Насколько я помню, сниффинг может быть активным (например, подключение "в разрыв канала" или применение спуфинга ARP-таблиц) - такой сниффинг детектируется (выше программы указаны), и есть снифф пассивный - когда кто-то сидит с поднятым псевдоинтерфейсом в неразборчивом режиме и тем же wireshark'ом просто слушает весь трафик сети, не вмешиваясь в её функционирование и никак себя не проявляя - такой сниффинг засечь практически невозможно.

Вспомнил одну вещь - пассивный сниффер можно засечь только если он производит резолвинг адресов. В противном случае это просто радиоприёмник, по сути.