Сегодня нас качественно досили, перекрыли ботов фильтрами, но CPU до положенного уровня не сбросилось, ставить апач статус не хотелось.
Стали смотреть почему не падает CPU до положенных нашему серверу 1-3%.
Оказалось проблема с выдачей статистики, (в нашем случае изображений) другим сайтам.
Другими словами, запретим hotlinking для всех, кроме othersite.com — «дружественного» сайта. В конфиг nginx дописываем:

location ~ \.(jpg|jpeg|bmp|jif|bmp|gif|png)$ {
                root   /path/to/public_html/;
                valid_referers server_names none blocked www.othersite.com *.othersite.com;
                if ($invalid_referer) {
                return 403;
                }
            }

В общем после этого CPU упала, и разгрузилось 10% RAM.
Но после дидоса думаю снимать, так как картинки все же картинками, это беклинки и трафик, которые мы так любим.