人看向技术人员。
“为什么清单里没有？”
“资产目录显示它两年前已经报废。”
报废设备仍能登录。
休眠账号仍能恢复权限。
这两项事实让现场处置范围立即扩大。
秦正国没有要求封掉专项办公室所有设备。
他提出只追加同一证书根下、近二十四小时有活动的终端。
技术组很快筛出三台。
一台是L的现用终端。
一台是报废备用机。
还有一台挂在历史资料室，凌晨曾查询过中央端口状态。
三台设备共享同一组模板信任证书。
“把证书根冻结。”苏晓月说。
“会影响普通查询吗？”
“不会。普通查询使用另一组只读证书。冻结这组，只会让它们失去写入和外发资格。”
负责人同意。
证书根被冻结后，报废备用机连续发起三次重连。
第一次请求恢复模板权限。
第二次请求切换到七号服务节点。
第三次试图注销当前登录态。
每一次都被只读监测完整记录。
周远帆看着屏幕。
“他们先想继续做事，发现做不了以后，才想擦掉自己来过。”
技术组随即锁定备用机所在位置。
专项办公室旧设备间。
现场人员赶到时，设备间门锁完好，资产标签上确实盖着报废章。可机箱仍在运行，网线通过墙后暗槽接入现行内网。
记录仪拍下全过程。
工作人员没有直接碰键盘。
先拍资产标签。
再拍线路。
最后固定屏幕上的失败请求。
屏幕右下角还有一条未关闭的聊天提示。
只有四个字。
先退会话。
发送人显示为短号。
现场人员立即断开设备外联，保留内存状态。
这条提示没有写明是谁。
却证明封控命令下达后，有人仍在指挥备用终端退出登录。
老人看着实时画面，问：“现在够不够现行？”
周远帆没有借机把结论说得更大。
“够证明封控后仍有人试图恢复权限、清理会话。至于短号是谁，需要继续查。”
老人点了一下头。
这就是证据边界。
该说够的地方不能退。
不够的地方也不能跨。
第二道警报来自北山。
三号协调账号在冻结后收到一次状态回拨。
回拨没有成功进入系统，只在边界设备留下握手请求。
请求内容