DevFit

보안 엔지니어 기술면접, 내가 쓴 커밋으로 대비하기

보안 엔지니어 기술면접은 취약점 이름을 아는지가 아니라, 본인이 짠 코드에서 그 취약점이 어디로 들어오는지 짚을 수 있는지를 봅니다. 인증과 인가를 갈랐는지, 입력을 어디서 믿었는지, 비밀값이 어디를 지나가는지가 질문거리입니다. 이 페이지는 보안 직군 면접의 조준점을 정리하고, 데브핏(DevFit)이 이용자 본인의 깃허브 커밋에서 그 질문을 어떻게 만들어 내는지 설명합니다.

보안 면접에서 면접관이 파고드는 지점

인증과 인가를 갈랐는가

로그인만 확인하고 «이 자원이 이 사람 것인지»는 안 보는 코드가 자주 나옵니다. 엔드포인트 커밋은 «남의 ID를 넣으면 어떻게 되나요»로 바로 이어집니다.

입력을 어디서 믿었는가

쿼리 문자열 조립, 파일 경로 조합, 리다이렉트 대상. 문자열을 이어 붙인 한 줄이 긴 질문 체인을 만듭니다.

비밀값을 어떻게 다뤘는가

레포 히스토리에 남은 키, 암호화 방식과 키 보관 위치, 회수 절차. 암호화 커밋은 «키는 어디에 두셨어요»를 부릅니다.

로그에 무엇을 남겼는가

토큰·주민번호·이메일이 로그로 새는 지점. 로깅 커밋은 개인정보 관점 질문의 단골 자리입니다.

내 커밋에서 나올 수 있는 질문

아래는 보안 코드에서 자주 만들어지는 형태의 질문입니다. 데브핏(DevFit)은 레포지토리 전체가 아니라 이용자 본인이 작성한 커밋과 diff만 조준해, 질문마다 근거가 되는 커밋·파일 경로를 함께 붙입니다.

  • “이 API에서 다른 사용자의 ID를 넣으면 어떻게 되나요?”
  • “이 쿼리는 파라미터 바인딩인가요, 문자열 조립인가요?”
  • “이 토큰은 어디에 저장되고, 유출되면 어떻게 무효화하나요?”
  • “이 로그에 사용자 식별 정보가 들어가는데, 보관 기간이 어떻게 되나요?”

코드에 “없는 것”도 질문이 됩니다

면접에서는 짠 것만큼 안 짠 것도 물어봅니다. 데브핏은 아래 같은 부재 신호를 결정론적으로 찾아 질문으로 만듭니다.

  • 의존성 취약점 점검이 없는 CI → «알려진 취약 버전이 들어오면 언제 아나요?»
  • 레이트 리밋 없는 인증 엔드포인트 → «무차별 대입은 어디서 막히나요?»
  • 히스토리에 남은 `.env` 커밋 → «이 값은 회수하셨나요?»

자주 다루는 기술

  • OAuth 2.0
  • JWT
  • OWASP
  • TLS
  • Burp Suite
  • SAST/DAST

다만 질문은 기술 이름에서 나오지 않습니다. 같은 OAuth 2.0를 써도 커밋마다 고른 선택이 다르고, 면접관이 파고드는 건 그 선택입니다. 그래서 데브핏은 기술 스택별 표준 질문지가 아니라, 겨냥한 채용공고 1건과 내 깃허브(GitHub) 커밋을 함께 읽어서 질문을 만듭니다.

보안 공고 하나로 시작해 보세요

채용공고 URL을 붙여 넣으면 포지션과 요구 사항을 정리하고, 연결한 레포지토리에서 내가 쓴 커밋을 찾아 예상 질문과 어필 포인트를 만듭니다. 공고 1개가 준비 1회분입니다. 하루 10회까지 무료입니다. 합불 판정이나 지원자 랭킹은 만들지 않고, 최종 판단은 사람이 합니다.

공고 넣고 시작하기

보안 면접에서 함께 나오는 CS 개념

커밋에서 나온 질문은 대부분 개념 질문으로 이어집니다. 아래 문서는 보안 면접에서 그 다음 질문으로 자주 넘어가는 주제입니다.

CS 지식백과 전체 보기 →