תודה על המשוב.

Webex Meetingsשירותי ליבה ורכיבים

• Webex Meetingsהוא חלק מ-Webex Suite, מספק ועידת אודיו/וידאו עם יכולות שיתוף תוכן ועידה באינטרנט.
• הפלטפורמה כוללת מיקרו-שירותים מרובים כגון שירות פגישות, שירות סמינר מקוון, שירות זהות, AI Assistant שירות הקלטה, שירות ניתוח, שירות ניהול ושירות מדיה.
• Webex Meetingsתומך באפליקציות ובמכשירים הרשומים בענן, ומאפשר למשתמשים להצטרף לפגישות מפלטפורמות ומכשירים שונים של מערכת הפעלה. משתמשים יכולים גם להצטרף לפגישות באמצעות PSTN ועם נקודות קצה SIP.

אדריכלות ופריסה

• Webex Meetingsהשירותים מחוברים לאזור ומשוכפלים על פני מרכזי נתונים עצמאיים מרובים כדי להבטיח יתירות וזמינות גבוהה.
• שירותי המדיה מופצים ברחבי העולם עם אשכולות שרתי מדיה בכל מרכז נתונים, ומספקים יתירות מקומית וגיאוגרפית.
• שרתי מדיה מטפלים בשיתוף קול, וידאו ותוכן, כאשר מדיה מוצפנת בדרך כלל באמצעות AES-256-GCM.
• הארכיטקטורה תומכת באיתות מוצפן באמצעות TLS/HTTPS וזרמי מדיה מוצפנים.

Webex תומך בהצטרפות לפגישות מפלטפורמות ומכשירים מרובים, כולל:

• יישום שולחן העבודה של Webex בחלונות, מק ולינוקס.
• אפליקציית Webex לנייד באנדרואיד ו- iOS.
• יישום אינטרנט Webex באמצעות Chrome, Edge, ספארי, פיירפוקס ודפדפנים אחרים.
• התקני חדר והתקני שולחן של סיסקו.
• נקודות קצה אודיו ווידאו מבוססות תקני SIP של צד שלישי.
• התקני PSTN.

ריבונות לקוחות Webex

בתגובה לביקוש הגובר לתושבות נתונים, Webex הציגה יכולות ריבונות משופרות. החל מההקלטה, ועם תמיכה בשירותים נוספים שיבואו, ארגונים יכולים כעת לשמור על שליטה על תוכן הפגישה שלהם באמצעות:

• עיבוד מקומי — עיבוד תוכן פגישות, כגון הקלטות, בתוך התשתית שלהם.
• אחסון מקומי — שימוש בשירותי אחסון קבצים משלהם כדי לאכלס נכסי פגישה רגישים, כדי להבטיח שהנתונים יישארו בגבולות גיאוגרפיים או ארגוניים מוגדרים.

מאובטח במיוחד Webex Meetings

מבחינה היסטורית, תכונות "Ultra Secure", כגון הצפנה מקצה לקצה אפס אמון (E2EE), דרשו לעתים קרובות פשרה בפונקציונליות של פגישות, מכיוון ששירותי ערך מוסף מבוססי ענן דרשו גישה למפתחות הצפנה, ורק מספר מוגבל של סוגי נקודות קצה יכלו להצטרף לפגישות אלה. Webex ביטלה פשרה זו באמצעות:

• אפס אמון עשיר בתכונות — Webex שינה את הפגישות המוצפנות מקצה לקצה (E2EE) של Zero Trust, והוסיפה פונקציונליות שהופכת את פגישות Zero Trust לעשירות בתכונות. תמיכה במספר רחב יותר של סוגי נקודות קצה מספקת חוויה חלקה מבלי לוותר על הכלים הדרושים לשיתוף פעולה מודרני.
• אפס אמון לפגישות סטנדרטיות — Webex שילבה יכולות Zero Trust E2EE ישירות בפגישות סטנדרטיות. זה מבטיח שאפילו שיתוף פעולה יומיומי יכול ליהנות מרמות האבטחה הגבוהות ביותר, ומספק הגנה עקבית בכל המערכת האקולוגית של Webex.

גישה מאוחדת לשיתוף פעולה

על ידי שילוב ריבונות לקוחות עם יכולות מתקדמות אלה של Zero Trust E2EE, Webex מאפשרת לארגונים להשיג מטרה כפולה: אירוח פגישות מאובטחות ביותר, Zero Trust בענן Webex תוך שמירה על שליטה מלאה בעיבוד ואחסון של תוכן פגישות קריטי במקום. סינרגיה זו מספקת את הגמישות והאבטחה הדרושים לסביבות ארגוניות מודרניות המונעות תאימות.

הרחבת גבול האבטחה באמצעות צומת רשת וידאו

הוספת צומת רשת וידאו לארגון מאפשרת ללקוחות לספק שירותי פגישות מקומיים, ומאפשרת לנקודות הקצה המקומיות שלהם להצטרף לכל פגישת Webex. מנקודת מבט של אבטחה, שילוב צומת רשת וידאו שומר על אפס אמון בענן Webex תוך שהוא מציע שוויון תכונות כמעט עם פגישות Webex רגילות. לקוחות נהנים גם מריבונות נתונים, שכן שירותים כגון הקלטות פגישות Video Mesh Node מעובדים ומאוחסנים במקום.

שימוש בהצפנה מקצה לקצה של Zero Trust עשוי להוסיף מספר שניות נוספות להצטרפות לפגישה, אך הוא מספק אבטחת אבטחה ברורה - רק למשתתפי הפגישה יש גישה למפתחות ההצפנה של הפגישה, כך שלא ניתן לפענח את תוכן הפגישה על ידי ספק השירות או מתווכים אחרים.

סיכום: Webex Meetings ודגמי פריסה היברידית

כפי שמוצג בהשוואה לעיל, פריסת צומת רשת וידאו (VMN) מאפשרת לאפס אמון Webex Meetings להשיג שוויון תכונות כמעט עם פגישות Webex רגילות. בעוד פגישות Zero Trust אינן תומכות במשתתפי PSTN, היישום מבוסס האינטרנט של Webex משמש כחלופה זמינה באופן נרחב לגישה מוצפנת מקצה לקצה. יתר על כן, VMN מאפשרת לעובדים מבוססי משרד המשתמשים בטלפונים שולחניים להצטרף בצורה חלקה לפגישות Zero Trust.

