долбит брутфорс-атака

Лимиты в nginx установите, основную массу запросов это отсеет с ошибкой в ответе.

http://wordpress.org/extend/plugins/keycaptcha/ - отлично помогает.

В админке включается капча на вход

+ лимиты в nginx на эту страницу.

Еще можно банить на автомате все IP с которых брутят (fail2ban + nginx, фильтры на limit_conn и limit_req)

И еще можно повесить например c помощью JS проверочную куку. И если она есть - показывать wp-login. Если нет - показывать 403

Если ипов мало, можно перебанить их руками.

Вполне может быть. У меня на ВПСке от флуда на один файл WP память засиралась часов за 5. Забанил по IP (было 2 адреса) с помощью iptables - отлегло.

переименовывыйте вп-логин да и все дела.

зачем? 404 страничка тоже генерируется и хочет ресурсов, нет смысла вообще заморачиваться если хостинг не тянет то нужно делать вывод....

TC сделайте так

location /wp-admin.php { # вроде так

deny all;

allow you ip;

}

И всё будет в порядке.

Если дело не в ресурсах, как заметил den73

Самое надежное это закрыть закрыть доступ к админке со всех IP и оставить только со своих. Плюс перенести URL админки на неизвестный адрес.

Если этого сделать нет возможности, то нужно делать анализ логов ACCESS.LOG находить в них долбящие IP и банить их автоматически фаерволом.

Но это решение довольно сложное и на коленках его не сделаешь.