ある企業がAWS VPC内でマルチティアのWebアプリケーションを運用しています。セキュリティ審査を受け、以下の追加要件が出されました。 ①EC2インスタンスからのアウトバウンド通信を、事前承認したFQDN（Fully Qualified Domain Name：完全修飾ドメイン名、「api.example.com」のような完全なドメイン名）のみに制限する ②既知のマルウェアC2（Command and Control：攻撃者が侵害した機器を遠隔操作するためのサーバー）サーバーIPへの通信をIPSルールでブロックする ③パケットのペイロードを検査するステートフルなディープパケットインスペクション（DPI）を実施する。Security GroupとNACL（Network Access Control List：ネットワークアクセス制御リスト）ではこれらを実現できないため、最小の運用負荷で要件を満たすAWSサービスはどれですか？
正解： AWS Network Firewall をVPC内の専用Firewallサブネットに導入し、Suricata互換ステートフルIPSルールとドメインリスト（FQDNフィルタリング）を設定する。 AWS Network FirewallはVPCレベルで動作するマネージドファイアウォールサービスで、FQDNベースのドメインリストフィルタリング（アウトバウンド通信を承認済みドメインのみに制限）、Suricata互換のステートフルIPS（Intrusion Prevention System：侵入防止システム）ルールによる既知脅威のブロック、ディープパケットインスペクションの3要件をすべてネイティブにサポートします。 選択肢AのAWS WAFはHTTP/HTTPSのLayer 7保護に特化し、ALBにアタッチしてWebリクエストを検査しますが、FQDNによるアウトバウンドフィルタリングやIPSルールはできません。 選択肢BのiptablesはIPアドレスベースのフィルタリングのみ可能で、ドメイン名での動的制御やIPSルールは実装できず、全インスタンスへの個別設定が必要で運用負荷も大きくなります。 選択肢DのGuardDutyは脅威の「検出と通知」を担当するサービスであり、トラフィックをリアルタイムに「ブロック」するインラインファイアウォール機能は持っていません。