權給商業公司，iCAD則準備將該模型整合至該公司既有的產品中，<a href="https://www.theverge.com/2022/11/28/23481967/google-partners-icad-med-tech-ai-breast-cancer-screening" target="_blank">根據《The Verge》的報導</a>，雙方的目標是在2024年將相關技術部署於臨床應用。</p> <p>Google的姐妹公司<a href="https://www.ithome.com.tw/news/135158" target="_blank">DeepMind在2020年曾於《自然》科學期刊發表可用來辨識乳癌的AI模型</a>，指出該模型比放射科醫生更擅長辨識乳癌，隨後並由<a href="https://blog.google/technology/health/artificial-intelligence-breast-cancer-screening/" target="_blank">Google Health及美國西北大學醫學院共同展開臨床研究</a>，以探索AI模型能否有助於縮短診斷時間，減少評估差距，同時改善患者體驗。</p> <p>Google Health表示，在經過多年的投資、研究與測試後，現在將與iCAD合作進入下一個階段，將此一技術整合到現實世界的臨床環境中。</p> <p><a href="https://www.icadmed.com/newsroom.html#!/posts/iCAD-and-Google-Health-Ink-Strategic-Development-and-Commercialization-Agreement/324" target="_blank">iCAD表示</a>，根據雙方的協議，Google已將用於乳癌及個人化風險評估的AI技術授權給該公司，iCAD將利用此一技術來改善自家3D與2D的AI演算法，並將所開發的產品商業化。</p> <p>此外，iCAD打算採用Google Cloud的基礎設施，藉由雲端將相關服務遞送到全球市場，特別是造福那些基礎設施受到侷限的區域。</p> </div></div></div>
2022/11/29 13:12作者陳曉莉https://www.ithome.com.tw/news/154467
AWS AI撰寫輔助服務CodeWhisperer新增C#、TypeScript支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS本周一連舉行三天Re:Invent大會，公布多項工具。其中AI輔助程式撰寫的工具CodeWhisperer支援的開發語言擴大到C#、TypeScript，此外並加入單一簽入（SSO）整合功能。</p> <p>CodeWhisperer是<a href="https://www.ithome.com.tw/news/151609" target="_blank">AWS今年6月公布並預覽的AI輔助程式開發服務</a>，是以機器學習技術（machine learning）為底層，是AWS Toolkit各項IDE的一環。它會根據多種環境線索為開發專案提供建議以提升開發人員開發速度，包括原始碼中的游標位置、游標前的程式碼、註解及同一專案中其他檔案的程式碼。開發人員可以直接套用CodeWhisperer的建議，或是自訂修改其建議用於自己的專案。</p> <p>周一在Re:Invent中，<a href="https://aws.amazon.com/tw/about-aws/whats-new/2022/11/amazon-codewhisperer-enterprise-controls-sign-up-new-languages/" target="_blank">AWS宣布CodeWhisperer支援的開發專案</a>，從Python、Java、JavaScript再擴大到C#及TypeScript專案。AWS Toolkit的IDE包括Visual Studio Code、JetBrains、AWS Lambda、AWS Cloud9都提供CodeWhisperer。</p> <p class="rtecenter"><img alt="" src="https://d1.awsstatic.com/C_Code_snippet.23756adaf36665c202e34bae6b7196f3540fc7c6.png" style="width: 448px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／AWS</span></span></p> <p>此外，CodeWhisperer加入了單一簽入（Single Sign-On）功能，AWS 管理員能將之與AWS其他身份驗證方案整合起來。不具備AWS帳號的個人用戶則可以AWS Builder ID及個人電子郵件啟用CodeWhisperer，而不必再排隊試用。</p> <p>CodeWhisperer仍然為預覽版，開發人員可以根據適用的IDE下載AWS Toolkit，或透過AWS Console啟用。</p> </div></div></div>
2022/11/29 13:38作者林妍溱https://www.ithome.com.tw/news/154468
推動減碳Epson將於2026停產雷射印表機，全面轉向噴墨式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為因應歐盟主導的減碳指令，<a href="https://www.prnewswire.com/ae/news-releases/epson-completes-its-business-mfp-range-fully-committing-to-the-sustainability-advantages-of-heat-free-inkjet-technology-and-discontinuing-the-global-sale-of-laser-printers-301685258.html" target="_blank">印表機大廠Epson本周宣布</a>在2026年之前停售雷射印表機種，全面採用噴墨式技術。</p> <p>這是去年Epson宣布投入千億日圓投入開發永續技術，淘汰雷射列印技術的成果。</p> <p><a href="https://blog.epson.com.sg/inkjet-printers-better-for-the-environment-and-for-business/" target="_blank">Epson強調</a>，整個產品生命周期中，噴墨機種從生產到廢棄都比雷射機種更友善環境。例如，雷射列印過程需要熱能、更為耗能，Epson噴墨機種列印不產生熱能，比雷射機種耗能少85%，減少企業用電。</p> <p>此外，從廢棄物角度來看，噴墨印表機一次只需更換墨水匣，一臺雷射機種則需換一整個碳粉匣，後者包含碳粉匣、感光鼓、定影滾輪（fuser）等許多零件。噴墨印表機的活動零件及耗材都比雷射印表機來得少，服務和維修需求較低，但因較少停機，生產力反而更高。整體而言，噴墨機種替換零件比雷射機種少59%，而且體積較少、較輕，使其需要的材料、運送、儲存資源需求較低，生產一臺噴墨印表機的排碳量，比雷射機種少了85%。</p> <p><a href="https://blog.epson.com.sg/inkjet-printers-better-for-the-environment-and-for-business/" target="_blank">Epson本周也宣布</a>了商用噴墨印表機WorkForce Enterprise AM-Series系列，使其商務噴墨印表機種遍及小型群組到部門用高速機種。</p> </div></div></div>
2022/11/29 12:28作者林妍溱https://www.ithome.com.tw/news/154466
Meta因5億筆用戶資料外洩遭愛爾蘭罰2.65億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>愛爾蘭資料保護主管機關昨（28）日針對數年前Meta遭人利用「資料抓取」手法、蒐集5億筆用戶個資一案，<a href="https://www.securityweek.com/irish-regulator-fines-meta-265-million-euros-over-data-breach" target="_blank">重罰2.65億歐元</a>。</p> <p><a href="https://www.ithome.com.tw/news/143850" target="_blank">愛爾蘭資料保護委員會（Data Protection Commission，DPC）是2021年4月著手調查</a>一樁Meta重大資料外洩案可能違反了歐盟資料保護法GDPR，在近日完成調查並進行開罰。</p> <p>2021年初第三方安全廠商發現高達106國、5.33億筆臉書用戶個資，遭不明人士免費張貼在駭客論壇上。外洩資訊包括用戶電話、臉書ID、全名、生日、住址及個人簡歷，有的還有電子郵件信箱。</p> <p>臉書調查後說明，這事件是發生在2018年5月到2019年9月之間，有人濫用了臉書網站上聯絡人匯入（contact importer）的功能，以軟體冒充臉書App，誘使用戶上傳其聯絡人資料，再比對臉書個人公開資料頁的資訊，以資料蒐集（data scraping）一共擷取了5.33億筆資料。</p> <p>此事引發Meta在歐洲的主管機關愛爾蘭政府調查，重點在了解Meta平臺Facebook Search、Facebook Contact Importer、及Instagram Contact Importer等工具是否違反了GDPR下的「設計和預設的資料保護」義務。</p> <p>在歐盟其他主管機關的同意下，愛爾蘭DPC 11月25日決議Meta違反了GDPR的規定，除了要求限期改善外，也處以2.65億歐元（約86億臺幣）行政罰金。</p> <p>這是Meta今年第三度遭愛爾蘭政府開罰。3月間Meta因2018年外洩3,000萬歐盟臉書用戶<a href="https://www.theverge.com/2022/3/16/22979540/meta-facebook-gdpr-privacy-data-ireland-data-protection-commission" target="_blank">被罰1,860萬歐元</a>，9月又因IG允許青少年建立商業帳號卻預設公開了電子郵件及電話號碼，<a href="https://www.ithome.com.tw/news/152896" target="_blank">該局判罰 4.05億歐元</a>。</p> <p><a href="https://www.ithome.com.tw/news/154441" target="_blank">上周又有媒體報導</a>，Meta旗下WhatsApp涵括84 國、近5億用戶手機號碼被人於駭客論壇兜售，若報導調查屬實可能又要讓Meta破財。</p> </div></div></div>
2022/11/29 11:28作者林妍溱https://www.ithome.com.tw/news/154464
另一加密貨幣業者BlockFi申請破產保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一如傳聞，在<a href="https://www.ithome.com.tw/news/154165" target="_blank">FTX進入破產保護</a>之後，另一<a href="https://www.businesswire.com/news/home/20221128005451/en/" target="_blank">加密貨幣平臺BlockFi及8家相關企業也在本周一（11/28）聲請破產保護</a>，並說手上仍有超過2.5億美元的現金可於此一重組過程中支援特定的運作。</p> <p>BlockFi成立於2017年，扮演加密貨幣產業的銀行角色，允許使用者存入或借出加密貨幣，但主要的業務為借貸，把客戶的款項借給其它加密貨幣公司，並支付客戶最高8.6%的年化利率。</p> <p>根據<a href="https://pacer-documents.s3.amazonaws.com/109/1094078/118164199368.pdf" target="_blank">BlockFi所提交的法院文件</a>，該平臺的債權人超過10萬，所估計的資產或負債都介於10億至100億美元之間。此外，其最大債權人為Ankura Trust，債務接近7.3億美元，居次的是FTX US的2.75億美元。</p> <p>不過，BlockFi表示，在此一破產保護的重組程序中，將專注於收回欠款，包括來自FTX及其關係企業的債務，但因FTX也正處於破產程序中，相關回收預期也會延遲。</p> <p>BlockFi金融顧問Mark Renzi指出，在FTX破產後，BlockFi管理團隊及股東立即採取行動來保護客戶與公司，未來可望有一個透明化的程序，以替客戶與其它關係人帶來最佳結果。</p> </div></div></div>
2022/11/29 11:47作者陳曉莉https://www.ithome.com.tw/news/154465
AWS開源容器開發客戶端命令列工具Finch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS釋出新的容器命令列客戶端開源工具<a href="https://aws.amazon.com/tw/blogs/opensource/introducing-finch-an-open-source-client-for-container-development/">Finch</a>，Finch可用於建構、運作和發布Linux容器，其提供原生macOS客戶端安裝程式，以及一組標準開源元件，包括Lima、nerdctl、containerd和BuildKit，用戶可以使用Finch在本地端創建和執行容器，並發布OCI容器映像檔。</p> <p>雖然目前要在非Linux主機上建置和執行Linux容器，已有現有的商業產品和一系列開源工具可用，但是如要使用開源命令列工具，用戶仍需要花時間組裝測試，因此AWS希望透過建立Finch來簡化這項複雜工作，讓用戶能更專注在容器操作上而非建構工具。</p> <p>Finch仍是只擁有基本功能的初期專案，目前僅支援macOS，隨後會擴展到Windows和Linux。Finch直接相依於Lima和nerdctl，並且一起打包成macOS安裝程式。Lima是在2022年9月才被CNCF接受的沙盒專案，為一個在macOS上以containerd運作Linux虛擬機器，可以看作是非正式的Mac用containerd，而nerdctl則是一個用於containerd且相容於Docker的命令列工具。</p> <p>Finch的macOS原生客戶端，能夠在nerdctl和由Lima管理的虛擬機器間，扮演橋樑角色，所有可調的部分都被抽象成簡單易用的Finch客戶端，Finch會管理所有必要的開源元件和相依項目，用戶不需要管理相依項目更新和進行安全修補。</p> <p>同時，Finch也直接和nerdctl整合，提供用戶熟悉的命令和選項，就像是在Linux原生操作一樣，可以從註冊表拉取映像檔，在本地端執行容器，並且使用Dockerfile建置映像檔，同時Finch還夠進行模擬，在amd64或是arm64架構中建置和執行映像檔，這代表用戶可以選擇在使用Apple Silicon或是英特爾晶片的Mac上執行建置。</p> <p>AWS提到，核心Finch客戶端將會是一個精選的發布版本，完全開源且供應商中立，並供下游使用者自訂，根據特定使用案例創建擴展和增加功能。AWS會根據客戶需要加入自家雲端服務整合，但這將會以擴充的方式加入可選功能，不會影響Finch的開源核心和上游相依項目，擴充功能會擁有自己專案，以及獨立的發布周期。</p> <p>用戶只要完成Finch安裝，就可以開始建置和執行容器，目前Finch沒有圖形使用者介面，僅有一個簡單的命令列客戶端，沒有整合額外的叢集管理和容器調度工具。</p> <p>整體來說，Finch規畫了一個通用開源元件堆疊，這些元件經過建置和測試確定能夠協同運作，AWS提到，他們的目標是要最小化和簡化容器的建置、運作、推送和拉取體驗，使用戶可以專注於核心工作流程。隨著專案的發展，AWS還將讓虛擬元件的狀態更加透明，並且占用較小的容量，啟動時間更快，也更具可擴展性，用戶可以自由地依需求自定義Finch。</p> </div></div></div>
2022/11/29 09:56作者李建興https://www.ithome.com.tw/news/154450
整合開發環境Qt Creator 9加入實驗性測試框架Squish
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>老牌程式開發工具Qt釋出最新整合開發環境<a href="https://www.qt.io/blog/qt-creator-9-released">Qt Creator 9</a>，這個版本有許多更新，從編輯器、C++語言和Docker功能都有更新，但特別的是，這個版本加入了一個稱為Squish的自動化GUI測試框架，供用戶在發布程式之前，能夠以Squish先進行除錯和測試。</p> <p>Squish讓開發者可以使用GUI和命令列工具，對程式進行自動化測試，以了解程式是否存在臭蟲，用戶可以直接啟動Squish測試套件，創建並且錄製測試用例，接著由Squish執行程式和伺服器執行測試，並且查看Squish的輸出結果。用戶可以在執行測試之前設置中斷點，在特定位置停下程式以檢查變數，執行像是類似除錯測試的動作。</p> <p>Squish可以在Linux、macOS、Windows和Unix上運作，官方提到，每個平臺上的Squish功能都擁有獨特的外觀，對話框和工作表中按鈕順序都不同，因此應用程式的外觀可能會因為使用的主題相異，但這並不會影響Squish的功能，每一個平臺的介面都可以找到相對應的功能。</p> <p>Squish功能外觀相異不會影響Squish跨平臺測試結果，因為Squish是透過屬性來辨識GUI物件，這代表當Squish測試特定平臺的應用程式，可以完全不需要變更，直接用於測試同一應用程式在另一平臺的版本，即便對話按鈕在兩個平臺的順序不同。</p> <p>Squish能夠用於測試廣泛的應用程式，像是Android、iOS、Java、Qt和Windows等，還有在諸如Safari、Firefox和Chrome等不同瀏覽器上，所執行以HTML為基礎的網頁應用程式。</p> <p>在C++功能上，開發者現在可以在整個會話中使用單個Clangd實例，而非在每個專案啟用個別實例，同時Qt Creator也更換了配置和建置預設支援，Qt Creator現在預設使用CMake 3版本。</p> <p>Qt Creator 9能夠更好地支援Docker，在程式碼庫中支援遠端開發工作，在遠端檔案和目錄新增檔案瀏覽器，而且也改進自動偵測提供更好的引導精靈功能。除了Docker裝置，用戶現在還可以設定遠端Linux裝置為套件建置裝置。</p> <p>Qt Creator 9在編輯器上也有許多調整，包括增加文件縮排視覺化的選項，現在每個縮排層級都會被標上一條垂直線，用戶可以在配置中調整線的間距。同時官方還修正之前用戶選取大段落時，所出現的效能問題。</p> <p>由於新版Qt Creator增加了深色主題支援，因此當用戶將Qt Creator切換成深色主題時，Qt和Qt Creator文件也會以深色樣式顯示，但用戶所註冊的文件則不會有任何外觀調整。</p> </div></div></div>
2022/11/29 10:00作者李建興https://www.ithome.com.tw/news/154453
AWS re:Invent年度用戶大會登場，今年逾5萬人實體參加，數據創新、基礎設施及安全將是今年雲端重頭戲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端服務龍頭AWS每年冬天都會在美國拉斯維加斯舉行re:Invent全球用戶大會，但受疫情衝擊，2年前改為全線上進行，儘管相隔一年，隨即於2021年恢復實體舉辦，但實際參加人數明顯不如往年，甚至不到全盛時期一半，許多人都改線上參加，使得去年整場活動似乎沒有像以往那麼熱絡。</p> <p>不過，到了今年re:Invent 2022用戶大會，官方雖還是採實體和線上併行，但從今年現場參加人數來看，隨著疫情趨緩，人潮已經逐漸回流，恢復到疫情前的水準，超過5萬人到場參加。</p> <p>AWS年會將從美國時間11月28日一連4天在拉斯維加斯舉行，AWS執行長Adam Selipsky將在活動第二天早上（台灣時間11/30日凌晨）發表主題演說，這也是他執掌AWS後的第2年登臺。在他帶領下，過去1年多AWS繳出不錯的成績單，甚至不畏景氣影響，在最近一季財報仍有近3成的增長，也讓它成為母公司Amazon迄今唯一仍保持獲利的核心業務。</p> <p>每年re:Invent也是AWS最重要年度產品發表大會，在大會前一天，Adam Selipsky在推特上預告，今年將有重要創新雲端產品和服務推出，儘管並沒有透漏更多，但從他今年主題演講來看，今年重頭戲將延續去年聚焦數據創新，除此之外，在基礎設施、安全方面將有更多產品或服務發表。</p> <p>在基礎設施布局上，AWS基礎設施目前遍及30個區域(Regions）、96個可用區，另外屬於較小型的本地區域雲端機房（Local Zone）目前也有多達21個，其中一座AWS本地雲端機房就設在臺灣臺北，目前已啟用營運。沒有意外的話，AWS在大會上將預告更多可用區域和Local Zone明年推出。另外，在安全方面，因應軟體供應鏈需求，預期今年也會有相關雲端安全產品亮相，如推出結合DevOps的軟體供應鏈安全工具等。</p> <p>在雲端服務或產品方面，除了常見運算、儲存、網路服務照往年慣例都會有更新之外，AWS近來積極布局桌面即服務DaaS（Desktop as a service ），其實早在多年前，AWS就已推出雲端桌面虛擬化服務Amazon WorkSpaces，在這兩年，因為疫情，促使企業對桌面虛擬化採用需求大增，為了布局DaaS，AWS最近更找上VMwarec合作推出整合其Horizon VDI的DaaS雲端代管服務，也就是WorkSpaces Core，可讓VDI改在公雲或混合雲環境下執行，簡化企業VDI虛擬桌面部署和管理。外界預期，AWS今年將推出更多DaaS相關產品，搶攻後疫企業混合辦公需求。</p> <p>雲端AI產品依舊是每年活動一大主軸，今年將由AWS數據和機器學習副總裁Swami Sivasubramanian在活動第三日宣布眾多新產品，去年AWS發表機器學習效能更強的Graviton 3處理器，預期今年將有新一代產品亮相。</p> <p>另一方面，外界預估今年將延續去年圍繞在雲端機器學習服務SageMaker功能或服務更新，像是能夠全面整合如OpenAI的LLM大型語言模型，簡化LLM模型訓練與部署，或推出能夠支援TinyML模型的SageMaker Neo版本，以及無程式碼工具版本SageMaker Canvas新增對於特定AI模型訓練的No Code支援，如視覺AI和對話式AI等。</p> <p>永續（sustainability）預期也會是今年AWS年會重要的主題之一，Adam Selipsky就預告今年會有更多永續相關產品發表，甚至今年大會展區首次設立永續主題專區，展示各項永續成果。</p> <p>今年大會也有超過500場技術講座，涵蓋AI、混合多雲、微服務、K8s等各種熱門雲端主題，和眾多企業轉型上雲案例分享，其中不乏許多大型金融業者，像美國高盛將揭露集團IT現代化，擁抱原雲端容器經驗，另一家美國萬通人壽保險公司也將談如何用K8s管理雲應用，美國第一資本金融談如何透過數據治理來擴展其數據生態系。還有渣打銀行如何用FinOps減少雲端成本支出。</p> <p>其他案例分享，還有像是美國最大人力資源公司ADP分享自家上雲經驗，聯合航空上雲經驗，迪士尼如何將資料庫搬上雲，透過數據創新應用，以及全球最第二大、德國最大鐵路公司上雲經驗，以及如何用微服務打造訂票服務，服務每年數億旅客。</p> </div></div></div>
2022/11/29 06:39作者余至浩https://www.ithome.com.tw/news/154463
【資安日報】2022年11月28日，Windows網際網路金鑰交換機制漏洞被用於攻擊、Docker Hub存在逾1,6…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>存在於多個版本Windows系統的網際網路金鑰交換機制（IKE）重大漏洞CVE-2022-34721，微軟雖然在9月公告修補，但近期有研究人員發現，駭客將其用於攻擊行動，鎖定約1千臺電腦下手。</p> <p>為了加速應用程式的開發與部署，容器成為當代IT顯學，很多人都會到提供眾多Docker映像檔的Docker Hub來下載，然而，這當中也蘊藏不小的危機！根據資安業者的調查，當中上架的映像檔，有多達1,600個易受攻擊的映像檔，其中最普遍的是遭人埋入挖礦軟體，寫死帳密的情況也相當值得留意。</p> <p>Chrome瀏覽器107更新版發布，當中修補零時差漏洞CVE-2022-4135。新加坡電腦緊急應變中心（SingCERT）指出，其他採用相同排版引擎的瀏覽器也可能存在相同風險。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.cyfirma.com/outofband/windows-internet-key-exchange-ike-remote-code-execution-vulnerability-analysis/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">存在於Windows網際網路金鑰交換機制的漏洞，已被用於RCE攻擊</span></strong></a></h3> <p>微軟於<a href="https://www.ithome.com.tw/news/153029">9月份修補了重大漏洞CVE-2022-34721</a>，這項漏洞與Windows的網際網路金鑰交換機制（IKE）有關，CVSS風險評分達9.8分，影響Windows 7、Windows Server 2008以上所有版本的作業系統，如今傳出有人將其用於攻擊行動。</p> <p>資安業者Cyfirma指出，有人發動一起名為「流血你」的攻擊行動，正是鎖定這個前幾個月揭露的IKE漏洞，對方已針對超過1千臺電腦下手。而對於攻擊者的身分，研究人員指出他們擅長使用中文，但尚未確認所屬的駭客組織。</p> <h3><a href="https://sysdig.com/blog/analysis-of-supply-chain-attacks-through-public-docker-images/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Docker Hub存在逾1,600個易受攻擊的映像檔，挖礦軟體與寫死帳密最多</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Analysis-of-supply-chain-attacks_3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Analysis-of-supply-chain-attacks_3.png" style="width: 300px; float: right;" /></a>雲端容器安全業者Sysdig近日針對Docker Hub上的逾25萬個映像檔進行分析，結果發現1,652個含有惡意程式，其中有608個為挖礦程式、281個內嵌帳密資料（Embedded Secrets）、266個刻意連上代理伺服器以規避檢查（Proxy Avoidance）、129個含有惡意網站連結等。</p> <p>研究人員指出，雖然挾帶挖礦軟體的情況最為嚴重，但開發者不慎嵌入各式帳密資料的情況也相當值得留意，這些資料包含了SSH金錀，以及AWS、GitHub、NPM的帳密資料等，呼籲開發者在上傳映像檔之前應利用相關檢測工具進行掃描。</p> <h3><a href="https://cybernews.com/news/whatsapp-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近5億筆WhatsApp用戶記錄在暗網兜售</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/whatsappleak.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/whatsappleak.png" style="width: 300px; float: right;" /></a>根據新聞網站Cybernews的報導，有人於11月16日在有名的駭客論壇求售WhatsApp用戶資料，並標榜為2022年最新的資料，號稱範圍遍及84個國家、總共有4.87億用戶的電話號碼，若按照目前WhatsApp約有20億用戶來推算，駭客宣稱持有的用戶資料數量，約近總使用者數的四分之一。根據資料來源地區，埃及有4,500萬筆、義大利有3,500萬筆、沙烏地阿拉伯則有2,900萬筆，其次是法國與土耳其各有2,000萬筆。</p> <p>駭客向該新聞網站透露，他們打算以7,000美元出售美國用戶的資料、英國用戶資料為2,500美元、德國用戶資料為2,000美元。Cybernews取得部分資料、經過驗證之後，判斷這些資料是WhatsApp用戶所有。</p> <h3><a href="https://thehackernews.com/2022/11/russia-based-ransomboggs-ransomware.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體RansomBoggs鎖定烏克蘭組織而來</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FibG0BDagAEdNFa.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FibG0BDagAEdNFa.jpg" style="width: 300px; float: right;" /></a>資安業者ESET揭露鎖定數個烏克蘭組織的勒索軟體RansomBoggs攻擊行動，駭客透過PowerShell指令碼來散布勒索軟體，研究人員指出，其指令碼與今年4月惡意軟體Industroyer2攻擊使用的幾乎相同，因而推測駭客身分是俄羅斯駭客組織Sandworm。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://chromereleases.googleblog.com/2022/11/stable-channel-update-for-desktop_24.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google緊急修補Chrome已遭利用的高風險漏洞</span></strong></a></h3> <p>Google於11月24日發布Chrome的安全更新107.0.5304.121（Windows版部分為107.0.5304.122），當中緊急修補該公司於22日發現的高風險漏洞CVE-2022-4135（此漏洞目前尚未有CVSS風險分數），此漏洞會導致GPU記憶體緩衝區溢位，該公司亦表明已有駭客將其用於攻擊行動。而這是今年該公司修補的第8個漏洞。</p> <p>對此，<a href="https://www.csa.gov.sg/en/singcert/Alerts/al-2022-076">新加坡電腦緊急應變中心（SingCERT）提出警告</a>，上述漏洞波及所有以Chromium為基礎開發的瀏覽器，如Edge、Brave、Opera、Vivaldi，呼籲瀏覽器開發商儘速修補。</p> <h3><a href="https://securitylabs.datadoghq.com/articles/appsync-vulnerability-disclosure/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AWS修補AppSync跨租戶攻擊漏洞</span></strong></a></h3> <p>資安業者Datadog揭露於9月向AWS通報的漏洞，該漏洞存在於資料整合系統AppSync，一旦遭到利用，攻擊者可冒充其他AWS租戶身分，進而以混淆代理人（Confused Deputy）的方式，入侵他人AWS資源或是濫用。</p> <p>研究人員指出，AWS提供了Amazon Resource Name（ARN）防止AppSync遭到濫用，例如，在建立資料來源時，GraphQL的API會檢查serviceRoleArn參數，來確認傳入的ARN是否正確。但若是攻擊者在呼叫此參數的時候，採用不同大小寫的名稱（如servicerolearn），就有機會繞過驗證流程，而能存取其他AWS帳號的資料來源。Amazon獲報後於9月6日修補上述漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202211270045.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安研究院明年初成立，國安會、國防部將指派代表擔任董事</span></span></strong></a></p> <p><a href="https://www.thepeterboroughexaminer.com/ts/news/gta/2022/11/23/osstf-victim-of-ransomware-attack-notifies-members-of-personal-data-compromised.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加拿大教師公會OSSTF證實遭到勒索軟體攻擊，會員個資遭到外洩</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/vice-society-ransomware-claims-attack-on-cincinnati-state-college/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國辛辛那堤州際學院遭到勒索軟體Vice Society攻擊</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154431">【2022年11月25日】閰羅王勒索軟體背後的駭客是俄羅斯人、駭客假借提供微星Afterburner公用程式散布挖礦軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154404">【2022年11月24日】俄羅斯駭客今年前7個月竊取逾5千萬組密碼、歐洲議會遭到駭客組織Killnet的DDoS攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154378">【2022年11月23日】已不再開發的網頁伺服器系統Boa成為攻擊目標、臺廠Lanner基板管理控制器韌體出現漏洞</a></strong></strong></strong></p> </div></div></div>
