Quando se fala em hacking, a maioria das pessoas pensa em invadir. O LetsDefend coloca você do outro lado: você está em um centro de operações de segurança (SOC) simulado, os alertas chegam na sua fila e cabe a você decidir quais são ataques de verdade. Para muitos iniciantes, é a primeira vez que o trabalho de Blue Team faz sentido. Você já pode experimentar esse trabalho no navegador com o lab Email Header Forensics da HackerDNA: um e-mail do "PayPal" cai na sua mesa e você rastreia de onde ele realmente veio.
O LetsDefend também está mudando rápido. A Hack The Box comprou a plataforma em 2025 e, em outubro de 2026, ela parou de vender planos anuais e começou a transferir seu conteúdo para a Hack The Box. Este guia explica como o LetsDefend funciona, o que você ganha de graça, quanto custa o VIP, o que a mudança significa para novos usuários e quais alternativas fazem sentido para quem está começando.
TL;DR: O LetsDefend é uma plataforma de treinamento Blue Team construída em torno de um SOC simulado, onde você faz a triagem de alertas como um analista de nível 1. O plano Basic é gratuito e inclui cursos grátis, desafios e 15 alertas de SOC por mês. O VIP custa US$ 24,99 por mês e o VIP+ US$ 39,99. Desde a compra pela Hack The Box, os planos anuais não são mais vendidos e, desde 15 de outubro de 2026, novos cursos e desafios saem apenas na Hack The Box. O plano gratuito ainda vale a pena para iniciantes.
O que é o LetsDefend?
O LetsDefend é uma plataforma online de treinamento Blue Team onde você aprende as habilidades de um analista de SOC investigando ataques simulados em um centro de operações de segurança que roda no navegador. Você faz a triagem de alertas como e-mails de phishing, ataques web e infecções por malware, segue playbooks de investigação e faz cursos sobre SIEM, análise de logs e resposta a incidentes.
A empresa foi fundada em 2021. Sua página inicial hoje fala em 400K alunos em mais de 150 países. Em 16 de setembro de 2025, a Hack The Box anunciou a compra do LetsDefend, que na época tinha uma comunidade de mais de 320.000 usuários.
Por que os iniciantes gostam
A maioria das plataformas de segurança ensina uma técnica e depois entrega uma máquina para atacar. O LetsDefend ensina uma profissão. O simulador de SOC parece a fila em que um analista júnior trabalha durante o turno: um alerta com nome de regra, nível de severidade e alguns campos, mais um conjunto de ferramentas para investigar. É um dos poucos lugares onde um iniciante pode praticar a rotina real de um analista de nível 1 antes de ser contratado.
Também não é um CTF no sentido tradicional. Não existe corrida no placar contra outros times. Para entender onde o trabalho em SOC se encaixa em uma carreira de segurança, nosso guia sobre como se tornar analista de SOC explica os níveis, as habilidades e os dados de salário.
LetsDefend e Hack The Box: o que mudou em 2026
Se você ler uma avaliação do LetsDefend de 2024, boa parte já está desatualizada. Esta é a linha do tempo, tirada dos anúncios da Hack The Box e do aviso na própria página de preços do LetsDefend:
- 16 de setembro de 2025: a Hack The Box compra o LetsDefend. Um artigo de ajuda do LetsDefend da mesma semana dizia aos usuários da comunidade que eles podiam manter a assinatura e o acesso no site do LetsDefend, sem "nenhum plano imediato de mudar de plataforma".
- 28 de agosto de 2026: a Hack The Box anuncia que 191 cursos do LetsDefend agora são módulos da HTB Academy, e que os desafios do LetsDefend viraram Sherlocks, os desafios de investigação defensiva da HTB.
- 30 de setembro de 2026: a Hack The Box lança o plano HTB PRO (US$ 49 por mês ou US$ 490 por ano), que inclui os Sherlocks vindos do LetsDefend. O SOC Range, "construído sobre a capacidade de simulação de SOC do LetsDefend", é anunciado para o quarto trimestre de 2026.
