| 规避手法 | 分片重叠、微小分片、分片乱序 |
|---|---|
| 对抗 | 先重组再检测 + 异常分片行为检测 |
| 注意 | 正常业务（隧道、音视频）也会产生分片，避免误伤 |
排查动作
排查动作
1. 关注设备分片重组相关计数与告警
2. 出现分片类告警先确认是否为正常业务
3. 确认重组功能已开启且资源充足分片处理策略设备间差异较大，跨厂商对比时以文档能力清单为准。
分片报文与入侵检测
攻击者可能利用分片规避检测；设备需要重组分片后再检测，否则会漏掉跨分片的特征。
易错点
- 为消除分片告警直接放行所有分片，会留下检测盲区
- 把全部分片告警当成攻击处理，会误伤隧道与音视频业务
数据来源与参考
- RFC 1858（IP 分片安全考虑）
- NIST SP 800-94（分片处理）