FinVerse は、finverse.com のパブリック DNS を Amazon Route 53 でホストしています。セキュリティチームは、DNS スプーフィングから保護するために DNSSEC を有効にする必要がありますが、同じドメインレジストラを引き続き使用します。正しいアプローチは何ですか？

DNSSECをRoute 53で有効にするには、署名用の非対称KMSキー（ECCNISTP256が推奨）を作成し、そのキーをパブリックホストゾーンに関連付けてDNSSEC署名を有効にします。その後、Route 53が生成するDSレコードをドメインレジストラに公開することで、DNS階層における信頼の連鎖を確立し、DNSスプーフィングから保護します。 他の選択肢は不適切です。プライベートホストゾーンでのDNSSEC有効化は、パブリックドメインの保護には寄与しません。Route 53 ResolverインバウンドエンドポイントでのDNSSEC検証は、受信クエリの検証に使用されるものであり、ドメインの応答に署名する機能ではありません。CAAレコードとSPF TXTレコードは、DNSSECの自動有効化には関係なく、それぞれ証明書発行の制限とメール送信者の認証に使用されます。