Hvala na povratnim informacijama.

Osnov Webex Meetings ne usluge i komponente

• Webex Meetingsje deoWebex Suite, pružajući audio/video konferencije sa deljenjem sadržaja i mogućnostima veb konferencija.
• Platforma uključuje više mikroservisa kao što su Usluga sastanaka, usluga vebinara, usluga identiteta, usluga snimanja, AI Assistant usluga, usluga analitike, administratorska usluga i medijska usluga.
• Webex Meetingspodržava aplikacije i uređaje registrovane u oblaku, omogućavajući korisnicima da se pridruže sastancima sa različitih OS platformi i uređaja. Korisnici se takođe mogu pridružiti sastancima putem PSTN-a i sa SIP krajnjim tačkama.

Arhitektura i implementacija

• Webex Meetingsusluge su regionalizovane i replicirane u više nezavisnih data centara kako bi se osigurala redundantnost i visoka dostupnost.
• Medijske usluge su globalno distribuirane sa klasterima medijskih servera u svakom centru podataka, pružajući lokalnu i geografsku redundanciju.
• Medijski serveri upravljaju deljenjem glasa, video zapisa i sadržaja, a mediji su obično šifrovani pomoću AES-256-GCM.
• Arhitektura podržava šifrovanu signalizaciju preko TLS/HTTPS i šifrovane medijske tokove.

Vebek podržava pridruživanje sastancima sa više platformi i uređaja, uključujući:

• Vebek desktop aplikacija na Vindovs, Mac i Linuk.
• Vebek mobilna aplikacija na Androidu i iOS-u.
• Vebek veb aplikacija koja koristi Chrome, Edge, Safari, Firefok i druge pregledače.
• Cisco sobni uređaji i stolni uređaji.
• Krajnje tačke audio i video zasnovane na SIP standardima trećih strana.
• PSTN uređaji.

Vebek suverenitet kupaca

Kao odgovor na rastuću potražnju za rezidencijom podataka, Vebek je uveo poboljšane sposobnosti suvereniteta. Počevši od snimanja i podrške za još usluga koje dolaze, organizacije sada mogu da održavaju kontrolu nad sadržajem sastanka pomoću:

• Lokalizovana obrada — Obrada sadržaja sastanaka, kao što su snimci, u okviru sopstvene infrastrukture.
• Lokalno skladištenje — Kori šćenje sopstvenih usluga skladištenja datoteka za smeštaj osetljivih sredstava za sastanke, osiguravajući da podaci ostanu unutar određenih geografskih ili organizacionih granica.

Ultra bezbedno Webex Meetings

Istorijski gledano, funkcije „Ultra Secure“, kao što je Zero Trust end-to-end Encryption (E2EE), često su zahtevale kompromis u funkcionalnosti sastanka, jer su usluge sa dodatom vrednošću zasnovane na oblaku zahtevale pristup ključevima za šifrovanje, a samo ograničen broj tipova krajnjih tačaka mogao bi se pridružiti ovim sastancima. Vebek je eliminisao ovaj kompromis sa:

• Zero Trust bogato karakteristikama — Vebek je transformisao sastanke Zero Tr ust end-to-end Encrypted (E2EE), dodajući funkcionalnosti koje sastanke Zero Trust čine bogatim funkcijama. Podrška za širi broj tipova krajnjih tačaka pruža besprekorno iskustvo bez žrtvovanja alata neophodnih za modernu saradnju.
• Zero Trust za standardne sastanke — Vebek je integrisao mogućnosti Zero Trust E2EE direktno u standardne sastanke. Ovo osigurava da čak i svakodnevna saradnja može imati koristi od najviših nivoa bezbednosti, pružajući doslednu zaštitu u celom Vebek ekosistemu.

Jedinstveni pristup saradnji

Integrisanjem suvereniteta korisnika sa ovim naprednim mogućnostima Zero Trust E2EE, Vebek osnažuje organizacije da postignu dvostruki cilj: hostovanje visoko sigurnih sastanaka sa Zero Trust unutar Vebek oblaka uz održavanje potpune kontrole nad obradom i skladištenjem kritičnog sadržaja sastanaka na lokalnoj lokaciji. Ova sinergija pruža fleksibilnost i sigurnost neophodnu za moderna okruženja preduzeća zasnovana na usklađenosti.

Proširenje sigurnosne granice pomoću Video Mesh čvora

Dodavanje video mrežnog čvora u organizaciju omogućava korisnicima da pružaju lokalne usluge sastanaka i omogućava lokalnim krajnjim tačkama da se pridruže bilo kom Vebek sastanku. Iz bezbednosne perspektive, integrisanje Video Mesh čvora održava Zero Trust unutar Vebek oblaka, istovremeno nudeći paritet skoro funkcija sa standardnim Vebek sastancima. Kupci takođe imaju koristi od suvereniteta podataka, jer se usluge kao što su snimci sastanaka Video Mesh Node obrađuju i čuvaju lokalno.

Korišćenje end-to-end enkripcije Zero Trust može dodati nekoliko dodatnih sekundi za pridruživanje sastanku, ali pruža jasnu sigurnost - samo učesnici sastanka imaju pristup ključevima za šifrovanje sastanka, tako da provajder usluga ili drugi posrednici ne mogu dešifrovati sadržaj sastanka.

Rezime: Webex Meetings i modeli hibridne implementacije

Kao što je prikazano u gornjem poređenju, postavljanje Video Mesh Node (VMN) omogućava Zero Trust Webex Meetings da postigne paritet skoro karakteristika sa standardnim Vebek sastancima. Iako sastanci Zero Trust ne podržavaju učesnike PSTN-a, Vebek veb aplikacija služi kao široko dostupna alternativa za šifrovani pristup od kraja do kraja. Štaviše, VMN omogućava kancelarijskim radnicima koji koriste stolne telefone da se neprimetno pridruže sastancima Zero Trust.

