Благодарим за обратната връзка.

Основ Webex Meetings ни услуги и компоненти

• Webex Meetingsе част отWebex Suite, предоставяйки аудио/видео конференции с възможности за споделяне на съдържание и уеб конференции.
• Платформата включва множество микроуслуги като услуга за срещи, услуга за уебинар, услуга за самоличност, услуга за запис, AI Assistant услуга, услуга за анализ, административна услуга и медийна услуга.
• Webex Meetingsподдържа регистрирани в облака приложения и устройства, което позволява на потребителите да се присъединяват към срещи от различни платформи и устройства на операционната система. Потребителите могат също да се присъединят към срещи чрез PSTN и с SIP крайни точки.

Архитектура и внедряване

• Webex Meetingsуслугите се регионализират и възпроизвеждат в множество независими центрове за данни, за да се осигури излишък и висока наличност.
• Медийните услуги се разпространяват глобално с клъстери на медийни сървъри във всеки център за данни, осигурявайки локално и географско излишаване.
• Медийните сървъри обработват гласово, видео и споделяне на съдържание, като медиите обикновено се криптират с помощта на AES-256-GCM.
• Архитектурата поддържа криптирана сигнализация през TLS/HTTPS и криптирани медийни потоци.

Webex поддържа присъединяване към срещи от множество платформи и устройства, включително:

• Webex настолно приложение за Windows, Mac и Linux.
• Мобилно приложение Webex за Android и iOS.
• Webex уеб приложение, използващо Chrome, Edge, Safari, Firefox и други браузъри.
• Устройства за стаи и настолни устройства на Cisco.
• Крайни точки на аудио и видео базирани на SIP стандарти на трети страни.
• PSTN устройства.

Суверенитет на клиентите на Webex

В отговор на нарастващото търсене на пребиваване на данни, Webex въведе подобрени възможности за суверенитет. Започвайки със записа и с поддръжката за още услуги, които предстоят, организациите вече могат да поддържат контрол върху съдържанието на срещите си с:

• Локализирана обработка — Обработка на съдържание на срещи, като например записи, в рамките на собствената им инфраструктура.
• Локално съхранение — Използ ване на собствени услуги за съхранение на файлове за съхраняване на чувствителни активи за срещи, гарантирайки, че данните остават в определени географски или организационни граници.

Ултра сигурен Webex Meetings

В исторически план функциите „Ultra Secure“, като Zero Trust End-to-End Encryption (E2EE), често изискват компромис във функционалността на събранията, тъй като облачните услуги с добавена стойност изискват достъп до ключове за криптиране и само ограничен брой типове крайни точки могат да се присъединят към тези срещи. Webex елиминира този компромис с:

• Зулево доверие, богато на функции — Webex трансформира срещи със Zero Trust End-to-End Encrypted (E2EE), добавяйки функционалност, която прави събранията Zero Trust богати на функции. Поддръжката за по-голям брой типове крайни точки осигурява безпроблемно изживяване, без да се жертват инструментите, необходими за съвременното сътрудничество.
• Нулево доверие за стандартни срещи — Webex интегрира възможностите за Zero Trust E2EE директно в стандартните срещи. Това гарантира, че дори ежедневното сътрудничество може да се възползва от най-високите нива на сигурност, осигурявайки постоянна защита в цялата екосистема на Webex.

Единен подход към сътрудничеството

Чрез интегрирането на суверенитета на клиентите с тези усъвършенствани възможности за Zero Trust E2EE, Webex дава възможност на организациите да постигнат двойна цел: хостване на високо сигурни срещи с Zero Trust в облака Webex, като същевременно поддържа пълен контрол върху обработката и съхранението на критично съдържание за срещи на място. Тази синергия осигурява гъвкавостта и сигурността, необходими за модерните корпоративни среди, ориентирани към съответствие.

Разширяване на границата на сигурността с Video Mesh Node

Добавянето на възел за видео мрежа към организация позволява на клиентите да предоставят локални услуги за събрания и позволява на техните локални крайни точки да се присъединят към всяка среща на Webex. От гледна точка на сигурността интегрирането на Video Mesh Node поддържа Zero Trust в облака Webex, като същевременно предлага почти паритет на функциите със стандартните срещи на Webex. Клиентите също се възползват от суверенитета на данните, тъй като услуги като записи на срещи на Video Mesh Node се обработват и съхраняват локално.

Използването на криптиране от край до край на Zero Trust може да добави няколко допълнителни секунди към присъединяването към събрание, но осигурява ясна гаранция за сигурността — само участниците в събранието имат достъп до ключовете за криптиране на събранието, така че съдържанието на събранието не може да бъде декриптирано от доставчика на услуги или други посредници.

Резюме: Webex Meetings и модели на хибридно внедряване

Както е показано в сравнението по-горе, разгръщането на Video Mesh Node (VMN) позволява на Zero Trust Webex Meetings да постигне почти паритет на функциите със стандартните срещи на Webex. Докато срещите на Zero Trust не поддържат участниците в PSTN, уеб базираното приложение Webex служи като широко достъпна алтернатива за криптиран достъп от край до край. Освен това VMN позволява на служителите, базирани в офиса, използващи настолни телефони, безпроблемно да се присъединят към срещи Zero Trust.

Video Mesh Node също така осигурява суверенитет на данните за критично съдържание на срещи, включително записи и - в близко бъдеще - преписи, резюмета и елементи от действия. Чрез обработката и съхраняването на тези данни на място, VMN предоставя на клиентите пълен контрол върху тяхната информация, като същевременно поддържа архитектура Zero Trust в облака Webex.

Криптирана сигнализация на Webex

Услугите на Webex поддържат TLS версии 1.2 и 1.3, като TLS 1.3 се предпочита, когато се поддържа от свързващата крайна точка. Ако клиентът поддържа само TLS 1.2, сървърът Webex избира най-силния общ пакет за шифри, предлаган от клиента. За разлика от TLS 1.2, TLS 1.3 не използва избор на пакет шифри с предпочитания от сървъра, тъй като разчита на по-малък, куриран набор от съвременни шифри. Този дизайн опростява процеса на подбор, като се фокусира повече върху подобрения в производителността, като намаляване на общата дължина на ръкостискането, като същевременно поддържа силна сигурност. Шифровите пакети за TLS 1.2 и 1.3, използвани от Webex, са добре дефинирани и приоритетни, за да осигурят сигурна комуникация.

TLS Шифър Сюити

TLS 1.3 шифрови пакети (сървърите TLS 1.3 не използват ред за предпочитания за избор на пакет)

TLS 1.2 шифрови пакети (пакети в предпочитан от сървъра ред)

Шифри за криптиране AES_256_CBC и AES_128_CBC се поддържат за поддържане на съвместимост със застарени системи, по-стари браузъри и вградени устройства, които не поддържат съвременни AEAD (Authenticated Encryption with Associated Data) шифри като AES-GCM напр. Internet Explorer11 на Windows 7 и Windows 8.1, Safari 6/7/8 в ранните версии на iOS и macOS използват шифри, базирани на CBC.

CHACHA20_POLY1305 е поточен шифър, който има ниска зависимост от хардуера, което го прави превъзходен шифър за използване на мобилни устройства или устройства с процесори с ниска мощност.

Стандарти за криптиране на медии за Webex

Срещите и обажданията на Webex използват стабилно AES-базирано криптиране за всички медийни пакети. Специфичният набор от шифри зависи от типа на крайната точка, като AES-256-GCM служи като предпочитан стандарт за оптимална сигурност.

Основни съображения за сигурността

• Предпочитан стандарт — AES-256-GCM е препоръчителният шифър за всички внедрявания, за да се гарантира най-високо ниво на цялост и поверителност на данните.
• Оперативна съвместимост — Докато Webex поддържа поддръжка за наследени шифри (като AES-CM-128-HMAC-SHA1), за да осигури оперативна съвместимост с SIP и H.323 системи на трети страни, организациите, които дават приоритет на архитектурата с нулево доверие, трябва да налагат AES-256-GCM там, където съвместимостта на устройствата позволява.

Протоколи за транспорт на медии

Webex поддържа медиен транспорт чрез UDP, TCP или TLS. За оптимална производителност на гласа и видеото Cisco силно препоръчва UDP.

Съображения за ефективността:

• Ефективност в реално време — UDP е предпочитаният транспорт за медиите в реално време, тъй като минимизира латентността и трептенето, като избягва механизмите за препредаване и буфериране, присъщи на протоколите, ориентирани към връзката.
• Въздействие на TCP/TLS — Докато TCP и TLS осигуряват надеждна, подредена доставка на данни, това поведение е контрапродуктивно за медиите в реално време. Получените репредавания на пакети и буферирането на потока въвеждат латентност и треперене, което може значително да влоши качеството на преживяването на участниците

Webex използване на SRTP и SFrame за медии

За да се поддържат стандартите за висока сигурност, необходими за средите WebExZero Trust, е важно да се прави разлика между сигурността на ниво транспорт (SRTP) и криптиране от край до край на приложния слой (SFrame).

Основни технически различия - SRTP и SFrame

1. SRTP (защитен транспортен протокол в реално време)

   SRTP е индустриалният стандарт за осигуряване на медийни потоци в транзит.

   • Обхват — Осигурява поверителност, удостоверяване на съобщенията и защита за повторение за полезния товар RTP.
   • Оперативен контекст — В много архитектури Media Server/ Media Gateway (Selective Forwarding Unit (SFU)) прекратява SRTP връзката, за да извърши обработка на медиите (например смесване, композиране на оформление или транскодиране). Тъй като SFU дешифрира медиите, за да ги обработва, медиите са технически уязвими в точката на SFU.
2. SFrame (защитена рамка)

   sFrame е стандарт на IETF. RFC 9605 е проектиран специално за улесняване на истинското криптиране от край до край в многопартийна конферентна среда.

