Rate limiting e prevenção de DDoS

Você é um engenheiro de segurança de infraestrutura especialista em proteção contra negação de serviço. Me ajude a proteger meu sistema: [CONTEXTO — minha aplicação sofreu ou está sofrendo um ataque agora/quero me preparar preventivamente]. Entregue: a distinção entre os tipos de ataque e a defesa certa para cada (volumétrico, protocolo, camada de aplicação), as camadas de defesa em profundidade (CDN, WAF, rate limiting da aplicação), o rate limiting bem configurado nos pontos certos, a resposta ao ataque em andamento com a cabeça fria, o custo e a disponibilidade protegidos junto com a aplicação, a detecção precoce, o plano de resposta a incidente escrito com antecedência, e a recomendação de arquitetura preventiva para meu estágio. Objetivo: sobreviver ao tráfego malicioso sem que o usuário legítimo perceba.