Poprawną odpowiedzią jest Wireshark, ponieważ jest to narzędzie (program) typu analizator protokołów sieciowych, używane do przechwytywania pakietów z interfejsu sieciowego i ich szczegółowego podglądu. W praktyce administrator lub technik teleinformatyk wykorzystuje Wireshark do diagnostyki (np. sprawdzenia, czy host dostaje adres z DHCP, jak przebiega zapytanie DNS, czy zestawia się połączenie TCP), a także do analizy bezpieczeństwa i wykrywania anomalii w ruchu.
Odpowiedź Hijacking jest niepoprawna, bo nie wskazuje programu, lecz ogólną klasę ataków polegających na przejęciu kontroli nad sesją/połączeniem (np. po stronie aplikacji lub warstwy transportowej). To pojęcie opisuje działanie napastnika, a nie narzędzie do legalnego przechwytywania pakietów.
Odpowiedź IP Spoofing również jest niepoprawna: oznacza technikę podszywania się pod inny adres IP poprzez modyfikację nagłówków pakietów. Może być elementem ataku (np. obejścia filtrów lub ukrywania źródła), ale sama nazwa nie jest nazwą analizatora ruchu.
Odpowiedź ARP Spoofing to także technika ataku: wysyłanie fałszywych komunikatów ARP w sieci lokalnej, aby skojarzyć cudzy adres IP z adresem MAC atakującego (np. w celu podsłuchu metodą "man-in-the-middle"). Właśnie do wykrywania takich zjawisk stosuje się analizę przechwyconych ramek i pakietów w Wiresharku.
Wskazówka egzaminacyjna: gdy w pytaniu pojawia się słowo "program" lub "narzędzie", szukaj nazw aplikacji (np. analizatorów, skanerów), a nie terminów opisujących metody ataku.
