Latest Posts

2025年4月10日 星期四

VMware Hands-on Labs介紹

文 / 王俊城 Anderson Wang 恆逸教育訓練中心資深講師

VMware相關解決方案及產品,都有一定的複雜程度,想要上手會有不小的門檻,VMware Hands-on Labs可以讓體驗VMware解決方案及產品變得簡單又輕鬆,無須安裝任何的軟體【例如:VMware vSphere、NSX…等】,讓使用者可以在Brower直接使用及測試VMware的技術和解決方案,內容涵蓋基礎到進階的不同主題,包括虛擬化、網路虛擬化、雲計算…等。經由互動式的學習,加深對VMware技術的認識,適合初學者或專業人士使用。


VMware Hands-on Labs網站
https://www.vmware.com/resources/hands-on-labs

圖一:VMware Hands-on Labs

2025年3月31日 星期一

Open Source機器學習:KNIME 在網頁爬蟲、 AI、金融、商業智慧的應用

 


前言

KNIME Analytics Platform 是一套功能強大且靈活的開源資料分析軟體,特別設計用來滿足現代企業在資料處理和分析上的各種需求。身為一個低程式碼/無程式碼的平台,KNIME 讓不同技術背景的使用者都能輕鬆進行複雜的資料處理、視覺化和分析工作,無需深厚的程式設計知識。其直覺式的視覺化工作流程介面,使用者可透過拖放不同功能的節點並將它們連接起來,建立完整的資料分析流程。KNIME 的開放性架構支援多種資料來源的整合,從基本的試算表到複雜的資料庫系統,同時還能與各種程式語言(如 Python、R)和工具無縫連接,大幅提升工作效率。在資料科學、人工智慧應用、自動化資料擷取以及商業智慧等領域,KNIME 已成為眾多企業和研究機構的首選工具,協助他們從龐大的資料中挖掘有價值的洞見,做出更明智的決策。

本文主要圍繞著 KNIME Analytics Platform 這款開源軟體在不同領域的應用。這些領域涵蓋了從自動化網路資料擷取的網頁爬蟲技術,到協助使用者學習資料科學與人工智慧的豐富資源,再到利用生成式 AI 進行圖像生成,以及在金融領域中偵測重複發票的實際應用。透過 KNIME 的低程式碼特性,這些複雜的任務得以簡化並普及給更廣泛的使用者。

2025年3月24日 星期一

微軟對 SQL Server做的最好的6件事情

 


這篇文章是轉錄自 Brent Ozar 的文章,其中記錄了6個 SQL Server有史以來最佳的6個功能,以及8個最糟的功能,來特別轉錄一下,並且說出一下我自己的看法。

SQL Server 實質上的第一版,是 SQL Server 6.5版,算是微軟從 Sybase取得完整開發權力的第一個版本,也剛好是我個人開始學習 SQL Server的第一個版本,而對台灣而言 SQL Server 6.5是開始支援雙位元版本,也就是說支援中文的字集,意義也算重大,自己的 SQL的第一張證照也是 SQL Server 6.5版。就讓我們來看一下, Brent Ozar所認為的6個有史以來最佳的功能為何吧!

作者自己都說,有些觀點可能有些人會覺得很奇怪(這我也認同),我們就來看看吧:

SQL Server 有史以來最佳的6個功能

  • 6英文查詢

    告訴你有些很奇怪。幾十年前,您可以用簡單的英語向資料庫伺服器詢問您想要什麼,然後得到結果。當微軟在 SQL Server 6.5 中推出該功能時,他們遠遠領先於時代,並最終在 2005 年將其刪除。我讚賞他們當時為了走在前沿所做的努力:他們盡了當時技術所能,我真的很感激他們沒有嘗試在 SQL Server 2025 中重新審視這一點。

    T-SQL的存在,原本就是讓使用者在不了解演算法的情況之下對資料進行處理,而 T-SQL句子已經是非常簡單了,實在沒有什麼必要再搞一個畫蛇添足的東西啊~~~
  • 5始終保持可用性組 (AG、BAG、DAG)

