Старые методы типа ручной блокировки IP давно уже не тянут — ботнеты сейчас крутят миллионы адресов, и блокировать вручную просто бессмысленно. Простые капчи и черные списки тоже устарели — боты научились обходить их без проблем. Надо смотреть в сторону поведенческого анализа и машинного обучения, иначе защита превращается в балласт и тормозит сервис.