Да, в общем, всё как и писал - в первую очередь смотрю на логи и нагрузку, потому что часто антиддос сам подгружается, а толку почти нет. Пороги фильтров критично выставлять, иначе реально разрезает нормальный трафик. И еще обновления — забыл про них, часто всё сидит на старой базе правил и пропускает новые варианты атак. Про железки тоже верно, софт без правильной настройки чуть толку не даст. В целом, если ддосы редкие, проще CDN подключить.