Dê um TORCH na interface do link, veja quais ips de origem e destino estão consumindo mais link, monitore estes ips, veja a que estão relacionados e em caso de suspeita de estar passando pelo seu firewall você tem a opção de bloquear o acesso a estes ips. Dica: se utiliza proxy e estiver mal configurado pode consumir todo o seu link seja ele de 6MBps ou 60MBps.