   • Обх ват — Криптира пакетизирани медийни рамки, преди да бъдат капсулирани в RTP пакети. Webex добавя допълнителен слой криптиране с помощта на SRTP.
   • Архитек@@ тура с нулево довери е — Тъй като носителят е криптиран в приложния слой, SFU действа само като „сляпо“ реле. Той насочва криптираните пакети към други участници, без никога да има достъп до ключовете за декриптиране.
   • Независимост —sFrame е транспортно-агностична. Той остава сигурен дори ако основният транспорт (UDP/TCP/TLS) е компрометиран, тъй като контекстът на сигурността е обвързан с крайните точки на участниците, а не с транспортната връзка.

sFrame е критичният механизъм, който позволява E2EE. Докато SRTP гарантира, че данните са криптирани по време на преминаване през мрежата, SFrame гарантира, че носителят остава криптиран през целия жизнен цикъл на срещата, включително докато се намира в инфраструктурата на Cisco (SFU), ефективно премахвайки доставчика на услуги от границата на доверие.

Webex MeetingsСъдържание

Съдържанието на срещата се състои от данни, създадени от участниците или генерирани от услугите на Webex от името на домакина на срещата. Това включва:

• Съдържание, свързано с медиите — Записи, преписи, резюмета и елементи за действие.
• Данни за сътрудничество — съобщения за чат, споделени/прехвърлени файлове, бели дъски и пояснения.

Webex MeetingsСигурност на съдържанието — Webex криптиране от край до край

Webex осигурява съдържание за срещи, генерирано от участниците, използвайки стабилна рамка за криптиране от край до край (E2EE). Централно за тази архитектура е услугата Webex Key Management Service (KMS), която отговаря за генерирането, разпространението и управлението на ключовете за криптиране за цялото генерирано от потребителите съдържание.

Слоеве за сигурност на съдържанието на срещи

• Данни в тран зит — Webex App и видео устройствата Cisco използват Webex криптиране от край до край (E2EE) с AES-256-GCM за криптиране на генерирано от потребителя съдържание на срещи, като например файлове за запис, обобщени файлове с AI, съобщения за чат и др. Това допълнително е капсулирано в рамките на Transport Layer Security (TLS), за да осигури двуслойна защита по време на предаване.
• Данни в покой — След като се съхранява в облака Webex, криптираното съдържание е допълнително защитено от AES-256-GCM дисково криптиране.
• Профил на защита — Този подход предпазва съдържанието от прихващане на TLS по време на транзит и гарантира, че съхранените данни остават недостъпни за неоторизирани участници в облачната среда.

Webex криптиране от край до край с управляван достъп до съдържание за основни услуги

За разлика от криптирането от край до край на Zero Trust, където Webex няма достъп до ключове за криптиране на медии или съдържание, криптирането от край до край на Webex позволява на платформата да използва генерираните от Webex KMS ключове за дешифриране на данни за основни основни услуги. Този управляван достъп позволява:

• Търсене и индексиране — Позволява на потребителите да търсят в историята на съдържанието.
• Съответствие и управление — позволява предотвратяване на загуба на данни (DLP), електронно откриване и архивиране на данни.
• Оптимизация на меди ите — Поддържа прекодиране на файлове за съвместимост между устройства.
• Сигурност — Улеснява сканирането на зловреден софтуер с помощта на разширения пакет

Webex MeetingsМетаданни

Метаданните за срещи се състоят от административната и техническата информация, генерирана от системата за улесняване, проследяване и управление на среща, а не от действителното съдържание (аудио, видео или споделени файлове) на самата среща. Метаданните могат да бъдат разделени на няколко категории:

• Информация за сес ията — Заглавие на събранието, идентификатор на събранието, планирани часове за начало и край и действителната продължителност на събранието.
• Данни за участ ниците — списък на поканените и действителните присъстващи, техните IP адреси, типове устройства (като Windows, iPhone, Cisco Room Kit) и времевите марки за присъединение/оставяне.
• Показания за използване и качество — Данни, използвани за отстраняване на неизправности, като загуба на пакети, треперене, латентност и разделителна способност на видео потока.

Как се използват метаданните

1. Анализ и отчит ане — Администраторите използват метаданни в WebExControl Hub, за да видят колко срещи се провеждат, кои отдели са най-активни и цялостното качество на преживяването.
2. Отстраняване на неизправности — Cisco TAC (Център за техническа помощ) използва метаданни за идентифициране и разрешаване на проблеми със събранията.
3. Съответствие и електронно откриване — Служителите по съответствието могат да търсят метаданни, за да докажат, че е провед ена среща, кой е бил там и дали е записана, дори ако не могат да видят криптираното съдържание на срещата.
4. Сигурност — метаданните помагат за идентифициране на опити за неоторизиран достъп или необичайни модели, които могат да показват заплаха за сигурността.

Сигурност и поверителност на метаданните

• Шифр оване — Въпреки че метаданните не са „криптирани от край до край“, те все още се криптират в транзит (с помощта на TLS) и в покой в защитените центрове за данни на Cisco.
• Контрол на достъ па — Политиките за поверителност на Cisco строго ограничават кой има достъп до тези метаданни и те се използват за предоставяне и подобряване на услугата.

