Удаление записей обычно оставляет следы: разрывы в последовательных номерах событий, запись самой системы об очистке журнала, расхождение с другими источниками — журналом сервера, антивируса, резервной копией журнала. Время в журнале сопоставляют с датами файлов и с журналами других систем, и подделанная запись часто не согласуется с ними.
Расхождение не всегда означает умысел. Журнал мог перезаписаться по кругу при заполнении, часы компьютера — сбиться, программа — записать событие с задержкой. Эксперт объясняет, какая версия подтверждается следами, а какая нет. Если журнал хранится в обычном текстовом файле и других источников нет, аккуратную правку можно и не обнаружить, и заключение назовёт это ограничение.
Чтобы было с чем сравнивать, сохраните все копии журналов, которые есть: выгрузки, пересылки администратору, резервные копии сервера, журналы систем мониторинга.