分片为什么和检测有关
IPv4 允许把一个大报文拆成多个分片传输，攻击者就利用这一点做规避：把攻击特征分散到多个分片里，制造分片重叠让不同设备理解出不同内容，或者用海量微小分片拖慢设备处理。检测设备必须先重组分片再匹配特征，否则跨分片的特征永远匹配不上。
分片也可能来自正常业务
隧道封装、音视频传输、路径 MTU 收敛都会产生正当分片，所以不能见到分片就阻断。合理做法是两条腿走路：开启分片重组让检测能力到位，同时对异常分片行为（重叠、超细分片、数量异常）单独告警，正常分片放行并保留计数。
基本信息
| 规避手法 | 分片重叠、微小分片、分片乱序 |
|---|---|
| 对抗思路 | 先重组再检测，并对异常分片行为单独告警 |
| 正常来源 | 隧道封装、音视频、路径 MTU 调整 |
| 处理原则 | 既不整体放行分片，也不整体阻断分片 |
| 验证方式 | 分片重组计数、分片类告警与误伤反馈对照 |
典型使用场景
- 排查分片类告警是否为正常业务造成
- 确认分片重组功能是否真的开启且资源充足
- 评估隧道或音视频业务被分片策略误伤的可能
- 安全事件中发现疑似分片规避手法
- 跨厂商设备对比时核对分片处理能力
- 升级或更换设备后回归验证分片检测行为
排查动作
排查动作
# 1. 查设备的分片重组相关计数与分片类告警
# 2. 出现分片类告警时，先确认来源与业务是否相关
# 3. 确认重组功能已开启、内存与会话资源充足
# 4. 对重叠与超细分片单独设告警，正常分片放行
# 5. 变更分片策略后观察一周误伤与漏检情况分片类型与处置
| 类型 | 特征 | 处置建议 |
|---|---|---|
| 正常分片 | 与业务相关，分片大小合理 | 放行并保留计数，作为基线 |
| 重叠分片 | 偏移重叠、内容冲突 | 重点告警，多为规避手法 |
| 微小分片 | 分片负载极小但数量巨大 | 限速并告警，评估是否为拖慢攻击 |
| 乱序分片 | 到达顺序与偏移不一致 | 依赖重组能力，先确认重组已开启 |
分片处理策略设备间差异较大，跨厂商对比时以文档中的能力清单为准，不要凭经验假设。
为消除分片告警直接放行所有分片，会留下检测盲区；这类规避手法不用很复杂就能穿过。
重组能力与内存资源直接相关：分片处理开启而资源不足时，设备可能降级处理，表现为高峰期检测能力下降。