Seu serviço TCP voltado para a internet está sofrendo um grande ataque volumétrico de SYN flood. Qual abordagem de mitigação é o primeiro passo mais apropriado no Google Cloud?

A resposta correta é colocar o serviço atrás do balanceador de carga HTTP(S) externo do Google (Google Front End) para que o tráfego seja absorvido na borda e usar o Cloud Armor para proteção L7. O Google Front End (GFE) é a primeira linha de defesa do Google, projetado para absorver grandes ataques volumétricos, como SYN floods, na borda da rede global do Google, antes que o tráfego malicioso chegue às suas instâncias. O Cloud Armor, quando associado ao GFE, fornece proteção adicional na camada 7 (aplicação) com regras de segurança. Anexar uma política de segurança do Cloud Armor apenas ao grupo de instâncias não é suficiente, pois o ataque volumétrico pode sobrecarregar as instâncias antes que o Cloud Armor possa agir. Mudar o serviço para um balanceador de carga interno o tornaria inacessível pela internet, o que não é uma solução para um serviço voltado para a internet. Habilitar o Cloud NAT não filtra pacotes SYN de entrada de forma eficaz contra um ataque volumétrico, pois sua função principal é fornecer conectividade de saída para instâncias privadas.