Как определить кто посылает arp-запросы

возможно lsof | grep sock

Посылает арп-запросы скорее всего само ядро. А арп-ответы приходят? Этот хост вобще есть в подсети?

Нет, хоста в сети нет. Но какая-то прога настойчево его ищет. Т.к. дело даже не доходит до установки соединения, то по SYN'ам, netstat'ом и т.п. прогу не вычислить. Конечно, можно пойти путём перебора, kill'ять процессы и смотрить, что происходит с этими arp-запросами, но это не спортивно. Ведь должен быть какой-то способ, вычислить инициатора arp-запросов.

iptables -m owner