气质很“机关”，一开口就很平：“我理解你们要查清事实，但你们必须注意：秘书长办公室涉及大量保密事项，任何取证都要严格限定范围，不能触碰与本案无关内容。”
陆律把授权函与取证范围说明递给他：“限定范围写得很清楚：只取终端登录会话、云文档访问日志相关记录、门禁与公共区域监控，不涉及任何其他文件内容。你可以全程旁观。”
孟处员点头，态度不激烈，却也不配合得过分热情。他像在走一种更高级的防御：不阻拦，但用规则把你锁在更小的盒子里，避免你看见更多。
取证开始。SZ-TERM-07的登录会话导出后，第一条关键记录就跳出来：澄清帖初稿被修改的那两次时间点，终端登录账号不是孟处员本人，而是一个从未在资产清单里出现过的本地管理员账号：**sz.local.admin**。更诡异的是，该账号登录方式显示为“远程会话”，而远程会话来源IP——正是此前sec.bridge网关池的一段地址。
桥断了，但远程会话还在别处。或者说，桥在系统里被封了，但桥的思想还在：把访问包装成会议支持、把管理员包装成本地、把日志包装成条件审计。
顾明看着那条记录，冷笑了一声：“他们根本不想让任何人承担实名。他们用本地管理员做手套，用远程会话做脚印。”
“远程会话的接入凭证是什么？”警方技术人员问。
顾明快速翻导出文件：“凭证字段显示：使用了一个一次性令牌，发放源……sec.exec.gateway。”
又回到了sec.exec.gateway。那不是一个普通账号，那像一个“令牌发放器”：谁拿到令牌，谁就能用远程会话登陆任何需要的终端，留下的只是一个本地管理员影子。令牌发放器就是影子机制的心脏之一：它让“操作者”永远可以不落地。
“令牌发放器在谁手里？”周砚问，声音很低。
顾明看向信息中心主任：“网关池属于谁管？”
信息中心主任迟疑：“名义上属于安全运维组，挂在秘书处专项。实际维护……以前是风险处置办公室工作台团队协同做的，现在工作台被解散了，权限应该回收了。”
“应该。”陆律抓住这个词，“应该不等于已经。我们要立刻确认：sec.exec.gateway现在谁有权限调用、谁能发令牌。否则他们还能继续远控、继续派单、继
本章未完，请点击下一页继续阅读！