좋아, 정보처리기사 실기에 나올 수 있는 책에 없는 신기술/보안/네트워크/암호화 용어들을 실제 미국 실무·기업·해외 기술 블로그·보안 커뮤니티 등에서 쓰이는 용어 위주로, 문제 형식으로 10개 이상 제공할게.
각 문제는 선택형 + 해설로 구성하고, 단순히 정답만 말고 실제 어디서 어떻게 쓰이는지도 같이 알려줄게.
📘[1회차] 실전 스타일 문제 - 최신 보안·암호화·네트워크 실무 용어 (10문제)
✅ Q1. 다음 중 Zero Trust Architecture(제로 트러스트 아키텍처)의 핵심 개념이 아닌 것은?
A. 네트워크 내부는 항상 신뢰된다
B. 최소 권한 원칙
C. 지속적인 인증 및 검증
D. 암호화된 통신
정답: A
해설:
Zero Trust는 “절대 신뢰하지 말고 항상 검증하라(Trust No One)”가 핵심이다. 내부 네트워크도 신뢰하지 않으며, 매 요청마다 인증·권한 검증을 수행한다. 이는 Google의 BeyondCorp 모델에서 시작된 현대 보안 아키텍처 개념이다.
✅ Q2. 다음 중 "Living off the Land" 공격 전략에 해당하는 것은?
A. 파일 실행형 바이러스를 다운로드하여 감염
B. 시스템에 존재하는 정식 도구로 악성 행위 수행
C. 브루트 포스를 통한 비밀번호 탈취
D. DDoS 공격을 위한 봇넷 구축
정답: B
해설:
Living off the Land (LotL) 기법은 PowerShell, wmic, certutil, mshta 같은 윈도우 내장 툴로 악성 행위를 수행하는 전략이다. 탐지 회피에 탁월해서 최근 랜섬웨어와 APT 공격에서 널리 사용된다.
✅ Q3. 다음 중 Pass-the-Hash 공격에 가장 적절한 대응책은?
A. 패스워드 복잡도 강화
B. 패스워드 해시 무작위화 (salting)
C. 해시 값 탈취 방지
D. 다단계 인증(MFA)
정답: C
해설:
Pass-the-Hash는 암호를 입력하지 않고 해시 값만 훔쳐서 인증을 시도하는 공격. 해시 자체를 탈취하거나 재사용하는 걸 막기 위해, 인증 시 해시 값 자체가 네트워크로 전송되지 않도록 하는 구조가 필요하다 (예: Credential Guard, LSA 보호 등).
✅ Q4. 다음 중 TLS 1.3의 개선점으로 올바른 것은?
A. 서버 인증서 암호화 제거
B. 키 교환시 Diffie-Hellman 제거
C. 핸드셰이크 과정 단축
D. 세션 캐싱 강화
정답: C
해설:
TLS 1.3에서는 1-RTT 핸드셰이크로 속도 향상이 이루어졌고, 오래된 암호 알고리즘(RSA, SHA-1 등)을 제거하여 보안도 강화됨. 클라이언트가 서버와 더 빠르게 안전하게 통신할 수 있음.
✅ Q5. 다음 중 실무 환경에서 Shadow IT에 해당하는 사례는?
A. 기업 인가를 받은 방화벽 설정 변경
B. 사내 승인된 클라우드 플랫폼 사용
C. 직원이 개인 Dropbox에 문서 백업
D. 인증 절차 거친 SaaS 사용
정답: C
해설:
Shadow IT는 조직의 보안 정책 밖에서 운영되는 IT 리소스를 말함. 직원이 무단으로 클라우드, 메신저, 저장소 등을 쓰는 것이 대표적이며, 보안 사고의 원인이 된다.
✅ Q6. 최근 보안 이벤트에서 "Initial Access Broker"라는 표현이 사용되었다. 이 역할은 무엇인가?
A. 공격 후 데이터를 판매하는 해커
B. 침입 경로를 다른 해커에게 판매하는 중간자
C. 봇넷을 운영하는 관리자
D. 악성코드 제작자
정답: B
해설:
Initial Access Broker(IAB)는 조직 내부로 침투한 초기 권한을 다크웹 등지에서 다른 해커에게 판매하는 중간자다. 랜섬웨어 공격의 공급망처럼 움직인다.
