あるセキュリティチームがVPC内のEC2インスタンスの通信を監視したところ、特定のインスタンスが既知のC2（Command and Control：攻撃者の指令サーバー）ドメインへDNSクエリを送信していることを発見しました。以下の要件に基づいて対策を講じたい。 ・悪意のあるドメインへのDNSクエリをVPCレベルでプロアクティブにブロックする ・AWSが管理するマネージドな脅威インテリジェンスリストを活用する ・許可されたドメイン以外へのクエリをすべてブロックするデフォルト拒否ポリシーを採用する ・AWS Organizations配下の複数アカウントに設定を一元展開する 最も適切なソリューションはどれか？
Route 53 Resolver DNS FirewallはVPC内のRoute 53 Resolverを経由するDNSクエリをフィルタリングするマネージドサービス。AWSが管理する脅威インテリジェンスベースのドメインリスト（MalwareDomainList、BotnetCommandAndControlDomainList）を即時利用でき、カスタムリストの追加も可能。ALLOWリストとブロックルールを組み合わせることでデフォルト拒否ポリシーを実装でき、AWS Firewall Managerと統合してOrganizations全体に一元展開できる。 選択肢Aのカスタム外部DNSサービスはAWSネイティブな脅威インテリジェンスとの統合やOrganizations全体への統一展開が困難で、管理コストも増大する。 選択肢CのGuardDuty + EventBridge + Lambdaはリアクティブな対応であり、DNSクエリが発生した後にセキュリティグループを変更するため遅延が生じる。またIPアドレス単位のブロックはドメインベースのC2対策として不完全。 選択肢DのNetwork FirewallのFQDNフィルタリングはHTTP/TLSのSNI検査を主とするもので、Route 53 ResolverへのUDPポート53のDNSクエリを直接フィルタリングする用途には適していない。