ある企業のセキュリティチームは、VPC内のEC2インスタンスが悪意のあるドメインへDNSクエリを送信することで発生するデータ漏洩（DNSトンネリング）を防止したいと考えています。 DNSレベルでのアウトバウンドトラフィック制御を実装する最も適切なソリューションはどれですか？
Route 53 Resolver DNS Firewallは、VPCからのDNSクエリをドメインリストに基づいてフィルタリングするDNS専用サービスです。AWSマネージドドメインリスト（マルウェア・ボットネット等）を活用でき、DNSトンネリングによるデータ漏洩防止に最適です。正当なDNSクエリは通過させつつ、悪意のあるドメインのみをブロックできます。 選択肢BのVPCネットワークACL（NACL）によるポート53全遮断は、VPC内の全EC2の名前解決が失敗し、アプリケーションが動作しなくなります。 選択肢CのEC2セキュリティグループからのポート53削除は、EC2の名前解決が完全に停止します。 選択肢DのAWS Network Firewallも DNS検査は可能ですが、Route 53 Resolver DNS Firewallの方がDNS専用で設定が容易で、AWSマネージドドメインリストとの統合も優れています。