>а хотя бы в какую сторону смотреть и какие программировать задачи.

Я бы писал в базу все IP с которых заходит юзер и при некотором превышении количества IP-шников посылал бы себе мыло с предложением разобраться поподробнее (по тем же логам). Только сразу надо где-то удерживать маски (диапазоны) сетей крупных провайдеров, дабы вместо множества юзеров не получить множество диалапных соединений. Либо смотреть, скажем, только первые 2 байта адреса. В любом случае четкой системы быть не может и все сводится к инструментарию для последующей работы головой.