Dziękujemy za opinię.

Podstawowe Webex Meetings usługi i komponenty

• Webex Meetingsjest częściąWebex Suite, zapewniając audio/wideokonferencje z możliwościami udostępniania treści i konferencji internetowych.
• Platforma obejmuje wiele mikrousług, takich jak usługa spotkań, usługa webinarów, usługa tożsamości, usługa nagrywania, usługa, AI Assistant usługa analityczna, usługa administracyjna i usługa medialna.
• Webex Meetingsobsługuje aplikacje i urządzenia zarejestrowane w chmurze, umożliwiając użytkownikom dołączanie do spotkań z różnych platform i urządzeń systemu operacyjnego. Użytkownicy mogą również dołączać do spotkań za pośrednictwem PSTN i punktów końcowych SIP.

Architektura i wdrożenie

• Webex Meetingsusługi są regionalizowane i powielane w wielu niezależnych centrach danych, aby zapewnić redundancję i wysoką dostępność.
• Usługi multimedialne są dystrybuowane globalnie z klastrami serwerów multimedialnych w każdym centrum danych, zapewniając redundancję lokalną i geograficzną.
• Serwery multimedialne obsługują udostępnianie głosu, wideo i treści, a media są powszechnie szyfrowane przy użyciu AES-256-GCM.
• Architektura obsługuje szyfrowaną sygnalizację przez TLS/HTTPS i zaszyfrowane strumienie mediów.

Webex obsługuje dołączanie do spotkań z wielu platform i urządzeń, w tym:

• Aplikacja komputerowa Webex na Windows, Mac i Linux.
• Aplikacja mobilna Webex na Androida i iOS.
• Aplikacja internetowa Webex używająca Chrome, Edge, Safari, Firefox i innych przeglądarek.
• Urządzenia pokojowe Cisco i urządzenia biurkowe.
• Punkty końcowe audio i wideo oparte na standardach SIP innych firm.
• Urządzenia PSTN.

Suwerenność klienta Webex

W odpowiedzi na rosnące zapotrzebowanie na rezydencję danych, Webex wprowadził zwiększone możliwości suwerenności. Począwszy od nagrywania i obsługi kolejnych usług, organizacje mogą teraz utrzymywać kontrolę nad treścią spotkania za pomocą:

• Przetwarzanie zlokalizowane — przetwarzanie treści spotkań, takich jak nagrania, w ramach własnej infrastruktury.
• Pamięć lokalna — korzystanie z własnych usług przechowywania plików do przechowywania poufnych zasobów spotkań, zapewniając, że dane pozostają w określonych granicach geograficznych lub organizacyjnych.

Ultra bezpieczny Webex Meetings

Historycznie funkcje „Ultra Secure”, takie jak Zero Trust End-to-Encryption (E2EE), często wymagały kompromisu w funkcjonalności spotkania, ponieważ usługi o wartości dodanej oparte na chmurze wymagały dostępu do kluczy szyfrowania, a tylko ograniczona liczba typów punktów końcowych mogła dołączyć do tych spotkań. Webex wyeliminował ten kompromis z:

• Z@@ ero Trust bogaty w funkcje — Webex przekształcił spotkania Zero Trust End-to-End Encrypted (E2EE), dodając funkcje, które sprawiają, że spotkania Zero Trust są bogate w funkcje. Obsługa większej liczby typów punktów końcowych zapewnia bezproblemową obsługę bez poświęcania narzędzi niezbędnych do nowoczesnej współpracy.
• Zero Trust for Standard Meetings — Webex zintegrował funkcje Zero Trust E2EE bezpośrednio w standardowych spotkaniach. Zapewnia to, że nawet codzienna współpraca może korzystać z najwyższego poziomu bezpieczeństwa, zapewniając spójną ochronę w całym ekosystemie Webex.

Jednolite podejście do współpracy

Dzięki integracji Customer Suverenity z tymi zaawansowanymi funkcjami Zero Trust E2EE, Webex umożliwia organizacjom osiągnięcie podwójnego celu: prowadzenie wysoce bezpiecznych spotkań Zero Trust w chmurze Webex przy jednoczesnym zachowaniu pełnej kontroli nad przetwarzaniem i przechowywaniem krytycznych treści spotkań lokalnie. Ta synergia zapewnia elastyczność i bezpieczeństwo niezbędne w nowoczesnych środowiskach korporacyjnych opartych na zgodności.

Rozszerzanie granicy zabezpieczeń za pomocą węzła siatki wideo

Dodanie węzła siatki wideo do organizacji umożliwia klientom świadczenie lokalnych usług spotkań i umożliwia ich lokalnym punktom końcowym dołączanie do dowolnego spotkania Webex. Z punktu widzenia bezpieczeństwa integracja węzła wideo Mesh utrzymuje Zero Trust w chmurze Webex, oferując jednocześnie parytet prawie funkcji ze standardowymi spotkaniami Webex. Klienci korzystają również z niezależności danych, ponieważ usługi takie jak nagrania spotkań Video Mesh Node są przetwarzane i przechowywane lokalnie.

Korzystanie z kompleksowego szyfrowania Zero Trust może dodać kilka dodatkowych sekund do dołączenia do spotkania, ale zapewnia wyraźną pewność bezpieczeństwa — tylko uczestnicy spotkania mają dostęp do kluczy szyfrowania spotkania, więc treści spotkania nie mogą być odszyfrowane przez usługodawcę lub innych pośredników.

Podsumowanie: Webex Meetings i modele wdrażania hybrydowego

Jak pokazano w powyższym porównaniu, wdrożenie Video Mesh Node (VMN) pozwala Zero Trust osiągnąć parytet prawie funkcji ze standar Webex Meetings dowymi spotkaniami Webex. Podczas gdy spotkania Zero Trust nie obsługują uczestników PSTN, aplikacja internetowa Webex służy jako szeroko dostępna alternatywa dla dostępu szyfrowanego typu end-to-end. Ponadto VMN umożliwia pracownikom biurowym korzystającym z telefonów stacjonarnych płynne dołączanie do spotkań Zero Trust.

