臉書（Facebook）發表Facebook Shops，以讓小型商家更容易在Facebook與Instagram上陳列商品，這是一項免費服務，臉書期望這些商家會在需要推廣商品的時候成為該站的廣告主，替該站帶來廣告的營收貢獻。

Facebook Shops最大的優點在於當商家建立了一個商店之後，消費者不管是透過Facebook、Instagram或WhatsApp都能見到一致的商店內容，該商店可存在於臉書粉絲頁、Instagram個人檔案、Stories或廣告中，且消費者與商家可直接透過WhatsApp、Messenger或Instagram Direct溝通。

不過，絕大多數的消費者仍然必須連結至商家的網站進行實際的購買，目前只有在美國啟用Checkout on Instagram的商家，才允許消費者直接於程式內購買。

臉書也計畫讓消費者可在WhatsApp、Messenger及Instagram Direct中，直接購買商品。

有鑑於直播的商品銷售愈來愈受歡迎，臉書也將允許業者在臉書與Instagram的直播影片中標註商品，消費者只要點擊就能連結至商品訂購頁面。

臉書創辦人暨執行長祖克柏（Mark Zuckerberg）表示，許多小型商家都在武漢肺炎（COVID-19）疫情中苦苦掙扎，希望藉由新工具能夠協助它們建立網路通路；由於臉書的主要營收來源為廣告，相較於向商家收取Facebook Shops的費用，他們更期待商家在各個臉書平台上刊登廣告。

Facebook Shops將率先部署到提供商品的粉絲頁或Instagram用戶，之後擴大到所有用戶。

雖然微軟歷來或多或少針對醫療照護產業，推出專用的Azure雲服務，不過周二在Build 2020大會上，仍公布第一個產業專屬的雲端方案Microsoft Cloud for Healthcare，以公開預覽版上線，提供6個月免費試用。

受COVID-19疫情影響，許多醫院必須採取遠距問診，或是以連網醫療裝置，為隔離病房患者量測體溫等生理資訊。Microsoft Cloud for Healthcare整合了Microsoft 365、Dynamics、Power Platform 及 Azure產品，協助醫療院所發展醫病互動、組織協同、程式開發，或醫療資料標準格式交換等數位工程。

微軟表示Microsoft Cloud for Healthcare目前已有使用案例。例如，有醫院透過該解決方案，建立了1千多個防疫聊天機器人。西雅圖最大非營利機構Swedish Health Services，也藉此開發追蹤重要備品的應用程式。芝加哥衛生部和當地醫院透過Azure FHIR service進行資料交換。

微軟也宣布Teams新增Bookings App服務，方便醫護人員管理虛擬門診。

Microsoft Cloud for Healthcare的合作夥伴，包括Accenture、電子病歷軟體方案業者Allscripts、系統整合商DXC Technology、KPMG、和語音辨識技術商Nuance。

微軟預告接下來還會針對其他產業需求，提供專屬雲端服務。

微軟周二宣布收購機器人流程自動化（Robot Process Automation，RPA）技術供應商Softomotive，將與微軟現有自動化流程技術整合。

Softomotive成立於2005年，其產品WinAutomation是知名RPA工具，它提供多種主流應用程式的連接介面，能為SAP、HTML5、.NET、舊式終端機螢幕、Java、Citrix等等實現流程自動化，而它提供的拖拉介面也讓用戶很輕易定義及修改，使客戶可在同一臺機器上平行跑多道workflow。Softomotive全球擁有9000多家企業客戶。

加入微軟後，WinAutomation將與微軟現有Power Automate（前身為Microsoft Flow）整合。微軟指出，新整合的工具可讓任何人都能建立流程機器人，將Windows平臺的作業自動化排程及執行，使用者可以使用WinAutomation的桌機版App，或是微軟瀏覽器為基礎的Power Automate設定流程，並藉由Softmotive和SAP、Java、終端機應用的連接器（connector），將自動化流程擴及多種應用。

Softomotive也指出整合微軟，不但可提升WinAutomation的擴充性，也能整合像是擴增AI、分析工具，也有助於擴大現有客戶的支援團隊。

微軟Power Automate去年於Ignite大會上正式改名，並加入AI資料理解工具AI Builder及流程制定工具UI flows等工具，還內建315個API，現有企業用戶35萬家。

微軟在本周揭露了「團圓專案」（Project Reunion），準備重新整合舊有的Windows桌面程式與通用視窗平臺（Universal Windows Platform，UWP）程式，該專案已現身於GitHub。

微軟是在2015年發表Windows 10時提出了UWP的概念，計畫協助開發人員打造可同時於Windows 10、Windows 10 Mobile、Xbox One及HoloLens等平臺上執行的應用程式，然而，開發人員並未大力擁抱UWP，才使得微軟又把焦點切回傳統的Windows程式，且這幾年不斷試圖解決Windows API與UWP APIs之間的差異，而Project Reunion就是微軟最新的嘗試。

負責Windows開發者平臺的微軟企業副總裁Kevin Gallo說明，Project Reunion將讓開發人員更容易打造偉大的Windows程式，它可用來統一存取既有的Win32與新的UWP APIs，並藉由NuGet等工具讓它們脫離作業系統，替新的程式提供一個共通的平臺。

此外，Project Reunion也能協助開發人員讓既有的程式具備最新的功能，不論它們是基於C++、.NET或React Native，除了解耦既有的APIs與新增APIs之外，也根據需求進行Polyfill（自動補完函式庫），讓APIs能夠支援各種版本的Windows。

Project Reunion的元件WinUI 3 Preview 1，是Windows的原生UI框架，可依照不同的裝置調整使用者經驗，WebView2元件則可讓Windows程式具備完整的網頁功能，而且支援各種Windows版本。

英國廉價航空易捷（easyJet）周二公告遭駭客攻擊，導致近900萬名客戶個資外洩，並有2000多名客戶的信用卡資訊被存取。

易捷航空指出，該公司遭「手法高超」的來源攻擊，一經發現後即採取回應與事件管理措施，切斷非授權存取，並在外部廠商合作下展開調查，也已通知英國網路安全中心及資訊委員會辦公室（ICO）等主管機關。

不過易捷航空並未說明事件發生時間。

經過調查，有將近900萬名客戶的電子郵件和旅遊相關資訊遭存取，但大部份人的護照和信用卡資料未外流。易捷航空說，目前沒有證據顯示有任何客戶個資被誤用，但為免用戶個資未來被用以發動釣魚信件攻擊，會提醒客戶小心有冒充易捷航空和關係企業easyJet Holiday的詐騙信。受影響用戶會在5月26日前收到通知。

但易捷航空也坦承仍有2,208人的信用卡資料遭到存取，該公司已經對這些客戶發出通知，且提供支援服務。

易捷航空可能將因洩露客戶隱私資料遭罰。同為英國企業的英國航空及飯店業龍頭萬豪國際，因外洩客戶資料50萬及3.4億筆，各被ICO祭出1.8億及9,900萬英鎊罰金。國泰航空在2014至2018年間被駭客入侵，導致千萬客戶個資外洩，今年3月被英國政府判罰50萬英鎊。

微軟在//build 2020大會上宣布，適用於Linux的Windows子系統WSL 2（Windows Subsystem for Linux 2）開始支援GPU硬體加速，簡單來說，微軟發布了一個虛擬GPU驅動程式，將虛擬化的GPU暴露給Windows主機上，在虛擬機器中執行的使用者模式應用程式，而這樣可以讓WSL 2環境中的Linux虛擬機器，能夠和Windows主機共享GPU，實現GPU硬體加速。

WSL是一個可以在Windows上執行Linux應用程式的環境，因此當開發者要開發在雲中部署的Linux容器應用程式，則可以先在Windows上進行本地開發和測試，而為了要支援更廣泛的應用，現在微軟讓Linux應用程式和工具，也可以在WSL中獲得GPU加速。

微軟在過去一段時間，發展了客戶端GPU虛擬化技術，而這項技術現在已經整合到了Windows顯示驅動程式模型（WDDM）中，所有WDDM v2.5以及更高版本的驅動程式，都原生支援GPU虛擬化。微軟提到，這項技術被稱為WDDM GPU半虛擬化（GPU Paravirtualization），已經是Windows基礎的一部分，被用在Windows Defender、Application Guard、Windows Sandbox和Hololens 2模擬器等使用案例，不過目前這項技術還僅限於Windows訪客使用，像是在Windows中執行的虛擬機器以及容器。

將GPU加速帶入WSL 2，是透過WDDM將GPU半虛擬化擴展到Linux訪客，而這仰賴新的Linux核心驅動程式實作，該驅動程式利用半虛擬化協定將GPU暴露給用戶模式的Linux，GPU投射抽象遵循WDDM GPU抽象模型，並將針對該抽象所建構的API和驅動程式，移植到Linux環境中使用。

