解説

Route 53 Resolver DNS Firewall は、VPC 内の DNS クエリをドメイン名レベルでフィルタリングできるマネージドサービスです。AWS が管理するマネージドドメインリスト（悪意のあるドメイン・ボットネット C2 ドメイン等）を利用することで、脅威インテリジェンスの維持管理を AWS に委任して運用負荷を軽減できます。VPC にルールグループを関連付けるだけで動作し、追加の EC2 インスタンスや専用アプライアンスは不要です。ブロックアクションとして BLOCK（NXDOMAIN）または BLOCK（OVERRIDE）を選択でき、DNS クエリの発行時点でデータ漏洩を防ぐ予防的制御（プリベンティブコントロール）を実現します。 選択肢AのAmazon GuardDutyは脅威の検出（ディテクティブコントロール）を提供するが、EventBridgeとLambdaを使ったNACL更新は反応的（リアクティブ）な対応であり、検出から遮断までの間にデータ漏洩が発生し得るため、DNS クエリ発行時点での予防的ブロック要件を満たせない。 選択肢CのVPCセキュリティグループは宛先IPアドレス・ポート番号の制限は可能だが、DNS クエリのドメイン名を検査してブロックする機能を持たず、Route 53 Resolver 経由であっても悪意のある C2 ドメインへの名前解決を阻止できない。 選択肢DのAWS Network Firewallのドメインリストルールグループは HTTP/HTTPS プロトコルの SNI・Host ヘッダー検査に有効だが、DNS プロトコル自体のクエリ内容（クエリされているドメイン名）は解析できないため、DNS トンネリング攻撃への直接的な対策にはならない。