論及這幾年來，最讓人倍感威脅的攻擊，就是以加密使用者電腦檔案，並要使用者支付贖金，才能復原檔案的勒索軟體（Ransomware），。遭受這類攻擊的使用者，為了電腦裡的重要資料，可能選擇付錢，希望駭客能夠還原，或者只能認栽，接受檔案無法使用所帶來的損失。

而這類攻擊手法，對於企業帶來的災害也相當顯著，包含了俗稱為「想哭」的WannaCry蠕蟲病毒，因濫用美國國家安全局（NSA）的漏洞利用工具「永恆之藍（EternalBlue）」，藉由微軟的SMBv1漏洞，於2017年5月大肆發動攻擊。由於暴發時間適逢周末，大多使用者隔周一上班時，都戰戰兢兢先將電腦的網路線拔除後，才敢開機使用，以免電腦可能遭受這個蠕蟲橫向感染波及。

去年臺灣史上最為嚴重的攻擊事件，莫過於8月台積電產線受到病毒攻擊，迫使該公司廠房大當機，必須中斷生產進度，報廢大量晶圓，損失超過50億元，而進場機臺出現的病毒，據聞就是WannaCry的變種。

作業系統與應用程式必須定期安裝修補軟體

然而，於WannaCry滲透的管道，竟是一個微軟2個月前發布修補程式防堵的漏洞，但即便是如此，還是有許多電腦因為沒有定期執行系統更新，成為這次攻擊的受害者。因此，除了定時備份重要的資料，並且安裝防毒軟體保護電腦，作業系統與應用程式的軟體漏洞修補，其實也是防範這類攻擊的重要措施。

基本上，較新版本的作業系統，還有許多連網應用程式，幾乎都會預設採用自動更新的機制。但也有少數軟體，需要使用者自行手動檢查，像是解壓縮軟體WinRAR和7-Zip，就沒有內建相關的更新功能。

值得留意的是，由於Windows作業系統中，並未針對常見的Win32應用程式提供軟體市集，若是使用者逐一確認是否需要更新，部署之後還要檢查確實安裝完成，相當耗時費力，因此，採用能管理常見軟體版本的小工具或是平臺，就能省下不少功夫。像是免安裝的Patch My PC和Ninite，或是偏向開發者的Chocolatey，都能提供類似的機制。再者，有些防毒廠商也有推出類似的附屬軟體，可供選用。

除了倚賴廠商的修補程式，以及軟體自動更新機制之外，使用者也應該適時了解自己安裝的軟體，處理了那些弱點，還有可能會帶來的影響等資訊。因此我們認為，使用者應該至少每個月一次，閱讀相關公告，最起碼要看作業系統廠商的安全性公告。

當然，採取良好的使用習慣，也是預防受到這類攻擊的重要管道──包含避免瀏覽可能潛藏危險的網站，勿點選來路不明的電子郵件連結。

安裝防毒軟體

對於一般使用者而言，想要對抗勒索軟體攻擊，防毒軟體還是最重要的防護措施。

只是在很多使用者的觀念上，可能還是認為防毒軟體可能占用過多的系統資源等因素，或是覺得裝了沒有用，甚至是認為自己的使用習慣非常良好，駭客攻擊不會找上門，抱持著僥倖心態，選擇不使用任何的防毒軟體。殊不知這樣的做法，在現今的資安情勢中，缺乏這種類型的防護，又遇上駭客濫用作業系統的軟體漏洞，電腦就很容易被植入惡意程式，遭到入侵。

若要挑選一套防毒軟體，對於許多使用者可能是個難題──不僅是廠牌相當多元，許多廠牌也同時提供免費與付費版本。再者，較新版本的Windows 10和macOS作業系統本身，都內建了相關的防護機制。

不過，在解決方案眾多之下，很多人可能會問，免費版防毒軟體的保護能力足夠嗎？攔不攔得住勒索軟體？需要購買付費版本嗎？還是使用作業系統內建的就好？

基本上，自Windows 8開始，內建在視窗作業系統的防毒軟體Windows Defender，隨著多年來的發展，如今也得到AV-Test、AV Comparatives等評測單位，給予中上評價的肯定。因此，相較於未內建防毒軟體的Windows 7，採用較新版本的Windows 10，安全性便高出不少。

再者，免費版的軟體，通常只具備基本的防毒功能，缺乏付費版本常見的進階保護機制，像是防火牆、上網防護，或是線上交易防護的措施等。而且，在這些資安業者所列出的功能比較表中，幾乎都會強調，付費版本才提供進階的勒索軟體保護能力，以現在勒索軟體不斷出現變種的態勢來看，購買付費防毒軟體有其必要性。

但使用者就算願意花錢購買防毒軟體，也會面臨在廠商提供的多種套餐中抉擇──這些功能是否自己需要，還是多花錢呢？一般而言，個人端防毒產品線裡，大部分會包含3種版本：單純提供防毒功能的Antivirus、整合防火牆功能的Internet Security，以及由網路防護版延伸提供更多進階功能，甚至整合多臺授權的Total Security等。

以保護電腦不受勒索軟體威脅的前提下，至少應該購買具備防火牆功能的Internet Security版本，所提供的保護較為完整，較能防範現在許多勒索軟體會橫向感染的現象。

假如電腦會在多個不同的網路環境上網，那麼，防火牆的作用便顯得格外重要；另一方面，若是需要同時保護多臺PC、筆電、手機、平板電腦等裝置，則可考慮購買能提供多臺防護的組合套裝，許多廠商不只額外提供了集中控管的平臺，以便消費者管理，而且，平均每臺電腦所取得相關防護的費用，還可能比個別採買Internet Security要來得便宜。

另外，若是在家中的網路環境，未了提升安全性，使用者也可以考慮部署強調防毒防駭功能的無線路由器。

一般來說，防毒軟體不僅擁有即時監控的能力，也會排程定期掃描整臺電腦。不過，除了避免執行掃描時，可能占用較多的系統資料，而影響我們使用電腦，也應該避免把排程設定到電腦不會開機的時間點，導致這樣例行檢測的機制無法發揮效用。而一般來說，我們應該讓電腦至少每星期就執行一次上述的檔案檢測工作。

對於可疑的檔案或是電子郵件附件，我們可以點選右鍵功能選單，讓防毒軟體檢查後才放行，若是還不放心，則可以上傳到VirusTotal網站，由超過60家防毒引擎進行檢測，協助判斷。

備份重要資料

善用備份軟體維持資料的可用性

若是資料平時有了充足的備份，電腦裡的檔案就算不幸被勒索軟體加密，使用者的損失程度比不備份的狀況要少，若能善用備份軟體提供的資料保護機制，可減少電腦復原所需的時間。

除了電腦基礎的防護措施使用之外，維持資料的可用性，也是讓使用者遭遇勒索軟體的攻擊時，能將損失大幅降低的手段，換言之，若是擁有檔案的副本，即使電腦上的內容遭到加密而無法復原，使用者還是可以存取備份的資料，毋需面臨支付高昂的贖金，卻擔心駭客未必會解密的情況。

一般而言，比較完善的備份概念，稱為「三二一原則」，也就資料至少要備份3份，並且存放在2種以上的儲存裝置，其中1份必須保存在異地。針對存放裝置而言，例如分別備份於電腦本機與外接式硬碟，就符合上述第2個要件，而對於大多數個人使用環境來說，雲端儲存空間算是最容易做到的異地備份措施。

在備份檔案的做法上，最直接且沒有執行門檻的，便是搭配外接式硬碟，將其定時連接到電腦上備份資料，但平時，這個硬碟並不會與電腦連接，以免受到勒索軟體攻擊時，裡面的資料也同時被加密。不過，這種方式便非常仰賴使用者自律，抽空執行相關的作業。

若是採用專用的備份軟體，由電腦自動執行備份，會是比較可靠的措施。

在資料儲存空間的配置上，一般使用者也許可以考慮在家中網路環境裡，建置網路儲存系統（NAS）。

由於NAS是設置在內部網路環境，儲存空間也較有餘裕，同時，也能將資料儲存的風險，從經常連網的個人電腦當中區隔開來。本文出自《iThome 2019臺灣資安年鑑》

一寫多讀（Write Once Read Many，WORM）技術，最初是為了法規遵循與資料長期歸檔保存而誕生，但憑藉著防止資料竄改的能力，在今日的資安防護應用中，也能扮演要角。

舉例來說，近年來，勒索軟體已成為企業最主要的資安威脅之一，備份雖然被視為因應這類威脅的重要手段，當線上資料遭到勒索軟體侵害後，仍能透過備份複本還原資料，但如果企業的備份架構未能擁有適當的防謢措施，備份複本也可能一同遭到勒索軟體的感染，以致備份複本也不可用。

在勒索軟體威脅下，為求保住作為企業資料最後命脈的備份複本，資安廠商與備份軟體廠商，也提出了各式各樣幫助企業保護備份複本的反勒索軟體措施，例如引進離線備份儲存架構（磁帶或可移動的外接磁碟）、為備份軟體引進反勒索軟體的偵測與阻擋加密功能等，不過，這些手段大都是從備份作業的前端來著手，如離線備份是透過實體隔離方式，減少備份複本接觸病毒的機率；備份軟體的反勒索措施則透過監控備份過程，阻擋可疑的資料加密動作。

現在則有廠商提出了不同的思路，直接從備份儲存媒體本身著手，利用一寫多讀（WORM）技術防止資料竄改的特性，從根本上防止備份資料遭到勒索軟體的侵害。

防制勒索加密的新思路

顧名思義，一寫多讀（WORM）技術只允許對儲存媒體寫入一次資料，然後，儲存媒體便成為無法複寫、修改或刪除的唯讀屬性。

最初，WORM技術是為了長期資料保存或法規遵循應用而誕生，透過儲存媒體的物理性質特性，或是儲存系統底層軟體、韌體功能，確保寫入儲存媒體或指定儲存區的資料，無法再被更改或刪除，以提供法律與訴訟上的有效性。

而利用WORM技術保存資料的特性，對於保障資安也能發揮作用。由於WORM能保證寫入後的資料，狀態不再變化——既不可刪除，也不可更改，徹底「鎖住」了資料狀態，那麼自然也不會遭到勒索軟體的加密。當WORM用於備份儲存時，即使備份複本已感染勒索軟體，但由於WORM機制已經「鎖住」了資料狀態，先天上就遏止了勒索軟體發作、加密或刪除資料的可能性。

所以在勒索軟體危害盛行的今日，WORM技術也展現出應用於法規遵循以外領域的潛力，開始有廠商推出結合了WORM技術的備份防護解決方案。

WORM技術的基本類型

WORM是一項歷史悠久的技術，光學式WORM技術早在30年前就已問世，磁碟式WORM產品推出市場，也已經超過15年。

一般來說，WORM技術可以依照儲存媒體的類型，分為光學媒體式與磁性媒體式兩大類型，不過我們認為更邏輯的區分方式，是依照WORM「鎖住」資料的方式，依此可以將WORM概分為物理型、韌體型與軟體型等三大類，分別透過物理特性或機構，儲存裝置韌體，或是儲存系統軟體，來提供WORM能力，這三種形式各自利用不同原理運作，從而擁有不同層次的保存資料能力，以及使用特性。

物理型的WORM技術

利用儲存媒體本身的物理性質，或是物理機構方面的設計，來提供一寫多讀的能力。

許多光學儲存媒體如CD-R、DVD-R等，都能透過材料本身的特性，提供只允許寫入一次，資料從此成為唯讀的能力。物理型WORM最大優點是極為可靠，其防寫措施是建立在儲存媒體的物理性質上，從根本防止了刪改資料的可能性。

例如，光學儲存媒體的WORM機制，是透過加熱光碟片染料產生的化學變化，帶來光碟片反射率的變化來實現，而這個過程是不可逆的，只要物理法則沒有被推翻，任何人也無法違逆物理法則、刪改光學WORM媒體的資料，唯有物理破壞手段才能銷毀其中的資料，因而是最可靠的一種WORM技術。

光學式WORM的主要缺點，是使用較為不便。首先，光學媒體的容量較小，如BD-R的單碟片容量最大只有50GB，需要很大數量的光學媒體，才能完整保存前端主機的資料。其次，光學式WORM儲存媒體屬於離線儲存裝置，因而也難以因應經常讀取或檢索的需求。

