Cloud Armor Enterprise 總覽

Google Cloud Armor Enterprise 是應用程式防護服務，可保護網頁應用程式和服務，不受網際網路的分散式阻斷服務 (DDoS) 攻擊及其他威脅侵擾。Cloud Armor Enterprise 可保護部署在 Google Cloud、地端部署或在其他基礎架構供應商服務中的應用程式。

Google Cloud Armor Standard 與 Cloud Armor Enterprise

Cloud Armor 提供兩種服務級別：Standard 和 Cloud Armor Enterprise。

Cloud Armor Standard 包含下列功能：

  • 即付即用計價模式
  • 全天候防護，抵禦第 3 層和第 4 層 (L3 和 L4) 巨流量和網路通訊協定 DDoS 攻擊。

  • 自動對每項要求即時套用安全性政策，且不會對下列基礎架構類型的延遲時間造成影響：

    • 全域外部應用程式負載平衡器 (HTTP/HTTPS)
    • 傳統版應用程式負載平衡器 (HTTP/HTTPS)
    • 區域性外部應用程式負載平衡器 (HTTP/HTTPS)
    • 區域性外部直通式網路負載平衡器
    • 全域外部 Proxy 網路負載平衡器 (TCP/SSL)
    • Cloud CDN
    • Media CDN

  • 與 Cloud CDN 和 Media CDN 整合

  • 存取 Cloud Armor 網頁應用程式防火牆 (WAF) 規則功能，包括預先設定的 WAF 規則，可防範 OWASP 十大資安風險

  • 選用外掛程式：Cloud Armor 受管理規則，可自動更新威脅偵測簽章

Cloud Armor Enterprise 包含下列功能：

所有 Google Cloud 專案只要包含外部應用程式負載平衡器或外部 Proxy 網路負載平衡器，就會自動註冊 Cloud Armor Standard。在帳單帳戶層級訂閱 Cloud Armor Enterprise 後，使用者可以選擇將連結至該帳單帳戶的個別專案註冊至 Cloud Armor Enterprise。

下表彙整了服務層級。

Cloud Armor Standard Cloud Armor Enterprise
PayGo 年約
計費方式 即付即用 即付即用 訂閱方案 (綁約 12 個月)
定價 按照政策、規則和要求數量計費 (請參閱「定價」)
  • 每項專案每月 $200 美元
  • 前 2 項資源之後，每項受保護的資源每月 $200 美元
  • 每個帳單帳戶每月 $3,000 美元
  • 前 100 項之後，每月每多一項受保護的資源加收 $30 美元
DDoS 攻擊防護
  • 外部應用程式負載平衡器
  • 外部 Proxy 網路負載平衡器
  • 外部應用程式負載平衡器
  • 外部 Proxy 網路負載平衡器
  • 區域性外部直通式網路負載平衡器
  • 通訊協定轉送
  • 公開 IP 位址 (VM)
  • 外部應用程式負載平衡器
  • 外部 Proxy 網路負載平衡器
  • 區域性外部直通式網路負載平衡器
  • 通訊協定轉送
  • 公開 IP 位址 (VM)
代管規則 選用外掛程式 (請參閱定價) 選用外掛程式 (請參閱定價) 選用加購項目 (請參閱「價格」)
Cloud Armor WAF 按照政策、規則和要求數量計費 (請參閱「定價」) 隨附於即付即用方案 隨附於年費方案
資源限制 不得超過配額上限 不得超過配額上限 不得超過配額上限
約期 一年
Adaptive Protection 僅限警報
進階網路 DDoS 防護
網路邊緣安全性政策
位址群組
Google Threat Intelligence
階層式安全性政策
DDoS 攻擊可見度
DDoS 回應支援 資格規定
DDoS 帳單保護機制

全域前端

全域前端結合了 Cloud Armor、全域外部應用程式負載平衡器、 Service Extensions 和 Cloud CDN，成為單一解決方案，可協助您提供、擴充及保護面向網際網路的應用程式。如果採用 Global Front End Enterprise 計費級別，這些產品的費用會整合至單一定價方案。

在專案中啟用 Global Front End Enterprise 後，全域外部應用程式負載平衡器就能使用特定 Cloud Armor Enterprise 功能，但專案層級的 Cloud Armor 級別不會變更。同一專案中，全域外部應用程式負載平衡器以外的資源 (例如內部負載平衡器或區域負載平衡器)，會繼續沿用目前的 Cloud Armor 價格層級 (Cloud Armor Standard 或 Cloud Armor Enterprise)。停用 Global Front End Enterprise 後，專案層級會決定有效的 Cloud Armor 防護機制。主機不會自動還原先前的等級。 Google Cloud 您必須立即手動指定 Cloud Armor 計費級別 (Cloud Armor Standard 或 Cloud Armor Enterprise PayGo)，以免安全性政策降級或帳單費用意外變動。

