【公益译文】CISA关键基础设施网络安全建议—如何安全使用视频会议软件

2020年初，由于疫情原因，远程办公的方式被普遍采用，在远程办公中，视频会议是不可缺少的内容。视频会议软件的可用性越来越好，协作软件等产品中加入视频会议功能，这些信息技术上的进步使得远程办公的效率大大提高。在享受远程访问产品所带来的好处（如便利性、可用性、速度和稳定性）时，需要考虑此类产品的网络安全要求及风险点，这一点至关重要。

本指导性建议支持在使用、普及视频会议软件及相关协作工具时纳入网络安全考虑因素，还对个人使用这些工具主持和参加会议提出了建议。当今，组织越来越频繁地通过此类平台进行交流和沟通重要的内容，因而这些建议显得尤为重要。

作为远程工作安全保障的权威机构，美国网络安全与基础设施安全局（CISA）建立了视频会议产品线，后续会进一步完善，考虑发布与安全使用在线协作工具和视频会议方案相关的其他产品，以进一步支持网络安全管理人员在以远程办公为主的这段时间内的工作。

当下，互联网中的各类网络攻击者都在想方设法获取与研发、关键基础设施和个人身份相关的信息。此外，一些攻击者还试图破坏重要机构的运作，利用各种系统实现非法动机。他们使用的手段包括：

• 积极利用客户端软件中未修补的漏洞，入侵组织网络，进行网络漏洞利用和网络攻击；

• 利用通信工具：

  拖垮服务，迫使用户下线；

  窃听会议或电话会议；

• 劫持视频会议，插入不良信息图片或威胁性语言；

• 攻陷远程桌面应用程序（用于远程工作解决方案，实现远程桌面共享，以便进行协作和演示）后，渗透到其他共享应用程序；

• 利用社会工程诱骗个人泄露信息（例如会议链接）或从使用同一结构的其他链接（例如“公司名称_年_月_日”）猜测会议链接，非法进入敏感会议。

有些视频会议产品可能会在无意中将信息泄露给恶意网络攻击者。例如，某些产品会向第三方或目标用户共享或出售客户信息，将产品使用与个人社交媒体账号捆绑，因而无意中将员工和组织信息暴露给了目标接收方以外的其他人。

1.  评估本组织需求，选择适合内部使用的产品。还要考虑组织与外部实体协作的任务需要。调查供应链问题（例如供应商信誉、数据中心位置等）以及目标服务是否满足本组织的其他安全、法律和隐私要求。

2. 制定本组织虚拟会议政策，若已有相关政策，则重新发布。持续更新相关指导性政策，针对虚拟会议政策编写易于理解的简明纲要。

3. 应尽量减少企业内部使用的协作工具数量，缩小攻击面，降低总体漏洞数量。制作表格，列举组织允许使用的协作和视频会议工具。及时检查并更新安全设置。扫描未经企业授权使用的协作工具和相关客户端，一经发现，立即删除。针对全组织，集中管理授权使用的客户端和配置设置。及时更新客户端软件，卸载所有过期版本，确保使用最新版本。

4. 禁止最终用户安装客户端软件（包括取消本地管理权限）。若外部实体发起会议时使用的协作工具不在本组织批准的产品列表中，用户应使用Web浏览器加入会议，而不是安装客户端软件。

5. 防止具有管理权限的用户在以管理员权限登录系统后使用协作工具。管理员不应在其管理的系统上执行非特权操作（例如使用电子邮件、浏览网络、执行办公自动化任务、进行娱乐等）。

6. 禁止使用允许远程访问和远程管理的协作工具和功能。远程访问其实并非协作工具的主要用途，但有些厂商在宣传时会将远程访问软件称为协作工具，而有些协作工具亦具有远程访问和远程管理功能。

7. 向员工明确传达组织在协作工具（包括数据共享或参与度/注意力跟踪功能）使用方面的隐私和文档保存要求。

8. 确保组织的远程办公政策或指南满足物理和信息安全要求，要求用户更新远程办公协议。考虑是否需要根据大规模远程办公的各种不同情况调整组织的IT优先事项。

1. 工作中仅使用组织批准的软件和工具，包括使用公司提供或批准的视频会议和协作工具来主持/发起和安排会议。

2.针对目标参会人和会议内容，量身定制安全防范措施。不要将会议“公开”，除非会议对外开放。对于大范围会议，确保能将所有参会者静音，并能够控制参会者共享屏幕。

3. 开会前—尤其是大会前—要预先制定计划，详细说明：

a. 会议中断时提前终止会议的条件；

b. 谁有权做出此决定；

c. 如何终止会议。

4. 个人会议要使用会议密码以及等候室等功能来控制人员加入会议。为进一步增强安全，使用随机生成的一次性会议码和强密码。切勿在不受限制的公开社交媒体帖子上共享电话会议链接。尽可能禁止参会者在主持人之前加入会议，并在参会者进入会议时自动静音。

5. 将会议链接直接发给参会者，共享密码另发。尽可能要求提供唯一的参会凭据，监控加入会议的参会者，并在所有成员加入后锁定会议。所使用的视频会议软件应允许在会议过程中移除参会人。

6. 管理屏幕共享、录制和文件共享选项。视具体情况（例如，需要与广大参会者或公众共享录音、使用公司发放的设备或个人设备）将录制文件保存在本地或云上，保存时更改默认文件名。务必咨询本组织的法律顾问，了解有关录制视频会议和通过会议共享材料的适用法律。就录制会话、录屏和截屏设置参会要求。

7. 在向视频会议和协作平台传送数据（通过屏幕共享或上传）之前须考虑数据的敏感性。共享屏幕时，确保只显示需要共享的信息；关闭或最小化所有其他窗口。如果需要在公开会议中显示本组织内网中的内容，显示时须隐藏地址栏。要有基本的判断力，电话中不会讨论的内容不得出现在视频会议中。进行敏感讨论时，使用所有可用的安全措施（如等候室和强密码），确认所有参会者确需了解相关内容且知晓会话安全要求。不宜通过视频电话会议软件讨论的信息包括：国家安全信息、敏感执法信息、关键基础设施系统的运营或漏洞、连续经营计划、个人识别信息、高级研发项目和私有商业信息。

8. 若第三方使用非本组织批准的协作工具发起会议，使用Web浏览器加入会议而不是安装软件。不要使用工作邮件地址注册非授权/免费工具。

9. 通过Web浏览器登录到协作工具时，注意准确输入网站的域名。警惕陌生地址发送的链接，切勿单击来源可疑的会议链接。通过电子邮件发送的会议链接要验证是否真实有效。

10. 确保视听环境安全，不泄露任何非必要信息，例如，确认墙上的白板等物品不包含敏感信息或个人信息，或保证敏感对话不被室友或家人听到。使用协作工具中的背景替换或模糊选项（若有）。

11. 挪移、静音或禁用虚拟助理和家庭安全摄像头，避免无意中录制敏感信息。在工作场所或公共区域不要讨论敏感话题，避免隔墙有耳。考虑使用耳机。

12. 检查并更新家庭网络，更改宽带路由器和Wi-Fi网络的默认设置并使用复杂密码，仅与信任的人共享此信息。为自家的Wi-Fi网络模糊命名，避免泄露本人信息或设备制造商。更新路由器软件，确保Wi-Fi使用最新协议（如WPA2或WPA3）加密，禁用WEP和WPA等过时协议。