Cisco ISE 允许通过全局配置在剖析器配置页面上发布授权变更 (CoA)，使剖析服务能够对已通过身份验证的端点进行更多控制。
配置 CoA 类型的设置之一是 "重新验证"。该选项用于在对已通过身份验证的端点进行剖析时强制其重新通过身份验证。
Cisco ISE 允许通过全局配置在剖析器配置页面上发布授权变更 (CoA)，使剖析服务能够对已通过身份验证的端点进行更多控制。
配置 CoA 类型的设置之一是 "重新验证"。该选项用于在对已通过身份验证的端点进行剖析时强制其重新通过身份验证。
Cisco ISE 允许通过全局配置在剖析器配置页面上发布授权变更 (CoA)，使剖析服务能够对已通过身份验证的端点进行更多控制。
配置 CoA 类型的设置之一是 "重新验证"。该选项用于在对已通过身份验证的端点进行剖析时强制其重新通过身份验证。
参考资料
b_ise_admin_guide_sample_chapter_010101.html
b_ise_admin_guide_sample_chapter_010101.html

零信任是一种安全框架，要求所有用户，无论是在组织网络内还是网络外，都必须经过身份验证、授权和持续的安全配置和状态验证，然后才能获准或保留对应用程序和数据的访问权限。零信任假设不存在传统的网络边缘；网络可以是本地的，也可以是云中的，还可以是与任何地方的资源以及任何地点的工作人员的组合或混合网络。
零信任模式使用微分段（一种安全技术，包括将外围划分为小区域，以保持对网络每个部分的独立访问）来遏制攻击。

说明：网络钓鱼攻击是指发送看似来自可靠来源的欺诈性通信。通常通过电子邮件进行。其目的是窃取敏感数据，如信用卡和登录信息，或在受害者的机器上安装恶意软件。

说明
https://www.cisco.com/c/en/us/support/docs/security/asa-5500-x-firepowerservices/200451-Configure-Intrusion-

https://www.cisco.com/c/en/us/products/collateral/security/security-manager/datasheet-C78-737182.html

Cisco Defense Orchestrator 是一款基于云的管理解决方案，可让您跨多个思科和云原生安全平台轻松管理安全策略和设备配置。
Cisco Defense Orchestrator 的功能：
….
管理混合环境：现在，管理运行 ASA、FTD 和 Meraki MX 软件的混合防火墙变得非常容易，而且可以跨平台共享策略元素。
Cisco Defense Orchestrator 是一款基于云的管理解决方案，可让您跨多个思科和云原生安全平台轻松管理安全策略和设备配置。
Cisco Defense Orchestrator 的功能：
….
管理混合环境：现在，管理运行 ASA、FTD 和 Meraki MX 软件的混合防火墙变得非常容易，而且可以跨平台共享策略元素。
参考资料
736847.html
Cisco Defense Orchestrator 是一款基于云的管理解决方案，可让您跨多个思科和云原生安全平台轻松管理安全策略和设备配置。
Cisco Defense Orchestrator 的功能：
….
管理混合环境：现在，管理运行 ASA、FTD 和 Meraki MX 软件的混合防火墙变得非常容易，而且可以跨平台共享策略元素。
736847.html

https://www.cisco.com/c/en/us/support/docs/security/asa-5500-x-firepowerservices/200451-Configure-Intrusion-Policy-and-Signature.html

思科的 DNA Center 是唯一能将所有这些功能整合到一块玻璃中的集中式网络管理系统。
参考资料
dna-center-faq-cte-en.html

身份活动的日志记录是在首次创建策略时按策略设置的。默认情况下，日志记录是开启的，并设置为记录身份到达目的地的所有请求。创建策略后，您可以随时更改 Umbrella 记录身份活动的级别。在策略向导中，日志设置包括只记录安全事件-只记录安全日志，为用户提供更多隐私-这对在个人设备上安装漫游客户端的用户来说是个不错的设置 不记录任何请求-禁用所有日志记录。如果选择此选项，那么使用此策略的身份报告将无用武之地，因为没有任何记录可供报告。参考：https://docs.umbrella.com/deployment-umbrella/docs/log-management 在策略向导中，日志设置如下：
只记录安全事件-只记录安全日志，为用户提供更多隐私，这对在个人设备上安装了漫游客户端的用户来说是个不错的设置 不记录任何请求-禁用所有日志记录。如果选择此选项，那么使用此策略的大多数身份报告都不会有任何帮助，因为没有任何记录可供报告。
身份活动的日志记录是在首次创建策略时按策略设置的。默认情况下，日志记录是开启的，并设置为记录身份到达目的地的所有请求。创建策略后，您可以随时更改 Umbrella 记录身份活动的级别。在策略向导中，日志设置包括只记录安全事件-只记录安全日志，为用户提供更多隐私-这对在个人设备上安装漫游客户端的用户来说是个不错的设置 不记录任何请求-禁用所有日志记录。如果选择了此选项，那么使用此策略的身份报告将毫无用处，因为没有任何记录可供报告。参考资料： https://docs.umbrella.com/deployment-umbrella/docs/log-management

