Благодарим вас за обратную связь.

Основные сервисы и компоненты Webex Meetings

• Webex Meetings является частью пакета Webex Suite и предоставляет следующие возможности: audio/video Конференц-связь с возможностью обмена контентом и веб-конференций.
• Платформа включает в себя множество микросервисов, таких как сервис для проведения встреч, сервис для вебинаров, сервис идентификации, сервис для записи, сервис ИИ-помощника, сервис аналитики, сервис администрирования и медиасервис.
• Webex Meetings поддерживает приложения и устройства, зарегистрированные в облаке, что позволяет пользователям присоединяться к совещаниям с различных операционных систем и устройств. Пользователи также могут присоединяться к совещаниям через телефонную сеть общего пользования (PSTN) и с помощью SIP-терминалов.

Архитектура и развертывание

• Сервисы Webex Meetings регионализированы и дублируются в нескольких независимых центрах обработки данных для обеспечения избыточности и высокой доступности.
• Медиасервисы распределены по всему миру, при этом кластеры медиасерверов расположены в каждом центре обработки данных, обеспечивая локальное и географическое резервирование.
• Медиасерверы обрабатывают голосовые сообщения, видео и обмен контентом, при этом медиафайлы обычно шифруются с использованием AES-256-GCM.
• Архитектура поддерживает зашифрованную передачу сигналов по сети. TLS/HTTPS и зашифрованные медиапотоки.

Webex поддерживает подключение к совещаниям с различных платформ и устройств, включая:

• Настольное приложение Webex для Windows, Mac и Linux.
• Мобильное приложение Webex для Android и iOS.
• Веб-приложение Webex используется в браузерах Chrome, Edge, Safari, Firefox и других.
• Устройства Cisco для конференц-залов и настольные устройства.
• Аудио- и видеотерминалы сторонних производителей, работающие на основе стандартов SIP.
• Устройства PSTN.

Суверенитет клиента Webex

В ответ на растущий спрос на размещение данных на собственном сервере, Webex представила расширенные возможности обеспечения суверенитета данных. Начиная с функции записи и с учетом поддержки новых сервисов в будущем, организации теперь могут контролировать содержание своих совещаний с помощью следующих возможностей:

• Локализованная обработка— Обработка содержимого совещаний, например, записей, в рамках собственной инфраструктуры.
• Локальное хранилище— Использование собственных служб хранения файлов для размещения конфиденциальных материалов совещаний, гарантируя, что данные остаются в пределах указанных географических или организационных границ.

Сверхзащищенные встречи Webex

Исторически сложилось так, что функции «сверхзащищенности», такие как сквозное шифрование с нулевым доверием (E2EE), часто требовали компромисса в функциональности совещаний, поскольку облачные дополнительные сервисы требовали доступа к ключам шифрования, и к таким совещаниям могло присоединиться лишь ограниченное количество типов конечных устройств. Webex устранил этот компромисс благодаря следующим решениям:

• Многофункциональное сквозное шифрование Zero Trust— Компания Webex преобразовала совещания с сквозным шифрованием Zero Trust (E2EE), добавив функциональность, которая делает совещания Zero Trust многофункциональными. Поддержка большего числа типов конечных устройств обеспечивает бесперебойную работу без ущерба для инструментов, необходимых для современной совместной работы.
• Нулевое доверие для стандартных совещаний— Webex интегрировал возможности сквозного шифрования с нулевым доверием непосредственно в стандартные совещания. Это гарантирует, что даже повседневное сотрудничество может получить выгоду от высочайшего уровня безопасности, обеспечивая надежную защиту во всей экосистеме Webex.

Единый подход к сотрудничеству

Благодаря интеграции принципа суверенитета клиента с передовыми возможностями сквозного шифрования на основе концепции нулевого доверия, Webex позволяет организациям достичь двойной цели: Проведение высокозащищенных совещаний в рамках концепции «нулевого доверия» в облаке Webex с сохранением полного контроля над обработкой и хранением критически важного контента совещаний в локальной сети. Эта синергия обеспечивает гибкость и безопасность, необходимые для современных корпоративных сред, ориентированных на соблюдение нормативных требований.

Расширение границ безопасности с помощью узла видеосетки

Добавление узла Video Mesh в организацию позволяет клиентам предоставлять услуги проведения совещаний на собственных серверах, а также дает возможность их локальным устройствам подключаться к любым совещаниям Webex. С точки зрения безопасности, интеграция узла Video Mesh Node обеспечивает принцип нулевого доверия в облаке Webex, предлагая при этом практически тот же функционал, что и стандартные совещания Webex. Клиенты также получают выгоду от суверенитета данных, поскольку такие сервисы, как запись совещаний с использованием Video Mesh Node, обрабатываются и хранятся на собственных серверах.

Использование сквозного шифрования с нулевым доверием может добавить несколько секунд к времени подключения к совещанию, но оно обеспечивает четкую гарантию безопасности — доступ к ключам шифрования имеют только участники совещания, поэтому содержимое совещания не может быть расшифровано поставщиком услуг или другими посредниками.