Video Mesh Node zapewnia również suwerenność danych dla krytycznych treści spotkań, w tym nagrań i — w najbliższej przyszłości — transkrypcji, podsumowań i elementów akcji. Przetwarzając i przechowując te dane lokalnie, VMN zapewnia klientom pełną kontrolę nad ich informacjami przy zachowaniu architektury Zero Trust w chmurze Webex.

Szyfrowana sygnalizacja Webex

Usługi Webex obsługują wersje TLS 1.2 i 1.3, przy czym TLS 1.3 jest preferowany, gdy jest obsługiwany przez łączący punkt końcowy. Jeśli klient obsługuje tylko TLS 1.2, serwer Webex wybiera najsilniejszy wspólny pakiet szyfrów oferowany przez klienta. W przeciwieństwie do TLS 1.2, TLS 1.3 nie używa wyboru pakietu szyfrów preferencji serwera, ponieważ opiera się na mniejszym, wyselekcjonowanym zestawie nowoczesnych szyfrów. Ta konstrukcja upraszcza proces wyboru, koncentrując się bardziej na ulepszeniach wydajności, takich jak zmniejszenie ogólnej długości uścisku dłoni, przy jednoczesnym zachowaniu silnego bezpieczeństwa. Pakiety szyfrów dla TLS 1.2 i 1.3 używane przez Webex są dobrze zdefiniowane i priorytetowe, aby zapewnić bezpieczną komunikację.

Pakiety szyfrowe TLS

Pakiety szyfrów TLS 1.3 (serwery TLS 1.3 nie używają kolejności preferencji do wyboru pakietu)

Pakiety szyfrów TLS 1.2 (pakiety w kolejności preferowanej przez serwer)

Szyfry szyfrowania AES_256_CBC i AES_128_CBC są obsługiwane w celu zachowania zgodności ze starszymi systemami, starszymi przeglądarkami i urządzeniami wbudowanymi, które nie obsługują nowoczesnych szyfrów AEAD (Authenticated Encryption with Associated Data), takimi jak AES-GCM, np. Internet Explorer11 w systemach Windows 7 i Windows 8.1, Safari 6/7/8 we wczesnych wersjach iOS i macOS używają szyfrów opartych na CBC.

CHACHA20_POLY1305 to szyfr strumieniowy, który ma niską zależność sprzętu, co czyni go doskonałym szyfrem w użyciu na urządzeniach mobilnych lub urządzeniach z procesorami o małej mocy.

Standardy szyfrowania mediów dla Webex

Spotkania i połączenia Webex wykorzystują solidne szyfrowanie oparte na AES dla wszystkich pakietów multimedialnych. Specyficzny zestaw szyfrów zależy od typu punktu końcowego, a AES-256-GCM służy jako preferowany standard zapewniający optymalne bezpieczeństwo.

Kluczowe kwestie bezpieczeństwa

• Preferowany standard —AES-256-GCM to zalecany szyfr dla wszystkich wdrożeń, aby zapewnić najwyższy poziom integralności i poufności danych.
• Interoperacyjność — Podczas gdy Webex obsługuje starsze szyfry (takie jak AES-CM-128-HMAC-SHA1) w celu zapewnienia interoperacyjności z systemami SIP i H.323 innych firm, organizacje stawiające priorytet architekturze o zerowym zaufaniu powinny egzekwować AES-256-GCM tam, gdzie pozwala na to kompatybilność urządzeń.

Protokoły transportu mediów

Webex obsługuje transport mediów przez UDP, TCP lub TLS. Aby uzyskać optymalną wydajność głosu i wideo, Cisco zdecydowanie zaleca UDP.

Uwagi dotyczące wydajności:

• Efektywność w czasie rzeczywistym — UDP jest preferowanym transportem dla mediów w czasie rzeczywistym, ponieważ minimalizuje opóźnienia i drgania, unikając mechanizmów retransmisji i buforowania właściwych protokołom zorientowanym na połączenie.
• Wpływ TCP/TLS — Chociaż TCP i TLS zapewniają niezawodne, uporządkowane dostarczanie danych, to zachowanie przynosi efekt przeciwny do zamierzonego dla mediów w czasie rzeczywistym. Powstałe retransmisje pakietów i buforowanie strumienia wprowadzają opóźnienia i drgania, co może znacznie pogorszyć jakość doświadczenia uczestników

Webex wykorzystanie SRTP i SFrame dla mediów

Aby zachować wysokie standardy bezpieczeństwa wymagane w środowiskach WebExZero Trust, ważne jest rozróżnienie między zabezpieczeniami na poziomie transportu (SRTP) a szyfrowaniem end-to-end warstwy aplikacji (SFrame).

Kluczowe wyróżnienia techniczne — SRTP i SFrame

1. SRTP (bezpieczny protokół transportu w czasie rzeczywistym)

   SRTP to branżowy standard zabezpieczania strumieni mediów podczas transportu.

   • Zakres — zapewnia poufność, uwierzytelnianie wiadomości i ochronę przed powtórzeniem ładunku RTP.
   • Kon@@ tekst oper acyjny — W wielu architekturach Media Server/Media Gateway (Selective Forwarding Unit (SFU)) kończy połączenie SRTP w celu wykonania przetwarzania multimediów (na przykład miksowania, kompozycji układu lub transkodowania). Ponieważ SFU odszyfruje media, aby je przetworzyć, media są technicznie podatne na ataki w punkcie SFU.
2. SFrame (bezpieczna ramka)

   SFrame jest standardem IETF. RFC 9605 został zaprojektowany specjalnie w celu ułatwienia prawdziwego szyfrowania typu end-to-end w środowisku konferencji wielostronnych.

   • Zakres — szyfruje pakowane ramki multimedialne, zanim zostaną one hermetyzowane w pakiety RTP. Webex dodaje dodatkową warstwę szyfrowania za pomocą SRTP.
   • Architektura zerowego zauf ania — Ponieważ nośnik jest szyfrowany na warstwie aplikacji, SFU działa tylko jako „ślepa” przekaźnik. Kieruje zaszyfrowane pakiety do innych uczestników bez dostępu do kluczy deszyfrujących.
   • Niezależność — sFrame jest agnostycznym transportem. Pozostaje on bezpieczny, nawet jeśli transport bazowy (UDP/TCP/TLS) jest zagrożony, ponieważ kontekst bezpieczeństwa jest powiązany z punktami końcowymi uczestników, a nie z połączeniem transportowym.

