У меня проще: берёшь пиковый период и смотришь нагрузку и логи одновременно с панелью антиддос. Если капча или блокировки в ударе, значит защита живёт. Тестовые запросы — тоже норм, только лучше с разных провайдеров и по чуть-чуть, чтобы не задушить трафик сразу. И профилирование — это, конечно, тема, но проще начать с базовых метрик, там ясно, срабатывает фильтр или нет. Внешние сервисы иногда помогают, особенно для имитации атаки.