Aumento dei tentativi di accesso falliti, attacchi brute force?

Attualmente è attiva una botnet che attacca siti WordPress e Joomla. E probabilmente altri. Dovresti vedere più accessi bloccati. Se non è così, probabilmente c'è qualcosa che non va.

Ma attenzione, bloccare gli indirizzi IP non aiuta contro una botnet con più di 90.000 indirizzi IP.
E se lo fai tramite un plugin, evita Limit Login Attempts. Memorizza gli IP in un'opzione serializzata che deve essere deserializzata ad ogni richiesta. Questo è molto costoso e lento.
Trova un plugin che utilizza una tabella di database separata o blocca gli indirizzi IP nel tuo file .htaccess in questo modo:

order allow,deny
# i 30 indirizzi IP principali elencati in 
# http://blog.sucuri.net/2013/04/mass-wordpress-brute-force-attacks-myth-or-reality.html
deny from 31.184.238.38
deny from 178.151.216.53
deny from 91.224.160.143
deny from 195.128.126.6
deny from 85.114.133.118
deny from 177.125.184.8
deny from 89.233.216.203
deny from 89.233.216.209
deny from 109.230.246.37
deny from 188.175.122.21
deny from 46.119.127.1
deny from 176.57.216.198
deny from 173.38.155.22
deny from 67.229.59.202
deny from 94.242.237.101
deny from 209.73.151.64
deny from 212.175.14.114
deny from 78.154.105.23
deny from 50.116.27.19
deny from 195.128.126.114
deny from 78.153.216.56
deny from 31.202.217.135
deny from 204.93.60.182
deny from 173.38.155.8
deny from 204.93.60.75
deny from 50.117.59.3
deny from 209.73.151.229
deny from 216.172.147.251
deny from 204.93.60.57
deny from 94.199.51.7
deny from 204.93.60.185

allow from all

Vedi anche:

• Codex: Attacchi Brute Force
• Protezione del Login Con .htaccess di Ipstenu (Mika Epstein)
• Regole ModSecurity Personalizzate per WordPress di Liquid Web
• Protezione Contro gli Attacchi Brute-Force su WordPress dal blog Sucuri, vedi anche: Attacchi Brute Force Massivi su WordPress? – Mito o Realtà con interessanti dettagli statistici
• Come Proteggere con Password il File wp-login.php di HostGator

Vale la pena dare un'occhiata anche al nostro tag sicurezza, in particolare:

• Come verificare di aver rimosso completamente un hack di WordPress?
• Protezione degli Account Admin - Scoperta del Nome Utente
• Come fa il brute-forcer a sapere che la password è stata crackata per un determinato username?

Se hai spostato wp-admin o il tuo wp-login.php, questi URL possono comunque essere indovinati aggiungendo /login o /admin all'URL principale. WordPress reindirizzerà queste richieste alla posizione corretta.
Per fermare questo comportamento puoi usare un plugin molto semplice:

<?php  # -*- coding: utf-8 -*-
/* Plugin Name: No admin short URLs */

remove_action( 'template_redirect', 'wp_redirect_admin_locations', 1000 );

Penso che questa sia una forma di sicurezza per oscuramento – niente di serio.

Oltre alle risorse elencate da toscho nella sua risposta, potresti anche utilizzare l'Autenticazione HTTP di base di PHP per proteggere con password wp-admin e/o wp-login.php per bloccare l'accesso a wp-login.php.

Ho appena pubblicato un plugin che fa questo per te insieme al blocco delle richieste No-Referrer. (Attualmente il blocco No-Referrer non funziona per i siti installati in una sottodirectory).

Puoi proteggere l'area di amministrazione di WordPress seguendo questi metodi.

1. Aggiungi numeri, caratteri speciali e lettere alla tua password di amministrazione per creare una password robusta
2. Se hai molti record nel tuo database, questo potrebbe rallentare il tuo sito. Puoi evitarlo aggiungendo un CAPTCHA immagine nella pagina di accesso wp-admin. Alcuni plugin sono disponibili per questo scopo. Come https://wordpress.org/plugins/wp-limit-login-attempts/