Благодарим за обратната връзка.

Основни услуги и компоненти на Webex Meetings

• Webex Meetings е част от Webex Suite, предоставяйки audio/video конферентна връзка с възможности за споделяне на съдържание и уеб конференции.
• Платформата включва множество микроуслуги, като например услуга за срещи, услуга за уебинари, услуга за идентификация, услуга за запис, услуга за асистент с изкуствен интелект, услуга за анализ, услуга за администриране и медийна услуга.
• Webex Meetings поддържа регистрирани в облака приложения и устройства, което позволява на потребителите да се присъединяват към срещи от различни операционни платформи и устройства. Потребителите могат също да се присъединяват към срещи чрез PSTN и с SIP крайни точки.

Архитектура и внедряване

• Услугите на Webex Meetings са регионализирани и репликирани в множество независими центрове за данни, за да се осигури резервиране и висока достъпност.
• Медийните услуги са разпределени глобално с клъстери от медийни сървъри във всеки център за данни, осигурявайки локална и географска резервираност.
• Медийните сървъри обработват глас, видео и споделяне на съдържание, като медиите обикновено се криптират с помощта на AES-256-GCM.
• Архитектурата поддържа криптирана сигнализация през TLS/HTTPS и криптирани медийни потоци.

Webex поддържа присъединяване към срещи от множество платформи и устройства, включително:

• Настолно приложение Webex за Windows, Mac и Linux.
• Мобилното приложение Webex за Android и iOS.
• Уеб приложение на Webex, използващо Chrome, Edge, Safari, Firefox и други браузъри.
• Устройства за стаи и настолни устройства на Cisco.
• Аудио и видео крайни точки, базирани на SIP стандарти, от трети страни.
• PSTN устройства.

Суверенитет на клиентите на Webex

В отговор на нарастващото търсене на място за съхранение на данни, Webex въведе подобрени възможности за суверенитет. Започвайки със записването и с поддръжката на още услуги, които предстоят, организациите вече могат да поддържат контрол над съдържанието на своите срещи чрез:

• Локализирана обработка— Обработка на съдържание от срещи, като например записи, в рамките на собствената им инфраструктура.
• Локално съхранение— Използване на собствени услуги за съхранение на файлове за съхраняване на чувствителни ресурси от срещи, като се гарантира, че данните остават в рамките на определени географски или организационни граници.

Ултра защитени срещи на Webex

В исторически план, функциите за „ултра сигурност“, като например Zero Trust End-to-End Encryption (E2EE), често изискваха компромис във функционалността на срещите, тъй като облачните услуги с добавена стойност изискваха достъп до ключове за криптиране и само ограничен брой типове крайни точки можеха да се присъединят към тези срещи. Webex елиминира този компромис с:

• Многофункционално нулево доверие— Webex трансформира срещите с криптиране от край до край (E2EE) с нулево доверие, добавяйки функционалност, която прави срещите с нулево доверие многофункционални. Поддръжката на по-широк брой типове крайни точки осигурява безпроблемно изживяване, без да се жертват инструментите, необходими за модерно сътрудничество.
• Zero Trust за стандартни срещи— Webex интегрира Zero Trust E2EE възможности директно в стандартните срещи. Това гарантира, че дори ежедневното сътрудничество може да се възползва от най-високите нива на сигурност, осигурявайки постоянна защита в цялата екосистема на Webex.

Единен подход към сътрудничеството

Чрез интегрирането на Customer Sovereignty с тези усъвършенствани Zero Trust E2EE възможности, Webex дава възможност на организациите да постигнат двойна цел: провеждане на високо защитени срещи с нулево доверие в облака Webex, като същевременно се поддържа пълен контрол върху обработката и съхранението на критично съдържание от срещите локално. Тази синергия осигурява гъвкавостта и сигурността, необходими за съвременни, ориентирани към съответствието корпоративни среди.

Разширяване на границата на сигурност с Video Mesh Node

Добавянето на Video Mesh възел към организация позволява на клиентите да предоставят услуги за локални срещи и позволява на техните локални крайни точки да се присъединяват към всяка среща на Webex. От гледна точка на сигурността, интегрирането на Video Mesh Node поддържа Zero Trust в облака Webex, като същевременно предлага почти паритет на функциите със стандартните Webex срещи. Клиентите също така се възползват от суверенитета на данните, тъй като услуги като записите от срещи на Video Mesh Node се обработват и съхраняват локално.

Използването на криптиране от край до край с Zero Trust може да добави няколко допълнителни секунди към присъединяването към среща, но осигурява ясна гаранция за сигурност – само участниците в срещата имат достъп до ключовете за криптиране на срещата, така че съдържанието на срещата не може да бъде декриптирано от доставчика на услуги или други посредници.

Обобщение: Модели за внедряване на Webex Meetings и хибридни решения

Както е показано в сравнението по-горе, внедряването на Video Mesh Node (VMN) позволява на Zero Trust Webex Meetings да постигне почти еквивалент на функциите със стандартните Webex срещи. Въпреки че срещите с нулево доверие не поддържат участници от PSTN, уеб-базираното приложение Webex служи като широкодостъпна алтернатива за криптиран достъп от край до край. Освен това, VMN позволява на служителите, работещи в офис, използващи стационарни телефони, безпроблемно да се присъединяват към срещи с нулево доверие.

