При подключении нового узла через хаб по твоей схеме. снифер увидит еще 1 мак в сети - в принципе можно написать программу, которая уведомит тебя о том, что появился новый мак, и ты будешь делать вывод о том, что сеть кто то мониторит!