intel/1.1.0 · mis à jour le 9 juil. 2026

Renseignement défensif

Des signaux isolés à une vue d'ensemble : listes, cartes, alertes précoces et packs de réponse.

La couche de renseignement regroupe les campagnes, les infrastructures suspectes et les schémas d'abus afin d'apporter du contexte avant la décision.

Avant de clore un incident, il convient d'examiner les watchlists, les cartes de relations, les alertes précoces et les rapports. Cette lecture évite de traiter chaque dossier comme entièrement nouveau.

Intel sert aussi à préparer la réponse externe : takedown packs, rapports d'abus, campagnes de surveillance et éléments réutilisables pour la coordination institutionnelle.

Liste de contrôle

• Examiner les watchlists et le threat graph avant de répondre à un incident.
• Émettre une early warning lorsque le schéma est répétable et transversal.
• Préparer un takedown pack si une campagne ou une infrastructure persiste.

Démarrage rapide

1. Passez à intel lorsque le constat montre déjà une répétition ou une campagne.
2. Utilisez les watchlists et rapports pour éviter de repartir de zéro à chaque dossier.
3. Si une réponse externe est nécessaire, préparez un takedown ou un report abuse avec du contexte.

Flux opérationnel

Regrouper

Réunissez les domaines, campagnes, acteurs ou infrastructures liés.

Sortir de la vision d'un événement isolé.

Anticiper

Émettez des watchlists ou early warnings lorsque le schéma peut se répéter.

Agir avant que les dommages ne s'aggravent.

Répondre à l'extérieur

Préparez des rapports ou packs si la coordination externe peut réduire la surface active.

Relier la défense locale à la réponse institutionnelle.

flowchart LR
  S1["Regrouper"]
  S2["Anticiper"]
  S3["Répondre à l'extérieur"]
  S1 --> S2
  S2 --> S3

Validateurs et contrôles

Ils exécutent une lecture contextuelle de cette surface et proposent des étapes à visée opérationnelle.

Valider le parcours intel

Articles et prochaines étapes pour watchlists, warnings et takedown.

Exemples

Manual candidate pour un constat intel

{
  "title": "Patrón recurrente para watchlist",
  "sourceType": "intel_report",
  "sourceRef": "report_demo_001",
  "summary": "La infraestructura imitadora se repite en múltiples campañas y conviene documentar criterio de escalado."
}

Liens et références

Routes associées

Intel dans l'espace de travail Intel dans l'administration

APIs

/api/adda/v1/intel
/api/adda/v1/intel/watchlists
/api/adda/v1/intel/threat-graph
/api/adda/v1/intel/early-warning

Docs et routes d'appui

docs/ADDA_INTEL.md
docs/ADDA_API.md

Problèmes fréquents

• Maintenir le renseignement hors du circuit opérationnel le transforme en contexte décoratif.
• Émettre des warnings sans critère partagé peut créer du bruit institutionnel.

Actions suggérées

• Utilisez intel pour expliquer la répétition et prioriser la réponse, pas seulement pour stocker du contexte.
• Reliez intel aux incidents, reports et manual candidates lorsqu'un nouvel apprentissage apparaît.

Reason codes utiles

Dictionnaire de score

severity

Priorité institutionnelle du signal sur l'échelle ADDA.

action

Prochaine étape opérationnelle recommandée par le moteur.

reasonCodes

Motifs explicables qui justifient l'évaluation.

Notes de protocole

• La valeur du renseignement défensif tient à sa capacité d'anticiper et de coordonner.

Historique de l'article

9 juil. 2026

Renforcement de l'usage d'intel comme pont vers la réponse externe et l'apprentissage.