Video Mesh Node също така осигурява суверенитет на данните за критично важно съдържание от срещи, включително записи и – в близко бъдеще – преписи, резюмета и елементи за действие. Чрез обработка и съхранение на тези данни локално, VMN предоставя на клиентите пълен контрол върху тяхната информация, като същевременно поддържа архитектура с нулево доверие в облака Webex.

Криптирана Webex сигнализация

Услугите на Webex поддържат TLS версии 1.2 и 1.3, като TLS 1.3 е за предпочитане, когато се поддържа от свързващата крайна точка. Ако клиентът поддържа само TLS 1.2, Webex сървърът избира най-силния общ шифрован пакет, предлаган от клиента. За разлика от TLS 1.2, TLS 1.3 не използва избор на шифрован пакет, базиран на предпочитанията на сървъра, защото разчита на по-малък, подбран набор от съвременни шифри. Този дизайн опростява процеса на избор, като се фокусира повече върху подобрения в производителността, като например намаляване на общата дължина на ръкостискането, като същевременно поддържа силна сигурност. Шифровите пакети за TLS 1.2 и 1.3, използвани от Webex, са добре дефинирани и приоритизирани, за да се гарантира сигурна комуникация.

TLS шифровани пакети

TLS 1.3 шифровани пакети (TLS 1.3 сървърите не използват предпочитан ред за избор на пакети)

TLS 1.2 шифровани пакети (пакети в предпочитан от сървъра ред)

AES_256_CBC и AES_128_Поддържат се CBC шифри за криптиране, за да се поддържа съвместимост със стари системи, по-стари браузъри и вградени устройства, които не поддържат съвременни AEAD (Authenticated Encryption with Associated Data) шифри като AES-GCM, например Internet Explorer 11 на Windows 7 и Windows 8.1, Safari 6/7/8 В ранните версии на iOS и MacOS се използват шифри, базирани на CBC.

CHACHA20_POLY1305 е стрийминг шифър с ниска хардуерна зависимост, което го прави превъзходен шифър за използване на мобилни устройства или устройства с нискоенергийни процесори.

Стандарти за криптиране на медийни файлове за Webex

Срещите и разговорите на Webex използват надеждно AES-базирано криптиране за всички медийни пакети. Конкретният набор от шифри зависи от типа на крайната точка, като AES-256-GCM служи като предпочитан стандарт за оптимална сигурност.

Ключови съображения за сигурност

• Предпочитан стандарт— AES-256-GCM е препоръчителният шифър за всички внедрявания, за да се гарантира най-високо ниво на целостност и поверителност на данните.
• Оперативна съвместимост— Въпреки че Webex поддържа поддръжка за стари шифри (като AES-CM-128-HMAC-SHA1), за да осигури оперативна съвместимост със SIP и H.323 системи на трети страни, организациите, които дават приоритет на архитектура с нулево доверие, трябва да прилагат AES-256-GCM, където съвместимостта на устройствата позволява.

Протоколи за пренос на медии

Webex поддържа пренос на медийни файлове чрез UDP, TCP или TLS. За оптимална производителност на глас и видео, Cisco силно препоръчва UDP.

Съображения за производителност:

• Ефективност в реално време— UDP е предпочитаният транспорт за медии в реално време, тъй като минимизира латентността и трептенето, като избягва механизмите за повторно предаване и буфериране, присъщи на протоколите, ориентирани към връзка.
• Въздействие на TCP/TLS— Въпреки че TCP и TLS осигуряват надеждна и подредена доставка на данни, това поведение е контрапродуктивно за медиите в реално време. Получените повторни предавания на пакети и буфериране на потока въвеждат латентност и трептене, което може значително да влоши качеството на изживяване за участниците.

Използване на SRTP и SFrame от Webex за медии

За да се поддържат високите стандарти за сигурност, изисквани за WebexZero Trust среди, е важно да се прави разлика между сигурност на транспортно ниво (SRTP) и криптиране от край до край на приложното ниво (SFrame).

Ключови технически отличия – SRTP & SFrame

1. SRTP (Протокол за сигурен транспорт в реално време)

   SRTP е индустриалният стандарт за защита на медийните потоци по време на пренос.

   • Обхват— Осигурява поверителност, удостоверяване на съобщенията и защита от повторно възпроизвеждане за RTP полезния товар.
   • Оперативен контекст— В много архитектури, медийният сървър/медиен шлюз (SFU (Selective Forwarding Unit)) прекратява SRTP връзката, за да извърши медийна обработка (например миксиране, композиране на оформлението или транскодиране). Тъй като SFU декриптира медията, за да я обработи, тя е технически уязвима в точката на SFU.
2. SFrame (Защитена рамка)

   SFrame е стандарт на IETF. RFC 9605 е проектиран специално за улесняване на истинско криптиране от край до край в среда за многостранна конференция.

