C++ 시니어 보안 기술면접

아키텍처 레벨에서는 입력 검증 레이어를 분리하고, std::string, std::vector 등 RAII 기반 안전한 컨테이너를 사용하며, 경계 검사가 포함된 래퍼 클래스를 설계해야 합니다. 컴파일러 수준에서는 Stack Canary(/GS), ASLR(Address Space Layout Randomization), DEP(Data Execution Prevention) 플래그를 활성화하고, AddressSanitizer나 Valgrind 같은 도구를 CI/CD에 통합합니다. 레거시 시스템에서는 strcpy 대신 strncpy_s, sprintf 대신 snprintf 사용을 강제하는 정적 분석 규칙을 먼저 적용하고, 점진적으로 모듈별 리팩토링을 진행합니다. 코드 리뷰 체크리스트에 포인터 연산과 배열 접근 검증 항목을 필수로 포함시키며, 보안 교육을 통해 팀 전체의 시큐어 코딩 역량을 강화합니다.

비밀번호 저장에는 bcrypt, scrypt, Argon2 같은 적응형 해시 함수를 사용해야 하며, 특히 Argon2id가 메모리 하드 특성으로 GPU 공격에 강해 권장됩니다. 각 비밀번호마다 암호학적으로 안전한 난수 생성기(CSPRNG)로 생성한 유니크한 솔트를 사용하고, iteration count는 최소 10,000 이상으로 설정하되 서버 성능에 따라 조정합니다. 암호화 라이브러리는 OpenSSL, Crypto++, libsodium 중 선택하되, 보안 패치가 활발하고 FIPS 140-2 인증 여부를 확인하며, libsodium은 misuse-resistant API로 개발자 실수를 줄여줍니다. 키 관리는 HSM(Hardware Security Module)이나 AWS KMS, Azure Key Vault 같은 외부 키 관리 서비스를 활용하고, 키 로테이션 정책을 수립하며, 메모리에서 사용 후 즉시 secure_memzero로 삭제합니다.

JWT 서명에는 RS256(RSA) 또는 ES256(ECDSA) 같은 비대칭 알고리즘을 사용하여 검증 서버에서 개인키 없이도 토큰을 검증할 수 있게 하며, HS256 사용 시 키 유출 위험을 고려해야 합니다. Access Token은 짧은 만료 시간(15-30분)을 설정하고, Refresh Token은 별도로 관리하며 서버 측 블랙리스트나 화이트리스트를 유지합니다. 클라이언트에서는 토큰을 localStorage가 아닌 HttpOnly, Secure, SameSite 쿠키에 저장하여 XSS 공격을 방어하고, HTTPS 전송을 강제합니다. 서버에서는 토큰의 jti(JWT ID) 클레임을 검증하고, 중요한 작업에는 추가 인증을 요구하며, rate limiting으로 토큰 무차별 대입 공격을 방지합니다. 로그아웃 시 Refresh Token을 무효화하는 메커니즘을 구현하고, 이상 탐지 시스템으로 비정상적인 토큰 사용 패턴을 모니터링합니다.

SQL 인젝션 방어의 핵심은 Prepared Statement(Parameterized Query)를 필수로 사용하여 SQL 쿼리와 데이터를 명확히 분리하는 것이며, MySQL의 mysql_stmt_prepare나 PostgreSQL의 PQprepare 같은 API를 활용합니다. 입력 검증은 화이트리스트 방식으로 허용된 문자와 패턴만 받아들이고, 정규표현식으로 검증하며, 길이 제한을 엄격히 적용합니다. 커맨드 인젝션 방어를 위해서는 system(), popen() 같은 셸 호출 함수 사용을 금지하고, execve() 같은 직접 실행 함수를 사용하며, 필요시 인자를 배열로 전달하여 셸 해석을 우회합니다. 데이터베이스 계정은 최소 권한 원칙에 따라 필요한 테이블과 작업만 허용하고, 애플리케이션별로 계정을 분리하며, DDL 권한은 별도 관리합니다. 아키텍처 레벨에서는 WAF(Web Application Firewall)를 도입하고, 입력 검증 레이어를 비즈니스 로직과 분리하며, 정적 분석 도구로 위험한 함수 사용을 자동 탐지합니다.

