原始碼代管平台GitHub為了慶祝站上的開發人員數量已突破4,000萬人，在本周宣布多項進展，包括釋出GitHub行動程式測試版，GitHub Actions與GitHub Packages邁入正式版，改善了通知功能與程式碼搜尋，更發表了「北極程式碼保險櫃」（GitHub Arctic Code Vault），號稱可將重要的程式碼保存超過1,000年。

GitHub for mobile為GitHub首個行動程式，主要目的是維持開發者與團隊的聯繫，像是針對某個設計的討論發表意見，或是檢查幾行程式碼，也能合併變更，但以簡單功能為主，目前只有支援iOS的測試版，很快就會釋出支援Android的版本。

而GitHub Actions則可用來建立自動化的軟體開發流程，目前包括AWS與Google在內的許多組織已打造了逾1,200個工作流程，可透過GitHub Marketplace取得。GitHub也讓諸如Raspberry Pi等Arm架構可執行Actions並免費使用self-hosted runners與artifact caching。

5月釋出測試版的GitHub Packages則是個程式碼打包工具，整合了權限管理與帳號，由GitHub代管的套件會列出歷史紀錄與下載數據，迄今開發者已上傳超過3萬個套件到GitHub上，現在亦已邁入正式版。

GitHub表示，GitHub Actions與GitHub Packages現已成為每個開發者帳號的一部份，且所有公共儲存庫皆可免費使用，開發者可藉由Actions自動發布新的套件版本至Packages，利用Actions觸發套件的安裝，或是安裝來自Packages的套件。

另一項重要的改善為通知功能。GitHub在通知功能上增添了客製化的過濾機制，以避免開發者的信箱被雜亂的通知訊息淹沒。

其它GitHub發表的新功能還包括程式碼導覽、程式碼搜尋、程式碼檢查任務指派、預約提醒，以及功能預覽等。

而除了功能的改善之外，GitHub還在本周宣布了GitHub Archive Program封存專案，目的是要保存開源碼，以讓後代也能使用。

這項專案的聲勢浩大，其合作夥伴囊括了史丹佛圖書館、專門推動長期思維的Long Now Foundation、網路檔案館（Internet Archive）、軟體遺產基金會（Software Heritage Foundation）、專門保存健康數據的Piql、微軟研究院，以及牛津大學的博德利圖書館（Bodleian Library ）。

GitHub表示，開源碼軟體是現代文明的隱藏基石，也是全人類共享的遺產，它們將把不同的複本以不同的資料格式存放在各處，希望能夠將這些重要的開源資產保存至少1,000年。GitHub準備在2020年的2月2日拍下每個活躍中的公開儲存庫的快照，再將它們存放在「北極程式碼保險櫃」（GitHub Arctic Code Vault）中。

1107-1113 一定要看的資安新聞

＃漏洞找尋競賽  ＃Pwn2Own

Pwn2Own東京賽事展開，找出多個語音助理與智慧電視漏洞

從11月6日開始，為期2天、在日本東京舉辦的Pwn2Own Tokyo 2019駭客競賽結果出爐，這次的比賽依然鎖定各種物聯網裝置，多款裝置都在第一天賽事就被發現漏洞，其實包含了語音助理Amazon Echo，三星與Sony的數位電視，以及TP-Link與Netgear的路由器等。

在兩天的競賽中，參賽團隊總計發現了18個安全漏洞，贏得31.5萬美元獎金，ZDI打算進一步驗證漏洞與攻擊程式之後，再提報給相關業者，請他們在90天期限內完成修補。詳全文

圖片來源：Zero Day Initiative

＃勒索軟體攻擊

衝浪設備大廠Boardriders驚傳遭勒索軟體攻擊

專門生產衝浪與其他運動裝備的衝浪大廠Boardriders，傳出在10月底遭到勒索軟體攻擊，包括Billabong與Quiksilver等旗下品牌都受到波及，而且駭客還要求支付高達9千萬美元的贖金。

不過，Boardriders僅坦承，約2星期前他們的電腦系統受到攻擊，使得該公司緊急切換到備援系統，部分訂單受到延遲。他們打算對於受到影響的客戶，祭出8折補償措施。至於受害情形，該公司僅透露此 起事件影響多個地區，尚未得知攻擊來源為何。詳全文

＃內部威脅  ＃資料外洩

趨勢科技家庭用戶個資外洩，遭人濫用於撥打詐騙電話

最近企業面臨的內部威脅，可是更加險峻，就連資安廠商也難以防範這種從員工與犯罪組織串通的攻擊手法。例如，趨勢科技在11月5日於部落格坦承，他們發現有員工竊取客服資料庫的內容，販賣給不知名的犯罪組織牟利。

關於這起事件影響範圍，趨勢科技表示，這起事件僅波及使用英語為主要語言的個人端用戶，其他非英語系用戶不受影響，受害人數則占他們1,200萬名個人端用戶不到1%（小於12萬人），後來他們再度更新，表示更精確的受害人數估計為68,000人。再者，該公司也表示臺灣用戶不受影響。詳全文

＃隱私疑慮  ＃漏洞攻擊  ＃特定目標攻擊

近百名師生電子郵件被監控近3年，中山大學郵件伺服器遭駭客入侵

中山大學的電子郵件信箱，竟在神不知鬼不覺的情況下，被監看了接近3年，而這起事件被發現的原因，是有位教授突然收到該校主任秘書約談信件，察覺不尋常而向對方確認，但並無此事，後來向校方進行通報，校方展開調查後，才驚覺是一起埋伏已久的攻擊事件。中山大學圖書與資訊處長賴威光指出，他們已經透過相關資安事件通報平臺，向教育部呈報，至於是否要向警方報案，該校則打算在盤點損害規模後，才決定如何處置。

至於受害的範圍，賴威光表示總共有85人，涵蓋高階主管、教授，以及助教等人員。而從這些人員所屬單位來看，約有五成是社會科學院的老師，海洋科學學院也占有相當比例。詳全文

圖片來源：中山大學

＃漏洞攻擊  ＃特定目標攻擊

學生研究漏洞惹禍！臺大CEIBA教學平臺成績全變87分

最近許多學校的期中考剛剛結束，卻有一間大學傳出所有學生的成績遭到竄改，11月6日，臺灣大學政治系教授王業立在臉書的一則貼文引發關注，他上傳了一張該校的CEIBA非同步課程管理系統裡，所有學生成績都變成87分的截圖，這位老師認為，可能是有學生期中考沒考好，蓄意攻擊這個教學平臺所致。由於本周恰巧發生中山大學師生電子郵件被駭客長期監控事件，使得臺大這起事件形成的原因，格外受到各界重視，懷疑是駭客針對臺灣大專院校發動的第2起攻擊事件。

雖然校方坦承成績資料出現異常，也多次公告修復的進度，卻直到11月8日，臺灣大學資訊組組長張良鵬才坦言，他們並非遭受外部攻擊，而是該校一名資工系學生研究這個課程管理系統的漏洞所致。詳全文

圖片來源：臺灣大學

＃資安產業動態

擴大資料外洩防護應用領域，Proofpoint宣布併購ObserveIT

以郵件安全防護解決方案聞名的美國資安廠商Proofpoint，在11月初宣布，併購以螢幕側錄應用跨入內部威脅管理的資安廠商ObserveIT，這項交易預計在今年第四季完成。

雙方未來將有更密切的合作，對Proofpoint而言，資料外洩防護解決方案可從原有的郵件、雲端服務，延伸至端點，至於ObserveIT，也將獲得更多威脅情報與研發資源。詳全文

＃漏洞攻擊  ＃網路詐騙  ＃Firefox

Firefox臭蟲遭駭客濫用，誤導使用者以為電腦受到攻擊，再顯示技術支援視窗進行詐騙

技術支援詐騙的手法愈來愈高明，駭客的管道不只是利用電話、惡意廣告，或是搜尋引擎，現在他們還利用Firefox的漏洞，當使用者透過這款瀏覽器造訪含有惡意程式的網站時，螢幕上就會出現系統被駭的訊息，要求撥打技術支援電話處理。