Video Mesh Node מבטיח גם ריבונות נתונים עבור תוכן פגישות קריטי, כולל הקלטות ובעתיד הקרוב תמלילים, סיכומים ופריטי פעולה. על ידי עיבוד ואחסון נתונים אלה באופן מקומי, VMN מספקת ללקוחות שליטה מלאה על המידע שלהם תוך שמירה על ארכיטקטורת Zero Trust בענן Webex.

איתות Webex מוצפן

שירותי Webex תומכים בגרסאות TLS 1.2 ו- 1.3, כאשר TLS 1.3 מועדף כאשר נתמך על ידי נקודת הקצה המחוברת. אם לקוח תומך רק ב- TLS 1.2, שרת Webex בוחר את חבילת הצופן הנפוצה החזקה ביותר המוצעת על ידי הלקוח. שלא כמו TLS 1.2, TLS 1.3 אינו משתמש בבחירת חבילת צופן העדפת שרת מכיוון שהוא מסתמך על קבוצה קטנה יותר ואוצרת של צופנים מודרניים. עיצוב זה מפשט את תהליך הבחירה, ומתמקד יותר בשיפורי ביצועים כגון הפחתת אורך לחיצת היד הכולל, תוך שמירה על אבטחה חזקה. חבילות הצופן עבור TLS 1.2 ו- 1.3 המשמשות את Webex מוגדרות היטב ועדיפות כדי להבטיח תקשורת מאובטחת.

סוויטות צופן TLS

חבילות צופן TLS 1.3 (שרתי TLS 1.3 אינם משתמשים בסדר העדפה לבחירת חבילה)

חבילות צופן TLS 1.2 (סוויטות בסדר מועדף על ידי השרת)

צופני ההצפנה AES_256_CBC ו- AES_128_CBC נתמכים כדי לשמור על תאימות למערכות מדור קודם, דפדפנים ישנים ומכשירים משובצים שאינם תומכים בצופן AEAD מודרני (הצפנה מאומתת עם נתונים משויכים) כמו AES-GCM למשל. Internet Explorer11 ב- Windows 7 וב- Windows 8.1, ספארי 6/7/8 במהדורות מוקדמות של iOS ו- macOS משתמשים בצפנים מבוססי CBC.

ה- CHACHA20_POLY1305 הוא צופן זרם בעל תלות נמוכה בחומרה, מה שהופך אותו לצופן מעולה לשימוש במכשירים ניידים או במכשירים עם מעבדים בעלי הספק נמוך.

תקני הצפנת מדיה עבור Webex

פגישות ושיחות Webex משתמשות בהצפנה חזקה מבוססת AES עבור כל מנות המדיה. חבילת הצופן הספציפית תלויה בסוג נקודת הקצה, כאשר AES-256-GCM משמש כתקן המועדף לאבטחה מיטבית.

שיקולי אבטחה מרכזיים

• תקן מועדף —AES-256-GCM הוא הצופן המומלץ לכל הפריסות כדי להבטיח את הרמה הגבוהה ביותר של שלמות נתונים וסודיות.
• יכולת פעולה הד דית — בעוד Webex שומרת על תמיכה בצופנים מדור קודם (כגון AES-CM-128-HMAC-SHA1) כדי להבטיח יכולת פעולה הדדית עם מערכות SIP ו- H.323 של צד שלישי, ארגונים המתעדפים ארכיטקטורת אפס אמון צריכים לאכוף AES-256-GCM כאשר תאימות ההתקן מאפשרת זאת.

פרוטוקולי הובלת מדיה

Webex תומך בהעברת מדיה באמצעות UDP, TCP או TLS. לקבלת ביצועי קול ווידאו אופטימליים, סיסקו ממליצה בחום על UDP.

שיקולי ביצועים:

• יעילות בזמן אמת —UDP היא התחבורה המועדפת על מדיה בזמן אמת מכיוון שהיא ממזערת חביון וריצוד על ידי הימנעות ממנגנוני השידור החוזר והחציצה הטמונים בפרוטוקולים מוכווני חיבור.
• השפעת TCP/TLS — בעוד TCP ו- TLS מספקים מסירת נתונים אמינה ומסודרת, התנהגות זו אינה מועילה למדיה בזמן אמת. השידורים החוזרים של מנות וחציצת הזרמים המתקבלים מציגים חביון וריצוד, מה שעלול לפגוע משמעותית באיכות החוויה עבור המשתתפים

שימוש ב- Webex ב- SRTP ו- SFrame למדיה

כדי לשמור על תקני האבטחה הגבוהים הנדרשים עבור סביבות WebExZero Trust, חשוב להבחין בין אבטחה ברמת תחבורה (SRTP) לבין הצפנה מקצה לקצה בשכבת היישום (SFrame).

הבחנות טכניות מרכזיות - SRTP ו- sFrame

1. SRTP (פרוטוקול הובלה מאובטח בזמן אמת)

   SRTP הוא תקן התעשייה לאבטחת זרמי מדיה במעבר.

   • היקף —הוא מספק סודיות, אימות הודעות והגנה על שידור חוזר עבור מטען ה- RTP.
   • הקשר תפע ולי — בארכיטקטורות רבות, שרת המדיה/שער המדיה (יחידת העברה סלקטיבית (SFU)) מסיים את חיבור ה- SRTP לביצוע עיבוד מדיה (לדוגמה, ערבוב, הרכב פריסה או קידוד). מכיוון שה- SFU מפענח את התקשורת כדי לעבד אותה, התקשורת פגיעה מבחינה טכנית בנקודת ה- SFU.
2. SFrame (מסגרת מאובטחת)

   SFrame הוא תקן IETF. RFC 9605 תוכנן במיוחד כדי להקל על הצפנה אמיתית מקצה לקצה בסביבת ועידה מרובת צדדים.

