Análisis de paquetes .pcap

Estimados, Son 2 ejercicios. Si tengo una captura de trafico de red en un pcap de 30mil lineas y me dicen que en esa captura debiese haber un ataque a un servidor y se necesita saber qué información fue robada en el ataque y por otro lado tengo otro pcap de 300 líneas y me piden la cuenta d twitter del "hacker" que atacó. ¿Cómo resolver eso? Que necesitaría estudiar o qué herramienta usar. Pd: solo es un ejercicio de un ctf que finalizo (defcon 25) y otro que encontré por allí. Y me dejaron tirado. No sé por dónde empezar. Cómo analizar esos temas. Cómo detectar un "ataque".