Короче, антиддос — тема сложная, но без вариантов, если сайт или сервис важны. Сам пробовал несколько вариантов, и вот что реально выделяется.

1. Фаервол на уровне сети. Он не спасёт от всего, но часть мусора отсекает сразу — у меня это всегда базой стоит.

2. Трафик-фильтры с анализом поведения. Вроде и сложнее настраивать, но с нормальными правилами блокируют большую часть «ботов» и всплесков трафика.

3. CDN с антиддос защитой. Хорошо работает, когда есть возможность подключать. В моём случае помог снизить нагрузку, правда, есть нюанс с кешированием, надо проверять.

4. Rate limiting на приложении. Задержки, капчи, ограничение частоты запросов — всё это вынуждает «атакующих» искать другие цели.

5. Мониторинг и автоматические алерты. Если не настроены, даже момент атаки можешь не заметить. У меня несколько скриптов и сервисов, чтоб сразу был пинг.

Минус многих решений в том, что они либо слишком ресурсоёмкие, либо требуют тонкой настройки. Легко перестараться и нарезать фильтры так, что обычные пользователи начинают страдать.

Пользовался и внешними антиддосами, и внутренними, комбинирую. Главное — понимать природу атаки и быстро реагировать. А кто чем спасается? Какие инструменты зарекомендовали себя у вас?