Dxgkrnl是一個全新的Linux核心驅動程式，會將/dev/dxg裝置暴露給使用者模式Linux，微軟提到，當主機上有多個GPU，則所有GPU都會提供給Linux環境使用，在Linux環境中執行的應用程式，其對GPU存取權限和在Windows上的主機應用程式相同，Linux和Windows之間沒有資源分區，也沒有對Linux應用程式設下限制，資源共享是完全動態的，取決於當下哪個程式需要什麼資源。微軟強調，共享GPU的兩個Windows應用程式，和共享GPU的Linux和Windows應用程式沒有差別，當只有Linux應用程式需要GPU，那該應用程式將占用所有GPU資源。

由於要在Linux投射相容WDDM的抽象，因此微軟便重新編譯圖形API DirectX，使其可以在WSL環境中的Linux上運作，微軟提到，這個是真正完整的D3D12 API，並非模擬或是重新實作，libd3d12.so是使用Windows上d3d12.dll相同的程式碼編譯而來，在不考慮虛擬化造成的影響，其提供與Windows相同等級的功能和效能。唯一例外是Present()，D3D12 API目前可用於螢幕外渲染和運算，但尚未支援Swapchain將畫素直接複製到螢幕上。

除此之外，微軟還移植了機器學習API DirectML，現在DirectML可在WSL中的Linux上運作，因此開發者將可以在Linux執行高效能機器學習訓練和預測功能。DirectML建立在D3D12 API之上，提供最佳化的機器學習工作負載運算集合，為了簡化開發者使用DirectML的工作，微軟還發布整合DirectML後端的TensorFlow預覽套件，加速初學者上手。

而且WSL也將會支援Nvidia CUDA加速功能，CUDA是跨平臺API，可以藉由Windows上的WDDM GPU抽象，或Linux上的Nvidia GPU抽象和GPU溝通，微軟和Nvidia合作建置Linux的CUDA版本，該版本針對/dev/dxg暴露的WDDM抽象，微軟提到，這是libcuda.so的完整功能版本，可以用來加速cuDNN、cuBLAS、TensorRT等CUDA-X函式庫。

另外，WSL還支援Nvidia的Docker工具，讓原本在雲端中執行的容器化GPU工作負載，也可以搬到WSL上執行，微軟提到，他們不會在使用者電腦上預裝Nvidia Docker工具，而是跟目前一樣，讓用戶選擇安裝軟體套件包，只是新的軟體套件相容WSL並且提供硬體加速功能。

微軟在Build 2019上首度揭露的Fluid Framework，繼提供企業客戶公開預覽，以及開發人員的封閉預覽之後，本周正式進入全面公開預覽階段，讓使用者可一窺此一被外界譽為，比Google Docs更強大的線上協作平臺。

Fluid Framework是微軟替Microsoft 365用戶所建立的新使用經驗。今年4月，微軟將Office 365更名為Microsoft 365，除了提供核心的Office產品與服務之外，還加入了雲端生產力工具與人工智慧能力，並根據使用者需求設計了家用版、商務版、企業版與教育版等不同的版本。此次微軟在Microsoft 365中公開預覽的Fluid Framework為Outlook與Office.com。

Fluid Framework的主要概念為消除應用程式之間的藩籬，讓協作更加地靈活並根據需求進行調整；其運作的方式則是把表格、圖表或工作清單都視作元件，這些元件在不同的程式中都可互相連結與共享，且不管在何處都可編輯這些元件，而不一定要叫出原先建立這些元件的程式。

舉例來說，在整合了Fluid Framework的Outlook for the web上，使用者很容易就能插入最新的表格、圖表與工作清單，在Office.com上則可建立Fluid工作環境，執行各種協作功能，也能搜尋Office.com上的所有文件活動、推薦清單與@mentions等。由於Fluid Framework的元件多半是輕量的，且編輯幾乎是瞬間的，因此可允許多人同時協作。

微軟首席產品總監Dan Zarzar說明，這些Fluid元件不管存在於哪個Office程式中，都會維持最新的狀態，它們就像是生產力的原子單位，還能直接於元件中編輯而無需再啟用其它程式。

此外，微軟還打算開源Fluid Framework的關鍵架構。

除了Outlook與Office.com之外，微軟也計畫於Microsoft 365的其它功能中整合Fluid Framework，例如Teams，而採用Microsoft 365企業授權的用戶預計在未來幾周，就可看到Fluid Framework功能。

使用電腦模擬真實世界，是數學與程式最自然的結合，透過觀察自然現象，化為數學公式、實現為程式的過程，可獲取基礎元素的挖掘、組合、變化等能力，對於數學或程式面的思考，都有極大的助益。

弦波與噪聲

談到用電腦來模擬真實世界，其中的地形模擬，可能是最為人熟知的對象，畢竟就算不寫程式的人，在玩遊戲的過程中，也會接觸到地形產生器之類的東西，而我在先前專欄〈隨機演算之美〉談過的Perlin噪聲，其具有連續性與隨機性，就是用來模擬地形的方式之一。

有沒有可能自己設計個噪聲呢？連續性是噪聲的特色之一，談到連續性，可以想到弦波，若試著將正弦波與餘弦波組合為z(x,y)=sin(x)*cos(y)，使用程式畫出每個(x,y,z)點，就會有點地形起伏的感覺，若試著加上可調整的振幅a與頻率f，成為f(x,y,a,f)=sin(x*f)*cos(y*f)*a，就可以有不同的波狀地形。

不過，就算是調整了振幅與頻率，波狀地形的規律性太容易觀察出來，缺少了隨機地形的感覺，可以試著隨機產生頻率f，例如使用1到1.5間的隨機數作為f的值，地形就不再規律了，若需要的解析度不用很高，看來就有點像隨機地形。

然而，如果要求較高的解析度，就會發現連續性被破壞了。為了要保有連續性，我們可以選擇在一段弦波上，疊加較小振幅、較高頻率的小弦波，弦波疊加不會破壞連續性，而由於大小弦波間的振幅可能相加或相抵，就會產生隨機地形的感覺。

不過，如果在適當的振幅與頻率之下，或者是產生了極大範圍的地形，還是容易看出弦波的週期性，若想避免這類問題，我們可試著以相同策略持續疊加弦波，進而創造出繪圖範圍內難以察覺週期性的地形。

Perlin噪聲的出發點其實就有點類似弦波，選擇等距的點就像是選擇頻率，只不過每個點產生的梯度本身就是隨機，而振幅透過梯度來內插計算，以保有對連續性的需求，因為梯度本身就是隨機，基本上，就不用再透過疊加來取得隨機性。

碎形布朗運動

雖然Perlin噪聲本身就具有隨機性與連續性，不過，相較於實際地形來說，還是少了許多細節，也就是噪聲形成的地形過於光滑了，實際山岳取其中一小塊區域來看，還是會有巨岩、湖泊、碎石等細微的起伏。

既然Perlin噪聲的出發點類似弦波，而弦波可以疊加，那麼，來疊加Perlin噪聲如何？低頻、振幅高的噪聲是山，更高頻、更低振幅的噪聲陸續疊加其上，就可成為巨石、湖泊、碎石等，而疊加的層次越多，地形就越細緻。

就程式撰寫來說，可將每次噪聲疊加視為一次循環，每次循環以一定倍數增加頻率，並以一定比率降低振幅，隨著循環次數的增加，地形細節就越多，而且，若將某局部地形放大來看，會發現和整體看來很相似。

若將這個疊加的過程套用在一維正弦波，在多次疊加之後，取其中一段曲線，此時，我們會發現整體來說是正弦波，而從該曲線再取一小段放大來看，還是像正弦波，也就是說，這種疊加產生了自相似性，若真能無限次地疊加，就會符合碎形（fractal）的定義了。

疊加過程若套用在Perlin噪聲，由於每個點的梯度具有隨機性，這就像是布朗運動的粒子運動方式，沒有規則可循，然而最終得到的地形仍會呈現一定程度的自相似性，這就構成了布朗運動的擴展，也就是最後會得到符合碎形布朗運動（Fractional Brownian motion）定義的地形。

若想看看波的疊加，以及碎形布朗運動的效果，我們可以參考《The Book of Shaders》的〈Fractal Brownian Motion〉，試著改變程式範例中的頻率、振幅等參數，看看呈現出來的效果。

碎形噪聲與Worley噪聲

透過程式設計，我們對於疊加過程的處理，可以設計為通用函式，而參數有三個，每次的循環稱為一個八度（octaves），此名稱源於音樂中每個音程是一個八度；頻率的倍數稱為間隙（lacunarity），在幾何中，是用來度量圖案（特別是指碎形）如何填充空間；至於振幅的倍數，則稱為增益（gain）。

有的程式庫作者將這類函式，直接命名為碎形噪聲（fractal noise）；若將碎形噪聲這類函式的實現，拿來套用在弦波，在多次疊加後，雖然沒有隨機性而不符合碎形布朗運動，然而就小範圍來說，也是具有噪聲效果了。