✅ Q7. MITRE ATT\&CK 프레임워크에서 TTP의 의미로 올바른 것은?
A. Test - Transfer - Patch
B. Threat - Target - Penetrate
C. Tactics - Techniques - Procedures
D. Track - Trace - Prevent
정답: C
해설:
MITRE ATT\&CK는 실제 공격자의 **Tactics(전술), Techniques(기법), Procedures(절차)**를 체계적으로 정리한 데이터베이스다. 예: 권한 상승, 회피, 유지 접근 등 전 단계 추적 가능.
✅ Q8. 다음 중 보안 경계 없이 분산된 환경을 보호하기 위한 개념은?
A. DMZ Architecture
B. Microsegmentation
C. Honeynet
D. IDS
정답: B
해설:
마이크로세그멘테이션은 네트워크를 논리적으로 잘게 쪼개 내부 보안 영역을 구분하고, 트래픽 단위로 세부 정책을 적용함. 클라우드, 컨테이너 환경에 많이 사용됨.
✅ Q9. 다음 중 스턱스넷(Stuxnet) 공격의 주요 타겟은?
A. 웹 애플리케이션
B. DNS 서버
C. 산업제어시스템(ICS)
D. 스마트폰 앱
정답: C
해설:
Stuxnet은 이란 핵시설의 **산업제어시스템(SCADA/PLC)**를 교란하기 위해 설계된 고도로 정밀한 웜 바이러스다. 실시간 물리 장비까지 파괴할 수 있는 첫 사이버무기로 평가된다.
✅ Q10. 다음 중 사이버 공격 대응의 “Purple Team” 역할로 적절한 것은?
A. 방어 전략 설계
B. 침투 테스트 수행
C. 공격·방어 협업 통한 보안 향상
D. 시스템 로그 수집
정답: C
해설:
Red Team(공격자) + Blue Team(방어자) 사이의 협업 기반 학습팀이 Purple Team이다. 실제 모의 공격을 통해 취약점을 찾고, 이를 기반으로 방어 전략을 개선하는 과정에 중점을 둔다.
알겠어! 👉 그럼 바로 이어서 클라우드 보안 / 인증 프로토콜 / SaaS 보안 / 소프트웨어 공급망 공격 / AI 보안 관련 최신 용어들도 각 10문제씩 뽑아서 총 30문제 이상 한 번에 쭉 구성해줄게. 모두 실무·해외 IT 커뮤니티에서 자주 나오는 개념 위주로, 객관식 + 해설 형식으로 준비했어:
☁️ [2회차] 클라우드 보안 & 컨테이너·소프트웨어 공급망 공격 (10문제)
Q11. CSPM(Cloud Security Posture Management) 도구의 주된 역할은?
A. 실시간 API 공격 차단
B. 클라우드 설정 오용 위험 탐지
C. TLS 트래픽 암호화
D. 워크로드 자동 확장
정답: B
해설: CSPM은 각종 클라우드 서비스(AWS, GCP, Azure)에서 “인터넷에 노출된 스토리지 버킷”, “너무 넓은 IAM 권한” 같은 설정 리스크를 자동 식별하고, 취약 구성(미스컨피그)을 교정 권고까지 해주는 자동화 플랫폼이야.
Q12. SaaS 보안 브로커(SSE)에서 수행하지 않는 것은?
A. DLP 차단
B. CASB 대체
C. SMTP 트래픽 인스펙션
D. OS 패치 관리
정답: D
해설: SSE(SaaS Security Extensions)는 CASB + SWG + DLP 기능 등 API 기반으로 SaaS 트래픽을 통제하고 데이터 유출 방지 및 위협 탐지에 사용되는 개념. 그림자 IT 제어도 가능하지만, OS 레벨 관리는 안 해!
Q13. 신뢰할 수 있는 소프트웨어 공급망을 유지하기 위한 핵심은?
A. 단방향 해시
B. 코드 서명 및 SBOM
C. OTA 채널 암호화
D. 단일 인증 방식
정답: B
해설: SBOM(Software Bill of Materials)은 소프트웨어가 포함하는 라이브러리·모듈 목록. 여기에 코드 서명의 조합은 공급망 공격(CVE, dependency hijacking) 예방에서 핵심으로, 한국·미국과 OECD국가 모두 요구 중임.
