Защита ресурсов Azure от атак

У меня есть определенные ресурсы Azure, такие как AKS, redis, cosmos, APIM и т. Д. Чтобы защитить ресурсы от атак, таких как DDOS, мы поместили их все в частный vnet и сделали их доступными только через APIM. Это правильный подход? В этом случае нам нужно только позаботиться о безопасности APIM. Однако стоимость виртуальных сетей высока, и мы рассматриваем другие варианты. Я вижу только один план защиты от DDOS, который защищает всю RG. Таким образом, другой подход - удалить виртуальную сеть и сделать группу RG защищенной с помощью плана защиты от DDOS. Однако есть ли другие атаки, которые возможны даже при наличии плана защиты от DDOS? Как лучше всего их решить? Любые лиды будут очень полезны