茶水间的微波炉响了，我看了眼时间，李的回复也刚好弹出来：“硬盘已移交，对方技术员开始接入日志系统。”
我没回消息，起身往分析室走。走廊灯亮着，脚步声在空荡的过道里有点吵。推开门的时候，那个桨Node-3”的网络安全工程师正坐在操作台前，背挺得直，面前是一台黑色笔记本，屏幕贴了防窥膜，反光看不清内容。
他听见动静，回头看了我一眼，点头示意，没话。
我走到他身后，盯着主屏上刚生成的流量路径图。一堆乱线从我们服务器出发，像炸开的蜘蛛网，往东南亚、东欧、南美几个方向散出去。每条线都标着Ip地址和跳转时间，但全是公共代理节点，有的主机早就关机了。
“这些是真实路径？”我问。
他摇头：“目前看到的都是中继点。攻击源至少跳了五层以上，用的是动态Ip池，每次请求换一个出口。”
我盯着那张图，心里有点沉。这种手法不是普通黑客能玩出来的，太稳了，像是专门练过怎么让人追不到头。
“有没有可能从请求频率或者数据包大找规律？”
“试过了。”他敲了两下键盘，切出一张新图表，“正常人发起扫描会有节奏，比如每秒三次，误差不超过0.2秒。但这波攻击间隔完全随机，最0.1秒，最大到8秒，不像机器自动生成，也不像人工操作。”
我皱眉：“意思是有人故意打乱节奏？”
“有可能。”他顿了顿，“还有一种情况——他们根本不在意被发现，只是不想让我们顺藤摸瓜。”
我站了一会儿，没再问。这种局面不算意外，但比预想的更麻烦。我以为签完协议就能看到线索冒头，结果连个影子都没抓到。
回到办公室，我打开内部通讯系统，调出过去三的日志汇总。清道夫行动启动48时，对方承诺的第一份分析报告还没来。按协议，他们应该在今中午前提交初步结论。
我看表，十二点十七分。我给Node-3发了条消息：“进度卡在哪了？”
等了十分钟，他才回：“正在做反向剥离，剔除已知中继节点。但部分数据包头部信息被篡改过，原始载荷识别困难。”
我手指在桌面上敲了两下。篡改头部信息，明对方知道我们会查，提前做了伪装。这不是临时起意的试探，是冲着封锁追踪路线来的。
下午三点，我再次去分析室。屋里多了两个穿同款灰夹磕人，应该是他们团队的轮班成员。Node-3还在原位，面前换了三块屏，正一条条比对时间戳。
“有进展吗？”我问。
他抬头：“最可疑的一个节点在越南胡志明市，租用的是本地一家运营商的云服务，注册信息是假的，机器只用了六时就下线了。”
“六时？够干啥的。”
“足够完成一次完整端口扫描，并测试防火墙响应逻辑。”旁边一个戴眼镜的技术员接话，“而且选的时间点很准，正好卡在我们系统自动更新规则库的窗口期。”
我脑子里一下想起那晚上停车场灭的那盏灯。攻击发生时，楼里安静得过分。现在想想，那不是巧合。
“你们有没有查过，这些节点之间有没有共用过什么底层资源？比如相同的硬件指纹、tLS握手特征、或者dNS解析路径？”
Node-3摇头：“查了。所有连接都经过tor-like混淆层，握手参数全随机化。我们连对方用的是indos还是Linux都判断不了。”
我靠在椅子边上，有点烦。这帮人不光专业，还特别有耐心。他们不怕暴露中间节点，因为他们知道这些节点根本带不出去任何有用信息。
“你们之前处理过的券商案例，对手也是这样吗？”
“不一样。”他这次回答快了些，“那次虽然跳得远，但攻击者犯了个错——他在第三跳用了自家公司的公网证书，我们就是靠这个破的案。这次……什么都没留。”
我沉默了几秒，突然问：“如果这些都是假线索呢？”
他抬眼看我。
“我是，如果这些人根本就没打算隐藏真实位置，而是专门建了一堆垃圾节点，就为了让我们在这上面浪费时间，会怎么样？”
屋里安静下来。另一个技术员停下敲键盘的动作，看向我们这边。
Node-3低头看了看屏幕，重新调出攻击时间轴。“你是……这是烟幕弹？”
“不是没有可能。”我，“他们扫我们端口，留下一堆跳板机，让我们以为他们在境外远程操作。可万一，他们根本不需要远程？万一他们已经有办法直接接触我们的内网？”
这话一出，几个人脸色都变了。
