L3 Tier1 до сих пор фильтрацию DDoS выборочную-то внедрить не могут, потому что при серьёзном флуде на магистрали любой софтовый фильтр загнётся и встанет раком в течение миллисекунд, а распределённый на всю сеть - это очень-очень дорого, да и оборудование не имеет должной адаптивности, переконфигурации на каждый чих - это долго, муторно и чревато. Поэтому и оставили на откуп тем, кто этим специфично занимается, типа клаудфлейра, а сами по старинке - на уровне BGP flowspec от клиентов максимум, у некоторых огромных крупняков вообще нет никаких вариантов - оборудование даже этого не позволяет при такой нагрузке.