揭露上述漏洞的是Malwarebytes威脅情報研究人員Jérôme Segura，他指出這是一個瀏覽器鎖住漏洞，允許駭客鎖住受害者的瀏覽器，避免他們關閉瀏覽器或分頁，再顯示詐騙視窗指稱電腦已遭駭，並要求使用者在5分鐘撥打技術支援電話。若受害者依照指示操作，駭客得以遠端控制電腦，並且騙取服務費用，此外，還有可能導致受害者個資外洩。詳全文

＃漏洞攻擊  ＃macOS

Apple Mail漏洞導致加密郵件以明碼儲存

蘋果IT專家Bob Gendler發現Mac電腦的Apple Mail漏洞，導致加密郵件以明碼儲存，可能會外洩重要資訊。這項漏洞他早於7月就通報，但直到最近蘋果才承諾會儘速修補。

上述漏洞影響的範圍，涵蓋macOS Sierra、High Sierra、Mojave，以及才推出不久的Catalina。蘋果指出，濫用這個漏洞還需要搭配多個條件，例如，用戶必須傳送加密信件，並且沒有啟用FileVault防護功能等，不過Bob Gendler認為，若是上述環境存在，攻擊者就能藉此竊取機密資訊。詳全文

＃漏洞攻擊  ＃記憶體濫用攻擊  ＃嵌入式裝置

嵌入式裝置開機載入程式暗藏漏洞

兩名ForAllSecure公司的研究人員Paul Emge與Zion Basque，近日透過GitHub揭露4個有關Das U-Boot的安全漏洞，最嚴重的狀況將允許駭客透過記憶體濫用攻擊，進而執行任意程式。

Das U-Boot是開源的開機載入軟體，廣泛應用在嵌入式裝置，支援Arm、MIPS、RISC-V，以及x86等多種處理器架構。Amazon Kindle、Google Chromebook，以及許多網路裝置都採用這個軟體。雖然開發這款開機程式的作者已推出修補相關漏洞的2019.10版，但受影響裝置有賴製造商提供專用的更新軟體，才能防堵前述的漏洞。詳全文

更多資安動態

●Cloudflare公布上市後首次財報，季營收成長48%
●Google與ESET、Lookout、Zimperium結盟，強化上架App安全
●後門程式利用盜版WordPress外掛大肆散布
●員工控訴：維運VirusTotal的Chronicle部門遭Google政策扼殺
●修正版BlueKeep攻擊程式不再引發BSOD，危險性大增
●網站代管業者SmarterASP.NET遭勒索軟體入侵
 

國內傳統產業加速數位轉型又一例。遠雄建設和微軟、SAP強化合作加速數位轉型發展，宣佈導入SAP ERP及微軟Azure雲端服務，強化內部資訊匯整、數據分析、營運決策。

遠雄建設總經理湯佳峯表示，過去一年遠雄在微軟、SAP的幫助下進行數位轉型，包括第一階段建立數據平臺，讓員工能夠更有效率的作業，其次是導入SAP S/4 HANA及Azure，將過去分散於各部門的營運資料整合，降低內部營運成本、加快速度並提升決策品質，同時也能更快掌握外部客戶的好惡，調整產品服務。最終目標為串連起土地開發、產品定位、行銷企畫，建立營建業的生態鏈結，從源頭到最後目標的執行。

遠雄建設和微軟、SAP合作，規畫三個階段推動數位轉型，先是在今年初導入Microsoft 365，採用Windows 10、Office 365及企業行動管理模組，透過微軟的生產力、行動管理工具，提升內部營運效率。

第二階段是今天宣佈導入SAP ERP on Azure，遠雄建設原本採用自行開發的ERP系統，為了加快數據的匯整、營運決策，決定改採高規格的SAP S/4 HANA並上雲，但遠雄成立逾50年，內部累積大量的資料，為了轉換ERP系統，動員上百名人力及50多位外部顧問，將營運資料搬到Azure。

第三是在未來導入微軟Power Platform，整合Power BI、Microsoft Flow、PowerApps，讓員工不需仰賴IT部門，自行取得業務所需的視覺化數據報表，更快取得營運數據，調整營運決策，同時讓流程自動化、行動化。

轉型目標：對內提升營運效率，對外創新客戶服務體驗

對於為何要進行數位轉型？遠雄建設資訊企劃室協理吳家賢點出了遠雄所遭遇到的痛點。遠雄旗下有建設、營造、代銷等不同的事業群，以買房為例，同一人可能在不同的營業部門被輸入為不同名字，雖然最終有紙本資料紀錄，但在營運資訊匯整上產生困擾。

為了建立營運報表，遠雄也花費大量人力、耗費時間匯整各部門的資料，突顯了系統資料的完整性和整合性不足。而北中南各地的建案，也因系統開發不易、維運困難，難以跟上業務端需求，無法更快掌握客戶的回饋，而且也缺乏行動化方案。

遠雄的數位轉型專案，以雲端及行動化解決方案，對內優化營運效率，對外提供客戶創新服務：

因此，遠雄善用雲端服務、行動化解決方案，將官網、GIS、BPM、SAP ERP、Microsoft 365都放到Azure，吳家賢認為通過雲端服務商的技術及資源，節省企業機房在個資保護、營運管理認證耗費成本，透過導入行動解決方案，對內改善營運效率，對外提供客戶新的服務體驗。

以內部營運為例，利用雲端即時匯整各部門資料進行分析，改善營運決策的品質，也讓內部作業達到無紙化、文件共享協作；對外部客戶，則能提供行動看房、數位行銷服務、單一服務窗口及行動化維修派工服務。

遠雄的轉型目標，希望整合從土地開發到房屋銷售的數據，提升營運決策的品質，也讓員工可以自主管理，不需仰賴其他部門提供報表數據，並以客戶為中心，整合不同通路與客戶的回饋、強化協同合作，最後在合作夥伴協助下，通過大數據及AI分析營運數據、客戶的痛點，以創新服務。

身為遠雄建設數位轉型的推手，吳家賢建議其他企業在數位轉型，在合作夥伴協助下，跳脫容易陷入的傳統技術思維，更專注在經營管理、營運組織、文化、客戶需求，其次，數位轉型只是手段，目的是解決營運上的痛點，例如想要提升營運效率，此外，內部應成立跨IT、營運、業務單位的數位轉型團隊，轉型是整體，並非只有IT，最後是企業應持續投資新技術，精鍊內部的營運流程、提高公司競爭力。

網路攻防比賽除了常見的搶旗攻防賽（CTF）外，臺灣駭客協會今年也於11月13日，再度舉辦以企業資安攻防為主的HITCON Defense競賽，由於企業面臨各種資安風險，模擬駭客攻擊的紅隊，則會針對參賽的六個企業藍隊發動各種攻擊，藉此測試各個藍隊的防禦能力。

今年是第二屆舉辦HITCON Defense比賽，邀請的六個企業參賽隊伍囊括金融業、政府、高科技製造業、電信業和服務業等，在經歷一天的比賽後，由高科技製造業的S.H.I.E.L.D. 獲得冠軍，第二名則是政府單位的615，第三名則是由服務業的Hyper_Defensive獲得；為了鼓勵企業應該重視情資交換的重要性，第二名的615團隊也額外獲得情資分享特別獎；另外也有金融業組成的暗鷹，獲得金融防禦獎。

不過，比賽舉辦當天上午則發生臺電變電所故障的意外，二分鐘的停電也造成主辦方在重新啟動系統後，必須重複確認資料有沒有損失，也是血淋淋的企業真實寫照。未來主辦方也會考慮將UPS不斷電系統，列為各隊參賽的基本設備之一。

提供近二億元的資安設備，作為紅藍隊攻防之用

負責模擬紅隊攻擊的是由博格企業資安讀書會負責出題，這也是他們第二年負責出題，從樹莓派模擬的工控系統，到常見的DDoS（分散式阻斷式攻擊）、網路惡意程式、XSS或是SQL Injection等各種風險都包含在內。

因為是模擬企業遭到攻擊的狀態，現場也提供每一個參賽的企業藍隊各種防範的資安設備，從防範DDoS攻擊的流量清洗設備、防範第七層應用程式攻擊的WAF，到企業必備的SSL VPN等設備，加上頂規的路由器和機櫃等，每一個參賽的藍隊加上攻擊的紅隊，各種網路和資安設備市值將近二億元，比去年設備價值超過一億元更高。

