员要求提供itil_admin账号的登录轨迹。控制台显示：过去24小时内，itil_admin账号有两次登录，一次来自供应商办公网段，一次来自海外公共出口；海外登录发生在凌晨02:18，失败三次后成功一次，随后触发了凭据访问与作业查询，但未触发发布。
海外公共出口、失败三次后成功一次——与平台侧“海外出口重试旧token”的线索相互咬合。
监管联络人问：“你们解释一下：itil_admin为什么会在海外登录？谁在海外？是你们员工出差，还是账号泄露？”
合规负责人声音发虚：“我们会内部核查，不排除账号被盗。”
网安技术人员冷冷说：“你们现在要做的是提供证据，不是给结论。提供：账号MFA是否启用、是否绑定硬件令牌、登录设备指纹、IP归属、成功登录后的操作序列。我们会判断是否为被盗或内部行为。”
取证员把登录设备指纹导出。设备指纹显示为一台虚拟机浏览器环境，User-Agent伪装普通Chrome，但设备标识与供应商内部标准终端不一致。更异常的是，成功登录后第一件事不是查看报警，而是进入“Credentials”页面，查询HIGH_SCOPE_TOKEN。
像是在确认钥匙还在不在。
林昼看着那条操作序列，后背一点点发冷。他意识到，这件事已经不是单纯的“供应商为了效率留下暗门”，更可能存在“有人在暗门上做了二次利用”：要么内部有人主动伸手，要么外部有人拿到钥匙伸手。
无论哪种，都意味着风险升级。
周负责人把所有导出文件当场哈希固化，监管与网安分别签字。合规负责人也被要求签字确认见证。合规负责人手抖得厉害，签名像一条被拉扯的线。
十点五十八，周负责人宣布：“CI/CD控制台证据固定完成，下一步做系统镜像。请你们提供Jenkins控制节点与AgentPool的访问路径。若你们拒绝，网安将按程序介入。”
合规负责人终于扛不住，低声说：“我们需要上级批准。”
网安技术人员看了监管联络人一眼，监管联络人只说四个字：“现在申请。”
合规负责人拨电话出去，声音压得很低，但所有人都能听见他在说“保全”“网安”“强制”。电话那头沉默许久，最终
本章未完，请点击下一页继续阅读！