Directory Monitor 是一款用于监视文件和目录变化的实用工具。它可以监控指定的文件夹，当文件夹中的文件发生变化时，它会自动记录下这些变化并提供及时反馈。该工具支持多种文件和目录监视方式，如新建、删除、更改、重命名等，在文件系统发生重要变化时可以发送通知或执行相关操作

Windows 监视文件和目录变化的底层原理主要基于内核文件系统栈的拦截机制与变更通知日志，从用户态 API 到内核驱动分为多个层次。以下是核心机制的深度解析：

一、核心架构层次

Windows 的文件系统监控从下到上分为三层：

层级	技术方案	原理	权限要求
内核过滤层	File System Minifilters (过滤驱动)	挂载到文件系统驱动栈，拦截 IRP (I/O Request Packet)	内核驱动（需签名）
NTFS 日志层	USN Journal (变更序列号日志)	NTFS 文件系统内置的变更记录数据库	文件系统控制码 (FSCTL)
用户态 API 层	`ReadDirectoryChangesW` / `FindFirstChangeNotification`	封装内核通知机制，通过事件/完成端口通知用户态	标准用户权限

二、底层实现原理详解

1. `ReadDirectoryChangesW` —— 最常用的 API 实现

这是 Windows API 中监控目录变化的标准方式（用于 Everything、杀毒软件、文件同步工具等）。

调用链：

用户态: ReadDirectoryChangesW()
    ↓
ntdll: NtNotifyChangeDirectoryFile()
    ↓
内核 I/O 管理器: 构造 IRP_MJ_DIRECTORY_CONTROL (IRP_MN_NOTIFY_CHANGE_DIRECTORY)
    ↓
文件系统驱动 (NTFS.sys/CDFS.sys): 注册变更通知回调
    ↓
文件系统操作发生时触发回调 → 填充 Buffer → 完成 IRP → 唤醒用户态事件

关键机制：

溢出缓冲区 (Overflow Buffer)：内核维护一个环形缓冲区，当文件变化时，将变化信息（文件名、操作类型、时间戳）写入该缓冲区
完成端口/事件通知：当缓冲区有数据或达到指定条件（Buffer 满、超时、目录关闭），内核通过 APC (Asynchronous Procedure Call) 或完成端口唤醒用户线程
过滤点：在文件系统执行 IRP_MJ_CREATE（创建）、IRP_MJ_SET_INFORMATION（重命名/删除）、IRP_MJ_WRITE（写入）等操作后，文件系统驱动会检查是否有挂起的通知请求，如果有则触发回调

局限性：

仅能监控单个目录（无法跨卷监控，除非遍历所有目录）
受缓冲区大小限制（默认 64KB），高频率变更时可能丢失事件（返回 ERROR_NOTIFY_ENUM_DIR 错误码）
对网络共享 (SMB) 的支持依赖于服务器端的 RDBSS (Redirected Drive Buffering SubSystem)

2. USN Journal (Update Sequence Number Journal)

这是 NTFS 文件系统的内置变更日志数据库，提供持久化的变更历史记录。

数据结构：

每个文件/目录都有 USN (Update Sequence Number)，单调递增
日志记录格式：USN_RECORD_V2 或 USN_RECORD_V3，包含：
- USN（变更序号）
- FileReferenceNumber（文件引用号，类似 inode）
- ParentFileReferenceNumber（父目录引用号）
- Reason（变更原因掩码：DATA_OVERWRITE, FILE_CREATE, FILE_DELETE 等）
- TimeStamp
- FileName

工作原理：

FSCTL_QUERY_USN_JOURNAL  → 获取日志的起始 USN 和当前边界
FSCTL_READ_USN_JOURNAL   → 从指定 USN 开始读取变更记录
     ↓
NTFS.sys 直接扫描 $UsnJrnl 文件（元数据文件，通常隐藏）
     ↓
返回自上次读取以来的所有变更（支持断点续传）