SFrame jest krytycznym mechanizmem umożliwiającym E2EE. Podczas gdy SRTP zapewnia szyfrowanie danych podczas przechodzenia przez sieć, SFrame zapewnia, że media pozostaną szyfrowane przez cały cykl życia spotkania, w tym podczas gdy znajdują się w infrastrukturze Cisco (SFU), skutecznie usuwając dostawcę usług z granicy zaufania.

Webex MeetingsZawartość

Treść spotkania składa się z danych utworzonych przez uczestników lub generowanych przez usługi Webex w imieniu gospodarza spotkania. Obejmuje to:

• Tre@@ ści związane z medi ami — nagrania, transkrypcje, streszczenia i elementy akcji.
• Dane dotyczące współpracy — wiadomości czatu, udostępnione/przesłane pliki, tablice i adnotacje.

Webex MeetingsBezpieczeństwo zawartości — szyfrowanie typu End-to-End Webex

Webex zabezpiecza treści spotkania generowane przez uczestników przy użyciu solidnej struktury szyfrowania typu end-to-end (E2EE). Centralnym elementem tej architektury jest usługa zarządzania kluczami Webex (KMS), która jest odpowiedzialna za generowanie, dystrybucję i zarządzanie kluczami szyfrującymi dla wszystkich treści generowanych przez użytkowników.

Warstwy zabezpieczeń treści spotkań

• Dane w transporcie — Aplikacja Webex i urządzenia wideo Cisco wykorzystują szyfrowanie Webex end-to-end (E2EE) z AES-256-GCM do szyfrowania treści spotkań generowanych przez użytkowników, takich jak pliki nagrywania, pliki podsumowania AI, wiadomości czatu itp. Jest to dodatkowo zamknięte w ramach Transport Layer Security (TLS), aby zapewnić dwuwarstwową ochronę podczas transmisji.
• Dane w spoczynku — Po przechowywaniu w chmurze Webex zaszyfrowane treści są dodatkowo chronione szyfrowaniem dysku AES-256-GCM.
• Profil ochrony — takie podejście chroni zawartość przed przechwytywaniem TLS podczas transportu i zapewnia, że przechowywane dane pozostaną niedostępne dla nieautoryzowanych podmiotów w środowisku chmury.

End-to-end szyfrowanie Webex z zarządzanym dostępem do treści dla usług podstawowych

W przeciwieństwie do szyfrowania typu end-to-end Zero Trust, gdzie Webex nie ma dostępu do kluczy szyfrowania multimediów ani treści, szyfrowanie typu end-to-end Webex pozwala platformie wykorzystywać klucze generowane przez Webex KMS do odszyfrowywania danych dla podstawowych usług podstawowych. Ten zarządzany dostęp umożliwia:

• Wyszukiwanie i indekso wanie — umożliwia użytkownikom przeszukiwanie historii treści.
• Zgodność i zarządzanie — umożliwia zapobieganie utracie danych (DLP), eDiscovery i archiwizację danych.
• Optymalizacja multimedi ów — obsługuje transkodowanie plików w celu zapewnienia zgodności między urządzeniami.
• Bezpieczeństwo — Ułatwia skanowanie złośliwego oprogramowania za pomocą dodatkowego pakietu zabezpieczeń.

Webex MeetingsMetadane

Metadane spotkań składają się z informacji administracyjnych i technicznych generowanych przez system w celu ułatwienia spotkania, śledzenia i zarządzania nim, a nie z rzeczywistej zawartości (audio, wideo lub plików udostępnionych) samego spotkania. Metadane można podzielić na kilka kategorii:

• Informacje o sesji — tytuł spotkania, identyfikator spotkania, zaplanowane godziny rozpoczęcia i zakończenia oraz rzeczywisty czas trwania spotkania.
• Dane uczestnika — lista zaproszonych i rzeczywistych uczestników, ich adresy IP, typy urządzeń (takie jak Windows, iPhone, Cisco Room Kit) oraz znaczniki czasu dołączania/opuszczania.
• Wskaźniki użytkowania i jakości — dane używane do rozwiązywania problemów, takie jak utrata pakietów, drgania, opóźnienia i rozdzielczość strumienia wideo.

Jak wykorzystywane są metadane

1. Analityka i rapor towanie — Administratorzy używają metadanych w WebExControl Hub, aby zobaczyć, ile spotkań odbywa się, które działy są najbardziej aktywne i ogólną jakość doświadczenia.
2. Rozwiązywanie problemów — Cisco TAC (Centrum pomocy technicznej) wykorzystuje metadane do identyfikacji i rozwiązywania problemów ze spotkaniami.
3. Zgodność i eDiscovery — Funkcjonariusze ds. zgodności mogą przeszukiwać metadane, aby udowodnić, że spotkanie miało miejsce, kto tam był i czy zostało zarejestrowane, nawet jeśli nie widzą zaszyfrowanej treści spotkania.
4. Bezpieczeństwo — Metadane pomagają zidentyfikować nieautoryzowane próby dostępu lub nietypowe wzorce, które mogą wskazywać na zagrożenie dla bezpieczeństwa.

Bezpieczeństwo i prywatność metadanych

• Szyfrowanie — chociaż metadane nie są szyfrowane od końca do końca, nadal są szyfrowane podczas transportu (przy użyciu protokołu TLS) i w spoczynku w bezpiecznych centrach danych Cisco.
• Kontrola dostępu — Polityka prywatności Cisco ściśle ogranicza dostęp do tych metadanych i służy do świadczenia i ulepszania usługi.

Aby uzyskać więcej informacji na temat zawartości i metadanych spotkań Webex, zobacz Ujawnienie Webex Meetingsoferty.

