# Упражнение за извънредни ситуации на маса: изиграване на инцидент с уеб сървър

> Tabletop упражнение за ИТ: как да изиграете на маса инцидент с уеб сървър, със сценарий, роли, подавани вести и оценка, която променя нещо.

Източник: https://phpsos.de/bg/blog/notfalluebung-am-tisch/  
Актуалност: 25.10.2026  
Доставчик: PHP SOS, Спешна помощ за PHP и сигурност на сървъри. Незабавна помощ по WhatsApp: https://wa.me/491736494914?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D0%B5%D0%B9%D1%82%D0%B5%2C%20PHP%20SOS%2C%20%D0%B8%D0%BC%D0%B0%D0%BC%D0%B5%20%D0%BD%D1%83%D0%B6%D0%B4%D0%B0%20%D0%BE%D1%82%20%D0%BF%D0%BE%D0%BC%D0%BE%D1%89%20%D1%81%20%D0%BD%D0%B0%D1%88%D0%B8%D1%8F%20PHP%20%D1%81%D1%8A%D1%80%D0%B2%D1%8A%D1%80.%20%D0%A4%D0%B8%D1%80%D0%BC%D0%B0%3A%20%E2%80%A6%20%D0%A3%D0%B5%D0%B1%D1%81%D0%B0%D0%B9%D1%82%3A%20%E2%80%A6

**Накратко:** Tabletop упражнението в ИТ изиграва на маса един инцидент със сигурността: водещ подава стъпка по стъпка нова информация за положението, участниците решават като в критичен момент и накрая остава списък с конкретни подобрения. За уеб сървърите подхожда сценарий по модела на PHP2Shell, защото засяга едновременно техника, решения при несигурност, защита на данните и комуникация.

## Защо един план действа едва чрез упражнение

Много фирми вече имат план за извънредни ситуации. Дали работи, се вижда едва когато някой го използва под натиск на времето. Верният телефонен номер ли е вписан в него? Знае ли управителят, че трябва да реши за изключване? Познава ли доставчикът достъпите? Подобни въпроси едно упражнение на маса изяснява за няколко часа.

Октомврийската седмица на 2026 г. показа колко бързо една ситуация може да ескалира: предварително обявяване от php.net на 20.10., пачове на 21.10. в 16:00 ч. германско време, предупредително ниво оранжево на BSI (Федералната служба за информационна сигурност на Германия), изключване на публични уебсайтове според медийни съобщения. Който беше упражнил този ход веднъж предварително, трябваше да импровизира по-малко. Хода в подробности описва [Хронологията на PHP2Shell](https://phpsos.de/bg/ratgeber/php2shell-chronologie/). Как сами да изградите плана, е описано в [Как да изготвите ИТ план за извънредни ситуации за уеб сървъри](https://phpsos.de/bg/compliance/notfallplan-erstellen/); тук става дума за упражняването.

## Tabletop упражнение в ИТ: роли и подготовка

Доброто упражнение изисква малко материали, но ясни роли. **Водещият** води през сценария, подава информацията и следи времето. Той не дискутира, а задава въпроси. **Протоколчикът** записва решенията, отворените въпроси и всяко място, където някой казва „това сега не бих го знаел“. По желание друго лице наблюдава как върви комуникацията.

**Участниците** са хората, които в критичен момент действително действат: управителят, вътрешният ИТ или външният доставчик, длъжностните лица по защита на данните, комуникациите, при нужда покупките или правният отдел. Важно е да присъстват и заместници, защото инцидентите не се съобразяват с графиците за отпуски.

Към подготовката спадат: актуалният план за извънредни ситуации на хартия, контактният списък, преглед на уебсайтовете и сървърите и помещение без прекъсвания. Определете предварително, че става дума за учене, а не за оценки. Който се страхува да не се изложи, не казва какво не знае.

## Готов сценарий: критична PHP уязвимост в петъчния следобед

Следният сценарий е измислен, но се ориентира по модела на истинска ситуация. Адаптирайте системите и имената към Вашата среда. Всяка подадена информация получава десет до двадесет минути дискусия.

