SWOT v kyberbezpečnosti: hrozby vs. schopnosti detekcie

Prečo aplikovať SWOT práve v kyberbezpečnosti

Kyberbezpečnosť sa pohybuje v prostredí rýchlo sa meniacich hrozieb, roztrieštených technológií a regulačných požiadaviek. Kým tradičná SWOT pomáha s orientáciou v podnikovej stratégii, v bezpečnosti umožňuje prepojiť hrozby (T) a príležitosti (O) z externého prostredia so silnými (S) a slabými (W) internými detekčnými schopnosťami. Výsledkom je prioritizovaný plán, ktorý maximalizuje MTTD/MTTR zlepšenie, pokrytie útokových techník a znižuje riziko cez cielené detekcie, hardening a incident response.

Kontext: hrozby vs. schopnosti detekcie

Moderné bezpečnostné tímy kombinujú viac vrstiev: EDR/XDR na koncových bodoch, NDR pre sieťovú viditeľnosť, SIEM pre koreláciu a UEBA pre anomálie identity. Popritom rastie zložitosť cloudových prostredí, SaaS a identity-first prístupov. SWOT rámec pomáha pragmaticky pomenovať, kde je organizácia silná (napr. výborná telemetria endpointov), slabá (napr. nízka viditeľnosť v SaaS), aké externé príležitosti má využiť (napr. dotácie, vendor programy, otvorené pravidlá detekcie) a akým hrozbám čelí (ransomware, BEC, dodávateľský reťazec, ATO).

Vstupy: čo potrebujete pred workshopom

Inventár a architektúra: systémy, identity, cloud účty, kritické procesy.
Hrozbový model: mapovanie na MITRE ATT&CK (priority techník podľa odvetvia).
Telemetrická mapa: aké logy a signály už zbierame (endpoint, sieť, cloud, IAM, aplikácie).
História incidentov: top scenáre, root cause, priemerná doba zotavenia.
Regulačné požiadavky: NIS2/ISO 27001/SOC2 a interné politiky.

Rámec SWOT pre bezpečnosť: definície a príklady

Kategória	Popis v kontexte bezpečnosti	Príklady
S – Silné stránky	Interné schopnosti, aktíva a procesy zvyšujúce detekciu a reakciu	24/7 SOC, kvalitný EDR, centralizované logovanie v SIEM, playbooky v SOAR
W – Slabé stránky	Medzery v pokrytí, kompetenciách, procesoch či nástrojoch	Chýbajúce cloud logy (SaaS, IaaS), nízka kvalita alertov, dlhé MTTR
O – Príležitosti	Externé trendy a zdroje, ktoré vieme využiť	Open-source detekcie (Sigma), granty, threat intel feedy, frameworky maturity
T – Hrozby	Externé riziká a útokové vektory	Ransomware-as-a-Service, BEC, ATO, supply chain útoky, zero-day exploity

Mapovanie hrozieb na detekčné techniky (ATT&CK → schopnosti)

Urobte „coverage mapu“: pre kľúčové techniky ATT&CK (napr. T1059 Command and Scripting Interpreter, T1078 Valid Accounts, T1190 Exploit Public-Facing Application) označte, či máte:

Telemetriu (zdroj signálu existuje),
Detekciu (pravidlá/ML/heuristiky),
Playbook (automatizovanú/štandardizovanú reakciu).

Na základe vzniknutých „bielych miest“ formulujte W a následne WO/WT taktiky.

Príklad SWOT pre SOC/xDR tím

S	W
Silné EDR pokrytie Windows a macOS, dobre vyladené suppression listy, SOAR playbooky pre phishing a ransomware triage.	Nedostatočná viditeľnosť v SaaS (OAuth, tokeny), limitované logy z Kubernetes/containers, manuálne IAM kontrole.

O	T
Vendorové funding programy na rozšírenie XDR, open Sigma pravidlá pre cloud, komunitné ATT&CK detekcie.	Ransomware s laterálnym pohybom cez legitímne nástroje, BEC cez MFA fatigue, supply chain cez tretie strany.