Сводная информация: Webex Meetings и гибридные модели развертывания

Как показано в приведенном выше сравнении, развертывание узла видеосетки (VMN) позволяет Webex Meetings с нулевым доверием достичь почти полного сходства по функционалу со стандартными Webex Meetings. Хотя совещания по принципу «нулевого доверия» не поддерживают участие пользователей телефонной сети общего пользования (PSTN), веб-приложение Webex служит широко доступной альтернативой для обеспечения доступа с сквозным шифрованием. Кроме того, VMN позволяет офисным работникам, использующим стационарные телефоны, беспрепятственно присоединяться к совещаниям в рамках концепции «нулевого доверия».

Video Mesh Node также обеспечивает суверенитет данных для критически важного контента совещаний, включая записи и — в ближайшем будущем — стенограммы, резюме и пункты плана действий. Обрабатывая и храня эти данные локально, VMN предоставляет клиентам полный контроль над своей информацией, поддерживая при этом архитектуру «нулевого доверия» в облаке Webex.

Зашифрованная передача сигналов Webex

Сервисы Webex поддерживают версии TLS 1.2 и 1.3, при этом предпочтительнее использовать TLS 1.3, если он поддерживается подключаемым устройством. Если клиент поддерживает только TLS 1.2, сервер Webex выбирает наиболее надежный набор распространенных шифров, предлагаемый клиентом. В отличие от TLS 1.2, TLS 1.3 не использует выбор набора шифров, предпочитаемый сервером, поскольку он опирается на меньший, тщательно отобранный набор современных шифров. Данная конструкция упрощает процесс выбора, уделяя больше внимания повышению производительности, например, сокращению общей длины рукопожатия, при сохранении высокого уровня безопасности. Используемые Webex наборы шифров для протоколов TLS 1.2 и 1.3 четко определены и имеют приоритеты для обеспечения безопасной связи.

Наборы шифров TLS

Наборы шифров TLS 1.3 (серверы TLS 1.3 не используют порядок предпочтения при выборе набора шифров)

Наборы шифров TLS 1.2 (наборы в порядке предпочтения сервера)

Поддерживаются алгоритмы шифрования AES_256_CBC и AES_128_CBC для обеспечения совместимости с устаревшими системами, старыми браузерами и встроенными устройствами, которые не поддерживают современные алгоритмы шифрования AEAD (аутентифицированное шифрование с ассоциированными данными), такие как AES-GCM, например, Internet Explorer 11 в Windows 7 и Windows 8.1, Safari. 6/7/8 В ранних версиях iOS и MacOS используются шифры на основе CBC.

CHACHA20_POLY1305 — это потоковый шифр, который мало зависит от аппаратного обеспечения, что делает его превосходным инструментом для использования на мобильных устройствах или устройствах с маломощными процессорами.

Стандарты шифрования мультимедиа для Webex

В конференц-звонках и видеоконференциях Webex используется надежное шифрование на основе AES для всех мультимедийных пакетов. Выбор конкретного набора шифров зависит от типа конечного устройства, при этом AES-256-GCM является предпочтительным стандартом для обеспечения оптимальной безопасности.

Ключевые аспекты безопасности

• Предпочтительный стандарт— AES-256-GCM — рекомендуемый алгоритм шифрования для всех развертываний, обеспечивающий высочайший уровень целостности и конфиденциальности данных.
• Взаимодействие— Хотя Webex поддерживает устаревшие шифры (такие как AES-CM-128-HMAC-SHA1) для обеспечения взаимодействия со сторонними системами SIP и H.323, организациям, отдающим приоритет архитектуре нулевого доверия, следует применять AES-256-GCM там, где это позволяет совместимость устройств.

Протоколы передачи медиаданных

Webex поддерживает передачу мультимедиа по протоколам UDP, TCP или TLS. Для оптимальной работы голосовой и видеосвязи Cisco настоятельно рекомендует использовать протоколUDP .

Вопросы производительности:

• Эффективность в реальном времени— UDP является предпочтительным протоколом передачи данных для мультимедиа в реальном времени, поскольку он минимизирует задержку и дрожание сигнала, избегая механизмов повторной передачи и буферизации, присущих протоколам, ориентированным на установление соединения.
• Влияние TCP/TLS—Хотя TCP и TLS обеспечивают надежную и упорядоченную доставку данных, такое поведение контрпродуктивно для передачи медиаконтента в реальном времени. В результате повторной передачи пакетов и буферизации потока возникают задержки и дрожание сигнала, что может значительно ухудшить качество восприятия для участников.

Webex использует SRTP и SFrame для передачи мультимедиа.

Для поддержания высоких стандартов безопасности, необходимых для сред WebexZero Trust, важно различать безопасность на транспортном уровне (SRTP) и сквозное шифрование на уровне приложений (SFrame).

Ключевые технические отличия — SRTP & SFrame

1. SRTP (Secure Real-time Transport Protocol)

   SRTP — это отраслевой стандарт для защиты медиапотоков при передаче.

   • Область применения— Обеспечивает конфиденциальность, аутентификацию сообщений и защиту от повторного воспроизведения полезной нагрузки RTP.
   • Операционный контекст— Во многих архитектурах медиасервер/медиашлюз (блок селективной пересылки (SFU)) завершает соединение SRTP для выполнения обработки медиаконтента (например, микширования, компоновки или транскодирования). Поскольку SFU расшифровывает медиафайлы для их обработки, технически медиафайлы уязвимы в точке обработки SFU.
2. SFrame (Secure Frame)

   SFrame — это стандарт IETF. RFC 9605 разработан специально для обеспечения истинного сквозного шифрования в среде многосторонних конференций.

