Боты из РФ, проходят через JS ngenix и сидят на сайте по 15-20 сек

на логах выше, это один юзер, обращение к главной + картинки, стили, шрифты

Удалить все метрики/аналитиксы с сайта. Ничего хорошего нет от них.

Если бы боты исчезали после удаления метрик, то так бы давно все делали и использовали что-то локальное. Но после удаления, хоть через месяц или пол года подключи обратно и увидишь тех же ботов на месте.

Получается у вас больше 3 лямов посещений в сутки, Яндекс на капчу даст самые сладкие условия. Да и любой сервис, за 100 лямов посещений в месяц даст наикрутейшую скидку 😎

в вашем случае нет волшебной таблетки, но как я вижу, в логах у вас приведены пока только боты с хостингов, вот их то вы и можете блокировать, я регулярно у себя таких блокирую, на ботов с белых мегафонов/мтс/ростелекомов повлиять не получится без нанесения вреда самому себе же, поэтому их лично я не трогаю и вам не советую

Коллеги. планируем прятаться скоро за ddos guard, что про них скажите? есть у них по дефолту что-то для защиты от ботов?

У них защита от ддоса. Очень посредственная, не сравнится с бесплатным клаудфларом, от поведенческих (браузерных) ботов у них защиты нету.

по дефолту нет, надо подключать
в целом нормальная современная защита,
конечно зависит от базы, которую они собрали и используют,
цены кусаются, но приемлемо

Поставь и не морочь нам голову дальше, если тебе это по карману. Потом расскажешь как оно работает.

Очевидно одно, что тут ты никого не слушаешь, задаешь вопросы, имея какие-то свои убеждения.

ничего не понял, но ладно)
для меня это дорого, чем я тебе голову морочу, например?
оно работает начиная от уровня L4 сети, твой сайт работает на уровне L7, фильтруется сигнатура по SNI домена и сравнивается с оригиналом, чего тебе тут не понятно?)
да, я делаю такую же защиту, поэтому задаю вопросы, иначе бы сделал и не задавал вопросов)