用途：用于疑似被入侵终端、未授权设备、异常行为终端、posture 不合规需立即隔离、交换机端口发现流氓 AP 等场景的快速调查与隔离响应。
主要能力：通过 ISE MCP 工具查询端点列表与活动会话，定位 MAC、IP、用户名、接入交换机与端口、身份组、画像分类与会话状态；查询授权规则、认证规则与策略集，判断命中的策略、授权配置文件、posture 是否评估、使用 802.1X 还是 MAB；查询画像配置文件与身份组，评估 posture 合规状态与画像置信度；汇总为风险指标与 QUARANTINE/MONITOR/NO ACTION 建议。
使用方式：所有 ISE 工具经 mcp-call 调用，形式为 python3 $MCP_CALL "ISE_BASE=$ISE_BASE USERNAME=$ISE_USERNAME PASSWORD=$ISE_PASSWORD python3 -u $ISE_MCP_SCRIPT" TOOL_NAME '{"param":"value"}'；ServiceNow 工具形式为 python3 $MCP_CALL "$SERVICENOW_MCP_SCRIPT" TOOL_NAME '{"param":"value"}'。流程为七阶段：端点识别、认证历史审查、posture 与画像评估、风险评估与建议、经人工明确授权后执行隔离、创建 ServiceNow 安全事件并加工作备注、用 GAIT 记录完整会话。
限制：绝不自动隔离终端，端点组变更必须由人工输入 YES 显式确认；即使被要求直接隔离，也必须先完成调查步骤；事件响应期间不得修改 ISE 授权策略，策略变更需另行走 servicenow-change-workflow 提交变更请求。工具报错时须如实报告错误信息，不得编造结果；对会改变状态的调用，超时不能证明失败，需先核查状态再决定是否重试。审计示例仅为示意，需用实际会话证据替换。需先配置 GAIT_MCP_SCRIPT、ISE_BASE、ISE_MCP_SCRIPT、ISE_PASSWORD、ISE_USERNAME、SERVICENOW_MCP_SCRIPT。可与 ise-posture-audit、pyats-security、pyats-troubleshoot、gait-session-tracking、markmap-viz 等技能配合，具体可用性暂未提供。