Представим ситуацию: в организации обнаружена подозрительная активность. Необходимо выяснить, кто подключался к серверу, какие действия выполнял и изменялись ли права доступа. Администратор открывает журналы операционной системы. Записей много. Однако выясняется, что информация о действиях пользователей в прикладной системе отсутствует, изменения прав доступа не фиксировались, а часть необходимых событий вообще не регистрировалась. Формально журналирование было включено. Фактически восстановить последовательность событий невозможно...