，他都写了“证据来源：日志文件名+事件ID+截图编号”，把证据路径钉死。
08:36，门禁明细、监控缺失说明、本地事件日志三条线终于可以叠加了。
门禁显示：18:46王XX进入，18:49离开；监控缺失从18:47开始；日志显示18:49插入HID设备、18:50创建计划任务。
时间线几乎无缝衔接。
这是交叉证据的力量：你可以说监控缺失是故障，你可以说门禁进出只是路过，你也可以说登录失败无法锁定责任人，但你解释不了——为什么监控缺失开始的那一分钟里，公用电脑被唤醒并插入了一个额外的键盘类设备；你解释不了——为什么刚好在王XX离开一分钟后，计划任务被创建。
周砚把这条时间线打印出来，红笔圈住“18:49”和“18:50”两个点，在旁边写了四个字：必须落锤。
可落锤需要“人”的对应关系。日志告诉你发生了什么，门禁告诉你谁进出，下一步就是把“动作”落到“人”。
他要的不是“怀疑王XX”，他要的是“证明王XX是否是唯一可能实施该动作的人”，或者“证明王XX的卡被他人使用”，从而逼出真正的操作者。
09:02，周砚起身去茶水间倒水。
路过行政区时，他看见行政部的孙XX正站在打印机旁整理纸张，动作熟练。孙XX就是门禁明细里19:02和19:08两次刷卡进入的人。周砚没有停，也没有盯着看，只把这个画面记在脑子里：孙XX今天来得也很早。
回到工位，他给物业安保主管发了一封邮件——物业邮箱在公司通讯录里，平时只用于访客管理与消防演练。但现在，他需要物业系统的一个细节：门禁刷卡是否有联动抓拍。
邮件主题写得很克制：《门禁刷卡联动抓拍留存状态咨询（302会议室门禁）》。
正文只问两句：
“1）302会议室门禁刷卡是否联动抓拍照片或短视频（含抓拍设备型号与留存周期）；
2）若有抓拍留存，能否按公司内部调查流程提供涉事时段（18:40—19:10）刷卡抓拍记录，供核验。”
他没有说“谁干的”，没有说“攻击”，只说“核验”。同时抄送梁总和信息安全部负责人
本章未完，请点击下一页继续阅读！