Есть несколько системных пользователей.
У каждого запущено по 10-ку сайтов.
В какой-то момент наблюдаются пики траффика и надо определить с-на какой это сайт.
Для всех сайтов пишутся access логи.

Ткните ссылку на скрипт или утилитку для подсчета числа отданных байт (с сортировкой или без) например с 12 часов дня в течении 15 минут.

P.S. Использовать Netflow нет возможности.