Debido al formato de archivo “pcap” tiene sus desventajas, la IETF ideó un formato sucesor de nombre “pcapng”, una denominación corta para “pcap next generation”. El formato es completamente diferente comparado con el formato legado, construido alrededor de una estructura ampliable y basada en etiquetas. Los principales beneficios promocionados incluyen:

• Capacidad de almacenar capturas desde múltiples interfaces (y tipos de interfaces) en el mismo archivo
• Mejores opciones para la resolución de marcas de tiempo
• Campos de metadatos expandido incluyendo comentarios, estadísticas, actividad DNS, y más

La opción “-F” del comando “editcap” define el archivo de archivo para el archivo resultante de una captura. Editcap puede escribir el archivo en diversos formatos. El formato por defecto es pcapng.

$ file http_redirects.pcapng
$ editcap -F pcap http_redirects.pcapng http_redirects.pcap
$ file http_redirects.pcap

El nuevo formato de archivo pcapng es utilizado en numerosas herramientas, pero el soporte no es universal. Incluso muchas implementaciones de tcpdump no pueden completamente utilizar el nuevo formato, y los mensajes de error son inútiles para rastrear el problema.

En cambio, es fuertemente recomendado convertir cualquier archivo pcapng hacia el formato legado pcap, antes de manejarlos con una herramienta o proceso no probado. Diversos recursos pueden realizar esto, pero el más fácil está integrado dentro de la utilidad “editcap”, el cual es un componente en línea de comando de la suite Wireshark.

Fuentes:

https://github.com/the-tcpdump-group/libpcap
https://pcapng.com/
https://www.wireshark.org/
https://www.wireshark.org/docs/man-pages/editcap.html