Логи — это действительно первый рубеж, там часто сразу ясно, что что-то не так. Но если атака идёт по UDP или TCP, то простого мониторинга уже не хватает, и придется применять более сложные инструменты. Сначала понять кто атакует — важно, но потом уже нужно подключать фильтры или спецсервисы, иначе просто потонешь в данных. Так что сначала смотришь логи, а потом уже думаешь про более серьёзную защиту.