Короткий ответ

Журнал выполненных работ — хронология факта, не пересказ в Telegram. Минимум по записи: дата/время, исполнитель, узлы, ссылка на CHG или тикет, что сделали, результат проверки, ссылка на артефакты (вывод команд). Пишите в общий контур учёта, доступный смене, не в личный блокнот.

Иван Петров задаёт шаблон. Инцидент P1 без журнала предыдущих суток расследуется дольше технической причины.

Симптомы и как отличить

Типичная картина:

  • «вроде патчили»;
  • два админа чинили одно, перетёрли конфиги;
  • в разборе аварии нет ни одной команды;
  • подрядчик ушёл, следов работ нет.

Отличия:

ЕстьЭто не журнал работКуда
Тикет «принтер не печатает»обращениеканал заявок
Заявка CHG без факта выполненияпроцесс измененийрегламент
Статья «как настроить VLAN»знаниеKB
Логи Windowsсырьёможно приложить, не замена записи

Возможные причины

  1. Канал учёта не выбран: часть в почте, часть в чате.
  2. Кажется, что логов ОС достаточно.
  3. Стыдно писать неудачные попытки.
  4. Шаблон слишком длинный — забросили.
  5. Аутсорс отчитывается счётом, не работами.
  6. Редко: запрет ИБ писать имена узлов — тогда пишите в защищённом контуре, не бросайте журнал.

Диагностика

Возьмите вчерашний день. Сможете ли вы за 15 минут ответить:

  1. Кто перезагружал DC01?
  2. Меняли ли firewall?
  3. Почему в 16:10 пропал VPN?

Источники фактов без журнала (чтобы показать дыру):

Get-WinEvent -ComputerName 'DC01.contoso.example' -FilterHashtable @{LogName='System'; Id=1074; StartTime=(Get-Date).AddDays(-1)} |
  Format-List TimeCreated, Message
last -x reboot | head
sudo journalctl --since yesterday | grep -i 'sudo.*COMMAND' | tail

Если восстановление картины требует часа grep — журнала нет. Сверьте также Get-ADGroupMember на админ-группы: кто мог менять, не кто менял.

Решение

Где хранить

Один канал: тикет-система, общая таблица CMDB Worklog, или раздел в том же месте, что CHG. Запрещено: личные чаты как единственное место. Допустимо: ссылка из тикета на paste с выводом в том же контуре.

Шаблон записи (короткий)

2026-09-08 21:15–21:40 Ivan Petrov
CHG-42 / ticket 1840
Узлы: FILE01.contoso.example
Сделано: обновление KB, рестарт в окне
Проверка: Test-NetConnection FILE01 -Port 445 с WS01 = True; SMB-шара открывается
Артефакты: C:\Temp\chg-42\before.txt, after.txt
Откат не потребовался

Для Linux приложите script/tee:

sudo mkdir -p /root/worklog/2026-09-08-chg-42
sudo nft list ruleset > /root/worklog/2026-09-08-chg-42/nft.pre
# ... работы ...
sudo nft list ruleset > /root/worklog/2026-09-08-chg-42/nft.post

Что обязательно писать

  • Все normal/emergency изменения.
  • Работы на DC, firewall, backup, гипервизоре — даже «посмотрел диск».
  • Неуспех и откат: ценнее успешного «ок».

Что можно не писать: замена картриджа, если это отдельный поток заявок и не трогает сервер.

Связь с CHG и обращениями

Обращение пользователя → тикет. Плановая работа → CHG + строка журнала. Авария → инцидент + журнал действий. Три сущности, не одна простыня.

Передача смены и вложения

Если в Contoso бывает вечерняя смена или подрядчик «на часах», журнал — единственный канал передачи. Шаблон смены: открытые P1/P2, незакрытые CHG, что сломано осознанно (идёт окно), что не трогать. Устное «там всё ок» между Иваном Петровым и подрядчиком запретите явно.

Вложения: before.txt/after.txt, Get-Service/systemctl status, скрин только если GUI-only вендор. Имя файла с id заявки, не 1.txt. Каталог \\FILE01\IT\Worklog\2026-09-08\ с ACL IT. Не кладите туда дамп SAM и экспорт vault.

Раз в месяц выборочно возьмите Event ID 1074 на DC01 и FILE01 и найдите строку журнала. Нет строки — разбор на планёрке, не штраф за честную запись «ребутнул не туда». Наказывают за скрытие, не за ошибку в журнале.

Дополнительно фиксируйте работы подрядчика тем же шаблоном, даже если они прислали PDF-акт: без строки «как проверить» акт не закрывает CHG. Иначе через полгода снова будет «мы тогда что-то настраивали на FW01».

Как проверить, что проблема устранена

  • Выборочная перезагрузка из Event ID 1074 имеет строку журнала с тем же временем ±15 мин.
  • Новый сотрудник по журналу понимает, что делали с VPN на прошлой неделе.
  • Разбор учебного P1 ссылается на журнал, не на «как помню».
  • Подрядчик сдаёт работы тем же шаблоном, иначе акт не подписывается.

Раз в неделю Иван Петров смотрит пустые дни на фоне патч-вторника — дыры видны сразу.

Имя записи журнала и id тикета должны совпадать: если CHG-42, файлы chg-42-pre.txt. Иначе через квартал никто не соберёт цепочку. Дежурному достаточно 90 секунд на запись после окна — если пишете дольше, шаблон всё ещё толстый, урежьте поля, не бросайте журнал.

Если не помогло

  • Пишут романы: урежьте шаблон до полей выше.
  • Не пишут совсем: доступ к прод только при открытом CHG (жёстко, но лечит).
  • Два журнала (IT и подрядчик): один контур, два автора.
  • Смены 24/7: журнал — единственная передача смены, устное «там всё ок» запретить.

Профилактика

  • Шаблон в тикет-системе по умолчанию.
  • Разбор аварий включает «почему не записали».
  • Не наказывать за запись неудачи — иначе будут врать.
  • Еженедельный 10-минутный обзор журнала вместе с изменениями.

FAQ

Достаточно ли git log?

Для узлов, где конфиг в git — да как часть артефакта. Рестарт, патч BIOS, замена диска git не видит.

Журнал в Excel?

Лучше, чем чат. Хуже тикетов с поиском. Если Excel — тот же диск CMDB с ACL, не журнал-копия-у-каждого.xlsx.

Нужно ли писать просмотр логов без изменения?

На DC/firewall при P1 — да (что смотрели, чтобы не повторять). Рутина мониторинга — нет.

Как долго хранить?

Согласуйте с политикой логов: часто 12 месяцев для работ, дольше для изменений AD. Не чистите в день аварии.

Можно ли диктовать голосом в чат?

Как черновик в окне — да. В журнал должна попасть структурированная запись до закрытия тикета.

Кто пишет, если работали вдвоём?

Исполнитель у клавиатуры. Второй проверяет, что проверка в записи есть, не только «сделали».