实用材料
日志与备份：更改IT系统前应保存什么
IT项目发生故障或争议后，人们往往立即更新、重装或清理系统。这对业务运行可能是必要的，但同时也会改变……
IT项目发生故障或争议后，人们往往立即更新、重装或清理系统。这对业务运行可能是必要的，但同时也会改变事件痕迹。干预前，宜协商需要保存哪些数据，以及如何将副本与系统的具体状态对应起来。
首先确定时间范围
记录何时发现问题、影响了哪些用户和组件、此前发生了什么，以及已执行哪些操作。注明时区及已知的系统间时钟偏差。不同日志中的时间戳不能自动视为同一条精确时间轴进行比较。
可能需要哪些材料
- 应用日志、系统日志及相关基础设施日志。
- 备份及其创建方式和内容说明。
- 配置、组件版本及部署历史。
- 任务、变更、工单及观察到的错误等信息。
- 关于访问权限及允许检验范围的文件。
保存时不承诺完全不变
运行中的系统会持续生成和覆盖数据。因此，应记录副本获取方式和时间、操作人员、来源及已知局限。校验和有助于检查某个文件此后是否保持不变，但不能自动证明其中所有信息真实可靠。
什么才算备份
文件归档、虚拟机快照及一致性数据库备份的内容与恢复适用性可能不同。具有归档扩展名的文件，并不保证包含所需表、日志和配置。应结合具体技术检查内容与一致性，不要在生产环境中运行未知副本。
不要自行在唯一一份数据上复现破坏性故障。检验应准备独立环境，协商允许执行的操作，并在必要限制范围内保全生产环境。
访问凭据与个人信息
密码、令牌及私钥不应包含在一般的问题说明邮件中。导出内容及安全传输程序应单独讨论。减少数据量时，需要保留充分上下文，并说明删除了哪些信息。
日志与问题的关联
缺少记录可能是日志模式、轮转或导出不完整所致，并不总能证明事件没有发生。报告应说明来源、局限及比对逻辑。完整的副本及变更清单有助于区分实际查明的操作与对系统行为的推测。