Q14. OpenID Connect와 OAuth 2.0의 차이점은?
A. OIDC는 토큰 기반 인증, OAuth는 권한 위임
B. OAuth는 JSON 웹 토큰, OIDC는 XML
C. OIDC는 구독 방식, OAuth는 결제 방식
D. OAuth는 사용자 인증, OIDC는 API 호출 제한
정답: A
해설: OAuth 2.0은 “권한 위임”에 집중, OIDC(OpenID Connect)는 OAuth에 “사용자 인증”(JWT·ID 토큰)을 덧붙인 구조. 실무에서 SSO·소셜 로그인을 구성할 때 필수로 결합 사용됨.
Q15. “Sigstore”는 무엇과 관련된 오픈소스 도구인가?
A. 서버 인증서 관리
B. 컨테이너 이미지 서명
C. 로그인 세션 관리
D. DDoS 대응
정답: B
해설: Sigstore는 CNCF 프로젝트로, OCI 이미지(컨테이너)의 서명·검증·투명성 로그(Tlog) 제공. 이미지 위변조 문제를 줄이며, supply chain 보안의 핵심 도구로 사용됨.
Q16. 클라우드 환경에서 “Shift-Left Security”란 무엇을 의미?
A. 취약점 발견을 배포 후에 실행
B. 초기 설계 단계부터 보안 고려
C. S3 버킷 정책을 자동으로 우회
D. 방화벽 룰을 외부에서 관리
정답: B
해설: Shift-Left는 개발 라이프사이클 초반(빌드·CI/CD ·코드 리뷰)에 보안 검토·테스트를 미리 붙이는 트렌드. 취약점 조기 발견과 비용 절감에 효과적이라 클라우드 네이티브 환경에서 중요해짐.
Q17. “CSP”는 웹 앱 보안에서 어떤 기술을 의미할까?
A. 컨테이너 서비스 프로바이더
B. 콘텐츠 시큐리티 정책
C. 크로스 사이트 프록시
D. 커맨드 실행 포털
정답: B
해설: CSP(Content Security Policy)는 XSS, Clickjacking 같은 웹 공격을 막기 위해 브라우저 레벨에서 스크립트·리소스 로딩 도메인을 제한하는 HTTP 헤더 보안 정책.
Q18. “Runtime Application Self-Protection (RASP)”의 특징은?
A. 정적 분석 기반, 배포 전 검사
B. 앱 내부에서 실행 중 탐지·차단
C. 네트워크 방화벽 중심 보안
D. 아이덴티티 인증 강화 기술
정답: B
해설: RASP는 런타임에 애플리케이션 내부에 장착되어, 위협이 감지되면 바로 차단하는 보안 기술. 예: SQL 인젝션 시도 발생 시 호출 스택 기반으로 실시간 차단 가능.
Q19. “Serverless” 환경에서 자주 발생하는 보안 리스크는?
A. 서버 패치 미비
B. 무제한 디스크 용량
C. IAM 권한 과분배
D. 레거시 OS 취약
정답: C
해설: 서버리스 (Lambda, Cloud Functions)는 코드만 올리고 운영체제 관리는 클라우드 제공자에 맡김. 대신 IAM 역할·권한 설정이 매우 중요하며, 과도 부여는 리스크가 된다.
Q20. “Chaos Engineering”과 보안의 접점은?
A. DDoS 시뮬레이션을 통한 방어 테스트
B. 코드 커버리지 측정
C. 인증서 갱신 자동화
D. 네트워크 세그멘테이션 자동화
정답: A
해설: Chaos Engineering은 장애나 공격 같은 비정상 상황을 인위적으로 생성하여 시스템 강인성을 테스트하는 방법론. 보안 관점에서는 예: DDoS나 내부 권한 탈취 시나리오를 가정하여 방어 체계를 검증할 수 있음.
🔐 [3회차] 인증·보안 프로토콜 & AI 보안 (10문제)
Q21. FIDO2 인증의 핵심은?
A. Shared Secret 방식
B. 공개키 기반 비밀번호리스 인증
C. JWT 기반 SSO
D. OTP 코드 생성
정답: B
해설: FIDO2는 윈도우 Hello, YubiKey, Tap to Verify 같은 공개키 인증 기반 비밀번호리스 로그인 체계로, 비밀번호 대신 디바이스+생체인증 조합으로 인증한다. 피싱 방지에 탁월.
