Slack 访问日志能告诉你什么、不能告诉你什么
Slack 的账号访问日志会显示登录时间、IP 地址和设备。这是账号所有者梳理时间线的原始材料：你要做的是把日志条目与自己的已知活动进行比对，而不是运行入侵检测。
Slack 的账号访问日志会显示登录时间、IP 地址和设备。来源
把每一行当作一个数据点，而不是一个结论。IP 地址标识的是一个网络出口，许多人可能共用同一个出口，而同一个人一天之内也可能从多个地址出现。重复的条目可能反映重新登录、设备重新连接或常规的应用活动。这些单独来看都不能确定当时是谁在操作键盘。
建立所有者事件时间线
- 记下你关心的时段——例如你使用共用电脑的那几个小时，以及前后各几天。
- 打开访问日志，把每条记录与自己的日程对照：那个时间、那个网络、那台设备，是你登录的吗？
- 把无法解释的条目标记为“无法解释”，而不是“入侵者”。无法解释意味着需要调查，并不意味着当时有别人在场。
- 记录你接下来做了什么、什么时候做的，这样之后因你自己的应对而产生的日志条目就不会被误认为新的活动。
所有者可以从账号设置中打开访问日志并下载一份私密副本。
所有者可以从账号设置中打开访问日志并下载一份私密副本。来源
下载副本有两个用处：它是一份稳定的记录，可以与未来的导出结果对比；它也让你能离线查看，而不必在共用电脑上一直开着会话。请把它保存在私密的地方，因为其中包含登录时间、地址和设备详情。
对比已识别与未识别的设备
用简单的三栏复核，而不是做通过/不通过的判断：
| 栏目 | 填写内容 | 为什么重要 |
|---|---|---|
| 条目 | 日志记录的时间、IP、设备 | 让比对保持基于事实 |
| 我的解释 | “我在家的笔记本电脑”“共用电脑”“未知” | 把已知与无法解释的分开 |
| 操作 | 保留、退出登录或观察 | 把复核转化为决定 |
操作栏的判断标准：
- 保留：条目对应的设备和网络你能识别，时间也符合你自己的使用。
- 退出登录：你无法解释某个会话，尤其是与共用或公共电脑相关的会话，或者你不确定自己是否关闭了浏览器。
- 观察：条目看似合理但尚未确认——例如你出行期间移动应用重新连接。记下来，下次复核时再查。
避免两种常见的误读。第一，不要把在其他地方匹配到照片、姓名或用户名当作会话归属的确认；这些信号只是线索，不是身份证明。第二，不要以为陌生的设备名称就意味着另一个人——设备名称可能是通用的，也可能被重复使用。
结束不需要的会话
“退出所有其他会话”可通过账号设置使用；日志条目也可能由应用活动或可用性变化产生。
“退出所有其他会话”可通过账号设置使用；日志条目也可能由应用活动或可用性变化产生。来源
最后一点对验证很重要。在你退出其他会话之后，新的日志条目仍可能因你自己的应用重新连接或可用性变化而出现。判断结果要看你想结束的会话是否已经消失，而不是看日志是否完全安静下来。
实际操作顺序：
- 先下载访问日志，这样你就保留了在做出任何更改之前所看到内容的记录。
- 从账号设置中退出其他会话。
- 确认你自己仍能从你控制的设备登录。
- 经过一段合理时间后重新检查日志，把新条目与你建立的时间线进行对比。
如果你在共用电脑本身上仍处于登录状态，也要在那里退出登录；结束其他会话不一定能关闭你面前的浏览器。
结束会话不会做什么
结束会话与停用工作区或账号不是一回事。退出登录只是移除一次登录；它不会删除账号、改变账号所有权或删除已存储的数据。如果你担心的是账号本身已被入侵或不应再存在，那是另一个决定，会带来不同的后果，应当慎重做出，而不是作为对某条日志的恐慌反应。
同样，编辑过的个人资料或移除的登录连接，并不能证明已存储的数据被删除。在你完成所决定的账号更改之前，请保持自己的恢复路径完好。
一份可用的检查清单
- 在做出更改之前下载了访问日志。
- 列出了每条记录的时间、IP 和设备。
- 将条目标记为已解释、无法解释或观察。
- 从账号设置中退出了其他会话。
- 在共用电脑的浏览器上退出了登录。
- 确认我仍能从自己控制的设备登录。
- 重新检查了日志，并将新条目与时间线对比。
- 将下载的副本保存在私密的地方。
当问题关乎某个人，而不是某个会话
会话复核回答的是“这个账号是否被使用过，以及从哪里使用？”它不回答“这个人是谁？”如果你的下一步是了解哪些公开账号与某个电子邮件地址或用户名相关联，那是另一项任务，有其自身的局限——公开匹配只是线索，不是所有权的证明。该工作流程请参阅通过电子邮件地址查找账号。