2022/11/28 16:50作者周峻佑https://www.ithome.com.tw/news/154451
美國禁止進口與銷售華為、中興、海康威視等中國設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fcc.gov/document/fcc-bans-authorizations-devices-pose-national-security-threat" target="_blank">美國聯邦通訊委員會上周正式發布命令</a>，以威脅國家安全為由，禁止美國國內進口和銷售華為、中興及海康威視等5家中國廠商的設備。</p> <p>FCC宣布採行最新法規，禁止授權對國家安全帶來不可接受的風險的通訊產品進口或是在美國銷售。FCC主席Jessica Rosenworcel聲稱，最新法令是該委員會持續保護美國人民免受電信產品帶來的國安威脅行動一環。</p> <p>這是中美在外交、貿易及國際政治關係緊張情勢下，美國方面的最新行動。2021年美國總統拜登簽定頒布法案Secure Equipment Act，該法要求FCC對美國造成「不可接受的國安風險」的廠商設備不得發出許可，且FCC需在一年內進行表決。<a href="https://www.ithome.com.tw/news/153660" target="_blank">上個月Axios報導</a>，FCC主席Jessica Rosenworcel已事先在FCC其他委員之間發送這項命令草案準備進行表決，最新宣布顯然反映表決結果。</p> <p>這項命令適用於FCC公共安全暨國土安全局發布的《涵蓋名單》下的設備，禁止對這些設備發出授權，也不得進口或在美國境內銷售，除非經特別許可。這名單下涵蓋的設備除了包括華為、中興外，也涵括今年被納入的監控攝影機廠商包括海康威視（Hikvision）、海能達（Hytera）、大華（Dahua）及其子公司和任何關係企業。</p> <p>此外FCC也預定修改該名單內設備的授權、FCC競標方案的流程，以及決定現有已授權設備的未來計畫。</p> <p>這對現況不會有太大改變。2019年11月FCC即已頒布一項命令，要求接受美國政府「普及服務基金」（Universal Service Fund，USF）的電信業者，不得向那些構成國家安全威脅的公司購買設備與服務，並要求業者移除與置換既有設備。這項命令首要目標即為中國的華為與中興。</p> <p>FCC其他行動包括以國安為由，更新海底電纜執照頒發的流程，取消了中國電信、中國聯通（China Unicom）與太平洋網路營運執照，終止其在美國銷售電信服務的權利。此外也啟動IoT設備及連網安全設備的安全審查。</p> </div></div></div>
2022/11/28 15:11作者林妍溱https://www.ithome.com.tw/news/154447
資安業者在Docker Hub中找到逾1,600個惡意映像檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專注於容器與雲端安全的Sysdig近日分析了Docker Hub上的逾25萬個Linux映像檔，<a href="https://sysdig.com/blog/analysis-of-supply-chain-attacks-through-public-docker-images/" target="_blank">發現其中有1,652個藏有惡意程式</a>。</p> <p>Docker Hub是由Docker官方所代管的雲端公共倉庫，讓全球的使用者可自由地建立、存放、下載及部署Docker容器映像檔，為全球最大的容器映像檔社群，為了維護使用者的安全，該倉庫不僅提供由Docker Library專案所審查與發表的官方映像檔，也推出驗證計畫來支援獨立軟體供應商（ISV）。</p> <p>而Sysdig所分析的容器映像檔則排除了官方與通過驗證的檔案，鎖定全球使用者所上傳的公開映像檔，在逾25萬個Linux映像檔中，有1,652個含有惡意內容，涵蓋608個挖礦程式，281個嵌入式秘密，266個代理規避（Proxy Avoidance），有134個新註冊的網域，129個惡意網站，以及其它等。</p> <p>Sysdig說，挖礦程式一如預期地成為最常見的惡意映像檔，排名第二的嵌入式秘密則彰顯了秘密管理的重要性，開發者也許是無意或有意將秘密置放於映像檔中，它們可能是SSH金鑰、AWS憑證、GitHub權杖或是NPM權杖等，建議應先利用敏感資料掃描工具來避免憑證的外洩。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1128-Docker%20Hub%20malicious%20images%20by%20Sysdig.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Sysdig</span></span></p> <p>SSH公鑰也被Sysdig掃描工具歸類為嵌入式秘密，因為當它們被放進容器映像檔時，很可能是為了非法使用而部署，例如當上傳公鑰至遠端伺服器，以允許握有私鑰的使用者可透過SSH開啟Shell與執行命令，等同於植入了後門。</p> <p>不管是在哪個領域，總會出現企圖假冒為熱門品牌，採用類似名稱來混淆使用者的手法，Sysdig在Docker Hub中也發現了幾個例子，而它們實際上是挖礦程式。</p> </div></div></div>
2022/11/28 15:54作者陳曉莉https://www.ithome.com.tw/news/154449
Google釋出演繹資料庫開發語言Mangle
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在GitHub釋出了演繹資料庫（Deductive Database）程式開發語言<a href="https://github.com/google/mangle" target="_blank">Mangle</a>，官方提到，Mangle是Datalog的擴展，具有聚合、函式呼叫和可選類別檢查等各種額外功能。Datalog本身是一種查詢語言，專門設計來操作大型關聯式資料庫，由於Datalog和SQL一樣，就僅是一個規範，因此像是bddbddb、DES和OverLog都是Datalog語法實作。</p> <p>演繹資料庫是一種資料庫系統，能夠根據儲存在資料庫中的規則和事實進行演繹，也就是經過計算之後獲得額外的事實，並且可對領域知識建模。通常用於演繹資料庫的語言是Datalog，以指定事實、規則和查詢，是一種類似關係演算（Relational Calculus）的表達性宣告語言，但與關係演算不同，Datalog還直接支援遞迴規則和程式結構。</p> <p>Mangle包含Datalog，但同時添加實用的聚合、函式呼叫和可選類別檢查等擴充功能，來增加Mangle可以適用的情境。官方提到，開源Mangle可供開發人員方便取用，並且有助於簡單地進行實驗。目前這個儲存庫包含實作Mangle的Go函式庫，能夠被簡單地嵌入到應用程式中，另外，雖然這個GitHub Mangle儲存庫在Google組織之下，但並沒有受到正式支援。</p> <div id="gtx-anchor" style="position: absolute; visibility: hidden; left: 446.984px; top: 21px; width: 44.9609px; height: 18.5px;"> </div> <div aria-describedby="bubble-2" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: 136px; top: 50px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-2"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowup" style="left: 449.484px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2022/11/28 16:01作者李建興https://www.ithome.com.tw/news/154448
【資安週報】2022年11月21日到11月25日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周有兩件漏洞被利用的攻擊趨勢，特別值得注意，分別是歐姆龍（Omron）NJ、NX系列PLC產品線的CVE-2022-34151、CVE-2022-33971的漏洞，出現駭客鎖定攻擊的狀況，以及老舊系統被鎖定的問題，近期有駭客正鎖定Boa網頁伺服器漏洞攻擊。</p> <p>在漏洞修補方面，Samba的代理服務元件S4U2proxy存在記憶體緩衝區溢位問題，恐導致DoS、RCE，Sambe在本月15日已釋出針對CVE-2022-42898漏洞的修補；另外，有資安業者揭露了臺廠立端Lanner的BMC韌體存在13個漏洞，業者在接獲通報後已經修補。</p> <p>在國際威脅態勢方面，中國駭客組織Earth Preta鎖定臺灣、日本、菲律賓、澳洲、緬甸攻擊政府與法律機構的狀況被資安業者揭露，手法是用密件副本寄送網釣郵件，並濫用雲端檔案服務，目的是植入惡意程式ToneShell、ToneIns、PubLoad；印度證券託管機構CDSL遭遇網路攻擊，受全球關注。其他還包括亞洲航空A<a data-nguardprocessed="true" data-ved="2ahUKEwiv0O6L9s_7AhWKqVYBHdJuA5QQFnoECAkQAQ" href="https://www.airasia.com/zh/tw" ping="/url?sa=t&source=web&rct=j&url=https://www.airasia.com/zh/tw&ved=2ahUKEwiv0O6L9s_7AhWKqVYBHdJuA5QQFnoECAkQAQ" style="color: rgb(26, 13, 171); text-decoration-line: none; -webkit-tap-highlight-color: rgba(0, 0, 0, 0.1); outline: 0px; font-family: arial, sans-serif; font-size: small;">irasia</a>遭勒索軟體攻擊，員工與顧客資料傳外洩，以及歐洲議會表決俄羅斯為實行恐怖主義國家後，旋即遭親俄駭客發動DDoS攻擊</p> <p>至於攻擊態勢方面，搜尋引擎排名被竄改的新手法出現，駭客是利用了Google商業圖像化分析工具Looker Studio，來讓非法網站的搜尋結果排名提升；至少7個駭客組織使用竊密軟體Aurora於攻擊行動，資安業者指出這類威脅活動正持需攀升；OpenVPN、SoftVPN被竄改以散布間諜軟體。另外在勒索軟體的攻擊態勢中，Black Basta近期廣泛利用殭屍網路Qakbot來感染受害者電腦，並濫用Cobalt Strike、散布勒索軟體，值得注意。</p> <p>本周防護態勢有幾個重要焦點，隨著滲透測試演練工具Cobalt Strike遭濫用問題不斷，Google發布可精準標記與識別其元件遭濫用的YARA規則，還有美國國防部新揭露零信任行動方案，以及Google雲端開始部署可抵抗量子破密威脅的後量子加密演算法。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/154324"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月21日】駭客假冒Instagram發動網釣攻擊、歐姆龍PLC設備漏洞被用於散布惡意軟體</span></strong></a></h3> <p>又是假冒Instagram名義的網釣攻擊！有資安業者揭露針對國家級教育機構而來的攻擊行動，但值得注意的是，駭客不只配置了幾可亂真的內容，還通過了郵件安全閘道、郵件伺服器安全管制規則的檢查，而能成功送到該組織員工的電子郵件信箱。</p> <p>針對工控系統漏洞而來的攻擊行動也相當值得留意。美國CISA針對歐姆龍PLC設備發出資安通告，指出該公司於7月、10月修補的重大漏洞已被用於攻擊行動。</p> <p>Samba近期修補了CVE-2022-42898，這項漏洞影響32位元作業系統，攻擊者有機會藉由偽造的PAC憑證觸發。</p> <h3><a href="https://www.ithome.com.tw/news/154342"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月22日】駭客組織Luna Moth發動電話網釣攻擊、加密貨幣交易所的雙因素驗證機制遭到繞過</span></strong></a></h3> <p>在今天的資安新聞裡，駭客在攻擊行動濫用合法服務的情況可說是相當值得留意，這種情況往往騙過使用者與許多資安系統，不只讓攻擊者得逞，也讓提供相關服務的業者蒙受商譽損失，除了使用者需要提高警覺，服務供應商若是能進一步偵測相關異常行為，才有機會減少這類濫用情事。</p> <p>首先是駭客組織Luna Moth的網釣攻擊，他們假借寄送訂閱服務發票的名義，誘使收信人撥打電話取消付款，然而一旦依照指示聯絡「客服」，對方就會企圖在電腦上安裝遠端連線軟體來進行控制。另一個運用「客服」的攻擊行動，則是針對加密貨幣投資者而來。駭客針對Coinbase、MetaMask、Crypto.com，以及KuCoin等交易所的用戶，發出釣魚信竊取相關帳密，並假借客服的名義，通過上述交易所的進階身分驗證或裝置驗證。</p> <p>Google商業圖像化分析工具Looker Studio也成為駭客濫用的對象！資安新聞網站Bleeping Computer發現有人藉此提升盜版網站在搜尋引擎的排名。</p> <h3><a href="https://www.ithome.com.tw/news/154378"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月23日】已不再開發的網頁伺服器系統Boa成為攻擊目標、臺廠Lanner基板管理控制器韌體出現漏洞</span></strong></a></h3> <p>物聯網設備近年來成為駭客鎖定的目標，因為這類系統往往缺乏足夠的防護，甚至相關的開發套件因包含已停止支援的元件，而使得用戶陷入安全性漏洞無人處理的風險。例如，中國駭客日前入侵印度電網的事故裡，就針對名為Boa的網頁伺服器下手。Boa系統已停止更新長達17年，但許多物聯網裝置的SDK仍廣泛採用其元件，而使得這些裝置也曝露於Boa漏洞的危險當中。</p> <p>我們過往報導了數款基板管理控制器（BMC）的漏洞，這些BMC多半是安裝在伺服器主機，但最近用於物聯網裝置的BMC出現漏洞而引起研究人員注意。有資安業者揭露臺廠立端科技（Lanner）的BMC韌體漏洞，一旦遭到利用，攻擊者就有機會對搭載該公司BMC元件的物聯網裝置進行控制。</p> <p>以近日時事為誘餌的網釣攻擊事件頻傳，這些話題包含即將到來的黑色星期五購物季、剛在上週末開打的世界盃足球賽，以及加密貨幣交易所FTX破產等情況。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/154404"><strong><span style="color: rgb(0, 0, 0);">【11月24日】俄羅斯駭客今年前7個月竊取逾5千萬組密碼、歐洲議會遭到駭客組織Killnet的DDoS攻擊</span></strong></a></strong></p> <p>駭客組織利用竊密軟體（Infostealer）發動攻擊的情況，不時有事故傳出，但這些很可能與一場大規模攻擊行動有關。有資安業者針對俄羅斯駭客的大規模竊密軟體攻擊行動Classiscam進行追蹤，發現今年上半攻擊升溫，而且駭客不光是針對Amazon、PayPal這類金融帳號下手，竊取遊戲平臺帳號的情況更是增加5倍。</p> <p>隨著國際間對於烏克蘭戰爭採取相關行動，俄羅斯駭客反制的網路攻擊也隨之而來。歐洲議會指控俄羅斯入侵烏克蘭的行為構成戰爭罪，並呼籲各國採取相關手段對付俄羅斯，隨後該議會網站就傳出遭到癱瘓的消息。</p> <p>研究人員揭露Arm晶片的顯示元件Mali驅動程式漏洞，並指出此顯示晶片存在於多個品牌的單晶片，而有可能讓數百萬安卓手機成為駭客下手的目標。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/154431"><strong><span style="color: rgb(0, 0, 0);">【11月25日】閰羅王勒索軟體背後的駭客是俄羅斯人、駭客假借提供微星Afterburner公用程式散布挖礦軟體</span></strong></a></strong></strong></p> <p>一年前資安業者賽門鐵克發現名為閰羅王（Yanluowang）的勒索軟體，並推測駭客很可能是中國人，然而，在該組織出現資料外洩之後，有資安業者分析其對話內容，發現該組織都使用俄文溝通，而非中文。而該組織是繼Conti之後，近期第2個內部資料遭人公開的勒索軟體駭客組織。</p> <p>遊戲玩家遭到鎖定的情況也相當值得留意，其中又假借提供微星Afterburner系統效能調整工具的攻擊行動引起資安業者關注。這些駭客看上玩家很可能會使用效能較佳的顯示卡，而以上述名義來散布挖礦軟體。</p> <p>近期俄羅斯駭客Killnet對歐美國家發動DDoS攻擊的情況不時傳出，我們昨天報導了歐洲議會因宣布俄羅斯犯下戰爭罪而遭到攻擊，英國威廉王子的網站也遭到這些駭客癱瘓，原因是該國提供烏克蘭武器。</p> </div></div></div>
2022/11/28 09:34作者羅正漢https://www.ithome.com.tw/news/154438
傳WhatsApp 5億用戶手機資料遭上網兜售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cybernews.com/news/whatsapp-data-leak/" target="_blank">網路媒體CyberNews報導</a>，將近5億筆，涵括80多國WhatsApp用戶手機號碼疑似外洩，並被放上駭客社群論壇兜售。</p> <p>媒體報導，一個不明人士周末在某個駭客社群論壇張貼廣告，欲銷售宣稱為2022年最新資料庫，包含4.87億筆於WhatsApp上使用的手機號碼。報導指出，多名安全專家證實這則貼文內容為真。</p> <p>若貼文作者所言屬實，則外洩數量占<a href="https://www.statista.com/topics/2018/whatsapp/">WhatsApp估計有效用戶</a>約20億的1/4。</p> <p>報導指出，安全專家分析這批WhatsApp資料庫影響用戶國籍涵括84國，其中最多的是埃及（4,500萬）、義大利（3,500萬）及美國（3,200萬）。其次為沙烏地阿拉拍（2,900萬）、法國（2,000萬）、土耳其（2,000萬）、英國（1,100萬）及俄羅斯（1,000萬）。攻擊者以國別定價，其中美國、英國、德國資料集分別以7,000、2,500及2,000美元出售。</p> <p>Cybernews獲得的近2,000筆電話號碼，經證實的確為有效WhatsApp用戶。外洩的號碼可被用於行銷或釣魚簡訊，甚至結合其他外洩個資，以取得用戶數位身分或盜取其帳號。</p> <p>WhatsApp母公司Meta已有多次大規模資料外洩紀錄。<a href="https://www.ithome.com.tw/news/121951" target="_blank">2018年的劍橋分析事件中</a>，讓8,700萬筆資料外洩第三方行銷業者，<a href="https://www.ithome.com.tw/news/146516" target="_blank">2021年Meta更有高達5.3億筆用戶個資</a>包括用戶電話、臉書ID、全名、生日、住址及電子郵件信箱，被人張貼在駭客論壇上兜售。</p> <p>此外若歐盟介入調查，後果會相當嚴重。2021年WhatsApp光是因未告知消費者及企業用戶說明資料處理，違反了歐盟隱私法GDPR，<a href="https://www.ithome.com.tw/news/146516" target="_blank">就被愛爾蘭重罰2.25億歐元</a>。</p> </div></div></div>
2022/11/28 11:28作者林妍溱https://www.ithome.com.tw/news/154441
Google Chrome 107修補最新一個已遭濫用的緩衝溢位漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於周末對桌機版瀏覽器Chrome 107發布更新版，以修補一個遭到濫用的高風險漏洞。</p> <p>Google分別發布Mac及Linux版Chrome 107.0.5304.121，及Windows版Chrome 107.0.5304.121/.122。最新版包含一項安全更新，解決<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-4135" target="_blank">編號CVE-2022-4135的漏洞</a>。</p> <p>CVE-2022-4135是Chrome GPU元件中的緩衝溢位漏洞，可讓遠端攻擊者傳送變造過的惡意HTML網頁，破壞瀏覽器啟動的過程，造成沙箱逃逸，而在PC上執行惡意程式。這項漏洞被列為高風險。</p> <p>最新漏洞為Google威脅分析小組（Google Threat Group）研究人員Clement Lecigne通報，而且Google提醒，已有針對該漏洞的攻擊程式。</p> <p>這是Google修補的第8個桌機版Chrome零時差漏洞。<a href="https://www.ithome.com.tw/news/153924" target="_blank">上一個零時差漏洞出現在10月底</a>。</p> <p><a href="https://www.csa.gov.sg/en/singcert/Alerts/al-2022-076" target="_blank">新加坡官方的電腦安全緊急回應小組呼籲</a>，Chromium為基礎的瀏覽器都會受到最新漏洞影響，包括Microsoft Edge、Brave、Opera和Vivaldi等。</p> <p><a href="https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnote-stable-channel#version-1070141856-november-21-2022" target="_blank">微軟上周釋出Edge最新版107.0.1418.56</a>，但指這個版本解決的是臭蟲及效能更新，不確定是否有修補這項漏洞。</p> </div></div></div>
2022/11/28 10:59作者林妍溱https://www.ithome.com.tw/news/154440
IBM控告Micro Focus竊取程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/Why-IBM-has-Taken-Legal-Action-Against-Micro-Focus" target="_blank">IBM上周控告</a>其合作夥伴Micro Focus竊取其大型主機程式，侵犯了著作權法令，也違反雙方的協議，要求Micro Focus賠償並停止相關作法，而<a href="https://www.microfocus.com/en-us/press-room/press-releases/2022/micro-focus-response-on-ibm-litigation" target="_blank">Micro Focus則簡單地駁斥</a>IBM的指控毫無根據。</p> <p>Micro Focus為一老牌的軟體服務供應商，在1976年成立於英國，為全球最大的大型企業軟體供應商之一，也是英國的上市公司，與IBM的合作超過20年。Micro Focus在今年8月已同意以60億美元的價格，出售給加拿大軟體業者OpenText，雙方預計於明年初完成交易。</p> <p><a href="https://filecache.mediaroom.com/mr5mr_ibmnewsroom/194536/Micro%20Focus%20Complaint.pdf" target="_blank">IBM於訴狀中指出</a>，IBM提供大型主機系統來滿足全球銀行、航空公司及政府機構的業務需求，也會根據客戶需求來設計專有軟體，例如有一軟體可用來建立延伸主機應用的網路服務，讓前、後端的資料互通，同時IBM也會與諸如Micro Focus等第三方軟體開發商合作，進一步滿足客戶需求。</p> <p>根據IBM與第三方軟體開發商的協議，開發商得以折扣價取得IBM的產品與軟體，以開發供IBM主機系統使用的應用程式，同時承諾協助推廣IBM系統。IBM表示，開發商同時也承諾不會濫用IBM軟體，包括執行反向工程或其它未被授權的目的。</p> <p>然而，IBM卻發現Micro Focus未經授權就複製了該公司的軟體，藉以打造一個衍生的軟體應用於全球銷售。</p> <p>不過，Micro Focus僅輕描淡寫地回應，IBM的指控毫無根據，並將積極捍衛自家的智慧財產權，將透過一切的法律管道來解決此一指控，同時也強調這起訴訟案應該不會對正在進行中的併購案造成影響。</p> </div></div></div>
2022/11/28 07:34作者陳曉莉https://www.ithome.com.tw/news/154436
Tumblr將支援開源去中心化社群網路協定ActivityPub與Mastodon互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WordPress創始人，同時也是現在擁有社群網路平臺Tumblr的企業Automattic創始人Matt Mullenweg，<a href="https://twitter.com/photomatt/status/1594577983028740096?s=20&t=aAoBLYfUSulpOVnzsHIssw">在推特上提到</a>，Tumblr將會新增支援開源且去中心化社群網路協定ActivityPub。Tumblr這項更新，將對同樣支援該協定的Mastodon提供新的進入點，用戶可以直接使用Tumblr App瀏覽Mastodon內容，免去申請Mastodon帳號的複雜性。</p> <p>這個事件起因於Elon Musk買下推特，執行一系列大刀闊斧具爭議的改革後，導致許多推特用戶不滿，並開始尋求推特的替代平臺，而去中心化社交平臺Mastodon成了不少推特用戶的選擇，NPM的創始技術長Laurie Voss便是其中一位。</p> <p>Mastodon的操作介面與推特相似，但是其整體的營運方式並非由一家公司或組織集中式運作，而是讓任何人都可以獨立運作伺服器，以聯邦的方式成為Mastodon社群網路的一部分，每個Mastodon營運站點被稱作執行個體（Instance）。</p> <p>Laurie Voss接受別人的建議，嘗試營運自己的執行個體，他表示，下次如果再聽到相同的建議，他會直接吐槽，因為他已經花了7個小時，在嘗試安裝Mastodon伺服器上。Matt Mullenweg回推提到，那就來Tumblr吧，他們正添加ActivityPub協定提供互連。</p> <p>ActivityPub為一個W3C標準，這個去中心化社群網路協定，除了對創建、更新和刪除資料任務，提供一個主從式架構API，同時還有用於傳送通知和內容的聯邦伺服器到伺服器API。不少開源軟體已採用該協定，包括Mastodon、Nextcloud和PeerTube，當Tumblr添加ActivityPub支援，也代表說Mastodon和Tumblr使用者可以互通，Mastodon用戶可以追蹤Tumblr使用者，而Tumblr使用者也可以直接使用Tumblr App瀏覽Mastodon上的內容。</p> </div></div></div>
2022/11/28 07:37作者李建興https://www.ithome.com.tw/news/154430
AWS正式推出機器人機隊管理服務IoT RoboRunner
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布其機器人服務<a href="https://aws.amazon.com/tw/about-aws/whats-new/2022/11/aws-iot-roborunner-generally-available/">IoT RoboRunner正式上市</a>，IoT RoboRunner可用於建構機器人機隊，供用戶控制機器人無縫進行協作，建構機器人自動化應用，AWS提到，IoT RoboRunner可減少用戶在建構機器人應用程式時，所面臨多供應商間互通性的複雜問題。</p> <p>IoT RoboRunner能夠從機器人機隊管理器中收集和組合資料，並在集中式儲存庫中標準化機器人的狀態、位置等資料類別，進而增加了互通性。系列功能包括機隊管理系統閘道器，能夠用於管理機器人供應商與IoT RoboRunner的連接，而Shared Space則可以在共用空間中協調機器人的交通。</p> <p>用戶可以使用IoT RoboRunner API和範例程式碼，在集中式儲存庫上建構應用程式，滿足機器人定位和狀態視覺化等用例需求。目前IoT RoboRunner已經在AWS美東北維吉尼亞和歐洲法蘭克福地區推出。</p> </div></div></div>
2022/11/28 07:43作者李建興https://www.ithome.com.tw/news/154434
北美特斯拉將可啟用更進階的輔助駕駛功能Full Self-Driving Beta
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elon Musk宣布所有北美的特斯拉，將可以購買並啟用Full Self-Driving Beta功能。用戶只要在特斯拉App購買Full Self-Driving服務，應用程式就會被自動安裝到特斯拉車輛，用戶只要從車輛螢幕操作就能夠啟用該功能，Elon Musk表示這是特斯拉人工智慧團隊的重大里程碑。</p> <p>在2014年9月之後生產的特斯拉便能夠運作Autopilot功能，雖然Autopilot英文字面意義是自動駕駛，但特斯拉目前提供的Autopilot功能僅是駕駛員輔助系統，也就是說Autopilot只是用來減少駕駛員整體工作量，駕駛仍需要將雙手放在方向盤上，並且隨時準備接管車輛。</p> <p>特斯拉的輔助駕駛系統共分三個層級，分別是標準Autopilot、Enhanced Autopilot以及剛在北美推出的Full Self-Driving。標準Autopilot最主要的功能是巡航控制，配合特斯拉周圍車輛的速度控制車速，並且在有明顯標記的道路上，協助駕駛控制方向盤。</p> <p>Enhanced Autopilot則有更多的進階功能，包括主動引導車輛進入或是離開閘道、自動變換車道、自動停車，車主也可以運用App招喚特斯拉，特斯拉可以在停車場導航，並且移動到車主面前。而最新的Full Self-Driving，除了向前包含標準Autopilot、Enhanced Autopilot的功能之外，還具有辨識停車標誌和交通號誌的能力，可以自動減速或是停車。</p> <p>不過目前特斯拉目前在北美推出的Full Self-Driving Beta似乎仍有待調整，有使用者在Elon Musk這則推文下，<a href="https://twitter.com/Timcast/status/1595809044593270785?s=20&t=5yOuMDJFvUEfxjlKhpFyxQ">提到</a>他的特斯拉在啟用Full Self-Driving Beta之後，會不適當的煞車，像是有次前車左轉並且停靠路邊，他的特斯拉便在高速公路上緊急煞車，他擔心這反而會導致意外，同時也有不少車主附和回應類似經驗。</p> </div></div></div>