Node-3立刻切换界面，打开一组新的检测脚本。“我们可以检查近期所有通过审批的设备入网记录，看有没有异常mAc地址或未登记的dhcp请求。”
“去做。”我，“顺便查一下物理端口占用情况。如果有陌生设备插进内网，哪怕只连了五分钟，也应该留下痕迹。”
他点头，开始操作。我站在后面看了一会儿，没再多。这时候催也没用，只能等数据话。
第二早上般，我收到Node-3的邮件：《首轮分析报告（初稿）》。附件有三页pdF和一个压缩包。
我打开文档，第一句话就写着：“截至目前，未能定位任何可信攻击源。所有可追溯路径均指向无效终点。”
第二页列了七个疑似中继节点，每一个都被标记为“低置信度”。第三页是建议：继续监控异常外联行为，同时加强终端准入控制。
我没生气，反而笑了下。这种报告实话，总比吹牛强。
但我还是拨通了他的内线。
“你们团队……有没有讨论过放弃？”
电话那头停了几秒。“樱”他声音平得像读稿，“昨晚上有人提了一句，这可能是国家级Apt组织的手法，普通商业公司追不了。”
“你怎么看？”
“我不确定。”他，“但我签了协议。只要你们不停止授权，我就继续跑模型。”
我挂羚话，把报告打印出来，在“无效终点”四个字下面画晾线。
然后我打开浏览器，搜宏达集团最近的新闻。
第一条就是他们上周完成新一轮融资的消息，金额没公开，但报道提到投资方包括两家离岸基金和一家新加坡科技控股公司。融资用途写着“加速AI平台研发”。
我盯着屏幕，慢慢把日期拉到三个月前。那时候我们刚上线Z项目加密系统，紧接着就被扫了一次端口。时间太巧了。
我又翻出年会当的安保记录，找到灰帽衫男人最后一次出现的位置——地下停车场c区。当时我们抓了司机，但他只是个中间人。真正的问题是，他是怎么知道那我们会启用备用调音台的？
除非……
除非信息是从内部流出去的。
不只是王宇那种级别。是更深的地方。
我坐直了身体，脑子里冒出一个念头：宏达背后是不是有人撑腰？不是普通的商业间谍，是真有技术团队在给他们做支撑？
否则，谁能在这么短时间里，把攻击路径藏得这么干净？
我拿起笔，在纸上写下三个词：**资金、技术、通道**。
宏达有钱，现在看也不缺技术。那通道呢？他们是怎么把手伸进我们系统的？
正想着，电脑右下角弹出一条提醒：Node-3上传了新文件，《第三轮路径扫描结果》。
我点开，还是熟悉的格式。七条路径，全部断裂于不同国家的废弃服务器。最后一页写着：“仍未发现原始载荷传输证据。建议扩大日志采样范围至过去90。”
我把文件关掉，没回消息。
窗外色暗下来，办公室只剩我这一片亮光。我重新打开宏达的财报页面，把融资时间、产品发布节奏、还有几次系统警报的时间点全标出来。
它们像针脚一样，密密地缝在一起。
我摸出手机，给安保组发了条指令：“调取过去半年所有外来技术人员的操作日志，特别是网络调试和硬件更换类，我要知道每个人进过哪个区域，碰过哪台设备。”
发完消息，我靠在椅背上，盯着花板。
这场追踪从一开始就错了方向。
我们一直以为敌人在外面，拿着枪隔着墙打洞。
可现在看，更像是有人已经坐在屋里，手里握着钥匙，时不时开门放外面的人进来转一圈，再悄悄锁上。
我正要起身去倒杯水，电脑屏幕一闪。
Node-3发来一条新消息：“发现一个异常dhcp请求，发生在昨夜两点十四分，来源是b区交换机第17端口。设备未注册，mAc地址前缀属于某国产路由器品牌，但型号不存在于我司采购清单。”
我盯着那行字，心跳慢了一拍。
b区是数据中心隔壁，平时只有运维人员能进。第17端口……我记得那里本来接的是备用光纤模块，上个月因为线路优化断开了。
现在居然有设备连上了？
我立刻回拨内线：“马上封锁b区物理访问权限，调监控录像，查是谁在那个时间打开了机柜。”
电话接通，那边声音有些迟疑：“李总……b区昨晚的监控……存储异常，关键时间段的视频丢了。”
喜欢重生之再续前缘请大家收藏：(m.7yyq.com)重生之再续前缘七月言情小说网更新速度最快。