이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
정적 분석은 악성코드를 실행하지 않고 코드 구조나 문자열, 해시 등을 분석하는 방식입니다. 실행 없이 빠르게 특성을 파악할 수 있지만, 패킹이나 난독화가 적용된 경우 분석이 어렵습니다. 동적 분석은 샌드박스 같은 가상 환경에서 직접 실행시켜 행동을 관찰하는 방식입니다. 실제 행위를 보기 때문에 난독화에 강하지만, 환경을 감지해 행동을 숨기는 악성코드에는 한계가 있습니다. 보안 수업 실습에서 간단한 랜섬웨어 샘플을 두 방법으로 분석해봤는데, 정적으로는 의심 문자열을 찾았고 동적으로는 레지스트리 변경 동작을 확인했습니다. 실무에서는 보통 두 방법을 병행해서 서로 보완하는 방식으로 씁니다.
두 방법을 병행하면 정적 분석이 놓친 행위를 동적 분석이 잡아주는 보완 구조가 만들어집니다.
보안 수업 실습에서 랜섬웨어 샘플을 분석할 때 정적 분석과 동적 분석을 순서대로 사용하면서 서로 부족한 부분을 채우는 것을 직접 확인했습니다. 정적 분석으로는 파일 문자열에서 의심스러운 API 호출 패턴과 암호화 관련 문자열을 발견했고, 동적 분석에서는 샌드박스 안에서 실행했을 때 레지스트리 변경과 파일 암호화 동작이 확인됐습니다.
정적에서 의심 지점을 좁히면 동적 분석에서 어디를 집중해서 볼지가 명확해집니다. 두 방법을 병행하지 않고 동적만 사용했다면 실행 흐름에만 집중했을 것이고, 코드 구조에서 발견된 우회 로직을 놓쳤을 것입니다. 두 방법이 서로 다른 차원의 정보를 제공한다는 것이 실습에서 가장 명확하게 보인 부분입니다. 어느 한쪽이 더 좋은 것이 아니라 분석 단계에 맞게 쓰는 것이 중요합니다.
동적 분석의 가장 큰 약점은 분석 환경 자체를 탐지하는 악성코드에는 실제 행위가 보이지 않는다는 것입니다. 샌드박스는 가상화 환경인데, 악성코드 중 일부는 가상머신 특성을 감지해서 분석 환경이라고 판단하면 정상 동작처럼 위장합니다. 수업에서 그런 샘플을 다뤘을 때 동적 분석만으로는 이상한 동작이 전혀 관찰되지 않았는데, 정적 분석에서 환경 탐지 로직이 코드 안에 있다는 것을 발견했습니다.
동적 분석이 강한 상황과 그렇지 않은 상황이 있고, 그것을 판단하려면 정적 분석과 병행하는 것이 필요합니다. 동적의 한계는 샘플이 보여주고 싶은 것만 보인다는 것이고, 그 한계를 정적 분석이 보완합니다. 두 방법을 이해하는 것은 어떤 도구를 언제 쓰는지를 판단하는 역량입니다.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 이스트소프트 정보보안 담당 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.