参考资料
https://www.cisco.com/c/en/us/products/collateral/data-center-analytics/tetration-analytics/q-and-a-c67-737402.html

参考资料
https://www.cisco.com/c/dam/en/us/products/collateral/security/cloudlock/cisco-cloudlock-cloud-data-securitydatasheet.pdf

Cisco Tetration 平台在当前版本中查找的各种可疑模式包括+ 外壳代码执行：查找 shell 代码使用的模式。+ 权限升级：监视进程树中从较低权限到较高权限的权限变化。+ 侧通道攻击：Cisco Tetration 平台可监控缓存定时攻击和页面表故障突发。利用这些，它可以检测到 Meltdown、Spectre 和其他缓存定时攻击。+ 原始套接字创建：非标准进程创建原始套接字（例如 ping）。+ 用户登录可疑行为：思科 Tetration 平台会监控用户登录失败和用户登录方法。+ 可疑文件访问：思科 Tetration 平台可以武装起来，查看敏感文件。+ 来自不同用户的文件访问：思科 Tetration 平台可了解哪个用户访问哪个文件的正常行为。+ 隐藏命令：思科 Tetration 平台会学习命令的行为和命令集，以及每条命令随着时间推移的沿袭关系。任何新命令或具有不同序列的命令都会引发 Tetration 分析平台的兴趣。参考资料： https://www.cisco.com/c/en/us/products/collateral/data-center-analytics/tetration-analytics/whitepaper-c11-740380.html
+ 外壳代码执行：查找 shell 代码使用的模式。
+ 权限升级：监视进程树中从较低权限到较高权限的权限变化。
+ 侧通道攻击：思科 Tetration 平台可监控缓存定时攻击和页面表故障突发。
利用这些功能，它可以检测 Meltdown、Spectre 和其他缓存计时攻击。
+ 原始套接字创建：由非标准进程（如 ping）创建原始套接字。
+ 用户登录可疑行为：思科 Tetration 平台监控用户登录失败和用户登录方法。
+ 有趣的文件访问：思科 Tetration 平台可用于查看敏感文件。
+ 来自不同用户的文件访问：思科 Tetration 平台可了解哪个用户访问哪个文件的正常行为。
+ 未知命令：思科 Tetration 平台会随着时间的推移学习命令行为和命令集，以及每条命令的沿袭关系。任何新命令或具有不同脉络的命令都会引发 Tetration 分析平台的兴趣。
Cisco Tetration 平台在当前版本中查找的各种可疑模式包括+ 外壳代码执行：查找 shell 代码使用的模式。+ 权限升级：监视进程树中从较低权限到较高权限的权限变化。+ 侧通道攻击：Cisco Tetration 平台可监控缓存定时攻击和页面表故障突发。利用这些，它可以检测到 Meltdown、Spectre 和其他缓存定时攻击。+ 原始套接字创建：非标准进程创建原始套接字（例如 ping）。+ 用户登录可疑行为：思科 Tetration 平台会监控用户登录失败和用户登录方法。+ 可疑文件访问：思科 Tetration 平台可以武装起来，查看敏感文件。+ 来自不同用户的文件访问：思科 Tetration 平台可了解哪个用户访问哪个文件的正常行为。+ 隐藏命令：思科 Tetration 平台会学习命令的行为和命令集，以及每条命令随着时间推移的沿袭关系。任何新命令或具有不同序列的命令都会引发 Tetration 分析平台的兴趣。参考资料： https://www.cisco.com/c/en/us/products/collateral/data-center-analytics/tetration-analytics/whitepaper-c11-740380.html

https://www.cisco.com/c/en/us/products/collateral/security/ngips/datasheet-c78-742472.html
https://www.cisco.com/c/en/us/td/docs/security/firepower/60/configuration/guide/fpmc-config-guide-v60/Reference_a_wrapper_Chapter_topic_here.html
https://www.cisco.com/c/en/us/solutions/collateral/enterprise-networks/advanced-malware-protection/solution-overview-c22-734228.html

