А вообще для начала basic-auth настрой, с указанием логина-пароля в комментарии к нему, это защитит от простого GET-флуда.