Você pode usar
iptraf
ou
iftop -P
para identificar conexões que consomem grande parte da sua largura de banda. Uma conexão é identificada por um par de (localip: port, remoteip: port). Você pode então usar
netstat -tunp
para procurar o processo que usa essa conexão. Na maioria das vezes, você será capaz de dizer qual serviço é responsável apenas olhando para a porta, por exemplo, se a conexão usa localip:80
no lado local, provavelmente é o seu servidor web; -)