TryHackMe vs HackTheBox: 初心者はどこから始めるべきか?

サイバーセキュリティの初心者は誰もが最初の 1 ヶ月以内に同じ分岐点に直面します。TryHackMe にするか HackTheBox にするか? どちらも実際のマシンをハッキングできる正当なプラットフォームですが、学習曲線の異なるステージ向けに作られており、最初に間違ったものを選ぶと進捗が遅れたり、やめてしまったりする可能性があります。

TryHackMe の実際のところ

TryHackMe はガイド付きルームを中心に構成されています。「Linux Fundamentals」や「Web Fundamentals」のようなルームでは、概念をステップバイステップで説明し、多くの場合、埋め込まれた質問があってフラグを探すだけでなく、実際に資料を読む必要があります。学習パス (Pre Security、Cyber Security 101、Jr Penetration Tester) は複数のルームをカリキュラムのようにつなぎ合わせています。

これは、リバースシェルが何か、SSH がどう動作するか、または nmap -sV と nmap -sC が異なる出力を返す理由が分からない場合に重要です。TryHackMe はそれを知らないかもしれないと想定し、説明します。無料ティアは基礎的なコンテンツの多くをサブスクリプション前に進めるのに十分です。

HackTheBox が期待すること

HackTheBox はデフォルトではほぼ手助けがありません。IP アドレスとマシン名を与えられます (退役ボックスはライトアップが利用可能です。アクティブなものはありません)。ヒントは有料か、コミュニティの Discord サーバーで掘り下げない限りありません。その哲学は成功か失敗か: Google 検索、ドキュメント読み、部分的な情報から攻撃チェーンを組み立てることが期待されます。

これは実際のペネトレーションテストや CTF コンペティションに近いです。マシンは難度 (Easy、Medium、Hard、Insane) で評価され、テクニックでタグ付けされているので、やり方がおおよそ分かれば、Active Directory 列挙や Windows 権限昇格のような特定のスキルを磨けます。

実際に重要な違い

スカフォルディングです。TryHackMe ははしごをくれます。HackTheBox は壁をくれて、登山ギアがどこかに存在すると言います。どちらが客観的に良いわけではなく、異なる問題を解くものです。Linux の知識がゼロで HackTheBox に放り込まれた完全初心者は、gobuster を正しく使用する方法を理解するだけで 3 時間を費やしてしまい、生産的な方法ではなく、やる気を失わせるような方法で進みます。一方、6 ヶ月間ガイド付き TryHackMe ルームだけをやってきた人は、チェックリストから次に実行するツールを指示されずにターゲットを列挙したことがないため、HackTheBox の壁に衝突することがあります。

現実的なシーケンス

まだ基本的なネットワーク (TCP/IP、ポート、DNS) と基本的な Linux コマンドラインを知らない場合は、TryHackMe の Pre Security と Cyber Security 101 パスから始めてください。ここは数ヶ月ではなく、数週間の予定にしてください。このステージを急ぐと、コマンドが何をするかを理解せずにパターンマッチングするようになり、マシンがチュートリアルスクリプトから逸脱した瞬間に崩壊します。

nmap でボックスを快適に列挙でき、サービスバージョンを特定でき、Exploit-DB や searchsploit で一致するエクスプロイトを指示されずに検索できるようになったら、TryHackMe の攻撃的なパスルーム (OWASP Top 10 をカバーしたもなど) に移行し、HackTheBox の Starting Point トラック (HackTheBox 自身による答えで、