Video Mesh Node takođe obezbeđuje suverenitet podataka za sadržaj kritičkih sastanaka, uključujući snimke i—u bliskoj budućnosti — transkripte, sažetke i stavke radnji. Obradom i skladištenjem ovih podataka na lokalnoj lokaciji, VMN pruža kupcima potpunu kontrolu nad njihovim informacijama uz održavanje arhitekture Zero Trust unutar Vebek oblaka.

Šifrovana Vebek signalizacija

Vebek usluge podržavaju TLS verzije 1.2 i 1.3, pri čemu je TLS 1.3 poželjan kada je podržan od krajnje tačke povezivanja. Ako klijent podržava samo TLS 1.2, Vebek server bira najjači zajednički paket šifri koji nudi klijent. Za razliku od TLS 1.2, TLS 1.3 ne koristi izbor paketa šifri sa preferencijama servera jer se oslanja na manji, kurirani skup modernih šifra. Ovaj dizajn pojednostavljuje proces odabira, fokusirajući se više na poboljšanja performansi, kao što je smanjenje ukupne dužine rukovanja, uz održavanje jake sigurnosti. Šifri paketi za TLS 1.2 i 1.3 koje koristi Vebek su dobro definisani i prioritetni kako bi se osigurala sigurna komunikacija.

TLS Cipher Suites

TLS 1.3 šifre paketi (TLS 1.3 serveri ne koriste redosled preferencija za izbor paketa)

TLS 1.2 šifre paketi (apartmani po željenom redosledu servera)

AES_256_CBC i AES_128_CBC šifre za šifrovanje podržane su za održavanje kompatibilnosti sa starijim sistemima, starijim pregledačima i ugrađenim uređajima koji ne podržavaju moderne AEAD (autentifikovano šifrovanje sa povezanim podacima) šifre poput AES-GCM npr. Internet Explorer11 na Vindovs 7 i Vindovs 8.1, Safari 6/7/8 na ranim izdanjima iOS i macOS koriste šifre zasnovane na CBC-u.

CHACHA20_POLI1305 je strujna šifra koja ima malu zavisnost od hardvera, što je čini superiornom šifrom za upotrebu na mobilnim uređajima ili uređajima sa procesorima male snage.

Standardi za šifrovanje medija za Vebek

Vebek sastanci i pozivi koriste robusnu enkripciju zasnovanu na AES-u za sve medijske pakete. Specifični paket šifri zavisi od tipa krajnje tačke, pri čemu AES-256-GCM služi kao preferirani standard za optimalnu sigurnost.

Ključna bezbednosna razmatranja

• Preferirani standard —AES-256-GCM je preporučena šifra za sve primene kako bi se osigurao najviši nivo integriteta podataka i poverljivosti.
• Interoperabilnost — Dok Vebek održava podršku za nasleđene šifre (kao što je AES-CM-128-HMAC-SHA1) kako bi se osigurala interoperabilnost sa SIP i H.323 sistemima trećih strana, organizacije koje daju prioritet arhitekturi nultog poverenja trebalo bi da primenjuju AES-256-GCM tamo gde kompatibilnost uređaja dozvoljava.

Protokoli za transport medija

Vebek podržava transport medija preko UDP, TCP ili TLS. Za optimalne performanse glasa i video zapisa, Cisco snažno preporučuje UDP.

Razmatranja performansi:

• Efik@@ asnost u realnom vremenu - UDP je preferirani transport za medije u realnom vremenu jer minimizira kašnjenje i podrhtavanje izbegavanjem mehanizama reemitovanja i bafera svojstvenih protokolima orijentisanim na vezu.
• Uticaj TCP/TLS-a - Dok TCP i TLS pružaju pouzdanu, naručenu isporuku podataka, ovo ponašanje je kontraproduktivno za medije u realnom vremenu. Rezultirajući retransmisije paketa i puferiranje toka uvode latenciju i podrhtavanje, što može značajno pogoršati kvalitet iskustva učesnika

Vebek upotreba SRTP i SFrame za medije

Da bi se održali standardi visoke bezbednosti potrebni za okruženja WebEkZero Trust, važno je razlikovati bezbednost na nivou transporta (SRTP) i šifrovanje od kraja do kraja (SFrame) u sloju aplikacije.

Ključne tehničke razlike - SRTP i sFrame

1. SRTP (siguran protokol za transport u realnom vremenu)

   SRTP je industrijski standard za obezbeđivanje medijskih tokova u tranzitu.

   • Obim —Pruža poverljivost, autentifikaciju poruka i zaštitu od ponovne reprodukcije za RTP korisni teret.
   • Operativni kontekst - U mnogim arhitekturama, Media Server/Media Gateway (Selective Forwarding Unit (SFU)) prekida SRTP vezu radi obrade medija (na primer, mešanje, kompozicija izgleda ili transkodiranje). Budući da SFU dešifruje medije da bi ga obradio, mediji su tehnički ranjivi na SFU tački.
2. sFrame (Secure Frame)

   sFrame je IETF standard. RFC 9605 je dizajniran posebno da olakša istinsko šifrovanje od kraja do kraja u okruženju za konferencije sa više strana.

