Ataque direto ao Swtich para interceptar o trafego

E ai Kaue.
Tudo bem?
Sua pergunta é bem interessante!
Vamos lá:
Acredito que esteja se referindo ao ataque de MAC flooding (também chamado CAM table overflow).
O que é?
O atacante envia milhares de quadros com endereços MAC de origem falsos para o switch, enchendo a tabela CAM (Content Addressable Memory) que mapeia endereços MAC para portas.
Quando a tabela se enche, muitos switches passam a comportar-se como um hub , encaminhando tráfego para todas as portas.
Isto permite ao atacante colocar a interface em promiscuous mode e capturar tráfego destinado a outros usuários.
Como funciona (resumido):

• Atacante envia tráfego com MACs de origem falsos até lotar a CAM.
• Switch não consegue aprender/mantê-los e desabilita o encaminhamento unicast individual.
• Frames unicast começam a ser inundados para todas as portas.
• Atacante escuta e captura tráfego que não seria originalmente entregue a ele.

Formas de se prevenir:

• Port security: limitar o número de MACs aprendidos por porta e bloquear/desativar porta ao exceder.
• Static MACs para portas críticas (quando viável).
• 802.1X (autenticação de porta) para restringir dispositivos não autorizados.
• Storm control / rate limiting para limitar frames por porta.
• Atualizar firmware e usar switches com proteção contra CAM overflow.
• Segmentar rede com VLANs e aplicar controles entre VLANs (ACLs).
• Monitoramento e IDS/IPS para detectar floods ou comportamento anômalo.

Observação:
Existem também ataques como ARP spoofing / ARP poisoning que permitem captura/interceptação (MITM) a nível de camada 2/3.
Espero ter respondido sua pergunta.
Qualquer duvida comente ai.
Bons estudos.