есть сетка на свичах, tcpdum с опцией -р показывает пакеты xост-сервера, а без опции -p показывает весь трафик сети между всеми хостами. Насколько я понимаю, в свич-сети такого быть не должно. Куда копать?
оригинальный у вас способ выявления вредителей, патентовать не пробовали? (риторический вопрос, отвечать не нужно)
просто думал чтото умное услышать по этому поводу здесь