   • היקף —הוא מצפין מסגרות מדיה ארוזות לפני שהן נכלסות למנות RTP. Webex מוסיף שכבה נוספת של הצפנה באמצעות SRTP.
   • א@@ רכיטקטורת אמון אפס - מכיוון שהמדיה מוצפנת בשכבת היישום, ה- SFU פועל רק כממסר "עיוור". הוא מנתב את החבילות המוצפנות למשתתפים אחרים מבלי שתהיה לה גישה למפתחות הפענוח.
   • עצמאות —SFrame הוא אגנוסטי תחבורה. הוא נשאר מאובטח גם אם התחבורה הבסיסית (UDP/TCP/TLS) נפגעת, מכיוון שהקשר האבטחה קשור לנקודות הקצה של המשתתפים ולא לחיבור התחבורה.

SFrame הוא המנגנון הקריטי המאפשר E2EE. בעוד SRTP מבטיח שהנתונים מוצפנים בזמן חציית הרשת, SFrame מבטיח שהמדיה תישאר מוצפנת לאורך כל מחזור החיים של הפגישה, כולל בזמן שהיא שוכנת בתשתית של סיסקו (SFU), ובכך מסירה למעשה את ספק השירות מגבול האמון.

Webex Meetingsתוכן

תוכן הפגישה מורכב מנתונים שנוצרו על ידי המשתתפים או שנוצרו על ידי שירותי Webex מטעם מארח הפגישה. זה כולל:

• תוכן הקשור למדיה - הקלטות, תמלילים, סיכומים ופריטי פעולה.
• נתוני שיתוף פעולה — הודעות צ'אט, קבצים משותפים/מועברים, לוחות לבן והערות.

Webex Meetingsאבטחת תוכן — הצפנת Webex מקצה לקצה

Webex מאבטח את תוכן הפגישה שנוצר על ידי המשתתפים באמצעות מסגרת הצפנה מקצה לקצה חזקה (E2EE). מרכזי בארכיטקטורה זו הוא שירות ניהול מפתחות Webex (KMS), האח ראי על יצירת, הפצה וניהול של מפתחות ההצפנה עבור כל התוכן שנוצר על ידי המשתמשים.

פגישה עם שכבות אבטחת תוכן

• נתונים במעבר - מכשירי הו וידאו של Webex App ו- Cisco משתמשים בהצפנה מקצה לקצה של Webex (E2EE) עם AES-256-GCM כדי להצפין תוכן פגישה שנוצר על ידי משתמשים כגון הקלטות קבצי, קבצי סיכום AI, הודעות צ'אט וכו'. זה מכוסה עוד יותר בתוך אבטחת שכבת תחבורה (TLS) כדי לספק הגנה שכבתית כפולה במהלך השידור.
• נתונים במנוחה — לאחר אחסון בענן Webex, תוכן מוצפן מוגן בנוסף על ידי הצפנת דיסק AES-256-GCM.
• פרופיל הגנה — גישה זו מגנה על תוכן מפני יירוט TLS במהלך המעבר ומבטיחה שהנתונים המאוחסנים יישארו בלתי נגישים לשחקנים לא מורשים בסביבת הענן.

הצפנת Webex מקצה לקצה עם גישה לתוכן מנוהל עבור שירותי הליבה

שלא כמו הצפנה מקצה לקצה של Zero Trust, שבה ל- Webex אין גישה למפתחות הצפנת מדיה או תוכן, הצפנת Webex מקצה לקצה מאפשרת לפלטפורמה להשתמש במפתחות שנוצרו על ידי Webex KMS כדי לפענח נתונים עבור שירותי ליבה חיוניים. גישה מנוהלת זו מאפשרת:

• חיפוש ואינדקס — מאפשר למשתמשים לחפש בהיסטוריית התוכן.
• תאימות וממשל - מאפשר מניעת אובדן נתונים (DLP), גילוי אלקטרוני וארכיון נתונים.
• אופטימיזציה למדיה - תומך בהעברת קבצים לתאימות בין מכשירים.
• אבטחה - מקל על סריקת תוכנות זדוניות באמצעות חבילת האבטחה המורחבת.

Webex Meetingsמטא נתונים

מטא נתונים של פגישות מורכבים מהמידע הניהולי והטכני שנוצר על ידי המערכת כדי להקל, לעקוב ולנהל פגישה, ולא מהתוכן בפועל (שמע, וידאו או קבצים משותפים) של הפגישה עצמה. ניתן לחלק מטא נתונים למספר קטגוריות:

• מידע על הפעלה — כותרת פגישה, מזהה פגישה, זמני התחלה וסיום מתוזמנים ומשך הפגישה בפועל.
• נתוני משת תפים — רשימה של מוזמנים ומשתתפים בפועל, כתובות ה- IP שלהם, סוגי מכשירים (כגון Windows, iPhone, Cisco Room Kit) וחותמות הזמן של הצטרפות/יציאה שלהם.
• מד@@ די שימוש ואיכות - נתונים המשמשים לפתרון בעיות, כגון אובדן מנות, ריצוד, חביון ורזולוציה של זרם הווידאו.

כיצד משתמשים במטא-נתונים

1. ניתוח ודיווח - מנהלי מערכת משתמשים במטא נתונים ב-WebExControl Hub כדי לראות כמה פגישות מתקיימות, אילו מחלקות הפעילות ביותר ואת האיכות הכוללת של החוויה.
2. פתרון בעיות - Cisco TAC (מרכז הסיוע הטכני) משתמש במטא נתונים כדי לזהות ולפתור בעיות בפגישות.
3. ציות וחקירה אלקטרונית — קציני ציות יכולים לחפש במטא נתונים כדי להוכיח שהתקיימה פגישה, מי היה שם והאם היא נרשמה, גם אם הם לא יכולים לראות את התוכן המוצפן של הפגישה.
4. אבטחה — מטא נתונים מסייעים בזיהוי ניסיונות גישה לא מורשית או דפוסים חריגים שעשויים להצביע על איום אבטחה.

