我在CMU 交換的那半年，看見美國、台灣電腦科學教育的巨大 ...

在Carnegie Mellon University 交換過了快兩週，選課差不多都確定了，而部分課程的第一次作業也交了；這回交換的機會主要是透過交通大學協助的， ... 集團資訊 關於我們 集團介紹 我們的團隊 旗下媒體 關鍵評論網 everylittled. INSIDE 運動視界 Cool3c 電影神搜 未來大人物 歐搜哇 旗下節目 多元服務 Ad2 Taketla拿票趣 關鍵議題研究中心 Cr.ED ShareParty 與我們合作 內容行銷與廣告業務 異業合作 加入我們 新聞中心 趨勢 我在CMU交換的那半年，看見美國、台灣電腦科學教育的巨大鴻溝（上） 2015/10/16 精選轉貼 台灣 、數位學習 、資訊 「在CarnegieMellonUniversity交換過了快兩週，選課差不多都確定了，而部分課程的第一次作業也交了；這回交換的機會主要是透過交通大學協助的，而學校除了把學生送出國，也期望能把所見所聞帶回來分享，所以寫了這篇文章。

」 評論 評論 本文作者為交通大學資工系學生HeronYang，他在部落格中詳實紀錄了前往全球電腦科學系排名第一的卡內基美隆大學交換的課程內容。

Inside獲作者授權轉載。

作者簡介："CreateSomethingPeopleWant"--是我的信念，於是致力於軟體開發、網頁與網路程式設計、原型發想、文章撰寫與攝影，很歡迎人找我討論想法與合作。

喜歡極簡與咖啡。

前言在CarnegieMellonUniversity交換過了快兩週，選課差不多都確定了，而部分課程的第一次作業也交了；這回交換的機會主要是透過交通大學協助的，而學校除了把學生送出國，也期望能把所見所聞帶回來分享，所以寫了這篇文章。

首先，透過幾個數字簡介CMU這所學校： ComputerScience世界排名第一（2010年華爾街日報）校園人數約6000人，一屆交換生約50人（這屆兩個台灣人）學費是交大的20倍而我修的課有：PrinciplesofSoftwareConstruction:Objects,Design,andConcurrencyWebApplicationDevelopmentNetworkSecurityAdvancedWebDesign前三者是CS類的課，最後一個則是設計。

除了選修的課，開學第一週我也多去一些後來沒有選的課旁聽，加上幾年前在Stanford修課的經驗，我想針對這兒修CS課與交大不同處列出來，先是CMU優於交大資工的部分，其次是交大資工優於CMU的部分。

主要是討論修課使用的工具與修課方式，而非學生態度、文化之類的。

CMU優於交大資工的部分（個人觀點）Git我所修需要寫code的課都用Git來發作業、交作業，所使用的是Github的Organizations，可允許老師與助教個別pull&push非公開的程式碼給學生。

比起E3好幾個莫名的跳出視窗好很多，而Git也是實際與人合作時必備的工具，從學校開始有很好的使用基礎。

當然，非公開的Github使用方式是要付費的，CMU這樣的方式一門課約需要幾千塊台幣，而自行架設GitServer不妨是個省錢方式，例如吳育松老師網路安全實務的作業就使用Git繳交。

Piazza從幾年前在Stanford修課到現在的CMU，這是幾乎每一堂課都會用到的平台，他能讓：學生自由發問問題（可匿名），老師、助教或其他同學可回答問題發布公告協助報告分組就如同交大的E3，但比較好用且跟Email結合挺好，所以有人發問或回答問題都會被通知。

還記得有一堂課因為課程中太多人問問題，怕耽誤到進度，於是教授放一台iPad在講台，若有問題則用Piazza提問，教授會統一回答。

上頭同學們總是很熱絡是這平台最有價值的地方吧！Testing&Checkstyle對於作業，我在交大的經驗是必須要達到作業要求的功能，而至於方式與品質若沒有要求就隨意。

但CMU跟Stanford修課的經驗中，滿講究code的品質，以下幾個例子：CMU與Stanford的Java課程會要求學生寫完整的註解，前者甚至需要符合JavaDoc、跑Checkstyle（檢查code所有細節的工具，包含註解完整性），完成後再寫UnitTest後檢查Test的覆蓋程度（是否每行code的所有情況都被測試過），最後才繳交作業。

