根据如何使用固件监视器文档：

命令语法

fw monitor [-u|s] [-i] [-d] [-D] <{-e expr}+|-f <filter-file|->> [-l len] [-m
mask] [-x offset[,len]] [-o <file>] <[-pi pos] [-pI pos] [-po pos] [-pO pos]
| -p all > [-a] [-ci count] [-co count] [-vs vsid or vsname]

-e expr是您要查找的开关：

fw monitor能够仅捕获您感兴趣的数据包。可以在命令行上设置过滤器表达式（使用 -e 开关），从文件中读取它（-f）或从标准输入 (-f -)。

表达式语法记录为：

fw 监视器过滤器使用 INSPECT 的子集来指定要捕获的数据包。一般语法是：

accept expression;

进而：

使用关系和逻辑运算符可以轻松构建复杂的捕获过滤器。例如，除了 http表达式之外的所有内容：

accept not (sport=80 or dport=80);

因此，您要查找的命令应该是：

fw monitor -e 'accept not (sport=22 or dport=22);'