1) Если атака идет не с нескольких IP, а с 1 - это не ddos, а dos

2) универсального совета никакого нет. Все зависит от установленного на сервере ПО. Чем ты там прикрываешься? iptables? так для этого своя команда. CSF ? Другая. через htaccess - третья

3) нет .htaccess? Так создай. В 99% случаев даже если самого файла нет, но сервер то его поддерживает. Очень редко когда htaccess не подедрживается. Команду в htaccess тебе уже написали