擁有隨機性的噪聲不只有Perlin噪聲，在Perlin噪聲發表六年左右，Steven Worley基於Voronoi的原理，發表了Worley噪聲，最初版本是以像素至最近隨機點的距離作為噪聲值，若將噪聲值作為像素的灰階值，最後形成的圖案就是Voronoi圖，因此，又常稱為Voronoi噪聲、細胞噪聲等。

然而，Worley噪聲主要是作為創建材質效果，若每個像素都要對全部隨機點進行距離判斷，隨機點越多，計算量就越龐大。

而為了減少計算量，我們可以將空間分為網格，在各網格當中，隨機產生一個不超出網格的點，而像素只要從包含自身的鄰近九個網格，判斷最短距離就可以了。若不在意產生的Voronoi圖中，各細胞大小是相近的，這種作法的確可以大幅減輕計算的負擔。

Worley噪聲演算不一定要以最短距離為噪聲，距離取法可以是第二鄰近點的距離，或是第一減去第二的距離，也可以是曼哈頓（Manhattan）距離、柴比雪夫距離（Chebyshev distance）等，若要令Voronoi圖的細胞邊緣明顯，還可以取第一、第二鄰近細包的邊界距離。

不同的距離策略，會產生不同的圖案效果，實際上求得的最近細胞位置，也可以是噪聲的一種，此資訊經常用於為每個細胞著色。若有興趣操作Worley噪聲的效果，我們可以參考《The Book of Shaders》的〈Cellular Noise〉。

從基礎元素到變化

在研究噪聲、碎形，或像是碎形噪聲之類的函式實現過程中，我們可以發現不少共通的基礎元素，像是像素處理、疊加性、網格分割技巧等，這類技巧在其他場合也可以變化應用。

例如，關於網格分割的技巧，也適用於使用凸多邊型交集求Voronoi圖的場合，然而必須擴充為求鄰近21個網格，雖說如此，相對於求全部隨機點的交集來說，這已經大幅減輕了計算的負擔！

《The Book of Shaders》屬於著色器（Shader）處理的介紹，若這離你太遠，可以試著探討衍生藝術（Generative art）。事實上，在程式設計領域，原本為了以視覺化方式學習程式語言而生的Processing，就有不少的衍生藝術資源，像是Perlin噪聲之類的函式，Processing本身就內建。

Processing社群本身也有各式各樣衍生藝術的程式作品，如果需要系統性地（從Processing）學習衍生藝術，我們可以參考《The Nature of Code》，當中除了談到噪聲、碎形，還包含了粒子系統、物理程式庫、神經網路等的探討，是個相當不錯的資源。

在一個小房間內，幾臺電腦與伺服器就擺放在桌子上方，正進行著一場看似沒有煙硝味的戰鬥，但其實正有駭客入侵的行為發生，只是，一旁挑戰者似乎卻不怎麼擔心被入侵，眼睜睜看著駭客攻擊持續了兩天。

這，其實是一項對於端點防護產品偵測能力的考驗，而挑戰者是來自臺灣的資安新創奧義智慧。關於這家公司，相信熟悉臺灣資安領域的人應該都不會陌生，該公司創辦人吳明蔚（Benson）、邱銘彰（Birdman）與叢培侃（PK），其實在駭客領域都是鼎鼎有名的人物。但在這個場合上，對於自己研發的資安產品能否有好的表現，他們仍有著不小的壓力。畢竟厲害的人才跟厲害的產品，未必畫上等號。

基本上，這場考驗端點防護能力的實測，並不像傳統只是單純的檢視產品識別惡意程式的能力，而是貨真價實地發動APT攻擊，對方會模擬俄國駭客攻擊組織APT29的技術手法，來檢視資安產品在入侵過程中的偵測能力與覆蓋範圍。只是，飛往美國參加實測的奧義智慧，在第一天就遇到了亂流。

「就像在美國大聯盟初登場的投手，一上場卻發現環境怎麼不一樣」邱銘彰說，從評測一開始，他們就發現有狀況，因為這裡的流程跟之前他們所預想的狀況，完全不同，究竟發生了什麼事？吳明蔚透露，這就跟考試現場一樣，你才寫完第一題，老師就說「好，先停下來檢查第一題」，有時還要給一個合理的解釋，然後直接給分，而不是全部寫完才來檢查。也就是說，這項資安產品的挑戰很重視即時性。

不僅如此，在第一天測試才進行到第4大關卡（總共20大攻擊步驟，134個小項目）時，他們就遇到亂流。簡單來說，就像是考試遇到有些不會作答的題目一樣，深怕表現不好，叢培侃笑著說，當時邱銘彰可是壓力超大，而邱銘彰也坦承，白天忙著應付測試，晚上還要趕著補交報告，因為這項挑戰，同樣也有重視後端人工支援的戰力。

這項資安產品評測，前來挑戰的廠商都是國際知名資安業者

原來，這次的評估測試，是一項利用MITRE ATT&CK的模擬駭客攻擊計畫。

MITRE是何方神聖？簡單來說，他們是協助多項資安研究的美國非營利組織，過去曾推動CVE漏洞資料庫，以及定義STIX / TAXII情資格式交換標準，近年他們推出的ATT&CK框架，也備受外界重視，因為它是首個以剖析攻擊面為出發的資料庫。

為何考驗資安產品需要這樣的架構？簡單來說，ATT&CK框架已經將各駭客組織用過的技術手法，以更有系統性的方式歸納；後續也發展出一項ATT&CK Evaluation評估計畫，就是利用實際模擬已知駭客組織的攻擊情境，來檢視端點偵測工具的偵測能力，以及幫助企業進行攻防演練，以驗證其防禦有效性。

不論你是否懂資安，事實上，這樣的方法論，已經受到相當多資安大廠的推崇與積極參與，已有許多業者的APT研究報告，以及資安產品偵測到的攻擊行為，可以對應到ATT＆CK所定義的攻擊手法，而且，有越來越多業者參與到評估計畫。

以這次參與評測的業者而言，共21家廠商，他們的來頭可都不小，包括傳統防毒軟體大廠、大型資安業者，還有不少主打新世代端點防護EDR（Endpoint Detection and Response）的業者。

在此當中，多數都是來自美國本土的企業，包括BlackBerry Cylance、CrowdStrike、Elastic、SentinelOne、FireEye、GoSecure、Malwarebytes、McAfee、微軟、Palo Alto Networks、Secureworks、Broadcom（Symantec），VMware Carbon Black等，占了半數以上。

還有來自羅馬尼亞、芬蘭、俄羅斯、以色列等國業者，例如Bitdefender、F-Secure，以及Kaspersky、Cybereason，加上臺灣的趨勢科技。

不過，還有一些較不知名的業者同樣參與，例如，由中國360集團策略投資的HanSight，也參與MITRE這項如此開放的計畫。而在上述資安業者之外，最特別的是，有兩家不到百人的小公司，也在名單之中，與資安大廠同臺較勁。

其中一個是來自歐洲馬爾他，於2014年成立，由學者組成的小公司ReaQta；另一個就是臺灣的資安新創奧義智慧，成立至今僅僅2年半，是這21家業者中最年輕的一間公司。

印證臺灣技術實力不輸世界，抓住嶄露頭角的重要機會

圖片來源／奧義智慧

臺灣資安新創奧義智慧雖然只成立兩年半，不過他們也將自己的資安產品搬上由MITRE發起的ATT&CK評估計畫，與近20家資安大廠產品同臺比拚產品對於APT攻擊的偵測能力。由於MITRE評測時相當嚴謹現場無法拍照，因此他們在今年RSA大會上，與MITRE ATT&CK的攤位上合照。

為何奧義智慧有膽識參加這樣的國際性評測？

或許，這樣的回答可能都算是部分原因，但我們認為，對於一家新成立的資安公司而言，這是一個大幅提升市場知名度的絕佳機會。畢竟，這就是完全比拼技術力的實測，吳明蔚也談到，他們曾接觸過Gartner與Forrester等研究機構，他們對於資安廠商的評估，都不實施硬底子的產品測試，多以軟性的客戶訪談為主，並重視市場份額，像是奧義智慧這樣的新創，營收集中在臺灣，研究機構也很難去評估他們的實力。關於參賽的動機，邱銘彰說明有兩大因素，首先，最初在2018年的美國RSA大會參展時，當時不論提供紅隊或藍隊資安產品的人，都在討論ATT＆CK，但臺灣在這方面的消息甚少；其次，端點安全產品已經變得複雜，太多的功能實在不容易搞懂，而臺灣許多企業在採購資安產品時，他們看到大多仍是沿用舊有的方法，例如，只看防毒軟體偵測率，邱銘彰認為，國內的資安觀念與國外還是有很大的鴻溝，因此，他們希望將新的資安觀念帶進臺灣。