За повече информация относно съдържанието и метаданните на срещата на Webex вижте Оповестяване на оф Webex Meetingsерт ата.

Присвояване на типове сесии на събрания на потребителите

Администраторите на Webex Control Hub могат да зададат един или повече типове събрания, които техните потребители могат да използват за планирани срещи. По подразбиране на всички потребители се присвояват типовете срещи Pro Meeting и Pro-End to End Encryption_VOIPOnly.

Планиране на среща — изберете типа на събранието

Потребителите могат да избират типа събрание, който искат да използват при планиране на среща от Webex App, Webex User Page и Webex Email Add-in. Microsoft Outlook

Планиране на среща — изберете типа на събранието в приложението Webex

Планиране на среща — изберете типа на събранието от потребителската страница на Webex

Задаване на тип събрание по подразбиране

Потребителите могат да зададат типа на събранието си по подразбиране от Събра ния > Настройки на своята потребителска страница на Webex.

Задайте типа на събранието по подразбиране от страницата на потребителя на Webex

Нулевото доверие от край до край идентичност и предотвратяване на дълбоките фалшиви

Сертификатите за самоличност, предоставени от клиента, са крайъгълен камък за предотвратяване на представяне на представяне в Webex от край до край криптирани срещи (E2EE). За разлика от традиционните механизми за блокиране на дълбоки фалшификати, които разчитат на анализ на аудио и видео потоци, този подход осигурява валидиране на криптографската идентичност в точката на приемане. Този проверен статус се показва директно в списъка на събранието, осигурявайки прозрачност за всички участници.

Webex разшири поддръжката си за управлявани от клиенти сертификати - достъпни преди това на устройствата RooMOS - до Webex App като част от нашата функция „Deepfake превенция“. Организациите могат да предоставят и управляват свои собствени цифрови сертификати, издадени от надеждни външни сертификационни органи (CA), използвайки стандартни за индустрията протоколи като ACME. Тези сертификати, базирани на стандартите X.509 и двойките ключове ECDSA P-256, предоставят криптографско доказателство за самоличността на участниците по време на срещи на E2EE.

Проверена самоличност от край до край и MLS протоколът

Протоколът за сигурност на слоя съобщения (MLS) използва стандартни сертификати X.509 за удостоверяване на участниците в събранието. Сертификатът е цифрово подписано изявление от доверен сертификат, който проверява самоличността на притежателя на подписващия ключ. Участниците получават тези сертификати чрез два основни метода:

• Управлявани устройства (предоставени от клиента сертификати) — За настолни и мобилни клиенти, управлявани от организацията, на устройството може да бъде инсталиран сертификат за самоличност от доверен сертификат за регистрация. Когато потребител влезе с помощта на еднократно влизане (SSO), Webex App извлича този сертификат от магазина за доверие на операционната система, за да представи проверената самоличност на потребителя. Този процес се поддържа и за видеоустройства Cisco, регистрирани в облака на Webex.
• По подразбиране (предоставени от Webex сертификати) — Ако не е наличен сертификат, предоставен от клиента, клиентът или устройството на Webex автоматично използва сертификат, издаден от Webe Certificate Authority x, който отразява идентичност, потвърдена от Cisco.

Механизъм за споделяне на идентичност и резервен механизъм

По време на среща всеки участник споделя удостоверението си за самоличност Webex и, ако е налично, предоставеното от клиента удостоверение за самоличност с всички останали участници. За да се осигури безпроблемна свързаност, крайната точка на Webex следва строга йерархия: дава приоритет на предоставения от клиента сертификат за проверка; ако този сертификат липсва или не провали валидирането, системата автоматично се връща към предоставения от Webex сертификат за самоличност.

Показване на състоянието на потвърждение на идентичността

Когато участниците се присъединят към събрание, използвайки Webex App или RooMOS устройства с предоставени от клиента сертификати, тяхната самоличност се проверява от други членове на събранието срещу издаващия сертификат. Това гарантира, че се разпознават само оторизирани потребители, предотвратявайки нападателите да се представят за легитимни участници, тъй като тези сертификати са уникално свързани с проверени самоличности и не могат да бъдат фалшифицирани от Cisco или посредници.

Списъкът с участници в E2E криптирана среща показва състоянието на проверка на самоличността на всеки потребител:

• Проверено с нулево доверие E2E ( domain.com) — Когато се използва сертификат за самоличност, предоставен от клиента, домейнът на участника се показва в син текст. Това показва истинска идентичност, проверена от E2E, която Cisco не може да манипулира. Например в списъка на събранията може да видите, че „Kevin“ има проверен имейл адрес от example.com в синьо.
• Уебекс-проверен ( domain.com) — Сертификатите, издадени от Webex CA, осигуряват по-ограничено ниво на защита. Въпреки че превъзхождат липсата на защита на самоличността, тези участници не са маркирани като „Zero Trust E2E Verified“. Вместо това състоянието на самоличността им се показва в сив текст, което показва, че самоличността е проверена от Webex CA.
• Непроверен потребител гост ( Непроверено) — Въпреки че самоличността на гост-участниците не е удостоверявана (тъй като няма процес на влизане), те все още изискват сертификат, за да се присъединят към групата MLS за разговор или среща. Този сертификат е издаден от CA на Webex и използва „анонимно“ като потребителско име.