2022/11/28 07:45作者李建興https://www.ithome.com.tw/news/154433
AWS修補AppSync的跨租戶攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS二個月前修補了AppSync一個能使攻擊者冒充其他AWS租戶身分，並使用或入侵他人AWS資源的「混淆代理人」漏洞。</p> <p>這項漏洞是由<a href="https://securitylabs.datadoghq.com/articles/appsync-vulnerability-disclosure/" target="_blank">安全廠商Datadog 9月發現</a>並通報，位於AWS的AppSync服務中。</p> <p>AppSync為常用的開發工具，提供GraphQL及Pub/Sub API，可將多種來源，包括Amazon DynamoDB、RDS、AWS Lambda、HTTP API的資料整合。除了預設的資料源和解析器（resolver）之外，AppSync也讓開發人員得以直接呼叫AWS API，以便和沒有預建解析器的AWS服務整合，例如開發人員想建立GraphQL API和Amazon S3互動，可以直接在其生產環境設定AppSync。以S3為例，開發人員欲建立GraphQL API時，需先建立具S3權限的角色，等GraphQL API被呼叫後，就由AppSync扮演這角色而執行AWS API呼叫並解釋結果。</p> <p>但從安全角度上，這就引發了「混淆代理人」問題（confused deputy），即一個權限較低的實體（如攻擊者）說服權限高的實體（如AppSync）代它執行行為。</p> <p>原本AWS可驗證Amazon Resource Name（ARN）來防止AppSync發生被濫用的情形，ARN是AWS資源的獨立辨識代碼。在建立資料源時，GraphQL API會檢查傳入呼叫的ARN決定是不是同一個AWS帳號。若判定不同帳號，該API就會拋出錯誤代碼。而ARN是包含在GraphQL API的serviceRoleArn參數中。</p> <p>研究人員發現的漏洞在於該API的「serviceRoleArn」參數若以不同大小寫的組合，例如以「servicerolearn」提供，就能繞過驗證。這使得不同帳號的人得以建立連到其他AWS帳號的AppSync資料源，攻擊者因而可藉此存取任何信任AWS AppSync的角色的資源。</p> <p>研究人員指出，只要攻擊者能以釣魚信件騙取目標公司的AWS帳密，藉此漏洞建立AppSync API及資料源，只要指向目標AWS帳號下的某一角色即可。最終攻擊者即可取得目標公司資源的控制權。</p> <p>研究人員於今年9月1日通報AWS後，後者很快證實並在5天後修補了AppSync服務的漏洞。</p> </div></div></div>
2022/11/28 07:51作者林妍溱https://www.ithome.com.tw/news/154437
不畏疫情逆境加碼投資，饗賓靠IT渡過餐飲業寒冬
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去2年多，全球受到COVID-19疫情影響，臺灣也不例外，除了旅遊業因為防疫管制措施大受影響，餐飲業是另一個受到直接衝擊的產業，民眾為避免染疫風險，減少外出用餐，甚至在疫情高峰時，去年5月政府將疫情警戒升至3級，全面禁止餐廳內用，對餐飲業更是直接一記重拳。</p> <p>旗下擁有饗食天堂、開飯、饗太多、果然匯等知名餐飲品牌的饗賓餐旅（以下簡稱饗賓）為例，近7成營收來自Buffet自助餐，由於Buffet以內用為主，當政府緊急宣布3級警戒，禁止餐廳內用餐，使得饗賓餐旅單月營收驟降至5%。</p> <p>雖然時值夏天，國內餐飲業卻因疫情警戒升級而進入寒冬，疫情如同一堂隨堂考，考驗業者應變能力，部分餐飲業者可能選擇縮減投資，緊縮門市、放無薪假，饗賓餐旅在不裁員、不減薪、不放無薪假原則下，逆勢操作增加IT投資，帶領IT團隊協助推展外帶外送的推手，正是饗賓餐飲事業資訊管理部副總經理吳忠諺。</p> <p>非資訊經歷出身的吳忠諺，原本在台灣玻璃工作，他在2014年加入饗賓餐旅，在管理部負責建立管理辦法，健全公司營運相關流程制度，隨後管理部與資訊部門合併為資訊管理部，才開始踏進IT領域。</p> <p>吳忠諺直言自己在加入資訊部門之前，完全是個沒有IT經驗的素人，進入資訊部門負責中階管理工作，他花費相當多時間了解ERP、POS等系統如何優化，儘管不會寫程式，但是了解程式邏輯，知道能夠做到及無法做到，才能評估一些天馬行空的需求，對資訊人員是否合理。</p> <p>「類似PM，透過管理，讓技術人員知道需求者想要什麼」，吳忠諺形容自己在資訊管理部扮演的角色，扮演IT與業務需求間的溝通角色。</p> <p><span style="font-size:28px;"><strong>開發自家外帶外送系統</strong></span></p> <p>當COVID-19疫情在2020年初爆發時，饗賓餐飲積極發展外帶外送業務，調整Buffet餐品，改推出一道道的單品菜色，並和知名外送平臺業者合作，但很快便發現了過度依賴外送平臺的缺點，因為外送平臺對餐飲業者的高抽成比例，饗賓旗下餐飲品牌多為高客單價餐點，因而拉高外送平臺的抽成金額，侵蝕餐飲業者營收。</p> <p>當時除了外送平臺服務，饗賓也使用外帶外送系統，然而，因該系統為國外業者開發，難以符合臺灣的飲食條件，依饗賓的需要客製化調整，例如消費者因疫情無法在餐廳內用餐，而饗賓的餐飲品牌，門市多設在百貨公司，為提供消費者免下車取餐服務，門市和消費者約定取餐地點，由門市人員送到樓下，原先的外帶外送系統只能從行銷功能設定，無法讓消費者直接選擇免下車取餐服務。</p> <p>另一個外帶外送系統的限制是，無法選擇某道菜可以設定自取和外送分開，某些菜例如講求新鮮度的生魚片，考量到外送過程難以控管溫度的風險，餐廳不提供外送生魚片，希望提供冰袋讓消費者自取，由其承擔溫度控管風險，但系統無法設定某道菜只能自取。</p> <p>因此，饗賓決定自行規畫設計，委託廠商開發全客製化的外帶外送系統，花費約半年多的時間開發測試，2021年5月推出Eatogo饗帶走。這個系統推出不久，就遇到了疫情3級警戒，政府全面禁止餐廳內用餐，當時超商也關閉顧客內用休息區。</p> <p>全面禁止餐廳內用，對國內餐飲業帶來相當大的衝擊，以Buffet為主要營收來源的響賓更是首當其衝，由於Buffet以內用為主，單月營業額一下子降到5%，饗賓集團員工傾全力推動外帶外送，設法增加營業額，例如Buffet菜單上架單品菜色、祭出外帶行銷優惠，門市人員到捷運站外賣便當、支援外送。IT團隊也根據消費者的意見，不斷調整優化Eatogo點餐流程，成為饗賓當時渡過疫情嚴峻考驗的利器。</p> <p>在多管齊下策略奏效，去年7月單月營收已提高到1億元，儘管和原本單月3至4億元相比仍有差距，但吳忠諺表示，疫情期間，公司一定虧損，能將單月營收從只有5%回復到30%，對營運不無小補。目前外帶外送營收之中，約有6至7成來自Eatogo，約2到3成來自外送平臺，約1成為電話或到門市外帶。即使現在疫情也漸漸趨緩，開放餐廳內用餐，疫情嚴峻期間優化的外帶外送體驗，成為消費者用餐的彈性選擇，例如家長要接送小朋友，沒時間到店取餐，可選擇外帶免下車取餐。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%96%E3%80%911105-CIO-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.png" style="width: 375px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span><br /> <strong>饗賓餐旅事業資訊管理部副總經理吳忠諺表示，IT扮演公司發展的核心角色，主管要認同IT的重要性、願意投資，基層員工上行下效跟著做，才會認知帶來的好處。</strong></span></p> <p><span style="font-size:28px;"><strong>更新系統深化會員經營</strong></span></p> <p>在疫情期間，IT團隊除了打造自家外帶外送系統，全力拓展外帶外送業務，饗賓也決定更進一步深化會員經營，2022年更新會員系統、App。</p> <p>相較於其他餐飲業者，饗賓直到2017年才開始導入會員系統，會員經營起步比較晚。在此之前，各門市使用Excel檔整理門市常客資料，常客經營侷限於個別的門市，透過品牌官網或粉絲頁經營常客，常客資料也不易集中管理。</p> <p>吳忠諺表示，為了讓消費者不只是門市常客，能成為集團常客，2017年推出第一代會員系統、App，不過，原先的會員系統採用模組化設計App，改動調整的空間受限，去年展開規畫，今年改版的第二代會員系統、App，採全客製化，依據饗賓的需求客製化設計，傳遞集團餐飲體驗任意門概念。</p> <p>他解釋餐飲體驗任意門的概念是，讓顧客透過App找到所有和餐飲相關的服務，例如餐廳資訊、線上訂位、外帶外送、宅配，不只是集團的餐廳，例如顧客喜歡餐廳使用的筷架，在App裡找到購買方式，甚至未來從App學習某道菜色如何料量，餐飲相關體驗都在App，「重要的是讓消費者的體驗變得更好」，吳忠諺說。</p> <p>由於饗賓底下經營多個餐飲品牌，涵蓋Buffet、泰式料理、日式料理、蔬食百匯料理，擁有多間餐廳門市，該集團希望透過App成為會員服務的入口，提供餐飲相關服務內容，例如餐廳介紹資訊、內用訂位、外帶外送、宅配、累點等等，為會員打造新的餐飲體驗。</p> <p>饗賓也將會員系統串接訂位系統，當消費者從電話、網路、App訂位，後檯就能看到其會員資料，訂位的會員身分為新卡、金卡或是黑卡，搭配門市人員編輯的會員相關資訊，例如會員飲食偏好，是否為身障人士，當接到訂位需求時，自動串接會員相關資料，為身障人士安排適合輪椅活動的寬敞座位，或是提供特定身分會員有感的服務，像是在熱門節日優先讓特殊身分會員訂位。</p> <p><span style="font-size:28px;"><strong>導入ERP，系統化中央廚房生產</strong></span></p> <p>隨著經營的餐飲品牌增加，饗賓在2011年導入國產ERP，接下來相當長一段時間，該公司資訊系統化發展停滯不前，直到2017年啟用中央廚房電子看板，才提高生產管理的效率。</p> <p>中央廚房主要為統一生產餐廳所需的半成品，例如某道菜所需使用的醬料，完成後進入倉庫，再配送至不同的餐廳。中央廚房每道半成品的生產都有一本仕樣書，類似製造業的生產規格書，過去，饗賓的中央廚房是以Excel編寫仕樣書，紀錄每道半成品生產所需的材料、製作流程工序，例如經過肉類區、蔬菜區、熟食區、包裝區，記載每一站所需完成的半成品規格，當ERP開出某道半成品的工單後，列印出紙本工單，搭配紙本的仕樣書，供中央廚房各站區員工參考，當前一站製作程序完成後，才會再送到下一站處理，因此，通常完成每個站工序後，工單上簽滿每一站主管的簽名。</p> <p>吳忠諺指出，這樣的做法在中央廚房行之有年，但對於ERP而言，只有開立工單後，以及半成品入庫才有紀錄，中間生產過程是斷點，當ERP修改半成品某項原料及對應的價格，系統資料沒有連動，還需修改Excel檔的資訊。假設300多樣半成品中，約20多樣半成品使用同一種料件，當發現有更好品質的材料，或是價格更具優勢的供應商，ERP調整之後，還要修改每個半成品的Excel檔，行政流程的作業效率並不好。</p> <p>他們和廠商合作，將生產過程客製化、系統化，導入中央廚房生產電子看板，讓半成品生產的仕樣書資料與ERP系統連動，如此一來，當ERP調整資料，也會連動至生產仕樣書，而過去紙本列印的仕樣書，也電子化載入到電子看板。</p> <p>吳忠諺表示，將製作半成品工序SOP化，即使剛加入公司的新職員不熟悉製作流程，只要刷完卡，就會知道負責的這一站今天要做什麼，如同生產製造的產線，每一站完成負責的工序後，才會進入下一站繼續製作。透過每一站完成工序的時間，也能知道哪一站花較多的時間，該站員工需要加強訓練，或是當所有員工都熟練製作工序後，製作所需的時間縮短，需要調整規格書。</p> <p>現在ERP開立工單之後，中央廚房的員工透過電子看板，馬上可知道第一站需要完成什麼，接下來每一站製作流程需完成什麼，同時這個標準化的流程也納入QC品質控管，明確定義每一站工序完成後，例如經過蔬菜區後，半成品應有的重量、外觀，經由磅秤、人工目測進行確認，通過QC後再送到下一站。透過電子看板建立更嚴謹生產程序，同時也讓作業一致化。</p> <p>基於過去行政流程優化經驗，吳忠諺指出，透過中央廚房統一採購設備、食材，生產各門市需要的半成品，例如過去門市手捏製作燒賣，統一採購燒賣機在中央廚房生產半成品，再將燒賣的半成品送到各門市，一來能確保品質，也能透過中央廚房為食安把關，如果向供應商採購的食材量體夠大，在央廚儲存，再定時定量配送到各店，能降低儲藏成本。</p> <p>中央廚房導入生產電子看板，主要帶來行政的優化，提升生產過程的順暢度，以及教育訓練的基礎，從電子看板紀錄就能知道標準是否設定錯誤，員工是否需加強教育訓練。</p> <p>從導入ERP、建置中央廚房生產電子看板，到疫情期間，不畏逆境加碼IT投資，決定建置自家外帶外送系統，擺脫對第三方外送平臺的依賴，同時也更新會員系統、App，加強集團會員經營，吳忠諺認為都要歸功於上級主管對IT投資的支持。</p> <p>「IT扮演公司發展的核心角色，主管要認同IT的重要性、願意投資，基層員工上行下效跟著做，才會認知帶來的好處」，吳忠諺表示。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>饗賓餐旅資訊管理部副總經理吳忠諺</strong></p> <p>學歷：中央大學企業管理研究所</p> <p>經歷：畢業後進入台灣玻璃工作，負責業務工作，2014年進入饗賓餐旅事業的管理部門，協助總務管理工作，建立並優化公司的行政作業流程制度，讓各部門有所依循，2015年管理部合併資訊單位，成立資訊管理部，參與集團資訊相關業務至今</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962-%E6%94%BE%E5%85%AC%E5%8F%B8%E6%AA%94%E6%A1%88%E3%80%911105-CIO.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>饗賓餐旅事業</strong></p> <p>地址：桃園巿大園區五青路150巷12號</p> <p>成立時間：2002年</p> <p>主要業務：餐飲事業，底下經營多個餐飲品牌</p> <p>員工數：2,500人</p> <p>年營收：2022年預估55億元</p> <p>董事長：陳啟昌</p> <p>總經理：陳毅航</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊管理部副總經理</p> <p>資訊部門主管姓名：吳忠諺</p> <p>直屬主管：陳毅航</p> <p>資訊部門人數：17人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2011年：導入ERP系統。</p> <p>2012年：中央廚房啟用。</p> <p>2017年：集團首次導入會員系統，開始集團的會員經營。訂位系統改版上線。導入中央廚房生產電子看板。</p> <p>2021年：Eatogo饗帶走外帶外送系統上線。</p> <p>2022年：新版會員系統、App上線，傳遞餐飲體驗任意門概念，提供更深度的會員體驗。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wang_ye_960zhu_tu_1105-co-she_ying_-hong_zheng_wei_.jpg" width="960" height="420" alt="" title="饗賓餐旅資訊管理部副總經理吳忠諺　（攝影／洪政偉）" /></div></div></div>
2022/11/28 07:00作者蘇文彬https://www.ithome.com.tw/people/154388
【資安日報】2022年11月25日，閰羅王勒索軟體背後的駭客是俄羅斯人、駭客假借提供微星Afterburner公用程式…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一年前資安業者賽門鐵克發現名為閰羅王（Yanluowang）的勒索軟體，並推測駭客很可能是中國人，然而，在該組織出現資料外洩之後，有資安業者分析其對話內容，發現該組織都使用俄文溝通，而非中文。而該組織是繼Conti之後，近期第2個內部資料遭人公開的勒索軟體駭客組織。</p> <p>遊戲玩家遭到鎖定的情況也相當值得留意，其中又假借提供微星Afterburner系統效能調整工具的攻擊行動引起資安業者關注。這些駭客看上玩家很可能會使用效能較佳的顯示卡，而以上述名義來散布挖礦軟體。</p> <p>近期俄羅斯駭客Killnet對歐美國家發動DDoS攻擊的情況不時傳出，我們昨天報導了歐洲議會因宣布俄羅斯犯下戰爭罪而遭到攻擊，英國威廉王子的網站也遭到這些駭客癱瘓，原因是該國提供烏克蘭武器。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.trellix.com/en-gb/about/newsroom/stories/research/yanluowang-ransomware-leaks-analysis.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">閰羅王勒索軟體背後的駭客組織是俄羅斯人</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/yanluowang-ransomware-leaks-analysis-3-big.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/yanluowang-ransomware-leaks-analysis-3-big.png" style="width: 300px; float: right;" /></a>勒索軟體組織「閰羅王（Yanluowang）」因其組織名稱出自中國神話人物，研究人員發現時推測背後的駭客可能來自中國，但這樣的論點現在將被推翻。資安業者Trellix指出，近期有人將該組織的對話內容透過推特外流，他們取得相關資料進行分析後發現，駭客溝通的過程裡大量使用俄文，閰羅王這個名字是用來混淆視聽。</p> <p>研究人員也從中得知該組織的分工情況，其中疑似有俄羅斯軍方人士參與，再者，這些駭客曾於多個惡名昭彰的勒索軟體駭客組織合作，這些組織包含了Conti、LockBit、HelloKitty、Bubak。</p> <h3><a href="https://blog.cyble.com/2022/11/23/fake-msi-afterburner-sites-delivering-coin-miner/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電腦遊戲玩家遭到鎖定，駭客假借提供微星Afterburner公用程式散布挖礦軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Phishing-page-downloading-malicious-MSI-Afterburner-installer.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Phishing-page-downloading-malicious-MSI-Afterburner-installer.jpg" style="width: 300px; float: right;" /></a>資安業者Cyble揭露針對電腦遊戲玩家的挖礦攻擊行動，駭客看上這些使用者會採用性能監控工具，以提供微星公用程式Afterburner的名義架設釣魚網站，目的是利用遊戲玩家的電腦進行挖礦。研究人員指出，駭客竄改了微星的MSI安裝檔案，在裡面加入了檔案名稱為browser_assistant.exe的XMR Miner挖礦程式，一旦使用者依照指示執行安裝程式，電腦在安裝Afterburner的過程中，也會一併被植入上述的挖礦軟體，駭客將其注入到檔案總管的處理程序執行。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/backdoored-chrome-extension-installed-by-200-000-roblox-players/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意瀏覽器擴充套件SearchBlox針對Roblox玩家而來，20萬用戶上當</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/searchblox-results.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/searchblox-results.jpeg" style="width: 300px; float: right;" /></a>資安新聞網站Bleeping Computer指出，有人製作了兩款名為SearchBlox的Chrome擴充套件，號稱能讓Roblox玩家快速搜尋伺服器上的其他玩家，但經過他們的調查，這些套件都含有後門程式，一旦玩家安裝，Roblox帳號就面臨可能遭竊的風險。該新聞網站指出，上述套件已有逾20萬次下載，然而這不是首次鎖定Roblox玩家的惡意擴充套件攻擊──Google曾於6月28日下架另一個同名的擴充套件。</p> <h3><a href="https://www.welivesecurity.com/2022/11/23/bahamut-cybermercenary-group-targets-android-users-fake-vpn-apps/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓版OpenVPN、SoftVPN應用程式遭到竄改，被用於散布間諜軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SecureVPN-Figure1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SecureVPN-Figure1.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露駭客組織Bahamut的攻擊行動，該組織鎖定安卓手機的用戶，提供名為SecureVPN的冒牌VPN應用程式來散布間諜軟體，研究人員發現8種版本的惡意軟體，其共通點是從SoftVPN或OpenVPN改造而成，受害者安裝上述的「SecureVPN」App後，駭客就能監控他們手機的敏感資料，包含了聯絡人、簡訊、通話記錄、手機定位，此外間諜程式也能監控多種即時通訊軟體，如：WhatsApp、Telegram、Facebook Messenger、Signal、Viber等。</p> <h3><a href="https://www.express.co.uk/news/uk/1699778/Killnet-hackers-Russia-war-UK-websites-Royal-Family-latest-update"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威廉王子網站傳出遭駭客組織Killnet攻擊</span></strong></a></h3> <p>根據英國新聞網站Express的報導，俄羅斯駭客組織Killnet聲稱發動了DDoS攻擊，癱瘓了威廉王子（Prince William）的網站，理由是英國支援烏克蘭，並向該國提供了高準確度的導彈。Killnet揚言將對英國所有的政府單位、醫療機構、線上服務的網站出手，下一步打算攻擊的目標是倫敦證券交易所、英國陸軍，以及銀行自動結算系統（BACS）的網站。</p> <p>威廉王子網站已透過雲端服務業者Cloudflare的服務逐漸恢復運作，肯辛頓宮（Kensington Palace）、Cloudflare皆並未對此事做出說明。</p> <h3><a href="https://therecord.media/belarusian-hacktivists-claim-to-breach-russias-internet-regulator/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯網路監管機關傳出遭到白俄羅斯駭客入侵</span></strong></a></h3> <p>白俄羅斯駭客組織Cyber Partisans於11月18日，聲稱攻陷俄羅斯網路監管機關Roskomnadzor的系統，竊取數千份內部文件，並將相關電腦系統的檔案加密。這些駭客表示，上述資料是過去的20年裡，公開反對普丁政權人士的監控資料，他們將著手分析，並交給記者進一步追蹤。</p> <p>上述俄羅斯機構旗下的通用無線電頻道中心（GRFC）證實Roskomnadzor遭到網路攻擊，但駭客沒有存取敏感資料，也沒有檔案遭到加密的情況。對此，駭客表示取得Roskomnadzor員工的護照與醫療記錄、內部電子郵件、專案工作進度回報資料，這些專案包含機器人農場，以及在網路上監控部落客與記者的資料。</p> <h3><a href="https://therecord.media/personal-data-of-nearly-4000-people-leaked-in-hack-of-radio-free-asia/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">自由亞洲電臺傳出資料外洩，近4千人受影響</span></strong></a></h3> <p>美國政府資助的新聞媒體自由亞洲電臺（Radio Free Asia）近日向政府通報一起資料外洩事故，他們在6月28日發現於同月17日遭到入侵，初步調查確定有3,779人的個資可能因這起事故受到影響，這些外洩的資料包含了駕照號碼、健康保險資料、醫療記錄、居住地址，以及「有限的」財務資料。該新聞媒體表示，駭客未經授權存取的管道，是透過外部服務供應商的漏洞而得逞。不過，上述資料目前尚未出現遭到濫用的跡象。</p> <h3><a href="https://indianexpress.com/article/cities/delhi/aiims-ransomware-attack-services-hit-8285901/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度資訊中心的伺服器遭到勒索軟體攻擊，影響醫學研究機構AIIMS運作</span></strong></a></h3> <p>根據印度新聞網站The Indian Express的報導，位於新德里的大型醫學研究機構全印度醫學科學研究所（AIIMS），旗下的國家資訊中心（NIC）於11月23日證實，勒索軟體攻擊了醫院的伺服器，導致門診、住院有關的數位服務受到影響，他們改以人手處理的方式進行計費、預約、製作報告等工作。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://securitylabs.datadoghq.com/articles/appsync-vulnerability-disclosure/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AWS的AppSync服務出現跨租戶漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154428"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">國際警方聯手破獲線上詐騙服務iSpoof</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154424"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Arm修補的Mali GPU晶片漏洞手機廠商仍未套用，數百萬安卓手機曝險</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154404">【2022年11月24日】俄羅斯駭客今年前7個月竊取逾5千萬組密碼、歐洲議會遭到駭客組織Killnet的DDoS攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154378">【2022年11月23日】已不再開發的網頁伺服器系統Boa成為攻擊目標、臺廠Lanner基板管理控制器韌體出現漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154342">【2022年11月22日】駭客組織Luna Moth發動電話網釣攻擊、加密貨幣交易所的雙因素驗證機制遭到繞過</a></strong></strong></strong></p> </div></div></div>
2022/11/25 16:42作者周峻佑https://www.ithome.com.tw/news/154431
國際警方聯手破獲線上詐騙服務iSpoof
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際警方在本周宣布，已聯手破獲在網路上經營詐騙服務的iSpoof，包括由荷蘭警方拆除了iSpoof於荷蘭建置的伺服器，英國警方在倫敦逮捕了iSpoof的經營者，美國聯邦調查局（FBI）扣押了iSpoof所使用的isspoof.cc網址，迄今全球警方已經逮捕了142名iSpoof用戶。</p> <p>根據<a href="https://www.politie.nl/nieuws/2022/november/23/03-grote-spoofingdienst-uit-de-lucht-gehaald-door-internationale-samenwerking.html" target="_blank">荷蘭</a>與<a href="https://news.met.police.uk/news/more-than-100-arrests-in-uks-biggest-ever-fraud-operation-457840" target="_blank">英國</a>執法機構的說明，iSpoof現身於2021年6月，它允許使用者隱藏自己的電話號碼，並假借他人的身分撥打電話給受害者，通常是偽裝成銀行或政府組織，例如假冒為巴克萊銀行（Barclays）、桑坦德銀行（Santander）、匯豐銀行（HSBC）、Lloyds、Halifax、First Direct、Natwest、TSB，或者是國稅局等政府機構。</p> <p>之後再誘導使用者揭露銀行資訊或是匯款。根據英國警方的調查，從去年9月到今年8月間，該平臺的用戶透過iSpoof撥出了1,000萬通的詐騙電話，當中有35萬通的通話時間超過1分鐘，估計涉及20萬名受害者，平均每名受害者損失1萬英鎊，損失金額超過數千萬英鎊，而自iSpoof成立20個月以來，已締造了320萬英鎊的不法獲利。</p> <p>除了iSpoof的負責人居住在英國之外，在本月所逮捕的iSpoof用戶中，也有超過100人位於英國。</p> <p>英國警方表示，iSpoof平臺上約有5.9萬名用戶，由於數量龐大，因此先鎖定已於該平臺消費超過100英鎊的英國用戶展開調查，此外，各國警方仍在持續追捕iSpoof用戶。</p> </div></div></div>
2022/11/25 15:30作者陳曉莉https://www.ithome.com.tw/news/154428