   • Область применения— Шифрует пакетированные медиакадры перед их инкапсуляцией в пакеты RTP. Webex добавляет дополнительный уровень шифрования, используя протокол SRTP.
   • Архитектура нулевого доверия— Поскольку передача данных шифруется на прикладном уровне, SFU действует только как «слепой» ретранслятор. Она перенаправляет зашифрованные пакеты другим участникам, не имея при этом доступа к ключам расшифровки.
   • Независимость— SFrame не зависит от типа транспорта. Оно остается безопасным, даже если базовый транспортный механизм... (UDP/TCP/TLS) это скомпрометировано, поскольку контекст безопасности привязан к конечным точкам участников, а не к транспортному соединению.

SFrame — это важнейший механизм, обеспечивающий сквозное электронное шифрование (E2EE). В то время как SRTP обеспечивает шифрование данных при передаче по сети, SFrame гарантирует, что медиаданные остаются зашифрованными на протяжении всего жизненного цикла совещания, в том числе и во время его проведения на инфраструктуре Cisco (SFU), фактически исключая поставщика услуг из зоны доверия.

Содержимое Webex Meetings

Содержимое совещания состоит из данных, созданных участниками или сгенерированных сервисами Webex от имени организатора совещания. Включает в себя:

• Контент, связанный со СМИ— Записи, стенограммы, резюме и пункты плана действий.
• Данные о сотрудничестве— Сообщения чата, shared/transferred файлы, доски и аннотации.

Безопасность контента Webex Meetings — сквозное шифрование Webex.

Webex обеспечивает безопасность контента, создаваемого участниками совещания, с помощью надежной системы сквозного шифрования (E2EE). Центральное место в этой архитектуре занимает служба управления ключами Webex ( Webex Key Management Service,KMS ), которая отвечает за генерацию, распространение и управление ключами шифрования для всего пользовательского контента.

Уровни защиты содержимого совещаний

• Передача данных— Приложение Webex и видеоустройства Cisco используют сквозное шифрование Webex (E2EE) с AES-256-GCM для шифрования создаваемого пользователями контента совещаний, такого как файлы записей, файлы сводок ИИ, сообщения чата и т. д. Это дополнительно обеспечивается протоколом Transport Layer Security (TLS), который гарантирует двухуровневую защиту во время передачи данных.
• Данные в состоянии покоя— После сохранения в облаке Webex зашифрованный контент дополнительно защищается с помощью шифрования диска AES-256-GCM.
• Профиль защиты— Этот подход защищает контент от перехвата TLS во время передачи и гарантирует, что хранимые данные остаются недоступными для неавторизованных лиц в облачной среде.

Сквозное шифрование Webex с управляемым доступом к контенту для основных сервисов.

В отличие от сквозного шифрования с нулевым доверием (Zero Trust), где Webex не имеет доступа к ключам шифрования мультимедиа или контента, сквозное шифрование Webex позволяет платформе использовать сгенерированные Webex KMS ключи для расшифровки данных для основных сервисов. Этот управляемый доступ позволяет:

• Поиск и индексирование— Позволяет пользователям осуществлять поиск по истории контента.
• Соответствие требованиям и управление— Обеспечивает предотвращение потери данных (DLP), электронное обнаружение и архивирование данных.
• Оптимизация мультимедиа— Поддерживает перекодирование файлов для совместимости с различными устройствами.
• Безопасность— Облегчает сканирование на наличие вредоносных программ с помощью расширенного пакета безопасности.

Метаданные Webex Meetings

Метаданные совещаний представляют собой административную и техническую информацию, генерируемую системой для организации, отслеживания и управления совещанием, а не фактическое содержание самого совещания (аудио, видео или совместно используемые файлы). Метаданные можно разделить на несколько категорий:

• Информация о сессии— Название встречи, идентификатор встречи, запланированное время начала и окончания, а также фактическая продолжительность встречи.
• Данные участников— Список приглашенных и фактически присутствующих, их IP-адреса, типы устройств (например, Windows, iPhone, Cisco Room Kit) и их join/leave временные метки.
• Показатели использования и качества— Данные, используемые для устранения неполадок, такие как потеря пакетов, дрожание сигнала, задержка и разрешение видеопотока.

Как используются метаданные

1. Аналитика и отчетность— Администраторы используют метаданные в WebexControl Hub, чтобы видеть, сколько совещаний проводится, какие отделы наиболее активны и общее качество взаимодействия.
2. Устранение неполадок— Центр технической поддержки Cisco (TAC) использует метаданные для выявления и решения проблем, связанных с проведением совещаний.
3. Соблюдение нормативных требований и электронное обнаружение доказательств— Сотрудники, ответственные за соблюдение нормативных требований, могут осуществлять поиск по метаданным, чтобы доказать, что встреча состоялась, кто на ней присутствовал и была ли она записана, даже если они не могут видеть зашифрованное содержимое встречи.
4. Безопасность— Метаданные помогают выявлять попытки несанкционированного доступа или необычные закономерности, которые могут указывать на угрозу безопасности.

