VPC内のリソースが、フィッシングサイトやマルウェアのC&Cサーバーとして知られるドメインへの名前解決を行うのを阻止するサービスはどれか。

AWS CloudFormationにおいて、スタック全体のドリフト検出ではなく、特定のリソース（例：特定のセキュリティグループ）のみが変更されているかを個別に確認する機能はどれか。