Cloud周報第161期：美NBA職籃協會採雲端優先策略，將傳統型.NET應用程式全上雲，打造符合現代化雲端架構的新應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（11/17～11/23）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永續發展 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 碳排放 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>Google EIE碳排放分析平臺正式登臺，可供城市運用數據推動減碳</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(5).png" style="width: 600px; height: 267px;" /></p> <p>經過4 年，Goo g l e 終於宣布旗下的雲端碳排放分析平臺E I E（Environmental Insights Explorer）將正式在臺推出。EIE是Google在2018年推出的一個免費線上碳排放量測及分析工具，該工具提供城市所需的三項核心洞察數據，包含建築物排放量、交通工具排放量以及屋頂太陽能發電潛力，讓各城市決策者可利用該工具來估算城市中的碳排放量，以及再生能源潛力等資料，進而制定政策推動減碳。目前該平臺上已累積超過4萬個城市或區域的建物與交通工具碳排放量、太陽能發電潛能等公開資訊。</p> <p>Google EIE在臺推出上線後，將提供繁中介面方便使用者查看，新北市也將率先運用它來推動城市減碳政策。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EC2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nitro System </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>AWS EC2執行個體基礎平臺Nitro現在也能支援舊型EC2實例了</strong></span></strong></p> <p>日前，AWS宣布旗下EC2執行個體基礎平臺Nitro能開始支援舊型EC2實例，首批支援上一代EC2執行個體，包括M3、M2、 M1類型。</p> <p>AWS Nitro系統平臺是AWS在2017年所推出，可以將網路、運算、儲存負載卸載到專用的硬體和軟體上，但過去只支援Nitro以後推出的新EC2實例，在這之前EC2實例就不支援，因為這些實例個體使用的是舊型硬體。</p> <p>如今能支援舊型EC2之後，AWS也重新優化Nitro系統上運算、儲存和記憶體來支援上一代EC2執行個體。AWS表示，透過這套系統，企業用戶未來可以在原有EC2實例上繼續執行工作負載和應用程式，既不需要重建新實例，也能夠延長其生命週期，而且能從Nitro系統中加強其安全性、可擴展性和彈性。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FOX Sports </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位內容產製 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>大搶世足賽收視眼球！美國FOX Sports將影音內容直播平臺搬上雲，優化數位內容產製流程</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(12).png" style="width: 600px; height: 290px;" /></p> <p>今年FIFA 2022世足賽火熱開打，各國媒體都紛紛進行現場賽事轉播，而美國體育電視臺FOX Sports今年也將影音內容直播平臺搬上雲端，來優化數位內容產製流程，能夠更快生產數位內容來增加與球迷的互動，進而提高收視率。</p> <p>FOX Sports數位生產營運總監Ricardo Perez-Selsky表示，透過使用雲端，讓整個數位內容產製流程變得更加靈活，可以根據球賽變化即時反應，像是在直播上特效字卡圖文，從原本數分鐘縮短到幾秒鐘就能完成。</p> <p>再者，由於是在雲端產製內容，製作團隊能跨區來進行協作，對於每場比賽現場球員奮力撲球、高超進球技巧等精彩畫面，都能很快剪輯完，搭配吸晴的文字，不用5分鐘就能發送到自家App和官方社群媒體上，吸引更多球迷觀看。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NBA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT現代化 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>美NBA職籃協會採雲端優先策略，藉由IT現代化改造加速轉型與應用創新</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap21(2).png" style="width: 600px; height: 303px;" /></p> <p>最近幾年，美國NBA職籃協會開始採雲端優先策略，希望透過IT現代化改造加速轉型，藉此改變以往準備和提供比賽方式，結合更多創新做法，進而提高球迷觀看體驗。就從內部服務應用開始上雲做起。</p> <p>成立快80年的NBA協會，過去許多內部服務及應用都是放在本地，服務上千名員工。決定轉型後，NBA第一步就是將本地部署的.NET應用程式搬上公雲，甚至未來新應用開發，一律改在雲端來完成，加快整個應用開發和上線。</p> <p>為了將傳統內部應用上雲，NBA的IT團隊也費了一番功夫，不僅重新改寫程式碼和相關資料，來符合現代化雲端架構，同時導入各種雲端工具縮短應用轉換時程。2年來，NBA開發不少雲端新應用，像是一款裁判培訓專用的REPS應用程式，不只提供培訓，也能用來提供裁判及管理人員進行評估、協作及相關發展，2年內經過多次版本迭代與功能更新。還有另一款員工專用的NBAOne應用程式，同樣是基於雲端原生設計。</p> <p>NBA應用程式開發資深副總Sahil Gupta表示，透過擁抱雲端，不僅可以提高使用者體驗，未來更能幫助NBA發展創新，引進如Web3.0或元宇宙應用等新技術。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Watson IoT </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>傳IBM Cloud明年底將正式關閉Watson IoT雲端物聯網代管平臺</strong></span></strong></p> <p>近日，IBM向客戶發出一份信件指出，IBM Cloud將終止Watson IoT 平臺服務。IBM約於10年前推出Watson IoT平臺，用於協助企業用戶管理IoT裝置、監控使用、蒐集和處理裝置產生的資料。</p> <p>根據國外媒體取得該份文件的內容顯示，IBM Cloud預計從2023年12月1日關閉Watson IoT 平臺服務，但並無直接取代的服務。在這之後，平臺API將不再接受存取。IBM在信中提醒客戶，屆時客戶的裝置也將無法再連接MQTT和HTTP端點，而現有連線也會被關閉。所有使用這服務的客戶都應及早規畫在此之前搬到其他服務。</p> <p>儘管IBM迄今尚未證實，但從這家公司近幾年發展策略，逐漸轉向混合雲路線，並開始清算如Watson Health等業務來看，也不是沒有可能。若此消息為真，這將是繼前不久Google Cloud預告明年下半關閉IoT Core代管服務後，再有另一家大型雲端業者將關閉雲端IoT平臺服務。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PTC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端現場服務管理軟體 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>工業設計軟體商PTC以近15億美元收購雲端現場服務管理軟體商ServiceMax</strong></span></strong></p> <p>工業設計軟體和PLM軟體商PTC最近宣布以14.6億美元現金收購雲端現場服務管理軟體商ServiceMax，用來補強PLM生命周期管理產品，從製造現場擴大延伸到現場端服務監控和管理。該項交易將於明年1月上旬完成。</p> <p>ServiceMax是一家以提供現場服務管理（FSM）軟體為主的SaaS軟體商，提供一整套基於Salesforce平臺構建的雲原生FSM功能，可管理服務產品所有相關資訊，包括產品描述、序列號、服務歷史等，也能用於現場執行作業，方便訂單建立和管理，以及人力派遣及調度。</p> <p>過去ServiceMax幾經易主，先是由GE在2016年以9.15億美元買下，用於補強工業物聯網產品線，2019年GE轉售給私募股權投資公司SilverLake，直到今年才被PTC買下。PTC過去也是ServiceMax長年合作夥伴。PTC表示，借助ServiceMax在現場服務管理強項，將能把PTC的數位化產品線向下延伸到企業資產管理與FSM功能，來強化PLM生命周期管理產品。</p> <p> </p> <p><strong><strong>圖片來源／Google臺灣、Azure</strong></strong></p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong><strong><strong><strong>1.VMware公布Q3財報，訂閱和SaaS營收較去年同期增長2成，達9.88億美元</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>2.Google雲端安全團隊釋出YARA規則集，供用戶檢測遭濫用的紅隊工具Cobalt Strike所發動的惡意攻擊</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>3.英國監管機構將對博通收購VMware一案展開反托拉斯調查</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>4.歐盟有意把資料中心放在太空，減少現行資料中心的碳排量</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>資料來源：iThome整理，2022年11月</strong></strong></strong></strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2022/11/25 15:55作者余至浩https://www.ithome.com.tw/news/154429
Mali GPU漏洞沒人要補，Google Project Zero呼籲手機製造商縮小修補空窗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://googleprojectzero.blogspot.com/2022/11/mind-the-gap.html" target="_blank">Google Project Zero團隊本周披露</a>，Arm於今年夏天修補了旗下Mali GPU核心驅動程式的兩個安全漏洞CVE-2022-33917與CVE-2022-36449，但直至漏洞細節與示範程式碼都被公開，手機製造商仍未修補相關漏洞，讓眾多採用Mali GPU的Android手機曝險，涵蓋Pixel、三星、小米與Oppo等。</p> <p><a href="https://developer.arm.com/Arm%20Security%20Center/Mali%20GPU%20Driver%20Vulnerabilities" target="_blank">根據Arm的開發者驅動程式安全更新網站</a>，CVE-2022-33917允許非特權用戶執行不適當的GPU處理操作，以存取已釋放的記憶體，影響r29p0~r38p0的Valhall GPU核心驅動程式。</p> <p>CVE-2022-36449同樣允許非特權用戶執行不適當的GPU處理操作，存取已釋放的記憶體，在緩衝區邊界之外寫入資料，或是揭露記憶體映射的細節，波及Midgard GPU r4p0~r32p0、Bifrost GPU r0p0~r38p0與r39p0以及Valhall GPU r19p0~r38p0與r39p0等核心驅動程式。</p> <p>整體而言，上述安全漏洞將允許駭客繞過Android的權限保護，取得系統權限並存取使用者資料。</p> <p>Project Zero團隊則曾在今年6月至7月間，提交了5個涉及CVE-2022-36449漏洞的問題予Arm，Arm也陸續於在今年7月及8月完成修補。根據Project Zero的漏洞揭露政策，該團隊會在業者修補漏洞的30天後公開漏洞的技術細節，同時進行裝置測試，以檢查業者所釋出修補程式的有效性。</p> <p>但Project Zero團隊卻發現，就在Arm已完成修補、漏洞細節已被公布之後，他們所測試的Android裝置卻依然含有CVE-2022-36449與CVE-2022-33917漏洞。</p> <p>該團隊呼籲，當大家都在鼓勵使用者儘快更新安全漏洞之際，製造商及企業也應該遵循同樣的標準，儘可能地縮小「修補空窗」（Patch Gap），跟上供應商的修補腳步，畢竟當上游不修補時，等於是阻礙了下游或使用者的修補行動。</p> </div></div></div>
2022/11/25 14:38作者陳曉莉https://www.ithome.com.tw/news/154424
Web3產業復甦計畫上線，幣安身先士卒投入10億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大加密貨幣交易平臺幣安<a href="https://twitter.com/binance/status/1595807580735131649" target="_blank">（Binance）周四（11/24）正式發表了Web3產業復甦計畫（Industry Recovery Initiative，IRI）</a>，企圖拯救那些受到FTX破產波及的業者，重振市場及使用者的信心，並身先士卒地宣布將投入10億美元，且不排除會增額至20億美元。</p> <p>根據幣安對IRI的規畫，這並不是個投資基金，預期僅會存在6個月，參與者必須將所承諾的資金置放於公開的錢包地址以確保透明化，資金的類別可以是法幣、穩定幣或加密貨幣，每個參與者都可自行決定是否要參與某項投資，參與者可於計畫結束後領出剩餘的資金。</p> <p>目前除了幣安已承諾要投入10億美元之外，Jump Crypto、Polygon Ventures、Aptos Labs、Animoca Brands、GSR、Kronos，以及Brooker Group也都承諾要加入，這些業者現階段決定投入的總資金僅為5,000萬美元。幣安則說會視需求將投入資金提高到20億美元。</p> <p>另一方面，向IRI申請支援的專案已約有150個，由於IRI的投資人可自行選擇投資對象，因此可能會有專案被放棄，有些專案也許會達成單獨交易，有的可能會同時獲得不同投資人的資金。</p> <p>幣安也設定了IRI的專案門檻，指出那些創新且具備長期價值，有明確且可行的商業模式，同時高度關注風險管理的，將會更容易受到IRI的青睞。</p> </div></div></div>
2022/11/25 14:49作者陳曉莉https://www.ithome.com.tw/news/154425
AI趨勢周報第201期：台塑4年AI化完成777件專案，打造下單到出貨全自動電子商務平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1118～1124)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">台塑 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子商務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 產銷優化 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>台塑4年AI化完成777件專案，打造下單到出貨全自動電子商務平臺</strong></span></p> <p>台塑自2018年推動AI，確立5大AI目標，包括產銷優化、降低成本、智慧保養、工安環保和品質確保。到今年10月底，全企業完成了777件專案，年效益達數十億元。</p> <p>台塑電子部組長蘇育寬指出，2018年台塑開始擁抱AI，要快速導入、培育人才，希望所有員工都具備AI觀念，並建立「自己的問題，自己解決」文化，要讓每位員工都能運用AI。於是，他們先是培育人才，在仁武成立AI研發中心、每年舉辦AI競賽，也針對基層員工推廣AI基礎知識、每半年開設基礎課程，每一季也開設實務課程，從各廠處挑選工程師，來培訓寫演算法和程式開發。接著，他們也會從實務課程中挑選優秀人才，送至臺灣人工智慧學校（AIA）進一步培訓，來強化AI技術深度。甚至，台塑也會安排不定期的高階課程，來對各廠處的AI開發者進行專業訓練和考核。</p> <p>在應用成果方面，以產銷優化電子商務平臺來說，台塑以AI改良該平臺，從客戶下單到出貨，都能全自動管理、即時追蹤並如期交貨。進一步來說，當客戶線上下單時，系統會先計算最佳出貨時間，告知客戶。接著是AI自動排程階段，系統根據下單內容、庫存和品別，自動算出最佳生產排程，並安排工廠生產，來降低生產轉換品別的成本。生產後進入AI包裝排程階段，系統不只會自動媒合訂單和包裝機，也會即時給出包裝機調整方式。</p> <p>下一階段則是AOI裝櫃出貨。這部分包含2個應用，即以AOI來辨識貨櫃、降低交貨出錯率，還利用RFID晶片，來識別出貨品項，並整合雲端資料，自動產生成品交運單、品質檢驗證明和影像記錄歸檔。完成後，就進入物流追蹤，台塑也整合航班資訊來告知客戶貨物動態。台塑其他AI應用成果，還有在精餾塔純化系統中，打造品質預測AI模型，來動態預測品質、作為控制器動態調整的依據，此外，台塑也開發異常預警系統，來預測設備剩餘壽命，主動通知保養單位來介入。<a href="https://conf2022.aiacademy.tw/yu-kuan-su/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣AI行動計畫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行政院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI民主化 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>賴清德：全力發展AI，也要兼顧倫理和民主化</strong></span></p> <p>副總統賴清德18日在2022臺灣人工智慧年會中，盤點臺灣人工智慧學校（AIA）與政府AI發展策略。他指出，AIA自2018年成立以來，培育近1萬名校友，學校成立之初，就與經濟部聯手推動經濟部AI技術人才專班，今年也與行政院人事行政總處公務人力發展學院合辦課程，來對各層級公務人員進行AI訓練。不只對政府部門，AIA也為產業界開設金融、醫療等產業專班，甚至是AI碳中和專班。AIA校長孔祥重也在北、中、南開設AI加速器課程，來協助臺灣發展高性能AI晶片。</p> <p>賴清德回顧他在行政院長任內核定的臺灣AI行動計畫成果，該計畫培育了4,000多名研究人才，在法令方面也通過《無人載具科技創新實驗條例》，核准了13案上路實驗。經濟部等部會也與臺灣37家產業公協會，組成AI化專家服務團，將AI導入全臺灣1,200多家企業。</p> <p>但賴清德認為，全力發展AI的同時，也要注意倫理規範、避免AI發展侵犯隱私權或傷害個人，再來也要符合民主原則，不論個人、團體、企業或組織，都有權利取得AI。最後則要有包容精神，要透過政府和民間力量，來讓弱勢民眾也能受益於AI。<a href="https://www.president.gov.tw/News/27147">（詳全文）</a></p> <p><img alt="" src="https://www.president.gov.tw/File/Image/39248a14-3071-4dc7-a3a9-abf459f2b6bf" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 台積電 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 晶圓製程 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自監督學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>為優化超複雜晶圓製程，台積電徵8種尖端AI人才</strong></span></p> <p>台積電智慧應用整合處機器學習分析部部經理局荊玲近日分享，台積電規畫明年成立臺北辦公室。雖沒透露更多細節，台積電同時也積極招募AI人才，來推動更智慧化的半導體製造流程。</p> <p>台積電指出，派工決策是半導體製造業中非常仰賴AI的一個環節。由於半導體製程極度複雜，1座20個足球場大的超大晶圓廠中，AI排程系統每天模擬超過10的200次方種排列組合，每分鐘會發出超過600至800萬個派工命令，且生產變數大，需要有高速應變能力。</p> <p>不只派工，從智慧製造、良率分析、生產力提升、研發到公司營運，都能使用AI來優化。因此，台積電特別重視有尖端AI科技應用經驗的人才，比如自監督學習、聯邦學習、注意力機制模型、零樣本學習、強化學習、對比學習、圖神經網路及生成對抗網路等技術的人才，就非常歡迎。<a href="https://www.ithome.com.tw/news/154381">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TCMCAI1(1).jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺灣人工智慧學校 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 開源平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI加速器 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺灣人工智慧學校下一步要結合開源平臺、導入國際尖端技術</strong></span></p> <p>臺灣人工智慧學校校務長蔡明順日前在AI年會上表示，臺灣人工智慧學校（AIA）成立5年來，已開設97次專班、培育來自1,917家企業共9,000多名學員，橫跨15大產業，更有50家企業將內部30名以上員工送/參訓，如台積電、友達、富邦金、新光醫院等，涵蓋製造、醫療、金融、電信、學校與國營企業等領域。</p> <p>他點出，AIA成立初衷是「為產業點火」，自2018年成立以來，陸續開設產業專班如智慧醫療、智慧製造、智慧金融等專班，以及物件偵測、自然語言處理（NLP）和Edge AI等技術專班。他分析，AIA的階段性目標可分為3個，首先是2018年至2019年的建立AI大軍，利用業界出題、學界解題模式快速散布AI火種，再來是2020年至2021年的深入產業，利用案例教學來建立產業個案。今年開始則進入新階段，要推動本土產業個案、結合開源平臺計畫（即AI加速器課程），來連結國際發展。在這個階段，AIA還有3大目標要實現，包括導入國際AI尖端技術、定期提供AI最新資訊和AI社群發展，作為AIA轉型發展重點。<a href="https://www.ithome.com.tw/news/154296">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B6%E6%95%B8.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 助聽器 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音增強 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 口語表達 </span></strong></span></p> <p><span style="font-size:22px;"><strong>中研院用AI增強語音和降噪，已於仁寶合作要將AI落地輔具</strong></span></p> <p>中研院資創中心副主任暨研究員曹昱團隊以深度學習技術，優化口語溝通輔助工具，讓口語溝通障礙者及聽力障礙人士，可以更流暢表達、聽懂對方說的話。目前，曹昱團隊已與仁寶電腦等4家廠商聯手，要將AI落地於輔具中。</p> <p>進一步來說，團隊設計的演算法有2種，一是針對聽覺，來消除環境雜音、輔助使用者聽語音聽得更清楚，另一種則針對口語表達，讓使用者說話更清晰。就前者來說，中研院團隊開發一套深度類神經網路，來處理失真語音，產出降噪的增強語音，再透過STOI +MSE目標函數優化，來強化語音理解。這項研究成果，還獲得2021 IEEE信號處理協會殊榮。這項技術，可用於聽力輔具，如輔聽器、助聽器、人工電子耳。</p> <p>就口語表達來說，團隊針對口腔癌術後、電子喉、吶語症等構音異常患者，打造AI語音增強系統，可透過手持裝置如手機，先偵測患者異常語音，再用Seq2seq演算法來進行異常語音增強，轉換為正確語音並播出語音，提高語音品質和理解度。這些技術不僅獲國內外重視，也有硬體廠商要整合落地。<a href="https://www.nstc.gov.tw/folksonomy/detail/8e511c92-866f-46e6-95bd-a8bc73a9dd04?l=ch">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-11-25%20144316.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 美光 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數位分身 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧工廠 </span></strong></span></p> <p><span style="font-size:22px;"><strong>美光用AI、數位分身技術打造智慧工廠</strong></span></p> <p>美光科技技術部門資深總監曾耀瑩分享多年數位轉型成果，為發展智慧製造，美光很早就在晶圓廠安裝大量IoT感測器，迄今一共部署57萬個IoT感測器在全球工廠中，累積了34 PB資料，成為發展大數據分析與AI應用的關鍵數據。</p> <p>為此，美光建立IIoT平臺和Hadoop大數據分析平臺，從多種感測器的大數據中，用來建立預防性設備維護和製程異常檢測機制，更用這些數據訓練不同AI模型。比如打造YMS良率管理系統，結合ML演算法來即時分類與辨識有瑕疵的晶圓，系統還能給出造成晶圓製程問題的建議，讓設備工程師能基於這些建議來檢測機臺的狀況。</p> <p>不只AI，美光也打造一套數位分身系統，用來模擬廠內運作狀況，包括晶圓製程流程、機臺使用情況，讓生產人員能更快根據生產排程變化，靈活調度產線機臺，來縮短周期支援更大產能。不光如此，這套系統也能透過模擬方式提供跨廠區不同產品組合的建議。<a href="https://www.ithome.com.tw/news/154358">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯邦學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 貼圖推薦 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line日本 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Line日本用聯邦學習打造貼圖推薦系統</strong></span></p> <p>Line日本揭露自家貼圖推薦系統，Line日本產品經理Haruka Kikuchi指出，該系統以聯邦學習（Federated Learning）打造而成，透過集中式的主機，將一套公版機器學習模型，下放到各個使用者手機（或終端裝置），讓模型在使用者端學習、訓練，之後再將參數上傳至集中式主機，由主機優化參數，再將優化過的參數回傳到各個終端裝置，再進行下一輪訓練，直到模型收斂。</p> <p>Haruka Kikuchi表示，Line貼圖自動推薦是根據使用者在搜尋欄輸入的字，來與事先建立的語義標籤比對，才推薦相關貼圖。他們先以已購買貼圖這個類別開始，Line將推薦系統分為3階段來訓練、優化，第一是將使用者已下載貼圖的Log和使用者特徵（如所在地），作為模型輸入值，接著輸出貼圖嵌入和使用者嵌入，最終產出候選貼圖。再來是重新排序階段，將使用者嵌入和貼圖嵌入作為輸入值，並輸出每個貼圖的分數；這時，系統會在使用者端App閒置時來訓練模型。就成果來說，Line日本成功透過這個方式，將貼圖推薦範圍從100萬個縮小為100個，也提升5.6%獨家貼圖下載率。未來，他們要將這個模式擴大到所有貼圖。<a href="https://speakerdeck.com/techverse_2022/sticker-recommendation-using-federated-learning?slide=28">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/line.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 假新聞 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 強化學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 認知 </span></strong></span></p> <p><span style="font-size:22px;"><strong>中研院用RL開發實驗平臺打擊假新聞，最快今年上線</strong></span></p> <p>中研院資訊科學研究所研究員古倫維團隊打造一款試驗平臺，利用強化學習（Reinforcement learning）來規畫正確資訊的投放路徑，在最佳時機點推播給接觸過假新聞的讀者，改變讀者對事實的認知。</p> <p>進一步來說，使用者在網路上的閱讀行為，會在網路平臺商留下足跡，因此，當中研院假新聞實驗平臺偵測到使用者點擊過假新聞網頁，演算法就會觸發來推播澄清新聞給讀者。為在最佳時機點推播，團隊先是建立由假新聞和經查核新聞組成的資料集，來訓練強化學習模型，讓模型找出最佳投放正確資訊的路徑，並給予模型最大獎勵。特別的是，該模型的零樣本（Zero-shot）學習能力比其他模型好上1.5至2倍，表示模型遇到沒見過的假新聞，依然有能力準確判斷。中研院這套假新聞實驗平臺，最快今年就會上線，不僅可用來提供正確資訊，還能產生報表，分析假新聞讀者群性質與行為等。<a href="https://www.ithome.com.tw/news/154303">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/coverzhong_yan_yuan_.png?itok=9iBbvDJG" /></p> <p>圖片來源／</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 微軟與Nvidia擴大雲端AI超級電腦合作</strong></p> <p><strong>2. Google釋出資料集透明度工具Data Cards Playbook</strong></p> <p>資料來源：iThome整理，2022年11月</p> </div></div></div>
2022/11/25 14:50作者王若樸https://www.ithome.com.tw/news/154426
英特爾公布軟體定義晶片授權方案Intel On Demand
