FinVerse aloja su DNS público para finverse.com en Amazon Route 53. El equipo de seguridad debe habilitar DNSSEC para protegerse contra la suplantación de identidad de DNS sin dejar de usar el mismo registrador de dominios. ¿Cuál es el enfoque correcto?

La opción correcta describe el proceso para habilitar DNSSEC en Route 53. Se requiere una clave asimétrica de AWS KMS (como ECCNISTP256) para firmar digitalmente los registros DNS. Una vez habilitada la firma DNSSEC en la zona alojada pública de Route 53, el registro de delegación de firmante (DS) debe publicarse con el registrador de dominios. Esto establece una cadena de confianza desde el registrador hasta la zona de Route 53, permitiendo la validación DNSSEC. Las opciones incorrectas son: Habilitar DNSSEC en una zona alojada privada no protege el DNS público de finverse.com. Las zonas privadas se usan para recursos dentro de VPCs. La validación de DNSSEC en los puntos de enlace de entrada de Route 53 Resolver es para validar respuestas de DNS que Route 53 recibe, no para firmar las respuestas de finverse.com. Los registros CAA y SPF TXT son para la autorización de certificados SSL/TLS y la autenticación de correo electrónico, respectivamente. No habilitan DNSSEC automáticamente.