第3014章 冤大头路人54（2 / 2）

请关闭浏览器的阅读/畅读/小说模式并且关闭广告屏蔽过滤功能，避免出现内容无法显示或者段落错乱。

这个文件名的命名规范，只有内部技术文档管理员才有权限定义。

而这份完整版决策树的访问权限在系统里的标记状态是只读授权，授权对象：临时项目组，但临时项目组的生命周期在去年八月份就已经结束了。

一份本应被回收权限的文件，在授权组过期三个月后，被人用一台来自内部保留地址段的终端访问了。

秦洛截了屏，把记录存在本地加密文件夹里，然后他站起身，走到客厅另一头的书架上抽出一本黑色硬皮笔记本，翻到中间夹着信封的那一页。

信封里装着他从陈应通道日志里拉出来的那组心跳包时间戳打印件，旁边用红笔圈出了几个异常峰值点。

他重新把那几个点跟刚才第三十七条访问记录的时间对照了一下——决策树文件被访问之后的第四十八小时，陈应通道的心跳包里第一次出现了结构异常。

之后每隔两周，结构异常都会出现一次新的变体，正好对应陈远投喂下一轮探针的时间点，时间线已经严丝合缝。

秦洛把笔记本合上，重新坐下，给方敏发了一条：决策树完整版被访问的记录我已经找到了，访问时间六个月前凌晨三点十一分，源头来自技术委员会专用终端，你不用查DHCP了，帮我做另一件事：技术委员会核心成员里，有谁在去年八月临时项目组生命周期结束后还在系统里挂着有效凭证？名单给我。

方敏的回复很快：这需要查IAM系统的凭证有效期表，那个系统的审计日志只保存三个月，超过三个月的数据需要手动从冷存储拉，我现在开冷存储的查询请求，预计四十分钟。

四十分钟太久了。秦洛敲回去，你从另一条路走——看一下那台网关设备上陈远的个人账号创建时间，跟那个保留地址段终端首次访问决策树文件的时间有没有关联。

方敏沉默了几秒，然后回：你怀疑陈远的账号就是那台终端第一次访问决策树的同一批工单创建的？

如果他的网关管理员账号跟那台终端的凭证是在同一个时段内被批量创建的，那就说明他本人很可能就是技术委员会内部某个人安排进去的傀儡。”

“安排他的人用内部终端的权限拿到决策树文档，然后通过陈远操作网关设备执行后续动作，自己从头到尾不需要离开内部网络一步。

方敏再没回复文字，秦洛看到她的账号状态变成正在处理工单。

他靠在椅背上，盯着屏幕右下角的时间，距离明天上午十点的演示还有将近十三个小时，距离下午两点十七分的定时窗口还有将近十七个小时。

时间本身很充裕，但信息缺口仍然堵在最后一个环节上。

他闭上眼睛，把目前手头所有硬证据在脑子里过了一遍：

一、陈远是晨声数据法人同时是网关管理员；

二、网关半年内唯一出现过的两个登录IP分别是陈远本人和ClearVoice内部保留地址段；

三、保留地址段终端在六个月前访问了CV_DT_V3.2_full完整决策树文档；

四、文档访问后四十八小时陈应通道心跳包出现第一次结构异常；

五、此后每两周一次异常变体对应一轮探针投喂；