Existem dois problemas com o seu comando:
- Você está perdendo o operador lógico
and
entre a porta e o tipo de pacote -
tcp-syn
é uma constante - por causa disso, a comparação entre aspas é sempre verdadeira.
Isso deve se comportar corretamente:
tcpdump dst port 80 and "tcp[tcpflags] & tcp-syn != 0"