Сильно упростил для себя алгоритм проверки и реагирования на ддос в 2026. Чтобы не тонуть в куче настроек, делаю так:

1. Логи и нагрузка — смотрю, есть ли резкий всплеск с одного или нескольких IP, если да — значит атака или попытка.
2. Проверяю, срабатывают ли правила фильтрации — если в конфиге антиддоса правил нет или они неадекватные, толку мало.
3. Если защита стоит на стороне CDN или хостера — сверяю статистику и уточняю, что именно фильтруется.
4. Быстрое автоматическое блокирование IP по типичным паттернам (например, SYN-флуд, HTTP GET flood) — сразу включаю.
5. Если нагрузка очень большая и штатная защита не берет — привлекаю скейлинг серверов или cloud-антиддос с прозрачной балансировкой.
6. Важно: не забывать про реальную нагрузку пользователей, особенность бизнес-логики сервисов — может случайно сбросить всей ботовый трафик и отвалить легитимных.
7. Сбросить правила и начать заново имеет смысл, если с ходу не видно, где провал.
8. Для долгих атак иногда помогает смена IP или проксирование.

Проверяйте и корректируйте правила не только по шаблонам, а анализируйте логи в динамике. Вопрос в том, реально ли у вас есть удобная автоматизация этих пунктов, или все еще вручную ковыряетесь? Пишите, чем пользуетесь в итоге и какие грабли поймали.