Security 登录禁令应该如何工作？

我已经建立了一个登录系统。如果超过每个IP或每个用户名失败尝试的最大配额，登录页面将要求您解决验证码问题，直到您登录。我认为当用户成功登录时，删除所有记录会删除包含您的IP或用户名的记录。然而，这有一个缺陷

假设这是尝试表

现在，假设客户机127.0.0.1使用用户名atwood登录。现在，关于他的记录已经没有了：他可以不必处理CAPTCHA就继续对其他用户进行暴力攻击

我如何防止这种变通方法

       IP | Username
----------+---------
127.0.0.1 |  jeff   
----------+---------
127.0.0.1 |  jeff
----------+---------
127.0.0.1 |  jeff
----------+---------
127.0.0.1 |  jeff
----------+---------