宝塔防火墙挡不住CDN刷量咋办

手头一个老站跑了好几年了，用的阿里云的服务器，今天一看流量账单吓一跳，被刷了几百G的CDN流量，钱倒是不多，就是烦人。之前装过宝塔的防火墙，开了CC防护，但觉得没啥用，该刷还是刷。问了下卖服务器的客服，说让我加白名单或者开WAF，但WAF要另外掏钱，有点肉疼。你们遇到这种情况一般咋搞的？有没有啥免费或者便宜点的办法，能把这帮刷子挡住？