人员把摘要拿来，许衡看完后又问了一个更尖的问题：“这条信息的发送时间点，与你们打印区维护黑屏、证人保护点后勤支持入侵的时间点是否相近？”
顾明立刻对齐时间线，发现三者之间存在一个固定节奏：每次“动作”发生后约十五到二十分钟，都会出现一条极短的撤退指令，标识均为sec.exec.gateway。这意味着“gateway”不仅发令牌，还可能是“指挥频道”。
许衡点头：“如果这是指挥频道，它会有‘会话中心’。会话中心往往不是某个人的手机，而是一个服务端系统，比如消息网关、密聊中转。你们有没有对内部网络里的异常消息服务做过扫描？”
信息中心主任在电话里说：“我们封了sec.bridge后做过扫描，没有发现明显的异常IM服务。”
许衡摇头：“异常服务不一定在你们内部网络。它可能在你们的云环境，或者在外包环境。更关键的是，它不一定是独立IM，它可能伪装成‘告警系统’或‘工单通知系统’。”
工单通知系统。派单的壳。告警系统。紧急的壳。
周砚忽然想到：他们一直追派单来源，却忽略了派单“通知链”。派单不靠工单系统本身，而靠通知链把任务推给外包人员。通知链如果被控制，就能绕过冻结。
“你建议怎么查？”周砚问。
许衡说：“给我你们最近三个月的通知系统日志：邮件网关、短信网关、IM机器人、工单推送服务、物业外包系统推送接口。我们会找一个共同特征：‘短指令、固定节奏、同一标识’。然后我们能反推会话中心的授信实体。”
顾明立刻协调日志。第三方在隔离环境里做了半天交叉分析，晚上九点，许衡把一张图投在屏幕上，语气第一次带上确定性：
“我们找到一个共同源头：一个名为**notify.exec**的推送服务。它同时向工单、物业外包、短信网关推送短指令。它的认证方式使用了你们令牌发放服务的‘临时授权包’。也就是说：令牌发放服务是刀，notify.exec是手。”
顾明感觉背脊发凉：“notify.exec在哪？”
信息中心主任声音变低：“在云上。属于以前的‘应急通
本章未完，请点击下一页继续阅读！