Проверяют другие источники: транзакционные журналы, резервные копии, снимки состояния, реплики, журналы приложения и ОС, системные каталоги, временные объекты, сообщения об ошибках и документы о восстановлении. Их пригодность зависит от версии, срока хранения и последующих операций.
Отсутствие аудита может исключить ответ о конкретной сессии или учётной записи, но не обязательно делает бесполезным сравнение состояний. В заключении установленные факты следует отделить от предположений. Если нужные источники уничтожены или перезаписаны, в выводе можно обоснованно указать, что ответ получить невозможно.
Составьте хронологию доступных копий, обновлений и изменений инфраструктуры. Даже без аудита она помогает выбрать сопоставимые состояния и проверить косвенные следы.