Hvala na povratnim informacijama.

Osnovne usluge i komponente Vebek sastanaka

• Vebek sastanci su deo Vebek Suite-a, pružajući audio / video konferencije sa deljenjem sadržaja i mogućnostima veb konferencija.
• Platforma uključuje više mikroservisa kao što su Meetings Service, Vebinar Service, Identiti Service, Recording Service, AI Assistant service, Analytics Service, Admin Service i Media Service.
• Vebek sastanci podržavaju aplikacije i uređaje registrovane u oblaku, omogućavajući korisnicima da se pridruže sastancima sa različitih OS platformi i uređaja. Korisnici se takođe mogu pridružiti sastancima putem PSTN-a i sa krajnjim tačkama SIP-a.

Arhitektura i raspoređivanje

• Usluge Vebek sastanaka su regionalizovane i replicirane u više nezavisnih centara za podatke kako bi se osigurala redundantnost i visoka dostupnost.
• Medijske usluge su globalno distribuirane sa klasterima medijskih servera u svakom data centru, pružajući lokalnu i geografsku redundantnost.
• Medijski serveri obrađuju glas, video i deljenje sadržaja, a mediji se obično šifriraju pomoću AES-256-GCM.
• Arhitektura podržava šifrovanu signalizaciju preko TLS / HTTPS i šifrovanih medijskih tokova.

Vebek podržava pridruživanje sastancima sa više platformi i uređaja, uključujući:

• Vebek desktop aplikacija na Vindovs, Mac i Linuk.
• Vebek mobilna aplikacija na Androidu i iOS-u.
• Vebek veb aplikacija koja koristi Chrome, Edge, Safari, Firefok i druge pretraživače.
• Cisco sobni uređaji i stolni uređaji.
• Nezavisne SIP standarde zasnovane na audio i video krajnjim tačkama.
• PSTN uređaji.

Suverenitet Vebek kupaca

Kao odgovor na rastuću potražnju za prebivalištem podataka, Vebek je uveo poboljšane mogućnosti suvereniteta. Počevši od snimanja i uz podršku za više usluga koje dolaze, organizacije sada mogu da zadrže kontrolu nad sadržajem sastanka sa:

• Lokalizovana obrada—Obrada sadržaja sastanka, kao što su snimci, u okviru sopstvene infrastrukture.
• On-Premises Storage—Koristeći sopstvene usluge skladištenja datoteka za smeštaj osetljivih sredstava za sastanke, obezbeđujući da podaci ostanu unutar određenih geografskih ili organizacionih granica.

Ultra sigurni Vebek sastanci

Istorijski gledano, "Ultra Secure" funkcije, kao što je Zero Trust End-to-End Enkripcija (EKSNUMKSE), često su zahtijevale kompromis u funkcionalnosti sastanaka, jer su usluge sa dodatnom vrijednošću zasnovane na oblaku zahtijevale pristup ključevima za šifriranje, a samo ograničen broj tipova krajnjih tačaka mogao bi se pridružiti ovim sastancima. Vebek je eliminisao ovaj kompromis sa:

• Zero-Trust bogat funkcijama - Webex je transformisao Zero Trust End-to-End Encrypted (E2EE) sastanke, dodajući funkcionalnost koja čini Zero Trust sastanke bogatim funkcijama. Podrška za veći broj tipova krajnjih tačaka pruža besprekorno iskustvo bez žrtvovanja alata neophodnih za modernu saradnju.
• Zero Trust za standardne sastanke - Webex je integrisao Zero Trust E2EE mogućnosti direktno u standardne sastanke. Ovo osigurava da čak i svakodnevna saradnja može imati koristi od najviših nivoa sigurnosti, pružajući konzistentnu zaštitu u čitavom Vebek ekosistemu.

Jedinstven pristup saradnji

Integrišući suverenitet kupaca sa ovim naprednim mogućnostima Zero Trust EKSNUMKSEE, Vebek osnažuje organizacije da postignu dvostruki cilj: hosting visoko sigurnih, Zero Trust sastanaka unutar Vebek oblaka, zadržavajući potpunu kontrolu nad obradom i skladištenjem kritičnog sadržaja sastanka u prostorijama. Ova sinergija pruža fleksibilnost i sigurnost neophodnu za moderna poslovna okruženja vođena usklađenošću.

Proširenje bezbednosne granice sa Video Mesh Node

Dodavanje Video Mesh čvora u organizaciju omogućava korisnicima da pružaju usluge sastanaka u prostorijama i omogućavaju njihovim lokalnim krajnjim tačkama da se pridruže bilo kojem sastanku Vebexa. Iz bezbednosne perspektive, integrisanje Video Mesh Node-a održava Zero Trust unutar Vebek oblaka, a istovremeno nudi paritet skoro karakteristika sa standardnim Vebek sastancima. Korisnici takođe imaju koristi od suvereniteta podataka, jer se usluge kao što su Video Mesh Node snimci sastanaka obrađuju i čuvaju u prostorijama.

Korišćenje end-to-end enkripcije Zero Trust može dodati nekoliko dodatnih sekundi za pridruživanje sastanku, ali pruža jasnu sigurnosnu garanciju — samo učesnici sastanka imaju pristup ključevima za šifrovanje sastanka, tako da sadržaj sastanka ne može biti dešifrovan od strane provajdera usluga ili drugih posrednika.

Rezime: Vebek sastanci i hibridni modeli primene

Kao što je prikazano u gornjem poređenju, primena Video Mesh Node-a (VMN) omogućava Zero Trust Vebek sastancima da postignu paritet sa standardnim Vebek sastancima. Iako sastanci Zero Trust ne podržavaju učesnike PSTN-a, veb-bazirana aplikacija Veb-a služi kao široko dostupna alternativa za end-to-end šifrovani pristup. Osim toga, VMN omogućava kancelarijskim radnicima koji koriste stolne telefone da se neprimetno pridruže sastancima Zero Trust.