Od SWOT k TOWS: návrh taktických krokov

SO: Využiť SOAR + silné EDR na rýchle automatizované uzatváranie known-bad IOC a skracovať time-to-contain.
WO: Zaviesť cloud-native logy (Azure/Google/AWS, M365 audit, Okta) a Sigma pravidlá pre OAuth abuse, aby sme odomkli detekciu BEC/ATO.
ST: Na základe silnej telemetrie zaviesť behaviorálne detekcie (living-off-the-land, RDP laterál), ktoré bránia ransomware gangom eskalovať.
WT: Dočasne obmedziť vysokorizikové integrácie tretích strán a zaviesť povinné just-in-time privilegované prístupy, kým nedobudujeme IAM kontrolu.

Detekčná maturita: schopnosti, ktoré hodnotiť

Telemetria: šírka (krytie endpoint/sieť/cloud/IAM) a hĺbka (kvalita polí, čas uchovávania).
Detekcie: pravidlá podľa ATT&CK, podiel behaviorálnych vs. signatúrnych, falošne pozitívne/negatívne.
Reakcia: playbooky, automatizácia v SOAR, priemerný čas containmentu.
Ľudia: TTR (training-to-response), znalosti detekčných tímov, rota 24/7.
Riadenie: metriky, auditovateľnosť, testovanie (purple teaming, emulácia útočníka).

Metriky a ciele (KPI/OKR) pre detekciu

MTTD (Mean Time to Detect): cieľ napr. < 30 min pre vysoké priority.
MTTR (Mean Time to Respond/Recover): cieľ napr. < 4 h pre containment.
Coverage: % priorizovaných ATT&CK techník s detekciou a playbookom.
FPR/FNR: falošná pozitivita/negativita na kritických pravidlách.
Alert fatigue index: alerty na analitika/deň a ich uzatvárateľnosť.
Test coverage: počet úspešne zachytených emulácií (red/purple team) za štvrťrok.

Vážené skórovanie pre prioritizáciu investícií

Kritérium	Popis	Váha
Redukcia rizika	Očakávané zníženie pravdepodobnosti/ dopadu hrozby	0,35
Rýchlosť prínosu	Čas k viditeľnému zlepšeniu MTTD/MTTR	0,25
Nákladovosť	Licencie + kapacity na implementáciu a údržbu	0,20
Kompatibilita	Synergie s existujúcimi nástrojmi (SIEM/XDR/SOAR)	0,20

Hodnotenie 0–5 × váha → súčet = priorita. Vytvorte portfólio „must do“ (top 3–5) a „next“ (zvyšok).

Detekčný katalóg: štruktúra jedného use-casu

Názov	Laterálny pohyb RDP s privilegovaným účtom
ATT&CK	T1021 Remote Services, T1078 Valid Accounts
Telemetria	EDR eventy, Windows Event ID 4624/4625/4768, NDR flow
Detekcia	Sigma pravidlo + korelácia SIEM (abnormálne ciele, čas, geolokácia)
Playbook	SOAR: izolácia hostu, reset tokenu, blok IP, notifikácia IR
Test	Emulácia cez Caldera/Atomic Red Team; očakávaný alert do 15 min
Metriky	MTTD < 15 min, MTTR < 2 h, FP < 3 %

Telemetrická mapa: biele miesta → W v SWOT

Pre každú platformu označte stav:

Endpoint: EDR pokrytie (% hostov), kernel/sensor viditeľnosť, OS mix.
Sieť: NDR v DC/Cloud, TLS visibility, East-West monitoring.
Cloud/SaaS: audit logy (M365/GWS/Okta), CSPM/CIEM integrácie.
IAM/Identity: MFA signály, risk events, privilegované prístupy.
Aplikácie: WAF/WAAP, API gateway logy, aplik. telemetry (OpenTelemetry).

Procesy SOC: od triage po post-incident learning

Triage: priorita podľa aktívna hrozba/kritickosť aktíva/kontext identity.
Containment: izolácia hostov, token revokácia, bloky v IdP/Firewall.
Eradikácia & obnova: patching, repaving, tajomstvá/keys rotácie.
Lessons learned: z incidentu generujte nové detekcie a hardening úlohy.

Automatizácia a kvalita detekcií

SOAR: automatické enrichmenty (WHOIS, sandbox, VT), rozhodovacie brány.
Quality gates: každé pravidlo má testy, baseline, dokumentáciu a vlastníka.
Verziovanie: Git repo pre detekcie (Sigma/JSON/Query), CI na validáciu.