אבטחה ופרטיות של מטא נתונים

• הצפנה - אמנם מטא נתונים אינם "מוצפנים מקצה לקצה", הם עדיין מוצפנים במעבר (באמצעות TLS) ובמנוחה במרכזי הנתונים המאובטחים של סיסקו.
• בקרת גישה - מדיניות הפרטיות של סיסקו מגבילה בקפדנות את מי שיכול לגשת למטא נתונים אלה, והיא משמשת לספק ולשפר את השירות.

לקבלת מידע נוסף על תוכן ומטא-נתונים של פגישות Webex, עיין בגי לוי Webex Meetings ההצעה.

הקצאת סוגי הפעלות פגישות למשתמשים

מנהלי מערכת Webex Control Hub יכולים להקצות סוג פגישה אחד או יותר שהמשתמשים שלהם יכולים להשתמש בהם לפגישות מתוזמנות. כברירת מחדל, לכל המשתמשים מוקצים סוגי הפגישות Pro Meeting ו- Pro-End עד End Encryption _VoipOnly.

קביעת פגישה — בחר את סוג הפגישה

משתמשים יכולים לבחור את סוג הפגישה שבו הם רוצים להשתמש בעת תזמון פגישה מאפליקציית Webex, דף משתמש Webex ותוספת דואר אלקטרוני של Webex. Microsoft Outlook

קביעת פגישה — בחר את סוג הפגישה ביישום Webex

קביעת פגישה — בחר את סוג הפגישה מדף המשתמש של Webex

הגדרת סוג הפגישה המוגדר כברירת מחדל

משתמשים יכולים להגדיר את סוג הפגישה המוגדר כברירת מחדל מ הפ גישות > הגדרות בדף המשתמש שלהם ב- Webex.

הגדר את סוג הפגישה המוגדר כברירת מחדל מדף המשתמש של Webex

אפס אמון זהות מקצה לקצה ומניעת Deepfake

אישורי זהות של משתמשי קצה המסופקים על ידי הלקוח מהווים אבן יסוד למניעת התחזות בפגישות מוצפנות מקצה לקצה של Webex (E2EE). שלא כמו מנגנוני חסימת זיוף עמוק מסורתיים המסתמכים על ניתוח זרמי שמע ווידאו, גישה זו מספקת אימות זהות קריפטוגרפית בנקודת הקבלה. מצב מאומת זה מוצג ישירות בסגל הפגישות, ומספק שקיפות לכל המשתתפים.

Webex הרחיבה את התמיכה שלה באישורים המנוהלים על ידי לקוח - שהיו זמינים בעבר במכשירי RoomOS - לאפליקציית Webex כחלק מהתכונה "מניעת Deepfake" שלנו. ארגונים יכולים לספק ולנהל אישורים דיגיטליים משלהם, שהונפקו על ידי רשויות אישורים חיצוניות מהימנות (CA) באמצעות פרוטוקולים סטנדרטיים בתעשייה כמו ACME. אישורים אלה, המבוססים על תקני X.509 וזוגות מפתחות ECDSA P-256, מספקים הוכחה קריפטוגרפית לזהות המשתתפים במהלך פגישות E2EE.

זהות מאומתת מקצה לקצה ופרוטוקול MLS

פרוטוקול MLS (Messaging Layer Security) משתמש באישורי X.509 סטנדרטיים לאימות משתתפי פגישה. אישור הוא הצהרה חתומה דיגיטלית של CA מהימנה המאמתת את זהותו של בעל המפתח החתום. המשתתפים משיגים תעודות אלה בשתי שיטות עיקריות:

• התקנים מנוהלים (אישורים המסופקים על ידי לקוח) — עבור לקוחות מחשבים שולחניים ומכשירים ניידים המנוהלים על ידי הארגון, ניתן להתקין אישור זהות של CA מהימן במכשיר. כאשר משתמש מתחבר באמצעות כניסה יחידה (SSO), Webex App מאחזר אישור זה ממאגר האמון של מערכת ההפעלה כדי להציג את זהותו המאומתת של המשתמש. תהליך זה נתמך גם עבור התקני וידאו של Cisco הרשומים בענן Webex.
• ברירת מחדל (אישורים המסופקים על ידי Webex) — אם אין אישור שסיפק הלקוח זמין, הלקוח או ההתקן של Webex ישתמשו באופן אוטומטי באישור שהונפק על ידי WebexCertificate Authority, המשקף זהות המאומתת על ידי Cisco.

שיתוף זהויות ומנגנון נסיגה

במהלך פגישה, כל משתתף משתף את תעודת הזהות של Webex שלו, ואם קיימת, את תעודת הזהות המסופקת על ידי הלקוח עם כל המשתתפים האחרים. כדי להבטיח קישוריות חלקה, נקודת הקצה של Webex עוקבת אחר היררכיה קפדנית: היא נותנת עדיפות לאישור המסופק על ידי הלקוח לאימות; אם אישור זה חסר או נכשל באימות, המערכת חוזרת אוטומטית לתעודת הזהות המסופקת על ידי Webex.

הצגת מצב אימות זהות משתמש

כאשר המשתתפים מצטרפים לפגישה באמצעות מכשירי Webex App או RoomOS עם אישורים שסופקו על ידי הלקוח, זהותם מאומתת על ידי חברי פגישה אחרים מול CA המנפיק. זה מבטיח שרק משתמשים מורשים יזוהו, ומונע מהתוקפים להתחזות למשתתפים לגיטימיים, מכיוון שאישורים אלה קשורים באופן ייחודי לזהויות מאומתות ולא ניתן לזייף אותם על ידי סיסקו או מתווכים.

