ある企業のセキュリティポリシーでは、プライベートサブネット内の EC2 インスタンスがインターネットへアクセスする際に、許可されていない外部ドメインへの通信を拒否し、既知のマルウェア配布サイトへのアクセスをブロックする必要があります。また、TCP セッションの状態を追跡するステートフルインスペクション（セッションの前後関係を考慮した通信検査）が必須要件です。最も適切なアーキテクチャはどれですか？
正解： VPC に AWS Network Firewall を配置し、FQDN（完全修飾ドメイン名）ベースのステートフルルールグループと脅威インテリジェンスを使用したドメインブロックリストを設定する。NAT Gateway 向けのトラフィックを Network Firewall 経由でルーティングする。 AWS Network Firewall はステートフルな深いパケットインスペクション（DPI）機能を持ち、FQDN（完全修飾ドメイン名：例 example.com のような完全なドメイン名）ベースのフィルタリングと脅威インテリジェンスによるドメインブロックリストを組み合わせることで、アウトバウンド通信のきめ細かな制御が可能です。ステートフルエンジンにより TCP セッション追跡もサポートします。 選択肢Aは、セキュリティグループ（選択肢A）は IP アドレスベースのフィルタリングのみで、ドメイン名ベースの制御やマルウェアサイトのブロックリスト機能はありません。 選択肢Bは、NACL（選択肢B）はステートレス（セッション状態を追跡しない）であり、IP アドレスのみでのフィルタリングとなるためドメインベースのブロックや脅威インテリジェンス統合は不可能です。 選択肢Dは、WAF（選択肢D）はインバウンドの HTTP/HTTPS リクエスト保護が主な用途であり、VPC からのアウトバウンドトラフィック検査には設計されていません。