Благодарим вас за обратную связь.

Основные Webex Meetings сервисы и компоненты

• Webex Meetingsявляется частью организации аудио/видеоконференций с возможностью обмена контентом и проведения веб-конференций. Webex Suite
• Платформа включает в себя несколько микросервисов, таких как служба встреч, служба вебинаров, служба идентификации, служба записи, AI Assistant служба аналитики, служба администрирования и мультимедийная служба.
• Webex Meetingsподдерживает приложения и устройства, зарегистрированные в облаке, что позволяет пользователям присоединяться к совещаниям с различных ОС, платформ и устройств. Пользователи также могут присоединяться к совещаниям через PSTN и с помощью конечных точек SIP.

Архитектура и развертывание

• Webex MeetingsСервисы распределены по регионам и реплицируются в нескольких независимых центрах обработки данных для обеспечения избыточности и высокой доступности.
• Мультимедийные сервисы распределены по всему миру, а кластеры медиасерверов расположены в каждом центре обработки данных, что обеспечивает локальное и географическое резервирование.
• Мультимедийные серверы обеспечивают передачу голоса, видео и контента, а медиафайлы обычно шифруются с помощью AES-256-GCM.
• Архитектура поддерживает зашифрованную передачу сигналов по протоколу TLS/HTTPS и зашифрованные медиапотоки.

Webex поддерживает присоединение к совещаниям с нескольких платформ и устройств, в том числе:

• Приложение Webex для настольных ПК в Windows, Mac и Linux.
• Мобильное приложение Webex на Android и iOS.
• Веб-приложение Webex, использующее Chrome, Edge, Safari, Firefox и другие браузеры.
• Устройства Cisco Room и настольные устройства.
• Конечные точки аудио и видео сторонних производителей, основанные на стандартах SIP.
• Устройства PSTN.

Суверенитет клиентов Webex

В ответ на растущий спрос на хранение данных Webex представила расширенные возможности суверенитета. Начав с записи и поддержки новых сервисов, организации теперь могут сохранять контроль над содержанием совещаний с помощью следующих средств:

• Локализованная обработка — обработка содержимого совещаний, например записей, в рамках собственной инфраструктуры.
• Локальное хранилище. Использование собственных сервисов хранения файлов для хранения конфиденциальных материалов, связанных с проведением конференций, обеспечивает сохранение данных в пределах определенных географических или организационных границ.

Ультрабезопасная Webex Meetings

Исторически функции «сверхбезопасности», такие как сквозное шифрование с нулевым доверием (E2EE), часто требовали компромисса в функциональности конференций, поскольку облачные сервисы с добавленной стоимостью требовали доступа к ключам шифрования, и только ограниченное количество типов конечных точек могло присоединиться к таким совещаниям. Webex устранила этот компромисс, предложив следующее:

• Многофункциональное решение по принципу нулевого доверия. Компания Webex трансформировала совещания с нулевым доверием и сквозным шифрованием (E2EE), добавив функциональные возможности, делающие совещания Zero Trust многофункциональными. Поддержка большего количества типов конечных точек обеспечивает бесперебойную работу без ущерба для инструментов, необходимых для современной совместной работы.
• Нулевое доверие к стандартным совещаниям — Webex интегрировала возможности Zero Trust E2EE непосредственно в стандартные совещания. Это гарантирует, что даже повседневная совместная работа может обеспечить высочайший уровень безопасности, обеспечивая стабильную защиту всей экосистемы Webex.

Унифицированный подход к совместной работе

Интегрируя Customer Soverentity с этими передовыми возможностями Zero Trust E2EE, Webex позволяет организациям достичь двойной цели: проводить совещания с высоким уровнем безопасности и нулевым доверием в облаке Webex при сохранении полного контроля над обработкой и хранением критически важного контента совещаний в локальной среде. Такая синергия обеспечивает гибкость и безопасность, необходимые для современных корпоративных сред, ориентированных на соответствие нормативным требованиям.

Расширение границ безопасности с помощью Video Mesh Node

Добавление узла Video Mesh в организацию позволяет клиентам предоставлять услуги локальных конференций, а локальным конечным точкам — присоединяться к любому совещанию Webex. С точки зрения безопасности интеграция узла Video Mesh обеспечивает нулевое доверие к облаку Webex и при этом обеспечивает почти такой же набор функций, как и стандартные совещания Webex. Клиенты также получают выгоду от суверенитета данных, поскольку такие сервисы, как записи встреч Video Mesh Node, обрабатываются и хранятся локально.

Использование сквозного шифрования Zero Trust может отложить присоединение к совещанию еще на несколько секунд, но оно обеспечивает четкую гарантию безопасности: только участники совещания имеют доступ к ключам шифрования совещания, поэтому поставщик услуг или другие посредники не могут расшифровать содержимое совещания.

