A resposta é simples: equilibrar o custo do tempo de inatividade com o custo de se proteger de ataques DDoS.
Isso pode significar pagar o provedor de hospedagem existente por um melhor isolamento (e melhores SLAs), encontrar um provedor de hospedagem melhor ou pagar por um dos serviços de atenuação de DDoS. Observe que alguns deles têm ofertas gratuitas.
Quaisquer que sejam os números, se o custo do tempo de inatividade for maior que o custo de se proteger, você deverá pagar pela atualização.