除了光學媒體外，磁帶、軟碟片之類的磁性儲存媒體，也能透過遮蓋防寫孔，來達到資料寫入後便不再允許更改的能力，同樣算是一種物理的防寫手段——當寫入資料後，隨即遮蓋防寫孔，便構成了一寫多讀應用。但這種防寫能力是可逆的，只要解除防寫孔就能寫入資料，不能算是真正WORM媒體。

類似的，有些SD記憶卡雖然也提供了防寫開關，但同樣是可逆的，而且防寫機制也很容易遭到繞過，防刪改的可靠性並不充份。

所以，磁帶與SD卡的WORM應用需求，必須由專門的WORM磁帶與WORM SD卡來提供，而這兩種WORM裝置都是依靠微控制器韌體來提供WORM能力，屬於我們後面介紹的韌體型WORM技術。

韌體型的WORM技術

利用儲存裝置的韌體，將儲存媒體設定為一寫多讀，適用於磁帶、SD卡與SSD在內的儲存媒體。

幾乎所有主流磁帶系統都能提供專用的WORM卡匣，透過磁帶機的微碼控制功能，與磁帶卡匣上的識別微碼配合運作。當磁帶機識別出磁帶是WORM形式時，便會禁止更改或刪除已寫入該磁帶中的資料。

如當前最普遍的LTO磁帶，只要是LTO 3以後的規格，都有對應的WORM磁帶版本。另外Sony的AIT、IBM的3592，SotrageTek T10000等磁帶，也都有WORM版本可供選購。

不過，即使是WORM磁帶，理論上，也能透過從外部施加強力磁場的方式，透過消磁來強制刪除這類磁性儲存媒體中的資料，所以，必須同時搭配實體管制措施，才能完整保證資料的完整性。

類似的，當前也有一些SD卡與SSD提供了WORM功能，透過儲存裝置的微控制器，鎖住Flash記憶體的刪除功能，只剩下寫入與讀取功能，所以特定記憶體區塊被寫入資料後，就無法再刪除與複寫，只能讀取。

比起WORM磁帶，WORM SD卡或WORM SSD的防刪改能力更為可靠，雖然依靠微控制器韌體所實現的資料防刪改能力，不像光學WORM裝置那樣絕對不可逆，但是在實務上，繞過微控制器韌體的可能性很低，可認為擁有接近光學WORM技術的可靠性，只有物理破壞手段能銷毀其中的資料。

軟體型的WORM技術

在儲存陣列設備上，也能利用儲存作業系統的軟體功能，將指定的儲存區設定為一寫多讀，只要設定了WORM，即使是系統管理者，也無法刪改該儲存區的資料。

為了保證WORM功能的強固性，多數軟體實作時都會依循一些相關的官方資料保存與資料完整性監控規範，例如美國證券交易委員會的SEC 17a-4(f)（針對證券交易業者的電子資料保存規範），或是美國聯邦政府的FDA 21 CFR Part 11（針對醫療業的電子紀錄保存規範）等。

不過，與物理型或韌體型WORM技術比起來，軟體型WORM技術的防刪改能力，仍相對較不可靠，由於是依靠儲存控制器的軟體來提供WORM功能，只要將磁碟機移出儲存設備之外，該磁碟機就連帶失去WORM特性，所以需要搭配實體管制，才能保證完整WORM能力。

而軟體型WORM技術的優勢，則是使用便利。首先，是可透過CIFS/SMB、NFS等標準傳輸協定存取，便於因應快速讀取與檢索的需求。

其次，可透過設定保存期限，提供「有管制」的可逆機制。一般來說，WORM軟體功能都會提供設定保存期限的選項，讓管理者選擇「鎖住」特定檔案或物件的時間，到期後，便會解除該檔案或物件的WORM狀態，此後便能將資料刪除，回收儲存空間；如果將將保存期設為無限大，則被鎖定的檔案或物件，就成為與WORM光碟或WORM磁帶一樣的永久性WORM。

而軟體型WORM技術落實到實際產品上時，又可分為專用型WORM儲存設備，以及通用儲存設備的WORM功能等兩大類型。

● 專用型WORM儲存設備

如名稱所示，是專門針對法規遵循的資料保存需求、以提供WORM功能為目的設計的儲存設備，這類產品中，最知名的便是Dell EMC的歸檔儲存系統Centera，還有IBM的Total Storage Data Retention 450等。

GreenTec USA在這方面也著力甚深，該公司旗下提供了CYBERdisk WORM軟體，以及專供WORM應用的WORMdisk系列外接磁碟，與Ninja系列WORM 儲存伺服器產品，最特別的是，該公司還提供搭配雲端環境應用的WORMcloud服務。

● 通用型儲存設備的WORM功能

是在NAS類型通用儲存設備系統中，提供WORM軟體功能選項，可將指定的儲存區設定為WORM。

目前許多中高階NAS儲存平臺，都提供了WORM功能選項。例如NetApp ONTAP儲存系統的SnapLock功能；Dell EMC旗下Isilon系列NAS的SmartLock功能，PowerMax與Unity儲存陣列NAS應用功能中的File-Level Retention，Data Domain平臺DD OS儲存系統的Retention Lock功能；還有HPE 3PAR儲存陣列 FilePersona軟體套件中的File Lock功能等。

另外一些高階的虛擬磁帶櫃（Virtual Tape Library，VTL）產品，也能提供軟體形式的WORM功能選項，如IBM TS7700、富士通ETERNUS CS8000與CS High End等。

除了前述高階儲存設備外，有些中、低階或入門級NAS的儲存作業系統，也提供WORM功能選項，如國產廠商QSAN的XCubeNAS，以及商丞（Proware）的Unified Storage，還有3Gen的Unified Platform等，這些產品可為資源有限的用戶，提供低成本的WORM儲存應用。

另外，部份公有雲儲存服務的物件儲存環境，目前也提供了WORM功能選項，例如Amazon S3的S3 Object Lock功能，以及Google Cloud Storage的Bucket Lock，可為雲端環境上儲存物件，提供WORM屬性設定。

WORM的資安延伸應用

WORM雖能保證資料的完整性，但畢竟只是一種消極的保護，作為把守最後一關的防止資料竄改手段。不過，以WORM技術為基礎，再結合其他儲存與資安技術，便能提供更豐富的資安防護應用。

例如Dell EMC的Cyber Recovery，便藉由結合WORM、遠端複製、快照、與資安分析等技術，提供了一種嶄新的資安解決方案概念。先經由遠端複製獲得用戶資料的複本，然後透過WORM技術，確保獲得的用戶資料可靠性與不可竄改，再透過快照產生不同時間點、具備或不具備WORM特性的複本，最後將這些複本用於資安掃描、分析或測試等用途。

如此一來，便能在保障用戶資料不可刪改的同時，將用戶資料複本用於不同目的，不僅提高複本的可利用性，也擴展了WORM的附加價值。

【結合WORM、遠端複製與快照的資安應用】Dell EMC Cyber Recovery

儲存業界龍頭Dell EMC推出的Cyber Recovery，是一款應用了一寫多讀（WORM）技術、具備資安防護功能的資料備份歸檔儲存套件。這款產品最初在2016年問世時，稱為Isolated Recovery Solution，2018年以後改稱為Cyber Recovery，目前最新版本是18.1版，其中的18代表2018年，.1代表版本編號，18.1表示這是2018年的第1個主要版本。

Cyber Recovery的組成與運作

一個Cyber Recovery環境稱作Cyber Recovery Vault（CR Vault），包含了下列元件：

● Dell EMC的Data Domain儲存伺服器：負責提供儲存空間，以及WORM、遠端複製與快照等功能。

● Cyber Recovery管理伺服器：執行Cyber Recovery軟體，提供系統管理，與對外連接的資料傳輸。

● 應用分析伺服器：整合了稱作CyberSense的自動分析功能，提供資安分析服務。

● 備份應用還原伺服器：運行Avamar、Networker等備份軟體，負責還原CR Vault內保存的備份資料。

● 應用程式還原伺服器：作為應用程式還原的目標裝置。

CR Vault最多支援10套Data Domain系統，至於4種應用伺服器，則可安裝在專用的實體伺服器，不過，一般是由1臺Dell EMC VxRail超融合伺服器，透過VMware ESXi HA Cluster平臺以VM型式來部署。

CR Vault構成了一個對外實體隔離的環境，用於保存關鍵資料，並提供資安分析與資料還原等應用功能。

在標準的Cyber Recovery架構中，要求前端生產環境也要有一套Data Domain儲存設備。基本運作過程可以分為3個階段：

Cyber Recovery的運作過程可分為3個階段：（1）資料同步：生產環境的Data Domain儲存設備，透過MTree Replication遠端複製功能，在Air Gap管制下將資料複製到CR Vault的Data Domain儲存設備。（2）建立不可刪改的還原點複本：透過Retention Lock與快照功能，建立不可刪改的多個還原點複本。（3）建立資安分析用複本：透過快照建立可讀寫的複本，用於資安分析、測試等目的。 圖片來源／Dell EMC

 階段1  在生產環境，前端主機將資料寫入生產環境的Data Domain儲存設備，然後利用Data Domain的MTree Replication遠端複製功能，將資料同步到CR Vault內的Data Domain儲存設備上。從生產環境到CR Vault的複製作業，是透過管制的Air Gap機制來進行，只有在進行複製時，CR Vault的傳輸埠才會開啟，複製結束後就關閉，維持CR Vault的隔離。

 階段2  當CR Vault的Data Domain儲存設備接收到前端生產環境的資料後，透過Data Domain的Retention Lock鎖住備份資料的狀態，成為一份不可刪改的黃金複本（Golden Copy），接下來再利用Data Domain的快照功能，從黃金複本產生多份不同時間點的快照複本，這些快照複本也具備不可刪改的特性。

 階段3  在CR Vault建立可寫的複本，然後掛載給分析伺服器或備份應用還原伺服器，用於資安分析、資料還原演練或是測試等情境。

Cyber Recovery保護資料的單位，是以Data Domain儲存設備的Mtree儲存區為基準，在生產環境的Data Domain儲存設備上，每一個被保護的Mtree，在CR Vault還鏡的Data Domain儲存設備上，都會產生3個以上對應的Mtree複本，其中1個是作為遠端複製目的地的MTree複本，1或多個透過Retention Lock保存的Mtree複本，還有1個可讀寫、掛載給CyberSense用於資安分析的Mtree複本。

WORM扮演的角色

整個CR Vault是與外部實體隔離的，唯一的對外通道是Air Gap管制下的傳輸埠，只在資料同步傳輸作業時開啟。而Data Domain的Retention Lock功能，則能確保CR Vault收到的黃金複本不可刪改。透過Air Gap的實體隔離管理，與Retention Lock功能的防止資料刪改能力，共同確保了CR Vault的安全性。

Cyber Recovery使用的Retention Lock功能，可以是Governance或Compliance等兩種版本，兩者都能提供個別檔案層級的資料保存時間設定，其中Governance版允許系統管理員調整資料保存設定，Compliance版則需要更高的雙重用戶授權（如系統管理員+資安長），才允許調整資料保存設定，防護等級更高，可符合SEC 17a-4(f)、FDA 21 CFR Part 11、CFTC Rule 1.31b、Sarbanes-Oxley Act、ISO Standard 15489-1等資料安全規範。

透過Retention Lock可提供個別檔案層級的資料鎖定與保存期限設定，不過在Cyber Recovery中，是以鎖住整個MTree儲存區為原則。此外，CR Vault也不以長期保存資料為目的，所以建議的Retention Lock設定期限是7～45天。

這是臺灣最大規模的企業資安大調查，382家臺灣兩千大或知名企業參與，涵蓋企業今年第一手資安投資動向、資安編制現況，更披露臺灣資安災情和企業防護水準現況

如果想了解臺灣企業資安現況，iThome年度的臺灣資安大調查可說是一份相當具有參考性的資料，而在這個月，我們終於完成了今年的版本，在iThome電腦報週刊、2019臺灣資安年鑑等兩本刊物公布內容，同時，也在2019臺灣資安大會現場，由主持這項調查的副總編輯王宏仁，親自向所有與會者報告我們的問卷統計結果。

