Hvala za povratne informacije.

Osnovne storitve in komponente Webex Meetings

• Webex Meetings je del paketa Webex Suite, ki zagotavlja audio/video konference z možnostmi deljenja vsebin in spletnih konferenc.
• Platforma vključuje več mikrostoritev, kot so storitev srečanj, storitev spletnih seminarjev, storitev identitete, storitev snemanja, storitev pomočnika umetne inteligence, storitev analitike, storitev skrbništva in storitev za medije.
• Webex Meetings podpira aplikacije in naprave, registrirane v oblaku, kar uporabnikom omogoča pridružitev sestankom z različnih platform in naprav operacijskih sistemov. Uporabniki se lahko sestankom pridružijo tudi prek PSTN-ja in s končnimi točkami SIP.

Arhitektura in uvajanje

• Storitve Webex Meetings so regionalizirane in replicirane v več neodvisnih podatkovnih centrih, da se zagotovi redundanca in visoka razpoložljivost.
• Medijske storitve so globalno porazdeljene z gručami medijskih strežnikov v vsakem podatkovnem centru, kar zagotavlja lokalno in geografsko redundanco.
• Medijski strežniki obdelujejo glas, video in skupno rabo vsebin, pri čemer so mediji običajno šifrirani z uporabo AES-256-GCM.
• Arhitektura podpira šifrirano signaliziranje prek TLS/HTTPS in šifrirane medijske tokove.

Webex podpira pridružitev sestankom z več platform in naprav, vključno z:

• Namizna aplikacija Webex v sistemih Windows, Mac in Linux.
• Mobilna aplikacija Webex za Android in iOS.
• Spletna aplikacija Webex z uporabo brskalnikov Chrome, Edge, Safari, Firefox in drugih.
• Cisco naprave za sobe in namizne naprave.
• Zvočne in video končne točke tretjih oseb, ki temeljijo na standardih SIP.
• Naprave PSTN.

Webexova suverenost strank

Kot odgovor na naraščajoče povpraševanje po shranjevanju podatkov je Webex uvedel izboljšane zmogljivosti suverenosti. Začenši s snemanjem in s podporo za več storitev, ki bodo kmalu na voljo, lahko organizacije zdaj nadzorujejo vsebino svojih srečanj z:

• Lokalizirana obdelava– Obdelava vsebine sestankov, kot so posnetki, znotraj lastne infrastrukture.
• Shranjevanje na lokaciji– Uporaba lastnih storitev shranjevanja datotek za shranjevanje občutljivih sredstev sestankov, s čimer se zagotovi, da podatki ostanejo znotraj določenih geografskih ali organizacijskih meja.

Ultra varna srečanja Webex

V preteklosti so funkcije »ultra varne«, kot je šifriranje od konca do konca z ničelnim zaupanjem (E2EE), pogosto zahtevale kompromis pri funkcionalnosti sestankov, saj so storitve z dodano vrednostjo v oblaku zahtevale dostop do šifrirnih ključev, tem sestankom pa se je lahko pridružilo le omejeno število vrst končnih toček. Webex je to kompromisno rešitev odpravil z:

• Zero Trust z bogatimi funkcijami– Webex je preoblikoval sestanke Zero Trust s šifriranjem od konca do konca (E2EE) in dodal funkcionalnosti, zaradi katerih so sestanki Zero Trust bogati z funkcijami. Podpora za večje število vrst končnih toček zagotavlja brezhibno izkušnjo, ne da bi pri tem žrtvovali orodja, potrebna za sodobno sodelovanje.
• Zero Trust za standardne sestanke— Webex je zmogljivosti Zero Trust E2EE integriral neposredno v standardne sestanke. To zagotavlja, da lahko tudi vsakodnevno sodelovanje izkoristi najvišjo raven varnosti, kar zagotavlja dosledno zaščito v celotnem ekosistemu Webex.

Enoten pristop k sodelovanju

Z integracijo Customer Sovereignty s temi naprednimi zmogljivostmi Zero Trust E2EE Webex organizacijam omogoča doseganje dvojnega cilja: gostovanje zelo varnih sestankov z ničelnim zaupanjem v oblaku Webex, hkrati pa ohranja popoln nadzor nad obdelavo in shranjevanjem kritične vsebine sestankov na lokaciji. Ta sinergija zagotavlja prilagodljivost in varnost, ki sta potrebni za sodobna, skladnost s predpisi usmerjena poslovna okolja.

Razširitev varnostne meje z Video Mesh Node

Dodajanje vozlišča Video Mesh organizaciji strankam omogoča zagotavljanje storitev srečanj na lokaciji in njihovim končnim točkam na lokaciji omogoča pridružitev kateremu koli srečanju Webex. Z varnostnega vidika integracija vozlišča Video Mesh ohranja ničelno zaupanje znotraj oblaka Webex, hkrati pa ponuja skoraj enakovredno funkcionalnost kot standardni sestanki Webex. Stranke imajo koristi tudi od podatkovne suverenosti, saj se storitve, kot so posnetki sestankov Video Mesh Node, obdelujejo in shranjujejo lokalno.

Uporaba šifriranja od začetka do konca Zero Trust lahko podaljša čas pridružitve sestanku, vendar zagotavlja jasno varnostno zagotovilo – do šifrirnih ključev sestanka imajo dostop le udeleženci sestanka, zato ponudnik storitev ali drugi posredniki ne morejo dešifrirati vsebine sestanka.

Povzetek: Webex Meetings in hibridni modeli uvajanja

Kot je prikazano v zgornji primerjavi, uvedba vozlišča Video Mesh Node (VMN) omogoča, da Zero Trust Webex Meetings doseže skoraj enakovredno funkcionalnost kot standardni Webex Meetings. Čeprav sestanki Zero Trust ne podpirajo udeležencev PSTN, spletna aplikacija Webex služi kot široko dostopna alternativa za šifriran dostop od konca do konca. Poleg tega VMN omogoča pisarniškim delavcem, ki uporabljajo namizne telefone, da se nemoteno pridružijo sestankom Zero Trust.

