第23章 终端指纹(2/4)

首发：~第23章 终端指纹

梁总坐在桌后，桌上放着打印出来的几页摘要材料。他没寒暄，开门见山：“你怎么看？”

周砚把文件袋放到椅侧，先说结论，再说理由：“现在这批材料不足以形成追溯结论。它能证明‘失败登录发生在302’，但不能证明‘谁操作了302’，也无法排除‘脚本/远程/计划任务’。摘要缺了关键字段，容易被用来做‘无法锁定单一责任人’的结论。”

梁总眼神一沉：“信息安全部说这已经是他们能提供的。”

周砚语气不变：“那就让他们出具‘不能提供的理由与替代核验方案’，并由法务确认这不影响定性。否则他们一句‘无法提供’，就能把责任推回账号持有人。现在是项目事故风险，不能靠摘要。”

梁总沉默几秒，抬手敲了敲桌面：“你想要什么？”

周砚把字段缺口清单递过去：“三件事。第一，要求提供原始日志导出或等效可核验格式，不接受只有摘要；第二，补充门禁刷卡人员与设备前后时段的交叉验证——谁刷卡进入后，设备是否出现唤醒/键鼠活动；第三，给出‘临时结论’措辞：在完整字段未提供前，不得对外形成倾向性定性，不得写‘账号持有人管理不当’。”

梁总看完清单，点头：“我来压。你继续把项目跑起来，别让这条线拖住你。”

周砚起身前补了一句：“还有一件事。昨天开放日后法务发的那份‘事后改写说明’，我已经拒签并要求重拟。请您把这个动作也纳入风险控制，否则他们会用文件偷走成果归属。”

梁总抬眼看他：“我知道。你继续留痕。”

10:17，回到工位，周砚不等信息安全部“补充”，直接先发起一封正式邮件请求，收件人：信息安全部负责人，抄送：梁总、法务。

主题：《302终端镜像取证材料补充请求（需提供可核验原始日志字段）》

正文极短，四点要求精准落地：

“1）请提供涉事时段Windows安全日志原始导出（evtx或等效可核验格式），至少包含失败登录事件的完整字段（事件ID、目标账号、来源进程、来源IP、工作站名、登录类型、调用凭据ID等）；

2）请提供设备本地交互用户会话列表与最后活跃用户SID/用户名，并标注涉事时段键鼠活动摘要（如系统可导出）；

3）请提供涉事时段USB/外设插拔记录、远程连接/远程协助痕迹（如有）、计划任务/脚本执行记录（如有），以排除非人工操作；

4）在上述材料未补齐前，请勿对外形成倾向性结论（包括但不限于‘账号持有人管理不当’），避免影响项目正常交付与责任定性。”

发送成功截图归档，更新合规清单。

10:43，信息安全部负责人回复得很快，却依旧像模板：“原始日志涉及网络安全敏感数据，需走更高级别审批；我们可以先提供经脱敏的字段截图。”

周砚盯着“字段截图”四个字，心里一声冷笑。

截图意味着不可核验；不可核验意味着他们仍掌握剪裁权。剪裁权就是他们的护身符。

他没有立刻回怼，而是用更“合规”的方式堵死对方：

“可以脱敏，但必须保留可核验结构。建议两种方案择一：

A）提供原始日志并由法务与信息安全部共同在安全室现场核验（不外发文件），我们只记录核验结论与必要字段；

B）提供经过脱敏处理的日志导出（保留事件结构与哈希校验），由信息安全部生成导出哈希，供后续复核。

仅提供截图无法满足审计核验要求，无法形成可用追溯结论。”

他把这段话作为回复发出。语气客观，逻辑严密，完全站在公司审计角度——让对方无法再用“敏感”当万能挡箭牌。

11:12，项目线继续推进。

周砚开始制作D3闭环日报。开放日当天的数据更复杂，但口径更重要。他把“到访人数”拆成三层：预约到访、临时到访、有效到访（完成核验流程并参与咨询）。把“有效咨询”按问题类型分层：通勤、月供、户型、竞品、开放日二次预约。把“二次预约意向”定义为：现场明确选择下次到访时间段并完成表单确认勾选。每一项都写清口径说明，避免对方后续挑毛病说“你在灌水”。

12:06，D3闭环日报发给王珊，抄送梁总。发完，周砚继续准备“到访后48小时跟进SOP”。

SOP只写六步，但每一步都带责任人、时间节点、证据留痕点：

1）T+2小时：发送到访感谢+资料补充（分批私信），留痕：发送记录截图与模板版本号

2）T+6小时：一对一确认疑问点（按Q&A库），留痕：对话摘要与问题分类

3）T+24小时：推送“通勤实测二次证明”与“月供测算简表”，留痕：资料版本哈希

4）T+36小时：邀请参加10分钟答疑专场（对疑虑高的用户），留痕：直播链接与回放存档

5）T+48小时：引导二次到访预约（时间段选择），留痕：预约表单记录

6）异常用户处理：对“质疑/带节奏”用户转核验台证据路径，不争论，留痕：禁言/证据固定记录

周砚知道，真正的成交不是靠一场开放日，而是靠这48小时内的“信任二次加固”。对手想切他的功劳，就必须先切掉这套机制。但机制一旦跑起来，谁切谁要承担断档责任。

13:34，新的暗流出现。

阿远在项目群里发了一条看似“加速推进”的指令：“为提升二次预约转化，今晚起由我统一安排运营群发跟进，话术我这边重新优化，大家按我版本执行。”

重新优化话术。

周砚的后背一瞬间绷紧。他太熟悉这种“优化”：删掉区间、删掉风险提示、用更刺激的表述换转化，然后把风险留给执行人。更危险的是，这次针对的是“用户信息触达”，一旦话术踩隐私或虚假宣传的雷，平台风控和甲方风控会同时炸。

周砚没有在群里对抗。他直接私信运营负责人：“今晚群发暂停，先把阿远的新话术发我核验。未核验不得执行。执行需使用已归档模板版本号，否则不留痕的群发=**险。”

运营负责人回：“我也担心，等你核验。”

13:58，阿远把一份“优化话术”丢到共享盘临时文件夹里，文件名没有版本号，也没有责任人署名，只写“跟进话术_最终版”。

周砚点开，果然——里面出现了绝对化表述：“通勤稳定8分钟”“月供最低XX”“错过就涨价”“名额只剩最后X个”。这类词句一旦被截图传播，直接触发虚假宣传与诱导营销风险。更致命的是，阿远把隐私告知段落删掉了，只留下“回复手机号即可安排顾问联系”。