あるセキュリティエンジニアが、VPC内の特定サブネットに対して以下の要件を満たすAWSの機能を探しています。 ・悪意のあるIPアドレス範囲からの受信トラフィックを明示的に「拒否」するルールを設定できること ・ステートレス（Stateless）なフィルタリング方式であること ・許可ルールと拒否ルールの両方を番号付きで管理できること 最も適切なAWSの機能はどれですか？
ネットワークACL（NACL）はVPCのサブネットレベルで機能するステートレスなネットワークファイアウォールです。受信・送信トラフィックそれぞれに対して番号付きルール（1〜32766）で「許可（Allow）」または「拒否（Deny）」を定義でき、番号の小さいルールから順に評価されます。ステートレスであるため、受信を許可したトラフィックの戻りパケットは送信ルールでも個別に許可する必要があります。特定のIPアドレス範囲をサブネット全体でブロックする要件に最適です。 選択肢AのセキュリティグループはEC2インスタンスやENIに紐付くステートフルなファイアウォールです。許可ルールのみ定義でき、明示的な拒否（Deny）ルールを作成できないため、IPアドレスブロックの要件を満たせません。 選択肢CのAWS WAFはHTTP/HTTPSのアプリケーション層（L7）を対象とするWebアプリケーションファイアウォールであり、VPCサブネット全体へのIPアドレスベースのネットワーク（L3/L4）フィルタリングには使いません。 選択肢DのAmazon GuardDutyはVPCフローログやDNSログを機械学習で分析して脅威を検出するサービスです。自らトラフィックをブロックする機能は持たず、検出後の対応は別途設定が必要です。