   • Obim — Šifruje paketirane medijske okvire pre nego što se kapsuliraju u RTP pakete. Vebek dodaje dodatni sloj šifrovanja koristeći SRTP.
   • Arhit@@ ektura nul tog poverenja - Pošto je medij šifrovan na sloju aplikacije, SFU deluje samo kao „slepi“ relej. On usmerava šifrovane pakete do drugih učesnika bez ikada pristupa ključevima za dešifrovanje.
   • Nezavisnost —sFrame je transportno-agnostički. Ostaje siguran čak i ako je osnovni transport (UDP/TCP/TLS) ugrožen, jer je bezbednosni kontekst vezan za krajnje tačke učesnika, a ne za transportnu vezu.

sFrame je kritični mehanizam koji omogućava E2EE. Dok SRTP osigurava šifrovanje podataka tokom prelaska mreže, sFrame osigurava da mediji ostanu šifrovani tokom čitavog životnog ciklusa sastanka, uključujući i dok se nalaze na Ciscovoj infrastrukturi (SFU), efikasno uklanjajući provajdera usluga sa granice poverenja.

Webex MeetingsSadržaj

Sadržaj sastanka sastoji se od podataka kreiranih od strane učesnika ili koje generišu Vebek servisi u ime domaćina sastanka. Ovo uključuje:

• Sadržaj vezan za medije —Snimci, transkripti, rezimesi i akcije.
• Podaci o sarad nji —Poruke za ćaskanje, deljene/prenesene datoteke, bele table i napomene.

Webex MeetingsBezbednost sadržaja — Vebek end-to-end enkripcija

Vebek obezbeđuje sadržaj sastanaka koji generišu učesnici koristeći robusni okvir za šifrovanje od kraja do kraja (E2EE). Centralno mesto ove arhitekture je Vebek Key Management Service (KMS), koja je odgovorna za generisanje, distribuciju i upravljanje ključevima za šifrovanje za sav sadržaj koji generiše korisnici.

Slojevi bezbednosti sadržaja sastanka

• Podaci u tranz itu - Vebek aplikacija i Cisco video uređaji koriste Vebek end-to-end enkripciju (E2EE) sa AES-256-GCM za šifrovanje sadržaja sastanaka koji generišu korisnici kao što su datoteke za snimanje, AI rezime datoteke, poruke za ćaskanje itd. Ovo je dalje inkapsulirano u okviru bezbednosti transportnog sloja (TLS) kako bi se obezbedila dvoslojna zaštita tokom prenosa.
• Podaci u mirovanju - Jednom uskladišteni u Vebek oblaku, šifrovani sadržaj je dodatno zaštićen AES-256-GCM enkripcijom diska.
• Profil zaštite — Ovaj pristup štiti sadržaj od TLS presretanja tokom tranzita i osigurava da uskladišteni podaci ostanu nedostupni neovlašćenim akterima u okruženju oblaka.

Vebek end-to-end enkripcija sa pristupom upravljanom sadržaju za osnovne usluge

Za razliku od Zero Trust end-to-end enkripcije, gde Vebek nema pristup medijima ili ključevima za šifrovanje sadržaja, Vebek end-to-end enkripcija omogućava platformi da koristi Vebek KMS-generisane ključeve za dešifrovanje podataka za osnovne osnovne usluge. Ovaj upravljani pristup omogućava:

• Pretraživanje i indeksiranje - Omogućava korisnicima da pretražuju istoriju sadržaja.
• U@@ sklađenost i upravljanje — Omogućava sprečavanje gubitka podataka (DLP), e-otkrivanje i arhiviranje podataka.
• Optimizacija medi ja - Podržava transkodiranje datoteka za kompatibilnost sa više uređaja.
• Bezbednost — Olakšava skeniranje malvera pomoću proširenog bezbednosnog paketa.

Webex MeetingsMetapodaci

Metapodaci o sastancima sastoje se od administrativnih i tehničkih informacija koje sistem generiše za olakšavanje, praćenje i upravljanje sastankom, a ne stvarnog sadržaja (audio, video ili deljene datoteke) samog sastanka. Metapodaci se mogu podeliti u nekoliko kategorija:

• Informacije o sesiji — naslov sastanka, ID sastanka, zakazano vreme početka i završetka i stvarno trajanje sastanka.
• Podaci o uč esnicima —Lista pozvanih i stvarnih učesnika, njihove IP adrese, tipovi uređaja (kao što su Vindovs, iPhone, Cisco Room Kit) i njihove vremenske oznake za pridruživanje/ostavljanje.
• Met@@ rika upotrebe i kvaliteta — Podaci koji se koriste za rešavanje problema, kao što su gubitak paketa, podrhtavanje, kašnjenje i rezolucija video toka.

Kako se koriste metapodaci

1. Analitika i izvešt avanje — Administratori koriste metapodatke u VebEkControl Hub-u da vide koliko se sastanaka dešava, koja odeljenja su najaktivnija i ukupan kvalitet iskustva.
2. Rešavanje problema - Cisco TAC (Centar za tehničku pomoć) koristi metapodatke za identifikaciju i rešavanje problema sa sastankom.
3. Uskla@@ đenost i e-otkri vanje — Službenici za usklađenost mogu da pretražuju metapodatke kako bi dokazali da je sastanak održan, ko je bio tamo i da li je snimljen, čak i ako ne mogu da vide šifrovani sadržaj sastanka.
4. Bezbednost — Metapodaci pomažu u identifikaciji pokušaja neovlašćenog pristupa ili neobičnih obrazaca koji mogu ukazivati na bezbednosnu pretnju.

Bezbednost i privatnost metapodataka

• Šifro vanje — Iako metapodaci nisu „end-to-end šifrovani“, oni su i dalje šifrovani u tranzitu (koristeći TLS) i u mirovanju u Ciscovim bezbednim centrima podataka.
• Kontrola pristupa — Ciscove politike privatnosti strogo ograničavaju ko može pristupiti ovim metapodacima, a koristi se za pružanje i poboljšanje usluge.

