> А как заблокировать IP с которого идет брутфорс паролей или DDOS атака?

если у тебя для ddos-mutigation нет средств кроме логов http-сервера, у меня для тебя плохие новости.
А блокировать отдельный ip - просто кретинизм, через неделю в блокировках окажутся паблик-споты и куча отелей.
И самое главное - даже если на самом деле очень хочется это делать, и умеется сделать не через жопу - тебе совершенно не нужны "логи http-сервера".

> Чем плохо отсечь большинсво скриптикидисов которые не умеют?

тем что это показатель твоей профнепригодности.
сеть московского метро, к примеру, ты уже отсек, надеюсь?

> Чем плохо отсечь большинство ботов которые в автоматическом режиме перебирают уязвимости
> из metasploita?

тем же - если у тебя руки из жопы и на плечах она же - тебе это не поможет.
Если нет - эти боты тебя беспокоят не больше ночного квакания лягушек (основные проблемы сайтов типа гитхаба связаны не с ботами и целенаправленными ддосами, а с их штатной основной нагрузкой, которая после анонса пуша новой версии какой-нибудь хни (или из-за ошибок собственных девопов) будет пострашнее любого ддоса)

> Простой эксперимент - зарегистрируйте бесплатный пробный vps на любом провайдере на

простой эксперимент: поработай хотя бы даже в этом самом провайдере, если не берут в проекты посерьезнее влезающих на "бесплатные vps" - узнаешь, чем твой vps отличается от действительно серьезных систем, и почему ЭТИ проблемы становятся глубоко по барабану, когда ты сидишь у руля чего-то размером с гитхаб.