   • Обхват— Криптира пакетирани медийни кадри, преди те да бъдат капсулирани в RTP пакети. Webex добавя допълнителен слой криптиране, използвайки SRTP.
   • Архитектура с нулево доверие— Тъй като медията е криптирана на приложното ниво, SFU действа само като „сляпо“ реле. Той пренасочва криптираните пакети към други участници, без изобщо да има достъп до ключовете за декриптиране.
   • Независимост—SFrame е независим от транспорта. Той остава сигурен, дори ако основният транспорт (UDP/TCP/TLS) е компрометирана, тъй като контекстът на сигурността е обвързан с крайните точки на участниците, а не с транспортната връзка.

SFrame е критичният механизъм, който позволява E2EE. Докато SRTP гарантира, че данните са криптирани, докато преминават през мрежата, SFrame гарантира, че медията остава криптирана през целия жизнен цикъл на срещата, включително докато се намира в инфраструктурата на Cisco (SFU), като по този начин ефективно премахва доставчика на услуги от границата на доверие.

Съдържание на Webex Meetings

Съдържанието на срещата се състои от данни, създадени от участниците или генерирани от услугите на Webex от името на домакина на срещата. Това включва:

• Съдържание, свързано с медиите— Записи, преписи, резюмета и задачи.
• Данни за сътрудничество— Съобщения в чата, shared/transferred файлове, бели дъски и анотации.

Сигурност на съдържанието на Webex Meetings – цялостно криптиране на Webex

Webex защитава съдържанието от срещи, генерирано от участниците, използвайки надеждна рамка за криптиране от край до край (E2EE). Централно място в тази архитектура заема услугата за управление на ключове Webex (KMS), която отговаря за генерирането, разпространението и управлението на ключовете за криптиране за цялото генерирано от потребителите съдържание.

Слоеве за сигурност на съдържанието на срещите

• Данни в транзит— Приложението Webex и видеоустройствата на Cisco използват Webex криптиране от край до край (E2EE) с AES-256-GCM за криптиране на генерирано от потребителите съдържание от срещи, като например файлове със записи, файлове с обобщения от изкуствен интелект, съобщения в чата и др. Това е допълнително капсулирано в Transport Layer Security (TLS), за да осигури двуслойна защита по време на предаване.
• Данни в покой— След като се съхранява в облака Webex, криптираното съдържание е допълнително защитено чрез AES-256-GCM криптиране на диска.
• Профил на защита— Този подход предпазва съдържанието от TLS прихващане по време на пренос и гарантира, че съхранените данни остават недостъпни за неупълномощени лица в облачната среда.

Цялостно криптиране на Webex с управляван достъп до съдържание за основните услуги

За разлика от криптирането от край до край с Zero Trust, при което Webex няма достъп до ключове за криптиране на медии или съдържание, криптирането от край до край на Webex позволява на платформата да използва генерираните от Webex KMS ключове за декриптиране на данни за основни услуги. Този управляван достъп позволява:

• Търсене и индексиране— Позволява на потребителите да търсят в историята на съдържанието.
• Съответствие и управление— Позволява предотвратяване на загуба на данни (DLP), електронно откриване и архивиране на данни.
• Оптимизация на медиите— Поддържа транскодиране на файлове за съвместимост между различни устройства.
• Сигурност— Улеснява сканирането за зловреден софтуер с помощта на Extended Security Pack.

Метаданни за срещи на Webex

Метаданните за срещите се състоят от административната и техническа информация, генерирана от системата за улесняване, проследяване и управление на среща, а не от самото съдържание (аудио, видео или споделени файлове) на самата среща. Метаданните могат да бъдат разделени на няколко категории:

• Информация за сесията— Заглавие на срещата, идентификационен номер на срещата, планирани начални и крайни часове и действителната продължителност на срещата.
• Данни за участниците— Списък с поканените и действителните участници, техните IP адреси, типове устройства (като Windows, iPhone, Cisco Room Kit) и техните join/leave времеви печати.
• Показатели за употреба и качество— Данни, използвани за отстраняване на неизправности, като загуба на пакети, трептене, латентност и резолюция на видеопотока.

Как се използват метаданните

1. Анализ и отчитане— Администраторите използват метаданни в WebexControl Hub, за да видят колко срещи се провеждат, кои отдели са най-активни и какво е общото качество на преживяването.
2. Отстраняване на неизправности— Cisco TAC (Център за техническа помощ) използва метаданни за идентифициране и разрешаване на проблеми със срещите.
3. Съответствие и електронно разкриване— Служителите по съответствието могат да търсят метаданни, за да докажат, че е проведена среща, кой е бил там и дали е била записана, дори ако не могат да видят криптираното съдържание на срещата.
4. Сигурност— Метаданните помагат за идентифициране на опити за неоторизиран достъп или необичайни модели, които биха могли да показват заплаха за сигурността.

Сигурност и поверителност на метаданните

• Шифроване— Въпреки че метаданните не са „криптирани от край до край“, те все пак са криптирани при пренос (с помощта на TLS) и в състояние на покой в защитените центрове за данни на Cisco.
• Контрол на достъпа— Политиките за поверителност на Cisco строго ограничават кой може да има достъп до тези метаданни и те се използват за предоставяне и подобряване на услугата.

