Часто начинаю с простого — ставлю fail2ban или что-то похожее, чтобы быстро отсеять очевидный мусор. Потом смотрю, есть ли смысл поднимать что-то громоздкое или сразу к облачному сервису. Главное — не пытаться всё усложнять в начале, а понять паттерны атаки и реагировать по ситуации.