一起内部泄密事件被发现时，往往已经过去了好几天甚至几周。文件被谁拷走的、什么时候拷的、拷之前还打开了哪些页面，这些问题在事后追问时，当事人说记不清，系统日志又只留下一串零散的记录，拼不出完整的过程。很多企业在复盘时卡住，不是因为不想查，而是手头根本没有能“倒回去看”的东西。
日志记录的是“动作”，却还原不了“画面”。一个人打开了文件夹、插入了U盘、拖拽了文件，日志能记下这几步，但屏幕上当时到底显示着什么、他有没有打开聊天窗口、有没有把文件拖进邮件附件，日志说不清楚。等到需要界定责任、定位漏洞时，缺的恰恰是那段连续的、可视的操作过程。
问：实时屏幕到底“实时”到什么程度？答：管理端点一下终端名称，画面几乎同步过来，延迟通常控制在很低的水平。它回答的是一个很具体的问题：现在这一刻，那台电脑的屏幕上开着什么、正在操作什么。对于需要快速判断“有没有异常正在发生”的场景，实时画面比翻日志快得多。
问：只能一台一台看吗？答：不是。实时屏幕一般支持多画面同屏，把多台终端排在一个界面上，按部门或区域分组展示，先看全局哪台“不对劲”，再点进去看细节。同屏的数量可以根据实际屏幕大小和管理需要来设，有的配置下可以同时查看十几台甚至更多终端画面。
问：实时画面看了就过去了，事后想回看怎么办？答：这就需要屏幕录像。它的逻辑是把屏幕活动录下来存成视频文件，按时间归档，事后调出来直接回放。实时屏幕解决“当下”，屏幕录像解决“过程”那十分钟、那一小时里，桌面上的操作顺序是怎样的，回放一遍比任何口头描述都清楚。
问：录下来的文件能直接用吗？格式通不通用？答：常见的做法是录成 MP4 格式，通用播放器就能打开，也支持在线回放，不用额外装专用播放器。清晰度、单个文件时长这些参数可以按存储容量和管理强度来调，避免录像堆得太多给服务器造成不必要的压力。
问：全程录像虽然完整，但存储压力会不会很大？答：会。连续录像堆出来的文件量不小，对于只需要“定期留个底”的场景，全程录像不一定是最划算的选择。屏幕快照的思路不同：它按设定的间隔抓取屏幕画面，用更轻量的方式实现长期留痕。
三种能力放回“事件溯源”的语境里，各自管一段：实时屏幕管“当下有没有异常”，屏幕录像管“过程是怎么走的”，屏幕快照管“长期有没有留底”。它们不能阻止泄密发生，也不能代替权限管控和制度约束，但在事情已经发生之后，能让“查不清”变成“有画面可回看、有过程可还原”。
对于需要面对内部违规追查、合规审计或责任界定的组织来说，这本身就是一道基础但常被忽略的防线。工具是辅助，真正起作用的，是在日常中就把它用起来，而不是等到出事之后才想起“当时要是录下来就好了”。
小编：小杨