Краткое описание: и гибридные модели развертывания Webex Meetings

Как показано в приведенном выше сравнении, развертывание узла Video Mesh Node (VMN) позволяет компании Zero Trust Webex Meetings достичь почти полного паритета функций со стандартными совещаниями Webex. Хотя совещания Zero Trust не поддерживают участников PSTN, веб-приложение Webex служит широко доступной альтернативой сквозному зашифрованному доступу. Кроме того, VMN позволяет офисным сотрудникам, использующим настольные телефоны, беспрепятственно присоединяться к совещаниям Zero Trust.

Video Mesh Node также обеспечивает сохранность данных в критически важном контенте совещаний, включая записи и — в ближайшем будущем — стенограммы, резюме и задания. Обрабатывая и храня эти данные в локальной среде, VMN предоставляет клиентам полный контроль над информацией, сохраняя при этом архитектуру Zero Trust в облаке Webex.

Зашифрованная сигнализация Webex

Сервисы Webex поддерживают версии TLS 1.2 и 1.3, при поддержке подключающейся конечной точки предпочтение отдается протоколу TLS 1.3. Если клиент поддерживает только TLS 1.2, сервер Webex выбирает самый надежный стандартный набор шифров, предлагаемый клиентом. В отличие от TLS 1.2, в TLS 1.3 не используется выбор набора шифров по выбору сервера, поскольку используется небольшой тщательно подобранный набор современных шифров. Такая конструкция упрощает процесс выбора, уделяя больше внимания повышению производительности, например уменьшению общей продолжительности рукопожатия при сохранении высокой безопасности. Пакеты шифров для TLS 1.2 и 1.3, используемые Webex, четко определены и расставлены по приоритетам для обеспечения безопасной связи.

Наборы шифров TLS

Наборы шифров TLS 1.3 (серверы TLS 1.3 не используют порядок предпочтений при выборе пакетов)

Наборы шифров TLS 1.2 (наборы в порядке, предпочтительном для сервера)

Шифры шифрования AES_256_CBC и AES_128_CBC поддерживаются для обеспечения совместимости с устаревшими системами, старыми браузерами и встроенными устройствами, которые не поддерживают современные шифры AEAD (аутентифицированное шифрование со связанными данными), такие как AES-GCM, например Internet Explorer11 в Windows 7 и Windows 8.1, Safari 6/7/8 в ранних версиях iOS и macOS используют шифры на основе CBC.

CHACHA20_POLY1305 — это потоковый шифр, который мало зависит от аппаратного обеспечения, что делает его превосходным для использования на мобильных устройствах или устройствах с маломощными процессорами.

Стандарты шифрования мультимедийных данных для Webex

В совещаниях и звонках Webex используется надежное шифрование на основе AES для всех медиапакетов. Конкретный набор шифров зависит от типа конечной точки, а AES-256-GCM является предпочтительным стандартом для обеспечения оптимальной безопасности.

Ключевые соображения безопасности

• Предпочтительный стандарт — AES-256-GCM — рекомендуемый шифр для всех развертываний, обеспечивающий высочайший уровень целостности и конфиденциальности данных.
• Совместимость. Хотя Webex поддерживает устаревшие шифры (например, AES-CM-128-HMAC-SHA1) для обеспечения совместимости с системами SIP и H.323 сторонних производителей, организациям, отдающим приоритет архитектуре с нулевым доверием, следует применять AES-256-GCM там, где это позволяет совместимость устройств.

Протоколы передачи мультимедийных данных

Webex поддерживает передачу мультимедиа по протоколам UDP, TCP или TLS. Для обеспечения оптимальной производительности передачи голоса и видео Cisco настоятельно рекомендует протокол UDP.

Соображения по производительности:

• Эффективность в реальном времени. UDP является предпочтительным средством передачи мультимедийных данных в реальном времени, поскольку он сводит к минимуму задержки и дрожание, избегая механизмов повторной передачи и буферизации, присущих протоколам, ориентированным на подключение.
• Влияние TCP/IP TLS. Хотя протоколы TCP и TLS обеспечивают надежную и упорядоченную доставку данных, такое поведение контрпродуктивно для носителей, работающих в реальном времени. В результате повторная передача пакетов и буферизация потоков приводят к задержкам и дрожанию, что может значительно ухудшить качество работы участников

Использование Webex SRTP и sFrame для мультимедиа

Чтобы поддерживать высокие стандарты безопасности, необходимые для сред WebExZero Trust, важно различать безопасность на транспортном уровне (SRTP) и сквозное шифрование на уровне приложений (sFrame).

Ключевые технические отличия — SRTP и sFrame

1. SRTP (безопасный транспортный протокол в реальном времени)

   SRTP — это отраслевой стандарт защиты передаваемых медиапотоков.

   • Область применения — он обеспечивает конфиденциальность, аутентификацию сообщений и защиту от воспроизведения полезной нагрузки RTP.
   • Операционный контекст. Во многих архитектурах медиасервер/медиашлюз (блок выборочной пересылки (SFU)) прерывает SRTP-соединение для выполнения обработки мультимедийных данных (например, микширования, компоновки или перекодирования). Поскольку SFU расшифровывает носитель для его обработки, носитель в точке SFU технически уязвим.
2. sFrame (защищенный фрейм)

   sFrame — это стандарт IETF. RFC 9605 разработан специально для обеспечения настоящего сквозного шифрования в многопользовательской конференц-среде.

