| 重组内容 | TCP 流重组、IP 分片重组、应用层协议解析 |
|---|---|
| 价值 | 提高检测准确率，降低规避成功率 |
| 代价 | 内存与 CPU 消耗随并发会话增长 |
检查项
检查项
1. 设备是否开启 TCP 流重组
2. 长连接（大文件、视频）场景下的资源占用
3. 告警中能否还原完整会话上下文（含载荷片段）重组能力弱的设备在大量小包或分片场景下更容易出现检测盲区。
流重组与会话还原
检测设备按会话重组报文后再匹配特征，重组能力不足会漏检分片、乱序与长会话中的攻击特征。
易错点
- 关闭重组时部分分片攻击不会被检出，但开启会占用资源，按并发规模取舍
- 重组内存不足时设备可能降级处理，表现为高峰期检测能力下降
数据来源与参考
- NIST SP 800-94（流重组）
- 华为 USG6000 产品文档：流重组配置