해당 분야의 9~10레벨 챌린지를 적당히 풀 정도 수준이면 됩니다.

[주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드](https://www.kisa.or.kr/skin/doc.html?fn=20251224_090221_511.pdf&rs=/result/2025-12/)

현직자인데, 3레벨은 커녕, 1-2레벨도 못 푸는 분들 많습니다. 다만, CTF/워게임과 실 서비스와는 차이가 명확하다보니 CTF를 잘 하는 사람이 못 하는 사람보다 모의해킹을 더 잘할 수는 있으나 무조건 그렇지도 않습니다. 칼질을 잘한다고 요리를 무조건 잘하는 건 아니니까요. 다만, 강점은 있겠죠..

1레벨 정도의 기초적인 웹 해킹 기술만 있어도 입사가 가능한 회사는 많습니다. 신입 수준에 절대적인 기준이 있다기보다는 들어가시고 싶으신 회사가 바라는 기술 수준과 방향성을 맞추는게 중요합니다. 아는 게 많으실수록 다양한 대상을 진단하는 회사에 입사하실수 있으실거고 아니면 웹 체크리스트 훑고 마는 수준의 회사에 입사하는거죠.

문제 풀이를 잘한다는 것은 대체로 "학습한 내용을 반복 숙달하면서 일정한 패턴을 익히고, 출제 범위 안에서 요구하는 답을 도출해 정답을 맞힌다"는 의미죠? 문제를 만든 사람이 의도한 취약점과 풀이 경로가 존재하고(제공되는 분석용 파일 또는 설명 등), 그 경로를 찾아 플래그와 같은 명확한 목표물을 얻으면 종료되는 구조니까요. 반면 모의해킹은 정답을 맞히는 활동이 아니라 법의 테두리 안에서 실제 운용 환경을 대상으로 현재 상태의 위험을 확인하고 기준에 따라 점검을 수행한 뒤 결과를 근거로 개선 권고까지 제시하는 업무에 가깝습니다. KISA 가이드나 ISO 등 준거 기준이 있다면 그 요구사항에 맞춰 점검 항목을 구성하고 그 항목을 빠짐없이 검증하는 방식으로 진행됩니다. 예를 들어 MongoBleed(CVE-2025-14847)가 존재한다고 가정하고, 워게임 웹 문제 풀이 vs 웹 애플리케이션을 대상으로 모의해킹을 수행한다고 가정해봅시다. 워게임에서는 "MongoDB 서버의 zlib 기반 네트워크 압축 기능을 악용해 인증되지 않은 공격자가 서버 메모리에서 민감한 데이터를 유출할 수 있다"는 내용을 알고 있으니 제공된 파일을 분석하여 그 취약점만 찾아 플래그를 유출로 연결되도록 설계하면 됩니다. 그래서 해당 기능을 활성화한 조건과 취약 동작을 재현해 메모리에서 플래그 문자열이나 플래그 파일을 확보하면 해당 문제는 끝난다고 보면 됩니다. 그러나 모의해킹에서는 리스트를 두어 KISA/ISO 등의 표준에 따라 아래와 같이 작업을 한다 보시면 됩니다. 1.MongoDB 서버가 외부에서 원격으로 접근 가능한지 2.인증·인가 관점에서 계정 체계가 어떻게 구성되어 있는지 3.익명 접근이나 기본 계정/약한 패스워드가 존재하는지 4.권한이 최소화되어 있는지 5.역할 기반 권한(RBAC)이 적절히 적용되어 있는지 6.접근 가능한 범위가 데이터베이스/컬렉션 단위로 어디까지인지 등 운영 관점의 통제를 점검 ... 최종적으로는 CVE 내용인 zlib 기반 네트워크 압축 기능이 실제로 활성화되어 있는지와 적용 조건을 확인한 뒤 해당 기능이 켜졌을 때 공격 표면이 어떻게 넓어지는지(외부/내부 호출별로 유출 가능한 범위가 어떻게 달라지는지)를 검증하는 등 모든 사항을 정리한 뒤에 권고 사항까지 작성하여 요청자에게 전달합니다. 그래서 "문제를 어느 정도 잘 푸는가, 몇 단계를 풀 수 있는가" = "모의해킹 신입 취업 수준" 으로 성립시키기 애매한 말인 것 같네요. 워게임에서 10레벨을 풀 수 있어도 처음 보는 유형이 나오면 4레벨에서도 일주일은 걸릴때도 있기도 하니까요. 정리하면 문제를 푸는 과정 자체를 모의해킹에 도움이 되도록 바꾸려면 단순히 풀이 스크립트를 작성하고 끝내지 말고 "이 취약점이 어떤 관점에서 성립하는지, 어떤 전제 조건이 필요했는지, 다른 방식으로도 접근이 가능한지, 방어 측면에서는 어떤 패치나 설정 변경이 가장 효과적인지"를 함께 고민하는 습관을 들여보시면 모의해킹하실 때 도움이 될겁니다. 예를들어 도커파일을 만들어서 제공된 파일을 컨테이너 생성하여 재현 환경을 직접 만들어 빌드해두고, 각 조건들을 바꿔보면서 결과가 어떻게 달라지는지 실험해보는 방식이라던가...? 그 과정에서 "재현 절차, 관측된 증거, 영향 범위, 재현에 필요한 조건, 우회 가능성, 대응 방안"을 텍스트로 정리해두면 좋지 않을까 생각합니다.

툴 딸깍이나 체크리스트 모의해킹 같은 곳이면 그냥 2~3레벨 웹 문제정도만 조금 풀수있으면 됩니다. 다만 pwnable 분야쪽으로 제대로 연구하시려면 거의 8~10 레벨 정도 문제들은 풀수 있는 수준이여야 그나마 제대로 할수 있을거 같네요

새싹 ~ 1단계면 충분합니다.