Hvala na povratnim informacijama.

Osnovne usluge i komponente Webex Meetingsa

• Webex Meetings dio je Webex Suitea koji pruža audio/video konferencije s mogućnostima dijeljenja sadržaja i web konferencija.
• Platforma uključuje više mikroservisa kao što su Usluga sastanaka, Usluga webinara, Usluga identiteta, Usluga snimanja, Usluga AI asistenta, Usluga analitike, Administratorska usluga i Medijska usluga.
• Webex Meetings podržava aplikacije i uređaje registrirane u oblaku, omogućujući korisnicima pridruživanje sastancima s različitih operativnih platformi i uređaja. Korisnici se također mogu pridružiti sastancima putem PSTN-a i SIP krajnjih točaka.

Arhitektura i implementacija

• Usluge Webex Meetingsa su regionalizirane i replicirane na više neovisnih podatkovnih centara kako bi se osigurala redundancija i visoka dostupnost.
• Medijske usluge su globalno distribuirane s klasterima medijskih poslužitelja u svakom podatkovnom centru, što osigurava lokalnu i geografsku redundanciju.
• Medijski poslužitelji obrađuju glas, video i dijeljenje sadržaja, a mediji su obično šifrirani pomoću AES-256-GCM-a.
• Arhitektura podržava šifriranu signalizaciju preko TLS/HTTPS i šifrirane medijske streamove.

Webex podržava pridruživanje sastancima s više platformi i uređaja, uključujući:

• Webex desktop aplikacija na Windowsima, Macu i Linuxu.
• Webex mobilna aplikacija za Android i iOS.
• Webex web aplikacija koja koristi Chrome, Edge, Safari, Firefox i druge preglednike.
• Cisco uređaji za sobe i stolni uređaji.
• Audio i video krajnje točke trećih strana temeljene na SIP standardima.
• PSTN uređaji.

Webex suverenitet kupaca

Kao odgovor na rastuću potražnju za smještajem podataka, Webex je uveo poboljšane mogućnosti suvereniteta. Počevši od snimanja, a uz podršku za više usluga koje će uskoro biti dostupne, organizacije sada mogu održavati kontrolu nad sadržajem svojih sastanaka pomoću:

• Lokalizirana obrada— Obrada sadržaja sastanka, kao što su snimke, unutar vlastite infrastrukture.
• Lokalna pohrana— Korištenje vlastitih usluga pohrane datoteka za pohranu osjetljivih podataka sa sastanaka, osiguravajući da podaci ostanu unutar određenih geografskih ili organizacijskih granica.

Ultra sigurni Webex sastanci

Povijesno gledano, "ultra sigurne" značajke, poput Zero Trust End-to-End Encryption (E2EE), često su zahtijevale kompromis u funkcionalnosti sastanaka, jer su usluge s dodanom vrijednošću u oblaku zahtijevale pristup ključevima za šifriranje, a samo ograničen broj vrsta krajnjih točaka mogao se pridružiti tim sastancima. Webex je eliminirao ovaj kompromis sa:

• Zero Trust bogat značajkama— Webex je transformirao Zero Trust End-to-Encrypted (E2EE) sastanke, dodajući funkcionalnosti koje Zero Trust sastanke čine bogatima značajkama. Podrška za širi broj vrsta krajnjih točaka pruža besprijekorno iskustvo bez žrtvovanja alata potrebnih za modernu suradnju.
• Zero Trust za standardne sastanke— Webex je integrirao Zero Trust E2EE mogućnosti izravno u standardne sastanke. To osigurava da čak i svakodnevna suradnja može imati koristi od najviših razina sigurnosti, pružajući dosljednu zaštitu u cijelom Webex ekosustavu.

Jedinstveni pristup suradnji

Integracijom Customer Sovereigntyja s ovim naprednim Zero Trust E2EE mogućnostima, Webex osnažuje organizacije da postignu dvostruki cilj: održavanje visoko sigurnih sastanaka s nultom pouzdanošću unutar Webex oblaka uz održavanje potpune kontrole nad obradom i pohranom kritičnog sadržaja sastanaka na lokalnoj razini. Ova sinergija pruža fleksibilnost i sigurnost potrebnu za moderna poslovna okruženja vođena usklađenošću.

Proširenje sigurnosne granice pomoću Video Mesh Nodea

Dodavanje Video Mesh čvora organizaciji omogućuje korisnicima pružanje usluga sastanaka na lokaciji i omogućuje njihovim lokalnim krajnjim točkama da se pridruže bilo kojem Webex sastanku. Sa sigurnosne perspektive, integracija Video Mesh čvora održava Zero Trust unutar Webex oblaka, a istovremeno nudi gotovo istu funkcionalnost kao i standardni Webex sastanci. Korisnici također imaju koristi od suvereniteta podataka, jer se usluge poput snimki sastanaka Video Mesh Nodea obrađuju i pohranjuju lokalno.

Korištenje Zero Trust end-to-end enkripcije može dodati nekoliko dodatnih sekundi pridruživanju sastanku, ali pruža jasno sigurnosno jamstvo - samo sudionici sastanka imaju pristup ključevima za šifriranje sastanka, tako da davatelj usluga ili drugi posrednici ne mogu dešifrirati sadržaj sastanka.

Sažetak: Webex Meetings i hibridni modeli implementacije

Kao što je prikazano u gornjoj usporedbi, implementacija Video Mesh Nodea (VMN) omogućuje Zero Trust Webex Meetingsu da postigne gotovo istu funkcionalnost kao i standardni Webex sastanci. Iako sastanci s nultom pouzdanošću ne podržavaju PSTN sudionike, Webex web-aplikacija služi kao široko dostupna alternativa za end-to-end šifrirani pristup. Nadalje, VMN omogućuje uredskim radnicima koji koriste stolne telefone da se besprijekorno pridruže sastancima Zero Trust.

