опишите поподробнее - вид ддоса, метод, примерное кол-во ботов
и пример запроса
т.к "вслепую" сложно что-то подсказать
если это http-флуд, то в корень авторизацию поставьте - уже спасет, если что-то посерьезнее - нужно банить ипы и пускать по кукисам при входе, е если сильный действительно ддос - спасти себя можно только аппаратно