Video Mesh Node zagotavlja tudi podatkovno suverenost za ključno vsebino sestankov, vključno s posnetki in – v bližnji prihodnosti – prepisi, povzetki in akcijskimi elementi. Z obdelavo in shranjevanjem teh podatkov na lokaciji VMN strankam zagotavlja popoln nadzor nad njihovimi informacijami, hkrati pa ohranja arhitekturo ničelnega zaupanja znotraj oblaka Webex.

Šifrirana signalizacija Webex

Storitve Webex podpirajo različici TLS 1.2 in 1.3, pri čemer je TLS 1.3 prednostnejši, če ga podpira povezovalna končna točka. Če odjemalec podpira samo TLS 1.2, strežnik Webex izbere najmočnejši skupni nabor šifer, ki ga ponuja odjemalec. Za razliko od TLS 1.2 TLS 1.3 ne uporablja izbire šifer na podlagi strežniških preferenc, ker se zanaša na manjši, skrbno izbran nabor sodobnih šifer. Ta zasnova poenostavlja postopek izbire, saj se bolj osredotoča na izboljšave zmogljivosti, kot je skrajšanje celotne dolžine rokovanja, hkrati pa ohranja močno varnost. Šifri za TLS 1.2 in 1.3, ki jih uporablja Webex, so dobro definirani in imajo prednost, da se zagotovi varna komunikacija.

Šifrirni paketi TLS

Šifrirni paketi TLS 1.3 (strežniki TLS 1.3 ne uporabljajo vrstnega reda preferenc za izbiro paketov)

Šifrirni paketi TLS 1.2 (paketi v vrstnem redu, ki ga priporoča strežnik)

Šifre šifriranja AES_256_CBC in AES_128_CBC so podprte za ohranjanje združljivosti s starejšimi sistemi, brskalniki in vgrajenimi napravami, ki ne podpirajo sodobnih šifer AEAD (Authenticated Encryption with Associated Data), kot je AES-GCM, npr. Internet Explorer 11 v sistemih Windows 7 in Windows 8.1, Safari. 6/7/8 v zgodnjih izdajah iOS in MacOS uporabljajo šifre, ki temeljijo na CBC.

CHACHA20_POLY1305 je pretočna šifra z nizko odvisnostjo od strojne opreme, zaradi česar je odlična šifra za uporabo na mobilnih napravah ali napravah z nizkoenergijskimi procesorji.

Standardi šifriranja medijev za Webex

Srečanja in klici Webex uporabljajo robustno šifriranje na osnovi AES za vse medijske pakete. Specifičen nabor šifer je odvisen od vrste končne točke, pri čemer je AES-256-GCM prednostni standard za optimalno varnost.

Ključni varnostni vidiki

• Prednostni standard— AES-256-GCM je priporočena šifra za vse uvedbe, da se zagotovi najvišja raven celovitosti in zaupnosti podatkov.
• Interoperabilnost— Čeprav Webex ohranja podporo za starejše šifre (kot je AES-CM-128-HMAC-SHA1) za zagotovitev interoperabilnosti s sistemi SIP in H.323 drugih ponudnikov, bi morale organizacije, ki dajejo prednost arhitekturi ničelnega zaupanja, uveljavljati AES-256-GCM, kjer to omogoča združljivost naprav.

Protokoli za prenos medijev

Webex podpira prenos medijev prek UDP, TCP ali TLS. Za optimalno delovanje glasu in videa Cisco močno priporoča UDP.

Upoštevanje zmogljivosti:

• Učinkovitost v realnem času— UDP je prednostni transport za medije v realnem času, saj zmanjšuje zakasnitev in tresenje, saj se izogne mehanizmom ponovnega prenosa in medpomnjenja, ki so lastni protokolom, usmerjenim v povezavo.
• Vpliv TCP/TLS—Čeprav TCP in TLS zagotavljata zanesljivo in urejeno dostavo podatkov, je to vedenje kontraproduktivno za medije v realnem času. Posledično ponovno pošiljanje paketov in medpomnjenje toka povzročata zakasnitev in tresenje, kar lahko znatno poslabša kakovost izkušnje za udeležence.

Uporaba SRTP in SFrame za medije s strani Webexa

Za ohranjanje visokih varnostnih standardov, potrebnih za okolja WebexZero Trust, je pomembno razlikovati med varnostjo na ravni transporta (SRTP) in šifriranjem od konca do konca na ravni aplikacije (SFrame).

Ključne tehnične razlike – SRTP & Okvir

1. SRTP (Varni protokol za prenos v realnem času)

   SRTP je industrijski standard za zaščito medijskih tokov med prenosom.

   • Obseg— Zagotavlja zaupnost, preverjanje pristnosti sporočil in zaščito pred ponovnim predvajanjem za koristni tovor RTP.
   • Operativni kontekst— V mnogih arhitekturah medijski strežnik/medijski prehod (enota za selektivno posredovanje (SFU)) prekine povezavo SRTP za izvedbo obdelave medijev (na primer mešanje, sestavljanje postavitve ali transkodiranje). Ker SFU za obdelavo dešifrira medij, je medij na točki SFU tehnično ranljiv.
2. SFrame (Varni okvir)

   SFrame je standard IETF. RFC 9605 je zasnovan posebej za omogočanje pravega šifriranja od konca do konca v okolju večstranskih konferenc.

