TryHackMe vs HackTheBox: 초보자가 시작해야 할 곳

사이버보안 초보자라면 첫 달 안에 같은 선택의 갈림길을 마주친다: TryHackMe인가 HackTheBox인가? 둘 다 실제 머신을 해킹할 수 있는 정당한 플랫폼이지만, 학습 곡선의 다른 단계를 위해 설계되었고, 처음에 잘못된 선택은 진도를 늦추거나 포기하게 만들 수 있다.

TryHackMe이 실제로 제공하는 것

TryHackMe은 가이드 방식의 룸(room) 중심으로 구성되어 있다. "Linux Fundamentals" 또는 "Web Fundamentals" 같은 룸은 개념을 단계별로 설명하며, 종종 플래그를 찾기 위해 훑어보는 대신 자료를 실제로 읽도록 강제하는 내장 문제가 있다. 학습 경로(Pre Security, Cyber Security 101, Jr Penetration Tester)는 룸들을 연결하여 커리큘럼처럼 구성한다.

리버스 셸이 무엇인지, SSH가 어떻게 작동하는지, 또는 nmap -sV가 nmap -sC와 다른 결과를 주는 이유를 아직 모른다면 이게 중요하다. TryHackMe은 당신이 모를 수 있다고 가정하고 설명해준다. 무료 티어는 구독이 필요하기 전에 많은 기본 내용을 진행하기에 충분하다.

HackTheBox이 당신에게서 기대하는 것

HackTheBox는 기본적으로 거의 손을 잡아주지 않는다. IP 주소와 머신 이름만 준다(은퇴한 박스는 writeup이 있고, 활성 박스는 없다). 힌트는 유료로 구매하거나 커뮤니티 Discord 서버를 뒤져야 한다. 철학은 자력으로: Google 검색, 문서 읽기, 불완전한 정보에서 공격 체인을 스스로 조합하는 것이 기대된다.

이는 실제 침투 테스트나 CTF 대회와 더 비슷하다. 머신은 난이도(Easy, Medium, Hard, Insane)로 등급이 매겨지고 기법별로 태그되어 있으므로, 대략적으로 무엇을 하는지 알게 되면 Active Directory 열거나 Windows 권한 상승 같은 특정 기술을 연습할 수 있다.

실제로 중요한 차이

단계적 보조(scaffolding)로 귀결된다. TryHackMe은 사다리를 준다. HackTheBox는 벽을 주고 등반 장비가 어딘가 있다고 말한다. 어느 것이 객관적으로 더 좋지는 않고, 다른 문제를 해결한다. Linux 경험 없이 HackTheBox에 던져진 완전한 초보자는 gobuster을 올바르게 사용하는 법을 알아내는 데만 3시간을 보낼 것이고, 생산적인 방식이 아니라 동기를 꺾는 답답한 방식으로 흘러간다. 반대로 6개월간 가이드된 TryHackMe 룸만 한 사람은 HackTheBox에서 벽을 만날 수 있다. 다음에 어떤 도구를 실행할지 말해주는 체크리스트 없이 대상을 열거해본 경험이 없기 때문이다.

현실적인 순서

TCP/IP, 포트, DNS 같은 기본 네트워킹과 기본 Linux 명령 줄을 아직 모른다면 TryHackMe의 Pre Security와 Cyber Security 101 경로로 시작하라. 여기에 몇 주를 할애하되 몇 개월은 아니어야 한다. 이 단계를 서두르면 도구가 무엇을 하는지 이해하지 못한 채 명령을 패턴 매칭하게 되고, 머신이 튜토리얼 스크립트에서 벗어나는 순간 무너진다.

nmap으로 머신을 쾌적하게 열거하고, 서비스 버전을 식별하고, 지시받지 않고도 Exploit-DB나 searchsploit에서 일치하는 익스플로잇을 검색할 수 있게 되면, TryHackMe의 공격적 경로 룸(OWASP Top 10 같은)으로 넘어가서 HackTheBox의 Starting Point 트랙과 섞어 시작하라. Starting Point는 HTB 자신의