Ataque de volume não se resolve com uma regra no firewall da VM. O link enche antes, e o usuário legítimo cai junto. A filtragem tem que acontecer na borda, no ponto em que ainda existe capacidade sobrando para descartar lixo e deixar o resto passar.
O que vale combinar antes: qual volume está incluso, o que acontece acima disso, e se a mitigação é automática ou depende de alguém ligar. Promessa de proteção ilimitada, sem número, normalmente esconde um limite. Peça o número.
Aplicação também ajuda. Timeout curto, cache do que é público e um jeito de tirar a origem do DNS se a sala inteira estiver ruim. Nada disso substitui a borda. Só evita que um pico menor, que nem é ataque, derrube o processo.
Nos planos da HostShark a proteção essencial já entra na borda. Volume maior, jogo online e API muito exposta pedem um desenho próprio. Isso se acerta na contratação, não no meio do incidente.