LetsDefend en 2026 : guide pour débutants et ce qui change

Qu'est-ce que LetsDefend ?

LetsDefend est une plateforme de formation Blue Team en ligne où vous apprenez le métier d'analyste SOC en enquêtant sur des attaques simulées dans un centre des opérations de sécurité accessible depuis le navigateur. Vous triez des alertes comme des e-mails de phishing, des attaques web ou des infections par malware, vous appliquez des playbooks d'investigation et vous suivez des cours sur le SIEM, l'analyse de logs ou la réponse à incident.

L'entreprise a été fondée en 2021. Sa page d'accueil revendique aujourd'hui 400K apprenants dans plus de 150 pays. Le 16 septembre 2025, Hack The Box a annoncé le rachat de LetsDefend, qui comptait alors une communauté de plus de 320 000 utilisateurs.

Pourquoi les débutants l'apprécient

La plupart des plateformes de sécurité vous apprennent une technique, puis vous donnent une machine à attaquer. LetsDefend vous apprend un métier. Le simulateur SOC ressemble à la file d'attente qu'un analyste junior traite pendant son service : une alerte avec un nom de règle, un niveau de gravité et quelques champs, plus une série d'outils pour enquêter. C'est l'un des rares endroits où un débutant peut s'entraîner à la vraie routine d'un analyste de niveau 1 avant d'être embauché.

Ce n'est pas non plus un CTF au sens habituel. Il n'y a pas de course au classement contre d'autres équipes. Pour voir où le travail en SOC se situe dans une carrière en sécurité, notre guide pour devenir analyste SOC détaille les niveaux, les compétences et les données de salaire.

LetsDefend et Hack The Box : ce qui a changé en 2026

Si vous lisez un avis sur LetsDefend datant de 2024, une bonne partie est déjà périmée. Voici la chronologie, tirée des annonces de Hack The Box et de l'avis publié sur la page de tarifs de LetsDefend :

• 16 septembre 2025 : Hack The Box rachète LetsDefend. Un article d'aide de LetsDefend publié la même semaine indiquait aux utilisateurs de la communauté qu'ils pouvaient garder leur abonnement et leur accès sur le site de LetsDefend, sans « aucun projet immédiat de changement de plateforme ».
• 28 août 2026 : Hack The Box annonce que 191 cours LetsDefend sont désormais des modules de HTB Academy, et que les challenges LetsDefend ont été transformés en Sherlocks, les challenges d'investigation défensive de HTB.
• 30 septembre 2026 : Hack The Box lance son offre HTB PRO (49 $ par mois ou 490 $ par an), qui inclut les Sherlocks issus de LetsDefend. Son SOC Range, « construit sur la capacité de simulation SOC de LetsDefend », est annoncé pour le quatrième trimestre 2026.
• 15 octobre 2026 : d'après la page de tarifs de LetsDefend, les plateformes Hack The Box deviennent « la destination exclusive de tous les nouveaux cours et challenges ». Le même avis précise que les abonnements annuels LetsDefend ne sont plus vendus et que les alertes SOC suivront vers Hack The Box d'ici fin 2026.

LetsDefend va-t-il fermer ?

Pas en octobre 2026. Le site fonctionne, l'offre Basic gratuite est toujours ouverte et les abonnements VIP mensuels sont toujours en vente. Mais la direction est claire : le nouveau contenu part chez Hack The Box et le simulateur d'alertes doit suivre. Notre lecture : LetsDefend est progressivement absorbé par Hack The Box, même si aucune date de fermeture n'a été publiée.

Concrètement, pour vous :

• Utilisateurs gratuits : rien à perdre. Profitez des cours gratuits et des alertes mensuelles tant qu'ils existent.
• Vous hésitez à prendre le VIP : payez au mois uniquement, et seulement pour un mois que vous utiliserez vraiment. N'attendez pas de nouveau contenu.
• Vous voulez ce contenu sur la durée : il se trouve maintenant dans HTB Academy et HTB Labs, aux tarifs de Hack The Box.

Comment fonctionne le simulateur SOC de LetsDefend

Le simulateur est la raison pour laquelle on cherche LetsDefend, alors autant le comprendre avant de s'inscrire. Les walkthroughs publiés par la communauté décrivent tous la même boucle :

1. Choisir une alerte dans la file : la page Monitoring liste les alertes entrantes avec un identifiant d'événement, un nom de règle comme « Phishing Alert - Deceptive Mail Detected », un niveau de gravité et des champs clés comme les adresses source et destination.
2. Prendre la main : vous vous attribuez l'alerte, qui passe dans votre Investigation Channel, comme un vrai analyste prend un ticket pour éviter que deux personnes traitent le même dossier.
3. Créer un dossier et ouvrir le playbook : le playbook pose une série de questions. Quand l'e-mail a-t-il été envoyé ? Qui l'a reçu ? Y a-t-il une pièce jointe ? Quelqu'un a-t-il cliqué ?
4. Enquêter avec les outils intégrés : vous répondez à chaque question grâce à des écrans simulés d'Email Security, de Log Management, d'endpoint (EDR) et de threat intelligence. Certaines étapes demandent d'agir, par exemple supprimer un e-mail malveillant ou isoler un poste infecté.
5. Clôturer l'alerte : vous la marquez comme vrai positif ou faux positif, et la plateforme compare vos réponses à celles attendues.

