用途：对 Cisco ISE 执行姿态与策略审计，覆盖授权策略集与规则、姿态合规、终端画像覆盖、TrustSec SGT/SGACL 出口矩阵，以及活动会话健康。适用于周期性合规审计（SOC2、PCI-DSS、NIST 800-53、HIPAA）、新终端类型上线前评审、事件后策略缺口复盘、TrustSec 分段验证、网络变更后的画像准确性评估和季度访问控制卫生检查。
主要能力：提供六个审计步骤——先清缓存并建立基线（clear_cache、get_cache_stats），再审查网络访问策略集、授权规则、认证规则与条件，随后评估姿态合规（endpoints、identity_groups）和画像覆盖（profiler_profiles），分析 TrustSec（trustsec_sgts、trustsec_sgacls、trustsec_egress_matrix_cell），最后检查活动会话（active_sessions）。内置检查项与 CRITICAL/HIGH/MEDIUM/LOW 四级严重度标准，例如默认 permit-all 授权规则、未隔离的不合规终端、生产 VLAN 上的访客终端、permit ip 的 SGACL 均评为 CRITICAL。
必要用法：所有 ISE 工具通过 mcp-call 调用，命令形如 ISE_BASE=$ISE_BASE USERNAME=$ISE_USERNAME PASSWORD=$ISE_PASSWORD python3 $MCP_CALL "python3 -u $ISE_MCP_SCRIPT" TOOL_NAME '{"param":"value"}'。审计结果可按固定报告格式汇总，并可记录到 GAIT 审计轨迹（gait_record_turn），或用 markmap 生成策略层级思维导图（markmap_customize）。
限制：需预先配置 ISE_BASE、ISE_USERNAME、ISE_PASSWORD、ISE_MCP_SCRIPT、GAIT_MCP_SCRIPT、MARKMAP_MCP_SCRIPT 等环境变量；工具报错时应直接报告错误信息，不得编造结果；对会改变状态的调用，超时不能证明失败，需先检查状态再决定是否重试并保留审批/变更闸门；文档中的审计示例仅为示意，须以实际证据替换。具体收费与价格暂未提供。