高频过滤器
高频过滤器
ip.addr == 10.0.0.5 && tcp.port == 443
tcp.stream eq 12
tcp.analysis.flags && !tcp.analysis.window_update
tcp.flags.syn == 1 && tcp.flags.ack == 0
http.response.code >= 500
tls.handshake.extensions_server_name contains "example.com"
dns.flags.rcode != 0
icmp.type == 3
frame.time_delta_displayed > 0.5意图 → 过滤器
| 查什么 | 过滤器 |
|---|---|
| 某条 TCP 连接 | tcp.stream eq N |
| 含异常标记的包 | tcp.analysis.flags |
| 服务端错误响应 | http.response.code >= 500 |
| TLS SNI | tls.handshake.extensions_server_name |
| DNS 错误应答 | dns.flags.rcode != 0 |
| 间隔大于 500ms | frame.time_delta_displayed > 0.5 |
过滤器框支持保存与收藏（书签），把常用语句存下来，现场排查只需改 IP/端口。