Na sesjach modelowania zagrożeń (ang. threat modeling) bywa taki moment: zespół dociera do kroku „co może pójść źle?”, na stół wjeżdża STRIDE i nagle zapada cisza. Nie dlatego, że system jest bezpieczny. Po prostu „Spoofing” na poziomie infrastruktury CI/CD mówi zespołowi niewiele.

I w tym momencie, zamiast wymyślać zagrożenia z głowy, możesz sięgnąć po gotową listę: katalog tego, co naprawdę spotyka systemy podobne do tego, który obecnie modelujesz. Dokładnie tak działa biblioteka ataków (ang. attack library). Cała sztuka polega na tym, żeby wziąć właściwą listę do właściwej technologii na właściwym poziomie spojrzenia.

Plan tego artykułu jest następujący: najpierw wyjaśnimy, czym jest biblioteka ataków i dlaczego to też driver. Potem zmapujemy listy na poziomy i pokażemy, dlaczego jest to gradient, a nie szufladki. Do tego dołożymy 2 wątki specjalne: czym różni się OWASP Top 10 od CWE Top 25 i co robić, gdy masz do czynienia z systemami wykorzystującymi LLM-y. Na końcu zostanie nam mechanika, czyli jak wpiąć listę w sesję. Zapraszamy do lektury.

Czym jest biblioteka ataków (i dlaczego to też driver)

Biblioteka ataków to utrzymywany na bieżąco katalog wiedzy o tym, co naprawdę dzieje się w systemach danej klasy. MITRE ATT&CK powstaje z obserwacji realnych grup atakujących organizacje. OWASP Top 10 z danych o realnych podatnościach występujących w aplikacjach i systemach IT. CWE Top 25 z atomicznych słabości, które możesz spotkać na poziomie implementacji. To nie są akademickie klasyfikacje, tylko realna wiedza zebrana z rynku.

Dlaczego mówimy, że to driver? Bo biblioteka robi na sesji dokładnie tę samą robotę co STRIDE: napędza burzę mózgów wokół pytania „co może pójść źle?”. Cała różnica tkwi w charakterze podpowiedzi. STRIDE jest generyczny i demokratyczny: działa w każdej domenie, ale żadnej nie zna w szczegółach. Biblioteka jest domenowa i konkretna: zna szczegóły, ale tylko na swoim terenie. Dlatego to nie jest konkurencja, tylko duet. STRIDE otwiera głowę, a biblioteka dosypuje konkretów, które burza mózgów może pominąć. Gdzie biblioteki leżą na osi driverów, pokazaliśmy w tekście o metodach modelowania zagrożeń.

Biblioteka ataków to nie checklista do odhaczenia, tylko realna wiedza z rynku użyta jako driver.

Właściwa lista na właściwym poziomie

Reguła z naszej praktyki jest prosta: dobieraj listę po poziomie i po technologii, której używasz. Po poziomie, bo na różnych poziomach biblioteki pracują bardziej lub mniej. Po technologii, bo od niej zależy, co jest w ogóle dostępne: dla jednej technologii znajdziesz kilka list, dla innej żadnej.

Organizacja: MITRE ATT&CK

Na poziomie całej organizacji i infrastruktury STRIDE realnie się nie sprawdza: pytanie „co może pójść źle?” zadajesz o pojedyncze elementy i przepływy, a to nie obejmie portfolio systemów, ludzi ani socjotechniki. Tu driverem może być MITRE ATT&CK: katalog taktyk, technik i procedur realnych atakujących, od pierwszego wejścia po eksfiltrację danych. Jak go używać? Macierz przechodzisz od lewej do prawej, zgodnie z kolejnymi fazami ataku, i przy każdej fazie pytasz: gdzie u nas jest to możliwe? Ta kolejność nie jest przypadkowa. Jeśli zatrzymasz atak wcześnie, do dalszych faz zwykle w ogóle nie dojdzie.

Macierz MITRE ATT&CK dla środowisk korporacyjnych. Kolumny to kolejne fazy ataku i właśnie w tej kolejności, od lewej do prawej, przechodzisz ją na sesji. Źródło: attack.mitre.org.

System: OWASP Top 10 dla Kubernetes i dla CI/CD

System to zestaw aplikacji, które razem realizują większy obszar biznesowy. Czasem to coś natywnego, co buduje Twoja firma, a czasem platforma, przykładowo Kubernetes czy potok CI/CD. Dla wielu popularnych platform można znaleźć specjalne listy OWASP, na przykład Top 10 dla Kubernetes czy Top 10 dla CI/CD. Te listy krążą wokół tego, co w tych platformach zawodzi naprawdę, czyli konfiguracji, uprawnień i sekretów. Nie każda technologia ma jednak swoją listę. Gdy dla Twojego natywnego systemu jej nie ma, zostaje Ci STRIDE i listy z sąsiednich poziomów.

OWASP Top 10 dla CI/CD. Źródło: OWASP.