另一方面，雖然奧義智慧只是一間資安新創，但他們的創辦人其實在過去就有讓資安大廠驚艷的技術實力。舉例來說，邱銘彰過去創辦的資安公司艾克索夫（X-Solve），就被阿碼科技收購，後來他與吳明蔚共同創立的艾斯酷博（Xecure Lab），也因在2013年美國黑帽大會上，與當時在中研院資安研究員的叢培侃，共同揭露APT駭客研究，吸引到美國上市的以色列安全公司Verint（威瑞特）併購。

這次他們三人合作創業的奧義智慧，仍聚焦在資安防護最新態勢，並發展出結合AI與端點威脅偵測的產品方案，而他們也在短時間內，就能將市場拓展到日本與新加坡，其實已經有了不小的突破，而這次完成ATT＆CK評估計畫的挑戰，顯然，他們更是讓臺灣新創品牌的資安產品，成為國際矚目的焦點。

事實上，MITRE這項評估計畫雖然頗受資安界的重視，但發展時間不久，並且會逐年改進、持續擴大範圍，不論是資安新秀或老將，其實誰也都沒有絕對的把握。但也正因為ATT＆CK在資安圈的火紅，當一家不熟悉且資歷尚淺的資安業者出現在這個評測的名單上，就已經足以吸引到外界的目光。

不過，產品的功能可否滿足評估計畫的要求還是很重要。如果只是志在參加，雖然也有可取之處，但也突顯可能對自身產品能力認識不深。所幸，在這次評測結果出爐之後，奧義智慧對於自己的表現感到滿意。

儘管MITRE在這項計畫保持中立，沒有提供評分，只是單純展現評測所得的數據，讓各家廠商與外界自行解讀，但從公開的評測結果進一步統計相關數據，奧義智慧確實在一些地方有出色的表現，例如有效偵測並警告的部分，並且不重複關卡警告數量最多；此外，網路上也有在美國國防單位工作的資料分析科學家Jonathan Ticknor，提出自己的一套評分標準，當中也突顯奧義智慧的產品，是21家評測廠商中，表現優異之一。而這樣出色的結果，對新創公司而言，能帶來比傳統出國租攤位行銷更有實質效益的影響力。

「只有在臺灣市場經營，就只有接受臺灣的挑戰，但其實，迎接國際的挑戰會促使你更快速地成長。」吳明蔚說。因此，他們也很鼓勵國內資安新創，可以朝向國際大步邁進。他也表示，過去奧義智慧本身接到的客戶，其實都是在臺灣，以及已設立他們子公司的日本與新加坡，而在此後，他們開始接觸到有美國、東南亞的公司寫信來詢問。

體認到主辦方完整揭露測試結果、產品畫面，與中立的態度

到底，在MITRE這樣的攻防評估計畫，與自行模擬有何不同？此次參與的奧義智慧，他們經歷了那些測試要求？

簡單來說，MITRE之前已舉辦過一次評測活動，當時是以中國駭客組織APT3的攻擊手法為設想，這次奧義智慧參與的是第二輪的評測，以俄羅斯駭客組織APT29為題。在評測方式上，主辦者事先已公布測試環境，是建置在微軟Azure環境，他們並為每個參與測試的廠商都提供7個主機組成的環境，讓業者可以部署自家的用戶端程式。

吳明蔚強調，廠商部署的程式都必須是市售版本，產品版本號碼都要清楚條列，MITRE也都會稽核，這主要是避免業者拿出專門參賽版本的可能性。

到了實測當天，現場主要分成三個隊伍，MITRE將派人扮演專門攻擊的紅隊，以及裁判組的白隊，挑戰者扮演的角色就是藍隊。而裁判組的人員同時會負責記錄的工作，也就是在每次攻擊到一個階段，他們就會將藍隊系統上所呈現的偵測結果，做即時的截圖記錄。

這一點，奧義智慧認為相當難能可貴。原因在於，MITRE在現場所擷取的系統偵測畫面，都是基於當下的結果，即便之後業者以MSSP人工分析所產出的報告，MITRE也會在偵測結果中，加上MSSP的輔助形容標籤，目的就是希望，讓偵測結果可以更精準的呈現。

更重要的是，這樣的結果最後還會放到網站上公開，等於是讓外界所有的人，都能看到各家資安產品的實際樣貌與偵測結果，讓大家能看到原始資料，這種評測上的創舉，令外界敬佩。

不僅如此，業者本身也能藉此觀察其他廠商是怎麼做。邱銘彰表示，畢竟有些國外產品可能在臺灣沒有引進，而網站或手冊上所揭露的內容也有限，但在這樣公開的評測方式之下，將能實際看到各家產品在每項攻擊步驟下的表現。

還有一點也很關鍵，就是MITRE不會提供主觀的結論，只是單純展現評測所得的數據，讓各家廠商與資安社群自行解讀，以激發出更多討論。而且，現場的MITRE人員也都希望參與挑戰的資安業者，能在測試過程提供更多反餽，以便讓他們持續改善評測過程。

對此，邱銘彰分析，其實各家產品設計重點有各自強項，產品的策略也不同，他們看到主辦方，也是盡可能的將評測過程，調整成最理想的方式，而未來還將持續完善與擴大測試內容。

至於MITRE的嚴謹與中立度？或許從一些小地方也能看出他們的態度。例如評測過程中，裁判組有時會詢問產品上的問題，不過，只要想跟他們多聊幾句，他們就會變得一板一眼，而且，就連上廁所，也會有對方的人全程跟著。

另外，在評測過後的今年RSA大會上，當奧義智慧要在MITRE的攤位上照相時，現場MITRE的人員也會迅速閃避，應該是為避嫌，其實這些就可顯示出MITRE的紀律，以及中立態度上的貫徹，是這項計畫得以持續發展的關鍵。

不過，他們也有留意到，「MITRE這些執行攻擊的測試人員，看得出來都很享受工作，感覺比他們（吳明蔚三人）年輕，也很有活力。」吳明蔚說。

評測準備過程是最大收穫，理想的表現結果也符合他們期待

至於這項產品資安評估計畫的報名與準備，有些細節是局外人難以想像，奧義智慧也大方說明。例如，在報名過程中，會與MITRE有長達數個月的電子郵件往來，溝通與文件都必須是英文，還有要填寫測試的所有產品與版本，較特別的是，他們還要申請美國出口管制分類號碼（ECCN），同時報名也要付出一筆數目不小的費用。

至於準備挑戰的過程，邱銘彰表示，嚴格來說，MITRE公布以APT29為攻擊設想，及其使用的技術手法，已經算是開書考的方式，而他們在看了第一輪的評測後，也成立模擬紅隊的團隊，負責出考題來挑戰自家產品的偵測能力，準備時間大約半年。叢培侃指出，這等於也考驗公司蒐集戰役的情報能力。

而就MITRE最終評估結果來看，他們認為模擬有幫助，不過，實際還是有些不同，例如，同一項攻擊技術，MITRE實作的攻擊手法，與奧義智慧自己模擬的攻擊手法就不同。而這也可以看出，產品要偵測到所有攻擊手法有多麼的不易，儘管大家知道這個手法，但MITRE紅隊展示出的實作方法，仍有可能無法偵測，而這也就是無法演練的。

最後，關於奧義智慧對於評測有那些不滿意或滿意之處。從MITRE公開的評估結果來看，奧義智慧的產品在一項偵測類型的表現，存在數量過低的問題，該偵測類型為遙測（Telemetry）。該公司也提出他們的意見，奧義智慧認為這方面有很大的解讀差異，他們的產品在多項關卡都已經發出警告，但幾乎都沒有遙測的結果，為何如此？會發出警告當然就表示已經遙測到才對，只是，他們沒有把這樣的狀態秀在介面，而這也是原先產品功能設計上的策略，第一線IT人員不需這些難以閱讀分析的原始資料，只不過，MITRE是採階層式的偵測類別，會將各層面都會納入計算。

而奧義智慧產品表現優異的部分，有些也不是其他廠商能輕易做到的，像是攻擊者在橫向移動的過程。例如，在第20.B.1關的一項Pass the Ticket的攻擊技巧，MITRE攻擊所使用的手法，各家業者產品就很難以偵測，而他們能夠偵測得到，並能呈現電腦跟電腦的關係，也就是知道是從哪一臺電腦發動，而不只是單純偵測到單臺電腦上的攻擊。

最後，他們也提到，現在MITRE已經將這項評測計畫獨立，成立一家名為MITRE Engenuity的公司專門負責，希望加速未來的評測頻率，而他們也預告，將會繼續參加第三輪的評估計畫，下一次，MITRE將模擬的事專門攻擊金融業的駭客組織，繼續協助考驗各家業者產品的偵測甚至防護能力。