   • Область применения. Он шифрует упакованные медиакадры перед их инкапсуляцией в пакеты RTP. Webex добавляет дополнительный уровень шифрования с помощью SRTP.
   • Архитектура нулевого доверия. Поскольку носитель зашифрован на прикладном уровне, SFU действует только как «слепой» ретранслятор. Она направляет зашифрованные пакеты другим участникам, не имея доступа к ключам дешифрования.
   • Независимость — sFrame не зависит от транспорта. Он остается безопасным даже в случае взлома базового транспорта (UDP/TCP/IP TLS), поскольку контекст безопасности привязан к конечным точкам участников, а не к транспортному соединению.

sFrame — важнейший механизм, обеспечивающий E2EE. В то время как SRTP обеспечивает шифрование данных по сети, sFrame обеспечивает шифрование мультимедийных данных на протяжении всего жизненного цикла совещания, в том числе во время их хранения в инфраструктуре Cisco (SFU), тем самым эффективно удаляя поставщика услуг за пределы доверия.

Webex Meetingsконтент

Контент совещания состоит из данных, созданных участниками или сервисами Webex от имени организатора совещания. Сюда входят:

• Содержимое, связанное с медиафайлами — записи, стенограммы, резюме и задания.
• Данные о совместной работе — сообщения в чате, совместно используемые или переданные файлы, доски и аннотации.

Webex MeetingsБезопасность контента — комплексное шифрование Webex

Webex защищает содержимое совещаний, созданное участниками, с помощью надежной платформы сквозного шифрования (E2EE). Центральное место в этой архитектуре занимает служба управления ключами Webex (KMS), которая отвечает за создание, распространение и управление ключами шифрования всего пользовательского контента.

Соблюдение уровней безопасности контента

• Передача данных. Приложение Webex и видеоустройства Cisco используют комплексное шифрование Webex (E2EE) с AES-256-GCM для шифрования создаваемого пользователями содержимого совещаний, например файлов записей, сводных файлов искусственного интеллекта, сообщений чата и т. д. Кроме того, этот протокол инкапсулирован в протокол TLS для обеспечения двухуровневой защиты во время передачи.
• Данные в состоянии покоя. После хранения в облаке Webex зашифрованное содержимое дополнительно защищается дисковым шифрованием AES-256-GCM.
• Профиль защиты. Такой подход защищает контент от перехвата по протоколу TLS во время передачи и обеспечивает недоступность сохраненных данных для неавторизованных лиц в облачной среде.

Комплексное шифрование Webex с управляемым доступом к контенту для основных служб

В отличие от сквозного шифрования Zero Trust, при котором Webex не имеет доступа к ключам шифрования мультимедиа или контента, комплексное шифрование Webex позволяет платформе использовать ключи, созданные Webex KMS, для расшифровки данных основных сервисов. Этот управляемый доступ позволяет:

• Поиск и индексирование — позволяет пользователям просматривать историю контента.
• Соответствие требованиям и управление — обеспечивает предотвращение потери данных (DLP), обнаружение электронных данных и архивирование данных.
• Оптимизация мультимедиа — поддерживает перекодирование файлов для обеспечения совместимости между устройствами.
• Безопасность. Упрощает сканирование вредоносных программ с помощью пакета Extended Security Pack.

Webex MeetingsМетаданные

Метаданные совещаний представляют собой административную и техническую информацию, генерируемую системой для организации, отслеживания и управления совещанием, а не фактическое содержимое (аудио, видео или общие файлы) самого совещания. Метаданные можно разбить на несколько категорий:

• Информация о сеансе — название совещания, идентификатор совещания, запланированное время начала и окончания, а также фактическая продолжительность совещания.
• Данные об участниках — список приглашенных и фактических участников, их IP-адреса, типы устройств (например, Windows, iPhone, Cisco Room Kit) и время присоединения и ухода.
• Показатели использования и качества — данные, используемые для устранения неполадок, такие как потеря пакетов, джиттер, задержка и разрешение видеопотока.

Как используются метаданные

1. Аналитика и отчетность. Администраторы используют метаданные в WebExControl Hub, чтобы узнать, сколько собраний проводится, какие отделы наиболее активны и каково общее качество обслуживания.
2. Устранение неполадок — Cisco TAC (Центр технической поддержки) использует метаданные для выявления и решения проблем, связанных с совещаниями.
3. Соответствие нормативным требованиям и раскрытие электронной документации. Сотрудники по соблюдению нормативных требований могут искать метаданные, чтобы подтвердить, что совещание состоялось, кто на нем присутствовал и было ли оно записано, даже если они не могут увидеть зашифрованное содержимое совещания.
4. Безопасность. Метаданные помогают выявлять попытки несанкционированного доступа или необычные закономерности, которые могут указывать на угрозу безопасности.

