В целом всё верно, только про смену пути к админке не стоит слишком полагаться – это просто задержка для скрипта, а не защита сама по себе. Главное, конечно, правильный пароль и 2FA — без этого никакие переадресации и капчи не спасут. И да, fail2ban реально выручает, если сервер на Linux, блокирует надоедливых скриптов автоматом. Ну и логов смотреть нужно — оттуда часто сразу понятно, что кто-то что-то мутит.