圖片來源／MITRE

關於ATT&CK評估結果

在以ATP29為攻擊設想的ATT＆CK評估計畫中，共分20大攻擊步驟，以及140個攻擊過程（其中第19大關取消），MITRE並分成6大偵測類別，因此，使用者可以看出各廠商（圖為奧義智慧評估結果）在不同攻擊環節下，可以偵測到的範圍，以及能夠偵測的程度。例如，左圖中3種綠色的即時偵測類別，代表系統有一定的偵測程度，黃色部分則是透過人工分析的MSSP服務發現。不過偵測結果其實比想像要複雜，若搭配完整報告（中圖）來看，還會看到偵測類別有不同的輔助形容標籤，讓偵測定義更精準。從MITRE公布的奧義智慧產品評測結果中，所有人皆可看到這套解決方案的偵測能力，甚至還有實測當下螢幕擷圖（右圖）。例如，在第20關一項Pass the Ticket的技巧，各家產品就難以偵測到MITRE攻擊所使用的手法，而他們可以達到最好的偵測效果。

ATT&CK評估計畫發展時間表

 2013年  MITRE建立第一個ATT＆CK模型，主要聚焦在Windows平臺環境（後續再延伸出Pre-ATT&CK、Mobile與ICS）

 2015年  MITRE釋出ATT＆CK計畫於https://attack.mitre.org

 2017年9月  MITRE發出利用ATT＆CK框架模擬APT3攻擊的計畫訊息，目的是透過擬真的攻擊，促進安全測試上的強化。

 2018年4月  ATT＆CK在RSA大會上受到廣泛討論

 2018年11月  MITRE發表第一輪評估計畫結果，首次評估是模擬中國駭客組織APT3的攻擊，共有7家業者參與。後續又有5家業者參加此次測試

 2019年5月  MITRE公布第二輪評估計畫，這次是以模擬俄國駭客組織APT29發動攻擊，並且大幅調整偵測類別

 2020年2月20日  MITRE公布第三輪評估計畫，這次是模擬鎖定金融業的Carbanak and FIN7駭客組織發動攻擊

 2020年4月21日  MITRE發表第二輪評估計畫測試結果

 資料來源：MITRE，iThome整理，2020年5月

近期，臺灣有資安新創奧義智慧的資安軟體產品服務，在國際舞臺上嶄露頭角，因為他們參加了一項MITRE ATT&CK評估計畫，能與眾多國際知名資安業者有比拚技術實力的機會，而這樣的一件事，或許大家更想知道其意義是什麼？

因此，我們將從以下幾個層面一一解析，包括這項評測為何受到資安界重視？企業又應該如何看待評測結果？而奧義智慧這次的經驗，是否能鼓舞臺灣資安人才，在資安產品研發這條路也可以勇闖國際？

透過評測結果完全公開的活動形式，促進資安產品發展

從MITRE評估計畫的思維來看，各界可以從公開網站上可以看到各廠牌的優劣，每次評測也都是參照一個APT組織的攻擊。簡單來說，針對已發生的攻擊事件，都可能沒有辦法偵測到，那就更不用說面對那些未知的攻擊。攝影／洪政偉

為何資安圈很重視這項評估計畫？基本上，若要了解評測的意義與價值，我們對ATT&CK框架也要有一定的認識。

對於難以防範的APT攻擊，MITRE已經建立一套能更清楚描述駭客行為、意圖與作法的ATT&CK框架，並定義出共通語言，這對於盛行攻防與情資的資安業界而言，相當重要。

同時，MITRE本身也與一些大型資安業者合作，因此當有新的駭客攻擊手法被業者發現，也能彙整到架構之中，相對地，資安業者也可以應用此框架來溝通攻擊行為，企業也可用以評估自我防禦。而MITRE發起的評估計畫，也因為能模擬實際駭客組織的APT攻擊，加上是一種類競賽的活動方式，有助於各方評估之用，同樣受到多方關注。

對此，提供資安顧問服務的勤業眾信，本身在資安評估時也會用ATT&CK來談防禦的概念，針對評估計畫，他們也提出看法。該公司風險資訊服務協理陳威棋表示，由於每次評測都會參照一個APT組織，這是很不錯的思維，利用模擬真實駭客組織發生過的攻擊手法，將能檢視特定已知攻擊的偵測能力，像是這次模擬APT29的攻擊，由於該組織較少使用惡意程式，大多是無檔案式的攻擊手法，透過PowerShell入侵，就很特別，因此不同駭客組織其結果也有差異。更重要的是，外界都可以在網站上看到各家的詳細評測結果，相當透明。

對於評估計畫的發展與價值，有多年與MITRE的合作經驗，已經成立30年的臺灣資安大廠趨勢科技，也提出他們的觀察，而他們也是這次參與評測的廠商之一。該公司全球產品事業部陳韋良協理表示，趨勢科技之前就曾將新發現的駭客組織技術手法，提出到ATT＆CK框架，這次他們也有派出4人前往MITRE總部參與測試，他是其中之一，其他3位則是來自北美地區的同事。

從這次測試經驗來看，即便他們提到自家在整體偵測率表現是最好，不過趨勢科技也認為，藉由評測所得的資訊，將能讓他們能夠瞭解需要改進之處，這有助於產業開發更好的產品。例如，這次的純偵測模式，可有助於增強SOC的情報能力。

對於這樣的發展現況，陳韋良表示，從MITRE提供的ATT&CK Navigator就可看出，目前已經彙整了多達86個不同的APT組織，他指出，未來MITRE應該會加速評估計畫的進行，也就是每年評測次數會增加，以更多攻擊組織為設想，他們也樂觀看待其發展。

例如，趨勢科技有針對誤報率的問題，與MITRE討論是否要納入評測，只是目前還沒看到解決方法，至於現階段的評測主要聚焦在產品偵測能力，他們認為，後續將會加入產品防護成效的項目，畢竟各家產品策略不盡然相同，以他們自身的產品功能而言，在偵測之外，也更會強調關鍵之處的阻斷能力。

因此，這項評測有助於資安產品的設計，同時MITRE也在持續精進與擴大評測面向。

藉助評測結果找到最適合的產品，重點是瞭解自身資安資源

從另個角度來看，對於企業而言，ATT&CK框架對企業防護評估也有助益，而對於這樣的評測結果又該如何看待呢？已有不少專家給出分析與意見。

勤業眾信資訊服務副總經理林彥良表示，最主要的觀念，在於企業擁有什麼樣資安的資源，如此才能知道自己的需求，而他們常遇到的狀況是，客戶連需要什麼都不知道，只想要最好的，但其實應該是找最適合的。

而我們也在評估結果出爐之後，看到有國外專家Jonathan Ticknor將公司分成三種需求形態，像是SOC還不成熟、SOC較成熟，或是需仰賴MSSP，這是因為各自的環境與條件有差，看待測試結果的方式就會不同，他並提出自己的一套評分標準。而全球市調研究機構Forrester的資深分析師Josh Zelonis，也曾針對首輪評估提出自訂評分標準，對於第二輪評估，他則進一步從警告的效率與質量，討論警告品質的問題。

不過，林彥良也認為，這樣的評測確實是有幫助，但需要時間教育。如果只靠這樣的評測結果，就要讓客戶買單，其實還是不容易。主要也是ATT＆CK相當偏重攻擊技術層面，即使資訊人員能夠理解，但要用此評測當報告向老闆解釋時仍有難度。他也舉例，如果是金融業要拿評估計畫來衡量，會比較容易帶來幫助，但他曾接觸過國內的隱形冠軍企業，其資安防護就只有一個防火牆，基本資安防禦落差太大，要利用評估計畫來檢視就不太適合。

但無論如何，當國外已有很多討論的聲浪，而臺灣現在也開始越來越多人關注這件事，對於國內企業組織在資安方面的觀念與規畫上，應是相當有幫助。

特別的是，林彥良認為，依照MITRE的邏輯來看，這樣的評估計畫談的應該不只是單一產品，而是一個產品組合，或許，最後可能演變成不同產品結合的防禦平臺，也就是A＋B有更好的效果。

 學界觀點 資安人才培育從三大面向著手，本土資安產品要懂得行銷自己的品牌

關於國內資安業者參與ATT＆CK評測這件事，從不同角度來看，不只是本土品牌更容易被國際看見，例如，在這次評測結果之後，美國推出的知名創投機構Momentum資安地圖，也將奧義智慧納入。同時，這似乎也鼓舞了臺灣資安新創，因為突顯了我們的技術能力並不遜色。對此，我們詢問到臺灣科技大學資訊管理系特聘教授吳宗成，以了解現在的資安人才培育上，還能夠造就更多這類型人才嗎？

首先，吳宗成認為，現在國內不管資安新創與老將，都很願意投入人才的培育，這點值得肯定。接著，他從資安人才要有三個層次談起，包括資安技術人才、資安管理人才，以及資安政策人才，他認為，奧義智慧的的三位創辦人就符合這樣的條件。加上他們之前已有研發、創業的實戰經驗，因此，新的產品開發上，已經累積了足夠的經歷。