Video Mesh Node također osigurava suverenitet podataka za ključni sadržaj sastanaka, uključujući snimke i - u bliskoj budućnosti - transkripte, sažetke i akcijske stavke. Obradom i pohranjivanjem ovih podataka lokalno, VMN pruža korisnicima potpunu kontrolu nad njihovim informacijama uz održavanje Zero Trust arhitekture unutar Webex oblaka.

Šifrirana Webex signalizacija

Webex usluge podržavaju TLS verzije 1.2 i 1.3, s tim da se TLS 1.3 preferira kada ga podržava krajnja točka povezivanja. Ako klijent podržava samo TLS 1.2, Webex poslužitelj odabire najjači zajednički paket šifri koji nudi klijent. Za razliku od TLS 1.2, TLS 1.3 ne koristi odabir šifri prema preferencijama poslužitelja jer se oslanja na manji, kurirani skup modernih šifri. Ovaj dizajn pojednostavljuje proces odabira, fokusirajući se više na poboljšanja performansi poput smanjenja ukupne duljine rukovanja, uz održavanje snažne sigurnosti. Šifri za TLS 1.2 i 1.3 koje koristi Webex su dobro definirani i imaju prioritet kako bi se osigurala sigurna komunikacija.

TLS paketi šifriranja

TLS 1.3 paketi šifri (TLS 1.3 poslužitelji ne koriste redoslijed preferencija za odabir paketa)

TLS 1.2 paketi šifri (paketi u redoslijedu koji preferira poslužitelj)

AES_256_CBC i AES_128_CBC šifre za šifriranje su podržane kako bi se održala kompatibilnost sa starijim sustavima, preglednicima i ugrađenim uređajima koji ne podržavaju moderne AEAD (Authenticated Encryption with Associated Data) šifre poput AES-GCM-a, npr. Internet Explorer 11 na Windowsima 7 i Windowsima 8.1, Safari 6/7/8 na ranim izdanjima iOS-a i MacOS-a koriste šifre temeljene na CBC-u.

CHACHA20_POLY1305 je stream šifra koja ima nisku ovisnost o hardveru, što je čini superiornom šifrom za korištenje na mobilnim uređajima ili uređajima s procesorima male snage.

Standardi šifriranja medija za Webex

Webex sastanci i pozivi koriste robusnu AES enkripciju za sve medijske pakete. Specifičan paket šifri ovisi o vrsti krajnje točke, pri čemu AES-256-GCM služi kao preferirani standard za optimalnu sigurnost.

Ključna sigurnosna razmatranja

• Preferirani standard— AES-256-GCM je preporučena šifra za sve implementacije kako bi se osigurala najviša razina integriteta i povjerljivosti podataka.
• Interoperabilnost— Iako Webex održava podršku za naslijeđene šifre (kao što je AES-CM-128-HMAC-SHA1) kako bi se osigurala interoperabilnost s SIP i H.323 sustavima trećih strana, organizacije koje daju prioritet arhitekturi nultog povjerenja trebale bi provoditi AES-256-GCM gdje god to kompatibilnost uređaja dopušta.

Protokoli za prijenos medija

Webex podržava prijenos medija putem UDP-a, TCP-a ili TLS-a. Za optimalne glasovne i video performanse, Cisco toplo preporučuje UDP.

Razmatranja performansi:

• Učinkovitost u stvarnom vremenu— UDP je preferirani transport za medije u stvarnom vremenu jer minimizira latenciju i podrhtavanje izbjegavajući mehanizme ponovnog prijenosa i međuspremnika svojstvene protokolima orijentiranim na vezu.
• Utjecaj TCP/TLS—Iako TCP i TLS pružaju pouzdanu, uređenu dostavu podataka, ovo ponašanje je kontraproduktivno za medije u stvarnom vremenu. Rezultirajuće ponovne transmisije paketa i međuspremnik streama unose latenciju i podrhtavanje, što može značajno smanjiti kvalitetu iskustva za sudionike.

Webexova upotreba SRTP-a i SFramea za medije

Kako bi se održali visoki sigurnosni standardi potrebni za WebexZero Trust okruženja, važno je razlikovati sigurnost na razini transporta (SRTP) i šifriranje od kraja do kraja na razini aplikacije (SFrame).

Ključne tehničke razlike - SRTP & SFrame

1. SRTP (Secure Real-time Transport Protocol)

   SRTP je industrijski standard za zaštitu medijskih tokova tijekom prijenosa.

   • Opseg— Pruža povjerljivost, autentifikaciju poruka i zaštitu od ponovnog reprodukcije za RTP korisni teret.
   • Operativni kontekst— U mnogim arhitekturama, medijski poslužitelj/medijski pristupnik (jedinica za selektivno prosljeđivanje (SFU)) prekida SRTP vezu kako bi izvršio obradu medija (na primjer, miksanje, sastavljanje izgleda ili transkodiranje). Budući da SFU dešifrira medij kako bi ga obradio, medij je tehnički ranjiv u SFU točki.
2. SFrame (Sigurni okvir)

   SFrame je IETF standard. RFC 9605 je posebno dizajniran za olakšavanje istinskog end-to-end šifriranja u okruženju višestrane konferencije.

