| L2 / L3 / L4 |
tcp, udp, icmp, icmpv6, arp, igmp, sctp | 전송/네트워크 계층 프로토콜 |
gre, esp, ah, ospf | IPsec / 터널(Tunnel)링 / 라우팅(Routing) 프로토콜 |
lldp, pppoed, pppoes, vxlan | L2 발견 / 캡슐화(Encapsulation) |
| 애플리케이션 |
dns, http, tls, quic, ssh | 일반 응용 프로토콜 |
dhcp, dhcpv6, ntp, snmp, tftp, syslog, rip, stun | UDP 기반 응용 |
ftp, smtp, pop3, imap, mqtt, bgp, sip | TCP 기반 응용 |
rtp, radius | UDP 기반 멀티미디어/AAA |
vrrp, hsrp, gtp-u | FHRP / 모바일 터널 |
| 필드 비교 |
ip.src==192.168.1.1 | 출발지 IP 필터 |
ip.dst==10.0.0.0/24 | 도착지 서브넷 필터 (CIDR) |
ip.addr==192.168.1.1 | 출발지 또는 도착지 IP |
tcp.port==80, tcp.srcport==443 | TCP 포트 필터 |
udp.port==53, sctp.port==2905 | UDP/SCTP 포트 필터 |
tcp.flags.syn==1 | TCP 플래그 필터 (syn, ack, fin, rst, psh, urg) |
tcp.analysis.retransmission, tcp.analysis.duplicate_ack, tcp.analysis.zero_window, tcp.analysis.out_of_order | TCP 분석 이벤트 필터 |
ipv6.addr==fe80::1, ipv6.src, ipv6.dst | IPv6 전용 필터 |
ip.proto==17, ip.ttl<=64 | IP 프로토콜 번호 / TTL |
frame.len>100, frame.caplen<1500 | 프레임 길이(원본) / 캡처 길이 비교 (>, <, >=, <=, ==, !=) |
frame.linktype==1, frame.interface==0 | pcap/pcapng Link Type 또는 인터페이스 번호 필터 |
eth.addr==aa:bb:cc:dd:ee:ff | MAC 주소 필터 |
A && B, A || B, !A | 논리 연산 (AND, OR, NOT) |