데이터 최소화를 위해 수집 시점에 필수/선택 항목을 명확히 분리하고, 목적별 데이터 보유 기간을 정책으로 정의하며, 만료된 데이터를 자동 삭제하는 배치 프로세스를 구현합니다. 저장 단계에서는 AES-256-GCM으로 필드 레벨 암호화를 적용하고, 주민번호 같은 민감 정보는 토큰화(Tokenization)하며, 분석 목적 데이터는 k-익명성을 보장하는 가명화 처리를 합니다. 잊힐 권리 구현을 위해 사용자 ID를 외래키로 하는 모든 테이블에서 cascade 삭제가 가능하도록 스키마를 설계하고, 백업 데이터도 삭제할 수 있는 메커니즘을 마련하며, 삭제 완료까지 30일 이내 처리를 보장합니다. 모든 개인정보 접근과 수정은 감사 로그에 기록하여 누가, 언제, 어떤 데이터를, 왜 접근했는지 추적 가능하게 하고, 로그는 변조 방지를 위해 블록체인이나 WORM 스토리지에 저장합니다. 데이터 이동 시 국가 간 전송 제한을 고려하여 리전별 데이터 레지던시를 구현하고, 암호화된 채널로만 전송하며, DLP(Data Loss Prevention) 솔루션으로 유출을 감시합니다.

애플리케이션 레벨에서는 IP별 동시 연결 수를 제한하고, 연결 후 일정 시간 내 데이터 전송이 없으면 강제 종료하는 타임아웃을 설정하며, epoll이나 io_uring 같은 비동기 I/O로 리소스 효율성을 높입니다. Slowloris 방어를 위해 헤더 수신 타임아웃을 짧게(5-10초) 설정하고, 최대 헤더 크기를 제한하며, 불완전한 요청을 빠르게 거부합니다. Rate limiting은 Token Bucket 또는 Leaky Bucket 알고리즘으로 구현하여 IP별, 엔드포인트별 요청 속도를 제한하고, Redis 같은 공유 스토리지로 분산 환경에서도 동작하게 합니다. 인프라 레벨에서는 CDN과 DDoS 방어 서비스(Cloudflare, AWS Shield)를 도입하고, SYN Cookie를 활성화하며, iptables나 nftables로 의심스러운 IP를 자동 차단하는 규칙을 설정합니다. 모니터링 시스템으로 CPU, 메모리, 네트워크 대역폭, 연결 수를 실시간 추적하고, 임계치 초과 시 알림을 발송하며, 자동 스케일링과 Circuit Breaker 패턴으로 서비스 가용성을 보장합니다.

1단계로 모든 내부 통신에 mTLS(mutual TLS)를 적용하여 서비스 간 인증을 강화하고, 기존 평문 통신을 암호화하며, 인증서 관리 시스템을 구축합니다. 2단계에서는 마이크로 세그멘테이션을 도입하여 네트워크를 신뢰 영역별로 분리하고, 방화벽 규칙을 최소 권한 원칙에 따라 재설정하며, 서비스 메시(Istio, Linkerd)로 트래픽을 제어합니다. 3단계에서 인증/인가를 중앙화하여 OAuth 2.0과 OIDC 기반 통합 인증 서버를 구축하고, 기존 세션 기반 인증을 토큰 기반으로 마이그레이션하며, RBAC에서 ABAC(Attribute-Based Access Control)로 발전시킵니다. 4단계에서는 모든 접근과 트랜잭션에 대한 실시간 로깅과 이상 탐지 시스템을 구축하고, SIEM 솔루션으로 통합하며, 머신러닝 기반 위협 탐지를 도입합니다. 각 단계는 카나리 배포와 A/B 테스트로 검증하고, 롤백 계획을 준비하며, 레거시 시스템과의 호환성을 위한 어댑터 레이어를 구현합니다. 전 과정에서 보안 교육과 코드 리뷰를 병행하고, 침투 테스트로 취약점을 검증하며, 컴플라이언스 요구사항(PCI-DSS, ISO 27001)을 지속적으로 확인합니다.