CTF en oefenplatformen: waar oefen je security?

Wat is een CTF en wat is een oefenplatform?

Wie in cybersecurity wil werken, kan oefenen met security testing op systemen die daarvoor zijn bedoeld. Een CTF is een wedstrijd of oefening waarin je opdrachten oplost en daarvoor een flag inlevert: een tekst of code die bewijst dat je de opdracht hebt afgemaakt.

Er zijn twee vormen. Bij jeopardy-stijl kies je losse opdrachten van een bord, verdeeld in categorieën zoals web, cryptografie, forensics en reverse engineering. Bij attack-defense vallen teams elkaars systemen aan en verdedigen ze hun eigen. De European Cybersecurity Challenge van ENISA had in 2026 zijn twaalfde editie in Bochum, met CTF-opdrachten in jeopardy-stijl, en volgens ENISA was er ook attack-defense.

Een oefenplatform is een omgeving waar je die opdrachten altijd kunt doen, ook als er geen wedstrijd loopt. De doelen daar zijn ervoor bedoeld om aangevallen te worden. OWASP Juice Shop noemt zichzelf bijvoorbeeld een bewust onveilige webapplicatie. Wat je wel en niet mag, staat verderop bij de regels.

Welke oefenplatformen zijn er?

De tabel zet per platform op een rij wat het volgens de eigen site biedt.

Hack The Box noemt zichzelf een "cyber readiness platform". Voor organisaties biedt het een platform om cyberteams te trainen. Juice Shop heeft een CTF-modus waarin per opgelost onderdeel een flagcode verschijnt, en met de tool juice-shop-ctf-cli maak je importbestanden voor CTFd, FBCTF of RootTheBox.

De platforms verschillen in vorm. TryHackMe werkt via de browser en de Academy van Hack The Box heeft een Pwnbox in de browser. Bij OverTheWire log je via SSH in op de shell-spellen, en Juice Shop zet je zelf op. Hack The Box Academy en TryHackMe bieden begeleide leerpaden. Krypton, een van de OverTheWire-spellen, draait om cryptografie.

Welk platform past bij jouw niveau en doel?

Wat bij jou past, hangt af van je voorkennis. Een paar richtingen op een rij.

Begin je bij nul met Linux, dan past OverTheWire Bandit. Volgens de Bandit-pagina is het spel bedoeld voor absolute beginners, en het leert je werken met de Unix- en Linux-basis in de terminal. Gaat dat goed, dan kun je verder met Natas voor het web.

Wil je webbeveiliging leren, dan passen Natas en OWASP Juice Shop. Juice Shop bevat kwetsbaarheden uit de OWASP Top Ten, en meer over die lijst staat in OWASP Top 10 en application security. De web-onderdelen van Hack The Box en TryHackMe passen daar ook bij.

Wil je begeleide leerpaden, dan passen de paden van TryHackMe of de HTB Academy. Wil je competitief meedoen, dan past picoCTF, een wedstrijd met een oefenomgeving, of een CTF-wedstrijd zoals de European Cybersecurity Challenge, waar nationale teams aan meedoen.

Wie naar een SOC wil, kijkt naar de defensieve modules van HTB Academy en de SOC-paden van TryHackMe. Als functiedoel past bijvoorbeeld SOC-analist of werk binnen security operations. Een eigen home lab met logging past daarbij.

Wie pentester wil worden, kijkt naar de offensieve paden en machines. Dat past bij de rol van penetration tester, en voor red teaming bij de red team specialist. Meer over de rol lees je in werken als penetration tester. Op de werkgeverspagina voor penetration testers zie je welke werkgevers deze functie hebben. Wie red-, blue- en purple-teamwerk naast elkaar wil zien, leest blue team, red team en purple team.

Later kunnen certificeringen volgen, zoals de instapcertificeringen en daarna de praktijkgerichte OSCP-certificering. Een platform vervangt geen opleiding of ervaring. Combineer het met een home lab, een certificering of een opleiding als dat bij je doel past.

