можно попытаться поснифить, но тут желательно всетаки иметь доступ к свитчам, хотя если у вас нет нормальной системмы учета траффика то и пароли там скорее всего заводские оставлены, по захваченному трафику можно попытаться понять что и кто делает, можно поснифить аски и посмотреть может кто-то хвастается кому-то за пределами конторы как он всех имеет, вобще выявить злоумышленника не так и сложно, даже не имея прав админа. Железо как обычно бывает более надежно чем люди
