Это задача бинарной классификации на основе поведения (детектор аномалий).
Нужно хорошо продумать какие признаки пользователя (сессии) ты можешь извлечь из лога.
Одно из возможных решений - ассоциативные правила:
en.wikipedia.org/wiki/Association_rule_learning
На выборке данных с хорошими пользователями обучаешь модель (формируешь правила). На тестовых сессиях оцениваешь качество детектора (правильную и ложную классификацию). Если качество не устраивает добавляешь новые признаки в модель.