Иногда материалы позволяют связать операцию с учётной записью MySQL, соединением, адресом клиента, thread ID, временем, GTID, журналом приложения или записью аудита. Для этого проверяют, какие журналы и плагины действительно работали в спорный период, как приложение использовало пул, общие аккаунты и прокси и как синхронизировались часы узлов.
Технический идентификатор не всегда указывает на человека. Одной учётной записью может пользоваться приложение или несколько сотрудников, адрес может принадлежать промежуточному серверу, а сведения приложения могут быть неполными. Binary log предназначен не для персонального аудита, а наличие MySQL Enterprise Audit нельзя предполагать без проверки установки и правил. Эксперт описывает обнаруженные связи и их пределы; полномочия, умысел, виновность и правомерность действий оценивает суд или орган расследования. Когда спор целиком о том, что и когда изменилось в записях, требуется экспертиза изменений и удаления данных.