下表摘要說明啟用 Global Front End Enterprise 後，資源會受到哪些影響 (視專案的 Cloud Armor 層級而定)。

資源類型 專案級別：Cloud Armor Standard 專案層級：Cloud Armor Enterprise (隨用隨付或年約)
全域外部應用程式負載平衡器 透過合併帳單啟用特定 Cloud Armor Enterprise 功能：
  • Cloud Armor 預先設定的 WAF 規則
  • Adaptive Protection
  • Google Threat Intelligence
  • DDoS 攻擊可見度
  • 位址群組
 啟用所有 Cloud Armor Enterprise 功能，並提供合併帳單
所有其他資源 (例如區域性外部應用程式負載平衡器或內部負載平衡器) 不受影響 (Cloud Armor Standard 功能和定價) 不受影響 (Cloud Armor Enterprise 功能和定價)

訂閱 Cloud Armor Enterprise

訂閱 Cloud Armor Enterprise Annual 方案，須綁約一年 (12 個月)。只有具備帳單帳戶角色和權限的使用者，才能為帳單帳戶訂閱 Cloud Armor Enterprise 年度方案。或者，您也可以註冊 Cloud Armor Enterprise Paygo，不需簽訂合約。

如要使用 Cloud Armor Enterprise 的額外服務和功能，您必須先註冊 Cloud Armor Enterprise。您可以訂閱 Cloud Armor Enterprise Annual 並註冊個別專案，也可以直接在 Cloud Armor Enterprise Paygo 註冊專案。

建議您盡快在 Cloud Armor Enterprise 註冊專案，因為啟用程序最多可能需要一小時。從 Cloud Armor Standard 升級至 Enterprise 時，通常不會影響應用程式的可用性。不過，變更安全性政策時，請務必仔細考量對計費方式的影響。

外部應用程式負載平衡器和外部 Proxy 網路負載平衡器

專案註冊 Cloud Armor Enterprise 後，專案中的轉送規則會新增至註冊項目。此外，所有後端服務和後端 bucket 都會計為受保護的資源，並計入 Cloud Armor Enterprise 受保護資源的費用。在 Cloud Armor Enterprise Annual 中，後端服務和後端 bucket 會匯總帳單帳戶中所有已註冊的專案，而 Cloud Armor Enterprise Paygo 則會匯總專案中的後端服務和後端 bucket。

全天候運作的轉送規則、後端服務和後端 bucket 防護功能，包括緩解 L3 和 L4 巨流量和網路通訊協定 DDoS 攻擊。如要防範應用程式層威脅 (包括 L7 DDoS)，使用者必須建立安全性政策並加入緩解規則。

階層式安全性政策

附加階層式安全性政策時，繼承該政策的每項專案都必須註冊 Cloud Armor Enterprise。這包括組織或資料夾中，所有未明確排除且具有階層式安全性政策的專案，以及直接附加階層式安全性政策的所有專案。

  • 如果專案連結的 Cloud Billing 帳戶訂閱了 Cloud Armor Enterprise Annual，系統會自動為專案註冊 Cloud Armor Enterprise Annual (如果尚未註冊)。
  • 如果專案繼承階層式安全性政策，系統會自動為專案註冊 Cloud Armor Enterprise Paygo，除非專案已訂閱 Cloud Armor Enterprise Annual。如果專案自動註冊 Cloud Armor Enterprise Paygo 後，您才為帳單帳戶訂閱 Cloud Armor Enterprise Annual，專案不會自動註冊 Annual。如要進一步瞭解 Cloud Armor Enterprise Paygo，請參閱「Cloud Armor Standard 與 Cloud Armor Enterprise 的比較」。
  • 如果專案自動註冊 Cloud Armor Enterprise 後，您更新階層式安全政策以排除該專案，專案不會自動取消註冊。如要手動取消註冊專案，請參閱「從 Cloud Armor Enterprise 移除專案」。
  • 如果專案有任何繼承的階層式安全性政策，就無法從 Cloud Armor Enterprise 移除。

