Самое простое — поставить капчу и ограничить попытки входа. Без этого хоть трёхэтажный пароль ставь, боты быстро взломают. Ну и 2FA — вообще кайф, почти никакой перебор не страшен. Админку лучше спрятать под нестандартный адрес, чтобы сразу не светилась всем подряд.