Votre service TCP exposé sur Internet subit une attaque volumétrique de type SYN flood. Quelle approche d'atténuation est la première étape la plus appropriée sur Google Cloud ?

La bonne approche est de placer le service derrière l'équilibreur de charge HTTP(S) externe de Google (Google Front End) avec Cloud Armor. Le Google Front End (GFE) est une infrastructure mondiale qui absorbe le trafic à la périphérie du réseau de Google, offrant une protection DDoS volumétrique à grande échelle avant même que le trafic n'atteigne vos instances. Cloud Armor, intégré au GFE, permet de configurer des règles de sécurité pour atténuer les attaques SYN flood et autres menaces de couche 7. Attacher Cloud Armor uniquement au groupe d'instances n'est pas suffisant car le trafic volumétrique atteindrait toujours vos instances avant d'être filtré. Basculer vers un équilibreur de charge interne masquerait le service d'Internet, ce qui est contraire à l'objectif d'un service exposé. Cloud NAT n'est pas conçu pour filtrer les paquets SYN entrants dans le cadre d'une atténuation DDoS ; son rôle est de permettre aux instances privées d'accéder à Internet.