Spendere dei soldi per firewall e ammennicoli vari non serve a nulla se non si tiene aggiornato il sito o se si installano estensioni "pacco" (più del 50% di quelle della jed, a pagamento o gratis) o se non si tiene costantemente aggiornato anche queste.
Condivido al 99%
Però c'è da considerare anche che un firewall può bloccare un attacco anche se hai file del core o estensioni ancora vulnerabili (vedi ad es ultimo bug importante joomla 3.6.4, regole firewall aggiornate, joomla no, il "classico" exploit non va a buon fine).
Ovviamente uno serio sa aggirare anche il firewall se vuole, ma difficilmente capiterà visto che il 99,9% sono bot o ragazzini che giocano.