Согласен, начинать стоит с мониторинга — без понимания реальных попыток атак смысла ставить защиту нет. Обычно сначала хватит базовых мер от провайдера и простого логирования, чтобы видеть, что происходит. Потом уже по ситуации допиливаешь — железо, софт или облако, в зависимости от сложности атак. Универсального рецепта не бывает, тут нужно постепенно подкручивать под свои задачи.