對於臺灣發展本體資安軟體產品的挑戰，以及需要的條件，吳宗成表示，首先的挑戰，就是國內市場規模不夠大，創業資金取得有難度，如果企業在初期沒有穩健的發展，可能很難撐得下去，更重要的一點，要建立自己的品牌其實不是那麼容易，他從管理角度說明，建立品牌的成本，其實要比技術成本還高。而在國際市場行銷上，他認為品牌行銷更是一大障礙，而語文表達能力是相當大的關鍵，這些都是可以思考的面向。

臺灣資安軟體能量足以媲美國際廠商嗎？面對駭客組織的APT進階威脅攻擊，近年由MITRE透過ATT&CK框架展演實際攻擊情境的評測，引發許多資安公司的推崇與積極參與，特別的是，竟然有一間成立才兩年多的臺灣資安新創也參加挑戰，讓全世界都看到

為了提高人工智慧解決方案的透明度，微軟和Aether委員會合作研究，並發布多個工具，在Azure上提供負責任機器學習服務（Responsible ML），微軟提到，由於機器學習開始被深入整合進日常業務流程，因此透明度顯得特別重要，Azure機器學習的問責功能，包含三個部分，理解模型、保護人們和資料以及控制端到端機器學習程序。

微軟提供InterpretML工具包，讓企業可以利用模型可解釋性功能，進一步理解模型行為，並向終端用戶以及業務相關利益人士，解釋機器學習所產生的結果。InterpretML工具包有助於建立精確的機器學習模型，讓開發人員可在模型訓練和預測階段，了解模型的行為，而且還適用深度神經網路，另外，模型可解釋性功能也可以執行假設分析，透過更改特徵值，以確定這些特徵對模型預測的影響。

微軟表示，當前建置人工智慧系統的挑戰之一，便是無法優先考慮公平性，微軟現在提供可以和Azure機器學習結合使用的Fairlearn工具，開發人員和資料科學家，可以利用專門的演算法，確定每個人都能獲得公平的結果。使用者可以在模型訓練和部署期間，利用Fairlearn來評估模型公平性，在減少不公平現象的同時，最佳化模型效能，該工具提供了互動視覺化工具，可以用來和推薦的模型進行比較減少不公平性。

考量到機器學習應用處理越來越多的敏感資料，像是醫療保健以及人口普查等領域，微軟提到，目前用來保護隱私安全的方法，包括校改和遮罩等，可會限制機器學習的效能，而為了解決這個問題，可以應用差分隱私（Differential Privacy）和機密機器學習技術來建構解決方案，在保持機器學習模型效能的同時，還能保有資料隱私和機密性。

因此微軟發布了WhiteNoise差分隱私工具包，用戶可以用於Azure機器學習服務上，保護隱私並且防止個人資料遭到辨識。這個差分隱私技術是微軟跟哈佛大學研究人員合作開發的，會在資料中添加統計雜訊，以防止洩露個人隱私資訊，且不會造成重大準確性損失。

而為了提高模型訓練和部署的安全性，Azure機器學習提供了資料和網路保護功能，包括支援Azure虛擬網路，並且有提供連接到機器學習工作空間的私有連結，用戶也可以在專用機器上執行機器學習工作負載，並且在資料傳輸和靜止時，使用金鑰加密。利用這些基礎，機器學習團隊可以在不用看見資料的情況下，在安全環境以機密資料建置模型。

微軟提到，負責任的機器學習，其開發過程應該是可重複、可靠並且相關利益者可被問責，而Azure機器學習的責任流程涵蓋每個決策者、審核人員，以及機器學習生命周期中的每個參與者。Azure機器學習提供追蹤功能，可自動維護機器學習資產的詳細追蹤資訊，像是執行歷史紀錄、訓練環境和模型說明等，並將這些資料紀錄在中央註冊表中，讓企業可以用於各種審核需求 。

Cisco Talos本周揭露一專門竊取通訊程式內容的Android間諜程式WolfRAT，在偵測到使用者開啟特定程式時，就會拍下通訊畫面，並上傳到由駭客所掌控的C&C伺服器，主要目標為泰國的Android手機用戶。

WolfRAT一開始先偽裝成合法服務，像是Google Play或是Flash更新程式，但在使用者安裝後即會伺機竊取裝置上的機密通訊，當使用者開啟WhatsApp、Messenger或Line程式之後，就會進行螢幕截圖，再把它們傳給駭客。

其實WolfRAT並不是個複雜的間諜程式，它複製了許多公開的程式碼，還使用了已被列為惡意的C&C伺服器，研究人員公布WolfRAT的用意之一，是想昭告天下，惡名昭彰的間諜程式組織Wolf Research可能又回來了。

Wolf Research為德國專門開發間諜與竊聽程式的業者，CSIS的研究人員曾在2018年公開其惡行，還公布該公司在賽浦勒斯、保加利亞、羅馬尼亞、印度或美國都設有辦公室，之後Wolf Research就關閉了。

然而，Cisco Talos卻發現WolfRAT與Wolf Research之間的連結，例如它們使用了同樣的C&C伺服器，有雷同的架構，也都相準Android手機；同時也相信WolfRAT成員已另起爐灶，在賽浦勒斯成立了新的LokD公司，LokD對外宣稱可提供更安全的Android手機，也研究Android手機的零時差漏洞，而LokD即是WolfRAT的掩護。

儘管WolfRAT只具備業餘的水準，它主要複製了之前曾在網路上流傳的惡意程式DenDroid，且類別永遠無法變成實例，還使用不穩定的套件與不安全的面板，但研究人員認為，有效的產品比穩定的產品還重要，猜測WolfRAT可能是為了迎合客戶的時效性所開發出的急就章產品。

Google發布最新的Chrome Enterprise 83，這個版本更新重點在於強化用戶的安全性。

管理者現在可以啟用Chrome增強保護模式，過去Chrome就有內建防止釣魚網站的功能，當用戶嘗試點擊惡意或詐騙網站時，Chrome便會對用戶發出警告，而當啟用增強保護，Chrome會直接與Google安全瀏覽服務共享資料，精確地進行威脅評估，Chrome會即時檢查不常見的網址，以偵測是否為釣魚網站，而且Chrome瀏覽器還會發送網頁樣本和可疑內容，用來發現針對Chrome用戶的新威脅。

Chrome 83也開始提供建立於DNS-over-HTTPS協定之上的安全DNS功能，這將能加密DNS通訊來提高用戶瀏覽網站的安全性和隱私性，防止攻擊者觀察用戶存取的網站，或將用戶轉址到釣魚網站。在管理環境Chrome預設停用這項功能，但Google提到，他們鼓勵管理者可以為用戶部署DNS-over-HTTPS，他們也已經在群組政策提供相關支援。

Google也強化了Chrome的密碼安全，Chrome 83現在不僅會警告用戶憑證洩漏，還會主動檢查瀏覽器所儲存的密碼，一旦發現已經遭到洩漏的密碼，便會提供建議，引導用戶快速地更新這些密碼，目前Chrome作業系統和Chrome瀏覽器目前都已經提供這項功能，企業還可以利用密碼警示功能，採取更多保護公司憑證的行動。

瑞士洛桑聯邦理工學院（École Polytechnique Fédérale de Lausanne）的研究人員近日出版研究報告，指稱藍牙協定中的兩個核心配置含有安全漏洞，將允許駭客假冒裝置身分，從而存取與之配對的藍牙裝置。研究人員測試28種藍牙晶片與採用相關晶片的31款裝置，其中iPhone 8、Pixel 3、Nokia 7、MacBook Pro 2017、iPad 2018或第三代ThinkPad X1，都面臨了攻擊風險。

藍牙協定的核心規格中，總計定義了6種核心配置，研究人員所發現的安全漏洞則出現在基本傳輸速率（Basic Rate，BR）與增強資料速率（Enhanced Data Rate，EDR）兩種核心配置中，它們都被應用在低耗電的短距通訊上，當要建立一個加密連線時，兩個藍牙裝置必須透過一個連結金鑰互相配對，但存在於這兩個配置中的安全漏洞，卻允許駭客偽裝成先前曾經配對過的裝置，而繞過金鑰認證程序，形成藍牙假冒攻擊（Bluetooth Impersonation Attack，BIAS）。

根據研究人員的說明，兩個藍牙裝置在第一次進行配對時，會產生一個長期金鑰，未來的連結就會使用該長期金鑰所衍生的期間金鑰，而不必再重新經歷配對程序，而漏洞則存在於首次配對之後的認證程序，允許駭客假冒為之前曾經成功配對過的裝置。

