winapi - ReadDirectoryChangesW と、変更の原因となったプロセスの特定

Question

どのプロセスがどのファイルに変更を加えているかを判断するにはどうすればよいですか。

私はこれを見つけました：

FileSystemWatcher: どのプロセスが変更を行ったかを知る方法は?

でも最近何か変わったのかな？どのプロセスがファイルシステムに変更を加えているかを特定することはまだ可能ReadDirectoryChangesWですか? カーネルドライバーを作成したり使用したりする必要はありません。

Answer 1

カーネルドライバー（プロセスモニターなど）を使用してファイルを変更するプロセスを見つけることは可能かもしれませんが、フォルダーがネットワーク上で共有されている場合のプロセスと、別のコンピューター上のプロセスの識別には常に問題があります。ネットワーク経由でファイルを変更します。この場合、カーネルドライバーでさえ、ネットワーク共有プロセスを、他のコンピューター上のプロセスではなく、ファイルにアクセスするプロセスとして識別します。

Answer 2

追跡するファイルのセキュリティ監査を作成します。この情報は、セキュリティ イベント ログに記録されます。

Answer 3

まだコメントできないようです。ファイルまたはパスのセキュリティ監査を作成する Python コードに興味があります。システムのセキュリティ イベント ログに干渉するのは少し残念ですが、すべてを取得することはできません。:-)

この時点まで、変更時に GetForegroundWindow を使用して、最終的に関連するプロセスを取得していました。ユーザーによって開始された変更に対してのみうまく機能しますが、それは主に私が興味を持っていたことです。それについてもっと知りたいときまでには存在しません（どのプロセスがそれを生成したかなど）。それはセキュリティ監査でも問題だと思いますが。