@utzer hmm, der Zeitraum ist eigentlich viel zu kurz.

Warum Der Anubis bei diesem bisschen Rauschen schon umfallen soll, ist sehr merkwürdig. Irgendwo ne Fehlconfig am Werk.
ca. 10 Challenges/s, das ist kein Flood im wirklichen Sinne.
DEBUG-Logs und METRICS_BIND-Metriken suchen -> Speicher-Anstieg, offene Verbindungen, OOM? Irgendwas hakt da.


/etc/nginx/conf.d/uaold13.conf:

map "$ssl_protocol $http_user_agent" $uaold13 {
    default 0;
    "~^TLSv1\.3 .*Chrome/[0-6][0-9]\."   1;
    "~^TLSv1\.3 .*Chrome/[0-9]\."        1;
    "~^TLSv1\.3 .*Firefox/[0-5][0-9]\."  1;
    "~^TLSv1\.3 .*Edge/1[0-7]\."         1;
}

Im server-Block:

if ($uaold13) { return 444; }

doas nginx -t && doas /etc/init.d/nginx reload

Das könntest Du als temporäre Spielerei aufnehmen. Würde halt nicht lange halten. Am besten erst eine Stunde oder Zwei nur loggen statt 444, um zu sehen, wen Du triffst!

Das ist also hier vermutlich nur ein Vorspiel.
Werden zukünftig Challanges gelöst, hat der Schlingel auf eine JS-Version umgeschwenkt. Erst dann wirds lustig. Bis dahin musst Du das Anubis genauer durchschauen.
Eindeutiges könntest Du auf DENY statt CHALLENGE stellen, das kann ich aus der Ferne nicht beurteilen.