<div dir="ltr"><div>Take a look </div><div><br></div><a href="http://try.bro.org/#/trybro/saved/228251">http://try.bro.org/#/trybro/saved/228251</a><br><div><br></div><div>In this instance, the client sent the Key Exchange Init packet first and the server sent it&#39;s Key Exchange Init packet second. The client packet actually contained the list of encryption algorithms seen here, but it&#39;s being printed out when I specify is_server == T, it should be printed when is_server == F, right?</div><div><br></div><div>It also looks like ssh_capabilities is only capturing details within the first Key Exchange Init packet, whether that be the one from the server or the client, and ignoring the second one. </div><div><br></div><div>So sometimes the server will send the KEI first, Bro captures that, then the client sends it&#39;s KEI and it looks like Bro ignores it. Same thing happens when it&#39;s the other way around. I want to be able to look at the details in both KEI&#39;s.</div><div><br></div><div>Does this make sense? Does anyone know how this can be fixed or maybe I&#39;m doing something wrong here?</div><div><br></div><div>Thanks!</div><div><br></div><div>John</div></div>