ある企業が、機密性の高いワークロードを EC2 インスタンス上で実行している。セキュリティチームから、AWS リソースへの API コールを監査し、不正なアクティビティが発生した際に 15 分以内にアラートを受け取るよう要求された。特に、EC2 セキュリティグループの変更、IAM ポリシーの変更、S3 バケットポリシーの変更を検知したい。最も適切なソリューションはどれか。

1. A. Amazon GuardDuty を有効化して機械学習ベースの脅威検知を実施し、CloudWatch Events で GuardDuty の Findings を SNS に連携する。
2. B. AWS CloudTrail を有効化し、CloudWatch Logs にログを配信する。CloudWatch メトリクスフィルターで特定の API コール（AuthorizeSecurityGroupIngress、PutRolePolicy、PutBucketPolicy 等）を検知するアラームを作成し、SNS で通知する。
3. C. AWS CloudTrail を有効化してすべての API コールを S3 に記録し、Amazon Athena で定期的にクエリしてセキュリティイベントを検出する。
4. D. AWS Config を有効化して変更履歴を記録し、月次レポートで変更内容をセキュリティチームに送付する。