加上，今年更委由TWNIC居中協調，提供10個Public的IP直接對外接上網路，所有參賽的藍隊直接在真實的網路環境「模擬遭到攻擊」的情況，不像去年是在內網受到攻擊的形式，也讓今年HITCON Defense的企業攻防大賽更真實。

參考MITRE的ATT&CK資安框架，採用其中六個階段出題

臺灣駭客協會理事長徐千洋表示，今年比賽現場雖然洋溢著度假風，但企業資安人員即便在度假，當接到企業遭到攻擊的消息時，往往都只能立刻拿起手機、打開電腦、接上網路，開始蒐集企業遭到攻擊的訊息，並思考應該如何因應。因此，企業資安人員面對駭客攻擊時的攻防，是沒有停止的一天。

博格企業資安讀書會創辦人Titan Lee表示，這次紅隊模擬的攻擊手法，更首度採用MITRE推出的ATT&CK資安框架（Matrix）作為紅隊攻擊手法的比對依據，也讓藍隊更容易理解紅隊的攻擊手法進而採取更有效的防護策略。

目前ATT&CK資安框架號稱是剖析駭客入侵技術的百科全書，在ATT＆CK Enterprise中，將駭客在入侵駭客使用的戰略，畫分成12個階段：包括入侵初期（Initial Access）、執行（Execution）、持續潛伏（Persistence）、權限提升（Privilege Escalation）、防禦逃脫（Defense Evasion）、憑證存取（Credential Access）、發現（Discovery）、橫向移動（Lateral Movement）、收集（Collection）、命令與控制（Command and Control）、滲出（Exfiltration）與衝擊（Impact）。

Titan Lee則進一步指出，這次紅隊採用的攻擊手法，有簡化ATT&CK資安框架的12個階段，出題面向只包括：入侵初期（Initial Access）、執行（Execution）、持續潛伏（Persistence）、權限提升（Privilege Escalation）、命令與控制（Command and Control）以及衝擊（Impact）等6個階段，而每一種攻擊手法在在都考驗參賽企業藍隊的臨場反應能力和團隊應變能力。

好的參賽隊伍要囊括IT、系統和資安成員分工合作

這次參加的企業藍隊都是邀請制，去年曾經參加過的隊伍今年則不重複邀請。許多參賽者表示，「參加一天比賽比上班還累，」一個很重要的關鍵點在於，許多參賽者花了很多時間去熟悉大會提供的資安設備操作與使用，也有某一隊參賽隊伍成員表示，一般企業遭到入侵時，通常會先擋掉攻擊來源，但因為大會規則不允許擋掉攻擊來源，也得一邊摸索如何因應。

不過，此次奪冠的高科技製造業參賽隊伍S.H.I.E.L.D. 則說，此次參賽的成員大部分都是SOC團隊的成員，因為公司組織較大、職掌與角色區分的比較細，有很多設備在該公司是屬於IT或是維運團隊負責，因此，對於此次參賽的成員而言，必須要多花一點時間去研究準備。

但參賽成員也說，這樣的經驗對於他們未來在面對資安事件的發生時，也提供他們知道如何跨部門溝通合作。其他有參賽團隊已經事先分工，包括系統、IT以及資安部門成員，每個成員在比賽現場可以依據各自專業互補合作，也都有助於未來回到企業內部的合作。

雖然，這次比賽所提供的資安設備，不見得參賽企業藍隊都有使用過的經驗，但參賽隊伍成員則說，這次操作這些設備阻擋攻擊的經驗，即便企業內部不見得有同樣的設備可以使用，但學會操作設備背後的邏輯，對他們是不錯的學習經驗。

紅隊認為：資安盤點和情資交換是藍隊贏的關鍵

經濟部工業局局長呂正華表示，在資安即國安的政策發展方針下，總統府日前也招開「資安2.0策略會議」，如何提升臺灣資安防護能力是重點。國家通訊傳播委員會委員孫雅麗指出，5G是接下來國家大力發展的網路架構，5G資安就是重中之重的關鍵議題，也會有資安專章規範5G資安。金管會資訊處處長蔡福隆則說，之前臺美大規模網路攻防演練（CODE）也鎖定金融產業作為演練對象，加上主管機關從去年起也從內控角度要求金融單位強化資安，不排除未來鎖定金融業，舉辦類似的、閉門的企業攻防比賽，以提高金融業的資安應變能力。

獲得第三名的Hyper_Defensive成員表示，比賽要了解網路拓樸，各種應用程式AP和網路調整，有賴團隊協作才能達成目標；第二名615參賽成員則說，紅隊DDoS攻擊威力強大，深刻體會到「水管」不夠粗的痛苦；第一名S.H.I.E.L.D. 參賽成員則說，因為去年有實體攻擊，有人到設備插惡意USB，今年還特別先圍封鎖線，帶膠帶把USB插頭先封著，以避免類似的實體攻擊出現。

Titan Lee也從紅隊攻擊角度分享他的觀察，首先，各隊似乎不擅長Web Shell的處理，所以紅隊持續透過Web Shell打下各隊的服務；再者，各隊在資安盤點上，相較去年的參賽隊伍，都盤點的不夠落實，尤其像是離職員工的帳號應該是第一時間就該盤點出來，卻有許多藍隊忽略這一點，也成為紅隊攻擊很好裡用的工具。他建議，不論是比賽或是企業資安實務，IT盤點務必落實。

第三點，Titan Lee說，今年各隊對於資安情資的交換和購買都不積極，有可能是因為分數不夠多，以至於無法購買情資，但不論從比賽或是資安實務而言，好的資安情資是有助於藍隊落實資安防護，像某隊有購買情資時，整個比賽分數就有直接提升。他認為，相較於去年參賽隊伍積極交換購買情資，或許是一個值得參賽的企業藍隊深思之處。

全部由SOC成員組隊參賽的高科技製造業的S.H.I.E.L.D.經歷一天的比賽後，最後獲得冠軍，

第二名的615來自政府部門，也同時獲得情資分享特別獎。

來自服務業的Hyper_Defensive，在成員妥善分工下，最終獲得第三名。

不管參賽的企業藍隊或是攻擊紅隊，都有一個機櫃的資安設備，全部加總的價值將近二億元。

HITCON Defense美一個參賽藍隊的IT架構。

由JavaScript之父Brendan Eich在2016年發表的Brave隱私瀏覽器，在本周正式推出Brave 1.0版，同一天開發該瀏覽器的Brave Software也去信給美國國會，要求它們正視瀏覽器的安全問題。

強調隱私的Brave瀏覽器除了可自動封鎖廣告之外，亦封鎖了所有的分析與追蹤元件，並於今年4月推出隱私廣告（Brave Ads）服務，在使用者啟用Brave獎勵（Brave Rewards）時才會看到廣告，並依據Brave是與廣告主或出版商合作，而支付使用者70%或15%的廣告收益，但所支付的並非現金，而是Brave所發行的BAT（Basic Attention Token）代幣。

Brave1.0終於在釋出測試版的3年後出爐，根據Brave Software所提供的數據，封鎖廣告與追蹤元件的Brave 1.0 不管是在macOS、Windows或Android平台上的網頁載入時間都快過Chrome與Firefox，記憶體使用量或數據傳輸量也少於這兩大瀏覽器，亦比Chrome及Firefox還要省電。

目前Brave瀏覽器已支援macOS、Windows、Android及iOS平台，並提供52種語言，每月用戶數達870萬。

而在寄給美國國會的公開信中，Brave比較了Chrome、Firefox及Safari等各大瀏覽器的安全性，指出Brave可避免駭客透過惡意廣告執行程式，能夠封鎖跨站追蹤器、侵入式廣告、指紋、網路釣魚，而且可選用Tor安全網路，還能自動升級到HTTPS，而其它瀏覽器則只具備部份的安全能力。

Brave政策長Johnny Ryan在信中表示，美國國安局在去年曾經警告，有國家級駭客曾企圖藉由廣告將惡意程式散布到美國政府網路上，而美國政府的電腦或裝置所使用的瀏覽器並未自動封鎖這些廣告。

