Вы развертываете внешний балансировщик нагрузки HTTP(S), который перенаправляет трафик на локальные серверы уровня представления. Что следует настроить для блокировки вредоносных IP-адресов и предотвращения XSS на границе сети до того, как будут задействованы ресурсы?

Правильный ответ — создание политики Google Cloud Armor и применение ее к бэкенд-сервису, который использует бэкенд из группы сетевых конечных точек (NEG) интернета. Google Cloud Armor — это сервис WAF (Web Application Firewall) и защиты от DDoS-атак, который позволяет блокировать вредоносные IP-адреса и предотвращать XSS-атаки на границе сети, до того как трафик достигнет бэкенд-сервисов. Применение политики к бэкенд-сервису, использующему NEG интернета, обеспечивает защиту для внешних конечных точек. Другие варианты не подходят: Применение Cloud Armor к бэкенд-сервису с неуправляемой группой инстансов не обеспечивает защиту на границе сети для внешних ресурсов, так как неуправляемые группы инстансов обычно используются для внутренних ресурсов. Иерархические правила брандмауэра и правила брандмауэра VPC работают на сетевом уровне (Layer 3/4) и не могут эффективно блокировать XSS-атаки или анализировать трафик на уровне приложений (Layer 7), что требуется для защиты от XSS.