第14章 网络轨迹(5/8)

302公用电脑；
19:01:18登录失败记录：账号（周砚@公司域名），验证失败原因：密码错误；
19:01:32登录失败记录：账号（周砚@公司域名），验证失败原因：密码错误，触发账号保护模式；
19:03:45会话结束：临时访客会话锁定，设备恢复休眠模式。
周砚的手指缓缓收紧，指节微微泛白。
监控缺口是18:47—18:59，而外设接入发生在18:46:58——刚好压在缺口的起点前一秒。这意味着，在监控失去信号的前一刻，有人通过键盘唤醒了302的公用电脑，启动了临时会话，插入了可移动存储设备，随后立刻访问了公司登录页，输入了他的账号。整个动作链条完整且有明确的时间线，完全印证了他之前的推断：这不是偶然的误操作，是针对性极强的攻击行为。
监控缺口不等于没有证据。这条事件日志，已经把那段“无法确认”的时间，补成了一条可追溯、可核验的动作链。
视野边缘，蓝色面板准时亮起，提示的字色冷得像刀锋：
【监控缺口已被补齐：事件日志+门禁记录已形成完整攻击链路】
【下一步核心动作：锁定“可移动存储设备”的完整身份（全序列号/厂商ID/首次接入记录），并与门禁记录中的人员信息交叉匹配】
周砚立刻翻到附件里的《字段说明清单》，果然在“外设接入记录”一栏看到一行小字：“设备识别ID已部分脱敏，完整序列号可向资产管理部门申请调取。”他把那串脱敏的设备ID截图下来，新增到《302追溯证据索引表》里，标注为“核心关联证据”。
随后，他几乎没有停顿，接连发出两封邮件，动作精准得像执行战术指令：
第一封发给信息安全部负责人，主题明确：《请求补充：302涉事时段可移动存储设备完整信息》。正文只有一句话，理由硬气且无可辩驳：“需补充该设备的完整序列号、厂商完整信息、首次接入公司网络的时间与设备IP，用于锁定涉事时段接入主体，避免追溯停留在‘无法确认’阶段，影响项目交付账号的正常使用。”
第二封发给行政部资产管理组和IT资产台账负责人，主题直接：《协助核验：302涉事设备序列号归属》。正文里只列事实，不做任何推断：“302会议室涉事时段（18:30—19:10）的公用电脑，出现可移动存储设备接入记录，完整
本章还未完，请点击下一页继续阅读>>>