自動註冊作業最慢會在下一個工作天完成。在此期間，階層式安全性政策會生效，且不會產生 Cloud Armor Enterprise 費用。專案註冊後，稽核記錄會更新，反映專案的 Cloud Armor Enterprise 狀態。您也會在Google Cloud 控制台中看到新的專案層級。

只有在全域外部負載平衡器的至少一項後端服務使用 HTTP、HTTPS、HTTP2、H2C 或 GRPC 時，專案才會自動註冊。

如要進一步瞭解階層式安全性政策，請參閱「階層式安全性政策總覽」。

DDoS 應變支援

DDoS 攻擊應變支援服務全年無休，由負責保護所有 Google 服務的團隊提供協助，並視情況提供自訂的緩解措施。您可以在遭受攻擊時尋求應變支援，協助減輕攻擊，也可以主動聯絡，為即將到來的大量或可能病毒式傳播的事件 (可能吸引異常大量訪客的事件) 做好規劃。

所有 Cloud Armor Enterprise 客戶都能享有主動支援服務，即使尚未完成 DDoS 防護機制檢查也一樣。主動支援服務可讓我們在攻擊到達 Cloud Armor 之前，套用預先設定的規則，防範常見的 DDoS 攻擊類型。如要尋求 DDoS 應變支援，請參閱「取得 DDoS 案件支援」。

DDoS 資安態勢檢查

DDoS 態勢審查的目標是提升 DDoS 應變程序的效率和成效。在審查過程中，我們會瞭解您的獨特用途和架構，並確認 Cloud Armor 安全性政策是依據我們的最佳做法設定。這有助於提高對 DDoS 攻擊的預防韌性。

DDoS 防護機制檢查服務適用於訂閱 Cloud Armor Enterprise Annual，且擁有 Cloud Customer Care 付費帳戶的客戶。

DDoS 回應支援服務的適用資格

符合下列條件，即可開立案件，並向 Cloud Armor DDoS 回應支援團隊尋求協助：

  • 您的帳單帳戶已訂閱 Cloud Armor Enterprise 年約方案。
  • 您的帳單帳戶有 Cloud Customer Care 的付費帳戶。
  • 遭受攻擊的工作負載所在的 Google Cloud 專案已註冊 Cloud Armor Enterprise 年約方案。
    • 如果使用跨專案服務參照，前端和後端服務專案都必須註冊 Cloud Armor Enterprise Annual。
  • 如果客戶是在 2024 年 9 月 3 日之後訂閱 Cloud Armor Enterprise 年約方案，則遭受攻擊的工作負載所在專案，必須已完成年度 DDoS 防護機制檢查。

即使客戶不符合支援資格，Cloud Customer Care 團隊也會在遭受攻擊時提供協助，包括規則偵錯、行為釐清，以及現有政策的特定問題。

如要尋求 DDoS 回應支援，請參閱「取得 DDoS 案件支援」。

DDoS 帳單保護機制

如要使用 Cloud Armor DDoS 帳單保護功能，專案必須註冊 Cloud Armor Enterprise Annual。如果經證實的 DDoS 攻擊導致 Cloud Load Balancing、Cloud Armor、網路網際網路、跨區域和跨可用區傳出資料移轉的帳單費用增加，這項服務會提供抵免額，可用於日後Google Cloud 用量。如果我們認可您的申請並提供抵免額，抵免額無法用於抵銷現有用量，只能用於日後用量。下表說明分散式阻斷服務攻擊帳單保護機制涵蓋的資源：

端點類型 涵蓋的用量增加
  • 外部應用程式負載平衡器
  • 外部 Proxy 網路負載平衡器
 Cloud Armor Cloud Armor Enterprise 資料處理費用
網路 傳出資料移轉
跨區域
跨區域
電信業者對接
負載平衡器 傳入資料處理費用
傳出資料處理費用
Cloud CDN Cloud CDN 輸出費用
快取資料轉出
快取填補
HTTP/HTTPS 快取查詢要求
Media CDN Media CDN 輸出費用
快取資料轉出
  • 區域性外部直通式網路負載平衡器
  • 通訊協定轉送
  • 公開 IP 位址 (VM)
 Cloud Armor Cloud Armor Enterprise 資料處理費用
網路 傳出資料移轉
跨區域
跨區域
電信業者對接
負載平衡器 傳入資料處理費
傳出資料處理費用