因此，Ryan呼籲美國國會的國土安全委員會應該要指示政府部門重新審視瀏覽器的安全性，至少得要求瀏覽器的預設值就應封鎖惡意廣告。

不過，Brave也並非毫無爭議，因為該瀏覽器建立了自己的廣告生態體系，有不少人批評它是以自己的廣告來置換網站上的其它廣告，是非法且具欺騙性的行為。

Google發布了一個稱為網路智慧中心（Network Intelligence Center）的多雲監控與管理服務，讓多雲架構的使用者，能夠更簡單地處理網路運作，這項服務目前包含了四大模組，分別是在Beta測試階段的連接測試與網路拓撲模組，以及還在Alpha測試階段的效能儀表板和防火牆指標分析模組。

越來越多企業把多雲和混合雲，作為其雲端戰略的一部分，而連結雲端的基礎設施網路，由於用戶環境的異構性，提高了監控網路工作的複雜度，Google提到，分散且破碎的網路管理工具，反而增加網路營運團隊的壓力，由於網路欠缺可見性，需要花更長的時間排除故障，也缺乏集中式的解決方案，來解決生產環境的配置錯誤、連接和效能問題。

為此Google推出了網路智慧中心，該服務會透過人工智慧技術預測網路錯誤，並提供修補網路的建議，用戶可以調整自動化與人工介入平衡，以支援被動式與主動式網路營運的需求。第一階段的網路智慧中心提供四大模組，連接測試、網路拓撲、效能儀表板和防火牆指標分析。

網路智慧中心提供的連接測試模組，讓用戶可執行按需測試，快速診斷連接性的問題防止網路中斷。連接模組可讓用戶自我診斷，找出問題是發生在GCP內或是外，進而隔離問題所在。用戶可以建立、保存和執行測試，預先驗證配置更改的影響，主動防止網路中斷，而這些測試還有助於確保網路的安全性和法遵。

網路拓撲模組則能視覺化複雜的網路環境，Google提到，在公有雲上，因為用戶無法擁有基礎架構，因此在雲中的可見性格外重要，但由於雲端網路拓撲是一個網狀網路，使其難以在企業就地部署和雲端環境中被理解。

而網路拓撲模組可以提升網路的可見性，簡化網路監控和錯誤排除的工作，且網路拓撲為各節點包括邊緣節點，都提供了有用的效能指標，可實現依指標驅動的故障排除、政策檢查，甚至是基礎架構與容量的最佳化。

效能儀表板則提供即時的網路效能資訊，讓用戶了解封包丟失和延遲的情況，Google說明，其提供專案等級的監控能力，目前未有任何其他雲端供應商提供類似的服務，也就是說，效能儀表板可以讓用戶完全掌握網路的效能，用於匯總跨區域的虛擬機器對虛擬機器的封包丟失和延遲資料。防火牆指標分析提供了防火牆規則的可見性，為用戶揭露影子防火牆的規則，以幫助用戶最佳化防火牆規則。

金融交易側錄的情況，近年來可說是日益嚴重，攻擊者得手的資料，最終往往透過暗網裡的市集兜售牟利。網路威脅情報業者Group-IB在10月28日，從老牌卡號交易黑市Joker's Stash裡，發現一組擁有超過130萬筆金融卡資料庫上架，每張卡片的資料標價為100美元，換言之，若是全數賣出，駭客能得到至少1.3億美元。而這個規模，可說是有史以來，暗網出現印度金融卡資料庫筆數最多的紀錄，同時每筆資料的標價，也創下新高。

這組上架的資料庫名稱，以INDIA-MIX-NEW-01為開頭，駭客宣稱，他們側錄的內容，大多是印度支付卡和信用卡，並含有金融卡的第一軌（Track 1）和第二軌（Track 2）內容，資料的有效性高達90%到95%。雖然經Group-IB驗證後，發現當中其實只有第二軌的資料，然而，這些內容已經足以讓歹徒用來複製金融卡，以供進一步濫用。市集上買家可以看到的金融卡資訊，包含種類（信用卡或是支付卡），以及發卡單位、卡片等級、國別，以及安全碼等內容。

經由Group-IB進一步分析，這組金融卡資料約有98%是來自印度，僅有1%來自哥倫比亞。不過，比較特別的是，逾五分之一（18%）的金融卡，是由同一間印度銀行發行。

今年多個大型金融卡資料庫在老牌黑市流竄

存在已久的Joker's Stash金融卡資料庫黑市，是FIN6與FIN7等駭客組織竊得資料後，銷贓的主要管道。而上架到這個黑市的大型金融卡資料庫，研究人員今年已經發現多個，例如，在2月發生的達文西外洩（DaVinci Breach），以及8月的太陽能外洩（Solar Energy Breach），分別兜售了215萬與530萬張金融卡資料，而前述印度的外洩資料筆數，僅次於這兩起事件。

相較於先前發生的兩起大規模外洩，由Group-IB揭露的事件有許多獨特之處，首先，有別其他駭客的做法，兜售者或者是Joker's Stash，他們並未在暗網裡公告販售，再者，則是賣家一口氣上架130萬筆資料，而非像其他事件，採取分批拍賣的做法。

雖然這次由Group-IB揭露的外洩資料裡，尚未確定駭客竊取資料的來源，但該公司強調，黑市鮮少出現印度的金融卡資料，這是最近1年以來，唯一一起關於該國的外洩事件。另一個與許多的金融卡資料庫不同之處，則是在於資料來源幾乎是印度，而無論是達文西外洩還是太陽能外洩事件，雖然它們都是鎖定美國企業，但是金融卡資料來源廣泛PHP，分別涵蓋超過70國和100個國家。

再者，這個印度金融卡資料庫的標價，也是遠遠高過黑市行情──Group-IB指出，每張金融卡資料的價格，一般介於10到40美元之間，而印度金融卡資料庫的總價為1.3億，比起外洩資料筆數較多的達文西外洩350萬美元還要多。這樣的情況，可能會使得更多駭客投入，發動有關的資料竊取攻擊，導致企業面臨更為嚴峻的資安防護挑戰。

臉書在本周公布了社群守則執法報告（ Community Standards Enforcement Report），揭露今年第二季與第三季所移除的內容數據，新增了有關自我傷害內容的移除說明。

臉書《社群守則》（Community Standards）所禁止的內容包括成人色情、霸凌、兒童色情、假帳號、仇恨言論、非法物品、垃圾訊息、恐怖主義宣傳、暴力內容及自戕等，而臉書所移除的內容絕大多數都是透過AI主動偵測到的，只有霸凌內容主要仰賴使用者檢舉。

此次的報告新增了有關自殺與自我傷害的移除數據。臉書表示，此一類別既敏感又複雜，既要保留真正求救的內容，又得過濾那些可能鼓勵他人自戕的內容。今年第二季臉書移除了200萬筆的相關內容，有96.1%都是由AI偵測到的，第三季移除了250萬筆內容，97.3%來自AI。

該報告還列出了違規內容的比例，例如在所有用戶所張貼的內容中，第二季出現違規成人色情內容的比例為0.07%到0.08%，第三季則是0.05到0.06%；至於假帳號不管是第二季或第三季出現的比例都占臉書每月用戶數的5%，臉書在第二季移除了15億個假帳號，在第三季移除17億個假帳號；而在第二季所移除的藥品違規內容則有260萬則，第三季為440萬則，所占比例低於所有內容的0.04%。

在霸凌或騷擾內容上，臉書在第二季移除250萬筆內容，於第三季移除320萬筆內容，不過，有鑑於霸凌與否可能得視使用者與對方的關係而定，因此被上訴的機會也相對較高，是故臉書並未估算其普遍性，而且這也是極少數無法透過AI辨識的內容，大多數都仰賴使用者檢舉。

臉書在第二季以AI所偵測並移除的霸凌內容只占所有霸凌內容的17.9%，第三季則是16.1%。

值得注意的是，在臉書上出現的兒童色情內容愈來愈多，臉書在第二季移除了690萬筆相關內容，第三季移除1,160萬筆內容，但有高達99%都在使用者檢舉前就被臉書移除了。

