Согласен, что мониторинг — первое и главное. Без понимания источника и типа атаки лезть в железо или софт — просто деньги на ветер. Пока не поймёшь, где дырки, лучше начинать с базовых средств провайдера и простых алертов, а уже под реальные попытки настраивать более серьезно. Все равно ддосы постоянно меняются, поэтому гибкий подход важнее тяжёлого стартового апгрейда.