ある企業のセキュリティチームが、VPC内の本番EC2インスタンスにおいてランサムウェアの感染拡大が疑われる挙動を検知しました。フォレンジック調査のため、該当インスタンスが送受信するネットワークトラフィックのパケットペイロード（生データ）をリアルタイムでキャプチャし、別のセキュリティ分析システムへ転送する必要があります。対象インスタンスの動作を停止させず、既存アプリケーションへの影響も最小限に抑える必要があります。最適なアーキテクチャはどれですか？
VPC Traffic Mirroringは、EC2インスタンスのENI（Elastic Network Interface）からトラフィックをコピーし、別のENIまたはNetwork Load Balancerに転送する機能です。元のトラフィックフローを中断させることなくパケットのペイロードを含む完全なトラフィックを複製できるため、フォレンジック調査や侵入検知に最適です。GENEVEプロトコル（ポート6081）でカプセル化されて転送されるため、ソースやデスティネーションのIPアドレス情報も保持されます。ミラーセッションにはフィルタリング設定も可能で、必要なトラフィックのみを選択的にキャプチャできます。 選択肢AのVPC Flow Logsはネットワークトラフィックのメタデータ（送受信元IP・ポート・プロトコル・バイト数など）のみを記録し、パケットのペイロード（実際のデータ内容）はキャプチャしないため、ランサムウェアの通信内容やC2サーバーへの送信データを解析するフォレンジック調査には不十分です。 選択肢BのSystems Manager経由のtcpdumpは感染が疑われるインスタンスに直接アクセスするため、フォレンジックの完全性（チェーン・オブ・カストディ）が損なわれ、マルウェアによるキャプチャデータ改ざんのリスクもあります。 選択肢DのAWS Network Firewallをルートテーブルに挿入するとインラインでの本番トラフィックパス変更が発生し、設定ミスによる通信断リスクがあります。また感染インスタンスの通信経路を変更することで攻撃者に検知される可能性もあります。