專門分類軟體漏洞與缺陷的「通用缺陷列表」（Common Weakness Enumeration，CWE），在上個月列出了2019年最危險的25個軟體錯誤：2019 CWE Top 25，名列第一的是在記憶體緩衝區界限內操作的不當限制。而這也是CWE最近8年來首度更新該列表。

CWE目前是由美國國土安全部旗下的科學暨技術局（S&T）負責管理，並交由非營利的研發機構MITRE經營，上一次CWE公布該列表的時間是2011年。該列表主要是彙整了最常見也最嚴重的軟體錯誤，可能導致軟體出現重大安全漏洞，被視為改善網路安全彈性的重要工具。

名列第一的錯誤編號為CWE-119。根據CWE的說明，特定語言容許直接取得記憶體區域，但並未自動確保這些記憶體緩衝區是有效的，可能造成在這些區域中的讀寫操作牽連到其它的變數、資料結構或內部程序資料，使得讀寫行為超越緩衝區界線，而讓駭客得以執行任意程式、變更控制流程、讀取機密資訊或導致系統當機。

第二名的編號是CWE-79，是在網頁生成的過程中，出現不當的中和輸入（Improper Neutralization of Input During Web Page Generation），而可能衍生出各種跨站程式攻擊漏洞（Cross-site scripting，XSS）。

第三名的CWE-20指的是不當的輸入驗證。當軟體無法驗證輸入時，駭客就有機會以原本不被期待的形式輸入，將得以改變控制流，任意控制資源，或是執行任意程式。

過去CWE是透過調查及訪談資安專家而制定了該列表，但今年CWE團隊採用更客觀的方式，他們分析了這兩年來約2.5萬個安全漏洞，根據漏洞形成的原因來製作列表，也更能反應現實世界的問題。

儘管製作方法不同，但仍有8個嚴重的軟體錯誤同時出現在今年與2011年的CWE Top 25中，它們分別是CWE-79、CWE-89、CWE-352、CWE-22、CWE-78、CWE-732、CWE-434與CWE-798。

中國影音平臺抖音27日移除了美國少女Feroza Aziz，談論新疆維吾爾族議題的美妝教學影片，此舉引來大量網友撻伐，今抖音發布聲明，稱影片遭刪除屬於人為失誤，並強調該影片沒有違反任何抖音社群準則，官方已經讓影片重新上線，但Feroza Aziz在推特上表示不接受抖音道歉。

Feroza Aziz近日在抖音國際版，上傳了一部教紛絲夾睫毛的影片，而當影片教學到一半時，Feroza Aziz要觀眾放下睫毛夾，拿起手機開始查詢新疆集中營的新聞，並提到新疆的維吾爾族，現在正被迫改變信仰且受到不人道的對待，談完新疆議題之後，Feroza Aziz重新拿起睫毛夾繼續美妝教學。

而這部影片以病毒式的傳播，短短幾天就累積了150萬瀏覽次數，不過在25日的時候Feroza Aziz的帳號遭官方禁用，而該談論新疆議題的影片也在27日被下架。抖音官方今發聲明解釋，一切都是因為人為失誤。

官方發聲明詳細解釋了事件發生的時間軸，聲明提到，Feroza Aziz在11月14日的時候，於帳號@getmefamousplzsir發表了有關於恐怖份子賓拉登的影片，官方解釋，雖然這部影片是一部諷刺作品，但是他們仍然認為這部影片違反服務條款，因此決定禁用該帳號以及相關的裝置。

在11月14日，Feroza Aziz又創建了第二個抖音帳號@getmefamouspartthre，並在11月23日上傳了有關維吾爾族內容的影片。而11月25日恰逢抖音官方預定的平臺帳號清理時間，因此一次禁用了2,406個與遭禁帳號相關聯的裝置。由於Feroza Aziz的第一個帳號與第二個帳號皆使用同一個裝置登入，因此使得Feroza Aziz無法以相同裝置登入第二個帳號，但官方提到，Feroza Aziz第二個帳號仍然可用，且影片持續被散布。

直到11月27日因為人為的錯誤操作，使得11月23日Feroza Aziz上傳的影片被刪除，而官方在聲明中強調，Feroza Aziz的這部影片沒有違反社群準則，不應該被移除，經審查小組重新確認，這部影片在被下架50分鐘後重新上線。

抖音除了發聲明公開道歉之外，也主動聯絡Feroza Aziz，表示在這個特殊的情況，他們將解除其裝置禁止存取抖音帳號的決定，讓Feroza Aziz能夠用相同的裝置，繼續使用第二個抖音帳號@getmefamouspartthre。

不過，對於抖音這項決定，Feroza Aziz顯然不領情，並在推特上表示，雖然抖音道歉並退還了他的帳號，但他不相信@getmefamouspartthre這個帳號，在發表了3個有關維吾爾族的影片後，是因為前一個帳號不相干且已被刪除的諷刺影片遭禁。

知名的資安部落客Brian Krebs本周指出，.gov網域名稱的管理太鬆散，使得一名冒牌鎮長成功取得受管制的.gov網址。

1985年現身的.gov為最早期的通用頂級網域名稱之一，當時全球只有6個通用頂級網域名稱，除了.gov之外，還包括.com、.edu、.mil、.net及.org。不過，.gov有嚴格的規定，只有美國聯邦、州立或是當地的政府機構有權註冊，現由美國聯邦總務署負責管理。

Krebs表示，他日前收到一封來自一名研究人員的來信，該名研究人員宣稱他使用了偽造的Google Voice及Gmail帳號，謊稱自己是美國羅德島州埃克塞特鎮（Exeter）的鎮長，然後透過Google搜尋該鎮的文件，填完資料之後，就獲得了exeterri.gov的網址。

Krebs查詢了一下該網址，發現該網址在今年的11月14日被註冊，而且該研究人員的發信位址就來自exeterri.gov。

這名匿名的研究人員說自己只是作了一個實驗，發現這實在太容易了，對方連驗證他的身分都沒有。美國聯邦總務署則是在收到Krebs的詢問與通知之後，才將該網址撤銷。

Krebs在稍作研究後發現，有許多美國地方政府都未申請自己的.gov網址，例如埃克塞特鎮只申請了.us，並未申請.gov，留下讓駭客行動的空間，此外，美國民眾可能更相信來自.gov網址的信件，將會讓網釣攻擊或訊息的操弄更為容易。

微軟今年三月開辦「AI商學院」線上課程以來，已在全球累積了超過三萬名用戶，而在實體課程方面，除了與中國、日本、印度等地的商學院合作之外，今天也宣布與政治大學商學院攜手，要結合業界的實務經驗與學界的理論知識，推出為期一年的課程，目標要加速AI落地企業，並培養AI-ready的企業文化，，預估一家公司一年課程要價180萬元。

這門與政大合開的課，並不是在教寫程式、開發AI演算法，而是鎖定了企業中CxO等級的管理階層，要從經營面、策略面提供企業面對AI的方法。臺灣微軟總經理孫基康表示，AI的應用與導入，關鍵已經不在於技術門檻，反而是在於企業文化、管理階層思維、以及組織架構是否隨之轉變，否則企業難以改變現狀、落實轉型。

臺灣微軟首席營運長何虹也說明，許多企業也相信，導入AI的三年內，不管在創新能力、員工生產力、客戶體驗、競爭力或是商業營收上，與現今相比都會有1.5～2.5倍的增長，但是，卻只有3％的企業已經將AI運用在核心業務中，29%的企業還在嘗試導入的階段，「這是因為，AI落地需要有良好的企業文化與員工思維，很多企業還沒準備好。」

企業相信在導入AI的三年內，在創新能力、員工生產力、客戶體驗、競爭力或是商業營收上，與現今相比都會有1.5～2.5倍的增長。

大約1/3的臺灣企業開始了AI旅程。3％的企業已經將AI運用在核心業務中，29%的企業還在嘗試導入的階段。

因此，這次與政大合開的課程有兩大特色。第一，是開放以「企業」為單位來報名，一間企業視情況提供4～5個名額，共預計招收60人。對此，政大商學院副院長邱奕嘉表示，如果提供個人報名，就比較像是員工個人進修，較無法直接影響企業，但如果是以企業的名義報名，企業的CEO就必須慎重考慮，包括員工能從課程中學到什麼？能否為公司帶來改變？才可能做出決策，推動AI落地。

第二個特色，是課程內容結合了理論與實作。理論性課程將著重三個面向，分別是企業文化、AI策略與AI準則，各自請到相對應專長的師資來授課。比如說AI準則是指AI的道德與法律問題，就請到了香港中文大學法律學院助理院長兼法律學系系主任李治安，不僅兼有法律與商學背景，也專門研究AI道德問題，過去曾提供政府相關諮詢。

理論性課程將著重三個面向，分別是企業文化、AI策略與AI準則。

在實務課程方面，微軟與政大將為企業客製化設計工作坊、黑客松，並在企業內部辦理，讓更多員工參與，比如說，微軟之前曾幫企業辦工作坊，就有員工發想，以AI來優化訂便當的流程，延伸出幸福便當的專案，「所以工作坊不一定很技術，而是讓大家去解答問題、優化流程與創新。」何虹表示。

此外，微軟也提供技術認證，讓有技術學習需求的員工精進自我實力，甚至，這門課程還安排了國外參訪的行程，要讓企業了解其他公司如何創新。

而這一年的課程，邱奕嘉也透露價格：「一家公司估計要價180萬，其中包含所有會使用到的微軟軟體。」何虹也表示，這種理論與實務結合，而且以企業為單位來報名的形式是臺灣獨有，其他國家的AI商學院仍然是提供個人來報名。

AWS發布了最新資料庫服務Amazon Aurora的更新，透過整合機器學習服務SageMaker和Comprehend，用戶可以直接將資料庫中儲存的結構化資料，應用在機器學習模型，而不需要額外開發應用程式，執行資料存取、格式轉換以及交付給機器學習模型等繁瑣的工作。

企業要應用機器學習取得資料分析結果，其中一項困難便是建立應用程式和模型之間，移動資料的預測工作管線。開發人員需要開發應用程式，將資料從儲存的地方取出，進行必要的轉換，接著交付給機器學習模型，並在取得預測結果後將其用在應用程式中。AWS提到，這個過程很繁瑣，且要將資料移出移入資料庫，需要考慮許多安全性和法遵問題。

為了讓用戶可以更簡單地對關聯式資料庫的資料應用機器學習，Amazon Aurora現在原生整合了兩項AWS的機器學習服務，分別是能夠用來建置、訓練和部署客製化機器學習模型的服務Amazon SageMaker，以及可以分析文字的自然語言處理服務Amazon Comprehend。

開發者可以在查詢中使用SQL函式，直接對資料庫中的資料應用機器學習模型，企業可以使用Comprehend來偵測客戶評論中的情緒，或是使用SageMaker建置客製化機器學習，來評估客戶的忠誠度。開發者可以將機器學習服務所輸出的資訊，儲存在新的表格中，或是直接用來與應用程式互動。

AWS提到，無論是關聯式資料庫服務Amazon Aurora最新支援機器學習的功能，還是使用商業智慧服務Amazon QuickSight，分析在非結構化資料儲存Amazon S3中的資料，都是要降低應用程式加入機器學習預測功能的障礙。

目前Amazon Aurora整合機器學習服務的功能，對SageMaker的整合為正式版本，而Comprehend的整合則仍是預覽版，現在只開放Aurora MySQL 5.7使用，官方提到，Aurora MySQL 5.6以及Aurora PostgreSQL 10和11版本的支援，很快就會對外釋出，用戶還需要再等等。

這項整合服務對所有底層服務可用的地區都開放，也就是說該地區Aurora MySQL 5.7和SageMaker服務皆可使用時，則開發者便能在Amazon Aurora中應用SageMaker。這個額外的功能不需要另外收費，企業僅需支付底層服務的使用。

AWS發表了最新的迷你無人自駕車DeepRacer Evo，新的DeepRacer搭載立體攝影機以及光達，這些感測器將賦予DeepRacer Evo良好偵測並應對障礙物的能力。立體攝影機以及光達也將會以虛擬的形式提供，開發者即將可以在DeepRacer控制臺、我的車庫功能中存取。AWS預告，在2020年初將會有更進一步DeepRacer Evo的資訊，屆時也會對既有的DeepRacer釋出升級套件。

AWS將在2020年擴大舉辦DeepRacer聯賽，除了會在5個新國家額外增加8場比賽之外，虛擬比賽也將新增18場，開發者明年總共會有30個機會，可以實際參與DeepRacer競賽，還有24場的虛擬比賽可以參加，而虛擬比賽是位於全球任何地方的開發者，都能加入的賽事。

除了現有的計時賽之外，DeepRacer聯賽增加了兩種新的比賽類型，為開發者帶來更多增強學習的挑戰，以及促進不同感測器的應用。新比賽類型包括物體偵測與避開競賽，開發者要讓DeepRacer偵測並避開障礙物，而比較刺激的還有雙車競賽，兩臺DeepRacer在同一軌道車頭對車頭行駛，DeepRacer除了要避開對方還要追求最佳單圈時間。

由Debian衍伸出來的Linux發布版，為數位鑑識以及滲透測試設計的Kali Linux，現在釋出了最新2019.4版本，除了更換桌面環境之外，還為使用者提供了掩護模式，另外還加入NetHunter Kex功能，使用者可以在手機安裝Kali Linux，並當作桌面電腦使用。

官方提到，由於之前Kali Linux的桌面環境存在一些效能上的問題，影響用戶操作體驗，因此他們開發了可以在Xfce上運作的新主題。這個新主題比過去的解決方案更為輕量，因此可以在任何等級的Kali安裝上運作，而由於這個主題經過特別設計，可更符合各種使用者的需求，使用者不需要重新學習使用的方式，而且新的UI看起來更為現代美觀。

特別的是，這個版本還提供掩護模式，使用者只要透過指令就可以將Kali Linux的外觀，轉換成與Windows介面相像的主題，官方表示，當使用者在公開場合執行一些駭客工作時，但又不想被旁邊的人看到Kali Linux代表性的飛龍圖示，則可以使用掩護模式偽裝成Windows，以更為低調的方式工作。當用戶想要從Windows主題變回來，同樣也只要執行腳本就能切換到原本的主題。

Kali Linux 2019.4加入NetHunter Kex功能，可以讓Android手機執行完整的Kali Linux桌面，用戶只要將Android裝置接上HDMI，就能將畫面輸出到大螢幕上，搭配使用藍牙鍵盤以及滑鼠，使用者就能獲得完整的Linux桌面電腦體驗。

即將於11月29日開始的黑色星期五購物旺季，不論是消費者還是商家，無不磨拳擦掌，不少消費者準備搶購促銷商品，而商家也準備大賺一筆。但在此同時，駭客也正虎視眈眈，打算偷取交易資料。資安業者RiskIQ指出，去年黑色星期五網路購物創下62億美元的營業額，比2017年增加近1/4，各界預期今年會再創造新的紀錄，使得駭客也打算來分食這塊大餅，因此該公司提出呼籲，消費者要小心有關的假網站與冒牌App等攻擊手法。

