解説

AWS Network Firewall の TLS インスペクション機能（Stateful TLS Inspection）は、暗号化された HTTPS トラフィックを中間者として透過的に復号し、Suricata 互換ルールやドメインリストルールを適用して検査した後、再暗号化してインターネットに転送します。 実装の流れ： ①AWS Private CA でルート CA 証明書を作成し、Network Firewall の TLS インスペクション設定に関連付ける ②VPC のルートテーブルを変更してアウトバウンドトラフィックを Network Firewall エンドポイント経由でルーティングする ③復号されたトラフィックに対してマルウェア C2 シグネチャルールや機密データパターンの Suricata ルールを適用する EC2 インスタンスにプライベート CA のルート証明書を信頼させることで SSL インターセプトを透過的に実装できます。 選択肢AのAWS WAF は ALB・CloudFront へのインバウンドリクエストを検査するサービスであり、VPC からのアウトバウンド HTTPS トラフィックを復号・検査する機能を持っていません。 選択肢CのAmazon Inspector はインフラストラクチャの脆弱性評価とネットワーク到達可能性を分析しますが、実際の TLS トラフィックペイロードをリアルタイムに復号・検査する機能はありません。 選択肢DのAWS Firewall Manager で展開した WAF も ALB への受信リクエストを検査するものであり、EC2 インスタンスからインターネットへのアウトバウンド HTTPS トラフィックのコンテンツ復号・検査には対応していません。