   • Opseg—Šifrira paketizirane medijske okvire prije nego što se enkapsuliraju u RTP pakete. Webex dodaje dodatni sloj šifriranja pomoću SRTP-a.
   • Arhitektura nultog povjerenja— Budući da je medij šifriran na aplikacijskom sloju, SFU djeluje samo kao "slijepi" relej. Usmjerava šifrirane pakete drugim sudionicima bez ikakvog pristupa ključevima za dešifriranje.
   • Neovisnost—SFrame je neovisan o transportu. Ostaje siguran čak i ako je temeljni prijevoz (UDP/TCP/TLS) je ugrožen, jer je sigurnosni kontekst vezan za krajnje točke sudionika, a ne za transportnu vezu.

SFrame je ključni mehanizam koji omogućuje E2EE. Dok SRTP osigurava šifriranje podataka tijekom prijenosa kroz mrežu, SFrame osigurava da mediji ostanu šifrirani tijekom cijelog životnog ciklusa sastanka, uključujući i dok se nalaze na Ciscovoj infrastrukturi (SFU), učinkovito uklanjajući pružatelja usluga iz granice povjerenja.

Sadržaj Webex sastanaka

Sadržaj sastanka sastoji se od podataka koje su kreirali sudionici ili koje su generirale Webex usluge u ime domaćina sastanka. Navedeno uključuje:

• Sadržaj vezan uz medije— Snimke, transkripti, sažeci i akcijski planovi.
• Podaci o suradnji—Poruke u chatu, shared/transferred datoteke, bijele ploče i bilješke.

Sigurnost sadržaja Webex Meetingsa – Webex end-to-end enkripcija

Webex osigurava sadržaj sastanka koji generiraju sudionici pomoću robusnog okvira za end-to-end enkripciju (E2EE). Središnji dio ove arhitekture je Webex usluga upravljanja ključevima (KMS), koja je odgovorna za generiranje, distribuciju i upravljanje ključevima za šifriranje za sav sadržaj koji generiraju korisnici.

Slojevi sigurnosti sadržaja sastanka

• Podaci u tranzitu— Webex aplikacija i Cisco video uređaji koriste Webex end-to-end enkripciju (E2EE) s AES-256-GCM za šifriranje sadržaja sastanka koji generiraju korisnici, kao što su datoteke snimanja, datoteke sažetaka umjetne inteligencije, poruke u chatu itd. To je dodatno enkapsulirano unutar Transport Layer Security (TLS) protokola kako bi se osigurala dvoslojna zaštita tijekom prijenosa.
• Podaci u stanju mirovanja— Nakon što se pohrani u Webex oblak, šifrirani sadržaj dodatno je zaštićen AES-256-GCM enkripcijom diska.
• Profil zaštite— Ovaj pristup štiti sadržaj od presretanja TLS-a tijekom prijenosa i osigurava da pohranjeni podaci ostanu nedostupni neovlaštenim akterima unutar okruženja oblaka.

Webex end-to-end enkripcija s upravljanim pristupom sadržaju za Core Services

Za razliku od Zero Trust end-to-end enkripcije, gdje Webex nema pristup ključevima za enkripciju medija ili sadržaja, Webex end-to-end enkripcija omogućuje platformi korištenje ključeva generiranih od strane Webex KMS-a za dešifriranje podataka za bitne osnovne usluge. Ovaj upravljani pristup omogućuje:

• Pretraživanje i indeksiranje— Omogućuje korisnicima pretraživanje povijesti sadržaja.
• Usklađenost i upravljanje— Omogućuje sprječavanje gubitka podataka (DLP), e-otkrivanje i arhiviranje podataka.
• Optimizacija medija— Podržava transkodiranje datoteka za kompatibilnost između različitih uređaja.
• Sigurnost— Olakšava skeniranje zlonamjernog softvera pomoću proširenog sigurnosnog paketa.

Metapodaci Webex sastanaka

Metapodaci sastanaka sastoje se od administrativnih i tehničkih informacija koje generira sustav za olakšavanje, praćenje i upravljanje sastankom, a ne od samog sadržaja (audio, video ili dijeljene datoteke) samog sastanka. Metapodaci se mogu podijeliti u nekoliko kategorija:

• Informacije o sesiji— Naslov sastanka, ID sastanka, planirano vrijeme početka i završetka te stvarno trajanje sastanka.
• Podaci o sudionicima— Popis pozvanih i stvarnih sudionika, njihove IP adrese, vrste uređaja (kao što su Windows, iPhone, Cisco Room Kit) i njihovi join/leave vremenskih oznaka.
• Metrike korištenja i kvalitete— Podaci korišteni za rješavanje problema, kao što su gubitak paketa, podrhtavanje, latencija i razlučivost video streama.

Kako se koriste metapodaci

1. Analitika i izvještavanje— Administratori koriste metapodatke u WebexControl Hubu kako bi vidjeli koliko se sastanaka održava, koji su odjeli najaktivniji i ukupnu kvalitetu iskustva.
2. Rješavanje problema— Cisco TAC (Centar za tehničku pomoć) koristi metapodatke za identifikaciju i rješavanje problema sa sastancima.
3. Usklađenost i e-otkrivanje— Službenici za usklađenost mogu pretraživati metapodatke kako bi dokazali da se sastanak održao, tko je bio tamo i je li snimljen, čak i ako ne mogu vidjeti šifrirani sadržaj sastanka.
4. Sigurnost— Metapodaci pomažu u prepoznavanju pokušaja neovlaštenog pristupa ili neobičnih obrazaca koji bi mogli ukazivati na sigurnosnu prijetnju.

Sigurnost i privatnost metapodataka

• Šifriranje— Iako metapodaci nisu "šifrirani od početka do kraja", i dalje su šifrirani tijekom prijenosa (pomoću TLS-a) i u mirovanju u Ciscovim sigurnim podatkovnim centrima.
• Kontrola pristupa— Ciscove politike privatnosti strogo ograničavaju tko može pristupiti ovim metapodacima, a oni se koriste za pružanje i poboljšanje usluge.