Q22. WebAuthn API는 어떤 레이어에서 동작하는가?
A. OS 커널
B. 브라우저
C. DNS 서버
D. CDN
정답: B
해설: WebAuthn은 클라이언트(브라우저)에서 플랫폼/크로스 플랫폼 인증 디바이스(예: USB 키, 지문 센서 등)을 제어하기 위한 JavaScript API. FIDO2와 함께 SSO 등에 사용됨.
Q23. “Adversarial Example”은 주로 어떤 분야에서 문제인가?
A. 컨테이너 보안
B. 네트워크 패킷 암호
C. 머신러닝·AI
D. TLS 핸드셰이크
정답: C
해설: Adversarial Example은 AI 모델에 미세한 입력 변조를 주면, 사람이 인지 못해도 ML 모델이 잘못 분류하도록 유도하는 공격 트릭. 예: 이미지 분류, 스팸 탐지 모델 등에서 보안 이슈.
Q24. “Homomorphic Encryption”의 특징은?
A. 암호화된 상태로 연산 가능
B. 해시 비교 불가
C. 키 교환 불가
D. 대칭키만 지원
정답: A
해설: Homomorphic Encryption은 암호화된 데이터 상태에서 직접 계산 가능(예: 덧셈, 곱셈). 클라우드 환경에서 민감 데이터를 노출하지 않고 분석하거나 조회할 때 유용.
Q25. “OAuth 2.1”에서 제거된 기능은?
A. Client Credentials Grant
B. Implicit Grant
C. Authorization Code Grant
D. PKCE
정답: B
해설: 최신 OAuth 2.1 스펙에서는 보안 취약성 문제가 있는 **Implicit Grant(토큰 수명 단축, URI 노출)**를 제거했다. 대신 Authorization Code + PKCE 조합만 권장됨.
Q26. “Multi-Party Computation (MPC)”의 활용 예는?
A. 서버리스 코드 실행
B. 분산된 프라이버시 계산
C. 무차별 공격 방어
D. 내부망 분리
정답: B
해설: MPC는 여러 참여자가 각자의 비밀 입력을 노출하지 않고도 공통 계산 결과를 얻도록 하는 암호 프로토콜. 예시: 연합학습, 금융 연합 분석, 다자간 투표 등에서 활용.
Q27. “Zero-Knowledge Proof (ZKP)”는 무엇을 가능하게 하는가?
A. 비밀번호 없이도 인증
B. 데이터 구조 압축
C. 토큰 유효성 미리 파악
D. 권한 이중화
정답: A
해설: ZKP는 정보를 공개하지 않고도 “내가 알고 있다”를 증명하는 암호 기법. 블록체인, ID 검증, 인증서 발급 등에서 프라이버시 보장 인증으로 사용됨.
Q28. 모델 도난(model theft) 공격은 어떤 대상인가?
A. 로컬 서버
B. 공개된 AI API
C. 워크로드 스케줄러
D. DNS 캐시
정답: B
해설: 악의적 사용자가 API를 통해 모델 반복 호출해, ML 출력 결과로부터 학습 데이터를 추정하거나 모델 자체를 복제하는 공격. 클라우드 AI 서비스에서 실무적으로 중요한 보안 문제임.
Q29. “Federated Learning”에서 보안 관점 위협 요소는?
A. 중앙 서버 공격
B. 클라이언트 참여 독점
C. 모델 업데이트 도난
D. A/B 테스팅 실패
정답: C
해설: Federated Learning은 각 클라이언트가 로컬에서 학습하고, 업데이트 값만 서버에 공유해서 중앙 서버가 통합. 하지만 이 업데이트 파라미터 자체가 민감정보일 수 있어 유출 위험 있음.
Q30. “SASE(Secure Access Service Edge)”는 무엇을 합친 개념인가?
A. VPN + 방화벽
B. SD-WAN + 보안 서비스(SWG, CASB 등)
C. SSL + IDS
D. IAM + SIEM
정답: B
해설: SASE는 Gartner 정의 플랫폼으로 **SD-WAN + 클라우드 기반 보안 서비스(SWG, CASB, FWaaS, ZTNA 등)**를 통합 제공. 재택근무 및 원격 접속 시대에 등장한 신개념 아키텍처야.
