ある大企業は複数のVPCを運用しており、Route 53 Resolverのフォワーディングルールを使用してDNSクエリをオンプレミスのDNSサーバーへ転送しています。セキュリティチームは、VPC内のリソースが行うすべてのDNSクエリ（オンプレミスDNSへ転送されるクエリを含む）をログに記録し、DNSトンネリング（DNS（Domain Name System）プロトコルを悪用したデータ漏洩手法）などのDNSベースの脅威を検出するための分析基盤を構築する必要があります。ログには実際にクエリされたドメイン名が含まれる必要があり、長期保存と特定ドメインパターンでの検索が求められます。最も適切なソリューションはどれですか？
Route 53 Resolverクエリログは、VPCから発生するすべてのDNSクエリを記録する専用機能です。フォワーディングルール経由でオンプレミスDNSに転送されるクエリを含め、クエリされたドメイン名・クエリタイプ・レスポンスコード・クエリ元のIPアドレスなどを記録します。S3に送信してAthenaで分析することで、長期保存と柔軟なクエリ分析（ドメインパターン検索など）が可能です。送信先はCloudWatch Logs・S3・Amazon Data Firehoseから選択できます。 選択肢Bの VPC Flow Logsは接続メタデータ（送受信IPアドレス・ポート番号・バイト数など）を記録しますが、クエリされたドメイン名は含まれません。DNSポートへの通信量は検出できても具体的なドメイン名を確認できず、DNSトンネリングの検出には不十分です。 選択肢Cの AWS CloudTrailはRoute 53のコントロールプレーンAPI操作（ホストゾーンの作成・変更、DNSレコードの追加・削除など）を記録しますが、個々のDNS名前解決クエリ（データプレーン操作）は記録しません。 選択肢Dの個々のEC2インスタンスへのスクリプト展開は運用負荷が高く、インスタンスのスケールアウト・スケールインのたびに管理が必要で、スケーラビリティに欠けます。マネージドサービスのRoute 53 Resolverクエリログの方が適切です。