רשימת המשתתפים בפגישה מוצפנת E2E מציגה את מצב אימות הזהות של כל משתמש:

• אפס אמון E2E מאומת ( domain.com) —כאשר נעשה שימוש בתעודת זהות שסופקה על ידי הלקוח, הדומיין של המשתתף מוצג בטקסט כחול. זה מצביע על זהות אמיתית מאומתת E2E שסיסקו לא יכולה להתעסק איתה. לדוגמה, בסגל הפגישות, ייתכן שתראה של"קווין" יש כתובת דוא"ל מאומתת מ- example.com בכחול.
• Webex מאומת ( domain.com) — אישורים שהונפקו על ידי CA של Webex מספקים רמת הגנה מוגבלת יותר. למרות שהם עדיפים על כך שאין להם הגנה על זהות, משתתפים אלה אינם מסומנים כ"אפס אמון E2E מאומת." במקום זאת, מצב הזהות שלהם מוצג בטקסט אפור, המציין כי הזהות אושרה על ידי CA Webex.
• משתמש אורח לא מאומת ( לא מאומת) — למרות שזהותם של משתתפים אורחים אינה מאומתת (מכיוון שאין תהליך כניסה), הם עדיין זקוקים לאישור כדי להצטרף לקבוצת MLS לשיחה או לפגישה. אישור זה מונפק על ידי CA Webex ומשתמש ב"אנונימי" כשם המשתמש.

בנוסף, קוד אבטחה לפגישה הנגזר ממצב הקריפטוגרפי של כל המשתתפים מסייע בזיהוי התקפות של אדם באמצע בכך שהוא מאפשר למשתתפים לוודא שכולם חולקים את אותו הקשר של פגישה מאובטח. על ידי שילוב אימות זהות קריפטוגרפי עם הצפנה מקצה לקצה, תכונת "מניעת Deepfake" זו מציעה הגנה חזקה מפני התחזיות ואיומי מדיה סינתטיים, ושומרת על שלמות הפגישה וסודיות הן במכשירי Webex App והן במכשירי RoomOS.

ניהול השקת אישורים

ארגונים יכולים לפשט את ההשקה והניהול של אישורי זהות משתמשי קצה אלה המסופקים על ידי הלקוח על ידי התקנתם במכשירים המנוהלים ארגונית באמצעות יישומי ניהול מכשירים ניידים (MDM), ניהול יישומים ניידים (MAM) או ניהול ניידות ארגונית (EMM). פלטפורמות ניהול אלה מאפשרות למנהלי IT לספק, להגדיר ולשלוט באישורים ומדיניות אבטחה נלווית באופן מרכזי במגוון רחב של מכשירים, בין אם בבעלות תאגידית או בבעלות אישית. לדוגמה, Microsoft Intune תומך הן ביכולות MDM והן ביכולות MAM המאפשרות לארגונים לפרוס ולנהל את Webex App ואת תצורות האבטחה שלה, כולל אישורי זהות, במכשירים מנוהלים. באופן דומה, Cisco Meraki Systems Manager מספק יכולות MDM לרישום התקנים, דחיפת פרופילי תצורה ופריסת אישורים כדי להבטיח מצב מכשיר מהימן. מינוף פתרונות ניהול אלה מפחית תקורה ניהולית, מפשט את ניהול מחזור החיים של האישורים ומשפר את תנוחת האבטחה עבור פגישות Webex E2EE באמצעות תכונות "מניעת Deepfake".

שלושת עמודי התווך של הזהות

ניהול זהות וגישה יעיל (IAM) עבור Webex מסתמך על:

• הקצאה (CRUD) - ניהול מחזורי חיים של משתמשים (יצירה, קריאה, עדכון, מחיקה) כדי להבטיח ש"מקור האמת" תואם את פלטפורמת שיתוף הפעולה.
• אימות (AuthN) — אימות זהות משתמש באמצעות אישורים מאובטחים או אסימונים.
• הרשאה (AuthZ) — הגדרת הרשאות מפורטות ורמות גישה לממשק API לאחר האימות.

הקצאה וניהול מחזור חיים

Webex תומך במספר שיטות לסנכרון משתמשים וקבוצות:

• SCIM 2.0 — תקן הענן המועדף. הוא מבצע אוטומציה של מחזור החיים של המשתמש, ומבטיח שהעברה ב- IdP מבטלת אוטומטית את הגישה ל- Webex.
• מחבר ספריות — כלי של סיסקו לסביבות היברידיות, המגשר מק Active Directory ומי (AD) לענן Webex.
• הקצאה מבוססת ממשק API — משתמש ב-Webex "People API" ליצירת משתמשים פרוגרמטיים והקצאת רישיונות בסביבות מורכבות.
• LDAP מדור קודם — נתמך עבור ספריות מקומיות (לדוגמה, CUCM), אם כי פחות מותאם לתעבורת ענן מודרנית.

מסגרות אימות והרשאה

• אימות (AuthN):

• SAML 2.0 — התקן הארגוני לכניסה יחידה (SSO). Webex פועל כספק השירות (SP), ומאמת טענות XML מה-IdP הארגוני.
• OIDC (OpenID Connect) - שכבת זהות מודרנית וקלה משקל הבנויה על OAuth 2.0 באמצעות אסימוני אינטרנט JSON (JWTs). הוא תומך ב"כתובות URL של גילוי" לתצורה אוטומטית.

• הרשאה (AuthZ):

• OAuth 2.0 — מנהל גישה לממשק API באמצעות אסימוני גישה קצרי מועד (הגדרת היקפים) ואסימוני רענון ארוכי טווח. היא אוכפת אבטחה באמצעות PKCE (מפתח הוכחה להחלפת קוד) עבור לקוחות ציבוריים.

אינטגרציה ואסטרטגיות מרובות IDP

Webex מספקת נתיבים מיוחדים לשילוב חלק:

• אשף זיהוי כניסה — הנתיב המומלץ לסביבות Microsoft. הוא משתמש בממשק ה- API של Microsoft Graph לסנכרון תכונות מתקדם (אווטרים, היררכיות) ומבצע אוטומציה של תצורת OIDC/SAML.
• Duo Security - מוסיף "אבטחת זהות רציפה" על ידי אימות תנוחת המכשיר והפעלת MFA עמיד בפני פישינג.

תמיכה מרובה של IdP: Webex מאפשרת לארגונים לאחד מספר IDP עצמאיים בתוך רכזת בקרה אחת.

