Как защитить сайт от перебора паролей?

Всем здарова, срочно нужна помощь. У меня реализована простая авторизация, в бд хранится e-mail, и хэш пароля. Пытаюсь сделать некоторую защиту, пока получается следующим образом: если была неудачная попытка авторизации с определённого ip, то я заношу этот ip в бд, и пока с этого ip не будет удачной попытки, вывожу капчу. Правильный ли это механизм, или есть варианты лучше? И да, что делать, если ip динамический? Заранее спасибо всем за ответ.