intel/1.1.0 · actualizado 10/7/2026

Inteligencia defensiva

De señales sueltas a panorama: listas, mapas, alertas tempranas y paquetes de respuesta.

La capa de inteligencia agrupa campañas, infraestructura sospechosa y patrones de abuso para ofrecer contexto antes de decidir.

Antes de cerrar un incidente, conviene revisar watchlists, mapas de relación, alertas tempranas y reportes. Esa lectura evita tratar cada caso como si fuera totalmente nuevo.

Intel también sirve para preparar respuesta externa: takedown packs, reportes de abuso, campañas de vigilancia y piezas reusables para coordinación institucional.

Checklist

• Revisar watchlists y threat graph antes de responder un incidente.
• Emitir early warning cuando el patrón sea repetible y transversal.
• Preparar takedown pack si hay campaña o infraestructura persistente.

Quickstart

1. Pasá a intel cuando el hallazgo ya muestra repetición o campaña.
2. Usá watchlists y reportes para evitar empezar desde cero en cada caso.
3. Si hace falta respuesta externa, prepará takedown o report abuse con contexto.

Flujo operativo

Agrupar

Uní dominios, campañas, actores o infraestructura relacionada.

Salir de la visión de evento aislado.

Anticipar

Emití watchlists o early warnings cuando el patrón pueda repetirse.

Moverse antes de que el daño escale.

Responder afuera

Prepará reportes o packs si la coordinación externa puede reducir la superficie activa.

Conectar defensa local con respuesta institucional.

flowchart LR
  S1["Agrupar"]
  S2["Anticipar"]
  S3["Responder afuera"]
  S1 --> S2
  S2 --> S3

Validadores y checks

Ejecutan una lectura contextual para esta superficie y devuelven pasos sugeridos con foco operativo.

Validar recorrido intel

Artículos y próximos pasos para watchlists, warnings y takedown.

Ejemplos

Candidate manual para hallazgo intel

{
  "title": "Patrón recurrente para watchlist",
  "sourceType": "intel_report",
  "sourceRef": "report_demo_001",
  "summary": "La infraestructura imitadora se repite en múltiples campañas y conviene documentar criterio de escalado."
}

Links y referencias

Rutas relacionadas

Intel en workspace Intel en admin

APIs

/api/adda/v1/intel
/api/adda/v1/intel/watchlists
/api/adda/v1/intel/threat-graph
/api/adda/v1/intel/early-warning

Docs y rutas de apoyo

docs/ADDA_INTEL.md
docs/ADDA_API.md

Problemas frecuentes

• Mantener inteligencia fuera del circuito operativo la convierte en contexto decorativo.
• Emitir warnings sin criterio compartido puede generar ruido institucional.

Acciones sugeridas

• Usar intel para explicar repetición y priorizar respuesta, no solo para almacenar contexto.
• Conectar intel con incidents, reports y manual candidates cuando surja aprendizaje nuevo.

Reason codes útiles

Diccionario de score

severity

Prioridad institucional de la señal en escala ADDA.

action

Siguiente paso operativo recomendado por el motor.

reasonCodes

Motivos explicables para justificar la lectura.

Notas de protocolo

• La inteligencia defensiva vale por su capacidad de anticipar y coordinar.

Historial del artículo

10/7/2026

Se reforzó el uso de intel como puente hacia respuesta externa y aprendizaje.