• מקרי שימוש - מיזוגים, רכישות או מחלקות IT מבוזרות.
• ניתוב — בקשות אימות מנותבות על סמך תחומים או קבוצות משתמשים.
• שיקול דעת — דורש תיאום קפדני כדי לשמור על מדיניות אבטחה עקבית בכל המקורות המאוחדים.

דוגמה לשילובי זהות IdP הנפוצים ביותר עם Webex:

שיטות עבודה מומלצות וחוסן

• שחזור SSO — השתמש תמיד בקישור המובנה "שחזור SSO" במרכז הבקרה כדי לעקוף את SSO באמצעות סיסמה חד פעמית (OTP) אם תצורת ה- IdP נכשלת.
• ניהול אישורים—מעקב אחר תפוגת תעודת SAML. אשף SSO מבצע אוטומציה של חילופי מטא נתונים, ומפחית שגיאות ידניות.
• פתרון בעיות — השתמש בכלי SAML Tracer לבדיקת קביעות XML ולאמת תבניות NameID אם מתעוררות בעיות אימות.
• תנוחת אבטחה - בטל באופן קבוע את סוגי המענקים מדור קודם וודא ש- PKCE מיושם עבור כל שילובי הלקוחות הציבוריים.

מסקנה - זהות עבור Webex Meetings

אסטרטגיית זהות חזקה היא תהליך מחזור חיים מתמשך. על ידי שילוב של SCIM להקצאה, OIDC/SAML לאימות ו- OAuth לאישור, ארגונים יכולים להבטיח חוויה מאובטחת ונטולת חיכוך למשתמשים תוך שמירה על בקרה ניהולית קפדנית.

מחזור החיים של פיתוח מאובטח של סיסקו

בסיסקו, אבטחה אינה מחשבה אחרונה. זוהי גישה ממושמעת לבנייה ואספקת מוצרים ושירותים ברמה עולמית מהיסוד. כל צוותי פיתוח המוצרים של Cisco ^® נדרשים לעקוב אחר מחזור החיים של פיתוח מאובטח של סיסקו. זהו תהליך שניתן לחזור ולמדיד שנועד להגביר את החוסן והאמינות של מוצרי סיסקו. השילוב של כלים, תהליכים והדרכת מודעות שהוצגו בכל שלבי מחזור החיים של הפיתוח מסייע להבטיח הגנה לעומק. זה גם מספק גישה הוליסטית לחוסן המוצר. צוות פיתוח המוצר של Webex עוקב בלהט אחר מחזור החיים הזה בכל היבט של פיתוח המוצר.

קרא עוד על מחזור החיים של פיתוח מאובטח.

כלי אבטחה בסיסיים של סיסקו

ארגון האבטחה והאמון של סיסקו מספק את התהליך ואת הכלים הדרושים המעניקים לכל מפתח את היכולת לנקוט עמדה עקבית כאשר הוא עומד בפני החלטת אבטחה.

קיום צוותים ייעודיים לבנייה ולספק כלים כאלה מסיר אי ודאות מתהליך פיתוח המוצר.

כמה דוגמאות לכלים כוללות:

• דרישות בסיס אבטחת מוצר (PSB) שהמוצרים חייבים לעמוד בהן
• כלים לבניית איומים המשמשים במהלך מידול איומים
• הנחיות קידוד
• ספריות מאומתות או מוסמכות בהן מפתחים יכולים להשתמש במקום לכתוב קוד אבטחה משלהם
• כלי בדיקת פגיעות אבטחה (לניתוח סטטי ודינמי) המשמשים לאחר הפיתוח לבדיקת פגמים באבטחה
• מעקב אחר תוכנה העוקב אחר ספריות של סיסקו ושל צד שלישי ומודיע לצוותי המוצר כאשר מזוהה פגיעות

מבנה ארגוני המעניק אבטחה בתהליכי סיסקו

לסיסקו יש מחלקות ייעודיות להנחיל ולנהל תהליכי אבטחה ברחבי החברה כולה. כדי להתעדכן כל הזמן באיומי האבטחה והאתגרים, סיסקו מסתמכת על:

• צוות ענן של סיסקו לאבטחת מידע (InfoSec)
• צוות התגובה לאירועי אבטחת מוצר של סיסקו (PSIRT)
• אחריות ביטחונית משותפת

ענן אינפוסק של סיסקו

בהנהגתו של מנהל האבטחה הראשי של ענן, צוות זה אחראי לספק סביבת Webex בטוחה ללקוחותינו. InfoSec משיגה זאת על ידי הגדרה ואכיפה של תהליכי אבטחה וכלים לכל הפונקציות הכרוכות במסירת Webex לידיים של לקוחותינו.

בנוסף, Cisco InfoSec Cloud עובד עם צוותים אחרים ברחבי סיסקו כדי להגיב לכל איומי אבטחה לשירות Webex.

Cisco InfoSec אחראית גם לשיפור מתמיד בעמדת האבטחה של Webex.

צוות התגובה לאירועי אבטחת מוצר של סיסקו (PSIRT)

Cisco PSIRT הוא צוות גלובלי ייעודי המנהל את הזרימה, החקירה והדיווח על בעיות אבטחה הקשורות למוצרים ושירותים של סיסקו. PSIRT משתמש במדיומים שונים לפרסום מידע, בהתאם לחומרת בעיית האבטחה. סוג הדיווח משתנה בהתאם לתנאים הבאים:

• קיימים תיקוני תוכנה או פתרונות לעקיפת הבעיה כדי לטפל בפגיעות, או גילוי פומבי של תיקוני קוד מתוכנן לטפל בפגיעויות בחומרה גבוהה
• PSIRT צפתה בניצול פעיל של פגיעות שעלולה להוביל לסיכון גדול יותר עבור לקוחות סיסקו. PSIRT עשוי להאיץ את פרסום הודעת אבטחה המתארת את הפגיעות במקרה זה ללא זמינות מלאה של תיקונים.
• מודעות הציבור לפגיעות המשפיעה על מוצרי סיסקו עשויה להוביל לסיכון גבוה יותר עבור לקוחות סיסקו. שוב, PSIRT עשוי להתריע ללקוחות, גם ללא זמינות מלאה של תיקונים.

