Azonosítatlan "nagy" bejövő hálózati forgalom

Sziasztok,

MRTG-vel(snmp-vel) monitorozok egy Debian linuxos gépet, az átlagos bejövő forgalom 50-100K/sec, de pár napja, 30 percre megugrik és hirtelen 1000-1200K/sec lesz a bejövő forgalom, és kiváncsi lennék az okára.
Gondoltam, iptraffal nezenm de nem mindig ugyanakkor jelentkezik, tehát ez csak akkor járható ha belépek a gépre, amikor a jelenség vizsgálható, vagy cronbol x percenkent figyelem mekkora a forgalom és akkor indít egy iptraf jobot.

Amit néztem:
-ftp download/upload beallitva 200K-ra
-nem volt releváns bejelnetkezés az adott időszakban
-nem volt ssh brute force probálkozás
-nem volt sok http lekérés
-nem volt nagy bejövő levélforgalom
-nem keletkeztek új fájlok az adott időintervallumban
-semmi extra a log fajlokban
-chkrootkit semmit sem talált

Van vlalkinek jobb ötlete, hogyan lehetne rájönni mi okozza?
És utána esetleg letiltani (iptables, stb...)

Köszönöm a hozzászólásokat, ötleteket.