[нужен] сниффер, который будет прослушивать только пакеты от определенного PIDa

вайршарк? он вроде умеет

счас собираеться он, вот пока собираеться думал спросить
у него как работа без ГУЯ кстати?

iptables ?

-j ULOG ?

1) Ручками через netstat -anpvut посмотреть, какой сокет заняла программа и через tshark/tcpdump выбрать этот сокет. Если она эти сокеты не часто плодит/менят.
2) Можно через iptables и опции owner/pid вытаскивать такие пакеты и заворачивать на какой-нибудь dummy интерфейс. Здесь, подозреваю, придется погеммороиться, но реализуемо. И дальше уже слушать только этот интерфейс.

>owner/pid

Ее выкинули из-за проблем с SMP. Проще всего запускать от определенного пользователя.

tshark в комплекте.