>>218
セッション数がやけに多かったりしたら怪しまれるし、
httpポートやftpポートに対するリクエストとかあったら一発だから
簡単にわかっちまうよ。