值得注意的是，消費者線上購物的型態也有所轉變──透過行動裝置購物的情況，越來越普及。RiskIQ表示，去年黑色星期五就有33.5%是來自行動裝置的消費，雖然，透過網站購物還是大宗，但一般而言，手機的購物App不光帶來了便利，很多人可能認為會比網站購物來得安全，但如今駭客也試圖利用幾可亂真的冒牌購物App，來進行攻擊。這也從RiskIQ在報告裡，特別優先提到這種威脅的氾濫，可見這種情況我們也必須特別留意。

聲稱能提供購物優惠，就能騙取消費者安裝冒牌App

電子商城無不看好行動裝置的購買力，推出專屬的App供消費者使用。然而，根據RiskIQ調查1,000名消費者發現，許多人並不會留意他們安裝購物App的來源，這也使得攻擊者大肆推出冒牌應用程式，來對消費者發動攻擊。

超過7成（72%）受訪者表示，只要聲稱能夠提供更多優惠，他們就會安裝購物的應用程式，也有近4成（38%）的人下載這些App的時候，並不了解安裝軟體所需開放的權限；再者，透過非官方市集下載應用程式的情況，也有相當的比例──24%使用者會從Google的Play市集或是蘋果的App Store以外的地方，安裝線上購物所需的軟體。

而在RiskIQ所偵測到的黑名單應用程式裡，就較過往成長了20%。其中，若是在網路搜尋黑色星期五、網路星期一（Cyber Monday，即黑色星期五之後的隔周一）、聖誕節，或者是節禮日（Boxing Day，聖誕節翌日）等關鍵字，其中就有951個惡意應用程式。

針對美國前10大電子商城，該公司也發現多達6,353個黑名單App，冒用他們的品牌，使用者會在軟體名稱或是功能的敘述裡，看到這些電商的品牌。而同時包含這些商城的名稱，以及帶有前述節日關鍵字的惡意App，每個電商也有4個。即使是英國前5大電子商城品牌，RiskIQ也發現了24個惡意應用程式。

對於這樣的現象，RiskIQ提醒消費者，最好要從Play市集或是蘋果的App Store，下載購物應用程式。而且，消費者不能一味相信市集上的評價，安裝前要從兩種層面進行觀察，一是從應用程式會取得的權限，再者是應用程式的作者和用途敘述等，檢視是否有無不妥之處，才能減少自己安裝到冒牌應用程式的情況。

面對企業傾向採用混合雲架構，甚至計畫將存於公雲的資料，搬遷回私有雲，甲骨文香港及臺灣區董事總經理盧偉權今日在臺表示，甲骨文資料庫將力推三種不同的雲端部署形式。

他解釋，第一種部署形式是，甲骨文雲加上微軟Azure，企業可將資料庫部署於甲骨文雲，而應用放於Azure運行。通過今年6月甲骨文和微軟簽定的雲端互通協議，企業能在甲骨文雲和微軟Azure兩個環境下，搬移資料和作業。

盧偉權強調，兩者的雲端環境獨立運作，他進一步說明，雙方的資料中心可能在同一城市而彼鄰，或是租用同一個資料中心，兩者環境會通過高速網路連接，降低延遲性。

第二種部署形式是，可以將上述兩個公有雲環境其中之一改以私有雲環境代替，企業可以採用Exadata本地端版本，於資料中心內部署甲骨文資料庫一體機Exadata，自行管理，再與公雲服務連結。蘆偉權說明，公雲業者在臺灣多租用電信公司的資料中心，進而通過高速網路，提供公雲服務給臺灣用戶，他表示，企業可租用同一個資料中心來部署Exadata實體伺服器，與公有雲服務連結，來降低延遲性。

第三個方式則是，企業可採用Exadata私有雲部署方案Exadata Cloud@Customer於自家資料中心，再搭配甲骨文公雲服務。

最近越來越多企業考慮將公雲工作量搬回私雲的現象，盧偉權觀察，企業會想將存於公雲的資料搬遷回私有雲，有兩大主因，第一點，是為因應更為嚴謹的法規規範，另外，則是因企業更加看重資料的價值，想要自主掌握資料。

甲骨文今日也就推出滿一年的甲骨文第二代雲（Generation 2 Cloud），在臺更新最新動向。現階段，甲骨文第二代雲全球共有16個服務區域，計畫於2020年，新增20個區域，達到全球36個雲端服務區域的規模。這也相當於，2020年甲骨文每23天即會推出一個新的雲端服務區域，而這些新區域主要坐落於中東地區，另外，也包含日本大阪、南韓春川、澳洲莫爾本等城市。

攝影／黃郁芸

擴展雲端服務區域的同時，甲骨文第二代雲的功能數也持續成長中。從2019年第三季不到30項功能，至第四季已有超過50項功能，而預計明年第一季將有近百個功能。

攝影／黃郁芸

多項雲服務中，甲骨文最聚焦具自主驅動技術的自主資料庫Oracle Autonomous Database，甲骨文再次主打三大特性，第一個是自主驅動（Self-Driving），自動監視、調整和管理所有資料庫、基礎架構；其次，自主防護（Self-Securing）保護資料庫免受外部攻擊和內部用戶惡意侵害；

最後，自主修復（Self-Repairing）訴求可避免人為錯誤，來確保服務水準協議（Service Level Agreement，SLA）。不同於其他業者，甲骨文強調，自家SLA涵蓋有計畫的停機時間。

甲骨文強調，他們絕不超賣核心，以求穩定性，並強調每一個區所提供的服務項目都一樣。這似乎是在暗酸對手，穩定性不足和區域所供服務具差異性。

歐盟最嚴格個資規範GDPR在去年5月上路後，行政院指示國家發展委員會（簡稱國發會）在同年7月，成立個人資料保護專案辦公室，並將個人資料保護法（簡稱個資法）的法律主政機關移至國發會，且在參考歐盟相關文件後，完成歐盟GDPR適足性評估報告，並於同年12月中，將評估報告送交歐盟。

今年3月上旬，國發會獲得了歐盟司法總署正式回應，後續雙方就個資保護相關議題展開了技術性對話。國發會副主委鄭貞茂在近日一場論壇中，更透露了申請GDPR適足性認定的最新進程，他表示，目前國發會與歐盟談判進展順利，希望在2020年獲得GDPR適足性認定。

一旦臺灣通過歐盟GDPR適足性認定，就可以讓臺灣境內企業，自由與歐盟間進行個資跨境傳輸。鄭貞茂表示，這對臺灣企業來說，就不用各別與歐盟申請符合GDPR規範，可以降低許多企業的成本。

然而，即便國發會成立了個人資料保護專案辦公室，並將個資法的法律主政機關移至國發會。鄭貞茂表示，國發會在與歐盟GDPR談判過程中，他們要求臺灣能設立個資保護獨立專責機關。

另一個國發會的重要任務，是負責個資法相關修法，重要議題包括規範主體得做些調整，要將公務機關與非公務機關的規範一致化。此外，在規範行為上，個資蒐集、處理與利用的區分；個資侵害通知；產業使用；國際傳輸等，都是國發會認為個資法中重要的議題。鄭貞茂表示，目前正與學界、法界各方討論中。

國發會智慧政府行動方案最新進程

在驅動政府數位轉型的智慧政府行動方案上，國發會正在推動兩大基礎架構，包括發行數位身分證（New eID）來串連政府所有服務，以及利用區塊鏈技術，建立具安全且可信賴的資料交換骨幹網路T-Road，來介接不同政府機關的資料庫。

鄭貞茂提到，內政部在2020年即將展開以國民身分證換發數位身分證，新式的數位身分證，將整合國民身分證與自然人憑證，讓民眾線上線下都能使用，他也強調，數位身分證本身是一把鑰匙，單純為身分識別，不會儲存其他的資料，民眾無須擔心遺失而導致個資外洩。