Video Mesh Node takođe obezbeđuje suverenitet podataka za kritični sadržaj sastanka, uključujući snimke i - u bliskoj budućnosti - transkripte, rezimee i akcione stavke. Obradom i čuvanjem ovih podataka u prostorijama, VMN pruža korisnicima potpunu kontrolu nad njihovim informacijama uz održavanje Zero Trust arhitekture unutar Vebek oblaka.

Šifrovana Vebek signalizacija

Vebek usluge podržavaju TLS verzije 1.2 i 1.3, a TLS 1.3 je poželjan kada ga podržava krajnja tačka povezivanja. Ako klijent podržava samo TLS KSNUMKS, Vebek server bira najjači zajednički paket za šifrovanje koji nudi klijent. Za razliku od TLS 1.2, TLS 1.3 ne koristi izbor paketa za šifrovanje servera jer se oslanja na manji, kurirani skup modernih šifri. Ovaj dizajn pojednostavljuje proces selekcije, fokusirajući se više na poboljšanja performansi kao što je smanjenje ukupne dužine rukovanja, uz održavanje jake sigurnosti. Paketi za šifrovanje za TLS KSNUMKS i KSNUMKS koje koristi Vebek su dobro definisani i prioritetni kako bi se osigurala sigurna komunikacija.

TLS Cipher Suites

TLS KSNUMKS paketi za šifrovanje (TLS KSNUMKS serveri ne koriste redosled preferencija za izbor paketa)

TLS KSNUMKS paketi za šifrovanje (apartmani u redosledu po želji servera)

AES_256_CBC i AES_128_CBC šifrovane šifre su podržane kako bi se održala kompatibilnost sa nasleđenim sistemima, starijim pretraživačima i ugrađenim uređajima koji ne podržavaju moderne AEAD (Authenticated Encryption with Associated Data) šifre kao što su AES-GCM, npr. Internet Explorer 11 na Vindovs 7 i Windows 8.1, Safari 6/7/8 na ranim iOS i MacOS izdanjima koriste CBC bazirane šifre.

CHACHA20_POLY1305 je stream šifra koja ima nisku zavisnost od hardvera, što ga čini superiornom šifrom za korišćenje na mobilnim uređajima ili uređajima sa procesorima male snage.

Standardi za šifrovanje medija za Vebek

Vebek sastanci i pozivi koriste robusnu enkripciju zasnovanu na AES-u za sve medijske pakete. Specifični paket šifri zavisi od tipa krajnje tačke, a AES-256-GCM služi kao preferirani standard za optimalnu sigurnost.

Ključna bezbednosna razmatranja

• Preferirani standard - AES-256-GCM je preporučena šifra za sve implementacije kako bi se osigurao najviši nivo integriteta i poverljivosti podataka.
• Interoperabilnost - Dok Webex održava podršku za nasleđene šifre (kao što je AES-CM-128-HMAC-SHA1) kako bi se osigurala interoperabilnost sa SIP i H.323 sistemima nezavisnih proizvođača, organizacije koje daju prioritet arhitekturi nultog poverenja treba da primenjuju AES-256-GCM tamo gde kompatibilnost uređaja dozvoljava.

Protokoli za prenos medija

Vebek podržava transport medija preko UDP-a, TCP-a ili TLS-a. Za optimalne glasovne i video performanse, Cisco snažno preporučuje UDP.

Razmatranja performansi:

• Efikasnost u realnom vremenu - UDP je preferirani transport za medije u realnom vremenu jer minimizira kašnjenje i podrhtavanje izbegavajući mehanizme retransmisije i baferovanja koji su svojstveni protokolima orijentisanim na vezu.
• Uticaj TCP/TLS—Dok TCP i TLS pružaju pouzdanu, naručenu isporuku podataka, ovo ponašanje je kontraproduktivno za medije u realnom vremenu. Dobijeni paketi retransmisije i baferovanje toka uvode kašnjenje i podrhtavanje, što može značajno pogoršati kvalitet iskustva za učesnike

Vebek upotreba SRTP-a i SFrame-a za medije

Da bi se održali visoki bezbednosni standardi potrebni za VebekZero Trust okruženja, važno je razlikovati bezbednost na nivou transporta (SRTP) i end-to-end enkripciju aplikativnog sloja (SFrame).

Ključne tehničke razlike—SRTP & SFrame

1. SRTP (Secure Real-time Transport Protocol)

   SRTP je industrijski standard za obezbeđivanje medijskih tokova u tranzitu.

   • Opseg—Obezbeđuje poverljivost, autentifikaciju poruke i zaštitu od ponovnog igranja za RTP korisni teret.
   • Operativni kontekst—U mnogim arhitekturama, Media Server/Media Gateway (Selective Forwarding Unit (SFU)) prekida SRTP vezu za obavljanje obrade medija (na primer, mešanje, kompozicija rasporeda ili transkodiranje). Pošto SFU dešifruje medije da bi ih obradio, mediji su tehnički ranjivi na SFU tački.
2. SFrame (Secure Frame)

   SFrame je IETF standard. RFC 9605 je dizajniran posebno da olakša istinsku end-to-end enkripciju u višestranom konferencijskom okruženju.