   • Obseg— Šifrira paketne medijske okvirje, preden so enkapsulirani v RTP pakete. Webex doda dodatno plast šifriranja z uporabo SRTP.
   • Arhitektura ničelnega zaupanja— Ker so mediji šifrirani na aplikacijski ravni, SFU deluje le kot "slepi" rele. Šifrirane pakete usmerja drugim udeležencem, ne da bi kdaj imeli dostop do ključev za dešifriranje.
   • Neodvisnost—SFrame je neodvisen od transporta. Ostane varno, tudi če osnovni prevoz (UDP/TCP/TLS) je ogrožena, saj je varnostni kontekst vezan na končne točke udeležencev in ne na transportno povezavo.

SFrame je ključni mehanizem, ki omogoča E2EE. Medtem ko SRTP zagotavlja šifriranje podatkov med prehodom po omrežju, SFrame zagotavlja, da mediji ostanejo šifrirani skozi celoten življenjski cikel sestanka, vključno s časom, ko se nahajajo na Ciscovi infrastrukturi (SFU), s čimer ponudnika storitev učinkovito odstrani iz meje zaupanja.

Vsebina srečanj Webex

Vsebina sestanka je sestavljena iz podatkov, ki jih ustvarijo udeleženci ali jih ustvarijo storitve Webex v imenu gostitelja sestanka. To vključuje:

• Vsebina, povezana z mediji– Posnetki, prepisi, povzetki in naloge.
• Podatki o sodelovanju— Sporočila klepeta, shared/transferred datoteke, bele table in opombe.

Varnost vsebine Webex Meetings – celovito šifriranje Webex

Webex zavaruje vsebino sestankov, ki jo ustvarijo udeleženci, z uporabo robustnega ogrodja za šifriranje od konca do konca (E2EE). Osrednjega pomena za to arhitekturo je storitev upravljanja ključev Webex (KMS), ki je odgovorna za ustvarjanje, distribucijo in upravljanje šifrirnih ključev za vso vsebino, ki jo ustvarijo uporabniki.

Varnostne plasti vsebine srečanj

• Podatki v prenosu– Aplikacija Webex in video naprave Cisco uporabljajo šifriranje Webex od konca do konca (E2EE) z AES-256-GCM za šifriranje vsebine sestankov, ki jo ustvarijo uporabniki, kot so datoteke posnetkov, datoteke s povzetki umetne inteligence, sporočila klepeta itd. To je dodatno vključeno v varnost transportnega sloja (TLS), ki zagotavlja dvoslojno zaščito med prenosom.
• Podatki v stanju mirovanja– Ko je šifrirana vsebina shranjena v oblaku Webex, je dodatno zaščitena s šifriranjem diska AES-256-GCM.
• Profil zaščite– Ta pristop ščiti vsebino pred prestrezanjem TLS med prenosom in zagotavlja, da shranjeni podatki ostanejo nedostopni nepooblaščenim akterjem v oblačnem okolju.

Celovito šifriranje Webex z upravljanim dostopom do vsebine za osnovne storitve

Za razliko od šifriranja od začetka do konca Zero Trust, kjer Webex nima dostopa do ključev za šifriranje medijev ali vsebine, šifriranje od začetka do konca Webex platformi omogoča uporabo ključev, ki jih ustvari Webex KMS, za dešifriranje podatkov za bistvene osnovne storitve. Ta upravljani dostop omogoča:

• Iskanje in indeksiranje– Omogoča uporabnikom iskanje po zgodovini vsebine.
• Skladnost in upravljanje– Omogoča preprečevanje izgube podatkov (DLP), e-odkrivanje in arhiviranje podatkov.
• Optimizacija medijev— Podpira transkodiranje datotek za združljivost med napravami.
• Varnost– Omogoča skeniranje zlonamerne programske opreme z uporabo razširjenega varnostnega paketa.

Metapodatki srečanj Webex

Metapodatki sestankov so sestavljeni iz administrativnih in tehničnih informacij, ki jih sistem ustvari za omogočanje, sledenje in upravljanje sestanka, ne pa iz dejanske vsebine (zvoka, videa ali datotek v skupni rabi) samega sestanka. Metapodatke lahko razdelimo v več kategorij:

• Informacije o seji– Naslov sestanka, ID sestanka, načrtovani začetni in končni čas ter dejansko trajanje sestanka.
• Podatki o udeležencih– Seznam povabljencev in dejanskih udeležencev, njihovi naslovi IP, vrste naprav (kot so Windows, iPhone, Cisco Room Kit) in njihovi join/leave časovni žigi.
• Metrike uporabe in kakovosti– podatki, ki se uporabljajo za odpravljanje težav, kot so izguba paketov, tresenje, zakasnitev in ločljivost video toka.

Kako se uporabljajo metapodatki

1. Analitika in poročanje– Skrbniki uporabljajo metapodatke v WebexControl Hub, da vidijo, koliko sestankov poteka, kateri oddelki so najbolj aktivni in kakšna je splošna kakovost izkušnje.
2. Odpravljanje težav— Cisco TAC (center za tehnično pomoč) uporablja metapodatke za prepoznavanje in reševanje težav s sestanki.
3. Skladnost in e-odkrivanje— Pooblaščenci za skladnost lahko iščejo metapodatke, da bi dokazali, da je bil sestanek izveden, kdo je bil tam in ali je bil posnet, tudi če ne morejo videti šifrirane vsebine sestanka.
4. Varnost– Metapodatki pomagajo prepoznati poskuse nepooblaščenega dostopa ali nenavadne vzorce, ki bi lahko kazali na varnostno grožnjo.

Varnost in zasebnost metapodatkov

• Šifriranje– Čeprav metapodatki niso »šifrirani od konca do konca«, so še vedno šifrirani med prenosom (z uporabo TLS) in v mirovanju v varnih podatkovnih centrih Cisco.
• Nadzor dostopa– Ciscovi pravilniki o zasebnosti strogo omejujejo, kdo lahko dostopa do teh metapodatkov, ti pa se uporabljajo za zagotavljanje in izboljšanje storitve.

