Chương 19: Khôi Phục Log

Anh Hưng bị mời ra khỏi phòng bằng một câu rất lịch sự của chị Lan, nhưng sự lịch sự ấy làm tôi lạnh gáy hơn cả một lời quát. “Anh có thể chờ ở phòng họp nhỏ bên cạnh. Điện thoại và laptop công ty của anh giữ nguyên trạng thái hiện tại, không tắt máy, không mở thêm ứng dụng, Security sẽ lập biên bản nhận thiết bị theo Legal hold.” Anh Hưng nhìn chị, rồi nhìn sang chị Mai. “Tôi đang bị xem là đối tượng điều tra?” Chị Mai không nâng giọng. “Anh đang có conflict trong evidence discussion. Interview riêng sẽ ghi nhận đầy đủ lời giải thích của anh.” Hai chữ conflict nghe nhẹ hơn rất nhiều so với những gì vừa hiện trên màn hình, nhưng đủ để đẩy anh ra khỏi chiếc ghế mà mấy phút trước anh còn ngồi như người có quyền kết luận số phận tôi.

Khi anh đứng dậy, tôi tưởng mình sẽ thấy nhẹ đi. Nhưng không. Cảm giác trong ngực tôi không phải nhẹ nhõm, mà là một khoảng trống bị kéo căng. Nếu anh Hưng thật sự liên quan, nghĩa là suốt từ sáng tới giờ, từng bước tôi tự bảo vệ mình đều đi ngang qua một người đã chuẩn bị sẵn đường lui cho câu chuyện khác. Nếu anh không liên quan, thì có người còn khéo hơn đã để mọi dấu mốc quan trọng rơi vào tay anh đúng lúc. Cả hai khả năng đều không làm tôi dễ thở hơn. Trước khi ra khỏi phòng, anh Hưng quay đầu rất nhanh. Ánh mắt anh lướt qua chị Hà, ngắn tới mức nếu không đang căng như dây đàn, có lẽ tôi đã bỏ qua. Chị Hà vẫn ngồi yên, hai bàn tay đặt trên sổ, nhưng ngón cái của chị miết lên mép giấy nhiều lần.

Cửa kính khép lại. Tiếng chốt nam châm rất nhỏ, vậy mà căn phòng như vừa đổi áp suất. Chị Lan quay sang anh Sơn. “Bây giờ khôi phục log.” Anh Sơn gật đầu, kéo ghế lại gần màn hình lớn. “Dashboard hiện tại chỉ là summary. Muốn biết session 14:26 đi từ đâu, phải lấy raw event từ VDI broker, Windows event trong máy ảo, file server access và NAC mapping. Em cần quyền read-only từ Security console.” Chị Mai nhìn tôi một giây, rồi nói rõ cho record: “FIN-LT-126 của Minh Châu vẫn không đăng nhập lại. Mọi thao tác truy vấn log thực hiện từ máy evidence của Security.” Tôi nghe tên chiếc laptop của mình được nhắc như một vật chứng hơn là công cụ làm việc, và tự nhắc mình đừng chạm vào nó, dù màn hình xám lạnh vẫn đặt ngay trước mặt.

Phần log đầu tiên tải ra chậm đến khó chịu. Mỗi vòng xoay trên màn hình giống như đang mài vào dây thần kinh của tôi. Anh Phúc đứng phía sau ghế tôi, không chạm vào vai, nhưng sự có mặt của anh giúp tôi nhớ mình không được tan ra ở đây. Anh Sơn lọc user M.Chau, host FIN-VDI-04, time window từ 10:00 đến 15:00. Bảng event hiện lên từng dòng. 10:22: session created, client FIN-LT-126, MFA satisfied. 10:23: archive shortcut accessed. 10:54: user initiated sign-out from Windows shell. Tôi nhìn dòng đó lâu hơn cần thiết. Nó không phải câu tôi tự nhắn cho anh Hưng. Nó là hệ thống tự ghi nhận tôi đã cố sign out. Trong khoảnh khắc ấy, tôi thấy hai mắt mình nóng lên, nhưng tôi nuốt xuống trước khi nó biến thành thứ người khác có thể dùng để gọi là mất bình tĩnh.

“Khoan,” anh Sơn nói, rồi kéo xuống thêm. Ngay dưới dòng 10:54 là một event màu vàng: 10:56: logoff delayed, process archive_viewer.exe still locking network handle. 10:58: broker state changed to disconnected, profile container remains mounted. Căn phòng im đi một nhịp. Chị Mai đọc chậm từng chữ: “Minh Châu đã request sign-out, nhưng session không terminate hoàn toàn.” Câu đó vừa cứu tôi một phần, vừa đẩy tôi vào một phần khác của bẫy. Tôi không nói dối khi bảo đã sign out. Nhưng nếu session chỉ chuyển sang disconnected, thì về mặt kỹ thuật, một cánh cửa vẫn còn hé. Tôi nhìn màn hình, thấy một sự thật rất khó chịu: hệ thống có thể xác nhận ý định của tôi, nhưng không tự động bảo vệ tôi khỏi hậu quả của một lần đóng cửa không khép hẳn.