Przypisywanie użytkownikom typów sesji spotkań

Administratorzy Webex Control Hub mogą przypisać jeden lub więcej typów spotkań, których użytkownicy mogą używać do zaplanowanych spotkań. Domyślnie wszyscy użytkownicy mają przypisane typy spotkań Pro Meeting i Pro-End to End Encryption_ VOIPOnly.

Zaplanuj spotkanie — wybierz typ spotkania

Użytkownicy mogą wybrać typ spotkania, którego chcą używać podczas planowania spotkania za pomocą aplikacji Webex, strony użytkownika Webex i dodatku poczty e-mail Webex. Microsoft Outlook

Zaplanuj spotkanie — wybierz typ spotkania w aplikacji Webex

Zaplanuj spotkanie — wybierz typ spotkania ze strony użytkownika Webex

Ustawianie domyślnego typu spotkania

Użytkownicy mogą ustawić domyślny typ spotkania w sekcji S potkania > Ustawienia na stronie użytkownika Webex.

Ustaw domyślny typ spotkania ze strony użytkownika Webex

Zero Trust Kompleksowa tożsamość i zapobieganie Deepfake

Certyfikaty tożsamości użytkownika końcowego dostarczane przez klienta są kamieniem węgielnym zapobiegania podszywaniu się na spotkaniach szyfrowanych przez Webex typu end-to-end (E2EE). W przeciwieństwie do tradycyjnych mechanizmów głębokiego blokowania, które opierają się na analizie strumieni audio i wideo, podejście to zapewnia walidację tożsamości kryptograficznej w punkcie przyjęcia. Ten zweryfikowany status jest wyświetlany bezpośrednio w składzie spotkania, zapewniając przejrzystość dla wszystkich uczestników.

Webex rozszerzył obsługę certyfikatów zarządzanych przez klientów - wcześniej dostępnych na urządzeniach RooMOS - na aplikację Webex w ramach naszej funkcji „Deepfake Prevention”. Organizacje mogą dostarczać i zarządzać własnymi certyfikatami cyfrowymi, wydawanymi przez zaufane zewnętrzne organy certyfikacji (CA) przy użyciu standardowych protokołów branżowych, takich jak ACME. Certyfikaty te, oparte na standardach X.509 i parach kluczy ECDSA P-256, zapewniają kryptograficzny dowód tożsamości uczestnika podczas spotkań E2EE.

Kompleksowa zweryfikowana tożsamość i protokół MLS

Protokół Messaging Layer Security (MLS) wykorzystuje standardowe certyfikaty X.509 do uwierzytelniania uczestników spotkania. Certyfikat to cyfrowo podpisane oświadczenie od zaufanego urzędu certyfikacji, które weryfikuje tożsamość posiadacza klucza podpisującego. Uczestnicy uzyskują te certyfikaty dwiema podstawowymi metodami:

• Urządzenia zarządzane (certyfikaty dostarczone przez klienta) — w przypadku klientów stacjonarnych i mobilnych zarządzanych przez organizację na urządzeniu można zainstalować certyfikat tożsamości z zaufanego urzędu certyfikacji. Gdy użytkownik loguje się za pomocą logowania jednokrotnego (SSO), aplikacja Webex pobiera ten certyfikat ze sklepu zaufania systemu operacyjnego, aby przedstawić zweryfikowaną tożsamość użytkownika. Proces ten jest również obsługiwany dla urządzeń wideo Cisco zarejestrowanych w chmurze Webex.
• Domyślnie (certyfikaty dostarczone przez Webex) — jeśli certyfik at dostarczony przez klienta nie jest dostępny, klient lub urządzenie Webex automatycznie używa certyfikatu wydanego przez Webex, który odzwierciedla tożsamość zweryfikowaną przez firmę Cisco. Certificate Authority

Udostępnianie tożsamości i mechanizm awaryjny

Podczas spotkania każdy uczestnik udostępnia swój certyfikat tożsamości Webex oraz, jeśli jest dostępny, certyfikat tożsamości dostarczony przez klienta wszystkim innym uczestnikom. Aby zapewnić płynną łączność, punkt końcowy Webex przestrzega ścisłej hierarchii: nadaje priorytet certyfikatowi dostarczonemu przez klienta do weryfikacji; jeśli brakuje tego certyfikatu lub jego walidacja nie powiedzie się, system automatycznie powraca do certyfikatu tożsamości dostarczonego przez WebEx.

Wyświetlanie statusu weryfikacji tożsamości użytkownika

Gdy uczestnicy dołączają do spotkania przy użyciu aplikacji Webex lub urządzeń RooMos z certyfikatami dostarczonymi przez klienta, ich tożsamość jest weryfikowana przez innych członków spotkania przeciwko wydającemu certyfikat certyfikacji. Gwarantuje to, że rozpoznawani są tylko autoryzowani użytkownicy, uniemożliwiając atakującym podszywanie się pod legalnych uczestników, ponieważ certyfikaty te są jednoznacznie powiązane ze zweryfikowanymi tożsamościami i nie mogą być sfałszowane przez Cisco ani pośredników.

Lista uczestników spotkania zaszyfrowanego przez E2E wyświetla status weryfikacji tożsamości każdego użytkownika:

• Zero-Trust E 2E zweryfikowany ( domain.com) — Gdy używany jest certyfikat tożsamości dostarczony przez klienta, domena uczestnika jest wyświetlana niebieskim tekstem. Wskazuje to na prawdziwą tożsamość zweryfikowaną przez E2E, której Cisco nie może manipulować. Na przykład w składzie spotkań możesz zobaczyć, że „Kevin” ma zweryfikowany adres e-mail z example.com w kolorze niebieskim.
• Zweryfikowano przez Webex ( domain.com) — Certyfikaty wydane przez Webex CA zapewniają bardziej ograniczony poziom ochrony. Chociaż nie mają ochrony tożsamości, uczestnicy ci nie są oznaczeni jako „Zero Trust E2E zweryfikowany”. Zamiast tego ich status tożsamości jest wyświetlany w szarym tekście, wskazując, że tożsamość została zweryfikowana przez Webex CA.
• Niezweryfikowany użytkownik gościa ( Niezweryfikowane) — Chociaż tożsamość gości uczestników nie jest uwierzytelniona (ponieważ nie ma procesu logowania), nadal wymagają certyfikatu, aby dołączyć do grupy MLS na rozmowę lub spotkanie. Ten certyfikat jest wydawany przez urząd certyfikacji Webex i używa nazwy „anonimowej” jako nazwy użytkownika.