Безопасность и конфиденциальность метаданных

• Шифрование. Хотя метаданные и не являются «сквозным шифрованием», они по-прежнему шифруются при передаче (с использованием протокола TLS) и хранении в защищенных центрах обработки данных Cisco.
• Контроль доступа. Политики конфиденциальности Cisco строго ограничивают доступ к этим метаданным. Эти метаданные используются для предоставления и улучшения сервиса.

Дополнительные сведения о содержании и метаданных совещаний Webex см. в разделе Раскрытие информации о Webex Meetings предложениях.

Назначение типов сеансов собраний пользователям

Администраторы Webex Control Hub могут назначить один или несколько типов совещаний, которые пользователи смогут использовать для запланированных совещаний. По умолчанию всем пользователям назначены типы совещаний Pro Meeting и Pro-End Encryption_VOIP Only.

Запланируйте встречу — выберите тип встречи

Пользователи могут выбрать тип совещания, который они хотят использовать при планировании совещания, в приложении Webex, на странице пользователя Webex и в надстройке Webex Email для. Microsoft Outlook

Запланируйте совещание — выберите тип совещания в приложении Webex

Запланируйте совещание — выберите тип совещания на странице пользователя Webex

Задайте тип совещания по умолчанию

Пользователи могут задать тип совещания по умолчанию в разделе Совещания > Настройки на странице пользователя Webex.

Задайте тип совещания по умолчанию на странице пользователя Webex

Комплексное предотвращение идентификационных данных и дипфейков с нулевым доверием

Предоставленные заказчиком удостоверения личности конечного пользователя являются краеугольным камнем предотвращения выдачи себя за другое лицо на совещаниях Webex с сквозным шифрованием (E2EE). В отличие от традиционных механизмов блокировки дипфейков, основанных на анализе аудио- и видеопотоков, этот подход обеспечивает криптографическую проверку личности при поступлении. Этот подтвержденный статус отображается непосредственно в списке участников конференции, что обеспечивает прозрачность для всех участников.

Webex расширила поддержку сертификатов, управляемых клиентами, которые ранее были доступны на устройствах RoomOS, на приложение Webex в рамках нашей функции «Предотвращение дипфейков». Организации могут предоставлять собственные цифровые сертификаты, выпущенные доверенными внешними центрами сертификации (ЦС) с использованием стандартных отраслевых протоколов, таких как ACME, и управлять ими. Эти сертификаты, основанные на стандартах X.509 и парах ключей ECDSA P-256, обеспечивают криптографическое подтверждение личности участников во время совещаний E2EE.

Комплексная верификация личности и протокол MLS

Протокол Messaging Layer Security (MLS) использует стандартные сертификаты X.509 для аутентификации участников совещания. Сертификат — это заявление с цифровой подписью от доверенного центра сертификации, подтверждающее личность владельца ключа для подписи. Участники получают эти сертификаты двумя основными способами:

• Управляемые устройства (сертификаты, предоставляемые заказчиком). Для настольных и мобильных клиентов, управляемых организацией, на устройство можно установить удостоверение личности от доверенного центра сертификации. Когда пользователь входит в систему с помощью единого входа (SSO), приложение Webex извлекает этот сертификат из доверенного хранилища ОС, чтобы подтвердить личность пользователя. Этот процесс также поддерживается для видеоустройств Cisco, зарегистрированных в облаке Webex.
• По умолчанию (сертификаты, предоставленные Webex). Если сертификат, предоставленный клиентом, недоступен, клиент или устройство Webex автоматически использует сертификат, выданный Webex и отражающий личность, подтвержденную Cisco. Certificate Authority

Совместное использование идентификационных данных и резервный механизм

Во время совещания каждый участник делится своим удостоверением личности Webex и, если имеется, своим удостоверением личности, предоставленным клиентом, всем остальным участникам. Чтобы обеспечить бесперебойную связь, конечная точка Webex придерживается строгой иерархии: она отдает приоритет предоставленному клиентом сертификату для проверки; если этот сертификат отсутствует или не проходит проверку, система автоматически возвращается к сертификату идентификации, предоставленному Webex.

Отображение статуса проверки личности пользователя

Когда участники присоединяются к совещанию с помощью приложений Webex или устройств RoomOS с предоставленными заказчиком сертификатами, другие участники совещания сверяют их личность с выдавшим их центром сертификации. Это позволяет распознавать только авторизованных пользователей и не позволяет злоумышленникам выдавать себя за законных участников, поскольку эти сертификаты уникально привязаны к проверенным личностям и не могут быть подделаны компанией Cisco или посредниками.

