> ## Documentation Index
> Fetch the complete documentation index at: https://hilt.ai/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# 主机群行为

> 对你的主机群进行聚类分析与行为建模。

按主机的行为方式对其分组，并展示这些分组如何随时间变化。活动相似的主机会形成 **集群（cluster）**（行为分组）；随着行为在周期性的 **重新拟合（refit）** 之间发生变化，主机会在集群之间移动。此页面同时可视化当前的分组与这种移动。在冷加载时，页面会自动选择最显著的移动流。

* **标头**：标题、副标题 *"How hosts group and shift over time"*，以及一段 `{N} clusters · {M} hosts` 摘要。
* **洞察条**：一张卡片，概述最值得关注的变化（例如 *"3 hosts moved into Network-heavy"*），附带一个主要驱动指标，并在相关时提供 **Investigate Event** 按钮。
* **画布**（左侧）：主机群可视化，其下方有一条重新拟合时间线。
* **证据栏**（右侧）：随你的选择而变化的上下文面板。

***

## 主机群画布

画布绘制当前快照：

* **集群气泡**：每个行为分组一个，按主机数确定大小、按集群着色，并显示标签和主机数。大气泡可能包含一段简短叙述。幽灵集群（Ghost cluster，即所有主机都已迁出而清空的集群）会显示为暗淡的气泡，并被排除在标头集群计数之外。
* **Idle** 和 **Returned** 池：特殊分组（位于底部两角），分别用于遥测数据不足的主机和重新出现的主机。
* **移动箭头**：集群之间的弧形流，宽度按主机数缩放，并标注 `{N} hosts`。
* **主机点**：气泡内的单个主机（当 Hosts 图层开启时）。

### 图层

一个小工具栏（位于画布左上角）用于切换叠加层。集群始终显示；你可以开启或关闭 **Movements** 和 **Hosts**。在最初一次重新拟合时，Movements 不可用（没有此前的快照可供比较）。在非常大的主机群上，启用 Hosts 会使你聚焦到某个集群内部（主机点仅在被选中的集群内绘制）。

### 浏览导航

* **滚动** 进行缩放，**拖拽** 进行平移；**Reset view** 控件可重新居中。
* **点击集群气泡** 打开其详情（再次点击可取消选择）。
* **点击移动箭头** 检视该流。
* **点击主机点** 打开该主机的轨迹。
* **点击 Idle 或 Returned 池** 查看其详情面板。
* **点击背景** 清除选择。

***

## 重新拟合时间线

在画布下方（当存在多次重新拟合时），一个 **Timeline** 控件可在随时间产生的快照之间拖动浏览。拖拽或点击轨道可跳转到某次重新拟合，或使用 **Play** 按顺序重放这些快照。更改重新拟合会清除当前选择。

一次重新拟合就是对主机群进行的一次周期性重新聚类。时间线上的每个点都是当时主机分组方式的一个快照。（此控件在时间上移动；它不会更改聚类参数。）

***

## 证据栏

右侧栏会根据所选内容显示不同内容。

### 活动摘要（默认）

未选择任何内容时，该栏显示 **Activity summary**：近期的变化（最多三个流，例如 *"*{N} *hosts →* {cluster}*"* 并附带一个驱动因素）以及主要的 **behavior groups** 及其主机数。如果自上次重新拟合以来没有任何移动，会如实说明。

### 集群详情

选择某个集群会显示其标签和主机数、一个 **Investigate Event** 按钮、一段可选叙述、一份 **Cluster Profile**（按 Network、Process 和 File 分组的指标条），以及成员 **Hosts** 列表。主机列表可过滤为 **Moved** 主机（这些主机带有一个 *from* {cluster} 徽章），并在前 10 个之后分页。

### 移动详情

选择某个流会显示 {N} **hosts moved**、*from → to* 集群、重新拟合的时间范围，以及一个置信级别（high/medium/low）。**Behavior Shifts** 用带符号的百分比条概述这些已移动主机的典型变化，一个可展开的 **Hosts** 列表则细分每台主机的增减量。

### 主机轨迹

选择某台主机（或通过主机深度链接进入）会显示其 **current cluster**、一段可选叙述、其在最近几次重新拟合中的 **recent trajectory**（以一条彩色条带呈现），以及其 **most recent move** 及驱动该移动的主要指标增减量。

### 池详情

选择 **Idle** 或 **Returned** 池会解释该池的含义并列出其主机（已返回的主机会显示它们重新加入的集群）。

***


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.