第四十九章：取证进场(3/11)

页面上赫然列出多项敏感权限：GeoFence.Write、Freeze.ControlWrite、RoutingPolicy.Admin、Token.IssueHighScope。旁边的“失效时间”一栏空着，写着“长期”。 周负责人抬眼看供应商合规负责人：“长期权限，为什么不设失效？季度复审在哪里？” 合规负责人试图解释：“历史遗留，之前用于应急保障。” 周负责人没接话，只对技术取证员说：“截图固化，导出原始记录，计算哈希。” 很快，权限记录导出成JSON与CSV两份，哈希写进笔录。每一条“长期”都从文字变成证据。 随后，周负责人调出token签发日志，定位到第三方平台提示的“冻结启用前一小时异常刷新”。日志里果然存在：同一来源IP两分钟内三次签发高权限token，scope一致，ReasonCode为空，ApprovalRef为空，签发账号显示为itops_superadmin下的一个子凭据。 周负责人问：“这个子凭据是谁创建的？创建时间？审批引用？用途？” 供应商技术负责人额头渗出细汗：“可能是自动化组件使用的服务凭据。” “可能”不被取证接受。周负责人语气仍稳：“不是可能。导出该凭据的创建/修改/使用轨迹。我们要看到创建者账号与时间戳，看到是否存在审批引用。若审批引用为空，记为权限控制缺陷。” 导出开始。系统里跳出一个字段：CredentialCreator=itil_admin，创建时间为凌晨04:03，备注写着“tokenrefreshfix”。 凌晨04:03。 林昼的呼吸停了一瞬。04:03在那张补录申请单04:12之前。补录发生前，先补了一个“tokenrefreshfix”的凭据。这个顺序不像修复，更像铺路：先把钥匙磨好，再写申请单，再说“误触发”。 周负责人显然也捕捉到了这个顺序，他没有做结论，只说：“记录。此凭据创建时间在补录单据前，存在关联嫌疑，后续与变更补录轨迹对齐。” 监管人员在笔录旁画了一个小小的圈。那一圈不是批注，是预告：这条线会被拉到最紧。 --- 第二步：封存代码仓与编排系统。 周负责人让供应商打开代码仓管理平台，要求提供RouteH
本章还未完，请点击下一页继续阅读>>>