谷歌云安全实战：Cloud Armor、reCAPTCHA 与 WAF 规则如何筑起应用护城河

一个再普通不过的周三凌晨，客户的电商网站被刷单脚本疯狂攻击——攻击者用几万个代理 IP 向购物车添加接口不断发起 POST 请求，既不窃取数据，也不破坏系统，只是制造海量的假订单，导致库存被锁、后台告警堆积、运营同学无法分辨真实订单。那时候，我们只在应用层做了一些频率限制，面对分布式 IP 池，毫无招架之力。从那个黑夜开始，我真正把谷歌云的安全产品当作一门独立的技艺来学习。Cloud Armor、reCAPTCHA Enterprise、Identity-Aware Proxy，这些工具组合在一起，构成了一个智能的应用护城河，能够在恶意流量触达你的谷歌云服务器之前就完成防御。

Cloud Armor：不止是 Web 应用防火墙

许多人认为 Cloud Armor 就是谷歌云的 WAF，但实际上它是一个基于边缘的安全策略执行引擎。因为它位于全球外部 HTTP(S) 负载均衡器上，所以防御是在谷歌网络边缘进行的，恶意请求根本不会进入你的 VPC，更不会消耗你的实例资源。Cloud Armor 的策略支持预配置的 OWASP 核心规则集，能够拦截 SQL 注入、XSS、本地文件包含等攻击。它还支持自定义的 L7 过滤规则，基于请求头、Cookie、IP 范围甚至请求体大小来匹配。

回到那个刷单之夜，我们最终通过配置 Cloud Armor 的 Rate-based Ban 规则解决了问题。规则设为：任何 IP 在 2 分钟内对特定路径的请求超过 30 次，即触发临时封禁。并且结合 reCAPTCHA Enterprise 的得分评估，对得分低于 0.3 的请求直接予以拦截，而这些拦截全部发生在边缘节点。客户后端那几台 e2-standard-2 实例的 CPU 使用率瞬间回归正常曲线。事后算账，如果不变更架构只靠加机器硬抗，至少需要扩容 10 倍的实例数量，月度账单将激增数千美金。

reCAPTCHA Enterprise：从验证码到风险引擎

reCAPTCHA Enterprise 已经超越了传统“找出图中自行车”的验证码形态。它通过用户行为分析、设备指纹、浏览器特征等，输出一个 0 到 1 的分数，代表交互的风险程度。关键的是，它可以无缝嵌入移动 App、Web 前端和 API 调用。你可以在用户登录、注册、下单等关键操作时获取分数，并根据分数执行多重策略：分数极高则放行，中等则要求二次验证（短信 OTP），低分直接拒绝。

我常把 reCAPTCHA 和 Cloud Armor 搭配使用：前端先调用 reCAPTCHA 获取 token 并附加到 HTTP 请求头，后端在负载均衡器层级用 Cloud Armor 解码 token 并评估分数。这样即便攻击者绕过前端直接打 API，也会因为缺少合法 token 被 Cloud Armor 直接丢弃。整个流程不需要修改任何后端业务代码。这种透明性是打动我们团队的关键。

表格：应用安全防御层的分层策略

这张表我们经常提供给通过代理开户的客户，作为安全基线。因为正规的谷歌云代理在交付时会帮忙勾选 Shielded VM 选项，配置 VPC Service Controls 边界，并初始化 Security Command Center 的高级订阅。有了这些准备，后续的安全运营就不再是一张白纸。

安全与成本的平衡术

启用 Cloud Armor 的高级规则需要购买标准或高级套餐，但它的成本远低于被攻击造成的业务损失和额外计算开销。同样，reCAPTCHA Enterprise 每月提供 100 万次免费评估，超出后按次计费。对于大多数轻量级应用服务器上的业务来说，这些费用是极其可控的。

我始终认为，安全产品的价值不在购买的那一刻，而在它沉默运转、替你挡下所有攻击的那个深夜。当你在睡梦中时，Cloud Armor 默默地根据速率规则把恶意 IP 拉黑，你的谷歌云服务器平稳地呼吸着，第二天打开监控板看到那几万条被拦截日志，你会觉得这是最值得的一笔云消费。

如果需要更深入咨询了解可以联系全球代理上TG:jinniuge  他们在云平台领域有更专业的知识和建议，他们有国际阿里云，国际腾讯云，国际华为云，aws亚马逊，谷歌云一级代理的渠道，客服1V1服务，支持免实名、免备案、免绑卡。开通即享专属VIP优惠、充值秒到账、官网下单享双重售后支持。不懂找他们就对了。