解説

Route 53 Resolver DNS FirewallはVPC内のDNSクエリをドメインリスト単位でリアルタイム制御するマネージドサービス。追加インフラなしでDNS exfiltrationをブロックでき、すべての要件を満たす。 選択肢AのVPCのネットワークACLでアウトバウンドのUDP/TCPポート53を制限する方法はネットワークレベルのアクセス制御はできるが、ドメイン名による内容ベースのフィルタリングは不可能です。 選択肢CのAWS Network Firewallでも実現可能だが追加インフラが必要で要件に反します。 選択肢DのVPCフローログとAmazon GuardDutyのDNS脅威インテリジェンスを組み合わせる方法は検出から対応まで遅延が生じ、リアルタイムブロックに不向きです。