За повече информация относно съдържанието и метаданните за срещи на Webex вижте Разкриване на офертата за Webex Meetings.

Присвояване на типове сесии за срещи на потребителите

Администраторите на Webex Control Hub могат да зададат един или повече типове срещи, които техните потребители могат да използват за планирани срещи. По подразбиране на всички потребители са присвоени типовете срещи Pro Meeting и Pro-End to End Encryption_VoIPonly.

Планиране на среща – Изберете типа на срещата

Потребителите могат да изберат типа на срещата, която искат да използват, когато планират среща от приложението Webex, потребителската страница на Webex и добавката Webex Email за Microsoft Outlook.

Планиране на среща – Изберете типа на срещата в приложението Webex

Планиране на среща – Изберете типа на срещата от потребителската страница на Webex

Задаване на тип среща по подразбиране

Потребителите могат да зададат типа на срещата си по подразбиране от Срещи > Настройки на потребителската им страница в Webex.

Задайте типа на срещата по подразбиране от потребителската страница на Webex

Нулево доверие от край до край за идентичност и предотвратяване на Deepfake

Сертификатите за самоличност на крайния потребител, предоставени от клиента, са крайъгълен камък за предотвратяване на представяне за друг потребител в срещи, криптирани от край до край (E2EE) на Webex. За разлика от традиционните механизми за блокиране на deepfake, които разчитат на анализ на аудио и видео потоци, този подход осигурява криптографска проверка на идентичността в точката на достъп. Този проверен статус се показва директно в списъка с участници в срещата, осигурявайки прозрачност за всички участници.

Webex разшири поддръжката си за управлявани от клиенти сертификати – преди това налични на устройства с RoomOS – към приложението Webex като част от нашата функция „Предотвратяване на Deepfake“. Организациите могат да предоставят и управляват свои собствени цифрови сертификати, издадени от доверени външни сертифициращи органи (CA), използващи стандартни за индустрията протоколи като ACME. Тези сертификати, базирани на стандартите X.509 и двойките ключове ECDSA P-256, предоставят криптографско доказателство за самоличността на участниците по време на E2EE срещи.

Проверена самоличност от край до край и протоколът MLS

Протоколът за сигурност на слоя за съобщения (MLS) използва стандартни сертификати X.509 за удостоверяване на участниците в среща. Сертификатът е цифрово подписано изявление от доверен CA, което проверява самоличността на притежателя на ключа за подпис. Участниците получават тези сертификати по два основни начина:

• Управлявани устройства (сертификати, предоставени от клиента)— За настолни и мобилни клиенти, управлявани от организацията, на устройството може да се инсталира сертификат за самоличност от доверен сертифициращ орган. Когато потребител влезе чрез еднократно влизане (SSO), приложението Webex извлича този сертификат от хранилището за доверени данни на операционната система, за да представи потвърдената самоличност на потребителя. Този процес се поддържа и за регистрирани в облака Webex Cisco видеоустройства.
• По подразбиране (сертификати, предоставени от Webex)— Ако няма наличен сертификат, предоставен от клиента, клиентът или устройството Webex автоматично използва сертификат, издаден от сертифициращия орган на Webex, който отразява самоличност, проверена от Cisco.

Споделяне на самоличност и резервен механизъм

По време на среща всеки участник споделя своя сертификат за самоличност от Webex и, ако е наличен, предоставения от клиента сертификат за самоличност с всички останали участници. За да се осигури безпроблемна свързаност, крайната точка на Webex следва строга йерархия: Системата дава приоритет на предоставения от клиента сертификат за проверка; ако този сертификат липсва или не е валидиран, системата автоматично се връща към предоставения от Webex сертификат за самоличност.

Показване на състоянието на проверката на самоличността на потребителя

Когато участниците се присъединят към среща, използвайки приложенията Webex или устройства с RoomOS и предоставени от клиента сертификати, тяхната самоличност се проверява от другите участници в срещата спрямо издалия сертификат. Това гарантира, че се разпознават само оторизирани потребители, предотвратявайки възможността на атакуващите да се представят за легитимни участници, тъй като тези сертификати са уникално свързани с проверени самоличности и не могат да бъдат фалшифицирани от Cisco или посредници.

Списъкът с участници в E2E-криптирана среща показва състоянието на проверка на самоличността на всеки потребител:

• Zero-Trust E2E Verified ( domain.com ) – Когато се използва предоставен от клиента сертификат за самоличност, домейнът на участника се показва в син текст. Това показва истинска E2E-потвърдена самоличност, която Cisco не може да промени. Например, в списъка с участници в срещата може да видите, че „Кевин“ има потвърден имейл адрес от example.com, изписан в синьо.
• Webex-Verified ( domain.com) – Сертификатите, издадени от Webex CA, осигуряват по-ограничено ниво на защита. Макар и по-добре от липсата на защита на самоличността, тези участници не са маркирани като „проверени с Zero Trust E2E“. Вместо това, състоянието на тяхната самоличност се показва в сив текст, което показва, че самоличността е била потвърдена от Webex CA.
• Непотвърден гост потребител ( Непроверено) – Въпреки че самоличността на гост-участниците не е удостоверена (тъй като няма процес на влизане), те все пак се нуждаят от сертификат, за да се присъединят към MLS групата за разговор или среща. Този сертификат е издаден от Webex CA и използва „анонимен“ като потребителско име.

