En cas d'incident 

Réagir vite (mais sans précipitation) et bien (mais sans précipitation)

Traces de ce qui se passe si l'activité se répète et/ou perdure

Conserver ce qui peut l'être (journaux, disques, ...)
Ne pas effacer ou laisser effacer (scripts, cron, disques pleins, ...) les traces (journaux et disques) même quand il faut remettre le service en route.

Ne pas conserver 24 heures de journaux s'il faut 72 heures pour constater un problème

Comprendre ce qui s'est passé
Si vous ne comprenez pas d'ou vient le problème il se reproduira.

Les journaux vous aideront   (ou aideront les gens qui vous aident)
   à comprendre d'ou viennent les problèmes.