Есть ли ПО, которое может обнаружить подозрительную активность в логах squid?

Вряд-ли что-то такое есть искаропки. Проще кормить весь траффик шлюза какому-нить IDS, в том числе сквидовый.

Либо написать самому, тут я думаю ничего сложного.

Может fail2ban? По крайней мере с проверкой куда ломится принтер и телевизор справится может.

Эта штука, называется, check point, только она не для кальмара и немного платная

snort?

Спасибо, посмотрю

Самому писать не вариант. Упирается не в сложность кода, а том, что вирусы и трояны нужно где-то брать, а потом изучать, какие следы они оставляют. Для одного человека это неподъёмная задача

Я не говорю про конкретную активность троянов - я говорю просто про аномальную активность, простейшие паттерны.

К примеру - когда больше одного-двух клиентов начинают долбиться часто на один и тот же урл (управлялка botnet-ом) или что-то в таком духе. Или просто чаще определённого запрашивать страницы (быстрее, чем может кликать юзер).

Это вполне можно организовать, остальное можно доверить антивирусу (тот же ESET Gateway Security под линупс есть и имеет ICAP интерфейс, через который можно прикрутить сквид; Ну и кламав конечно, хоть он и не очень хорошо определяет врагов) или IDS.