Dodatkowo kod bezpieczeństwa spotkania pochodzący ze stanu kryptograficznego wszystkich uczestników pomaga wykryć ataki osoby w środku, umożliwiając uczestnikom sprawdzenie, czy wszyscy mają ten sam bezpieczny kontekst spotkania. Łącząc kryptograficzną weryfikację tożsamości z szyfrowaniem typu end-to-end, ta funkcja „zapobiegania Deepfake” zapewnia solidną ochronę przed podszywaniem się pod siebie i zagrożeniami mediów syntetycznych, chroniąc integralność i poufność spotkań zarówno w aplikacji Webex, jak i urządzeniach RooMOS.

Zarządzanie wdrażaniem certyfikatów

Organizacje mogą uprościć wdrażanie i zarządzanie tymi certyfikatami tożsamości użytkownika końcowego dostarczanymi przez klienta, instalując je na urządzeniach zarządzanych korporacyjnie za pomocą aplikacji Mobile Device Management (MDM), Mobile Application Management (MAM) lub Enterprise Mobility Management (EMM). Te platformy zarządzania umożliwiają administratorom IT centralne dostarczanie, konfigurowanie i kontrolowanie certyfikatów i powiązanych zasad bezpieczeństwa na różnych urządzeniach, zarówno należących do korporacji, jak i osobiście. Na przykład usługa Microsoft Intune obsługuje zarówno funkcje MDM, jak i MAM, które umożliwiają organizacjom wdrażanie aplikacji Webex i jej konfiguracji zabezpieczeń, w tym certyfikatów tożsamości, i zarządzanie nimi na zarządzanych urządzeniach. Podobnie Cisco Meraki Systems Manager zapewnia funkcje MDM do rejestrowania urządzeń, wpychania profili konfiguracyjnych i wdrażania certyfikatów w celu zapewnienia statusu zaufanego urządzenia. Wykorzystanie tych rozwiązań do zarządzania zmniejsza koszty administracyjne, upraszcza zarządzanie cyklem życia certyfikatów i poprawia postawę bezpieczeństwa spotkań Webex E2EE dzięki funkcjom „zapobiegania Deepfake”.

Trzy filary tożsamości

Efektywne zarządzanie tożsamością i dostępem (IAM) dla Webex opiera się na:

• Provisioning (CRUD) — zarządzanie cyklami życia użytkowników (tworzenie, odczyt, aktualizacja, usuwanie) w celu zapewnienia, że „Źródło prawdy” pasuje do platformy współpracy.
• Uwierzytelnianie (AuthN) — weryfikacja tożsamości użytkownika za pomocą bezpiecznych poświadczeń lub tokenów.
• Autoryzacja (AuthZ) — Definiowanie szczegółowych uprawnień i poziomów dostępu API po uwierzytelnieniu.

Prowizjonowanie i zarządzanie cyklem życia

Webex obsługuje kilka metod synchronizacji użytkowników i grup:

• SCIM 2.0 — Preferowany standard chmury. Automatyzuje cykl życia użytkownika, zapewniając, że offboarding w iDP automatycznie odwołuje dostęp do Webex.
• Directory Connector — narzędzie Cisco dla środowisk hybrydowych, łączące lokalne Active Directory (AD) z chmurą Webex.
• Udostępnianie oparte na interfejsie API — wykorzystuje interfejs Webex „People API” do programowego tworzenia użytkowników i przypisywania licencji w złożonych środowiskach.
• Starszy LDAP — obsługiwany dla katalogów lokalnych (np. CUCM), choć mniej zoptymalizowany pod kątem nowoczesnego ruchu w chmurze.

Ramy uwierzytelniania i autoryzacji

• Uwierzytelnianie (AuthN):

• SAML 2.0 — standard korporacyjny dla logowania jednokrotnego (SSO). Webex działa jako dostawca usług (SP), weryfikując twierdzenia XML pochodzące z korporacyjnego IdP.
• OIDC (OpenID Connect) — Nowoczesna, lekka warstwa tożsamości zbudowana na OAuth 2.0 przy użyciu tokenów internetowych JSON (JWT). Obsługuje „adresy URL Discovery” do automatycznej konfiguracji.

• Autoryzacja (AuthZ):

• OAuth 2.0 — zarządza dostępem do interfejsu API za pomocą krótkotrwałych tokenów dostępu (definiujących zakresy) i długotrwałych tokenów odświeżania. Zapewnia bezpieczeństwo za pośrednictwem PKCE (Proof Key for Code Exchange) dla klientów publicznych.

Integracja i strategie wielu IDP

Webex zapewnia specjalistyczne ścieżki do bezproblemowej integracji:

• Kre@@ ator Entra ID — zalecana ścieżka dla środowisk firmy Microsoft. Wykorzystuje interfejs API Microsoft Graph do zaawansowanej synchronizacji atrybutów (awatary, hierarchie) i automatyzuje konfigurację OIDC/SAML.
• Duo Security — Dodaje „Ciągłe bezpieczeństwo tożsamości” poprzez weryfikację pozycji urządzenia i włączenie MFA odpornego na wyłudzanie informacji.

Obsługa wielu IDP: Webex umożliwia organizacjom federację wielu niezależnych IDP w ramach jednego centrum sterowania.

• Przypadki użytkowe — fuzje, przejęcia lub zdecentralizowane działy IT.
• Routing — żądania uwierzytelniania są kierowane na podstawie domen lub grup użytkowników.
• Rozważanie — Wymaga ścisłej koordynacji w celu utrzymania spójnej polityki bezpieczeństwa we wszystkich sfederowanych źródłach.