Više informacija o sadržaju i metapodacima Vebek sastanka potražite u odeljku Otkrivanje Webex Meetingsponude.

Dodeljivanje tipova sesija sastanaka korisnicima

Administratori Vebek kontrolnog centra mogu dodeliti jedan ili više tipova sastanaka koje njihovi korisnici mogu da koriste za zakazane sastanke. Podrazumevano, svim korisnicima su dodeljeni tipovi sastanaka Pro Meeting i Pro-End to End Encryption_ VOIPOnly sastanci.

Zakažite sastanak — izaberite vrstu sastanka

Korisnici mogu da izaberu tip sastanka koji žele da koriste prilikom zakazivanja sastanka iz aplikacije Vebek, Vebek korisničke stranice i dodatka za e-poštu za Vebek. Microsoft Outlook

Zakažite sastanak — izaberite vrstu sastanka u aplikaciji Vebek

Zakažite sastanak — Izaberite vrstu sastanka na korisničkoj stranici Vebek

Podesite podrazumevani tip sastanka

Korisnici mogu da podesi svoj podrazumevani tip sastanka u od eljku Sastanci > Podešavanja na svojoj Vebek korisničkoj stranici.

Podesite podrazumevani tip sastanka sa stranice korisnika Vebek

Identitet nultog poverenja od kraja do kraja i prevencija dubokih falsifikata

Potvrde o identitetu krajnjeg korisnika koje pružaju kupci su kamen temeljac sprečavanja lažnog predstavljanja na Vebek sastancima šifrovanih od kraja do kraja (E2EE). Za razliku od tradicionalnih mehanizama dubokog blokiranja lažiranja koji se oslanjaju na analizu audio i video tokova, ovaj pristup obezbeđuje validaciju kriptografskog identiteta na mestu prijema. Ovaj verifikovani status prikazuje se direktno u spisku sastanka, pružajući transparentnost svim učesnicima.

Vebek je proširio svoju podršku za sertifikate kojima upravljaju kupci - ranije dostupni na RooMOS uređajima - na Vebek aplikaciju kao deo naše funkcije „Deepfake prevencija“. Organizacije mogu da obezbeđuju i upravljaju sopstvenim digitalnim sertifikatima, koje izdaju pouzdane spoljne sertifikatske vlasti (CA) koristeći industrijske standardne protokole poput ACME. Ovi sertifikati, zasnovani na standardima Ks.509 i ECDSA P-256 parovima ključeva, pružaju kriptografski dokaz identiteta učesnika tokom sastanaka E2EE.

Potvrđeni identitet od kraja do kraja i MLS protokol

Protokol za bezbednost sloja poruka (MLS) koristi standardne X.509 sertifikate za autentifikaciju učesnika sastanka. Sertifikat je digitalno potpisana izjava od pouzdane CA koja verifikuje identitet nosioca ključa za potpisivanje. Učesnici dobijaju ove sertifikate kroz dve primarne metode:

• Upravljani uređaji (sertifikati obezbeđeni od strane korisnika) —Za računare i mobilne klijente kojima upravlja organizacija, na uređaj se može instalirati sertifikat o identitetu od pouzdane CA. Kada se korisnik prijavi koristeći jednokratnu prijavu (SSO), aplikacija Vebek preuzima ovaj sertifikat iz prodavnice poverenja OS-a kako bi predstavio verifikovani identitet korisnika. Ovaj proces je takođe podržan za Cisco video uređaje registrovane u oblaku Vebek.
• Podrazumevano (Vebek sertifikati) — Ako nije dostupan sertifikat koji je pru žio klijent, Vebek klijent ili uređaj automatski koristi sertifikat koji je izdao Vebek, a koji odražava identitet koji je verifikovao Cisco. Certificate Authority

Mehanizam za deljenje identiteta i rezervni mehanizam

Tokom sastanka, svaki učesnik deli svoj Vebek identifikacioni sertifikat i, ako je dostupan, svoj identifikacioni sertifikat koji je dao klijent sa svim ostalim učesnicima. Da bi se osigurala besprekorna povezanost, krajnja tačka Vebek sledi strogu hijerarhiju: daje prioritet sertifikatu koji je pružio klijent radi verifikacije; ako taj sertifikat nedostaje ili ne uspe validaciju, sistem se automatski vraća na sertifikat identiteta koji je obezbedio Vebek.

Prikazivanje statusa verifikacije korisničkog identiteta

Kada se učesnici pridruže sastanku koristeći Vebek App ili RooMOS uređaje sa sertifikatima koje je pružio klijent, drugi članovi sastanka verifikuju njihov identitet protiv CA koji je izdao. Ovo osigurava da se prepoznaju samo ovlašćeni korisnici, sprečavajući napadače da se predstavljaju kao legitimne učesnike, jer su ovi sertifikati jedinstveno vezani za verifikovane identitete i Cisco ili posrednici ih ne mogu falsifikovati.

Lista učesnika na sastanku šifrovanom E2E prikazuje status verifikacije identiteta svakog korisnika:

• Zero-Trust E 2E verifikovan ( domain.com) — Kada se koristi identifikacioni sertifikat koji je pružio klijent, domen učesnika se prikazuje plavim tekstom. Ovo ukazuje na istinski identitet verifikovan E2E u koji Cisco ne može da menja. Na primer, u spisku sastanaka možete videti da „Kevin“ ima verifikovanu adresu e-pošte sa example.com plavom bojom.
• Vebek verifikovan ( domain.com) —Sertifikati koje izdaje Vebek CA pružaju ograničeniji nivo zaštite. Iako su superiorniji od toga da nemaju zaštitu identiteta, ovi učesnici nisu označeni kao „Zero Trust E2E verifikovan“. Umesto toga, njihov status identiteta prikazan je sivim tekstom, što ukazuje da je identitet verifikovan od strane Vebek CA.
• Neprovereni gost korisnik ( Nepotvrđeno) — Iako identitet gostujućih učesnika nije potvrđen (jer ne postoji postupak prijave), i dalje im je potreban sertifikat da bi se pridružili MLS grupi za poziv ili sastanak. Ovaj sertifikat izdaje Vebek CA i koristi „anonimno“ kao korisničko ime.

