Na verdade, basicamente a solução é link protegido ou firewall, para alguns tipos de ataques.

Ter link sobrando, é muito mais caro do que você migrar o datacenter inteiro para um com link protegido, hahaha

Nem sempre.

Se você receber um ataque *volumétrico* de 3Gbit e tiver um link de 5Gbit, tendo um boa borda, não vai ter problemas.

Mas no geral, não adianta ter só link ou só proteção. Se você possuir um appliance bare-metal, precisa de link para mitigar. Caso a proteção for on demand na nuvem e você não utilizar prepend ou algo assim para analisar o tráfego entrante, caso ocorra um ataque a sua borda vai ser congestionada até o sistema entrar em ação e as rotas forem alteradas.

Você está falando de ataques a partir de IPs BR, né?

Porque internacional, não recebo mais ataques de 3Gbit no site da Virtus há um bom tempo... Começa em 5~10Gbit, e o céu é o limite, praticamente.

Sim.

A mitigação de ataques nacionais sem efetuar a mitigação internacionalmente é cara. A ALOG por exemplo, cobra R$ 0,12 o Mbit de tráfego sujo.