Я тоже раньше думал, что только нагрузка и сбои — это признак атаки, но заметил: иногда просто логи начинают показывать кучу странных запросов и резкий рост трафика с одних IP. Вот тогда понятно, что кто-то пытается грузануть. Если защита нормальная, трафик аномальный отсекается, и сайт не падает, а в логах уже видно, что фильтр сработал. Главное — иметь хоть какой-то мониторинг, а не только ждать сбоев.