Включите awstat на хостинге. Поработает снедельку, соберете статистику ip. Там будет видно или самые частые ip или подсеть. Далее удостоверяетесь по гуглу, что это не боты от поисковика и смело блокируйте их в htaccess.
Если у вас оочень много разных ip и не получится собрать правила, то есть сервисы по геоблокированию, что-то на cloudflare встречал на счет защиты от ддос атак с указанием гео зон.
В моем случае после атаки сайта спам ботами (ибо джумла омг ибо комменты включены без капчи как и регистрация тупо кто-то спрятал это из шаблона не отключив плагинов, спама было на 5гб) я собрал статистику, прогнал по гео ip получив страну, отсортировал по частоте заходов и добавил в htaccess самых наглых узкоглазых и краснолицых.