Не уверен, что просто лимиты и капчи решают проблему полностью. Логи, конечно, важны, но часто они сами по себе не спасают — нужна нормальная система анализа и реакция на аномалии. Ну и с фильтрацией по гео аккуратнее, да, но иногда проще тупо грузануть мощный фильтр на весь трафик, если сайт не сильно глобальный. В общем, одними правилами защиту не выбьешь, нужна комплексная система.