면접관이 이 한 문장으로 확인하려는 것들. 각 갈래를 알면 답의 뼈대가 잡혀요.
모의해킹을 진행할 때 저는 주로 PTES(침투 테스팅 실행 표준)를 기준으로 접근합니다. 정보 수집 → 취약점 분석 → 공격 시뮬레이션 → 후속 조치 순서로 진행하는 구조가 체계적이기 때문입니다. 이 방법론을 선택한 이유는 각 단계에서 무엇을 확인해야 하는지가 명확하여 빠뜨리는 항목이 줄어들기 때문입니다.
정보 수집 단계에서 공개 정보(OSINT)와 네트워크 스캔으로 공격 표면을 파악한 뒤, 발견된 취약점을 우선순위화합니다. 단순히 취약점을 찾는 것이 아니라 실제 공격자의 관점에서 얼마나 활용 가능한지를 평가하는 것이 핵심입니다. 보고서에는 기술적 내용뿐 아니라 비즈니스 영향도도 포함합니다.
모의해킹 방법론은 테스트 대상과 목적에 따라 달라져야 해요. 웹 애플리케이션이라면 OWASP 기준으로 주요 취약점을 체계적으로 확인하고, 인프라라면 네트워크 레이어부터 서비스별 점검으로 넘어가요. 블랙박스·화이트박스·그레이박스 방식 중 어떤 시나리오를 가정하느냐에 따라 접근 방식도 달라져요. 저는 대부분의 경우 그레이박스 방식을 선호해요. 내부 정보를 일부 가진 상태에서 시작하면 현실적인 공격 시나리오를 더 잘 재현할 수 있거든요. 방법론이 없으면 테스트가 산발적이 되고, 결과의 재현성도 떨어져요.
체계가 있어야 신뢰할 수 있는 보고서가 나와요. 보안 테스트도 결국 신뢰를 파는 일이에요.
모의해킹에서 취약점을 찾는 것만큼 어떻게 보고하느냐가 중요해요. 기술적으로 정확한 보고도 의사결정자가 이해하지 못하면 조치로 이어지지 않거든요. 저는 보고서를 기술 담당자용과 경영진용으로 나눠 작성해요. 취약점의 심각도를 CVSS 점수로 표현하고, 실제 비즈니스 영향을 함께 서술하면 우선순위가 명확해져요. 취약점 발견 후엔 조치 방법과 검증 방법도 함께 제안해야 해요. 고치고 나서 다시 확인하는 과정이 없으면 '수정됐다'는 보장이 없거든요. 모의해킹은 발견으로 끝나는 게 아니라 개선이 완료되어야 완료되는 작업이에요.
취약점 찾기보다 조직이 고치도록 만드는 것이 더 어렵고 더 중요해요.
같은 실수가 반복돼요. 이것만 피해도 절반은 갑니다.
진짜 면접은 두 번째 질문부터예요. 이 답 뒤에 따라올 법한 것들.