Pored toga, sigurnosni kod sastanka izveden iz kriptografskog stanja svih učesnika pomaže u otkrivanju napada osobe u sredini omogućavajući učesnicima da provere da svi dele isti kontekst sigurnog sastanka. Kombinovanjem verifikacije kriptografskog identiteta sa šifrovanjem od kraja do kraja, ova funkcija „prevencije Deepfake“ nudi robusnu odbranu od lažnog predstavljanja i pretnji sintetičkim medijima, štiteći integritet sastanka i poverljivost na Vebek aplikaciji i RooMOS uređajima.

Upravljanje uvođenjem sertifikata

Organizacije mogu pojednostaviti uvođenje i upravljanje ovim sertifikatima o identitetu krajnjeg korisnika koji pružaju klijenti tako što će ih instalirati u uređaje kojima se upravlja korporativno koristeći aplikacije za upravljanje mobilnim uređajima (MDM), Mobile Application Management (MAM) ili Enterprise Mobility Management (EMM). Ove platforme za upravljanje omogućavaju IT administratorima da centralno obezbeđuju, konfigurišu i kontrolišu sertifikate i povezane bezbednosne politike na širokom spektru uređaja, bilo da su u vlasništvu preduzeća ili u ličnom vlasništvu. Na primer, Microsoft Intune podržava i MDM i MAM mogućnosti koje omogućavaju organizacijama da implementiraju i upravljaju Vebek aplikacijom i njenim bezbednosnim konfiguracijama, uključujući sertifikate o identitetu, na upravljanim uređajima. Slično tome, Cisco Meraki Systems Manager pruža MDM mogućnosti za upisivanje uređaja, potiskivanje konfiguracionih profila i postavljanje sertifikata kako bi se osigurao status pouzdanog uređaja. Korišćenje ovih rešenja za upravljanje smanjuje administrativne troškove, pojednostavljuje upravljanje životnim ciklusom sertifikata i poboljšava bezbednosni položaj za sastanke Vebek E2EE sa funkcijama „prevencije Deepfake“.

Tri stuba identiteta

Efektivno upravljanje identitetom i pristupom (IAM) za Vebek oslanja se na:

• Provisioning (CRUD) —Upravljanje životnim ciklusima korisnika (kreiranje, čitanje, ažuriranje, brisanje) kako bi se osiguralo da „Izvor istine“ odgovara platformi za saradnju.
• Autentifikacija (AuthN) —Verifikacija korisničkog identiteta putem sigurnih akreditiva ili tokena.
• Autorizacija (AuthZ) —Definisanje detaljnih dozvola i nivoa pristupa API-ju nakon autentifikacije.

Obezbeđivanje i upravljanje životnim ciklusom

Vebek podržava nekoliko metoda za sinhronizaciju korisnika i grupa:

• SCIM 2.0 —Preferirani standard oblaka. On automatizuje životni ciklus korisnika, osiguravajući da offboarding u IDP-u automatski opoziva Vebek pristup.
• Directory Connector —Cisco alat za hibridna okruženja, premošćujući lokalno Active Directory (AD) na Vebek Cloud.
• Pružanje zasno@@ vano na API-ju — Koristi Vebek „People API“ za programsko kreiranje korisnika i dodeljivanje licenci u složenim okruženjima.
• Nasledni LDAP - Pod ržan za lokalne direktorijume (npr. CUCM), iako manje optimizovan za savremeni saobraćaj u oblaku.

Okviri za autentifikaciju i autorizaciju

• Autentifikacija (AuthN):

• SAML 2.0 —Standard preduzeća za jednokratnu prijavu (SSO). Vebek deluje kao provajder usluga (SP), potvrđujući KSML tvrdnje iz korporativnog IDP-a.
• OIDC (OpenID Connect) - Moderan, lagan sloj identiteta izgrađen na OAuth 2.0 koristeći JSON veb tokene (JVT). Podržava „Discovery URL-ove“ za automatizovanu konfiguraciju.

• Autorizacija (AuthZ):

• OAuth 2.0 —Upravlja pristupom API-ju putem kratkotrajnih pristupnih tokena (definisanje opsega) i dugotrajnih tokena za osvežavanje. On obezbeđuje sigurnost putem PKCE (Proof Kei za razmenu koda) za javne klijente.

Integracija i strategije sa više IDP

Vebek pruža specijalizovane puteve za besprekornu integraciju:

• Entra ID Wizard —Preporučena putanja za Microsoft okruženja. Koristi Microsoft Graph API za naprednu sinhronizaciju atributa (avatari, hijerarhije) i automatizuje OIDC/SAML konfiguraciju.
• Duo Securiti —Dodaje „kontinuiranu sigurnost identiteta“ proverom položaja uređaja i omogućavanjem MFA otpornog na krađu identiteta.

Podrška za više IDP: Vebek omogućava organizacijama da udruže više nezavisnih raseljenih lica unutar jednog kontrolnog centra.

