我可以配合，但我要提醒，日志里面会有大量无关操作，比如自动同步、服务账户备份、脚本清理。你们必须给出非常明确的筛选条件，否则导出来你们也看不懂。”
周砚把自己带来的“查询条件清单”放到桌面：“我已经做了条件。优先看四类动作：删除重传、覆盖上传、权限变更、共享链接修改。并且只看关键目录与关键时间窗。”
许工翻了两页，抬眼：“你要查管理员账号？”
高岚替周砚接话：“内控立案，合法合规。日志只给内控，封存编号走内控流程。信息化只提供原始导出与字段解释。”
许工点头，但眉头还是皱着：“Break-glass账号属于最高权限，使用记录理论上也能查，但需要安全部配合。你们先从共享盘审计走，若出现‘异常清理’再上升到Break-glass。”
周砚没有争“现在就查Break-glass”，他知道组织接受需要梯度。他只补了一句关键限定：“请确保导出的日志包含操作者IP与设备标识字段。没有设备标识，链条会断。”
许工沉默两秒：“可以。”
11:02，高岚把封存编号写在白板上：“SP-AUD-202X-003（共享盘审计日志导出）。”随后又写了一行：“SP-PERM-202X-004（权限变更记录导出）。”
周砚看着编号，心里很清楚——从这一刻起，“谁能改版本”不再是猜测，而是可查证的事实问题。
11:35，审计日志第一批导出完成。
许工没有把原始文件发给周砚，只发给高岚，并抄送梁总。周砚拿到的是一份摘要表（经内控脱敏处理），但字段足够。
摘要表里，最扎眼的是一条记录：
“D-207:36：目录‘运营/证据包’文件‘竞品对比表_v1.1.pdf’发生‘Replace’操作（覆盖替换），操作者：it-admin02，来源IP：10.18.x.x，设备标识：WIN-OPS-07。”
周砚的眼神微微一沉。
覆盖替换，意味着不是普通上传新版本，而是用同名文件直接把内容换掉。企业盘的“Replace”操作通常只有在特定客户端或管理员工具下才会出现。普通员工
本章未完，请点击下一页继续阅读！