エレファントフローは（合計バイト数が）非常に大きく、ネットワークリンク上で測定される、TCP（または他のプロトコル）フローによって設定される比較的長期間実行されるネットワーク接続です。デフォルトでは、エレファントフローとは 1 GB/10 秒を超えるフローまたは接続です。これらのフローは、Snort コアでのパフォーマンス拘束または問題の原因となります。エレファントフローは、過剰な量の CPU リソースを消費し、検出リソースの他の競合フローに影響を与え、遅延やパケットドロップの増加などの問題を引き起こす可能性があるため、重要です。

• エレファントフロー設定により、カスタマイズと、エレファントフローをバイパスまたはスロットルするオプションが可能になります。

• 信頼できるトラフィックをバイパスしながら、疑わしいトラフィックの Snort インスペクションを提供するために、選択したアプリケーションに基づいてフローをバイパスまたはスロットルすることを選択できます。

• エレファントフロー修復は、特定の要件に応じて、内部アプリケーション用に優先順位を付けて、より多くの帯域幅を解放するのに役立ちます。

設定されたパラメータに基づいてエレファントフローが検出された場合、フローをバイパスするかスロットルするかを選択できます。フローがバイパスされると、トラフィックは Snort インスペクションなしで通過できます。スロットリングは、フローのスループットが減少することを意味します。フローレートの削減は、CPU 使用率が設定済みしきい値を下回るまで 10% ずつ減少します。バイパスまたはスロットリングは、エレファントフローが特定され、追加の CPU および時間枠パラメータが満たされた後に行われます。許可ルールで設定済みの場合、エレファントフローを識別する前に、侵入ポリシーはフローを処理します。これは、ほとんどの攻撃が接続の非常に早い段階で検出されるため、エレファントフローが完全に未検査の状態でシステムを通過できないことを意味します。

フローの処理方法を理解するには、次のフロー図を参照してください。

システムが Snort の抑制状態（パフォーマンスの問題）を検出しない限り、アクションは実行されません。システムは、フローが大きいという理由だけでフローをスロットルまたはバイパスしません。また、スロットルとバイパスのアクションは相互に排他的です。つまり、フローをバイパスまたはスロットルすることはできますが、両方を行うことはできません。

抑制の原因となるすべてのエレファントフローをバイパスしたくない場合は、バイパスオプションを特定のアプリケーションのみに制限できます。パフォーマンスをスロットリングすることなく、信頼するアプリケーションの接続を優先することができます。バイパスする必要があるアプリケーションを設定できますが、残りのフロー（抑制の原因となる）はスロットリングされます。これにより、他の信頼できないアプリケーションフローは、帯域幅が削減されても、引き続き完全な Snort インスペクションを受信します。

データセンターでは、クラスタ間のデータのレプリケーション、仮想マシンの統合、データベースのバックアップなど、いくつかのアクティビティが発生しています。組織内のユーザーは、OTT でビデオを視聴したり、ダウンロードしたりしている可能性があります。このようなアクティビティによる帯域幅の利用は、エレファントフローを引き起こし、ネットワークの速度を低下させ、重要なタスクのパフォーマンスに影響を与える可能性があります。ネットワーク管理者（特定の要件によっては異なります）として、帯域幅の問題を引き起こしている大規模なフローを可視化し、それらを修復する必要があります。

たとえば、エレファント フロー パラメータを設定して、Webex トラフィック（組織がリアルタイムのビデオ会議に使用）の Snort インスペクションをバイパスし、その他のアプリケーションまたは接続（ビデオ、映画など）をスロットリングする方法を見てみましょう。

• Management Center 7.2.0 以降を実行していること、および管理対象の Threat Defense も 7.2.0 以降であることを確認します。

• エレファントフロー検出を有効にするだけでは、追加の接続イベントは生成されません。エレファントフロー検出は、すでに Management Center のログに記録されている一致する接続にエレファントフロー表記を追加します。これらのイベントをログに記録するには、アクセス コントロール ポリシーで接続ロギングを有効にする必要があります。特定のルールに対してこれを行うか、エレファントフローを含むすべての接続をログに記録するモニタールールを追加できます。