CDN 被恶意请求攻击，平白无故烧去很多费用，如何防御？

如题

具体情况：楼主昨天一个小博客服务（挂了 aws cloudfront ）忽然烧去一些钱，具体分析是一个区域（平台分析的最细粒度）针对单一的一个图片（ CDN 域名）疯狂的请求（请求数令人发指），在短短的时间里烧去免费额度和部分额外费用，而且貌似平台也没有什么防御（平台说默认开启 WAF + ddos 防御，但看上去并没有，我甚至怀疑是 aws 计费出了问题）。

之前以为开启了 CDN ，流量请求就还算安全，目前来看然并卵啊，还是需要进一步搞不少东西。

问题：CDN 感觉是完全暴露在外面的，被 DDoS 有什么防御手段吗？以及有什么规则可以配置么？（我看了一下 aws sheild advanced 的费用实在是有点贵。其实不是很理解目前 cdn 成本如此高昂的情况下如何处理。）

类似情况大家是如何处理的？

以及有没有更好的 cdn 供应商（目前是 aws cloudfront ）