Сложная (вложенная и т. Д.) Фильтрация пакетов из файлов .pcap с использованием tshark или других инструментов

Несколько заметок заранее

• Задача - прочитать из захваченного .pcap файл, чем прямой эфир.
• Это должно выполняться через командную строку, а не через графический интерфейс для потенциальной автоматизации.
• Я понимаю, что такой цели можно легко достичь, написав код (например, в Python с помощью scapy), а я хотел бы больше узнать об использовании инструментов командной строки.
• Есть трафик TLS, где у меня есть соответствующие (предварительные) главные секретные ключи для дешифрования. Таким образом, мне понадобятся инструменты, поддерживающие такую ​​функцию.

Задание

Я пытаюсь выполнить несколько сложных запросов по предварительно записанному трафику, например, когда результат запроса требуется для другого запроса. Случайные (и мнимые) примеры:

1. Узнайте IP-адрес конкретного клиента, который запросил /GIVEN_PATH через HTTP / 1.1, а затем узнать все запросы с этого клиентского IP.
2. Узнайте все потоки TCP, для которых согласован запрос клиента h2 (HTTP / 2 через TLS), а затем узнайте комплекты шифров TLS, используемые для таких TCP-потоков.

Что я пробовал и пытаюсь

У меня не было большого опыта в таких областях, поэтому я потратил некоторое время на проверку wireshark/tsharkс страница руководства, руководство пользователя по фильтрам отображения, и несколько примеров на его вики-сайте. К сожалению, я еще не нашел правильного ответа.

То, что я сейчас использую (только для довольно простых случаев), - это программирование оболочки. Примеры:

• Использование переменной оболочки (при условии уникального результата): TMP_TCP_STREAM=$(tshark -nr a.pcap -Y "<some query>" -T fields -e tcp.stream); tshark -nr a.pcap -Y "tcp.stream eq $TMP_TCP_STREAM and <further query>"
• С помощью GNU Parallel: tshark -nr a.pcap -Y "<some query>" -T fields -e tcp.stream | parallel tshark -nr a.pcap -Y "tcp.stream eq {} and <further query>"

(хм, я даже подумал о преобразовании пакетов в JSON и запросе с jq : facepalm :)

Требуются советы

Не могли бы вы помочь предложить:

1. Если есть какой-либо подход к выполнению запросов с использованием tshark
2. Или, если есть другие подходящие инструменты / подходы