解説

AWS Network Firewall はマネージドなステートフル/ステートレスパケット検査サービスです。ドメインリストによるネットワーク層フィルタリングと、Suricata 互換シグネチャルールによる IDS/IPS 機能を標準で提供します。検査専用の共有 VPC にデプロイし、Transit Gateway のルートテーブルでスポーク VPC のトラフィックを集中ルーティングすることで、各アプリケーションチームが個別設定を持たない中央管理型アーキテクチャを実現できます。 選択肢AのNACLはIPアドレスベースのステートレスフィルタリングのみ対応しており、ドメイン名によるブロックやシグネチャ検査機能がなく要件を満たせない。 選択肢CのWAFはALB等に対してHTTP/HTTPSアプリケーション層を検査するサービスであり、全VPCのアウトバウンドトラフィックをネットワーク層で一元検査するアーキテクチャには適用できない。 選択肢DのGuardDutyは脅威を検出するサービスであり、リアルタイムでの通信遮断機能を持たない。Lambdaによるセキュリティグループ自動更新は遅延が生じるため「運用負荷が低い」という要件も満たさない。