Za več informacij o vsebini in metapodatkih srečanj Webex glejte Razkritje ponudbe Webex Meetings.

Dodeljevanje vrst sej sestankov uporabnikom

Skrbniki centra Webex Control Hub lahko dodelijo eno ali več vrst sestankov, ki jih lahko njihovi uporabniki uporabljajo za načrtovane sestanke. Privzeto so vsem uporabnikom dodeljene vrste sestankov Pro Meeting in Pro-End to End Encryption_VoIPonly.

Načrtovanje sestanka – Izberite vrsto sestanka

Uporabniki lahko izberejo vrsto sestanka, ki jo želijo uporabiti pri načrtovanju sestanka, v aplikaciji Webex, na uporabniški strani Webex in v dodatku Webex Email za Microsoft Outlook.

Načrtovanje sestanka – Izberite vrsto sestanka v aplikaciji Webex

Načrtovanje sestanka – Izberite vrsto sestanka na uporabniški strani Webexa

Nastavitev privzete vrste sestanka

Uporabniki lahko nastavijo privzeto vrsto sestanka v Sestanki > Nastavitve na njihovi uporabniški strani Webex.

Nastavitev privzete vrste sestanka na uporabniški strani Webex

Zero Trust celovita identiteta in preprečevanje globokih ponaredkov

Potrdila o identiteti končnih uporabnikov, ki jih zagotovijo stranke, so temelj preprečevanja lažnega predstavljanja v sestankih Webex, šifriranih od konca do konca (E2EE). Za razliko od tradicionalnih mehanizmov za blokiranje globokih ponaredkov, ki se zanašajo na analizo zvočnih in video tokov, ta pristop zagotavlja kriptografsko potrditev identitete na mestu vstopa. To preverjeno stanje je prikazano neposredno v seznamu udeležencev sestanka, kar zagotavlja preglednost za vse udeležence.

Webex je razširil svojo podporo za potrdila, ki jih upravljajo stranke – ki so bila prej na voljo v napravah RoomOS – na aplikacijo Webex kot del naše funkcije »Preprečevanje globokih ponaredkov«. Organizacije lahko same zagotavljajo in upravljajo svoja digitalna potrdila, ki jih izdajo zaupanja vredni zunanji overitelji potrdil (CA) z uporabo industrijskih standardnih protokolov, kot je ACME. Ta potrdila, ki temeljijo na standardih X.509 in parih ključev ECDSA P-256, zagotavljajo kriptografski dokaz identitete udeležencev med srečanji E2EE.

Preverjena identiteta od začetka do konca in protokol MLS

Protokol Messaging Layer Security (MLS) uporablja standardna potrdila X.509 za preverjanje pristnosti udeležencev sestanka. Potrdilo je digitalno podpisana izjava zaupanja vrednega overitelja potrdil, ki preverja identiteto imetnika ključa za podpis. Udeleženci pridobijo ta potrdila na dva glavna načina:

• Upravljane naprave (potrdila, ki jih zagotovi stranka)– Za namizne in mobilne odjemalce, ki jih upravlja organizacija, je mogoče na napravo namestiti potrdilo identitete zaupanja vrednega overitelja potrdil. Ko se uporabnik prijavi z enotno prijavo (SSO), aplikacija Webex pridobi to potrdilo iz shrambe zaupanja v operacijskem sistemu, da predstavi uporabnikovo preverjeno identiteto. Ta postopek je podprt tudi za video naprave Cisco, registrirane v oblaku Webex.
• Privzeto (potrdila, ki jih zagotavlja Webex)– Če ni na voljo nobeno potrdilo, ki ga zagotovi stranka, odjemalec ali naprava Webex samodejno uporabi potrdilo, ki ga izda organ za potrdila Webex in ki odraža identiteto, ki jo je preveril Cisco.

Souporaba identitete in rezervni mehanizem

Med sestankom vsak udeleženec deli svoje potrdilo o identiteti Webex in, če je na voljo, potrdilo o identiteti, ki ga je posredovala stranka, z vsemi ostalimi udeleženci. Za zagotovitev nemotene povezljivosti končna točka Webex sledi strogi hierarhiji: Pri preverjanju prednostno uporabi potrdilo, ki ga posreduje stranka; če to potrdilo manjka ali ne opravi preverjanja, se sistem samodejno vrne na potrdilo identitete, ki ga posreduje Webex.

Prikaz stanja preverjanja uporabniške identitete

Ko se udeleženci pridružijo sestanku z uporabo aplikacije Webex ali naprav RoomOS s potrdili, ki jih zagotovi stranka, drugi udeleženci sestanka preverijo njihovo identiteto pri izdajatelju potrdil. To zagotavlja, da so prepoznani le pooblaščeni uporabniki, kar napadalcem preprečuje, da bi se izdajali za legitimne udeležence, saj so ta potrdila enolično povezana s preverjenimi identitetami in jih Cisco ali posredniki ne morejo ponarediti.

Seznam udeležencev v sestanku, šifriranem z E2E, prikazuje stanje preverjanja identitete vsakega uporabnika:

• Zero-Trust E2E Verified ( domain.com ) – Ko se uporabi potrdilo identitete, ki ga zagotovi stranka, je domena udeleženca prikazana z modro barvo. To označuje resnično identiteto, preverjeno prek E2E, ki je Cisco ne more spreminjati. Na primer, v seznamu udeležencev sestanka boste morda videli, da ima »Kevin« preverjen e-poštni naslov z example.com, označen z modro barvo.
• Webex-Preverjeno ( domena.com) – Potrdila, ki jih izda Webex CA, zagotavljajo bolj omejeno raven zaščite. Čeprav je boljše kot neobstoj zaščite identitete, ti udeleženci niso označeni kot »preverjeni z ničelnim zaupanjem E2E«. Namesto tega je njihov status identitete prikazan s sivim besedilom, kar pomeni, da je identiteto preveril Webex CA.
• Nepreverjen gostujoči uporabnik ( Nepreverjeno) – Čeprav identiteta gostujočih udeležencev ni overjena (ker ni postopka prijave), še vedno potrebujejo potrdilo, da se lahko pridružijo skupini MLS za klic ali sestanek. To potrdilo izda Webex CA in kot uporabniško ime uporablja »anonymous«.