就重大資安風險的比例而言，2019年前兩名分別是「員工疏忽、欠缺資安意識」，以及「惡意程式」，均比2018年略高，值得注意的是惡意程式從第3名升至第2名，比去年增加了1.3％，釣魚攻擊則下降一個名次。

接下來，「系統老舊」與「駭客攻擊導致企業受影響」分別拿下第6名（26.2％），以及第7名（20.2％）。但這兩項去年都並未進入前十大企業資安風險，顯示今年的臺灣企業已經察覺到系統老舊可能帶來的風險，以及對於駭客攻擊可能帶來的衝擊。

而在企業資安事件的主要攻擊來源當中，前五名的類型不變，仍是駭客最多，其次是內部員工，第三是組織型犯罪，比例都降低了，但離職的前員工的比例則增加了0.2％。

而關於企業無法阻擋資安攻擊的原因當中，排名前五大的因素，比例大多比去年低，但居首的「員工資安意識不足」不動如山，仍是63.1％，顯見企業必須持續進行相關的宣導，不能鬆懈！

而在第6名到第11名當中，「需要分析的資料太多」今年突然空降到前十名，直奔第7。

同時，我們也發現「管理高層的資安意識不足」與「缺乏管理階層的支持」都比去年增加了1％以上。面對上述狀況，企業應該要多多注意高階主管的資安意識，不應讓管理階層成為推動資安的阻礙。

而提升比例更小、但不能忽視的部份是「市場上缺乏有效的資安產品」，以及「部門間缺乏合作」，解決方案供應商與企業本身應該持續改善這些因素，避免讓資安防護產生死角。

就各個產業的企業而言，對於遭遇資安攻擊的狀況，以及災後復原的能力，我們想特別提醒一般製造業，需要特別當心！

首先，因為在去年遭遇50次以上攻擊事件的比例，一般製造業是18.5％，僅次於金融業（20.8%）；其次，在察覺自身受到攻擊的時間當中，一般製造業最為遲鈍，平均需23.7天，也就是超過三週才會發現（整體平均值為11.5天，慢了1倍以上）；若就復原時間來看，一般製造業需6.3天，幾乎快要一週才能恢復正常運作，處理時間過久（整體平均值為4.3天，慢了45％）！

此外，對於資安防護信心偏低的企業比例，一般製造業也是高達23.9％，排名第二。在年度資安投資金額上，一般製造業更是敬陪末座，平均只有136萬元，低於臺灣企業整體平均的20％。若再將這筆預算除以12個月，一般製造業每個月花在資安的比例只有11萬元，相當令人擔憂。

讓我們再來看看今年的企業資安投資重點項目。其中，針對「網路安全」的企業比例最高，達到57.9％，顯示企業非常關切這方面的保護是否夠完備；而去年身為榜首的IT基礎架構防護，今年退居第二，比例也減少了一些。

另一個讓人意外的部份是災難復原，拿下第三名。

至於其他名列前茅的投資項目，比例都有減少的趨勢，但差距最大的是「強化權限存取控管」，去年是40.6％，今年是19.6％，其次是資料外洩防護（DLP），今年為23％，接著是端點安全、員工意識教育訓練。或許這樣的反差，代表著企業採用或導入相關機制的情況，已經變得更普遍，所以，資安投資的重心有所調整。

重點新聞（2019/03/28～2019/04/03）

  新北市     消防局     雲端     動態救護系統   

新北救護車將啟用雲端動態救護系統，望提升OHCA康復率

新北市消防局日前宣布，完成「智慧雲端動態救護系統」建置，整合了行動急診室及緊急救護智慧系統，讓局內110輛救護車能即時連線指揮中心和醫院端。指揮中心會比對救護地址，自動調閱患者過去的救護記錄，將患者病史、禁忌症、過敏症狀等資訊，即時傳送至系統，供急救員了解，以給予患者最適合的急救處置。系統3月試運至今，新北市到院前心肺功能喪失（OHCA）患者的康復率，由過去的8%提升至8.44%。市政會議上，新北市市長侯友宜期許，有了此系統建置及加強人員培訓後，能讓新北市OHCA康復率達到9%。

另一方面，透過此系統，救護員將利用平板電腦，把車內生理監視器所測量的患者生理資訊，包含生命徵象、12導程心電圖、急救員評估處置等，即時同步傳輸到救災指揮中心，以及醫院。醫院在病人送達前，即獲得病患的生理資訊，便能及早整合照護機制，採取相關應變措施，並在病患到院時，馬上啟動診治，省下到院後的診察時間，以提升救護效能。（詳全文）

  金管會     金融機構     雲端開放    管理原則    

金管會揭露開放銀行上雲端的3大管理原則

金管會主委顧立雄近日出席一場活動時，就金融機構採用雲端服務，提出了3大雲端開放的管理原則，首先，金融機構若使用境外的雲端資料中心，必須要求機房所在地的監理機關，開放金管會前往，行使實地查核的權利；其次，因涉及個資保護範疇，雲端業者僅限提供服務，不可具有控制資料存取的權利；最後，金融機構要訂立退場機制，當雲端服務退場時，要遵循退場要件，採取必要措施，包含刪除儲存於雲端的資料，以利資訊防護。

金管會於3月初時，召開過「金融機構作業委託他人處理內部作業制度及程序辦法」修正草案公聽會，目前進入研擬開放管理辦法的階段，而上述3大原則將為規範的主軸。

  雲端產業     中國自貿區      中美貿易戰   

中國擬放寬雲端規範，開放外資在自貿區運營雲端資料中心

中美貿易戰正在進行新一輪的談判，根據《華爾街日報》的報導，近日，中國國務院總理李克強會見了多名外資企業高層，透露正考慮開放外國的雲端業者，在自由貿易區獨立經營雲端資料中心，作為自由化試點。中國此舉被視為就中美貿易談判，做出的新一項讓步。

報導更進一步指出，目前中美雙方就中國開放雲端市場，仍有些關鍵問題待磋商，像是自貿區與中國其他地區間，是否可自由地雙向傳輸資料，還有外國雲端業者可在自貿區提供哪些服務項目，以及外國雲端業者可向哪些客戶提供服務等。而該雲端自由化試行點可能落腳在貴陽。目前，各家非中國的雲端業者，像是亞馬遜和微軟等，必須採取與中國公司合資，以共同營運的模式，才可進入中國雲端市場。（詳全文）

  福斯集團    AWS     串聯工廠   

福斯集團與AWS結盟，打造福斯工業雲，要串聯全球122座工廠

汽車龍頭福斯集團近期宣布，與AWS結盟，打造「福斯工業雲」（Volkswagen Industrial Cloud），要借助AWS雲端技術，串聯全球122座工廠，透過工業物聯網的架構，提升生產力。此雲端平臺將串聯各工廠所有的機器和系統，並藉由AWS雲端服務，像是機器學習、數據分析平臺等，改善工廠製造流程，例如運用於物流作業，可藉由數據分析，從而更有效地管控，並及早發現供應瓶頸和流程中斷處，以盡早排除問題，提升車輛生產效率和品質。該平臺更會發揮串聯的影響力，使單一工廠作業流程的改善點，可跨工廠應用，以達到標準化的規模。

除了122座工廠，未來，平臺也將把福斯集團旗下超過3萬個據點、逾1,500家供應商，甚至其他車廠，都納入該平臺串聯對象的名單上，福斯集團強調，該平臺為開放性質，可提供其他車廠使用其服務。另外，福斯集團與AWS兩方更計畫在德國柏林，成立工業雲創新中心。（詳全文）

  BigQuery      資料倉儲       搬遷服務  

為吸引企業將資料搬上雲，Google推出BigQuery資料倉儲搬遷服務

Google最近推出BigQuery資料倉儲搬遷服務，企業若想將資料從傳統資料倉儲，搬遷到Google資料倉儲服務BigQuery，Google可提供搬家工程的相關技術服務。典型的資料倉儲搬遷工程有3個階段，分別是將資料、架構和工作負載，依序由舊的資料倉儲系統遷至新系統，架構搬遷需轉換原資料定義與拓墣，而工作負載搬遷，則須將舊資料倉儲上使用的ETL工作管線、資料處理工作、儲存程序，以及儀表板等，轉移到新系統上。Google現提供的BigQuery搬遷服務，可自動完成資料和架構兩階段至的遷移工程，能節省企業用戶的搬遷時間。除了提供搬遷支援，Google也提供用戶架構設計指導、概念性驗證與免費訓練等服務。（詳全文）

  微軟     防護計畫    Azure    物聯網裝置     

微軟擴大專利防護計畫，再免費捐贈500項Azure物聯網專利

微軟於3月28日宣布，Azure專利防護計畫Azure IP Advantage保護對象的範疇，將延伸觸及IoT裝置，包含連接Azure的IoT裝置，以及使用微軟Azure Sphere專案和Windows IoT的裝置，並捐贈500項專利給LOT Network組織，供新創公司免費使用。微軟於2017年時，首次通過Azure IP Advantage計畫，提供1萬項專利，保護使用Azure服務的客戶及開發商，讓他們跑在Azure雲端的服務，不會受到專利訴訟。此次，微軟則是將計畫的保護對象，擴大到連接Azure的IoT裝置。

另外，微軟於去年加入非營利組織LOT Network，與Google、SAP、Amazon、臉書、福特、通用汽車及Uber等成員，一同對抗專利蟑螂，而符合資格的新創公司，將可免費使用微軟這次捐贈的500項專利。（詳全文）

  AWS     微服務      監控通訊  

AWS釋出App Mesh正式版，助企業監控微服務應用程式

AWS宣布，網狀網路服務App Mesh推出正式版，讓用戶可監視與控制AWS上，構成應用程式與微服務之間的通訊。透過此服務，用戶可以監控在Amazon ECS、Amazon EKS，還有在Amazon EC2的Kubernetes上執行的微服務。當應用程式由多個微服務組成時，App Mesh使用的新架構模式，可讓開發者辨識並隔離問題，並提供一致且動態的方法，管理微服務間的通訊。而該服務並非內建在微服務中，為獨立的服務，被實作為與微服務平行運作的代理伺服器。（詳全文）

攝影／洪政偉    圖片來源／新北市消防局、福斯集團、Google

  更多Cloud動態  

1. 甲骨文5月將裁員300多位負責雲端業務的員工

2. Azure資訊安全中心的測量單位從每月改為每小時

3. Google發表未來10年企業雲端運算趨勢，超過一半受訪者認為，雲端將會結合邊緣運算技術

4. 微軟雲端安全資訊管理平台Azure Sentinel現可支援IoT裝置

5. 西澳州政府財政廳宣布，其本地端約850臺伺服器已全數由微軟Azure上的虛擬伺服器取代

資料來源：iThome整理，2019年4月

澳洲資安新創UpGuard最近在Amazon S3雲端儲存服務上，發現兩個可公開存取的儲存貯體，當中一個來自墨西哥的媒體公司Cultura Colectiva，存放了與臉書用戶有關的5.4億筆紀錄，另一個則來自臉書程式At the Pool，亦存放臉書用戶的帳號、友人名單、按讚數及At the Pool程式的密碼，只是容量遠不及Cultura Colectiva。

Cultura Colectiva在Amazon S3上存放的資料多達146GB，涉及臉書用戶在該站的各種行為，從帳號名稱、回應、評論、按讚到其它等。

至於At the Pool的資料庫亦含有臉書用戶的帳號、按讚的內容、友人、音樂、電影、照片、打卡，以及2.2萬名At the Pool程式用戶的明文密碼，雖然該密碼與臉書無關，但使用者可能在不同的服務上採用一致的密碼，造成其它帳號遭駭的風險。

有趣的是，UpGuard早在今年1月初就通知Cultura Colectiva，卻未收到回應，於是繼之在1月底通知AWS，AWS也只能再通知Cultura Colectiva，但Cultura Colectiva依然毫無行動，一直到今年的4月，當彭博社為了報導此一新聞而聯繫臉書時，Cultura Colectiva才終於保全了該資料庫。

