Cisco Identity Services Engine (ISE) คืออะไร
Cisco ISE เป็นแพลตฟอร์มนโยบายความปลอดภัยและการเข้าถึงเครือข่าย (Policy Management Platform) ที่ให้บริการ AAA (Authentication, Authorization, Accounting) แบบรวมศูนย์ ช่วยให้องค์กรควบคุมการเข้าถึงเครือข่ายของอุปกรณ์ ผู้ใช้ และแอปพลิเคชันได้อย่างปลอดภัยและอัตโนมัติ
บทบาทของ ISE Agent
ISE Agent (หรือ Cisco NAC Agent / AnyConnect Posture Module) คือซอฟต์แวร์ตัวไคลเอ็นต์ที่ติดตั้งบนอุปกรณ์ปลายทาง (Endpoint) เช่น คอมพิวเตอร์ โทรศัพท์มือถือ เพื่อ:
- ตรวจสอบสถานะความปลอดภัยของอุปกรณ์ (Posture Assessment) เช่น แอนตี้ไวรัส อัปเดตระบบ การตั้งค่าไฟร์วอลล์
- ส่งข้อมูลสถานะกลับไปยัง ISE Policy Server เพื่อประเมินการเข้าถึง
- ช่วยให้ ISE บังคับนโยบายตามสถานะอุปกรณ์ (เช่น บล็อกอุปกรณ์ที่ไม่ผ่านเกณฑ์)
ความสามารถหลักของ Cisco ISE
- Authentication หลากหลาย: รองรับ 802.1X, MAB, WebAuth, MACsec, EAP-TLS, PEAP, EAP-FAST, CHAP, OTP
- Profiling & Visibility: ระบุประเภทอุปกรณ์โดยอัตโนมัติ (IoT, Printer, Camera, BYOD)
- Guest Access & BYOD: จัดการอุปกรณ์ส่วนตัว พนักงาน และแขกได้แยกกัน
- Network Segmentation (SGT/SGACL): แบ่งส่วนเครือข่ายด้วย Security Group Tags
- Threat-Centric NAC: รวมข้อมูลภัยคุกคามจาก Cisco Talos และแหล่งอื่น
- Integration: ทำงานร่วมกับ Cisco Stealthwatch, Firepower, Meraki, AWS, Azure, AD, LDAP, RADIUS, TACACS+
ISE เทียบกับ ACS (Access Control Server)
ACS เป็นระบบเก่าที่ Cisco หยุดพัฒนาแล้ว (End-of-Sale 2017, End-of-Support 2022) ISE เป็นตัวแทนที่ทันสมัยกว่า รองรับ Software-Defined Access (SD-Access), pxGrid, และโครงสร้างคลาวด์/เสมือนจริง (VMware, KVM, AWS, Azure) สามารถย้ายข้อมูลจาก ACS มา ISE ได้ผ่านเครื่อง SNS 3515/3595
ISE เป็น AAA Server หรือไม่?
ใช่ ISE ทำหน้าที่เป็น RADIUS และ TACACS+ Server พร้อมกัน รองรับมาตรฐาน RFC 2865/2866 (RADIUS) และ Cisco TACACS+ ใช้สำหรับ Dial-in, VPN, 802.1X, Device Administration
สรุป
ISE Agent เป็นส่วนประกอบสำคัญในการบังคับนโยบายความปลอดภัยบนอุปกรณ์ปลายทาง ทำให้ Cisco ISE สามารถดูแล การยืนยันตัวตน การอนุมัติ และการบันทึกบัญชี (AAA) ได้ครบวงจร เหมาะสำหรับองค์กรที่ต้องการ Zero Trust Network Access