Przykład najczęstszych integracji tożsamości IDP z Webex:

Najlepsze praktyki i odporność

• Odzyskiwanie SSO — Zawsze używaj wbudowanego łącza „SSO Recovery” w Control Hub, aby ominąć SSO za pomocą hasła jednorazowego (OTP), jeśli konfiguracja IDP nie powiedzie się.
• Zarządzanie certyfikatami — Monitoruj wygaśnięcie certyfikatu SAML. Kreator SSO automatyzuje wymianę metadanych, zmniejszając błędy ręczne.
• Rozwiązywanie problemów — narzędzie SAML Tracer służy do sprawdzania asercji XML i sprawdzania poprawności formatów NameID w przypadku wystąpienia problemów z uwierzytelnianiem.
• Postawa bezpieczeństwa — Regularnie usuwaj starsze typy dotacji i upewnij się, że PKCE jest wdrożony dla wszystkich integracji klientów publicznych.

Wniosek — tożsamość dla Webex Meetings

Solidna strategia tożsamości to ciągły proces cyklu życia. Łącząc SCIM do uwierzytelniania, OIDC/SAML do uwierzytelniania i OAuth w celu autoryzacji, organizacje mogą zapewnić użytkownikom bezpieczne, pozbawione tarcia doświadczenie przy zachowaniu ścisłej kontroli administracyjnej.

Cykl życia Cisco Secure Development

W Cisco bezpieczeństwo nie jest przemyśleniem. Jest to zdyscyplinowane podejście do budowania i dostarczania światowej klasy produktów i usług od podstaw. Wszystkie zespoły programistyczne Cisco ^® są zobowiązane do przestrzegania cyklu życia Cisco Secure Development. Jest to powtarzalny i mierzalny proces mający na celu zwiększenie odporności i wiarygodności produktów Cisco. Połączenie narzędzi, procesów i szkoleń świadomości wprowadzonych we wszystkich fazach cyklu życia rozwoju pomaga zapewnić dogłębną obronę. Zapewnia również holistyczne podejście do odporności produktu. Zespół Webex Product Development z pasją śledzi ten cykl życia w każdym aspekcie rozwoju produktu.

Przeczytaj więcej o cyklu życia bezpiecznego rozwoju.

Podstawowe narzędzia bezpieczeństwa Cisco

Organizacja Cisco Security and Trust zapewnia proces i niezbędne narzędzia, które dają każdemu programiście możliwość zajęcia spójnego stanowiska w obliczu decyzji dotyczących bezpieczeństwa.

Posiadanie dedykowanych zespołów do budowania i dostarczania takich narzędzi eliminuje niepewność procesu rozwoju produktu.

Niektóre przykłady narzędzi obejmują:

• Wymagania dotyczące bezpieczeństwa produktu (PSB), które muszą spełniać produkty
• Narzędzia do tworzenia zagrożeń używane podczas modelowania zagrożeń
• Wytyczne dotyczące kodowania
• Zatwierdzone lub certyfikowane biblioteki, których programiści mogą używać zamiast pisać własny kod zabezpieczający
• Narzędzia do testowania luk w zabezpieczeniach (do analizy statycznej i dynamicznej) używane po opracowaniu do testowania wad bezpieczeństwa
• Śledzenie oprogramowania, które monitoruje biblioteki Cisco i innych firm oraz powiadamia zespoły produktowe o zidentyfikowaniu luki w zabezpieczeniach

Struktura organizacyjna, która wprowadza bezpieczeństwo w procesach Cisco

Cisco posiada dedykowane działy do wdrażania i zarządzania procesami bezpieczeństwa w całej firmie. Aby stale być na bieżąco z zagrożeniami i wyzwaniami związanymi z bezpieczeństwem, firma Cisco opiera się na:

• Zespół Cisco Information Security (InfoSec) Cloud
• Zespół reagowania na incydenty bezpieczeństwa produktów Cisco (PSIRT)
• Wspólna odpowiedzialność za bezpieczeństwo

Cisco InfoSec Cloud

Kierowany przez Chief Security Officer for Cloud zespół ten jest odpowiedzialny za dostarczanie naszym klientom bezpiecznego środowiska Webex. InfoSec osiąga to poprzez definiowanie i egzekwowanie procesów i narzędzi bezpieczeństwa dla wszystkich funkcji związanych z dostarczaniem Webex w ręce naszych klientów.

Ponadto Cisco InfoSec Cloud współpracuje z innymi zespołami w Cisco, aby reagować na wszelkie zagrożenia bezpieczeństwa związane z usługą Webex.

Cisco InfoSec jest również odpowiedzialne za ciągłe doskonalenie postawy bezpieczeństwa Webex.

Zespół reagowania na incydenty bezpieczeństwa produktów Cisco (PSIRT)

Cisco PSIRT to dedykowany globalny zespół, który zarządza dopływem, dochodzeniem i raportowaniem problemów związanych z bezpieczeństwem związanych z produktami i usługami Cisco. PSIRT używa różnych mediów do publikowania informacji, w zależności od powagi problemu z bezpieczeństwem. Rodzaj raportowania różni się w zależności od następujących warunków:

• Istnieją poprawki oprogramowania lub obejścia w celu usunięcia luki w zabezpieczeniach lub planowane jest późniejsze publiczne ujawnienie poprawek kodu w celu usunięcia luk w zabezpieczeniach o dużym nasileniu
• PSIRT zaobserwował aktywne wykorzystywanie luki w zabezpieczeniach, która może prowadzić do większego ryzyka dla klientów Cisco. PSIRT może przyspieszyć publikację ogłoszenia bezpieczeństwa opisującego lukę w tym przypadku bez pełnej dostępności poprawek.
• Publiczna świadomość luki w zabezpieczeniach wpływających na produkty Cisco może prowadzić do większego ryzyka dla klientów Cisco. Ponownie, PSIRT może ostrzegać klientów, nawet bez pełnej dostępności poprawek.

