第91章 跳板与签名(1/3)

首发：~第91章 跳板与签名

清晨五点四十，天还没亮透，战情室的灯已经亮得刺眼。人一夜没睡，头脑会像被棉絮塞住，可周砚反而越来越清醒——因为越临近核心，影子机制越会露出“制度化的手段”。真正危险的不是某个执行者，而是那条能让执行者随时被替换、让责任随时被分配、让证据随时被归档的通道。

顾明说的“跳板”就是通道的一种：它让两个原本应该隔离的网段互通，让bso-flow与集团办公室运维、董事会办公室会议室终端之间形成一条隐蔽的“技术走廊”。走廊一旦存在，谁都可以用“应急”的名义跨网段做事。应急是刀鞘，刀在鞘里就不吓人；可刀鞘被滥用，就会变成杀人的合法外衣。

“把跳板先锁出来。”周砚说。

顾明把屏幕切到网络日志解析界面，声音嘶哑但稳定：“窗口组邀请链接生成IP落在董事会办公室网段，但设备指纹又是集团办公室终端。说明对方不是简单VPN，而是用了一个中间节点转发流量。最常见的两种：一是远程桌面跳板机；二是代理服务。昨晚我们封了bso-flow主机与备份，但没封跳板。跳板可能还活着。”

罗主任问：“跳板在哪？”

顾明指向拓扑图一个不起眼的角落：“这里。一个叫‘svc-gate’的服务节点，名义是‘跨部门临时接入网关’，挂在信息中心名下。平时用来给董事会办公室提供临时运维支撑，比如会议系统故障时，让集团办公室运维快速接入。它在白名单里，没人会怀疑。”

“白名单就是暗门。”梁总冷声。

陆律抬头：“要封存svc-gate，需要信息中心配合。信息中心会不会被风险处置办公室先一步控制？”

周砚想了想：“信息中心的人最怕的是背锅。给他们编号与授权，让他们按程序做封存与镜像，反而能让他们站在安全一侧。怕的是口头、怕的是模糊。我们给他们清晰的指令：只做证据保全，不做业务切断。这样他们就没有借口拖。”

罗主任点头：“我出编号函，直接送信息中心主任，警方技术背书。”

十分钟后，纪检证据保全函与警方技术建议书同时发出。内容很短：对svc-gate进行镜像封存、导出最近三十天访问日志与会话记录，保留现场网络配置，取证期间保持业务不中断，必要时启用旁路镜像。

这份措辞很关键：它把“稳定”与“取证”兼容了，堵住了风险处置办公室最常用的借口——“你们封控会影响业务”。

---

上午八点半，信息中心机房。

信息中心主任亲自到场。他是典型的技术管理者，衣服皱、眼神疲惫、说话直接：“你们要封svc-gate，我理解。但我要确认：封存期间会议系统不能断。今天还有几场对外视频会议。”

警方技术人员回答得同样直接：“我们做旁路镜像，不动业务转发。先取证再评估是否需要切断。你配合，我们给你完整的取证记录与哈希，保证你责任清晰。”

信息中心主任点头：“行。只要责任清晰，我配合。”

镜像开始后，顾明在旁边盯日志导出。svc-gate的访问记录像一条暗河，平时没人看，一看就能发现水面下的涌动：大量来自集团办公室终端的远程桌面会话，目标是董事会办公室网段的几台设备；大量来自董事会办公室网段的代理请求，指向集团办公室备份节点；还有几条异常——从酒店Wi-Fi网段通过VPN接入svc-gate，再通过svc-gate转发到bso-flow.local。

“酒店Wi-Fi。”顾明抬头，“崔宁热点那条线又出现了。”

罗主任问：“能看到具体账号吗？”

顾明点开会话详情：“能。远程桌面会话使用了一个服务账号：svc.remote.账号备注‘会议支持’。但这个账号有两个异常：一是登录时间集中在凌晨与深夜；二是它访问的不只是会议系统，还访问了bso-flow与BK-BO-01备份节点。”

会议支持账号访问备份节点，这本身就不合理。会议支持只需要推流、音视频、投屏，不需要碰备份与流程系统。影子机制就是这样，把一个看似无害的账号扩权，塞进白名单，然后用它跨网段做所有事。

陆律立即说：“这就能证明：所谓‘会议支持’是幌子。我们需要追这个账号的权限变更记录：谁给它加了访问备份节点的权限，什么时候加的。”

