凌晨四点二十，治理修复委员会的日终系统自动生成了一份“异常行为热力图”。热力图像一张城市夜景，只是灯光不是建筑，而是行为：谁在什么时间试图做什么、被系统拒绝了多少次、触发了多少条告警、涉及多少个系统域。绝大多数区域是冷色，只有两个点仍然发烫：模板库违规创建与某个云边缘节点的反复配置读写请求。
顾明把热力图投到墙上，声音压得很低：“模板库违规触发者标识又出现了sec.liaison，但这次我们抓到了更具体的东西：触发来源的网络指纹与两个账号登录模式高度吻合。”
“哪两个？”周砚问。
“一个是秘书处专项安全联络官岗位账号；一个是集团办公室副主任的历史辅助账号。”顾明停顿了一下，“它们的浏览器指纹、访问时段、常用IP段一致，像同一个人轮换登录。”
“像”不够。周砚很清楚，责任落地不能靠像，必须靠可复核的证据：token指纹、证书序列号、登录会话ID、工位网络端口、门禁刷卡时间对齐、甚至摄像头记录。影子机制的最后堡垒就是可否认性，只要还有“可能不是我”，它就还有活路。
“把‘像’变成‘是’。”周砚说，“怎么做？”
顾明拿出一份计划：“三件事：
1）抓会话：对专项联络官账号开启增强审计（不降级），记录每次敏感操作的会话ID与设备指纹；
2）抓工位：把工位交换机端口日志与门禁刷卡对齐；
3）抓证书：把S-19证书体系里所有证书序列号与申请单审批链对齐，尤其是‘审核人sec.liaison’字段。”
许衡在电话里补充：“你们要小心别打草惊蛇。增强审计本身不会被对方察觉，但如果你们动作太大，对方可能会停用账号、销毁设备。最好用‘观察式取证’：先锁证据，再锁人。”
罗主任点头：“警方那边也在追S-19。我们内部先把证据矩阵补齐，等警方收网。”
周砚看了一眼时间，四点二十八。太阳还没升，但空气已经变了。公示后的组织，夜里不再安静。安静意味着暗门在运转；现在夜里出现的是系统拒绝与告警，这意味着暗门在敲窗。
敲窗不是坏事。敲窗说明他们被迫在光下活动。
---
上午九点，董事长召开专项会议，会议名称很短：**“S-19处置与专项岗位调整”**。参会人员比
本章未完，请点击下一页继续阅读！