• Slučajevi upotrebe - spajanja, akvizicije ili decentralizovana IT odeljenja.
• Usmeravanje — Zahtevi za autentifikaciju se usmeravaju na osnovu domena ili korisničkih grupa.
• Razmatranje - Zahteva strogu koordinaciju kako bi se održala dosledna bezbednosna politika u svim federalnim izvorima.

Primer najčešćih integracija IDP identiteta sa Vebek-om:

Najbolje prakse i otpornost

• SSO Recoveri — Uvek koristite ugrađenu vezu „SSO Recoveri“ u kontrolnom čvorištu da biste zaobišli SSO putem jednokratne lozinke (OTP) ako konfiguracija IDP ne uspe.
• Upravljanje sertifikatima - Nadgledajte istek SAML sertifikata. SSO čarobnjak automatizuje razmenu metapodataka, smanjujući ručne greške.
• Rešavanje problema — Koristite alatku SAML Tracer da biste pregledali KSML tvrdnje i potvrdili nameID formate ako se pojave problemi sa autentifikacijom.
• Bezbednosni položaj - Redovno poništite zastarele tipove bespovratnih sredstava i osigurajte da se PKCE implementira za sve integracije javnih klijenata.

Zaključak - Identitet za Webex Meetings

Robusna strategija identiteta je kontinuirani proces životnog ciklusa. Kombinovanjem SCIM za obezbeđivanje, OIDC/SAML za autentifikaciju i OAuth za autorizaciju, organizacije mogu da obezbede sigurno iskustvo bez trenja za korisnike uz održavanje stroge administrativne kontrole.

Cisco siguran životni ciklus razvoja

U Cisco-u bezbednost nije naknadna misao. To je disciplinovan pristup izgradnji i isporuci proizvoda i usluga svetske klase od temelja. Svi Cisco ^® timovi za razvoj proizvoda moraju da prate životni ciklus Cisco Secure Development. To je ponovljiv i merljiv proces dizajniran da poveća otpornost i pouzdanost Cisco proizvoda. Kombinacija alata, procesa i obuke o svesti uvedena u svim fazama životnog ciklusa razvoja pomaže u dubinskoj odbrani. Takođe pruža holistički pristup otpornosti proizvoda. Vebek tim za razvoj proizvoda strastveno prati ovaj životni ciklus u svakom aspektu razvoja proizvoda.

Pročitajte više o životnom ciklusu bezbednog razvoja.

Cisco osnovni bezbednosni alati

Cisco organizacija za bezbednost i poverenje pruža proces i potrebne alate koji svakom programeru daju mogućnost da zauzme dosledan stav kada se suoči sa bezbednosnom odlukom.

Posvećeni timovi za izgradnju i pružanje takvih alata uklanja neizvesnost iz procesa razvoja proizvoda.

Neki primeri alata uključuju:

• Osnovni zahtevi sigurnosti proizvoda (PSB) koje proizvodi moraju da ispunjavaju
• Alati za izgradnju pretnji koji se koriste tokom modeliranja pretnji
• Smernice za kodiranje
• Potvrđene ili sertifikovane biblioteke koje programeri mogu da koriste umesto da pišu sopstveni bezbednosni kod
• Alati za testiranje bezbednosnih ranjivosti (za statičku i dinamičku analizu) koji se nakon razvoja koriste za testiranje bezbednosnih nedostataka
• Praćenje softvera koje nadgleda Cisco i biblioteke trećih strana i obaveštava timove proizvoda kada se utvrdi ranjivost

Organizaciona struktura koja usađuje sigurnost u Cisco procese

Cisco ima namenska odeljenja za usađivanje i upravljanje bezbednosnim procesima u celoj kompaniji. Da bi stalno bio u toku sa bezbednosnim pretnjama i izazovima, Cisco se oslanja na:

• Cisco Information Securiti (InfoSec) Cloud tim
• Cisco tim za odgovor na bezbednosne incidente proizvoda (PSIRT)
• Zajednička bezbednosna odgovornost

Cisco InfoSec Cloud

Predvođen glavnim službenikom za bezbednost za Cloud, ovaj tim je odgovoran za isporuku bezbednog Vebek okruženja našim klijentima. InfoSec to postiže definisanjem i sprovođenjem bezbednosnih procesa i alata za sve funkcije uključene u isporuku Vebek-a u ruke naših kupaca.

Pored toga, Cisco InfoSec Cloud sarađuje sa drugim timovima širom Cisca kako bi odgovorio na sve bezbednosne pretnje Vebek usluzi.

Cisco InfoSec je takođe odgovoran za kontinuirano unapređenje Vebek-ovog bezbednosnog položaja.

Cisco tim za odgovor na bezbednosne incidente proizvoda (PSIRT)

Cisco PSIRT je posvećen globalni tim koji upravlja prilivom, istragom i izveštavanjem o bezbednosnim problemima vezanim za Cisco proizvode i usluge. PSIRT koristi različite medije za objavljivanje informacija, u zavisnosti od ozbiljnosti bezbednosnog problema. Vrsta izveštavanja varira u zavisnosti od sledećih uslova:

• Postoje softverske zakrpe ili zaobilazna rešenja za rešavanje ranjivosti ili se planira naknadno javno objavljivanje ispravki koda radi otklanjanja ranjivosti visoke ozbiljnosti
• PSIRT je primetio aktivno iskorištavanje ranjivosti koja bi mogla dovesti do većeg rizika za Cisco kupce. PSIRT može ubrzati objavljivanje bezbednosne najave koja opisuje ranjivost u ovom slučaju bez potpune dostupnosti zakrpa.
• Svest javnosti o ranjivosti koja utiče na Cisco proizvode može dovesti do većeg rizika za Cisco kupce. Opet, PSIRT može upozoriti kupce, čak i bez potpune dostupnosti zakrpa.

