念到“远程登录”时，媒介主管的眼角不自觉跳了一下。
08:17，第一台设备封存：媒介主管笔记本。
媒介主管把电脑放在折叠桌上，手掌压着机身边缘，像下意识想控制它的去向。安全工程师戴上手套，先在摄像机前展示设备外观、资产标签、序列号，再插入写保护器，把取证硬盘接入，开始做“只读镜像”。
镜像进度条缓慢跳动，像一条冷静的倒计时。
08:23，异常出现。
安全工程师的终端弹出一条提示：检测到设备尝试建立外联连接，目的地址为某个云盘同步域名。工程师迅速抬头：“设备在做同步。”
媒介主管立刻解释：“那是自动的，我昨晚做表格用过，云盘会同步文件，很正常。”
高岚没有争辩，只问一句：“你刚才有没有接触键盘？”
“没有。”媒介主管几乎是条件反射式否认。
安全工程师没有再问，直接拔掉网线，把无线模块硬断，继续镜像，同时对摄像机说：“记录：08:23，设备出现外联同步行为，已断网保全。”
周砚站在旁边，心里却很清楚：真正“正常”的同步会在登录态、网络正常时发生，而不是在封存流程、无人工操作的瞬间突然启动。除非有人提前设置了触发条件。
视野边缘，蓝色面板像冰一样亮起：
【证据破坏尝试出现：同步=掩护，覆盖=目的】
【应对重点：记录“触发条件”与“触发时刻”，不争辩动机】
08:31，第二台设备：王XX台式机。
王XX带路去了工位区。安全工程师全程跟在他身侧半步，像押运。到了工位，工程师先用手机录像记录工位环境：主机、显示器、键盘鼠标摆放状态、USB口是否插着设备。
然后他蹲下身，直接拔电源，拔网线，贴封条。
王XX想说什么，嘴唇动了动，最终还是没开口。
08:47，第三台设备：阿远个人工作站。
阿远依旧试图争取：“我这台机子下午还有资源协调，封了我怎么干活？”
高岚把替代终端清单递过去：“内控可以提供临时机，权限由安全部按最小化策略开。你只要配合。”
阿远接过清单，面色僵了一瞬，最终点头：“行。”
09:12，镜像完成第一阶段。
安全工程师把取证硬盘封进证据袋，贴封条，封