08:07，天色仍旧沉在一片灰蒙里，写字楼一层大堂的灯光像被水流磨平了棱角，冷白、均匀，落在地板上没有半点温度。
周砚没有直接上楼，而是先站在大堂角落的安全通道口，指尖触了触口袋里的手机——昨晚那条匿名威胁短信的截图归档记录，就存在相册的加密文件夹里。他很清楚，这条短信只能证明“有人在施压”，却无法直接绑定“谁在动手”。要把这种模糊的施压，变成可追责的攻击行为，必须将其重新锚定在那条完整的攻击链上：302会议室公用电脑→针对性失败登录→账号保护模式触发→项目交付通道中断。
他抬手理了理衣领，转身绕到信息安全室外的走廊尽头，停在那扇熟悉的磨砂玻璃门前。这里是追溯的关键节点，也是最容易出现“证据缺口”的地方，他必须把节奏握在自己手里。
抬手敲门，三下，力度不重不轻，刚好能穿透门板，却不显得急切。
门开的一瞬，负责302追溯的安全工程师看到他，眉头明显皱了一下，语气里带着几分不耐：“这么早？我们还没正式开工。”
“越早越好，省得晚上又出意外。”周砚的语气没有半分寒暄，直接切入核心，“昨天你们回复邮件说，302公用电脑的本地事件日志需要走封存解封流程，预计17:00前提供。我今天来，是提前确认两件事：一是日志的提取范围是否完整，二是关键字段是否齐全，避免等到晚上又出现‘信息不全无法判定’的情况。”
安全工程师侧身让他进来，办公桌上已经摆着一份打印件，封面用黑体字写着《302公用电脑事件日志提取说明（初稿）》。周砚扫过标题，没有去翻正文，直接盯着工程师的眼睛问：“我不关心流程，只关心四类核心字段：第一，设备唤醒或开机的精确时间；第二，所有登录尝试记录，包括成功与失败的账号、时间戳；第三，外设插拔记录，比如U盘、外接键盘鼠标这类可移动设备的接入与拔出痕迹；第四，网络状态变化记录，比如有线无线切换、IP地址变更、网关连接状态。这四类字段，能不能全部完整提供？”
工程师拿起桌上的打印件，指尖在纸页边缘摩挲了一下，迟疑着开口：“外设插拔记录……可能有点麻烦。这部分数据涉及公司设备安全策略，默认只保留七天，而且不一定能完整导出所有字段。
本章未完，请点击下一页继续阅读！