    當可用性組 (AG) 於 2012 年問世時,其旨在取代一大堆高可用性和災難恢復功能,每個功能都基於不同的技術並具有不同的控制。故障轉移叢集實例、資料庫鏡像、日誌傳送、雙向複製和 SAN 複製如今仍然存在,但微軟對 AG 的持續投資意味著它們可以作為許多雲端實施(包括可被管理的執行個體)的基礎。我確實希望他們能夠投入更多,使該技術更易於實施、配置和排除故障,但我仍然必須將 AG 納入此列表中。這是在正確的時間提出的正確想法,當它們問世時我真的很興奮。

    確實 AG的出來,可以帶來很多靈活的部分,不過唯一不變的是,公司還是得先設定 Cluster不可,也就是說,只要一但和 AG牽扯在一起,那麼公司設定 Cluster是勢在必行,如果能夠直接繞道 Cluser的話會更好!
  • 4SSAS、SSIS 和 SSRS

    回想起 2000 年至 2005 年 Crystal Reports 主導資料視覺化業務的時期真是令人難以置信。每個人都在各個地方使用它。它是中小型企業中事實上的標準,以至於微軟必須將 SQL Server Reporting Services 免費與您購買的 SQL Server 捆綁在一起,以保持競爭力。同樣,他們必須免費提供整合服務才能與 Informatica 等工具競爭。大約十年以來,微軟不斷對這些產品進行改進,如果你把自己的職業生涯押注於這些產品,那麼在很長一段時間內,你會做得相當不錯。如今,它們已經不再受歡迎,但是由於它們長期以來的良好表現,如果我不將它們列入這個名單,那我就是失職了。

    SSIS大概是轉型最成功的例子吧,它的前身 DTS已經是個家喻戶曉的產品,沒想到竟然無法直接升級到 SSIS,當時被罵個臭頭,如今不但名震四方,很多東西都必需和它相容,還出了雲端版的SSIS,它的成功是具大的。至於 Reporting Service也是,雖然目前微軟是主推 Power BI,那也是因為個人自助式報表的興起所導至,Reporting Service的出道直接把水晶報表打到地獄也不為過啊!
  • 3標準版和企業版功能相同

    直到大約十年前,建議開發人員使用哪些資料庫功能仍然是一件非常麻煩的事情。透明資料庫加密、分割區、資料列儲存索引、稽核、變更資料擷取和壓縮等功能僅在昂貴版本中可用。SQL Server 2016 SP1將這些功能引入標準版,讓開發人員的生活更加輕鬆。我敢打賭,這個決定經過了很多會議和爭論,但結果還是值得的。

    原作有點搞錯版本 SQL Server 2016 sp2之後開始,把一些原本企業版才有的功能下放到標準版,而企業版目前依舊能支援超過24顆以上的 cpu,標準版與企業版的差別,除了硬體的支援之外,還包括了與雲端的整合,讓有些不走雲端的公司,可以選用便宜的標準版,確實是一大福音啊!
  • 2動態管理檢視 (DMV)

    現在我們認為它們是理所當然的,但在 SQL Server 2000 中,您不能只執行 SELECT 查詢來取得資料庫伺服器的健康和效能的診斷資料。今天,我們使用簡單的語言以相同的方式存取我們的用戶資料和伺服器的元數據,選擇它,處理它以進行報告,並對其採取行動。它並不完美,但它肯定比我們以前使用的 DBCC 命令要好。

    自從 SQL Server 2005把黑盒子打開之後,確實很多資訊被顯示之後,對於效能調校來說會變的相對之下簡單了,我也覺得這個功能非常不錯。
  • 1僅對 T-SQL 進行附加更改

    您可能已經讀過這六個字七遍了,但您才剛開始了解微軟為 SQL Server 所做的最好的事情。為了真正理解這一點,請閱讀 .NET 的動盪歷史,它經歷瞭如過山車般的變化。有.NET、.NET Core、.NET Framework 4.0,又回到了普通的.NET,一路上 Windows Forms、Windows Presentation Foundation、Universal Windows Platform 也發生了巨大的變化……我什至無法形容開發人員為了繼續發布相同的應用程序,但採用了當前的最佳實踐,需要做多少工作。