特点：

持久化：重启后依然存在（除非手动删除或磁盘清理）
全卷监控：一个 USN Journal 覆盖整个 NTFS 卷，可追踪任意文件/目录的变更历史
高性能：直接读取日志文件，比 ReadDirectoryChangesW 更适合大量变更场景
局限性：仅 NTFS 支持；FAT32/EXFAT/网络驱动器无此机制；需要管理员权限或 SE_MANAGE_VOLUME_NAME 特权

3. File System Minifilters (内核过滤驱动) —— 最底层原理

这是杀毒软件（如 Windows Defender）、加密软件（如 VeraCrypt）、数据防泄漏 (DLP) 系统的核心监控方式。

架构位置：

用户应用
    ↓
I/O 管理器 (ntoskrnl.exe)
    ↓
文件系统过滤管理器 (FltMgr.sys)  ← Minifilter 挂载在此层
    ↓
文件系统驱动 (NTFS.sys, etc.)
    ↓
存储驱动堆栈

工作流程：

注册回调：Minifilter 驱动通过 FltRegisterFilter 注册对特定 IRP (I/O Request Packet) 类型的回调，如：
- IRP_MJ_CREATE：文件/目录打开/创建
- IRP_MJ_WRITE：写入数据
- IRP_MJ_SET_INFORMATION：重命名、删除、设置属性
- IRP_MJ_DIRECTORY_CONTROL：目录枚举
拦截与处理：当用户程序打开文件 C:\test.txt 时：
- I/O 管理器生成 IRP_MJ_CREATE
- FltMgr 将其分发给所有已注册的 Minifilter
- Minifilter 可以：
  - 前置处理 (Pre-Operation)：检查路径、阻止访问、修改参数（如加密/解密）
  - 后置处理 (Post-Operation)：记录日志、审计操作、修改返回数据
上下文关联：通过 FltGetFileNameInformation 获取完整路径（支持 Unicode、Win32、NT 多种格式），通过 FltGetContexts 关联文件对象上下文。

关键数据结构：

Instance：Minifilter 在卷上的挂载实例（可配置为只监控特定盘符）
Callback Data：封装了 IRP 和参数的数据包，Minifilter 通过它决定是否放行或修改操作

三、关键技术细节

1. 通知触发时机

同步通知：在文件系统操作完成前触发（如 IRP_MJ_PRE），可阻止操作
异步通知：在操作完成后触发（如 IRP_MJ_POST），仅用于监控
缓冲 vs 直接 I/O：ReadDirectoryChangesW 通常使用缓冲 I/O，而 Minifilter 可处理直接 I/O (Direct I/O)

2. 路径解析机制

Fast I/O：对于已缓存的文件操作，可能绕过 IRP 队列直接通过 Fast I/O 路径执行，Minifilter 必须同时注册 Fast I/O 回调才能完全监控
名称解析：文件系统驱动将 Win32 路径（\??\C:\file.txt）转换为 NT 路径（\Device\HarddiskVolumeX\file.txt），Minifilter 通过 FLT_CALLBACK_DATA 获取解析后的名称

3. 网络文件系统 (SMB) 特殊处理

客户端：ReadDirectoryChangesW 通过 SMB 协议将请求发送到服务器，由服务器端 CIFS/RDBSS 驱动处理
服务器端：在服务器上实际发生文件变化时，触发本地通知，再通过网络回传给客户端
延迟：网络环境下的通知通常有秒级延迟

四、性能与可靠性对比

特性	ReadDirectoryChangesW	USN Journal	Minifilter
监控粒度	单目录	整卷	全局/卷级
历史回溯	❌ 仅实时	✅ 支持查询历史	❌ 仅实时
性能开销	低（内核缓冲）	极低（直接读日志）	中高（所有 I/O 都经过）
开发难度	低（用户态 API）	中（需处理日志流）	高（内核驱动开发）
跨平台	Windows only	NTFS only	Windows only
权限要求	普通用户	管理员/特殊权限	系统级（驱动签名）

