Собирать пользовательские IP в одно место

Очучение, что придется написать парсилки логов на перле, собирать через какой-нибудь mqtt и складывать в базу :)

Для этого уже есть связка filebeat+logstash+elasticsearch+kibana. Все логи будут в распарсеном виде хранится в эластике. Оттуда можешь вытаскивать все что угодно и отправлять куда угодно. Чтоб было меньше ручной работы ковыряясь в базе эластика, в кибане есть сравнительно удобынй KQL при помощи которого можешь фильтровать нужное. Можно даже делать запросы с любой другой проги отправляя POST запрос в кибану и вытаскивать искомое в JSON формате.

Для начала нужно определиться с тем что есть странность в твоем понимании. Потом составить нужные запросы, выполнять их через шедуллер и отправлять уведомление в телегу, мыло или куда удобнее.

грусть-печаль, так не хотелось разбираться с этим эластиком, но наверное придётся :(

Для начала нужно определиться с тем что есть странность в твоем понимании.

+1 Сначала нужно сформулировать задачу, а уж потом искать инструмент как её решить. У ТС же похоже на заточку молотка под отвертку.

Сначала нужно сформулировать задачу

+1

На крайней работе у меня была видеостена, по которой нельзя было видеть всей картины маслом, даже удалённо манипулировать системами. Пришлось извращаться и применять нечто самописное. Слава Богу выперли оттуда.

tcpdump+ndpireader+influxdb+grafana - это самое простое, если хочешь прям систему обнаружения вторжений то смотри в сторону snort или suricata

Факт, ага. И не забудь посмотреть ещё loki.

Задача довольно простая. Хочу чтобы пользователь видел список своих «сессий», как это теперь бывает во всяких модных веб приложениях. Определять странность вобщем-то даже не требуется.

это называется SIEM. тут уже написали про ELK (elastic, logstash, kibana). на прошлой работе собирал в эластик MAC адреса с коммутаторов, DHCP leases, ARP на роутерах, логи антивирусной централизованной консоли, срабатывания IPS (Sophos XG), etc.. а накопив переходил от созерцания к абстракции(Ц) )) - запросы в кибане по паттернам, аггрегированные запросы. правда в одиночку это всё равно не может быть допилено до нормального SIEM но выявлять проблемы помогало.. UPD: логи в итоге отправлял в неизменном виде без парсеров и обработок за некоторыми исключениями дабы при поиске смотреть их такими какими они прилетели в стор