Za više informacija o sadržaju i metapodacima Webex sastanaka pogledajte Objavu o ponudi Webex Meetings.

Dodjeljivanje vrsta sesija sastanka korisnicima

Administratori Webex Control Huba mogu dodijeliti jednu ili više vrsta sastanaka koje njihovi korisnici mogu koristiti za zakazane sastanke. Prema zadanim postavkama, svim korisnicima su dodijeljene vrste sastanaka Pro Meeting i Pro-End to End Encryption_VoIPonly.

Zakažite sastanak – odaberite vrstu sastanka

Korisnici mogu odabrati vrstu sastanka koju žele koristiti prilikom zakazivanja sastanka iz Webex aplikacije, Webex korisničke stranice i Webex dodatka za e-poštu za Microsoft Outlook.

Zakažite sastanak – odaberite vrstu sastanka u aplikaciji Webex

Zakažite sastanak – odaberite vrstu sastanka s korisničke stranice Webexa

Postavljanje zadane vrste sastanka

Korisnici mogu postaviti zadanu vrstu sastanka iz Sastanci > Postavke na njihovoj korisničkoj stranici Webexa.

Postavite zadanu vrstu sastanka s korisničke stranice Webexa

Zero Trust end-to-end identitet i sprječavanje deepfake-a

Certifikati identiteta krajnjeg korisnika koje osiguravaju klijenti temelj su sprječavanja lažnog predstavljanja u Webex sastancima šifriranim od početka do kraja (E2EE). Za razliku od tradicionalnih mehanizama za blokiranje deepfakeova koji se oslanjaju na analizu audio i video streamova, ovaj pristup omogućuje kriptografsku validaciju identiteta u trenutku pristupa. Ovaj potvrđeni status prikazuje se izravno u popisu sudionika sastanka, što svim sudionicima pruža transparentnost.

Webex je proširio svoju podršku za certifikate kojima upravljaju korisnici – prethodno dostupne na RoomOS uređajima – na Webex aplikaciju kao dio naše značajke "Deepfake prevention". Organizacije mogu osigurati i upravljati vlastitim digitalnim certifikatima koje izdaju pouzdani vanjski izdavatelji certifikata (CA) koristeći standardne protokole industrije poput ACME-a. Ovi certifikati, temeljeni na X.509 standardima i ECDSA P-256 parovima ključeva, pružaju kriptografski dokaz identiteta sudionika tijekom E2EE sastanaka.

Potvrđeni identitet od početka do kraja i MLS protokol

Protokol Messaging Layer Security (MLS) koristi standardne X.509 certifikate za autentifikaciju sudionika sastanka. Certifikat je digitalno potpisana izjava pouzdanog CA-a koja provjerava identitet vlasnika ključa za potpisivanje. Sudionici dobivaju ove certifikate na dva glavna načina:

• Upravljani uređaji (certifikati koje osiguravaju klijenti)— Za klijente na stolnim računalima i mobilnim uređajima kojima upravlja organizacija, na uređaj se može instalirati certifikat identiteta od pouzdanog CA. Kada se korisnik prijavi pomoću jednokratne prijave (SSO), Webex aplikacija dohvaća ovaj certifikat iz pohrane pouzdanih podataka operativnog sustava kako bi predstavila provjereni identitet korisnika. Ovaj postupak je također podržan za Cisco video uređaje registrirane u Webex oblaku.
• Zadano (Webex certifikati)— Ako nije dostupan certifikat koji je dao korisnik, Webex klijent ili uređaj automatski koristi certifikat koji je izdao Webex Certificate Authority, a koji odražava identitet koji je provjerio Cisco.

Dijeljenje identiteta i rezervni mehanizam

Tijekom sastanka svaki sudionik dijeli svoj Webex certifikat identiteta i, ako je dostupan, certifikat identiteta koji je dostavio korisnik sa svim ostalim sudionicima. Kako bi se osigurala besprijekorna povezivost, Webex krajnja točka slijedi strogu hijerarhiju: Prioritet za provjeru daje certifikatu koji je dostavio korisnik; ako taj certifikat nedostaje ili ne prođe validaciju, sustav se automatski vraća na certifikat identiteta koji je dostavio Webex.

Prikaz statusa provjere identiteta korisnika

Kada se sudionici pridruže sastanku pomoću Webex aplikacije ili RoomOS uređaja s certifikatima koje je dostavio korisnik, drugi sudionici sastanka provjeravaju njihov identitet u odnosu na izdavatelja certifikata. To osigurava da se prepoznaju samo ovlašteni korisnici, sprječavajući napadače da se lažno predstavljaju kao legitimni sudionici, jer su ti certifikati jedinstveno povezani s provjerenim identitetima i Cisco ili posrednici ih ne mogu krivotvoriti.

Popis sudionika u E2E-šifriranom sastanku prikazuje status provjere identiteta svakog korisnika:

• Zero-Trust E2E Verified ( domain.com )—Kada se koristi certifikat identiteta koji je dostavio korisnik, domena sudionika prikazuje se plavim tekstom. To ukazuje na istinski E2E-verificirani identitet koji Cisco ne može mijenjati. Na primjer, na popisu sastanka možete vidjeti da "Kevin" ima potvrđenu adresu e-pošte s example.com označenu plavom bojom.
• Webex-Verified ( domain.com) – Certifikati koje izdaje Webex CA pružaju ograničeniju razinu zaštite. Iako su bolji od toga da nemaju zaštitu identiteta, ovi sudionici nisu označeni kao "Zero Trust E2E verificirani". Umjesto toga, njihov status identiteta prikazuje se sivim tekstom, što ukazuje na to da je identitet provjerio Webex CA.
• Nepotvrđeni gostujući korisnik ( Nepotvrđeno) – Iako identitet gostujućih sudionika nije provjeren (jer ne postoji postupak prijave), i dalje im je potreban certifikat za pridruživanje MLS grupi za poziv ili sastanak. Ovaj certifikat izdaje Webex CA i koristi "anonymous" kao korisničko ime.