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.intel.com/content/www/us/en/products/docs/ondemand/overview.html" target="_blank">英特爾本周公布</a>軟體定義晶片（software-defined silicon）的彈性採購方案，名為Intel On Demand，將從第4代Xeon Scalable處理器開始，允許客戶按需求採購處理器功能。</p> <p>英特爾於<a href="https://www.intel.com/content/www/us/en/newsroom/news/vision-2022-news-overview.html" target="_blank">今年5月Intel Vision 2022首先公布軟體定義晶片（SDSi）</a>願景，並介紹Intel On Demand服務，<a href="https://www.ithome.com.tw/news/149391" target="_blank">當時媒體報導</a>，英特爾可能配合Linux 5.18的支援驅動程式啟動SDSi。<a href="https://www.intc.com/news-events/press-releases/detail/1577/intel-equips-developers-to-solve-challenges-of-today-and" target="_blank">今年9月英特爾證實</a>第4代Xeon Scalable處理器Sapphire Rapids將加入隨需啟用（on demand activation）模式，透過Xeon Scalable處理器支援這項新服務，客戶可獲得更高的彈性及選擇，在原始SKU的基礎配置之外，於業務有需要時啟用額外的加速器，用於AI、分析、網路、儲存及其他高運算需求的作業負載。</p> <p><a href="https://www.intel.com/content/www/us/en/products/docs/ondemand/overview.html" target="_blank">本周Intel On Demand方案終於上線</a>。英特爾說明，Intel On Demand 「提供彈性消費與配置，讓企業基礎架構的投資與業務需求一致化。」</p> <p>Intel On Demand方案包含三大類功能可供用戶需要時採購，分為安全、通訊儲存、以及分析類。其中安全類為Software Guard Extensions（SGX），通訊和儲存類包括Quick Assist Technology、Dynamic Load Balancer、Data Streaming Accelerator，以及分析類如In-Memory Analytics Accelerator及Data Streaming Accelerator。</p> <p>根據英特爾網站，Intel on Demand提供「啟動模式」及「消費模式」。啟動模式為一次性啟動特定CPU加速器和安全功能，對象包括企業或雲端服務供應商，讓他們可在自有資料中心就地啟動想要的功能。消費模式則是經由合作夥伴提供服務化（as-a-service）的Intel Xeon處理器功能。</p> <p>提供消費模式的合作夥伴包括HPE GreenLake及phoenixNAP，提供啟動模式的合作夥伴則有H3C、美商超微（Supermicro）、浪潮、Variscale，以及英特爾資料中心方案事業群。聯想則是兩種模式都提供。</p> <p>不過英特爾並未提供價目表，只說有興趣的客戶可以洽詢伺服器設備供應商或英特爾代表。</p> <p><a href="https://www.phoronix.com/news/Intel-SDSi-Intel-On-Demand" target="_blank">Linux專業媒體Phoronix報導</a>，英特爾持續開發Linux支援，根據其文件，更新版的Linux SDSi/On Demand驅動程式可能會在6.2核心整合，穩定版則要等到2023年2月釋出。</p> <p>這並非英特爾第一次提供隨需採購的方案。英特爾也曾經推出Intel Upgrade Service，用戶需付費50美元以增加快取及hyper-threading功能，來加速桌機處理器，但並不成功。也有人認為Intel On Demand只是老調重彈。不過<a href="https://www.tomshardware.com/news/intel-officially-introduces-pay-as-you-go-chip-licensing" target="_blank">Tom's Hardware分析</a>，Intel on Demand只針對伺服器晶片，也和Intel Upgrade Service不同。</p> </div></div></div>
2022/11/25 14:02作者林妍溱https://www.ithome.com.tw/news/154423
台積數位轉型的關鍵，靠現代化軟體架構實現全球晶圓廠的運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>直到今年10月29日，這一天，台積電，第一次舉辦IT技術日，首度公開了過去3年數位轉型的最新成果。</p> <p>由台積電副總暨資訊長林宏達帶頭，率領了智慧製造、企業系統、資訊架構等領域的技術主管親自登臺。臺下上千人，座無虛席，許多是IT從業人員、軟體開發人員、資訊業主管、跨國科技公司主管，新竹多家高科技廠也派人北上來參加，來向台積數位轉型成果取經。</p> <p>「半導體技術複雜度越來越高，如何維持台積研發速度越來越快，又能從臺灣邁向全球布局，還可以更有效率？必須換個方法往前走。」林宏達指出，創新速度，商業成長和維運效率，是驅動台積數位轉型的3大原因。</p> <p>這位來自矽谷公司的台積電資訊長，是台積IT轉型進入全新階段的關鍵推手。他不只要推動台積全面智慧化，IT現代化等技術面的數位轉型，更要推動IT工作模式的現代化，甚至要改變全公司員工的思考和工作方法。</p> <p>「如何實現數位方式的擴充，我想把矽谷公司的實踐方式帶進台積，從科技公司角度，重新思考，如何用軟體增進半導體晶圓廠的營運效率。」這是林宏達進入台積後，最重要的戰略目標。</p> <p>台積電早在三十多年前，就很懂得善用IT技術來支援全球業務，甚至早在2000年前後，就開始透過網際網路提供7x24小時不中斷的eFoundry服務（網際專業積體電路製造服務）。</p> <p>台積每一座晶圓廠的運作，也需要仰賴資料中心的支援，尤其越先進的工廠，越是需要大量IT系統的支援。</p> <p>林宏達常用一句話來形容IT對台積的重要性，「『就是Fab runs on code，用軟體來跑晶圓廠。』不只是製造自動化，會影響整個台積電的營運型態，而是運用軟體協助晶圓廠的製造轉型Scale Digitally（編按：數位式擴充）。」</p> <p>過去，台積IT將維運和開發分開，每次建置新廠，就會同步建置一座資料中心，並派駐一組IT人力來維運。但是，台積從2020年宣布在美國亞利桑那州設立先進晶圓廠之後，就積極展開全球化步局，過去的擴張模式，無法滿足台積全球化的腳步。</p> <p>2020年是台積啟動數位轉型的元年，一方面因為疫情，台積加速數位轉型腳步，開始發展AR/MR跨廠遠端協同合作、強化廠際技術移轉能力，推動數位工廠（Digitized Fab）的製造流程改造計畫，以及打造遠距辦公系統等，這都更強化了IT對台積的重要性。</p> <p>台積在2020年的數位轉型第一階段，聚焦3大重心，一方面打造一套內部雲端軟體開發平臺，來整合DevOps流程和工具，支援上千名工程師開發。多數應用程式已轉移到Kubernetes環境，也開始導入微服務架構來設計軟體系統。</p> <p>而台積基礎架構團隊也運用各種基礎架構新技術，來協助台積數位轉型，並將資料中心透過軟體定義轉型成真正的私有雲，也持續導入新世代5G、IoT製造、AIOps技術等技術來推動基礎架構持續創新。</p> <p>到了2020年底，台積電訂出了數位轉型的5大方向，要用AI、大數據及尖端數位科技來打造智慧製造、數位供應鏈管理、高效能混合雲端運算及服務、工作場所現代化，以及發展團隊協作。</p> <p>2021年2月時，曾擔任臉書（現為Meta公司）企業平臺架構處長、Mozilla資訊技術副總的林宏達上任台積資訊長，也帶動台積電IT數位轉型進入了全新的第二階段。</p> <p>「不是像過去拼湊式的IT建置，而是用一家軟體科技公司的角度重新思考，如何用軟體打造一座半導體晶圓廠，甚至思考如何用軟體幫助整個供應鏈和生態圈繼續擴大規模。」這是林宏達如何用IT支援台積全球化布局的核心原則。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961%E3%80%91%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%B0%E7%81%A3%E7%A9%8D%E9%AB%94%E9%9B%BB%E8%B7%AF%E8%A3%BD%E9%80%A0%E8%82%A1%E4%BB%BD%E6%9C%89%E9%99%90%E5%85%AC%E5%8F%B8.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">在台積第一次IT技術日活動中，台積電副總暨資訊長林宏達揭露了台積新的數位轉型6大方向，要從自動化邁向智慧製造，善用科技讓維運更聰明，還要推動工作型態現代化、供應鏈數位化，引進現代化技術架構和雲原生設計。</span></strong><span style="color: rgb(105, 105, 105);">圖片來源／台灣積體電路製造股份有限公司</span></p> <p><strong><span style="font-size:28px;">2021年轉型重點：組織重組、流程變革和積極擁抱雲原生</span></strong></p> <p>新任CIO來了之後，不只大幅改組了台積IT組織，也將過去採用的專案開發模式，開始轉變為產品模式，更全面擁抱DevOps和雲原生。</p> <p>2021年5月，數千人規模的台積IT組織重組為四大處，人數最多的是技術系統整合處（TSID），負責智慧製造相關的系統，和工程技術的系統整合工作。</p> <p>第二大部門是負責基礎架構的資訊建構暨通訊服務處（ICSD），負責IT基礎建設和管理，雲端運算服務和網路資訊安全。只要設立新的廠區，ICSD就需要支援新設立的資料中心。</p> <p>第三個部門是負責AI相關的智慧應用整合處（AAID），主要任務包括了人工智慧應用、設計研發平臺、工程資料分析和8吋廠自動化。最後一個處是企業系統整合處（BSID），主要任務包括數位商務相關的系統。</p> <p>另一方面，台積IT開發也從專案模式，轉為Product模式，按照IT軟體產品來規劃，而不是依照工廠建廠來規劃。</p> <p>林宏達強調：「從專案模式轉為產品模式，不是為了趕流行，而是想要改變心態。」</p> <p>在專案模式下，每年編預算，完成專案，交出結果就結束。這是一種工作完成就結束的心態。林宏達指出：「但產品導向的模式，是一種工作方法也是一種心態，你的心態會改變，開始思考IT的價值在哪裡？」不是思考今天或明天要完成什麼任務，而是開始思考，如何幫助企業增加生產力。</p> <p>他認為，台積電一年數百億美元營收，如果IT可以幫台積提升3%生產力，產值就超過10億美元。這對任何軟體產業都是很大的產值。「我想要改變IT做事的心態，不是來寫程式，而是要創造價值。」他說。</p> <p>台積電技術系統整合處技術專案經理陳岳澤也分享產品模式帶來的改變，他說，過去的專案模式，產品經理提出需求後，交給開發團隊完成。現在的產品模式下，產品經理要參加Scrum開發會議，告訴開發團隊這些優先需求的重要性和具體內容，產品經理會更大幅度參與團隊的開發。</p> <p>不過，只有組織和工作模式改變還不夠，林宏達認為：「不是形式上的改變，而是心態上的轉變，就必須擁抱雲原生，創新的人，不可能用舊架構做事。」必須引進當前先進、成熟的技術，同時又高度開放和包容，才能做好創新。</p> <p>台積早從2018年就開始嘗試現代化IT的技術，從K8s和容器技術開始引進，2019年開始嘗試DevOps和敏捷開發模式。在2020第一階段轉型中，也逐漸發展出一套DevOps自動化工具鏈。</p> <p>到了2021年，隨著IT開發轉為產品模式後，台積更積極將DevOps落實到IT各項流程，甚至連台積AI開發流程也比照軟體開發流程，導入CI/CD，再加上CT（Continuous Training），直接在開發流程中套用各項程式碼安全機制。數位商務軟體產品，也從私有雲架構邁向混合雲架構，並將CI/CD工具鏈雲端化來支援數千人同時開發的需求。</p> <p>甚至，台積IT也開始運用開源技術，打造台積自己的Kubernetes平臺，稱為自建K8s。「用開源技術來打造我們的基礎架構，不只為了省錢，更重要的是可以控制。」林宏達透露關鍵原因。</p> <p>2021年底時，台積已將多座晶圓廠的應用系統，搬遷到自建K8s環境中。計畫2022～2023年期間，將所有服務都搬遷到自建K8s上。</p> <p>在雲原生架構和微服務實際上線後，成立跨部門小組（Squad Team）讓不同工程團隊的工程師以虛擬團隊方式，交流共用平臺服務或新元件的經驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962%E3%80%91%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%B0%E7%81%A3%E7%A9%8D%E9%AB%94%E9%9B%BB%E8%B7%AF%E8%A3%BD%E9%80%A0%E8%82%A1%E4%BB%BD%E6%9C%89%E9%99%90%E5%85%AC%E5%8F%B8.png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">台積電在IT技術日時，也公布了2022年版IT產品藍圖，同樣以「Fab runs on code（用軟體來跑晶圓廠。）」為核心概念，涵蓋了智慧工廠和數位商務兩大類產品。所有IT產品和任務都要對準業務的需求。</strong><span style="color: rgb(105, 105, 105);">圖片來源／台灣積體電路製造股份有限公司</span></p> <p><strong><span style="font-size:28px;">2022年，台積IT再次組織調整，更像一家軟體科技公司</span></strong></p> <p>到了2022年，台積IT數位轉型進入第三年，一方面四大部門再次組織調整，以產品來規劃出不同的開發團隊。例如，台積數位商務產品組織旗下分為CRM、PLM、SCM、FML(ERP)和HCM等工程團隊，每個產品團隊，包括了前端工程師、後端工程師和DBA。</p> <p>這次調整不只如此，台積IT還成立了產品管理部門，負責產品管理、專案管理、使用者體驗、預算控管等，在每個工程團隊都配置了產品經理。陳岳澤補充，台積開始設置專職產品經理團隊，找來設計師加入，開始重視產品體驗和介面美觀，要讓使用者喜歡，讓他們覺得打中他們的痛點。</p> <p>另外，這次組改還設立了平臺團隊，負責基礎服務和設施，提供數位商務需要的共用服務，例如資安、商務應用平臺、資料平臺解決方案、共用服務等中臺服務。</p> <p>為何擁抱雲原生需要進一步區分成兩種不同職能的團隊？台積電企業系統整合處部經理林世鵬解釋，因為雲原生架構，可以頻繁、控制系統的變更，要實現這件事，區分出業務職能工程團隊和平臺工程團隊，是很重要的一件事。</p> <p>尤其林世鵬更強調專責平臺團隊的重要性，他說，平臺團隊負責基礎設施的穩定性、易用性，為業務系統提供強健、便利的運作環境。「業務價值的交付能力，非常仰賴基礎架構的穩定和效率。平臺工程團隊就像後勤角色，讓前方打仗的業務職能團隊，往前衝，放心進行變更。」</p> <p>不只有IT組織進一步調整，台積電IT也將主要軟體產品都改為Product開發模式，並採用了DevOps來管理，包括MES、機臺自動化、機臺控制、品質管理、設備系統、製程良率分析、CRM、ERP、電子商務、生產資料主資料庫、供應鏈管理SCM系統和人資管理HCM系統。</p> <p>台積不只擴大擁抱雲原生技術和DevOps，在2022年持續導入混合雲。例如，與客戶相關的TSMC.com跟TSMC Online已經搬遷上公雲，HCM服務也上公雲，計畫將更多需要對外的服務搬上公雲，例如SCM入口網站。採用公雲架構後帶來不少明顯效益，如一份多達數百GB的製造設計文件下載時間，從數十小時，縮短到3小時。</p> <p>不過，不需對外提供服務的AP，仍然部署在私有雲以確保安全，例如部分商用軟體與智慧製造系統。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%963%E3%80%91%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%B0%E7%81%A3%E7%A9%8D%E9%AB%94%E9%9B%BB%E8%B7%AF%E8%A3%BD%E9%80%A0%E8%82%A1%E4%BB%BD%E6%9C%89%E9%99%90%E5%85%AC%E5%8F%B8.png" style="width: 588px;" /></p> <p><strong style="color: rgb(105, 105, 105);">台積電副總暨資訊長林宏達表示：「老舊系統用的仍是40奈米時代的IT技術，台積必須改用新的現代化技術架構，我要把矽谷公司的實踐方式帶進台積電。」這些台積想擁抱的現代化技術架構，包括了開源技術、雲原生和DevOps等。</strong><span style="color: rgb(105, 105, 105);">圖片來源／台灣積體電路製造股份有限公司</span></p> <p><strong><span style="font-size:28px;">不只是組織和技術的轉型，台積也要改變IT心態和文化</span></strong></p> <p>將矽谷公司的實踐方式帶進台積，林宏達對IT團隊最終的期待是：「我要改變台積電的IT運作方式，用不同的思維來發展IT，不是將自己當成IT服務的供應商，而要把自己想像成一家軟體公司來做事。」</p> <p>從整個IT團隊角度來看，他認為：「將IT部門想像成一家軟體公司，不是做完一個個專案交差，而是要思考如何打造軟體平臺做所有的事，追求如何讓產品更好更成功，而且可長可久。」更重要的是，他想要激勵IT對自我角色定位的轉變，「IT不再只是一個寫程式的人，而是技術提供者，不只是一個系統修補者，而是一位設計師。」</p> <p>「我進入台積之後就決定，不只是用軟體運作晶圓廠（Fab runs on code），也要用軟體來運作IT。」林宏達希望達到的目標是，IT多數時間用於提升而不是維持，像是學習新技術，尋找新解決方案，開發新功能，將大量維運工作交給軟體來執行。「改變IT的執行模式，軟體工程師可以有更多時間來提升自己的能力。」他說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%964%E3%80%91%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%B0%E7%81%A3%E7%A9%8D%E9%AB%94%E9%9B%BB%E8%B7%AF%E8%A3%BD%E9%80%A0%E8%82%A1%E4%BB%BD%E6%9C%89%E9%99%90%E5%85%AC%E5%8F%B8.png" style="width: 594px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>台積IT從2019年開始推廣容器化技術，2021年擴大推動敏捷開發模式和雲原生架構。到了2022年的轉型重點是CI/CD具體實踐和實現DevOps一體化。這些IT現代化的轉型工程，都是為了實現快速交付價值，支援全球營運、提升工程師效率。</strong>圖片來源／台灣積體電路製造股份有限公司</span></p> <p><span style="font-size:28px;"><strong>CIO揭露2022年台積數位轉型6大方向</strong></span></p> <p>在台積第一次IT技術日活動中，林宏達揭露了台積新的數位轉型6大方向，要從自動化邁向智慧製造，善用科技讓維運更聰明，還要推動工作型態現代化、供應鏈數位化，引進現代化技術架構和雲原生設計。</p> <p>在智慧製造上，台積要瞄準全面智慧化的挑戰，包括了資料處理與智識萃取、Scaling (AI 服務平台化、產品化，來擴大應用規模和廣度) 和 AI 應用的全球維運與安全。</p> <p>其次在聰明維運上，則要結合雲原生平臺與現代數位科技，實現用軟體維運的新模式。台積也希望推動工作型態現代化，例如用MR強化遠端協作、提高終端用戶的自動化、強化便利和省時機制，來消滅重複性工作。林宏達補充：「不只IT或晶圓廠員工，甚至要讓所有員工都能用更現代化的工作方式，提高幸福感和生產力，這也是一件重要的事。」他想推動的數位轉型，不只是IT，更要擴及非IT的一般員工。</p> <p>在數位供應鏈上，則要用IoT提高資產追蹤力和連續性，用AI/ML強化場景模擬和規劃來支援業務決策，發展供應鏈先進大數據分析，強化供應商永續能力。</p> <p>最後兩項新方向，技術架構現代化和雲原生設計上，台積IT要打造容易取用的技術積木（開源技術、雲原生），打造現代化軟體架構來推動全球晶圓廠的運作。包括了靠成長心態驅動業務與IT價值，擁抱混合雲兼顧安全與效率，善用SRE/DevOps增進服務可靠性和使用體驗，善用IaC加速調度和擴充。</p> <p>台積數位轉型之旅，在林宏達上任後，全力聚焦三大轉型工程，包括從專案導向改為產品導向，擁抱雲原生和發展全球化能力，「為何這三件事對台積這麼重要？」IT技術日上有人問。</p> <p>林宏達的回答是，對跨國科技公司來說，全球化維運向來都不是他們擔心的事，台積將IT做到最好，也同樣不用煩惱全球化的問題。「產品導向模式、雲原生架構、全球化維運，對我來說，這三件事是基本功，做好這三件事才能真正幫助台積電。」</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>IT要有不一樣的心態，從受害者心態轉變為創新者</strong></span></span></p> <p><strong>台積電副總暨資訊長林宏達進入台積後，在他第一次開放會議時，就有人舉手抱怨，想要安裝測試新技術受到限制，抱怨開發環境不夠好。「這就是標準的受害者心態。」林宏達指出。</strong></p> <p><strong>他解釋，傳統IT常有一種受害者症狀，我想做什麼，但誰不讓我做，這就是一種受害者心態。「我期許IT要有不一樣的心態，不要當受害者，要成為創新者。」</strong></p> <p><strong>「資安考量雖然限制本地機器的安裝，但不是禁止你嘗試新技術。這件事其實可以解決，只要你改變心態。」後來，林宏達和IT團隊討論後打造出一個線上沙盒，可以提供雲端容器化環境，讓開發團隊安裝和測試新軟體，用完立即銷毀，不需落地安裝到本地端機器。</strong></p> <p><strong>他認為，遇到問題，會想到這是前人沒有做到的事，我是工程師，可以解決。這種不將限制視為是一種侷限的心態，是臉書這類跨國科技公司常見的文化，「工程師什麼問題都不是問題」的心態很強。「這2年，台積原本傳統的IT文化，也慢慢開始往這個方向轉變。」</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> </span></strong></span></span><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/154420" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span><a href="https://www.ithome.com.tw/article/154420" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1105-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=wex33vQD" style="width: 550px;" /></a></p> </div></div></div>
2022/11/25 14:16作者王宏仁https://www.ithome.com.tw/news/154416
台積IT全球布局的關鍵轉型：FAB RUNS ON CODE
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1105-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=wex33vQD" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「用軟體來跑晶圓廠。」這是台積用來形容IT重要性的一句話，要運用軟體協助全球晶圓廠的運作。如何實現這個願景，台積不只大舉導入現代化IT技術架構，全面擁抱DevOps和雲原生，還要推動組織、文化和工作型態的現代化變革</p> </div></div></div>
2022/11/25 14:17作者王宏仁https://www.ithome.com.tw/article/154420
台積全球資料中心維運高度自動化的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「每座晶圓廠背後都有一座大型資料中心，要管理全球數十座資料中心，超過數萬臺實體伺服器、數十萬臺VM，只靠傳統IT技術，沒有辦法有效維運。」台積電資訊建構暨通訊服務處副處長劉培欣特別強調。</p> <p>這位資料中心維運高手，曾在億級用戶瀏覽器新創中，打造出1人能管上萬臺伺服器的工具，今年初加入台積電後，看到晶圓廠24小時運轉背後需要的資料中心規模，大吃一驚。</p> <p>台積電面對的資料中心維運挑戰，不只是資料中心和硬體的數量，還需要高容錯和高可用設計，一般網路服務能接受2～3秒中斷，來切換到備援服務，但這個做法在台積電，卻是不及格的設計。因為台積電的問題規模，比常見網站服務，多了好幾個等級，原本平淡無奇的架構設計問題，到了台積電往往超乎想像，連劉培欣都備感挑戰。</p> <p>台積早在十多年前，就開始用擁抱虛擬化技術，來提高資料中心實體伺服器的維運效率，也以VM打造出IaaS，甚至是PaaS服務。可是，到了2019年時，台積開始看到VM的瓶頸，大量採取單體式架構的老舊應用，只靠不斷提高伺服器硬體規格來擴充的垂直擴充（Scale Up）做法，恐怕無法支援台積未來營運成長的需求。甚至，後來隨著台積持續全球擴張，IT技術不斷面臨的新挑戰是，如何能夠不斷快速延伸到全球。</p> <p><span style="font-size:28px;"><strong>從VM轉為擁抱K8s和容器，更大力發展IaC</strong></span></p> <p>早在2018年時，台積就開始在內部資料中心導入Kubernetes（簡稱K8s）來嘗試容器技術。到了2019年時，台積決定進一步開始推廣容器化技術，採用商用軟體來建置私有K8s環境，並開始將VM搬遷到K8s環境中。</p> <p>到了2020年，疫情大大衝擊了全世界，也讓台積加快數位轉型的腳步，一方面大舉招募IT人力儲備新戰力，另一方面也加速推動IT現代化。</p> <p>台積基礎架構團隊當年三大工作重點，一是要善用各種基礎架構新技術，來協助台積數位轉型，另外也開始要將資料中心透過軟體定義轉型成真正的私有雲，最後一項是要持續進行基礎架構的創新，例如導入新世代5G、IoT製造、AIOps技術等。台積也開始嘗試混合雲做法，將適合業務上雲，如雲端CRM和雲端HCM。</p> <p>2021年時，台積決定改用開源技術架構，打造自己的K8s平臺。台積電企業系統整合處部經理胡君怡表示，為何台積要用開源技術，自己建置K8s，好處是自己開發、自己維運，敏捷程度更好，IT的開發速度彈性要能追上我們企業流程的轉型需求。</p> <p>到了2021年底時，已經將多座晶圓廠的應用系統，搬遷到這個自建K8s環境中。2022年8月時，也上線了電子商務服務使用的自建K8s平臺。台積計畫在2022～2023年期間，將所有服務都搬遷到自建K8s上。</p> <p>2021年，台積開始招募SRE團隊，大力發展基礎架構程式碼化（Infrastructure as Code），要使用軟體方法，來管理台積全球資料中心，以及基礎架構的硬體設計、建設和維運。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961%E3%80%91%E5%B0%81%E9%9D%A2-%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%8F%B0%E7%81%A3%E7%A9%8D%E9%AB%94%E9%9B%BB%E8%B7%AF%E8%A3%BD%E9%80%A0%E8%82%A1%E4%BB%BD%E6%9C%89%E9%99%90%E5%85%AC%E5%8F%B8.png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">台積IT從2018年開始摸索現代化IT架構，2019年展開基礎架構轉型，到了2022年，台積資訊基礎架構逐漸完成了現代化架構的轉型，也大幅運用IaC來提高自動化維運能力。進一步，台積IT也成立了SRE（Site Reliability Engineering）團隊，來負責平臺服務的各項維運。台積分別在智慧製造團隊、數位商務團隊和基礎架構團隊中，各自設置了一組SRE團隊。</strong><span style="color: rgb(105, 105, 105);">圖片來源／台灣積體電路製造股份有限公司</span></p> <p><span style="font-size:28px;"><strong>台積基礎架構分四層，從MaaS、IaaS、PaaS到SaaS</strong></span></p> <p>從2018年開始模索，2019年展開基礎架構轉型，到了2022年，台積資訊基礎架構逐漸完成了現代化架構的轉型，也大幅運用IaC來提高自動化維運能力。</p> <p>劉培欣指出，維運要高度自動化的關鍵是，讓基礎架構可程式化，包括看得到的硬體伺服器、網路設備，到看不到的OS、上層服務，全部都要可程式化。</p> <p>台積技術架構可以分為四層，底層MaaS、IaaS透過資料中心自動化機制來強化，上層PaaS和SaaS則透過K8s搭配內部的Web Service，達到公有雲業者的靈活度和彈性。</p> <p>更進一步細分這個架構，可以分為8個子層。最底2個子層是實體網路層和儲存設備層，再上一層是Bare Metal Server層和OS層，這兩個子層通稱為Metal as a Service層，簡稱MaaS，可以做到靠軟體動態調度硬體資源的配置。</p> <p>再往上是中介軟體和K8s基礎架構子層，台積將這兩個子層視為IaaS層。在K8s基礎架構上有一層標準服務子層，這一層提供不同應用系統常用的基本共用服務，台積將標準服務與K8s平臺的部分功能合併成了PaaS層。</p> <p>在標準服務之上，台積還打造了一套Web Service，類似一套公有雲服務解決方案的做法，這就是台積技術架構中的SaaS層。台積利用K8s平臺服務，來管理PaaS和SaaS層，來實現維運高度自動化的IaC作法。</p> <p>「IaC對台積而言，不是選項，而是一定要做的事，維運自動化是一定要走的路，否則無法達到這麼龐大的規模。」劉培欣強調。</p> <p><span style="font-size:28px;"><strong>台積如何用開源技術自建K8s架構</strong></span></p> <p>在台積用開源技術自建的K8s架構中，包括了多個功能區塊，IaC區塊可以支援常見IaC語言工具如Ansible、Terraform、golang和python等，再透過一套CI/CD工具鏈，來貫穿K8s架構從底層到最上面的部署。台積在K8s架構底層網路上，採用了L3 BGP IP Fabric設計，而不是一般部署K8s平臺時常見的L2網路設計，採用L3網路架構是台積可以快速部署大量叢集的關鍵。例如台積可以做到，開發團隊只要透過一個宣告式YAML檔案，就可以快速取得所需要的負載平衡IP，完全不用填單申請，也就不需要等待核准。</p> <p>在網路區塊之上是OS區塊，每一臺x86伺服器只要接上網路，透過網路開機就能開始自動安裝，來實現MaaS。完成OS自動安裝後，接著安裝軟體FRR套件，讓伺服器具備路由器功能，再自動安裝ceph來提供軟體定義儲存功能。有了SAN和路由功能，就可以部署K8s調度平臺軟體，上面又會統一安裝CRI、CNI、CSI指定元件，來統一K8s的runtime、網路和儲存介面。而在最上層，再安裝服務網格套件Istio和服務探索工具CoreDNS。另外還有搭配一套機密和身份驗證系統，以及一套可觀察性和治理系統。</p> <p>但是，一家企業不是第一天成立就擁有十幾座資料中心，而是數年，甚至十多年持續發展IT的結果，這往往也讓企業內部基礎架構所用的IT技術，包括硬體、軟體和所用軟體產品，跨越了好幾個世代。這些系統各自有各自的修補、升級，都會影響維運自動化的程度，甚至成為包袱。</p> <p>台積決定用系統性思維來解決應用系統橫跨多世代技術的問題，在現代化開發模式DevOps的CI/CD流程中，找到了可以強化維運自動化的關鍵。</p> <p>劉培欣透露關鍵秘訣是：「台積CI/CD獨到之處，是在CD循環外層套上一個輔助系統作為加速線圈，來加速CD的運轉。」</p> <p>簡單來說，台積在CI/CD執行過程搜集大量Log，建立可觀察性機制，蒐集到更多維運知識或維運洞察，找出可重複的模式，寫成程式碼或轉換成政策，再部署到CD輔助系統，來加速維運。「這個CD輔助系統，不只可以加速CD流程，甚至可以將成果套用到CI流程，融入基礎架構中。」劉培欣補充。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962%E3%80%91%E5%B0%81%E9%9D%A2-%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%8F%B0%E7%81%A3%E7%A9%8D%E9%AB%94%E9%9B%BB%E8%B7%AF%E8%A3%BD%E9%80%A0%E8%82%A1%E4%BB%BD%E6%9C%89%E9%99%90%E5%85%AC%E5%8F%B8.png" style="width: 528px;" /></p> <p><strong style="color: rgb(105, 105, 105);">台積電資訊建構暨通訊服務處副處長劉培欣特別強調，IaC對台積而言，不是選項，而是一定要做的事，維運自動化是一定要走的路，否則無法達到這麼龐大的規模。</strong><span style="color: rgb(105, 105, 105);">圖片來源／台灣積體電路製造股份有限公司</span></p> <p><span style="font-size:28px;"><strong>台積加速CD循環的5大步驟</strong></span></p> <p>如何實現這樣一套的CD加速線圈，台積分5個步驟來實現。