SQL Server ServerName alterado repentinamente

Percebi que o valor do meu parâmetro @@ServerName foi atualizado sem meu conhecimento. Existe uma maneira de rastrear quem e quando isso mudou?

e

Apenas @@SERVERNAME foi alterado

Isso significa que o nome do host físico não mudou, então não sei por que as outras respostas estão apontando para isso.

Provavelmente, isso foi feito via sp_[drop/add]server e aparecerá se você estiver usando qualquer auditoria ou rastreamento t-sql. Caso contrário, ele não aparecerá em nenhum log padrão. Você pode ter sorte e verificar o arquivo de log para mestre (algo como fn_dblog), mas é altamente improvável que você obtenha algo útil, pois o banco de dados mestre usa o modelo de recuperação simples e a variável global reflete apenas as alterações após a reinicialização do o serviço.

Você pode querer implementar algum tipo de auditoria ou rastreamento daqui para frente.

Deixe-me repetir o que Sean disse. Acabei de fazer uma reprodução disso, para ter certeza, e enquanto fazia isso, Sean postou sua resposta. De qualquer forma:

@@SERVERNAME retorna o que está na tabela sys.servers (ou, já que é uma visão, a tabela subjacente).

O que você vê indica que alguém mudou isso usando sp_dropserver e sp_addserver. Executei os procedimentos sp_dropserver e sp_addserver e verifiquei os três suspeitos usuais de "auditoria padrão", mas não consegui ver nenhum vestígio desses sp's sendo executados. Então, você precisaria de alguma auditoria própria para detectar isso. Aqui está minha reprodução (o nome da minha máquina mudou):

SELECT @@SERVERNAME --Returns 'xyz', my machine name
EXEC sp_dropserver 'xyz'
EXEC sp_addserver 'GammaRay', 'LOCAL'
SHUTDOWN
--Start your SQL Server

SELECT @@SERVERNAME --Returns 'GammaRay'

--check errorlog files, nothing
--check default trace, nothing
--check system_health XE session, nothing

--Reset the name to the old name
EXEC sp_dropserver 'GammaRay'
EXEC sp_addserver 'xyz', 'LOCAL'
SHUTDOWN

Atualização 1: fui solicitado a adicionar evidências da manipulação das tabelas subjacentes de sys.servers observando os registros de log, usando esta consulta:

SELECT * 
FROM ::fn_dblog(NULL, NULL) 
WHERE AllocUnitName IN ('sys.sysxsrvs.cl','sys.syslnklgns.cl') 

Assim fiz, e os comandos sp_dropserver geraram esses registros de log (nem todas as colunas postadas, e desculpem a formatação)

LOP_DELETE_ROWS LCX_MARK_AS_GHOST   sys.sysxsrvs.cl
LOP_SET_BITS    LCX_PFS sys.sysxsrvs.cl
LOP_DELETE_ROWS LCX_MARK_AS_GHOST   sys.syslnklgns.cl
LOP_SET_BITS    LCX_PFS sys.syslnklgns.cl
LOP_SET_BITS    LCX_PFS sys.syslnklgns.cl
LOP_SET_BITS    LCX_PFS sys.sysxsrvs.cl

E o seguinte sp_addserver gerou estes:

LOP_INSERT_ROWS LCX_CLUSTERED   sys.sysxsrvs.cl
LOP_MODIFY_ROW  LCX_CLUSTERED   sys.sysxsrvs.cl
LOP_MODIFY_ROW  LCX_CLUSTERED   sys.sysxsrvs.cl
LOP_INSERT_ROWS LCX_CLUSTERED   sys.syslnklgns.cl
LOP_MODIFY_ROW  LCX_CLUSTERED   sys.syslnklgns.cl

Pode haver algum ruído não relacionado acima, devo acrescentar.

Navegando visualmente pela saída completa da consulta, não consegui encontrar nada que obviamente se destacasse. Acho que você pode tentar decodificar colunas como "RowLog contents n" e "Log Records", que contém informações hexadecimais.

No entanto, como o mestre está efetivamente preso na recuperação simples, essas informações foram perdidas após uma reinicialização. Ou seja, após a inicialização, a consulta retornou zero linhas. Pelo menos para um desligamento adequado. Você poderia especular que um desligamento forçado pode não gerar um ponto de verificação que truncaria o log (mas pode ser truncado na recuperação de falha na inicialização), no entanto, não acho provável que um processo que renomeie o nome do servidor no " sys.servers table" também reiniciaria a instância do SQL Server encerrando à força o processo do SQL Server.

Talvez você possa encontrá-lo no nível do servidor. Como a White Owl já mencionou, está em nome de um Administrador do Sistema.

Você pode determinar quando o nome de um computador foi alterado procurando a ID de evento 6011 do EventLog de origem no log do sistema. O 6011 é registrado na reinicialização após a ID de evento 6006 "O serviço de log de eventos foi interrompido" e antes da ID de evento 6009 e ID de evento 6005 "O serviço de log de eventos foi iniciado".

De Como determinar quando o nome do computador foi alterado

Não.

O nome do servidor está nas mãos do administrador do sistema. Portanto, a única maneira de descobrir quando (e por que) o nome foi alterado é perguntar a SA. Normalmente, uma mudança tão grande na infraestrutura é bem documentada por muitas discussões e envolvimento dos gestores.

Mas não há logs para alterar as variáveis ​​no nível do sistema.