We wszystkich przypadkach PSIRT ujawnia minimalną ilość informacji potrzebnych użytkownikom końcowym, aby ocenić wpływ luki i podjąć kroki niezbędne do ochrony środowiska. PSIRT wykorzystuje skalę Common Vulnerability Scoring System (CVSS), aby ocenić powagę ujawnionego problemu. PSIRT nie podaje szczegółów podatności, które mogłyby umożliwić komuś stworzenie exploita.

Aby uzyskać więcej informacji na temat usługi PSIRT, zobacz Z espół reagowania na incydenty bezpieczeństwa produktów firmy Cisco.

Odpowiedzialność za bezpieczeństwo

Chociaż każda osoba w grupie Webex jest odpowiedzialna za bezpieczeństwo, główne zasady są następujące:

• Dyrektor ds. Bezpieczeństwa, chmura
• Wiceprezes i dyrektor generalny ds. aplikacji Cisco Cloud do współpracy
• Wiceprezes ds. inżynierii, aplikacji Cisco Cloud do współpracy
• Wiceprezes ds. Zarządzania Produktami, Aplik Cisco Cloud acje do współpracy

Wewnętrzne i zewnętrzne testy penetracyjne

Grupa Webex regularnie przeprowadza rygorystyczne testy penetracyjne, przy użyciu wewnętrznych asesorów. Oprócz własnych rygorystycznych procedur wewnętrznych Cisco InfoSec angażuje również wiele niezależnych stron trzecich do przeprowadzania rygorystycznych audytów wewnętrznych zasad, procedur i aplikacji Cisco. Audyty te mają na celu walidację krytycznych wymagań bezpieczeństwa zarówno dla zastosowań komercyjnych, jak i rządowych. Cisco korzysta również z zewnętrznych dostawców do przeprowadzania bieżących, dogłębnych testów penetracji wspomaganych kodem i oceny usług. W ramach zaangażowania strona trzecia przeprowadza następujące oceny bezpieczeństwa:

• Identyfikacja krytycznych luk w zabezpieczeniach aplikacji i usług oraz proponowanie rozwiązań
• Polecanie ogólnych obszarów do ulepszeń architektonicznych
• Identyfikacja błędów kodowania i dostarczanie wskazówek dotyczących ulepszeń praktyki kodowania

Zewnętrzni asesorzy współpracują bezpośrednio z personelem inżynierskim Webex, aby wyjaśnić wyniki i zweryfikować środki zaradcze. Informacje o zaświadczeniu Webex Meetings testu penetrac yjnego można znaleźć w pakiecie zaufania Letters of Attestation Package.

Bezpieczeństwo fizyczne

Bezpieczeństwo fizyczne w centrum danych obejmuje nadzór wideo obiektów i budynków oraz wymuszoną dwuskładnikową identyfikację wejścia. W centrach danych Cisco dostęp jest kontrolowany za pomocą kombinacji czytników plakietek i elementów sterujących biometrycznych. Ponadto kontrole środowiskowe (na przykład czujniki temperatury i systemy przeciwpożarowe) oraz infrastruktura ciągłości eksploatacji (taka jak rezerwa zasilania) pomagają zapewnić, że systemy działają bez przerwy.

Serwery centrów danych są podzielone na „strefy zaufania” w oparciu o wrażliwość infrastruktury. Na przykład bazy danych są „umieszczone w klatce”, infrastruktura sieciowa ma dedykowane pomieszczenia, a wszystkie stojaki na sprzęt są zablokowane. Tylko pracownicy bezpieczeństwa Cisco i upoważnieni goście w towarzystwie personelu Cisco mogą wejść do centrów danych.

Sieć produkcyjna Cisco to wysoce zaufana sieć: tylko bardzo niewiele osób o wysokim poziomie zaufania ma dostęp do sieci.

Bezpieczeństwo infrastruktury i platformy

Bezpieczeństwo platformy obejmuje bezpieczeństwo sieci, systemów i całego centrum danych Webex. Wszystkie systemy przechodzą dokładną kontrolę bezpieczeństwa i walidację akceptacji przed wdrożeniem produkcji, a także regularne ciągłe hartowanie, poprawianie zabezpieczeń oraz skanowanie i ocenę luk w zabezpieczeniach.

Serwery są hartowane zgodnie z wytycznymi dotyczącymi wdrażania technicznego bezpieczeństwa (STIG) opublikowanymi przez Narodowy Instytut Standardów i Technologii (NIST). Zapory chronią obwód sieci. Listy kontroli dostępu (ACL) oddzielają różne strefy bezpieczeństwa. Wdrożone są systemy wykrywania włamań (IDS), a działania są podpisywane i monitorowane w sposób ciągły. Codzienne wewnętrzne i zewnętrzne skanowanie zabezpieczeń są przeprowadzane w Webex. Wszystkie systemy są hartowane i poprawiane w ramach regularnej konserwacji. Dodatkowo skanowanie i oceny luk są wykonywane w sposób ciągły.

Ciągłość usług i odzyskiwanie po awarii są kluczowymi elementami planowania bezpieczeństwa. Projektowanie centrów danych Cisco z globalnymi kopiami zapasowymi witryny i wysoką dostępnością pomaga umożliwić geograficzne przełączanie awaryjne usług Webex. Nie ma jednego punktu porażki.

Dane administracyjne

Informacje o pracownikach lub przedstawicielach klienta lub innej osoby trzeciej, które są gromadzone i wykorzystywane przez Cisco w celu administrowania lub zarządzania dostawami produktów lub usług przez Cisco lub do zarządzania kontem klienta lub osoby trzeciej do celów biznesowych Cisco.

Dane administracyjne mogą obejmować imię i nazwisko, adres, numer telefonu, adres e-mail oraz informacje o zobowiązaniach umownych między Cisco a osobą trzecią, niezależnie od tego, czy są gromadzone w momencie pierwszej rejestracji, czy później w związku z zarządzaniem lub administrowaniem produktami lub usługami Cisco.

Dane administracyjne mogą również obejmować tytuł spotkania, czas i inne atrybuty spotkań prowadzonych na Webex przez pracowników lub przedstawicieli klienta. Inne przykłady danych administracyjnych mogą obejmować tytuł spotkania, czas spotkania i inne atrybuty spotkań hostowanych na Webex.

