第五十二章：封管道(3/4)

首发：~第五十二章：封管道

网安技术人员看了监管联络人一眼，监管联络人只说四个字：“现在申请。”

合规负责人拨电话出去，声音压得很低，但所有人都能听见他在说“保全”“网安”“强制”。电话那头沉默许久，最终回了一句：“配合。”

合规负责人挂断电话，像一下子老了几岁：“我带你们去。”

---

十一点二十五，供应商运维中心的机房通道。

门禁刷卡时，林昼注意到运维主管的手指一直在抖。门开的一瞬间，冷风迎面扑来，服务器风扇的嗡鸣像一片持续的潮水。周负责人没有看机器的“规模”，只看“定位”：控制节点、配置库、日志落地位置。

取证员开始做镜像。每一台关键主机都插入法证介质，走只读镜像流程。镜像过程中，系统显示某些日志保留策略仅为“7天”。周负责人立刻要求把备份策略与归档位置一并固定，因为日志保留短本身就是治理缺陷，且可能造成证据缺口。

运维主管试图解释：“我们有集中日志平台，会归档。”

周负责人说：“那就固定集中日志平台的索引与归档。”

镜像持续进行。林昼在机房边缘站着，听风扇声一阵阵掠过，像某种巨大的机器在呼吸。他忽然想到父亲说过的那句话——“他们怕你们急”。在这里，急没有意义，只有一步一步把证据拧紧。

十二点四十，镜像完成一半时，机房门外传来争执声。

一个穿西装的男人冲进来，胸牌写着“区域总监”。他进门就直奔监管联络人，语气强硬：“你们这样会影响我们所有客户服务，我们有商业秘密保护义务。没有法院令，你们不能拷走我们的系统镜像。”

监管联络人把保全令与联合取证函递过去，语气极稳：“这是行政监管与网安协同取证，依法依规。你可以对程序提出异议，但不得阻碍取证。”

区域总监冷笑：“那我现在就通知法务，后续你们承担后果。”

网安技术人员第一次抬高了一点音量：“你现在阻碍取证的每一句话都在录音录屏里。你要承担的后果可能比你想象的大。”

区域总监脸色微变，但还想硬撑：“我们也是受害者，账号被盗你们不去抓盗号的人，来抓我们？”

周负责人走过来，淡淡一句：“受害者也有治理责任。你们把审批引用设为可选、把高危scope交给自动化、把冻结受阻时改控制权写进管道脚本，你们在架构上给了盗号者武器。今天取证不是抓结论，是固定事实。事实固定后，谁是盗号者、谁是放武器的人，会由证据回答。”

区域总监噎住，最终只丢下一句“我们保留权利”，转身出去。

林昼看着他背影，忽然有一种很清晰的预感：当“商业秘密”挡不住取证时，对方会转向别的方式——把矛头指向具体的人，把复杂责任压到一两个“违规工程师”身上，然后说“我们已处理个案”。

个案替罪，系统继续存在。

这就是他们最想要的结局：承认几个错误，但保住暗门逻辑。

林昼在心里把这条预感写下来：**不能让责任被压缩成个案，必须把“默认绕过”定性为治理失效。**

---

下午三点，联合取证回到医院，召开临时复盘会。

周负责人把CI/CD取证结果用最简短的方式概括：

1）管道中存在高危凭据HIGH_SCOPE_TOKEN，创建审批引用为空；

2）管道脚本存在默认绕过审计引用开关AUDIT_REF_OPTIONAL=true；

3）04:05发生ForceDeploy，审批链为空，发布目标含策略配置包；

4）itil_admin存在海外登录成功行为，操作序列指向凭据查询与作业检查；

5）上述事实与租户侧脚本逻辑、平台侧拒绝事件、异常签名请求相互闭环。

监管联络人听完，只说一句：“从整改走向调查。”

这句“调查”落下时，会议室里每个人都明白意味着什么：供应商不再只是“需要整改的合作方”，而可能成为“涉嫌违反网络安全管理义务的主体”，甚至可能存在更深层的违法线索。

网安技术人员补充：“接下来我们会做两件事：一，追海外IP归属与登录路径；二，排查是否存在凭据外泄链路。请医院协助保护证人，尤其是提供线索的人。”

提供线索的人——Q7。

林昼突然想起那封邮件的代号，想起“别回我”。那不是故作神秘，是害怕被定位。

他问：“能否确定Q7是谁？”

周负责人摇头：“我们不会让你去查。我们会通过邮件头与传输路径去追线索源，但在未确认前，任何猜测都可能害死线人。”

“害死”这两个字说得很重，却并非夸张。在这种对抗里，线人的职业生涯、收入、家庭都可能被摧毁。比起技术风险，人更脆。

信息安全负责人当场提出：“医院侧启动证人保护提醒：任何对证人施压、调岗、解聘、扣帽子，全部记录并上报监管与网安。我们也会安排心理支持与法律援助。”

监管联络人点头：“会下发提醒。”

会议结束时，周负责人把一份“阶段报告提纲”递给法务，重点标注了一条：**“默认绕过机制属于架构性风险，不得以个案处分替代整改。”**

林昼看到这句话，心里稍微松了一点。至少审计机构与监管没有被“替罪羊策略”牵走。