# Vészhelyzeti gyakorlat az asztalnál: egy webszerver-incidens végigjátszása

> Tabletop-gyakorlat az IT-nak: így játszhat végig egy webszerver-incidenst forgatókönyvvel, szerepekkel és olyan kiértékeléssel, amely változtat valamit.

Forrás: https://phpsos.de/hu/blog/notfalluebung-am-tisch/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** Az IT-beli tabletop-gyakorlat egy biztonsági incidenst játszik végig az asztalnál: egy moderátor lépésről lépésre új helyzetinformációkat ad, a résztvevők úgy döntenek, mint éles helyzetben, és a végén konkrét fejlesztések listája áll. Webszerverekhez a PHP2Shell mintájára készült forgatókönyv alkalmas, mert egyszerre érinti a technikát, a bizonytalanság melletti döntéseket, az adatvédelmet és a kommunikációt.

## Miért hat a terv csak a gyakorlás által

Sok vállalkozásnak mára van vészhelyzeti terve. Hogy működik-e, csak akkor derül ki, amikor valaki időnyomás alatt használja. Benne van a helyes telefonszám? Tudja a vezetés, hogy döntenie kell egy lekapcsolásról? Ismeri a szolgáltató a hozzáféréseket? Ilyen kérdéseket egy asztalnál tartott gyakorlat néhány óra alatt tisztáz.

A 2026. októberi hét megmutatta, milyen gyorsan eszkalálódhat egy helyzet: előzetes bejelentés a php.net-en 10. 20-án, a javítások 10. 21-én német idő szerint 16 órakor, a BSI (a német Szövetségi Információbiztonsági Hivatal) narancs riasztási szintje, nyilvános weboldalak lekapcsolása a médiajelentések szerint. Aki ezt a sorozatot korábban egyszer begyakorolta, kevesebbet kényszerült rögtönözni. A lefolyást részletesen a [A PHP2Shell kronológiája](https://phpsos.de/hu/ratgeber/php2shell-chronologie/) írja le. Hogyan építheti fel magát a tervet, azt az [IT-vészhelyzeti terv készítése webszerverekhez](https://phpsos.de/hu/compliance/notfallplan-erstellen/) tartalmazza; itt a gyakorlásról van szó.

## Tabletop-gyakorlat az IT-ban: szerepek és előkészítés

Egy jó gyakorlathoz kevés anyag kell, de egyértelmű szerepek. A **moderátor** végigvezet a forgatókönyvön, információkat játszik be, és tartja az időt. Nem vitatkozik, hanem kérdéseket tesz fel. A **jegyzőkönyvvezető** feljegyzi a döntéseket, a nyitott kérdéseket és minden olyan helyet, ahol valaki azt mondja: „ezt most nem tudnám”. Opcionálisan egy további személy megfigyeli, hogyan zajlik a kommunikáció.

A **résztvevők** azok az emberek, akik éles helyzetben ténylegesen cselekszenek: a vezetés, a belső IT vagy a külső szolgáltató, az adatvédelmi tisztviselők, a kommunikáció, szükség esetén a beszerzés vagy a jogi osztály. Fontos, hogy a helyettesek is ott legyenek, mert az incidensek nem veszik figyelembe a szabadságtervet.

Az előkészítéshez tartozik: az aktuális vészhelyzeti terv papíron, a kapcsolattartói lista, a weboldalak és szerverek áttekintése és egy megszakítás nélküli helyiség. Előre rögzítse, hogy a tanulásról van szó, nem osztályzatokról. Aki fél attól, hogy lejáratja magát, nem mondja meg, mit nem tud.

## Egy kész forgatókönyv: kritikus PHP-rés péntek délutánra

A következő forgatókönyv kitalált, de egy valós helyzet mintájára készült. Igazítsa a rendszereket és a neveket a saját környezetéhez. Minden bejátszásra tíz-húsz perc vita jut.

| Lépés | A moderátor bejátszása | A kör vezérkérdése |
|---|---|---|
| 1 | A szakmai sajtó kritikus rést jelent a PHP-ban, a javításokat bejelentették, de még nincsenek meg. | Ki értesül erről elsőként, és kit kell tájékoztatni? |
| 2 | A javítások délután megjelennek. A BSI azonnali frissítést javasol, ennek hiányában átmeneti lekapcsolást. | A rendszereink közül melyek érintettek, és honnan tudjuk? |
| 3 | A tárhelyszolgáltató nem jelentkezik. Egy saját szerver olyan PHP-verzióval fut, amelyhez nincs hivatalos frissítés. | Javítani, lekapcsolni vagy várni, és ki dönt erről? |
| 4 | A webshop hétvégén akciót tervez. Az értékesítés sürget, hogy semmit se kapcsoljanak le. | Hogyan mérlegeljük a bevételt és a kockázatot, és hogyan dokumentáljuk a döntést? |
| 5 | Egy admin hétfőn ismeretlen PHP-fájlt talál a feltöltési mappában. | Mit teszünk elsőként, mit hagyunk tudatosan? Ki rögzíti a bizonyítékokat? |
| 6 | Nem világos, hogy ügyféladatok szivárogtak-e ki. | Ki értékeli a lehetséges bejelentési kötelezettséget, és mikor fut a határidő? |
| 7 | Egy újságírónő rákérdez, miért offline a weboldal. | Ki beszél kifelé, és mit mondunk, amíg keveset tudunk? |

A 6. lépés a GDPR-t érinti. A gyakorlatban elég tisztázni a folyamatot: ki vonja be az adatvédelmi tisztviselőket és mikor. A jogi értékelés a szakemberekre marad; a határidő alapjai a GDPR 33. cikkében állnak.

