Кстати, ещё стоит подумать про задержки между попытками входа — это простая штука, но существенно тормозит перебор. И если добавить мониторинг по необычным попыткам логина, можно быстро заметить атаку и блокировать IP до блокировки на уровне фаера. Сам по себе каптча не всегда спасает, а вот вместе с небольшими задержками и банами выглядит уже солидно.