Ребята, решил поделиться своим списком, чтобы не теряться после первой атаки. Что важно проверить в первую очередь: 1) Поднять мониторинг по трафику, чтобы понять, что именно случилось. 2) Заглянуть в логи веб-сервера и фаервола — где и как резкий всплеск запросов. 3) Заблокировать IP-адреса или подсети с самого буйного трафика, но не забывать, что могут быть прокси и бот-сети. 4) Проверить настройки rate limiting — чтобы банить слишком активных клиентов. 5) Если есть возможность, быстро переключиться на облачный антиддос-сервис, он работает как буфер. 6) По железу — смотреть нагрузку на сеть и CPU, если есть нагрузки — думать про экстренное расширение каналов или балансировку. 7) И главное — иметь заранее прописанный план действий, иначе в панику бросаемся и что-то копаем на ходу. Кому интересно, могу еще рассказать, какие скрипты и утилиты для базовой защиты ставлю. Никто не выстроит идеальную защиту, но эти шаги реально помогают не слиться сразу. У кого похожие способы? Что добавите?