이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
개인 서버를 운영하다가 평소와 다르게 CPU 사용률이 높은 걸 발견한 적이 있습니다. top으로 보니 이름이 낯선 프로세스가 돌고 있었고, 처음엔 그냥 kill했다가 재부팅 후에 다시 살아났습니다. 그때 프로세스 정보만 보고 원인을 파악하지 않은 게 실패였습니다. 다시 접근해서 해당 프로세스의 실행 파일 경로, 네트워크 연결, 부모 프로세스를 순서대로 확인했습니다. 결국 크론탭에 외부 스크립트 실행 항목이 추가된 걸 발견했고, 제가 예전에 테스트용으로 넣고 잊어버린 것이었습니다. 다행히 악의적인 건 아니었지만, 이 경험으로 이상 프로세스는 제거 전에 실행 경로와 지속성 메커니즘을 먼저 확인하는 순서를 몸에 익혔습니다.
보안 수업에서 의도적으로 이상 행동을 하는 프로세스를 실습 환경에 심어두고 로그로 탐지하는 실습을 했습니다. 저는 시스템 로그에서 비정상적인 시간대 프로세스 생성, 외부 주소 연결 시도, 파일 수정 이벤트를 순서대로 추적하면서 해당 프로세스가 어떤 행동 패턴을 보이는지 정리했습니다. 처음엔 로그를 시간 순으로 안 보고 각각 따로 봐서 연결고리를 찾는 데 두 배 시간이 걸렸습니다. 이후로는 여러 로그를 타임스탬프 기준으로 합쳐보는 방식을 쓰고 있습니다. 실제 환경이 아니었지만 이 실습으로 "무엇을 어떤 순서로 봐야 하는지"를 처음 체계적으로 익혔습니다.
보안 스터디에서 공개된 침해 사고 사례 보고서를 읽고 어떤 로그에서 어떤 흔적이 남았는지 역추적하는 연습을 했습니다. 사례마다 초기 침투, 권한 상승, 측면 이동 단계에서 남는 로그 패턴이 다른 걸 정리했고, 특히 정상처럼 보이는 프로세스 이름으로 위장하는 패턴이 인상적이었습니다. 직접 탐지 경험은 아니지만, 어떤 로그 항목이 수상한지 패턴을 머릿속에 쌓는 데 그 스터디가 도움이 됐습니다. 실무 환경에서는 실제 데이터로 패턴을 쌓는 게 중요할 것 같아서, 빨리 경험해보고 싶습니다.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 토스 보안 엔지니어 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.