Освен това, код за сигурност на срещата, извлечен от криптографското състояние на всички участници, помага за откриване на атаки от типа „човек по средата“, като позволява на участниците да проверят дали всички споделят един и същ защитен контекст на срещата. Чрез комбиниране на криптографска проверка на самоличността с криптиране от край до край, тази функция за „Deepfake prevention“ предлага надеждна защита срещу заплахи от представяне под чужда самоличност и синтетични медии, като защитава целостта и поверителността на срещите както в приложението Webex, така и в устройствата с RoomOS.

Управление на внедряването на сертификати

Организациите могат да опростят внедряването и управлението на тези сертификати за самоличност на крайни потребители, предоставени от клиентите, като ги инсталират в корпоративно управлявани устройства, използвайки приложения за управление на мобилни устройства (MDM), управление на мобилни приложения (MAM) или управление на корпоративна мобилност (EMM). Тези платформи за управление позволяват на ИТ администраторите централизирано да предоставят, конфигурират и контролират сертификати и свързани политики за сигурност в широк спектър от устройства, независимо дали са корпоративни или лични. Например, Microsoft Intune поддържа както MDM, така и MAM възможности, които позволяват на организациите да внедряват и управляват приложението Webex и неговите конфигурации за сигурност, включително сертификати за самоличност, на управлявани устройства. По подобен начин, Cisco Meraki Systems Manager предоставя MDM възможности за регистриране на устройства, изпращане на конфигурационни профили и внедряване на сертификати, за да се гарантира надежден статус на устройството. Използването на тези решения за управление намалява административните разходи, опростява управлението на жизнения цикъл на сертификатите и подобрява защитата на срещите Webex E2EE с функции за „Deepfake prevention“.

Трите стълба на идентичността

Ефективното управление на идентичността и достъпа (IAM) за Webex разчита на:

• Осигуряване (CRUD) — Управление на жизнените цикли на потребителите (създаване, четене, актуализиране, изтриване), за да се гарантира, че „източникът на истината“ съответства на платформата за сътрудничество.
• Удостоверяване (AuthN) – Проверка на самоличността на потребителя чрез защитени идентификационни данни или токени.
• Авторизация (AuthZ) – Дефиниране на подробни разрешения и нива на достъп до API след удостоверяване.

Осигуряване & Управление на жизнения цикъл

Webex поддържа няколко метода за синхронизиране на потребители и групи:

• SCIM 2.0—Предпочитаният облачен стандарт. Той автоматизира жизнения цикъл на потребителя, като гарантира, че премахването на достъпа в IdP автоматично отменя достъпа до Webex.
• Directory Connector— Инструмент на Cisco за хибридни среди, свързващ локалната Active Directory (AD) с Webex Cloud.
• Осигуряване, базирано на API— Използва Webex „People API“ за програмно създаване на потребители и присвояване на лицензи в сложни среди.
• Стар LDAP— Поддържа се за локални директории (напр. CUCM), макар и по-малко оптимизиран за съвременен облачен трафик.

Удостоверяване & Рамки за оторизация

• Удостоверяване (AuthN):

• SAML 2.0— Корпоративен стандарт за еднократно влизане (SSO). Webex действа като доставчик на услуги (SP), валидирайки XML твърдения от корпоративния IdP.
• OIDC (OpenID Connect)— Модерен, лек слой за идентичност, изграден върху OAuth 2.0, използващ JSON Web Tokens (JWTs). Поддържа „URL адреси за откриване“ за автоматизирана конфигурация.

• Авторизация (AuthZ):

• OAuth 2.0— Управлява достъпа до API чрез краткотрайни токени за достъп (дефиниращи обхвати) и дълготрайни токени за обновяване. Той осигурява сигурност чрез PKCE (Proof Key for Code Exchange) за публични клиенти.

Интеграция & Стратегии за множество IdP

Webex предоставя специализирани пътища за безпроблемна интеграция:

• Съветник за въвеждане на ID— Препоръчителният път за среди на Microsoft. Използва Microsoft Graph API за разширено синхронизиране на атрибути (аватари, йерархии) и автоматизира OIDC/SAML конфигурация.
• Duo Security— Добавя „Непрекъсната сигурност на самоличността“, като проверява състоянието на устройството и активира многофакторна автентификация, устойчива на фишинг.

Поддръжка на множество IdP:Webex позволява на организациите да обединяват множество независими IdP-ове в рамките на един контролен център.

• Случаи на употреба – сливания, придобивания или децентрализирани ИТ отдели.
• Маршрутизиране – Заявките за удостоверяване се маршрутизират въз основа на домейни или потребителски групи.
• Съображение – Изисква стриктна координация за поддържане на последователни политики за сигурност във всички федерални източници.