第一個步驟是先將資料中心基礎架構的部署，變成是可延伸的部署方式（Extensible deployment）</p> <p>利用資料中心DCIM監看每一個單點的狀態，建立了一套DC Librarian系統來集中每個單點的運作資訊，再提供給MaaS系統（包括部署在各地資料中心的本地端MaaS），來調度伺服器和網路設備，再搭配了一套Logical Cluster Builder系統，負責管理硬體設備調度之間的相依性。</p> <p>可以指定調度範圍，從整個機櫃，到整座資料中心都能調度，甚至可以指定跨資料中心的範圍，來調度沒有實體相連的伺服器資源。</p> <p>透過這三個機制，就可以實現部署可延伸性，可以大幅提高資料中心的建置效率，不需太多人力，就能夠快速啟用遠在海外的資料中心，用來支援海外擴點所需。</p> <p>下一步，就是將維運資料標準化，來強化可觀察性。透過在伺服器端的代理程式或裝置資料搜集機制，持續搜集各種資料中心的維運Log，進行資料標準化。因為台積的資料中心很多，蒐集來的Log數據非常龐大，無法儲存所有的原始資料，因此也會進行資料萃取後，保留有價值的後設資料以利進一步的處理。</p> <p>台積電也會在各地資料中心，設置本地端NOC機制，善加利用所蒐集到的這些Log數據，來監看當地資料中心的運作情況。</p> <p>龐大Log數據經過萃取後，就可以進行高階分析，這就是第三個步驟，建立可以統一進行事件偵測、調度和解讀的集中式機制，包括了Event Center和Global Analyzer兩個機制。Event Center可以分析Log萃取出來的後設資料，找出模式，來分析這些模式所代表的高階意義。</p> <p>Global Analyzer不只可以對單一地區資料中心的Log後設資料進行高階分析，還可以跨多地區資料中心來分析。</p> <p>透過高階分析可以找出原本不知道的維運洞察後，就進入第四個步驟，建立一套槓桿系統來提高維運自動化程度。將新發現的分析結果，轉換成新的管理政策，提供到Global NOC來執行，從Global NOC的高度，統一來管理所有地區資料中心的運作。</p> <p>但，做到資料中心全球統一管理不是終點，而是新的起點，台積電的維運自動化還有第五步驟，要進一步將重複性維運任務轉換成程式碼，來實現快速復原和自動修復。</p> <p>每次只要導入新的解決方案，或是新建資料中心等，就會增加新的事件，也會不斷找到新的資料中心維運模式，都能持續用來提高維運的自動化。</p> <p>劉培欣解釋：「在CD循環中套上加速線圈，永遠可以找到新的模式來修正問題，將重複的工作自動化。」</p> <p>台積導入到這雲原生技術的K8s架構時，為了加快容器化的普及，先提供了一個圖形化介面，讓開發者將原有VM架構，轉換成容器映像檔來部署，也能自動產生YAML來進行部署。</p> <p>後來，越來越多服務轉移到K8s，也開發了不少微服務，只靠GUI介面設定無法滿足DevOps開發的各種彈性需求，後來進一步導入了GitOps作法，將YAML檔的撰寫比較程式碼開發的流程，不只大幅提高了發布速度，也提高了K8s部署資訊的透明度。</p> <p>台積完成這套自建K8s平臺之後，再結合GitOps做法，現在已經可以做到，DevOps工程師只要透過git，送出一隻YAML檔後，約十多分鐘就能完成部署，開通服務。</p> <p><span style="font-size:28px;"><strong>擁抱GitOps提高效率，更要發展內部Web Service平臺</strong></span></p> <p>甚至，台積進一步打造出了一套內部Web Service平臺，讓DevOps可以更彈性取得需要的基礎架構資源和常用基礎服務。台積首度揭露了這套Web Service平臺的三階段發展過程。</p> <p>首先，台積先選出內部開發常用的一批標準服務，提供了一套自助式的標準服務目錄，可以提供一套常用服務的部署檔案，讓DevOps工程師可以套用到自己的CI/CD流程，快速部署到想要的K8s環境上。</p> <p>接著，台積IT將這些標準服務，發展成一套管理式的多租戶服務平臺，提供一個網頁介面，方便開發者註冊所用的服務，也能管理所用服務的異動。</p> <p>第三階段是打造出一套Web Service平臺，不只可以提供更多元化的服務項目，也開始提供可觀察性的元件，採取外掛擴充的方式，來提供像是效能監控，帳單與報表功能，警告通報自動化、Log和事件機制等，開發團隊的使用者，甚至可以自訂通知，事件觸發後自動串連到指定自動化流程來展開後續作業。</p> <p>台積透過這些徹底擁抱IaC的作法，劉培欣指出，我們的目標是，資料中心自動化效能能達到搜尋龍頭的等級，而PaaS和IaaS層的自有Web Service服務能夠達到如雲端龍頭的彈性。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154420" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><a href="https://www.ithome.com.tw/article/154420" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1105-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=wex33vQD" style="width: 550px;" /></a></p> </div></div></div>
2022/11/25 14:17作者王宏仁https://www.ithome.com.tw/news/154418
台積AI的新挑戰，從擴大應用到AI全球維運都要靠現代化IT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「從300mm的晶圓片上，找出約6奈米的瑕疵，就像是從臺灣南到北394公里長的距離中，找出一隻螞蟻，這就是我們要處理的問題，而且還要在相當短的時間內找出來。」台積電智慧應用整合處副處長沈文冰，一句話點出晶圓廠的超級挑戰。</p> <p>這正是台積智慧製造為何必須高度自動化的原因，就像台積經常處理的瑕疵檢測問題，不只是人眼看不到，甚至有時只是幾顆原子之間的差異而已，得透過非常精密的設備才能量測。</p> <p>2011年，AI技術開始進入晶圓製造，這是台積智能化元年，2013年更開始大力發展機器學習平臺，在台積待了十多年的沈文冰，在2015年時加入了台積大數據分析團隊，專心投入AI，也一路見證了台積從大數據，智慧製造到全面智慧化的發展歷程。</p> <p>在台積，大數據和AI處理的資料量級都是海量資料，光在2021年生產了破千萬片的12寸晶圓，都靠全自動產線生產。每個廠區多達數千臺設備，天天都會產生龐大資料量。不只量大、類型多元，資料成長速度也飛快，從晶圓製造開始導入AI的那一年，也就是2011年為基數，至今資料量成長超過數百倍，而且持續暴增中。為了監測生產過程的狀態，生產設備設置大量感測器，每秒資料量相當驚人，為了分析龐大串流數據，台積在邊緣運算部署了很多AI應用。像晶圓片瑕疵檢測問題，會先用光學高速掃描百萬張影像，找出上千個懷疑可能出問題的區域，再用高倍電子顯微鏡放大來比對，整個過程還要在很短時間內完成，得靠AI協助才做得到。</p> <p>精密製造中有很多要解決未知的挑戰，需要借重可學習的AI，不斷用資料訓練模型來改善。例如瑕疵影像辨識課題的新挑戰是，要找出過去沒看過，但可能會發生問題的瑕疵。</p> <p><span style="font-size:28px;"><strong>不只生產過程，AI在製造前也能扮演關鍵</strong></span></p> <p>AI對台積的價值不只是在製造過程的輔助，甚至是在製造之前就能扮演重要角色。</p> <p>沈文冰指出，晶片生產周期長達3到6個月，不能等到生產過程中發現問題，再回頭修正，要在設計資料進來之初，快速檢驗，找出可能出錯的地方，事先調整。可是，「很多晶片設計都是全新、沒有看過的設計，如何判斷與調整，得靠能不斷創造、學習的AI。」</p> <p>甚至，不只是在設計資料提供之初，就想辦法找出日後可能發生問題的設計，台積電進一步還想要解決的挑戰是，能不能用運用AI事前分析設計資料，從生產角度告訴晶片設計者，有哪些可以避開的晶片不良設計，來讓晶片效能更好，這不只對台積有幫助，也能有利於晶片設計者的雙贏作法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%96%E3%80%91%E6%B2%88%E6%96%87%E5%86%B0-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%8F%B0%E7%81%A3%E7%A9%8D%E9%AB%94%E9%9B%BB%E8%B7%AF%E8%A3%BD%E9%80%A0%E8%82%A1%E4%BB%BD%E6%9C%89%E9%99%90%E5%85%AC%E5%8F%B8.png" style="width: 472px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>台積電智慧應用整合處副處長沈文冰表示：「台積將AI框架維運化，維運AI從開發環境開始，在開發的前段就要引導使用者，將後續維運所需要的模組一起建置完成。」</strong>圖片來源／台灣積體電路製造股份有限公司</span></p> <p><span style="font-size:28px;"><strong>台積AI的3大類挑戰</strong></span></p> <p>綜觀幾年台積AI的發展，沈文冰表示，台積全面智慧化的挑戰，包括了資料處理與智識萃取、Scaling (AI 服務平臺化、產品化，來擴大應用規模和廣度) 和 AI 應用的全球維運與安全。</p> <p>資料是AI永遠的課題，但是對台積電而言，真正的挑戰不是大數據，而是小資料（Small Data），甚至是沒有資料的課題。以瑕疵檢測來說，台積電良率非常高，雖然可以從產線設備可以蒐集到海量資料，但是絕大部分的資料都是正常運作的資料，也就是對AI訓練來說的好資料，但訓練模型需要找出造成瑕疵問題的不良資料，比例少於萬分之幾。要如何找出可用的資料，也是台積AI的重要課題之一。</p> <p>小資料課題還有另一種場景，因為台積電的資料產生速度非常快，甚至最後能保留的資料受限於儲存空間的大小。等到要進行分析時，常常會發現，產線可以產生需要的資料，但因為儲存空間不足，這些資料沒有儲存下來。如何解決這樣的問題，就得思考如何對原始資料進行資料處理和智識萃取，這也是台積AI現在的重要課題，目前台積電也採用了一些做法，例如資料壓縮，資料事前過濾、特徵抽取、建立特徵資料庫等手法來因應。</p> <p>第二大類挑戰是擴張（Scaling）課題，也就是如何解決AI應用廣度和規模越來越大的挑戰。台積不斷擴張，不只廠區或設備的擴張，AI應用規模和範圍也不斷擴大，越來越多來自使用者的分析需求，怎麼解決？</p> <p>台積的做法是將AI服務平臺化和產品化，來降低終端用戶的AI使用門檻，讓特定使用情境的AI需求，可以由用戶自助式進行。例如建立一套工作流程，讓不是那麼熟諳AI技術的使用者，也能透過互動式的引導，從資料抓取，到機器學習模型的訓練步驟，一步一步完成，來達成他的分析需求。甚至，台積也開始利用生成式模型，來幫助使用者創造出自己需要的模型，類似像是用AI來產生AI的概念。這些都是台積為了擴大AI應用規模的對策。</p> <p>除了資料和擴張問題之外，還有一類更務實的AI挑戰，就是AI應用的全球維運和安全課題，也就是Operational AI的挑戰。很多AI模型在實驗室環境中可以正常運作，但部署到正式上線的環境後，卻出現了不少問題，知名國際調查機構曾經做過統計，高達8成的AI專案，無法達成原本設定的業務目標。</p> <p>從整體角度來看，「做出ML模型，只是ML維運藍圖中的小部分，資料問題，模型飄移，安全問題都是Operational AI要處理的課題。」沈文冰強調。從整套ML維運藍圖來看，資料科學家訓練出模型，只是完成了其中的關鍵核心，但是，這些模型進入正式上線環境後，資料如何持續搜集，如何驗證資料，確保資料品質，如何持續進行特徵抽取，後續如何持續重新訓練，如何發布和部署成AI服務，如何監控服務運作的狀態，遇到模型飄移時，如何不靠資料科學家也能處理等等，這些都是實際ML維運時都要處理的範圍。</p> <p>所以，沈文冰表示：「台積將AI框架維運化，維運AI從開發環境開始，在開發的前段就要引導使用者，將後續維運所需要的模組一起建置完成。」</p> <p>台積運用開源技術，自行打了一套內部AI開發平臺，提供很多隨插即用的套件，可以彈性地將演算法嵌入到這個平臺中，要求最後輸出的產品要以Docker容器相容方式來封裝。這個平臺也將台積自己開發的元件服務化，變成內部資料科學家可用的AI共用服務。</p> <p>機器學習模型用Docker容器封裝還帶來另一個好處，台積可以集中在臺灣訓練模型後，再發布到全球各地的資料中心內部環境中部署。</p> <p>「AI是需要保護的資產，所以台積選擇自己建置需要的平臺，在自己內部的環境中執行。」沈文冰強調。</p> <p>訓練AI模型時，也是一種程式碼撰寫過程，所以，台積AI開發流程，也比照軟體開發流程，引進了現代化IT的CI/CD流程，甚至多了一個階段稱為持續訓練（Continious Training，簡稱CT），在這個CI/CD/CT流程中，每一段都會加上傳統軟體開發的資安，再加上AI模型的安全考量。例如除了程式碼弱點掃描，也會掃描AI模型弱點，</p> <p>台積還會研究各種模型攻擊手法和攻擊場景來預先防範，像是要避免AI模型的機密遭竊，或是防範模型遭攻擊而偏移了原有設計目的等進階AI議題。</p> <p>從小資料，擴張需求到AI維運的挑戰，台積這幾年現代化IT成果，讓台積AI能夠更上一層樓，挑戰更困難的課題，這正是台積IT轉型的重要影響。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154420" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><a href="https://www.ithome.com.tw/article/154420" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1105-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=wex33vQD" style="width: 550px;" /></a></p> </div></div></div>
2022/11/25 14:17作者王宏仁https://www.ithome.com.tw/news/154419
台積電數位轉型大事記 2018～2022
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2018、2019年轉型前基礎工程，開始引進容器技術，嘗試敏捷和DevOps模式。2020年正式啟動數位轉型，不只大力推動IT現代化，也展開IT大徵才，聚焦五大轉型方向。2021年，台積數位轉型進入全新的階段，找來矽谷大將擔任CIO，不只大幅改組IT組織，並從專案模式開始轉為產品模式，更全面擁抱DevOps和雲原生。台積也自建K8s平臺，從私有雲架構邁向混合雲。2022年，台積進一步聚焦六大數位轉型新方向，不只是製造和IT技術的轉型，更要實現組織、文化和工作型態的現代化變革。</strong></p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>2018~2019年轉型準備期：推廣容器技術和DevOps</strong></span></span></p> <p><strong>● 2018年：導入超過十年的虛擬化技術架構開始出現瓶頸，單體式應用系統，靠不斷提高硬體規格也難以支援台積的需求。台積在內部資料中心開始嘗試K8s和容器化技術。</strong></p> <p><strong>● 2019年：開始推廣<span style="color:#0000FF;">容器化技術</span>，以商用軟體產品建置<span style="color:#0000FF;">K8s私有雲</span>，開始將VM搬遷到K8s環境。軟體開發策略著重<span style="color:#0000FF;">雲端應用及手機App開發</span>，軟體開發流程則從瀑布開發模式，開始嘗試<span style="color:#0000FF;">DevOps</span>和<span style="color:#0000FF;">Agile</span>開發模式，並開始進行IT文化的改變。</strong></p> <p><strong><span style="color:#B22222;"><span style="font-size:20px;">2020年轉型重點：加速IT現代化和IT大徵才</span></span></strong></p> <p><strong>● 2020年：因疫情加速數位轉型腳步，開始發展<span style="color:#0000FF;">AR/MR跨廠遠端協同合作、強化廠際技術移轉能力，推動數位工廠（Digitized Fab）的製造流程改造計畫，</span>以及<span style="color:#0000FF;">打造遠距辦公系統</span>等。</strong></p> <p><strong>● 2020年5月，台積宣布將在美國亞利桑那州設立先進晶圓廠，將於2021年動工，於2024年開始量產。海外擴廠計畫，讓台積加速發展全球化營運能力。</strong></p> <p><strong>● 2020年中，展開<span style="color:#0000FF;">5G企業內網</span>規畫與部建。</strong></p> <p><strong>● 2020年12月，<span style="color:#0000FF;">台積電IT首次線上大規模徵才</span>，招募海內外IT業界人才，主要招募3大類人才：雲端平臺架構師、基礎建設架構師與工程師和資安維運工程師。</strong></p> <p><strong>● 2020年底成果：3大重心、4大AI應用和5大發展方向。</strong></p> <p><strong><span style="color:#0000FF;">【TSMC內部雲端軟體開發平臺】</span>，整合DevOps流程和工具，支援上千名工程師開發。多數應用程式已轉移到Kubernetes環境，也採用微服務架構來設計軟體系統。</strong></p> <p><strong><span style="color:#0000FF;">【2020台積IT基礎架構團隊三大工作重心】</span>：運用各種基礎架構新技術（行動應用、導入協同合作和線上會議服務、雲端服務整合利用）協助企業數位轉型，資料中心透過軟體定義（虛擬化、容器化、基礎架構程式化）轉型成真正的私有雲、基礎架構持續創新（導入新世代5G、IoT製造、AIOps技術）。</strong></p> <p><strong><span style="color:#0000FF;">【2020台積AI和ML四大應用布局】</span>：製程研發面：用AI協助理解高複雜高維度的製程開發挑戰。Fab量產面：用AI和ML分析感測資料和檢測影像，來進行品質檢驗、缺陷檢查，協助快速產生高品質的晶圓。業務面：市場動態分析大量使用AI，也用來分析顧客行為模式。IT維運：利用AI協助IT內部複雜系統的維運，異常偵測等。下一代智慧工廠發展策略，要結合行動應用、MR、IoT、大數據和AI來發展下一代AI工廠。</strong></p> <p><strong>● 2020年底，揭露<span style="color:#0000FF;">【台積數位轉型五大方向】</span>：用AI、大數據及尖端數位科技來打造<span style="color:#0000FF;">智慧製造（</span>如智能調機及機臺邊緣運算）、<span style="color:#0000FF;">數位供應鏈管理</span>、<span style="color:#0000FF;">高效能混合雲端運算及服務</span>（將適合業務上雲，如雲端CRM和雲端HCM）、<span style="color:#0000FF;">工作場所現代化</span>（如內部行動App、RPA、智能會議室等）、<span style="color:#0000FF;">團隊協作</span>（如AR/MR遠端協作、使用者為中心的團隊協作合作平臺）。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>2021年轉型重點：組織重組和流程變革，全面擁抱DevOps和雲原生</strong></span></span></p> <p><span style="color:#696969;"><strong>主要作法：擴大推動敏捷開發模式，CI/CD工具鏈雲端化、私有雲走向混合雲架構，開始推動雲原生，逐步減少技術債。</strong></span></p> <p><strong>● 2021年2月，找來曾任臉書企業平臺架構處長、Mozilla資訊技術副總的林宏達博士，擔任台積電資訊長。負責範圍涵蓋台積公司資訊技術相關業務，包括智能製造服務、高效能運算、數位化供應鏈、電子商務、團隊協同合作、現代化辦公室及資訊技術基礎架構等。</strong></p> <p><strong>● 2021年5月，<span style="color:#0000FF;">台積IT組織重組</span>。台積IT目前規模超過數千人，分為四大處，人數最多的是<span style="color:#0000FF;">技術系統整合處</span>（Technology System Integration Division，簡稱TSID），負責智慧製造相關的系統，和工程技術的系統整合工作，主要任務是打造智慧製造工廠，機臺自動化生產力和12吋廠自動化。</strong></p> <p><strong>第二大部門是負責基礎架構的<span style="color:#0000FF;">資訊建構暨通訊服務處</span>（Infrastructure & Communication Services Division，簡稱ICSD），主要任務是負責IT基礎建設和管理，雲端運算服務和網路資訊安全。只要設立新的廠區，ICSD就需要支援新設立的資料中心。</strong></p> <p><strong>第三個部門是負責AI相關的<span style="color:#0000FF;">智慧應用整合處</span>（AI Application Integration Division，簡稱AAID），主要任務包括了人工智慧應用、設計研發平臺、工程資料分析和8吋廠自動化。另外還要負責一些分析任務和8吋廠自動化工作。</strong></p> <p><strong>最後一個處是<span style="color:#0000FF;">企業系統整合處</span>（Business System Integration Division，簡稱BSID），主要任務包括了電子商務系統、企業資源規劃（ERP）、供應鏈管理（SCM）、人力資源管理HCM等系統。</strong></p> <p><strong>● 2021年中，<span style="color:#0000FF;">IT開發邁向Product模式</span>：過去是開發和維運分開，每設立新廠，就設立資料中心和新維運團隊。現在改為Product模式，按照IT軟體產品來規劃，而不是依照工廠建廠來規劃。隨著相關自動化工具越來越完整後，要將DevOps落實到台積IT各項流程。</strong></p> <p><strong>甚至連台積AI開發流程也比照軟體開發流程，導入CI/CD，再加上CT（Continuous Training），直接在開發流程中套用各項程式碼安全機制，包括程式碼弱點檢查，再加上機器學習相關的模型弱點檢查等。</strong></p> <p><strong>● 2021年10月，再次大規模招募五大類IT人才，<span style="color:#0000FF;">首度開始招募SRE工程師和DevOps工程師</span>，另外還有軟體工程師、AI/ML工程師和資訊基礎架構工程師，其中以軟體工程師和DevOps工程師招募需求最大。2021年更開始舉辦3個月的新手訓練營，先用2個月集中訓練，學習各項台積IT所需的Cloud Native技術和DevOps工具鏈，再回到原單位進行一個月的就職訓練。</strong></p> <p><strong>● 2021年，開始招募SRE團隊，大力發展<span style="color:#0000FF;">基礎架構程式碼化（Infrastructure as Code）</span>，使用軟體的方法管理TSMC全球資料中心、基礎架構硬體設計、建設和維運。<span style="color:#0000FF;">智慧製造部門SRE平臺先上線。</span></strong></p> <p><strong>● 2021年底成果：</strong></p> <p><strong>用開源技術打造【<span style="color:#0000FF;">台積自己的Kubernetes平臺</span>】，稱為自建K8s。2021年底時，已將多座晶圓廠的應用系統，搬遷到自建的K8s環境中。計畫2022～2023年期間，將所有服務都搬遷到自建K8s上。</strong></p> <p><strong>數位商務軟體產品，也從【<span style="color:#0000FF;">私有雲架構邁向混合雲架構</span>】，並將CI/CD工具鏈雲端化來支援數千人同時開發的需求。</strong></p> <p><strong>在雲原生架構和微服務實際上線後，成立跨部門小組（Squad Team）讓不同工程團隊的工程師以<span style="color:#0000FF;">虛擬團隊</span>方式，交流共用平臺服務或新元件的經驗。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>2022年轉型重點：CI/CD具體實踐，DevOps一體化</strong></span></span></p> <p><span style="color:#696969;"><strong>主要作法：改為產品導向的開發模式，自建商務平臺的開源版K8s、平臺工程（成立Platform SRE和Platform Ops），從DevOps（CI/CD）到DevSecOps，重視UI和全球化IT開發合作</strong></span></p> <p><strong>● 2022年初：四大部門再次組織調整，以產品來規劃出不同的開發團隊，數位商務產品組織旗下分為CRM、PLM、SCM、</strong><strong>FML(ERP)和HCM等工程團隊，每個產品團隊，包括了前端工程師、後端工程師和DBA。並成立產品管理部門，負責產品管理、專案管理、使用者體驗、預算控管等，在每個工程團隊都配置了產品經理。另外還設立了平臺團隊，負責基礎服務和設施，提供數位商務需要的共用服務，例如資安、商務應用平臺、資料平臺解決方案、共用服務等中臺服務。</strong></p> <p><strong>2022年初2大目標：</strong></p> <p><strong>● 台積IT<span style="color:#0000FF;">主要軟體產品都改為【產品開發模式】</span>，也用DevOps來管理。包括MES、機台自動化、機台控制、品質管理、設備系統、製程良率分析、CRM、ERP、電子商務、生產資料主資料庫、供應鏈管理SCM系統和人資管理HCM系統。</strong></p> <p><strong>● 從Scale up（垂直擴充）邁向Scale out（水平擴充）：台積IT已運用開源技術打造了台積私有的K8s環境（自建K8s而非商用K8s），逐漸將各項容器化應用，轉移到這個自建K8s環境上。未來台積所有服務都會轉移到K8s上，更要大力發展全球資料中心維運能力，目標是要強化應用程式可靠性和快速回復能力，以公雲全球資料中心營運方式，作為學習的標竿。</strong></p> <p><strong>● 2022年8月，電子商務系統底層K8s平臺正式上線，數位商務部門SRE平臺正式上線。與客戶相關的TSMC.com跟TSMC Online已經搬遷上公雲，HCM服務也上公雲，計畫將更多需要對外的服務搬上公雲，例如SCM入口網站。採用公雲架構後帶來不少明顯效益，如一份多達數百GB的製造設計文件下載時間，從數十小時，縮短到3小時。</strong></p> <p><strong>不過，不需對外提供服務的AP，仍然部署在私有雲以確保安全，例如部分商用軟體與智慧製造系統。</strong></p> <p><strong>● 2022年10月29日：首次舉辦TSMC IT技術日，吸引超過1,500人報名，台積電資訊長林宏達率領智慧製造、企業系統、資訊架構等領域的技術主管，從AI、資料中心維運自動化、台積敏捷導入過程和雲原生導入經驗來介紹過去2年來的轉型成果。</strong></p> <p><strong>● 首度揭露打造內部<span style="color:#0000FF;"> Web Service</span>三階段發展過程：</strong></p> <p><strong><span style="color:#0000FF;">階段1，標準服務目錄。</span>提供自助式的部署和維運元件（包括IaC元件），開發團隊可透過CI/CD部署標準服務。</strong></p> <p><strong><span style="color:#0000FF;">階段2，多租戶服務平臺。</span>提供方便管理的標準服務，可用網頁介面註冊所用服務和異動管理。</strong></p> <p><strong><span style="color:#0000FF;">階段3，Web Service平臺。</span>服務更多元化，也增加可觀察性能力。可以外掛方式提供效能監測、帳務與報表功能、警告通報自動化、Log和事件機制等。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>台積數位轉型六大新方向</strong></span></span></p> <p><strong>● 2022年10月，揭露<span style="color:#0000FF;">【台積數位轉型六大新方向】</span>，並發表<span style="color:#0000FF;">【新版IT產品藍圖】</span>包括數位工廠和數位商務）。</strong></p> <p><strong><span style="color:#0000FF;">1. 智慧製造</span>：瞄準全面智慧化的挑戰，包括了<span style="color:#0000FF;">資料處理</span>和<span style="color:#0000FF;">智識萃取</span>、<span style="color:#0000FF;">Scaling</span>（AI服務平臺化、產品化，來擴大AI應用規模和廣度）和<span style="color:#0000FF;">AI應用的全球維運與安全</span>。</strong></p> <p><strong><span style="color:#0000FF;">2. 聰明維運</span>：結合雲原生平臺與現代數位科技，實現用軟體維運的新模式。</strong></p> <p><strong><span style="color:#0000FF;">3. 工作型態現代化</span>：用MR強化遠端協作、提高終端用戶的自動化、強化便利和省時機制，來消滅重複性工作。</strong></p> <p><strong><span style="color:#0000FF;">4. 數位供應鏈</span>：用IoT提高資產追蹤力和連續性，用AI/ML強化場景模擬和規劃來支援業務決策，發展供應鏈先進大數據分析，強化供應商永續能力。</strong></p> <p><strong><span style="color:#0000FF;">5. 技術架構現代化</span>和<span style="color:#0000FF;"> 6. 雲原生設計</span>：打造容易取用的技術積木（開源技術、雲原生），打造世界級軟體架構來實現世界級晶圓廠運作。包括了靠成長心態驅動業務與IT價值，擁抱混合雲兼顧安全與效率，善用SRE/DevOps增進服務可靠性和使用體驗，善用IaC加速調度和擴充。</strong></p> <p><span style="color:#696969;">圖片來源／台灣積體電路製造股份有限公司<br /> 資料來源：台積電官網和台積電IT Day活動、iThome整理，2022年11月</span></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154420" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><a href="https://www.ithome.com.tw/article/154420" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1105-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=wex33vQD" style="width: 550px;" /></a></p> </div></div></div>
2022/11/25 14:18作者王宏仁https://www.ithome.com.tw/news/154405
