我們現在就已經到時間了 我們也不等了然後我先跟大家打個招呼 就說這就是我然後我會跟大家分享一下今天的這個關於基礎設施區塊鏈基礎設施 我把設施關掉因為這兩天北京這邊的寬帶不是很穩定行 那麼我們現在就正式開始了那麼這個呢 大家如果速度不夠的話可以去下載那個PDF面接它在我們的聊天記錄你有然後我在這個過程中會去說我們在哪一個頁面 這樣大家可以跟上因為我擔心每個人的這個電腦這個網絡的速度不一樣那這個首先我會從幾個方面來介紹第一個是說為什麼有這個議題這個想法然後會去看它怎麼會怎麼樣來落地這樣一件事情以及一個技術人員加入我們的銀行業的安全的審計團隊 起到的什麼作用承擔什麼角色 會在這個過程中進行討論在整個講演的最後 我也會去總結一下因為有一個新的一個安全規範這個安全規範的一個分析當然這也要感謝我們開源工作組其他的一些小夥伴們一些貢獻因為我一些資料也是在於他們做了一些評審對人民銀行的安全規範的一些評審在他們的基礎上做了一些總結跟提煉這個是第三章 現在是第三頁就是說日益增加的安全性挑戰然後這個其實現在因為我們的大多數的區塊鏈基礎設施我們都是基於容器平台的就不管你怎麼去運行可能90%甚至於99%都是跑在容器的一個環境裡面那麼其實很大程度上容器的安全性就決定了我們區塊鏈的這個infra這個基礎設施的一個安全性這邊一個呢 這個是一個現狀這個其實是Gantana的一個數據這個數據我也是從網上拿下來的意思就是說現在完全不用容器的這種組織已經很少了但是我今年20年吧 2019年吧20年20年20年半年以前吧我參加一個審計團隊在一個國內排名大概前三吧排名前三的一個農商行他們其實並沒有很多的這種容器在運行可能後面有遷跡計劃我後面會講到怎麼去做審計這一塊這是介紹個現狀 大家可以自己看然後這邊這個就是簡單的回顧一下這三個點怎麼樣一個安全現狀然後導致的這個問題基本上標配是KBS了當然如果跟IBM及其相關的一些公司合作那麼一般會用到OpenShift紅帽的一些東西那之前我的項目也確實用到了紅帽的東西你可以把它作為KBS的一種安全升級的一種東西其實用KBS就完全足夠了這個是講一個Fabric的這個安全的一個策略這塊的話有點長這塊因為我是從這個層一個是從它到底是什麼樣一個分層然後怎麼樣放到一個安全周期裡面來講所以其實有兩條第一個是說這塊希望能看到這塊它有一個這個抽象層這樣一個東西這樣一個層然後講的是怎麼樣放到我的這個周期那基本上我們後面在實際落地的時候也基本上是按照這個去走的就是說這個按照這個去走的下面是我看一下有沒有問題可以一切都很正常好的現在是第八頁現在是第八頁然後第九頁第九頁其實還是剛才講的這個內容就是說是這個怎麼樣一個去劃分然後怎麼樣去走然後這個第十頁這一頁就是我在我做的過程中我們一個簡單的分層其實這個跟網上大多數的分層模式是一樣的就是說首先說它這個首先得有進向然後有一個你不管是公有的或者做黑白名單黑名單 白名單我這個registry我這個下載進向的registry這個我會去做然後是一個像這種像一般系統主要是開8S了因為我們是開元色區嘛所以這邊我們重點都用開8S然後是運行時像這個運行時慢有多種選擇一般是標配是Docker然後就是主機主機你可以是一個虛機也可以是一個基於雲的一個一個節點這個都是可以的或者甚至於是一台真正的物理機這些都可以然後現在是第十頁第十頁這個是說通常一些規則這個規則這個規則比如說掃描啦 時效性啦把它集成到掃描的這個過程集成到CRCD啦後面這幾頁應該都是說一些關於容器平台的一些安全規則我把這些都列在這邊但是可能會很快的過了因為我們主要講的是怎麼樣去把它引到區塊鏈裡面嘛所以這下面幾頁會很快12頁 這個是12頁其實一樣講的也是怎麼樣去有一個安全的一個鏡像環境工有私有 白名單你不可能自己去拽一個這種容器拽來的它可能有安全隱患然後這邊是意思是說開八S 那麼開八S呢開八S這邊後面還會提到這一塊其實東西挺多的這開八S這一塊因為普通的容器平台大家可能做微服啦做容器啦 也會碰到開八S這邊有很多配置選項你包括網絡攻擊特權帳號的使用跟限制然後這邊它默認的這個其實是最不安全的嘛你可能我會根據這種後面我會舉例了但是有一些信息比較敏感嘛做了拖鳴這塊怎麼去劃分它的POD節點POD到POD的這個通信怎麼樣去流量了一些控制或者說是一種訪問限制這些比較重要然後這邊 