| 过滤表达式 | tls.handshake.type == 1（ClientHello）、== 2（ServerHello）、== 11（Certificate） |
|---|---|
| 警报 | tls.alert_message 查看告警级别与描述编号 |
| 解密前提 | RSA 密钥交换（1.2 老套件）可用私钥；ECDHE 与 1.3 只能用会话密钥日志 |
| 密钥日志 | 客户端设置 SSLKEYLOGFILE 环境变量，分析工具载入该文件 |
tshark 常用命令
tshark 常用命令
tshark -i eth0 -f 'tcp port 443' -Y 'tls.handshake' -T fields -e ip.src -e tls.handshake.type | head -20
tshark -r tls.pcap -Y 'tls.alert_message' -T fields -e tls.alert_message.desc | head生产环境抓包注意隐私与合规：载荷可能包含用户数据，留存与共享前先脱敏并限定范围。