CMU與Stanford中與網頁前端有關的課程都會要求要經過Validator測試（檢查語法是否正確），其中包含HTML與CSS。

產學合作主要講的是課程中有外部單位加入課程的部分，以下有幾個例子： RapidPrototyping是一門讓不同領域學生選修、組成小組做作品的課程，我去上前兩堂課，學期中各組必須要設計出解決「客戶」需求的產品，而這學期的客戶則是醫療看護，於是課程中老師視訊了三位照顧病患的人，有病患家屬、護士與研究單位等。

NetworkSecurity有期末Project，今天老師才宣布有外部公司提供獎金給比較好的Project。

Reading交大大部份的課程靠老師的投影片就可以考試。

而CMU跟Stanford滿多課都會被要求要讀課本或論文，有些課是在第一次上課發的課程行事曆中會包含每週應該要閱讀的課本章節，可能包含隨堂考；而我修的一門研究所課程則是每週要讀一兩篇論文並寫感想，若沒有讀的話上課容易聽不懂，所以一學期下來要讀的論文大概這麼多...交大資工優於CMU的部分（個人觀點）圖書館交大的圖書館藏書實在頗多，在學校總是可以很容易的借到幾乎任何一本電腦相關的書籍，且熱門的書籍甚至有好幾本，還有不少線上資源。

CMU我則找不太到，也發現他的書並沒有很多，且課堂修課要用的書在學校書局也沒有賣，得自己上網買。

教授很親民由於交換生不太能在選課系統上選課，所以CMU開學的第一週我花大半的時間在一一找教授加簽，也發現這兒大部份教授實在很忙，除非是修課生或有直接相關的事情，Email常常不會被回覆。

例如很多教授會在自己的網頁上寫怎樣的Email是會被他忽略的，而Email又該如何寫才可能被回覆，應該是因為他們Email都是公開的，必定有很多想要申請入學、申請研究工作或外部公司等的信吧！而在交大我們總是可以很容易找到教授、安排會面時間等。

結語個人覺得課堂使用版本管理系統、作業要求寫測試與足夠的參考資料閱讀是在交大修課過程中不足的部分，但也是很容易學習的部分。

而在美國的習慣中較個人主義，所以任何問題必須要自行去問，才有可能被解決，這也是我學習的過程之一；相對台灣，我們有很多的資源如圖書館跟教授其實都是很珍貴的。

延伸閱讀：《[CMUV.S.交大]--學期中修課心得》《[CMUV.S.交大]--學期末修課心得》 分享文章或觀看評論 評論 精選轉貼 品牌 雲端資安會面臨什麼風險？雲原生服務又應該注意哪些細節？（內有影片） 2021/11/09 廣編企劃 資安 、雲端 、網路攻擊 、數位轉型 、容器技術 、雲原生服務 、趨勢科技LetsTalk 目前企業上雲、採取多雲策略與現代化應用服務，將成為主流發展模式，企業不僅需要因應新形態網路攻擊模式來改變升級資安措施，並且針對上雲各個階段強化防護。

評論 SPONSORED PhotoCredit：趨勢科技TrendMicro 評論 無論是公有雲、私有雲或混合雲，只要是以雲端原生運算打造的應用服務，都應要更更重視資安風險，避免威脅也跟著上雲，而趨勢科技又是如何協助企業做好防護？本篇將以趨勢科技LetsTalkOnline兩集影片的內容為大家進行詳細介紹，若想直接看影片請點擊以下的影片連結──雲端工作負載和容器安全實作，以及雲端資安風險與CloudNativeSecurity4C模型的概念與實作。

從早期企業自行建雲，到後來藉由公有雲服務更快銜接雲端運作模式，企業藉此加速數位化轉型腳步，到目前更因應不同服務應用模式，以及資料使用方式等要求，使得結合公有雲、私有雲，甚至兩種以上雲端平台使用的混合雲架構變得更加普及。

企業應用服務也逐漸轉向容器化設計發展，近年來更有許多企業、開發者開始擁抱開源架構設計的Kubernetes（K8s）容器技術（備註：參考影片），更快部署雲端服務，將服務搬上雲端難度門檻變得更低，因此也吸引更多企業願意讓服務上雲。

