如果有人对那台笔记本进行取证分析，会在本地存储里找到一套完整的、但经过裁剪的工程日志，里面应该只包含他可以公开的部分，核心参数早就不在盘上了。
他下了快速路拐进一条辅路，距离市区还有大约十公里，秦洛拨了陈应的电话，接通后说：旧运维楼三层那台笔记本，陆钊没带走的，你派人去取回来做取证镜像的时候注意一点：本地硬盘上的数据大概率被做过定向清理，关键文件可能被覆写过。”
“但系统日志文件和浏览器的历史记录不要跳过，他在那边操作串口终端服务器的时候一定留过web界面的访问痕迹，哪怕他把历史记录清了，底层缓存文件里也可能有残留的URL片段。
陈应的声音带着一点哈欠的尾音，像是刚从短暂的休息中醒来：我安排一个取证组的人过去，今天下班前把镜像拷完，你要优先看什么？
秦洛道：看浏览器缓存里有没有包含影子系统七号柜关键词的页面片段，以及SSh客户端最近连接过的Ip列表，那台机器里可能存着旧运维楼配线间设备的备用管理地址，虽然没有写保护引脚了，但万一他还留了其他后门端口没被发现。
陈应开口道：取证组两小时后进场，你那边还有什么要同步的？
秦洛看着红灯倒计时从十五跳到十：方敏在提七号柜的存储介质归档，你跟她对接一下镜像存储的权限策略，只有你和她两个人能读，陆钊虽然下线了，但他离开调度室之后笔记本往外发过一批数据，我们目前不知道内容。”
“如果那批数据包含了影子系统早期版本的某些参数片段，外部拿到之后虽然无法复原完整系统，但可能拼凑出部分决策树结构。
陈应那边停顿了一下，似乎在消化这句话的意思，然后他说：你的意思是那批外发数据如果落到懂行的人手里，即使没有完整参数，也能从片段反推一些特征？
秦洛应道：对，所以七号柜的镜像和笔记本的镜像做交叉比对之后，我要一份影子系统在每一次参数更新中变动过的特征列表。”
“那些被改动的参数项是最可能被陆钊单独备份出去的重点。
红灯变绿，秦洛松开刹车踩下油门，车子平稳地通过路口，陈应在电话另一端说了句明白，我会把比对结果按参数变动频率排序，然后挂断了。
秦洛把手机放回杯架，车子继续沿辅路往前开了大约三公里，经过一家加油站的时候他余光扫到右侧人行道上有个人影正在招手。
一个穿着深蓝色夹克的中年男人，身形偏瘦，站在加油站入口的围墙边上，手里拿着手机冲他的车摆了摆。
秦洛减速靠边，摇下车窗。
那人走近两步，秦洛认出了他的脸——clearVoice技术安全部的二组组长周振，比他大三届入职的老人，分管过境数据流审计，跟陆钊在同一个项目组里共事过三年。