Você está implantando um balanceador de carga HTTP(S) externo que encaminha para servidores de camada de apresentação on-prem. Para bloquear IPs maliciosos e mitigar XSS na borda antes que os recursos sejam consumidos, o que você deve configurar?

A opção correta é criar uma política do Google Cloud Armor e aplicá-la a um serviço de backend que usa um backend de grupo de endpoints de rede (NEG) da internet. O Cloud Armor é o serviço de segurança de borda do Google Cloud que oferece proteção contra ataques DDoS e WAF (Web Application Firewall), ideal para bloquear IPs maliciosos e mitigar XSS. Ao usar um NEG da internet, o tráfego para os servidores on-premise é roteado através da infraestrutura do Google, permitindo que o Cloud Armor inspecione e filtre as requisições antes que cheguem aos seus servidores. As outras opções estão incorretas porque: Aplicar o Cloud Armor a um serviço de backend com um grupo de instâncias não gerenciado não é o ideal para recursos on-premise, pois o NEG da internet é o tipo de backend projetado para isso. Conjuntos de regras de firewall hierárquicos e regras de firewall da VPC operam em camadas de rede diferentes e não fornecem a funcionalidade de WAF e proteção contra DDoS de camada 7 oferecida pelo Cloud Armor.