HackTheBox 후기
필자는 게임을 좋아한다. 그 때문에 살면서 게임을 오랫동안 해왔고, 게임을 하면서 얻은 삶의 철학도 꽤나 있다. 그 중 하나가 바로 "투자에 돈을 아끼지 말라" 이다. Path Of Exile 과 같은 핵 앤 슬래쉬 게임을 하다보면 초보들이 흔히 하는 실수 중 하나는 돈을 벌었는데도 이를 더 나은 장비를 사는데 투자하지 않고 보관함에 고이 모셔두기만 하는 것이다. 돈을 가장 가치있게 사용할 수 있는 방법은 자기 자신에게 투자하여 더 높은 수준의 사냥터에서 사냥하는 것이고, 이는 현실에서도 그대로 적용할 수 있다.
이러한 깨달음을 얻은 필자는 직무 역량을 높이기 위해 Dreamhack, HackTheBox 와 같이 사이버 보안 관련하여 양질의 콘텐츠를 제공하는 사이트에 정기적으로 유료 결제하며 꾸준히 배워나가고 있다. 시간이 흐르면 증발해버리는 무형 자산에 주기적으로 결제하는게 아깝다는 생각이 들기는 하지만 어차피 여기다 안 쓰면 놀고 먹는데 쓸게 뻔하니 더 나은 미래를 위한 투자라 생각하고 이용하고 있다.
이 글에서는 HackTheBox Labs, Academy 의 콘텐츠를 간략하게 설명하고, 그 동안 느꼈던 점에 대한 후기를 다루겠다.
1. HackTheBox Labs
1.1 Pricing
구독 가격은 시간의 흐름에 따라 변경될 수 있으니 공식 홈페이지의 최신 정보를 확인하자. 이 글은 2025년 10월을 기준으로 작성되었다.
HackTheBox 의 구독 등급은 무료인 Free 등급과 유료인 VIP / VIP+ 등급으로 나뉜다. VIP 등급은 2025년 10월 이후로 더 이상 구독할 수 없으며, 대신 VIP+ 등급으로 대체된다. VIP+ 등급은 달마다 25$이며, 연 단위로 결제하면 할인하여 223$달러이다.
공식 홈페이지에서 밝힌 두 등급에서 제공하는 콘텐츠는 아래와 같다.
Free
- 20 Active Machines
- 80+ Active Challenges
- 2h Pwnbox Trial
- Unlimited Machine Resets
- Active Fortresses
VIP+
- All Retired Machines
- All Retired Challenges
- 24h Pwnbox per Month
- Isolated VIP Servers
- CPE Credit Submission
- Personal Machine Instances
- Unlimited Pwnbox
VIP+ 에서 가장 주목할만한 부분은 모든 Retired 머신, 챌린지를 이용할 수 있다는 점이다. Free 등급은 최근 공개된 Active 머신만 이용할 수 있지만, VIP+ 등급은 지금까지 공개된 모든 머신을 이용할 수 있다.
- Active 머신
- 비교적 최근 공개된 머신.
- 과금하지 않은 Free 유저도 이용 가능.
- Writeup 공개 금지.
- Retired 머신
- 공개 후 시간이 지나 은퇴 처리 된 머신.
- VIP / VIP+ 등급의 유저가 이용 가능.
- Writeup 공개 가능. 인터넷에서 쉽게 찾을 수 있다.
VIP+ 등급의 또 다른 장점은 활동에 따라 CPE 를 제공한다는 점이다. CPE 는 Continuing Professional Education credits 의 약자로, 국제 정보보안 인증 조직인 ISC(2) 에서 제공하는 자격증을 유지하기 위해 필요한 크레딧 점수다. CPE 를 얻을 수 있는 수단은 많지만 필자는 보유 중인 CISSP 자격증 유지를 위해 HackTheBox 를 통해 CPE를 모으고 있다. 어차피 자격증 유지를 위해 활동을 해야 하니 겸사겸사 공부도 할 겸 이용하고 있다.
1.2 Starting Point
Starting Point 탭은 이름 그대로 출발점과 같이 가장 쉬운 난이도의 머신을 분야 별로 골고루 모아 놓은 곳이다. 본격적으로 Season 과 Machine 콘텐츠를 즐기기 앞서 초보들인 몸풀기 좋은 콘텐츠다. 난이도에 따라 Tier 0 ~ 2로 구분되며 총 26개의 머신이 존재한다
아무래도 초보자를 위한 콘텐츠다보니 머신 수가 상당히 제한적이며 새로 추가되는 머신은 없는 듯 하다. 업데이트가 거의 없다시피하니 주요 콘텐츠는 아니다.
