Проблема перебора паролей проста — если нет ограничений на попытки и 2FA, то любой бот быстро подберёт что-то простое. Менять логин admin и ставить сложный пароль — базовые вещи, но без блокировок по IP или капчи это почти бесполезно. Поэтому лично для себя ставлю и fail2ban, и двухфакторку — это минимальный минимум, который реально спасает админку от автоматических атак.