TechLeague

    Fortinet

    FortiNAC vs. Cisco ISE 2026: IoT 時代の NAC 対決

    TechLeague Editorial··16 分で読了

    ネットワークアクセス制御 (NAC) の戦場は、これまで以上に重要性を増している。IoT デプロイメントの急増、リモートワークの定着、そして高度な脅威アクターの常在により、接続されたすべてのデバイスに対する粒度の高い可視性と制御は不可欠である。この分野を支配する二大巨頭が Fortinet の FortiNAC と Cisco の Identity Services Engine (ISE) だ。2026年を迎え、両プラットフォームは著しく成熟したが、そのアーキテクチャ哲学、運用上のニュアンス、そして最終的に実世界での適合性は大きく異なる。この詳細な分析は、シニアエンジニアの視点から、マーケティングの誇大広告を排除し、ディスカバリ、プロファイリング（特に IoT）、802.1X の機能パリティ、そして把握しにくい総所有コストに焦点を当てた技術的かつ実践的な比較を提供する。

    IoT エッジ: 決定的な激戦区

    はっきりさせよう。2026年は、IoT がエンタープライズネットワークを真に本格化させる年である。ビル管理システム (BMS) や医療機器から、産業用制御システム (ICS) や特注センサーに至るまで、非伝統的なエンドポイントの量と多様性は驚異的だ。ユーザーベースの認証と基本的なデバイスポスチャに焦点を当てた従来の NAC は、ここでは機能不全に陥る。これらのヘッドレスデバイスを人的介入なしに正確に識別、プロファイリング、およびセグメント化する能力は最重要課題となる。

    FortiNAC のディスカバリとプロファイリング能力

    FortiNAC のデバイスディスカバリとプロファイリングのアプローチは、特に IoT において本当に堅牢である。様々なソースからのデータを集約し、豊富な行動フィンガープリントを構築する多角的な戦略を採用している。これは MAC OUI ルックアップだけでなく、Deep Packet Inspection (DPI)、NetFlow/IPFIX 分析、SNMP ポーリング、DHCP フィンガープリント (オプション 60/12)、HTTP ユーザーエージェント、さらには DNS クエリも含まれる。アプライアンス自体は、特定の IoT デバイスタイプや異常検出を識別するために Snort/Suricata のようなシグネチャを統合していることが多い。典型的な導入では、FortiNAC はプロミスキャスリスナーとして機能したり、SPAN/ミラーポートトラフィックを取り込んだり、FortiGate ファイアウォールと直接統合してより豊富なコンテキストを得ることができる。

    例えば、FortiGate から FortiNAC への NetFlow PUSH を設定するには:

    config system interface
  edit portX
    set ntop-enable enable
    set ntop-traffic-source lan
  next
end
config firewall policy
  edit 0
    set srcintf "portX"
    set dstintf "portY"
    set srcaddr "all"
    set dstaddr "all"
    set action accept
    set service "ALL"
    set nat enable
    set ntop-enable enable
    set ntop-sampling-enable enable
    set ntop-sampling-rate 100
  next
end
config system sflow
  set collector-ip <FortiNAC_IP>
  set collector-port 9996
  set source-ip <FortiGate_Interface_IP>
  set packets-per-sample 1000
  set interface "portX"
  set vdom "root"
  set poll-interval 30
  set ntop-exporter-enable enable
end

    このレベルのデータ集約は、Machine Learning (ML) 機能と組み合わせることで、FortiNAC が、例えばベンダー A とベンダー B のスマートサーモスタットの違い、あるいは同じデバイスの異なるファームウェアバージョン間の微妙な違いを識別できるようにする。Fortinet Security Fabric とのネイティブ統合により、このコンテキスト認識を FortiGate、FortiAnalyzer、FortiSandbox と共有でき、適応型セグメンテーションと脅威対応を可能にする。FortiNAC 9.x では、IoT 向けにさらにきめ細かな行動ベースラインを導入し、侵害や設定ミスを示唆する逸脱を自動的にフラグ付けする。

    Cisco ISE 3.4 のプロファイリングにおける進歩

    Cisco ISE も、特に ISE 3.x と Profiling Services Engine (PSE) の強化により、大きな進歩を遂げている。ISE 3.4 は、DHCP スヌーピング、HTTP ユーザーエージェント、NetFlow、SNMP トラップ、NMAP スキャン (ただし NMAP は侵入的になる可能性がある) といった従来のプロファイリング技術を継続して活用している。AccelOps (Tetration 用) の買収と DNA Center のネットワークテレメトリ統合は、ISE のデータソースを確かに強化している。

