O problema de "detectar" a varredura de porta é que um invasor competente pode facilmente fazer com que pareça um tráfego legítimo. Qualquer pessoa que saiba como usar as opções --ip com o Nmap pode parecer um tráfego aleatório, qualquer um com -D pode fazer parecer que o tráfego veio de algum outro lugar, qualquer um com proxies pode fazê-lo vir de outro lugar, etc etc. Mesmo se você puder detectar uma varredura de porta - O que você pode fazer no caso de uma varredura de portas? Varreduras de portas são comuns o suficiente para que o bloqueio de serviços não seja uma opção (caso contrário, você também pode mantê-los fechados). Ele só vai mantê-lo acordado durante a noite (e inundar o seu e-mail) sobre um problema que não está ocorrendo.
Embora seja um pouco contencioso, na minha experiência, os sistemas de IDS não valem muito para a rede média. Se alguma coisa, aumenta o espaço de ataque, você é muito melhor investir seu tempo em ACLs, segurança de rede e HIPS, se possível.