1.3 Season
HackTheBox 는 마치 시즌제 게임처럼 13주 동안 운영되는 Season 기간을 가진다. 이 기간동안 매 주 하나의 새로운 머신이 한정적으로 열리고, 해당 머신에 대한 Flag를 얻을 때마다 점수를 얻어 등수를 정하고, 경쟁하는 콘텐츠다.
1.4 Machines
HackTheBox 의 머신은 각각이 하나의 CTF 문제라고 생각하면 편하다. 각 머신에는 난이도 별로 취약점이 존재하는 서버가 셋팅되고, 사용자는 이를 공략하여 User 레벨, Root 레벨의 권한을 손에 넣고 Flag 를 찾아 제출하면 된다.
1.5 Challanges
HackTheBox 의 메이저 콘텐츠인 머신들은 다소 웹해킹에 치중되어 있는 반면, Challenge는 사이버보안의 여러 분야에 대한 실력을 테스트하는 작은 애플리케이션들로 구성되어 있다. 머신과 마찬가지로 난이도별로 애플리케이션이 준비되어 있고, Flag 를 찾아 제출하면 된다.
2. HackTheBox Academy
HackTheBox Labs 가 도전하고 경쟁하는 데에 치중되어 있다면, Academy 는 좀 더 교육적인 목적의 콘텐츠를 제공한다. Academy 는 사이버 보안과 관련하여 여러 주제의 강의를 제공하며, 유료 결제로 얻은 큐브를 지불해 강의를 Unlock 하여 수강할 수 있다.
소모되는 큐브의 양은 강의에 따라, 난이도에 따라 다르며, 강의를 끝까지 클리어하면 소모된 큐브 중 일부를 환급해주기에 가급적 한번 Unlock 한 강의는 끝까지 완료하기를 추천한다.
강의는 일반적인 교육 콘텐츠처럼 강의 내용에 대한 개념과 관련된 텍스트, 이미지와 문제를 제공한다. 문제는 객관식과 주관식도 있으나 대부분의 실제로 제공되는 가상 환경에 접속해 배운 내용을 이용해 Flag 값을 얻어내야 하는 방식이다. 간단한 문제는 강의 글만 읽으면 쉽게 풀 수 있지만 강의의 마지막 섹션의 문제들은 그 동안 배운 내용을 모두 활용하고, 응용해야 해서 충분히 이해하지 못하면 어려울 수도 있다.
3. 후기
3.1 HackTheBox 를 하게 된 계기
필자는 CISSP 자격증을 보유하고 있다. 이 자격증을 유지하기 위해서는 세미나 참가, 교육 활동, 등을 증명하여 3년마다 일정량의 CPE 점수를 획득하고 제출해야 한다. CISSP 자격증을 딴 초창기에는 CISSP CPE 를 제공하는 국내 교육 기관의 교육을 받으며 점수를 충당해왔지만, HackTheBox 에서도 활동을 통해 CPE 획득이 가능하다는 사실을 알게 된 후로는 HackTheBox 로 갈아탔다. 국내 교육 기관이나 HackTheBox 나 어차피 유료인 것을 똑같으나, HackTheBox 쪽이 좀 더 배울만한 콘텐츠가 많다고 판단했다.
HackTheBox Labs 와 Academy 모두 CISSP 자격증을 관리하는 ISC2 와 연계하여 콘텐츠를 완료하면 난이도에 따른 CPE 를 제공한다. 난이도가 높을 수록 제공되는 CPE 도 많으니 더 높은 난이도에 도전해 볼만 하다.
3.2 그래서 취업에 도움이 되나?
HackTheBox 에서 배운 기술들은 취업에 도움이 될 수 있지만, 여기서 딴 자격증을 우대해주는 국내 구인 공고는 본적이 없다.
HackTheBox 는 자체적으로 운영하는 자격증과, 직업 역할(Job Role) 에 따른 교육 과정을 제공하지만, 당연하게도 이러한 공식력이 부족한 해외 자격증을 우대해주는 국내 구인 공고는 없다. 면접 때 어필은 해볼 수 있겠지만 큰 기대는 말자.
대신 여기서 배운 기술들은 OSCP 자격증을 취득할 때 큰 도움이 될 수 있다. OSCP 는 레드 팀 입장에서 침투 테스트를 진행하는 내용을 다루는 자격증으로, 모의 테스트, 컨설팅, 등의 업무 담당자 구인 시 자격증 보유자를 우대해주기도 한다.
가격이 저렴하다고는 말 못하겠지만, 학생 시절 달마다 교육비로 수 십만원 씩 깨졌던걸 생각하면 부담스러운 수준은 아니라고 느꼈다. 누군가는 "이 가격으로 이런 콘텐츠를 산다고?"라고 생각할 수도 있겠지만 애초에 이 정도 퀄리티의 콘텐츠에서 아무것도 배울 게 없는 수준이면 더 이상 교육이 아니라 연구가 필요한 레벨이라 생각한다.
