У меня в админке форума пару раз пытались перебрать пароли, и это совсем не приятно. Сначала думал, что простой блокировкой по IP можно отделаться, но в итоге понял, что этого мало — всегда найдутся прокси или ботнеты. Сейчас сделал несколько вещей, которые считаю важными: ограничил число попыток подряд (через плагины или настройки сервера), ввел капчу после нескольких неудачных логинов и настроил двухфакторку (пусть не суперпопулярна, но очень выручает). Кроме того, изменил стандартный URL админки — чтобы боты сразу не попадали на форму логина.

Проверял логи на предмет подозрительной активности и регулярных попыток со случайных IP, потом строил настройку блокировок и оповещений на их базе. В итоге стало гораздо спокойнее. Кто как борется с перебором? Может какие менее очевидные методы есть? Особенно интересно, кто юзает серверные firewall-правила или что-то на уровне nginx/apache.