Arphound écoute le traffic réseau sur un segment ethernet, établit une table des couples adresse IP/adresse physique (MAC), et informe via divers mecanismes de log de tout évènement particulier.
 Arphound repère les cartes changeant d'adresse IP, les conflits d'IP, les requettes et réponses DHCP, les requettes et réponses ARP d'une IP hors du sous-réseau, les réponses ARP broadcastés (envoyés par certains spoofers), vérifie que les IPs utilisées possèdent une entrée DNS, ... Il vérifie de plus que les paquets provenant et à destination hors du sous-réseau utilisent bien la MAC d'une des passerelles enregistrées.