FinVerse는 finverse.com의 퍼블릭 DNS를 Amazon Route 53에서 호스팅합니다. 보안 팀은 동일한 도메인 등록 기관을 계속 사용하면서 DNS 스푸핑으로부터 보호하기 위해 DNSSEC를 활성화해야 합니다. 올바른 접근 방식은 무엇입니까?

DNSSEC를 활성화하는 올바른 접근 방식은 먼저 서명용 비대칭 AWS KMS 키(ECCNISTP256)를 생성하는 것입니다. 이 키는 DNSSEC 서명에 사용됩니다. 다음으로, 퍼블릭 호스팅 영역에서 DNSSEC 서명을 활성화하고 생성된 KMS 키를 연결합니다. 마지막으로, 도메인 등록 기관에 DS(Delegation Signer) 레코드를 게시하여 DNSSEC 검증 체인을 완료합니다. 오답 설명: 프라이빗 호스팅 영역에서 DNSSEC를 활성화하는 것은 퍼블릭 도메인인 finverse.com 쿼리를 보호하지 못합니다. Route 53 Resolver 인바운드 엔드포인트에서 DNSSEC 유효성 검사를 켜는 것은 클라이언트 측에서 DNS 응답을 검증하는 것이며, 도메인 자체에 대한 DNSSEC 서명을 활성화하는 것과는 다릅니다. CAA 및 SPF TXT 레코드는 DNSSEC와 직접적인 관련이 없으며, DNSSEC를 자동으로 활성화하지 않습니다. CAA는 인증 기관 발행을 제한하고, SPF는 이메일 스푸핑을 방지합니다.