TryHackMe vs HackTheBox: ¿Por dónde deberían empezar los principiantes?

Todo principiante en ciberseguridad se encuentra con la misma encrucijada en su primer mes: ¿TryHackMe o HackTheBox? Ambas son plataformas legítimas con máquinas reales para hackear, pero están construidas para diferentes etapas de la curva de aprendizaje, y elegir la incorrecta primero puede ralentizarte o hacer que abandones.

Lo que TryHackMe realmente te ofrece

TryHackMe está estructurado alrededor de salas guiadas. Salas como "Linux Fundamentals" o "Web Fundamentals" te caminan a través de conceptos paso a paso, a menudo con preguntas incrustadas que te obligan a leer el material en lugar de buscando una flag. Los caminos de aprendizaje (Pre Security, Cyber Security 101, Jr Penetration Tester) encadenan salas juntas en algo que se parece a un currículo.

Esto importa si aún no sabes qué es una reverse shell, cómo funciona SSH, o por qué nmap -sV te da una salida diferente que nmap -sC. TryHackMe asume que podrías no saber, y te lo dice. El nivel gratuito es lo suficientemente generoso como para pasar por mucho del contenido fundamental antes de necesitar una suscripción.

Lo que HackTheBox espera de ti

HackTheBox tiene casi ninguna guía por defecto. Obtienes una dirección IP y un nombre de máquina (las cajas retiradas tienen writeups disponibles; las activas no). Sin pistas a menos que pagues por ellas o busques en los servidores Discord de la comunidad. La filosofía es hundirte o nadar: se espera que busques en Google, leas documentación, y armes una cadena de ataque a partir de información parcial.

Esto se parece más a lo que siente una prueba de penetración real o una competencia CTF. Las máquinas también están calificadas por dificultad (Easy, Medium, Hard, Insane) y etiquetadas por técnica, así que una vez que sabes aproximadamente qué estás haciendo, puedes entrenar habilidades específicas como enumeración de Active Directory o escalada de privilegios en Windows.

La diferencia que realmente importa

Se trata de andamiaje. TryHackMe te entrega la escalera. HackTheBox te entrega la pared y te dice que el equipo de escalada existe en algún lugar. Ninguno es objetivamente mejor, resuelven problemas diferentes. Un principiante total arrojado a HackTheBox sin experiencia en Linux pasará tres horas solo tratando de averiguar cómo usar gobuster correctamente, y no de una manera productiva, más bien de una manera frustrante que mata la motivación. Al mismo tiempo, alguien que ha pasado seis meses solo haciendo salas guiadas de TryHackMe puede chocar contra una pared en HackTheBox porque nunca ha tenido que enumerar un objetivo sin una lista de verificación diciéndole qué herramienta ejecutar a continuación.

Una secuencia realista

Comienza con los caminos Pre Security y Cyber Security 101 de TryHackMe si aún no conoces redes básicas (TCP/IP, puertos, DNS) y línea de comandos Linux básica. Presupuesta algunas semanas aquí, no meses. Apresurarte esta etapa significa que estarás haciendo coincidencias de patrones de comandos sin entender qué hacen, lo cual falla en el momento en que una máquina se desvía del script del tutorial.

Una vez que puedas enumerar cómodamente una caja con nmap, identificar una versión de servicio, y buscar un exploit coincidente en Exploit-DB o searchsploit sin que te lo digan, muévete a las salas del camino ofensivo de TryHackMe (como las que cubren OWASP Top 10) y comienza a mezclar con el Starting Point track de HackTheBox, que es la propia respuesta de HTB para