    另一方面,您在 2000 年編寫的查詢今天仍然有效,僅此而已

    當然,您可能會擔心由於執行計劃的變更而導致的查詢效能,但總的來說,您可以採用完全相同的資料庫應用程序,並將其連接到越來越新的 SQL Server 版本,而無需重寫應用程式本身。沒有 T-SQL 2000、T-SQL Core 或 T-SQL Framework 4.0。已經有棄用的功能,但這些幾乎都與管理有關,而不是會影響應用程式程式碼的變更。

    這並不是說 T-SQL 停滯不前:微軟多年來一直在逐步增加新功能。並不是說所有這些增加的功能都是改進或沒有問題 - 但至少它們是不斷地添加,而不是要求應用程式進行更改以保持相同的功能水平。

    這個不就是 SQL 指令最大的好處嗎?所有和資料處理有關的程式,不需要再學習內部處理的演算法,架構和資料處理有關的,和程式邏輯確實不會有其他關係啊~~~
至於你認為的 SQL Server最佳的6個功能是什麼呢?

使用Responder及John執行線上攻擊以破解系統密碼

 










對於專業的道德駭客或滲透測試人員來說,執行系統攻擊的第一個步驟就是利用情報蒐集獲得的資訊,以及弱點評估時發現的系統存取控制機制中的漏洞來存取目標系統。在此步驟中,滲透測試人員將使用各種技術(例如密碼破解、漏洞利用和社交工程攻擊)來存取目標系統。

密碼破解是從電腦系統傳輸過程或利用儲存在資訊系統中的資料來恢復密碼的過程。它可以幫助使用者取回忘記或遺失的密碼,亦可作為系統管理員的預防措施來檢查容易被破解的密碼;然而,攻擊者也可以利用此過程來獲得未經授權的系統存取權限。

2025年3月18日 星期二

世界經濟論壇《2025年全球網路安全展望》六大重點發現摘要分析報告

 


前言與概要

世界經濟論壇(World Economic Forum, WEF)在2025年1月13日發布《2025年全球網路安全展望》(Global Cybersecurity Outlook 2025)報告彙整來自全球57個國家共321名資訊安全領域之政府官員、企業領袖及專家學者之觀點。今年度報告的核心主題是當前網路安全格局的高度複雜性 (Complexity)。這種複雜性主要源於地緣政治緊張局勢、威脅型態的轉變、供應鏈網路安全、法規監管壓力、人工智慧(AI)與新興科技的發展,以及組織或企業在資安技能與人才上的顯著差距。

2025年3月12日 星期三

WAF開源解決方案-恆逸資深講師 陳勇勳

 

在一般企業網路安全防護中最常使用的就是防火牆,但如果僅是Layer 3的防火牆、那是無法防護應用程式本身設計瑕疵的問題,例如網站常見的SQL Injection、Cross-Site Scripting、Local File Inclusion、Remote File Inclusion等安全問題,為了解決這方面的問題就必須使用Layer 7等級的應用程式防火牆, ModSecurity是一種開源的Web應用防火牆WAF(Web Application Firewall),用來防護Web應用程式免受常見的網路攻擊,ModSecurity透過檢查HTTP請求和回應來過濾並阻擋潛在的惡意流量,來達成防護網站程式設計瑕疵造成的安全問題,ModSecurity包含 ”程式” 與 ”規則” 兩個部份。

  • 程式

    ModSecurity被設計成Apache、Nginx 及IIS網站伺服器的模組,並與Web Server協同工作,也可以將之部署在Reverse Proxy上,本文將以Nginx Reverse Proxy搭配 ModSecurity為例。

  • 規則

    ModSecurity是執行者,至於要如何進行安全防護則需要 “規則”,如果您對網站的攻擊手法很了解,那麼 ”規則” 您可以自己動作撰寫,有興趣的朋友們可以參考 https://coreruleset.org/docs/rules/creating/ ,或者我們可以下載別人寫好的規則來使用,例如:

    • 開源規則集 OWASP Core Rule Set (CRS)

