Ну да, все эти фильтры и капчи работают если атака не слишком мощная. Если нагрузка серьезная, то без нормального CDN с защитой толку мало, просто пытаешься поймать хвост, пока все плывет. Подозрительно просто ставить ограничения, можно с пользователями больше проблем получить, чем от самого ддос.