| Стъпка | Подадена информация от водещия | Водещ въпрос към кръга |
|---|---|---|
| 1 | Специализираната преса съобщава за критична уязвимост в PHP, пачовете са обявени, но още не са налични. | Кой научава първи за това и кого трябва да се информира? |
| 2 | Пачовете излизат следобед. BSI препоръчва незабавен ъпдейт, иначе временно изключване. | Кои от нашите системи са засегнати и откъде знаем това? |
| 3 | Хостинг доставчикът не се обажда. Собствен сървър работи с версия на PHP без официален ъпдейт. | Да пачваме, да изключим или да изчакаме и кой решава това? |
| 4 | Магазинът трябва да пусне акция през почивните дни. Продажбите настояват нищо да не се изключва. | Как преценяваме оборота и риска и как документираме решението? |
| 5 | В понеделник администратор намира непознат PHP файл в папката за качване. | Какво правим първо, какво съзнателно не правим? Кой запазва доказателствата? |
| 6 | Неясно е дали са изтекли клиентски данни. | Кой оценява възможно задължение за уведомяване и кога тече срокът? |
| 7 | Журналистка пита защо уебсайтът е офлайн. | Кой говори навън и какво казваме, докато знаем малко? |

Стъпка 6 засяга ОРЗД. В упражнението е достатъчно да се изясни редът: кой включва длъжностните лица по защита на данните и кога. Правната оценка остава у специалистите; основните положения за срока са в чл. 33 ОРЗД.

## Типични открития и как да ги запишете

Определени пропуски се появяват почти при всяко първо упражнение. Липсва пълен списък кои уебсайтове на кои сървъри с каква версия на PHP работят. Данните за контакт на хостинг доставчика са остарели или са запазени само в пощенска кутия, която в критичен момент не е достъпна. Никой не знае със сигурност дали управителят може сам да нареди изключване или някой трябва да даде съгласие.

Записвайте всяко откритие в три части: какво установихме, какво променяме и кой ще го свърши до кога. Откритие без отговорник според опита си остава неизпълнено. Подредете точките по въздействие: липсващ номер за извънредни случаи се отстранява бързо и помага веднага, ново решение за мониторинг изисква планиране.

За структурираната оценка след упражнението е подходящ същият подход като след истински инцидент. Той е описан в материала [Lessons Learned: да станем по-добри след инцидента](https://phpsos.de/bg/blog/lessons-learned-nach-vorfall/). Контактният списък, който в упражнението обикновено показва слабости, разглежда [Контакти за извънредни ситуации: кого и кога трябва да уведомим?](https://phpsos.de/bg/blog/notfallkontakte-liste/).

> **Съвет:**
> Повторете упражнението след шест до дванадесет месеца с друг сценарий, например хакнат уебсайт с пренасочване към чужди страници. Така проверявате дали мерките от първия кръг са наистина изпълнени.

## Как помага PHP SOS конкретно?

1. Адаптираме сценария към Вашите действителни уебсайтове, сървъри и доставчици и подготвяме подаваните информации.
2. Водим упражнението отдалечено или чрез видеоконференция и се въздържаме от оценки, докато кръгът не е решил.
3. След това предоставяме протокол с открития, мерки, отговорници и срокове.
4. При желание впоследствие упражняваме техническата част, тоест инвентаризация, пач и търсене на следи, така както я изпълнява нашият [Incident Response](https://phpsos.de/bg/leistungen/incident-response/) в критичен момент.

## Извод

Упражнението за извънредни ситуации на маса е най-евтиният начин да се намерят слабостите на един план, преди истински инцидент да го направи. Един следобед, реалистичен сценарий и честна оценка са достатъчни за начало. Решаващо е от всяко откритие да се получи задача с име и дата.


## Често задавани въпроси

**Какво е Tabletop упражнение?**  
Упражнение, при което участниците заедно обсъждат един инцидент на маса, без да работят по реални системи. Водещ подава стъпка по стъпка нова информация, групата решава и обосновава. Така стават видими пропуските в плана, отговорностите и контактните списъци.

**Кой трябва да участва в упражнение за извънредни ситуации?**  
Всички, които в критичен момент решават или действат: управителят, ИТ или доставчикът, защитата на данните, комуникациите и, ако има такова, лицето, отговорно за застрахователните въпроси. Повече от осем до десет души правят кръга тромав.

**Колко трае едно Tabletop упражнение?**  
За първо изпълнение са достатъчни два до три часа, включително оценката. По-важно от продължителността е резултатите да се запишат и мерките да се разпределят със срок.

**Трябва ли сценарият да е реалистичен?**  
Трябва да пасва на Вашата среда, но не е нужно да е точен до детайл. Сценарий по модела на истинска ситуация като PHP2Shell изглежда достоверно и насочва дискусията към решения, а не към технически подробности.

## Източници

- [BSI: Информация за управление на извънредни ситуации](https://www.bsi.bund.de/)
- [php.net: Съобщения за сигурност](https://www.php.net/)
- [ОРЗД, чл. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)