   • Opseg—Šifrira paketizovane medijske okvire pre nego što su inkapsulirani u RTP pakete. Vebek dodaje dodatni sloj enkripcije koristeći SRTP.
   • Zero Trust Architecture—Pošto su mediji šifrovani na aplikativnom sloju, SFU deluje samo kao "slepi" relej. On usmerava šifrovane pakete drugim učesnicima bez ikakvog pristupa ključevima za dešifrovanje.
   • Nezavisnost—SFrame je transportno-agnostik. Ostaje siguran čak i ako je osnovni transport (UDP / TCP / TLS) ugrožen, jer je sigurnosni kontekst vezan za krajnje tačke učesnika, a ne za transportnu vezu.

SFrame je kritični mehanizam koji omogućava E2EE. Dok SRTP obezbeđuje da su podaci šifrovani tokom prelaska mreže, SFrame osigurava da mediji ostaju šifrovani tokom čitavog životnog ciklusa sastanka, uključujući i dok se nalazi na Cisco infrastrukturi (SFU), efikasno uklanjajući provajdera usluga sa granice poverenja.

Sadržaj Vebek sastanaka

Sadržaj sastanka sastoji se od podataka koje su kreirali učesnici ili generisali Vebek usluge u ime domaćina sastanka. Ovo uključuje:

• Sadržaj vezan za medije – snimci, transkripti, rezimei i akcije.
• Podaci o saradnji – poruke za ćaskanje, deljene / prenesene datoteke, bele table i napomene.

Bezbednost sadržaja Vebek sastanaka - Vebek end-to-end enkripcija

Vebek obezbeđuje sadržaj sastanka koji generišu učesnici koristeći robustan end-to-end enkripcija (EKSNUMKSEE) okvir. Centralna za ovu arhitekturu je Vebek Kei Management Service (KMS), koja je odgovorna za generisanje, distribuciju i upravljanje ključevima za šifrovanje za sve sadržaje koje generišu korisnici.

Sigurnosni slojevi sadržaja sastanka

• Podaci u tranzitu - Webex App i Cisco video uređaji koriste Webex end-to-end enkripciju (E2EE) sa AES-256-GCM za šifrovanje sadržaja sastanka koji generišu korisnici kao što su datoteke za snimanje, AI rezime datoteka, chat poruke itd. Ovo je dalje inkapsulirano u okviru Transport Laier Securiti (TLS) kako bi se obezbedila dvoslojna zaštita tokom prenosa.
• Podaci u mirovanju - Jednom kada se čuvaju u Webex oblaku, šifrovani sadržaj je dodatno zaštićen AES-256-GCM enkripcijom diska.
• Profil zaštite—Ovaj pristup štiti sadržaj od presretanja TLS-a tokom tranzita i osigurava da pohranjeni podaci ostanu nedostupni neovlašćenim akterima u okruženju oblaka.

Vebek end-to-end enkripcija sa pristupom upravljanom sadržaju za osnovne usluge

Za razliku od Zero Trust end-to-end enkripcije, gde Vebek nema pristup medijima ili ključevima za šifrovanje sadržaja, Vebek end-to-end enkripcija omogućava platformi da koristi ključeve generisane Vebek KMS-om za dešifrovanje podataka za osnovne osnovne usluge. Ovaj upravljani pristup omogućava:

• Pretraga i indeksiranje—Omogućava korisnicima da pretražuju istoriju sadržaja.
• Usklađenost i upravljanje—Omogućava sprečavanje gubitka podataka (DLP), eDiscovery, i arhiviranje podataka.
• Optimizacija medija—Podržava transkodiranje datoteka za kompatibilnost sa više uređaja.
• Bezbednost—Olakšava skeniranje zlonamernog softvera pomoću Proširenog bezbednosnog paketa.

Metapodaci Vebk sastanaka

Metapodaci o sastancima sastoje se od administrativnih i tehničkih informacija koje generiše sistem kako bi olakšao, pratio i upravljao sastankom, a ne stvarni sadržaj (audio, video ili deljene datoteke) samog sastanka. Metapodaci se mogu podeliti u nekoliko kategorija:

• Informacije o sesiji – Naziv sastanka, ID sastanka, zakazano vreme početka i završetka i stvarno trajanje sastanka.
• Podaci o učesnicima—Lista pozvanih i stvarnih učesnika, njihove IP adrese, tipovi uređaja (kao što su Windows, iPhone, Cisco Room Kit) i njihove vremenske oznake za pridruživanje/odlazak.
• Metrika korišćenja i kvaliteta – podaci koji se koriste za rešavanje problema, kao što su gubitak paketa, podrhtavanje, kašnjenje i rezolucija video streama.

Kako se koriste metapodaci

1. Analitika i izveštavanje—Administratori koriste metapodatke u WebexControl Hub-u da vide koliko sastanaka se dešava, koja odeljenja su najaktivnija i ukupan kvalitet iskustva.
2. Rešavanje problema—Cisco TAC (Technical Assistance Center) koristi metapodatke za identifikaciju i rešavanje problema sa sastancima.
3. Usklađenost i eDiscovery—Službenici za usklađenost mogu pretraživati metapodatke kako bi dokazali da je sastanak održan, ko je bio tamo i da li je snimljen, čak i ako ne mogu da vide šifrovani sadržaj sastanka.
4. Bezbednost—Metapodaci pomažu u identifikaciji pokušaja neovlašćenog pristupa ili neobičnih obrazaca koji mogu ukazivati na bezbednosnu pretnju.

Bezbednost i privatnost metapodataka

• Enkripcija—Iako metapodaci nisu "end-to-end šifrovani", oni su i dalje šifrovani u tranzitu (koristeći TLS) i u mirovanju u Cisco sigurnim data centrima.
• Kontrola pristupa – Ciscova pravila o privatnosti strogo ograničavaju ko može da pristupi ovim metapodacima, a koristi se za pružanje i poboljšanje usluge.

