Как обнаружить сканирование или взлом?

Юзер раьотал в сети из-под прокси. Вдруг ни с того, ни с сего высветилось предложение подтвердить свои полномочия для работы в Сетке путем повторного ввода имени и пароля, причем адрес прокси был указан верно. могло ли это явление быть попыткой взлома? Как вообще обнаружить попытки тебя сломать?В книжках что-то ничего конкретного...