intel/1.1.0 · aktualisiert am 09.07.2026

Defensive Intelligenz

Von einzelnen Signalen zum Lagebild: Listen, Karten, Frühwarnungen und Reaktionspakete.

Die Intelligence-Schicht bündelt Kampagnen, verdächtige Infrastruktur und Missbrauchsmuster, um vor einer Entscheidung Kontext bereitzustellen.

Vor dem Schließen eines Vorfalls sollten Watchlists, Beziehungskarten, Frühwarnungen und Berichte geprüft werden. Diese Auswertung verhindert, dass jeder Fall als vollständig neu behandelt wird.

Intel unterstützt auch die Vorbereitung externer Reaktionen: Takedown-Pakete, Missbrauchsmeldungen, Überwachungskampagnen und wiederverwendbare Materialien für die institutionelle Koordination.

Checkliste

• Watchlists und Threat Graph vor der Reaktion auf einen Vorfall prüfen.
• Eine Frühwarnung ausgeben, wenn das Muster wiederholbar und übergreifend ist.
• Ein Takedown-Paket vorbereiten, wenn Kampagne oder Infrastruktur bestehen bleiben.

Schnellstart

1. Zu Intel wechseln, sobald der Befund Wiederholung oder eine Kampagne zeigt.
2. Watchlists und Berichte nutzen, um nicht bei jedem Fall von vorne zu beginnen.
3. Wenn eine externe Reaktion nötig ist, Takedown oder Missbrauchsmeldung mit Kontext vorbereiten.

Operativer Ablauf

Gruppieren

Verwandte Domains, Kampagnen, Akteure oder Infrastruktur verbinden.

Die Sicht auf ein isoliertes Ereignis verlassen.

Antizipieren

Watchlists oder Frühwarnungen ausgeben, wenn sich das Muster wiederholen kann.

Handeln, bevor der Schaden eskaliert.

Extern reagieren

Berichte oder Pakete vorbereiten, wenn externe Koordination die aktive Oberfläche verringern kann.

Lokale Abwehr mit institutioneller Reaktion verbinden.

flowchart LR
  S1["Gruppieren"]
  S2["Antizipieren"]
  S3["Extern reagieren"]
  S1 --> S2
  S2 --> S3

Validatoren und Prüfungen

Sie führen eine kontextbezogene Auswertung dieser Oberfläche aus und liefern vorgeschlagene Schritte mit operativem Fokus.

Intel-Ablauf validieren

Artikel und nächste Schritte für Watchlists, Warnungen und Takedown.

Beispiele

Handbuchkandidat für Intel-Befund

{
  "title": "Patrón recurrente para watchlist",
  "sourceType": "intel_report",
  "sourceRef": "report_demo_001",
  "summary": "La infraestructura imitadora se repite en múltiples campañas y conviene documentar criterio de escalado."
}

Links und Referenzen

Zugehörige Routen

Intel im Workspace Intel in der Verwaltung

APIs

/api/adda/v1/intel
/api/adda/v1/intel/watchlists
/api/adda/v1/intel/threat-graph
/api/adda/v1/intel/early-warning

Docs und unterstützende Routen

docs/ADDA_INTEL.md
docs/ADDA_API.md

Häufige Probleme

• Intelligence außerhalb des Betriebsablaufs wird zu dekorativem Kontext.
• Warnungen ohne gemeinsame Kriterien können institutionelles Rauschen erzeugen.

Empfohlene Aktionen

• Intel verwenden, um Wiederholung zu erklären und Reaktion zu priorisieren, nicht nur um Kontext zu speichern.
• Intel mit Vorfällen, Berichten und Handbuchkandidaten verbinden, wenn neue Erkenntnisse entstehen.

Nützliche Reason Codes

Score-Wörterbuch

severity

Institutionelle Priorität des Signals auf der ADDA-Skala.

action

Vom System empfohlener nächster betrieblicher Schritt.

reasonCodes

Erklärbare Gründe zur Rechtfertigung der Bewertung.

Protokollhinweise

• Defensive Intelligence ist durch ihre Fähigkeit zur Antizipation und Koordination wertvoll.

Artikelverlauf

09.07.2026

Die Nutzung von Intel als Brücke zu externer Reaktion und Lernen wurde gestärkt.