- 15 de outubro de 2026: segundo a página de preços do LetsDefend, as plataformas da Hack The Box passam a ser "o destino exclusivo de todos os novos cursos e desafios". O mesmo aviso diz que as assinaturas anuais do LetsDefend não são mais vendidas e que os alertas de SOC também vão para a Hack The Box até o fim de 2026.
O LetsDefend vai fechar?
Não em outubro de 2026. O site funciona, o plano Basic gratuito continua aberto e os planos VIP mensais seguem à venda. Mas a direção é clara: o conteúdo novo vai para a Hack The Box e o simulador de alertas deve ir junto. Nossa leitura é que o LetsDefend está sendo absorvido aos poucos pela Hack The Box, mesmo sem nenhuma data de encerramento publicada.
Na prática, para você:
- Usuários gratuitos: nada a perder. Aproveite os cursos grátis e os alertas mensais enquanto existirem.
- Pensando no VIP: pague só por mês, e só por um mês que você realmente vai usar. Não espere conteúdo novo.
- Quer o mesmo material a longo prazo: ele agora está na HTB Academy e no HTB Labs, com os preços da Hack The Box.
Como funciona o simulador de SOC do LetsDefend
O simulador é o motivo pelo qual as pessoas procuram o LetsDefend, então vale entender como ele funciona antes de se cadastrar. Os walkthroughs publicados pela comunidade descrevem sempre o mesmo ciclo:
- Escolher um alerta na fila: a página Monitoring lista os alertas que chegam, com um ID de evento, um nome de regra como "Phishing Alert - Deceptive Mail Detected", um nível de severidade e campos importantes como endereços de origem e destino.
- Assumir o alerta: você pega o alerta para si e ele vai para o seu Investigation Channel, do mesmo jeito que um analista de verdade assume um ticket para que duas pessoas não trabalhem no mesmo caso.
- Criar um caso e abrir o playbook: o playbook faz uma série de perguntas. Quando o e-mail foi enviado? Quem recebeu? Tem anexo? Alguém clicou?
- Investigar com as ferramentas integradas: você responde a cada pergunta usando telas simuladas de Email Security, Log Management, endpoint (EDR) e threat intelligence. Algumas etapas pedem uma ação, como apagar um e-mail malicioso ou isolar uma máquina infectada.
- Fechar o alerta: você marca como verdadeiro positivo ou falso positivo, e a plataforma compara suas respostas com as esperadas.
Exemplo: triagem de um alerta de phishing
Veja como é o raciocínio em um alerta de phishing típico. O e-mail abaixo é uma ilustração nossa, não uma cópia do LetsDefend, mas mostra exatamente o que um playbook espera que você verifique. Os cabeçalhos brutos da mensagem reportada são:
Return-Path: <[email protected]>
Received: from mail.bulk-mailer.example (unknown [203.0.113.45])
by mx.acme.example with ESMTP
From: "Acme Payroll" <[email protected]>
Reply-To: [email protected]
Subject: Action required: confirm your direct deposit details
Authentication-Results: mx.acme.example;
spf=fail smtp.mailfrom=bulk-mailer.example;
dkim=none; dmarc=fail header.from=acme.exampleTrês coisas devem saltar aos olhos. O endereço From se apresenta como interno, mas a mensagem veio de um servidor externo, 203.0.113.45. O SPF falha para o domínio de retorno e o DMARC falha para acme.example, então nada prova que a mensagem veio mesmo da Acme. E o Reply-To aponta para um domínio parecido, então qualquer resposta vai direto para o atacante.
Ou seja, o e-mail é malicioso. A próxima pergunta do playbook é a que os iniciantes esquecem: alguém clicou? Você procura nos logs do proxy ou do firewall o domínio do link e o IP do destinatário. Um resultado como este muda tudo:
2026-10-20 09:14:52 172.16.20.31 GET https://acme-hr-portal.example/login 200Uma resposta 200 significa que a página carregou na máquina do funcionário. Já não é só um e-mail de phishing: o usuário pode ter digitado a senha em um portal falso. Você fecha o alerta como verdadeiro positivo, isola ou sinaliza a máquina e escala para que a senha da conta seja redefinida. Se a busca nos logs não tivesse retornado nada, você ainda apagaria o e-mail de todas as caixas que o receberam, mas o incidente pararia por aí.
