Миллионы запросов посыпятся на этот ActionValidator и уйдёт сервер в астрал.

Всё может быть проще, на примере америковских серверов - вирус, распространившийся по многим компьютерам, в одну секунду начал посылать запросы на их сервера и не спасли никакие программные и аппаратные средства, со стороны защиты это выглядит как обычные "правильные" запросы. Сейчас конечно у многих антивирусы и вероятность повторения данной ситуации невысока, но всё же она возможна.

Для защиты есть Cisco Guard и ему подобные.

p.s. как-то раз со своего слабого канала прогой sprut ddos покушался на mail.ru, они меня даже и не заметили

От масштабного ddos не существует защиты, http-get-запросы с разных компьютеров пойдут на сервер (не частые, а с интервалом, как-будто это обычный посетитель сайта, открывающий страницу, помноженое на большое количество разных ip) и всё, приехали. Пока будете вытаскивать из базы ip для сверки, кого блокировать, кого нет, сайт ляжет окончательно.

Датацентры фейсбука выдержат наплыв посетителей, а единственный слабый сервер хостера с вашим сайтом (и десятком других) и непонятно каким каналом ляжет сразу.

Это тоже самое, что перенаправить всех посетителей того же контакта на ваш сайт, получим тот же самый ddos. И смысл не в том, чтобы долбить с одного ip адреса, который можно легко заблокировать, а смысл в имитации "правильных" посетителей, когда оборудование не сможет определить, хороший это или плохой, останется только резать все лишние запросы, в итоге пользователи не получат доступ на сайт, что и требовалось совершить.