Безопасность и конфиденциальность метаданных

• Шифрование— Хотя метаданные не шифруются «сквозным шифрованием», они всё же шифруются при передаче (с использованием TLS) и в состоянии покоя в защищённых центрах обработки данных Cisco.
• Контроль доступа— Политика конфиденциальности Cisco строго ограничивает доступ к этим метаданным, и они используются для предоставления и улучшения сервиса.

Для получения дополнительной информации о содержимом и метаданных совещаний Webex см. Уведомление о предложении Webex Meetings.

Назначение пользователям типов сеансов совещаний

Администраторы Webex Control Hub могут назначать один или несколько типов совещаний, которые пользователи могут использовать для запланированных встреч. По умолчанию всем пользователям назначаются типы собраний Pro Meeting и Pro-End to End Encryption_VoIPonly.

Назначьте встречу — выберите тип встречи

Пользователи могут выбрать тип совещания, который они хотят использовать при планировании совещания, в приложении Webex, на странице пользователя Webex и в надстройке Webex Email для Microsoft Outlook.

Запланировать встречу — выберите тип встречи в приложении Webex

Запланируйте встречу — выберите тип встречи на странице пользователя Webex.

Установить тип встречи по умолчанию

Пользователи могут установить тип встречи по умолчанию в Встречи > Настройки на их странице пользователя Webex.

На странице пользователя Webex выберите тип совещания по умолчанию.

Сквозная идентификация с нулевым доверием и предотвращение дипфейков

Сертификаты идентификации конечного пользователя, предоставляемые клиентом, являются краеугольным камнем предотвращения подмены личности в конференциях Webex с сквозным шифрованием (E2EE). В отличие от традиционных механизмов блокировки дипфейков, основанных на анализе аудио- и видеопотоков, этот подход обеспечивает криптографическую проверку подлинности в точке входа. Статус подтверждения отображается непосредственно в списке участников совещания, обеспечивая прозрачность для всех участников.

В рамках функции предотвращения дипфейков компания Webex расширила поддержку сертификатов, управляемых клиентами (ранее доступных на устройствах RoomOS), на приложение Webex App. Организации могут создавать и управлять собственными цифровыми сертификатами, выданными доверенными внешними центрами сертификации (ЦС) с использованием стандартных отраслевых протоколов, таких как ACME. Эти сертификаты, основанные на стандартах X.509 и парах ключей ECDSA P-256, обеспечивают криптографическое подтверждение личности участников во время сквозных онлайн-совещаний.

Сквозная проверка личности и протокол MLS

Протокол Messaging Layer Security (MLS) использует стандартные сертификаты X.509 для аутентификации участников совещания. Сертификат — это подписанное цифровым способом заявление от доверенного центра сертификации, подтверждающее личность владельца ключа подписи. Участники получают эти сертификаты двумя основными способами:

• Управляемые устройства (сертификаты, предоставленные клиентом)— Для управляемых организацией настольных и мобильных клиентов на устройство можно установить сертификат идентификации от доверенного центра сертификации. Когда пользователь входит в систему с помощью единого входа (SSO), приложение Webex получает этот сертификат из хранилища доверенных сертификатов операционной системы, чтобы подтвердить личность пользователя. Этот процесс также поддерживается для видеоустройств Cisco, зарегистрированных в облаке Webex.
• Сертификаты по умолчанию (предоставленные Webex)— Если предоставленный клиентом сертификат недоступен, клиент или устройство Webex автоматически использует сертификат, выданный центром сертификации Webex, который отражает подлинность, подтвержденную Cisco.

Механизм обмена идентификационными данными и резервного копирования

Во время совещания каждый участник делится своим идентификационным сертификатом Webex и, если имеется, предоставленным клиентом идентификационным сертификатом со всеми остальными участниками. Для обеспечения бесперебойного подключения конечная точка Webex следует строгой иерархии: Система отдает приоритет сертификату, предоставленному клиентом, при проверке; если этот сертификат отсутствует или не проходит проверку, система автоматически переключается на сертификат идентификации, предоставленный Webex.

Отображение статуса проверки личности пользователя

Когда участники присоединяются к собранию с помощью приложения Webex или устройств RoomOS, использующих предоставленные клиентом сертификаты, их личности проверяются другими участниками собрания по сертификату центра сертификации, выдавшего сертификат. Это гарантирует, что распознаются только авторизованные пользователи, предотвращая возможность злоумышленников выдавать себя за законных участников, поскольку эти сертификаты однозначно связаны с подтвержденными личностями и не могут быть подделаны компанией Cisco или посредниками.

В зашифрованном через E2E совещании список участников отображает статус подтверждения личности каждого пользователя:

• Zero-Trust E2E Verified ( domain.com ) — При использовании предоставленного клиентом сертификата идентификации домен участника отображается синим текстом. Это свидетельствует о подлинной, сквозной проверке личности, которую Cisco не может изменить. Например, в списке участников встречи вы можете увидеть, что у "Кевина" синим цветом выделен подтвержденный адрес электронной почты с сайта example.com.
• Webex-Verified ( domain.com)—Сертификаты, выданные центром сертификации Webex, обеспечивают более ограниченный уровень защиты. Хотя наличие защиты личных данных у этих участников лучше, чем её полное отсутствие, они не помечены как "прошедшие сквозную проверку на основе принципа нулевого доверия". Вместо этого статус их идентификации отображается серым текстом, указывающим на то, что личность была подтверждена центром сертификации Webex.
• Неподтвержденный гостевой пользователь ( (Непроверено) — Хотя личность участников-гостей не проверяется (поскольку отсутствует процедура регистрации), им все равно требуется сертификат для присоединения к группе MLS для звонка или встречи. Этот сертификат выдан центром сертификации Webex и использует имя пользователя "anonymous".

