Как маленькому веб-проекту спасаться от DDoS?
На aws waf и shield встроены в CloudFront. 3000 usd стоит если нужна выделенная команда со стороны AWS для более качественного реагирования. Также в CloudFront есть свой geo policy и роуты что вроде как дешевле и лучше чем route53 поскольку не требует изменения записей dns и избегает из кэширования.

Ну и да, waf не связан с ddos, это зона ответственности shield
Через подпись трафика (после валидации "чистоты" клиента) между разными площадками (не менее 2-х) это делается.
Неподписанный - сразу же игнорируется другой ещё до создания соединения.
Все коннекты - проверяются на валидную подпись.