Par défaut, Drupal permet de "bannir" des adresses IP manuellement, via la console d'administration.
Ceci est une première étape, mais peut vite devenir ingérable sur un site fréquenté. De plus, les requêtes http vont quand même arriver jusqu'au CMS, puisque c'est lui qui gère ces exclusions.
Par défaut, Drupal va enregistrer les événements dans sa base de données, via le module Database Logging inclus dans le "core".
L'inconvénient majeur est de générer un nombre important d'écriture en base, ce qui impacte directement les performances, et fait grossir inutilement la base de données.
Il est bien sûr possible de désactiver complètement ces traces, mais elles peuvent révéler des soucis (notamment des fichiers inexistants, des tentatives de connexions infructueuses, etc.).