Сканируют и DDoS-ят не «крупных», а тех, у кого инфраструктура торчит наружу

Обычно атакуют не из личной неприязни, а потому что порт открыт, сервис отвечает слишком охотно, а фильтров нет. Автоматические сканеры ищут:
— административные панели без ограничений по IP;
— SSH/RDP без fail2ban и лимитов;
— API без rate limit и token rotation;
— origin-сервер, доступный напрямую, минуя защитный слой.

С DDoS логика та же: бьют по самому слабому месту, где нет очереди, кэша и отсечки мусорного трафика. Рабочий минимум:
• закрыть лишние порты на фаерволе;
• прятать origin за reverse proxy/CDN;
• включить лимиты соединений и запросов;
• вынести критичные панели в отдельный сегмент сети.

Для арбитражной инфраструктуры это особенно важно: один публичный панельный сервер, один рекламный API и один забытый тестовый домен — и у вас уже точка отказа. Дальше начинается любимая классика: лаги, просадки, ложные 5xx и бессмысленный ручной разбор логов в момент, когда надо лить.

Держите правило простым: наружу должен смотреть только тот сервис, который обязан быть публичным, всё остальное — за ограничением доступа, аномалии — в мониторинг, подозрительные пики — в алерты. Стабильность — это фундамент вашего ROI.