あるセキュリティオペレーションセンター（SOC：Security Operations Center）は、社内の脅威インテリジェンスプラットフォームから既知のC2（コマンド＆コントロール）サーバーのIPアドレスリストを毎日更新しています。このIOC（Indicator of Compromise：侵害の痕跡）リストをAmazon GuardDutyの検出エンジンに組み込み、EC2インスタンスが既知のC2サーバーと通信した際に自動的にFindingを生成したいと考えています。 この要件を実現するために最も適切な方法はどれですか？
GuardDutyのThreatIntelSetは、カスタムの脅威インテリジェンスフィードをGuardDutyの検出エンジンに組み込む機能です。IPリストをS3に配置してThreatIntelSetとして登録すると、GuardDutyがVPC Flow LogsやDNSログを分析し、登録済みIPとの通信を検知した際に自動的にFindingを生成します。 選択肢AのTrustedIPListは逆の目的（誤検知抑制のための安全なIPの登録）に使用するものであり、悪意あるIPの検出には使えません。 選択肢CのEventBridge+Lambdaでも実現は可能ですが、GuardDutyのネイティブ機能を使わない過剰な実装となります。 選択肢DのWAFはHTTPリクエストのフィルタリング用であり、EC2のアウトバウンド通信の検出には対応していません。