ある企業は、プライベートサブネットの EC2 インスタンスからDNSトンネリングによるデータ持ち出しが疑われています。 ネットワーク構成を変更せず、最小の運用負荷でこの脅威を検出したいと考えています。 DNSベースのデータ持ち出しを最も効果的に検出する方法はどれですか？
Amazon GuardDuty を有効化する。GuardDuty は Route 53 Resolver 経由の DNS クエリログを追加設定なしで自動収集・分析し、DNSトンネリングや異常なクエリパターンを検出する唯一のマネージドサービスです。Backdoor:EC2/DnsDataExfiltration 等の検出結果をネットワーク構成変更なしで生成でき、最小運用負荷を実現します。 選択肢AのVPC フローログにはパケットペイロード（DNS クエリの内容）が含まれないため、DNSトンネリングの具体的なデータ持ち出し内容を検出できません。 選択肢BのRoute 53 DNS Firewall はブロック・フィルタリングが主目的であり、挙動ベースの検出には対応せず、全外部 DNS クエリをブロックすると通常業務にも影響します。 選択肢DのAmazon Inspector はソフトウェア脆弱性とネットワーク到達可能性（ポート開放状態）の評価を行うもので、DNS トンネリングのようなトラフィック挙動分析には対応していません。