Замена заголовка ип, как узнать реальный ?

ПО почерку исправлявшего...

а можно более понятно ? tcpdump видит только то что есть эхо-запрос, от кого и куда.

Звонить провайдеру и объяснять ситуацию

Никак не прочесть, его ведь там уже нет. Можно попытаться вычислить откуда идут пакеты, но это зависит от конкретных условий. Атака снаружи идёт?

Нет, из нутри

если изнутри то нада MAC искать

а если SNORT поставить?

Да, если вам такое понравится..

Я в последнее время увлекся виртуальными машинами.
Это можно использовать, например, так: ставится на
VM специализированный дистрибутив, например IPCop.
В нем устанавливаешь SNORT и все остальное.
При атаке траффик переводишь через VM, пишешь логи,
вычисляешь гада.

Потом возвращаешь все в нормальный режим.

А вот последняя идея просто супер! Спасибо !