五、典型应用场景示例

场景：实时同步文件夹到云端

首选方案：ReadDirectoryChangesW 监控本地目录变更
优化方案：结合 USN Journal 处理断线重连后的历史同步（记录上次 USN，重连后读取中间日志）
替代方案：若需监控 C:\Windows\System32 等受保护目录或全局监控，必须使用 Minifilter（且需处理回调过滤，避免性能瓶颈）

注意事项：

网络驱动器（UNC 路径）使用 ReadDirectoryChangesW 时，需注意 Windows 的 SMB 通知机制可能因服务器配置（如 SMB 2.1+ 的 Change Notify 缓存）导致通知延迟或丢失
对于大量小文件变更，建议使用 完成端口 (IOCP) 配合 ReadDirectoryChangesW 以减少 APC 开销

Windows 文件监控的本质是在 I/O 栈中插入观测点：

用户态方案 (ReadDirectoryChangesW) 利用内核的事件通知机制，适合大多数应用场景
USN Journal 利用 NTFS 的事务日志特性，提供持久化的变更历史查询
Minifilter 通过内核驱动拦截 IRP，提供最高级别的控制和最低延迟，但开发和部署成本最高

现代 Windows 应用（如 OneDrive、Dropbox、VS Code）通常组合使用 ReadDirectoryChangesW（实时性）与 USN Journal（容错性），在性能和可靠性之间取得平衡。

Windows下监视文件/目录变化的实现方式可分为原生系统API类、上层库/框架封装类、现成工具类、轮询兜底方案四大类，共十多种主流实现路径，不同方式的复杂度、能力、适用场景差异极大，选型需要结合具体需求判断。

一、主流实现方式详解

（一）原生系统API类（共8种，是上层实现的基础）

这类方式是系统底层提供的原生能力，性能最高、控制力最强，但开发成本也更高。

实现方式	核心原理	优点	缺点	适用场景
`ReadDirectoryChangesW`	微软官方推荐的目录监控核心API，支持异步/同步模式，可指定监控目录/子树、过滤事件类型（创建/删除/修改/重命名/属性/权限变更等）、过滤文件名，通过回调或IO完成端口通知变更	性能高、事件信息全、兼容性好（WinXP及以上支持）、普通权限即可调用；支持和高并发IO完成端口结合，适合服务端批量监控多目录	仅支持监控目录，单文件需监控其所在目录并过滤；缓冲区溢出时会丢事件，需手动处理缓冲区；对UNC网络路径的支持有限制（部分SMB版本/共享配置下无法生效）	绝大多数本地文件/目录监控场景，是上层库的核心底层，也是服务端高并发监控的首选原生方案
`FindFirstChangeNotification` / `FindNextChangeNotification`	老牌API，仅能感知目录「是否有变更」，无法获取具体变更类型/内容，触发事件后需自行扫描目录对比差异	兼容性极强（Win95起支持）、实现极简单、无缓冲区溢出问题	信息粒度极粗，效率低，不适合高频变更场景	仅需感知目录是否有变化的简单场景，比如低优先级的后台同步
`SHChangeNotifyRegister`	Shell命名空间监控API，可感知Shell层面的操作（文件拖拽/复制/剪切、桌面图标变更、文件关联修改、特殊文件夹如回收站/我的电脑的变更等），不仅是底层文件系统变更，还包括用户交互层的行为	能覆盖用户侧的操作行为，适合桌面端交互场景	依赖Shell交互会话，服务端/后台服务无法使用；性能一般，不适合高频监控	桌面端工具（比如文件管理器、桌面同步工具）监控用户交互产生的文件操作
NTFS USN Journal（更新序列号日志）	NTFS文件系统内置的变更日志，所有对NTFS卷的文件/目录操作（包括其他进程、系统操作）都会被记录，可通过`DeviceIoControl`接口读取日志，支持增量读取、指定起始位置回溯历史	事件全、无丢失（只要日志未被覆盖）、支持历史回溯，适合审计、增量备份场景	仅支持NTFS格式卷（ReFS从2016+部分支持），FAT32/exFAT不适用；需要管理员权限读取；日志有大小限制，满后会覆盖旧记录，需自行处理轮转；全卷监控数据量大，需自行过滤	文件审计、增量备份、全量变更追溯、企业合规场景
文件系统过滤驱动（File System Filter Driver）	内核级驱动，挂载在文件系统驱动上层，所有文件系统的IO请求（读写、创建、删除等）都会经过该驱动，可监控/拦截所有文件操作	能力最强，能监控所有底层操作（包括隐藏操作、其他进程的操作），可干预文件操作（比如阻止修改、加密）	开发难度极高，需要内核编程能力，驱动签名要求高，bug极易导致系统蓝屏，仅适合安全类、企业级产品	杀毒软件、数据防泄漏（DLP）、文件加密系统、企业级安全审计
WMI事件查询	通过WMI查询`__InstanceCreationEvent`、`__InstanceModificationEvent`等系统事件，监控`Win32_Directory`、`CIM_DataFile`等类的变更	无需原生开发，脚本（PowerShell/VBScript）即可调用，适合快速实现运维脚本	性能极差、延迟高、事件丢失率高，不适合生产环境	临时运维脚本、低频监控的简单需求
PowerShell原生能力	基于WMI或.NET FileSystemWatcher封装，比如`Get-ChildItem -Wait`、`Register-ObjectEvent`、WMI事件查询等	脚本实现快，Windows系统自带，无需额外安装依赖	性能和功能有限，高频场景丢事件严重	个人运维、自动化任务、临时监控需求
ETW（事件追踪）文件系统事件	通过Windows内核ETW框架的`Microsoft-Windows-Kernel-File`提供程序，捕获所有文件系统的底层操作（创建、读取、写入、删除、重命名等），包括其他进程的操作	性能极高、事件全、支持实时捕获和历史回溯，无需内核驱动，比过滤驱动开发成本低	需要管理员权限开启ETW会话，开发复杂度较高，需要解析ETW事件，不适合简单场景	高性能审计、性能分析、安全监控等需要全量低开销捕获文件操作的场景