至於At the Pool程式早在2014年就無法運作，母公司亦已關門大吉，在UpGuard發現其公開資料庫並追蹤其來源時，資料庫剛好同時被撤下。

UpGuard指出，Cultura Colectiva與At the Pool資料庫之間的共通點，是它們都存放了與臉書用戶有關的資料，從他們的興趣、關係到互動等；受到外界嚴格檢視的臉書正在緊縮第三方程式所能存取的用戶資料，然而，此次曝光的兩個資料庫卻意味著，臉書用戶資料的外洩早就超過臉書所能控制的範圍了。

因為當臉書允許第三方程式蒐集用戶資料的同時，這些資料的控制權已被轉交到第三方開發者手上，因此，光仰賴臉書來保全用戶資料是不夠的，還得冀望數百萬的程式開發者都能一起捍衛臉書用戶的資料安全。

Google在2018 Google I/O上展示的AI語音助理Duplex，先是去年10月在Pixel裝置上線，現在要進一步擴大支援包含iOS與其他非Pixel但執行Android 5.0以上的裝置。

在2018 Google I/O大會上，Google讓以Duplex技術為基礎的人工智慧語音助理，代人類打電話給餐廳以及美容院預訂服務，語音助理可以自然地與店家談話協調時間，還會刻意在句子加上「嗯哼」或「哦」等語助詞，讓店家完全沒發現來電者是電腦，幾乎與人類說話一樣的效果嚇壞不少人。

在去年10月底，Google發布Pixel 3及3 XL等裝置，同時也開始在這些裝置上支援Google Duplex，提供電腦代為打電話訂位的服務。而現在Google在其以智慧助理撥打電話的支援頁面上，將iPhone列為支援的裝置，使用者只要安裝Google智慧助理就可以開始使用，而Android裝置也只需要安裝5.0或更高版本，即可使用自動撥打電話服務，不過，目前服務的地方仍只有美國特定的43個州。

Amazon創辦人Jeff Bezos的妻子MacKenzie Bezos在4月4日公布了雙方的離婚協議，表示MacKenzie將取得雙方25%的Amazon股票，Jeff則擁有75%的股票，且MacKenzie將把所持有股權的投票權讓給Jeff，也放棄華盛頓郵報與Blue Origin的股權，解決了外界對貝佐斯夫妻的離婚事件可能會影響Amazon營運的疑慮。

根據Amazon提交給美國證券交易委員會（SEC）的8-K文件，貝佐斯夫妻的離婚協議將讓MacKenzie握有4%的Amazon股權，而Jeff則將持續持有12%的Amazon股權，但16%股份的投票權皆屬Jeff所有。此一協議也讓MacKenzie躍升為Amazon的第三大股東，僅次於Jeff的12%與Vanguard Group的6.1%。

以Amazon在4月4日收盤時的8,934億美元的市值來計算，離婚後的MacKenzie將擁有357億美元的身價。

在雙方於4月4日提出離婚申請之後，正式的離婚判決可望於90天內發出。不管是MacKenzie或Jeff都強調期待彼此進入下一個成為朋友及共同家長的新關係。

Google甫於3月26日宣布成立「先進技術外部顧問委員會」（Advanced Technology External Advisory Council，ATEAC），延攬業界的8名專家來協助規範Google內部的AI發展方向，但根據美國新創媒體Vox在4月4日的報導，由於該委員會成員的資格備受爭議而約莫只存活了一周便遭到解散。

先是有超過2千名Google員工在4月1日連署要求Google將Kay Coles James自ATEAC中剔除，原因是她是名反跨性別、反同志，且反移民的鼓吹者，這些Google員工認為James的立場直接違反了Google的價值觀。

再者ATEAC成員之一的Dyan Gibbens為無人機公司Trumbull的創辦人，最近又重建協助軍方使用AI技術的部門，再度引發類似Google Maven專案的爭論。

另一名受邀的成員Alessandro Acquisti則說他已拒絕ATEAC的邀請。Acquisti解釋，雖然他致力於研究人工智慧中有關公平、權利與包容性等倫理問題，但他覺得這並不是個正確的論壇。

Google則對外證實已經解散了ATEAC，指出於現在的氛圍中，ATEAC顯然無法如Google預期般地運作，於是Google決定終止ATEAC並重頭來過。未來Google將持續承擔AI所衍生的各種重要議題，也會透過其它管道來尋求外界的意見。

微軟在其Visual Studio Enterprise 2019上的快照除錯器（Snapshot Debugger）整合時間旅行除錯（Time Travel Debugging，TTD）功能，讓開發者可以紀錄應用程式執行路徑，並能來回重新播放，更容易地找出僅會出現在生產環境的程式臭蟲。

微軟提到，程式最容易除錯的形式是在內部循環（Inner Loop），也就是在開發者把程式碼推送到版本控制系統前，在本機端執行審查和除錯程式碼的時候，在內部循環遇到的問題，通常都是可存取且可重複的問題，因此容易理解診斷，而在生產環境除錯，則需要更詳細的資訊才能快速定位問題。

現在的偵錯器通常會讓開發者設置中斷點，開發者可以選擇暫停或繼續執行，而這樣的方式只能紀錄離散時刻的事件以及資料，包括快照、日誌記錄和崩潰傾印檔案等方法，都無法提供失敗時的詳細執行路徑細節。

而TTD則可以提供更詳細的除錯資訊，是一種逆向除錯解決方案，讓開發者紀錄應用程式或是程序的程式碼執行，並且能以向前或是向後的方式，重新播放Visual Studio中的執行路徑，讓開發者可以更全面地掌握導致特定錯誤的條件，就像是在本地端的內部循環偵錯一樣。

現在微軟在快照除錯器中整合TTD，讓開發者可以紀錄應用程式執行，並在Visual Studio 2019 Enterprise中播放錄製的內容，由於TTD針對快照點（Snappoint）配對的執行緒紀錄，因此會執行到方法（Method）結束為止。

開發者可以在具有ASP.NET 4.8以上，在Azure虛擬機器上的Windows作業系統，使用最新版Visual Studio Enterprise 2019啟用TTD預覽。開發者在Visual Studio Enterprise中，打開想要使用TTD的專案，並且確保Azure虛擬機器上存在一份相同版本的程式碼。選擇偵錯選項中的附加快照除錯器，接著選擇專案部署具有Azure儲存帳號的Azure虛擬機器。而要執行這個動作，開發者需要安裝快照除錯器網站擴充套件。

在附加快照除錯器的視窗中選取TTD選項，一旦點選附加之後，Visual Studio就會進入快照除錯器模式，開始可以使用TTD紀錄應用程式執行。開發者可以創建快照點觸發TTD，而在快照收集完成之後，就能使用命令列工具檢視快照。

由於現在TTD還在預覽階段，只支援Azure虛擬機器上執行的AMD64網頁應用程式，微軟提到，這個錄製的過程，會影響程序的執行效能，影響的程度根據程序的大小與活動執行緒的數量而不同，而TTD的使用體驗，也會在像是垃圾回收壓縮階段等不同情況受到影響，由於程式執行紀錄只會由快照點的執行緒觸發，因此之後交替的執行緒記錄狀況也會有所變化。

目前預覽版本TTD產生的檔案大小，從MB到GB都有可能，取決於對話執行的時間以及網頁應用程式運作的時間，而TTD產生的檔案會在快照除錯器對話結束時被移除，微軟建議至少應該要在具有8 GB記憶體的虛擬機器上，TTD才能順利執行。

Google發布一套Cloud Healthcare API，其提供標準介面提高健保系統資料的互通性，使得醫療組織能夠擷取健保到Google雲端，在雲端管理並且分析這些的資料，也可以利用這些資料於雲端訓練機器學習模型，再部署回原本的醫療工作流程中。

Google提到，Cloud Healthcare API能夠橋接健保系統，以及建構在Google雲端的應用程式，透過標準格式以及現有醫療技術協定，Cloud Healthcare API可以將健保相關資料介接到Google雲端功能。由於Cloud Healthcare API簡化了應用程式開發以及裝置整合，能夠加速醫療相關組織數位化，並實現與健保網路即時整合。

Cloud Healthcare API支援醫療健保新興標準FHIR（Fast Healthcare Interoperability Resources）以及醫學圖像和雲資料標準DICOM。Google雲端可以將其他格式的資料轉換成FHIR，簡化資料擷取工作，讓這些資料方便用於分析或是機器學習目的。

DICOM則是放射學、心臟病學以及皮膚病學等醫療影像既定標準，能夠方便的進行儲存與交換圖像，DICOMweb則是一個REST API，提供存儲、查詢和檢索圖像功能，而Cloud Healthcare API支援DICOMweb，讓使用者得以操作既存的影像裝置、醫療影像儲傳系統或是影像瀏覽器。

對於敏感的病患醫療資料，Cloud Healthcare API對數種資料類型提供去識別化的功能，去除能夠辨識個人的資料。使用者可以透過Cloud Healthcare API資料儲存在不同地理區域，並透過Cloud Audit Logging追蹤資料的處理過程，服務預設會紀錄資料集的修改、儲存以及IAM政策。

Cloud Healthcare API能夠將資料傳輸到雲端平臺上，使用者能應用Cloud Dataflow處理串流資料，或是使用雲端資料倉儲BigQuery進行資料分析，也能利用視覺化機器學習服務Cloud Datalab，甚至式以第三方工具Tableau視覺化分析資料。Google提到，使用者可以將醫療資料，以機器學習解決方案AutoML和Cloud ML Engine訓練自定義的模型，再將這些模型透過Cloud Healthcare API，部署到現有臨床工作流程中。

微軟宣布，下一個Windows的更新版本將命名為Windows 10 May 2019 Update，而且自May 2019 Update起，微軟將不再強迫Windows 10用戶立即展開更新，而是允許用戶延後升級，最久可延遲35天。

新一代Windows 10版本的內部代號為19H1，原本外界以為它的正式名稱為April 2019 Update，不過微軟為了避免再發生前一代October 2018 Update所出現的憾事，決定拉長19H1的預覽階段，把19H1的發表時程推遲至5月，而將正式名稱順勢改為May 2019 Update。

另一方面，自May 2019 Update起，微軟將賦予Windows 10用戶更彈性的升級選項，將允許使用者暫停功能性及每月的非安全性更新，每次可暫停7天，最多可暫停5次，因此最久可延遲35天再執行更新。

此一可暫緩更新的機制仍有例外，即是當使用者的Windows 10版本已經或即將到達服務終止日時，微軟仍會自動展開更新，以確保使用者的系統可持續被支援。

May 2019 Update也將支援智慧型活躍時間（Intelligent active hours），微軟於Anniversary Update中新增的活躍時間是讓使用者設定一般的電腦運作時間，以避免電腦在此一時段自動安裝更新並重新啟動，它的預設值為早上8點到下午5點，但許多Windows 10用戶的工作時間可能不只這個時段，加入了人工智慧能力的活躍時間則會根據裝置的使用型態自動調整活躍時間，以免更新活動妨礙了電腦使用。

May 2019 Update將具備一個新的「下載及安裝」（Download and install now）選項，在收到微軟的更新通知之後，讓使用者主動選擇何時要下載或安裝更新。該選項除了會出現在May 2019 Update中之外，亦會在5月底現身於1803（April 2018 Update）及1809（October 2018 Update）中。

微軟預計於未來一至二周釋出May 2019 Update至Release Preview Ring進行測試，而微軟的商用客戶，或是主動選擇「檢查更新」（check for updates）的使用者，以及那些Windows 10版本瀕臨支援終止的用戶則可在5月底收到May 2019 Update。

負責Windows的微軟企業副總裁Mike Fortin表示，這次微軟將更加嚴謹地進行May 2019 Update的預覽階段，不管是微軟、OEM合作業者或是軟體供應商都會在此一階段於內部部署May 2019 Update，還會鼓勵員工在個人裝置上安裝此一版本，以協助改善May 2019 Update的品質。

此外，微軟也將利用自然語言處理與機器學習技術優先偵測May 2019 Update所出現的重大問題，打算揪出也許只有少數人回報卻影響重大的問題，並將偵測重大問題的時程從數天縮短至數小時。

在臺北市如果要從一個地點移動到另一個地點，沒有自己的汽車、機車或是腳踏車，你會選擇什麼交通工具？

兩年多前，這個問題的回答，可能是公車、捷運或小黃，若距離不長還可以租YouBike，但今天的選擇多了一個，若有機車駕照，你現在可以租一輛威摩科技（WeMo Scooter）的電動機車，除了環保減碳、行駛產生的噪音低，最大的特色是不用到特定站點，打開App，附近哪裡有車就能租，還車也只需找到任何一處合法停車位就行，不論租、還都直接在App線上完成。

