блокировать IP не совсем правильно, т.к. на одном IP могут быть тысчячи других пользователей за NAT, кроме того могут брутфорсить боты или зараженные ПК с разных IP.
Задержки да, еще возможна автоблокирока учеток на которые пытаются логинится после N числа неудачных входво, ну и про самое надежное и простое средство тут забыли - сложные пароли.
