CityCat4

А нужно непременно писать свое? Берете nagios-core и адаптируете, например. Веб-морду можете нарисовать модно-стильно-молодежную, она у него сильно простяцкая.

Стахановец. Он уже загибается, но пока еще работает. И вроде бы даже до пяти юзеров бесплатно.

Если дело стало только за наличием в реестре минсвязи - на самый край можно форкнуть проект, назвать его "Bolgenabbix" - и зарегить его от своей конторы :)

snmp
nsclient++

По разным. SYN+ACK например явное сканирование, SYN+FIN и вообще перебор "нелепых" сочетаний флагов пакета. Если соединение не в состоянии NEW, а пришел SYN - однозначно сканирование. Вообще стоит ман по nmap почитать - там как раз описано множество техник сканирования портов, он же сканировщик :)

А такая банальная вещь, как наличие прав на каталог nagios для сервиса апача - есть?

nagios
zabbix

Окей, гугл.
Что такое Стахановец
(не кто такой стахановец :) - это участник стахановского движения)

До пяти юзеров - бесплатно (по-моему так, но точно уже не помню). Хотя дальше цены довольно зубастые, но среди СМП эта программа стоит того.

Nagios.

Но у нас нет супер-пупер-мега-важности инфы в нерабочее время, поэтому мне особо красявые графики не нужны, возможностей nagios core вполне хватает.

nagios, zabbix

Для мониторинга винды устанавливается nsclient++, который позволяет мониторить состояние службы. Хотя с написанием сервиса для проверки придется немного почитать манов.

Есть такой клон Стахановца, некогда форкнувшийся от него с уклоном как раз в видеонаблюдение - Kick idler (пишется слитно, но похоже он тут забанен)

ПО в процессах видно всегла

Нет :) не всегда. Найди-ка агента Стахановца :)

Может там конечно и кейлоггер - но топорный. А может видюха гонит. Если в системе есть правильно настроенный агент СМП - его не так-то просто найти (можно, конечно, но непросто). Впрочем, если работает СМП - об этом обязаны предупредить при приеме на работу.

И там не "скрытое подключение". Агент передает на сервер время от времени снимок рабочего стола и еще кучу всякой инфы, в том числе клавиатурный ввод :)

nrpe ж :) или для винды nsclient++. Я думаю, свой скриптец можно написать и в исполнение nsclient-у отдать. Схема такая же как с nrpe - nagios запрашивает винду (тут порты пробрасывать придется, конечно) по порту 5666, отсылая запрос на исполнение агента, который собственно является скриптом, который сам запрашивает допустим кассу по snmp (если он у нее есть) и ответ возвращает как результат, а nsclient++ этот ответ возвращает как свой результат. Тут вся проблема - нужные датчики в nsclient++ встроить, он вообще говоря на локальный мониторинг писался, но мало ли что...

У Вас там все права админа имеют что ли? Мазафака...

Стахановец, конечно же. Платно. Недешево (насколько я знаю - от 4 до 6 тыс за одно подключение, хотя до трех по-моему можно бесплатно мониторить). Зато получаем контроль за всеми действиями юзеров.

В текущих условиях задача не имеет решения.

Нужен прокси, умеющий бампинг, squid например. Без бампинга статистика будет неверной (зашел юзер по https на ничем не примечательный metrichesky-krepeg.ru - а это им же управляемый сайт, внутри которого переходы на вконтактик и tightwetholes.com :) И хрен Вы догадаетесь, что юзер сейчас смотрит порно и соцсети :) )

Именно такая программа никому нафиг не нужна. Потому что принцип построения СМП (Систем Мониторинга Пользвателей - именно так такие программы называются) - он всегда один: есть агент, устанавливаемый на компе юзера и стучащий на сервер, есть сервер, собирающий инфу и есть консоль наблюдения, которая к серверу цепляется и собственно мониторит (в более простых системах, сервер и консоль одно и то же).
Это все нужно разработать. А агента нужно сделать еще так, чтобы его нельзя было обнаружить и удалить и чтобы каспер не завизжал голосом анально насилуемой свиньи :)
Поэтому, если уж берутся - то берутся и делают.

MIB browser. И MIB-файлы, в которых расписано, что, где и каким образом отдается. Впрочем, если там только стандартные MIB - у MIB browser обычно есть типовой набор.

У Вас с тегами косяк. Что за AlertManager, для чего он, откуда?

кроме того

проверяет пришёл ли он

- это невозможно. Ну достоверно утверждать невозможно. Можно убедиться, что сервер принял письмо, не более. Что он (сервер) с ним (письмом) сделал - скажет только его админ.

Если свитчи вменяемые, зайти к ним на морду и посмотреть по какому порту идет наибольший трафик. Если дишманские - только методом последовательного отключения ;)
Еще можно зайти на микротик и посмотреть от кого идет максимальный трафик с внутреннего порта - это если идет загрузка изнутри наружу. Если же грузят сеть между внутренними компами - только на свитчах ловить.