Za više informacija o sadržaju i metapodacima Vebek sastanaka, pogledajte Obelodanjivanje ponuda Vebek sastanaka.

Dodeljivanje tipova sesija sastanaka korisnicima

Administratori Vebek Control Hub-a mogu dodeliti jedan ili više tipova sastanaka koje njihovi korisnici mogu koristiti za zakazane sastanke. Po defaultu, svim korisnicima su dodeljeni Pro Meeting i Pro-End to End Encryption_VoIPonly tipovi sastanaka.

Zakažite sastanak – izaberite vrstu sastanka

Korisnici mogu da izaberu tip sastanka koji žele da koriste prilikom zakazivanja sastanka iz Vebek App-a, Vebek User Page i Vebek Email Add-In za Microsoft Outlook.

Zakažite sastanak - Izaberite vrstu sastanka u aplikaciji Vebex

Zakažite sastanak - izaberite tip sastanka sa veb korisničke stranice

Podesite podrazumevani tip sastanka

Korisnici mogu da podese podrazumevani tip sastanka iz Podešavanja sastanaka > na svojoj korisničkoj stranici Vebek.

Podesite podrazumevani tip sastanka sa stranice Vebek korisnika

Zero Trust - End-to-End Identiti i Deepfake prevencija

Sertifikati o identitetu krajnjeg korisnika koje pružaju kupci su kamen temeljac sprečavanja lažnog predstavljanja na Vebek end-to-end šifrovanim (EKSNUMKSEE) sastancima. Za razliku od tradicionalnih mehanizama za blokiranje deepfake-a koji se oslanjaju na analizu audio i video tokova, ovaj pristup obezbeđuje kriptografsku validaciju identiteta na mestu prijema. Ovaj verifikovani status se prikazuje direktno u spisku sastanaka, pružajući transparentnost svim učesnicima.

Vebeks je proširio svoju podršku za sertifikate kojima upravljaju kupci - ranije dostupne na RoomOS uređajima - na Vebek aplikaciju kao deo naše funkcije "Deepfake prevencija". Organizacije mogu da obezbede i upravljaju sopstvenim digitalnim sertifikatima, koje izdaju pouzdani spoljni sertifikati (CA) koristeći standardne protokole kao što je ACME. Ovi sertifikati, zasnovani na Ks.509 standardima i ECDSA P-256 parovima ključeva, pružaju kriptografski dokaz identiteta učesnika tokom sastanaka E2EE.

End-to-End verifikovani identitet i MLS protokol

Protokol Messaging Laier Securiti (MLS) koristi standardne Ks.KSNUMKS sertifikate za autentifikaciju učesnika sastanka. Sertifikat je digitalno potpisana izjava od pouzdanog CA koja potvrđuje identitet vlasnika ključa za potpisivanje. Učesnici dobijaju ove sertifikate kroz dva osnovna metoda:

• Upravljani uređaji (sertifikati koje pruža korisnik) – Za desktop i mobilne klijente kojima upravlja organizacija, na uređaj se može instalirati sertifikat identiteta od pouzdanog CA Kada se korisnik prijavi pomoću Single Sign-On (SSO), Vebek App preuzima ovaj sertifikat iz prodavnice poverenja OS-a kako bi predstavio verifikovani identitet korisnika. Ovaj proces je takođe podržan za Cisco video uređaje registrovane u Vebek oblaku.
• Podrazumevano (sertifikati obezbeđeni od strane Vebeksa) - Ako nije dostupan sertifikat koji je obezbedio korisnik, Vebeks klijent ili uređaj automatski koristi sertifikat koji je izdao Vebek autoritet za sertifikate, koji odražava identitet verifikovan od strane Cisco-a.

Deljenje identiteta i rezervni mehanizam

Tokom sastanka, svaki učesnik deli svoj sertifikat o identitetu Vebeksa i, ako je dostupan, sertifikat o identitetu koji je obezbedio klijent sa svim ostalim učesnicima. Da bi se osigurala besprekorna povezanost, Vebek krajnja tačka prati strogu hijerarhiju: daje prioritet sertifikatu kupca za verifikaciju; ako taj sertifikat nedostaje ili ne prođe validaciju, sistem se automatski vraća na sertifikat identiteta koji pruža Vebek.

Prikazivanje statusa verifikacije identiteta korisnika

Kada se učesnici pridruže sastanku koristeći Vebek App ili RoomOS uređaje sa sertifikatima koje pružaju kupci, njihov identitet verifikuju drugi članovi sastanka u odnosu na izdavanje CA. Ovo osigurava da se prepoznaju samo ovlašćeni korisnici, sprečavajući napadače da se lažno predstavljaju kao legitimni učesnici, jer su ovi sertifikati jedinstveno vezani za verifikovane identitete i ne mogu biti falsifikovani od strane Cisco ili posrednika.

Lista učesnika na sastanku E2E-šifrovanom prikazuje status verifikacije identiteta svakog korisnika:

• Zero-Trust E2E Verified ( domain.com )—Kada se koristi sertifikat identiteta koji je obezbedio kupac, domen učesnika se prikazuje plavim tekstom. Ovo ukazuje na pravi E2E- verifikovani identitet sa kojim Cisco ne može da se meša. Na primer, u spisku sastanaka, možda ćete videti da "Kevin" ima verifikovanu adresu e-pošte od example.com u plavo.
• Webex-Verified ( domain.com) - Sertifikati koje izdaje Webex CA pružaju ograničeniji nivo zaštite. Iako su superiorniji od toga da nemaju zaštitu identiteta, ovi učesnici nisu označeni kao "Zero Trust E2E verifikovan". Umesto toga, njihov status identiteta je prikazan u sivom tekstu, što ukazuje na to da je identitet verifikovan od strane Vebek CA.
• Nepotvrđeni gost korisnik ( Nepotvrđeno) – Iako identitet gostujućih učesnika nije autentifikovan (jer ne postoji proces prijavljivanja), i dalje im je potreban sertifikat da bi se pridružili MLS grupi za poziv ili sastanak. Ovaj sertifikat izdaje Vebek CA i koristi "anonimno" kao korisničko ime.

