ある企業のセキュリティチームは、Amazon GuardDuty がEC2インスタンスに対して悪意のある動作（外部への異常な通信）を検出しました。このインスタンスのEBSボリュームにマルウェアが存在する可能性があり、本番インスタンスを停止させずにEBSボリュームをスキャンして検出したいと考えています。最も適切な方法はどれですか？
GuardDuty のマルウェア保護（Malware Protection for EC2）は、GuardDuty が悪意のある動作を検出したEC2インスタンスのEBSボリュームをスキャンする機能です。GuardDuty がトリガーとなり、自動的にEBSスナップショットを取得してアイソレートされた環境でスキャンするため、本番インスタンスを停止させずにマルウェアを検出できます。スキャン結果はGuardDuty の調査結果として記録され、検出されたマルウェアのファミリー名やファイルパスが通知されます。 選択肢BのAmazon Inspector v2は、OSやソフトウェアパッケージの既知の脆弱性（CVE）をスキャンするサービスであり、EBSボリューム上のマルウェアを直接検出する機能はありません。 選択肢CのAWS Systems Manager Run Commandは、インスタンス上でコマンドを実行できますが、マルウェアによってSSMエージェントが停止されている場合は利用できず、また感染済みOSからの実行のためマルウェアに検出を回避されるリスクがあります。 選択肢DのAWS Backupによるスナップショット取得と手動スキャンは技術的には可能ですが、隔離環境の構築・スキャンツールの準備など手順が複雑であり、GuardDuty Malware Protectionが同等の処理を自動化するため最適ではありません。