Primeiro, pensei em fazer uso da bigorna e de algum tipo de _rate_limits. Mas não é o que você procura (1000 e-mails em 60 segundos podem vir de uma variedade de fontes).
Eu acho que você poderia configurá-lo com delegação de política e seu próprio script específico, assim como com Greylisting, onde alguns condições específicas são contadas e aplicadas. Aqui está um exemplo de um modelo de daemon de política . Desta forma você é muito flexível, por exemplo whitelist alguns IP's, clientes ou servidores e fazer o cálculo em tempo real sem wading através de arquivos de log.