Pored toga, sigurnosni kod sastanka izveden iz kriptografskog stanja svih učesnika pomaže u otkrivanju napada osoba u sredini omogućavajući učesnicima da potvrde da svi dele isti siguran kontekst sastanka. Kombinovanjem kriptografske verifikacije identiteta sa end-to-end enkripcijom, ova funkcija "Deepfake prevencija" nudi robusnu odbranu od lažnog predstavljanja i sintetičkih medijskih pretnji, štiteći integritet i poverljivost sastanka na Vebek App i RoomOS uređajima.

Upravljanje uvođenjem sertifikata

Organizacije mogu pojednostaviti uvođenje i upravljanje ovim sertifikatima identiteta krajnjih korisnika koje pružaju kupci tako što će ih instalirati u korporativno upravljane uređaje koristeći Mobile Device Management (MDM), Mobile Application Management (MAM) ili Enterprise Mobiliti Management (EMM) aplikacije. Ove platforme za upravljanje omogućavaju IT administratorima da centralno obezbeđuju, konfigurišu i kontrolišu sertifikate i srodne bezbednosne politike u širokom spektru uređaja, bilo da su u vlasništvu korporacije ili u ličnom vlasništvu. Na primer, Microsoft Intune podržava i MDM i MAM mogućnosti koje omogućavaju organizacijama da primenjuju i upravljaju Vebek aplikacijom i njenim bezbednosnim konfiguracijama, uključujući sertifikate identiteta, na upravljanim uređajima. Slično tome, Cisco Meraki Sistems Manager pruža MDM mogućnosti za upis uređaja, push konfiguracione profile i postavljanje sertifikata kako bi se osigurao status pouzdanog uređaja. Korišćenje ovih rešenja za upravljanje smanjuje administrativne troškove, pojednostavljuje upravljanje životnim ciklusom sertifikata i poboljšava bezbednosni položaj za Vebek EKSNUMKSEE sastanke sa funkcijama "Deepfake prevencije".

Tri stuba identiteta

Efektivno upravljanje identitetom i pristupom (IAM) za Vebek se oslanja na:

• Provisioning (CRUD)—Upravljanje životnim ciklusima korisnika (kreiranje, čitanje, ažuriranje, brisanje) kako bi se osiguralo da "izvor istine" odgovara platformi za saradnju.
• Autentikacija (AuthN)—Provera identiteta korisnika putem sigurnih akreditiva ili tokena.
• Autorizacija (AuthZ)—Definisanje granularnih dozvola i nivoa pristupa API-ju nakon autentifikacije.

Obezbeđivanje i upravljanje životnim ciklusom

Vebek podržava nekoliko metoda za sinhronizaciju korisnika i grupa:

• SCIM 2.0—Preferirani standard oblaka. Automatizuje životni ciklus korisnika, obezbeđujući isključivanje u IdP-u automatski opoziva pristup Vebek-u.
• Konektor direktorijuma - Cisco alat za hibridna okruženja, koji premošćuje lokalni Active Directory (AD) na Webex Cloud.
• Obezbeđivanje zasnovano na API-ju - Koristi Webex "People API" za programsko kreiranje korisnika i dodeljivanje licenci u složenim okruženjima.
• Nasleđeni LDAP—Podržan za lokalne direktorijume (npr. CUCM), iako manje optimizovan za savremeni saobraćaj u oblaku.

Okviri za autentifikaciju i autorizaciju

• Autentikacija (AuthN):

• SAML 2.0—Poslovni standard za Single Sign-On (SSO). Vebek deluje kao provajder usluga (SP), potvrđujući KSML tvrdnje iz korporativnog IdP-a.
• OIDC (OpenID Connect)—Moderan, lagan sloj identiteta izgrađen na OAuth 2.0 koristeći JSON Veb Tokens (JWTs). Podržava "Discoveri URL-ove" za automatsku konfiguraciju.

• Ovlašćenje (AuthZ):

• OAuth 2.0—Upravlja pristupom API-ju preko kratkotrajnih pristupnih tokena (definisanje opsega) i dugotrajnih Refresh Tokena. On sprovodi sigurnost preko PKCE (Proof Kei for Code Exchange) za javne klijente.

Integracija i Multi-IDP strategije

Vebek obezbeđuje specijalizovane puteve za besprekornu integraciju:

• Čarobnjak za Entra ID—Preporučena putanja za Microsoft okruženja. Koristi Microsoft Graph API za naprednu sinhronizaciju atributa (avatari, hijerarhije) i automatizuje OIDC / SAML konfiguraciju.
• Duo Security—Dodaje "Continuous Identity Security" verifikacijom položaja uređaja i omogućavanjem MFA otpornog na phishing.

Višestruki IDP podrška:Vebek omogućava organizacijama da udruže više nezavisnih IDP-ova unutar jednog kontrolnog čvorišta.

• Slučajevi upotrebe—Spajanja, akvizicije ili decentralizovana IT odeljenja.
• Routing – zahtevi za autentifikaciju se usmeravaju na osnovu domena ili korisničkih grupa.
• Razmatranje—Zahteva strogu koordinaciju kako bi se održala konzistentna bezbednosna politika u svim federalnim izvorima.