Кроме того, код безопасности совещания, полученный из криптографического состояния всех участников, помогает выявлять атаки типа «человек посередине», позволяя участникам убедиться, что все используют один и тот же защищенный контекст совещания. Благодаря сочетанию криптографической проверки личности и сквозного шифрования, функция «предотвращения дипфейков» обеспечивает надежную защиту от угроз, связанных с подделкой личности и созданием синтетических медиафайлов, гарантируя целостность и конфиденциальность совещаний как в приложении Webex, так и на устройствах RoomOS.

Внедрение сертификатов управления

Организации могут упростить развертывание и управление этими предоставленными клиентами сертификатами идентификации конечных пользователей, устанавливая их на устройства, находящиеся под корпоративным управлением, с помощью приложений для управления мобильными устройствами (MDM), управления мобильными приложениями (MAM) или управления корпоративной мобильностью (EMM). Эти платформы управления позволяют ИТ-администраторам централизованно предоставлять, настраивать и контролировать сертификаты и связанные с ними политики безопасности на широком спектре устройств, как корпоративных, так и личных. Например, Microsoft Intune поддерживает как MDM, так и MAM возможности, позволяющие организациям развертывать и управлять приложением Webex и его конфигурациями безопасности, включая сертификаты идентификации, на управляемых устройствах. Аналогичным образом, Cisco Meraki Systems Manager предоставляет возможности MDM для регистрации устройств, отправки профилей конфигурации и развертывания сертификатов для обеспечения статуса доверенного устройства. Использование этих решений для управления снижает административные издержки, упрощает управление жизненным циклом сертификатов и повышает уровень безопасности конференций Webex E2EE благодаря функциям предотвращения дипфейков.

Три столпа идентичности

Эффективное управление идентификацией и доступом (IAM) для Webex основано на следующих факторах:

• Управление предоставлением ресурсов (CRUD) — управление жизненным циклом пользователей (создание, чтение, обновление, удаление) для обеспечения соответствия «источника достоверной информации» платформе для совместной работы.
• Аутентификация (AuthN) — проверка личности пользователя с помощью защищенных учетных данных или токенов.
• Авторизация (AuthZ) — определение детальных разрешений и уровней доступа к API после аутентификации.

Предоставление ресурсов & Управление жизненным циклом

Webex поддерживает несколько методов синхронизации пользователей и групп:

• SCIM 2.0— Предпочитаемый облачный стандарт. Это автоматизирует жизненный цикл пользователя, обеспечивая автоматическое прекращение доступа к Webex при удалении из системы в рамках поставщика идентификации.
• Directory Connector— Инструмент Cisco для гибридных сред, соединяющий локальную Active Directory (AD) с облаком Webex.
• Предоставление доступа на основе API— Использует Webex "People API" для программного создания пользователей и назначения лицензий в сложных средах.
• Устаревший LDAP— Поддерживается для локальных каталогов (например, CUCM), хотя менее оптимизирован для современного облачного трафика.

Аутентификация & Системы авторизации

• Аутентификация (AuthN):

• SAML 2.0— Корпоративный стандарт для единого входа (SSO). Webex выступает в роли поставщика услуг (SP), проверяя XML-утверждения от корпоративного поставщика идентификации (IdP).
• OIDC (OpenID Connect)— Современный, легковесный уровень идентификации, построенный на основе OAuth 2.0 с использованием JSON Web Tokens (JWT). Он поддерживает "URL-адреса обнаружения" для автоматической настройки.

• Авторизация (AuthZ):

• OAuth 2.0— Управляет доступом к API с помощью кратковременных токенов доступа (определяющих области действия) и долговременных токенов обновления. Она обеспечивает безопасность с помощью PKCE (Proof Key for Code Exchange) для публичных клиентов.

Интеграция & Стратегии использования нескольких поставщиков идентификации

Webex предоставляет специализированные пути для бесшовной интеграции:

• Мастер ввода идентификаторов— Рекомендуемый путь для сред Microsoft. Он использует API Microsoft Graph для расширенной синхронизации атрибутов (аватаров, иерархий) и автоматизирует процессы. OIDC/SAML конфигурация.
• Duo Security— Добавляет функцию «Непрерывная защита идентификации» путем проверки состояния устройства и включения многофакторной аутентификации, устойчивой к фишингу.

Поддержка нескольких поставщиков идентификации:Webex позволяет организациям объединять несколько независимых поставщиков идентификации в рамках единого центра управления.

• Примеры применения: слияния, поглощения или децентрализованные ИТ-подразделения.
• Маршрутизация — Запросы на аутентификацию маршрутизируются на основе доменов или групп пользователей.
• Следует учитывать следующее: для поддержания единообразных политик безопасности во всех объединенных источниках требуется строгая координация.