仿效YouBike，威摩科技也以U-Motor公共機車概念打響名號， 但是和只能定點租還車的YouBike不同，威摩的電動機車24小時都可以任意地點租還，關鍵就是將物聯網技術結合了機車租賃服務。

威摩科技在2015年創立之初有4位共同創辦人，其中一手主導技術研發的是威摩科技技術長鄭捷。

他觀察，儘管政府投入大筆經費建設大眾交通工具，但仍有不少人選擇以機車作為通勤交通工具，以臺北市來看，有36％的人使用機車作為交通工具，而使用公車、捷運等大眾運輸工具的人則只有32%。但是，在2015年當時，對環境較友善的電動機車還不普及，因此，威摩決定投入電動機車共享服務，後來選定光陽Candy 3.0電動機車。

威摩推出的電動機車共享服務，在每輛機車上加裝了自行開發的智慧黑盒，結合4G行動通訊技術，標榜無站點、免充換電池、24小時隨租隨還的便利服務。

以科技打造車聯網，撐起共享電動機車服務

鄭捷表示，威摩科技一開始就決定要以科技打造一個對使用者最友善的共享服務。其中最大特色是任意地點App租還車，落實這項服務的關鍵技術是車聯網，才讓威摩科技可以在後臺隨時掌握每輛電動機車的位置、運作狀態，確保使用者找到機車時，已處於可以上路的狀態，來維持良好的使用體驗。

在每輛電動機車中都裝了一個智慧黑盒，可以追蹤機車位置，讓用戶在大街小巷中找到前一位使用者停放的機車。當用戶按下租用鍵後，威摩科技則從遠端啟動機車，或是在還車時遙控機車熄火，這一切都靠這個智慧黑盒達成。

自行開發智慧黑盒，遠端遙控車輛、蒐集數據

無固定租還車站點、線上隨租隨還的商業模式，可能會讓人聯想到另一個交通工具租借服務oBike，不過，使用者租用oBike須以手機上的藍牙解鎖腳踏車，而威摩科技是透過4G通訊來遠端控制車輛，不論是找車、租還車、啟動或熄火，甚至最基本的打開車廂，一切都可以靠管理後臺來開關。本來，威摩科技想要採用現成的機車外部控制系統，但沒有找到合適的產品，因而決定依照自己服務的需求自行開發。

例如顧客還車後不小心遺留物品在車廂中，客服就能從遠端遙控解鎖車廂，不用啟動車輛也能讓消費者取出物品。或像機車發生故障或是電量不足，威摩科技也能從後臺掌握車況，將該輛機車自服務中暫時下架，等待維修後再重新開放租借。

另外，若是機車在租用時發生交通事故，智慧黑盒還可以即時紀錄當時的車速、車輛傾斜度，甚至是撞擊力道有多大，發揮如同飛機的黑盒子角色。

這個智慧黑盒會主動蒐集紀錄電動機車的數據，不論是停放在路邊，或是租用行駛中，除了以GPS定位追蹤機車位置資訊，還包括電動機車上的電池剩餘電量及馬達轉速。

威摩服務的另一個特色是使用者不需自行充換電，甚至消費者租車前也能得知附近每輛機車的剩餘電量，若需要長距離移動，則可選擇電量較多的機車。為了做到這件事，後臺必須精確掌握每一臺車的電池狀態，一旦出現電池剩餘電力不足，或是異常放電的情形，後端的管理人員就能馬上安排人員前往更換，即使電池離開機車，被送到威摩自己的充電站充電，仍能掌握每顆電池的充電情形。

這個智慧黑盒最初的原型是以樹莓派電腦開發而成，再接上手機提供連網能力，不過，參與原型開發工作的鄭捷笑著說，當初向股東展示這個電動機車車聯網的概念時，按下App的啟動鍵，要等上一兩分鐘，才能遠端啟動機車，現在不用2秒就能啟動。

由於樹莓派並未提供車規版本，後來威摩改用ARM架構的晶片重新設計，才打造出現在普設在每一臺機車內的智慧黑盒。而且多次改版，剛開始時因為定位不夠精準，導致使用者找不到機車位置，後來不斷測試天線位置、改善軟體設計，才慢慢提升了定位精準度。

隨著車隊規模越來越大，租借次數也逐漸增加，威摩還陸續開發了租借管理系統、電池管理系統、車隊管理、付款系統及客服系統等。

以車隊管理系統為例，主要用途是管理車輛及維護。例如管理人員可以從車隊管理系統後臺得知是否有機車出現GPS定位錯誤的異常，可以先下架異常車輛，並派出維修人員。

威摩科技以智慧黑盒架構起整套車聯網，但如何蒐集數據是接下來的問題。

鄭捷表示，物聯網雖然能夠蒐集大量數據，但也會帶來儲存成本、網路流量負擔增加，如果要將所有數據都回傳，一輛車上約有60至70個感測器，一天就有高達數GB的數據量，除了最基本的數據必需回傳外，哪些數據只需儲存在機車上？哪些應該回傳到後臺？多久回傳一次？都是車聯網蒐集數據的難題。

目前威摩電動機車在停放沒有移動的期間，隔一兩個小時就會回傳車輛位置、電池電量資訊，一旦使用者開始租用電動機車，租用期間則改為每秒回傳必要的車況數據。為了讓數據傳輸更為即時，威摩科技直接選擇4G作為為車聯網通訊技術，而非LoRa等其他IoT通訊技術。後來3G電信服務中止，這個直上4G的決定，也讓威摩省下上千輛電動機車的升級作業。

蒐集數據優化營運

要達成這樣的目標，威摩科技想辦法將蒐集到的數據用於優化營運，例如根據租借熱門的地區或時間，預測使用需求，在使用需求較多的地區，安排人員儘快前往更換電池，確保該電動機車隨時保持在可服務的狀態。
「威摩科技設定了2大服務目標，首先是使用者在10分鐘路程內可找到一輛車，其次是，當使用者需要車時，附近有夠多的車可以租用。」，鄭捷表示。

威摩科技也趕上機器學習熱潮，和第三方合作以機器學習預測機車的使用需求。鄭捷提到，未來也希望能在電池管理工作上借重機器學習，讓電池管理作業能夠自動化，不過，目前所累積的電池壽命耗用數據還不夠多。

這些數據不僅用於優化營運，還可能是新服務的基石，鄭捷表示，智慧黑盒能夠根據數據判斷車輛是否發生倒車，回報給後臺的管理系統，若能結合其他數據，如車輛租用狀況、車速資料，便可推測出使用者是否發生了車禍，早一步主動通知警察或保險人員前往處理。

電動機車化身為智慧城市大數據新來源

不只蒐集車輛的馬達、電池等數據，威摩在黑盒子中還蒐集了更多種數據，像是結合機車行駛的位置及震動變化，目前正和臺北市政府的道管中心洽談合作，要利用電動機車在大街小巷移動時蒐集到的震動數據，來協助臺北市政府找出道路不平整的地區。

另外，在部份車輛中還部署了特殊的空氣感應器，可以偵測空氣中的細懸浮微粒（PM2.5），和路平偵測的道理一樣，當這些機車在城市各處中行駛時，可以即時偵測到城市各處的空氣品質，即時呈現到網站上的空氣品質圖表中。甚至威摩的電動機車還能偵測是否路面有積水，在颱風季節來時，可以協助市政府掌握道路的淹水災情。

仰賴雲端服務，靠快速開發滿足業務需求

快速開發原則是，先求有再求好，先滿足業務單位的需要，並根據實際使用結果進行小調整，後續再將需求轉到正式開發環境，循正規開發方式來改善規模化的問題。──威摩科技技術長鄭捷

目前威摩科技在臺北市約有2,000輛電動機車，今年將增加到3,000輛，每輛機車傳送數據到後端系統，由於沒有包袱，威摩科技一開始便選擇使用公有雲服務。

「許多人質疑公有雲的安全性，但企業在考慮使用公有雲服務時，可以試想自己招募的員工，會不會比成為全球攻擊對象的Google或Amazon安全團隊還要厲害，」鄭捷表示。

不過，由於國內使用AWS必需連到日本的資料中心，為了縮短本地的系統回應時間，威摩科技去年將自家系統從AWS，搬到在臺灣設有資料中心的GCP，也能避免突發地震導致海纜中斷的風險。

原先威摩科技使用虛擬機器來部署應用，現在約有3到4成則改部署於容器及Kubernetes調度平臺上，也早在2015年即開始採用AWS的Lambda無伺服器運算服務。鄭捷指出，Container是他們下一步的主要部署環境，但長期目標則是要朝微服務架構前進，他解釋，微服務架構才能夠確保服務品質，降低系統停機的風險。

除了正式開發環境，為了因應市場快速變化及競爭，威摩科技也採用了一個非正規的開發方法，他們設立了一個快速開發團隊，運用免程式碼（Low Code）開發工具如Google的App Maker，犧牲開發彈性及大規模部署能力，來縮短開發時程，盡快滿足內部營運上的迫切需求。過去要花費2到3個月才能開發完成的功能，現在，只要3、4天或1個星期就能做出來。

同時鄭捷也善用許多現成的Google小工具。像是可以每5分鐘更新一次的用戶租用數據儀表版，傳統上，可能需要3、4位工程師花上2、3個月時間開發，他們則用Google Script開發，透過API串接自家用戶資料庫，再在Google Sheet上自動繪製出各項營運報表，再共享給其他人參考。執行Google Script就像微服務，能定時產出即時的圖表報告。「整個過程只需要1個人負責開發API。」鄭捷表示。

鄭捷認為，快速開發原則是，先求有再求好，先滿足業務單位的需要，並根據實際使用結果進行小調整，後續再將需求轉到正式開發環境，循正規開發方式來改善規模化的問題。

  CTO小檔案  

威摩科技技術長鄭捷

學歷：南加大電機工程學系

經歷：1997年創立捷辰科技，產品銷售對象包括國內外大廠（在美國工作經歷1998-2006），1999年起擔任捷辰科技董事長至今，2015年10月參與創立威摩科技股份有限公司，擔任技術長至今。運用20年以上的網路通訊產業經驗，參與智慧黑盒開發，以車聯網打造電動機車共享服務。

  公司檔案  

威摩科技

● 地址：臺北市南京東路三段303巷三弄八號二樓

● 成立時間：2015年10月

● 主要業務：共享智慧機車即時租借服務

● 員工數：110人

● 董事長：吳東明

● 資訊部門主管職稱：技術長

● 資訊部門主管姓名：鄭捷

● 資訊部門人數：40人以上

  公司大事記  

● 2015年：威摩科技成立

● 2015年4月：第一版共享機車原形與系統完成

● 2015年6月：研發成功/導入生產

● 2015年10月：車聯網服務上線

● 2017年：臺北市投車1,000輛

● 2018年：臺北市投車2,000輛

臺灣不只在地理位置具有戰略地位，連面對詭譎多變的網路戰爭中，臺灣也同樣扮演關鍵的角色。從這麼多年推動政府、企業重視資安的經驗，我們可以發現，長期面對中國網軍鎖定攻擊的臺灣政府部門，也逐漸「從做中學」，彙整多年遭到攻擊的經驗，「三折肱而成良醫」，逐步累積相關攻擊手法與防禦方式，現在，臺灣政府或許是全世界最懂得中國網軍攻擊手法、也知道該如何防禦的被鎖定攻擊對象，而這樣的經驗，成為臺灣在面對來自中國網路攻擊的優勢。

臺灣發展資安的重要機會，在於能否累積足夠的攻防經驗

根據行政院資安處公布的2018年政府服務網路（GSN）監看及防護資料，當中顯示，每個月有大約2億次的網路掃描（Port Scan），駭客企圖探測政府網路的各種弱點；在此同時，每個月則有2千萬次到4千萬次的網路攻擊，全年合計有超過3億6千萬次對政府網路的攻擊，目的則是希望透過入侵臺灣政府網路、取得政府相關重要機敏資訊。

