跳转到主要内容
按主机的行为方式对其分组,并展示这些分组如何随时间变化。活动相似的主机会形成 集群(cluster)(行为分组);随着行为在周期性的 重新拟合(refit) 之间发生变化,主机会在集群之间移动。此页面同时可视化当前的分组与这种移动。在冷加载时,页面会自动选择最显著的移动流。
  • 标头:标题、副标题 “How hosts group and shift over time”,以及一段 {N} clusters · {M} hosts 摘要。
  • 洞察条:一张卡片,概述最值得关注的变化(例如 “3 hosts moved into Network-heavy”),附带一个主要驱动指标,并在相关时提供 Investigate Event 按钮。
  • 画布(左侧):主机群可视化,其下方有一条重新拟合时间线。
  • 证据栏(右侧):随你的选择而变化的上下文面板。

主机群画布

画布绘制当前快照:
  • 集群气泡:每个行为分组一个,按主机数确定大小、按集群着色,并显示标签和主机数。大气泡可能包含一段简短叙述。幽灵集群(Ghost cluster,即所有主机都已迁出而清空的集群)会显示为暗淡的气泡,并被排除在标头集群计数之外。
  • Idle 和 Returned 池:特殊分组(位于底部两角),分别用于遥测数据不足的主机和重新出现的主机。
  • 移动箭头:集群之间的弧形流,宽度按主机数缩放,并标注 {N} hosts。
  • 主机点:气泡内的单个主机(当 Hosts 图层开启时)。

图层

一个小工具栏(位于画布左上角)用于切换叠加层。集群始终显示;你可以开启或关闭 Movements 和 Hosts。在最初一次重新拟合时,Movements 不可用(没有此前的快照可供比较)。在非常大的主机群上,启用 Hosts 会使你聚焦到某个集群内部(主机点仅在被选中的集群内绘制)。

浏览导航

  • 滚动 进行缩放,拖拽 进行平移;Reset view 控件可重新居中。
  • 点击集群气泡 打开其详情(再次点击可取消选择)。
  • 点击移动箭头 检视该流。
  • 点击主机点 打开该主机的轨迹。
  • 点击 Idle 或 Returned 池 查看其详情面板。
  • 点击背景 清除选择。

重新拟合时间线

在画布下方(当存在多次重新拟合时),一个 Timeline 控件可在随时间产生的快照之间拖动浏览。拖拽或点击轨道可跳转到某次重新拟合,或使用 Play 按顺序重放这些快照。更改重新拟合会清除当前选择。 一次重新拟合就是对主机群进行的一次周期性重新聚类。时间线上的每个点都是当时主机分组方式的一个快照。(此控件在时间上移动;它不会更改聚类参数。)

证据栏

右侧栏会根据所选内容显示不同内容。

活动摘要(默认)

未选择任何内容时,该栏显示 Activity summary:近期的变化(最多三个流,例如 ” hosts → ” 并附带一个驱动因素)以及主要的 behavior groups 及其主机数。如果自上次重新拟合以来没有任何移动,会如实说明。

集群详情

选择某个集群会显示其标签和主机数、一个 Investigate Event 按钮、一段可选叙述、一份 Cluster Profile(按 Network、Process 和 File 分组的指标条),以及成员 Hosts 列表。主机列表可过滤为 Moved 主机(这些主机带有一个 from 徽章),并在前 10 个之后分页。

移动详情

选择某个流会显示 hosts moved、from → to 集群、重新拟合的时间范围,以及一个置信级别(high/medium/low)。Behavior Shifts 用带符号的百分比条概述这些已移动主机的典型变化,一个可展开的 Hosts 列表则细分每台主机的增减量。

主机轨迹

选择某台主机(或通过主机深度链接进入)会显示其 current cluster、一段可选叙述、其在最近几次重新拟合中的 recent trajectory(以一条彩色条带呈现),以及其 most recent move 及驱动该移动的主要指标增减量。

池详情

选择 Idle 或 Returned 池会解释该池的含义并列出其主机(已返回的主机会显示它们重新加入的集群)。
最后修改于 2026年10月8日