incident-room/1.0.0 · aktualisiert am 09.07.2026

Vorfälle und Einsatzraum

So werden Vorfälle mit Aufgaben, Nachweisen und nachvollziehbarer Reaktion eröffnet, koordiniert und geschlossen.

ADDA Incidents verwandelt verstreute Signale in eine koordinierte Reaktion mit Verantwortlichen, Aufgaben, Nachweisen und sichtbaren Entscheidungen.

Einen Vorfall früh zu eröffnen bedeutet nicht, ihn zu dramatisieren. Es bedeutet, den Kontext zu ordnen, doppelte Aktionen zu vermeiden und eine betriebliche Historie zu erhalten, die andere Teams fortsetzen können.

Der Einsatzraum gewinnt an Wert, wenn er Mail, WAF, Access, Evidence, Berichte, Aufgaben, Automatisierungen und Handbuchkandidaten in einem Arbeitsstrang zusammenführt.

Checkliste

• Einen Vorfall eröffnen, wenn die Situation mehrere Module betrifft oder Koordination erfordert.
• Aufgaben und Evidence im selben Ablauf zuweisen.
• Mit sichtbarem Status, Erkenntnissen und nächsten Schritten schließen.

Schnellstart

1. Einen Vorfall eröffnen, sobald ein Befund kein isoliertes Ereignis mehr ist.
2. Relevante Evidence, Aufgaben und Artefakte in den Vorfall verschieben.
3. Den Abschluss nutzen, um wiederverwendbare betriebliche Erkenntnisse zu hinterlassen.

Operativer Ablauf

Eröffnen

Titel, Schweregrad und Umfang festlegen, ohne auf vollkommenen Kontext zu warten.

Früh einen Arbeitsstrang erstellen.

Orchestrieren

Je nach Situation Aufgaben, Evidence, Berichte oder Automatisierungen ergänzen.

Reaktion und Nachverfolgung bündeln.

Schließen und lernen

Ergebnis, offene Punkte und Verbesserungen für Handbuch oder Produkt dokumentieren.

Reaktion in institutionelle Fähigkeit umwandeln.

flowchart LR
  S1["Eröffnen"]
  S2["Orchestrieren"]
  S3["Schließen und lernen"]
  S1 --> S2
  S2 --> S3

Validatoren und Prüfungen

Sie führen eine kontextbezogene Auswertung dieser Oberfläche aus und liefern vorgeschlagene Schritte mit operativem Fokus.

Vorfallabdeckung prüfen

Betriebliche Zusammenfassung zum Eröffnen, Eskalieren und Schließen einer Reaktion.

Beispiele

Payload zum Eröffnen eines Vorfalls

{
  "title": "Campaña de phishing contra acceso institucional",
  "severity": "red",
  "summary": "Se detectan múltiples correos con dominio imitador y presión sobre login."
}

Links und Referenzen

Zugehörige Routen

Vorfälle im Workspace SOC

APIs

/api/adda/v1/incidents
/api/adda/v1/incidents/[id]
/api/adda/v1/tasks

Docs und unterstützende Routen

docs/ADDA_SOC_OPERATIVO.md
docs/ADDA_API.md

Häufige Probleme

• Eine Reaktion aus mehreren Ansichten ohne Vorfall erzeugt fragmentierte Spuren.
• Ein Vorfallabschluss ohne Handbuchkandidat oder Erkenntnis verliert aufgebaute Fähigkeit.

Empfohlene Aktionen

• Zum Vorfall hochstufen, wenn die Situation Mail, Access, WAF oder Evidence betrifft.
• Den Abschluss nutzen, um verbleibende Aufgaben oder Handbuchverbesserungen zu erzeugen.

Nützliche Reason Codes

Score-Wörterbuch

severity

Institutionelle Priorität des Signals auf der ADDA-Skala.

action

Vom System empfohlener nächster betrieblicher Schritt.

reasonCodes

Erklärbare Gründe zur Rechtfertigung der Bewertung.

Protokollhinweise

• Incidents ordnet die Koordination; es ersetzt nicht das technische Urteil der einzelnen Module.

Artikelverlauf

09.07.2026

Neuer Artikel für Einsatzraum, Aufgaben und betriebliches Lernen.