Проверяют альтернативные источники: транзакционные журналы, резервные копии, снимки состояния, реплики, журналы приложения и ОС, системные каталоги, временные таблицы, сообщения об ошибках и документы о восстановлении. Их пригодность зависит от версии, срока хранения и последующих операций.
Отсутствие аудита снижает доступный уровень технической атрибуции и может исключить ответ о конкретном сеансе, но не обязательно делает бесполезным сравнение состояний. В заключении эксперт обязан отделить установленные факты от предположений. Если нужные источники уничтожены или перезаписаны, корректным результатом может быть вывод о невозможности определённого ответа.
Составьте хронологию доступных копий и изменений инфраструктуры: даже без аудита она помогает выбрать состояния для сравнения и не потерять косвенные следы.