ISA для подсчет трафика не годится. В отчетах будет присутствовать только трафик прошедший через нее, к тому же очищенный от заголовков IP, а то, что отреджектила ISA в отчеты не попадает. Насчет троянов сервер проверили? Если сидит, то очень вероятно, что трафик даже в ISA не попадает, а принимается и уходит с интерфейса, что смотрит во внешний мир.