Раньше я просто смотрел на пинг и нагрузку на сервер — если резко прыгала, сразу понимал, что что-то не чисто. Сейчас проще — мониторю дроп пакетов и логи с массовыми запросами, плюс если щиток умеет — подключаю автоматические блокировки. Главное — быстро схватить момент и не надеяться на чудо, иначе нападение съест всю пропускную способность. В общем, немного быстрее и нагляднее, чем раньше.