Comment protéger une application Compute Engine à équilibrage de charge HTTP(S) global contre les attaques DDoS et de couche 7 ?

La bonne réponse est de créer une règle de sécurité Google Cloud Armor et de l'associer au service de backend. Google Cloud Armor est spécifiquement conçu pour protéger les applications contre les attaques DDoS et de couche 7 (par exemple, injection SQL, scripts intersites) en filtrant le trafic malveillant au niveau de la périphérie du réseau de Google. Il s'intègre directement avec les équilibreurs de charge HTTP(S) globaux. Déployer des contrôles de service VPC avec un périmètre sécurisé est incorrect car les périmètres de service VPC protègent contre l'exfiltration de données et l'accès non autorisé aux services, mais ne sont pas conçus pour la protection DDoS ou de couche 7 du trafic public entrant. S'appuyer sur les règles de pare-feu VPC sur les instances Compute est incorrect car les pare-feu VPC opèrent au niveau de la couche 4 (TCP/UDP) et ne peuvent pas inspecter le contenu des requêtes de couche 7 pour détecter les attaques spécifiques aux applications. De plus, ils protègent les instances, pas l'équilibreur de charge lui-même. Configurer des règles de pare-feu hiérarchiques pour l'adresse IP de l'équilibreur de charge au niveau de l'organisation est incorrect car, comme les pare-feu VPC, elles sont principalement basées sur les couches 3 et 4 et ne peuvent pas fournir une protection granulaire contre les attaques de couche 7.