ある企業のセキュリティチームが、VPC内のEC2インスタンスから不審なDNSクエリが大量に発生していることをVPC Flow Logsで確認しました。調査の結果、侵害されたインスタンス上のマルウェアがDNSトンネリング（DNSプロトコルを悪用してデータをクエリ/レスポンスに埋め込み外部へ送信するデータ窃取手法）を行っている可能性が高いと判断されました。 以下の要件があります。 ・AWSが提供するマネージド脅威インテリジェンスリストを活用し、既知の悪意あるドメインへのDNSクエリをブロックする ・企業独自のカスタムドメインブロックリストも追加できる拡張性を持つ ・VPCのDHCPオプションセットやResolver設定を変更せずに透過的に適用できる この要件を最も適切に満たすサービスはどれですか？
Route 53 Resolver DNS FirewallはVPC内のDNS解決リクエストをインターセプトし、AWSが管理する脅威インテリジェンスリスト（マルウェア配布元ドメイン、ボットネットC2ドメイン等）とユーザー定義のカスタムドメインリストを組み合わせてブロックできます。VPCに関連付けるだけで透過的に機能し、DHCPオプションセットやResolver設定の変更は不要です。これにより、DNSトンネリング攻撃を効果的に阻止できます。 選択肢A の AWS WAFのRegexMatchStatementを使用してDNSクエリのパターンを検出し、悪意あるドメインへのリクエストをブロックするルールグループを作成するは、AWS WAFはHTTP/HTTPSレイヤー（レイヤー7）のWebアプリケーションファイアウォールであり、DNSプロトコル（UDP/TCPポート53）のフィルタリングには対応していません。 選択肢B の VPCのDHCPオプションセットでDNSサーバーをカスタムEC2インスタンス（DNSサーバー）に変更し、RPZ（Response Policy Zone）フィルタリングを実装するは、技術的には機能しますが、DNSサーバー自体の運用・冗長化が必要で管理コストが高く、AWSマネージドの脅威インテリジェンスリストを直接活用することもできません。 選択肢D の VPCのNetwork ACLでアウトバウンドUDPポート53をブロックし、承認済みドメインのみを解決できるAWS LambdaベースのDNSプロキシをVPC内に配置するは、Network ACLでUDPポート53をブロックするとVPC内の全インスタンスのDNS解決が停止してサービス全体が機能停止します。Lambda DNSプロキシの構成は設計・運用の複雑性が高く、マネージドな脅威インテリジェンス活用もできません。