Program arpwatch, alespoň ten, který používám na Linuxu, nepracuje na principu porovnávání změn v arp cache, to by se zaznamenávaly jen stanice, se kterými jsem komunikoval. Arpwatch odposlouchává a analyzuje komunikaci protokolem ARP. Proto zaznamená i stanice, které vyslaly arp-request. To je broadcast, proleze celou sítí a arpwatch jej slyší. Arpwatch nezaznamená stanici, která je zcela tiše. Lze ji samozřejmě zkusit vyprovokovat např. vysláním arp-requestu.