顾明快速检索权限变更日志：“权限变更是上个月做的。审批备注：‘按风险处置需求，保障紧急响应’。审批人字段……显示为‘risk.office.owner’。”

风险处置办公室还没挂牌就有owner角色？或者说，挂牌只是对外宣布，这个结构早就存在，只是换了个名。影子机制最喜欢“提前存在”：你以为今天成立的新机构，其实它早就有，早就跑起来了，今天只是把它合法化。

“risk.office.owner是谁？”梁总问。

顾明摇头：“角色，没有实名。又是虚拟角色。”

“虚拟角色背后一定有设备与会话。”周砚说，“把risk.office.owner的会话拉出来。”

顾明继续查：“会话来源主要来自集团办公室主任终端、林澈终端，还有一条来自……秘书长办公室网段。”

梁总低声：“三条线合流。”

周砚没说话。他看着那条来自秘书长办公室网段的会话，脑子里已经把“稳定交易”四个字变成更具体的结构：秘书长办公室提供政治遮罩与‘上面很关注’的压力语言；集团办公室提供行政与应急白名单；董秘办提供媒体窗口与对外联系人；崔宁提供执行与脏手；林澈提供落地与群管理；svc-gate提供跨网段通道；ga.ops提供高权限遮罩。每一环都不是单点错误，是一套组合装置。

镜像完成，证据包编号生成：OD-LOG-261。里面包含svc-gate全量访问日志、svc.remote权限变更记录、risk.office.owner会话来源、跨网段转发规则与时间线。

信息中心主任看着封存箱被贴上封签，忽然问了一句：“你们这次查到这个程度，会不会……最后又变成整改报告？我见过太多，查到核心就停了。”

罗主任看了他一眼：“这次不会。因为他们试图清备份、控制证人。那不是整改能解释的。”

信息中心主任沉默了一下，点头：“那就好。”

---

回到总部，九点半，董事长要求的“双轨操作细则”签字会开始。

这是一个关键节点：签字是组织层面的“承认”。影子机制最怕承认，因为承认会让它失去模糊空间。但影子机制也最擅长在签字会上做文章：拖延、修改措辞、增加例外条款，用法律语言把牙拔掉，让你签了也锁不住它。

会议室里，董事长坐在主位，纪检、法务、内审、集团办公室主任、风险处置办公室负责人（名义负责人，实际由集团办公室指派）、董秘办负责人、信息中心主任都在场。

陆律把细则打印件放到每个人面前，条款一共十二条，短得像军令。

集团办公室主任翻到第三条，眉头立刻皱起：“第三条写‘风险处置办公室不得接触证据原件，不得调取任何取证材料’。这太绝对。我们负责对外口径，需要了解事实。不了解事实怎么口径？”

陆律回答得很稳：“你们可以拿编号摘要。摘要包含事实结论与整改措施，不包含证据细节。口径需要结论，不需要原件。”

风险处置办公室名义负责人也跟着说：“如果外部合作方质询细节，我们没有证据细节就无法回应。”

周砚开口：“外部合作方质询细节的最佳回应是程序与合法性：公司已启动纪检与内审联合调查，证据已封存，结论以调查结果为准。细节一旦外泄，只会成为二次攻击素材。你们要的是稳定，不是燃料。”

集团办公室主任试图再加一条例外：“那至少要允许在董事长授权下临时调取原件。”

陆律立刻堵住：“董事长授权也不行。因为一旦开例外，例外就会成为通道。必要时，董事长可以在纪检监督下查阅原件，但不得复制、不得外传、不得转交风险处置办公室。这一点是底线。”

董事长敲了敲桌面：“底线不谈。按法务建议执行。”

集团办公室主任的脸色更难看，但他没有继续硬顶。他知道董事长此刻的态度是铁的：你可以保面子，但不能保通道。

签字过程开始。每个人都要在细则末页签名并写日期。轮到集团办公室主任时，他停住了笔，忽然问：“如果调查结果最终证明只是执行层越界，你们是否会公开道歉，避免影响干部声誉？”

这句话听似合理，实则是一种提前构建退路的叙事：把结果预设为“执行层越界”，把追溯压力变成“影响干部声誉”。它试图让董事长在签字时就背上未来的政治债。

周砚没有接这张牌，他把它压回程序：“调查结果是什么由证据决定，不由预设决定。干部声誉也由证据决定。我们能保证的是程序公正、证据完整、对外口径克制。除此之外，任何承诺都是干预。”