Определение типа трафика сниффером?

Задача - определить возможность быстрого определения наличия определённых данных в трафике - например, факта передачи данных по IMAP, управления устройствами или сбор данных по ICMP, передачи данных с использованием шифрования SSL или TLS. Причём - максимально простое определение. Реализацией не мне заниматься, от меня просили уточнения возможности.

По ICMP смысл понял. Судя по всему, с протоколами верхних уровней, такими как IMAP, такое не пройдёт...

Константин Буланов: Если надо быстро-просто и без полного разбора, то поиск определенных байт по определенным смещениям. Реализовать это можно, например, при помощи bpf. Но, как вы, на мой вгляд, правильно заметили, при работе со сложными прикладными протоколами вскроется множество нюансов.

Можете на первых порах определять IP протокол (ICMP/TCP/UDP), и, исходя из номера порта назначения, назначать категорию (http, https и т.д.) и уже внутри категории действовать эвристиками.

Также можете посмотреть, как такая задача решается IDS/IPS вроде snort. Там, по-моему, были какие-то подходы к ускорению определения трафика.