А нельзя сделать такой скрипт, который в случае превышения нагрузки резко банит все IP полностью, а потом постепенно разбанивает по 1 подсети и если с неё тут же польётся тут же снова в отдельный списочек? А потом уже его проверить поподробнее. С какого люди ломятся, а с какого поток магинных запросов.
Или это был тот вид атаки при котором даже если все IP забанить, сервер всёравно перегружается обрабатывать все запросы даже на отказ? Или даже такой вид, что сам провайдер хостера надорвался?