Часто суть в том, что антиддос просто не умеет адекватно отличать вбросы от нормального всплеска трафика. Иногда фильтры слишком жесткие или общий порог срабатывания не подогнан под конкретный сценарий. Логи и мониторинг реально помогают понять, где фильтр слишком рьяный. В реале никакой антиддос не стопроцентный, всегда придется балансировать между защитой и пропуском нормального трафика.