TryHackMe vs HackTheBox: З чого мають починати новачки?

Кожен новачок у кібербезпеці натрапляє на один і той же вибір у першому місяці: TryHackMe або HackTheBox? Обидві платформи — це легітимні сервіси з реальними машинами для взлому, але вони розраховані на різні етапи кривої навчання, і неправильний вибір на початку може сповільнити вас або змусити кинути справу.

Що насправді дає TryHackMe

TryHackMe побудована на основі керованих кімнат. Кімнати на кшталт "Linux Fundamentals" або "Web Fundamentals" проводять вас крізь концепції крок за кроком, часто з вбудованими питаннями, які змушують вас насправді читати матеріал замість того, щоб скануватися в пошуках прапорця. Траєкторії навчання (Pre Security, Cyber Security 101, Jr Penetration Tester) з'єднують кімнати в щось подібне до навчального плану.

Це важливо, якщо ви ще не знаєте, що таке reverse shell, як працює SSH або чому nmap -sV дає вам інший вивід, ніж nmap -sC. TryHackMe припускає, що ви можете не знати, і розповідає вам. Безплатний рівень достатньо великодушний, щоб проходити багато матеріалу про основи перед тим, як вам потрібна підписка.

Чого HackTheBox очікує від вас

HackTheBox майже не надає допомоги за замовчуванням. Ви отримуєте IP-адресу та ім'я машини (для виведених з ладу машин доступні написи; для активних — ні). Жодних підказок, якщо ви не платите за них або не копаєтесь на спільних серверах Discord. Філософія — плич або пропаде: від вас очікується, що ви шукатимете в Google, читатимете документацію та збиратимете ланцюг атак з неповної інформації.

Це більше нагадує реальний тест на проникнення або змагання CTF. Машини також оцінюються за складністю (Easy, Medium, Hard, Insane) та позначені за технікою, тому коли ви приблизно знаєте, що робите, ви можете оттачувати конкретні навички, як-от перерахування Active Directory або підвищення привілеїв Windows.

Різниця, яка справді має значення

Все зводиться до лісів. TryHackMe дає вам сходи. HackTheBox дає вам стіну й розповідає, що альпіністське спорядження існує деінде. Жодна не є об'єктивно кращою, вони вирішують різні проблеми. Абсолютний новачок, кинутий у HackTheBox без жодного досвіду Linux, витратить три години просто на те, щоб з'ясувати, як правильно використовувати gobuster, і це буде не продуктивно, а скоріше засмучуючим чином, який вбиває мотивацію. Водночас хтось, хто шість місяців робив тільки керовані кімнати TryHackMe, може натрапити на стіну на HackTheBox, тому що ніколи не повинен був переліковувати мету без контрольного списку, що говорить йому, який інструмент запустити далі.

Реалістична послідовність

Почніть з траєкторій Pre Security та Cyber Security 101 на TryHackMe, якщо ви ще не знаєте основ мережі (TCP/IP, портів, DNS) та базових команд Linux. Виділіть кілька тижнів тут, а не місяців. Поспіх на цьому етапі означає, що ви будете відповідати командам без розуміння того, що вони роблять, що розпадається в той момент, коли машина відхиляється від сценарію навчання.

Коли ви можете комфортно переліковувати машину за допомогою nmap, визначати версію сервісу та шукати відповідний експлойт на Exploit-DB або searchsploit без вказівок, перейдіть до кімнат наступальної траєкторії TryHackMe (наприклад, тих, що охоплюють OWASP Top 10) і почніть змішувати HackTheBox Starting Point track, який є власною відповіддю HTB на