從統計結果來看，實際上，有成功突圍的攻擊行為，全年大約為360起左右，其中有12起資安攻擊事件，列為資安等級三級以上的重大資安事件，其他的則是資安等級一級、二級的輕微資安事件，像是網頁置換等狀況。也就是說，平均每一天，網軍會成功攻擊一次，若以每個月而言，會有一次三級以上的資安攻擊事件，這也顯示，臺灣政府對於資安防護的成功率高達99.9999％。

當然，資安沒有百分之百的安全，只要有其中0.0001％的風險，都有可能成為駭客成功入侵的破口，對於相關的網路攻防，我們絕對不能掉以輕心，所以，政府每年都會做各種資安稽核，以及相關的攻防演練，透過模擬來強化政府的資安防護能力，並分享與累積機關資安管理及網路安全的防護經驗。

總統府國家安全會議諮詢委員 李德財：從現有的國安會、行政院資安處，以及國家通訊傳播委員會（NCC）等機構，已經形成臺灣資安鐵三角，透過彼此合作，也讓政府有能力更快速因應並處理各種資安事件，對於所轄機關及全民資安意識的宣傳與提升，也不遺餘力。　攝影／洪政偉

中美貿易戰開打，臺灣遭到的網路攻擊也升溫

近期中美貿易大戰開打後，臺灣並沒有從中缺席。

中國網軍接受到中國政府高層的任務指派，大幅度提升竊取資通訊敏感科技的情報蒐集，根據國內與國外知名的資安監控與預警中心（SOC）的研究報告指出，光是在2018年下半，疑似中國網軍攻擊的頻率明顯增加，採取的攻擊方式也有所不同，從以往的跳板攻擊轉向直接攻擊，到了去年8月後，又轉回使用跳板攻擊，並且租用東歐國家等第三國雲服務作為跳板攻擊。關於這種種手法的彈性轉變，都使得資安防護的難度更加提升。

事實上，網路戰爭是實體戰爭的前哨戰，當中國網軍攻擊與入侵的行為升溫時，也代表兩國情勢趨於緊張，因此，國安會資安辦與行政院資安處、通傳會、國防部資通電軍及國安局等，都持續強化偵防能量，並提高關鍵基礎設施的資安防護等級與作為，以便因應中國網軍帶來的網路威脅。

以目前我國的資安發展態勢來看，行政院以「資安即國安」作為上位概念，在2017年通過第五期106年至109年的「國家資通安全發展方案」，並提出「完備資安基礎環境、建構國家資安聯防體系、提升資安產業自主能量、孕育優質資安菁英人才」等四大策略。

更重要的是，「資安管理法」正式於今年1月1日生效，明定政府機關及指定的關鍵基礎設施業者（CIIP）都受「資安管理法」管轄，讓資安管理法成為政府要求機關單位落實資安的根本母法。

公私協力，提升資安防護力

從現有的國安會、行政院資安處，以及國家通訊傳播委員會（NCC）等機構，已經形成臺灣資安鐵三角，透過彼此合作，也讓政府有能力更快速因應並處理各種資安事件，對於所轄機關及全民資安意識的宣傳與提升，也不遺餘力。

一般而言，要打好網路戰，分成多種層次。以政府和大企業來看，我國優先從關鍵基礎設施建置SOC等基礎建設；然後鎖定高科技與金融產業，例如，針對半導體協會溝通，建立公私協力（Public Private Partnership，PPP）的概念，協助做好產業資安，並透過資安聯防的方式，成立資安服務體系，把能量介接到民間，整合做聯合監控機制。

我國的資安鐵三角也透過公私協力的方式，來強化資安聯防機制。首先，由行政院資安處要求八大關鍵基礎設施業者，建立資安長制度，同時，也設立ISAC（資訊資安情資分享與分析中心）、SOC，以及CERT（資安緊急應變回應中心），並透過TWCERT/CC連結全球資安聯防體系，落實強化資安通報及緊急應變的能量，確保數位國家的安全。

至於國家通訊傳播委員會的部分，經過一年的努力，已經完成建置「國家通訊暨網際安全中心（NCCSC）」，透過維護八大關鍵資訊基礎設施領域的資訊網路骨幹，強化早期預警、持續控管與維運、通報應變和協助處理與改善等四大面向的運作，藉以確保該資通訊業者可以「持續營運」，並讓民眾可以安心與便利享受各項資訊服務。

推動關鍵基礎設施的測試場域，鼓勵臺灣資安業者投入

在此同時，政府也投入更多的資源在推動「資安旗艦計畫」，以及「前瞻基礎建設計畫」，不僅要強化關鍵基礎設施業者的資安防護能力，也要積極做到區域資安聯防及服務整合的概念，將地方政府納入國家資安防護網，並提升智慧城市的資安防護能量。

同時，政府也積極提升資安產業的自主能量，希望有更多本土資安業者可以投入關鍵基礎設施的防護，因此，從2016年開始，政府希望透過油、水、電等關鍵基礎設施業者，將汰換的工控系統釋出，作為本土資安業者練兵的測試場域（Test Bed），參與的資安業者，也從2017年的三家，增加到2018年的七家。

未來，政府也會加速推動資安工業合作案，由政府釋放更多的測試場域，結合國外工控設備大廠，以及民間資安產業的力量，透過公私協力的方式，提升臺灣資安創新與創業的能量。

當然，在2018年9月正式對外公布的《資安戰略報告》也是公私協力的最佳展現，透過座談會集思廣益，加上納入近八十位民間產業專家與學者意見所得出的成果，最終希望可以強化全民資安意識、凝聚各界共識，真正做到為「數位國家、創新經濟」奠定堅實的基礎。

為了確保資安稽核的有效性，政府也會開始逐步推動第三方驗證（Independent Verification and Validation，IV&V）。在這項工作的初期，會先以金融業為主，針對資安滲透測試，做第三方獨立驗證，確認資安滲透測試的結果是否真正達到目標。

最後，沒有信任就沒有安全的前提下，臺灣多年的民主自由及信任，是臺灣推動資安時的最大優勢，先前推動IP Cam監控攝影設備的安全標準，許多已經遵循相關規範的臺灣業者，整體財報都有很大的成長，而這就是產品獲得信任的最佳例證。口述⊙李德財、文⊙黃彥棻　本文出自《iThome 2019臺灣資安年鑑》

總統蔡英文自從上任後，鑑於網路攻防的日益複雜，以及難以防範，加上深受中國網軍的頻繁攻擊，便揭櫫「資安即國安」的政策方針，不僅成立行政院資安處專責的資安防護機關，更積極推動「資通安全管理法」的立法，且該法已經於去年6月6日公布、今年1月1日正式實施，就是希望透過立法的手段，將政府部門、公法人，以及相關的關鍵基礎設施服務提供者，全都納入資安管理法的規範之中。

行政院身為最高的行政機關，包括相關的人、事、物等，自然也是中國駭客鎖定攻擊的目標。以往院內也曾多次發生下列事件：只要各個部會，有「報派」的新任正副首長消息在媒體揭露後，該部會就會收到該名報派長官秘書的來信，而附件夾檔往往都是一個惡意程式，在收件人不知不覺中，就被安裝在收件人的電腦，等待日後伺機而動，目的往往都是竊取政府相關的機敏資料等等。

因此，為了確保政府的資安，乃至全國的資安，相關的工作都必須持續推動，並且由專人來主持這些業務。而在「資通安全管理法」第11條便規定，公務機關皆應設置資通安全長，由機關首長指派副首長或適當人員兼任，而身為資通安全管理法正式實施後的第一位國家資安長，最重要的任務就是：協助各個部會、機關甚至是關鍵基礎設施提供者等，都能真正從制度、規範，以及相關的專案中，進一步落實資通安全管理法的管理規範與措施，並讓政府資源可以做最有效的運用。

政府重視資安，已推出第五期資通安全發展方案

基本上，臺灣政府重視資安，並不是這一、兩年才開始跟風的事情，早在2001年的時候，當時的行政院就已經定期、每4年提出一套國家資通安全發展方案，作為政府資安推動工作的上位政策。

迄今，最新的版本就是第五期的「106年至109年國家資通安全發展方案」，最終的目的就是希望以「打造安全可信賴的數位國家」為願景，「厚植自我防護能量、保衛數位國家安全」為目標，並從「完備資安基礎環境」、「建構國家資安聯防體系」、「推升資安產業自主能量」和「孕育優質資安人才」等四個策略面向，來推動國家資安防護工作。

其中，針對資安聯防，就是希望從縱深防禦、跨域聯防，以及防制新型態網路犯罪等層面，建構國家資安聯防體系；另外，藉由資安旗艦計畫，以及前瞻基礎建設計畫中，也規畫以六個直轄市為領頭羊的六都聯防，藉此逐步強化關鍵基礎設施業者，以及地方政府的資安防護能量。

另外，我們也必須積極提升臺灣資安產業的市場規模與產值，唯有資安產業成為一個有利可圖、有發展前景的產業時，相關的資安產業生態鏈，才可以創造經濟產值，之後，則要透過需求鏈結、產業升級、關鍵技術研發等面向，更進一步提升資安產業發展的能量。

政府資安人力需求一倍，民間需求十倍以上

今年資通安全管理法正式施行後，所有公務機關都面臨到一個共通的問題，那就是：資安人力明顯不足。

根據資通安全管理法的規定，所有的政府機關都有資安責任等級的區分，其中，如果是名列資安等級A、B和C級單位，在資安法實施後，就必須要分別配置4人、2人和1人的專職資安人力。但現在的問題是，資安法雖然明文規定要有專職的資安人員，但各個機關的大小規模不一，加上受限於總員額法，有許多機關目前並沒有多餘的人力可以補足資安人力缺口。

然而，因為資安很重要，行政院也已經請各機關首長盡可能在總員額的範圍中，優先補足資安人力。在初期的兩年過渡期中，各機關可以採用約聘僱或者是委外人力的配置方式，但在兩年後，仍必須補足正式公務人員的正職資安人力。

由於政府營運本身也像是一個大型企業，在資安方面，可以扮演領頭羊的角色。例如，政府需求是一倍的話，會帶動民間資安需求至少十倍以上，以政府資安人力需求一千多人為例，至少帶動民間資安人立需求一萬人起跳。金融業界因為有強烈的法規遵循要求，許多金融單位甚至直接從政府既有的高階資安人才挖角，這麼一來，也形成一種人才的正向流動。

事實上，目前政府專責的資安人力並不多，在資安法通過後，甚至還有五百多個資安人力缺口待補，然而，一個好的資安人力，就像是一個專案經理（PM），而一個好的專案經理，就像是一個好的將軍，針對配合的委外廠商，他可以指揮若定，達到相互幫襯的效果。

目前來看，資安人力的市場相當競爭，全球對資安人才都需求孔急，不只是國家、企業，連許多犯罪組織、駭客組織也都積極爭取資安人才，舉例來說，美國因為是資本市場，有許多退役的軍官退伍後，就直接高薪聘用到企業任職。

但對臺灣而言，如何提升資安產業、擴大資安市場？現今，行政院本身設立的技術服務中心，除了提供相關的資安訓練課程外，對於政府資安人力素質的確保，有專業證照和一定時數定期教育訓練的要求，同時，也會搭配相關的稽核，落實整個資安流程的PDCA循環。

現階段，政府也已經有資安服務團的成立，從策略、管理和技術等面向，以實地訪視及顧問的方式，到政府各個A級機關常駐兩個月的時間，協助機關建立相關的資安防護、管理機制、聯防機制，以及緊急通報應變程序與實作。

身為資通安全管理法正式實施後的第一位國家資安長，最重要的任務就是：協助各個部會、機關甚至是關鍵基礎設施提供者等，都能真正從制度、規範，以及相關的專案中，落實資通安全管理法的管理規範與措施，並讓政府資源可以做最有效的運用。　攝影／洪政偉

臺灣民主政府是信任基礎，協助政府與產業更密切交流

關於資安產業的自主，臺灣資安產品能否走向全球是關鍵。因為長年民主政治的推動，我國資安產品也獲得許多國家的信任，但要真正做到行銷國際，仍有一段努力的空間。

同時，資安產業是政府健全資安體系很重要的一個環節，資安法通過後，政府在思考的則是，如何帶動資安產業發展、落實資安人才培訓，並建構一個空間，讓公務部門和民間企業之間能有更多的合作與參與，也是政府當前在思考的方向。

