deman, в массе своей вся навороченная фильтрация делается уже приложением, и даже на самых эффективных языках анализаторы обычно это делают постфактум, то есть по дампу, а не в реальном времени. При использовании некоторых драйверов предварительная фильтрация происходит на их уровне, но там свои ньюансы. В общем, ладно, теперь примерно ясно, что и зачем Вам, интересно, что получится.