Могу предложить может не инженерный вариант, но : у вас есть где-то узловой коммутатор - на не в определенный момент времени собрать статистику с mac адресами (постоянными) за 2-3 дня. Далее, если появляется "левый" mac добавить его в правила ACL на узловом коммутаторе, далее тупо кто пожалуется- смотреть, что за устройство. Так же от петель должна быть LoopBack Detection (LBD) включена.