# 访问控制事件调查报告

## 发现与严重程度

优先级 P0：operator 账号 op-7 在有效 session sus-7 下成功导出 ALL 站点，违反导出角色与站点范围两条规则。09:41–09:46 UTC 共 6 条成功响应，证据 Q0058–Q0063。网关记录返回量累计 7,200 行、576,000 字节。该数量不是唯一客户数，日志不证明文件被保存、传播或被哪位自然人操作。

另一个独立缺口：op-2 的 expired-2 在 10:30 登录，11:15 仍收到 200，间隔 45 分钟，超过 30 分钟有效期，证据 Q0068 与 Q0069。它返回 50 行、10,000 字节，单独记录，不加到 op-7 导出量。

## 时间线与反证

- Q0049–Q0054：svc-archive 登录并执行 5 次 10,000 行归档。它在策略允许列表且角色 service，有效 session 下允许导出，不应按频次高直接定性。
- Q0055–Q0056：lead-1 为 supervisor，受控导出海港，策略允许。
- Q0057：op-7 登录；Q0058–Q0063：角色仍是 operator，却返回全部站点导出。
- Q0064–Q0067：匿名访问返回 401，仅证明尝试被拒绝，不证明成功读取。
- Q0068–Q0069：45 分钟后过期会话仍被接受。

## 处置建议

P0：安全值班人员先保全网关日志、导出审计与身份服务登录记录，记录哈希和访问权限。授权运维人员临时关闭 operator 导出路由，并对 sus-7 撤销会话；本次实训没有执行这些实际操作。产品负责人检查是否有其他受影响导出批次；合规负责人结合真实文件内容判断后续义务，当前日志不足以判断。

P1：API 在每次请求上检查角色和站点范围；对 session 强制执行 TTL；service 单独配置最小导出范围并记录批次标识。告警按成功越权而不是单纯频率设计。

## 验证与回退

修复验收：operator /export 返回 403，operator 读取他站点返回 403；有效 supervisor 与 svc-archive 返回 200；session 恰好 30 分钟允许、超过 30 分钟返回 401。回归 /orders 的合法访问。若误阻断业务，保留 operator 导出禁用，通过已授权 supervisor 完成必要受控导出，不取消访问检查。

未知：入口是否经 VPN、凭据是否被盗、自然人身份、文件是否离开终端。需要 VPN 会话与终端证据，不因 IP 字段就下结论。