Ram Upg.

You should be in the "sweet spot" for the 220 - plenty of power with some room to grow, too big for a 120 and probably nothing to be gained with a 320.

- IPS active on all interfaces

If you have anything other than LAN and DMZ in here, you might be chewing up lots of cycles for nothing... especially if you have your WAN or anything related to it.

700 legitimate mail received/day, 1500 spam mail rejected/day.

Wow!  Only two spams for every good email!  I usually see more like 10 to 25 - do you have a smarthost in front of you that cuts out most of the spam?

Cheers - Bob

A few observations on RAM use-
flow analysis chews up RAM, that means IPS and IM/P2P systems should be set up properly to minimize excess RAM use.  As Bob mentioned, only monitor the appropriate networks/interfaces.  Also, tune IPS to only enable the patterns which apply to your environment (for example, if you don't have Oracle databases, uncheck those patterns).

Clam A/V is also more RAM intensive than Avira, switching to single scan anti-virus on all systems may also help relieve pressure on memory use.

A final thought, look at your report retention times.  If you don't need all of the reports for 6 months, cut the retention times back to only keep what you need.

A few observations on RAM use-
flow analysis chews up RAM, that means IPS and IM/P2P systems should be set up properly to minimize excess RAM use.  As Bob mentioned, only monitor the appropriate networks/interfaces.  Also, tune IPS to only enable the patterns which apply to your environment (for example, if you don't have Oracle databases, uncheck those patterns).

Clam A/V is also more RAM intensive than Avira, switching to single scan anti-virus on all systems may also help relieve pressure on memory use.

A final thought, look at your report retention times.  If you don't need all of the reports for 6 months, cut the retention times back to only keep what you need.