Osim toga, sigurnosni kod sastanka izveden iz kriptografskog stanja svih sudionika pomaže u otkrivanju napada tipa "posrednik" omogućujući sudionicima da provjere dijele li svi isti sigurni kontekst sastanka. Kombiniranjem kriptografske provjere identiteta s end-to-end enkripcijom, ova značajka "Deepfake prevencije" nudi snažnu obranu od lažnog predstavljanja i prijetnji sintetičkim medijima, štiteći integritet i povjerljivost sastanka na Webex aplikaciji i RoomOS uređajima.

Upravljanje implementacijom certifikata

Organizacije mogu pojednostaviti implementaciju i upravljanje ovim certifikatima identiteta krajnjih korisnika koje pružaju kupci instaliranjem u korporativno upravljane uređaje pomoću aplikacija za upravljanje mobilnim uređajima (MDM), upravljanje mobilnim aplikacijama (MAM) ili upravljanje mobilnošću poduzeća (EMM). Ove platforme za upravljanje omogućuju IT administratorima centralizirano pružanje, konfiguriranje i kontrolu certifikata i povezanih sigurnosnih politika na širokom rasponu uređaja, bilo da su u vlasništvu tvrtki ili u privatnom vlasništvu. Na primjer, Microsoft Intune podržava i MDM i MAM mogućnosti koje organizacijama omogućuju implementaciju i upravljanje Webex aplikacijom i njezinim sigurnosnim konfiguracijama, uključujući certifikate identiteta, na upravljanim uređajima. Slično tome, Cisco Meraki Systems Manager pruža MDM mogućnosti za registraciju uređaja, slanje konfiguracijskih profila i implementaciju certifikata kako bi se osigurao status pouzdanog uređaja. Korištenje ovih rješenja za upravljanje smanjuje administrativne troškove, pojednostavljuje upravljanje životnim ciklusom certifikata i poboljšava sigurnosnu poziciju za Webex E2EE sastanke pomoću značajki "Deepfake prevencije".

Tri stupa identiteta

Učinkovito upravljanje identitetom i pristupom (IAM) za Webex oslanja se na:

• Pružanje usluga (CRUD) – Upravljanje životnim ciklusima korisnika (stvaranje, čitanje, ažuriranje, brisanje) kako bi se osiguralo da "Izvor istine" odgovara platformi za suradnju.
• Autentifikacija (AuthN) – Provjera identiteta korisnika putem sigurnih vjerodajnica ili tokena.
• Autorizacija (AuthZ) – Definiranje detaljnih dozvola i razina pristupa API-ju nakon autentifikacije.

Pružanje usluga & Upravljanje životnim ciklusom

Webex podržava nekoliko metoda za sinkronizaciju korisnika i grupa:

• SCIM 2.0—Preferirani standard za oblak. Automatizira životni ciklus korisnika, osiguravajući da isključivanje u IdP-u automatski ukida pristup Webexu.
• Directory Connector— Cisco alat za hibridna okruženja koji premošćuje lokalni Active Directory (AD) s Webex Cloudom.
• Pružanje usluga temeljeno na API-ju— Koristi Webex "People API" za programsko stvaranje korisnika i dodjelu licenci u složenim okruženjima.
• Naslijeđeni LDAP— Podržano za lokalne direktorije (npr. CUCM), iako manje optimizirano za moderni promet u oblaku.

Autentifikacija & Okviri za autorizaciju

• Autentifikacija (AuthN):

• SAML 2.0—Poslovni standard za jednokratnu prijavu (SSO). Webex djeluje kao pružatelj usluga (SP), provjeravajući XML tvrdnje od korporativnog IdP-a.
• OIDC (OpenID Connect)—Moderan, lagani sloj identiteta izgrađen na OAuth 2.0 pomoću JSON web tokena (JWT-ova). Podržava "Discovery URL-ove" za automatsku konfiguraciju.

• Autorizacija (AuthZ):

• OAuth 2.0— Upravlja API pristupom putem kratkotrajnih tokena za pristup (koji definiraju opsege) i dugotrajnih tokena za osvježavanje. Provodi sigurnost putem PKCE-a (Proof Key for Code Exchange) za javne klijente.

Integracija & Strategije za višestruke IdP-ove

Webex nudi specijalizirane puteve za besprijekornu integraciju:

• Čarobnjak za unos ID-a—Preporučena putanja za Microsoftova okruženja. Koristi Microsoft Graph API za naprednu sinkronizaciju atributa (avatari, hijerarhije) i automatizira OIDC/SAML konfiguracija.
• Duo Security— Dodaje "Kontinuiranu sigurnost identiteta" provjerom položaja uređaja i omogućavanjem višefaktorske autentifikacije otporne na krađu identiteta.

Podrška za više IdP-ova:Webex omogućuje organizacijama povezivanje više neovisnih IdP-ova unutar jednog Control Huba.

• Slučajevi upotrebe - spajanja, akvizicije ili decentralizirani IT odjeli.
• Usmjeravanje – Zahtjevi za autentifikaciju usmjeravaju se na temelju domena ili korisničkih grupa.
• Razmatranje – Zahtijeva strogu koordinaciju kako bi se održale dosljedne sigurnosne politike u svim federiranim izvorima.