這邊一樣這邊還是密要 然後就是密要密要你可能選商用的系統加密處理 有各個的商業方案這些都是通用的那麼我們在區塊鏈裡面也會附用這些方案然後像那個TLS加密啦更新補丁啦 這些都比較常見那這邊 這邊是運行石運行石其實運行石呢它比較難保護這塊這塊反正做容器的大家心裡都明白就包括這邊提的個概念叫做不變性的概念這個這個概念不變性的這個概念怎麼樣配置 怎麼樣管理包括一個容器機容器運行石的安全機線這塊 然後這個是主機這塊其實是在我們有一個09版的最早是好像04版但我們當時09版有一個商業銀行信息系統的一個規範在審計的時候其實經常會用到的那麼它這邊用到的呢它這邊用到的這個東西呢會比較多就是說安全機線 安全家庫很多時候當時09年因為主要是服務階段嘛很多都是按照這個其實唯一的一份一直到人民銀行的這種分布是文件 安全規範分布是系統安全規範出來以後我們才切換到商業區的之前的話我們做這種審計其實唯一的就是這種老的很多都是基於主機的可能做過的小夥伴們有點心裡會有點可能就知道我在說什麼了那這次其實我後面也會提到然後這塊呢這塊是這個這個一個維度其實這個是說生命周期維度了就是說我們通過這幾個階段怎麼樣把剛才講的這些這幾個要點把它放到我們整個的一個安全鏡像裡面可能這塊呢更多的呢是銀行的技術團隊要關心的首先要分清楚它怎麼樣一個東西然後根據區塊鏈的方案我們去分再把它按照這幾個階段分進去然後這個其實一樣講的是剛才那些東西怎麼樣往裡面放有些是考過來的像Deploy階段這一塊然後這塊這塊是接著上面這個生命周期的維度就是說還有兩條一個是運行時階段運行時期是監控主要是為了發發現異常慢這邊一個狀態交易的證據可以證據的指標我們其實可以根據自己的需要設其實每家銀行或者說它的各種系統也不光是區塊鏈系統的在我們實踐的過程中你比如說它要跟交易系統來結合那麼它有一個交易完成率它們比較看中的一個東西其實各家銀行有各家銀行的一個應該說有一個度量尺度吧也是要上會的就是說你可能跟它們說訪談的時候它們這個組織會聊它們是怎麼去選的有的也是就是選常規的CPU、CPU、類存異常的網絡流落這些下面就全周期就是說你首先你的底層的咱們底層的這個服務器還有K8、K8S這些東西整個生命周期要不斷地維護該升級、升級該淘汰機器、淘汰機器該換換這樣一個做法這邊這個還是一樣這邊這個是說Build的階段Build的階段就是分把剛才我們講的這幾點分階段我們詳細的講一下大家有時間其實可以細看這邊其實還是說這些東西只是細分一個是Build的階段一個是這個Deploy階段Deploy階段這些要注意的幾個問題這你可能我就提到了這幾個工具你看第二條的這個我挑重點的講因為今天時間有限總共30分鐘我準備了有35頁PVT還包含QI時間所以這幾頁我都在跳這個像用這種HashCop這個Wat這個工具去管你的藥或者是硬件加密模塊、持久化那每一個銀行其實不一樣但是比較推薦的就是用這個就我接觸到的用HashCop的有一些其實我們另外一個項目像Farbrick的Automation裡面艾甄哲這邊他也用了這個東西然後格尼這個怎麼樣做這個Lamb Space用Lamb Space對每個組織進行格尼如果都放在一起的話然後包括這個最後一條這個Network Policy比較重要那可能因為它比較複雜嘛你怎麼去設你是入的流量還是說出的流量還是說誰可以訪問誰哪一個類型的Pod是比如說是我的這個Other階點的PodOther類型的Pod還是說我這個我這個就是說就是這個這個規則會不太一樣這個反正後面有機會可以細說今天肯定是沒辦法展開了然後這邊這個就是軟碳反正你運行時慢運行時就是這些老生常談的這些東西你可能自己如果跟網絡安全時間告緊結合發發郵件去關注一些東西然後這個快速處空間但一般這個嘛用微團隊會比較關注他們只要收了指標那麼就算它OK了那這樣一個觀點那可能這塊技術上細節可能要跟他們去商量然後這邊這個這邊這個講到類省的這邊這個內部省區就是說其實我也是其實我本職工作是技術員是程序員然後寫代碼幹這些事情那有時候也出出一些圖給大家做做培訓那是我的一些我並不是專業的審計人員出身