Primer najčešćih integracija identiteta IDP-a sa Vebeksom:

Najbolje prakse i otpornost

• DZS oporavak—Uvek koristite ugrađeni "DZS oporavak" link u kontrolnom čvorištu da zaobiđe DZS preko jednokratne lozinke (OTP) ako IdP konfiguracija ne uspe.
• Upravljanje sertifikatima—Pratite istek SAML sertifikata. DZS čarobnjak automatizuje razmenu metapodataka, smanjujući ručne greške.
• Rešavanje problema—Koristite alat SAML Tracer da pregledate XML tvrdnje i potvrdite NameID formate ako se pojave problemi sa autentifikacijom.
• Bezbednosni položaj – redovno zastarevaju nasleđene tipove grantova i osigurajte da se PKCE implementira za sve integracije javnih klijenata.

Zaključak - Identitet za Webex sastanke

Robusna strategija identiteta je kontinuirani proces životnog ciklusa. Kombinovanjem SCIM-a za obezbeđivanje, OIDC / SAML za autentifikaciju i OAuth za autorizaciju, organizacije mogu osigurati sigurno iskustvo bez trenja za korisnike uz održavanje stroge administrativne kontrole.

Životni ciklus Cisco sigurnog razvoja

U Ciscu, sigurnost nije naknadna misao. To je disciplinovan pristup izgradnji i isporuci proizvoda i usluga svetske klase iz temelja. Svi^® timovi za razvoj Cisco proizvoda su obavezni da prate Cisco Secure Development Lifecicle. To je ponovljiv i merljiv proces dizajniran da poveća otpornost i pouzdanost Cisco proizvoda. Kombinacija alata, procesa i obuke za podizanje svijesti uvedena u svim fazama životnog ciklusa razvoja pomaže u osiguravanju dubinske odbrane. Takođe pruža holistički pristup otpornosti proizvoda. Tim za razvoj proizvoda Vebek strastveno prati ovaj životni ciklus u svakom aspektu razvoja proizvoda.

Pročitajte više o životnom ciklusu sigurnog razvoja.

Cisco osnovni bezbednosni alati

Cisco organizacija za bezbednost i poverenje obezbeđuje proces i neophodne alate koji svakom programeru daju mogućnost da zauzme dosledan stav kada se suočava sa bezbednosnom odlukom.

Imati posvećene timove za izgradnju i pružanje takvih alata uklanja neizvesnost iz procesa razvoja proizvoda.

Neki primeri alata uključuju:

• Osnovni zahtevi za bezbednost proizvoda (PSB) sa kojima proizvodi moraju biti u skladu
• Alati za graditelje pretnji koji se koriste tokom modeliranja pretnji
• Smernice za kodiranje
• Potvrđene ili sertifikovane biblioteke koje programeri mogu koristiti umesto pisanja sopstvenog sigurnosnog koda
• Alati za testiranje bezbednosnih ranjivosti (za statičku i dinamičku analizu) koji se koriste nakon razvoja za testiranje bezbednosnih nedostataka
• Praćenje softvera koji prati Cisco i biblioteke nezavisnih proizvođača i obaveštava timove proizvoda kada se identifikuje ranjivost

Organizaciona struktura koja uvodi sigurnost u Cisco procese

Cisco ima namenska odeljenja koja usvajaju i upravljaju bezbednosnim procesima u celoj kompaniji. Da bi stalno bio u toku sa bezbednosnim pretnjama i izazovima, Cisco se oslanja na:

• Cisco Information Securiti (InfoSec) Cloud tim
• Cisco tim za odgovor na bezbednosne incidente proizvoda (PSIRT)
• Zajednička odgovornost za bezbednost

Cisco InfoSec Oblak

Predvođen glavnim službenikom za bezbednost za Cloud, ovaj tim je odgovoran za pružanje sigurnog Vebek okruženja našim klijentima. InfoSec to postiže definisanjem i sprovođenjem bezbednosnih procesa i alata za sve funkcije koje su uključene u isporuku Vebek-a u ruke naših kupaca.

Pored toga, Cisco InfoSec Cloud radi sa drugim timovima širom Cisco-a kako bi odgovorio na bilo kakve bezbednosne pretnje Vebek servisu.

Cisco InfoSec je takođe odgovoran za kontinuirano poboljšanje bezbednosnog položaja Vebek-a.

Cisco tim za odgovor na bezbednosne incidente proizvoda (PSIRT)

Cisco PSIRT je posvećeni globalni tim koji upravlja prilivom, istragom i izveštavanjem o bezbednosnim pitanjima vezanim za Cisco proizvode i usluge. PSIRT koristi različite medije za objavljivanje informacija, u zavisnosti od težine bezbednosnog problema. Vrsta izveštavanja varira u zavisnosti od sledećih uslova:

• Softverske zakrpe ili zaobilaznice postoje za rešavanje ranjivosti, ili se planira naknadno javno objavljivanje ispravki koda za rešavanje ranjivosti visoke ozbiljnosti
• PSIRT je primetio aktivnu eksploataciju ranjivosti koja bi mogla dovesti do većeg rizika za Cisco korisnike. PSIRT može ubrzati objavljivanje sigurnosnog saopštenja koje opisuje ranjivost u ovom slučaju bez potpune dostupnosti zakrpa.
• Javna svest o ranjivosti koja utiče na Cisco proizvode može dovesti do većeg rizika za Cisco korisnike. Opet, PSIRT može upozoriti kupce, čak i bez potpune dostupnosti zakrpa.

