Лучше всего сочетать облачные фильтры с базовой локальной защитой — так убьёшь и крупные волны, и мелкие попытки пролезть внутрь. Не забывай про логи и поведение трафика, они подскажут, когда и как менять правила. Капчи тоже помогают, если атака идёт через реальные браузеры — это минимально пилит легальных юзеров. Главное — не сдаваться и вовремя подстраиваться под новые схемы.