- Обращай внимание на профиль пакетопотока. Могут быть интересны стабильность интервала, размеры пакетов.

- Пробуй искать предшествующую сигнализацию, например распознанный stun.

- Выделяй p2p профиль, много уникальных адресатов, малый объём пакетов на каждого, резидентные AS.