第五十二章：封管道(3/3)

首发：~第五十二章：封管道

4）itil_admin存在海外登录成功行为，操作序列指向凭据查询与作业检查；

5）上述事实与租户侧脚本逻辑、平台侧拒绝事件、异常签名请求相互闭环。

监管联络人听完，只说一句：“从整改走向调查。”

这句“调查”落下时，会议室里每个人都明白意味着什么：供应商不再只是“需要整改的合作方”，而可能成为“涉嫌违反网络安全管理义务的主体”，甚至可能存在更深层的违法线索。

网安技术人员补充：“接下来我们会做两件事：一，追海外IP归属与登录路径；二，排查是否存在凭据外泄链路。请医院协助保护证人，尤其是提供线索的人。”

提供线索的人——Q7。

林昼突然想起那封邮件的代号，想起“别回我”。那不是故作神秘，是害怕被定位。

他问：“能否确定Q7是谁？”

周负责人摇头：“我们不会让你去查。我们会通过邮件头与传输路径去追线索源，但在未确认前，任何猜测都可能害死线人。”

“害死”这两个字说得很重，却并非夸张。在这种对抗里，线人的职业生涯、收入、家庭都可能被摧毁。比起技术风险，人更脆。

信息安全负责人当场提出：“医院侧启动证人保护提醒：任何对证人施压、调岗、解聘、扣帽子，全部记录并上报监管与网安。我们也会安排心理支持与法律援助。”

监管联络人点头：“会下发提醒。”

会议结束时，周负责人把一份“阶段报告提纲”递给法务，重点标注了一条：**“默认绕过机制属于架构性风险，不得以个案处分替代整改。”**

林昼看到这句话，心里稍微松了一点。至少审计机构与监管没有被“替罪羊策略”牵走。

---

傍晚六点二十，风暴从另一个方向吹来——供应商的律师函。

法务把邮件打印出来递给林昼，标题写得很刺眼：《关于停止侵害商誉及不实传播的律师函》。内容大意是：要求医院与相关人员停止使用“暗门”“撬锁”“证据污染”等词汇，否则将依法追诉，并索赔经济损失。

林昼扫了一眼，差点笑出来——他们开始抓词，而不是抓事实。

抓词意味着事实已经不好解释，只能把战场拉到“表述是否恰当”。这是典型的转移：你只要开始辩词，就会陷入无穷无尽的语义泥潭，忘了最重要的东西是日志、哈希、审批链、变量默认值。

法务问他：“要不要回函？”

林昼说：“回，但只回事实框架。不要争词。写明：所有表述来源于取证记录与监管文件，均在程序内使用；如有异议，请通过监管与司法渠道核实证据。我们不对外传播细节，不评价动机。”

法务点头：“明白。”

信息安全负责人补了一句：“临床群里不要出现任何词汇攻击，统一用‘高危自动化动作’‘审批引用缺失’‘默认绕过’这些中性描述。让他们的律师函打在空气上。”

林昼同意。对方要打词，就让他们打空气；他们最怕的不是词，是数字。

---

晚上九点，病房。

父亲精神比前些天更好，能坐起来和他讲几句。林昼把今天发生的事讲得很简短，只说“去封存了供应商管道证据”，没有讲海外登录、也没有讲律师函。他不想让父亲的心跳因为这些东西加速。

父亲却像早就猜到风暴不会停，问：“他们是不是开始吓唬你们了？”

林昼沉默半秒：“是开始转方向了。”

父亲点头：“正常。门锁上了，他们就喊疼。喊疼的人，嘴最毒。”

林昼握住父亲的手：“但我们不跟嘴打，我们跟字打。”

父亲轻轻回握，声音很慢：“记住，你别急。你急，他们就赢。”

林昼低声说：“我不急。”

他走出病房时，手机跳出一条银行短信：信用卡本期应还金额提醒，逾期将产生违约金与影响征信。短信文字很短，却像针一样扎在他心口——他的债务不会因为取证进展而暂停计息。

他靠在墙边，闭了一下眼，胸口像被两股力量同时拉扯：一股是规则的重力，一股是生活的重力。

清算系统弹窗又跳出来，仍旧冷静：

【清算进度：41%】

【新增线索：管道默认绕过】（证据等级：高）

【下一任务：追责路径拆分】（建议：治理责任链>个案责任链）

【提醒：财务压力上升】（建议：冻结非必要支出，保持现金流）

他看着“财务压力上升”，忽然觉得可笑——连系统都在提醒他钱的事。但他也明白，这是现实：如果追不回来，他不仅失去公道，还会失去活下去的余裕。

他把短信删除，把弹窗关掉，重新挺直背，往法务室走。

---

深夜十一点半，新的告警又来了。

第三方平台协查联系人发来一条更新：海外公共出口的旧token重试虽已归零，但平台检测到一个新的“幽灵服务主体”在尝试发起控制权变更请求，主体标识显示为“GhostSigner”，来源IP仍是海外公共出口，且请求报文结构与供应商管道脚本中的“request_controller_change”高度一致。

这意味着：即便锁换了，仍有人在尝试用“同样的方式”开门，只是钥匙不再匹配。

更可怕的是，“GhostSigner”这个主体不像残留任务，更像有人专门写了一个“签**”，在外部不断试探系统边界。

信息安全负责人看到后只说一句：“这已经不是整改问题，是对抗问题。”

周负责人回复：“把GhostSigner报文样本固化，我们会在CI/CD镜像中寻找对应组件。若存在外部签**代码或镜像痕迹，性质进一步升级。”

监管联络人更直接：“网安已介入，今晚开始做溯源。医院侧继续保持双人复核签名机制，不得因疲劳放松。”

林昼盯着“GhostSigner”四个字，脑子里闪过一个判断：这场战斗的真正对手，可能不止供应商的合规部门，也不止供应商的运维团队。还有一个在暗处的人，拿着旧逻辑、旧工具、旧路径，想把门再开一次。

他把这一夜的记录写进索引，最后落下一行：

*CI/CD已封存，默认绕过证据确立；对抗升级为外部“GhostSigner”试探；下一步：溯源与责任链拆分，防替罪羊

写完，他合上本子，走廊尽头的灯发出轻微的电流声，像风暴前的低鸣。

他知道，门已经换锁，但有人还在门外摸索。

门外摸索的人，一旦找到新的缝，下一次就不一定只是在“试”。