Пример наиболее распространенных интеграций IdP с Webex для управления идентификацией:

Передовые методы и устойчивость

• Восстановление SSO — Всегда используйте встроенную ссылку «Восстановление SSO» в Control Hub, чтобы обойти SSO с помощью одноразового пароля (OTP), если конфигурация IdP не удалась.
• Управление сертификатами — Мониторинг истечения срока действия SAML-сертификатов. Мастер единого входа (SSO Wizard) автоматизирует обмен метаданными, уменьшая количество ошибок, возникающих при ручном вводе данных.
• Устранение неполадок — используйте инструмент SAML Tracer для проверки XML-утверждений и подтверждения форматов NameID в случае возникновения проблем с аутентификацией.
• Уровень безопасности — Регулярно прекращайте поддержку устаревших типов предоставления грантов и обеспечьте внедрение PKCE для всех интеграций с общедоступными клиентами.

Заключение — Идентификация для Webex Meetings

Надежная стратегия идентификации — это непрерывный процесс, охватывающий весь жизненный цикл. Путем объединения SCIM для предоставления ресурсов, OIDC/SAML Используя аутентификацию и OAuth для авторизации, организации могут обеспечить безопасный и бесперебойный пользовательский опыт, сохраняя при этом строгий административный контроль.

Жизненный цикл безопасной разработки Cisco

В компании Cisco безопасность не является второстепенным вопросом. Это дисциплинированный подход к созданию и предоставлению высококачественных продуктов и услуг с нуля. Все команды разработчиков продуктов Cisco^® обязаны следовать жизненному циклу безопасной разработки Cisco. Это повторяемый и измеримый процесс, разработанный для повышения отказоустойчивости и надежности продуктов Cisco. Сочетание инструментов, процессов и обучения осведомленности, внедряемых на всех этапах жизненного цикла разработки, помогает обеспечить многоуровневую защиту. Это также обеспечивает целостный подход к обеспечению отказоустойчивости продукции. Команда разработчиков Webex неукоснительно следует этому жизненному циклу на каждом этапе разработки продукта.

Подробнее о цикле безопасной разработки.

Базовые инструменты безопасности Cisco

Организация Cisco, занимающаяся вопросами безопасности и доверия, предоставляет процесс и необходимые инструменты, позволяющие каждому разработчику занимать последовательную позицию при принятии решений, касающихся безопасности.

Наличие специализированных команд, занимающихся разработкой и предоставлением таких инструментов, устраняет неопределенность в процессе разработки продукта.

В качестве примеров инструментов можно привести следующие:

• Базовые требования безопасности продукции (PSB), которым должна соответствовать продукция.
• Инструменты для построения угроз, используемые при моделировании угроз.
• Рекомендации по кодированию
• Проверенные или сертифицированные библиотеки, которые разработчики могут использовать вместо написания собственного кода безопасности.
• Инструменты тестирования уязвимостей безопасности (для статического и динамического анализа), используемые после разработки для проверки на наличие дефектов безопасности.
• Система отслеживания программного обеспечения, которая контролирует библиотеки Cisco и сторонних производителей и уведомляет команды разработчиков о выявлении уязвимостей.

Организационная структура, обеспечивающая безопасность процессов Cisco.

В компании Cisco созданы специальные подразделения, занимающиеся внедрением и управлением процессами обеспечения безопасности во всей компании. Чтобы постоянно оставаться в курсе угроз и вызовов в области безопасности, Cisco полагается на следующие решения:

• Команда Cisco по информационной безопасности (InfoSec) в облачной среде
• Группа реагирования на инциденты безопасности продуктов Cisco (PSIRT)
• Общая ответственность за безопасность

Cisco InfoSec Cloud

Возглавляемая директором по безопасности облачных решений, эта команда отвечает за обеспечение безопасной среды Webex для наших клиентов. Информационная безопасность достигает этого путем определения и внедрения процессов и инструментов обеспечения безопасности для всех функций, участвующих в предоставлении Webex нашим клиентам.

Кроме того, Cisco InfoSec Cloud сотрудничает с другими подразделениями Cisco для реагирования на любые угрозы безопасности сервиса Webex.

Cisco InfoSec также отвечает за постоянное совершенствование уровня безопасности Webex.

Группа реагирования на инциденты безопасности продуктов Cisco (PSIRT)

Cisco PSIRT — это специализированная глобальная команда, которая занимается обработкой, расследованием и составлением отчетов по проблемам безопасности, связанным с продуктами и услугами Cisco. В зависимости от серьезности проблемы безопасности, PSIRT использует различные каналы для публикации информации. Тип отчетности варьируется в зависимости от следующих условий:

• Существуют программные исправления или обходные пути для устранения этой уязвимости, или же планируется последующее публичное раскрытие исправлений кода для устранения серьезных уязвимостей.
• Группа реагирования на инциденты PSIRT зафиксировала активное использование уязвимости, которая может привести к повышению риска для клиентов Cisco. В данном случае группа реагирования на инциденты безопасности (PSIRT) может ускорить публикацию сообщения об уязвимости, описывающего ее наличие, даже если исправления будут доступны в полном объеме.
• Повышение осведомленности общественности об уязвимости, затрагивающей продукты Cisco, может привести к увеличению риска для клиентов Cisco. Повторюсь, служба PSIRT может оповестить клиентов даже при отсутствии полного набора обновлений.