你是否不時用車站或機場方便的USB充電線為手機充電？美國政府發佈警告，要民眾避免再這麼做了。

手機成為現代人不可或缺的配備，手機沒電可能讓你損失慘重。10月一名英國女性用Apple Pay買了票上了倫敦巴士，不料她的iPhone在車掌查票時沒電無法證明自己確實有買1.5英鎊的公車票，結果這名女性遭罰476英鎊（約19,000）元。但是隨便找USB充電站也可能招致麻煩上身。

美國洛杉磯郡地方檢察院本周就警告，為免感染惡意程式，大眾交通工具的乘客應避免以機場、飯店和其他地方的公用USB充電站為手機或其他裝置充電。在這些充電站充電，可能遭遇名為充電陷阱（juice jacking）的駭客手法，歹徒在充電站或充電線中植入惡意程式，以等待不知情的過路旅客將裝置插上而感染。這會造成裝置被鎖住，或是用戶資料或密碼經由惡意程式傳送到駭客架設的伺服器。

美國政府建議用戶使用一般交流電插座充電，而且出外旅行時最好只使用自己的交流電或USB充電線，或許考慮花點錢買個行動電源以備不時之需。

資訊產業很早就注意到USB傳輸線的安全問題。2014年即有德國廠商SRLabs 發現變更可程式化的USB控制晶片，即可將各種USB裝置變成邪惡裝置（BadUSB），隨後並有安全公司發展出將USB線變成人機輸入介面。今年安全研究人員Mike Grover還在USB介面上嵌入了Wi-Fi晶片，以便可在適當的距離內遠端攻擊，竊取裝置資料。

來自SafeBreach Labs的安全研究人員Peleg Hadar本周揭露了一個位於Symantec Endpoint Protection的安全漏洞，此一編號為CVE-2019-12758的漏洞可繞過該端點保護軟體的自我防護機制，從而擴張權限，此一產品在博通（Broadcom）買下了賽門鐵克（Symantec，現已改名為 NortonLifeLock）的企業安全業務之後，現已由博通（Broadcom）負責管轄。

Symantec Endpoint Protection為一終端保護軟體，由防毒、入侵防禦與防火牆等功能組成，可同時支援伺服器及個人電腦，為市場上最受歡迎的端點安全產品。

Symantec也在Hadar公布該漏洞的同一天提出了說明，表示它是一個本地端程式碼執行漏洞，允許本地端駭客執行任意程式，就算攻擊失敗，也可能造成服務阻斷的現象，而且Symantec Endpoint Protection 14.2 RU2以前的版本通通受到波及，從Symantec Endpoint Protection 11.0到Symantec Endpoint Protection 14.2 RU1，總計有12個版本被影響。

除了允許駭客執行任意程式之外，Hadar還說此一漏洞將讓駭客永久地載入與執行惡意程式，在每次重啟服務時，都會載入惡意程式。

通訊晶片大廠博通是在今年9月宣布，以107億美元的現金併購賽門鐵克的企業安全資產，賽門鐵克則保留了消費者產品線，包括Norton與LifeLock等品牌，在雙方於本月初完成交易後，賽門鐵克進一步宣布將品牌名稱轉讓給博通，自己則更名為 NortonLifeLock Inc，自11月5日起，賽門鐵克在那斯達克的股市交易代號也從SYMC變更為NLOK。

至於賽門鐵克的企業安全業務則成為博通旗下的獨立部門，名稱為Symantec Enterprise，原本在賽門鐵克擔任企業安全業務總經理的Art Gilliland也順勢進入博通，擔任博通資深副總裁並負責管理Symantec Enterprise。

根據華爾街日報及Federal Times的報導，Amazon已向專門處理與美國政府之爭議的索賠法院（United States Court of Federal Claims）提出抗議，指稱國防部將《聯合企業防禦基礎設施》（Joint Enterprise Defense Infrastructure ，JEDI）合約交付給微軟，是個不公正的決定，而Amazon也已向各大媒體證實此事。

JEDI為美國國防部將IT架構現代化的專案，只有一家業者會得標，將負責替國防部翻修運算基礎設施，以讓它能跟上現代化的IoT、人工智慧及大數據分析等雲端應用，也得整併某些舊有的基礎設施，合約時間為10年，預算高達100億美元，包括甲骨文、IBM、微軟與Amazon等業者都參與了這項競標，呼聲最高的自是全球雲端運算市場的龍頭AWS（Amazon Web Services），但出乎意料的，雀屏中選的卻是微軟。

根據Federal Times的報導，AWS執行長Andy Jassy是在本周四（11/14）舉行的員工大會上對內宣布，已針對JEDI一案向索賠法院提出抗議，該報甚至取得了Jassy在會議上的錄影。

根據報導，Amazon想要知道究竟發生了什麼事，Jassy在會議上表示，如果有一個曾公開蔑視一家企業與企業負責人的總統，包括國防部在內的政府機關應該很難作出客觀的決定。暗示美國總統川普（Donald Trump）可能介入了此一標案。

Jassy還說，JEDI評估流程的許多方面都存在著明顯的缺陷、錯誤與偏見，如果全面且客觀地比較AWS及微軟的雲端平台，結果不會是微軟勝出。

根據市場研究機構Canalys在今年第三季的全球雲端基礎設施市場調查，AWS的市占率高達32.6%，處於明顯的領先地位，居次的微軟 Azure佔了16.9%，而Google Cloud則佔6.9%。

美國的50個檢察長在今年9月宣布，將針對Google對網路廣告市場與搜尋流量的控制展開反壟斷調查，不過，本周傳出他們打算擴大調查範圍至Android平台。

此一聯合調查行動是由除了加州及阿拉巴馬州以外的48個州的檢察長，再加上華盛頓特區與波多黎各的檢察長所共同參與，在調查初期多鎖定Google的廣告業務。根據eMarketer今年針對美國搜尋廣告市場所作的統計，Google的市占率高達73.1%，居次的Amazon只占了12.9%，微軟以6.5%排名第三。

不過，CNBC報導，這50個檢察官在最近的會議中透露，有意把針對Google的調查範圍擴大到搜尋及Android業務，但並不確定有哪些州會執行。

主導此一調查行動的德州檢察長Ken Paxton辦公室則說，他們將視目前調查的進度與發現，來決定最終的調查範圍。

Google與Android曾在歐盟面臨類似的指控，歐盟認為Google要求於Android手機上預裝Google程式的手機製造商也必須預裝Chrome瀏覽器及Google搜尋，是違反市場競爭的行為，而在去年判罰43.4億歐元（約50億美元）。

Google提供Google Mobile Services（GMS）套件予Andoird製造商預裝在手機上，該套件內含Gmail、Google Play、YouTube、Google Maps、Google Photos等重要程式，也包括Chrome與Google搜尋，此一套件是免費的，但不能拆裝，歐盟認為Google強迫製造商安裝Chrome與Google搜尋的目的，是將Android裝置的流量導向Google搜尋，妨礙市場競爭。最終Google與歐盟妥協，在歐盟地區提供獨立於GMS之外的Chrome與搜尋授權。

Google針對行動裝置以及人工智慧運算架構Edge TPU，釋出採用AutoML技術最佳化的機器學習模型MobileNetV3和MobileNetEdgeTPU。在維持相同精確度的情況下，MobileNetV3的運算速度是前一代MobileNetV2的兩倍，而MobileNetEdgeTPU模型則是專為Edge TPU架構設計，在機器學習運算的速度、準確度以及功耗效率表現，可比其他模型還要好。

為了同時實現隱私保護、總是可用以及回應式的人工智慧功能，Google在行動裝置上加入機器學習運算硬體與演算法，像是在最近發表的手機Pixel 4中就部署Pixel Neural Core，這是Google Edge TPU人工智慧運算架構的實例，提供像是臉部辨識解鎖、智慧助理以及特殊相機功能等應用。除了硬體之外，演算法也是機器學習應用至關重要的元素，且因為行動裝置不像是雲端伺服器，有著理論上無限的運算能力，因此裝置上的模型需要有具壓縮且有效率的特性。