Poleg tega varnostna koda sestanka, izpeljana iz kriptografskega stanja vseh udeležencev, pomaga odkriti napade tipa »vmesna oseba«, saj udeležencem omogoča preverjanje, ali si vsi delijo isti varni kontekst sestanka. Z združevanjem kriptografskega preverjanja identitete s šifriranjem od začetka do konca ta funkcija »Deepfake prevention« ponuja robustno obrambo pred lažnim predstavljanjem in grožnjami sintetičnih medijev ter varuje integriteto in zaupnost sestankov v napravah Webex App in RoomOS.

Upravljanje uvajanja certifikatov

Organizacije lahko poenostavijo uvajanje in upravljanje teh potrdil o identiteti končnih uporabnikov, ki jih zagotovijo stranke, tako da jih namestijo v naprave, ki jih podjetje upravlja, z uporabo aplikacij za upravljanje mobilnih naprav (MDM), upravljanje mobilnih aplikacij (MAM) ali upravljanje poslovne mobilnosti (EMM). Te platforme za upravljanje omogočajo skrbnikom IT centralno zagotavljanje, konfiguriranje in nadzor potrdil in povezanih varnostnih politik v širokem naboru naprav, ne glede na to, ali so v lasti podjetij ali oseb. Microsoft Intune na primer podpira zmogljivosti MDM in MAM, ki organizacijam omogočajo uvajanje in upravljanje aplikacije Webex in njenih varnostnih konfiguracij, vključno s potrdili identitete, v upravljanih napravah. Podobno Cisco Meraki Systems Manager zagotavlja zmogljivosti MDM za registracijo naprav, pošiljanje konfiguracijskih profilov in uvajanje potrdil za zagotavljanje statusa zaupanja vredne naprave. Uporaba teh rešitev za upravljanje zmanjšuje administrativne stroške, poenostavlja upravljanje življenjskega cikla potrdil in izboljšuje varnost za sestanke Webex E2EE s funkcijami za preprečevanje globokih ponaredkov.

Trije stebri identitete

Učinkovito upravljanje identitet in dostopa (IAM) za Webex temelji na:

• Zagotavljanje (CRUD) – upravljanje življenjskih ciklov uporabnikov (ustvarjanje, branje, posodabljanje, brisanje) za zagotovitev, da se »vir resnice« ujema s platformo za sodelovanje.
• Preverjanje pristnosti (AuthN) – preverjanje identitete uporabnika z varnimi poverilnicami ali žetoni.
• Avtorizacija (AuthZ) – Določanje podrobnih dovoljenj in ravni dostopa do API-ja po overjanju.

Zagotavljanje storitev & Upravljanje življenjskega cikla

Webex podpira več metod za sinhronizacijo uporabnikov in skupin:

• SCIM 2.0— Prednostni standard za oblak. Avtomatizira življenjski cikel uporabnika in zagotavlja, da se z odjavo v ponudniku identitet samodejno prekliče dostop do Webexa.
• Priključek imenika– Ciscovo orodje za hibridna okolja, ki povezuje lokalni Active Directory (AD) z oblakom Webex.
• Oskrba na osnovi API-ja– Uporablja Webexov »People API« za programsko ustvarjanje uporabnikov in dodeljevanje licenc v kompleksnih okoljih.
• Podedovani LDAP— Podprt za lokalne imenike (npr. CUCM), čeprav manj optimiziran za sodoben promet v oblaku.

Avtentikacija & Okviri za avtorizacijo

• Avtentikacija (AuthN):

• SAML 2.0— Podjetniški standard za enotno prijavo (SSO). Webex deluje kot ponudnik storitev (SP) in preverja trditve XML od korporativnega ponudnika identitet.
• OIDC (OpenID Connect)– Sodobna, lahka plast identitete, zgrajena na OAuth 2.0 z uporabo spletnih žetonov JSON (JWT). Podpira »URL-je za odkrivanje« za avtomatizirano konfiguracijo.

• Avtorizacija (AuthZ):

• OAuth 2.0— Upravlja dostop do API-ja prek kratkotrajnih žetonov za dostop (ki določajo obsege) in dolgotrajnih žetonov za osvežitev. Za javne odjemalce zagotavlja varnost prek PKCE (Proof Key for Code Exchange).

Integracija & Strategije za več ponudnikov identitet

Webex ponuja specializirane poti za brezhibno integracijo:

• Čarovnik za vnos ID-ja– Priporočena pot za Microsoftova okolja. Uporablja Microsoft Graph API za napredno sinhronizacijo atributov (avatarji, hierarhije) in avtomatizira OIDC/SAML konfiguracija.
• Duo Security– Doda »Neprekinjeno varnost identitete« s preverjanjem stanja naprave in omogočanjem večfaktorske autentifikacije, odporne na lažno predstavljanje.

Podpora za več ponudnikov identitet:Webex organizacijam omogoča združevanje več neodvisnih ponudnikov identitet (IdP) znotraj enega samega nadzornega središča (Control Hub).

• Primeri uporabe – združitve, prevzemi ali decentralizirani IT oddelki.
• Usmerjanje – Zahteve za preverjanje pristnosti so usmerjene na podlagi domen ali uporabniških skupin.
• Upoštevanje – Zahteva strogo usklajevanje za vzdrževanje doslednih varnostnih politik v vseh združenih virih.

