А Вы действительно считаете, что это простая задача??? :)
Ну, и если с анализом логов того же апача все и так ясно, то как Вам такая задача:
прочесать _все_ логи со _всех_ серваков и просчитать корреляции событий, а по результатам вычленить, например, вяло текущий скан портов...