## Tipikus felismerések és hogyan rögzítse őket

Bizonyos hiányosságok szinte minden első gyakorlaton előkerülnek. Nincs teljes lista arról, mely weboldalak mely szervereken milyen PHP-verzióval futnak. A tárhelyszolgáltató elérhetőségei elavultak, vagy csak egy olyan postafiókban vannak tárolva, amely éles helyzetben nem elérhető. Senki sem tudja biztosan, hogy a vezetés maga elrendelhet-e egy lekapcsolást, vagy valakinek hozzá kell járulnia.

Minden felismerést három részben rögzítsen: mit állapítottunk meg, mit változtatunk, és ki végzi el eddig az időpontig. Egy felelős nélküli felismerés tapasztalat szerint elfekszik. Rendezze a pontokat hatás szerint: egy hiányzó vészhelyzeti szám gyorsan pótolható és azonnal segít, egy új monitoring-megoldás tervezést igényel.

A gyakorlat utáni strukturált kiértékeléshez ugyanaz az eljárás alkalmas, mint egy valódi incidens után. A [Lessons learned: jobbá válni az incidens után](https://phpsos.de/hu/blog/lessons-learned-nach-vorfall/) cikk írja le. A kapcsolattartói listát, amely a gyakorlatban többnyire gyengeségeket mutat, a [Vészhelyzeti kapcsolattartók: kit kell mikor értesíteni?](https://phpsos.de/hu/blog/notfallkontakte-liste/) tárgyalja.

> **Tipp:**
> Hat-tizenkét hónap múlva ismételje meg a gyakorlatot egy másik forgatókönyvvel, például egy feltört weboldallal, amely idegen oldalakra irányít át. Így ellenőrzi, hogy az első kör intézkedéseit valóban megvalósították-e.

## Hogyan segít konkrétan a PHP SOS?

1. A forgatókönyvet az Ön tényleges weboldalaihoz, szervereihez és szolgáltatóihoz igazítjuk, és előkészítjük a bejátszásokat.
2. A gyakorlatot távolról vagy videókonferencián moderáljuk, és az értékelésekkel addig visszafogjuk magunkat, amíg a kör el nem döntött valamit.
3. Ezután jegyzőkönyvet szállítunk a felismerésekkel, intézkedésekkel, felelősökkel és határidőkkel.
4. Kívánságra ezt követően a műszaki részt is gyakoroljuk, vagyis az állapotfelmérést, a javítást és a nyomkeresést, ahogyan azt az [incidenskezelésünk](https://phpsos.de/hu/leistungen/incident-response/) éles helyzetben végzi.

## Összegzés

Az asztalnál tartott vészhelyzeti gyakorlat a legolcsóbb út egy vészhelyzeti terv gyengeségeinek megtalálására, mielőtt egy valódi incidens megtenné. Egy délután, egy realisztikus forgatókönyv és egy őszinte kiértékelés elég a kezdéshez. Az a döntő, hogy minden felismerésből név és dátum szerinti feladat legyen.


## Gyakori kérdések

**Mi az a tabletop-gyakorlat?**  
Olyan gyakorlat, amelyben a résztvevők közösen, az asztalnál beszélnek végig egy incidenst, valódi rendszereken való munka nélkül. Egy moderátor lépésenként új információkat játszik be, a csoport dönt és indokol. Így láthatóvá válnak a terv, az illetékességek és a kapcsolattartói listák hiányosságai.

**Kik vegyenek részt egy vészhelyzeti gyakorlaton?**  
Mindenki, aki éles helyzetben dönt vagy cselekszik: a vezetés, az IT vagy a szolgáltató, az adatvédelem, a kommunikáció, és ha van, a biztosítási kérdésekért felelős személy. Nyolc-tíz főnél több személy nehézkessé teszi a kört.

**Meddig tart egy tabletop-gyakorlat?**  
Egy első lefutásra két-három óra elég a kiértékeléssel együtt. A hosszúságnál fontosabb, hogy az eredményeket rögzítsék, és az intézkedéseket határidővel osszák ki.

**Realisztikusnak kell lennie a forgatókönyvnek?**  
Illeszkednie kell az Ön környezetéhez, de nem kell minden részletében stimmelnie. Egy olyan valós helyzet mintájára készült forgatókönyv, mint a PHP2Shell, hihetően hat, és a vitát a döntésekre tereli a technikai részletek helyett.

## Források

- [BSI: információk a vészhelyzeti menedzsmentről](https://www.bsi.bund.de/)
- [php.net: biztonsági közlemények](https://www.php.net/)
- [GDPR 33. cikk](https://dsgvo-gesetz.de/art-33-dsgvo/)