Dane klienta

Obejmuje to wszystkie dane (w tym tekstowe, audio, wideo, pliki graficzne i nagrania) dostarczane firmie Cisco przez klienta w związku z korzystaniem przez klienta z produktów lub usług Cisco lub opracowane przez Cisco na szczególne żądanie klienta zgodnie z oświadczeniem o pracy lub umową.

Dane klientów obejmują również pliki dziennika, konfiguracji lub oprogramowania układowego oraz podstawowe zrzuty.

Są to dane pobrane z produktu lub usługi i dostarczane firmie Cisco, aby pomóc nam rozwiązać problem związany z prośbą o pomoc techniczną. Dane klienta nie obejmują danych administracyjnych, danych wsparcia ani danych telemetrycznych.

Dane wsparcia

Informacje gromadzone przez firmę Cisco, gdy klient składa wniosek o usługi pomocy technicznej lub inne rozwiązywanie problemów, w tym informacje o sprzęcie lub oprogramowaniu. Zawiera szczegóły dotyczące incydentu pomocy technicznej, takie jak informacje uwierzytelniające, informacje o stanie produktu, dane systemu i rejestru dotyczące instalacji oprogramowania i konfiguracji sprzętu oraz pliki śledzenia błędów. Dane pomocy technicznej nie obejmują plików dziennika, konfiguracji ani oprogramowania układowego ani zrzutów podstawowych pobranych z produktu i dostarczonych nam w celu rozwiązania problemu związanego z żądaniem pomocy technicznej, z których wszystkie są przykładami danych klientów.

Dane telemetryczne

Informacje generowane przez oprzyrządowanie i systemy rejestrowania utworzone w wyniku użytkowania i działania produktu lub usługi.

Wszystkie dane gromadzone w chmurze Webex są chronione przez kilka warstw solidnych technologii i procesów bezpieczeństwa. Poniżej znajdują się przykłady elementów sterujących umieszczonych w różnych warstwach operacji Webex w celu ochrony danych klientów:

• Fizyczna kontrola dostępu — Dost ęp fizyczny jest kontrolowany za pomocą danych biometrycznych, odznak i nadzoru wideo. Dostęp do centrum danych wymaga zatwierdzenia i jest zarządzany za pośrednictwem elektronicznego systemu sprzedaży biletów.
• Kontrola dostępu do sieci — Obwód sieci Webex jest chroniony przez zapory ogniowe. Każdy ruch sieciowy wchodzący lub wychodzący z centrum danych Webex jest stale monitorowany za pomocą systemu wykrywania włamań (IDS). Sieć Webex jest również podzielona na oddzielne strefy bezpieczeństwa. Ruch między strefami jest kontrolowany przez zapory ogniowe i listy kontroli dostępu (ACL).
• Kontrola monitorowania i zarządzania infrastruktur ą — każdy element infrastruktury, w tym urządzenia sieciowe, serwery aplikacji i bazy danych, jest zaostrzony zgodnie z rygorystycznymi wytycznymi. Są również poddawane regularnym skanom w celu zidentyfikowania i rozwiązania wszelkich problemów związanych z bezpieczeństwem.
• Sterowanie kryptograficzne — Jak wspomniano wcześniej, wszystkie dane do i z centrum danych Webex do zarejestrowanych w chmurze aplikacji Webex i urządzeń Webex są szyfrowane, z wyjątkiem ruchu PSTN i niezaszyfrowanych urządzeń wideo SIP/H323 na spotkaniu obsługującym chmurę. Ponadto krytyczne dane przechowywane w Webex, takie jak hasła, są szyfrowane.

Pracownicy Cisco nie mają dostępu do danych klientów, chyba że klient poprosi o dostęp ze względów pomocy technicznej. Dostęp do systemów w tym przypadku jest dozwolony przez kierownika tylko zgodnie z zasadą „segregacji obowiązków”. Jest przyznawany wyłącznie na zasadzie konieczności poznania i tylko z poziomem dostępu wymaganym do wykonania pracy. Dostęp pracowników do tych systemów jest również regularnie sprawdzany pod kątem zgodności z przepisami. Pracownicy posiadający taki dostęp są zobowiązani do corocznego szkolenia Międzynarodowej Organizacji Normalizacyjnej (ISO) 27001 Information Security Awareness.

Oprócz tych specjalistycznych kontroli każdy pracownik Cisco przechodzi kontrolę przeszłości, podpisuje umowę o zachowaniu poufności (NDA) i kończy szkolenie w zakresie kodeksu postępowania biznesowego (COBC).

Ustawa o przenośności i odpowiedzialności ubezpieczenia zdrowotnego (HIPAA)

Cisco może dostarczać informacje dotyczące funkcjonalności, technologii i bezpieczeństwa Webex. Podmiot objęty HIPAA musiałby skonsultować się z własnym doradcą prawnym, aby ustalić, czy funkcjonalność Webex jest zgodna z jego procesami biznesowymi i jest gotowa na GDPR.

• Zgodność z RODO
• Ujawnienie Webex Meetings oferty Cisco

Standardy branżowe i certyfikaty

Oprócz przestrzegania naszych rygorystycznych norm wewnętrznych, Webex nieustannie utrzymuje walidacje stron trzecich, aby wykazać nasze zaangażowanie w bezpieczeństwo informacji. Webex to:

• Certyfikaty ISO 27001, 27017, 27018 i 27701
• Kontrola organizacji usług (SOC) 2 typu II poddane audytowi
• Certyfikat SOC 3
• Kodeks postępowania w chmurze
• CSTAR
• Certyfikat katalogu kontroli zgodności z przetwarzaniem w chmurze (C5)
• Certyfikat FedRAMP (odwiedź cisco.com/go/fedramp, aby uzyskać więcej informacji, zakres i dostępność)

Pełny zestaw dokumentów dotyczących bezpieczeństwa, prywatności i zgodności, w tym szczegółowe informacje na temat powyższych standardów i certyfikatów, można znaleźć w portalu Cisco Trust Portal.