Отследить событие при подключение к порту в Linux?
Есть стандартный пакет, fail2ban. 
Он парсит логи приложения (в данном случае ftp), и в соответствии с настройками jail автоматически выполняет блокировку при подозрительной активности ip адреса.
А разве это не должен делать FTP-сервер, а не Linux? В той же Filezilla отличный IP FIlter