bisa sih mikrotik, ada fungsi firewall nya.. cuman yah memang bukan spesialisasinya mikrotik.. best practice nya sih kalau firewall yah di pisah sendiri supaya lebih kuat yang saya lakukan untuk mencegah ddos : menyediakan 1 server dedicated buat firewall dan configure iptables nya untuk melakukan pencegahan ddos , tutorial nya : http://www.philchen.com/2013/01/18/how-to-use-netfilter-and-iptables-to-stop-a-ddos-attack , tapi arsitekturnya server ini, harus ada di depan web server + app + db dan di belakang router.. imho.. mudah2an membantu..