Перехват пакетов
Захват и чтение сетевого трафика, проходящего через интерфейс. Основной инструмент любой диагностики сети — и та же техника, которой атакующий крадёт данные.
Сетевую карту переводят в promiscuous-режим, чтобы она не отбрасывала и кадры, адресованные другим. В сетях на хабах это означало, что видно всё; в коммутируемой сети видны только ваш трафик и широковещание, а до остального нужно добираться через SPAN-порт, физический TAP или атаку вроде ARP spoofing. Инструменты — libpcap, tcpdump в командной строке и Wireshark, когда нужна расшифровка протоколов. Шифрование помогает очень сильно, но не полностью: SNI, сертификаты, размеры пакетов и временные закономерности всё равно выдают, кто с кем разговаривает.