Я недавно тоже столкнулся с такой проблемой — у меня сайт просто разрывало трафиком. Подключал облачный антиддос сервис, и реально стало легче, сервер не падал. Потом на стороне сервера ограничил количество соединений с одного IP и поставил простую капчу — отсекло много ботов. Пока что больше заморачиваться не стал, главное — не паниковать и постепенно настраивать фильтры. Еще заметил, что проще всего начинать с логов, чтобы понять, откуда конкретно атака.