В списке участников совещания, зашифрованного E2E, отображается статус подтверждения личности каждого пользователя:

• E2E подтверждено нулевым доверием ( domain.com) — при использовании удостоверения личности, предоставленного клиентом, домен участника отображается синим текстом. Это означает подлинную идентификацию, подтвержденную E2E, которую Cisco не может взломать. Например, в списке встреч вы можете увидеть, что у «Кевина» есть подтвержденный адрес электронной почты от example.com, выделенный синим цветом.
• Проверено Webex ( domain.com) — сертификаты, выпущенные центром сертификации Webex, обеспечивают более ограниченный уровень защиты. Несмотря на то, что у этих участников нет защиты личных данных, они не отмечены как «подтвержденные сертификатами Zero Trust E2E». Вместо этого их идентификационный статус отображается серым текстом, что означает, что личность была подтверждена центром сертификации Webex.
• Непроверенный гостевой пользователь ( Непроверенный) — хотя личность гостевых участников не аутентифицирована (поскольку процесс входа в систему отсутствует), им все равно требуется сертификат, чтобы присоединиться к группе MLS для звонка или встречи. Этот сертификат выдан центром сертификации Webex и использует слово «анонимный» в качестве имени пользователя.

Кроме того, код безопасности совещания, полученный на основе криптографического состояния всех участников, помогает выявлять атаки «человек-посредник», позволяя участникам удостовериться в том, что все используют один и тот же безопасный контекст совещания. Сочетая криптографическую проверку личности с комплексным шифрованием, эта функция «Предотвращение дипфейков» обеспечивает надежную защиту от угроз, связанных с выдачей себя за другое лицо, и синтетических мультимедийных угроз, а также обеспечивает целостность и конфиденциальность совещаний как на устройствах Webex App, так и на устройствах RoomOS.

Управление развертыванием сертификатов

Организации могут упростить развертывание этих предоставленных заказчиками идентификационных сертификатов конечных пользователей и управление ими, установив их на управляемые корпорацией устройства с помощью приложений для управления мобильными устройствами (MDM), управления мобильными приложениями (MAM) или управления корпоративной мобильностью (EMM). Эти платформы управления позволяют ИТ-администраторам централизованно предоставлять, настраивать и контролировать сертификаты и соответствующие политики безопасности на широком спектре устройств, принадлежащих как корпоративным, так и личным владельцам. Например, Microsoft Intune поддерживает возможности MDM и MAM, которые позволяют организациям развертывать приложение Webex и его конфигурации безопасности, включая идентификационные сертификаты, и управлять ими на управляемых устройствах. Аналогичным образом, Cisco Meraki Systems Manager предоставляет возможности MDM для регистрации устройств, отправки профилей конфигурации и развертывания сертификатов для обеспечения статуса доверенного устройства. Использование этих решений по управлению снижает административные издержки, упрощает управление жизненным циклом сертификатов и повышает уровень безопасности совещаний Webex E2EE с помощью функций «предотвращения Deepfake».

Три столпа идентичности

Эффективное управление идентификацией и доступом (IAM) для Webex зависит от следующих факторов:

• Предоставление ресурсов (CRUD) — управление жизненными циклами пользователей (создание, чтение, обновление, удаление) для обеспечения соответствия «Источника достоверных данных» платформе для совместной работы.
• Аутентификация (AuthN) — проверка личности пользователя с помощью защищенных учетных данных или токенов.
• Авторизация (AuthZ) — детальное определение разрешений и уровней доступа к API после аутентификации.

Выделение ресурсов и управление жизненным циклом

Webex поддерживает несколько способов синхронизации пользователей и групп:

• SCIM 2.0 — предпочтительный облачный стандарт. Он автоматизирует жизненный цикл пользователя, гарантируя, что при выходе из IdP доступ к Webex автоматически аннулируется.
• Directory Connector — инструмент Cisco для гибридных сред, связывающий локальную среду (AD) с облаком WebexActive Directory.
• Выделение ресурсов на основе API — используется Webex «People API» для программного создания пользователей и назначения лицензий в сложных средах.
• Устаревший протокол LDAP — поддерживается локальными каталогами (например, CUCM), но менее оптимизирован для современного облачного трафика.

Платформы аутентификации и авторизации

• Аутентификация (AuthN):

• SAML 2.0 — корпоративный стандарт единого входа (SSO). Webex выступает в роли поставщика услуг (SP), проверяя утверждения XML от корпоративного IdP.
• OIDC (OpenID Connect) — современный легкий слой идентификации, построенный на основе OAuth 2.0 с использованием веб-токенов JSON (JWT). Он поддерживает функцию «Discovery URL» для автоматической настройки.

• Авторизация (AuthZ):

• OAuth 2.0 — управляет доступом к API с помощью токенов доступа с коротким сроком действия (определяющих области действия) и долгоживущих токенов обновления. Он обеспечивает безопасность государственных клиентов с помощью PKCE (Proof Key for Code Exchange).

Интеграция и стратегии работы с несколькими IDP

Webex предоставляет специализированные способы беспрепятственной интеграции:

• Мастер ввода идентификаторов — рекомендуемый путь для сред Microsoft. Он использует Microsoft Graph API для расширенной синхронизации атрибутов (аватаров, иерархий) и автоматизирует настройку OIDC/SAML.
• Duo Security — обеспечивает «непрерывную защиту личных данных», проверяя состояние устройства и обеспечивая устойчивую к фишингу многофакторную аутентификацию.

Поддержка нескольких IdP: Webex позволяет организациям объединять нескольких независимых ВПЛ в одном Control Hub.