Google現在發布的兩個最新裝置上機器學習模型，在效能與功耗表現都獲得進展。MobileNetV3與之前由人工設計的MobileNet不同，Google使用AutoML技術，為手機電腦視覺任務尋找MobileNetV3的最佳架構，而且為了在不同條件都可以提供最佳效能，Google同時產出大與小兩種模型。

（下圖左）以小型模型來看，在裝置Pixel 4中，綠線MobileNetV2要達到與藍線MobileNetV3相同的精確度65.4％，MobileNetV2延遲達10ms，而MobileNetV3延遲則只有5ms。而在（下圖右）可看到，藍線大型MobileNetV3模型與綠線MobileNetV2的比較，當MobileNetV3達75％的精確度與MobileNetV2達70％的精確度時，所產生的延遲均為20ms，明顯的MobileNetV3效能比起前一代提升不少。

除了分類模型之外，MobileNetV3還加入物件偵測模型，在COCO資料集中使用相同精確度，MobileNetV3比MobileNetV2的偵測延遲少了25％。

另一個Google發表的機器學習模型MobileNetEdgeTPU，則是專為Pixel 4中的Edge TPU設計，Google提到，Pixel 4中的Edge TPU架構與Coral產品系列中的Edge TPU板相似，但是有為手機上的相機進行調整。Google同樣也應用了AutoML方法，為機器學習模型MobileNetEdgeTPU進行最佳化。

MobileNetEdgeTPU在硬體Edge TPU中有著極佳的延遲表現以及精確度，與MobileNetV2和極簡型MobileNetV3相比，在固定延遲的情況下，MobileNetEdgeTPU能提供更高的精確度（下圖），而且花費的功耗更少，在相同精確度下，MobileNetEdgeTPU使用的功耗不到極簡型MobileNetV3的50％。

GitHub在今日的Universe大會中，發布了GitHub Security Lab計畫，欲集結眾多企業投入提升開源程式碼安全性的工作，同時也免費釋出程式碼語義分析引擎CodeQL，讓社群開發者能更快速地尋找開源軟體的漏洞程式碼，另外，還公開啟用了GitHub通報資料庫，作為平臺上公共的通報資料庫。

GitHub提到，維護全球開源軟體安全的工作並不容易，主要面臨三大問題，分別是龐大的規模、人才短缺以及協作上的障礙。規模的阻礙來自大量的程式碼，GitHub舉例，光是JavaScript生態系統，就存在超過一百萬個開源套件，更別說所有開發語言的總和，而且開發人員與資訊安全專業人員數量相比約為500比1，而且這些安全專業的人才散布於各家公司，難以良好的協作。

創立GitHub Security Lab的目的，是要集結全球安全研究社群，共同維護開放原始碼的安全，GitHub本身已經開始投入大量的資源，探索和回報開源專案中的漏洞，到目前為止已經發現了100多個CVEs。目前參與計畫的企業包含了F5、Google、英特爾、微軟、摩根大通和Mozilla等14家企業，他們將共同投入資源以發現並修復開源軟體中的漏洞。

為了強化安全研究社群的能力，GitHub免費開放社群，在開源程式碼使用程式碼分析引擎CodeQL。CodeQL提供一種方便的程式碼查詢方法，可以像是查詢資料庫一樣查詢程式碼，研究人員可以編寫查詢語法搜尋造成漏洞的程式碼，一次解決相同類型的漏洞。

另外，GitHub平臺也提供了安全通報功能，維護人員現在可以和安全研究人員，私下修復安全漏洞，並且也可以直接在GitHub上申請CVE，並設定有關於漏洞的結構化訊息，而當漏洞修補人員準備好發布安全通報時，則GitHub會對所有影響的專案發送警示。

除了發送漏洞通知之外，GitHub進一步提供自動更新拉取請求，以更積極的做法幫助開發人員處理新發現的漏洞。GitHub會為新漏洞建立自動安全性更新的拉取請求，以更新受漏洞影響的相依項目。自動化安全更新功能目前已經正式發布，會自動為啟用安全警示功能的儲存庫開啟這項功能。

GitHub提供公共安全通報資料庫，維護者可以建立通報資料，並將其整理對應到GitHub相依關係圖追蹤的套件。用戶可以在瀏覽器直接瀏覽這些CVE紀錄，或使用安全通報API以程式存取這些資料。

為了預防開發者因為將令牌或是憑證寫死在專案中，並推送到GitHub公開儲存庫所導致的安全性問題，GitHub現在會掃描20多個雲端供應商的令牌格式，當在專案中發現對應的資料時，GitHub會通知雲端供應商，由他們採取行動，通常會先撤銷該令牌並通知受影響用戶。

近日港警圍攻香港中文大學的行動，再次加深許多香港民眾對警察執法過當的觀感，也持續引發國際的批評，激烈的手段顯然更加速當地社會動盪，一直是全球關心焦點。而在這次圍攻事件中，由於中文大學內設立了「香港國際網際網路交換中心」（Hong Kong Internet Exchange，HKIX），因此，網路上傳出圍攻目的是為「斷網香港」，不過，這樣的消息也引起過多揣測與爭議。為了瞭解香港HKIX的運作與影響，這次，我們分別詢問了在香港的資安人員與電信業者。

根據香港中文大學官網的說明，他們的資訊科技服務處不只是為大學提供服務，同時也負責營運HKIX，為香港網際網路服務擔當樞紐角色。透過HKIX，香港及亞太區內的網際網路資訊交換，可經此樞紐進行本地轉接，而毋須先傳送至海外再送返香港，令上網服務更快捷更經濟，也就是無需繞經海外，能夠節省時間和成本。

對於HKIX出問題，具體帶來的影響會是？根據一間資安業者在香港的資安人員表示，若是HKIX受影響，香港內部的流量會減慢一些，但出國的流量並不會有很大影響，因為大部份網站都在國外。同時，他也提及香港資訊科技界的立法會議員莫乃光在臉書的貼文，並指出他有相同的看法。

對於HKIX的傳聞，莫乃光在11月12日晚間發文說明他的觀察。一開始，他先表明，他已經聯繫過中文大學HKIX的同事，並從他過去在ISP運作的經驗，進而整理出來的結論。

基本上，HKIX在中文大學設於兩個核心地點，並且設有中大以外衛星地點連接設施，即HKIX2/3/4/5，而這些設施仍需接回中大的HKIX。由於HKIX的作用，就是提供香港境內網際網路網的交換點，比起離開香港再作資訊交換方便和快速，因此，過去大部分的網際網路通訊，一向是透過HKIX與不同的ISP業者作交換。

不過，今日市場上已經有多個其他交換設施，不只是HKIX，因此，個別的主要ISP業者也有使用其他的服務，包括Equinix、iAdvantage、AMS-IX、BBIX等，不僅如此，在個別ISP之間也有peering協議與提供transit服務，而這些存在，也都是為了讓HKIX在不能提供服務時，可以發揮備用的作用。

因此，對於這次HKIX的傳言，他指出，如果HKIX停止服務，網際網路速度確實會慢一些。但網路上傳出的資訊：「因為HKIX佔香港本地流量八成，所以就會慢了八成」，並不成立。

另一個議題，是關於執法單位攻佔HKIX，是為了監視其中的網際網路內容。他認為，沒有人能完全否定這個可能，不過，如果真的這樣做，將需要入侵大量屬於全港不同ISP的私人伺服器和路由器。因此，他認為，這在法律上和技術上的工程不小。

至於所有通訊軟體App，例如香港最普遍的是WhatsApp，是否都會通過HKIX？他認為這應該是不可能，加上現今普遍主流的通訊軟體，都有點對點加密保護。

最後，他也強調：「現在最重要的是中文大學學生們安全的問題。由於謠言甚多，我無意叫大家掉以輕心，不想為popo（意指警察）解說，但亦不想傳播假消息。」這番言論相當中肯，顯示了學生安全已是香港社會與全球關心重點，而謠言與假消息的傳遞，在多方有心與無心推播下，已經帶來嚴重影響。

此外，我們也詢問到一家香港電信商，他們也表示，香港有多家類似HKIX的主機，其中HKIX有兩臺，其他則在別的公司，即使HKIX出問題，也不會變成資訊完全無法出去的狀況。而這樣的說法，也是與上述內容吻合。

