После закрытия касс

Вы разбираете суточную выгрузку соединений. Отель «Каспий Плаза» — гостиничный комплекс. Сетевой инженер заметил, что ночью, когда офис пуст, наружу продолжает идти трафик, и передал выгрузку вам.

Содержимого пакетов здесь нет — только кто, куда, когда и сколько байт. Этого достаточно: регулярность и объём видны и без расшифровки, а большая часть трафика всё равно зашифрована.

Начните с того, что ищите не крупное, а ровное: человек не открывает соединение каждые несколько минут с точностью до секунды.