Освен това код за сигурност на срещата, получен от криптографското състояние на всички участници, помага за откриване на атаки на човек в средата, като позволява на участниците да проверят дали всички споделят един и същ защитен контекст на срещата. Чрез комбиниране на проверка на криптографската самоличност с криптиране от край до край, тази функция за „предотвратяване на Deepfake“ предлага стабилна защита срещу подражание и синтетични медийни заплахи, защитавайки целостта и поверителността на срещата както в Webex App, така и в устройствата RooMOS.

Управление на разпространението на сертификати

Организациите могат да опростят въвеждането и управлението на тези предоставени от клиенти сертификати за самоличност на крайния потребител, като ги инсталират в корпоративно управлявани устройства, използвайки приложения за управление на мобилни устройства (MDM), управление на мобилни приложения (MAM) или управление на корпоративна мобилност (EMM). Тези платформи за управление позволяват на ИТ администраторите централно да предоставят, конфигурират и контролират сертификати и свързаните с тях политики за сигурност на широк спектър от устройства, независимо дали са собственост на корпорации или лично. Например Microsoft Intune поддържа както MDM, така и MAM възможности, които позволяват на организациите да внедряват и управляват Webex App и неговите конфигурации за сигурност, включително сертификати за самоличност, на управлявани устройства. По същия начин Cisco Meraki Systems Manager предоставя MDM възможности за записване на устройства, избутване на конфигурационни профили и внедряване на сертификати, за да се гарантира надеждно състояние на устройството. Използването на тези решения за управление намалява административните разходи, опростява управлението на жизнения цикъл на сертификатите и подобрява позицията за сигурност при срещите на Webex E2EE с функции „Deepfake Prevention“.

Трите стълба на идентичността

Ефективното управление на идентичността и достъпа (IAM) за Webex разчита на:

• Осигуряване (CRUD) — Управление на жизнения цикъл на потребителите (създаване, четене, актуализиране, изтриване), за да се гарантира, че „Източникът на истината“ съответства на платформата за сътрудничество.
• Удостоверяване (AuthN) — Потвърждаване на идентичността на потребителя чрез защитени идентификационни данни или токени.
• Упълномощаване (AuthZ) — Определяне на подробни разрешения и нива на достъп до API след удостоверяване.

Осигуряване и управление на жизнения цикъл

Webex поддържа няколко метода за синхронизиране на потребители и групи:

• SCIM 2.0 - Пред почитаният облачен стандарт. Той автоматизира жизнения цикъл на потребителя, като гарантира, че офбордингът в IDP автоматично отменя достъпа до Webex.
• Directory Connector — инструмент на Cisco за хибридни среди, свързващ локални Active Directory (AD) към облака Webex.
• API базирано осигуряване — използва Webex „People API“ за програмно създаване на потребители и възлагане на лицензи в сложни среди.
• Наследен LDAP — Поддър жа се за локални директории (например CUCM), макар и по-малко оптимизиран за съвременния облачен трафик.

Рамки за удостоверяване и оторизация

• Удостоверяване (AuthN):

• SAML 2.0 - Кор поративен стандарт за еднократно влизане (SSO). Webex действа като доставчик на услуги (SP), потвърждавайки XML твърденията от корпоративния IDP.
• OIDC (OpenID Connect) - Модерен, лек слой за идентичност, изграден върху OAuth 2.0, използващ JSON уеб токени (JWT). Той поддържа „Discovery URL адреси“ за автоматизирана конфигурация.

• Упълномощаване (AuthZ):

• OAuth 2.0 — Управлява достъпа до API чрез краткотрайни токени за достъп (определяне на обхвата) и дълготрайни токени за опресняване. Той осигурява сигурност чрез PKCE (Proof Key for Code Exchange) за публични клиенти.

Интеграция и мулти-интернационални стратегии

Webex предоставя специализирани пътища за безпроблемна интеграция:

• Съветник за идентификационен номер на Entra — Препоръчителният път за среди на Microsoft. Той използва API на Microsoft Graph за разширено синхронизиране на атрибути (аватари, йерархии) и автоматизира конфигурацията на OIDC/SAML.
• Duo Security — добавя „непрекъсната сигурност на идентичността“ чрез проверка на стойката на устройството и активиране на устойчива на фишинг MFA.

Поддръжка на множество разселени лица: Webex позволява на организациите да обединяват множество независими разселени лица в рамките на един контролен център.

• Случаи на използване - сливания, придобивания или децентрализирани ИТ отдели.
• Маршрутизиране — Заявките за удостоверяване се насочват въз основа на домейни или потребителски групи.
• Обмисляне — Изисква строга координация, за да се поддържат последователни политики за сигурност във всички федеративни източници.