Primjer najčešćih integracija IdP identiteta s Webexom:

Najbolje prakse i otpornost

• Oporavak SSO-a – Uvijek koristite ugrađenu vezu "Oporavak SSO-a" u Control Hubu kako biste zaobišli SSO putem jednokratne lozinke (OTP) ako konfiguracija IdP-a ne uspije.
• Upravljanje certifikatima – Praćenje isteka SAML certifikata. Čarobnjak za jednokratnu prijavu automatizira razmjenu metapodataka, smanjujući ručne pogreške.
• Rješavanje problema – Koristite alat SAML Tracer za pregled XML tvrdnji i validaciju formata NameID-a ako se pojave problemi s autentifikacijom.
• Sigurnosna politika – Redovito ukidajte naslijeđene vrste granta i osigurajte da je PKCE implementiran za sve integracije javnih klijenata.

Zaključak - Identitet za Webex sastanke

Robusna strategija identiteta je kontinuirani proces životnog ciklusa. Kombiniranjem SCIM-a za opskrbu, OIDC/SAML za autentifikaciju i OAuth za autorizaciju, organizacije mogu osigurati sigurno i besprijekorno iskustvo za korisnike uz održavanje stroge administrativne kontrole.

Cisco životni ciklus sigurnog razvoja

U Ciscu, sigurnost nije sporedna stvar. To je discipliniran pristup izgradnji i isporuci proizvoda i usluga svjetske klase od temelja. Svi timovi za razvoj proizvoda tvrtke Cisco^® moraju slijediti Cisco Secure Development Lifecycle. To je ponovljiv i mjerljiv proces osmišljen za povećanje otpornosti i pouzdanosti Cisco proizvoda. Kombinacija alata, procesa i obuke za podizanje svijesti uvedene u svim fazama životnog ciklusa razvoja pomaže u osiguravanju dubinske obrane. Također pruža holistički pristup otpornosti proizvoda. Webexov tim za razvoj proizvoda strastveno prati ovaj životni ciklus u svakom aspektu razvoja proizvoda.

Pročitajte više o sigurnom životnom ciklusu razvoja.

Cisco temeljni sigurnosni alati

Ciscova organizacija za sigurnost i povjerenje pruža proces i potrebne alate koji svakom programeru daju mogućnost zauzimanja dosljednog stava prilikom donošenja sigurnosne odluke.

Posjedovanje predanih timova za izgradnju i pružanje takvih alata uklanja neizvjesnost iz procesa razvoja proizvoda.

Neki primjeri alata uključuju:

• Osnovni zahtjevi sigurnosti proizvoda (PSB) koje proizvodi moraju ispunjavati
• Alati za izradu prijetnji koji se koriste tijekom modeliranja prijetnji
• Smjernice za kodiranje
• Validirane ili certificirane biblioteke koje programeri mogu koristiti umjesto pisanja vlastitog sigurnosnog koda
• Alati za testiranje sigurnosnih ranjivosti (za statičku i dinamičku analizu) koji se koriste nakon razvoja za testiranje sigurnosnih nedostataka
• Praćenje softvera koje nadzire Cisco i biblioteke trećih strana te obavještava timove za proizvode kada se identificira ranjivost

Organizacijska struktura koja usađuje sigurnost u Cisco procese

Cisco ima namjenske odjele za uvođenje i upravljanje sigurnosnim procesima u cijeloj tvrtki. Kako bi stalno bio u tijeku sa sigurnosnim prijetnjama i izazovima, Cisco se oslanja na:

• Cisco tim za sigurnost informacija (InfoSec) u oblaku
• Cisco tim za odgovor na incidente sigurnosti proizvoda (PSIRT)
• Zajednička odgovornost za sigurnost

Cisco InfoSec Cloud

Predvođen glavnim direktorom sigurnosti za oblak, ovaj tim je odgovoran za pružanje sigurnog Webex okruženja našim korisnicima. InfoSec to postiže definiranjem i provođenjem sigurnosnih procesa i alata za sve funkcije uključene u isporuku Webexa našim klijentima.

Osim toga, Cisco InfoSec Cloud surađuje s drugim timovima diljem Cisca kako bi odgovorio na sve sigurnosne prijetnje Webex usluzi.

Cisco InfoSec je također odgovoran za kontinuirano poboljšanje sigurnosne politike Webexa.

Cisco tim za odgovor na incidente sigurnosti proizvoda (PSIRT)

Cisco PSIRT je posvećeni globalni tim koji upravlja prilivom, istraživanjem i prijavljivanjem sigurnosnih problema povezanih s Cisco proizvodima i uslugama. PSIRT koristi različite medije za objavljivanje informacija, ovisno o ozbiljnosti sigurnosnog problema. Vrsta izvještavanja varira ovisno o sljedećim uvjetima:

• Postoje softverske zakrpe ili zaobilazna rješenja za rješavanje ranjivosti ili se planira naknadno javno objavljivanje ispravaka koda kako bi se riješile ranjivosti visoke ozbiljnosti.
• PSIRT je uočio aktivno iskorištavanje ranjivosti koja bi mogla dovesti do većeg rizika za Ciscove korisnike. PSIRT može ubrzati objavu sigurnosne obavijesti koja opisuje ranjivost u ovom slučaju bez potpune dostupnosti zakrpa.
• Javna svijest o ranjivosti koja utječe na Ciscove proizvode može dovesti do većeg rizika za Ciscove korisnike. PSIRT opet može upozoriti korisnike, čak i bez potpune dostupnosti zakrpa.