בכל המקרים, PSIRT חושף את כמות המידע המינימלית שמשתמשי הקצה יצטרכו כדי להעריך את ההשפעה של פגיעות ולנקוט בצעדים הדרושים כדי להגן על סביבתם. PSIRT משתמש בסולם מערכת ניקוד הפגיעות המשותפת (CVSS) כדי לדרג את חומרת הבעיה שנחשפה. PSIRT אינו מספק פרטי פגיעות שיכולים לאפשר למישהו ליצור ניצול.

לקבלת מידע נוסף אודות PSIRT, ראה צוות התגובה לאירועי אבטחת המוצר של Cisco.

אחריות ביטחונית

למרות שכל אדם בקבוצת Webex אחראי על האבטחה, הכללים העיקריים הם כדלקמן:

• מנהל אבטחה ראשי, ענן
• סגן נשיא ומנהל כללי, יישומ Cisco Cloud י שיתוף פעולה
• סגן נשיא, הנדסה, יישומ Cisco Cloud י שיתוף פעולה
• סגן נשיא, ניהול מוצר, יישומ Cisco Cloud י שיתוף פעולה

בדיקות חדירה פנימיות וחיצוניות

קבוצת Webex מבצעת בדיקות חדירה קפדניות באופן קבוע, תוך שימוש במעריכים פנימיים. מעבר לנהלים הפנימיים המחמירים שלה, Cisco InfoSec מעסיקה גם מספר צדדים שלישיים עצמאיים לביצוע ביקורת קפדנית כנגד המדיניות, הנהלים והיישומים הפנימיים של סיסקו. ביקורות אלה נועדו לאמת דרישות אבטחה קריטיות למשימה עבור יישומים מסחריים וממשלתיים כאחד. סיסקו משתמשת גם בספקי צד שלישי כדי לבצע בדיקות חדירה שוטפות ומעמיקות בסיוע קוד והערכות שירות. במסגרת ההתקשרות, צד שלישי מבצע את הערכות האבטחה הבאות:

• זיהוי פגיעויות קריטיות של יישומים ושירותים והצעת פתרונות
• המלצה על אזורים כלליים לשיפור אדריכלי
• זיהוי שגיאות קידוד ומתן הדרכה לשיפורי תרגול קידוד

מעריכים צד שלישי עובדים ישירות עם צוות ההנדסה של Webex כדי להסביר ממצאים ולאמת את התיקון. עיין בחבילת הא מון של Webex Meetings מכתבי האישור למידע על אישור מבחן חדירה.

אבטחה פיזית

אבטחה פיזית במרכז הנתונים כוללת מעקב וידאו למתקנים ומבנים וזיהוי דו-גורמי כפייה לכניסה. בתוך מרכזי הנתונים של סיסקו, הגישה נשלטת באמצעות שילוב של קוראי תגים ובקרות ביומטריות. בנוסף, בקרות סביבתיות (לדוגמה, חיישני טמפרטורה ומערכות כיבוי אש) ותשתית המשכיות שירות (כגון גיבוי חשמל) עוזרים להבטיח שהמערכות פועלות ללא הפרעה.

שרתי מרכז הנתונים מחולקים ל"אזורי אמון ", בהתבסס על רגישות התשתית. לדוגמה, מסדי נתונים "כלואים", לתשתית הרשת יש חדרים ייעודיים וכל מדפי הציוד נעולים. רק אנשי האבטחה של סיסקו ומבקרים מורשים בליווי אנשי סיסקו יכולים להיכנס למרכזי הנתונים.

רשת הייצור של סיסקו היא רשת מהימנה ביותר: רק מעט מאוד אנשים עם רמות אמון גבוהות יש גישה לרשת.

אבטחת תשתיות ופלטפורמות

אבטחת פלטפורמה כוללת את האבטחה של הרשת, המערכות ומרכז הנתונים הכולל של Webex. כל המערכות עוברות בדיקת אבטחה יסודית ואימות קבלה לפני פריסת הייצור, כמו גם התקשות שוטפת שוטפת, תיקוני אבטחה וסריקה והערכה של פגיעות.

השרתים מתקשים באמצעות הנחיות יישום טכני אבטחה (STIGs) שפורסמו על ידי המכון הלאומי לתקנים וטכנולוגיה (NIST). חומות אש מגנות על היקף הרשת. רשימות בקרת גישה (ACL) מפרידות את אזורי האבטחה השונים. מערכות גילוי חדירות (IDS) קיימות, והפעילויות נחתמות ומנוטרות על בסיס רציף. סריקות אבטחה פנימיות וחיצוניות יומיות מתבצעות ברחבי Webex. כל המערכות מוקשות ומתוקנות כחלק מתחזוקה שוטפת. בנוסף, סריקת הפגיעות והערכות מבוצעות ברציפות.

המשכיות שירות והתאוששות מאסון הם מרכיבים קריטיים בתכנון האבטחה. העיצוב של מרכזי נתונים של סיסקו עם גיבויים גלובליים של אתרים וזמינות גבוהה מסייע לאפשר מעבר גיאוגרפי של שירותי Webex. אין נקודת כישלון אחת.

נתונים מנהליים

מידע אודות עובדים או נציגים של לקוח או צד שלישי אחר שנאסף ומשתמש על ידי סיסקו על מנת לנהל או לנהל את אספקת המוצרים או השירותים של סיסקו, או כדי לנהל או לנהל את חשבון הלקוח או של צד שלישי למטרות עסקיות של סיסקו עצמה.

נתונים מנהליים עשויים לכלול את השם, הכתובת, מספר הטלפון, כתובת הדוא"ל ומידע על ההתחייבויות החוזיות בין סיסקו לצד שלישי, בין אם נאספו בזמן ההרשמה הראשונית ובין אם מאוחר יותר בקשר לניהול או ניהול המוצרים והשירותים של סיסקו.

