ну на циске можно посмотреть статистику по интерфейсам, например командой show interface gigabotEthernet x/x. Там буит видно и колво каналов и утилизация портов и тд. А вообще схема такая - отрубаешь все абоненткие порты и смотришь инет пошел или нет - так определим откуда атака (это с учетом что реально дос или ддос идет). Потом если с нета то при помощи файервола стараемся погасить атаку. Если атака изнутри - делаем зеркалирования всего внутренего трафа на какой нить свободный порт циски и втыкаем туда машину со снифером. Пока так