Hola.
1. Si hablamos de frecuencia nos estamos refiriendo a cantidad de sucesos de un determinado tipo en un período de tiempo especificado. Por lo tanto, "el total de IPs de cada país sobre el total de IPs diferentes" y "cantidad de conexiones de cada país entre el total de todas las conexiones del log" no es una frecuencia, es una tasa o rate. Es razonable plantearlo, por ejemplo, como cuántos países por hora.
2. El más activo es el más veces solicitado desde diferentes clientes.
3. Debería ser posible que, por ejemplo en la defensa, tomáramos un log de otro grupo, y le corriéramos vuestro código y una de las salidas posibles sea el histograma. O sea, debería ser automatizado. En tiempo real es otra cosa y excede a este obligatorio.
Las respuestas anteriores son una guía. El cierre de las mismas lo deberían hacer en los monitoreos.
Saludos.