Chị Lan hỏi: “Có fresh MFA lúc 14:26 không?” Anh Sơn lọc tiếp. “Không. Event là reconnect to existing disconnected session, token reuse within grace window. Nhưng client không phải FIN-LT-126.” Con trỏ của anh dừng ở cột client name. Tôi nín thở. Dòng 14:26 hiện ra đầy đủ: client HR-PRINT-03, source subnet HR-OPS, launch type reconnect. Trong đầu tôi mất một giây để hiểu. HR-PRINT-03 không nằm ở tầng của Finance. Nó là máy đặt gần khu PeopleOps, nơi mọi người vẫn hay in form ký tay, nơi chị Vân từng nói sẽ lên lấy bản scan hồ sơ vì “máy Finance hôm nay lag”. Tôi không nói điều đó ra ngay. Tôi sợ chỉ cần mình nói nhanh hơn bằng chứng một chút, tôi sẽ tự làm mình giống người đang tìm người khác để đổ lỗi.

Anh Sơn tiếp tục gọi NetOps mapping. Trong lúc chờ, chị Mai yêu cầu ghi rõ: từ 10:54 tới 10:58 có dấu hiệu user M.Chau chủ động sign-out nhưng session không đóng hoàn toàn do process lock; 14:26 là reconnect không fresh MFA từ HR-PRINT-03. Chị Hà bỗng nói: “Archive viewer giữ network handle là chuyện bình thường. Shortcut archive của tôi có thể mở viewer đó.” Chị Lan quay sang chị. “Chị đang giải thích cơ chế kỹ thuật hay xác nhận shortcut của chị có liên quan tới process lock?” Chị Hà khựng lại. Một câu hỏi không cao giọng, nhưng đủ sắc để tách sự vô tình khỏi việc tự đưa mình vào record. “Tôi chỉ nói đó là khả năng kỹ thuật,” chị đáp. Chị Mai ghi nguyên văn, không bình luận.

NetOps trả mapping sau vài phút. HR-PRINT-03 lúc 14:26 đăng ký port tại khu PeopleOps records, switch P2-17, không có kết nối từ FIN-LT-126 trong cùng thời điểm. Anh Sơn mở thêm Windows event của FIN-VDI-04. 14:27: session unlocked by reconnect. 14:28: Explorer opened Recent Items. 14:31: file PeopleOps_form_M.Linh_submitted.pdf opened from HR shared temp. 14:32: MChau_statement_v2.docx opened. 14:33: screenshot_handoff_note.png opened. Ba cái tên file vốn chỉ nằm trong danh sách chưa bóc tách bỗng đứng thành hàng trên màn hình, như thể ai đó đã đi qua từng món đồ đã chuẩn bị sẵn rồi để lại dấu chân bằng timestamp.

Tôi nghe tiếng tim mình đập vào tai. Không phải vì tôi được minh oan. Tôi vẫn chưa được minh oan. Account trên màn hình vẫn là M.Chau, session vẫn là session của tôi, và chính một lỗi không terminate sau lúc sign-out đã giữ tên tôi trên cánh cửa đó. Nhưng đường đi 14:26 không còn xuất phát từ chiếc laptop đang nằm bất động trước mặt tôi nữa. Nó đi từ một máy in ở khu PeopleOps, qua một session bị kẹt, mở lần lượt những file mà sau đó biến thành dây thòng lọng. Tôi nói rất chậm: “Em đề nghị record ghi rõ 14:26 source client không phải FIN-LT-126.” Chị Mai nhìn tôi, ánh mắt lần đầu trong buổi chiều có một chút gì giống như công nhận. “Đã ghi.”

“Có user vật lý tại HR-PRINT-03 không?” chị Lan hỏi. Anh Sơn lắc đầu. “Máy đó dùng shared kiosk mode, nhưng khu records có badge door. Cần pull access log.” Chị Vân, người im lặng gần như suốt từ đầu quy trình evidence tới giờ, đột nhiên lên tiếng: “Khu đó nhiều người ra vào. Badge log không chứng minh ai ngồi máy.” Giọng chị không lớn, nhưng vì quá lâu chị không nói, câu ấy làm mọi ánh mắt quay sang. Chị Lan hỏi ngay: “Vì sao chị biết khu đó nhiều người ra vào lúc 14:26?” Mặt chị Vân trắng đi rất nhanh, rồi chị cúi nhìn cốc nước trước mặt. “Tôi nói chung thôi. PeopleOps records lúc nào cũng có người.” Chị Mai lại ghi. Tôi bắt đầu hiểu vì sao trong một căn phòng audit, đôi khi im lặng là tự vệ, còn nói chung chung là tự mở thêm một cánh cửa.