Primer najpogostejših integracij identitet IdP z Webexom:

Najboljše prakse in odpornost

• Obnovitev SSO – Vedno uporabite vgrajeno povezavo »Obnovitev SSO« v Control Hubu, da obidete SSO z enkratnim geslom (OTP), če konfiguracija IdP ne uspe.
• Upravljanje potrdil – spremljanje poteka veljavnosti potrdila SAML. Čarovnik za enotno prijavo (SSO) avtomatizira izmenjavo metapodatkov in s tem zmanjša ročne napake.
• Odpravljanje težav – Če se pojavijo težave z overjanjem, uporabite orodje SAML Tracer za pregled trditev XML in preverjanje formatov NameID.
• Varnostni položaj – Redno opustite starejše vrste dovoljenj in zagotovite, da je PKCE implementiran za vse integracije javnih odjemalcev.

Zaključek – identiteta za srečanja Webex

Robustna strategija identitete je neprekinjen proces življenjskega cikla. Z združevanjem SCIM za oskrbovanje, OIDC/SAML za preverjanje pristnosti in OAuth za avtorizacijo lahko organizacije zagotovijo varno in nemoteno izkušnjo za uporabnike, hkrati pa ohranijo strog administrativni nadzor.

Življenjski cikel varnega razvoja Cisco

Pri Ciscu varnost ni drugotnega pomena. Gre za discipliniran pristop k gradnji in zagotavljanju vrhunskih izdelkov in storitev od temeljev navzgor. Vse ekipe za razvoj izdelkov Cisco^® morajo upoštevati življenjski cikel varnega razvoja Cisco. Gre za ponovljiv in merljiv postopek, zasnovan za povečanje odpornosti in zaupanja vrednih izdelkov Cisco. Kombinacija orodij, procesov in usposabljanja za ozaveščanje, uvedenega v vseh fazah razvojnega življenjskega cikla, pomaga zagotoviti obrambo v globino. Prav tako zagotavlja celosten pristop k odpornosti izdelkov. Ekipa za razvoj izdelkov Webex strastno sledi temu življenjskemu ciklu v vseh vidikih razvoja izdelkov.

Preberite več o varnem življenjskem ciklu razvoja.

Osnovna varnostna orodja Cisco

Organizacija Cisco za varnost in zaupanje zagotavlja postopek in potrebna orodja, ki vsakemu razvijalcu omogočajo, da zavzame dosledno stališče pri soočanju z varnostno odločitvijo.

Z namenskimi ekipami za izgradnjo in zagotavljanje takšnih orodij se odpravi negotovost v procesu razvoja izdelkov.

Nekaj primerov orodij vključuje:

• Osnovne zahteve glede varnosti izdelkov (PSB), ki jih morajo izdelki izpolnjevati
• Orodja za ustvarjanje groženj, ki se uporabljajo med modeliranjem groženj
• Smernice za kodiranje
• Preverjene ali certificirane knjižnice, ki jih lahko razvijalci uporabljajo namesto pisanja lastne varnostne kode
• Orodja za testiranje varnostnih ranljivosti (za statično in dinamično analizo), ki se uporabljajo po razvoju za testiranje varnostnih napak
• Sledenje programske opreme, ki nadzira knjižnice Cisco in drugih ponudnikov ter obvešča produktne ekipe, ko je odkrita ranljivost

Organizacijska struktura, ki v Ciscove procese vgrajuje varnost

Cisco ima namenske oddelke za uvajanje in upravljanje varnostnih procesov v celotnem podjetju. Da bi Cisco nenehno spremljal varnostne grožnje in izzive, se zanaša na:

• Ekipa za Ciscovo informacijsko varnost (InfoSec) v oblaku
• Ekipa za odzivanje na incidente v zvezi z varnostjo izdelkov Cisco (PSIRT)
• Deljena odgovornost za varnost

Cisco InfoSec Cloud

Ta ekipa, ki jo vodi glavni varnostni direktor za oblak, je odgovorna za zagotavljanje varnega okolja Webex za naše stranke. InfoSec to doseže z opredelitvijo in uveljavljanjem varnostnih procesov in orodij za vse funkcije, ki sodelujejo pri zagotavljanju Webexa našim strankam.

Poleg tega Cisco InfoSec Cloud sodeluje z drugimi ekipami v podjetju Cisco pri odzivanju na morebitne varnostne grožnje storitvi Webex.

Cisco InfoSec je odgovoren tudi za nenehno izboljševanje varnostne ureditve Webexa.

Ekipa za odzivanje na incidente v zvezi z varnostjo izdelkov Cisco (PSIRT)

Cisco PSIRT je namenska globalna ekipa, ki upravlja pritok, preiskovanje in poročanje o varnostnih težavah, povezanih s Cisco izdelki in storitvami. PSIRT uporablja različne medije za objavo informacij, odvisno od resnosti varnostne težave. Vrsta poročanja se razlikuje glede na naslednje pogoje:

• Za odpravo ranljivosti obstajajo popravki programske opreme ali rešitve ali pa je načrtovana poznejša javna razkritja popravkov kode za odpravo zelo resnih ranljivosti.
• PSIRT je opazil aktivno izkoriščanje ranljivosti, ki bi lahko povzročila večje tveganje za stranke Cisco. PSIRT lahko v tem primeru pospeši objavo varnostnega obvestila, ki opisuje ranljivost, brez popolne razpoložljivosti popravkov.
• Javna ozaveščenost o ranljivosti, ki vpliva na Ciscove izdelke, lahko povzroči večje tveganje za Ciscove stranke. PSIRT lahko spet opozori stranke, tudi če popravki niso v celoti na voljo.

