TryHackMe vs HackTheBox: Waar moeten beginners starten?

Elke beginner in cybersecurity bereikt dezelfde kruispunt in hun eerste maand: TryHackMe of HackTheBox? Beide zijn legitieme platforms met echte machines om in te hacken, maar ze zijn gebouwd voor verschillende stadia van de leergang, en het verkeerde kiezen eerst kan je afremmen of je doen stoppen.

Wat TryHackMe je eigenlijk geeft

TryHackMe is opgebouwd rond geleide rooms. Rooms als "Linux Fundamentals" of "Web Fundamentals" lopen je stap voor stap door concepten heen, vaak met ingebouwde vragen die je ertoe dwingen het materiaal echt te lezen in plaats van te scannen naar een flag. De leerpaden (Pre Security, Cyber Security 101, Jr Penetration Tester) koppelen rooms aan elkaar tot iets dat op een curriculum lijkt.

Dit maakt uit als je nog niet weet wat een reverse shell is, hoe SSH werkt, of waarom nmap -sV je ander resultaat geeft dan nmap -sC. TryHackMe gaat ervan uit dat je het misschien niet weet, en het vertelt het je. De gratis versie is genereus genoeg om veel van de fundamentals-content te doorlopen voordat je een abonnement nodig hebt.

Wat HackTheBox van je verwacht

HackTheBox heeft standaard bijna geen begeleiding. Je krijgt een IP-adres en een machinenaam (gepensioneerde machines hebben writeups beschikbaar; actieve niet). Geen hints tenzij je ze betaalt of je door community Discord-servers graaft. De filosofie is zwemmen of zinken: van je wordt verwacht dat je Googlet, documentatie leest, en een aanvalsketen samenstelt uit partiële informatie.

Dit komt dichter bij wat een echte penetratietest of CTF-competitie voelt. Machines zijn ook beoordeeld op moeilijkheid (Easy, Medium, Hard, Insane) en gelabeld op techniek, dus zodra je ruwweg weet wat je doet, kun je specifieke vaardigheden trainen zoals Active Directory-enumeratie of Windows privilege escalation.

Het echte verschil dat uitmaakt

Het komt neer op scaffolding. TryHackMe geeft je de ladder. HackTheBox geeft je de muur en vertelt je dat klimuitrusting ergens bestaat. Geen van beide is objectief beter, ze lossen verschillende problemen op. Een totale beginner zonder enige Linux-ervaring in HackTheBox gedropt zal drie uur alleen al besteden aan uitzoeken hoe je gobuster correct gebruikt, en niet op een productieve manier, meer op een frustrerende manier die motivatie vernietigt. Tegelijkertijd kan iemand die zes maanden alleen geleide TryHackMe rooms heeft gedaan een muur raken op HackTheBox omdat hij of zij nooit een target hoefde te enumereren zonder een checklist die zegt welk gereedschap je volgende moet uitvoeren.

Een realistisch sequence

Begin met TryHackMe's Pre Security en Cyber Security 101 paden als je niet al basisnetwerken kent (TCP/IP, poorten, DNS) en basisopdrachtregel Linux. Budget een paar weken hier, niet maanden. Dit stadium overslaan betekent dat je commandopatronen zonder te begrijpen wat ze doen aan elkaar zet, wat instort zodra een machine van het lesscript afwijkt.

Zodra je comfortabel een box met nmap kunt enumereren, een serviceversie kunt identificeren, en een overeenkomstig exploit op Exploit-DB of searchsploit kunt zoeken zonder dat je dit wordt verteld, ga je naar TryHackMe's offensive path rooms (zoals die over OWASP Top 10) en begin je HackTheBox's Starting Point track te mengen, wat HTB's eigen antwoord is op de