Пример за най-често срещаните интеграции на IdP идентичност с Webex:

Най-добри практики и устойчивост

• Възстановяване на SSO – Винаги използвайте вградената връзка „Възстановяване на SSO“ в Control Hub, за да заобиколите SSO чрез еднократна парола (OTP), ако конфигурацията на IdP е неуспешна.
• Управление на сертификати – Следене на изтичането на SAML сертификата. Съветникът за SSO автоматизира обмена на метаданни, намалявайки ръчните грешки.
• Отстраняване на неизправности – Използвайте инструмента SAML Tracer, за да проверите XML твърдения и да валидирате форматите на NameID, ако възникнат проблеми с удостоверяването.
• Положение за сигурност – Редовно премахвайте от употреба наследените типове безвъзмездни средства и гарантирайте, че PKCE е внедрен за всички интеграции на публични клиенти.

Заключение - Идентичност за срещи на Webex

Стабилната стратегия за идентичност е непрекъснат процес на жизнен цикъл. Чрез комбиниране на SCIM за осигуряване, OIDC/SAML за удостоверяване и OAuth за оторизация, организациите могат да осигурят сигурно и безпроблемно изживяване за потребителите, като същевременно поддържат строг административен контрол.

Жизнен цикъл на сигурна разработка на Cisco

В Cisco сигурността не е второстепенна задача. Това е дисциплиниран подход за изграждане и предоставяне на продукти и услуги от световна класа от самото начало. Всички екипи за разработка на продукти на Cisco^® са длъжни да следват жизнения цикъл на сигурната разработка на Cisco. Това е повтаряем и измерим процес, предназначен да повиши устойчивостта и надеждността на продуктите на Cisco. Комбинацията от инструменти, процеси и обучение за повишаване на осведомеността, въведени във всички фази от жизнения цикъл на разработка, помага за осигуряване на защита в дълбочина. Той също така осигурява цялостен подход към устойчивостта на продукта. Екипът за разработване на продукти на Webex страстно следва този жизнен цикъл във всеки аспект от разработването на продукта.

Прочетете повече за жизнения цикъл на сигурната разработка.

Основни инструменти за сигурност на Cisco

Организацията за сигурност и доверие на Cisco предоставя процеса и необходимите инструменти, които дават възможност на всеки разработчик да заеме последователна позиция, когато е изправен пред решение, свързано със сигурността.

Наличието на специализирани екипи за изграждане и предоставяне на такива инструменти премахва несигурността от процеса на разработване на продукти.

Някои примери за инструменти включват:

• Изисквания за базова продуктова сигурност (PSB), на които продуктите трябва да отговарят
• Инструменти за създаване на заплахи, използвани по време на моделиране на заплахи
• Указания за кодиране
• Валидирани или сертифицирани библиотеки, които разработчиците могат да използват, вместо да пишат собствен код за сигурност
• Инструменти за тестване на уязвимости в сигурността (за статичен и динамичен анализ), използвани след разработка за тестване срещу дефекти в сигурността
• Софтуерно проследяване, което наблюдава библиотеките на Cisco и трети страни и уведомява продуктовите екипи, когато бъде идентифицирана уязвимост

Организационна структура, която внушава сигурност в процесите на Cisco

Cisco разполага със специални отдели, които внедряват и управляват процесите за сигурност в цялата компания. За да бъде постоянно в крак със заплахите и предизвикателствата за сигурността, Cisco разчита на:

• Екипът на Cisco за информационна сигурност (InfoSec) в облака
• Екип за реагиране при инциденти със сигурността на продуктите на Cisco (PSIRT)
• Споделена отговорност за сигурността

Cisco InfoSec Cloud

Воден от главния директор по сигурността за облачни услуги, този екип е отговорен за предоставянето на безопасна среда на Webex на нашите клиенти. InfoSec постига това, като дефинира и прилага процеси и инструменти за сигурност за всички функции, свързани с предоставянето на Webex на нашите клиенти.

Освен това, Cisco InfoSec Cloud работи с други екипи в Cisco, за да реагира на всякакви заплахи за сигурността на услугата Webex.

Cisco InfoSec е отговорен и за непрекъснатото подобряване на сигурността на Webex.

Екип за реагиране при инциденти със сигурността на продуктите на Cisco (PSIRT)

Cisco PSIRT е специализиран глобален екип, който управлява входящите данни, разследванията и докладването на проблеми със сигурността, свързани с продуктите и услугите на Cisco. PSIRT използва различни носители за публикуване на информация, в зависимост от сериозността на проблема със сигурността. Видът на отчитането варира в зависимост от следните условия:

• Съществуват софтуерни корекции или заобиколни решения за отстраняване на уязвимостта или е планирано последващо публично оповестяване на корекции на кода за справяне с уязвимости с висока степен на сериозност.
• PSIRT е наблюдавал активно използване на уязвимост, която би могла да доведе до по-голям риск за клиентите на Cisco. В този случай PSIRT може да ускори публикуването на съобщение за сигурност, описващо уязвимостта, без пълната наличност на корекции.
• Обществената осведоменост за уязвимост, засягаща продуктите на Cisco, може да доведе до по-голям риск за клиентите на Cisco. Отново, PSIRT може да предупреди клиентите, дори без пълна наличност на корекции.

