4주 스프린트로 정말 보안 업계에 들어갈 수 있을까?

"30일 안에 사이버보안에 들어가기" 같은 글을 본 후 많은 사람이 이 질문을 합니다. 솔직한 답변은 이렇습니다: 4주로는 완전한 초보자가 취업 준비 상태가 되지는 않지만, 이미 이 분야 주변을 맴돌고 있으면서 진전이 없었다면 충분히 나아갈 수 있습니다. 스프린트는 지름길이 아니라 압박을 만드는 수단입니다.

4주가 현실적으로 만들 수 있는 것

거의 영 상태에서 시작한다면, 4주로 Linux 셸에 익숙해지고, 기본적인 네트워킹 개념(서브넷팅, TCP/UDP, 실제 OSI 모델)을 이해하며, TryHackMe나 HTB의 초급 박스를 한두 개 튜토리얼을 따라 완료할 수 있습니다. 그게 전부입니다. 나쁘지 않지만 취업 준비 스킬셋은 아닙니다.

이미 프로그래밍이나 IT 배경이 있다면, 4주로 "펜테스팅에 대해 읽었어요"에서 "8개 머신을 루팅했고 뭘 했는지 설명할 수 있어요"로 나아갈 수 있습니다. 채용담당자와 대화할 때나 보안 지망의 헬프데스크 역할에 지원할 때는 의미 있는 차이입니다.

실제로 작동하는 계획

1주차: 네트워킹과 Linux 기초, 도구는 없습니다. ip a, netstat -tulpn, ss, 기본 iptables 규칙, SSH 키 인증에 익숙해집니다. 읽기만 하지 말고 실제 VM에서 하세요. 7일차까지 노트 없이 3-way 핸드셰이크를 설명할 수 없다면 더 오래 머물러야 합니다.

2주차: 하나의 분야를 선택해서 깊게 들어갑니다. 넓게 하지 말고요. 대부분 웹 앱 기초(OWASP Juice Shop부터 시작)나 스크립팅 언어(Python, 특히 requests, socket, argparse로 간단한 정찰 도구를 만들 수 있도록)를 선택해야 합니다. 한 주에 둘 다 하려면 둘 다 제대로 배우지 못합니다.

3주차: 풀이가 있는 플랫폼에서 구조적인 연습을 합니다. TryHackMe의 "Offensive Pentesting" 경로나 HTB의 Starting Point 티어. 최소 5개 머신을 풀어봅니다. 풀이를 확인하기 전에 각각에 대해 직접 노트를 작성하세요. 형편없는 노트라도 없는 것보다 낫습니다. 쓰는 행위가 실제로 일어난 것과 당신이 생각한 일을 구분하게 만들거든요.

4주차: 눈에 띄는 결과물로 정리합니다. 가장 잘한 두 개 머신을 선택해서 블로그나 GitHub Pages에 제대로 작성합니다. Linux와 네트워킹 노트 요약을 추가하세요. 이 주차는 4주간의 흩어진 노력을 채용담당자나 매니저가 실제로 볼 수 있는 2~3개 결과물로 바꾸는 것입니다.

사람들이 시간을 낭비하는 방식

가장 흔한 실패는 도구를 자주 바꾸는 것입니다. Nmap, Burp Suite, Metasploit, 그리고 다섯 가지 "완전 가이드" YouTube 영상을 오가면서 하나의 머신도 끝까지 마치지 않는 것이죠. 도구 개수를 줄이고 지루할 때까지 사용하세요. -sC -sV -p- 플래그와 각 플래그가 무엇을 반환하는지 제대로 이해한 Nmap이 10개 스캐너를 표피적으로 훑는 것보다 낫습니다.

두 번째 실패는 풀이를 보는 것이 더 빠르다고 노트 작성을 건너뛰는 것입니다. 그렇지 않습니다. 진정한 노트와 함께 5개 머신을 푸는 사람이 20개 풀이를 수동적으로 보는 사람보다 더 많이 기억합니다.

4주가 고치지 못하는 것

관련 경험이 전혀 없는 이력서는 고치지 못합니다. 펜테스팅 일자리를 바로 얻지는 못합니다. 공격 보안 분야의 진입 역할 대부분은 먼저 1~2년의 IT, 시스템 관리자, 또는 헬프데스크 경험을 원하거나, 학위와 인턴십을 요구합니다. 하는 것은 6개월과 Security+ 바우처를 투자하기 전에 이 경로가 정말 당신의 길인지 결정할 수 있는 충분한 증거를 제공하는 것입니다.

또한 기초 컴퓨터 과학 지식을 대체하지 못합니다. 프로세스가 무엇인지, 메모리 어드레싱이 기본적으로 어떻게 작동하는지, 버퍼 오버플로우가 왜 일어나는지 모른다면, 4주간의 박스 해킹은 시스템을 이해하는 것이 아니라 주문을 외우는 것처럼 느껴질 겁니다. 스프린트와 병행해서라도 그것을 위한 별도의 시간을 할당하세요.

성공 판단하기

4주 후, 자신에게 하나의 구체적인 질문을 던져보세요: 풀이 없이 낯선 Linux 타겟을 보고 2시간 내에 첫 진입점을 만들 수 있습니까? 네라면, 진정한 스킬을 만든 것이고 스프린트가 그 이름값을 했습니다. 아니라면, 괜찮습니다. 5주차는 새로운 것으로 전환하는 게 아니라 3주차를 더 하는 것일 뿐입니다.

Korra Studio가 이 스프린트 모델에 유용한 자료를 가지고 있고, Linux 기초와 OWASP 스타일의 웹 앱 기초 풀이가 위의 1주차와 2주차에 적합합니다.