值得注意的是，此一藍牙假冒攻擊適用於所有的藍牙版本、安全模式，以及任何裝置製造商，使得市場上的數十億藍牙裝置都將被波及。

制定藍牙規範的藍牙技術聯盟（SIG）在去年就收到了研究人員的通知，坦承相關漏洞將允許駭客調降金鑰的強度，再暴力破解金鑰以偽裝成已配對的裝置。SIG公布了暫時補救措施，強烈建議藍牙供應商應禁止降級至長度低於7 Octet的加密金鑰；主機在執行傳統認證時應啟用交互認證；主機應儘可能支援唯一安全連線（ Secure Connections Only）模式；若未先要求建立加密連結，不得使用藍牙認證來變更裝置的信任度。

此外，SIG已更新藍牙規格，只是該規格要等到新一代的藍牙協定出爐，才能真正落實。

全球音樂串流龍頭Spotify宣布，已與知名播客節目《The Joe Rogan Experience》簽署多年的獨家協議，自今年9月起，《The Joe Rogan Experience》就會在Spotify上陣，並在今年內成為Spotify平台上的獨家節目。雙方並未揭露此一合作案的細節，但華爾街日報引述消息來源報導，該交易價值超過1億美元，成為播客商業史上最大的交易之一。

1967年出生的Joe Rogan曾當過喜劇演員、節目主持人及運動評論員，他在2009年推出了《The Joe Rogan Experience》播客（Podcast）節目，該節目不只出現在Rogan的專屬網站上（http://podcasts.joerogan.net/），也同時現身於YouTube及蘋果平台上，且皆可免費觀賞。

《The Joe Rogan Experience》為全球最受歡迎的播客節目之一，它在去年的單月下載量就達到1.9億次，而且該團隊經常能夠邀請到重量級又多元的來賓，包括美國總統候選人或是重要的政治人物、喜劇演員、科學家，或是特斯拉創辦人Elon Musk等。

Spotify砸重金簽下Rogan，著眼於日益興盛的播客服務，根據該站2019年的聽眾分析報告，去年播客用戶數量成長超過50%，用戶每季花在播客上的平均時間則增加39%。

Rogan則透過最新一集的播客表示，他只是與Spotify簽約，並非受雇於Spotify，團隊將維持獨立運作，也會遵循既有的風格，而且就算移到Spotify，也是免費的，只是聽眾必須先成為Spotify的用戶才行。

蘋果、Google聯合宣布接觸者曝險通知Exposure Notification API正式釋出，可供政府及衛生主管機關用來開發接觸追蹤應用程式。

蘋果和Google設計的是一種去中心式的接觸追蹤方案。以這套技術開發的App透過手機藍牙協定廣播一組經常輪替的匿名金鑰，所有支援這項技術的手機每隔一段時間（5分鐘）搜尋一次鄰近距離（如1.5公尺）內停留一段時間（如15分鐘）的手機廣播訊號，手機彼此連線（或曝露exposure）資訊儲存在用戶個別手機上。這些資訊只會保留一定天數。如果有人確診，則政府機關在該病患同意下，取得及發布其手機上儲存最近14天的資料，其他用戶即可以這些資料比對而得知自己是否曾曝露在該患者周遭。

蘋果和Google只提供底層技術，並提供曝露通知API（Exposure Notification API）給全球公衛機關使用。

雙方強調，蘋果和Google並不開發App，這套系統也不蒐集或使用地點資訊，而民眾也可以自行決定要不要透過該App通報衛生單位。Techcrunch報導，公布這段時間以來已有22國及美國許多州和他們洽詢過，而雙方也已對公衛官員、流行病學習及合作的App開發商做了24場簡報。

雙方也提供了Exposure Notification API白皮書及參考實作。

根據蘋果和Google的規畫，接觸追蹤感染技術之後會直接內建到iPhone和Android中，讓全球數十億個裝置都能支援。

蘋果於本周透過iOS 13.5正式版釋出該API，除了Exposure Notification API，新版本還包含可在iPhone可在用戶撥打911時，將Medical ID自動傳給急救單位，不過僅限支援Enhanced Emergency Data的地區。另一改善則是在iPhone用戶戴口罩使用Face ID解鎖失敗後，更快出現輸入密碼的介面。

澳洲目前推出的接觸追蹤App也是採去中心式技術，而仍在開發中的德國、瑞士、西班牙等國也傾向這種技術。英、法兩國則採取具單一資料庫的集中化管理路線。歐美國家可能都無法強制人民安裝這類App，而印度則強制要求政府或是私人企業的員工全面安裝政府開發的接觸追蹤程式。

這是第一次，政府將資安產業的地位，視為如同半導體、精密機械、生技醫藥那樣的國家關鍵核心產業。

這一波突如其來的疫情，讓這個世界的不確定性提高了，幾個月前，沒人能想得到，數十億人竟然會因為疫情而不敢或無法出門消費，企業全球供應鏈與消費網絡都產生劇烈改變，數位能力和韌性，成了企業對抗不可預期風險的關鍵武器，剛性需求的產業也比過去更搶手，不論是哪一個產業，都面對了全新的局勢和挑戰。

面對新的世界常態，不論是國家或者是企業，都得重新調整腳步，發展更具應變韌性的策略。例如，美國、日本都開始呼籲本國企業，將海外工廠搬回國，來降低對境外產業的依賴，提高國內自給自足的能力。那臺灣呢？疫情過後，臺灣國家發展策略，將如何因應新常態？

在總統蔡英文5月20日第二任任期就職演講中，可以看到政府所瞄準的臺灣新方向。她特別提出，臺灣未來產業發展戰略上，要在原有的「5+2產業創新」的基礎上，進一步聚焦於6大核心戰略產業。

這6個產業分別是以半導體和ICT產業為首的資訊數位產業，其次是結合5G、數位轉型和國家安全的資安產業，還有生物醫療科技、國防戰略展業、綠電再生能源產業、民生戰備產業。

將資安視為國家核心戰略產業，這是蔡英文「資安即國安」戰略的下一步發展。

過去4年，為了發展數位國家和數位經濟，政府對於資安的重視和投入程度，拉高到了國家安全的程度。

不只是在行政院設立了資通安全處，讓政府資安事務有專責單位，統一事權，更整合了國安會、行政院資安處，以及國家通訊傳播委員會來打造快速因應資安事件的資安鐵三角。

早從馬政府時代就開始推動的資安安全管理法草案，也在2018年完成三讀，去年正式實施，讓臺灣政府機關和關鍵基礎設施供應商，有了一套統一的資安規範和最低資安防護要求。國安三法去年的修正，也納入了網際空間的考量。

除了法規面的完善，政府機關也在採購策略上，開始扶植臺灣資安廠商，所有政府專案都強制編列不同規模的資安預算，甚至要求優先採購臺廠產品。政府與臺灣資安圈、駭客圈的交流也日益密切，甚至蔡英文都親自出席HITCON年會致詞。

過去4年，政府大多聚焦於對內政府機關資安實力和基礎的強化，現在，未來的4年，蔡英文所揭露的新方向是對外，要壓寶臺灣的資安產業，成為臺灣在全球數位競賽的火車頭之一。

臺灣在全球資安圈中，向來有個獨特的優勢，就是長期面臨來自對岸的各種網路攻擊、數位威脅，根據賽門鐵克網路安全威脅研究報告的數據，早在2013年時，臺灣垃圾郵件氾濫比例就已經是全球第四高，其中更有6成垃圾郵件中，夾帶了惡意程式或 是惡意連結。

臺灣知名資安新創奧義智慧共同創辦人邱銘彰有句話，是臺灣資安圈的最佳寫照，他說：「臺灣雖然是一個礦產、石油等天然資源缺乏的國家，卻是一個擁有源源不絕惡意程式天然資源的國家。」相較於其他國家，臺灣資安業的獨特國際優勢就是，各式各樣的新「惡意樣本」源源不絕。

所以，2014年底時，我們也曾以「臺灣：資安創業的寶島」為題，製作了一個封面故事來報導這個現象，揭露臺灣資安新創如何在國際嶄露頭角的故事。直到現在，這樣獨特的威脅和優勢，仍舊沒有消失，甚至更變本加厲的蓬勃發展。

政府終於開始正視這個新機會，甚至要主動地扶植，把資安威脅，變成新的國家產業機會。

重點新聞(0515～0519)

Amazon     機器人     路徑規畫  

物流倉庫千臺機器人行走不碰撞！Amazon發表路徑尋找AI框架

Amazon機器人研究所聯合南加州大學，發表一套多代理路徑尋找（MAPF）框架，可讓1,000臺機器人到達不斷改變的目的地，而且不會相撞。一般來說，MAPF是許多自動化系統的核心，比如自駕車、無人機或是電玩中的AI角色，但對擁有數十萬臺揀貨機器人的Amazon來說，MAPF可能改善物流揀貨流程。

