Так он наверняка никакие порты не сканирует, а делает Broadcast ARP запрос, либо его же поочерёдно на каждый узел.

Во-первых, в таком поведении с точки зрения сети нет ничего подозрительного. Во-вторых, каждый узел в сети сможет услышать подобный запрос только для себя (если неразборчивый режим не включён). Если же включён, то можно будет увидеть, что были ARP запросы ко многим узлам.