https://www.cisco.com/c/en/us/td/docs/security/esa/esa120/user_guide/b_ESA_Admin_Guide_12_0/b_ESA_Admin_Guide_chapter_01100.html

https://www.cisco.com/c/en/us/td/docs/security/wsa/wsa11-0/user_guide/b_WSA_UserGuide
/b_WSA_UserGuide_chapter_01101.html ポリシーの順序 ポリシー テーブルにポリシーがリストされている順序によって、Web リクエストに適用される優先順位が決まります。Web リクエストは、テーブルの上部から順に、最初に一致したポリシーに対してチェックされます。テーブル内でそれより下にあるポリシーは処理されません。Web リクエストに対してユーザー定義ポリシーが一致しない場合は、そのポリシー タイプのグローバル ポリシーが適用されます。グローバル ポリシーは常にポリシー テーブルで最後に配置され、順序を変更することはできません。

ディレクトリハーベスト攻撃（DHA）とは、スパマーがブルートフォース攻撃や、一般的なユーザー名の様々な組み合わせを用いてドメイン内の有効なメールアドレスを推測することで、ドメイン内の有効なメールアドレスを探し出す手法です。組織が公式メールエイリアスに標準形式（例：[email protected]）を使用している場合、攻撃者は容易に有効なメールアドレスを入手できてしまいます。DHA対策を設定することで、悪意のある攻撃者が有効な受信者を迅速に特定することを防ぐことができます。
注: 軽量ディレクトリアクセスプロトコル (LDAP) は、メール プログラムが ClickMail Central Directory などのサーバーから連絡先情報を検索するために使用するインターネット プロトコルです。たとえば、LDAP 検索を平易な英語に翻訳すると次のようになります。「シカゴ在住で、名前に「Fred」が含まれ、メールアドレスを持つすべての人を検索します。氏名、メールアドレス、役職、説明を返してください。」

Active Directoryに対する外部認証を実装するには、Cisco ISEサーバーはRADIUSまたはLDAPプロトコルを使用してドメインコントローラーと通信する必要があります。RADIUSはネットワークアクセス制御に使用され、LDAPはID管理とディレクトリサービスに使用されます。どちらのプロトコルも、ISEサーバーとドメインコントローラー間のトラフィックを許可するために、適切なポートを開放し、ファイアウォールルールを設定する必要があります。
ISEアカウントは、JOIN操作を実行するためにActive Directoryのドメイン管理者である必要はありません。
必要な権限は、ドメイン内でコンピューターオブジェクトを作成し、パスワードをリセットする権限のみです。これは、特定のOUに権限を委任するか、権限が制限されたサービスアカウントを使用することで実現できます。
Active Directoryは、MSCHAPv2だけでなく、さまざまな方法を使用してユーザー認証とマシン認証をサポートしています。
MSCHAPv2は、RADIUSやVPN接続で一般的に使用されるチャレンジレスポンス認証プロトコルです。ただし、Active Directoryは、シナリオやクライアントの機能に応じて、Kerberos、NTLM、EAP、PEAPなどの他のプロトコルもサポートしています。
参考文献：
* Cisco Security Core Technologies (SCOR) v1.0 の実装と運用
* Cisco ISEとMicrosoft Active Directoryの統合
* RADIUSとLDAPの違いとは？
* MS-CHAP v2認証