FinVerse, finverse.com için genel DNS'ini Amazon Route 53'te barındırıyor. Güvenlik ekibinin, aynı alan adı kayıt kuruluşunu kullanmaya devam ederken DNS sahtekarlığına karşı korunmak için DNSSEC'i etkinleştirmesi gerekiyor. Doğru yaklaşım nedir?

DNSSEC, DNS sahtekarlığına karşı koruma sağlamak için DNS yanıtlarını dijital olarak imzalar. Bunu etkinleştirmek için, öncelikle genel barındırılan bölgenizde DNSSEC imzasını etkinleştirmeniz gerekir. Bu işlem, bir anahtar çifti (genellikle bir AWS KMS asimetrik anahtarı) oluşturmayı ve Route 53'ün bu anahtarı kullanarak bölgenizin kayıtlarını imzalamasını sağlar. Ardından, oluşturulan DS (Delegation Signer) kaydını alan adı kayıt kuruluşunuzla yayınlamanız gerekir. Bu, üst bölgenin (örneğin, .com) alt bölgenizin (finverse.com) DNSSEC anahtarlarını doğrulamasını sağlar ve güven zincirini oluşturur. Diğer seçenekler doğru değildir: Özel barındırılan bölgelerde DNSSEC'i etkinleştirmek, genel alan adlarını korumaz. Route 53 Resolver gelen uç noktalarında DNSSEC doğrulaması, gelen sorguların doğrulanmasıyla ilgilidir, alan adının kendi yanıtlarını imzalamasıyla değil. CAA ve SPF kayıtları, e-posta güvenliği ve sertifika yetkilendirmesi ile ilgilidir, DNSSEC'i otomatik olarak etkinleştirmezler.