U svim slučajevima, PSIRT otkriva minimalnu količinu informacija koje će krajnjim korisnicima trebati za procjenu utjecaja ranjivosti i poduzimanje koraka potrebnih za zaštitu njihovog okruženja. PSIRT koristi ljestvicu Zajedničkog sustava bodovanja ranjivosti (CVSS) za rangiranje ozbiljnosti otkrivenog problema. PSIRT ne pruža detalje o ranjivostima koji bi nekome mogli omogućiti izradu iskorištavanja.

Za više informacija o PSIRT-u pogledajte Cisco Product Security Incident Response Team.

Odgovornost za sigurnost

Iako je svaka osoba u Webex grupi odgovorna za sigurnost, glavna pravila su sljedeća:

• Glavni sigurnosni direktor, Cloud
• Potpredsjednik i generalni direktor, Cisco Cloud Collaboration Applications
• Potpredsjednik, Inženjering, Cisco Cloud Collaboration Applications
• Potpredsjednik, Upravljanje proizvodima, Cisco Cloud Collaboration Applications

Interni i eksterni testovi prodiranja

Webex grupa redovito provodi rigorozno testiranje penetracije koristeći interne procjenitelje. Osim vlastitih strogih internih postupaka, Cisco InfoSec također angažira više neovisnih trećih strana za provođenje strogih revizija internih politika, postupaka i aplikacija tvrtke Cisco. Ove revizije su osmišljene za validaciju sigurnosnih zahtjeva kritičnih za poslovne svrhe, kako za komercijalne tako i za vladine primjene. Cisco također koristi usluge vanjskih dobavljača za provođenje kontinuiranih, detaljnih testova penetracije i procjena usluga uz pomoć koda. Kao dio angažmana, treća strana provodi sljedeće sigurnosne procjene:

• Identificiranje kritičnih ranjivosti aplikacija i usluga te predlaganje rješenja
• Preporuka općih područja za arhitektonsko poboljšanje
• Identificiranje pogrešaka u kodiranju i pružanje smjernica za poboljšanje prakse kodiranja

Neovisni procjenitelji izravno surađuju s Webexovim inženjerskim osobljem kako bi objasnili nalaze i potvrdili sanaciju. Za informacije o ovjeri testom penetracije pogledajte Paket ovjerenih pisama za Webex Meetings.

Fizička sigurnost

Fizička sigurnost u podatkovnom centru uključuje video nadzor nad objektima i zgradama te prisilnu dvofaktorsku identifikaciju za ulazak. Unutar Cisco podatkovnih centara, pristup se kontrolira kombinacijom čitača identifikacijskih kartica i biometrijskih kontrola. Osim toga, kontrole okoliša (na primjer, temperaturni senzori i sustavi za gašenje požara) i infrastruktura za kontinuitet usluge (kao što je rezervno napajanje) pomažu u osiguravanju da sustavi rade bez prekida.

Poslužitelji podatkovnih centara segmentirani su u "zone povjerenja" na temelju osjetljivosti infrastrukture. Na primjer, baze podataka su „zatvorene“, mrežna infrastruktura ima namjenske prostorije, a svi stalci za opremu su zaključani. U podatkovne centre mogu ući samo Ciscovo sigurnosno osoblje i ovlašteni posjetitelji u pratnji Ciscovog osoblja.

Ciscova produkcijska mreža je mreža od velikog povjerenja: Samo vrlo malo ljudi s visokom razinom povjerenja ima pristup mreži.

Sigurnost infrastrukture i platforme

Sigurnost platforme obuhvaća sigurnost mreže, sustava i cjelokupnog Webex podatkovnog centra. Svi sustavi prolaze temeljit sigurnosni pregled i validaciju prihvatljivosti prije implementacije u produkciju, kao i redovito kontinuirano jačanje, sigurnosne zakrpe te skeniranje i procjenu ranjivosti.

Poslužitelji su ojačani korištenjem Smjernica za tehničku implementaciju sigurnosti (STIG) koje je objavio Nacionalni institut za standarde i tehnologiju (NIST). Vatrozidi štite mrežni perimetar. Popisi kontrole pristupa (ACL) odvajaju različite sigurnosne zone. Sustavi za detekciju upada (IDS) su na mjestu, a aktivnosti se kontinuirano potpisuju i prate. Dnevne interne i eksterne sigurnosne provjere provode se diljem Webexa. Svi sustavi su ojačani i zakrpani kao dio redovnog održavanja. Osim toga, skeniranje i procjene ranjivosti provode se kontinuirano.

Kontinuitet usluge i oporavak od katastrofe ključne su komponente sigurnosnog planiranja. Dizajn Cisco podatkovnih centara s globalnim sigurnosnim kopijama lokacija i visokom dostupnošću omogućuje geografsko prebacivanje Webex usluga u slučaju kvara. Ne postoji jedna točka neuspjeha.

Administrativni podaci

Podaci o zaposlenicima ili predstavnicima kupca ili druge treće strane koje Cisco prikuplja i koristi radi administriranja ili upravljanja Ciscovom isporukom proizvoda ili usluga ili za administriranje ili upravljanje računom kupca ili treće strane u Ciscove vlastite poslovne svrhe.

Administrativni podaci mogu uključivati ime, adresu, broj telefona, adresu e-pošte i informacije o ugovornim obvezama između Cisca i treće strane, bilo da su prikupljeni prilikom početne registracije ili kasnije u vezi s upravljanjem ili administracijom Ciscovih proizvoda ili usluga.

Administrativni podaci mogu uključivati i naslov sastanka, vrijeme i druge atribute sastanaka koje na Webexu vode zaposlenici ili predstavnici klijenta. Drugi primjeri administrativnih podataka mogu uključivati naslov sastanka, vrijeme sastanka i druge atribute sastanaka koji se održavaju na Webexu.