    しかし、ISE の核となるプロファイリングメカニズムは、FortiNAC の ML 駆動型アプローチよりも静的であったり、より多くの手動チューニングを必要とする内部プロファイリングポリシーに依然として大きく依存していることが多い。ISE 3.4 は Catalyst スイッチからのパッシブデータ収集 (例: CBT, pxGrid テレメトリ) を改善しているものの、プロファイリングエンジンは強力であるにもかかわらず、FortiNAC と同じレベルの粒度の高い自律的な IoT 分類を達成するためには、より明示的な設定とポリシー構築の理解が必要であると感じられる。

    特に IoT における ISE の強みは、Cisco エコシステム内の外部サービスや製品との統合から得られることが多い。例えば、ICS/OT 環境向けの Cyber Vision (旧 Sentryo) と ISE を組み合わせることは強力な組み合わせだが、これはアドオンであり、コアのすぐに利用できる ISE 機能ではない。完全な IoT 可視化ソリューションのために複数のプラットフォームを管理するオーバーヘッドは相当なものになり得る。

    802.1X パリティ: 基本要件

    コアとなる 802.1X 機能に関しては、両プラットフォームは本質的にパリティレベルにある。両者とも EAP-TLS、PEAP、EAP-FAST、および MAC Authentication Bypass (MAB) を完璧にサポートしている。Active Directory、LDAP、RADIUS、および内部 ID ストアと統合できる。ゲストアクセスポータル、BYOD オンボーディング、およびデバイスポスチャ評価 (AnyConnect や FortiClient EMS などのエージェントを使用) は、両者とも十分に実装されている。

    FortiNAC の Dot1x 設定とポリシー

    FortiNAC のポリシーエンジンは直感的である。認証ポリシー (誰が接続できるか)、認可ポリシー (何ができるか)、および修復ポリシー (コンプライアンス違反の場合に何が起こるか) を定義する。Enforcement は通常、RADIUS アトリビュート (VLAN 割り当て、ACL プッシュ、dACLs、URL リダイレクション) を介して行われる。例えば、デバイスプロファイルに基づいて動的に VLAN を割り当てる場合:

    RADIUS Attributes:
  Reply-Message: "VLAN Assignment for IoT-Device-Type-X"
  Tunnel-Type: VLAN
  Tunnel-Medium-Type: IEEE-802
  Tunnel-Private-Group-Id: 100

    FortiNAC のポリシーエンジンが、豊富なプロファイリングデータを認可ルールにシームレスに直接利用できることは、優位性がある。これによって、単なるデバイスを認可するのではなく、建物 Y の、ファームウェア X を実行しているこの特定のスマートカメラモデルが、NVR Z とのみ通信する、というような形での認可が可能になる。

    Cisco ISE の Dot1x とポリシーセット

    Cisco ISE のポリシーセットは信じられないほど強力だが、新規ユーザーにとっては複雑になる可能性もある。ルールをネストし、複合条件を使用し、外部の信頼できるソース (例: AD グループ、CMDB) と統合する能力は、業界をリードしている。例えば、IP フォン向けの基本的な MAB ポリシー:

    Policy Set: Wired_Access
  Authentication Policy:
    Rule: MAC_Based_Auth_Phone
      Condition: (Network_Device_Group ENDSWITH "Campus_Switches") AND (Wired_MAB)
      Use: Internal Endpoints
  Authorization Policy:
    Rule: IP_Phone_Access
      Condition: (EndPointPolicy EQUALS "<IP_Phone_Profile>")
      Results:
        Authorization Profile: PermitAccess_Voice_VLAN
          Access-Accept
          Airespace-ACL-Name: xxxxxxxxxxxxxxxxxxxxx
          dACL: permit udp any eq 5002
          VLAN: <Voice_VLAN_ID>

    ISE は、粒度の高い Downloadable ACLs (dACLs) をプッシュしたり、TrustSec 環境で Security Group Tags (SGTs) を活用したりすることで、マイクロセグメンテーションにおいて優れている。ネットワークが主に Cisco 製で、TrustSec に深く投資している場合、セグメンテーションにおける ISE のエコシステム統合は比類のない。

