【正解】D
【0からの解説】
①前提知識
・Google Cloud Armor は、外部アプリケーション ロードバランサなどの前段（Google のネットワークのエッジ）で動作する WAF（Web Application Firewall）兼 DDoS 防御サービスです。「セキュリティ ポリシー」にルールを優先度順に並べ、ロードバランサのバックエンド サービスに関連付けて使います（事前構成済み WAF ルールは、ロードバランサの背後にあるバックエンド サービスでのみ使用できます）。
・事前構成済み WAF ルールは、OWASP ModSecurity Core Rule Set（CRS）をもとにした SQL インジェクション（sqli）、クロスサイト スクリプティング（xss）などのルールです。感度レベル（低いほど確度の高いシグネチャだけを使い誤検知が少ない）の選択、誤検知の原因になるリクエスト フィールドの検査対象からの除外、プレビュー モードでの事前検証といったチューニングが可能です。Google は、まず感度レベル1をプレビュー モードで試し、アプリケーションへの影響を把握してから適用することを推奨しています。
・カスタムルールは、CEL 式でパス・ヘッダー・地域・IP アドレスなどを条件にした独自の許可 / 拒否ルールで、事前構成済みルールと組み合わせて誤検知を抑えたり、アプリ固有の攻撃パターンに対応したりします。
・Adaptive Protection は機械学習で L7 の DDoS（大量リクエスト）の異常を検知してルールを提案する機能、Cloud Next Generation Firewall（Cloud NGFW）は VPC ネットワーク内の VM などへのトラフィックを制御するファイアウォールです。
②要件と制約語の整理
・XSS や SQL インジェクションといった高度な L7 攻撃を防ぐ。
・「正当なトラフィックへの影響を最小限に」抑える（誤検知を抑えるチューニングができること）。
・「高可用性を確保」する（グローバルなエッジで動作するマネージドな防御）。
③正解の理由
D は、ロードバランサに Cloud Armor セキュリティ ポリシーを適用し、OWASP Top 10 向けの事前構成済み WAF ルールで XSS・SQL インジェクションをブロックしつつ、アプリケーションに合わせてカスタマイズしたルール（感度レベルの調整、フィールドの除外、独自の条件や例外）で誤検知を抑えます。事前構成済みルールを既定のまま有効にするだけでは正当なリクエストを誤ってブロックすることがあるため、カスタマイズと組み合わせるのが Google の推奨する導入方法です。Cloud Armor は Google のエッジで分散して動作するため、高可用性も確保できます。
【誤りの選択肢】
A：Adaptive Protection は主に L7 の DDoS（ボリューム型の異常トラフィック）を検知する機能で、スロットリング（レート制限）もリクエストの量を抑えるものです。XSS や SQL インジェクションのように、1件のリクエストの中身に含まれる攻撃ペイロードを検査してブロックする仕組みではありません。
B：特定の悪意ある IP アドレスを /32 単位でブロックしても、攻撃者は IP アドレスを簡単に変えられるため、高度な L7 攻撃は防げません。XSS や SQL インジェクションの防御にはリクエストの内容を検査する WAF が必要で、IP アドレスのブロックだけでは不十分です。
C：事前構成済み WAF ルールを有効にする方向性は正しく、XSS や SQL インジェクションの検知自体はできます。しかし C は「事前構成済みルールを有効にするだけ」で、D との違いは誤検知を抑えるための調整が含まれていない点です。事前構成済みルールは、感度レベルを指定せずに有効にすると既定で最も厳しい感度レベル4（ルールセット内のすべてのシグネチャを評価）で動作するため、アプリケーションによっては正当なリクエスト（たとえば SQL に似た文字列を含む検索語やフォーム入力）まで攻撃と判定してブロックしてしまいます。D のように、①感度レベルを下げる・誤検知の原因になるシグネチャやリクエスト フィールド（特定の Cookie やパラメータなど）を検査対象から除外する、②カスタムルールで信頼できる送信元や特定のパスを例外として扱ったり、アプリ固有の攻撃パターンを追加でブロックしたりする、といった調整を加えてはじめて「正当なトラフィックへの影響を最小限に」という要件を満たせます。なお、C の「バックエンド サービスで有効にする」も実際にはセキュリティ ポリシーをバックエンド サービスに関連付けて行うもので、適用場所の違いが正誤の決め手ではありません。
【参考】
Cloud Armor の事前構成 WAF ルールの概要 Armor事前構成済みの WAF ルールを設定する Armor