TryHackMe vs HackTheBox: Por onde iniciantes devem começar?

Todo iniciante em cibersegurança chega ao mesmo ponto de decisão no primeiro mês: TryHackMe ou HackTheBox? Ambas são plataformas legítimas com máquinas reais para explorar, mas foram construídas para diferentes estágios da curva de aprendizado, e escolher a errada primeiro pode desacelerar você ou fazer você desistir.

O que TryHackMe realmente oferece

TryHackMe é estruturado em torno de salas guiadas. Salas como "Linux Fundamentals" ou "Web Fundamentals" te levam por conceitos passo a passo, frequentemente com perguntas embutidas que forçam você a realmente ler o material em vez de procurar apenas pela flag. Os caminhos de aprendizado (Pre Security, Cyber Security 101, Jr Penetration Tester) encadeiam salas em algo que se parece com um currículo.

Isso importa se você ainda não sabe o que é uma reverse shell, como SSH funciona, ou por que nmap -sV dá uma saída diferente de nmap -sC. TryHackMe assume que você pode não saber, e te conta. O plano gratuito é generoso o suficiente para você passar por muito do conteúdo fundamental antes de precisar de uma assinatura.

O que HackTheBox espera de você

HackTheBox não oferece praticamente nenhuma orientação por padrão. Você recebe um endereço IP e um nome de máquina (máquinas aposentadas têm writeups disponíveis; as ativas não têm). Nenhuma dica a menos que você pague por elas ou procure em servidores Discord da comunidade. A filosofia é afundar ou nadar: você é esperado a procurar no Google, ler documentação, e montar uma cadeia de ataque a partir de informações parciais.

Isso é mais próximo do que um teste de penetração real ou uma competição CTF parecem. Máquinas também são avaliadas por dificuldade (Easy, Medium, Hard, Insane) e marcadas por técnica, então uma vez que você sabe aproximadamente o que está fazendo, você pode treinar habilidades específicas como Active Directory enumeration ou Windows privilege escalation.

A diferença que realmente importa

Tudo se resume a scaffolding. TryHackMe te entrega a escada. HackTheBox te entrega a parede e te diz que um equipamento de escalada existe em algum lugar. Nenhuma é objetivamente melhor, elas resolvem problemas diferentes. Um iniciante total jogado em HackTheBox sem nenhuma experiência em Linux vai gastar três horas apenas descobrindo como usar gobuster corretamente, e não de uma forma produtiva, mais de uma forma frustrante que mata a motivação. Ao mesmo tempo, alguém que passou seis meses apenas fazendo salas guiadas de TryHackMe pode bater em uma parede em HackTheBox porque nunca teve que enumerar um alvo sem uma checklist dizendo qual ferramenta executar a seguir.

Uma sequência realista

Comece com os caminhos Pre Security e Cyber Security 101 do TryHackMe se você ainda não conhece rede básica (TCP/IP, portas, DNS) e linha de comando Linux básica. Separe algumas semanas aqui, não meses. Correr essa etapa significa que você estará usando comandos por padrão sem entender o que eles fazem, o que cai por terra no momento em que uma máquina se desvia do script do tutorial.

Uma vez que você possa enumerar confortavelmente uma máquina com nmap, identificar uma versão de serviço, e procurar por um exploit correspondente em Exploit-DB ou searchsploit sem ser instruído, mude para as salas de caminho ofensivo do TryHackMe (como as que cobrem OWASP Top 10) e comece a misturar com a faixa Starting Point do HackTheBox, que é a própria resposta do HTB para o