未來，面對臺灣資安產業，政府該扮演何種角色？舉例來說，可擔任投資者、提供市場這種類似產業加速器的角色，協助資安產業快速發展，政府甚至可以讓加速器在獲利後，制定一套分潤機制，讓整個加速器有更正向循環，形成活潑的商業模式。這或許也是政府未來在協助臺灣資安產業發展時，另外一種可以思考的角度。

此外，臺灣整體產業這幾年來，積極在物聯網、金融科技及大數據的發展應用，而在這樣的前景之下，資安都是不可或缺的重要環節。以政府而言，目前正在打造去識別化的國家資安資訊分享與分析中心（N-ISAC），希望進一步做到不同產業的資安情資分享以及落實聯防機制外。

同時，目前的行政院技術服務中心，也扮演政府機關資安服務專案辦公室（SPMO）的角色，透過簡化資安服務採購程序，建立資安廠商能力評鑑機制，協助各機關導入適合的資安服務，以強化政府整理資安防護能量，則是SPMO主要努力達成的方向。

不管是社交工程演練、弱點掃描、資安健診等，其實，都是臺灣政府推動資訊安全的工作日常，然而，由於目前公務機關所採用的核心系統，絕大多數是使用國際大廠的產品或元件，接下來，該如何提升臺灣資安自主能力，確保系統防護不會受制於他國提供的技術，仍是政府未來不間斷的努力目標。口述⊙陳其邁、文⊙黃彥棻　本文出自《iThome 2019臺灣資安年鑑》

Apache軟體基金會（Apache Software Foundation）近日修補了Apache HTTP Server上的一個嚴重漏洞，此一編號為CVE-2019-0211的安全漏洞屬於本地端權限擴張漏洞，將允許駭客取得系統的最高權限以執行任意程式，從2015年10月發表的2.4.17到今年2月發表的2.4.38的十多個版本都遭殃，用戶應儘快升級到4月1日釋出的2.4.39。

此一漏洞可在Apache HTTP Server執行Gracefully Restart時被觸發，允許在較低權限的子程序中運作的Event、Worker及Prefork等多工處理模組（MPM），藉由擺布Scoreboard而能以父程序的權限執行任意程式。

雖然CVE-2019-0211僅影響UNIX類型的系統，但大多數的Apache HTTP Server都運作在UNIX系統上，特別是網路伺服器。

資安業者Rapid7指出，此一權限擴張漏洞對於依然提供共享網路代管服務的供應商而言風險更高，因為這類的服務允許不同的網站共用同一個父Apache伺服器。

因此，假設有駭客成功開採了該漏洞，他將取得伺服器的最高權限，得以讀取、寫入或刪除其它客戶的檔案或資料庫。

Rapid7估計至少有200萬個獨立系統含有CVE-2019-0211漏洞，有19.3%位於AWS，8.6%位於Digital Ocean，還有5.9%位於OVH。若以區域來看，有77萬的系統座落於美國，22.4萬位於德國，並有11.1萬位於法國。

GeekWire在國際電信聯盟（ITU）的官網上，發現了有關Amazon正著手開發低軌衛星專案Kuiper的文件，顯示Amazon計畫部署3,236顆低軌衛星，可望覆蓋全球95%的人口，且已獲得Amazon的證實。

最近不少知名業者都投入了低軌通訊衛星市場，例如美國聯邦通訊委員會（FCC）已核准SpaceX部署約1.2萬個低軌通訊衛星，臉書的通訊衛星專案Athena亦準備在今年發射首個衛星。

Amazon則是以聲明稿證實了Kuiper專案的存在，指出這是一個長期專案，可望造福那些缺乏寬頻網路的數千萬人口。

這項專案在通過ITU的審核之後，還必須經過FCC與全球其它監管機關的同意才能放行，而Amazon也尚未公布Kuiper專案的時程。

他是國際知名的資安大師，也是密碼學大師，更是紐約時報暢銷書作者，資安著作多達14本，臺灣不少資訊主管大學密碼學課程的教科書，就是讀他的密碼學代表作《Applied Cryptography》。近年他更投身公益科技風潮，希望讓美國國家政策可以和科技發展更緊密結合。他就是IBM資安事業部特別顧問Bruce Schneier，以下整理自他在臺灣資安大會的開場演講。

我們的世界開始變成每一件事都是電腦。手機是可打電話的電腦、冰箱是冷卻用的電腦，而加熱用電腦是微波爐、ATM則是裡面有錢的電腦。汽車則是1百多套分散式系統裝上了4個輪子和引擎。

當每一件事都連上網路後，代表了2件事，網路安全影響了每一件事，而每一件事都變成了網路安全。我們從電腦安全學到的6堂課，很快會影響到每一件事、每一個地方。

電腦安全的6堂教訓

第1堂課是：大多數軟體都寫的很不安全。所有軟體都有漏洞，高品質的軟體很貴，我們不想付錢，所以，多數人只買剛好夠用品質的軟體。只有例外，如太空梭或飛機上的軟體。凡有漏洞就有弱點，市場力量作用的結果就是，到處是有弱點的軟體。

第2堂課是：網際網路不是為安全設計的。1980年，上網的工作都不是很重要，甚至你也必須是特定機構成員才能上網。因此，網際網路發明人，不用擔心安全問題，而讓想要安全的人自己動手。這個決定大大影響了現在的我們，從DNS，路由，Email到封包傳輸，用的都是沒有安全考量的協定。現在，我們得拼命應付當初這項安全決策的後果。

從電腦學到的第3堂課是電腦具有擴充性，換句話說，電腦上你所能用的任何功能，都能用來對付你。擴充性是一種電腦功能，這意味著，你不可能限制一個電腦的「功能」，尤其這是軟體，軟體無法管制。

小時候，我家裡有一個能和世界聯繫的黑色設備，稱為電話，但它只能打電話，沒有其他功能。可是，手機這個可以打電話的電腦，還可以做任何你想要的事，Apple初代iPhone的口號是「App內建」，只要可以下載App，你就無法限制其功能。不像舊式電話，可以限制它應有的功能性。

對資安來說，擴充性帶來的挑戰有二，一是很難做到安全，軟體會持續演化，總是在改變，測試安全性很難，安全地開發也很難。其次是，人可以在手機下載惡意程式，這可說是一種「新功能」，只是有時不用授權就能自動增加。這正是為何冰箱能發送垃圾郵件，監視攝影機會變成殭屍電腦的緣故。因為它們都是電腦，凡有擴充能力，就能這樣用。

再來是第4堂課，電腦系統很複雜。這意味著，攻擊比防禦簡單多了。越複雜，就越不安全。功能越多，越複雜，程式碼越多，就越容易出錯，入侵方法也越多。就像TICC國際會議中心的出入口，遠比你家複雜，就更難做好保全。不是不可能防禦，但攻擊者占優勢。至少技術上，在網路上，攻擊者比防禦者更占優勢，因為複雜度。

第5堂課是，互連之後會帶來新弱點。當我們將萬事萬物串連在一起時，一件事情的弱點，會影響另一件事。例如2016年Dyn遭殭屍網路的大規模攻擊事件，攻擊者透過資安漏洞，控制了大量Web攝影機，監視器，打造出一套大型殭屍網路，用來攻擊DNS服務，讓25%的全球知名網站消失了。2013年，賓夕法尼亞州幾間加盟店的網路弱點，卻導致知名美國零售業Target整個支付系統遭駭。去年，一份報告說，拉斯維加斯有間賭場，資料庫中的常客資料遭竊，因為大廳那個連網魚缸被駭了。

這些弱點都很難修補，你不知道弱點發生在何處，有時是串連到高安全系統的相關網路不夠安全。

最後一堂課是，要發動資安攻擊，總是越來越容易、越厲害、也越快速，這就是我們面對的真實世界。電腦越快，意味著，10年前夠安全的密碼，現在不再安全的了，不是密碼破解技術變厲害了，而是破解速度變快了。

但更多時候是，攻擊者會越來越聰明，因為他們會適應局勢而演化。這跟大自然的情況很不一樣，像美國颶風很多，政府也打造很多系統來對抗颶風，如天氣預報系統，颶風不會因為這些人造系統而變得更聰明，可是，在資安世界，攻擊者越來越聰明卻是一種常態。

這就形成了一股軍備競賽的局勢。垃圾郵件和反垃圾郵件，ATM駭客和銀行資安人員，最新的競爭則是深度學習造假技術（Deep Fake）和DeepFake偵測技術。攻擊者會不斷地適應，發明出新攻擊手法和新的攻擊系統，來對抗各種安全反制。

而且這件事進展的腳步很快，今天是美國國安局的秘密計畫，明天會變成了一篇博士論文，接著就會出現駭客攻擊工具。過去這個過程得花上2年、5年，但現在只需要6個月，而且越來越短。

這些情況都不是新鮮事，我們已經和這樣的處境相處了好幾年，也會繼續相處很久。

資安變成了一項管理議題

但是，現在的資安，變成了一項管理議題。雖然電腦的本質沒有改變，可以當每一件事都變成了電腦之後，我們如何使用電腦的方式，將會有所不同，電腦能做的事也會非常不一樣。電腦對3件事帶來不一樣的衝擊：自動化、自主性和實體機構，也因此而真的改變了安全這件事。

傳統上談到安全，其實是指機密性（Confidentiality），隱私，資料偷竊、資料濫用，大多數新聞中的資安就屬這類， Target、Equifax、Facebook、萬豪飯店的事件都是這類。入侵後偷了資料後濫用，這是一種關於機密性的攻擊。

大家都熟悉CIA理論，所謂的安全，可以分成3類：機密性（Confidentiality）、完整性（Integrity）和可用性（Availability）的安全。不只針對第一種類安全的攻擊，其餘兩者都有相關的攻擊手法，例如DDoS攻擊、勒索軟體都是一種可用性攻擊。而惡意程式入侵銀行資料庫竄改資料，就是完整性攻擊。

但是，今天若你有一臺可以直接影響到實體世界的電腦，在完整性和可用性的上的攻擊，影響會比機密性的攻擊更顯而易見。前兩者帶來的衝擊更大，因為這將帶來生命和財產的真實風險。

舉例來說，一旦有人入侵醫院，相較於有人偷走我的病歷資料，我更擔心，我的血型資料遭竄改，因為這項完整性攻擊，會危急我的生命。儘管我不希望有人入侵我車上的藍芽麥克風，竊聽我的對話，但我更不願意有人關閉我的煞車。前者是機密性攻擊，但後者是性命交關的可用性攻擊。

考慮到萬物聯網，舉凡汽車、醫療設備、無人機、武器系統、溫度控制器、智慧城市系統、發電廠。過去已經出現過DDoS攻擊可讓這些系統當機，儘管臺灣沒有遇到，但在其他國家發生過。像是溫控暖氣設備遭駭，導致水管凍結，影響了全家生活。挪威也有汽車遭遇DDoS攻擊而停擺，幸好，攻擊沒有發生在野外。

這些新威脅，攻擊同樣的系統，卻有非常大的差別。電腦受到攻擊，你損失了資料，但車輛遭到攻擊，你失去的是生命。這兩者可能用的都是同樣的CPU、OS、應用系統和攻擊工具，只是發生地點不同，就造成了極大的差別。

這就帶出了一個新的資安議題，同樣的電腦錯誤會有不同的影響。電腦這種特性和尋常事物截然不同。以車子為例，車子用久了會故障，我們也理解車子的零件會因損耗而故障，所以，業界也有相關的維修服務，甚至發展成整套汽車維修體系，來解決汽車故障的情況。但電腦卻是天天運作正常，卻突然就不能動了，這是日常世界少見的故障模式。

2014年，140萬臺克萊斯勒汽車因軟體漏洞而召修，得鑽開外殼才能更新軟體，別無他法。或像Onity電子鎖後來發現了弱點，駭客不用門鑰就能打開任意一間房間的門，影響了全球400萬間客房，飯店業者得一扇門接著一扇門，一一用螺絲起子打開門鎖才能手動更新，這幾乎是不可能的任務。過去門鎖壞了，飯店只要找來鎖匠就能搞定，但電腦世界的故障不一樣。