Hoe pak je een challenge aan?

Een challenge aanpakken is vooral een werkwijze, en die werkt op elk platform. Dit is de volgorde.

1. Lees de opdracht en schrijf in je eigen woorden op wat er gevraagd wordt.
2. Verken eerst: welke poorten staan open, welke pagina's en bestanden zijn er, welke technologie draait er? Voor de poorten kun je Nmap gebruiken. Bij netwerkverkeer laat Wireshark zien wat er heen en weer gaat. Bij een webchallenge begin je met wat de pagina en de verzoeken van je browser laten zien.
3. Formuleer een hypothese, bijvoorbeeld "de invoer wordt niet gefilterd", en test die met één stap tegelijk.
4. Houd een notitiebestand bij met commando's, uitkomsten en doodlopende wegen. Het Openbaar Ministerie raadt aan al je stappen in een logbestand bij te houden, en je gebruikt die notities later voor een verslag.
5. Loop je vast, zet dan eerst vast wat je wél weet. Lees pas daarna een hint. Een volledige oplossing lezen vlak na het starten leert minder dan er een uur over nadenken.
6. Schrijf na afloop in een paar zinnen op wat je geleerd hebt en wat je een volgende keer anders doet.

Neem een Natas-level als voorbeeld, zonder oplossing: je krijgt een website en moet het wachtwoord voor het volgende level vinden. Je bekijkt eerst wat de pagina laat zien en wat je browser eruit haalt, voordat je gaat raden.

Wat mag je doen en wat niet?

Het Openbaar Ministerie schrijft dat actief pentesten van het ICT-systeem van een ander niet is toegestaan, tenzij de eigenaar je daarvoor uitdrukkelijk toestemming heeft gegeven. Het wettelijke kader is artikel 138ab van het Wetboek van Strafrecht, computervredebreuk. Volgens de tekst op de OM-pagina wordt gestraft wie opzettelijk wederrechtelijk binnendringt in een geautomatiseerd werk. Het eerste lid noemt een gevangenisstraf van ten hoogste zes maanden of een geldboete van de derde categorie.

Op een oefenplatform heb je toestemming voor de doelen die het platform je aanwijst, en niet voor andere systemen. Blijf binnen die doelen en binnen de regels van het platform en van de wedstrijd. Scan geen netwerk dat je niet hebt gekregen, en val geen andere deelnemers of de infrastructuur van het platform aan. Lees de regels van een platform voordat je oplossingen publiceert. Bij actieve wedstrijden controleer je ook of de organisator het delen van oplossingen toestaat.

Wie van oefenen een beroep wil maken, leest ook hoe word je ethical hacker voor de wettelijke grenzen rond pentesten. Over het beroep zelf lees je meer bij ethical hacker.

Hoe zet je CTF's en oefenplatformen op je cv?

Zet oefenwerk onder een kopje als "Projecten en training", niet onder werkervaring, en zeg eerlijk dat het om oefenen gaat. Noem het platform, het onderwerp en wat je kunt. Een regel als "Hack The Box en TryHackMe: webchallenges en Linux-privilege-escalation, aanpak en bevindingen beschreven in verslagen op [link]" laat zien waar je mee bezig was.

Beter dan een lijst met platformnamen is wat je kunt: "kan een webapplicatie verkennen met Burp Suite, een injectie aantonen en de bevinding rapporteren". Een verslag van één challenge zegt meer dan een lange lijst. Beschrijf het probleem, je aanpak, het bewijs en een aanbeveling, zodat lezers zien hoe je denkt.

Noem een ranglijstpositie alleen als je erbij zet wat die meet, want zonder context zegt een positie weinig. Presenteer oefenwerk niet als werkervaring.

Voor de rest van je cv lees je cv voor cybersecurity-functies. Heb je een home lab opgezet, dan kun je dat in hetzelfde rijtje zetten. Meer artikelen staan in de kennisbank. Een technische test bij een werkgever is het vervolg op oefenen, zie proefopdracht en technische assessments.