Viendo los logs podría ser una forma, una herramienta muy vieja es logstalgia. El foro de hecho ha hecho videos así y están en youtube:

https://www.youtube.com/watch?v=_R-dm62NZ5E

Por lo general tus proveedores hoy en día te dan dashboards donde puedes revisar picos y actividades anormales. Y muy probablemente te avisen que estás sufriendo un ataque (porque estás usando su infraestructura y les estas afectando).

los ddos son un asunto complicado ya que hay muchas formas de hacerlos, ante un DDoS

por saturacion de banda, durarás tanto como el atacante le tome alcanzar la velocidad de red necesaria, si es un ataque masivo, sería instantaneo

por ataques a saturacion de proceso del servidor web o base de datos, dependerá absolutamente de tu codigo y la cantidad de datos en ellos, ya que si por ejemplo tienes un query "SELECT * from ... JOIN ... JOIN ... JOIN WHERE x in (SELECT...)" a tables con mas de 10.000 registros... una sola persona accediendo hará un DoS accidental XD

por ataques de saturacion de conexiones, dependerá de tu configuracion y la capacidad del atacante para mantener conexiones abiertas

sin contar otros tipos...