Из того, что пробовал, нормально в реальных условиях работают облачные сервисы типа Cloudflare или DDoS-Guard. Встроенный антиддос в хостинге часто просто держит маленькие волны, но при серьёзной атаке с ботнета — нет. Ещё хороши решения с фильтрацией на уровне сетевого провайдера, но это уже дороже и не для всех. Главное — комбинировать разные уровни защиты, иначе можно остаться с дырой.