Я так понял, что главное — это не давать боту просто так пытаться входить бесконечно: капча и блокировка после нескольких неудач реально помогают. Ну и да, менять стандартный адрес админки — тоже толково, чтобы бот не лез сразу на /admin. Весь этот набор простых штук уже сильно снижает шансы на перебор.