搭建邮箱登录日志平台

希望搭建一个邮箱日志登录平台，现在在实验条件下，搭建了一个es集群，里面有3台主机，另外还有一台主机作为logstash端处理从filebeat传过来的日志数据。
 
日志量一天将近1000W条左右，是IIS的服务器日志格式。希望能够实现一些邮箱异常的告警，比如邮箱异地登录或者陌生设备登录，研究了一段时间，发觉用ES实现难度好像挺大的，也没看到类似的例子。有尝试过用YELP的elastaler，但是感觉速度好慢，好像没办法用，尝试去读它的代码，可是还是每太读懂。
 
不知道有没有大佬有相关方面的实践经验，求指点。