Да, вручную копаться в логах и смотреть трафик — реально полезно, хоть и муторно. Это помогает почувствовать, где именно и как начинается нагрузка, а не слепо полагаться на автоматические фильтры. Автоматизация действительно нужна, но сначала надо хотя бы чуть-чуть понять, что за атака и как она проявляется. Тогда фильтры ставить уже проще и эффективнее.