¿Cómo saber si una IP es intrusa?

[P3tA2]

Me he descargado linux y estaba intentando analizar la red con nmap, hice un rastreado entre todas las direcciones del router y mire los SO de cada uno, ahora quiero saber a partir de la IP de cada una de las conexiones si es maliciosa. A parte me gustaría ver los paquetes que está manejando, descargué el wireshark pero no se como... ¿conectarlo?