Google本周宣布，繼英國、法國及墨西哥之後，官方的傳訊程式Messages將開始於美國市場提供基於「豐富通訊」（Rich Communication Service，RCS）協定的聊天功能。

Messages為Google專替Android平台所打造的通訊行動程式，原本只能用來傳遞文字簡訊（Short Message Service，SMS）或多媒體簡訊（Multimedia Message Service，MMS），但Google這幾年開始推動RCS，以提供更豐富的通訊功能，像是分享高解析度的照片或大型檔案，進行群組聊天，也可存取訊息讀取回條，或是進行視訊通話等。

Google本周的決定應與美國四大電信業者宣布要支援RCS有關，因為在Messages程式的介紹中，就明白表示需要電信業者的支援才能夠提供基於RCS的聊天功能。

目前Messages程式只支援Android平台，Google表示，既有的Messages用戶在未來幾周可能會看到通知，提醒他們啟用聊天功能，也鼓勵其他用戶下載，預計在年底前就會將聊天功能部署至全美，之後亦會陸續推廣至全球市場。

你知道耳鼻喉科醫生Otorhinolaryngologist、希臘黃瓜優格醬Tzatziki、短尾矮袋鼠Quokka，或者是海葵Anemone怎麼唸才正確嗎？Google本周宣布，將於Google搜尋行動版中實驗一項新功能，可協助使用者讀出那些很難讀出或平常不熟悉的英文單字，以後行動版Google大神又多了一項特殊技能。

當使用者想知道某個單字的讀音時，常常會利用Google搜尋來尋找正確的發音，例如「how to pronounce quokka」，之後就可直接於搜尋結果中聆聽發音。不過，這樣可能還不夠，現在Google在行動搜尋中新增了發音練習功能，使用者按下麥克風鍵之後，就能自己讀出該單字，並由系統判斷你是否讀對了，若是唸錯了，系統還會教導你如何發出正確的音。

Google是先利用語音辨識技術將單字拆分成個別的咬字，再透過機器學習技術將使用者的讀法與正確的讀法交叉比對，再給出建議。可以正確的發音對於語言的學習或記憶來說是個非常重要的元素。

此外，當嘗試透過Google搜尋找到某些單字的定義或翻譯時，Google將會在英文字典與翻譯功能中新增圖片來幫助使用者理解單字的意思。

目前發音練習功能僅支援美式英文，而字典/翻譯圖片功能則可支援所有語言的翻譯，但只能用英文詢問。Google計畫未來將會擴大這兩項功能，讓它們能支援更多的語言、口音或地區。

雲端原生基金會（Cloud Native Computing Foundation，CNCF）發布了最新版本的Kubernetes應用程式管理工具Helm 3，這個版本移除了原本與Kubernetes API通訊的工具Tiller，並以Helm 2的核心功能為基礎，改善了Charts儲存庫、發行版本管理和安全性等。

Helm是熱門的Kubernetes應用程式管理工具，其功能類似Apt、Yum以及Homebrew的打包管理工具，可確保應用程式在Kubernetes上正確運作，其使用一種稱為Charts的打包格式，來定義、安裝和升級應用程式，Helm消除了配置和部署Kubernetes應用程式的複雜性，進而提高開發工作的效率。由於Kubernetes逐漸成熟，在去年的時候，雲端原生基金會決議將Helm從Kubernetes分離，成為孵化專案，並獨立由雲端原生基金會管理。

官方提到，比起Helm 2，Helm 3的內部實作有很大的變化，最重要的改變是移除了Tiller。Tiller是Helm用來與Kubernetes API進行通訊以管理Helm套件的工具，官方提到，當將Tiller安裝到多租戶叢集時，DevOps和SRE團隊需要學習額外的操作步驟，而且Kubernetes 1.6預設啟用基於角色的存取控制，讓Tiller變得難以使用。

在Helm 3中Tiller的主要功能已經被取代，因此官方決定完全移除Tiller，而這也使得Helm安全模型更為簡潔。另外，在Helm 2所建立的Charts工作流程，包括建立、安裝和管理Charts，在Helm 3為了符合社群需求，官方重新更改了底層基礎設施，並在之上建立新功能。

雲端原生基金會技術長Chris Aniszczyk提到，Helm是目前雲端原生基金會發展最為快速的專案。組織核心維護者包括微軟、三星SDS、IBM和Blood Orange等企業，都投入不少資源貢獻專案，從Helm第一個Alpha版本發布以來，已經有超過500多個社群成員貢獻程式碼。

官方也預告，下一個版本會加入能增加穩定性的新功能，並且強化現存的功能，還會改善Helm對OCI的支援，增加Go客戶端函式庫的功能。

11/8~11/15 精選容器新聞

#Docker #Swarm #Mirantis
雲端平臺商Mirantis買下Docker企業版軟體，連同750家大企業顧客

力推OpenStack的雲端運算服務供應商Mirantis宣布，向Docker公司，買下了他們旗下的Docker Enterprise平臺業務，併購內容包括Docker Enterprise產品以及其750位客戶。Mirantis提到，這次的併購能加速Mirantis為開發者在雲端或是企業就地部署，提供一致Kubernetes即服務（Kubernetes-as-a-Service）的目標。Mirantis這次收購的只有Docker Enterprise業務，包括了產品、技術、IP以及客戶和合作夥伴關係，平臺技術與相關IP，涵蓋了Docker Enterprise Engine、Docker Trusted Registry、Docker通用控制平臺以及Docker CLI。Mirantis也會擁有所有的Docker Enterprise客戶和合約，過去締結的策略技術聯盟和合作夥伴計畫，也都會一併轉移到Mirantis。Docker Enterprise的員工也會留下，繼續產品的開發工作。目前財富100強企業有三分之一，全球500大企業有五分之一正在使用Docker Enterprise。

Mirantis將繼續為Docker Enterprise強化Kubernetes技術應用，在各種基礎設施提供一致的開發體驗，並持續進行開放原始碼以及開放標準的發展。而Mirantis也表示，未來調度工具趨勢為Kubernetes，他們承諾會為Swarm提供至少兩年的支援，不過他們正在評估Swarm的退場機制，以及搬遷到Kubernetes的解決方案。

#Helm #應用套件管理 #K8s
K8s應用套件管理工具Helm大改版，移除Tiller重新設計Chart工作流程簡化安全架構

CNCF基金會剛發布了最新版本的Kubernetes應用程式管理工具Helm 3，這個版本移除了原本與Kubernetes API通訊的工具Tiller，並以Helm 2的核心功能為基礎，改善了Chart儲存庫、發行版本管理和安全性等。
Helm是熱門的Kubernetes應用套件管理工具，其功能類似Apt、Yum以及Homebrew的打包管理工具，利用了一個名為Chart的打包格式，將安裝一套K8s應用所需的配置檔和資源封裝起來，方便部署到K8s叢集上。Helm可用來定義、安裝和升級K8s應用程式，減少配置和部署Kubernetes應用的複雜性，進而提高開發工作的效率。由於Kubernetes逐漸成熟，在去年的時候，雲端原生基金會決議將Helm從Kubernetes分離，成為孵化專案，並獨立由雲端原生基金會管理。

Helm 3的內部實作有很大的變化，最重要的改變是移除了Tiller。Tiller是Helm用來與Kubernetes API進行通訊以管理Helm套件的工具，官方提到，當將Tiller安裝到多租戶叢集時，DevOps和SRE團隊需要學習額外的操作步驟，而且Kubernetes 1.6預設啟用基於角色的存取控制，讓Tiller變得難以使用。移除Tiller之後，使得Helm安全模型更為簡潔，另外，在Helm 3重新從底層基礎架構管理思維，來設計在Helm 2所建立的Chart工作流程。官方也預告，下一個版本會加入能增加穩定性的新功能，並且強化現存的功能，還會改善Helm對OCI的支援，增加Go客戶端函式庫的功能。