U svim slučajevima, PSIRT otkriva minimalnu količinu informacija koje će krajnjim korisnicima trebati da procene uticaj ranjivosti i da preduzmu korake potrebne za zaštitu svoje životne sredine. PSIRT koristi Common Vulnerability Scoring Sistem (CVSS) skalu za rangiranje ozbiljnosti otkrivenog problema. PSIRT ne pruža detalje o ranjivosti koji bi mogli omogućiti nekome da napravi eksploataciju.

Za više informacija o PSIRT-u, pogledajte Cisco Product Security Incident Response Team.

Bezbednosna odgovornost

Iako je svaka osoba u Vebek grupi odgovorna za bezbednost, glavna pravila su sledeća:

• Glavni službenik za bezbednost, Cloud
• Potpredsednik i generalni direktor, Cisco Cloud Collaboration Applications
• Potpredsednik, inženjering, Cisco Cloud Collaboration Applications
• Potpredsednik, upravljanje proizvodima, Cisco Cloud Collaboration Applications

Interni i eksterni testovi penetracije

Vebek grupa redovno sprovodi rigorozno testiranje penetracije, koristeći interne procenjivače. Pored sopstvenih strogih internih procedura, Cisco InfoSec takođe angažuje više nezavisnih trećih strana da sprovedu rigorozne revizije protiv Cisco internih politika, procedura i aplikacija. Ove revizije su dizajnirane da potvrde kritične bezbednosne zahteve za komercijalne i vladine aplikacije. Cisco takođe koristi nezavisne prodavce za obavljanje tekućih, dubinskih, kodom potpomognutih testova penetracije i procena usluga. Kao deo angažmana, treća strana vrši sledeće bezbednosne procene:

• Identifikovanje kritičnih ranjivosti aplikacija i usluga i predlaganje rešenja
• Preporučivanje opštih oblasti za arhitektonsko poboljšanje
• Identifikovanje grešaka u kodiranju i pružanje uputstava za poboljšanje prakse kodiranja

Nezavisni procenjivači rade direktno sa Vebek inženjerskim osobljem kako bi objasnili nalaze i potvrdili sanaciju. Pogledajte Vebek sastanke Letters of Attestation Trust Package za informacije o potvrđivanju testa penetracije.

Fizička bezbednost

Fizička bezbednost u data centru uključuje video nadzor za objekte i zgrade i sprovođenu dvofaktorsku identifikaciju za ulazak. Unutar Cisco data centara, pristup se kontroliše kroz kombinaciju čitača znački i biometrijskih kontrola. Pored toga, kontrole životne sredine (na primer, temperaturni senzori i sistemi za suzbijanje požara) i infrastruktura kontinuiteta usluga (kao što je rezervna kopija napajanja) pomažu da se osigura da sistemi rade bez prekida.

Serveri data centra su podeljeni u "zone poverenja", na osnovu osetljivosti infrastrukture. Na primer, baze podataka su "u kavezu", mrežna infrastruktura ima namenske prostorije, a svi stalci za opremu su zaključani. Samo Cisco bezbednosno osoblje i ovlašćeni posetioci u pratnji Cisco osoblja mogu ući u data centre.

Cisco-ova proizvodna mreža je visoko pouzdana mreža: samo vrlo mali broj ljudi sa visokim nivoom poverenja ima pristup mreži.

Bezbednost infrastrukture i platforme

Sigurnost platforme obuhvata sigurnost mreže, sistema i ukupnog Vebek data centra. Svi sistemi prolaze kroz detaljan bezbednosni pregled i validaciju prihvatanja pre primene proizvodnje, kao i redovno tekuće učvršćivanje, bezbednosno krpanje i skeniranje i procenu ranjivosti.

Serveri su ojačani korišćenjem Smernica za bezbednosnu tehničku implementaciju (STIG) koje je objavio Nacionalni institut za standarde i tehnologiju (NIST). Zaštitni zidovi štite mrežni perimetar. Liste kontrole pristupa (ACL) razdvajaju različite sigurnosne zone. Sistemi za detekciju upada (IDS) su na snazi, a aktivnosti se potpisuju i prate na kontinuiranoj osnovi. Svakodnevno interno i eksterno bezbednosno skeniranje vrši se preko Vebek-a. Svi sistemi su ojačani i zakrpljeni kao deo redovnog održavanja. Pored toga, skeniranje i procene ranjivosti se vrše kontinuirano.

Kontinuitet usluga i oporavak od katastrofe su kritične komponente sigurnosnog planiranja. Dizajn Cisco data centara sa globalnim rezervnim kopijama sajta i visokom dostupnošću pomaže u omogućavanju geografskog preklapanja Vebek usluga. Ne postoji jedna tačka neuspeha.

Administrativni podaci

Informacije o zaposlenima ili predstavnicima kupca ili druge treće strane koje Cisco prikuplja i koristi u cilju administriranja ili upravljanja isporukom proizvoda ili usluga kompanije Cisco, ili za administraciju ili upravljanje nalogom kupca ili treće strane u sopstvene poslovne svrhe kompanije Cisco.

Administrativni podaci mogu uključivati ime, adresu, telefonski broj, adresu e-pošte i informacije o ugovornim obavezama između kompanije Cisco i treće strane, bez obzira da li su prikupljene u trenutku početne registracije ili kasnije u vezi sa upravljanjem ili administracijom Cisco proizvoda ili usluga.

Administrativni podaci mogu uključivati i naslov sastanka, vreme i druge atribute sastanaka koje su na Vebeksu vodili zaposleni ili predstavnici kupca. Drugi primeri administrativnih podataka mogu uključivati naziv sastanka, vreme sastanka i druge atribute sastanaka koji se nalaze na Vebek-u.

