VPC 内のアプリケーションが、アウトバウンドインターネットアクセスに NAT ゲートウェイを使用しています。ネットワークエンジニアは、VPC から拒否リスト上の IP アドレスへの疑わしいアウトバウンドトラフィックが大量に発生していることを確認しました。エンジニアは、コストと管理作業を低く抑えながら、どの AWS リソースがそのトラフィックを生成しているかを特定する必要があります。どの方法がこれらの要件を満たしますか？

VPC Flow Logsを有効にし、CloudWatch Logsに発行することで、VPC内のネットワークトラフィックの詳細なログを収集できます。CloudWatch Logs Insightsは、これらのログを効率的にクエリし、特定のIPアドレスへのアウトバウンドトラフィックを生成しているリソース（例: EC2インスタンスのENI ID）を特定するのに適しています。この方法は、追加のEC2インスタンスや複雑なSIEMソリューションをデプロイする必要がないため、コストと管理作業を低く抑えられます。Traffic MirroringはNATゲートウェイをソースにできないため不適切です。KinesisとAthenaを使用する方法は可能ですが、CloudWatch Logs Insightsの方が設定が簡単で、このユースケースではよりコスト効率が良いことが多いです。