    真のコスト (TCO): ライセンス料を超えて

    ここが本当に興味深い点であり、しばしば企業は初めに表面的な価格に基づいて意思決定を行い、後に多大な運用コストに直面することになる。「真のコスト」とはライセンス料だけでなく、導入の複雑さ、継続的なメンテナンス、必要なスキルセット、および統合のコストも含まれる。

    FortiNAC の TCO の観点

    FortiNAC のライセンスモデルは、一般的にデバイスベースである (ISE と同様) が、多くの場合、より多くの機能が最初からバンドルされている。特に FortiGate ファイアウォールや FortiSwitch をすでに持っている場合は、「Fortinet Security Fabric」の約束を活用することで、導入が迅速に行える。FortiNAC の学習曲線は、FortiOS に慣れているネットワークエンジニアにとっては、通常それほど急ではない。そのマルチテナンシー機能も非常に成熟しており、大規模な企業やマネージドサービスプロバイダ (MSP) に適している。

    回復性のある本番グレードの FortiNAC デプロイメントに必要な VM の総数は、ISE よりも少ないことが多い。典型的なデプロイメントは、2x Manager (HA)、2x 以上の Server/Collector (HA グループ)、および 2x Profiler (HA) で構成される可能性がある。これは、本格的な ISE 分散デプロイメント (Policy Administration Nodes, Monitoring and Troubleshooting Nodes, Policy Service Nodes, pxGrid Nodes) よりもかなり少ないアプライアンス数であり、仮想インフラコスト (CPU、RAM、ストレージ) の削減、およびパッチ適用/メンテナンスするエンドポイントの数の削減に直結する。

    労働コスト: FortiNAC の管理は一般的に複雑度が低く、高度に専門化された認定 Cisco ISE エンジニア (高給を要求する) の必要性を低減する。

    Cisco ISE の TCO の観点

    Cisco ISE のライセンスモデルは進化しており、多くの場合、デバイス数 (Base, Plus, Apex ライセンス) に関連付けられている。一般的な不満は、ライセンスの複雑さと、pxGrid、MDM 統合、または高度なポスチャなどの機能に特定のライセンスが必要なことである。完全な ISE デプロイメントでは、高可用性と分散サービスのために、かなりの数のアプライアンスが必要となる。少なくとも 2 つの PAN (Primary/Secondary)、2 つの MnT (Primary/Secondary)、および負荷と地理的分布に合わせてスケーリングされた複数の PSN (Policy Service Nodes) が必要だ。pxGrid 統合には、追加のノードが必要になる場合がある。

    この分散アーキテクチャは堅牢であるものの、より多くの仮想マシン、より多くのネットワーク設定 (特に異なるペルソナタイプの場合)、データセンターまたはクラウドにおけるより大きなフットプリントを必要とする。複雑な ISE デプロイメントのパッチ適用、アップグレード (複数ステップ、複数ノードのプロセスとなる場合がある)、およびトラブルシューティングにおける運用オーバーヘッドは相当なものだ。

    労働コスト: 高度なスキルを持つ Cisco ISE エンジニアは貴重な人材である。プラットフォームの深さと幅広さは、専門的なトレーニング (CCNP Security はしばしば ISE を真剣に扱うための前提条件となる) を必要とする。これは、より高い運用スタッフコスト、または高価なコンサルティングサービスへの依存につながる。

    考察と推奨事項

    迅速な IoT デバイスディスカバリ、粒度の高い行動プロファイリング、シンプルでありながら強力なポリシーエンジン、そして運用上の複雑性を低減した低総所有コスト (TCO) を優先する組織にとって、FortiNAC は 2026 年に向けてより強力な候補となる。 Fortinet Security Fabric とのネイティブ統合は、ファイアウォール、スイッチ、AP を横断する一貫したセキュリティポスチャを、複数のベンダー固有の統合を行うことなく提供する。

    FortiNAC の強みは、これまで見たことがないようなデバイスであっても、膨大な数のデバイスを自動的に識別し、分類する能力にあり、その上でそのデバイスの「ID」だけでなく、観測された「行動」に基づいてポリシーを適用することである。これは IoT において、NMAP のようなアクティブなディスカバリが有害または禁止される場合があるため、非常に重要である。