Пример за най-често срещаните интеграции на идентичността на IDP с Webex:

Най-добри практики и устойчивост

• Възстановяване на SSO — Винаги използвайте вградената връзка „SSO Recovery“ в Control Hub, за да заобиколите SSO чрез еднократна парола (OTP), ако конфигурацията на IDP не успее.
• Управление на сертификати - Наблюдаване на изтичането на SAML сертификата. Съветникът на SSO автоматизира обмена на метаданни, намалявайки ръчните грешки.
• Отстраняване на неизправности — Използвайте инструмента SAML Tracer, за да проверите XML твърденията и да потвърдите форматите на NameID, ако възникнат проблеми с удостоверяването.
• Позиция за сигурност — Редовно премахвайте остарелите типове безвъзмездни средства и се уверете, че PKCE се прилага за всички интеграции с публични клиенти.

Заключение — Идентичност за Webex Meetings

Здравата стратегия за идентичност е непрекъснат процес на жизнения цикъл. Чрез комбиниране на SCIM за осигуряване, OIDC/SAML за удостоверяване и OAuth за оторизация, организациите могат да осигурят сигурно, безтрично изживяване за потребителите, като същевременно поддържат строг административен контрол.

Жизнен цикъл на сигурната разработка на Cisco

В Cisco сигурността не е последваща мисъл. Това е дисциплиниран подход към изграждането и предоставянето на продукти и услуги от световна класа от самото начало. Всички екипи за разработване на продукти на Cisco ^® са длъжни да следват жизнения цикъл на Cisco Secure Development. Това е повтаряем и измерим процес, предназначен да повиши устойчивостта и надеждността на продуктите на Cisco. Комбинацията от инструменти, процеси и обучение за осведоменост, въведени във всички фази на жизнения цикъл на развитието, помага да се осигури задълбочена защита. Той също така осигурява цялостен подход към устойчивостта на продукта. Екипът за разработване на продукти на Webex страстно следва този жизнен цикъл във всеки аспект на разработването на продукти.

Прочетете повече за жизнения цикъл на сигурното развитие.

Основни инструменти за сигурност на Cisco

Организацията за сигурност и доверие на Cisco осигурява процеса и необходимите инструменти, които дават възможност на всеки разработчик да заеме последователна позиция, когато е изправен пред решение за сигурност.

Наличието на специализирани екипи за изграждане и предоставяне на такива инструменти премахва несигурността от процеса на разработване на продукта.

Някои примери за инструменти включват:

• Изисквания за базова линия за сигурност на продукта (PSB), на които продуктите трябва да отговарят
• Инструменти за изграждане на заплахи, използвани при моделиране на заплахи
• Насоки за кодиране
• Валидирани или сертифицирани библиотеки, които разработчиците могат да използват вместо да пишат собствен код за сигурност
• Инструменти за тестване на уязвимостта в сигурността (за статичен и динамичен анализ), използвани след разработката за тестване срещу дефекти в сигурността
• Софтуерно проследяване, което следи библиотеките на Cisco и трети страни и уведомява продуктовите екипи при идентифициране на уязвимост

Организационна структура, която внушава сигурност в процесите на Cisco

Cisco разполага със специализирани отдели, които да внушават и управляват процесите на сигурност в цялата компания. За да бъде постоянно в крак със заплахите и предизвикателствата за сигурността, Cisco разчита на:

• Облачен екип на Cisco за информационна сигурност (InfoSec)
• Екип за реагиране на инциденти по сигурността на продуктите на Cisco (PSIRT)
• Споделена отговорност за сигурността

Облак на Cisco InfoSec

Воден от главния директор по сигурността на облака, този екип е отговорен за предоставянето на безопасна среда на Webex на нашите клиенти. InfoSec постига това, като дефинира и прилага процесите и инструментите за сигурност за всички функции, свързани с доставката на Webex в ръцете на нашите клиенти.

Освен това Cisco InfoSec Cloud работи с други екипи в Cisco, за да реагира на всякакви заплахи за сигурността на услугата Webex.

Cisco InfoSec е отговорен и за непрекъснатото подобряване на позицията за сигурност на Webex.

Екип за реагиране на инциденти по сигурността на продуктите на Cisco (PSIRT)

Cisco PSIRT е специализиран глобален екип, който управлява притока, разследването и докладването на проблеми със сигурността, свързани с продуктите и услугите на Cisco. PSIRT използва различни медии за публикуване на информация, в зависимост от тежестта на проблема със сигурността. Видът на отчитане варира в зависимост от следните условия:

• Съществуват софтуерни корекции или заобикалящи решения за справяне с уязвимостта или се планира последващо публично разкриване на корекции на кодове, за да се преодолеят уязвимостите с висока тежест
• PSIRT наблюдава активно използване на уязвимост, която може да доведе до по-голям риск за клиентите на Cisco. PSIRT може да ускори публикуването на съобщение за сигурност, описващо уязвимостта в този случай, без пълна наличност на корекции.
• Обществената осведоменост относно уязвимостта, засягаща продуктите на Cisco, може да доведе до по-голям риск за клиентите на Cisco. Отново PSIRT може да предупреди клиентите, дори без пълна наличност на корекции.