（二）上层库/框架封装类（共5种主流，降低开发成本）

都是基于上述原生API封装，屏蔽底层差异，提供跨语言/易用的API，是应用开发的首选。

实现方式	底层支撑	优点	缺点	适用场景
.NET `FileSystemWatcher`	封装`ReadDirectoryChangesW`，支持.NET Framework/.NET 5+，已跨平台	事件驱动、API简单、.NET生态原生支持，适合C#/VB.NET开发	Windows下存在缓冲区溢出丢事件问题，递归监控需自行实现，网络路径支持有限	.NET生态的应用开发，比如桌面工具、后台服务
C/C++跨平台库	包括`Boost.Filesystem`（directory_monitor）、`libuv`（`uv_fs_event_t`，Node.js底层）、`Qt`（`QFileSystemWatcher`）、`libevent`（`ev_stat`）	跨平台、性能高，适合C++/Node.js/Qt等生态	部分库功能有限，比如libuv仅支持单层目录监控，递归需自行实现	C++/Qt桌面应用、Node.js服务、高性能工具开发
Python `watchdog`	Windows下封装`ReadDirectoryChangesW`，跨平台	API友好、支持观察者模式、递归监控、事件过滤，Python生态最常用的监控库	底层受限于Windows API，高频场景仍有丢事件风险	Python自动化脚本、监控工具、桌面应用
Go `fsnotify`	Windows下封装`ReadDirectoryChangesW`，跨平台	轻量、性能好、API简单，Go生态标准解决方案	默认仅支持单层目录监控，递归需自行实现	Go开发的后台服务、命令行工具、云原生组件
Java `WatchService`（NIO.2）	封装`ReadDirectoryChangesW`，JDK 7+原生支持	无需第三方依赖，跨平台，Java生态原生支持	功能基础，不支持递归监控，高频场景有丢事件问题	Java应用的后台服务、企业级工具开发