Във всички случаи PSIRT разкрива минималното количество информация, от която крайните потребители ще се нуждаят, за да оценят въздействието на дадена уязвимост и да предприемат необходимите стъпки за защита на своята среда. PSIRT използва скалата на Общата система за оценяване на уязвимостите (CVSS), за да класира тежестта на разкрит проблем. PSIRT не предоставя подробности за уязвимостите, които биха могли да позволят на някого да създаде експлойт.

За повече информация относно PSIRT вижте Екип за реагиране при инциденти със сигурността на продуктите на Cisco.

Отговорност за сигурността

Въпреки че всеки човек в групата на Webex е отговорен за сигурността, основните правила са следните:

• Главен директор по сигурността, Cloud
• Вицепрезидент и генерален мениджър, Cisco Cloud Collaboration Applications
• Вицепрезидент, Инженеринг, Cisco Cloud Collaboration Applications
• Вицепрезидент, Управление на продукти, Cisco Cloud Collaboration Applications

Вътрешни и външни тестове за проникване

Групата Webex редовно провежда строги тестове за проникване, използвайки вътрешни оценители. Освен строгите си вътрешни процедури, Cisco InfoSec ангажира и множество независими трети страни, които да провеждат щателни одити на вътрешните политики, процедури и приложения на Cisco. Тези одити са предназначени да валидират критично важни изисквания за сигурност както за търговски, така и за правителствени приложения. Cisco използва и външни доставчици, за да извършва текущи, задълбочени тестове за проникване и оценки на услуги, подпомагани от код. Като част от ангажимента, трета страна извършва следните оценки на сигурността:

• Идентифициране на критични уязвимости в приложенията и услугите и предлагане на решения
• Препоръчване на общи области за архитектурно подобрение
• Идентифициране на грешки в кодирането и предоставяне на насоки за подобряване на практиката на кодиране

Оценители от трети страни работят директно с инженерния екип на Webex, за да обяснят констатациите и да валидират отстраняването на проблемите. Вижте пакета с атестационни писма за Webex Meetings за информация относно атестацията чрез тест за проникване.

Физическа сигурност

Физическата сигурност в центъра за данни включва видеонаблюдение на съоръженията и сградите и задължителна двуфакторна идентификация за влизане. В центровете за данни на Cisco достъпът се контролира чрез комбинация от четци за пропуски и биометрични контроли. Освен това, контролът на околната среда (например температурни сензори и системи за пожарогасене) и инфраструктурата за непрекъснатост на услугите (като резервно захранване) помагат да се гарантира, че системите работят без прекъсване.

Сървърите на центровете за данни са сегментирани в „зони на доверие“ въз основа на чувствителността на инфраструктурата. Например, базите данни са „затворени“, мрежовата инфраструктура има специални помещения и всички стелажи с оборудване са заключени. Само служители по сигурността на Cisco и оторизирани посетители, придружени от персонал на Cisco, могат да влизат в центровете за данни.

Производствената мрежа на Cisco е мрежа с високо доверие: Само много малко хора с високи нива на доверие имат достъп до мрежата.

Сигурност на инфраструктурата и платформата

Сигурността на платформата обхваща сигурността на мрежата, системите и цялостния център за данни Webex. Всички системи преминават през щателен преглед на сигурността и валидиране за приемане преди внедряване в производствения процес, както и през редовно подсилване, актуализиране на защитните корекции и сканиране и оценка на уязвимостите.

Сървърите са защитени с помощта на Насоките за техническо внедряване на сигурност (STIG), публикувани от Националния институт за стандарти и технологии (NIST). Защитните стени защитават периметъра на мрежата. Списъците за контрол на достъпа (ACL) разделят различните зони за сигурност. Системи за откриване на проникване (IDS) са налице, а дейностите се подписват и наблюдават непрекъснато. В Webex се извършват ежедневни вътрешни и външни сканирания за сигурност. Всички системи са подсилени и ремонтирани като част от редовната поддръжка. Освен това, сканирането и оценките на уязвимостите се извършват непрекъснато.

Непрекъснатостта на услугите и възстановяването след бедствия са критични компоненти на планирането на сигурността. Дизайнът на центровете за данни на Cisco с глобални резервни копия на сайтове и висока достъпност спомага за географското превключване на услугите на Webex при отказ. Няма единна точка на провал.

Административни данни

Информация за служители или представители на клиент или друга трета страна, която се събира и използва от Cisco с цел администриране или управление на доставката на продукти или услуги от Cisco или за администриране или управление на акаунта на клиента или третата страна за собствени бизнес цели на Cisco.

Административните данни могат да включват име, адрес, телефонен номер, имейл адрес и информация за договорните ангажименти между Cisco и трета страна, независимо дали са събрани по време на първоначалната регистрация или по-късно във връзка с управлението или администрирането на продуктите или услугите на Cisco.

Административните данни могат също да включват заглавието на срещата, часа и други атрибути на срещите, проведени в Webex от служители или представители на клиент. Други примери за административни данни могат да включват заглавие на срещата, час на срещата и други атрибути на срещите, хоствани в Webex.