「資料的所有權是在消費者手中。」鄭貞茂特別提到。未來，比如求職者需檢附學位證明給公司，只要到教育部網站，透過數位身分證開啟資料庫，即可調出歷年的學位證明進行下載，確保資料是由校方提供給教育部，並且是儲存在雲端，經由區塊鏈技術認證，真實可靠的資料。不用再像現行得自行找出紙本畢業證書，或是跑一趟學校補辦了。

而資料交換骨幹網路T-Road，鄭貞茂則提到，未來要擔負起許多資料的傳輸功能，目前，因牽扯到各政府機關的資料格式不一致，而要整合成機器可讀的格式，他坦言，得花很多時間來整理。

在智慧政府行動方案，國發會有三大目標，一是開放資料透明，極大化加值應用；二則是鏈結治理網絡，優化決策品質；目標三是整合服務功能，創新智慧服務。配套措施則是建置法規調適平臺、落實監督隱私保護、深化資安縱深防禦。

重點新聞(1122～1128)

成大    醫療影像     心肌梗塞  

一張醫療影像不只說一個故事，成大揭醫療影像AI新作法

成大醫院胸心血管放射線科主任蔡依珊揭露成大醫院醫療影像AI新作法，她與團隊利用主動脈電腦斷層掃描影像，打造一款非典型缺血性心肌梗塞AI，目的是讓AI告訴醫生，在一份醫療影像中，不是只有一個故事；也就是除了判斷主動脈剝離之外，還可以確認病人是否患有非典型缺血性心肌梗塞。

她解釋，當病人因胸痛進到醫院急診時，醫生通常會拍攝電腦斷層掃描（CT），來判斷是否發生主動脈剝離，但卻鮮少注意到影像中的其他資訊，比如心肌血流狀態。她指出，當黑白的CT影像染上不同顏色後，除了依然能檢視是否有主動脈剝離，還能明顯看出心臟血流灌注的情形，可用來判斷非典型缺血性心肌梗塞，讓醫生有更多診斷資訊。

於是，她與同事一起展開這項專案，首先搜集了759位病人共3萬8千張CT影像，標記其中40位病人的影像，來進行遷移學習、訓練模型，並利用Nvidia DGX-1來縮短模型反覆訓練的時間。就初步成果來看，模型準確率達84%，蔡依珊團隊也利用200張影像，讓AI與醫生相比，結果與表現最好的醫生，只相差4%。而未來，成大團隊還要開發更多醫療影像AI，作為醫生輔助診斷的小幫手。

  AI晶片     運算架構    異質整合  

臺灣人工智慧晶片聯盟成立4大委員會，還要在臺北京站測試AI監控晶片

臺灣人工智慧晶片聯盟（AITA）日前成立4大委員會，分別是AI系統應用、異質AI晶片整合、新興運算架構AI晶片、AI系統軟體，要透過制定標準、建立產官學AI晶片生態系，來加速垂直整合、進攻全球市場。

其中，AI系統應用委員會著重垂直示範，以驅動終端產品和AI晶片需求為主，第一波將以臺北京站百貨為試驗場域，要導入具AI晶片的監控設備，讓人流更順暢。而異質AI晶片整合委員會鎖定技術面，要整合多顆不同功能與製程的晶片，提升系統效能，同時也要具備體積小、低功耗、低成本的目標。

新興運算架構AI晶片委員會的重點，是要發展新興運算架構，來突破AI運算的耗能與效能瓶頸。AI系統軟體委員會負責提供AI晶片軟體開發環境，要幫助業者減少開發時程。

  Google     模型解釋     AI平臺  

Google AI平臺推出模型解釋功能，讓資料特徵和預測結果的關係一目了然

Google近日釋出Explainable AI測試版，要來提高AI可解釋性，幫助開發人員了解機器學習模型與其預測結果的關係。Explainable AI包含一系列工具和框架，主要功能有AI Explanations、What-If工具，以及連續評估（Continuous evaluation）。

AI Explanations可幫助使用者了解機器學習模型的分類或迴歸任務產出值，只要使用者在Google AI平臺上提出預測請求時，AI Explanations就會顯示資料中每個特徵，對預測結果的影響。What-If工具則能在notebook環境中使用，透過互動式儀表板來檢查Google AI平臺上模型的表現。而連續評估功能，會定期自使用者部署在AI Platform Prediction上的機器學習模型，採取輸入和輸出值樣本，再透過AI Platform資料標記服務，分派人力來檢視輸入值的參考基準標記，並與預測值比對，提供使用者連續性的模型表現回饋。（詳全文）

  濁水溪    影像辨識       濫採濫盜  

巡防濁水溪新方法，第四河川局正研發用AI辨識盜採、濫倒行為要揪可疑車輛

為解決河川廢棄物傾倒和盜採砂石問題，負責濁水溪水域的水利署第四河川局局長李友平提出河川管理智慧監控解決方案，要將影像辨識結合監視器來自動巡防可疑車輛，並以無人機蒐證。

他指出，水利署原本就運用傳統影像處理方法來預防濫倒，但因為誤判率高，團隊想出了結合影像辨識、Line Bot與無人機的方法，來解決問題。首先，在影像辨識部分，團隊先定義出目標車種：砂石車、怪手與垃圾車，並從第四河川局的遠端監控系統中，截取5000張30萬畫素的影像來標記，再用YOLOv3框架來訓練出物件辨識模型。

之後，便部署到遠端監控管理系統，系統會自動於雲端辨識目標車輛，偵測到將自動截圖監視器影像，透過Line Bot通知監管人員。接著，監管人員能直接回覆Line bot中的選項，決定是要指派距離最近的河川巡防員去取締、兩路包抄，還是要串聯無人機遠距錄影存證等。這個方法，提高了取締效率，也能在巡防人員來不及抵達時，以無人機即時拍下目標車輛的車牌與違法行為。（詳全文）

  AWS    關聯式資料庫     機器學習  

AWS關聯式資料庫Amazon Aurora整合機器學習服務，用戶可直接在資料庫中使用

AWS更新自家關聯式資料庫Amazon Aurora功能，整合了機器學習服務SageMaker和Comprehend，用戶可以直接將資料庫中儲存的結構化資料，應用在機器學習模型，不需要額外開發應用程式。

開發者可在查詢中使用SQL函式，直接對資料庫中的資料應用機器學習模型，比如，企業可使用Comprehend來偵測客戶評論中的情緒，或使用SageMaker來建置客製化機器學習，評估客戶忠誠度。開發者可以將機器學習服務所輸出的資訊，儲存在新的表格中，或是直接用來與應用程式互動。目前，Amazon Aurora對SageMaker的整合為正式版，而與Comprehend的整合則仍是預覽版，現在只開放Aurora MySQL 5.7使用。（詳全文）

華南銀行    語音助理     IBM  

AI語音助理技術加持! 華南銀行行動銀行App，用說的就能轉帳

看好語音帶來的人機互動體驗，華南銀行聯手IBM推出AI行動銀行，讓華南銀行用戶只要用說的，就能查詢匯率、存款餘額，甚至是轉帳匯款。華南AI行動銀行具備三大功能：AI全功能導航、支援全面聲控輸入、多輪對談。

這款語音助理小n機器人，運用了IBM Watson的AI語意理解技術，可支援多輪對話應答。以轉帳匯款為例，當使用者說出「我要轉帳」，小n就會問「要把錢轉去哪呢？」，使用者回答「轉給爸爸100元」，系統就會自動引導到轉帳畫面，且自動填入對方的銀行帳戶、轉帳金額等資訊，使用者只要確認就能進行轉帳。華南銀行補充，相較於其他同業以關鍵字為主的服務，需要精準的辨識搜尋，否則會出現牛頭不對馬嘴的情形；而小n採用AI語意理解，不需依靠特殊的語音指令，就可回答問題，給予行動銀行服務新體驗。（詳全文）

