Saldırı yurtdışı çıkış mı TR çıkış mı? Tek bir ülke mi çoklu mu? IP'ler tek bir veri merkezine veya class'a mı ait? Gelen atak layer3-4 mü 7 mi? Bir çok duruma göre farklı farklı aksiyonlar alınabilir.