我也是一個戒掉的性質然後這裡還會簡單的介紹一下商業銀行的一些這個規範這些東西你比如說什麼叫三道防線可能技術的小夥伴會陌生一點但這邊這個是我剛才講的就主要是從技術專家的身份來討論審計以及我們作為區塊鏈的一個技術人員如何跟如何跟這個審計團隊配合作為戒掉過去我怎麼去尤其是作為第三方吧因為我本身也不是銀行的這個人員嗎怎麼跟這些銀行的各個部門的一些一些頭頭腦腦的很多是他們是負責人跟我們怎麼樣去做這件事情然後敏感信息已經脫明了然後這邊這個這個其實在銀行業的到銀行工作他們會考你考大家這個三道防線一開始就是銀行的這個基礎題目裡面都有然後簽合同的時候我們當時跟這個有一個這個銀行簽合同的時候他們會明確那我們可能是負責二道防線或者三道防線的這個工作來一道防線的那麼他們會安排對口的這個部門是風險管理部還是法律合規部還是他們的你像有些銀行像大銀行他有一個叫內部審計局或者就叫審計局局長的局嘛審計局這樣一個部門那麼我們跟誰對接簽合同的時候都有的這樣一個東西所以就知道該怎麼說話該給他們什麼信息你給多了人家看不懂然後有的時候得明白別人的關注點這是一個這點這個可以多講一點這個稍微多講一點就是說我個人一些感受吧你像這個內省範圍大的很內省範圍你審計其實包括很多東西是技術審計他其實審計這個範圍你去查這個資料他會說我是做IT審計還是說財務審計還是說一個很大的一個範圍外部跟內部像商業銀行如果他是上市公司你去查那個股票的代碼他們裡面經常會有一個股票公告說我經過4大4大快速的某一家我做過審計了他會有這個公告的那其實我們的局限就在於IT審計而且我作為區塊鏈的人員我們是說IT技術專家在區塊鏈系統銀行的區塊鏈系統的一個審計然後還要把這個內容放到它的一道防線、二道防線裡面再跟三道防線的內部審計人員去溝通這樣一個過程就是說肯定會帶技術性質沒有像我們這樣技術專家審計團隊無法工作但是我們又不能過於技術我們更多的是提出一些一些審計的點然後跟他們去溝通一些樣歷還有給他們上課這樣一個而且要注意從審計的角度考慮問題這邊這個常見的一個流程就是說等於是我給自己補課吧我當時借調到審計團隊那麼我給自己補課了就是就知道我們處於哪個階段什麼時間點我要跟哪些人合作這樣一個可能有一個其實每年都會做這個事情還有我要結束之後我要提供哪些文檔它這裡有一個這個概念叫做對相庫它也不是說瞎做都是有淘補的這些都是做了很多年都是老法師了這些審計人員都有淘補的所以他們知道該做什麼那麼我們會去更新這種東西那每個專家比如說它是手機銀行的專家那之前我其實也做過手機銀行方面的了手機銀行的專家或者是存儲的專家那你要去幫助更新的這樣一個東西當這些都屬於他們銀行的內部資產也要簽合同的也不是隨隨便便就就拿出來給大家分享的然後這邊這個然後這個這一塊這一塊因為我們自從有了這個審計辦法以後就這麼寫的這個金融式分布帳本安全規範以後我們就有了有法可依了大家就很舒服這個東西其實我分析了很多次兩三萬字把全文算下來用我二的分的話我也看過這方面的基本上不講那個吧大框架至少要自己腦子內有一概念然後這邊這個是現在是第二十七頁第二十七頁了這邊這個是做了文本分析我把它丟到我們那個磁瓶有一個磁瓶分析軟件裡面這個時候其實這個東西跟客戶去溝通的時候還是滿有用的就是說作為技術人員跟審計人員溝通的時候其實滿有用的一個東西做磁瓶分析然後這個你可以看到它這個安全規範裡面對節點當節點節點提的次數特別多然後是身份然後是帳本然後是合約那麼其實這些都是高頻詞包括憑證因為憑證我們講的在我們區塊鏈架構裡面到處第三個憑證到處第二個是共詞這樣一個其實在區塊鏈架構裡面這個非常重要它也規範其實也寫得比較好基本上你看合約明顯它的磁瓶會高於其他的一些磁瓶後面其實還有這個往下然後50以下的這個90多吧這個有點重複這個我當時做表哥可能沒注意有點問題這裡有點重複有點重複這個是安全安全方面的一些東西其實一樣這樣子還是一樣然後再往下就是從這裡開始從這裡開始就是利要從50左右開始就是利要存儲跟標識這樣一個東西其實這個也是很重要的一些信息後面我們就會把這些信息把它放到一些審計的對象庫裡面你至少得包括這些那麼規範它關注什麼點那麼我們審計其實也是做什麼點然後這邊一樣這邊就是繼續往下了這些你看這個是授權權限 隱私 驗證 