penna

제가 고민을 해 보았는데요 - 순환보직은 전문성을 깎는다고만 생각했다

penna — Mon, 05 Oct 2026 22:54:30 GMT

“그럼 진단하시는 분은 기업 고객이 아니실 텐데 어떻게 기업 서비스를 진단하시는 거죠?” 해당 업무를 그해 처음 맡은 A선배의 말이었다. 선배의 모습에서, 예전에 만난 어느 담당자(원래 그런거라고 말할 뻔했다)가 겹쳐 보이는 날이었다. 모의해킹 업무는 사업을 관리하는 업무와 실제 진단하는 업무로 나뉜다. 그리고 많은 기업 형태, 기관들과 같이 지금 있는

개인정보 노출, "차라리 서비스를 접겠습니다" - 파라미터 변조_불충분한 인증

penna — Mon, 05 Oct 2026 00:03:35 GMT

“차라리, 서비스를 접겠습니다.” 때로는 의도치 않게 누군가를 ‘지적’하는 느낌이 들 때가 있습니다.상대방이 부정적인 반응을 보이면, 예전엔 같이 화도 났었는데, 점점 이해가 되기도 합니다. 그럼에도 보안을 하는 사람으로서 꼭 조치하도록 고집을 부리는 취약점이 하나 있습니다. 아직까지 이 취약점을 조치하지 않아도 되는 이유는 찾지 못했거든요. 요청 파

투입 30분 만에 교체 예정 인력이 되었다 - 우리 회사가 마루타인가요?

penna — Sun, 04 Oct 2026 12:29:14 GMT

“나이가 어떻게 되세요? 경력이 얼마나 되십니까?” “해킹 자격증이 있으신가요?” 입사 3개월 차, 착수보고 회의에서 첫 번째 질문에 대답하는 요령이 없던 나는 솔직하게 말했다. “26살입니다, 3개월 됐습니다”라고. 정년을 몇 년 안 남긴 고객사 팀장은 표정이 굳어지더니, “우리 회사가 마루타인가요?” 그날, 투입된 지 30분 만에 교체 예정 인력

원래 그런 거라고 말할 뻔했다 - 20년 차 담당자는 "잘 모른다"라고 말했다

penna — Mon, 28 Sep 2026 23:11:22 GMT

"저는 보안은 잘 모릅니다." 10년 전 모의해킹 컨설턴트로서 참여한 지방 프로젝트의 착수보고 회의에서 들은 말이다.말한 사람은 나보다 20년쯤 경력이 많아 보이는 공공기관 담당자였다.해당 지역 전체 네트워크 망을 구성한 능력자로 통하는 분이었다. "이번에 저희가 구성한 구성도입니다. 이걸 구성하다 보니, 제 생각엔 이 부분이 위험하지 않을까 하는

SQL Injection,"그 특수문자는 꼭 써야해요" - 특수문자 필터링 대신 파라미터 바인딩

penna — Sun, 27 Sep 2026 22:36:48 GMT

지난 편에서 "내부 서비스예요"라는 말을 다뤘습니다. 그리고 조치를 계획하는 과정에서 다른 이유가 따라올 때가 있습니다. "업무상 꼭 써야 하는 특수문자가 있어요." 이 말에 끌려가는 순간 대화는 '어떤 문자를 막을 것인가'로 흘러갑니다. 인코딩을 바꾸거나, 중간에 주석을 넣거나, 대소문자를 섞거나, 함수로 문자를 만들어내는 방법이 이미 많거든요. 예외

'내일'을 보며 살기로 다짐했다. - x월 1일 | 살아가는 것이 더 무서웠다.

penna — Sun, 27 Sep 2026 14:14:22 GMT

수술 전날이었다. 전신 마취에 대해 “잠깐 죽어 있는 거라 생각하시면 돼요”라는 의사 선생님의 농담은 웃어넘겼다.그렇지만, 저녁에 레지던트분이 오셔서 작게 얼버무리며 남긴 말 하나에는 밤을 새우고 말았다. MRI를 찍으면서 추가로 확인된 게 하나 있다고 했다. “내일 수술 때, 림프 혈관종도 같이 찾아서…” (뒷 내용은 잘 들리지 않았다.) 그전까지

말하는 게 부담스러워요 - 소리 내는 사람

penna — Tue, 22 Sep 2026 23:43:14 GMT

전공 수업 때, 조별 발표를 한 날이었다. 중간 순서였고, 다른 조 발표처럼 질문은 따로 나오지 않았다. 교수님이 둘러보시더니 다른 조 발표 보면서 다들 질의가 너무 없다, 질문을 하는 사람에겐 가산점을 주겠다 하시기 전까지는 말이다. 가산점 얘기에 갑자기 급하게 만들어낸 질문이 쏟아져왔다. 발표 자료 폰트가 왜 그러냐, 가독성이 떨어졌다 등등. 다