Exemple : trier une alerte de phishing

Voici à quoi ressemble le raisonnement sur une alerte de phishing typique. L'e-mail ci-dessous est notre propre illustration, pas une copie de LetsDefend, mais il montre exactement ce qu'un playbook vous demande de vérifier. Les en-têtes bruts du message signalé sont :

Return-Path: <[email protected]>
Received: from mail.bulk-mailer.example (unknown [203.0.113.45])
    by mx.acme.example with ESMTP
From: "Acme Payroll" <[email protected]>
Reply-To: [email protected]
Subject: Action required: confirm your direct deposit details
Authentication-Results: mx.acme.example;
    spf=fail smtp.mailfrom=bulk-mailer.example;
    dkim=none; dmarc=fail header.from=acme.example

Trois choses doivent sauter aux yeux. L'adresse From se présente comme interne, mais le message vient d'un serveur extérieur, 203.0.113.45. SPF échoue pour le domaine de rebond et DMARC échoue pour acme.example : rien ne prouve que ce message vient vraiment d'Acme. Enfin, le Reply-To pointe vers un domaine sosie, donc toute réponse part directement chez l'attaquant.

L'e-mail est donc malveillant. La question suivante du playbook est celle que les débutants oublient : quelqu'un a-t-il cliqué ? Vous cherchez dans les logs du proxy ou du pare-feu le domaine du lien et l'adresse IP du destinataire. Un résultat comme celui-ci change tout :

2026-10-20 09:14:52  172.16.20.31  GET  https://acme-hr-portal.example/login  200

Une réponse 200 signifie que la page s'est chargée sur le poste de l'employé. Ce n'est plus seulement un e-mail de phishing : l'utilisateur a peut-être saisi son mot de passe sur un faux portail. Vous clôturez l'alerte comme vrai positif, vous isolez ou signalez le poste et vous escaladez pour que le mot de passe du compte soit réinitialisé. Si la recherche dans les logs n'avait rien donné, vous auriez quand même supprimé l'e-mail de toutes les boîtes qui l'ont reçu, mais l'incident se serait arrêté là.

En pratique, c'est la compétence qui sépare un bon analyste junior d'un analyste stressé : il ne s'agit pas de connaître tous les outils, mais de poser la question suivante dans le bon ordre.

Cours, parcours et challenges LetsDefend

En plus du simulateur, LetsDefend propose des cours écrits, des parcours d'apprentissage et des challenges indépendants. Les cours mélangent courtes leçons et questions, et certains incluent des labs pratiques ou des alertes liées au sujet.

Le parcours SOC Analyst

C'est le parcours phare, celui que la plupart des débutants devraient regarder. Il compte 25 éléments, qui commencent par ceux-ci :

• SOC Fundamentals (9 leçons) : ce que fait un SOC et comment les analystes travaillent ensemble.
• Cyber Kill Chain et MITRE ATT&CK Framework : les deux modèles qui vous serviront à décrire chaque attaque. La base de connaissances MITRE ATT&CK est gratuite et mérite d'être parcourue en parallèle du cours.
• Phishing Email Analysis : 7 leçons, un challenge et 4 alertes, très proche de l'exemple ci-dessus.
• Detecting Web Attacks : repérer des injections SQL, du XSS et des attaques similaires dans les logs d'un serveur web.
• How to Investigate a SIEM Alert?, Malware Analysis Fundamentals, Network Log Analysis, SIEM 101 et Splunk plus loin dans le parcours.

LetsDefend n'annonce pas de durée fixe. Sa FAQ indique que le parcours peut prendre « de quelques semaines à quelques mois » selon votre rythme. SOC Fundamentals et Phishing Email Analysis figurent tous les deux parmi les cours gratuits pour débutants sur la page d'accueil de LetsDefend : vous pouvez donc commencer le parcours sans payer.

Autres parcours et challenges

En plus de SOC Analyst, LetsDefend propose des parcours Incident Responder, DFIR et SIEM Engineer, ainsi que des préparations à la CompTIA CySA+ et au Google Cybersecurity Certificate. Les challenges sont des investigations indépendantes : vous recevez des preuves comme un fichier de logs, une image mémoire ou un document malveillant, et vous répondez à des questions. Si ce format vous plaît, CyberDefenders vous plaira sans doute aussi, puisque toute la plateforme repose dessus.

