解説

Route 53 Resolver DNS Firewall は、VPC 内から発行される DNS クエリをインターセプトし、ドメインリストに基づいて BLOCK・ALLOW・ALERT のアクションを適用するマネージドサービス。AWS はマルウェア、ボットネット、暗号通貨マイニングなどの脅威インテリジェンスドメインリストをマネージドリストとして提供しており、ルールグループを作成して VPC に関連付けるだけで機能する。カスタムドメインリストも追加可能で、エージェントも不要。AWS Firewall Manager の DNS Firewall ポリシーにより、AWS Organizations 全体の VPC への一元展開・管理が可能。 選択肢BのAWS Network Firewallは、Stateful ルールのドメインリストで HTTP/HTTPS トラフィックをホストヘッダー・SNI でフィルタリングできるが、DNS プロトコル自体のクエリをインターセプトする機能はなく、AWS マネージドの脅威インテリジェンスドメインリストも提供していない。 選択肢CのAmazon GuardDutyは脅威を事後的に検出するサービスで、DNS クエリのリアルタイムブロックには対応していない。Lambda で SG ルールを動的変更する構成も IP アドレスベースのため、ドメインレベルのブロックには対応できない。 選択肢DのカスタムDNSプロキシ構成は AWS マネージドの脅威インテリジェンスリストを利用できず、プロキシ自体の可用性確保と運用負荷が高い。