Во всех случаях PSIRT раскрывает минимальный объем информации, необходимый конечным пользователям для оценки последствий уязвимости и принятия мер, необходимых для защиты своей среды. PSIRT использует шкалу Common Vulnerability Scoring System (CVSS) для оценки серьезности выявленной проблемы. PSIRT не предоставляет подробной информации об уязвимостях, которая могла бы позволить кому-либо создать эксплойт.

Для получения дополнительной информации о PSIRT см. Группа реагирования на инциденты безопасности продуктов Cisco.

Ответственность за безопасность

Хотя каждый участник группы Webex несет ответственность за безопасность, основные правила следующие:

• Директор по безопасности облачных решений.
• Вице-президент и генеральный директор подразделения облачных приложений для совместной работы Cisco.
• Вице-президент по разработке облачных приложений для совместной работы Cisco.
• Вице-президент по управлению продуктами, Cisco Cloud Collaboration Applications

Испытания на внутреннее и внешнее проникновение

Группа Webex регулярно проводит тщательное тестирование на проникновение с использованием собственных экспертов. Помимо собственных строгих внутренних процедур, Cisco InfoSec также привлекает множество независимых сторонних организаций для проведения тщательных проверок на соответствие внутренним политикам, процедурам и приложениям Cisco. Эти средства аудита позволяют проверить критически важные требования безопасности для коммерческих и правительственных приложений. Компания Cisco также использует сторонних поставщиков для проведения постоянных, углубленных тестов на проникновение с использованием кода и оценки сервисов. В рамках обязательства третьим абонентом выполняются приведенные ниже оценки безопасности.

• Выявление критических уязвимостей приложений и сервисов и предложение решений.
• Рекомендации по общим направлениям архитектурного улучшения.
• Выявление ошибок в кодировании и предоставление рекомендаций по улучшению практики кодирования.

Независимые эксперты напрямую взаимодействуют с инженерным персоналом Webex, чтобы объяснить выявленные проблемы и подтвердить эффективность мер по их устранению. Для получения информации о подтверждении соответствия требованиям Webex Meetings в рамках процедуры проверки на проникновение обратитесь к пакету документов Webex Meetings Letters of Attestation Trust Package.

Безопасность на физическом

Физическая безопасность в центре обработки данных включает видеонаблюдение за помещениями и зданиями, а также обязательную двухфакторную аутентификацию для входа. В центрах обработки данных Cisco доступ контролируется с помощью комбинации считывателей пропусков и биометрических средств контроля. Кроме того, системы контроля окружающей среды (например, датчики температуры и системы пожаротушения) и инфраструктура обеспечения непрерывности обслуживания (например, резервное электропитание) помогают гарантировать бесперебойную работу систем.

Серверы в центрах обработки данных разделены на «зоны доверия» в зависимости от чувствительности инфраструктуры. Например, базы данных "изолированы", сетевая инфраструктура имеет выделенные помещения, а все стойки с оборудованием заперты. Доступ в центры обработки данных разрешен только сотрудникам службы безопасности Cisco и авторизованным посетителям в сопровождении сотрудников Cisco.

Производственная сеть Cisco — это сеть, пользующаяся высоким уровнем доверия: Доступ к сети имеют лишь очень немногие люди с высоким уровнем доверия.

Безопасность инфраструктуры и платформ

Безопасность платформы включает в себя безопасность сети, систем и всего центра обработки данных Webex. Все системы проходят тщательную проверку безопасности и приемочную проверку перед развертыванием в производственной среде, а также регулярное усиление защиты, установку исправлений безопасности, сканирование и оценку уязвимостей.

Серверы защищены в соответствии с Руководством по технической реализации мер безопасности (STIG), опубликованным Национальным институтом стандартов и технологий (NIST). Межсетевые экраны защищают периметр сети. Списки контроля доступа (ACL) разделяют различные зоны безопасности. Системы обнаружения вторжений (IDS) установлены, а происходящие действия отслеживаются и контролируются на постоянной основе. Ежедневно в Webex проводятся внутренние и внешние проверки безопасности. В рамках планового технического обслуживания все системы проходят модернизацию и обновление. Кроме того, сканирование и оценка уязвимостей проводятся непрерывно.

Обеспечение непрерывности предоставления услуг и восстановление после катастроф являются важнейшими компонентами планирования в области безопасности. Проектирование центров обработки данных Cisco с глобальным резервным копированием и высокой доступностью помогает обеспечить географическое переключение сервисов Webex в случае сбоя. Единой точки отказа не существует.

Административные данные

Информация о сотрудниках или представителях клиента или другой третьей стороны, которая собирается и используется компанией Cisco для администрирования или управления предоставлением продуктов или услуг Cisco, а также для администрирования или управления учетной записью клиента или третьей стороны в собственных коммерческих целях Cisco.

Административные данные могут включать имя, адрес, номер телефона, адрес электронной почты, а также информацию о договорных обязательствах между Cisco и третьей стороной, независимо от того, были ли они собраны во время первоначальной регистрации или позднее в связи с управлением или администрированием продуктов или услуг Cisco.