（三）现成工具类（无需开发，直接使用）

适合排查问题、运维监控、临时需求，无需自行编码。

系统自带工具
- Process Monitor（ProcMon，Sysinternals套件）：最常用的系统级监控工具，可监控所有文件系统操作、进程、注册表、网络，支持过滤、导出，适合问题排查、临时审计。
- 文件服务器资源管理器（FSRM）：Windows Server自带，可监控文件服务器的文件变更、配额、审计，适合企业文件服务器管理。
- 文件审核策略：组策略中开启「文件系统审核」，可将文件操作记录到Windows事件日志，适合合规审计。
第三方工具
- Everything（voidtools）：文件搜索工具，内置实时文件监控，索引更新快，适合本地文件检索场景的监控。
- 同步类工具：FreeFileSync、DirSync Pro等，内置文件监控功能，用于增量同步。
- 可观测工具：Zabbix、Prometheus Windows Exporter、Filebeat/Fluentd等，支持文件变更监控、告警、日志采集，适合运维监控场景。
- 企业级DLP工具：Symantec DLP、Forcepoint DLP等，支持全量文件操作监控、外发审计、合规检测。

（四）轮询兜底方案

原理：定时扫描目标文件/目录，对比文件的修改时间、大小、哈希值等属性，判断是否有变更。
优点：兼容性极强，任何文件系统、网络路径、权限环境都能用，无系统依赖。
缺点：性能差、延迟高，高频变更场景容易漏检，资源占用高。
适用场景：兼容性要求高的场景（比如监控FAT32 U盘、网络共享、非Windows系统挂载的卷），或者作为事件驱动方案的补充兜底。

二、路径选型指南

选型时需结合以下6个核心维度判断，避免盲目选择：

1. 先明确监控范围与对象

单文件监控：需监控其所在目录并过滤事件，或直接用轮询。
网络路径（UNC/SMB）监控：优先选轮询、WMI、ProcMon，ReadDirectoryChangesW对网络路径支持有限。
非NTFS卷（FAT32/exFAT）：只能用轮询、WMI，事件驱动类API无法生效。
全量所有进程操作：选USN日志、ETW、过滤驱动、ProcMon；仅监控自身应用操作用上层库即可。

2. 再明确事件精度要求

仅需感知「有变化」：选FindFirstChangeNotification、轮询。
需要具体事件类型（创建/删除/修改/重命名/属性变更）：选ReadDirectoryChangesW系列上层库、USN日志。
需要监控用户交互行为（拖拽/复制/文件关联变更）：选SHChangeNotifyRegister。
需要审计所有操作（包括读操作、历史回溯）：选USN日志、文件审核策略、ETW、过滤驱动。

3. 评估性能与频率要求

低频变更（<10次/分钟）：WMI、PowerShell、轮询都能满足。
中高频变更（10~1000次/分钟）：优先选ReadDirectoryChangesW系列上层库，需处理缓冲区溢出、事件去重。
高频/全量变更（>1000次/分钟）：优先选USN日志、ETW，或自行封装ReadDirectoryChangesW优化缓冲区，避免用上层库。

4. 权衡开发与部署成本

快速实现脚本/临时需求：用PowerShell、Python watchdog、ProcMon等现成工具，无需从零开发。
应用级开发：优先选对应语言的上层库（.NET FileSystemWatcher、Go fsnotify等），无需处理原生API细节。
企业级产品/安全场景：用原生API封装、USN日志、ETW，或过滤驱动。
服务端/后台服务：避免用依赖Shell的SHChangeNotifyRegister，优先选ReadDirectoryChangesW、USN日志。

5. 考虑权限与部署环境

普通用户权限运行：只能用ReadDirectoryChangesW、上层库、轮询，USN日志、过滤驱动、ETW、WMI部分查询需要管理员权限。
交互式桌面端：可选用SHChangeNotifyRegister监控用户侧操作。
服务器/后台服务：优先选无Shell依赖的方案。

6. 特殊需求匹配

需要回溯历史变更：选USN日志、文件审核策略、ETW。
需要拦截/干预文件操作：仅文件系统过滤驱动能满足。
需要跨平台：选跨平台上层库（watchdog、fsnotify、Java WatchService等），避免用Windows专属API。

