Журнал аудита может отражать выбранные события аутентификации, авторизации, доступа и администрирования в пределах возможностей редакции или сервиса и фактического фильтра. Профилировщик базы записывает операции конкретной базы в ограниченную коллекцию system.profile с учётом уровня, slowms и выборки. Диагностический журнал содержит сообщения сервера и сведения об операциях согласно настроенной детализации и порогам.
Ни один источник не следует считать автоматически полным. Проверяют конфигурацию, период включения, фильтры, размер, ротацию, узел и синхронизацию времени. Для атрибуции сопоставляют пользователя, соединение и метаданные клиента с приложением, IdP, входным шлюзом и ОС. Границу охвата и состав учётных записей описывают в заключении отдельно: за пределами настроенного фильтра записи просто не велись, а техническая учётная запись указывает на приложение, а не на человека.