Big data, мат. модель, предсказания и все дела. 😎
При Ipv6 вы его сеть (да даже при прямом ipv4) спокойно flowspec-ом прикрыли, на крайний случай заблекхоли, и не страдали. А дальше бы сам потерпевший к вам пришёл и начал рассказывать что и как он делал. 😏
мы при ipv4 так же делаем, видим ддос, блекхоллим айпишник
Блекхоллится он буквально за 5-10 сек, так что абоны перерыва не видят
После третьего-четвертого раза выясняем кто виновен и блочим пока он не почистит комп
Но в основном это либо какой-нибудь танкист, либо бабулька которая нуничонезнает, и выяснить чем он триггерит атаку нереально)