Предоставление детализации провайдером?
Вполне очевидно, что вы собираете на 3proxy только web трафик, а биллинг провайдера считает весь сетевой трафик. 

Советую просто встать tcpdump-ом на внешнем интерфейсе и посмотреть какие еще есть потребители трафика с вашей стороны.
Конкретных норм нет. Есть сертификация биллингов. Что биллинг соберет, то и будет считаться истиной, вне зависимости от детализации. Таким образом, суд всегда на стороне провайдера.

Раз вы знаете, что такое flowtools, может еще внешний трафик отзеркалируете в отдельное устройство и проанализируете? это полностью исключит намеки на любые самые сложные варианты руткитов и тд.
ну или хотя бы tcpdump на внешнем интерфейсе запустить.