V vseh primerih PSIRT razkrije minimalno količino informacij, ki jih bodo končni uporabniki potrebovali za oceno vpliva ranljivosti in za sprejetje ukrepov, potrebnih za zaščito svojega okolja. PSIRT uporablja lestvico sistema za ocenjevanje ranljivosti (CVSS) za razvrščanje resnosti razkrite težave. PSIRT ne zagotavlja podrobnosti o ranljivostih, ki bi lahko nekomu omogočile izdelavo izkoriščanja.

Za več informacij o PSIRT glejte Cisco Product Security Incident Response Team.

Odgovornost za varnost

Čeprav je za varnost odgovoren vsak član skupine Webex, so glavna pravila naslednja:

• Glavni varnostni direktor, Cloud
• Podpredsednik in generalni direktor, Cisco Cloud Collaboration Applications
• Podpredsednik za inženiring, aplikacije za sodelovanje v oblaku Cisco
• Podpredsednik za upravljanje izdelkov, aplikacije za sodelovanje v oblaku Cisco

Notranji in zunanji penetracijski testi

Skupina Webex redno izvaja stroge penetracijske teste z uporabo internih ocenjevalcev. Poleg strogih internih postopkov Cisco InfoSec sodeluje tudi z več neodvisnimi tretjimi osebami, ki izvajajo stroge revizije internih politik, postopkov in aplikacij Cisco. Te revizije so zasnovane za potrditev varnostnih zahtev, ki so kritične za komercialne in vladne aplikacije. Cisco uporablja tudi zunanje ponudnike za izvajanje stalnih, poglobljenih testov penetracije in ocen storitev s pomočjo kode. Kot del sodelovanja tretja oseba izvede naslednje varnostne ocene:

• Prepoznavanje kritičnih ranljivosti aplikacij in storitev ter predlaganje rešitev
• Priporočanje splošnih področij za arhitekturne izboljšave
• Prepoznavanje napak pri kodiranju in zagotavljanje smernic za izboljšanje prakse kodiranja

Neodvisni ocenjevalci sodelujejo neposredno z inženirskim osebjem Webexa, da pojasnijo ugotovitve in potrdijo sanacijo. Za informacije o potrditvi penetracijskega testa glejte paket potrdil o zaupanju za Webex Meetings.

Fizična varnost

Fizična varnost v podatkovnem centru vključuje video nadzor objektov in stavb ter obvezno dvofaktorsko identifikacijo za vstop. V podatkovnih centrih Cisco je dostop nadzorovan s kombinacijo bralnikov značek in biometričnih kontrol. Poleg tega okoljski nadzor (na primer temperaturni senzorji in sistemi za gašenje požarov) in infrastruktura za neprekinjeno delovanje storitev (kot je rezervno napajanje) pomagajo zagotoviti, da sistemi delujejo nemoteno.

Strežniki podatkovnih centrov so razdeljeni v »cone zaupanja« glede na občutljivost infrastrukture. Na primer, podatkovne baze so »zaprte«, omrežna infrastruktura ima namenske prostore in vsi nosilci opreme so zaklenjeni. V podatkovne centre lahko vstopi le varnostno osebje Cisco in pooblaščeni obiskovalci v spremstvu osebja Cisco.

Ciscovo produkcijsko omrežje je zelo zaupanja vredno omrežje: Le zelo malo ljudi z visoko stopnjo zaupanja ima dostop do omrežja.

Varnost infrastrukture in platforme

Varnost platforme zajema varnost omrežja, sistemov in celotnega podatkovnega centra Webex. Vsi sistemi so pred uvedbo v produkcijo podvrženi temeljitemu varnostnemu pregledu in potrditvi sprejemljivosti, poleg tega pa so redno podvrženi krepitvi, varnostnim popravkom ter pregledovanju in ocenjevanju ranljivosti.

Strežniki so utrjeni z uporabo smernic za tehnično implementacijo varnosti (STIG), ki jih je objavil Nacionalni inštitut za standarde in tehnologijo (NIST). Požarni zidovi ščitijo omrežni perimeter. Seznami za nadzor dostopa (ACL) ločujejo različna varnostna območja. Vzpostavljeni so sistemi za zaznavanje vdorov (IDS), dejavnosti pa se nenehno beležijo in spremljajo. V Webexu se izvajajo dnevni notranji in zunanji varnostni pregledi. Vsi sistemi so utrjeni in popravljeni kot del rednega vzdrževanja. Poleg tega se nenehno izvajajo skeniranje in ocenjevanje ranljivosti.

Neprekinjenost storitev in obnova po nesreči sta ključni komponenti načrtovanja varnosti. Zasnova Ciscovih podatkovnih centrov z globalnimi varnostnimi kopijami lokacij in visoko razpoložljivostjo omogoča geografsko preklop storitev Webex ob okvari. Ni ene same točke neuspeha.

Administrativni podatki

Podatki o zaposlenih ali predstavnikih stranke ali druge tretje osebe, ki jih Cisco zbira in uporablja za upravljanje ali upravljanje Ciscove dobave izdelkov ali storitev ali za upravljanje ali upravljanje računa stranke ali tretje osebe za Ciscove lastne poslovne namene.

Administrativni podatki lahko vključujejo ime, naslov, telefonsko številko, e-poštni naslov in podatke o pogodbenih obveznostih med Ciscom in tretjo osebo, ne glede na to, ali so bili zbrani ob začetni registraciji ali pozneje v povezavi z upravljanjem ali administracijo Ciscovih izdelkov ali storitev.

Administrativni podatki lahko vključujejo tudi naslov sestanka, čas in druge atribute sestankov, ki jih v Webexu izvajajo zaposleni ali predstavniki stranke. Drugi primeri administrativnih podatkov lahko vključujejo naslov sestanka, čas sestanka in druge atribute sestankov, ki jih gosti Webex.