• Примеры использования — слияния, поглощения или децентрализация ИТ-отделов.
• Маршрутизация. Запросы на аутентификацию маршрутизируются на основе доменов или групп пользователей.
• Примечание. Требуется строгая координация для обеспечения единообразия политик безопасности во всех федеративных источниках.

Пример наиболее распространенных интеграций IdP Identity с Webex:

Передовые практики и устойчивость

• Восстановление SSO. Всегда используйте встроенную ссылку «SSO Recovery» в Control Hub, чтобы обойти SSO с помощью одноразового пароля (OTP) в случае сбоя конфигурации IdP.
• Управление сертификатами — отслеживайте срок действия сертификата SAML. Мастер SSO автоматизирует обмен метаданными, уменьшая количество ошибок, выполняемых вручную.
• Устранение неполадок. Используйте инструмент SAML Tracer для проверки утверждений XML и проверки форматов NameID в случае возникновения проблем с аутентификацией.
• Положение в области безопасности. Регулярно отказывайтесь от устаревших типов грантов и обеспечьте внедрение PKCE для всех интеграций государственных клиентов.

Заключение — удостоверение личности для Webex Meetings

Надежная стратегия идентификации — это непрерывный жизненный процесс. Комбинируя SCIM для выделения ресурсов, OIDC/SAML для аутентификации и OAuth для авторизации, организации могут обеспечить безопасную и беспроблемную работу пользователей при сохранении строгого административного контроля.

Жизненный цикл безопасной разработки Cisco

В Cisco безопасность не отходит на второй план. Это дисциплинированный подход к созданию и предоставлению продуктов и услуг мирового уровня с нуля. Все группы разработчиков продуктов Cisco ^® должны следовать жизненному циклу безопасной разработки Cisco. Это воспроизводимый и измеримый процесс, призванный повысить отказоустойчивость и надежность продуктов Cisco. Сочетание инструментов, процессов и учебных курсов, применяемых на всех этапах жизненного цикла разработки, позволяет обеспечить всестороннюю защиту. Это также обеспечивает комплексный подход к отказоустойчивости продукта. Команда разработчиков продуктов Webex с энтузиазмом следит за этим жизненным циклом во всех аспектах разработки продукта.

Узнайте больше о жизненном цикле безопасной разработки.

Базовые инструменты безопасности Cisco

Организация безопасности и доверия Cisco предоставляет процесс и необходимые инструменты, позволяющие каждому разработчику занять последовательную позицию при принятии решений по безопасности.

Создание и предоставление таких инструментов специализированным командам позволяет избежать неопределенности в процессе разработки продуктов.

Вот несколько примеров инструментов:

• Базовые требования безопасности продукции (PSB), которым должны соответствовать продукты
• Инструменты Threat-Builder, используемые при моделировании угроз
• Рекомендации по программированию
• Проверенные или сертифицированные библиотеки, которые разработчики могут использовать вместо написания собственного кода безопасности
• Инструменты тестирования уязвимостей безопасности (для статического и динамического анализа), используемые после разработки для проверки на наличие дефектов безопасности
• Отслеживание программного обеспечения, которое отслеживает библиотеки Cisco и сторонних производителей и уведомляет разработчиков продуктов об обнаружении уязвимости

Организационная структура, обеспечивающая безопасность процессов Cisco

В Cisco есть специальные отделы, которые внедряют процессы безопасности и управляют ими во всей компании. Чтобы постоянно быть в курсе угроз и проблем безопасности, Cisco полагается на:

• Облачная команда Cisco по информационной безопасности (InfoSec)
• Группа реагирования на инциденты, связанные с безопасностью продуктов Cisco (PSIRT)
• Совместная ответственность за безопасность

Облако Cisco InfoSec

Эта группа, возглавляемая директором по безопасности облачных технологий, отвечает за предоставление нашим клиентам безопасной среды Webex. InfoSec решает эту задачу, определяя и применяя процессы и инструменты безопасности для всех функций, связанных с доставкой Webex в руки наших клиентов.

Кроме того, Cisco InfoSec Cloud совместно с другими командами Cisco реагирует на любые угрозы безопасности сервиса Webex.

Cisco InfoSec также отвечает за постоянное повышение уровня безопасности Webex.

Группа реагирования на инциденты, связанные с безопасностью продуктов Cisco (PSIRT)

Cisco PSIRT — это специализированная международная группа, которая управляет притоком, расследованием и сообщением о проблемах безопасности, связанных с продуктами и услугами Cisco. PSIRT использует разные способы публикации информации в зависимости от серьезности проблемы безопасности. Тип отчетов различается в зависимости от следующих условий:

• Существуют программные исправления или обходные пути устранения уязвимости, или планируется последующее публичное раскрытие исправлений кода для устранения уязвимостей высокой степени серьезности
• Компания PSIRT отметила активное использование уязвимости, которая может повысить риск для клиентов Cisco. В этом случае PSIRT может ускорить публикацию объявления о безопасности с описанием уязвимости без полного выпуска исправлений.
• Осведомленность общественности об уязвимости, затрагивающей продукты Cisco, может повысить риск для клиентов Cisco. Опять же, PSIRT может предупреждать клиентов, даже если патчи не будут доступны в полном объеме.