在Amazon的研究中，團隊將MAPF視為圖形問題，圖中包含了節點和邊，節點指的是不斷改變的目的定點（Location），邊指的是兩個相鄰點與一組代理，也就是移動中的機器人。在一個時間步長（Timestep）中，每個代理可選擇到鄰近的點，或是待在原地。要是兩個代理都想在同一時間步長中，到達相同的定點，就會相撞。

接著，團隊將這個問題拆解為一系列的視窗化MAPF實體，並透過一個個視窗化MAPF解決器，在特定時間內解決相撞問題。也就是說，這個方法可在每個時間步長中，更新每位代理的起始點和終點，並計算每位代理到達所有定點所需的步長。此外，該演算法也會持續分配新的目的定點給代理，並找出不會相撞的路徑，讓代理按照順序行走。後來團隊進行實驗，將物流倉庫映射到33x46的網格，其上有16％的障礙物，結果發現，團隊的方法不僅不讓機器人碰撞，其吞吐量還比其他方法高。此外，這套演算法最多還可應用於1,000位代理，且不發生任何碰撞。（詳全文）

  Google     資料回音    模型訓練加速  

Google改進資料回音方法，不讓GPU空等、加速AI訓練快3倍

專用加速器如TPU、GPU可提高神經網路的訓練速度，但卻無法加速上游資料處理，像是硬碟I/O和資料前處理。為解決這個問題，Google團隊改進了去年發布的資料回音方法（Data echoing），透過重複使用初期工作流程產出的資料，而非等待新資料的出現，來善用閒置的加速器資源，加速訓練時間。

進一步來說，這個方法可將資料複製到工作流程中的隨機緩衝區，只要某個環節產生瓶頸，比如批次前後或資料擴充等，就可立即使用。之後，Google針對影像分類、自然語言建模和物件辨識等三個任務，利用5個AI模型來測試資料回音表現，結果顯示，資料回音可用更少的新樣本來達到目標，且在ImageNet的ResNet-50訓練任務中，資料回音可提高訓練速度達3倍。（詳全文）

  克里夫蘭醫學中心    疫情預測   武漢肺炎  

美國大型醫學中心藉助AI，制定防疫計畫

美國大型醫學中心克里夫蘭醫學中心聯手數據分析大廠SAS，以賓州大學的開源模型為基礎，來開發流行病學SEIR模型，可預測武漢肺炎（COVID-19）患者人數、所需加護床位、醫護人員防護設備和呼吸器數量等。雙方也將程式碼於GitHub上釋出。

進一步來說，雙方利用醫學中心資料來訓練這套模型，可分為最好、最壞、最有可能發生等三種情境，此外，該模型可彈性根據地區人口健康狀況、人口統計學差異和各個州政府的管控措施，來控制參數，隨時修正。而克里夫蘭醫學中心，也根據該模型的最壞情境，啟動準備計畫，在教育園區內搭建了1,000張病床給不須急救的患者。（詳全文）

  影像處理   邊緣運算       AI晶片 

以色列AI晶片新創聯手鴻海，要攻AI影像邊緣運算市場

以色列AI晶片新創Hailo攜手鴻海與影像應用SoC供應商Socionext，要共同打造AI邊緣運算影像處理解決方案。三方將利用自己的專長，比如鴻海負責打造高密度運算、高效能且無風扇的邊緣運算裝置，來搭載Socionext平行運算處理器，以及Hailo的深度學習處理器。

其中，高效能裝置除了低功耗，還可即時處理20多條路的串流影像，內建的高密度運算核心和VMS 影像管理系統可應用於影像分類、人體姿勢偵測等。鴻海表示，這次解決方案鎖定動態影像分析，要來強化物件偵測的處理能力。（詳全文）

  智慧製造   電極鋁箔    品檢  

管理YAML檔案更輕鬆，AWS開源釋出K8s開發管理工具cdk8s

AWS釋出用於Kubernetes（K8s）的雲端開發套件cdk8s，可讓使用者在K8s叢集中，更簡單地建置和維護工作。進一步來說，K8s應用程式是透過靜態YAML資料檔案來定義，YAML是一種人類可讀的檔案格式，但每次建立新應用程式，就需要編寫大量的樣板配置，因此隨著專案發展，YAML管理會越來越複雜。

為解決這個問題，AWS兩年前就推出AWS CDK，來簡化開發程序。現在，AWS將CDK的概念，擴展應用到K8s上，釋出全新專案cdk8s。cdk8s一樣可讓使用者利用熟悉的程式語言，來定義K8s應用程式和可重複使用的元件，產生標準的YAML檔案；不管用戶在地端或任何雲端部署，都可以利用cdk8s來定義Kubernetes叢集應用程式。（詳全文）

Cloud 超級電腦    臺灣AI雲    科技部  

持續提供超級算力！國研院將TWCC半數資源技轉成為新創

為了讓科技部與民間業者共同建置的臺灣AI雲（TWCC），在超級電腦計畫結束後能繼續提供服務，國研院決定將一半的運算資源與軟體服務，技轉成立為一家新創公司，交由專業的開發與維運團隊來發展雲服務，以商業模式提供業界租用：而另一半，則同樣透過國網中心提供給學研界來使用。

臺灣AI雲是國研院國網中心以超級電腦臺灣杉二號的運算資源為基礎，所推出的雲端運算服務，可支援OpenStack、Kubernetes和Slurm等架構。TWCC從去年商轉至今，已有350多組產學界專案使用。而這家正在籌辦的新創公司，將由國研院、華碩、廣達、臺哥大成立，預計今年底正式成立並提供服務。（詳全文）

Meta-Dataset    少樣本學習    基準測試  

Meta-Dataset提供多元的少樣本學習基準測試

Google釋出一款少樣本（Few-shot）學習資料集Meta-Dataset，提供大規模且多樣的基準，用來量測不同圖像分類模型的表現，此外也附上用來研究少樣本學習的框架。

Google指出，雖然目前有不少少樣本的研究，但其中的基準測試，都難以有效評估每個模型的優點。為解決這個問題，Google利用10個公開圖像資料集建立Meta-Dataset，並公開程式碼和筆記本，展示如何透過TensorFlow和PyTorch來使用資料集。此外，Meta-Dataset還包括對現存少樣本圖像分類模型，進行初步研究的成果。（詳全文）

Nvidia     GPU      模型訓練  

跨界合作！開發者可在Spark上用GPU加速模型訓練

Nvidia聯手開源社群Spark，在即將發布的資料運算引擎Apache Spark 3.0中，支援端到端GPU加速功能。Nvidia指出，Spark 3.0建立在開源GPU機器學習平臺RAPIDS上，可大幅提升資料提取、轉換和載入資料的效能。

Spark 3.0可讓資料科學家和工程師在SQL資料庫中運用GPU資源，進行ETL資料處理工作負載；此外，AI模型訓練，也可在同一個Spark叢集上處理，不必在獨立的基礎設施或程序中執行。Nvidia表示，這樣的改進可以提升整個資料科學工作管線效能，使用者不需要更改現有企業就地部署或雲端平臺上的Spark應用程式，就能從資料湖的ETL到模型訓練都獲得加速。（詳全文）

圖片來源／Google、克里夫蘭醫學中心、AWS、Nvidia

 AI趨勢近期新聞 

1. 效能可達5 Petaflops！Nvidia新一代AI超級電腦系統問世

2. 臉書最新TTS系統可只用CPU即時生成語音

3. 微軟釋出Cosmos DB Cassandra API原生殼層CQLSH

4. 靠AI挖掘新口味！百年美國食品商用AI分析數十億個資料點，從40萬種配方開發出3款新調味品

資料來源：iThome整理，2020年5月

日本媒體報導，去年年中三菱電機遭駭客入侵，可能導致尖端導彈資訊外流。

三菱電機今年初坦承，去年6月28日發現公司網路有可疑的存取行為，發現駭客正在傳輸資料，當時三菱立即採取行動，限制外部存取。三菱調查顯示駭客是藉由防毒系統尚未更新的安全漏洞展開攻擊，但包括國防、電力、鐵道、高機密技術資訊，以及涉及企業合作夥伴的重要資訊都未外洩。

不過日本共同社報導，日本防衛省正在研發的尖端高速滑翔彈性能相關資訊，疑似從三菱電機洩露出來，可能和去年的網路攻擊事件有關。

日本防衛省正在調查該攻擊事件的全貌。

日本自行研發的高速滑翔彈可以超音速在複雜軌道飛行，突破敵方防禦網。防衛省從2018年度起進行研究，預計2026年開始服役。

消息人士指出，可能洩露的是導彈試製品製作招標時，向廠商提出的性能要求。不過，三菱電機最後並未獲得訂單。

管理招標的防衛裝備廳正在詳查事件對安全方面的影響。日本政府也未證實是否已洩露個別裝備品的資訊。

在去年的攻擊事件中，三菱電機仍然被駭客存取了員工資訊，估計最多有200MB的資料外洩，包括求職者履歷，現任以及退休員工資訊等。