      可以https://coreruleset.org/ 網站下載,其規則涵蓋常見攻擊,如 SQL Injection、XSS、Local File Inclusion 等,這些規則由社群維護並且定期更新。

    • 商業公司規則

      由Trustwave、F5等公司提供,這些規則能更快速反應最新的攻擊手法,至於取得方式就請洽該公司網站

dnf install nginx-mod-modsecurity

    • 安裝OWASP Core Rule Set (CRS)

[root@Reverse-Proxy tmp]# cd /etc/nginx/
[root@Reverse-Proxy nginx]# git clone https://github.com/coreruleset/coreruleset.git
Cloning into 'coreruleset'...
remote: Enumerating objects: 34159, done.
remote: Counting objects: 100% (47/47), done.
remote: Compressing objects: 100% (30/30), done.
remote: Total 34159 (delta 33), reused 18 (delta 17), pack-reused 34112 (from 3)
Receiving objects: 100% (34159/34159), 9.62 MiB | 15.82 MiB/s, done.
Resolving deltas: 100% (26980/26980), done.
[root@Reverse-Proxy nginx]#
[root@Reverse-Proxy nginx]# cp coreruleset/crs-setup.conf.example coreruleset/crs.conf
[root@Reverse-Proxy nginx]#
[root@Reverse-Proxy nginx]# vi /etc/nginx/modsecurity.conf

在檔案的最後加上如下兩行
Include /etc/nginx/coreruleset/crs.conf
Include /etc/nginx/coreruleset/rules/*.conf
[root@Reverse-Proxy nginx]#           

    • 修改 Web Site 設定檔 /etc/nginx/conf.d/abc.conf

server {
    listen       80;
    listen       [::]:80;
    server_name  www.abc.io;
    root         /usr/share/nginx/html;

# 加入以下兩行
    modsecurity on;
    modsecurity_rules_file /etc/nginx/modsecurity.conf;

location/{
        proxy_pass http://www.abc.io:80; 
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $http_x_forwarded_proto;
        }
}                  

    • 修改 Web Site 設定檔 /etc/nginx/conf.d/xyz.conf

server {
    listen       80;
    listen       [::]:80;
    server_name  www.xyz.io;
    root         /usr/share/nginx/html;

# 加入以下兩行
    modsecurity on;
    modsecurity_rules_file /etc/nginx/modsecurity.conf;

location/{
        proxy_pass http://www.xyz.io:80; 
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $http_x_forwarded_proto;
        }
}                

    • 重啟 nginx web server

systemctl restart nginx                  

重啟後如果一切順利,且可在 /var/log/nginx/ 目錄下看到 modsec_audit.log的記錄檔,這個檔案即是用戶端存取 Web Server 的違規記錄。

您可在下列課程中了解更多技巧喔!

2025年3月10日 星期一

想用AI繪圖卻不知從何下手?精選適合企業、個人的熱門工具,比較分析一次看

 


挑選工具方法           免/付費軟體差別         精選軟體示範

挑選工具方法

透過輸入文字生成圖像的 AI 繪圖工具,使用者可快速產出多樣風格的 Logo、海報、插圖等圖像,即使不具備專業設計技能或繪圖軟體使用經驗,也能輕鬆實現創意。

在眾多 AI 繪圖軟體中,如何挑選出最符合需求的工具?以下三大要點將為你提供明確的選擇方向:

  • 圖片生成品質與風格:畫出的圖好不好看,風格是否符合需求。
  • 軟體易用性:介面簡單、操作順手很重要,否則學習成本會較高。
  • 預算考量:根據使用頻率選擇免費或付費方案。

免/付費軟體差別

免費適合:適合偶爾使用者或需求較為簡單的使用者,免費版本通常已足夠應付基本需求。

付費適合:若您是專業設計師、內容創作者,或需要將 AI 繪圖應用於商業用途,付費版本能提供更穩定、高品質的服務。

精選熱門軟體介面使用範例

下方表格將介紹四款熱門 AI 繪圖軟體的各項評比,讓您更容易選擇合適的工具。

並可進一步請參考下方 AI 工具推薦以及DEMO內容,了解各軟體的具體特點與使用方式。