GOOGLE CLOUD 実践 / セキュリティ

Cloud Armor — WAFを「検知してから遮断」する運用

Cloud Armor はロードバランサの前で攻撃を止めるマネージド WAF。強いルールをいきなり遮断にせず、プレビュー・ログ・チューニングで安全に本番化する。

TL;DR

  1. まず SQLi・XSS・緊急CVE向けのマネージドルールを優先する。
  2. プレビューモードでログを観察してから、遮断へ切り替える。
  3. 誤検知の例外は広く緩めず、対象シグネチャ・パス・条件を最小に絞る。

01配置 — 攻撃をアプリの手前で止める

Cloud Armor のセキュリティポリシーは外部 Application Load Balancer に適用する。悪意あるリクエストを Cloud Run へ渡す前に、ルールと優先順位で判定する。

配置 — 攻撃をアプリの手前で止める
Cloud Armor が GCLB の前段でリクエストを評価する。

Cloud Armorはアプリの前段で評価する

02最初のルールセット

SQLi、XSS、緊急性の高い既知脆弱性（CVE）を対象にしたマネージドルールを優先する。ルールを無差別に増やすほど、誤検知調査の負担が増える。

最初のルールセット
優先度の高いマネージドルールを示す。

最初は代表的な攻撃を狙う

03安全な導入サイクル

プレビューモードで実トラフィックのログを観察し、ブロック理由と正当なリクエストへの影響を確認する。例外は対象条件を最小にしてから遮断へ切り替える。

安全な導入サイクル
プレビューで影響を観察してから本番遮断へ移す。

previewからdenyへ進める

結論

  1. WAF導入の完成は「ルールを作った」ではなく、誤検知を監視できる状態。
  2. まず観察し、根拠を持って遮断へ移す。
  3. 例外は攻撃面を広げない最小条件に限定する。