>Впрочем чаще на мало-мальски популярный сервак однажды просто забредает ботнет какого-нить кульхаксора
>(мало ли там чего, может админ его сдуру забанил, нахамил, или
>там еще что а у хакеришки карманный ботнетец на пару тыщ
>машин как раз имелся).И даже при минимальном числе ботов такое легко
>кладет апача на лопатки.Нет, не выжрав бандвиз.А просто нафоркав процессов(если админ
>не выставил лимити адекватно возможностям машины).Или (если админ не дятел и
>выставил лимиты вменяемо) - просто выюзав в хлам пул процессов, так
>что легитимные юзеры видят только постоянные таймауты не дождавшись пока процесс
>им внимание вместо ботов уделит.

Такую ситуацию должен отслеживать нормальный файервол/пакетный фильтр и банить на время "отстоя" адреса, с которых производится DDoS-атака. Не позволять с одного IP-адреса делать реконнекты больше чем с определённой частотой -- святая обязанность файервола.