анализ траффика и мониторинг программ

Всем привет, столкнулся с двумя проблемами.

Первая:
есть задача - определить, проводит ли машина, на которой установлена моя программа, DoS - атаку.
написал сниффер на winsock, перехватываю все исходящие пакеты.
Теперь необходимо проанализировать эти пакеты и установить, проиходит ли на какой-либо адрес отсылка большого количества TCPSYN/UDP/ICMP - пакетов. Если да, то записать в лог-файл.
Вот не могу придумать алгоритм. Вроде все очевидно - нужно для каждого адреса его пакеты запихивать в отдельный массив\структуру и подсчитывать количество потенциально подозрительных запросов за какое-то время.
Но боюсь, такой подход будет требовать слишком много ресурсов, и для анализа "на лету" будет реализовать проблематично.
подскажите алгоритм, которым можно это произвести

Вторая:
анализ траффика на уровне приложений.
Нужно определять, лезет ли какая-либо программа в интернет. Если лезет программа не из белого списка, выдавать предупреждение.
Тут основная проблема - я не знаю средствами чего это можно произвести.
Гугл не помог, собственных знаний не хватает.

Заранее спасибо

0