U svim slučajevima, PSIRT otkriva minimalnu količinu informacija koje će krajnjim korisnicima trebati da procene uticaj ranjivosti i preduzmu korake potrebne za zaštitu svoje životne sredine. PSIRT koristi skalu zajedničkog sistema ocenjivanja ranjivosti (CVSS) za rangiranje ozbiljnosti otkrivenog problema. PSIRT ne pruža detalje o ranjivosti koji bi nekome mogli omogućiti da napravi eksploataciju.

Više informacija o PSIRT-u potražite u članku Cisco-ov tim za odgovor na bezbednosne incidente.

Odgovornost za bezbednost

Iako je svaka osoba u Vebek grupi odgovorna za sigurnost, glavna pravila su sledeća:

• Glavni službenik za bezbednost, Cloud
• Potpredsednik i generalni direktor, aplikacije za Cisco Cloud saradnju
• Potpredsednik, inženjering, aplikacije za Cisco Cloud saradnju
• Potpredsednik, upravljanje proizvodima, aplikacije za Cisco Cloud saradnju

Interni i spoljni testovi penetracije

Vebek grupa redovno sprovodi rigorozno testiranje penetracije, koristeći interne procenjivače. Pored sopstvenih strogih internih procedura, Cisco InfoSec takođe angažuje više nezavisnih trećih strana da sprovode rigorozne revizije protiv Cisco-ovih internih politika, procedura i aplikacija. Ove revizije su dizajnirane da potvrde kritične bezbednosne zahteve i za komercijalne i za vladine aplikacije. Cisco takođe koristi nezavisne dobavljače za obavljanje stalnih, detaljnih testova penetracije uz pomoć koda i procene usluga. Kao deo angažmana, treća strana vrši sledeće procene bezbednosti:

• Identifikovanje kritičnih ranjivosti aplikacija i usluga i predlaganje rešenja
• Preporuka opštih područja za arhitektonsko poboljšanje
• Identifikovanje grešaka u kodiranju i pružanje smernica o poboljšanjima prakse kodiranja

Treći procenjivači rade direktno sa inženjerskim osobljem Vebek kako bi objasnili nalaze i potvrdili sanaciju. Pogledajte Paket poverenja Webex Meetings Pisma o sertifikaciji za informacije o potvr đivanju testa penetracije.

Fizička sigurnost

Fizička sigurnost u data centru uključuje video nadzor objekata i zgrada i prisilnu dvofaktorsku identifikaciju za ulazak. Unutar Cisco data centara pristup se kontroliše kombinacijom čitača znački i biometrijskih kontrola. Pored toga, kontrole životne sredine (na primer, temperaturni senzori i sistemi za gašenje požara) i infrastruktura kontinuiteta usluga (kao što je rezervna snaga) pomažu da se osigura da sistemi rade bez prekida.

Serveri data centra segmentirani su u „zone poverenja“, na osnovu osetljivosti infrastrukture. Na primer, baze podataka su „u kavezu“, mrežna infrastruktura ima namenske prostorije, a svi stalci opreme su zaključani. Samo Cisco bezbednosno osoblje i ovlašćeni posetioci u pratnji Cisco-ovog osoblja mogu ući u centre podataka.

Ciscova proizvodna mreža je mreža sa velikim poverenjem: samo vrlo malo ljudi sa visokim nivoom poverenja ima pristup mreži.

Bezbednost infrastrukture i platforme

Sigurnost platforme obuhvata sigurnost mreže, sistema i celokupnog Vebek data centra. Svi sistemi prolaze temeljnu bezbednosnu reviziju i validaciju prihvatanja pre primene proizvodnje, kao i redovno tekuće učvršćivanje, bezbednosno zakrpanje i skeniranje i procenu ranjivosti.

Serveri se očvršćuju pomoću smernica za tehničku implementaciju bezbednosti (STIGs) koje je objavio Nacionalni institut za standarde i tehnologiju (NIST). Zaštitni zidovi štite perimetar mreže. Liste kontrole pristupa (ACL) razdvajaju različite sigurnosne zone. Sistemi za otkrivanje upada (IDS) su na snazi, a aktivnosti se kontinuirano potpisuju i prate. Svakodnevno skeniranje interne i eksterne bezbednosti vrši se preko Vebek-a. Svi sistemi su očvrsnuti i zakrpani kao deo redovnog održavanja. Pored toga, skeniranje i procene ranjivosti se obavljaju kontinuirano.

Kontinuitet usluge i oporavak od katastrofe kritične su komponente bezbednosnog planiranja. Dizajn Cisco data centara sa globalnim rezervnim kopijama sajtova i visokom dostupnošću pomaže u omogućavanju geografskog prekida Vebek usluga. Ne postoji nijedna tačka neuspeha.

Administrativni podaci

Informacije o zaposlenima ili predstavnicima kupca ili druge treće strane koje Cisco prikuplja i koristi da bi administrirao ili upravljao isporukom proizvoda ili usluga kompanije Cisco, ili da administrira ili upravlja računom kupca ili treće strane za sopstvene poslovne svrhe kompanije Cisco.

Administrativni podaci mogu uključivati ime, adresu, broj telefona, adresu e-pošte i informacije o ugovornim obavezama između kompanije Cisco i treće strane, bilo da su prikupljeni u trenutku početne registracije ili kasnije u vezi sa upravljanjem ili administracijom Ciscovih proizvoda ili usluga.

Administrativni podaci takođe mogu uključivati naslov sastanka, vreme i druge atribute sastanaka koje su na Vebek-u sproveli zaposleni ili predstavnici kupca. Drugi primeri administrativnih podataka mogu uključivati naslov sastanka, vreme sastanka i druge atribute sastanaka koji se održavaju na Vebek-u.

