Эму надо пить.

Народ, нужен совет. Столкнулся с непонятной нагрузкой на сервер — посещаемость вроде не выросла, а CPU скачет на пиках. Логи показали, что приходит куда больше запросов, чем реальных кликов. Подозреваю, что это какие-то боты, которые сканируют сайт или пытаются подбирать пароли к админке. Обычные методы типа лимитов по IP уже не помогают.

Да, это классические атаки на подбор или просто брутфорс, которые жрут ресурсы. Нужно отсеивать автоматику еще на входе. Я для своих проектов использую http://xcaptcha.com/ Он классный тем, что не тормозит сайт, в отличие от громоздких проверок. Ставится за пять минут, и нагрузка на сервер сразу падает, потому что скрипты отсеиваются. Плюс это бесплатно, что особенно радует, когда защищаешь небольшой проект.