ある出版社のセキュリティチームは、VM から外向きの通信を *.example.com のようなドメイン単位で許可し、あわせて悪性 IP のリストを条件にしたルールも入れたいと考えている。L7 の侵入防止や TLS インスペクションまでは求めていない。費用は必要最小限に抑えたい。ルールは Cloud NGFW のポリシーで管理する。どのティアを選ぶべきか。