נתונים מנהליים עשויים לכלול גם את כותרת הפגישה, השעה ותכונות אחרות של הפגישות שנערכו ב- Webex על ידי עובדים או נציגים של לקוח. דוגמאות אחרות לנתונים ניהוליים עשויות לכלול כותרת פגישה, זמן פגישה ותכונות אחרות של הפגישות המתארחות ב- Webex.

נתוני לקוחות

זה כולל את כל הנתונים (כולל טקסט, שמע, וידאו, קבצי תמונה והקלטות) המסופקים לסיסקו על ידי לקוח בקשר לשימוש הלקוח במוצרים או בשירותים של סיסקו, או שפותחו על ידי סיסקו לבקשתו הספציפית של לקוח בהתאם להצהרת עבודה או חוזה.

נתוני הלקוח כוללים גם קבצי יומן רישום, תצורה או קושחה ומזבלות ליבה.

מדובר בנתונים שנלקחו ממוצר או שירות ומסופקים לסיסקו כדי לסייע לנו לפתור בעיה הקשורה לבקשת תמיכה. נתוני הלקוח אינם כוללים נתונים ניהוליים, נתוני תמיכה או נתוני טלמטריה.

נתוני תמיכה

מידע ש- Cisco אוספת כאשר לקוח שולח בקשה לשירותי תמיכה או פתרון בעיות אחר, כולל מידע על חומרה או תוכנה. הוא כולל פרטים הקשורים לאירוע התמיכה, כגון מידע על אימות, מידע על מצב המוצר, המערכת ונתוני הרישום אודות התקנות תוכנה ותצורות חומרה וקבצי מעקב אחר שגיאות. נתוני התמיכה אינם כוללים קבצי יומן רישום, תצורה או קושחה, או פסולת ליבה שנלקחו ממוצר ונמסרו לנו כדי לסייע לנו לפתור בעיה הקשורה לבקשת תמיכה, כולם דוגמאות לנתוני לקוחות.

נתוני טלמטריה

מידע שנוצר על ידי מערכות מכשור ורישום שנוצרו באמצעות השימוש והתפעול של המוצר או השירות.

כל הנתונים שנאספו בענן Webex מוגנים על ידי מספר שכבות של טכנולוגיות ותהליכי אבטחה חזקים. להלן דוגמאות לפקדים המוצבים בשכבות שונות של פעולות Webex להגנה על נתוני לקוחות:

• בקרת גישה פיזית - גישה פיזית נשלטת באמצעות ביומטריה, תגים ומעקב וידאו. הגישה למרכז הנתונים דורשת אישורים ומנוהלת באמצעות מערכת כרטיסים אלקטרונית.
• בקרת גישה לרשת — היקף הרשת של Webex מוגן על ידי חומות אש. כל תעבורת רשת הנכנסת או יוצאת ממרכז הנתונים של Webex מנוטרת באופן רציף באמצעות מערכת זיהוי חדירות (IDS). רשת Webex מחולקת גם לאזורי אבטחה נפרדים. התנועה בין האזורים נשלטת על ידי חומות אש ורשימות בקרת גישה (ACL).
• בקרות ניטור וניהול תש תיות — כל רכיב בתשתית, כולל התקני רשת, שרתי יישומים ומסדי נתונים, מתקשה להנחיות מחמירות. הם גם כפופים לסריקות קבועות כדי לזהות ולטפל בכל חששות ביטחוניים.
• בקרות קריפטוגר פיות — כפי שצוין קודם לכן, כל הנתונים אל מרכז הנתונים של Webex וממנו לאפליקציות Webex והתקני Webex הרשומים בענן מוצפנים, למעט תעבורת PSTN והתקני וידאו SIP/H323 לא מוצפנים בפגישה התומכת בענן. בנוסף, נתונים קריטיים המאוחסנים ב- Webex, כגון סיסמאות, מוצפנים.

עובדי סיסקו אינם ניגשים לנתוני לקוחות אלא אם הלקוח מבקש גישה מסיבות תמיכה. הגישה למערכות במקרה זה מותרת על ידי המנהל רק בהתאם לעקרון "הפרדת חובות". הוא ניתן רק על בסיס צורך לדעת ועם רמת הגישה הנדרשת לביצוע העבודה בלבד. גם גישת העובדים למערכות אלה נבדקת באופן קבוע לצורך תאימות. עובדים עם גישה כזו נדרשים לעבור הכשרה שנתית של הארגון הבינלאומי לתקינה (ISO) 27001 למודעות לאבטחת מידע.

בנוסף לבקרות מיוחדות אלה, כל עובד של סיסקו עובר בדיקת רקע, חותם על הסכם אי-גילוי (NDA) ומשלים הכשרה בקוד התנהגות עסקית (COBC).

חוק ניידות ואחריות לביטוח בריאות (HIPAA)

סיסקו יכולה לספק מידע בנוגע לפונקציונליות, הטכנולוגיה והאבטחה של Webex. ישות המכוסה ב- HIPAA תצטרך להתייעץ עם היועץ המשפטי שלה כדי לקבוע אם הפונקציונליות של Webex תואמת לתהליכים העסקיים שלה ומוכנה ל- GDPR.

• תאימות ל- GDPR
• גילוי הצ Webex Meetings עה של סיסקו

תקנים ואישורים בתעשייה

בנוסף לעמידה בסטנדרטים הפנימיים המחמירים שלנו, Webex גם מקיימת ללא הרף אימות של צד שלישי כדי להוכיח את מחויבותנו לאבטחת מידע. Webex הוא:

• אישורי ISO 27001, 27017, 27018 ו- 27701 מאושרים
• בקרות ארגון שירות (SOC) 2 סוג II מבוקרות
• SOC 3 מוסמך
• קוד התנהגות בענן
• CSTAR
• אישור קטלוג בקרות תאימות מחשוב ענן (C5)
• אישור FedRAMP (בקר באתר cisco.com/go/fedramp לפרטים נוספים, היקף וזמינות)

עיין בפור טל האמון של Cisco לקבלת סט שלם של מסמכי אבטחה, פרטיות ותאימות, כולל פרטים על התקנים והאישורים לעיל.