如何在Google Cloud Run服务中将IP加入黑名单？

Question

我们的应用部署在 Cloud Run 上，计划每半小时通过云调度器运行，但最近我们遭遇了大量的 401 和 403 错误。这些是新的和经常出现的错误，一直在不断地触发我们的警报系统。我们注意到有第三方进行恶意攻击，试图调用我们的 Cloud Run 服务。

由于没有正确的权限来调用管道执行，调用者的远程 IP 始终被拒绝，这些远程 IP 与已知尝试干扰或获取未安全端点和资源的恶意方一致。

未经身份验证请求的详细信息： 错误 - 401 - 209.17.96.*** - userAgent: "Mozilla/5.0 (compatible; Nimbostratus-Bot/v1.3.2; http://cloudsystemnetworks.com)" 错误 - 403 - 209.17.97.*** - userAgent: "Mozilla/5.0 (compatible; Nimbostratus-Bot/v1.3.2; http://cloudsystemnetworks.com)"

可能的解决方案是限制/黑名单我们的Cloud Run服务的这些传入流量？在此输入图像描述

- Pratik F

---

您能否确认您的服务受到 IAM 保护，并且您必须提供有效的身份验证才能访问 Cloud Run（角色 run.invoker）？ - guillaume blaquiere

我假设你的 Cloud Run 应用程序是公开的。Cloud Run 没有防火墙来阻止 IP 地址。一种选择是使用 Cloud Armor 部署 HTTP 负载均衡器。通常，公共端点会不断地受到此类恶意流量攻击。解决方案将需要资金投入，而你的预算将决定最佳方案。 - John Hanley

我喜欢这个评论，@JohnHanley说的：“你的预算将决定最佳解决方案。”我会偷来用，抱歉约翰。 - Spock

Answer 1

将以下英文内容翻译成中文。仅返回翻译文本：

将John Hanley的答案发布为社区Wiki

我假设您的Cloud Run应用程序是公共的。 Cloud Run没有防火墙来阻止IP地址。 一种选择是部署带有Cloud Armor的HTTP负载均衡器。通常，公共端点会不断遭受此类恶意流量攻击。解决方案将需要资金投入，您的预算将决定最佳解决方案。

- Rajeev Tirumalasetty