Podatki o strankah

To vključuje vse podatke (vključno z besedilom, zvočnimi, video, slikovnimi datotekami in posnetki), ki jih stranka posreduje podjetju Cisco v povezavi z uporabo izdelkov ali storitev Cisco ali pa jih Cisco razvije na posebno zahtevo stranke v skladu z opisom dela ali pogodbo.

Podatki o strankah vključujejo tudi dnevniške, konfiguracijske ali vdelane datoteke in izpise osnovnih podatkov.

To so podatki, vzeti iz izdelka ali storitve in posredovani podjetju Cisco, da nam pomagajo odpraviti težavo v povezavi z zahtevo za podporo. Podatki o strankah ne vključujejo administrativnih podatkov, podatkov o podpori ali telemetričnih podatkov.

Podporni podatki

Podatki, ki jih Cisco zbira, ko stranka odda zahtevo za podporne storitve ali drugo odpravljanje težav, vključno z informacijami o strojni ali programski opremi. Vključuje podrobnosti, povezane z incidentom podpore, kot so podatki za preverjanje pristnosti, podatki o stanju izdelka, sistema in registra, podatki o namestitvah programske opreme in konfiguracijah strojne opreme ter datoteke za sledenje napakam. Podatki o podpori ne vključujejo dnevniških, konfiguracijskih ali vdelanih datotek ali izpisov osnovnih podatkov, ki so bili vzeti iz izdelka in so nam posredovani za pomoč pri odpravljanju težave v povezavi z zahtevo za podporo, saj so vsi ti podatki primeri podatkov o strankah.

Telemetrijski podatki

Informacije, ki jih ustvarijo instrumentalni in beležni sistemi, ustvarjeni z uporabo in delovanjem izdelka ali storitve.

Vsi podatki, zbrani v oblaku Webex, so zaščiteni z več plastmi robustnih varnostnih tehnologij in procesov. Spodaj so primeri kontrol, nameščenih v različnih plasteh delovanja Webexa za zaščito podatkov strank:

• Nadzor fizičnega dostopa— Fizični dostop se nadzoruje z biometričnimi podatki, značkami in video nadzorom. Dostop do podatkovnega centra zahteva odobritve in se upravlja prek elektronskega sistema za izdajanje vstopnic.
• Nadzor dostopa do omrežja— Območje omrežja Webex je zaščiteno s požarnimi zidovi. Ves omrežni promet, ki vstopa v podatkovni center Webex ali ga izstopa, se nenehno spremlja s sistemom za zaznavanje vdorov (IDS). Omrežje Webex je prav tako razdeljeno na ločena varnostna območja. Promet med območji nadzorujejo požarni zidovi in seznami za nadzor dostopa (ACL).
• Nadzor in upravljanje infrastrukture— Vsaka komponenta infrastrukture, vključno z omrežnimi napravami, aplikacijskimi strežniki in bazami podatkov, je utrjena v skladu s strogimi smernicami. Prav tako so predmet rednega pregleda za odkrivanje in odpravljanje morebitnih varnostnih težav.
• Kriptografski nadzor– Kot smo že omenili, so vsi podatki, ki se pošiljajo v podatkovni center Webex in iz njega v aplikacije Webex in naprave Webex, registrirane v oblaku, šifrirani, razen prometa PSTN in nešifriranih podatkov. SIP/H323 videonaprave na sestanku, ki omogoča uporabo oblaka. Poleg tega so kritični podatki, shranjeni v Webexu, kot so gesla, šifrirani.

Zaposleni v podjetju Cisco ne dostopajo do podatkov strank, razen če stranka dostop zahteva zaradi podpore. Dostop do sistemov v tem primeru vodji dovoli le v skladu z načelom "ločitve dolžnosti". Podeljuje se le na podlagi nuje in le z ravnijo dostopa, ki je potrebna za opravljanje dela. Dostop zaposlenih do teh sistemov se prav tako redno pregleduje glede skladnosti. Zaposleni s takim dostopom morajo letno opraviti usposabljanje o ozaveščenosti o informacijski varnosti v skladu z Mednarodno organizacijo za standardizacijo (ISO) 27001.

Poleg teh specializiranih kontrol vsak zaposleni v podjetju Cisco opravi preverjanje preteklosti, podpiše sporazum o nerazkritju informacij (NDA) in opravi usposabljanje za kodeks poslovnega ravnanja (COBC).

Zakon o prenosljivosti in odgovornosti zdravstvenega zavarovanja (HIPAA)

Cisco lahko zagotovi informacije o funkcionalnosti, tehnologiji in varnosti Webexa. Subjekt, ki ga krije HIPAA, bi se moral posvetovati s svojim pravnim svetovalcem, da ugotovi, ali je funkcionalnost Webexa skladna z njegovimi poslovnimi procesi in pripravljena na GDPR.

• Skladnost z GDPR
• Razkritje ponudbe Cisco Webex Meetings

Industrijski standardi in certifikati

Poleg skladnosti z našimi strogimi internimi standardi Webex nenehno vzdržuje tudi preverjanja s strani tretjih oseb, da bi dokazal svojo zavezanost informacijski varnosti. Webex je:

• Certificirano po standardih ISO 27001, 27017, 27018 in 27701
• Kontrole storitvene organizacije (SOC) 2, revidirane tipa II
• Certificirano SOC 3
• Kodeks ravnanja v oblaku
• CSTAR
• Potrdilo o katalogu kontrol skladnosti računalništva v oblaku (C5)
• Certificirano po standardu FedRAMP (obiščite cisco.com/go/fedramp za več podrobnosti, obseg in razpoložljivost)

Celoten nabor dokumentov o varnosti, zasebnosti in skladnosti, vključno s podrobnostmi o zgoraj navedenih standardih in certifikatih, najdete na portalu Cisco Trust.