说明 由于新设备没有支持者，我们无法使用 802.1X。MAC Authentication Bypass (MAB) 是不支持 802.1x 的设备的备用选项。它几乎总是以某种方式或形式在部署中使用。MAB 的工作原理是让验证器获取连接设备的 MAC 地址，并将其作为用户名和密码发送给验证服务器。身份验证服务器将检查其策略，并像使用 802.1x 一样发回 "接受访问 "或 "拒绝访问"。Cisco ISE 分析服务可对连接到网络的端点进行动态检测和分类。ISE 使用 MAC 地址作为唯一标识符，收集每个网络端点的各种属性，以建立内部端点数据库。分类过程将收集到的属性与预建或用户定义的条件相匹配，然后将这些条件与庞大的配置文件库相关联。这些配置文件包括各种设备类型，包括移动客户端（iPad、安卓平板电脑、Chromebook 等）、桌面操作系统（如 Windows、Mac OS X、Linux 等）以及打印机、电话、相机和游戏机等众多非用户系统。对端点进行分类后，就可以根据其配置文件授权其访问网络。例如，使用 MAC 身份验证旁路（MAB）作为身份验证方法，可以将符合 IP 电话配置文件的端点放入语音 VLAN。另一个例子是根据所使用的设备为用户提供有区别的网络访问。例如，员工通过公司工作站访问网络时，可以获得完全访问权限，但通过个人 iPhone 访问网络时，则只能获得有限的网络访问权限。参考：https://community.cisco.com/t5/security-documents/ise-profiling-design-guide/ta-p/3739456 解释 由于新设备没有支持者，我们无法使用 802.1X。
MAC Authentication Bypass (MAB) 是不支持 802.1x 的设备的备用选项。它几乎总是以某种方式或形式在部署中使用。MAB 的工作原理是让验证器获取连接设备的 MAC 地址，并将其作为用户名和密码发送给验证服务器。身份验证服务器将检查其策略，并像使用 802.1x 一样发回 "接受访问 "或 "拒绝访问"。
Cisco ISE 分析服务可对连接到网络的端点进行动态检测和分类。ISE 使用 MAC 地址作为唯一标识符，收集每个网络端点的各种属性，以建立内部端点数据库。分类过程将收集到的属性与预建或用户定义的条件相匹配，然后将这些条件与庞大的配置文件库相关联。这些配置文件包括多种设备类型，包括移动客户端（iPad、安卓平板电脑、Chromebook 等）、桌面操作系统（如 Windows、Mac OS X、Linux 等）以及打印机、电话、相机和游戏机等众多非用户系统。
端点一旦分类，就可根据其配置文件授权进入网络并授予访问权限。例如，符合 IP 电话配置文件的端点可以使用 MAC 身份验证旁路（MAB）作为身份验证方法放入语音 VLAN。另一个例子是根据所使用的设备为用户提供有区别的网络访问。例如，员工通过公司工作站访问网络时，可以获得完全访问权限，但通过个人 iPhone 访问网络时，则只能获得有限的网络访问权限。
说明 由于新设备没有支持者，我们无法使用 802.1X。MAC Authentication Bypass (MAB) 是不支持 802.1x 的设备的备用选项。它几乎总是以某种方式或形式在部署中使用。MAB 的工作原理是让验证器获取连接设备的 MAC 地址，并将其作为用户名和密码发送给验证服务器。身份验证服务器将检查其策略，并像使用 802.1x 一样发回 "接受访问 "或 "拒绝访问"。Cisco ISE 分析服务可对连接到网络的端点进行动态检测和分类。ISE 使用 MAC 地址作为唯一标识符，收集每个网络端点的各种属性，以建立内部端点数据库。分类过程将收集到的属性与预建或用户定义的条件相匹配，然后将这些条件与庞大的配置文件库相关联。这些配置文件包括各种设备类型，包括移动客户端（iPad、安卓平板电脑、Chromebook 等）、桌面操作系统（如 Windows、Mac OS X、Linux 等）以及打印机、电话、相机和游戏机等众多非用户系统。对端点进行分类后，就可以根据其配置文件授权其访问网络。例如，使用 MAC 身份验证旁路（MAB）作为身份验证方法，可以将符合 IP 电话配置文件的端点放入语音 VLAN。另一个例子是根据所使用的设备为用户提供有区别的网络访问。例如，员工通过公司工作站访问网络时，可以获得完全访问权限，但通过个人 iPhone 访问网络时，则只能获得有限的网络访问权限。参考资料：https://community.cisco.com/t5/security-documents/ise-profiling-design-guide/ta-p/3739456

思科电子邮件安全设备（ESA）可在用户收到未经请求的恶意电子邮件之前对其进行过滤，从而保护电子邮件基础架构和在工作中使用电子邮件的员工。Cisco ESA 可轻松集成到现有的电子邮件基础设施中，具有高度的灵活性。它可以在电子邮件发送链中充当邮件传输代理（MTA）。MTA 的另一个名称是邮件中继。
参考资料
Ciscoo_SBA_BN_EmailSecurityUsingCiscoESADeploymentGuide-Feb2013.pdf

https://www.cisco.com/c/en/us/td/docs/security/firepower/623/configuration/guide/fpmc-config-guide-v623/access_control_using_intrusion_and_file_policies.html#:~:text=FilePolicies-,AccessControlTrafficHandlingwithIntrusionandFilePolicies,-Thefollowingdiagram 策略中的前三个访问控制规则--监控、信任和阻止--不能检查匹配的流量。监控规则跟踪和记录但不检查网络流量，因此系统会继续将流量与其他规则进行匹配，以确定是允许还是拒绝该流量
https://www.cisco.com/c/en/us/td/docs/security/firepower/623/configuration/guide/fpmc-config-guide-v623/access_control_rules.html#:~:text=Rule%20Blocking%20Actions-,Access%20Control%20Rule%20Allow%20Action,network%20discovery%20policy%3B%20additionally%2C%20application%20discovery%20is%20limited%20for%20encrypted%20sessions.,-Related%20Concepts