Aplikacja: OWASP Top 10

Na poziomie aplikacji mieszka klasyka, czyli OWASP Top 10, dziś w edycji z 2025 roku: lista typowych klas problemów bezpieczeństwa web aplikacji i zarazem najniższy próg wejścia ze wszystkich list w tym tekście. Deweloperzy zwykle ją kojarzą, więc nie wprowadzasz na sesję niczego nowego, tylko sięgasz po wspólny język, który w zespole już jest: bierzesz klasę problemu, patrzysz na swój system i pytasz, gdzie u nas taki problem może wystąpić.

OWASP Top 10 w edycji 2025 i to, jak zmieniła się względem edycji 2021. Źródło: OWASP.

Funkcjonalność: CWE Top 25

Na poziomie pojedynczej funkcjonalności czy user story jesteś już najniżej, więc rozmowa o szerokich klasach problemów przestaje wystarczać: pracujesz na małym wycinku systemu i potrzebujesz podpowiedzi tego samego kalibru. Dokładnie taką podpowiedzią jest CWE Top 25, w edycji z 2025 roku: lista konkretnych, ponumerowanych słabości implementacyjnych, ułożonych w ranking według tego, jak często realnie występują i jak poważne bywają ich skutki.

CWE Top 25 w edycji 2025: konkretne, ponumerowane słabości implementacyjne, ułożone w ranking. Źródło: MITRE, cwe.mitre.org.

Przy takich mapowaniach łatwo zgubić ważny wniosek: to jest gradient, a nie albo-albo. OWASP Top 10 pracuje i na aplikacji, i na funkcjonalności, tylko bliżej mu do aplikacji. CWE Top 25 też pracuje na obu, tylko bliżej mu do funkcjonalności. Granice są tutaj płynne, dokładnie tak samo jak przy poziomach modelowania zagrożeń: gradient, nie szufladki.

Nie ma najlepszej listy. Jest właściwa lista na właściwym poziomie, a granice między poziomami są płynne.

Newsletter Nowe artykuły i odcinki podcastu prosto na skrzynkę. Bez spamu.

OWASP Top 10 i CWE Top 25 to nie to samo

Skoro obie listy potrafią pracować na sąsiednich poziomach, to po co w ogóle 2 listy? Bo działają na różnych poziomach logicznych: jedna operuje klasami, a druga atomami. OWASP Top 10 kataloguje klasy problemów bezpieczeństwa web aplikacji: szerokie worki, ułożone w ranking według danych. CWE Top 25 kataloguje konkretne, ponumerowane słabości, z których te klasy się składają. Jedno pytanie brzmi: na co chorują aplikacje? Drugie: który dokładnie organ zawodzi?

Jest jeszcze jedno zastrzeżenie, które jesteśmy Ci winni: obie listy katalogują podatności i słabości, a my na sesji szukamy zagrożeń. Sprzeczności w tym nie ma, bo zagrożeniem jest wprowadzenie konkretnej podatności; to rozróżnienie omawiamy w tekście o zagrożeniu, podatności i ryzyku.

Budujesz systemy wykorzystujące LLM-y? Jest osobna lista

Najlepszym dowodem na siłę bibliotek ataków są nowe technologie. Przykładowo: dla systemów budowanych z wykorzystaniem LLM-ów OWASP wprowadził osobną listę, Top 10 dla GenAI/LLM. W najnowszej edycji z 2026 roku Excessive Agency, czyli ryzyko agentów ze zbyt dużą swobodą działania, awansowało z 6. miejsca na 3., a tuż za nim siedzą ataki na łańcuch dostaw oraz zatruwanie danych i modeli.

OWASP Top 10 dla GenAI/LLM: jak pozycje przesunęły się między edycją 2025 a 2026. Excessive Agency awansowało z 6. miejsca na 3., ale w świetle incydentów OpenAI czy Anthropic może powinno być wyżej? Źródło: OWASP.

I teraz powód, dla którego ta sekcja tu jest: przy czymś tak świeżym konkretna biblioteka ataków bywa po prostu lepsza niż STRIDE. Generyczna taksonomia podpowie Ci manipulację czy eskalację uprawnień, ale nie podpowie zagrożeń, których świat dopiero się uczy. Biblioteka kodyfikuje świeżą wiedzę domenową szybciej, niż zdąży ją wchłonąć intuicja Twojego zespołu albo intuicja rynku; klasyczne worki zwyczajnie nie łapią agentów.

Przy świeżych domenach biblioteka wyprzedza generyczną taksonomię. Dlatego system na LLM-ach modeluj z listą dla LLM-ów i odpuść sobie STRIDE.

