Eu acredito que você está falando de ataques DDOS.
Quando um DDOS acontece o servidor descarta conexões por falta de recursos, o serviço não consegue lidar com tantas conexões simultâneas, geralmente ao analisar um arquivo de sniffer, quando um DDOS acontece, você vai notar um grande volume de conexões em um curto período, se um ataque for distribuído você irá notar IP's diferentes se conectando no mesmo segundo, para cada conexão deve existir pelo menos uma resposta, ou seja isso demonstra uma conversa, comunicação entre o IP de origem e o seu servidor, portanto um ataque DDOS vai ser bem sucedido quando a quantidade de requisições enviadas ultrapassar a capacidade de resposta de um serviço/servidor e isso pode ser observado no sniffer olhando se a quantidade de requisições condiz com as quantidades de respostas que o seu servidor enviou, ou seja se o seu servidor recebeu 500 requisições em um intervalo de 10 segundos ele conseguiu responder essas 500 requisições? você tem que observar se teve a ida e a vinda no sniffer, se não houve resposta ou se o seu servidor respondeu uma quantidade muito menor de requisição do que deveria isso é um grande indício de que o seu serviço está sobrecarregado ou down.
Uma maneira rudimentar de achar o máximo de conexão que o seu servidor aguentou é verificar e contar no sniffer a quantidade de conexões recebidas antes do seu servidor parar de responder ou responder menos do que deveria ...
Abra um loop e comece a contar a partir da linha que começa o flood, incremente a cada par de conexões no .pcap (conexão recebida/conexão respondida), quando você perceber só está recebendo conexões e não tem mais a resposta do seu servidor (seu servidor parou de responder) pare o loop e você terá encontrado o ponto crítico, isso vai te dar um número de conexões que o seu serviço aguentou antes de cair/sobrecarrega.
Ainda sobre essa pergunta:
Como verificar o estado do buffer do servidor antes e depois do
ataque?
Não existe como saber o estado do buffer do servidor antes do ataque usando sniffer com exatidão, você pode apenas estimar analisando o sniffer (quantas conexões com resposta do seu servidor ocorreu dentro de um determinado intervalo), cada serviço (ftp, www, dns, email), um engenheiro, admin de redes, etc vai estudar a arquitetura o poder de processamento do server e a rede onde esses serviços rodam e configura dentro de cada serviço a capacidade máxima possível de conexões simultâneas que eles devem aguentar.
Como fora dos laboratórios isso é feito? (vida real man) vou te enviar um exemplo real de onde eu trabalho, é totalmente inviável você manter um sniffer rodando na rede capturando tudo, isso é surreal, como você deve ter percebido isso vai gerar arquivos com uma ordem de grandeza absurdos, identificar ataques assim em tempo real é impraticável, então para cada servidor que roda um serviço eu pego por amostragem a quantidade de conexões simultâneas que o serviço tem a cada intervalo de tempo:
netstat --tcp -n | grep -v "LISTEN" | awk '{print $4}' | grep ":443" | grep "$ServerIP" | wc -l
Esse comando é executado automaticamente de tempos em tempos(a cada 5 min por exemplo) no server que roda um https(porta 443), ele retorna quantas conexões tem no momento da execução, com isso é possível saber se o serviço está perto do limite de conexões simultâneas configurado e gerar alertas em tempo real acionando os engenheiros de redes e admin's, a cada amostra capturada desse comando eu também vou montando um gráfico que vai conter todo o histórico de quantidade de conexões, depois é só eu escolher o período que eu desejar para ver as conexões da porta https:

Isso é feito para todos os serviços da rede, só mostrei esse para exemplificar!
Um Sniffer foi feito para uso pontual e não para ficar capturando tráfego de rede 24x7, quando um alerta desse sistema dispara ai sim todo mundo começa a sniffar a rede procurando qual ou quais IP's estão gerando tráfego incomum.
Lembre-se é relativamente simples analisar, identificar e bloquear ataques quando eles vem de um mesmo IP, mas todo esse seu trabalho (cálculo de entropia, calcular quantas conexões o serviço aguentou antes de parar de responder,etc) cai por terra se for um ataque distribuído (vindo de origens diferentes).