// シス担のミカタ
クラウドセキュリティ

Google Cloud Armor ぐーぐるくらうどあーまー

DDoS対策WAFセキュリティポリシーCloud Load BalancingIPフィルタリングボット管理
Google Cloud Armorについて教えて

簡単に言うとこんな感じ！

Google Cloud Armorは、Googleが提供するWebアプリケーションを守る「鎧（よろい）」みたいなサービスだよ！悪意ある大量アクセス（DDoS攻撃）や、不正なリクエストをGoogleのネットワーク入口でブロックして、アプリへの被害を防いでくれるんだ。

Google Cloud Armorとは

Google Cloud Armorは、Google Cloudが提供するウェブアプリケーション保護サービスです。主に2つの役割を持ちます。1つ目はDDoS攻撃（大量の偽トラフィックでサーバーをダウンさせる攻撃）の緩和、2つ目はWAF（Web Application Firewall）機能による不正リクエストのブロックです。

Google Cloud ArmorはGoogleのCloud Load Balancing（クラウド負荷分散） と連携して動作します。ロードバランサーの前段に「セキュリティポリシー」を設定することで、悪意あるトラフィックをアプリケーションに届く前に遮断します。インターネット上のリクエストがGoogleのネットワーク境界に到達した時点でフィルタリングが行われるため、攻撃トラフィックがアプリサーバーに届く前に無力化できるのが大きな特徴です。

ビジネスパーソンにとっての価値は「Webサイトやアプリが攻撃で落ちるリスクを減らせる」という点です。特にECサイト・予約システム・社外公開ポータルなど、外部からアクセスされるシステムで効果を発揮します。Googleのインフラが背後にあるため、大規模なDDoS攻撃にも耐えうる処理能力を持っています。

Google Cloud Armorの主な機能と構造

機能カテゴリ内容具体例
DDoS緩和大量トラフィックをGoogleネットワーク端で吸収ボリューム型・プロトコル型攻撃
WAFルール既知の攻撃パターンをシグネチャで検知・遮断SQLインジェクション、XSS攻撃
IPフィルタリング特定のIPアドレス・CIDRレンジを許可/拒否海外IPを全ブロック、社内IPのみ許可
地理情報フィルタリング国・地域単位でアクセス制御特定国からのアクセスを拒否
レートリミット同一IPからの過剰リクエストを制限1秒間に100回以上のアクセスを遮断
ボット管理正規ボットとの識別・reCAPTCHAとの連携不正クローラーの排除
脅威インテリジェンスGoogleの脅威情報を活用した自動ブロック既知のマルウェアC2サーバーをブロック

セキュリティポリシーのルール構造

Google Cloud Armorの設定の核心は「セキュリティポリシー」です。ポリシーにはルールを複数定義でき、優先度（数値が小さいほど高優先） に従って評価されます。

セキュリティポリシー（例: my-web-policy）
├─ ルール優先度1000: 特定IPを「許可」
├─ ルール優先度2000: 日本以外の国を「拒否」
├─ ルール優先度3000: SQLインジェクション検知で「拒否」
└─ デフォルトルール: すべて「許可」（または「拒否」）

ルールのアクション（動作）は以下から選択できます：

  • allow — リクエストを通過させる
  • deny — リクエストを拒否（HTTPステータスコードを指定可能）
  • throttle — レート制限を適用する
  • redirect — reCAPTCHAなどへリダイレクトする
  • preview — 実際はブロックせずログだけ記録（テスト用）

Standardプランと Plusプランの違い

項目StandardEnterprise（旧Plus）
DDoS緩和✅ 基本レベル✅ 高度なDDoS対応
WAFルール（事前定義）✅✅
カスタムルール✅✅
ボット管理❌✅
脅威インテリジェンス❌✅
DDoS対応SLA❌✅
料金体系従量課金月額固定＋従量