    もしあなたの環境が 90% 以上 Cisco 製のネットワーク機器で構成されており、キャンパス全体に TrustSec セグメンテーションに深く投資している、かつ高度に専門化された Cisco の専門知識を持つスタッフがいる (またはその予算がある) のであれば、Cisco ISE も依然として実現可能である一方、より複雑でしばしば高価な選択肢となるだろう。ISE の dACL と SGT の機能は、完全に活用された場合、純粋な Cisco 環境をセグメント化する上で紛れもなく強力である。

    しかし、IoT の爆発的な増加に直面している多くの企業、特に異種ネットワークや少ないセキュリティチームを持つ企業にとって、FortiNAC はより実用的で効率的、そして最終的にはより安全な道筋を提供する。展開と管理のシンプルさ、そして 2026 年にますます多様化しヘッドレス化するデバイスに対する高度なプロファイリング機能が相まって、直接対決では優れた選択肢となる。

    よくある質問

    FortiNAC と Cisco ISE 3.4 の IoT プロファイリングにおける主な違いは何ですか？+

    FortiNAC は、DPI、NetFlow、SNMP、DHCP、DNS、HTTP ユーザーエージェントなどのマルチソースデータ集約を ML 駆動型エンジンに供給し、IoT デバイスの行動ベースラインと自律的な分類において優れています。ISE 3.4 は、より伝統的なプロファイリングポリシーに依存し、明示的な設定が必要なことが多く、より深い OT/ICS の可視性のためには外部の Cisco 製品（Cyber Vision など）との統合が必要となる場合があります。

    標準的なエンタープライズ展開において、どちらのプラットフォームが総所有コスト（TCO）が低いですか？+

    FortiNAC は一般的に TCO が低いです。回復性のある展開に必要な仮想アプライアンスの数が通常少なく、仮想インフラコストとパッチ適用およびメンテナンスの運用オーバーヘッドを削減できます。その管理も複雑度が低い傾向にあり、Cisco ISE と比較して、高度に専門化された高給のエンジニアの必要性を低減します。

    802.1X Enforcement において、どちらかのプラットフォームが他方よりも明らかに優れていますか？+

    802.1X のコア機能（EAP 方式、MAB、ゲストアクセス、ポスチャ評価）については、両プラットフォームともパリティレベルです。両者とも認証、認可、アカウンティングを確実に実装します。違いはポリシーエンジンの複雑さと、詳細なプロファイリングデータがどのように認可ルールに統合されるかにあります。FortiNAC の強みはディーププロファイリングを直感的なポリシーに直接統合することであり、ISE の強みは強力ですがより複雑なポリシーセットと dACL/TrustSec 統合です。

    FortiNAC は広範な Fortinet Security Fabric とどのように統合されますか？+

    FortiNAC は Fortinet Security Fabric のコアコンポーネントです。デバイスの ID、プロファイル、ポスチャなどの豊富なコンテキスト情報を FortiGate ファイアウォール、FortiSwitch、FortiAP、FortiAnalyzer、および FortiSandbox と共有します。これにより、適応型マイクロセグメンテーション、自動脅威対応、一元化されたロギングが、セキュリティエコシステム全体で統合されたポリシーフレームワークを活用して可能になります。

    この評価で比較されている具体的なバージョンは何ですか？+

    この評価は主に FortiNAC 9.x（2026 年までに成熟すると考えられる機能を考慮）と Cisco Identity Services Engine (ISE) 3.4、および 3.x の進歩を認識して比較しています。

    もし私のネットワークインフラがすべて Cisco 製である場合、それでも ISE の方が理にかなっていますか？+

    ネットワークがほぼ完全にシスコ製であり、マイクロセグメンテーションのために TrustSec に多大な投資をしており、専門のシスコの専門知識を持つ場合は、dACL、SGT、およびその他のシスコ固有のテレメトリとのネイティブ統合により、ISE は依然として強力なソリューションとなり得ます。しかし、オールシスコ環境であっても、FortiNAC の IoT プロファイリングと潜在的に低い TCO は強く検討する価値があります。

    FortiNAC は Fortinet 製以外のネットワークデバイスと統合できますか？+

    はい、FortiNAC はベンダーニュートラルであり、RADIUS、SNMP、CLI などの標準ベースのプロトコルを介して、様々なメーカー（Cisco、HPE、Aruba、Juniper など）のネットワークデバイスと統合できます。そのプロファイリングにおける強みは、パッシブディスカバリ手法を活用することで、Fortinet 製以外のデバイスにも及びます。