成大    超級電腦     影像辨識AI  

蓄勢待發！成大要用6臺超級電腦DGX-1，要助醫療、金融和防災AI影像發展

成功大學揭露學校AI研究發展藍圖，要用新增添的5臺Nvidia超級電腦DGX-1以及2年前購入的同款電腦，運用強化的運算效能，來發展AI學術研究。成大表示，導入初期將鎖定智慧醫療、金融科技和天然災害三大方向，在智慧醫療部分，要用DGX-1來改善醫療AI模型的訓練，範圍涵蓋數位病理、腫瘤科、心臟科、放射科、重症醫學科等。

在金融科技部分，則是要強化成大與永豐銀行的AI金融科技合作應用，包括了作業流程優化、信用評估、風險評估、自然語言服務、客戶回饋分析，以及精準行銷等。在天然災害部分，成大團隊鎖定極端降雨或地震造成的山崩、土石流事件，以深度學習模型來分析，如莫拉克和蘇迪勒颱風引發的山崩，及其發生的精準時間點，來定義破壞機制和警戒值。現在要利用DGX-1來加速運算作業，以便在更短時間內處理大量數據、進行影像模擬，提高準確率。（詳全文）

攝影／王若樸

圖片來源／Google、AWS

 AI趨勢近期新聞 

1. Google Nest Mini智慧音箱正式在臺上市

2. Azure Cosmos DB用戶現在可即時地從Cassandra複製資料

3. Google開源推薦系統模擬平臺RecSim

4. Openai釋出增強學習的安全限制量測工具，研究讓AI不做傻事

資料來源：iThome整理，2019年11月

科技變化和商業環境變化，導致許多企業都面臨了「變」的需求。大多數的企業雖然有了想變的心理準備，但對於該如何變卻不清楚，大多數的變革都不如預期，以失敗告終。這篇文章簡單扼要地介紹一個比較系統性的方法。

一個良好的商業模型（Business Model）描述了以某個企業為核心的方方面面資訊，包括內部的因子（組織架構、技術架構、業務架構），和外部的因子（用戶、對手、通路、法規、市場. ..），以及這些因子之間的連動關係。透過商業模型，我們可以比較系統地分析、設計、實現我們的商業目標。

首先企業要知道，在不久的未來希望變成什麼樣子，也就是商業目標。「不久的未來」通常是指三年到五年，對大多數的企業來說，這是一個合理的戰略週期。如果一開始還不清楚企業未來要變成什麼樣子，可以找尋幾個可以學習的對象來分析，後續文章會說明分析的方法。不要直接模仿式學習他們，因為時空背景根本不一樣。把這些分析，結合企業自己的使命和願景，以一個戰略週期為限，設計自己的目標商業模型。

我們要設計的是「目標的商業模型」，而不單單是「目標」。經過幾輪的因果推演，找出所有重要的關聯變因，搭配對市場環境的預期和對用戶的理解，為這些變因設定戰略目標。例如，不能光是列出資產收益率、總資產報酬率、總資產周轉率、流動資產周轉率、資產負債率、銷售增長率、資本累積率的目標指標，要去設想有哪些因子會影響這些指標（例如員工人數、研發投入的支出、營業收入），去設想我們希望這些因子在未來變成怎麼樣。

除了上述這些可以量化的指標，還必須一併考慮難以量化但關鍵的因子，例如管理層的基本素質、基礎管理比較水準、員工素質、技術設備更新水準、產業影響力、產業經營發展策略、長期發展能力。這些都是「目標的商業模型」裡面的成分。

在設計目標商業模型時，要注意先設計業務架構，再設計技術架構，再設計組織架構。一切都是為業務服務的，只有業務架構設計好了，才能去設計技術架構。只有業務和技術架構都設計清楚了，才能去設計組織架構，因為組織架構的目的是為了讓業務和技術有最好的運作。

接下來，把目標的商業模型所列出來的資訊，一個一個對比企業當前的狀況，記錄下當前的商業模型。有了現在和未來的比較，至少前進的方向就不會有錯了，我們再來設計路徑要怎麼走。兩個商業模型之間如何遷移，是能否成功的關鍵。這個遷移的過程太複雜，所以通常必須分很多階段實施，每個階段期間不能超過半年。

如何設計這些「階段」，非常不容易。我用「狀態圖」來做這些階段的整體規劃，讓商業模型的遷移可以靈活、可控。特別注意，設計這個商業模型變遷的狀態圖時，必須先調整組織架構、再調整業務架構、再調整技術架構，因為組織架構會影響業務架構，業務架構又會影響技術架構。組織架構如果無法調整，有大概率最終會失敗，或者最終效益大打折扣。

所有的規劃一旦實施之後，現實情況就開始逐漸脫離之前的規劃，畢竟沒人可以精準地預期未來，規劃是基於許多難以驗證的假設所設計出來的。隨著過程的推進，我們要持續（每個季度一次）調整未來的目標，檢討當前狀況，總結和分享經驗和教訓。這個過程也是建立團隊文化的好時機。

大的變化通常會傷害短期的商業利益。因此股東如果不能夠理解和認可，管理層是難以堅持去做這麼大的變化，這又會給原本就困難的任務增添阻力。所以要和大股東保持密切溝通，且透過一個系統化的方法做過程的指導，或許也可以讓他們看到希望，稍微安心一些。

11/01~11/30精選5G趨勢新聞

 5G筆電    英特爾  

英特爾與聯發科強強聯手，將打造PC、筆電可用的新一代5G行動晶片方案

儘管，英特爾今年初才剛宣布退出5G數據機晶片市場，不過，對於未來5G在PC端應用仍相當看好，因此，決定找來聯發科合作，在26日，兩家不約而同發布新聞稿宣布，將聯手共同打造可用於PC的行動5G晶片方案，這也讓聯發科得以打進PC市場。雙方合作第一步，將先鎖定5G筆電市場，未來將由英特爾先訂定出5G解決方案規格，同時負責開發和驗證平臺的軟、硬體整合，包括OS主機驅動程式等，並由聯發科提供用於PC的5G數據機晶片，該公司將以先前替行動裝置開發並已量產的5G數據機Helio M70為基礎來進行開發。聯發科技總經理陳冠州表示，透過雙方合作，將加速推動5G普及化，橫跨家庭與行動平臺。預期Dell、HP將率先採用，首批產品2021年問世。

 5G頻譜   NCC  

5G競標12月登場，NCC：5大電信業者均獲入場競價資格

預定12月10日即將展開的5G競標，NCC經過審查後，於本月20日公布符合競標資格的電信業者名單，原先提出申請的5家均通過NCC合格審查，包括中華電信、台灣大哥大、台灣之星、亞太電信及遠傳電信等。根據NCC先前的公告，此次5G頻譜釋照，將釋出3.5GHz、28GHz及1800MHz三個頻譜，合計將釋出2790MHz的頻寬，其中的3.5GHz頻段共釋出270MHz頻寬，28GHz頻段共有2500MHz頻寬，至於1800MHz頻段，則釋出20MHz頻寬。NCC強調，除了滿足更高速連網及更大寬頻需求，5G也將替國內產業帶來更多應用，如零售／批發業、交通運輸業、金融服務業、傳統製造業、醫療業等。

 5G行動網路   AT&T  

美國AT&T開放首款5G手機預購，12月正式開通5G行動網路服務

為搶攻5G消費市場，美國AT&T計畫將於12月正式啟用行動5G服務。該公司近日開放預購首款支援5G低頻段的三星手機Galaxy Note10 + 5G時也宣布，將在12月上旬推出5G行動上網服務，首波啟用城市，分別是印第安納波利斯、匹茲堡、普羅維登斯、羅徹斯特和聖地牙哥共5個城市。