由於將服務佈署在雲端的企業比例越來越高，傳統針對地端伺服器的攻擊模式逐漸地在改變，目前駭客攻擊模式也逐漸鎖定上雲服務，其中包含攔截網路封包，或是直接鎖定容器化的雲端服務。

同時，越來越多網路攻擊型態持續在改變，企業在上雲之際，往往忽略資安防護也必須跟著升級。

另一方面，隨著多雲架構趨勢發展，企業雲端服務架構落差變得更大，讓容器化服務佈署管理變得更加紛雜，因此相對更容易讓服務出現安全漏洞，在企業資安人員難以察覺的情況下，可能就會面臨外部攻擊。

更詳盡功能實作課程請參考LetsTalkOnlineEP7TechDemo-雲端工作負載和容器安全實作PhotoCredit：趨勢科技TrendMicro目前企業上雲所面臨的「4C」難題，分別包含Cloud（雲端）、Cluster（運算叢集）、容器（Container）、Code（編碼），在這四個面向各自會面臨不同資安問題，也會相互產生不同影響，即「4C」各個環節的資安問題未能妥善處理，就會讓整個服務產生更難以收拾的局面。

（備註：參考影片）趨勢科技針對「4C」難題提出CloudOne解決方案，標榜針對目前企業主要使用的 AWS、微軟Azure、GoogleCloud、VMware雲端化服務，以及包含Docker、Kubernetes容器化服務應用環境最佳化。

PhotoCredit：趨勢科技TrendMicro善用CloudOne，完整涵蓋4C防護需求（本段內容採用雲端資安風險與CloudNativeSecurity4C模型的概念與實作會後報導）整體來說，雲端資安風險可分成兩塊（參考上圖），其一來自Cloud／Cluster基礎架構層次，另一源自Container／Code執行階段。

針對前者，舉凡異質雲端環境管理、網路安全管理，及因應複雜雲端環境的設定管理，皆可能出現挑戰；而在執行階段，可能因採用惡意的映像檔或開源元件，採用違反法規與政策的映像檔，或在CI／CD自動化階段出現不合理的容器權限配置，都會產生風險。

為協助企業解決上述難題，趨勢科技提供CloudOne雲端資安解決方案，內含多個產品項目，有助保障雲端應用安全，讓用戶順利推進數位轉型。

面對基礎架構層面的挑戰，企業可透過CloudOne當中的WorkloadSecurity，統一防禦公私雲上所有重要主機，避免各項服務遭受攻擊；以現今熱門的容器而論，不論承載Apache、資料庫或其他任何服務，只要安裝在WorkloadSecurity納管的主機上，即可一併接受防護。

此外企業可善用Conformity，持續自動地深層檢查雲端配置，避免出現違反法規或不安全的不當設定。

關於執行階段的挑戰，企業必須先有基本認知，藉由DevOps、CI／CD實施高速自動化的過程可能衍生安全議題，故而需要建立DevSecOps觀念，從一開始就考量到整體安全性，必須及早確保開發人員使用的內外部映像檔安全無虞，確保映像檔裡的開源元件符合最新版本，確認相關部署條件符合公司規定，例如不允許採用最高執行權限、或將敏感金鑰資訊藏於映像檔。

（備註：參考影片）對此企業可藉由CloudOne中的ContainerSecurity做為基礎，利用其中SmartCheck功能深層掃瞄容器映像檔，及利用AdmissionControl確認部署狀況及YAML檔的設定，避免出現逾越公司資安政策的權限配置。

總括而論，企業只要借助趨勢科技CloudOne平台，活用WorkloadSecurity、Conformity與ContainerSecurity等工具，便能有效滿足雲端原生資安4C架構的各個層次資安控管需求，進而降低風險、安全上雲。

更詳細說明請參考LetsTalkOnlineEP4雲端資安風險與CloudNativeSecurity4C模型的概念與實作 分享文章或觀看評論 評論 廣編企劃 由關鍵評論網媒體集團《業務團隊》製作，由各品牌單位贊助。

業務與行銷相關合作，歡迎與我們聯繫。