疫苗護照啟發電子病歷新應用，衛福部要將出院病摘加入蘋果健康App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年3月，衛福部開始研究國際疫苗護照規格，6月開始規畫開發，12月成功加入歐盟版數位證明成員國，也直接開放民眾申請、下載數位證明，兩大手機作業系統商蘋果和Google更主動將臺灣數位證明納入錢包。</p> <p>衛福部資訊處處長龐一鳴是這一路來的核心推手。他在2022年臺灣醫院資訊主管會議上不只揭露衛福部用公雲處理國家級專案經驗，更透露衛福部正思考更多個人健康紀錄（PHR）應用，下一步要將出院病摘納入蘋果健康App。</p> <p><strong><span style="font-size:24px;">打造國際通用的疫苗護照第一步：先從組織和架構下手</span></strong></p> <p>「疫苗接種證明，最重要的是要能被承認，」龐一鳴說。這是去年，衛福部打造臺灣疫苗護照（即疫苗通行證或稱數位證明）的關鍵思維；為打造出有效、能與他國互通的疫苗護照，衛福部鎖定大型國際組織，先從會員國數量多的組織及架構規範開始研究。</p> <p>他們第一個研究的是世界衛生組織（WHO）。去年3月，WHO釋出疫苗接種指引草案（SVC），並公開徵求意見。這款疫苗接種證明有2種主要使用情境，一是預防接種證明，另一是方便提供連續性照護；而且，SVC的核心數據集架構，採國際醫療資料交換標準HL7 FHIR，與衛福部近年力推的政策方向相符。</p> <p>這2、3年，衛福部推廣FHIR，要將電子病歷交換中心（EEC）改為FHIR架構，帶動醫院將現行的資料交換標準CDA R2改為FHIR。他們希望藉由這個統一的標準，來簡化醫院與政府單位的資料互通作業、降低醫院IT維護不同API的困擾。衛福部認為，以FHIR為基礎，也能打造更接軌國際的醫療生態系。龐一鳴點出，採用WHO的SVC，對臺灣來說會是個很不錯的FHIR練兵經驗。</p> <p>不過，衛福部當時發現一個問題，也就是SVC的認證金鑰需由WHO發送，但臺灣並非WHO成員國，因此難以取得金鑰。好在當年6月，WHO修訂SVC架構、更改信任機制，將金鑰取得的方式，改為由成員國與其他區域自行溝通，透過雙邊或多邊協議來取得。在技術框架上，則維持採用FHIR，成員國也得遵照WHO發布的FHIR實作指引（IG）。</p> <p>雖然信任機制更改了，但對臺灣來說，仍有國際外交問題待處理。</p> <p><span style="font-size:24px;"><strong>看好歐盟標準，也以國際民間組織架構為輔</strong></span></p> <p>因此，衛福部轉而研究歐盟的數位疫苗接種證明規範與架構。2021年3月，歐盟發布數位綠色證明（後改名為歐盟數位COVID證明，EU-DCC）標準規範，列出3大使用情境，包括疫苗接種證明、檢測結果證明（如NAAT/RT-PCR或抗原快篩），以及COVID-19康復證明（也就是染疫證明）。這個證明可以紙本和數位方式發送，包含QR Code來分辨真偽。</p> <p>在資訊揭露上，這個數位證明嚴守歐盟個資法GDPR規範，所包含的資訊只限於個人基本資料，如姓名、生日、發行日期、疫苗/檢驗/康復相關資料，以及一組單一識別碼。龐一鳴特別強調，歐盟規範的數位證明，只提供最新一劑接種疫苗的資訊，遵守GDPR最小揭露原則。</p> <p>不過，在技術架構上，EU-DCC並未採用FHIR。這是因為，若採用FHIR，QR Code打包後容量過大，因此得改用JSON最小資料集來實作。</p> <p>雖然如此，歐盟版的疫苗數位證明還有個強大優勢---它是世上最多國家採用的證明。因為，EU-DCC不只在歐盟會員國間有效，還開放第三國申請。截至2022年10月27日，全球已有49個非會員國加入採用，全球共計76國使用EU-DCC。</p> <p>與此同時，衛福部也研究了另一個國際組織標準，作為另一個選擇。這個組織以美國為主的國際民間組織「疫苗接種證明計畫」（VCI）發起，要以健康卡（SHC）來呈現疫苗接種證明和檢測結果證明（NAAT/RT-PCR）兩種資訊。</p> <p>這個SHC一樣有紙本與數位2種證明方式，另也包含QR Code來供辨別真偽用。</p> <p>不過，有別於歐盟標準只顯示最新一劑資訊，SHC的疫苗顯示資訊包含各劑次疫苗資訊，「較符合各國邊境查驗需求。」龐一鳴點出，SHC還採用FHIR格式，通用成員包括美國24州、加拿大、日本、澳洲雪梨等地，也是臺灣民眾常旅行之處。</p> <p><span style="font-size:24px;"><strong>分析規範架構，以好維運的網頁形式開發</strong></span></p> <p>衛福部研究的國際組織數位證明不只這些，另外還有國際民航組織（ICAO）發起的數位證明。為找出最適合臺灣情境的數位證明，衛福部找來國際調研機構Gartner，從格式標準、憑證、資料內容、驗證方式和適用情境與內容等6大要素，來評估最值得開發應用的。</p> <p>首先，他們比較了可行性最高的歐盟數位證明和SHC規格。就歐盟DCC來說，因其只顯示最新一劑資訊，且查驗程式可離線執行，符合GDPR的最小揭露、可被遺忘、資料可攜等原則，而且，發行國可自訂最小資料集規範。憑證部分則有4種規格，得定期更新。</p> <p>但就SHC來說，呈現資訊較多，包括每劑疫苗資訊，發行者也可決定是否新增其他訊息，如護照號碼、疫苗批號等。就技術格式來說，SHC採HL7 FHIR，憑證則是1張，發行者要自訂規格、上傳到VCI官方的GitHub上來管理。也因此，SHC查驗程式要連線才能執行，等於沒網路就不能驗證。</p> <p>簡而言之，歐盟DCC的好處是成員國多、符合GDPR規範，但缺點是技術門檻高，因為要離線使用，就得將憑證置於程式中。而SHC的優點是，可顯示多劑疫苗資訊，「較符合臺灣需求，」龐一鳴指出，缺點則是驗證時，必須連網。</p> <p>面對這麼多利弊分析，龐一鳴也分享當時的衡量重點：「我們先思考格式，如果能用FHIR，就有機會推動臺灣FHIR。再來是憑證，要能被國際承認，接下來是資料內容，比如疫苗第2、3劑的接種資訊。」</p> <p>於是，他們決定先打造歐盟DCC，之後再開發SHC，讓臺灣的疫苗通行證可用於歐盟及SHC成員國之間。</p> <p>再來是決定查驗程式的形式。衛福部分析了網頁和App形式的優缺點，龐一鳴點出，採用App，民眾得下載安裝，雖然App容易解析高密度的QR Code，但App開發和後續維運的成本高，難以靈活因應。比如，去年疫情嚴峻時，政府時常調整陪病制度和TOCC（旅遊史、職業史、接觸史、群聚史）規則，要是醫院開發App來檢核入院民眾身份，就得不斷隨政策修改App。</p> <p>相較之下，採用網頁形式查驗，民眾開啟瀏覽器即可、不必下載App，且在桌機、筆電上也能使用。更新時，民眾也不必有任何動作。而且，網頁形式有著開發、維運成本低的優點，但缺點是容易受瀏覽器限制，掃描高密度QR Code時較難解析。</p> <p>最後，衛福部決定以網頁形式來開發查驗程式，並在去年6月展開COVID-19健康資訊數位證明技術規畫原則。他們制定了發證端、驗證端、持證端等3種角色的分工和資訊傳遞流程，像是發證端資料來源，取自醫院上傳至疾管署的國家預防接接種系統（NIS）。同時，衛福部也制定FHIR格式專用的實作指南（IG），來說明COVID-19數位證明的互通規格。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TWDCC%20IG.png" /></p> <p><strong><span style="font-size:24px;">3階段加入歐盟DCC，10天完成測試驗證</span></strong></p> <p>一切就緒後，衛福部便展開歐盟DCC申請流程。這個流程可分為3階段，包含申請文件交付、技術測試，還有歐盟執委會審核階段。最讓龐一鳴印象深刻的是，衛福部開發的數位證明，是歐盟DCC中，極少數以網頁形式呈現的申請案，而且還獲歐盟技術團隊讚許。</p> <p>在測試階段，他們10天內陸續完成會議討論、數位證明閘道器（DCGG）系統帳號申請，並在3種環境通過技術測試，後續也完成50個會員國的互通測試。</p> <p>「去年12月，我們正式通過測試，」龐一鳴表示，不僅歐盟DCC隨之臺灣列入互通名單，衛福部也在月底開放民眾申請數位證明。臺灣加入後，依然持續與DCGG不定期聯測，也依歐盟要求持續更新憑證、進行測試。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/EUDCC%E8%87%BA%E7%81%A3%E6%88%AA%E5%9C%96.png" /><br /> EU-DCC將臺灣納入互通成員名單，可互通內容包括疫苗接種和檢驗證明資訊，染疫證明則不包括在內。</p> </blockquote> <p>而今年7月，他們也納入SHC格式，讓民眾有第2個選擇。</p> <p><span style="font-size:24px;"><strong>擴大應用：手機錢包、各項證明申請都可靠它</strong></span></p> <p>成功加入歐盟DCC這個大生態系後，手機作業系統龍頭蘋果還找上衛福部，要將臺版數位證明放置於手機錢包（Wallet）中。當時，蘋果主動提供技術文件，來讓衛福部團隊開發系統，蘋果美國總部甚至還客製化，提供繁體中文的「加到錢包與健康」按鈕，來讓臺灣使用者快速將疫苗數位證明加入蘋果錢包和健康App。「蘋果還告訴我們，臺灣疫苗數位通行證是亞太區第一個落地的應用，」龐一鳴說。</p> <p>不只將憑證放入錢包，龐一鳴當時也與蘋果討論，也許能將COVID-19數位證明納入健康App中，作為個人健康記錄（PHR）之一。蘋果健康App有項健康記錄功能，能供使用者查看健康數據（如生理量測數值）和以FHIR標準儲存的電子病歷。在美國，已有不少使用者可直接在iPhone中，查看自己在不同醫院的就醫記錄。</p> <p>除了蘋果，衛福部也找了另一大手機作業系統商Google，將臺灣的COVID-19數位證明納入錢包。Google還特別提供繁體中文的「儲存至手機」按鈕，來讓使用者操作。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%89%8B%E6%A9%9F%E9%8C%A2%E5%8C%85.png" /></p> <p>這項數位證明，更在不少行政場合派上用場。龐一鳴指出，確診人數飆升時，不少民眾急著到醫院、衛生機構申請診斷證明，一方面用於請假，一方面也用於防疫保險申請。為解放醫療機構緊繃的人力，衛福部資訊處與金管會、壽險公會密集溝通，終於讓數位證明成為COVID-19診斷證明書的替代文件，作為保險理賠依據，來緩解湧入醫療機構的大量人潮。</p> <p>甚至，在自主疫調政策中，數位證明也扮演關鍵角色。今年5月，數以萬計民眾確診，指揮中心將原本由政府執行的精準疫調措施，調整為自主疫調，讓民眾自行填寫資訊，加速後續作業。</p> <p>也因此，衛福部將原本精準疫調使用的法傳系統，改用新開發的確診個案自主回報疫調系統（BBS）和確診個案管理系統（MBBS），來配合自主疫調措施，並整合健保快易通App和數位證明系統，加速發送電子通知書和相關證明。</p> <p>這個新流程和系統開發，「我們花20天就完成！」龐一鳴解釋，系統能快速上線，不只是團隊採更快速的敏捷開發模式，還因為有良好的基礎。也就是，去年疫情剛爆發時，衛福部打造一套入境檢疫檢疫系統，讓入境民眾事先填寫資料、取得驗證QR Code，供入境檢驗使用。今年，他們運用這些套件和通知書發送機制，快速修改來開發自主回報疫調系統，讓確診民眾透過簡訊連結至BBS填資料，再依風險評估發送電子隔離通知書和解隔離通知書。</p> <p><span style="font-size:24px;"><strong>經驗談：可擴大行政文件無紙化</strong></span></p> <p>在這次疫苗通行證開發經驗中，衛福部也嘗試不少新作法。</p> <p>比如，數位證明相關作業主要以Google雲端平臺（GCP）來處理，龐一鳴發現，當時GCP費用支出以資料庫容量占大宗，造成大筆開銷，於是將證明產生機制，由預產制改為即時產制，同時將資料庫瘦身。這麼做，一個月可省下數十萬元支出，更累積政府單位運用公雲的經驗，猶如企業一樣。</p> <p>甚至，他們也在SHC專案中，使用GitHub來管理查驗程式，是少數以開源平臺來維運重要專案的政府單位，也讓團隊學習開源工具的使用經驗。</p> <p>但對龐一鳴來說，開發數位證明帶來的寶貴經驗，不只如此。他表示，這次防疫開立多種電子通知書、作為有效證明文件，那麼「醫院診斷證明書，是否也能數位化處理？」甚至他認為，未來民眾申請保險理賠，也許也能數位化進行。</p> <p>就連行政處分的送達方式，也可考慮改用數位方式傳遞，就像這次防疫工作，以簡訊通知民眾PCR檢驗結果和確診相關資訊。</p> <p><span style="font-size:24px;"><strong>下一步：接軌國際，考慮將出院病摘納入蘋果健康App</strong></span></p> <p>甚至，在醫療IT面也有不少啟發，比如要「勇於創新。」龐一鳴點出，有別於大多數EU-DCC會員國以App形式打造數位證明應用，臺灣採網頁形式開發，就是一種創新，不僅行得通，使用成效也獲肯定。</p> <p>另一個啟發則是，加入有影響力的國際組織，就能接軌國際。他表示，臺灣加入EU-DCC後，不僅蘋果主動接觸衛福部，衛福部與Google溝通時也更容易。</p> <p>甚至，龐一鳴點出，這次將數位證明成功置於iOS和Android兩大手機作業系統上，不只是個突破，更是PHR應用的開始。</p> <p>「我們正在嘗試，要讓更多個人電子病歷以這個方式來互通。」他希望，未來要如美國醫院般，逐步將電子病歷資訊放置於蘋果健康App，「先從出院病摘開始。」透過這種應用，政府或醫療機構不一定要自建App，民眾依然能握有自己的醫療記錄。</p> <p><span style="color:#0000FF;"><strong><span style="font-size:24px;">衛福部成立專案辦公室推動FHIR電子病歷計畫</span></strong></span></p> <p><span style="color:#808080;"><strong>為推動臺灣醫界採用國際醫療資料交換標準HL7 FHIR，衛福部今年成立智慧健康雲專案辦公室，來建立臺灣核心實作指引（TW Core IG）、定義FHIR資料交換規格，供未來醫療機構遵從使用。</strong></span></p> <p><span style="color:#808080;"><strong>衛福部智慧健康雲專案辦公室主任曹放之指出，辦公室今年的目標除了打造TW Core IG，還包括建立全國性的FHIR術語服務平臺、與HL7臺灣一起開設FHIR訓練課程，以及提交TW Core IG，作為今年度FHIR聯測的項目（已落幕）。</strong></span></p> <p><span style="color:#808080;"><strong>不只如此，他表示，專案辦公室也已將電子病歷交換中心（EEC）的交換單張，如醫療影像及報告、門診病歷、檢驗報告、出院病摘等，轉換為FHIR標準。「今年是FHIR元年，」曹放之期望，接下來更多醫療機構響應FHIR，在國內形成良好生態系。</strong></span></p> <p><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/FHIR%E5%B7%A5%E4%BD%9C.png" /></strong></span></p> </div></div></div>
2022/11/25 11:00作者王若樸https://www.ithome.com.tw/news/154379
Google釋出資料集透明度工具Data Cards Playbook
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著機器學習的發展，訓練模型所使用的資料集，在負責任和知情開發變得越來越重要重要，Google在早些時候發表的Data Cards，便是一個能夠提供資料集生命周期透明度的資料集文件框架，使下游能夠掌握資料集的起源、發展、意圖和演變，而企業現在可以使用Google新發布的<a href="https://ai.googleblog.com/2022/11/the-data-cards-playbook-toolkit-for.html">Data Cards Playbook</a>，來簡單實踐Data Cards框架。</p> <p>Data Cards是一組透明度構件，提供機器學習資料集的結構化摘要，解釋塑造資料的過程和基本原理，以及描述使用該資料來訓練和評估模型的方法，Data Cards至少需要5項內容，包括上游來源、資料收集和註解方法、訓練和評估方法、預期用途，以及影響模型效能的決策。</p> <p>Google提到，在實踐中，有兩個重要因素決定透明度構建的構件與否，第一是辨識決策者使用資訊的能力，以及獲取該訊息所需要的流程和指南。研究人員探索這些想法開發了工具，使各種資料集和組織環境都能適用Data Cards。這些工具可用於創建邊界基礎架構，這些流程和參與模型在實踐社群間交流訊息，提供了必要的技術和功能性基礎設施補充。</p> <p>Google現在推出的工具稱作Data Cards Playbook，這是一個自我導引式的工具包，供各團隊使用其機器學習資料集來應對透明度挑戰，簡單來說，Playbook能夠引導使用者簡單地應用Data Cards框架，從規畫透明度策略、定義受眾，到撰寫複雜資料集的摘要，確保資料集的可用性。</p> <p>Google透過多種研究方法創建Data Cards Playbook，包括了解團隊所需要的資料集和模型資訊，以及在日常工作中使用這些資訊的方式。在過去2年間，Google內部有15個團隊使用該透明度構件模板，在討論與合作下，研究團隊創建了20多種Data Cards，用於描述圖像、語言、表格、影片、音訊和關係資料集，在生產環境的設定方法。</p> <p>Data Cards Playbook以衝刺（Sprints）和協同設計實踐作為藍圖，因此跨職能團隊及利益相關者，可以共同定義透明度，解決建立資料集文件和治理解決方案所遇到的問題。由於Google替透明度模式建立指引，用以協助用戶克服在生成透明文件時所遭遇的挑戰，藉由提供最佳實踐，並確保Data Cards對不同背景的讀者皆有用。</p> </div></div></div>
2022/11/25 09:04作者李建興https://www.ithome.com.tw/news/154407
程式語言Swift核心團隊發表2023年5大發展重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.swift.org/blog/focus-areas-2023/">Swift團隊釋出最新2023年發展路線規畫</a>，將持續朝5個領域發展，分別是並行性、泛型、所有權、巨集以及C++互通性。Swift一直都以非常集中式的開發結構發展，由核心團隊直接監督不同的領域，Swift核心團隊近期重組，新加入語言、網站、文件和C++互通性工作組，由專門的工作組承擔更多工作。</p> <p>Swift在2023年，將會更新語言並行性，以完善相關的功能，除了完成Sendable和actors嚴格的資料隔離性之外，也會修補許多已知的執行緒安全漏洞，像是全域變數和部分跨actor呼叫的相關漏洞，另外，也會添加語言功能，來解決因嚴格隔離所衍生的可用性問題。</p> <p>泛型的部分，開發團隊則會開始認真著手，可變參數泛型語言功能的相關工作，官方提到，這是一項需要多年時間才能完成的重要功能。初期的重點會放在設計核心語言模型，並實現基本的編譯器和執行時基礎設施。</p> <p>接下來，Swift也會增加功能，讓開發人員明確控制記憶體中值的所有權，包括禁止隱式複製、在上下文間轉移所有權，或是顯式借用但不複製值。藉由添加不可複製類別的基本支援，提供限制關鍵數值生命周期來實現高效能，這些控制功能增加了處理記憶體資料的新方法，將不安全的結構和Swift標準函式庫的安全性相結合。</p> <p>開發團隊也會發展程序性巨集基礎，以支援創建豐富的函式庫和DSL，這項工作會從創建願景文件開始，以設計巨集在Swift中可以實現的功能。</p> <p>Swift在2023年也會穩定當前C++互通性功能，包括自有數值、API模式，以及關於方法、指標和左右值參照等基本問題，核心團隊也會繼續編寫文件，描述在C++ API在Swift的使用方式，以及Swift API在C++的使用方式。</p> </div></div></div>
2022/11/25 09:06作者李建興https://www.ithome.com.tw/news/154413
WebAssembly Runtime開源專案Wasmer 3.0簡化WAPM套件安裝與使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WebAssembly Runtime開源專案<a href="https://wasmer.io/posts/announcing-wasmer-3.0">Wasmer</a>現在來到3.0版本，帶來多項更新包括更強大的Wasmer命令，現在開發者可以將任何wapm.io上的套件，傳遞給Wasmer命令列工具，像是使用wasmer run python/python指令，就可以從該套件註冊表下載並且執行Python套件，官方表示，這大幅簡化了以Wasmer執行從WAPM運作WASI可執行檔案的流程。</p> <p>Wasmer Rust API經過重新設計，擁有新的API和記憶體管理方式，開發者現在可以將Wasm物件儲存在Store中，另外，官方還加入MemoryView，並且添加在瀏覽器運作的wasmer-js，提供與本機原生Wasmer相同功能。</p> <p>在引擎架構上，開發團隊也作出改進，Wasmer之前有不同引擎概念，包括dylib、universal等，現在開發團隊將其簡化為一，使開發者能夠更方便地重用程式碼。Wasmer 3.0也具有零複製反序列化功能，這項更新可明顯提高執行效能。</p> <p>由於Wasmer 3.0的create-exe子命令獲得改進，Wasmer現在可以將WebAssembly檔案轉換成為本機Windows、Linux或Mac OS可執行檔案，這允許用戶不需要安裝Wasmer，就能夠發布可執行檔案。</p> <p>Wasmer WASI實作也越來越成熟了，開發團隊修復檔案系統中的多個錯誤，並且使用WebAssembly介面重新設計內部類別，方便在未來加入更多新功能。</p> </div></div></div>
2022/11/25 09:08作者李建興https://www.ithome.com.tw/news/154415
領導力致勝
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣九合一大選11月底登場，近期縣市長候選人爭議交鋒，從論文抄襲延燒到阻擋疫苗、助理加班費挪用，焦點幾乎都集中在品德與品格，很多人批評大家僅關注彼此的政治立場、民調數字的起伏，似乎並不關注政見，然而，或許民眾更在乎的是候選人與所屬政黨團體的執行力。</p> <p>對於企業而言，領導力的強弱當然也是至關重要，而且，如今大家都身處於數位化盛行、普及的時代，越來越多人開始注意到數位領導力（Digital Leadership）的議題。</p> <p>例如，商業周刊2019年發布《數位領導力全報告》，當中的定義是「數位力與領導力兼備創造的競爭優勢」，其中的數位力，是「企業運用數位科技改善營運的成熟度」，領導力則是「企業治理與管理的能力」。根據當時的調查統計結果，臺灣對數位領導力最有信心的是科技與電信服務業，是唯一拿到60分以上的產業，但仍有很大的成長空間，而最沒有信心的是製造業。</p> <p>關於數位領導力的認識，我們看到數位轉型服務廠商GDS Group今年5月的介紹文章，可作為借鏡。</p> <p>他們認為，數位領導力可帶來四大效益：建立數位文化、促進員工生產力、改善顧客滿意度、增加營收；在實現的方式上，企業可從8個要素來檢視，包含：溝通、願景、數位化能力、策略、創新、風險承擔、調適力、人才管理（Talent Spotting）；關於需要具備的數位化技能，他們認為有5種，分別是：程式撰寫技能、專案管理技能、大數據分析與商業智慧技能，以及資訊安全技能。</p> <p>除了關注企業與組織這些條件的發展狀況，在現實環境中，大家面臨那些挑戰？</p> <p>我們看到11月有一份2022數位領導力報告，探討了這方面的趨勢。這是由人才與技術解決方案供應商Nash Squared，以及國際資訊長社群CIONET聯合發布的調查分析。</p> <p>當中提到：今年經濟放緩，大部分數位化領導者預期全球科技費用有高成長率，對照過去15年，處於排名第三高的發展狀態，其中，科技預算增加的企業與組織比例為52％，而縮減科技預算的比例是12％。</p> <p>這份調查顯示科技投資的前景看好，企業與組織對於雲端服務的投資比例高達63％，但隨著現今全球經濟面臨不穩定的局面，人工智慧、大數據、機器人流程自動化（RPA）這類新興科技的投資出現趨緩，甚至是縮減狀況，危及創新機會及競爭優勢。</p> <p>除此之外，企業與組織目前正面臨多種挑戰。首先是資安威脅，52％的大型組織表示，過去兩年曾經遭遇大型網路攻擊；而透過科技來推動環境永續性（Sustainability），雖然大家公認這項工作很重要，但有四分之一的數位化領導者認為，今年無法有顯著作為、甚至無從著手，而且，僅有同樣比例的組織，能夠運用科技來衡量本身的碳足跡。</p> <p>而在資料的運用上，多達64％的數位化領導者認為，大數據與分析是提供競爭優勢的兩大技術，但能夠非常有效運用資料洞察分析，進而產生更多營收的比例只有21％；同時，在因應這類應用的人才技能方面，有43％的數位化領導者面臨短缺的狀況。</p> <p>關於工作型態的部分，64％的數位化領導者認為，由於COVID-19疫情促成遠端與混合辦公的快速採行，使得科技團隊在工作與生活的平衡獲得大幅改善，不過，隨著這類工作模式趨於複雜，目前仍有兩大挑戰需要克服，一是生產力下滑，比例超過40％，不像去年呈現生產力暴增的狀態，另一是人員的心理健康問題，但比起去年已有改善。</p> <p>從上述各種層面的現況來看，我們可以體認到數位領導力的面向相當廣泛，科技固然提供了不小的助力，幫助企業與組織度過危機、開創新局，但有賴完備的管理與控制的手段來確保成效，從而減少不便與舞弊。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E9%A0%98%E5%B0%8E%E5%8A%9B">數位領導力</a></div></div></div>
2022/11/25 07:00作者李宗翰https://www.ithome.com.tw/voice/154387
【資安日報】2022年11月24日，俄羅斯駭客今年前7個月竊取逾5千萬組密碼、歐洲議會遭到駭客組織Killnet的DD…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織利用竊密軟體（Infostealer）發動攻擊的情況，不時有事故傳出，但這些很可能與一場大規模攻擊行動有關。有資安業者針對俄羅斯駭客的大規模竊密軟體攻擊行動Classiscam進行追蹤，發現今年上半攻擊升溫，而且駭客不光是針對Amazon、PayPal這類金融帳號下手，竊取遊戲平臺帳號的情況更是增加5倍。</p> <p>隨著國際間對於烏克蘭戰爭採取相關行動，俄羅斯駭客反制的網路攻擊也隨之而來。歐洲議會指控俄羅斯入侵烏克蘭的行為構成戰爭罪，並呼籲各國採取相關手段對付俄羅斯，隨後該議會網站就傳出遭到癱瘓的消息。</p> <p>研究人員揭露Arm晶片的顯示元件Mali驅動程式漏洞，並指出此顯示晶片存在於多個品牌的單晶片，而有可能讓數百萬安卓手機成為駭客下手的目標。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.group-ib.com/media-center/press-releases/professional-stealers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客7個月內竊取了逾5千萬組密碼</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/x0mASDhRLc_20221124-1513-28821.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/x0mASDhRLc_20221124-1513-28821.png" style="width: 300px; float: right;" /></a>資安業者Group-IB分析在今年1月至7月偵測到大規模竊密軟體攻擊行動Classiscam，有34個使用俄文的駭客組織參與相關攻擊，專門竊取Steam與Roblox遊戲帳號、Amazon與PayPal帳密，以及加密錢包的資料，主要的目標是美國、巴西、印度、德國，以及印尼。</p> <p>研究人員表示，這些駭客自他們2021年3月著手調查以來，於今年上半的攻擊行動顯著增加──在去年3月至12月底入侵了53.8萬臺電腦，得手2,787萬組密碼、12億個Cookie檔案、5.6萬組線上交易資料，以及近3.6萬個加密貨幣錢包；而今年1至7月共感染89萬臺電腦，竊得5,035萬組密碼、21億個Cookie檔案、10.3萬張金融卡細節，以及11.3萬個加密貨幣錢包。</p> <p>這些駭客偏好使用的竊密軟體是RedLine與Racoon，分別有23個與8個組織採用。此外，今年與過往不同的是，駭客竊取Steam、EpicGames、Roblox等遊戲平臺的帳密數量增加近5倍。</p> <h3><a href="https://www.ithome.com.tw/news/154391"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲議會遭到DDoS攻擊，起因是認定俄羅斯實行恐怖主義</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/European_Parliament_website_down.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/European_Parliament_website_down.png" style="width: 300px; float: right;" /></a>歐洲議會（European Parliament ）<a href="https://www.europarl.europa.eu/news/en/press-room/20221118IPR55707/european-parliament-declares-russia-to-be-a-state-sponsor-of-terrorism">在11月23日早上宣布 </a>，由於俄羅斯政權入侵烏克蘭，並向當地平民施暴，他們一致認同俄羅斯是支持恐怖主義的國家，相關軍事行動構成戰爭罪。當天下午該議會的英文官網就傳出遭到分散式服務阻斷（DDoS）攻擊<a href="https://twitter.com/EP_President/status/1595443471518777345">並得到證實</a>。而攻擊者的身分，<a href="https://twitter.com/_bettercyber_/status/1595458694673825793">資安業者BetterCyber表示</a>就是俄羅斯駭客組織Killnet。攻擊者聲稱癱瘓了該網站4個小時。</p> <h3><a href="https://googleprojectzero.blogspot.com/2022/11/mind-the-gap.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Arm晶片的GPU驅動程式漏洞恐使數百萬手機曝險</span></strong></a></h3> <p>Google的Project Zero研究團隊指出，Arm晶片上的Mali GPU驅動程式裡，存在CVE-2022-33917、CVE-2022-36449，前者允許不具特殊權限的使用者藉由不正確的GPU指令，進而取得記憶體的存取權限；後者也能讓不具特殊權限的攻擊者利用，在記憶體緩衝區邊界外進行寫入，從而洩露記憶體映射的內容。</p> <p>研究人員指出，雖然上述漏洞為中等風險等級，但能夠影響大量安卓手機，這些曝險的機種包括Google Pixel 7、華碩ROG Phone 6、Redmi Note 11與12、RealMe GT、小米12 Pro、Oppo Find X5 Pro等。Mali GPU廣泛受到聯發科、Exyno、華為Kirin晶片採用，因此上述漏洞有可能使數百萬手機曝險。</p> <h3><a href="https://www.cybereason.com/blog/threat-alert-aggressive-qakbot-campaign-and-the-black-basta-ransomware-group-targeting-u.s.-companies"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國企業遭到勒索軟體Black Basta鎖定</span></strong></a></h3> <p>資安業者Cybereason在協助客戶進行事件調查的過程裡，發現勒索軟體Black Basta針對美國企業的攻擊行動，駭客透過殭屍網路QBot建立存取受害企業的進入點，然後在內部網路橫向移動，找到重要電腦植入Cobalt Strike，最終部署勒索軟體並加密檔案。