第3章 内部异常

丁夏发现异常是在一个普通的周二下午。

她所在的研究所全名叫"华北地质环境勘测院第九研究所"，简称"推九所"，外人听起来像个地下乐队的名字。所里的办公楼是上世纪八十年代建的，外墙贴着白色的马赛克瓷砖，经过四十年的风吹日晒，瓷砖已经发黄，有些还掉了，露出底下灰色的水泥。丁夏的办公室在三楼，朝北，窗户外面是一棵高大的梧桐树，夏天的时候树叶能把整扇窗户遮住，到了深秋，只剩下几根枯枝在玻璃上投下蛛网般的影子。

那天下午两点三十分，她正在审查一份网络流量日志。她的职务是信息安全工程师，日常工作包括防火墙策略维护、入侵检测系统调优、以及每月一次的流量审计。这份工作做了六年，她已经能够凭直觉判断哪些流量是正常的，哪些需要进一步调查。

那天下午，她的直觉响了。

异常出现在所里的测试服务器集群。推九所有一台专门用于计算流体力学仿真的服务器，型号是Dell PowerEdge R750，配了两颗Intel Xeon Platinum 8380处理器，内存1.5TB。这台服务器平时只接受内部网络的连接请求，端口固定在22和443——SSH和HTTPS。

但流量日志显示，在昨天凌晨3:17分，这台服务器向外发起了一个TCP连接，目标IP是104.237.62.18，端口8443。

丁夏盯着那个端口号看了很久。8443是HTTPS的替代端口，很多内部系统会用它来规避对443端口的统一监控。但问题是，这台仿真服务器没有任何理由向外发起HTTPS连接——它的操作系统是经过安全加固的CentOS Stream， 出站连接被防火墙规则严格限制，除了必要的软件更新源之外，不允许访问任何外部地址。

她打开防火墙管理界面，检查规则列表。规则没有问题，出站策略仍然是"默认拒绝，白名单放行"。104.237.62.18不在任何白名单里。

那连接是怎么出去的？

她调出更详细的日志。连接持续了大约四秒钟，传输数据量极小——上行64字节，下行128字节。这是一个典型的"心跳"包特征：数据量小，周期固定，目的是维持连接的活性，而不是传输实际内容。

丁夏把目标IP放进威胁情报数据库查询。结果回来了：104.237.62.18属于一个位于卢森堡的VPS服务商，该地址在过去六个月里被三个不同的安全机构标记为"可疑"，但没有任何直接证据证明它与恶意活动有关。

可疑，但不确认。这是信息安全工作中最难受的状态。

她决定深入调查。她打开服务器的本地日志，发现那条出站连接在系统日志里完全没有记录——没有netfilter日志，没有auditd日志，没有任何痕迹。但在网络层的流量镜像里，那个连接确实存在。

这意味着什么？意味着连接绕过了操作系统的网络栈，直接从更底层发出。

丁夏的后背开始发凉。她站起身，走到窗边，推开一条缝。十一月的冷风灌进来，吹得桌上的文件哗啦作响。她深吸了一口气，冷风灌进肺里，带着一股城市特有的硫磺味和汽车尾气的混合气息。

她回到电脑前，打开一个只有她知道的工具——一个基于eBPF的内核级网络监控程序。这个程序不是所里配发的，而是她自己在GitHub上找到的开源项目，经过二次开发后用于内部排查。它的特点是可以绕过操作系统的标准日志机制，直接从内核层面捕获网络数据包。

她把监控程序部署到仿真服务器上，设置过滤条件：目标IP 104.237.62.18，或者目标端口8443。然后她等待。

三个小时过去了，什么都没有发生。

下午五点四十分，就在她准备下班的时候，监控程序弹出了一个告警。又一条出站连接，目标IP变了——这次是185.220.101.42，端口仍然是8443。连接持续时间3.8秒，上行数据64字节，下行数据128字节。

丁夏的手指悬在键盘上方，没有动。她的心跳开始加速，但她强迫自己保持冷静。她截获了那条连接的数据包，开始分析。

数据包的内容是加密的——TLS 1.3，加密套件是TLS_AES_256_GCM_SHA384。这意味着她无法直接读取 payload 的内容。但她可以分析元数据：TCP头、IP头、TLS握手包。

TLS握手包里的Client Hello消息显示，服务器发送的SNI（服务器名称指示）字段是"updates.cloudservicenetwork.net"。这是一个看起来很正常的域名，像是某个云服务的更新服务器。

丁夏查询了这个域名。域名注册于三个月前，注册信息是隐私保护的，DNS解析指向一个CDN网络，最终落地的IP地址包括185.220.101.42在内的大约二十个不同地址，分布在全球各地。

这个发现让她更加不安。正常的云服务商不会用这种方式做更新——DNS解析结果变化太频繁，而且域名注册时间太短，没有任何历史信誉积累。

她把这两次连接的详细数据保存下来，存到一个加密的U盘里。U盘是她自己买的，SanDisk Extreme Pro，256GB，硬件级AES-256加密。她把U盘从电脑上拔下来，塞进牛仔裤的后口袋。

下班的时候，她在走廊里遇到了同事老王。老王是实验楼的保洁员，五十多岁，头顶已经秃了一大片，剩下的头发被他精心梳理，试图盖住那片光秃。他手里抱着一摞打印纸，纸边已经被手汗浸得发黄。

"小丁，还没走？"老王问。他说话的时候，眼睛没有看她，而是盯着走廊尽头的饮水机，像是在等什么人。

"马上走，"丁夏说，她把笔记本电脑包换到另一只手上，"王组，咱们那台R750最近有什么异常吗？"

老王的眼神闪烁了一下。那是一个很短暂的瞬间，不超过0.3秒，但丁夏注意到了。

"异常？什么异常？"老王问。他把那摞打印纸往上抱了抱，纸边遮住了他的下半张脸。

"就是……速度变慢之类的，"丁夏说。她没有提网络连接的事。

"没有啊，挺好的，"老王说，他的声音从纸后面传出来，有些发闷，"上周刚做过维护，风扇换了一批新的，温度降了五度。"

"哦，那就好。"

丁夏没有再问。她冲老王点了点头，转身走向楼梯间。她没有坐电梯，而是走楼梯下去。楼梯间的声控灯是坏的，她踩到第三级台阶的时候灯才亮，昏黄的灯光在墙面上投下她拉长的影子。

她从研究所的后门出去，外面是一条狭窄的小路，两旁种着两排银杏树。银杏叶已经全黄了，地上铺了厚厚一层，踩上去发出干燥的碎裂声。她走了大约五十米，然后停下来，回头看了一眼研究所的大楼。

三楼她办公室的窗户还亮着灯——但她明明关了灯才走的。

她盯着那扇窗户看了十秒钟。窗户里面没有任何人影晃动，灯就是亮着，稳定的白色，像一个睁大的眼睛。

丁夏把手伸进口袋，握住了那个U盘。U盘的金属外壳已经被她的体温焐热了，但她还是觉得冷。

她没有回去关灯，而是转身继续走。银杏叶在她脚下碎裂，那声音在寂静的黄昏里显得格外清晰，像某种密码，一步一步，把她带向一个她还没有准备好的真相。

本书首发来自17K小说网，第一时间看正版内容！