Wireshark
El analizador de paquetes de código abierto dominante. Gerald Combs, 1998 (entonces se llamaba Ethereal). Puede disecar más de 3000 protocolos, de forma visual en una GUI.
Se apoya en libpcap (la misma base que tcpdump). Cambió de nombre a Wireshark en 2006. Se usa para: depuración de red, respuesta a incidentes de seguridad, pentesting, ingeniería inversa de protocolos. Admite captura en vivo + ficheros PCAP sin conexión. Los filtros de visualización no son los mismos que los filtros de captura (sintaxis BPF). Sustitutos más modernos para fines concretos: termshark (TUI), Brim (para PCAP grandes), Arkime (archivo consultable).