傳統的安全系統開始弱化，新的安全有三大挑戰

我們過去長期倚賴的安全系統開始弱化，所以，我們會面臨三項挑戰，一是「更新」，這是唯一維持安全的方法，例如，手機OS廠商的開發團隊，也得負責修補，你的手機也得像電腦一樣，經常更新才會安全。儘管這個安全模式可行，但在低價的嵌入式產品時，例如監視器、家用路由器，毛利微薄又代工生產，就沒有這樣的團隊負責寫程式修補弱點，甚至有些產品無法更新，唯一更新方法是直接買新的。

幸好我們每2、3年就會換手機或電腦，所以，汰舊換新還算是是個不錯的安全機制，新款也的確更安全。但在嵌入式系統也不見得能做到，內有嵌入式電腦的汽車，經過好幾手很多年都會繼續開上路。但你家若有1979年老電腦，現在幾乎沒人知道要維護上面的軟體了。

第二是認證機制，這是一個勉強可用的機制，很多情況密碼一點都沒有用，雙因素也只能有時有效。但現在的驗證是會授權給一項裝置或是一項服務，未來會出現越來越多的物對物的驗證授權，若你生活中擁有1百個IoT裝置，就會有1萬次相互驗證的請求，但是，現有的物-物驗證技術，仍無法規模化。

所以，當你的手機和要汽車藍芽串接時，還是得有手動設定的過程，同樣動作重複25次容易，但若要重複上千次，就會是一大挑戰，可是，在自駕車上，可能隨時有上千次與其他汽車或道路系統裝置彼此相互驗證的需求。

第三項挑戰是供應鏈問題，這是一個非常複雜的跨國問題，一項美國產品，但所用的晶片可能生產地和軟體開發地，都位在不同的地點、國家。一個地方的安全會影響到其他地方，如何防範？目前沒有真正的解法。

當萬物都連線在一起，安全體系已經開始弱化，這不只是技術問題，更像是政策問題。我們欠缺的不是技術，而是政府。

我建議，安全體系要思考2大基本原則，第一是防禦至上，系統設計要優先考慮防禦，不能設計攻擊用或監控用的功能，像幾年前國家機構要求蘋果開後門就得阻止。這些系統太重要了，不能那樣設計，要將防禦作為最高原則。第二個原則是韌性，如果萬物聯網，萬事都需要安全，就需要一個能夠自行維持安全度的設計，這是個工程問題，就是改用「韌性」思維，來設計系統。文⊙王宏仁

資安業者Check Point最近發現，小米手機中所預裝、理應用來保護手機免受惡意程式攻擊的安全程式Guard Provider竟然含有安全漏洞，允許與手機用戶位於同一Wi-Fi網路的駭客執行中間人（Man-in-the-Middle，MiTM）攻擊，追究其原因則是源自於「SDK疲勞」（SDK Fatigue）。

Check Point的安全研究人員Slava Makkaveev解釋，所有主流的小米手機都預裝了Guard Provider，而Guard Provider則採用許多第三方的軟體開發套件（SDK），包括3款不同的防毒軟體品牌：Avast、AVL與騰訊，並以Avast作為預設值。

Makkaveev指出，由於Avast的更新機制採用不安全的HTTP傳輸，使得駭客得以偵測更新時間及猜測該APK檔案的名稱，進而阻擋手機與Avast伺服器之間的連結，在促使用戶將防毒工具切換至AVL之後，AVL除了同樣也採用不安全的HTTP傳輸之外，其解壓縮程序更含有路徑跨越（Path Traversal）漏洞，允許駭客竄改Guard Provider程式沙箱中的任何檔案，包括其它SDK的檔案。

於是，駭客只要再阻攔AVL與伺服器的連線，讓使用者再切換回Avast，此時Avast的SDK就能載入及執行駭客所植入的惡意程式。

Check Point認為此一案例彰顯了「SDK疲勞」的問題，軟體開發套件（SDK）原本是要簡化開發人員打造程式的流程，但在同一程式中使用多種不同的SDK固然能強化程式功能，卻也會衍生更多問題，涵蓋當機、惡意程式、隱私外洩、讓裝置變成吃電怪獸或效能變差等。

根據統計，現在每個行動程式平均使用了18個SDK，但只要其中一個SDK出現問題，就會危及其它所有SDK的安全性，此外，單一SDK的私有儲存資料並無法被隔離，也因此能被其它SDK存取。

IDC的調查顯示，小米現為全球第四大手機製造商，去年第四季的佔有率為7.1%，僅次於三星、蘋果及華為。意謂著全球有為數眾多的小米手機都曝露在Guard Provider的安全風險中，小米在收到Check Point的通知之後很快就修補了該漏洞。

純網銀候選者「將來銀行」，由前91APP資深副總周旺暾一手打造IT新團隊

金管會開出2張純網銀執照，目前正在審查階段，待6月將公布花落誰家。然而，純網銀有別於一般銀行，在IT的布局又更為關鍵。
而候選者之一的將來銀行（Next Bank），其籌備處資訊長兼技術長，由前91APP資深副總周旺暾於4月正式接任。

周旺暾畢業於交大學應數系、臺大資工所，擁有25年的網路經驗，是臺灣第一個網際網路入口網站蕃薯藤（yam）公司化後的第3號員工。

周旺暾在2004年進入微軟，一待就是長達將近13年的時間，主要負責微軟雲端與資安等產品線的事業發展，而微軟雲端運算平臺Azure Platform，也是於他任內在臺推出。

2017年，周旺暾接任91APP人資長，協助重新調整91APP的內部組織，並找尋一個更好的方式招募人才。周旺暾更在2018年5月接手了91APP拓張海外市場的事務，擔任資深副總經理，藉由他過去在微軟的跨國經驗，重新設定91APP在東南亞的海外市場策略與作法，直至今年3月。更多內容

LINE一舉在臺推出多項新服務，落地7年終於上線LINE客服機器人，更喊出LINE Bank要成為臺灣金融獨角獸

攝影_李靜宜

LINE在CONVERGE 2019活動上，宣布即將在臺推出的各項新服務與計畫。包括設立LINE謠言查證官網與官方帳號、擴大LINE開發社群計畫規模、推出新版LINE官方帳號、LINE樂兌服務、LINE SPOT、LINE客服小幫手、個人化即時訊息推播服務，以及LINE Bank的最新進展。更多內容

Google推出BigQuery資料倉儲搬遷服務

Google宣布提供資料倉儲搬遷服務，降低企業從Teradata或是Netezza等傳統資料倉儲，將資料搬遷到Google旗下無伺服器分析資料倉儲BigQuery的障礙。

傳統的資料倉儲主要是讓企業將資料儲存在本地端的資料倉儲中，而Google提到，傳統的資料倉儲價格昂貴，缺乏靈活性，企業資料容易被特定廠商規格綁住不易搬遷，BigQuery則是相對於傳統資料倉儲的新選擇，Google現在提供資料倉儲搬遷公用程式，讓企業能夠更容易地轉換資料倉儲。更多內容

3位深度學習先鋒科學家獲頒2018年圖靈獎

圖片來源_ ACM

2018年圖靈獎頒發給三位對深度神經網路有重大貢獻的科學家，分別是蒙特婁大學教授Yoshua Bengio、Google副總裁兼工程研究員Geoffrey Hinton以及臉書副總裁暨首席人工智慧科學家Yann LeCun。這三個人的研究對現在的深度學習技術有重大的影響，也是近年在電腦視覺或是自然語言處理等深度神經網路應用，可以快速突破的關鍵人物。更多內容

英國安檢華為電信設備，發現含有重大安全缺陷，但並非來自中國政府的干預

英國政府於三月底公布了華為電信設備的安檢報告，指出華為產品的軟體工程與網路安全品質含有許多重大缺陷，且尚無證據顯示華為具備解決這些缺陷的能力，此報告也認為，華為這些缺陷應非中國政府的干預。更多內容

Azure認知服務新增辨識異常事件的能力

圖片來源_ 微軟

微軟更新雲端人工智慧服務Azure認知服務（Azure Cognitive Services），加入了異常檢測器（Anomaly Detector）預覽版本，幫助企業以人工智慧識別特殊事件，也改進了自定義視覺（Custom Vision）功能，讓使用者打造的自定義圖像分類器能更準確地辨識圖像中的物件。更多內容

Canonical發布最新企業版Charmed Kubernetes 1.14

圖片來源_ Canonical、GitHub

Kubernetes最新版1.14剛推出不久，Canonical也隨之宣布提供企業級Kubernetes 1.14解決方案，釋出使用kubeadm進行管理部署的最新版Charmed Kubernetes 1.14，以及單節點版MicroK8s 1.14。更多內容

Google加碼投資臺灣，明年啟用臺灣新辦公室，可容納超過4千人

攝影_黃郁芸

近期Google裝置與服務資深副總裁Rick Osterloh在臺宣布，要於新北市台北遠東通訊園區Tpark打造全新Google台灣的辦公園區，今年也將在臺擴大招募人才，增加數百名員工。

新的辦公園區將作為Google在臺的研發基地，Google於去年1月完成宏達電手機代工部門的併購案後，使臺灣成為亞洲地區Google最大的工程研發基地，屆時Google的臺灣工程研發團隊將擁有一個獨立的據點，而Google團隊預計從2020年底開始，分批進駐。更多內容

Google智慧臺灣計畫的下一步，砸百萬美元消弭中小學城鄉資源落差，引進求職搜尋加強人才橫向流動

攝影_黃郁芸

谷歌智慧台灣計劃邁入第二年，Google將繼續從人才、經濟、生態系三大面向拓展計畫，並預告今年要在臺灣推展的行動及產品服務。Google非營利機構Google.org也在今年首度在臺灣執行專案，將提供100萬美金給均一平台教育基金會，消弭臺灣教育資源的落差。更多內容

微軟釋出超融合解決方案Azure Stack HCI，讓企業在本地端執行虛擬化應用程式

圖片來源_ 微軟

微軟在其混合雲平臺Azure Stack上，推出超融合基礎架構解決方案Azure Stack HCI（Hyperconverged Infrastructure），企業現在可以在本地端（On-premises）超融合基礎架構上執行虛擬化應用程式，並且還能無縫整合使用Azure雲端服務。更多內容

LINE謠言查證官方帳號預計六月底上線，要聯手行政院、民間組織打擊假消息

假消息的議題在近幾年迅速發酵，社群媒體在加速資訊傳遞的同時，也不可避免的為不實消息提供散播的管道。有鑑於在國內累積超過1900萬活躍用戶的影響力，LINE在2019年著手進行「數位當責計畫」，要聯手行政院及民間力量，對假消息展開反擊。更多內容

HITCON Girls揭露演練工具被攻擊者濫用的情況

圖片來源_ YCY

這幾年來，企業防範網路攻擊的思維，已經從試圖築起牢不可破的堡壘，開始有所轉變，取而代之的是假定會遭到駭客滲透，因此更強調需要找出可能隱而未現的攻擊跡象。

在此同時，駭客也試圖採取更隱密的方式，透過合法的工具作案：像是利用作業系統內建的PowerShell、常見的壓縮工具WinZip等。然而，HITCON Girls成員YCY表示，實際上，駭客還會利用防守方用來演練的公開工具，在企業內部的網路環境中，為所欲為，因此，她特別在2019臺灣資安大會上，呼籲企業要嚴加防範這樣的威脅。

面臨公開演練工具遭惡意濫用的現象，YCY認為，企業應該從駭客的攻擊過程與手法，加以剖析之後，才能採取有效的因應措施。更多內容

網路攝影機資安認驗證的安全要求大公開

為了提升臺灣製造商的產品資安，在2017年召開的資安產業策略會議（SRB）當中，政府決定推動資安產業標準及認證制度的方式，來擴展國內外市場，而在2018年政府也實際推動了物聯網資安標準，期許透過標準與制度，帶動國內的資安水準，並強化本土產品的國際競爭力。

對於臺灣自行制訂物聯網資安產業標準，有人質疑此類標章，是否只是一個低標準線的強制性標章？在今年的臺灣資安大會上，我們有了進一步的答案，資策會資安所聯網安全檢測組組長高傳凱，特別針對目前進度最快的影像監控系統系列資安標準，揭露其詳細的安全要求與最新的發展現況。更多內容