Алексей Антипов перевел интересную статью с описанием эксперимента по сниффингу трафика локальной сети организации со взломанного маршрутизатора Cisco. Нужный трафик выбирается через "ip policy route-map capture-traffic" и пересылается злоумышленнику посредством GRE туннеля.

Думаю что для минимизации трафика, можно выбирать нужные пакеты с паролями используя "class-map match-any/match protocol".