Cloud Armor: WAF e protezione DDoS

Cloud Armor protegge i backend service dell’external Application Load Balancer applicando security policy composte da regole con un match (espressioni, geografia o range di IP) e una action (allow, deny, throttle, redirect). Esistono due punti di applicazione: le backend security policy, valutate sul load balancer, e le edge security policy, valutate ancora più a monte su Cloud CDN/cache. Le regole WAF pre-configurate, basate su OWASP CRS, mitigano SQLi, XSS e RFI/LFI: la sensitivity level bilancia falsi positivi e copertura. La protezione DDoS volumetrica L3/L4 è always-on; Adaptive Protection (tier Enterprise/Managed Protection Plus) usa ML per rilevare e suggerire regole contro attacchi L7 applicativi. Il rate limiting offre throttle e rate-based ban per chiave (IP, header, cookie). Il bot management si integra con reCAPTCHA, mentre le named IP list di Threat Intelligence permettono di bloccare Tor exit node, proxy anonimi e IP malevoli noti.

Cloud NGFW e le firewall policy

Cloud NGFW estende il modello firewall della VPC. Ogni regola ha priorità (0-65535, valore basso = precedenza), direzione (ingress/egress) e action; le regole implicite sono deny ingress e allow egress. Oltre alle classiche VPC firewall rule esistono le network firewall policy (globali o regionali) e soprattutto le hierarchical firewall policy applicate a livello di organization e folder, che impongono controlli centrali che i progetti non possono aggirare (con action goto_next per delegare ai livelli inferiori). Le regole effettive di una VM sono la combinazione valutata in ordine gerarchico: org → folder → network policy → regole VPC. La micro-segmentazione si costruisce con network tag, secure tag governati da IAM e service account come source/target, evitando di ragionare per soli range IP. I tier sono Essentials (regole base), Standard (FQDN object, geo-location, address group, Threat Intelligence) ed Enterprise (L7 inspection/IPS tramite firewall endpoint). Abilitare il firewall logging è essenziale per audit e troubleshooting delle regole effettive.

Egress internet sicuro: Cloud NAT e Secure Web Proxy

Cloud NAT dà connettività egress alle istanze prive di IP esterno senza esporle in ingress: è un servizio regionale gestito, associato al Cloud Router, e non è un firewall. Si sceglie fra IP allocation automatica (Google scala gli indirizzi) o manuale (IP fissi noti, utili per il whitelisting a monte); la port allocation definisce le porte per VM (min ports per instance o dynamic port allocation) ed è la causa tipica dei fallimenti di allocazione quando le connessioni concorrenti saturano le porte. Cloud NAT filtra per IP/porta ma non ispeziona L7. Per controllare quali URL/domini le VM possono raggiungere serve Secure Web Proxy, un proxy egress esplicito con policy L7 su HTTP/HTTPS e TLS inspection: è la scelta corretta quando il requisito è “consentire l’accesso solo a domini approvati”, non Cloud NAT.

NVA multi-NIC e Packet Mirroring

Per inserire firewall di terze parti, IDS/IPS o proxy si usano network virtual appliance su VM multi-NIC, con ciascuna interfaccia in una VPC/subnet diversa per segmentare i flussi. Packet Mirroring copia integralmente il traffico (payload incluso) di istanze selezionate verso un collector, cioè il backend di un internal passthrough Network Load Balancer, per analisi IDS o forensics: opera fuori banda e non altera il traffico produttivo.

Trappole tipiche d’esame

  • Bloccare SQLi/XSS su un’app pubblica → soluzione: Cloud Armor con regole WAF pre-configurate sull’external Application LB; NON è compito di una VPC firewall rule (che lavora a L3/L4) né di Cloud NAT.
  • Consentire egress solo verso domini approvati → soluzione: Secure Web Proxy (policy L7 + TLS inspection); Cloud NAT dà solo connettività egress e non filtra per URL/dominio.
  • Regola di sicurezza che i progetti non possono rimuovere → soluzione: hierarchical firewall policy a org/folder, non una VPC firewall rule del progetto (scavalcabile dagli owner).
  • Serve L7 inspection/IPS nel firewall → soluzione: Cloud NGFW tier Enterprise (firewall endpoint); Essentials e Standard non fanno intrusion prevention applicativa.
  • Fallimento di allocazione NAT sotto carico → soluzione: aumentare min ports per VM, abilitare dynamic port allocation o aggiungere IP NAT; non è un problema di firewall.
  • Ispezionare copie del traffico senza impattare le VM → soluzione: Packet Mirroring verso un collector (internal passthrough NLB); Cloud Armor e i firewall log non forniscono il payload completo.