AT&T表示，只要是採用AT&T Unlimited Extra或 AT&T Unlimited Elite計畫方案，用戶皆可在這些城市使用5G上網。AT&T更計畫，在明年2月時，將服務範圍擴大增加到其他10座城市，包括伯明翰、波士頓、布里奇波特、水牛城、拉斯維加斯、 路易斯維爾、密爾瓦基、紐約、舊金山，以及聖荷西等。

 Verizon   5G覆蓋地圖  

Verizon推出線上城市5G網路覆蓋地圖，讓用戶快速查詢可用5G區域

早一步推出5G服務的全美最大電信商Verizon，為了讓用戶可以快速查詢所在地區的5G涵蓋範圍，該公司近日也製作一分線上版的城市5G網路覆蓋地圖，使用者只要選定要查看的城市，就能夠將該地區的5G訊號分布情形清楚地在地圖上呈現，並以不同顏色代表可用區域，例如標示為紅色的地區，代表屬於5G覆蓋範圍，用戶可於戶外正常使用，粉紅色區域則還是覆蓋現有的4G LTE，尚未轉換成5G，至於白色區域則代表無任何網路覆蓋。

從這分地圖來看，也可發現，雖然，Verizon宣稱已在全美至少18個城市提供相關5G服務，但即便是同一個地區，也不是所有地方都能正常收到5G訊號，以亞特蘭大為例，5G覆蓋範圍主要集中在市中心街道，但是近郊大多仍以4G為主，並未轉換到5G網路。根據Verizon計畫，最快年底，將把5G服務範圍擴大到30個新城市。

韓國   SKT   

韓電信巨頭SK Telecom公布最新5G用戶數已達150萬戶，年底上看200萬戶

商用5G服務開通屆滿半年，近日，韓國電信巨頭SK Telecom也公布了最新5G用戶採用人數，該公司首席財務長Poong-Young Yoon在一場投資者電話會議上表示，截至目前，總訂閱5G用戶數已達150萬戶，占整體5G戶數近5成（44%）。

該公司表示，預計到了今年底，用戶數可望提升達到200萬戶，明年更將以700萬戶為目標。由於目前可提供5G服務的地區，仍僅限於主要城市或都會區，如首爾等，SK Telecom計畫除了年底將增加更多可用地區，屆時，也將把KTX鐵路全線、高速公路一併納入5G服務範圍內。

5G晶片   聯發科   

聯發科首款高階5G行動晶片亮相，明年Q1終端產品問世

為搶攻明年5G消費市場，聯發科趕在年底前推出高階手機專用的首款5G晶片，並以「天璣」（原意是北斗七星之一）做為該產品系列正式名稱。首款推出的5G SoC系統單晶片「天璣1000」，將鎖定高階5G手機，相關產品預計明年第一季問世。早在去年，聯發科就已推出一款可支援5G網路的數據機晶片Helio M70，今年也已量產，現在更進一步推出整合該晶片的5G單晶片，這款5G晶片除了採用台積電7奈米製程，還支援5G雙卡雙待，以及雙載波聚合（2CC CA）技術，其傳輸速度最高可達4.7Gbps，並支援SA、NSA的組網架構。

該晶片還採用時脈可達2.6GHz的4個ARM Cortex-A77核心，搭配4個2.0GHz的Cortex-A55核心，並整合ARM最新的Mali-G77 GPU，以提供更高的遊戲效能，同時還內建最新一代獨立AI 處理器APU 3.0，可以支援更先進的AI應用，例如還原模糊失焦的圖像等。另一家晶片大廠高通首款5G單晶片，亦可望在12月亮相。

高通   5G   

全球5G加速普及，高通看好明年5G手機出貨上看2億支

近日，高通在一場分析師大會上預期，受到中國開通5G服務，以及不同價格帶來的晶片組出貨推動下，5G普及速度將超過4G。高通估計2020年全球5G智慧型手機出貨，可望落在1.75億到2.23億支，2021年超過4.5億，到2022年更可望突破7.5億支。高通預計2020年推出整合5G數據機，同時期盼5G普及帶動人工智慧、自駕車、智慧家庭與影音遊戲娛樂等應用，進而拉抬包括物聯網裝置、連網汽車、雲端及邊緣運算伺服器等多種平臺的晶片銷售。除了智慧型手機，高通也看好預計到2022年，汽車、運算及IoT平臺上的可服務市場產值，將分別達到40、80及130億美元。

中國  5G   

中國正式開通5G商用服務，北京、上海等50個城市已啟用

中國於1日正式啟動5G商用服務，在一場中國國際資訊通信展開幕式上，中國三大電信商中國電信、中國移動、中國聯通共同宣布啟動5G商用服務，並推出相應套餐，以及5G超高解析度影片、雲端硬碟、雲端電腦、VR/AR等服務。中國工信部指出，首批開通5G商用服務，包含了北京、上海、廣州、杭州等50個主要城市，並已部署了8萬多個5G網路基地臺，預計年底，將完成布建超過13萬座。責任編輯⊙余至浩

攝影／余至浩　圖片來源／聯發科、SKT、Verizon、英特爾

 更多5G動態 

1.美國FCC計畫公開拍賣C頻段的5G頻譜，以加快5G基礎建設

2.法國公布5G頻譜競標底價足足是臺灣2倍多，高達728億元新臺幣

3.中國信通院公布中國5G手機銷量，前十個月出貨破300萬支

資料來源：iThome整理，2019年11月

臉書、Instagram (IG)、Messenger在昨天感恩節一早（台灣時間周四晚間）發生系統問題，導致全球多個地區連線不穩或無法登入，時間持續超過5小時。

臉書在美國感恩節一早透過推特公告表示，許多用戶發生無法存取臉書旗下各app，該公司正著手儘快排除問題。

根據網路服務斷線通報平台Down Detector，大約從太平洋時區早上7:00（台灣時間周四晚間10:00）開始，許多用戶發現臉書、IG及Facebook Messenger 無法正常連線。有人（包括台灣地區）無法登入，也有地區（如美西）用戶感受到連線斷斷續續。由於時值西方感恩節，也造成許多用戶無法上傳相片或透過Messenger和友人傳訊息。

這波斷線影響範圍涵括美國各地、歐洲、日本、台灣、東南亞、印度等地，直到台灣時間星期五凌晨約2:00才全部恢復。

臉書回覆CNN指出，公司發現臉書一台中央軟體系統出現問題，導致用戶無法正常存取app。但WhatsApp似乎未受影響。

這是這家社群平台近來第二度出包。10月底臉書、IG和WhatsApp也曾斷線數小時。

而The Next Web報導，感恩節當天Spotify、Snapchat、及零售業者Costco，也發生服務斷線而正著手搶修。

蘋果已應俄羅斯政府要求，在地圖及氣象服務中將原屬烏克蘭的克里米亞省及塞瓦斯托波爾（Sevastopol）市，改標示為俄羅斯領土。

BBC首先報導此事。俄羅斯和蘋果過去幾個月前針對蘋果服務，包括Apple Maps及氣象對克里米亞標示的「不準確」進行會商。本周蘋果終於將二項服務中這兩個行政區標示為俄羅斯領域。

俄國下議會國家杜馬也在本周表示，蘋果代表已通知，前述訛誤已經移除；現在這二地在蘋果裝置上已顯示為俄國領土。俄羅斯安全及反貪腐委員會主席Vasilii Piskarev也強調，他們會聯手俄國內政部的外國勢力介入調查委員會，持續確保俄羅斯憲法及該國領土主權，不受外國勢力干擾。

在此之前，iOS版Apple Maps和氣象，將這兩個地區標示為「未定」（undefined）。不過The Verge報導，最新變更僅會在俄羅斯境內開啟時顯示，在其他地區使用則仍然是「未定」狀態。

