“打开。”周负责人说，“我们要NTP状态、时间源、偏差记录。后续任何时间戳争议，先从这里解决。”

供应商照做。屏幕显示时间源正常，偏差在毫秒级。周负责人点头：“记录。”

法证记录员写下：NTP同步正常，偏差毫秒级。以后任何“系统时钟不准”的说辞都难以成立。

接着，周负责人要求导出itops_superadmin账号的授权范围。页面上赫然列出多项敏感权限：GeoFence.Write、Freeze.ControlWrite、RoutingPolicy.Admin、Token.IssueHighScope。旁边的“失效时间”一栏空着，写着“长期”。

周负责人抬眼看供应商合规负责人：“长期权限，为什么不设失效？季度复审在哪里？”

合规负责人试图解释：“历史遗留，之前用于应急保障。”

周负责人没接话，只对技术取证员说：“截图固化，导出原始记录，计算哈希。”

很快，权限记录导出成JSON与CSV两份，哈希写进笔录。每一条“长期”都从文字变成证据。

随后，周负责人调出token签发日志，定位到第三方平台提示的“冻结启用前一小时异常刷新”。日志里果然存在：同一来源IP两分钟内三次签发高权限token，scope一致，ReasonCode为空，ApprovalRef为空，签发账号显示为itops_superadmin下的一个子凭据。

周负责人问：“这个子凭据是谁创建的？创建时间？审批引用？用途？”

供应商技术负责人额头渗出细汗：“可能是自动化组件使用的服务凭据。”

“可能”不被取证接受。周负责人语气仍稳：“不是可能。导出该凭据的创建/修改/使用轨迹。我们要看到创建者账号与时间戳，看到是否存在审批引用。若审批引用为空，记为权限控制缺陷。”

导出开始。系统里跳出一个字段：CredentialCreator=itil_admin，创建时间为凌晨04:03，备注写着“tokenrefreshfix”。

凌晨04:03。

林昼的呼吸停