三、常见场景选型示例

场景	推荐方案
开发本地文件夹同步工具	.NET `FileSystemWatcher`/Python `watchdog`/Go `fsnotify`，自行处理高频事件去重、递归监控
实现企业文件审计系统	USN日志 + Windows文件审核策略，兼顾全量变更和历史回溯
开发杀毒软件/数据防泄漏系统	文件系统过滤驱动，实现全量监控和操作拦截
运维临时监控目录是否有新文件	PowerShell脚本或ProcMon，5分钟即可实现
监控SMB网络共享的文件变更	轮询方案，或WMI查询，避免`ReadDirectoryChangesW`的网络限制
容器环境下的文件监控	优先轮询，或宿主机NTFS卷的USN日志；容器内overlay层仅能监控可写层，事件驱动方案覆盖有限

四、注意事项

高频场景下，ReadDirectoryChangesW系列方案必须处理缓冲区溢出问题，合理设置缓冲区大小，增加事件队列做削峰，避免丢事件。
重命名事件在事件驱动方案中通常是「旧文件删除+新文件创建」两个事件，或单独的重命名事件，需根据API特性做关联，避免逻辑错误。
文件修改事件通常会触发多次（比如文件保存时会先写临时文件、再替换原文件），需做事件去重和合并，避免重复处理。
服务端程序避免使用依赖交互式Shell的API，否则会出现无事件的问题。

在 Windows 系统中，完全可以监控文件的复制、移动和剪切操作，但需要明确的是，Windows 操作系统本身并没有提供一个名为“复制”或“剪切”的原生事件接口。因此，要实现精准监控，通常需要借助底层系统机制、API 拦截或第三方工具。

以下是目前实现该监控的几种核心技术手段和方案：

1. 利用 Shell 扩展与钩子机制（精准捕获用户行为）

这是监控用户在资源管理器（Explorer）中手动进行复制、剪切、移动操作的最佳方式。

ICopyHook 接口：通过派生 COM 对象并注册到注册表，可以监视文件夹和文件的移动、删除、重命名及复制操作，不仅能获取源和目标文件名，还可以控制并拒绝该操作。
IShellExtInit 与 IFileOperation 接口：当用户在 Shell 中拖拽或复制粘贴时，会触发 Shell 扩展对象的调用。通过 Hook（挂钩） IFileOperation 中的 CopyItems、MoveItems 等接口，或者利用 IFileOperationProgressSink 的 PreCopyItem 和 PostCopyItem 回调，可以获取文件级的操作详情，包括源路径、目标路径、新文件名以及操作是否成功。
Shell Change Notification：通过 SHChangeNotifyRegister 注册监听 SHCNE_CREATE、SHCNE_DELETE 等标准 Shell 事件，结合 Shell Hook 机制，可以捕获用户在图形界面中的拖拽和粘贴动作。

2. 基于文件系统监控与事件推断（应用层常规方案）

FileSystemWatcher (FSW)：这是 .NET 中常用的文件监控组件，它可以监控指定文件夹下的新建、删除、修改和重命名事件。但它的局限在于无法直接区分“复制”与“移动”。
- 推断逻辑：当文件被复制时，目标文件夹会触发 Created（创建）事件；当文件被剪切时，通常会先触发源位置的 Deleted（删除）事件，随后触发目标位置的 Created 事件或 Renamed（重命名）事件。通过记录删除的文件并结合内存哈希表或文件唯一标识（如 FileID），可以推断出这是一次剪切操作。
USN Journal（更新序列号日志）：这是 Windows NTFS 文件系统的内核级变更日志。它可以精确区分 USN_REASON_RENAME_OLD_NAME（重命名）与 USN_REASON_MOVED_OLD_NAME（移动），并能获取跨卷移动的完整源/目标路径对，是绕过 FSW 局限性的进阶方案。

3. 内核级文件系统过滤驱动（Minifilter）

这是一种企业级的高精度监控方案。通过开发文件系统微过滤驱动，可以在 IRP（I/O 请求包）级别拦截所有的文件原子操作。
在 PreCreate 或读写回调中，结合进程溯源（判断是 explorer.exe 还是其他程序发起的请求）和目标卷属性，可以精准识别并控制文件的复制和移动行为，常用于数据防泄漏（DLP）系统。

