为负载均衡器/存储桶静态网站配置Cloud Armor：成本疑问与实现方法

会，主要涉及以下几个计费维度：

• 负载均衡器计费：GCP负载均衡器按请求处理量、数据传输量收费，大量机器人请求会直接增加请求计数，推高这部分费用。
• Cloud Storage计费：即使请求返回404错误，存储桶仍会处理该请求，产生请求次数费用；若有错误页面等数据返回，还会额外产生出站数据传输费用。
• 日志服务计费：海量请求会生成更多日志数据，Cloud Logging的存储与查询成本也会随之上涨。

步骤1：创建Cloud Armor安全策略 #

• 进入GCP控制台的Cloud Armor页面，点击「创建安全策略」，填写名称与描述，关联托管静态网站的负载均衡器。

步骤2：添加预配置OWASP核心规则集（CRS） #

• 在策略的「规则」模块点击「添加规则」，选择「预配置规则」，选用OWASP Core Rule Set 3.2及以上的稳定版本。
• 针对你的攻击场景，重点启用以下规则类别：
  • SQL注入防护规则：拦截带注入特征的请求
  • 路径遍历防护规则：阻断类似/nice%20ports%2C/Trinity.txt.bak这类扫描敏感路径的请求
  • 恶意扫描防护规则：识别并拦截nmap等扫描工具发起的请求
• 将规则动作设置为「拒绝」（建议先设置为「日志」测试一段时间，确认无正常请求误拦后再切换为拒绝）。

步骤3：调整规则优先级 #

• 确保OWASP规则的优先级高于默认规则，让恶意请求被优先拦截。

步骤4：验证拦截效果 #

• 发送日志中出现的模拟攻击请求，查看Cloud Armor日志确认拦截状态；同时持续监控负载均衡器请求量与项目成本变化。

步骤5：优化规则（可选） #

• 若出现正常请求被误拦的情况，可通过添加规则例外（如允许特定IP、路径）或调整规则严格程度来优化策略。

内容的提问来源于stack exchange，提问作者Jim