Podaci o klijentima

Ovo uključuje sve podatke (uključujući tekst, audio, video, slikovne datoteke i snimke) koje je klijent pružio Ciscu u vezi sa korisničkim korišćenjem Cisco proizvoda ili usluga, ili ih je razvio Cisco na poseban zahtev kupca u skladu sa izjavom o radu ili ugovorom.

Podaci o klijentima takođe uključuju dnevnik, konfiguraciju ili datoteke firmvera i osnovne deponije.

To su podaci uzeti iz proizvoda ili usluge i dostavljeni Ciscu kako bi nam pomogli u rešavanju problema u vezi sa zahtevom za podršku. Podaci o klijentima ne uključuju administrativne podatke, podatke o podršci ili telemetrijske podatke.

Podaci za podršku

Informacije koje Cisco prikuplja kada korisnik podnese zahtev za usluge podrške ili drugo rešavanje problema, uključujući informacije o hardveru ili softveru. Uključuje detalje vezane za incident podrške, kao što su informacije o autentifikaciji, informacije o stanju proizvoda, sistema i podataka registra o softverskim instalacijama i hardverskim konfiguracijama, kao i datoteke za praćenje grešaka. Podaci o podršci ne uključuju dnevnik, konfiguraciju ili datoteke firmvera, ili osnovne deponije preuzete iz proizvoda i dostavljene nam da nam pomognu da rešimo problem u vezi sa zahtevom za podršku, a sve su to primeri podataka o klijentima.

Telemetrijski podaci

Informacije generisane instrumentima i sistemima za evidentiranje stvorenih korišćenjem i radom proizvoda ili usluge.

Svi podaci prikupljeni u Vebek oblaku zaštićeni su nekoliko slojeva robusnih sigurnosnih tehnologija i procesa. Ispod su primeri kontrola postavljenih u različitim slojevima Vebek operacija radi zaštite podataka o klijentima:

• Kontrola fizičkog pristupa - Fizički pristup se kontroliše putem biometrije, znački i video nadzora. Pristup data centru zahteva odobrenja i upravlja se putem elektronskog sistema za izdavanje karata.
• Kontrola pristupa mreži - Perimetar mreže Webex je zaštićen zaštitnim zidovima. Svaki mrežni saobraćaj koji ulazi ili izlazi iz Vebek data centra kontinuirano se prati pomoću sistema za detekciju upada (IDS). Vebek mreža je takođe podeljena u odvojene bezbednosne zone. Saobraćaj između zona kontroliše zaštitni zid i liste kontrole pristupa (ACL).
• Kontrola nadgledanja i upravljanja infrastrukturom – Svaka komponenta infrastrukture, uključujući mrežne uređaje, aplikativne servere i baze podataka, ojačana je strogim smernicama. Oni su takođe predmet redovnog skeniranja kako bi se identifikovali i rešili bilo kakvi bezbednosni problemi.
• Kriptografske kontrole - Kao što je ranije pomenuto, svi podaci do i iz Vebeks data centra u oblak registrovanih Vebek aplikacija i Vebek uređaja su šifrovani, osim PSTN saobraćaja i nešifrovanih SIP / HKSNUMKS video uređaja na sastanku sa omogućenim oblakom. Pored toga, kritični podaci koji se čuvaju u Vebek-u, kao što su lozinke, su šifrovani.

Zaposleni u Cisco-u ne pristupaju podacima o klijentima, osim ako korisnik ne zatraži pristup iz razloga podrške. Pristup sistemima u ovom slučaju je dozvoljen od strane menadžera samo u skladu sa principom "segregacije dužnosti". Odobrava se samo na osnovu potrebe da se zna i samo sa nivoom pristupa koji je potreban za obavljanje posla. Pristup zaposlenih ovim sistemima se takođe redovno pregledava za usklađenost. Zaposleni sa takvim pristupom su obavezni da pohađaju godišnju obuku Međunarodne organizacije za standardizaciju (ISO) 27001 Information Security Awareness.

Pored ovih specijalizovanih kontrola, svaki zaposleni u Ciscu prolazi kroz provjeru pozadine, potpisuje Ugovor o neotkrivanju podataka (NDA) i završava obuku o Kodeksu poslovnog ponašanja (COBC).

Zakon o prenosivosti i odgovornosti zdravstvenog osiguranja (HIPAA)

Cisco može pružiti informacije o funkcionalnosti, tehnologiji i sigurnosti Vebeksa. Entitet pokriven HIPAA bi morao da se konsultuje sa svojim pravnim savetnikom kako bi utvrdio da li je funkcionalnost Vebek-a usklađena sa svojim poslovnim procesima i spremna za GDPR.

• Usklađenost sa GDPR-om
• Cisco Vebek sastanci nude obelodanjivanje

Industrijski standardi i sertifikati

Pored poštovanja naših strogih internih standarda, Vebek takođe kontinuirano održava validacije trećih strana kako bi pokazao našu posvećenost bezbednosti informacija. Vebek je:

• ISO 27001, 27017, 27018 i 27701 sertifikovani
• Kontrola servisne organizacije (SOC) 2 Tip II revidiran
• SOC 3 sertifikovan
• Kodeks ponašanja u oblaku
• BILTEN
• Potvrda o kontroli usklađenosti sa cloud computingom (CKSNUMKS)
• FedRAMP sertifikovan (posetite cisco.com/go/fedramp za više detalja, obim i dostupnost)

Pogledajte Cisco Trust Portal za kompletan set dokumenata o bezbednosti, privatnosti i usklađenosti, uključujući detalje o gore navedenim standardima i sertifikatima.