이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
보안 수업 과제로 실습 서버의 보안 설정을 점검하는 과제를 했을 때, 처음엔 막연히 설정 파일을 쭉 읽었는데 뭐가 빠진 건지 기준이 없으니까 확인했다는 느낌이 안 들었습니다. 그래서 수업 교재에서 나온 항목들을 체크리스트로 정리하고 항목 하나씩 실제 설정값과 대조하는 방식으로 바꿨습니다. 비밀번호 최소 길이, 계정 잠금 임계값, 불필요한 서비스 비활성화 같은 항목이었습니다. 제가 실패한 건 체크리스트를 너무 길게 만들어서 시간 안에 다 못 끝낸 것이었고, 이후엔 우선순위가 높은 항목 10개를 먼저 보는 방식으로 수정했습니다. 실무에서도 전수 점검 전에 위험도 높은 항목 먼저 보는 게 효율적일 것 같습니다.
인턴 기간에 방화벽 정책 변경 후 실제로 의도한 대로 트래픽이 차단되는지 확인하는 작업을 도운 경험이 있습니다. 정책 문서에는 "80 포트 외부 차단"이라고 쓰여있었는데, 실제로 외부에서 테스트해보니 차단이 안 됐습니다. 정책이 적용된 인터페이스가 달라서 생긴 문제였습니다. 그 이후로 정책 변경은 반드시 변경 직후 의도대로 동작하는지 실제 트래픽이나 로그로 검증하는 단계를 추가해야 한다는 걸 배웠습니다. "문서에 있으면 적용된 것"이라는 가정이 가장 위험하다는 것도요. 작은 환경에서 경험했지만 실무 규모에서는 더 중요할 것 같습니다.
개인 서버를 관리하면서 처음엔 "이상한 게 있으면 보겠지"라는 생각으로 넘어갔는데, 몇 달 뒤 비인가 포트가 열려있는 걸 우연히 발견한 적이 있었습니다. 언제부터 열렸는지도 몰랐습니다. 그 이후로 매월 첫 번째 토요일에 포트 스캔, 계정 목록, 불필요한 프로세스를 정해진 순서로 점검하고 결과를 텍스트 파일로 남기기 시작했습니다. 3개월 쌓이니까 이전 달과 비교해서 달라진 항목이 눈에 들어왔습니다. 정기 점검이 없으면 기준선 자체가 없어서 뭐가 달라졌는지 알 수 없다는 걸 그때 깨달았습니다. 개인 환경이라 규모는 작지만 방법론 자체는 비슷하게 적용할 수 있을 것 같습니다.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 도루코 정보보안 담당 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.