Кто как обычно собирает базу для защиты от DDoS? У меня в настройках всегда идут несколько важных пунктов:

- первоначальная проверка трафика — понять, что вообще идёт, насколько сетевая нагрузка превышает норму;
- уровень фильтрации по IP — банить слишком шумных клиентов или тех, кто шлёт явно мусор;
- настройка rate limiting, чтобы за раз не пробивали горлышко на стороне сервера;
- использование CDN или прокси с антиддос функциями;

Интересно сравнить, что лучше делать — сразу блокировать подозрительный трафик или фильтровать на уровне пакетов? Я склоняюсь к блоку ближе к прикладному уровню — так меньше ложняков. Ещё важно не забыть про логи, чтобы в случае атаки можно было отследить, что и откуда шло.

У кого какие «must have» пункты? Может, кто-то проверяет ещё что-то перед тем, как включать защиту?