이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
최근 학습한 기법 하나는 공급망 공격이었습니다. 오픈소스 라이브러리에 악성 코드를 주입해 그 라이브러리를 쓰는 모든 서비스로 번지는 자리입니다. 2024년 이후 npm·PyPI에서 자주 보이는 흐름이라고 자료에서 봤습니다.
방어 대책은 세 자리로 정리했습니다. 첫째, 의존성 잠금·해시 고정. 둘째, 의존성 취약점 스캐너 자동화 — Dependabot·Snyk. 셋째, 새 의존성 추가 시 한 번의 사람 검토.
동아리 회비 앱에서 잠금 파일을 안 커밋한 실패가 있었고, 팀원 환경에서 다른 버전이 설치된 자리가 있었습니다. 그 일이 잠금은 첫 자리부터라는 자세를 만들었습니다. 실무에서도 사수의 양식과 순서를 첫 자리에서 손에 익히고, 그 흐름이 매일의 자세로 굳어지게 만드는 자리부터 들어가고 싶습니다.
공급망 공격에 대한 방어 대책 4가지를 정리했습니다.
첫째, 의존성 잠금. package-lock·poetry.lock의 해시 고정·커밋. 둘째, 자동 취약점 스캐닝. PR 단계에서 의존성 취약점 검사. 셋째, 최소 의존성 원칙. 새 라이브러리 추가는 의식적으로. 넷째, 벤더 공식 채널 모니터링. Critical 패치를 24시간 안에.
동아리에서 4단계 모니터링을 안 한 실패가 있었고, 알려진 취약점이 한 달 안 패치된 자리가 있었습니다. 그 일이 Critical 패치는 24시간이라는 자세를 만들었습니다. 실무에서도 사수의 양식과 순서를 첫 자리에서 손에 익히고, 그 흐름이 매일의 자세로 굳어지게 만드는 자리부터 들어가고 싶습니다. 그 자세는 어떤 자리에서도 같은 결을 만든다고 봤고, 새 직무에서도 첫 한 달의 작은 자리에서부터 그 결을 그대로 가져가는 자세로 들어가고 싶습니다.
해킹 기법의 본체는 새로운 기술이 아니라 우리가 약한 자리를 노리는 자리라는 걸 학습에서 봤습니다.
공급망 공격은 우리가 의존성 관리를 가볍게 본 자리를 노리는 자리였습니다. 기법이 새로운 게 아니라 우리의 빈 자리가 노출된 자리라는 시각이 맞았습니다.
동아리에서 의존성 관리를 가볍게 본 실패가 있었고, 그 일이 기본기가 본체라는 자세를 만들었습니다. 실무에서도 사수의 의존성 관리 양식부터 익히고 싶습니다. 실무에서도 사수의 양식과 순서를 첫 자리에서 손에 익히고, 그 흐름이 매일의 자세로 굳어지게 만드는 자리부터 들어가고 싶습니다. 그 자세는 어떤 자리에서도 같은 결을 만든다고 봤고, 새 직무에서도 첫 한 달의 작은 자리에서부터 그 결을 그대로 가져가는 자세로 들어가고 싶습니다.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 토스 보안 엔지니어 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.