Самое важное — держать простые фильтры и лимиты, чтобы сразу сбивать массовый хлам. Мониторинг с алертами тоже реально помогает не проморгать момент атаки. Всё остальное — это уже «развод на ресурсы», если нет больших движений.