第23章 终端指纹(3/4)

首发：~第23章 终端指纹

这是赤裸裸的合规炸弹。

周砚没有去骂阿远。他在文档留言区按规范写下修改意见，逐条标注风险与替换建议，并生成“核验版v1.0”：

-“稳定8分钟”→“实测区间为8分钟±1-2分钟浮动（以实际出行情况为准）”

-“最低月供”→“月供区间（根据楼层/贷款年限/首付比例计算，区间见测算表）”

-删除“最后X个名额”“错过就涨价”等诱导性语句

-加回隐私告知：仅通过预约表单收集必要信息，回复手机号属于**险收集方式，禁止

-增加证据路径引导：资料按清单领取，欢迎核验

他把修订后的话术导出PDF，生成哈希，上传到“运营/话术/跟进/核验版”目录，命名为《到访后跟进话术-v1.0-核验版-周砚》，并在项目群发一句极短、极硬的公告：

“@全体到访后群发跟进话术仅可使用《到访后跟进话术-v1.0-核验版-周砚》（路径：XXX），未经核验版本包含绝对化表述及隐私告知缺失，存在平台风控与合规风险。请勿私自群发。”

他没有点名阿远，但每个人都懂这句话在指什么。

阿远立刻私信过来，语气压着火：“你是不是又要越权？我优化话术是为了转化，你这么一改还怎么成交？！”

周砚回得更短：“转化不以违规为代价。你要用你版本，请书面承担虚假宣传与隐私合规风险，并同步梁总与法务。否则按核验版执行。”

对方没有再回。

15:07，信息安全部终于发来新的安排：“可在安全室现场核验原始日志，外带仅提供脱敏导出摘要。核验时间16:00-16:30。”

周砚眼神一沉：半小时。

对方给的时间短得像在赶工，目的就是让你来不及细看，草草核验，最后仍能说“无法锁定”。但周砚不会被节奏带走。他立刻把“核验问题清单”打印出来，按优先级排好：

1）4625失败登录事件完整字段：登录类型、调用进程、来源工作站名、来源IP、失败原因细分

2）是否存在4648/其他凭据使用事件：说明是否有保存凭据/脚本调用

3）是否存在远程桌面/远程协助痕迹：日志中对应事件

4）涉事时段设备唤醒与键鼠活动：系统事件与电源管理事件

5）最后交互用户SID与会话切换：是否出现多用户切换

6）USB插拔：是否有外设

7）计划任务：是否存在定时触发脚本尝试登录

16:00，安全室。

冷白灯像手术台一样照着桌面。严负责人把一台隔离电脑推过来，屏幕上打开了事件查看器。旁边坐着信息安全工程师，法务也在，像监督。周砚没寒暄，直接按清单问：“请先定位19:01-19:03的4625事件，展开完整字段。”

工程师按了几下键盘，把事件列表拉出来。周砚盯着字段，像在看一份尸检报告。

登录类型：2（交互式）与3（网络）交替出现。

调用进程：出现过“winlogon.exe”，也出现过某个系统服务进程的调用痕迹。

工作站名：显示为302公用电脑本机名。

来源IP：内网段，但在某一条事件里出现了不同子网的来源。

周砚的指尖在纸上迅速圈出那条“不同子网”。这意味着：至少有一次尝试不是纯本机键盘输入，有可能是通过网络调用或远程触发。只要把这条钉住，所谓“账号持有人管理不当”的结论就站不住——你不能要求账号持有人管理一个从不同子网发起的登录触发。

他继续追问：“有没有4648事件？有没有保存凭据调用？”

工程师翻找，脸色有点僵：“有少量4648，但字段需要进一步解读。”

周砚抬眼看法务：“请记录：存在4648凭据使用事件，需进一步确认是否为脚本或系统调用。该点在结论出具前不得排除非人工触发。”

法务笔尖停了一下，还是写了。

周砚又问：“远程桌面/远程协助痕迹呢？比如RDP相关事件？”

工程师说：“没有明显RDP连接事件。”

周砚不争：“请记录：未发现明显RDP痕迹，但存在不同子网来源与4648，仍需排除其他远程触发方式或计划任务。”

他继续看“设备唤醒与键鼠活动”。日志显示：18:48附近设备从空闲状态唤醒一次，随后在18:50-18:55有短时间操作活动；19:00前后再次出现活动，然后19:01开始失败登录。

18:48。

正好落在监控缺失区间。

周砚的呼吸稳了一下。他没有露出任何情绪，但心里那根线已经被拉成一条直线：监控缺失遮住的，就是设备唤醒与操作的那段前置动作。门禁里王XX在18:46进入，监控从18:47缺失，设备18:48唤醒，这不是巧合，是链路。

周砚把这个时间点圈得更重：“请给出该唤醒事件的详细字段：唤醒来源（键鼠/电源按钮/网络唤醒）。”

工程师试图点开字段，却发现系统显示有限。他说：“我们需要从系统日志里再找。”

周砚不催，只说：“请记录：唤醒事件发生于18:48，处于监控缺失区间，唤醒来源需进一步确认。该点为追溯关键。”