完整性 注銷這些東西都是很後面是放不下了你看這個篡改這個字更小一點有些放不下了我就把常見的列出來了它其實但是它的問題是這種提個一次兩次的或者是七八次的這種也不是它不重要只是說它在整個系統裡面有可能還是一票否決的你比如說篡改它都能篡改了這個系統肯定就達不到安全規範這個只是一個一個是頻率 一個是中央性其實後面還可以再細分這些都會我講這麼多是因為這些其實最終會落到審計點裡然後這邊這個這邊這個規範其實大家也可以過那個過起來有點慢的可能自己花時間要看這邊這個是一個關注點關注點是說這邊不符合要求的這些是感謝社區小夥伴們的一些貢獻因為我這個其實因為我沒參與這個審去評審這個Fabric規範跟人民銀行的這個安全規範之間的一些差異它的一些類似於GAAP這樣的東西就是差異這樣的東西那麼感謝社區小夥伴的一些貢獻能列出來的點大家可以看到它不滿足完全是國力就是說如果是審計的話那你一定要做國力改造它就很大一個工作量了否則的話就可能跟我們這個安全規範有一定的有一定距離然後這邊這個就更明顯了這個架構設計不同是這條是倒數第三條有一個終局性但終局性這個東西它講的也不是那麼細其實可以後面有待討論因為提問時間快到了我後面會很快會過主要的容器本上也結束了會留五分鐘給大家提問一點這個這個是這個粒子大家就是說下載了PDF可以自己去看其實這些粒子也是一個常見的一個就是我合不合規我怎麼樣做評估項就是這樣的一個樣歷這也是網上其實你也可以找得到的這個也沒什麼秘密可言不是一個敏感信息但這邊這個也是一樣這邊一個是安全配置信息那麼作為技術專家有的時候我會去跟一道防線的技術部門合作我會去看他們的代碼看他們的安全的配置那可能這種事情不會常做你會根據審計對象去挑頂但這樣就是作為技術專家我在裡面的一個一票否決的一個貢獻就是說那麼我認為他達到這個安全配置規範我檢查可能20個點我出去3到5個點看一下他的這個文件你可能到機房去看那麼也是一樣的一個做法然後這邊是我的一個簡介就包括一個這個我的這個微信的這個二維碼歡迎大家掃碼也可以一起去交流溝通這樣一個那麼我們現在呢這是一個參考文件這樣一個東西技術規範怎麼樣一個時間然後這邊是QI環節我會把這個共享關掉就還是為了省一點這個貸款這兩天貸款不是很穩定Hi everyonenow it's QNAQNA呢希望大家可以看見我然後我們進入這個QI環節我現在講完了現在講完了現在這個這個這個這個這個講完了這個這個now it's QNA statenow it's QNA nowyou can you can justjust pin me in the QA sectionand I will replyok QA QNA now it's QAtheit's the national stateChinese Chinanational regulations or lawfor theblock chain infra in banking industrybut we will use the likewe will use the cryptocrypto of Chinese stylewhich is approved by the China governmentI will input herebipo block chainor banking industryhope you can see it下面還有兩分鐘時間就是說這個這個提問環節就是說有問題歡迎用中文也歡迎用英文來提問there's two minutes leftanyone any questionany questionif any questionjust pin mejust pin me in the QA sectionyes I use a lot of wordsfor in China onlylike for melike something like thatand also listenlisten listen means internal auditinternal auditok thank youthank you micthank you mic