解説

ネットワークアクセスコントロールリスト（Network ACL / NACL）は、Amazon VPCのサブネット境界に適用されるステートレスなトラフィックフィルタリング機能です。インバウンドとアウトバウンドのルールは完全に独立して評価されるため、インバウンドを許可しても対応するアウトバウンドルールを明示的に設定しなければ応答トラフィックはブロックされます。ルールは番号順に評価され、「許可」だけでなく「拒否（Deny）」ルールも設定できます。 選択肢AのセキュリティグループはEC2インスタンスのENIに付与するステートフルなファイアウォールです。ステートフルのため応答トラフィックは自動許可され、拒否ルールも設定できないため、本問が説明する動作とは異なります。 選択肢CのAWS WAFはHTTP/HTTPSリクエストを検査してSQLインジェクションやXSSなどのWebアプリケーション攻撃を防ぐサービスです。アプリケーション層（L7）の保護であり、サブネット境界のネットワーク層フィルタリングとは役割が異なります。 選択肢DのAWS Network FirewallはVPCに配置するマネージドファイアウォールで、ステートフル検査や侵入防止（IPS）機能を提供します。より高度な機能を持ちますが、VPCに標準で備わるシンプルなステートレスACLとは異なるサービスです。