Во всех случаях PSIRT раскрывает минимальный объем информации, необходимый конечным пользователям для оценки воздействия уязвимости и принятия мер по защите среды. PSIRT использует шкалу Общей системы оценки уязвимостей (CVSS) для оценки серьезности раскрытой проблемы. PSIRT не предоставляет сведений об уязвимостях, которые могли бы позволить кому-то создать эксплойт.

Дополнительные сведения о PSIRT см. в разделе Группа реагирования на инциденты, связанные с безопасностью продуктов Cisco.

Ответственность за безопасность

Хотя каждый член группы Webex отвечает за безопасность, основные правила заключаются в следующем:

• Директор по безопасности, Cloud
• Вице-президент и генеральный директор по приложениям для Cisco Cloud совместной работы
• Вице-президент по проектированию приложений для Cisco Cloud совместной работы
• Вице-президент по управлению продуктами, приложениям для Cisco Cloud совместной работы

Внутренние и внешние тесты на проникновение

Группа Webex регулярно проводит тщательное тестирование на проникновение с использованием внутренних оценщиков. Помимо собственных строгих внутренних процедур, Cisco InfoSec также привлекает множество независимых третьих сторон для проведения строгих аудитов внутренних политик, процедур и приложений Cisco. Эти аудиты предназначены для проверки критически важных требований безопасности как коммерческих, так и государственных приложений. Cisco также привлекает сторонних поставщиков для проведения текущих углубленных тестов на проникновение с помощью кода и оценки услуг. В рамках сотрудничества третья сторона проводит следующие оценки безопасности:

• Выявление критических уязвимостей приложений и сервисов и предложение решений
• Рекомендации по основным областям архитектурного усовершенствования
• Выявление ошибок в кодировании и предоставление рекомендаций по улучшению практики кодирования

Сторонние специалисты по оценке работают непосредственно с инженерным персоналом Webex, чтобы объяснить результаты и подтвердить исправление. Информацию об аттестации по Webex Meetings тестам на проникновение см. в пакете «Доверительные письма».

Физическая безопасность

Физическая безопасность центра обработки данных включает видеонаблюдение за объектами и зданиями и принудительную двухфакторную идентификацию при входе. В центрах обработки данных Cisco доступ контролируется с помощью комбинации считывателей бейджей и биометрических средств управления. Кроме того, средства контроля окружающей среды (например, датчики температуры и системы пожаротушения) и инфраструктура непрерывного обслуживания (например, резервное питание) помогают обеспечить бесперебойную работу систем.

Серверы центров обработки данных разделены на «зоны доверия» в зависимости от степени уязвимости инфраструктуры. Например, базы данных находятся в «клетках», сетевая инфраструктура имеет выделенные помещения, а все стойки для оборудования заблокированы. В центры обработки данных могут входить только сотрудники службы безопасности Cisco и авторизованные посетители в сопровождении персонала Cisco.

Производственная сеть Cisco пользуется большим доверием: лишь немногие люди с высоким уровнем доверия имеют доступ к сети.

Безопасность инфраструктуры и платформы

Безопасность платформы включает в себя безопасность сети, систем и центра обработки данных Webex в целом. Перед развертыванием в рабочей среде все системы проходят тщательную проверку безопасности и подтверждение соответствия требованиям, а также регулярно подвергаются постоянному усилению безопасности, исправлению безопасности, сканированию и оценке уязвимостей.

Серверы укрепляются в соответствии с Техническими рекомендациями по внедрению систем безопасности (STIG), опубликованными Национальным институтом стандартов и технологий (NIST). Брандмауэры защищают периметр сети. Списки контроля доступа (ACL) разделяют разные зоны безопасности. Имеются системы обнаружения вторжений (IDS), а действия подписываются и контролируются на постоянной основе. В Webex ежедневно проводятся внутренние и внешние проверки безопасности. Все системы укрепляются и исправляются в рамках регулярного обслуживания. Кроме того, сканирование и оценка уязвимостей проводятся постоянно.

Непрерывность обслуживания и аварийное восстановление являются важнейшими компонентами планирования безопасности. Проектирование центров обработки данных Cisco с глобальным резервным копированием сайтов и высокой доступностью позволяет обеспечить географическое аварийное переключение сервисов Webex. Нет единой точки отказа.

Административные данные

Информация о сотрудниках или представителях клиента или другой третьей стороны, собираемая и используемая Cisco для администрирования или управления поставкой продуктов или услуг Cisco, а также для администрирования или управления учетной записью клиента или третьей стороны в собственных деловых целях Cisco.

Административные данные могут включать имя, адрес, номер телефона, адрес электронной почты и информацию о договорных обязательствах между Cisco и третьей стороной, собранные во время первоначальной регистрации или позже в связи с управлением или администрированием продуктов или услуг Cisco.