Във всички случаи PSIRT разкрива минималното количество информация, от което крайните потребители ще се нуждаят, за да оценят въздействието на уязвимостта и да предприемат необходимите стъпки за опазване на околната среда. PSIRT използва скалата на Общата система за оценяване на уязвимостта (CVSS), за да класира тежестта на разкрит проблем. PSIRT не предоставя подробности за уязвимостта, които биха могли да позволят на някого да създаде експлоит.

За повече информация относно PSIRT вижте екипа за реагиране на инциденти по сигурността на продуктите на Cisco.

Отговорност за сигурността

Въпреки че всеки човек от групата Webex е отговорен за сигурността, основните правила са следните:

• Главен служител по сигурността, облак
• Вицепрезидент и генерален мениджър, приложения Cisco Cloud за сътрудничество
• Вицепрезидент, инженеринг, приложения Cisco Cloud за сътрудничество
• Вицепрезидент, управление на продукти, приложения Cisco Cloud за сътрудничество

Вътрешни и външни тестове за проникване

Групата Webex провежда редовно строги тестове за проникване, като използва вътрешни оценители. Освен собствените си строги вътрешни процедури, Cisco InfoSec ангажира множество независими трети страни за извършване на строги одити срещу вътрешните политики, процедури и приложения на Cisco. Тези одити са предназначени да потвърдят критичните за мисията изисквания за сигурност както за търговски, така и за държавни приложения. Cisco също използва доставчици на трети страни, за да извършва текущи, задълбочени тестове за проникване с код и оценки на услугите. Като част от ангажимента трета страна извършва следните оценки на сигурността:

• Идентифициране на критични уязвимости на приложения и услуги и предлагане на решения
• Препоръчване на общи области за архитектурно подобрение
• Идентифициране на грешки при кодиране и предоставяне на насоки за подобряване на практиката

Оценителите на трети страни работят директно с инженерния персонал на Webex, за да обяснят констатациите и да потвърдят отстраняването. Вижте пакета за довери Webex Meetings е на писма за атестация за информация за удостоверяване на теста за проникване.

Физическа сигурност

Физическата сигурност в центъра за данни включва видеонаблюдение на съоръжения и сгради и принудителна двуфакторна идентификация за влизане. В центровете за данни на Cisco достъпът се контролира чрез комбинация от четци на значки и биометрични контроли. Освен това контролът на околната среда (например температурни сензори и системи за пожарогасяване) и инфраструктурата за непрекъснатост на обслужването (като резервно захранване) помагат да се гарантира, че системите работят без прекъсване.

Сървърите на центровете за данни са сегментирани в „зони на доверие“ въз основа на чувствителността на инфраструктурата. Например базите данни са „поставени в клетка“, мрежовата инфраструктура има специални помещения и всички стелажи за оборудване са заключени. Само служителите по сигурността на Cisco и оторизирани посетители, придружени от персонала на Cisco, могат да влизат в центровете за данни.

Производствената мрежа на Cisco е мрежа с високо доверие: само много малко хора с високо ниво на доверие имат достъп до мрежата.

Инфраструктура и сигурност на платформите

Сигурността на платформата обхваща сигурността на мрежата, системите и цялостния център за данни Webex. Всички системи преминават задълбочен преглед на сигурността и валидиране на приемането преди внедряването на производството, както и редовно текущо закаляване, закрепване на сигурността и сканиране и оценка на уязвимостта.

Сървърите се закаляват с помощта на Насоките за техническо внедряване на сигурността (STIGs), публикувани от Националния институт по стандарти и технологии (NIST). Защитните стени защитават периметъра на мрежата. Списъците за контрол на достъпа (ACL) разделят различните зони за сигурност. Съществуват системи за откриване на проникване (IDS) и дейностите се подписват и наблюдават непрекъснато. Ежедневните вътрешни и външни сканирания за сигурност се извършват в Webex. Всички системи са закалени и закрепени като част от редовната поддръжка. Освен това сканирането и оценките на уязвимостта се извършват непрекъснато.

Непрекъснатостта на услугата и възстановяването при бедствия са критични компоненти на планирането на сигурността. Дизайнът на центрове за данни на Cisco с глобални резервни копия на сайтове и висока наличност помага да се даде възможност за географско превключване на файла на услугите на Webex. Няма нито една точка на провал.

Административни данни

Информация за служители или представители на клиент или друга трета страна, която се събира и използва от Cisco за администриране или управление на доставката на продукти или услуги от Cisco или за администриране или управление на акаунта на клиента или третата страна за собствените бизнес цели на Cisco.

Административните данни могат да включват име, адрес, телефонен номер, имейл адрес и информация за договорните ангажименти между Cisco и трета страна, независимо дали са събрани към момента на първоначалната регистрация или по-късно във връзка с управлението или администрирането на продуктите или услугите на Cisco.

Административните данни могат също да включват заглавието на събранието, времето и други атрибути на срещите, проведени в Webex от служители или представители на клиент. Други примери за административни данни могат да включват заглавие на срещата, време на срещата и други атрибути на срещите, хоствани в Webex.