</p> <p>研究人員指出，駭客為了讓受害企業更難以復原，他們會停用DNS服務，使得受害企業被鎖在網路之外。駭客通常不到2個小時就得到網域管理員權限，且於12小時內發動勒索軟體攻擊，近2個星期已出現超過10起案例。</p> <h3><a href="https://www.justice.gov/usao-edva/pr/court-authorizes-seizure-domains-used-furtherance-cryptocurrency-pig-butchering-scheme"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">偽裝成新加坡國際貨幣交易平臺詐騙網域遭到扣押</span></strong></a></h3> <p>美國司法部於11月21日宣布已扣押7個被用於詐騙的網域，這些網域被駭客偽裝成新加坡國際貨幣交易平臺（Singapore International Monetary Exchange），至少有5名受害者在今年5月至8月受騙，損失逾千萬美元。與加密貨幣有關的詐騙近年來層出不窮，美國司法部上個月逮捕並起訴11名嫌犯，這些歹徒從逾200名受害者騙走1,800萬美元。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/154403"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國國防部揭露零信任框架與藍圖，預計於2027年完成部署</span></strong></a></h3> <p>11月22日美國國防部（DoD）發表了他們的<a href="https://www.defense.gov/News/Releases/Release/Article/3225919/department-of-defense-releases-zero-trust-strategy-and-roadmap/">零信任（Zero Trust）政策與藍圖，並計畫在2027年完成部署</a>。本次的戰略涵蓋了四大目標，首先是建立零信任的文化，將相關理念深植所有人員；再者則是在資訊系統的資訊安全與防護裡，導入零信任機制；此外，他們也訴求相關技術採用要更為快速，至少速度要與業者相同甚至要更快，以及相關權限、流程、政策的配套同步。</p> <p>此計畫採用3階段方案（COA）來進行──首先是進行棕地工程（Brownfield），先建立零信任的基準線，於現有的基礎設施與環境來開發。而為了加速零信任的採用，DoD也會發展互補方案，包括採用既有的商用雲端服務，或是由政府以綠地工程（Greenfield）策略，打造全新的私有雲。<a href="https://dodcio.defense.gov/Portals/0/Documents/Library/DoD-ZTExecutionRoadmap.pdf">目前公布的規畫為第一階段（COA 1）棕地工程的內容</a>。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://blog.google/outreach-initiatives/public-policy/a-ruling-in-our-legal-case-against-the-glupteba-botnet/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google針對殭屍網路Glupteba經營者起訴，贏得官司勝利</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/backdoored-chrome-extension-installed-by-200-000-roblox-players/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Roblox玩家遭鎖定，瀏覽器被植入惡意擴充套件</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2022/11/23/fake-msi-afterburner-sites-delivering-coin-miner/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電腦遊戲玩家遭到鎖定，駭客假借提供微星公用程式散布挖礦軟體</span></span></strong></a></p> <p><a href="https://www.bitdefender.com/blog/labs/android-sharkbot-droppers-on-google-play-underlines-platforms-security-needs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體Sharkbot偽裝成檔案總管App散布</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/donut-extortion-group-also-targets-victims-with-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索駭客組織Donut也開始加密受害電腦檔案</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154378">【2022年11月23日】已不再開發的網頁伺服器系統Boa成為攻擊目標、臺廠Lanner基板管理控制器韌體出現漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154342">【2022年11月22日】駭客組織Luna Moth發動電話網釣攻擊、加密貨幣交易所的雙因素驗證機制遭到繞過</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154324">【2022年11月21日】駭客假冒Instagram發動網釣攻擊、歐姆龍PLC設備漏洞被用於散布惡意軟體</a></strong></strong></strong></p> </div></div></div>
2022/11/24 16:36作者周峻佑https://www.ithome.com.tw/news/154404
美國國防部揭露零信任框架與藍圖，預計於2027年完成零信任部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國防部（Department of Defense，DoD）周二（11/22）<a href="https://www.defense.gov/News/Releases/Release/Article/3225919/department-of-defense-releases-zero-trust-strategy-and-roadmap/" target="_blank">發表了該部門的零信任（Zero Trust）政策與藍圖</a>，並計畫在2027年完成部署。</p> <p><a href="https://dodcio.defense.gov/Portals/0/Documents/Library/DoD-ZTExecutionRoadmap.pdf" target="_blank">根據DoD所公布的藍圖</a>，該部門計畫採用3種行動方案（Course of Action，CoA）來達到零信任，首先是Brownfield作法，先建立零信任的基準線，再利用現有的基礎設施與環境來開發，而為了加速零信任的採用，也正發展互補方案，包括採用既有的商用雲端服務，或是由政府以Greenfield作法重新建立一個私有雲。本周所發布的藍圖與規畫則是以Brownfield作法為主。</p> <p class="rtecenter"><a href="https://dodcio.defense.gov/Portals/0/Documents/Library/DoD-ZTExecutionRoadmap.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1124-DoD%20Zero%20Trust%20Capability%20Execution%20Roadmap-1.png" style="width: 512px;" /></a></p> <p><a href="https://dodcio.defense.gov/Portals/0/Documents/Library/DoD-ZTStrategy.pdf" target="_blank">美國國防部資訊長John Sherman表示</a>，敵人正在國防部的網路中竊取國防部資料，剝削國防部用戶，相關威脅的快速成長彰顯了該部門改善網路安全的必要性，此外，透過強大與愈來愈複雜的外圍防禦來保護國防部網路已不足以支撐網路彈性，也不足以保護跨地域、介面與外部合作單位的資訊安全，更何況在DoD的數百萬用戶中，有許多在家工作的必須於傳統的邊界之外存取DoD網路。</p> <p>Sherman認為，這意味著國防部的每一個用戶都必須採用零信任的心態，以對DoD設備、應用程式、資產及服務的安全負責，讓用戶只能在需要時存取所需的資料，所有人都必須在防禦敵人時派上用場。</p> <p>Sherman還強調零信任不僅是個IT解決方案，它要求所有的DoD元件都必須整合零信任的能力、技術、解決方案與程序，或許更重要的是，也必須在員工、訓練及專業開發程序中整合零信任。</p> <p>於是，在國防部所公布的Brownfield藍圖中所定義的零信任能力涵蓋了所有DoD元件，從使用者、裝置、應用程式與任務、資料、網路與環境、自動化與調度，到能見度與分析，而且針對不同的元件都提出了更多的能力要求，令人一窺其工程的浩大與複雜度。</p> </div></div></div>
2022/11/24 16:39作者陳曉莉https://www.ithome.com.tw/news/154403
歐洲議會認證俄羅斯支持恐怖主義，被回敬DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.europarl.europa.eu/news/en/press-room/20221118IPR55707/european-parliament-declares-russia-to-be-a-state-sponsor-of-terrorism" target="_blank">歐洲議會（European Parliament ）在本周三（11/23）早上宣布</a>，在俄羅斯政權入侵烏克蘭，並向烏克蘭平民施暴之後，決定承認俄羅斯是個支持恐怖主義的國家，當天下午歐洲議會英文官網就遭到分散式服務阻斷（DDoS）攻擊，據稱該行動是由親俄的駭客集團Killnet所發動。</p> <p>歐洲議會表示，俄羅斯軍隊蓄意攻擊烏克蘭平民，並破壞民用基礎設施，也執行其它嚴重違反國際法與人道主義的行為，構成戰爭罪，因而決定承認俄羅斯是個支持恐怖主義及使用恐怖主義手段的國家。歐洲議會的此一決議獲得494票的贊成、58票反對，以及44票的棄權。</p> <p>不過，歐盟目前並無指定恐怖主義支持國的法律框架，只能鼓勵歐盟與其成員國建立適當的法律，再指定俄羅斯為支持恐怖主義的國家，估計將會對俄羅斯帶來一系列的重大限制措施。</p> <p>此外，歐洲議會還呼籲歐盟應於國際上進一步孤立俄羅斯，包括減少與俄羅斯的官方接觸，以及加速完成對俄羅斯的第9個制裁方案。</p> <p>歐洲議會在早上發出了聲明，下午議長<a href="https://twitter.com/EP_President/status/1595443471518777345" target="_blank">Roberta Metsola</a>與發言人<a href="https://twitter.com/jduch/status/1595433790809284614" target="_blank">Jaume Duch</a>就證實官網遭到了一個親俄駭客集團的DDoS攻擊。</p> <p><a href="https://twitter.com/_bettercyber_/status/1595458694673825793" target="_blank">資安業者BetterCyber則說</a>，此一攻擊源自親俄的駭客集團Killnet，該集團宣稱它們讓歐洲議會官網休息了4小時。</p> </div></div></div>
2022/11/24 15:22作者陳曉莉https://www.ithome.com.tw/news/154391
資安人員發現新一波針對美國企業的Black Basta勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Cybereason在調查其客戶的資安事件，發現了<a href="https://www.cybereason.com/blog/threat-alert-aggressive-qakbot-campaign-and-the-black-basta-ransomware-group-targeting-u.s.-companies">新一波針對美國企業的勒索軟體攻擊</a>，這系列勒索攻擊由Black Basta組織發起，並透過殭屍網路Qakbot快速傳播，資安人員提醒，由於遭到攻擊後IT基礎設施可能迅速被嚴重破壞，企業必須要特別注意這波攻擊。</p> <p>Black Basta是一個勒索軟體組織，在2022年4月才出現，專門針對美國、加拿大、英國、澳洲和紐西蘭的企業，該組織慣用雙重勒索策略，先竊取被害者敏感檔案和資訊，並威脅要公開資料來勒索被害者支付贖金。</p> <p>在Black Basta最新的攻擊活動中，他們使用Qakbot惡意軟體創建初始進入點，並在企業網路內橫向移動。Qakbot是一種銀行木馬，主要被用來竊取被害者的財務資料，包括瀏覽器資訊和憑證等，一旦Qakbot成功感染系統，便會安裝上後門，使得攻擊者能夠投放後續的惡意軟體，像是勒索軟體等。</p> <p>Cybereason團隊描述了這次攻擊活動的流程，一開始會從Qakbot感染開始，並在組織中多臺重要機器載入Cobalt Strike，最終將Black Basta勒索軟體部署到全球。而為了讓恢復更加困難，攻擊者會禁用DNS服務，將被害者鎖在網路之外。</p> <p>這次的攻擊行動有幾個特點，首先是整個攻擊行動很快，在不少案例中，攻擊者會在不到2小時內就獲得網域管理人員權限，並在12小時內開始部署勒索軟體。由於攻擊者向美國公司大量撒下Qakbot，並且進行魚叉式網路釣魚行動，在過去2個星期，Cybereason已經發現10多起企業受攻擊案例。</p> <p>原先資安人員並未發現Black Basta勒索軟體和Qakbot的關聯性，但因為一個快速入侵並且部署Black Basta的案例，才發現Qakbot參與其中。Cybereason提醒企業，應該要對這個攻擊活動提高警覺，因為IT基礎設施可能會迅速地被嚴重破壞。</p> <p>針對Black Basta勒索軟體攻擊的緩解措施，除了更新網路攻擊防禦平臺之外，資安人員也提出許多建議，包括要封鎖已受感染的用戶，避免或減緩攻擊者在網路上傳播，辨識且切斷惡意IP和網域的流量。當用戶的網域控制器遭到攻擊者存取，就可能所有帳戶被盜用，資安人員建議在重建網路的時候，應重置所有Active Directory存取權限，事後也應該徹底調查攻擊者的行為，確保沒有任何疏漏。</p> </div></div></div>
2022/11/24 15:25作者李建興https://www.ithome.com.tw/news/154390
台積電積極招募AI人才，預告明年成立臺北辦公室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台積電智慧應用整合處機器學習分析部部經理局荊玲在近日一場活動中表示，台積電明年將成立臺北辦公室，不過沒有進一步透露更多細節。同時，台積電也積極招募AI人才，來推動更智慧化的半導體製造流程。</p> <p>台積電指出，派工決策是半導體製造業中非常仰賴AI的一個環節。由於半導體製程極度複雜，1座20個足球場大的超大晶圓廠中，AI排程系統每天模擬超過10的200次方種排列組合，每分鐘會發出超過600至800萬個派工命令，且生產變數大，需要有高速應變能力。</p> <p>不只如此，台積電表示，從智慧製造、良率分析、生產力提升、研發到公司營運，幾乎所有的AI領域都能應用於他們的半導體製程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TCMCAI1(1).jpg" style="width: 600px;" /></p> <p>資料提供：台積電，iThome整理，2022年11月</p> <p>對於AI人才的需求，台積電特別重視有尖端AI科技應用經驗的人，台積電舉例，像是熟悉自主監督學習、聯邦學習、注意力機制模型、零樣本學習、強化學習、對比學習、圖神經網路及生成對抗網路等技術的人才，就非常歡迎。</p> </div></div></div>
2022/11/24 09:33作者郭又華https://www.ithome.com.tw/news/154381
今年第三季的GPU出貨量下滑25%，創2009年以來的最大跌幅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場研究機構<a href="https://www.jonpeddie.com/press-releases/q322-biggest-qtr-to-qtr-drop-since-the-2009-recession" target="_blank">Jon Peddie Research本周公布今年第三季的全球繪圖處理器（GPU）市場報告</a>，指出該季全球的GPU出貨量為7,550萬個，比去年同期減少25.1%，出現2009年以來的最大降幅。</p> <p>對於GPU出貨量的大幅下滑，各家製造商所歸納的原因差不多，涵蓋加密貨幣礦場的關閉、中國清零政策所帶來的經濟衝擊、美國的制裁、遊戲玩家在等待新的擴充卡、通貨膨脹，再加上庫存過多等。</p> <p>在7,550萬個GPU中，用於筆電的出貨量下滑了30%，應用在桌上型電腦的則下滑15.43%。</p> <p>今年第三季GPU市場的前三大業者依序是Nvidia，市占率為72%，居次的英特爾占了16%，AMD以12%位居第三。該季AMD出貨量下滑了47.6%，Nvidia下滑19.7%，英特爾該季的GPU出貨量卻逆勢成長4.7%，使得去年同期與上一季都落後AMD的英特爾，在今年第三季超越AMD，成為全球第二大GPU業者。</p> </div></div></div>
2022/11/24 13:51作者陳曉莉https://www.ithome.com.tw/news/154389
零售IT雙周報第10期：Amazon將推出新型揀貨機器人，能辨識出上百萬種貨物
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧物流</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#揀貨機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺</span></span></strong></p> <p><strong>Amazon正在開發可以辨認出上百萬種貨物的揀貨機器人</strong></p> <p><a href="https://www.aboutamazon.com/new/transportation/amazon-robot-sparrow-streamlines-order-fulfillment-process">電商巨頭Amazon揭露一款開發中的揀貨機器人Sparrow</a>，能利用電腦視覺和AI技術，辨認出倉儲中上百萬種貨物，並將貨物用機械手臂取出後送去包裝區。</p> <p>Amazon物流中心已經有許多環節利用機器人自動化，包括能自動閃避障礙物及人類員工的AGV Proteus、可以辨認包裹形狀及相關資料的包裹分類機器人Cardinal和Robin等。</p> <p>去年，Amazon全球物流中心打包了50億個包裹，也就是1天1,300萬個包裹。等Sparrow正式啟用後，能省下巨量人力勞動。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#口袋占有率</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#超商 #會員經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#App</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#POS </span></span></strong></p> <p><strong>3大超商會員戰略大轉變，不再拚人數改搶口袋占有率</strong></p> <p>全臺規模最大的會員爭奪戰，今年進入了一個新階段。超商從爭奪更多會員占有率，轉為利用數據分析，攻占個別會員口袋占有率，也就是狙擊消費者本來會在其他超商，甚至其他零售業者滿足的消費需求。</p> <p>要做到這點，全臺前3大的超商不約而同採取了3種工具：App、支付工具及POS機。App在超商會員經營戰略中的地位逐漸提升，如今已兼具OMO數據蒐集、行銷和提供會員體驗等功能；支付工具則能讓超商蒐集跨通路消費數據，同時也是高客單價、高投入度客戶的指標；運算能力逐漸增強的POS機，更有能力紀錄並處理更多會員及銷售現場相關的數據，讓行銷更加精準。</p> <p>為了活化會員，統一超繼續發揮統一集團規模優勢，持續擴張自家點數功能及使用場域，會員功能使用情境已經拓展到超過50個品牌能使用，能加速累積跨通路會員數據。</p> <p>起步最早的全家，則根據分析會員App功能使用數據結果，推出家庭訂閱制度，意圖用活躍會員帶來更多活躍會員，並從個人等級的會員經營，擴張到以家庭為經營單位。他們更將這些數據用於RMN的廣告業務，為自己增加一種毛利率遠高於零售本業的商業模式。</p> <p>今年才開始正式利用數據驅動會員經營的老三萊爾富，與電商平臺Line購物及開店平臺Cyberbiz形成策略聯盟，完成三方系統串接，讓會員消費數據能互通，更易於分析會員跨通路消費行為。（<a href="http://www.ithome.com.tw/article/154287">詳全文</a>）<br /> </p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自助結帳</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#人工結帳</span></span></strong></p> <p><strong>2億消費者研究：純自助結帳店面恐錯失高價值客戶商機</strong></p> <p>美國研究機構Catalina一份樣本有2.45億個消費者、45億次交易的<a href="https://www.catalina.com/shopper-insights/self-checkout-retail-experience">研究顯示</a>，雖然近期零售業掀起一股自助結帳風，但在店內保留人工結帳，才能抓住高價值客戶帶來的商機。</p> <p>研究發現，目前只使用人工結帳的消費者高達49%，只有12%消費者是純自動結帳派，39%消費者會兼用兩種結帳方法。其中，以這39%消費者，客單價跟消費頻率最高，且平均家庭收入也比其他兩種消費者高。</p> <p>因此，報告建議零售業者，仔細研究這些高價值消費者使用不同結帳方法時的消費行為，作為精準行銷參考，並妥善安排店內店內自助結帳和人工結帳的比例，在勞動成本及高價值客戶營收間取得平衡。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#搜尋引擎購物</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AR試穿</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AR試用</span></strong></span></p> <p><strong>Google推出鞋類及化妝粉底的AR購物輔助工具</strong></p> <p>Google將於<a href="https://blog.google/products/shopping/more-ways-to-shop-in-ar/">搜尋頁面新增兩種AR購物輔助工具</a>，分別是鞋類3D模型預覽及粉底顏色預覽。鞋類預覽功能支援商家上傳鞋類商品的3D建模，讓消費者能看到360度商品樣貌，還能開啟相機鏡頭，預覽鞋子在使用者當下空間中的樣子。</p> <p>粉底顏色預覽則是讓消費者搜尋粉底商品時，能從148名膚色不同的模特兒中選取與自己膚色最接近的人，作為預覽模特兒，來模擬使用該款式粉底的效果。此功能支援上千種不同品牌的粉底色。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人機</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧物流</span></span></strong></p> <p><strong>Amazon更高規格的新型無人機亮相</strong></p> <p>年中宣布無人機配送服務Amazon Prime Air即將上線後，<a href="https://www.aboutamazon.com/news/transportation/amazon-prime-air-delivery-drone-reveal-photos">Amazon近日公開了新型無人機MK30的設計</a>。這款無人機比現行機行MK27-2更輕、更小、飛行距離更遠、耐溫範圍更廣、安全配備更完善，可以在小雨中飛行，且降低25%噪音。這些改良中，最重要的是安全性及可服務範圍提升，有利於未來無人機物流更加普及。</p> <p>Amazon表示，這款無人機將持續改良並測試，並爭取美國聯邦航空總署認證，預計2024年正式啟用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/drone.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#搜尋引擎購物</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#業配媒合平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#比價功能</span></span></strong></p> <p><strong>先買後付業者Klarna推出比價上千家電商的商品搜尋工具</strong></p> <p>有上億使用者和45萬家合作零售業者的瑞典BNPL業者Klarna於<a href="https://www.klarna.com/international/press/introducing-klarna-spotlight-a-collection-of-product-innovations-for-a-new-era-of-shopping/">自家App推出比價搜尋工具</a>，不僅有像電商一樣的商品分類搜尋選項，還號稱會搜尋上千家電商即時和歷史價格來比價，並在結帳時自動搜尋折價券來使用。</p> <p>Klarna同時於App中新增了可直接購物的影片廣告，以及業配媒合功能，來一站式搓合創作者及廠商業配案，並提供業配創作的發布平臺。</p> <p>這些比價與電商功能，與Amazon在自家電商上的比價功能，及Google近月積極開發的搜尋引擎購物體驗優化、Youtube電商功能和業配搓合平臺功能，都不謀而合，透露出Klarna與兩家巨頭競爭的企圖。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#元宇宙</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#虛擬商品</span></span></strong></p> <p><strong>Nike推出Web3虛擬商品平臺</strong></p> <p>運動服飾品牌<a href="https://about.nike.com/en/newsroom/releases/nike-launches-swoosh-a-new-digital-community-and-experience">Nike推出Web3虛擬商品平臺</a>，可以在上面蒐集、交易甚至與Nike共同創作虛擬商品。若創作的虛擬作品成功商品化，作者還可以分得版稅。這些虛擬商品未來可以在其他遊戲或是沉浸式體驗中使用。</p> <p>目前此平臺已經進入Beta測試，在經營平臺社群一段時間後，Nike計畫於2023年推出第1套虛擬收藏品。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="http://https://news.adidas.com/originals/virtual-gear-for-new-realities--adidas-originals-launches-inaugural-nft-wearables-collection/s/b9c13f73-b7b4-412f-9e19-f8a4d9781621">Adidas新增了一個元宇宙產品線分類。</a></p> <p>2. <a href="https://www.globenewswire.com/news-release/2022/11/15/2556300/0/en/Victoria-s-Secret-Co-Expands-its-Bra-Fit-Services-Making-Finding-the-Perfect-Bra-Easier.html">維多利亞的秘密推出App新功能，利用3D掃描技術自動推薦消費者內衣尺寸。</a></p> <p>3. <a href="https://twitter.com/AaronandML/status/1592581288401440768/photo/1">加拿大大型量販店Giant Tiger完全淘汰舊有電商科技，用Shopify等新零售科技業者的技術取代。</a></p> </div></div></div>
2022/11/24 10:55作者郭又華https://www.ithome.com.tw/news/154382
Meta發現首個來自美國軍方的帶風向行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/wp-content/uploads/2022/11/Quarterly-Adversarial-Threat-Report-Q2-2022-1.pdf" target="_blank">Meta於本周發表了今年第三季的對抗威脅報告（Adversarial Threat Report）</a>，揭露了首個源自美國軍方的「協作不真實行為」（Coordinated Inauthentic Behavior，CIB），美國國防部旗下的中央司令部則拒絕回應此事。</p> <p>這些協作不真實行為主要是以偽造的身分在網路上帶風向，操縱自己或是其它國家的議題，根據Meta近年來的調查，全球有超過50個國家會藉由社交平臺執行各種CIB活動，在2017年至2020年間，<a href="https://www.ithome.com.tw/news/144667" target="_blank">最常於臉書上執行CIB活動的國家</a>依序是俄羅斯、伊朗、緬甸、美國與烏克蘭。</p> <p>然而，過去由美國所執行的CIB活動，主要來自邊緣政治人物、公關或顧問公司，以及媒體網站，這次是第一次發現美國軍方涉身其中。</p> <p>今年第三季時，Meta以違反該平臺CIB政策為由，移除了由俄羅斯在臉書上所建立的1,633個帳號、703個粉絲頁，1個社團，以及Instagram上的29個帳號。中國則有81個臉書帳號、8個粉絲頁、1個社團與2個Instagram帳號被移除。美國有39個臉書帳號、16個粉絲頁、2個社團與26個Instagram帳號被移除。</p> <p>該季由Meta所移除的美國CIB活動帳號屬於同一個網路，有不同的叢集來操縱有關伊朗、中亞、中東或北非的議題，且除了利用臉書與Instagram之外，也透過Twitter、YouTube或Telegram等平臺宣傳，Meta的研究顯示，此一網路背後的某些人與美國軍方有關。</p> <p>其實<a href="https://public-assets.graphika.com/reports/graphika_stanford_internet_observatory_report_unheard_voice.pdf" target="_blank">史丹福大學網路觀察站（Stanford Internet Observatory）與社交媒體情報業者Graphika在今年8月便曾公布類似的報告</a>，指出有一個CIB網路透過8個社交媒體平臺在中東與中亞宣傳親西方的言論，而且是一系列的計畫，而非單一操作，目的是為了促進美國與其盟國的利益，並反對包括俄羅斯、中國與伊朗等國家，也撻伐極端主義，所宣傳的網站有些是由美國軍方所贊助的。</p> </div></div></div>
2022/11/24 11:12作者陳曉莉https://www.ithome.com.tw/news/154385