Административные данные также могут включать название, время и другие характеристики совещаний, проведенных в Webex сотрудниками или представителями клиента. Другие примеры административных данных могут включать название совещания, время встречи и другие атрибуты совещаний, организованных в Webex.

Данные клиентов

Сюда входят все данные (включая текст, аудио, видео, файлы изображений и записи), предоставленные Cisco заказчиком в связи с использованием клиентом продуктов или услуг Cisco или разработанные Cisco по конкретному запросу клиента в соответствии с техническим заданием или контрактом.

Данные клиентов также включают файлы журналов, конфигураций или микропрограмм, а также дампы ядра.

Это данные, взятые из продукта или услуги и предоставленные Cisco, чтобы помочь нам устранить проблему, связанную с запросом на поддержку. Данные клиентов не включают административные данные, данные поддержки или данные телеметрии.

Данные поддержки

Информация, которую Cisco собирает, когда клиент отправляет запрос на услуги поддержки или другие способы устранения неполадок, включая информацию об аппаратном или программном обеспечении. Сюда входят сведения об инциденте, связанном с оказанием поддержки, такие как аутентификационная информация, сведения о состоянии продукта, системы и регистрационные данные об установках программного обеспечения и конфигурациях оборудования, а также файлы для отслеживания ошибок. Данные поддержки не включают файлы журналов, конфигураций или микропрограмм, а также дампы ядра, взятые из продукта и предоставленные нам для устранения неполадок, связанных с запросом на поддержку. Все эти данные являются примерами данных клиентов.

Данные телеметрии

Информация, генерируемая приборами и системами регистрации, созданными в результате использования и эксплуатации продукта или услуги.

Все данные, собранные в облаке Webex, защищены несколькими уровнями надежных технологий и процессов безопасности. Ниже приведены примеры элементов управления, размещенных на разных уровнях операций Webex для защиты данных клиентов:

• Контроль физического доступа. Физический доступ контролируется с помощью биометрических данных, бейджей и видеонаблюдения. Доступ в центр обработки данных требует одобрения и управляется с помощью системы электронных билетов.
• Контроль доступа к сети — периметр сети Webex защищен брандмауэрами. Любой сетевой трафик, входящий в центр обработки данных Webex или исходящий из него, постоянно отслеживается с помощью системы обнаружения вторжений (IDS). Сеть Webex также разделена на отдельные зоны безопасности. Трафик между зонами контролируется брандмауэрами и списками контроля доступа (ACL).
• Контроль и управление инфраструктурой. Каждый компонент инфраструктуры, включая сетевые устройства, серверы приложений и базы данных, отвечает строгим требованиям. Кроме того, они регулярно сканируются для выявления и устранения любых проблем безопасности.
• Криптографические средства управления. Как отмечалось ранее, все данные, поступающие из центра обработки данных Webex и из него в зарегистрированные в облаке приложения Webex и устройства Webex, зашифрованы, за исключением трафика PSTN и незашифрованных видеоустройств SIP/H323 во время совещания с поддержкой облака. Кроме того, важные данные, хранящиеся в Webex, например пароли, зашифрованы.

Сотрудники Cisco получают доступ к данным клиентов только по запросу клиента из соображений поддержки. Доступ к системам в этом случае разрешен руководителем только в соответствии с принципом «разделения обязанностей». Он предоставляется только по мере необходимости и только на том уровне доступа, который необходим для выполнения работы. Доступ сотрудников к этим системам также регулярно проверяется на предмет соответствия требованиям. Сотрудники, имеющие такой доступ, должны ежегодно проходить обучение по информационной безопасности Международной организации по стандартизации (ISO) 27001.

В дополнение к этим специализированным мерам контроля каждый сотрудник Cisco проходит проверку биографических данных, подписывает соглашение о неразглашении (NDA) и проходит обучение Кодексу делового поведения (COBC).

Закон о переносе и подотчетности медицинского страхования (HIPAA)

Cisco может предоставить информацию о функциональности, технологиях и безопасности Webex. Организации, подпадающей под действие HIPAA, необходимо проконсультироваться со своим юрисконсультом, чтобы определить, соответствует ли функциональность Webex бизнес-процессам и требованиям GDPR.

• Соответствие GDPR
• Раскрытие Webex Meetings предложений Cisco

Отраслевые стандарты и сертификаты

Помимо соблюдения строгих внутренних стандартов, Webex также постоянно проводит проверки сторонних организаций, подтверждающие нашу приверженность информационной безопасности. Webex — это:

• Сертифицированы по стандартам ISO 27001, 27017, 27018 и 27701
• Проверено управление сервисными организациями (SOC) 2 типа II
• Сертифицирован по стандарту SOC 3
• Кодекс поведения в облаке
• CSTAR
• Сертификация каталога средств контроля соответствия облачным вычислениям (C5)
• Сертифицирован компанией FedRAMP (более подробную информацию, объем и доступность см. на сайте cisco.com/go/fedramp)

Полный набор документов по безопасности, конфиденциальности и соответствию требованиям, включая сведения о вышеуказанных стандартах и сертификатах, см. на портале Cisco Trust Portal.