Согласен, гибридка — самый живой вариант сейчас. Локалка шмаляет по классике с SYN, UDP и слоу, а облако подрубается, когда нагрузка реально подгорает. По машинке — она классно выявляет аномалии, но без нормального тюнинга превращается в лишний шум и ложняк. Автоматизация важна, но без масштабируемости канала толку мало, особенно на мощных атаках.