제 일이 아닌 것 같은데요 - 옷깃만 스쳐도 내 일이 아니라는 곳에서

penna — Mon, 21 Sep 2026 22:46:51 GMT

보안 담당자가 매일 목이 쉬어서 퇴근하는 직업인지는 미처 예상하지 못했다. 취약점을 찾아서 조치 요청을 하면, "우리는 서비스단 개발이에요. 네이티브단 개발 쪽에서 해야 해요" "탐지하는 보안 솔루션이 있어요. 보안 솔루션 담당이 해결해야 할 거 같아요" "기능은 있는데, 서비스 이용에 불편이 있어서 일부만 동작하는 상태예요. 업무팀 협의가 필요합니다"

SQL Injection, "내부 서비스예요" - '내부망이라 괜찮다'가 안 통하는 이유-SQL Injection 조치협의

penna — Sun, 20 Sep 2026 22:00:26 GMT

"이건 내부 서비스예요." SQL Injection(SQL 인젝션)은 취약점 진단에서 "이게 왜 취약한가요?"라는 질문이 거의 나오지 않는, 몇 안 되는 항목입니다. 개발자도 알고, 공부한다고 하면 1번으로 나오는 취약점이죠. 그런데 내부 서비스에서 발견되면, 질문 대신 이 말이 돌아옵니다. 화면에 입력한 글자가 데이터가 아니라 명령으로 읽혀서, 데이터

합격하지 못했는데, 합격은 했습니다. - 2021년에 쓰다만 글

penna — Sun, 20 Sep 2026 13:38:21 GMT

지난 몇 달 동안, 글을 쓸 수 없을 정도로 정신없이 보냈다. 한 해가 지나간다고 하니 내가 더 이상 이력서를 제출할 수 있는 전형이 확 줄어들 수도 있겠다는 불안감, 나이, 단절된 커리어 등등 여러 조건들이 나를 벼랑 끝으로 내몰게 만들었다. 사실 대학을 졸업할 때 취업에 대한 진지한 고민을 딱히 하지 않았었다. 그냥 돈을 벌고 싶은 마음만 들었고

10년 차인데 아직 멘토가 필요합니다 - x월 25일 | 어른의 밥벌이, 그리고 일의 품격

penna — Sat, 19 Sep 2026 06:31:42 GMT

멘토님을 만났다. 직접 멘토님이라 불러본 적은 없지만, 지금 내가 무엇을 해야 할지 문득 길을 짚어준다면 인생의 멘토가 맞지 않을까 싶어 혼자 그렇게 부르고 있다. 그래서 한 번씩 찾아뵈려고 노력한다. 직장 생활에서 내 상황을 알고 있는 사람과 이야기 나눌 수 있다는 게 얼마나 소중한지 알기 때문이다. 얼마 전 만남에서는 회사에서 어떤 일들이 있었는지, A

싸움의 기술이 회사에서도 필요한가요? - 칼보다 방패가 무서울 수 있는 곳에서

penna — Thu, 30 Jul 2026 23:35:57 GMT

내가 직접 전쟁터에 뛰어들지 않아도, 옆에서 벌어지는 경쟁을 지켜보는 것만으로도 서늘한 깨달음이 올 때가 있다. 무모한 도발과 뒤늦은 후회, 그리고 아무것도 남지 않은 결말, 그걸 지켜보는 동안 나는 메모장에 생존 법칙 같은 것을 적어두고 있었다. 1. 상대의 체급부터 확인할 것 상대를 아랫사람처럼 대하고 싶다면, 적어도 내 능력이 그 사람과 비슷한 체급은

퇴사일기 - x월 31일

penna — Tue, 03 Mar 2026 23:30:27 GMT

지독히도 출근하기 싫은 아침이다. 하루에도 몇 번씩 퇴사를 생각하지만, "다음 스텝은 없다"라며 해맑게 외치던 10년 전의 나로는 돌아갈 수 없다. 그때의 무모함이 달콤한 결과로 이어지지 않았다는 걸 아는 '어른'이 되었으니까. 담담하게 "퇴사하겠습니다"를 외치지 못해, 대신 꾹꾹 눌러 담은 감정으로 소심한 퇴사 일기를 써 내려간다.나의 경험과 역량을 인

