Короче, если атаки идут и сайт падает, первое, что делаю — проверяю трафик на уровне провайдера и сервера. Смотрю, не накатывает ли что-то странное в логи: много одинаковых IP, странные user-agent’ы, всплеск UDP или HTTP. Потом гляжу настройки WAF и фильтры— правильно ли включены ограничения по соединениям, rate лимиты и блокировка IP-диапазонов.

Если антиддос — самописный или от провайдера, важно не забыть про обновления и грамотную конфигурацию, иначе он просто не успеет блокировать или будет пропускать вредный трафик. Иногда помогает поставить CDN или прокси с фильтрацией, чтобы снизить нагрузку.

Провайдеры в своих панелях часто дают базовые инструменты мониторинга, и если там все нормально — проблема может быть в сервере или приложениях. А еще важно проверить, нет ли уязвимостей, которые можно под DDos завалить (например, неподготовленные API).

У кого как? Кто что всегда первым делом смотрит при ддосах?