Jak wpiąć bibliotekę w sesję

Pora na obiecaną mechanikę. Przechodzisz przez 4 kroki:

1. Biblioteka niczego nie zmienia w przygotowaniach: reprezentacja systemu powstaje jak zwykle, a samą sesję prowadzisz według przewodnika krok po kroku.
2. Jeszcze przed sesją przygotuj top-N kategorii z właściwej listy pod swój system, nie całą listę. Nie martw się przy tym o kompletność: jedna sesja daje częściowy obraz i to jest OK, bo po resztę wrócisz następnym razem.
3. Na sesji nie odczytujesz pozycji, tylko o każdą zadajesz jedno pytanie: gdzie u nas może to wystąpić?
4. Znaleziska przechodzą przez priorytetyzację i lądują w backlogu w konkretnych formatach akcji. Bez tego cała sesja poszła na marne.

I uważaj na jeden antywzorzec: audytowe czytanie listy od A do Z. Taka lektura zabija sesję w kwadrans, bo energia uczestników siada, a bez energii nie ma dobrej burzy mózgów. Z drivera robi się wtedy checklista do odhaczenia, czyli dokładnie to, czym biblioteka być nie miała.

Czego biblioteka za Ciebie nie zrobi

Żeby obraz był uczciwy, odnotujmy jeszcze 4 rzeczy:

• Biblioteka nie zastąpi procesu: żeby sesje w ogóle się odbywały, potrzebny jest rytm, właściciel i wyzwalacze, a tego żaden katalog Ci nie da.
• Biblioteka nie jest kompletna. To katalog tego, co świat już zna; zagrożeń nowych albo specyficznych dla Twojego systemu w niej nie znajdziesz.
• Biblioteka się starzeje. Edycje się zmieniają, pozycje wędrują; dlatego tam, gdzie ruchy pozycji mają znaczenie, podajemy rok edycji, zamiast pisać „aktualna”.
• Biblioteka nie ustali za Ciebie priorytetów: ocena znalezisk to osobna oś i osobna decyzja.

Co robić, jak żyć?

Zbierzmy to w 5 kroków:

1. Ustal poziom, na którym modelujesz. Od tego zaczyna się wybór listy.
2. Weź 1 właściwą listę, nie 3. Modelujesz organizację? ATT&CK. System na popularnej platformie? Lista tej platformy (Kubernetes, CI/CD). Aplikację? OWASP Top 10. Funkcjonalność? CWE Top 25. I pamiętaj, że to gradient.
3. Przygotuj top-N pod swój system przed sesją. Lista ma podpowiadać, nie przytłaczać.
4. Prowadź sesję duetem: STRIDE plus lista, z pytaniem „gdzie u nas może to wystąpić?”. Przy świeżej domenie w rodzaju LLM-ów odpuść STRIDE i pracuj samą listą.
5. Raz na rok sprawdź, czy nie wyszła aktualizacja. Jeśli tak, podmień wersję na najnowszą.

Bo mapa to nie teren, ale dobra mapa i tak wygrywa z brakiem mapy.

Do zapamiętania — FAQ

Czym są biblioteki ataków?

Biblioteka ataków to utrzymywany katalog realnej wiedzy o atakach i słabościach danej domeny, używany jako driver sesji modelowania zagrożeń. Przykłady: MITRE ATT&CK, OWASP Top 10, CWE Top 25.

Czym różni się OWASP Top 10 od CWE Top 25?

OWASP Top 10 kataloguje klasy problemów bezpieczeństwa web aplikacji, a CWE Top 25 konkretne słabości implementacyjne. Obie listy pracują i na poziomie aplikacji, i na poziomie funkcjonalności: OWASP bliżej aplikacji, CWE bliżej funkcjonalności. To gradient, nie albo-albo.

Kiedy używać MITRE ATT&CK?

Na poziomie organizacji i infrastruktury. ATT&CK kataloguje taktyki, techniki i procedury realnych grup atakujących organizacje, łącznie z socjotechniką. To teren, na którym STRIDE realnie się nie sprawdza.

Czy STRIDE wystarczy bez bibliotek ataków?

Na poziomie aplikacji często tak. Im bliżej infrastruktury i specyficznych technologii (chmura, CI/CD), tym bardziej potrzebny jest konkret z biblioteki. Najlepiej działa duet: STRIDE plus właściwa lista.

Jaka lista dla systemów wykorzystujących LLM-y?

OWASP Top 10 dla GenAI/LLM, w edycji 2026 z Excessive Agency na 3. miejscu. Przy tak świeżej domenie konkretna biblioteka bywa lepsza niż generyczny STRIDE, bo kodyfikuje zagrożenia, których świat dopiero się uczy.

Newsletter

Damy Ci znać, gdy opublikujemy coś nowego.

Artykuł albo odcinek podcastu. Bez spamu. W każdej chwili możesz się wypisać.

Zapisując się, akceptujesz politykę prywatności.

Referencje i wzmianki: MITRE ATT&CK (attack.mitre.org); OWASP — Top 10, Kubernetes Top 10, Top 10 CI/CD Security Risks (owasp.org); CWE Top 25 (cwe.mitre.org); OWASP Top 10 dla GenAI/LLM, edycja 2026 (genai.owasp.org).