> А как заблокировать IP с которого идет брутфорс паролей или DDOS атака?

По мелочи - фаером, типа айпитаблеса. Но если тебе решили всыпать всерьез - фаер не поможет, только услуга защиты от DDoS. Когда против стада ботов фронтэндом выступает куча серверов того кто услугу предоставляет. Но это может стоить денег.

А так - в TCP/IP нет механизма указать что ты не хочешь получать пакет от вон того айпишника. Можешь убить пакет файрволом, но время в канале он займет. Поэтому от серьезно настроенных вредиелей не поможет.

> Чем плохо отсечь большинсво скриптикидисов которые не умеют?

Тем что это не главная проблема. Проблема - это большие ботнеты, научившиеся аккуратным сканам. А иногда и профессиональные киберкриминалы, если у тебя реально есть чем поживиться.

> Чем плохо отсечь большинство ботов которые в автоматическом режиме перебирают
> уязвимости из metasploita?

Само по себе ничем, кроме того что можно бонусом забанить случайно половину крупного прова и постепенно обнаружить что посетителей стало мало. Ну и для всего этого логи как таковые не требуются. Разве что совсем кратковременные.

> откройте 80 и 22 порты, через 24 часа посмотрите логи. Там
> будет зомбиапокалипсис в полную величину.

Можно подумать что я этого не делал. Только зомбиапокалипсис сейчас стал медленным и аккуратным - проверят парочку урлов или паролей без палива, похоже на настоящего клиента, и отвалвают. Ботов много - все вряме разные приходят. Как раз потому что грубые брутфорсы стали мочить. Но только потому что ssh считающий RSA на скорость всех напрягает уж очень.