Google Maps等服務已在今年三月，將克里米亞改標示為俄羅斯領土。不過BBC報導，實際操作時，克里米亞和烏克蘭、俄羅斯兩國都沒有明顯國界。

克里米亞及塞瓦斯托波爾市在20世紀前期仍屬俄羅斯領土，在赫魯雪夫時期割讓給了同屬蘇聯的烏克蘭。1990年代蘇聯解體，烏克蘭獨立，但俄羅斯種族比例較大的克里米亞及塞瓦斯托波爾市，則一直想「回到祖國」。2014年俄羅斯出兵將克里米亞「解放」成為該國領土。不過美國為主的西方國家將俄羅斯行動定調為侵略。

這也是蘋果近來再度實踐配合政府要求的公司政策。去年有用戶發現，只要在iOS 11.4的iPhone上輸入Taiwan、或訊息出現中華民國國旗就會當機。而從iOS 13.1.1和 macOS 10.15 後，只要系統地區設定為香港、澳門地區，就會看不見中華民國國旗 Emoji，Siri 也會將台灣稱之為「中國台灣」。雖然一般相信這是蘋果配合中國要求，但蘋果執行長庫克表示，中國從未強迫他們。

11/16~11/29 精選容器新聞

＃K8s應用開發 #紅帽
紅帽K8s開發工具CodeReady介面大改版，還支援VS Code的外掛

最近紅帽推出了K8s開發工具CodeReady Workspace第二版，最大特色是，採用了新的UI介面，更像是微軟Visual Studio的操作體驗，而且紅帽還特別讓CodeReady可以支援微軟開發工具VS Code所的擴充外掛，直接在CodeReady中執行。紅帽解釋，因為太多開發者抱怨，CodeReady和主流IDE介面差異太多，導致學習門檻很高，所以，才決定重新改版自家IDE的介面。另外，新版還增加了一項air-gap安裝模式，不需要預設建立與公開程式碼儲存服務例如GitHub的連結。最後一項更新是推出了配置檔共享格式Devfile，可用來描述儲存器設定、所用runtime、部建工具甚至用了哪些IDE外掛，方便團隊進行協同開發。也可以提供除錯器、開發語言執行伺服器、單元測試工具的複製，方便將這些開發者常用工具鍊都集中成一包來管理。

#容器資安 #Quay #Clair
紅帽開源釋出容器註冊器計畫Quay，連同容器漏洞掃描工具

為了擴大容器生態系的深度，紅帽不斷推出自家產品的社群開源版本，最近則開源了一個原屬於CoreOS下的容器註冊器專案Quay。CoreOS在2014買下了Quay，成了自家容器註冊器核心，Quay後續還整合了容器資安掃描工具Clair，後來，紅帽買下了CoreOS，這個產品就成了紅帽後來推出的Red Hat Quay。目前，紅帽將Quay和Clair的原始碼都放上了GitHub開源，可供開發社群使用。Clair可以在容器映象檔放上註冊器儲存時，可以自動掃描是否有已知的漏洞，這也是紅帽商用版環境所用的漏洞掃描機制。紅帽也揭露後續發展計畫，要進一步提供程式碼清理機制，增加註冊器鏡像副本功能，也要提供部建管理工具和新的UI介面，還有更多API。

#容器資安 #資料保護
Trilio免代理程式資料保護工具可以原生部署K8s環境了

資料保護業者Trilio最近公開了自家資料保護產品TrilioVault的新技術預覽版，最大特色是可以原生在K8s環境中執行無代理人模式的資料備份和復原任務，計畫在明年正式推出。Trilio也在Kubecon大會上正式展示新版的操作。這個新版本目前已經通過紅帽OpenShift的容器認證，Trilio希望可以支援更多商用K8s環境，而且不論是公雲或私雲環境都要支援。Trilio過去主推OpenStack環境的資料保護方案，現在開始跨入了容器環境，這次預覽版是他們的第一步。

#Docker  #挖礦木馬
駭客掃瞄網路Docker植入挖礦程式，還修改設定、留下後門

隨著愈來愈多關鍵應用搬上Docker，也成為駭客下手的目標。安全廠商發現駭客近日正在網路上掃瞄曝露出的API，意圖植入挖礦程式利用受害者系統資源謀利，還會關閉系統的防護機制或留下後門。
Bad Packets偵測到從11月24日午夜起，出現針對Docker系統的罕見大量掃瞄網路活動，利用掃瞄工具Zmap掃瞄TCP port 2375、2376、2377、4243。這波流量疑似是駭客攻擊前的偵察性掃瞄。目前駭客一共掃瞄了高達近5.9萬個IP網路來尋找曝露的Docker執行個體。一旦找到受害系統的API，攻擊者就會利用API端點啟用Alpine Linux容器，並執行指令來下載、執行Bash script，目的在安裝Monero挖礦程式XMRig。而在觀察到這波流量後2天，駭客已經挖到價值740美元的Monero幣。

#監控服務 #AWS
AWS推ServiceLens視覺化監控服務，以圖表現分散式應用程式與相依關係

AWS推出了Amazon CloudWatch的視覺化監控解決方案ServiceLens，讓用戶可在同一個介面，就能掌握無伺服器和容器分散式應用程式，監控其可用性等運作狀況，而且還整合了金絲雀測試服務Synthetics，用戶可監控應用程式的金絲雀測試狀況。ServiceLens可以將所有指標、日誌和應用程式追蹤（Trace），全部集中到統一的地方顯示，強化了服務和應用程式的可觀測性。ServiceLens整合了CloudWatch與分散式追蹤系統AWS X-Ray，提供應用程式端到端檢視圖，並重點顯示每個節點與其連接的流量、延遲和錯誤，用戶可以針對單一節點查看該服務的相關指標、日誌和追蹤細節。

#SRE #混沌工程 #K8s
Gremlin混沌工程工具現支援Kubernetes

混沌工程工具廠商Gremlin在其可靠性即服務（Reliability as a Service）平臺加入對Kubernetes的支援，用戶現在可以用網頁應用程式與API來探索、視覺化，以及鎖定Kubernetes物件，並由Gremlin平臺自動選取所指定Kubernetes物件下的容器，用戶不用麻煩地從列表中選擇目標容器。
Gremlin更新對Kubernetes的支援，用戶只要利用Helm Chart更新Gremlin客戶端之後，就能啟動Gremlin網頁應用程式開始創建新的攻擊，直接鎖定建構在Kubernetes物件上的特定服務。用戶透過下拉式選單探索Kubernetes叢集以及命名空間列表，還能夠進行搜尋或是過濾操作，以找到想要實驗的Kubernetes物件集。

#DevOps #CLoudFormation
AWS開源CloudFormation CLI工具，可讓用戶打造資源供應程式

AWS的基礎設施即程式碼服務（Infrastructure As Code，IaC）CloudFormation釋出CLI工具，讓用戶與第三方廠商能夠建立資源供應程式（Resource Provider），並希望透過開源的形式提升其可擴充性。另外，AWS還推出了CloudFormation註冊表，為用戶和廠商提供一個通用的框架，用戶可以在CloudFormation模板中使用豐富的第三方資源類型。AWS也宣布與多家第三方供應商合作，包括Atlassian、Datadog與Fortinet在內的7家廠商會建立資源供應程式，供AWS用戶在CloudFormation模板中使用。目前所有的公開AWS地區，都已經支援CloudFormation CLI。

責任編輯／王宏仁

更多Container相關動態

• HPE最近發表了自家容器平臺軟體產品
• Portworx擴充容器儲存產品線，新增災備復原工具
• AWS雲端開發套件開始支援Java和.NET

＠資料來源：iThome整理，2019年11月

由華邦電子邏輯IC事業部在2008年獨立而創立的新唐科技，在本周四（11/28）宣布已與松下（Panasonic）簽署併購協議，將以2.5億美元（約76.27億元新台幣）的現金，買下松下半導體（Panasonic Semiconductor），雙方預計於明年6月完成交易。