Данни за клиента

Това включва всички данни (включително текст, аудио, видео, файлове с изображения и записи), които са предоставени на Cisco от клиент във връзка с използването на продукти или услуги на Cisco от клиента, или са разработени от Cisco по конкретно искане на клиент съгласно описание на работата или договор.

Данните за клиента включват също лог файлове, конфигурационни файлове или файлове с фърмуер, както и дъмпове на ядрото.

Това са данни, взети от продукт или услуга и предоставени на Cisco, за да ни помогнат да отстраним проблем във връзка със заявка за поддръжка. Данните за клиентите не включват административни данни, данни за поддръжка или телеметрични данни.

Данни за поддръжка

Информация, която Cisco събира, когато клиент подаде заявка за услуги по поддръжка или друго отстраняване на неизправности, включително информация за хардуер или софтуер. Това включва подробности, свързани с инцидента с поддръжката, като например информация за удостоверяване, информация за състоянието на продукта, системата и данните от системния регистър за инсталации на софтуер и хардуерни конфигурации, както и файлове за проследяване на грешки. Данните за поддръжка не включват лог файлове, конфигурационни файлове или файлове с фърмуер, нито дъмпове на ядрото, взети от продукт и предоставени ни, за да ни помогнат да отстраним проблем във връзка със заявка за поддръжка, като всички те са примери за клиентски данни.

Телеметрични данни

Информация, генерирана от инструменти и системи за регистриране, създадена чрез използването и експлоатацията на продукта или услугата.

Всички данни, събрани в облака Webex, са защитени от няколко слоя надеждни технологии и процеси за сигурност. По-долу са дадени примери за контроли, разположени на различни нива на операциите на Webex за защита на клиентските данни:

• Контрол на физическия достъп— Физическият достъп се контролира чрез биометрични данни, значки и видеонаблюдение. Достъпът до центъра за данни изисква одобрения и се управлява чрез електронна система за издаване на билети.
• Контрол на мрежовия достъп— Периметърът на мрежата Webex е защитен от защитни стени. Всеки мрежов трафик, влизащ или излизащ от центъра за данни Webex, се наблюдава непрекъснато с помощта на система за откриване на проникване (IDS). Мрежата на Webex също е сегментирана на отделни зони за сигурност. Трафикът между зоните се контролира от защитни стени и списъци за контрол на достъпа (ACL).
• Контрол на мониторинга и управлението на инфраструктурата— Всеки компонент на инфраструктурата, включително мрежови устройства, сървъри на приложения и бази данни, е защитен от строги насоки. Те също така подлежат на редовни сканирания, за да се идентифицират и отстранят евентуални проблеми със сигурността.
• Криптографски контроли— Както бе отбелязано по-рано, всички данни към и от центъра за данни Webex към регистрираните в облака Webex приложения и Webex устройства са криптирани, с изключение на PSTN трафика и некриптираните данни. SIP/H323 видеоустройства в среща, поддържана от облака. Освен това, критичните данни, съхранявани в Webex, като например пароли, са криптирани.

Служителите на Cisco нямат достъп до клиентски данни, освен ако достъпът не е поискан от клиента по причини, свързани с поддръжката. Достъпът до системите в този случай е разрешен от мениджъра само в съответствие с принципа за „разделяне на задълженията“. Предоставя се само въз основа на необходимостта да се знае и само с нивото на достъп, необходимо за изпълнение на работата. Достъпът на служителите до тези системи също се проверява редовно за съответствие. Служителите с такъв достъп са длъжни да преминават ежегодно обучение за осведоменост относно информационната сигурност по ISO 27001 на Международната организация по стандартизация.

В допълнение към тези специализирани контроли, всеки служител на Cisco преминава през проверка на миналото, подписва споразумение за неразкриване на информация (NDA) и завършва обучение по Кодекса за бизнес поведение (COBC).

Закон за преносимостта и отчетността на здравното осигуряване (HIPAA)

Cisco може да предостави информация относно функционалността, технологията и сигурността на Webex. Организация, обхваната от HIPAA, ще трябва да се консултира със собствения си юрисконсулт, за да определи дали функционалността на Webex е съвместима с нейните бизнес процеси и е готова за GDPR.

• Съответствие с GDPR
• Разкриване на офертата за Cisco Webex Meetings

Индустриални стандарти и сертификати

В допълнение към спазването на нашите строги вътрешни стандарти, Webex също така непрекъснато поддържа валидации от трети страни, за да демонстрира нашия ангажимент към информационната сигурност. Уебекс е:

• Сертифициран по ISO 27001, 27017, 27018 и 27701
• Контрол на сервизната организация (SOC) 2, одитиран тип II
• Сертифициран по SOC 3
• Кодекс за поведение в облака
• CSTAR
• Атестация за каталог за контрол на съответствието с облачните технологии (C5)
• Сертифициран по FedRAMP (посетете cisco.com/go/fedramp за повече подробности, обхват и наличност)

Вижте портала за доверие на Cisco за пълен набор от документи за сигурност, поверителност и съответствие, включително подробности за горепосочените стандарти и сертификати.