Podaci o kupcima

Ovo uključuje sve podatke (uključujući tekstualne, audio, video, slikovne datoteke i snimke) koje klijent pruža Cisco u vezi sa korišćenjem Cisco proizvoda ili usluga od strane korisnika, ili koje je Cisco razvio na specifičan zahtev kupca u skladu sa izjavom o radu ili ugovorom.

Podaci o kupcima takođe uključuju datoteke dnevnika, konfiguracije ili firmvera i osnovne deponije.

To su podaci uzeti iz proizvoda ili usluge i dostavljeni Cisco-u kako bi nam pomogli da rešimo problem u vezi sa zahtevom za podršku. Podaci o kupcima ne uključuju administrativne podatke, podatke o podršci ili telemetrijske podatke.

Podaci o podršci

Informacije koje Cisco prikuplja kada kupac podnese zahtev za usluge podrške ili druge rešavanje problema, uključujući informacije o hardveru ili softveru. Uključuje detalje vezane za incident podrške, kao što su informacije o autentifikaciji, informacije o stanju proizvoda, sistem i podaci registra o instalacijama softvera i konfiguracijama hardvera i datoteke za praćenje grešaka. Podaci o podršci ne uključuju datoteke dnevnika, konfiguracije ili firmvera ili osnovne deponije preuzete iz proizvoda i koje su nam dostavljene kako bi nam pomogli da rešimo problem u vezi sa zahtevom za podršku, a svi su primeri podataka o kupcima.

Telemetrijski podaci

Informacije generisane instrumentacijom i sistemima evidentiranja stvorenih korišćenjem i radom proizvoda ili usluge.

Svi podaci prikupljeni u Vebek oblaku zaštićeni su nekoliko slojeva robusnih sigurnosnih tehnologija i procesa. Ispod su primeri kontrola postavljenih u različite slojeve Vebek operacija radi zaštite podataka o kupcima:

• Fizička kontrola pristupa - Fizički pristup se kontroliše putem biometrije, znački i video nadzora. Pristup data centru zahteva odobrenja i upravlja se putem elektronskog sistema za prodaju karata.
• Kontrola pristupa mreži —Perimetar mreže Vebek zaštićen je zaštitnim zidovima. Svaki mrežni saobraćaj koji ulazi ili izlazi iz Vebek data centra kontinuirano se nadgleda pomoću sistema za otkrivanje upada (IDS). Vebek mreža je takođe segmentirana u odvojene sigurnosne zone. Saobraćaj između zona kontroliše se zaštitnim zidovima i listama kontrole pristupa (ACL).
• Kontrole nadgledanja i upravljanja infrastrukturom — Svaka komponenta infrastrukture, uključujući mrežne uređaje, servere aplikacija i baze podataka, očvršćena je strogim smernicama. Takođe su podložni redovnim skeniranjima kako bi se identifikovali i rešili bilo kakvi bezbednosni problemi.
• Kriptografske kontrole — Kao što je ranije napomenuto, svi podaci do i iz Vebek centra podataka do Vebek aplikacija i Vebek uređaja registrovanih u oblaku su šifrovani, osim PSTN saobraćaja i nešifrovanih SIP/H323 video uređaja na sastanku sa omogućenim oblakom. Pored toga, kritični podaci uskladišteni u Vebek-u, kao što su lozinke, su šifrovani.

Zaposleni kompanije Cisco ne pristupaju podacima o kupcima osim ako kupac ne zatraži pristup iz razloga podrške. Pristup sistemima u ovom slučaju dozvoljava menadžer samo u skladu sa principom „segregacije dužnosti“. Dodijeljuje se samo na osnovu potrebe za poznavanjem i sa samo nivoom pristupa potrebnim za obavljanje posla. Pristup zaposlenih ovim sistemima se takođe redovno pregledava radi usklađenosti. Zaposleni sa takvim pristupom moraju da pohađaju godišnju obuku Međunarodne organizacije za standardizaciju (ISO) 27001 o svesti o informacionoj bezbednosti.

Pored ovih specijalizovanih kontrola, svaki zaposleni u Cisco-u prolazi proveru prošlosti, potpisuje Ugovor o neotkrivanju podataka (NDA) i završava obuku Kodeksa poslovnog ponašanja (COBC).

Zakon o prenosivosti i odgovornosti zdravstvenog osiguranja (HIPAA)

Cisco može pružiti informacije o funkcionalnosti, tehnologiji i bezbednosti Vebek-a. Entitet pokriven HIPAA-om morao bi da se konsultuje sa sopstvenim pravnim savetnikom kako bi utvrdio da li je Vebek-ova funkcionalnost usklađena sa njegovim poslovnim procesima i spremna za GDPR.

• GDPR usklađenost
• Otkrivanje Cisco Webex Meetings ponude

Industrijski standardi i sertifikati

Pored poštovanja naših strogih internih standarda, Vebek takođe kontinuirano održava validacije trećih strana kako bi pokazao našu posvećenost bezbednosti informacija. Vebek je:

• ISO 27001, 27017, 27018 i 27701 sertifikovani
• Kontrole organizacije usluga (SOC) 2 Tip II revidirane
• SOC 3 sertifikovan
• Kodeks ponašanja u oblaku
• CSTAR
• Potvrda kataloga kontrola usklađenosti sa računarstvom u oblaku (C5)
• FedRAMP sertifikovan (posetite cisco.com/go/fedramp za više detalja, obim i dostupnost)

Pogledajte Cisco Trust Portal za kompletan skup dokumenata o bezbednosti, privatnosti i usaglašenosti, uključujući detalje o gore navedenim standardima i sertifikatima.