Cloud a identita: špecifiká SWOT v praxi

V cloude sú hrozby častejšie viazané na misconfig, token theft a overprivileged účty. Detekčné príležitosti (O) spočívajú v natívnych logoch (CloudTrail, Audit Logs, Entra/Okta) a manažovaných detekciách CSP. Slabiny (W) sú často v nekompletnej aktivácii logovania, krátkej retencii a chýbajúcom CIEM.

Dodávatelia a tretie strany

Hrozby (T): supply chain, zneužitie integrácií, slabé bezpečnostné štandardy partnera.
Detekčné kroky: monitor integračných účtov, anomálie v prenosoch, revízia scopes a tokenov.
Governance: bezpečnostné klauzuly, minimálne logovanie, povinná MFA na partnerské účty.

Regulácie a compliance ako príležitosť

NIS2/ISO 27001 často nútia budovať logovanie, reporting a cvičenia IR. To je príležitosť (O) financovať rozšírenie detekčných schopností a zlepšiť auditovateľnosť. V SWOT tak môžu compliance požiadavky vystupovať ako O, ktoré pomáhajú riešiť W.

Workshop: 120-minútová agenda

10 min: cieľ, metriky (MTTD/MTTR, coverage), rekapitulácia incidentov.
25 min: inventarizácia telemetrie a mapovanie ATT&CK → identifikácia W.
25 min: brainstorming hrozieb podľa odvetvia → T a O (intel, komunitné zdroje).
30 min: tvorba TOWS variantov (SO/WO/ST/WT) pre top 5 techník.
20 min: vážené skórovanie, výber „must do“, vlastníci a míľniky.
10 min: uzavretie: roadmapa, KPI, cadence testovania (purple team mesačne).

Šablóna: záznam detekčnej iniciatívy

Názov iniciatívy	–
TOWS typ	SO / WO / ST / WT
ATT&CK techniky	Txxxx …
Telemetria (zdroje)	EDR, NDR, SIEM, IdP, Cloud logs …
Detekcia	Sigma/Query/ML, prah, kontext
Playbook	SOAR kroky, rozhodovacie stromy
Test	Emulácia, akceptačné kritériá, periodicita
KPI	MTTD, MTTR, FP/FN, coverage %
Vlastník	Detection Engineering Lead
Míľniky	Pilot → Rollout → Review

Implementačný checklist

✔ Máme mapu ATT&CK techník s telemetriou, detekciou a playbookom.
✔ SWOT identifikuje top 5 W a T, ktoré brzdia alebo eskalujú riziko.
✔ Pre každú bielu škvrnu existuje WO/WT taktika a vlastník.
✔ SO/ ST iniciatívy skracujú MTTD/MTTR a zvyšujú coverage > 80 % priorít.
✔ Detekcie sú verzované, testované a auditovateľné.
✔ Mesačné cvičenia (purple team) a retrospektívy generujú zlepšenia.

Model prípadu: BEC s MFA fatigue

Hrozba (T): útočník získava password, spúšťa vlnu MFA promptov, používateľ omylom schváli. Slabina (W): chýbajúce detekcie anomálneho MFA spamovania a geo-velocity. Príležitosť (O): natívne IdP risk eventy, vendor funding na rozšírenie licencie. Sila (S): existujúci SOAR a SIEM.

Taktiky: WO – aktivovať a integrovať IdP risk logy, vytvoriť Sigma pre „MFA push storm“. ST – využiť SOAR na okamžitý step-up auth a reset tokenov. KPI: MTTD < 5 min, MTTR < 30 min.

Najčastejšie chyby a ako sa im vyhnúť

Nadmerná orientácia na IOC namiesto behaviorálnych techník.
Detekcie bez playbookov → rýchla detekcia, pomalá reakcia.
Ignorovanie SaaS a identity vrstvy (OAuth, token theft).
Bez verziovania a testov rastie technický dlh v pravidlách.

SWOT v kyberbezpečnosti je praktický most medzi hrozbami a reálnou schopnosťou organizácie včas zachytiť a zastaviť útok. Keď sa spojí s ATT&CK mapovaním, disciplinovanou tvorbou TOWS taktík a metrikami MTTD/MTTR, vzniká udržateľný program detekcie, ktorý znižuje riziko rýchlejšie a merateľnejšie než izolované nákupy nástrojov.