歴史と背景

  • 2017年頃: Google Cloudがネットワークエッジでのセキュリティ機能として提供開始。当初はDDoS保護が中心
  • 2019年: WAF機能（事前定義ルール）を追加。SQLインジェクションやXSSなど一般的な攻撃パターンへの対応を強化
  • 2020年: 地理情報フィルタリング（国別ブロック）が正式対応。アダプティブプロテクション（機械学習によるDDoS自動検知）をプレビュー提供
  • 2021年: アダプティブプロテクションが一般提供（GA）に。レートリミットルールも追加され、より細かいトラフィック制御が可能に
  • 2022〜2023年: ボット管理機能（reCAPTCHA Enterpriseとの連携）、脅威インテリジェンスフィードを追加。Managed Protection Plusをリリース
  • 2024年: EnterpriseエディションにリブランドされDDoS対応SLAを含む包括的な保護体制へ。Googleの自社インフラ保護技術をベースとした大規模攻撃への耐性が評価を受ける

背景として、DDoS攻撃の大型化・高度化がある。Googleは2023年に毎秒3億9800万リクエスト（398Mrps）という史上最大規模のDDoS攻撃をCloud Armorで防いだことを公表し、その処理能力が世界的に注目されました。

他のWAF・DDoS対策サービスとの比較

Google Cloud Armorは他社クラウドや専用サービスと比較されることが多いです。

WAF / DDoS対策サービス 比較マップ Google Cloud Armor （GCP統合型） ✅ GCP LBと密連携 ✅ Google規模のDDoS耐性 ✅ 機械学習によるAI防御 ⚠️ GCP以外では使えない ⚠️ 設定は比較的シンプル AWS WAF / Shield （AWS統合型） ✅ AWS環境と深く統合 ✅ マネージドルールが豊富 ✅ Shield Advancedで高度防御 ⚠️ AWS以外では使えない ⚠️ コスト設計が複雑 Cloudflare WAF （マルチクラウド対応） ✅ クラウド問わず利用可 ✅ CDNと一体化で高速 ✅ 無料プランあり ⚠️ DNS変更が必要 ⚠️ 設定ミスでサービス影響も ※ ✅ = 強み ⚠️ = 注意点・制約

選び方のポイント：

  • GCPを使っているなら → Google Cloud Armorが自然な選択
  • AWSを使っているなら → AWS WAF / Shield
  • マルチクラウド・オンプレが混在するなら → Cloudflare WAFが柔軟
  • 既存システムをとにかく守りたいが予算が限られる → Cloudflareの無料プランも検討

実務での活用シーン

ビジネスパーソンが発注・選定するうえで押さえておきたい典型的なユースケースを紹介します。

1. 公開Webサービスへの不正アクセス対策

ECサイトや予約ポータルなどは外部からのアクセスが多く、攻撃の標的になりやすいです。Cloud ArmorのWAFルールでSQLインジェクション（データベースへの不正操作） やXSS（クロスサイトスクリプティング） を自動ブロックできます。

2. 海外からのアクセスを制限したい社内システム

日本国内の社員しか使わないシステムなら、地理情報フィルタリングで「日本以外のIPは全拒否」という設定が簡単にできます。これだけで多くの海外発の攻撃を未然に防げます。

3. キャンペーン時のボット対策

抽選・先着受付など、ボットによる大量申し込みが問題になるケースでは、reCAPTCHA Enterprise連携によってbotを排除しつつ、正規ユーザーを通過させる設定が可能です。

4. 大規模DDoS攻撃への備え

ピーク時に大量アクセスが集中するサービス（チケット販売、行政システムなど）では、アダプティブプロテクション（機械学習で異常トラフィックを自動検知）が有効です。

関連する規格・RFC

規格・RFC番号内容
RFC 7230HTTP/1.1 メッセージ構文（WAFが解析するHTTPリクエスト仕様）
RFC 9110HTTP Semantics（HTTPの意味論的な仕様。ステータスコード含む）
RFC 4732DDoS攻撃の定義と対策フレームワーク

関連用語