没有上下文的审计日志在事后取证中几乎无法发挥作用，只能回答「发生了什么」，而无法回答「为什么发生」。