Podaci o kupcima

To uključuje sve podatke (uključujući tekstualne, audio, video, slikovne datoteke i snimke) koje Cisco pruža od strane korisnika u vezi s korištenjem Cisco proizvoda ili usluga od strane korisnika ili koje je Cisco razvio na poseban zahtjev korisnika u skladu s opisom posla ili ugovorom.

Podaci o korisnicima također uključuju datoteke zapisnika, konfiguracije ili firmvera i osnovne datoteke.

To su podaci preuzeti iz proizvoda ili usluge i dostavljeni Ciscu kako bi nam pomogli u rješavanju problema u vezi sa zahtjevom za podršku. Podaci o korisnicima ne uključuju administrativne podatke, podatke o podršci ili telemetrijske podatke.

Podaci o podršci

Informacije koje Cisco prikuplja kada korisnik podnese zahtjev za usluge podrške ili drugo rješavanje problema, uključujući informacije o hardveru ili softveru. Uključuje detalje vezane uz incident podrške, kao što su podaci za autentifikaciju, podaci o stanju proizvoda, sustava i registra o instalacijama softvera i konfiguracijama hardvera te datoteke za praćenje pogrešaka. Podaci o podršci ne uključuju zapisnike, konfiguracijske datoteke ili datoteke firmvera, niti izvatke jezgre preuzete iz proizvoda i dostavljene nam kako bismo riješili problem u vezi sa zahtjevom za podršku, a sve su to primjeri korisničkih podataka.

Telemetrijski podaci

Informacije generirane instrumentacijom i sustavima za evidentiranje nastalim korištenjem i radom proizvoda ili usluge.

Svi podaci prikupljeni u Webex oblaku zaštićeni su s nekoliko slojeva robusnih sigurnosnih tehnologija i procesa. U nastavku su navedeni primjeri kontrola postavljenih u različitim slojevima Webex operacija radi zaštite podataka korisnika:

• Kontrola fizičkog pristupa— Fizički pristup kontrolira se biometrijom, značkama i video nadzorom. Pristup podatkovnom centru zahtijeva odobrenja i upravlja se putem elektroničkog sustava izdavanja ulaznica.
• Kontrola pristupa mreži— Perimetar Webex mreže zaštićen je vatrozidima. Sav mrežni promet koji ulazi ili izlazi iz Webex podatkovnog centra kontinuirano se prati pomoću sustava za detekciju upada (IDS). Webex mreža je također segmentirana u odvojene sigurnosne zone. Promet između zona kontroliraju vatrozidovi i popisi kontrole pristupa (ACL-ovi).
• Nadzor i upravljanje infrastrukturom— Svaka komponenta infrastrukture, uključujući mrežne uređaje, aplikacijske poslužitelje i baze podataka, podvrgnuta je strogim smjernicama. Također se redovito skeniraju kako bi se identificirali i riješili svi sigurnosni problemi.
• Kriptografske kontrole— Kao što je ranije navedeno, svi podaci prema i iz Webex podatkovnog centra do registriranih Webex aplikacija i Webex uređaja u oblaku su šifrirani, osim PSTN prometa i nešifriranih podataka SIP/H323 videouređaji na sastanku omogućenom u oblaku. Osim toga, kritični podaci pohranjeni u Webexu, poput lozinki, šifrirani su.

Zaposlenici tvrtke Cisco ne pristupaju podacima korisnika osim ako korisnik ne zatraži pristup iz razloga podrške. Pristup sustavima u ovom slučaju dopušta voditelj samo u skladu s načelom „podjele dužnosti“. Dodjeljuje se samo na temelju nužne potrebe i samo s razinom pristupa potrebnom za obavljanje posla. Pristup zaposlenika tim sustavima također se redovito provjerava radi usklađenosti. Zaposlenici s takvim pristupom moraju pohađati godišnju obuku o sigurnosti informacija prema standardu Međunarodne organizacije za standardizaciju (ISO) 27001.

Uz ove specijalizirane kontrole, svaki Cisco zaposlenik prolazi provjeru prošlosti, potpisuje Ugovor o tajnosti podataka (NDA) i završava obuku o Kodeksu poslovnog ponašanja (COBC).

Zakon o prenosivosti i odgovornosti zdravstvenog osiguranja (HIPAA)

Cisco može pružiti informacije o funkcionalnosti, tehnologiji i sigurnosti Webexa. Subjekt pokriven HIPAA-om trebao bi se konzultirati sa svojim pravnim savjetnikom kako bi utvrdio je li Webexova funkcionalnost u skladu s njegovim poslovnim procesima i spremna za GDPR.

• Usklađenost s GDPR-om
• Objava ponude za Cisco Webex Meetings

Industrijski standardi i certifikati

Osim što se pridržava naših strogih internih standarda, Webex također kontinuirano održava validacije trećih strana kako bi pokazao svoju predanost sigurnosti informacija. Webex je:

• Certificirano prema ISO 27001, 27017, 27018 i 27701
• Kontrole servisne organizacije (SOC) 2 tipa II revidirane
• SOC 3 certificiran
• Kodeks ponašanja u oblaku
• CSTAR
• Ovjera kataloga kontrola usklađenosti računalstva u oblaku (C5)
• FedRAMP certificirano (posjetite cisco.com/go/fedramp za više detalja, opsega i dostupnosti)

Potpuni skup dokumenata o sigurnosti, privatnosti i usklađenosti, uključujući detalje o gore navedenim standardima i certifikatima, potražite na Cisco Trust Portalu.