先说一个复盘过的现场。

某制造企业的一位工艺工程师提了离职，交接期还有五天。第五天下午，安全管理员收到一条告警：这台终端的 USB 设备使用次数异常。查日志时发现，五天里该终端累计向外拷贝了三百余份文件，涉及工艺参数、供应商报价、模具图纸。而在这份日志里，"打开" 这个动作出现了上千次，"复制" 只有三百多次 —— 也就是说，在告警触发之前，系统里没有任