如要啟用 DDoS 帳單保護機制，請參閱「啟用 DDoS 帳單保護機制」。

在帳單帳戶之間遷移專案

自 2024 年 9 月 3 日起，如果您在訂閱 Cloud Armor Enterprise Annual 期間，將專案從一個帳單帳戶遷移至另一個帳單帳戶，但新的帳單帳戶未訂閱 Cloud Armor Enterprise Annual，則專案會在遷移完成後還原至 Cloud Armor Standard。不過，如果專案有有效的階層式安全性政策，則會降級至 Cloud Armor Enterprise Paygo。因此，如要將專案保留在 Cloud Armor Enterprise Annual，且不希望服務中斷，建議您「先」為新的帳單帳戶訂閱 Cloud Armor Enterprise Annual，再開始遷移程序。您也可以與 Cloud Billing 支援團隊聯絡，將訂閱項目從一個帳單帳戶遷移至另一個帳戶。

已註冊 Cloud Armor Enterprise Paygo 的專案不會受到帳單帳戶遷移作業影響。

從 Cloud Armor Enterprise 降級

從 Cloud Armor Enterprise 移除專案後，如果安全性政策的規則使用 Cloud Armor Enterprise 專屬功能 (進階規則)，該政策就會遭到凍結。凍結的安全政策具有下列屬性：

  • Cloud Armor 會繼續根據政策中的規則 (包括任何進階規則) 評估流量。
  • 您無法將安全性政策附加至新目標。
  • 您只能對安全性政策執行下列作業：
    • 您可以刪除安全性政策規則。
    • 如果不變更規則優先順序，可以更新進階規則，不再使用 Cloud Armor Enterprise 專屬功能。如果以這種方式修改所有進階規則，政策就不會再凍結。如要進一步瞭解如何更新安全性政策規則，請參閱「更新安全性政策中的單一規則」。

您也可以重新註冊 Cloud Armor Enterprise Annual 或 Cloud Armor Enterprise Paygo，恢復存取遭凍結的安全性政策。

正在停用 Global Front End Enterprise

在專案中停用 Global Front End Enterprise 後：

  • 有效的 Cloud Armor 防護機制會還原至專案層級有效的級別。
  • Google Cloud 控制台不會自動還原先前的層級或指定備用層級。
  • 為避免安全性政策降級或產生非預期費用，請立即手動選取 Cloud Armor 計費方案 (Cloud Armor Standard 或 Cloud Armor Enterprise PayGo)。

進階網路 DDoS 防護功能

進階網路 DDoS 防護功能僅適用於註冊 Cloud Armor Enterprise 的專案。如果從 Cloud Armor Enterprise 移除具有有效進階網路 DDoS 政策的專案，系統仍會依據 Cloud Armor Enterprise 定價向您收取該功能的費用。

建議您先刪除所有進階網路 DDoS 防護規則，再將專案從 Cloud Armor Enterprise 取消註冊，但您也可以在降級後刪除進階網路 DDoS 防護規則。

條款和限制

Cloud Armor Enterprise 具有下列條款和限制：

  • 一般：如果註冊 Cloud Armor Enterprise 的專案，在受保護的端點上遭受第三方阻斷服務攻擊 (「合格攻擊」)，且符合下一節所述條件，Google 將提供等同於涵蓋費用的抵免額，前提是產生的涵蓋費用超過最低門檻。由「客戶」或代表「客戶」執行的負載測試和安全性評估，不屬於「合格攻擊」。
  • 條件：客戶必須在符合資格的攻擊結束後 30 天內，向 Cloud Billing 支援團隊提出申請。要求中必須附上合格攻擊的證據，例如記錄或其他遙測資料，指出攻擊時間和受攻擊的專案和資源，以及預估產生的涵蓋費用。Google 將合理判斷是否應支付抵免額，以及適當的金額。特定 Cloud Armor 功能的其他條件，請參閱說明文件。
  • 抵免額：根據本節提供給「客戶」的任何抵免額均不具現金價值，僅可用於抵銷日後的「服務」費用。這些抵免額會在核發的 12 個月後失效，或是在協議終止或到期時失效。
  • 定義：
    • 涵蓋費用：客戶因合格攻擊而直接產生的任何費用，包括：
      • Google Cloud 負載平衡器服務的輸入和傳出資料處理。
      • Cloud Armor 服務的 Cloud Armor Enterprise 資料處理。
      • 網路輸出，包括跨區域、跨可用區、網際網路和電信業者對接輸出。
    • 最低門檻：Google 不時決定並在客戶要求時揭露，符合本節規定抵免資格的最低涵蓋費用金額。

後續步驟