エドウィンAIモデル
最終更新日 - 17年2025月XNUMX日
Edwin AIは、アラートデータのテキスト特徴の中に隠れたパターンを識別し、それらの相関関係を動的に管理します。Edwin AIモデルは相関関係を用いて、アラートの評価、グループ化、そして実用的なインサイトへの変換方法を定義します。
特定のビジネス シナリオを反映するようにモデルをカスタマイズすることで、アラート ノイズを削減し、信号の明瞭性を向上させ、洞察を有意義なものにすることができます。
Edwin AI モデルの相関ロジックには、次の要素が含まれます。
- データセットフィルター—モデルで分析するアラートを制御します。例：「Cisco Meraki ワイヤレスアクセスポイントに関連するアラートのみ」
- フィールズ—類似度を計算します。コアアラートフィールドまたはエンリッチアラートフィールドから選択できます。
注意： フィールド名は、選択した相関関係のタイプに応じて変わります。
- 相関法—たとえば、文字列ベースまたはリストベースの比較。
- 類似度パーセンテージたとえば、完全一致の場合は 100%、部分一致の場合は 80% です。
注意： 類似度のパーセンテージは文字列ベースの相関にのみ適用されます。
- 最小クラスター密度—クラスターを形成するために必要な、類似した機能を持つアラートの数を定義します (最小は 2)。
Edwin はこれらのモデルを使用して、関連するアラートのクラスターを検出し、ノイズを削減してインシデント対応の可視性を向上させるための洞察を作成します。
モデルのアラートが評価されるタイミング
モデルは、評価対象となるアラートのみを処理します。Edwin AIはアラートの変化を継続的に監視し、アラートの主要なステータス属性が変化するたびに、適切なモデルを再実行します。これにより、クラスタリングは環境の最新の状態を反映したものになります。
Edwin AI プロセッサは、次のいずれかのアラート属性に変更があった場合に、相関関係のためにアラートを再評価します。
- 新しいアラートを受信
- 状態の変化
- エスカレーションの変更
- 重症度の変化
- タイムアウト期限
- ステータスの変更によるタイムスタンプの更新
Edwin AIモデルが最適なクラスターを選択する方法
複数のモデルが同じアラートに一致する場合、Edwin AIはどのモデル（および結果として得られるクラスター）が最も適切であるかを判断する必要があります。この評価プロセスは、クラスターの重複や矛盾するインサイトの生成を回避するために不可欠です。
アラートが複数のクラスターまたはモデルに一致する場合、Edwin は次の基準を使用して最適なクラスターを選択します。
- 潜在的なクラスター内のアラートの数
- クラスター全体で最も高い平均類似度
- クラスターがすでに存在するかどうか
- モデル間で定義された相関フィールドの数
- 一致したモデルの総数
モデルの相関タイプ
Edwin AI は複数の相関関係の方法をサポートしており、アラートの類似性を評価し、クラスターを形成する方法を柔軟に選択できます。
文字列ベースの相関
文字列ベースの相関は、アラート間のテキストフィールドを比較します。 CI or description各フィールドには、0% から 100% の範囲で設定可能な類似度しきい値があります。
次の構成例を参照してください。
- しきい値が 100% の場合、アラートは完全に一致する必要があります。
- しきい値を低くすると (80%)、トークンの類似性に基づいて部分的な一致が可能になります。
この方法は、デバイス名、インスタンス ID、コレクター ID などの構造化されたテキスト値に基づいてアラートをグループ化するのに最適です。
リストベースの相関
リストベースの相関分析では、複数の値（サービス、場所、タグなど）を含むアラートフィールドを比較します。2つのアラートをグループ化するために必要な共通項目の数を決定するために、最小重複数を設定します。詳細については、Edwin AI リストベースの相関分析をご覧ください。
注意： 文字列とリストベースのフィールドの両方を使用してモデルを構成できます。EdwinはすべてのフィールドをANDロジックで評価します。つまり、アラートがクラスター化されるには、すべての相関基準を満たす必要があります。詳細については、「相関タイプの組み合わせ」を参照してください。
モデルのグループ化戦略
同じモデル内の異なるフィールドに対して、異なる相関強度を使用できます。例えば、以下の相関関係を使用できます。
| 相関関係 | 例: |
| 事業紹介 | 試合開始 CI 100%の類似性 |
| 詳細説明 | 試合開始 description 80%の類似性 |
これにより、関連するプロセスとアラートを、実際のビジネスと技術的な依存関係を反映するクラスターにまとめることができます。
相関関係の種類を組み合わせる
Edwin AIモデルは、リストベースと文字列ベースの相関ロジックを組み合わせることができます。以下では、両方のタイプを使用した場合の動作について説明します。
- 各相関タイプは、そのフィールドを個別に評価します。
- データセット フィルターはモデル全体にグローバルに適用されます。
- アラートをグループ化するには、定義された相関条件をすべて満たす必要があります。
次の例を参照してください。
同じ情報を共有するアラートをグループ化するには Name 少なくとも2つの重複する Business Services:
- 文字列ベースの相関関係を定義する
Nameフィールド。 - リストベースの相関関係を定義する
Business Servicesフィールド。 - 最小重複回数を
2.
両方の条件を満たすアラートのみがクラスター化されます。