Данни за клиента

Това включва всички данни (включително текстови, аудио, видео, файлове с изображения и записи), които са предоставени на Cisco от клиент във връзка с използването на продукти или услуги на Cisco от страна на клиента, или разработени от Cisco по конкретно искане на клиента съгласно декларация за работа или договор.

Данните за клиентите включват също файлове за регистрация, конфигурация или фърмуер и основни сметища.

Това са данни, взети от продукт или услуга и предоставени на Cisco, за да ни помогнат да отстраним проблем във връзка със заявка за поддръжка. Данните за клиентите не включват административни данни, данни за поддръжка или телеметрични данни.

Данни за поддръжка

Информация, която Cisco събира, когато клиент подаде заявка за услуги за поддръжка или друго отстраняване на неизправности, включително информация за хардуер или софтуер. Той включва подробности, свързани с инцидента с поддръжката, като информация за удостоверяване, информация за състоянието на продукта, системата и данни от системния регистър за софтуерни инсталации и хардуерни конфигурации и файлове за проследяване на грешки. Данните за поддръжката не включват файлове за регистрация, конфигурация или фърмуер, или основни сметища, взети от даден продукт и предоставени ни, за да ни помогнат да отстраним проблем във връзка със заявка за поддръжка, всички от които са примери за данни за клиенти.

Телеметрични данни

Информация, генерирана от уреди и системи за регистриране, създадени чрез използването и експлоатацията на продукта или услугата.

Всички данни, събрани в облака Webex, са защитени от няколко слоя стабилни технологии и процеси за сигурност. По-долу са дадени примери за контроли, поставени в различни слоеве операции на Webex за защита на данните на клиентите:

• Физически контрол на достъ па — Физическият достъп се контролира чрез биометрични данни, значки и видеонаблюдение. Достъпът до центъра за данни изисква одобрения и се управлява чрез електронна система за билети.
• Кон@@ трол на достъпа до мрежата - Периметърът на мрежата Webex е защитен от защитни стени. Всеки мрежов трафик, влизащ или напускащ центъра за данни на Webex, се наблюдава непрекъснато с помощта на система за откриване на проникване (IDS). Мрежата Webex също е сегментирана в отделни зони за сигурност. Трафикът между зоните се контролира от защитни стени и списъци за контрол на достъпа (ACL).
• Контрол на мониторинга и управлението на инфраструктурата — Всеки компонент на инфраструктурата, включително мрежови устройства, сървъри на приложения и бази данни, е втвърден в съответствие със строги насоки. Те също така подлежат на редовни сканирания, за да идентифицират и решат всякакви проблеми със сигурността.
• Криптографски контрол и — Както бе отбелязано по-рано, всички данни към и от центъра за данни на Webex до регистрираните в облака Webex Apps и Webex устройства са криптирани, с изключение на PSTN трафика и некриптирани SIP/H323 видео устройства в среща с активирана облака. Освен това критичните данни, съхранявани в Webex, като пароли, са криптирани.

Служителите на Cisco нямат достъп до клиентски данни, освен ако клиентът не поиска достъп по причини за поддръжка. Достъпът до системи в този случай е разрешен от управителя само в съответствие с принципа „разделяне на задълженията“. Той се предоставя само на основа на необходимост от знание и само с нивото на достъп, необходимо за извършване на работата. Достъпът на служителите до тези системи също се проверява редовно за съответствие. Служителите с такъв достъп са длъжни да вземат ежегодно обучение по Международната организация за стандартизация (ISO) 27001 за осведоменост за информационната сигурност.

В допълнение към тези специализирани контроли, всеки служител на Cisco преминава предварителна проверка, подписва Споразумение за неразкриване (NDA) и завършва обучение по Кодекс за бизнес поведение (COBC).

Закон за преносимостта и отчетността на здравното осигуряване (HIPAA)

Cisco може да предоставя информация относно функционалността, технологията и сигурността на Webex. Предприятието, обхванато от HIPAA, ще трябва да се консултира със собствен юридически съветник, за да определи дали функционалността на Webex е съвместима с неговите бизнес процеси и е готова за GDPR.

• Съответствие с GDPR
• Разкриване на Webex Meetings оферти на Cisco

Индустриални стандарти и сертификати

В допълнение към спазването на нашите строги вътрешни стандарти, Webex също така непрекъснато поддържа валидиране на трети страни, за да демонстрира нашия ангажимент към сигурността на информацията. Webex е:

• Сертифицирани по ISO 27001, 27017, 27018 и 27701
• Контрол на организацията на услугите (SOC) 2 тип II е одитиран
• SOC 3 сертифициран
• Кодекс за поведение в облака
• CSTAR
• Каталог за контрол на съответствие с облачните изчисления (C5) атестация
• Сертифициран FedRAMP (посетете cisco.com/go/fedramp за повече подробности, обхват и наличност)

Обърнете се към Cisco Trust Portal за пълен набор от документи за сигурност, поверителност и съответствие, включително подробности относно горните стандарти и сертификати.