Amazon GuardDutyの「Malware Protection」機能は、どのようにマルウェアをスキャンしますか。

AWS Systems Manager Session Managerを使用して、プライベートサブネット内のEC2インスタンスに接続したいが、VPCエンドポイントを使用したくない（コスト削減のため）。NATゲートウェイも使用したくない。接続可能にする方法はありますか。