Ответ
Да, если до восстановления сохранили логи, снимки, резервные копии, конфигурации, код и сведения о выполненных действиях. Исследование проводится на копиях и отделяет исходное состояние от изменений, внесённых при ремонте или переносе.
Если старый сервер уничтожен, а журналы удалены, возможности ограничены внешними наблюдениями и архивами. Текущая исправная версия не доказывает, как работала прежняя. Эксперт укажет, какие обстоятельства подтверждаются и что восстановить нельзя. Чем подробнее журнал восстановления и контрольные суммы копий, тем меньше риск смешать следы инцидента с последующими исправлениями. Сохраните сведения о внесённых исправлениях и времени каждого изменения.