А по ssh есть заход на 520 ?
Может какнить так попробовать:
cat /tmp/syslog.log |grep DHCP
Я правда насчет DHCP теоретик, но в логе по идее будут запросы на получение IP от всяких железок.
Развивая мысль - повесить в крон скрипт, который ежеминутно будет читать лог, и если обнаружит чужой МАС - отправит шухерное письмо например )