사탕 한 알 - x월 9일

penna — Mon, 02 Mar 2026 23:24:29 GMT

담아내지 못하는 나에게 "모든 일상에 감사하라"는 말이 가식처럼 들리던 때가 있었다. 어떻게 매 순간 감사할 수 있단 말인가. 이해할 수 없는 문장을 마주했을 때 그 이면을 들여다보려 노력했다면 조금 더 지혜로워졌을까. 나는 늘 온몸으로 고통을 겪어내고 나서야 뒤늦게 매달리곤 한다. 나는 안주하면 안 된다고 생각했다. 기대할 곳이 없는 사람이기에. 운과

나이 - x월 8일

penna — Sun, 27 Apr 2025 23:41:23 GMT

지인을 만나면 '요즘 새로 오는 사람들'이라는 말을 쓰기 시작한 때가 왔다. 그런 말은 나이 있어 보이려고 하는 말 아니냐며 우리는 그런 나이 허세? 는 부리지 않겠다던 게 엊그제 같은데 어느새 '요즘'이란 단어를 붙들고 서로에게 하소연하는 게 어색하지 않을 때가 온 거 같긴 하다. 물론 결론은 세대가 아닌 사람 개별의 문제다로 귀결되긴 하지만, 문화의 어

내가 '나'라서 - x월 7일

penna — Mon, 28 Oct 2024 23:55:33 GMT

문득, 내가 '나'여서 힘들다는 생각이 들었다. 굳이 직설적으로 말해서 상황을 악화시키고, 그러면서도 눈치는 보는 '나'여서, 조금 상냥하고 밝은 표정으로 무난한 관계를 만들어가도 되는데 그런 표정을 짓지 않은 '나'여서, 편하게 생각할 수 있는 문제를 복잡하게 풀면서 불평을 안 하는 것도 아닌 '나'여서, 좋은 게 좋은 거라고 타협하지 못하는 '나'여서

파일 다운로드, "기능을 없애야 하나요?" - 파일 다운로드 취약점

penna — Mon, 07 Oct 2024 00:51:51 GMT

"파일을 다운로드하는 기능인데 취약점 때문에 다운로드 기능을 없애야 하는 걸까?" 저의 첫 고민이었습니다. 보통은 개발자가 의도하지 않은 위치에서 취약점이 발생합니다. 그런데 어떤 항목들은 다릅니다. 파일 업로드, URL Redirection, 그리고 파일 다운로드 같은 취약점은 전부 그 기능이 의도되었는데, 그 부분에서 취약점이 발생합니다. 서버에

루팅 탐지 우회, "내 정보인데 왜 취약한가요?" - OS변조 탐지 취약점

penna — Tue, 10 Sep 2024 00:04:05 GMT

"저희는 보안 솔루션을 사용하고 있습니다. 그러니 보안 솔루션 담당자가 조치해야 할 것 같습니다." "루팅 탐지를 하고 있어서 앱에서 패킷을 잡을 수 없으니 요청 패킷을 변조한 취약점에 대한 조치로 볼 수 있지 않을까요?" "내 정보를 내가 보는 게 왜 취약한가요?" 같은 항목을 두고 받은 말들입니다. 다들 자신이 해결할 일은 아니라고 합니다. 그리고 '

직원정보 노출, "직원 조회 페이지니까요" - 인증 인가 관련 취약점_직원정보

penna — Mon, 19 Aug 2024 00:20:03 GMT

"해당 페이지는 직원 조회용 페이지이거든요.그래서 직원번호가 보이는 게 당연한 겁니다." 이 항목은 저희끼리도 의견이 갈립니다. 사번, 직원 계정, 직원 이름, 전화번호 등등 이런 정보들이 노출될 경우 취약점으로 잡을 것인가를 두고 진단하는 사람끼리 오래 이야기합니다. 이 정도까지 잡는 건 좀 가혹하지 않나 싶은 보고서를 볼 때도 있고요. 그러니 "당연

파일 업로드, ".png는 허용해도 될까요?" - 파일 업로드 취약점

penna — Mon, 12 Aug 2024 01:05:49 GMT

".png 확장자는 허용해도 될까요?" 이 질문을 받으면 조금 반갑습니다. 이런 담당자는 우선 조치는 계획하고 있으신 거거든요. 이런 질문을 하실 때는 조치를 하면서, 오는 질문입니다. 올려서는 안 될 파일이 서버에 올라가고, 그게 실행까지 되는 것. 보고서에는 파일 업로드 라고 적힙니다. 취약점마다 중요도를 매기는 게 의미가 있나 싶을 때가 있습니다