> Я вот за последние три года помню буквально два случая, когда tcpdump мне понадобился.

Это говорит только о специфике конкретно вашей работы. На моей нынешней например тоже он не часто бывает нужен, хотя почаще, и как раз в ситуациях типа:

>  А от tcpdump обычно больше толку, когда распутываешь внутреннюю логику софта

Их погромисты организовывают порою предостаточно, и им нужно предъявить пруфлинки с пояснением почему они не правы. Ни netstat ни фаерволл в таком случае не канают. Так же как и в ситуации когда надо за N'ное время отследить наличие/отсутствие активности на сервисе с пониманием что это за активность.

Однако когда работал в провайдинге, то без tcpdump там можно сказать было нечего делать. Он наверное находился на втором месте после ping. Тут тебе и поимка несанкционированно воткнутых задом-наперёд soho роутеров раздающих dhcp, и детектирование петель в L2, и много других забавных ситуаций. Да, ряд из этих проблем автоматически решается управляемым оборудованием, но тогда такого жиру не было, да и сейчас не думаю что он есть повсеместно.

Подытожим, кроме криков про "всё г*вно", ну и очевидного совета проверять оригинальные источники (это надо что бы время было), вам предложить нечего (а жаль, искренне).

Но стоит-ли так разоряться? Нервы долго восстанавливаются.