Na prática, é essa habilidade que separa um bom analista júnior de um analista nervoso: não é conhecer todas as ferramentas, e sim fazer a próxima pergunta na ordem certa.
Cursos, trilhas e desafios do LetsDefend
Além do simulador, o LetsDefend oferece cursos em texto, trilhas de aprendizado e desafios independentes. Os cursos misturam lições curtas com perguntas, e alguns incluem labs práticos ou alertas ligados ao tema.
A trilha SOC Analyst
É a trilha principal e a que a maioria dos iniciantes deveria olhar. Ela tem 25 itens, começando por estes:
- SOC Fundamentals (9 lições): o que um SOC faz e como os analistas trabalham juntos.
- Cyber Kill Chain e MITRE ATT&CK Framework: os dois modelos que você vai usar para descrever qualquer ataque. A base de conhecimento MITRE ATT&CK é gratuita e vale a pena explorar junto com o curso.
- Phishing Email Analysis: 7 lições, um desafio e 4 alertas, bem parecido com o exemplo acima.
- Detecting Web Attacks: identificar SQL injection, XSS e ataques parecidos nos logs de um servidor web.
- How to Investigate a SIEM Alert?, Malware Analysis Fundamentals, Network Log Analysis, SIEM 101 e Splunk mais adiante na trilha.
O LetsDefend não informa uma duração fixa. O FAQ diz que a trilha pode levar "de algumas semanas a alguns meses", dependendo do seu ritmo. SOC Fundamentals e Phishing Email Analysis aparecem como cursos gratuitos para iniciantes na página inicial do LetsDefend, então dá para começar a trilha sem pagar.
Outras trilhas e desafios
Além de SOC Analyst, o LetsDefend tem trilhas de Incident Responder, DFIR e SIEM Engineer, além de preparatórios para a CompTIA CySA+ e o Google Cybersecurity Certificate. Os desafios são investigações independentes: você recebe evidências como um arquivo de log, uma imagem de memória ou um documento malicioso e responde perguntas sobre elas. Se você gostar desse formato, provavelmente vai gostar do CyberDefenders também, que é todo construído em cima dele.
O LetsDefend é gratuito? Planos e preços
Sim, o LetsDefend tem um plano gratuito. A conta Basic dá acesso aos cursos grátis, desafios e quizzes, além de 15 alertas de analista de SOC para investigar por mês, segundo a central de ajuda do LetsDefend. Para cursos completos, trilhas e mais alertas, é preciso pagar.
| Plano | Preço | O que inclui |
|---|---|---|
| Basic | Grátis | Cursos grátis, desafios e quizzes, 15 alertas de SOC por mês |
| VIP | US$ 24,99/mês | Todos os cursos e a trilha de carreira, labs práticos nos cursos, trilhas de aprendizado, mais alertas de SOC, avaliações de habilidades |
| VIP+ | US$ 39,99/mês | Tudo do VIP, mais cursos e alertas de Incident Responder e mais recursos no ambiente de SOC |
| Planos anuais | Não são mais vendidos | O LetsDefend agora direciona quem quer plano anual para as assinaturas da Hack The Box |
Estudantes que se cadastram com um e-mail .edu ganham 50% de desconto no pagamento. Você pode cancelar a qualquer momento pelo seu perfil, e o acesso continua até o fim do ciclo de cobrança.
Nossa opinião: não compre o VIP+ se você está começando. O conteúdo extra é de resposta a incidentes, que só faz sentido depois da trilha SOC Analyst. E como o conteúdo novo agora vai para a Hack The Box, um único mês de VIP bem focado é o máximo que gastaríamos com o LetsDefend hoje.