#微服務 #API閘道器 #DLP
Solo.io推出企業版API閘道產品，專門為K8s優化

雲端原生應用開發商Solo.io最近推出了一款企業版API閘道器產品，也針對K8s環境有特別的串接設計，利用了CRD客製化資源定義，讓K8s叢集內的微服務，更容易和外部API串接。Solo.io利用自家開源的API閘道器專案Gloo，推出了企業版產品Gloo，可以支援企業慣用的LDAP、應用程式防火牆和角色存取控管。在1.0企業版的新功能，除了WAF之外，也提供機密資料防護功能（Data Loss Prevention），可直接在API閘道器端，來阻擋機敏資料的外洩，也可符合金融業PCI-DSS規範或醫療業HIPAA規範的要求。企業版還可支援多種身分驗證、授權機制，除了API金鑰之外，包括了JWT、LDAP、OAuth和Open Policy Agent。在角色管理上，則可提供提供在單一組織下，多群組管理，對部署、配置或各自應用程式的流量來進行控管。

#GitHub #程式碼管理
GitHub終於有行動版App了，還發表可保管程式碼上千年的Arctic Code Vault

原始碼代管平台GitHub終於推出行動版，主要可以讓開發者在手機上維持與開發社群的聯繫，例如回覆意見，進行合併變更等，目前只有iOS測試版，但很快會推出Android版。GitHub最近宣布多項進展，包括釋出GitHub行動程式測試版，GitHub Actions與GitHub Packages邁入正式版，改善了通知功能與程式碼搜尋，更發表了「北極程式碼保險櫃」（GitHub Arctic Code Vault），號稱可將重要的程式碼保存超過1,000年。GitHub Actions則可用來建立自動化的軟體開發流程，目前包括AWS與Google在內的許多組織已打造了逾1,200個工作流程，可透過GitHub Marketplace取得。GitHub也讓諸如Raspberry Pi等Arm架構可執行Actions並免費使用self-hosted runners與artifact caching。另一項重要的改善為通知功能。GitHub在通知功能上增添了客製化的過濾機制，以避免開發者的信箱被雜亂的通知訊息淹沒。其它新功能還包括程式碼導覽、程式碼搜尋、程式碼檢查任務指派、預約提醒，以及功能預覽等。

#漏洞管理 #K8s安全
StackRox發布K8s安全平臺3.0，加入配置與漏洞管理功能

雲端資安公司StackRox推出了Kubernetes安全平臺3.0，這個版本加入了配置與漏洞管理，讓用戶能有效掌握雲端原生容器應用程式的安全性。3.0版提供了互動式儀表板，可以讓用戶針對風險的等級，查看錯誤的Kubernetes配置，並能進一步了解錯誤配置的訊息，以及修補所需要的相關背景資訊。也會持續監控帳戶的權限，避免用戶意外地對帳戶授予不必要的權限，減少可能被攻擊的面向，而且還能辨識潛在錯誤配置和提供風險分析。另外會監控Kubernetes機密資訊的存取，控制可存取機密資訊的部署，並限制不必要的存取。K8s產品團隊以及安全性審核所揭露的重大漏洞，StackRox這款安全平臺會提供必要的警示，範圍包括相關的Kubernetes API伺服器。該平臺也會掃描容器映像檔，尋找跟程式語言相關的漏洞。

#Ansible #K8s叢集主機管理
Dell科技引進Ansible自主框架，可用來管理K8s叢集的伺服器產品

最近Dell科技推出了一款可部署於企業內部的自主管理式基礎架構產品Dell EMC PowerOne，內建的控制器，採用了K8s平臺，並搭配Ansible的IT自主管理框架，來提供遠端配置和管理功能，不只可用來配置、調度，也可提供全生命周期的管理。另外還搭配推出了Dell EMC PowerOne service，可執行Ansible的腳本，用來管理K8s叢集上的微服務。這套基礎架構也提估了集中式管理介面，可用來監控各實體伺服器的運作。主要元件包括了PowerOne Controller、PowerEdge MX伺服器、PowerSwitch交換機、PowerMax儲存系統、PowerProtect資料保護解決方案，計畫在11月22日正式上市。

責任編輯／王宏仁

更多Container相關動態

• 最新Linux版Steam客戶端開始支援以Linux容器執行遊戲
• Fastly推出無伺服器邊緣運算服務Compute@Edge

＠資料來源：iThome整理，2019年11月

上一篇文章說明「建模」，但文章最後留下一個尾巴「抽象」，因為抽象和建模彼此之間是有密切關係的。這一篇文章會完成這個部分的解釋。一方面作為前情提要，二方面是重要的事情值得重複，我再說一遍：良好建模的重點在於 1. 記錄「目的」相關的要點、 2. 記錄有「差異」的點。

差異是比較出來的。兩個事物比較的結果就是某些方面「相同」且某些方面「相異」。當我們把「一群事物」集中在一起做比較，再把它們相同的資訊集合起來，這個過程就是抽象（abstraction），而抽象的結果是概念（concept）。比方說，糖果、甘蔗、巧克力可以抽像出「甜」的概念；跑步、跳繩、舉重可以抽像出「運動」的概念；你、我、愛因斯坦可以抽像出「人」的概念。

概念是有意義的，概念本身可以單獨存在，我們也可以把概念擴充為類型（type）。類型包含了概念，但比概念多了「對某些關鍵訊息的要求」。也就是說，某個事物想要屬於某種類型，就必須滿足這個類型的概念，同時提供這個類型要求的關鍵訊息。例如：人是一個概念（有自身的意義），也可以是一個類型（除了概念的意義，還必須要具備身分證字號、地址、電話...等訊息）。

當然，概念自身的意義是什麼，以及類型需要的關鍵訊息有哪些，都要根據明確的目的才能得知。這就是為什麼我認為 Schema.org 很難成功，你可以上 Schema.org 網站看看。Schema.org 試圖把現代社會需要的類型（以及概念）整理出來，變成規範。例如：人、交通工具、行為、地點，但 Schema.org 為了通用，沒有限定使用目的，這就會導致訊息繁雜，導致最終難以使用。20 年前的 IBM San Francisco 專案試圖對各種企業內的各種事物做通用的抽象，最後過於複雜而失敗，殷鑑不遠。

建模的方式有兩種，一種是使用類型，一種是不使用類型。當建模沒有基於類型時，需要記錄很多資訊；而基於類型的建模只需要記錄類型要求的關鍵訊息（也就是和基本概念有差異的部分），這就是本文章第一段所說的：良好建模的第二個重點在於記錄有「差異」的點，所以在建模之前，最好先抽象，把一些概念和其擴充出來的類型確定下來。另外，類型本身是有意義的，所以基於類型的建模，不只是紀錄資料，也具有意義。因此，我建議最好一定要在類型的基礎上建模。

任何一群事物都可以被抽象為概念並擴充為類型，但近似的一群事物抽象起來意義才大，否則會很籠統。例如：地毯、桌子、米飯只能被抽像出的概念大概就是「東西」，東西是非常籠統的，概念（和類型）太泛太模糊，所以價值很低。

所以在抽象的過程中，往往牽涉到「分類」（classification）。把這一大堆我們想要建模的東西「依據某些特質」分成幾類，再為每一類抽象出概念，擴充出類型，這麼一來，可以降低概念和類型的模糊，提升概念和類型的價值。這裏提到「依據某些特質」，對「特質」的選擇，靠的也是對目的的理解。

做任何事情都不要忘了當初的目的，分類的目的是為了更好地抽象，抽象的目的是更好地建模，良好建模的第一個重點在於記錄目的相關的要點。所以我們在抽象和分類時，要持續思考：我們現在進行抽象和分類的行動，未來要如何能夠滿足建模的目的。

當你試圖把一群概念或類型集合在一起，對它們繼續抽象時，階層（hierarchy）就出現了。這就是你在 Schema.org 看到的階層關係。對於這方面，我簡單地總結：採用階層設計，好處是重複使用定義，缺點是稍微變複雜了。

一定要記得：對「一件」事物做建模，對「一群」事物做抽象。不管是東西、動作、想法、或其他，只要目的清楚，任何一群事物都可以被抽象為概念，擴展為類型。在讀過這兩篇文章後，你已經清晰地理解模型、建模、抽象、概念、類型、分類。