新唐科技主要提供邏輯積體電路產品與利基型記憶體，華邦電子現仍為新唐的最大股東，握有62%的新唐股權。

至於松下半導體在1990年代時，雖曾名列全球前十大半導體製造商，但已不敵市場競爭，在截至今年3月的年度財報中，虧損了235億日圓（2.15億美元）。

日經亞洲評論（Nikkei Asian Review）分析，隨著中國正大力強化其半導體與其它技術的能力，台灣業者為擔心被「紅色供應鏈」（red supply chain）淹沒，也開始擺脫成本競爭政策，加強研發，並與日商合作，像是聯電買下日本富士通的半導體廠，或是研華認購歐姆龍子公司OMRON Nohgata的8成股權。

新唐科技則說，併購松下半導體將可除了可擴大其半導體事業規模、拓展全球通路與客戶之外，也能取得更堅實的研發能力，以及掌握車用及工業自動化的成長趨勢。

卡巴斯基揭露駭客發動網釣郵件攻擊，專挑飯店PoS（Point of Sales）系統及知名訂房網站植入木馬程式，以竊取消費者信用卡號碼，已有歐洲及南美洲等20家飯店受害。

卡巴斯基GReAT研究小組在2015年首次發現的木馬程式RevengeHotels，在2019年有活動升高趨勢。RevengeHotels主要以飯店、青年旅館、民宿和觀光業為目標，透過電子郵件散佈假造Word、Excel或PDF文件，像是報價單。一經員工開啟，附件中的惡意程式即開採微軟Office一個舊有CVE-2017-0199漏洞，利用VBS和PowerShell scripts載入PoS系統，並安裝RevengeRAT、NjRAT、NanoCoreRAT、888 RAT或ProCC等惡意程式。這波攻擊目的在從受害者的PoS系統，竊取住客留下或來自Booking等熱門訂房網站的資訊及信用卡資料。

研究人員分析後，認為這波攻擊來自三個駭客組織。其中二個分別被命名為RevengeHotels及ProCC，他們向來鎖定旅行觀光業，冒充政府單位或民間公司佯稱要大量訂房來釣取受害者、並使用動態DNS服務導向其他代管業者或無辜伺服器散佈假文件。除了植入遠端存取木馬（RAT），他們也會出售受害系統資訊，讓其他犯罪組織可以輕鬆存取這些電腦。

研究人員還辨識出第三個駭客組織，但不確定是否只對觀光業下手，以及是否進行其他型式的攻擊。

最新的一波攻擊中已有20家飯店遭到毒手，其中8家位於巴西，其他則散見於歐洲、南美等國，包括阿根廷、玻利維亞、智利、哥斯大黎加、墨西哥、義大利、西班牙、葡萄牙、泰國和土耳其。

為了避免出國旅遊後信用卡等資料外洩，研究人員建議用戶在線上訂房或入住旅館時，最好使用Apple Pay、Google Pay等虛擬信用卡，因為通常付過一次款後就會失效，不然就刷較不重要的卡。

駭客盯上飯店已經不是新聞。知名連鎖飯店如洲際（IHG）、萬豪（Marriott）、凱悅（Hyatt）、希爾頓，也都發生過PoS遭植入木馬，導致數百萬甚至上億筆住客信用卡資料外洩。

LG電子（LG Electronics）本周宣布高層人事變動，原本負責行動通訊與家庭娛樂的Brian Kwon將接掌該公司執行長，且於12月1日生效，而新聞稿中並未提及現任執行長Jo Seong-Jin的未來動向，有媒體猜測，Jo Seong-Jin是因無力反轉連續18季虧損的手機業務，而被換將。

LG電子為南韓僅次於三星的第二大消費性電子公司，它在今年第三季創下了131.5億美元的營收，其中，家電與空調事業占了44.6億美元，家庭娛樂事業占32.4億美元，汽車元件事業占11.2億美元，商業解決方案占5.9億美元，行動通訊事業佔12.7億美元，其中只有汽車元件與行動通訊事業是虧損的，前者虧損了5,000萬美元，後者則虧損1.35億美元，且行動通訊事業已經連續18季虧損。

在1976年加入LG電子的Jo Seong-Jin，因於1980年成功研發出LG的首款自動洗衣機，而被稱為洗衣機天才，接著在2015年成為LG的家電事業負責人，在2016年12月接掌LG電子執行長，且是南韓企業中，極少數沒有大學學歷的高級主管。

不過，在Jo Seong-Jin接任LG電子執行長之際，LG的手機事業已經出現虧損，把連續18季的虧損算在Jo Seong-Jin頭上並不公平。

另一方面，現年56歲的Brian Kwon，原本就負責該公司五大事業部中的兩個事業部，包括虧損連連的通訊事業部在內。

根據市場研究機構Canalys今年第三季的全球智慧型手機出貨調查報告，LG電子並未出現在全球前五大手機製造商排行榜上，除了第一名的三星與第三名的蘋果之外，其它位於前五名的都是中國業者，涵蓋華為、小米與Oppo。

LG電子表示，未來將加速LG的數位轉型，同時專注未來的核心技術，包括人工智慧、機器人及軟體等，並擴大智慧家庭、內容及美容保養等領域。

紐約大學訓練深度卷積神經網路（CNN）用於判讀乳房X光片，找出乳癌病徵，並期望將機器學習模型偵測整合進乳癌篩檢流程，能提高篩檢效率，而實驗也證實，機器學習模型預測乳癌的精確度已經高於單位放射科醫師，而且在篩檢流程中，同時結合醫師的專業和模型預測，將能有效減少醫生人力並提升判讀精確度。

研究人員提到，乳癌的研究主要遭遇兩項困難，第一是訓練資料集不足，另一個則是乳房攝影的圖像解析度過大。由於採用深度學習方法的電腦視覺技術，需要大量的訓練圖像資料集，資料集的多寡會直接影響模型預測的精確度，而通常一般的電腦視覺應用，會使用擁有1,400萬張圖片的ImageNet資料集，作為訓練資料。

不過，可用的公共乳癌資料集非常少，像是DDSM（Digital Database for Screening Mammography）資料集僅有一萬張圖像，因此為了要解決這個問題，紐約大學自己建構了乳癌篩檢資料集，這是擁有大量乳房篩檢X光片的龐大資料集，總共包含超過一百萬張乳房X光照片。

另一個問題便是乳房X光照片的解析度非常大，而且也必須要這麼高的圖片解析度，模型才能良好地預測結果，但因為這些照片比起像是ImageNet這類資料集裡的圖像解析度還要高上許多，礙於GPU記憶體的限制，研究團隊必須要調整模型架構，他們創建了與一般ImageNet模型相比，相對較淺的22層ResNet模型。由於完整的乳房X光照片，是由4張乳房X光照片組成，因此研究團隊也就同時為篩檢應用4個ResNet模型。

研究人員解釋，使用較淺的模型架構，意味著模型可能無法偵測到較小且局部的癌症組織，因此為彌補不足，他們也同時訓練一個完整50層的ResNet-50模型，但僅用來分類圖片補丁（Patch），而非整個乳房X光照片。採樣的圖片補丁大小為224×224畫素，這個補丁會在完整的圖片上滑動，以判斷補丁中是否存在病變，藉此繪製出癌症熱點圖。結合局部補丁與全域預測方法，該模型能偵測乳房X光照片中全域與局部特徵。

研究團隊對模型進行多個實驗，該乳癌預測模型判讀精確度比單個放射科醫生還要高，而當一位放射科醫生結合使用乳癌預測模型，則判斷的精確度會比多位放射科醫生的綜合判讀精確度還高，當多位放射科醫生的判讀加上乳癌預測模型，則精確度就更高了。總體而言，深度神經網路能有效的減輕放射科醫生判讀乳房X光片的負擔，且能明顯提高精確度。