Административные данные могут также включать название совещания, время и другие характеристики совещаний, проводимых в Webex сотрудниками или представителями клиента. К другим примерам административных данных могут относиться название встречи, время проведения встречи и другие характеристики встреч, проводимых в Webex.

Данные клиентов

Сюда входят все данные (включая текстовые, аудио-, видео-, графические файлы и записи), которые либо предоставляются Cisco клиентом в связи с использованием клиентом продуктов или услуг Cisco, либо разрабатываются Cisco по конкретному запросу клиента в соответствии с техническим заданием или контрактом.

В число клиентских данных также входят файлы журналов, конфигурации или встроенного ПО, а также дампы памяти.

Это данные, полученные от продукта или услуги и предоставленные компании Cisco для оказания помощи в устранении неполадок, связанных с запросом в службу поддержки. Данные о клиентах не включают административные данные, данные службы поддержки или телеметрические данные.

Вспомогательные данные

Информация, которую Cisco собирает, когда клиент отправляет запрос на техническую поддержку или устранение неполадок, включая информацию об оборудовании или программном обеспечении. Она включает в себя подробную информацию, касающуюся инцидента в службе поддержки, такую как данные аутентификации, информация о состоянии продукта, системные и реестровые данные об установке программного обеспечения и конфигурации оборудования, а также файлы отслеживания ошибок. В число данных, предоставляемых в службу поддержки, не входят файлы журналов, конфигурации или прошивки, а также дампы памяти, полученные от продукта и предоставленные нам для устранения неполадок в связи с запросом в службу поддержки; все это примеры данных, предоставляемых клиентами.

Данные телеметрии

Информация, генерируемая приборами и системами регистрации данных, создается в процессе использования и эксплуатации продукта или услуги.

Все данные, собранные в облаке Webex, защищены несколькими уровнями надежных технологий и процессов обеспечения безопасности. Ниже приведены примеры мер контроля, внедренных на разных уровнях работы Webex для защиты данных клиентов:

• Физический контроль доступа— Физический доступ контролируется с помощью биометрии, пропусков и видеонаблюдения. Для доступа в центр обработки данных необходимы разрешения, которые регулируются электронной системой выдачи заявок.
• Контроль доступа к сети— Периметр сети Webex защищен межсетевыми экранами. Весь сетевой трафик, входящий в центр обработки данных Webex или выходящий из него, постоянно отслеживается с помощью системы обнаружения вторжений (IDS). Сеть Webex также разделена на отдельные зоны безопасности. Передача данных между зонами контролируется межсетевыми экранами и списками контроля доступа (ACL).
• Мониторинг и управление инфраструктурой— Каждый компонент инфраструктуры, включая сетевые устройства, серверы приложений и базы данных, защищен в соответствии со строгими требованиями. Они также регулярно подвергаются проверкам для выявления и устранения любых проблем с безопасностью.
• Криптографический контроль— Как отмечалось ранее, все данные, передаваемые из центра обработки данных Webex в облачные приложения Webex и устройства Webex, шифруются, за исключением трафика PSTN и незашифрованных данных. SIP/H323 видеоустройства в облачной конференции. Кроме того, важные данные, хранящиеся в Webex, такие как пароли, шифруются.

Сотрудники Cisco не имеют доступа к данным клиентов, за исключением случаев, когда такой доступ запрашивается клиентом в целях технической поддержки. В данном случае доступ к системам разрешается руководителем только в соответствии с принципом «разделения обязанностей». Доступ предоставляется только в случае необходимости и только на том уровне, который требуется для выполнения работы. Доступ сотрудников к этим системам также регулярно проверяется на соответствие установленным требованиям. Сотрудники, имеющие такой доступ, обязаны ежегодно проходить обучение по стандарту информационной безопасности ISO 27001.

В дополнение к этим специализированным мерам контроля, каждый сотрудник Cisco проходит проверку биографических данных, подписывает соглашение о неразглашении информации (NDA) и проходит обучение по Кодексу деловой этики (COBC).

Акт о передаче и защите данных учреждений здравоохранения (HIPAA)

Компания Cisco может предоставить информацию о функциональности, технологиях и безопасности Webex. Организации, подпадающей под действие HIPAA, необходимо проконсультироваться со своим собственным юрисконсультом, чтобы определить, соответствует ли функциональность Webex ее бизнес-процессам и готова ли она к соблюдению GDPR.

• Соответствие требованиям GDPR
• Информация о предложении Cisco Webex Meetings

Отраслевые стандарты и сертификаты

Помимо соблюдения наших строгих внутренних стандартов, Webex также постоянно проводит проверки сторонними организациями, чтобы продемонстрировать свою приверженность информационной безопасности. Webex — это:

• Сертифицировано по стандартам ISO 27001, 27017, 27018 и 27701.
• Контроль организации сервиса (SOC) 2, проверено по типу II.
• Сертифицировано по стандарту SOC 3
• Кодекс поведения в облачной среде
• CSTAR
• Аттестация по каталогу средств контроля соответствия требованиям облачных вычислений (C5)
• Сертифицировано по стандарту FedRAMP (посетите cisco.com/go/fedramp (для получения более подробной информации, сведений об объеме и доступности)

Полный набор документов по безопасности, конфиденциальности и соответствию требованиям , включая подробную информацию о вышеупомянутых стандартах и сертификатах, можно найти на портале Cisco Trust Portal .