Я обычно просто смотрю, как ведёт себя сервер при нагрузке, и сравниваю с логами защиты. Если нагрузка скачет, а в логах тишина — значит что-то не так. Ещё помогает тестовый прогон с имитацией атаки, чтобы увидеть, есть ли реакция. Если всё честно, то профиль нагрузки меняется, и в логах появляется движение.