ある企業が、AWS Network Firewall を使って VPC のインターネット向けトラフィックを保護している。内部から外部への不審なドメイン名（マルウェアの C&C サーバー等）への通信を自動的にブロックしたい。セキュリティチームが管理する既知の悪意あるドメインリストを使用し、新しいドメインが追加された際に自動的に反映されるようにしたい。最も適切な方法はどれか。

1. A. VPC セキュリティグループで既知の悪意あるドメインの IP アドレスをアウトバウンドルールでブロックする。
2. B. AWS Network Firewall のドメインリストルールグループを使用し、ブロックするドメインのリストを設定する。AWS Managed Threat Intelligence フィード（Amazon Guard Duty の脅威インテリジェンスと統合可能）を参照するか、カスタムのドメインリストを管理する。ルールグループの更新は自動的にファイアウォールに反映される。
3. C. Amazon Route 53 リゾルバーのファイアウォールルールグループでブロックドメインリストを設定する。
4. D. Security Group のアウトバウンドルールで FQDN ベースの制御を設定する。