Ты всё верно сделал — сначала посмотреть логи и базовые метрики, потом простые блокировки. Без фильтрации и кеша действительно долго не выходить, особенно если нагрузка растёт. Облачные сервисы часто выигрывают именно в масштабируемости, но для начала хватит и базовых защит, главное — не пытаться забрать весь фронт сразу.