이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
MITRE ATT&CK 프레임워크와 CVE 데이터베이스를 주로 참고합니다. 수업에서 최신 취약점 분석 과제를 할 때 NVD에서 CVE 상세를 찾고 CVSS 점수로 우선순위를 파악하는 방법을 익혔습니다. 또한 보안 커뮤니티인 Reddit/r/netsec와 SecurityWeekly 뉴스레터도 구독해서 신흥 위협의 흐름을 파악합니다. 취약점은 발표되는 즉시 공격에 활용되는 경우가 많아 빠른 정보 소비가 중요하다고 생각합니다. 이론보다 실제 공격 패턴을 먼저 이해하는 게 보안 감각을 키우는 방법이라고 배웠습니다. 단순히 CVE 번호를 아는 것보다 실제 공격이 어떤 방식으로 이뤄지는지를 이해하는 것이 더 중요하다고 생각합니다. PoC 코드를 직접 분석해보면서 취약점의 작동 원리를 파악하는 연습도 하고 있습니다. 보안 트렌드는 빠르게 바뀌기 때문에 정기적인 정보 습득 루틴이 장기적으로 실력을 유지하는 방법이라고 믿습니다.
저는 Feedly로 보안 매체 여러 곳을 묶어 매일 아침 15분 정도 훑는 루틴을 만들어 뒀습니다. Dark Reading·The Hacker News·KrCERT 공지를 한 피드에 모으면 국내외 흐름을 함께 볼 수 있습니다. CVE는 NVD 공식 RSS를 구독하되, CVSS 8.0 이상만 필터링해서 받습니다. 점수가 높다고 모두 즉각 대응 대상은 아니라서, 영향 범위와 공격 복잡도 두 축으로 다시 걸러냅니다. 오픈소스 라이브러리에서 원격 코드 실행 취약점이 나왔을 때는 먼저 의존성 트리를 확인해 내가 쓰는 버전이 취약 범위에 걸리는지 파악하는 것이 첫 번째 단계였습니다. 이 흐름이 반복되다 보니 새 CVE가 나왔을 때 어느 레이어에 영향을 주는지 빠르게 가늠하는 감각이 생겼습니다. 트렌드는 계속 바뀌지만 자격증명 탈취·권한 상승·측면 이동이라는 공격 패턴의 뼈대는 반복된다는 걸 알고 나면, 정보를 취사선택하는 기준이 세워집니다.
저는 PoC-in-GitHub 저장소를 틈틈이 확인합니다. 새 CVE가 나오면 48시간 안에 개념 증명 코드가 올라오는 경우가 많아서, 실제 공격 흐름을 눈으로 보는 데 유용합니다. Exploit-DB와 Packet Storm도 즐겨 찾는 편입니다. 다만 PoC를 실행해 보는 건 격리된 가상 환경에서만 합니다. 보안 감각을 키우는 방법으로 TryHackMe나 Hack The Box 플랫폼을 활용해 실제 취약점과 유사한 시나리오에서 직접 손을 움직입니다. 이 경험이 쌓이면 CVE 설명을 읽었을 때 '이 취약점이 어떤 조건에서 작동하고, 왜 위험한지'를 이론 이전에 감각으로 먼저 잡게 됩니다. 단순히 번호를 아는 것과 실제 공격 구조를 이해하는 것의 차이가 크다는 걸 직접 해보고 나서 알았습니다. 정보 수집과 실습이 맞물릴 때 트렌드가 판단 기준으로 바뀝니다.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 당근마켓 보안 엔지니어 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.