4. 事后审计与查看（无需开发）

如果仅仅是为了查看电脑上是否发生过文件拷贝或移动记录，可以使用以下方法：

Windows 事件查看器：在启用“审核文件系统”策略后，系统会将文件的访问和修改记录为安全事件。可以通过筛选 事件 ID 4663 来查看哪些文件被读取、复制或修改。
注册表分析：通过检查注册表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR，可以查看 U 盘等可移动存储设备的连接历史（如 LastArrival 时间戳），用于交叉印证文件外发行为。
第三方安全审计软件：如域智盾、安企神、WinShield 等内网安全管理软件，它们通过驱动级监控捕获 USB 设备接入与文件操作全过程，能够直接记录源路径、目标路径、操作类型（Copy/Move）以及触发该操作的进程名称。

Directory Monitor 是一款用于监视文件和目录变化的实用工具。它可以监控指定的文件夹，当文件夹中的文件发生变化时，它会自动记录下这些变化并提供及时反馈。该工具支持多种文件和目录监视方式，如新建、删除、更改、重命名等，在文件系统发生重要变化时可以发送通知或执行相关操作。

使用 Directory Monitor 可以轻松地跟踪和维护文件和目录的变化，帮助用户快速发现并解决潜在问题。该工具还提供了一些高级功能，如自定义过滤规则、定制通知选项、支持网络共享、多种报告导出等，可以满足不同用户的需求和习惯。总之，Directory Monitor 是一款非常实用的文件监视工具，可以帮助用户提高工作效率和准确性，值得推荐。

以下是几款流行的 Directory Monitor 工具：

Directory Monitor Pro：这是一款功能全面、易于使用的 Windows 文件监视工具，可监视文件和目录的变化并提供实时反馈。该工具支持多种监视方式和过滤规则，并可以将变化记录到日志文件或发送通知。
FileWatcher：这是一款开源的跨平台文件监视器，支持多种监视方式和事件触发器，并可根据用户需求执行脚本和自定义处理。该工具适用于数据处理、日志分析等应用场景。
Watch 4 Folder：这是一款轻量级的文件夹监视工具，适用于个人用户和小型团队。它可以监控指定文件夹的变化并提供通知，支持多种自定义选项和扩展插件。
FolderChangesView：这是一款免费的文件夹监视器，支持多种监视方式和过滤条件，并提供了简单易用的图形界面和统计报告。该工具还可以导出监视结果并进行比较和分析。
1. WatchDirectory: 这是一款可靠的 Windows 文件夹监视工具，使用它可以监测计算机系统上的重要文件夹和它们的子文件夹。它支持多种监视方式，如新建、删除、修改和重命名；并且也可以分别设置不同的文件扩展名进行监视。
2. Karen’s Directory Printer: 这是一款小巧的工具，可帮助你快速生成文件列表。该工具支持多种文件列表格式，如HTML、CSV、XML等，并且还可以根据文件名、扩展名、大小、时间戳等条件对文件进行筛选。
3. FolderSpy: 这是一款开源的文件夹监视工具，它能够监视指定文件夹中的增量式更改并且立即通知你。FolderSpy 还支持定时执行检查任务，因此在你离开电脑之前可以对重要文件夹进行定期监控。
  1. Sentry-go Quick File & Print Monitor: 这是一款具有实时监视功能的网络监控工具，可监视本地或远程文件夹、FTP站点和打印机。该工具提供多种警报选项，例如音频警报、电子邮件通知等。
  2. WinPatrol: 这是一个全能的 Windows 系统工具，能够监视程序、注册表、系统服务等所有重要组件。WinPatrol 还能够监视任何特定文件夹中的变化，并在发现异常事件时发出警报。
  3. Nagios: 这是一款完整的 IT基础设施管理工具，能够监视诸如操作系统、服务器、网络设备和应用程序等各种元素的工作状态。Nagios 可以通过插件扩展来监控文件夹、文件、目录等重要的系统组件。
    1. PA WatchDISK: 这是一款高效的 Windows 文件夹监视工具，可监视本地和网络驱动器上的文件夹。它支持当文件被创建/删除/修改时，向用户发送邮件通知，还能生成日志进行可视化分析。
    2. Sysinternals Process Monitor: 这是一款免费的高级 Windows 系统监视工具，可以实时监测系统文件、注册表和应用程序等，并包含了一个非常强大的过滤器。你可以使用它来监视文件夹和文件的变化，查看哪个进程在访问特定文件或目录。
    3. Directory Report: 这是一款功能强大的文件管理和目录监视器，可以扫描所有驱动器，并生成详细的文件和目录报告。该工具还可以监视文件夹和文件的变化，并提供比较、搜索或同步文件夹的选项。
    4. Emsisoft Emergency Kit: 这是一款开源的紧急解决方案，用于检测和删除计算机病毒和其他恶意软件。该工具还具有文件监视器功能，可监视文件夹和文件中的异常行为，并可选择将其设置为信任列表或删除它们。
      1. Watch 4 Folder: 这是一款简单易用的文件夹监视器，可以帮助用户监视指定文件夹中的所有文件。该工具还支持设置多个监视器来监视不同的文件夹和不同的事件，并能够记录变化信息并保存到日志文件中。
      2. Directory Opus: 这是一款功能强大的文件管理器和资源浏览器，可帮助用户高效地管理文件和文件夹。该工具还具有文件夹监视器功能，可以监视文件夹和文件的变化，并提供处理和过滤所观察到的变化的选项。
      3. System Explorer: 这是一款全能的系统监视工具，能够监视计算机上的所有进程、服务、网络连接等。该工具还具有文件夹监视器功能，可以监视文件夹和文件的变化，并向用户发送通知或执行操作。
      4. PC Hunter: 这是一款功能齐全的系统监视工具，能够实时监视文件、注册表、进程、驱动程序等系统部分，并提供了详细的信息和操作功能。该工具还具有文件夹监视器功能，可以监视文件夹和文件的变化，并进行自动化响应。

