Как я режу брутфорс на wp-login.php и xmlrpc.php через nginx limit_req, не закрывая офис за NAT и не превращая отказ в 503 по всему PHP. Отдельные зоны, POST-only, real_ip и почему system.multicall лимитер не видит.
Очень часто случается так, что на сервере присутствуют сайты с неактуальными версиями ПО, которые взламываются, через них на сервер заливаются специальные файлы, через которые злоумышленники начинают массово рассылать спам.