第四十三章：原始快照(2/4)

首发：~第四十三章：原始快照

*03:10：ProbeWindow恢复为15m，Override关闭

列表里每一条后面都有三个字段：OperatorHash、ApproverRole、ApprovalTime。

OperatorHash是一串被部分遮盖的哈希：例如**op_7f3a****b2**。

ApprovalTime也被遮盖了秒级。

供应商很聪明：他给你“存在”，不给你“可定位”。遮盖两位，足够让监管难以直接比对内部账号；遮掉秒级，足够让时间线变得模糊。但监管的通知要求“原始记录不可二次编辑”，这份遮盖版本只能算“过渡”，不是终局。

梁组长把这份列表转给林昼：“监管当场退回：遮盖不符合‘原始记录’要求。供应商说可在监管现场提供原始查看，但不允许带走文件。”

林昼回：“现场查看可以，但必须有监管见证的哈希校验与拍照记录，至少把完整OperatorHash与完整时间戳抄录进笔录。带不带走不是关键，关键是可核对、可追溯。”

梁组长回：“监管准备下午两点去供应商现场（或远程屏幕共享）做原始查阅。”

林昼心里微微一紧。现场查阅是对方常用的“控制手段”：他们可以选择展示某个界面、隐藏某个字段、用滚动和折叠消磨你耐心，甚至用“权限不足”限制你看不到最关键的部分。可这一次监管已经有第三方签章证据、有调度原因摘要、有留存周期确认、有强制调取通知。对方如果再玩花样，代价会更大。

代价越大，他们越可能反扑。

---

下午一点半，护士长的临时住所再次出现异常。

安保在监控里看到一个戴鸭舌帽的男人在楼下徘徊，时而抬头看窗，时而低头发语音。安保上前盘问，对方说“等人”，却说不出具体姓名。警方到场后，男人很快改口：“我找错地方了。”警方记录了身份信息，警告并要求离开。男人离开前朝楼上扫了一眼，目光很冷。

法务把事件记录发到监管联络群里，附上时间与处理过程。监管回复：“已收悉，纳入证人保护风险评估。请继续保持记录。”

林昼看到这条记录，胸口发闷，却没有分散注意力。他知道对方的策略是双线：一边拖、遮、拒签；一边用低烈度威胁制造心理压力，让证人退缩，让人疲惫。一旦有人退缩，证据链就会缺口。缺口就是他们的生路。

所以今天他更不能退。

---

下午两点零五，原始查阅开始。

供应商技术负责人通过监管指定的远程会议系统共享屏幕，打开了所谓“策略配置中心”的后台界面。界面很干净，像任何一个企业级控制台：左侧菜单、右侧表格、顶部筛选。监管要求直接进入“审计轨迹导出”，不要停留在“摘要面板”。

技术负责人试图先展示“策略概览”，监管打断：“我们要原始快照导出，不要概览。”

对方点头，进入“Export”页面，选择时间范围18:00-06:00，勾选字段。导出按钮灰着。

技术负责人说：“需要更高权限账号才能导出。我没有。”

监管沉默了两秒，语气没有提高，但每个字都锋利：“你们上午提交材料时声称具备留存与审计能力。现在你告诉我无法导出。请在十分钟内使用具备权限的账号完成导出。否则视为拒不配合强制调取通知。”

十分钟。

时间不是催促，是威胁的反面：监管用时间把对方的“权限不足”变成“拒不配合”。

屏幕那端出现短暂的忙乱。几分钟后，一个新的账号登录，界面右上角显示角色：**OpsMgr**。导出按钮亮了。

林昼看见这个角色，手指在桌面上轻轻敲了一下。OpsMgr，运维经理。摘要里写的审批角色就是它。现在这个账号出现，说明至少有人愿意把权限拿出来——或者说，监管的压力已经让他们不得不拿出来。

导出开始，系统弹出确认框：“Exportauditdataincludessensitiveconfiguration.Proceed?”

OpsMgr点击“Proceed”。

下载进度条走完，生成一个压缩包文件名：**audit_export_2024A_1127_1800_0600.zip**。

监管要求对方立刻计算该文件的哈希值，并在屏幕上展示。对方打开命令行，计算SHA-256，输出一串长长的字符。监管人员抄录并要求截图留存。

这一步是关键：哈希让文件成为“固定证物”。对方以后再想改，就会被哈希打脸。

随后，供应商技术负责人把文件通过监管指定的加密渠道上传。上传完成后，监管确认收到并校验哈希一致。

到这一刻，原始快照终于落到了监管手里。

林昼在观察室里长长呼出一口气，却不敢松。拿到文件只是第一步，文件里有没有关键字段、有没有“ProbeWindowPrev”、有没有“OverrideFlag”、有没有操作账号哈希与时间戳，才决定这条链能否继续往下钉。

---

下午三点，监管在内部环境中打开压缩包，进行初步核对。

林昼不能直接看文件，只能听法务转述。但法务的打字速度明显变快，说明里面有东西。

法务低声说：“他们导出的审计记录里有一条很关键：19:08那条变更，操作者账号哈希与审批账号哈希不是同一个。操作者是‘svc_route_admin’类型账号，审批是OpsMgr。也就是说执行是服务账号，批准是经理角色。”

服务账号执行、经理审批——这符合很多企业的运维流程：审批人授权，系统服务账号执行配置变更，减少个人账号直接操作。但这也意味着另一件事：**只要服务账号被控制，任何人都能在审批后借服务账号执行变更。**

关键不在于服务账号本身，而在于：谁发起了变更申请？谁写了变更内容？服务账号执行的变更内容是否与申请一致？有没有二次修改？

法务又说：“更重要的是，审计记录里有一个字段：OverrideReasonCode。填写的是‘EMERGENCY_DELIVERY_ASSURANCE’。紧急投递保障。”

紧急投递保障。