Jak chronić globalną aplikację Compute Engine z równoważeniem obciążenia HTTP(S) przed atakami DDoS i atakami warstwy 7?

Prawidłowa odpowiedź to utworzenie polityki bezpieczeństwa Google Cloud Armor i dołączenie jej do usługi backendu. Google Cloud Armor to usługa WAF (Web Application Firewall) i ochrony przed atakami DDoS, która jest zintegrowana z globalnym równoważeniem obciążenia HTTP(S). Umożliwia ona tworzenie reguł do filtrowania ruchu na podstawie różnych atrybutów, w tym adresów IP, nagłówków HTTP i sygnatur ataków warstwy 7. Pozostałe opcje są mniej skuteczne lub nieodpowiednie: VPC Service Controls chroni przed eksfiltracją danych i nie jest przeznaczone do łagodzenia ataków DDoS ani ataków warstwy 7. Reguły zapory sieciowej VPC działają na poziomie instancji i są mniej efektywne w ochronie przed atakami DDoS, które mogą przeciążyć równoważnik obciążenia, zanim ruch dotrze do instancji. Nie oferują też zaawansowanej ochrony warstwy 7. Hierarchiczne reguły zapory sieciowej są przydatne do centralnego zarządzania ruchem, ale nie zapewniają specyficznej ochrony WAF ani zaawansowanego łagodzenia ataków DDoS, które oferuje Cloud Armor.