Como aproveitar ao máximo o plano gratuito
Quinze alertas por mês parece pouco, mas é mais do que suficiente se você tratar cada um como uma aula, e não como uma tarefa para riscar da lista. Um plano de quatro semanas que cabe junto com trabalho ou estudo:
- Semana 1 - SOC Fundamentals: faça o curso gratuito e leia os primeiros capítulos do site MITRE ATT&CK. Aprenda o que significam "verdadeiro positivo", "falso positivo" e "escalonamento" antes de tocar em um alerta.
- Semana 2 - Phishing: faça o curso gratuito Phishing Email Analysis e depois trabalhe em três ou quatro alertas de phishing. Para cada um, anote qual cabeçalho entregou o golpe.
- Semana 3 - Logs: escolha alertas de ataques web e de força bruta. Eles obrigam você a pesquisar logs, a habilidade central de todo o trabalho.
- Semana 4 - Documentar: use os alertas restantes com calma e escreva uma nota de incidente curta para cada um: o que disparou, o que você verificou, seu veredito e o que faria em seguida. É exatamente isso que os recrutadores querem ver em uma entrevista.
Uma dica tirada dos walkthroughs: mantenha o playbook e suas anotações abertos lado a lado. Fechar alertas correndo não ensina nada, e um veredito errado em um turno real de SOC pode significar uma invasão que passou despercebida. O guia de resposta a incidentes do NIST, SP 800-61 Revision 3, é denso, mas vale uma leitura rápida para ver como equipes reais organizam esse trabalho.
LetsDefend vs TryHackMe, CyberDefenders e Hack The Box
"O que é melhor para iniciantes, TryHackMe ou LetsDefend?" é uma das perguntas mais comuns sobre a plataforma. A resposta honesta depende do que você já sabe.
| Plataforma | Opção gratuita | Formato | Melhor para |
|---|---|---|---|
| LetsDefend | Plano Basic, 15 alertas/mês | Fila de alertas de SOC simulada, cursos em texto | Treinar a triagem de alertas de nível 1 |
| TryHackMe | Salas grátis, a maior parte do conteúdo de SOC no Premium | Salas guiadas com VMs, trilha SOC Level 1 | Aprender o básico de Blue Team do zero |
| CyberDefenders | Labs grátis com tempo de nuvem limitado | Perguntas de investigação sobre evidências reais | Praticar DFIR e SOC depois de dominar o básico |
| Hack The Box | Módulos grátis na Academy e conteúdo ativo | Módulos da Academy, Sherlocks, futuro SOC Range | Para onde o conteúdo do LetsDefend está indo |
| HackerDNA | Plano gratuito, sem cartão de crédito | Labs e cursos guiados no navegador | Aprender tanto o ataque quanto a defesa |
O TryHackMe é o melhor primeiro passo se você nunca usou Linux nem leu um arquivo de log. As salas explicam mais e acompanham você mais de perto. Nosso guia da trilha SOC Level 1 do TryHackMe detalha os 14 módulos e quanto custa o Premium.
O LetsDefend é o melhor segundo passo. Depois que você sabe o que é SPF ou um ID de evento do Windows, a fila de alertas mostra como esse conhecimento é usado em condições realistas.
O CyberDefenders é para quando você quer investigações mais difíceis com PCAPs, dumps de memória e imagens de disco reais. Nosso guia do CyberDefenders para iniciantes explica os labs gratuitos e a certificação CCDL1.
A HackerDNA funciona junto com todas elas. Nosso curso de Analista SOC coloca você para escrever consultas SIEM no Splunk e no Elastic, criar regras Sigma e Suricata e relacionar alertas ao MITRE ATT&CK. Como a HackerDNA também ensina o lado ofensivo, você vê ataques como SQL injection ou password spraying primeiro do ponto de vista do atacante, o que deixa os rastros deles muito mais fáceis de identificar em um log.
Considerações legais e éticas
Lembrete importante: sempre obtenha autorização explícita por escrito antes de testar qualquer sistema. O treinamento Blue Team é mais seguro que a prática ofensiva, mas as mesmas regras valem quando você leva as habilidades para fora do lab.
- Manuseie amostras com cuidado: os desafios do LetsDefend podem trazer malware e documentos maliciosos reais. Abra-os apenas em uma máquina virtual isolada, nunca no seu computador do dia a dia.
