请教，基本概念的困惑（winpcap和包传递）

写了一个NDIS中间层过滤驱动，过滤一些包从而来防止ARP欺骗。
我现在用winpcap编一个应用程序来实现抓包。
我的问题是
1.winpcap抓包是在哪一层实现的？
2.winpcap抓到的包是否以NIC--->NDIS中间层过滤驱动---->TDI---->应用程序，这种方式传递。还是winpcap抓到的包不经过NDIS中间层过滤驱动，直接由NIC给应用程序？