解説

VPC トラフィックミラーリングは、EC2 インスタンスの ENI（弾性ネットワークインターフェイス）のトラフィックをコピーして指定のターゲット（ENI または NLB）に送信する機能です。Network Load Balancer をミラーターゲットとすることで、バックエンドの IDS アプライアンスフリートへ自動的にトラフィックを分散でき、Auto Scaling と組み合わせてスケールアウトにも対応できます。ミラーリングは既存のデータパスとは独立した帯域外（out-of-band）処理であるため、本番通信フローに一切影響を与えません。実際のパケットデータ（ペイロードを含む）がコピーされるため、DPI 要件も完全に充足します。 選択肢AのVPC Flow Logsはネットワークメタデータ（IPアドレス、ポート、バイト数等）のみを記録し、実際のパケットペイロードを取得できないため、パケットレベルの深部検査要件を満たせない。 選択肢CのGateway Load Balancerはインライン（in-line）検査アーキテクチャであり、本番トラフィックが IDS アプライアンスを経由するため、アプライアンス障害時の通信断リスクが生じ、本番フローへ影響を与えてはならないという要件に反する。 選択肢DのAWS Network Firewallはマネージドな DPI・ルールエンジンを内蔵しているが、パケットデータを自社管理のサードパーティ IDS アプライアンスに転送する機能を持たず、既存の IDS フリートとの連携要件を満たせない。