Anh Sơn pull access log. Dữ liệu badge chạy ra theo từng dòng, 14:18, 14:21, 14:24. Tôi không biết mình đang hy vọng thấy tên ai, hay hy vọng đừng thấy thêm tên nào nữa. 14:24: V.Van entered PeopleOps records. 14:29: H.Hung entered PeopleOps records. 14:36: V.Van exited. 14:37: H.Hung exited. Không ai nói gì trong vài giây đầu tiên. Tôi nhìn chị Vân. Chị vẫn cúi đầu, nhưng lần này tay chị không còn ôm cốc nước nữa. Tôi nhìn sang cửa kính phòng bên cạnh, nơi anh Hưng đang chờ interview riêng. Từ chỗ tôi ngồi không thấy rõ mặt anh, chỉ thấy bóng anh đứng yên phía sau lớp kính mờ. Hai người, cùng một khu records, trong khung thời gian session M.Chau được reconnect từ HR-PRINT-03. Vẫn chưa chứng minh ai ngồi xuống chiếc máy đó. Nhưng khoảng trống để họ nói “không liên quan” vừa bị thu hẹp lại bằng từng dòng log.

Chị Lan yêu cầu Security preserve camera khu PeopleOps records và HR-PRINT-03 ngay lập tức. Anh Sơn gửi lệnh hold, rồi quay lại màn hình VDI. “Còn một dòng nữa,” anh nói, giọng thấp hơn. “14:34 có attempt delete Recent Items trên FIN-VDI-04, nhưng GPO chặn xóa hoàn toàn. Shadow copy còn lại path gốc.” Anh mở bản khôi phục. Đường dẫn của screenshot_handoff_note.png hiện ra: HR_SharedhandoffVVandraftscreenshot_handoff_note.png. Tôi cảm giác lưng ghế sau mình biến mất. Chị Vân ngẩng phắt lên. “Thư mục đó là thư mục nháp chung của team, không phải của riêng tôi.” Không ai đáp ngay. Bởi trên màn hình, ngay dưới path đó, dòng metadata restored hiện thêm một trường owner cuối cùng: last modified by H.Hung, 14:30.

Cao trào không nổ ra bằng tiếng quát. Nó rơi xuống bằng tiếng gõ phím của chị Mai khi chị thêm dòng mới vào evidence issue list. Tôi nhìn từng chữ xuất hiện: reconstructed VDI/session/file activity indicates reconnect from HR-PRINT-03 during badge overlap V.Van/H.Hung; restored path ties screenshot_handoff_note.png to VVan draft folder, last modified by H.Hung 14:30. Chữ nào cũng khô, nhưng tôi biết từ đây chúng sẽ nặng hơn mọi lời giải thích “nói chung thôi”. Chị Mai đóng file note, nhìn sang chị Lan. “Tách interview. Hưng trước, Vân sau. Chị Hà ở lại để giải thích shortcut và archive viewer process lock.” Rồi chị nhìn tôi. “Minh Châu, em vẫn là người liên quan trực tiếp của session, nhưng từ thời điểm này, em không còn là người duy nhất cần giải thích nó.”

Tôi tưởng câu đó sẽ làm mình nhẹ nhõm. Nhưng nó chỉ khiến tôi thấy mệt đến tận xương. Một buổi chiều trước, nếu ai hỏi tôi log hệ thống có biết nói không, có lẽ tôi sẽ trả lời bằng một câu đùa nào đó về những con số không biết nói dối. Bây giờ tôi mới hiểu, log không biết nói dối thật. Nhưng con người biết cách làm nó im lặng, làm nó mất một đoạn, làm nó đứng sai chỗ, hoặc để tên người khác đứng trước cửa thay mình. Tôi nhìn màn hình FIN-LT-126 vẫn khóa, nhìn dòng 14:34 attempt delete Recent Items bị GPO chặn lại, rồi nhìn thư mục VVan đang nằm rõ trên bản khôi phục. Chị Lan vừa nhấc điện thoại gọi Security thì màn hình lớn bật thêm một thông báo mới: Camera hold request failed. Retention overwrite scheduled at 17:00 unless manually exported.

Đồng hồ góc phòng chỉ 16:43.