LetsDefend est-il gratuit ? Offres et tarifs

Oui, LetsDefend a une offre gratuite. Le compte Basic donne accès aux cours gratuits, aux challenges et aux quiz, plus 15 alertes d'analyste SOC à traiter chaque mois, selon le centre d'aide de LetsDefend. Il faut payer pour les cours complets, les parcours et davantage d'alertes.

Les étudiants qui s'inscrivent avec une adresse e-mail en .edu obtiennent 50 % de réduction au paiement. Vous pouvez résilier à tout moment depuis votre profil, et l'accès reste actif jusqu'à la fin de la période de facturation.

Notre avis : ne prenez pas le VIP+ si vous débutez. Le contenu en plus concerne la réponse à incident, qui n'a de sens qu'après le parcours SOC Analyst. Et comme le nouveau contenu part désormais chez Hack The Box, un seul mois de VIP bien ciblé est le maximum que nous dépenserions aujourd'hui sur LetsDefend.

Comment tirer le maximum de l'offre gratuite

Quinze alertes par mois, ça paraît peu, mais c'est largement suffisant si vous traitez chacune comme une leçon et non comme une case à cocher. Voici un plan sur quatre semaines, compatible avec un travail ou des études :

1. Semaine 1 - SOC Fundamentals : suivez le cours gratuit et lisez les premiers chapitres du site MITRE ATT&CK. Apprenez ce que signifient « vrai positif », « faux positif » et « escalade » avant de toucher à une alerte.
2. Semaine 2 - Phishing : suivez le cours gratuit Phishing Email Analysis, puis traitez trois ou quatre alertes de phishing. Pour chacune, notez quel en-tête l'a trahie.
3. Semaine 3 - Logs : choisissez des alertes d'attaques web et de brute force. Elles vous obligent à fouiller des logs, la compétence au cœur de tout le métier.
4. Semaine 4 - Rédiger : utilisez vos alertes restantes lentement et rédigez une courte note d'incident pour chacune : ce qui s'est déclenché, ce que vous avez vérifié, votre verdict et la suite à donner. C'est exactement ce que les recruteurs veulent voir en entretien.

Un conseil tiré des walkthroughs : gardez le playbook et vos notes ouverts côte à côte. Clôturer des alertes à la chaîne ne vous apprend rien, et un mauvais verdict pendant un vrai service en SOC peut signifier une intrusion ratée. Le guide de réponse à incident du NIST, SP 800-61 Revision 3, est dense mais vaut une lecture rapide pour voir comment les vraies équipes organisent ce travail.

LetsDefend vs TryHackMe, CyberDefenders et Hack The Box

« TryHackMe ou LetsDefend, lequel est le mieux pour débuter ? » fait partie des questions les plus fréquentes sur la plateforme. La réponse honnête dépend de ce que vous savez déjà.

TryHackMe est le meilleur premier pas si vous n'avez jamais utilisé Linux ni lu un fichier de logs. Ses rooms expliquent plus en détail et vous guident pas à pas. Notre guide du parcours SOC Level 1 de TryHackMe détaille ses 14 modules et le coût du Premium.

LetsDefend est le meilleur deuxième pas. Une fois que vous savez ce qu'est SPF ou un identifiant d'événement Windows, la file d'alertes vous montre comment ces connaissances servent dans des conditions réalistes.

CyberDefenders est l'étape suivante quand vous voulez des investigations plus difficiles sur de vrais PCAP, dumps mémoire et images disque. Notre guide CyberDefenders pour débutants présente ses labs gratuits et la certification CCDL1.

HackerDNA s'utilise en complément de toutes ces plateformes. Notre cours Analyste SOC vous fait écrire des requêtes SIEM dans Splunk et Elastic, créer des règles Sigma et Suricata et relier des alertes à MITRE ATT&CK. Comme HackerDNA enseigne aussi l'offensif, vous voyez d'abord des attaques comme l'injection SQL ou le password spraying du point de vue de l'attaquant, ce qui rend leurs traces bien plus faciles à repérer dans un log.

Considérations légales et éthiques

• Manipulez les échantillons avec prudence : les challenges LetsDefend peuvent contenir de vrais malwares et documents malveillants. Ouvrez-les uniquement dans une machine virtuelle isolée, jamais sur votre ordinateur de tous les jours.
• Ne ciblez pas de vraies personnes : enquêter sur une campagne de phishing simulée, c'est de la formation. Faire les mêmes recherches sur le personnel ou l'infrastructure d'une vraie entreprise sans autorisation, non.
• Protégez les données réelles : si vous vous entraînez à l'analyse de logs au travail, ne collez pas les logs ou les adresses IP de l'entreprise dans des write-ups publics ou des outils en ligne.
• Respectez les règles sur les write-ups : vérifiez la politique de chaque plateforme avant de publier des solutions, et ne partagez jamais les réponses d'un examen de certification.

Questions fréquentes