Help! Csatlakozott kliensek sávszélesség kihasználásának logolása

Sziasztok!

A napokban valaki/valami rendszeresen 5-10 percekre kihasználja szinte majdnem 100%-ban az egyik gépünk sávszélességét. Emiatt a gép mások számára teljesen elérhetetlenné válik.

http://kepfeltoltes.hu/view/140113/if_eth0-week_www.kepfeltoltes.hu_.png

Jelenleg ip konzolon keresztül iftop -nNP segítségével figyelve, már kitiltottam 1-2 ip tartományt, de még mindig előfordul. Ftp, Apache, Ngnix mint le vannak limitálva 4mbit/kliensre, tehát nem ezeken keresztül kapom az áldást valószínűleg. Kérdésem az lenne, hogy miként tudnám logolni automatikusan a nagy sávszélességet használó kliensek ip címét, illetve azt a portot amire csatlakoztak? Előre is köszönöm.

Üdv,
Gábor