「後者なら」の意味がわからんが、データリンクへのアプローチだったらLinuxならソケット、BSDならBPFでいけるんでねぇの。
トランスポート以前でモニタ・加工ってことな。