Traffic measurement dedicated windows service

Hi allerseits,

bei uns steht ein Teilumzug an und das NAV-Entwickler-Team und wir (Admins) haben einen kleinen Disput, an welcher Lokation der SQL-Server stehen soll.
Um das zu lösen, wollen wir ein Monitoring nutzen, um zu schauen, welche Abteilungen am meisten Traffic über die NSTs verursachen.

Den eingehenden Traffic über die NSTs zu monitoren, ist dnak Netflow nicht so kompliziert, aber den ausgehende Traffic der NSTs zu monitoren bereitet mir etwas Probleme.
Hatte mir PRTG und Solarwinds zum Monitoring angeschaut, aber konnte nur geht/geht nicht monitoren.
Mittels SCOM dachte ich die richtige Lösung zu haben, habe dort aber auch noch keine Möglichkeit gefunden.

Das einzige, was bisher mir das anzeigte, was ich wollte, war der MNM, der ist jedoch beim auswerten unpraktikabel (Volumen des Captures liegt bei ca. 50GB).
Ich kann zwar das Capture ohne Probleme in Wireshark öffnen, jedoch finde ich dann nicht die Service-Zuordnung mittels PID.

Hat jmd noch eine Idee oder kann mir den richtigen Tip für SCOM geben?

Viele Grüße Oli

P.S.: Es handelt sich um NAV 2009R2, die NSTs liegen auf einer VM. Wenn ich versuche, mir das Verhalten über den SQL direkt anzuschauen, sehe ich nur die Read/Write von diesem Moment aus (mittels select * from sys.dm_exec_sessions where nt_domain='blibla' AND host_name='blub'), nicht historisch gesehen.