Se supone que con este comendo podrás saber cuántos procesos genera cada IP que está conectada en este momento a tu servidor, un número alto podría significar un ataque:

netstat -plan|grep :80|awk {'print $5'}|cut -d: -f 1|sort|uniq -c|sort -nk 1 | wc -l