tcpdump로 특정 트래픽만 캡처하기

tcpdump 고급 필터링:

# 특정 IP의 HTTP 트래픽
sudo tcpdump -i eth0 host 192.168.1.100 and port 80 -A

# POST 요청만 (HTTP)
sudo tcpdump -s 0 -A 'tcp dst port 80 and (tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x504f5354)'

# DNS 쿼리만
sudo tcpdump -i eth0 udp port 53

# SYN 패킷만 (포트 스캔 탐지)
sudo tcpdump 'tcp[tcpflags] == tcp-syn'

# 특정 서브넷 제외
sudo tcpdump not net 192.168.1.0/24

# 100바이트 이상 패킷만
sudo tcpdump greater 100

# PCAP 파일로 저장 (나중에 Wireshark에서 분석)
sudo tcpdump -i eth0 -w /tmp/capture.pcap -c 10000

캡처할 때는 -w로 파일에 저장하고, Wireshark에서 분석하는 것이 가장 효율적입니다.