清晨九点零五，第三方安全审计团队的车队驶入总部园区。两辆商务车、一辆设备车，车身没有任何夸张标识，只贴着一张极普通的访客通行证。越是普通，越让人不安，因为普通意味着它不需要靠声势吓人，它靠专业与流程就能把你剥开。
领队叫许衡，四十出头，短发，眼神像长期盯日志的人那样干净。他第一句话不是寒暄，而是确认边界：
“我们只做两件事：事实复核与控制评估。任何人不得以口头指令改变我们的取证范围，任何取证过程必须可复现、可追溯。请你们提供：系统清单、接口清单、权限矩阵、证据编号索引。我们会从编号入手。”
这句话像一把钥匙插进周砚心里。第三方不是来听故事的，是来用编号复核故事的。只要你有编号，你就有“公共语言”。影子机制最怕公共语言，它只擅长私语、暗示、临时。
周砚把早已准备好的材料交给许衡：系统资产清单、跨系统接口清单、令牌发放服务冻结记录、四清行动执行台账、证据包索引（不含敏感原件，只给哈希与编号）。许衡翻了两页就停在一处，抬头问：
“你们把令牌发放服务冻结了，这是正确的。但我想知道：冻结前，这个服务的‘授信链’是什么？谁能发令牌？谁能修改授信规则？谁能创建‘本地管理员’会话？”
顾明接话：“我们掌握的证据显示，sec.exec.gateway是令牌发放入口。它的授信规则过去由安全运维组维护，但实际权限曾被风险处置办公室工作台协同。我们正在做最小权限重构。”
许衡点头：“我需要看授信规则的历史版本对比。尤其是授信规则是否存在‘条件审计’等设计。装置化控制往往不止一处，它会在授信规则里留下‘开关’。”
“历史版本已经封存。”顾明说，“但我们没有对外展示过，担心泄密。”
许衡看向陆律：“你们是公司方，担心泄密是合理的。我建议：在隔离环境下给我们查看，禁止拷贝，只输出我们认可的结论摘要，并附你们编号。这样既保护你们，也保证我们能做事实复核。”
这是典型第三方的做法：把“信任”变成“可验证”。影子机制最恨这种做法，因为它无法用人情解决。
隔离环境很快搭好，审计团队开始工作。第一天的重点就是“幽灵”：risk.office.owner与sec.exe
本章未完，请点击下一页继续阅读！