Для начала просто смотрю на резкий рост трафика и много одинаковых запросов. Если видна атака — пробую выключить подозрительные IP, а дальше уже смотрю, что сработало из фильтров. Пока всё сложно, но главное — быстро реагировать, чтобы не утонуть в нагрузке.