Fragmentación IP: Mecanismo de Evasión

# nmap con fragmentación (evasión básica)
nmap -f -p 22,80,443 192.168.1.1

# Fragmentos de 8 bytes
nmap --mtu 8 -p 80 target

# Defensa iptables: DROP fragmentos
iptables -A INPUT -f -j DROP

# O mejor: dejar que conntrack reensamble
# (habilitado por defecto con nf_defrag)

Ataque por FragmentaciónTiny Fragment Attack: primer fragmento tan pequeño que el FW no puede ver las cabeceras TCP (necesita mínimo 8 bytes para puerto).

Fragment Overlap Attack: segundo fragmento con offset que solapa el primero, alterando el contenido después del FW.

Defensa Efectivanf_defrag_ipv4: módulo del kernel que reensambla fragmentos antes de pasarlos al conntrack. Activo automáticamente con nf_conntrack.

NIDS: Snort/Suricata incluyen preprocesador de defragmentación con política configurable (First, Last, Linux, Windows).