以下哪项功能可用作实例级（主机）防火墙来控制入站和出站流量？

安全组作为实例级防火墙，用于控制关联实例的入站和出站流量。它们是有状态的，这意味着一旦允许出站流量，相应的入站响应流量也会被自动允许。网络访问控制列表 (NACL) 是子网级的无状态防火墙，控制子网内所有实例的流量。AWS Trusted Advisor 是一种提供成本优化、性能、安全等建议的服务，并非防火墙。虚拟私有网关用于将您的 VPC 连接到您的本地网络，也不是防火墙。