Может ли это быть DOS-атака?

Я здесь немного не в себе (мы достаточно небольшая фирма, я разработчик программного обеспечения, которому при необходимости приходится выполнять системного администратора), но я решил спросить у умных людей из ServerFault о своей проблеме, прежде чем мы позвонил в нашу стороннюю фирму ИТ-поддержки.

В настоящий момент мы переживаем резкий скачок трафика, похожий на октябрьский скачок, который прошел сам по себе. Если вы увидите монитор использования Интернета нашим интернет-провайдером:

Вы заметите, что за последние 2,5 дня мы максимально использовали наше ADSL2-соединение (~ 20 Мбит / с). По иронии судьбы, в один из таких дней был день Австралии (государственный праздник).

У нас есть интернет-устройство Fortinet Fortigate, которое выполняет наши журналы и подключение к Интернету. Вот его снимок нашего использования: Это было сделано вчера:

Этот сегодня:

Вы увидите, что соединение было полностью на максимальном уровне, пока мы не прибыли в офис вчера утром, затем оно было в значительной степени доведено до максимума (намного выше, чем обычно, как вы, вероятно, можете понять из изображения ежемесячной истории Internode), пока мы не ушли. а затем он снова начал использовать 100%. Наконец, около 11:00 Междоузлия окончательно закрыла нас (странно, учитывая, что мы превысили наш предел за последние 2 дня).

У нас есть подписка на FAMS, службу онлайн-регистрации и отчетности Fortinet. У нас также есть наш Fortigate, который экспортирует наши журналы на сервер системного журнала. Я посмотрел на FAMS, и вот как выглядит максимальное использование службы по журналу назначения:

Как видите, там зарегистрировано всего около 8 или 9, что для нас нормально, по крайней мере, это не где-то рядом с 167 ГБ, которые мы использовали для входа в Internode.

Это меня озадачивает - очевидно, что у устройства Fortigate есть какой-то журнал трафика, так как его снимок использования хранит его там, но в подробных журналах (системные журналы мало что показывали, но я не знаю, как их анализировать в эффективный способ, я только что наблюдал за их потоком) нет ничего.

У меня вопрос, есть идеи, что это за трафик? Я думаю, что, возможно, Fortigate не беспокоится о регистрации определенных типов трафика (ICMP?), И мы получаем DOS через этот тип трафика. Я должен упомянуть, что у нас есть общедоступные URL-адреса, защищенные паролем, но наши загрузки не включены в нашу квоту, поэтому я не думаю, что это так.

Есть какие-нибудь советы, где мне искать? Или я должен просто вызвать большие пушки (или, возможно, просто подождать, пока он уйдет, как в прошлый раз ...)

РЕДАКТИРОВАТЬ: Вот еще один отчет от FAMS, я считаю, что он идет по веб-запросам, к сожалению, я не могу получить отчет по всем портам для этого: