Сейчас антиддос стал не просто сбивать поток, а уже анализировать поведение на уровне приложений, чтобы отличить людей от автоматов. Машинное обучение вроде помогает, но без правильной настройки больше вреда чем пользы — появляются ложные тревоги, и можно тупо отвергнуть настоящий трафик. Главное, чтобы система была понятной и не убивала нормальных пользователей.