O fluxo de dados da aplicação se inicia no primeiro datagrama.

O 3way handshake está representado pelos três primeiros datagramas. Já o fluxo de dados inicia-se no datagrama #4.

ERRADO. Encontrei um trecho de um livro que ilustra bem isso.

Segundo Eriberto(2013,p.146),"A função do three-way handshake,também conhecido com 3WHS,é garantir que haja uma conexão antes de ocorrer a transmissão de dados(por PSH). [...] O PSH(ou push) é utilizado quando desejamos enviar dados.Esses dados estarão no payload e sempre serão compostos de um outro protocolo. No caso, como essa conexão refere-se a um cliente acessando o correio,estamos falando do protocolo POP na porta 110."

**Como na linha 1 da captura é usada a flag SYN(S) e não a flag PUSH(P), então não há dados da aplicação no primeiro datagrama. Os dados da aplicação só começam na linha 4 com a flag P(ush).

Bibliografia:

ANÁLISE DE TRÁFEGO EM REDES TCP/IP-JOÃO ERIBERTO MOTA FILHO-2013, PÁGINA 146-147