- Não investigue pessoas reais: investigar uma campanha de phishing simulada é treinamento. Fazer as mesmas pesquisas sobre funcionários ou a infraestrutura de uma empresa real sem permissão, não.
- Proteja dados reais: se você pratica análise de logs no trabalho, não cole logs ou endereços IP da empresa em write-ups públicos ou ferramentas online.
- Respeite as regras de write-ups: confira a política de cada plataforma antes de publicar soluções e nunca compartilhe respostas de provas de certificação.
Perguntas frequentes
O LetsDefend é gratuito?
Sim. O plano Basic do LetsDefend é gratuito e inclui cursos grátis, desafios, quizzes e 15 alertas de analista de SOC por mês. Cursos completos, trilhas, labs práticos e mais alertas exigem uma assinatura VIP (US$ 24,99 por mês) ou VIP+ (US$ 39,99 por mês). Estudantes com e-mail .edu ganham 50% de desconto.
O LetsDefend vai fechar?
Nenhuma data de encerramento foi anunciada e o site continua funcionando em outubro de 2026. Mas a Hack The Box, que comprou o LetsDefend em 2025, parou de vender os planos anuais e tornou suas próprias plataformas o único destino dos novos cursos e desafios desde 15 de outubro de 2026. Os alertas de SOC devem migrar para a Hack The Box até o fim de 2026.
O que é melhor para iniciantes, TryHackMe ou LetsDefend?
O TryHackMe é melhor para quem está começando do zero, porque as salas ensinam o básico passo a passo. O LetsDefend é melhor depois que você domina os fundamentos e quer praticar o dia a dia de um analista de SOC de nível 1: triar alertas, seguir playbooks e fechar casos. Muita gente usa o TryHackMe primeiro e depois o LetsDefend.
Quem é o dono do LetsDefend?
O LetsDefend pertence à Hack The Box. A compra foi anunciada em 16 de setembro de 2025 e, desde então, a Hack The Box adicionou 191 cursos do LetsDefend à HTB Academy e transformou os desafios do LetsDefend em Sherlocks no HTB Labs.
Quanto tempo leva a trilha SOC Analyst do LetsDefend?
O LetsDefend não publica uma duração fixa. O FAQ diz que a trilha, feita no seu ritmo, pode levar de algumas semanas a alguns meses. Ela tem 25 itens, de SOC Fundamentals e MITRE ATT&CK até Splunk e a montagem de um lab de SOC em casa.
O LetsDefend ajuda a conseguir uma vaga de analista de SOC?
Ajuda na preparação, mas não é uma certificação que os recrutadores procuram. O valor está na prática: conseguir explicar em uma entrevista, passo a passo, como você fez a triagem de um alerta de phishing ou de ataque web. Combine com uma certificação reconhecida, como a CompTIA Security+, e algumas notas de investigação escritas.
Última verificação: outubro de 2026. Planos, preços, cota de alertas gratuitos e aviso de transição para a Hack The Box verificados na página inicial, na página de preços e na central de ajuda do LetsDefend. Data da compra, integração à Academy e detalhes do HTB PRO verificados no blog da Hack The Box. Funcionamento do simulador de SOC conferido com walkthroughs publicados pela comunidade.
Seus próximos passos
O LetsDefend continua sendo uma das melhores formas de sentir como é o trabalho de um analista de SOC de nível 1, e o plano gratuito não custa nada para testar. Só tenha em mente que o futuro dele está na Hack The Box: use os cursos grátis e os 15 alertas mensais, pague por mês se for pagar, e não conte com conteúdo novo no LetsDefend.
Para as habilidades por trás de cada alerta, pratique onde não há limite mensal. Rastreie um e-mail de phishing no lab Email Header Forensics, cace um atacante em um log de acesso no Log Hunter e depois faça o curso de Analista SOC da HackerDNA para aprender consultas SIEM e regras de detecção. Comece pelo plano gratuito da HackerDNA - sem cartão de crédito, e todos os labs rodam no seu navegador.