在 PowerShell 中，可以使用 System.IO.FileSystemWatcher 类来监视文件和目录的变化。FileSystemWatcher 可以监控文件夹中的文件和子目录的更改、创建、删除和重命名等事件。

以下是一个简单的 PowerShell 脚本示例，展示了如何监视文件夹的变化并记录变化信息：

示例：监视文件夹的文件变化

powershell

# 监视的文件夹路径
$folderPath = "C:\path\to\your\directory"

# 创建 FileSystemWatcher 实例
$watcher = New-Object System.IO.FileSystemWatcher

# 设置监视的路径和过滤器
$watcher.Path = $folderPath
$watcher.Filter = "*.*"  # 监视所有类型的文件，可以根据需要修改

# 设置监视的事件
$watcher.IncludeSubdirectories = $true  # 是否包括子目录
$watcher.EnableRaisingEvents = $true     # 启用事件通知

# 事件处理程序：文件创建
$watcher.Created += {
    $event = $_
    Write-Host "文件创建: $($event.FullPath) at $($event.TimeStamp)"
}

# 事件处理程序：文件删除
$watcher.Deleted += {
    $event = $_
    Write-Host "文件删除: $($event.FullPath) at $($event.TimeStamp)"
}

# 事件处理程序：文件更改
$watcher.Changed += {
    $event = $_
    Write-Host "文件更改: $($event.FullPath) at $($event.TimeStamp)"
}

# 事件处理程序：文件重命名
$watcher.Renamed += {
    $event = $_
    Write-Host "文件重命名: $($event.OldFullPath) 重命名为 $($event.FullPath) at $($event.TimeStamp)"
}

# 提示用户关闭脚本
Write-Host "监视器正在运行，按 Ctrl+C 停止监视。"

# 保持脚本运行直到手动停止
while ($true) {
    Start-Sleep -Seconds 1
}

解释：

System.IO.FileSystemWatcher 类：这是 PowerShell 用来监视文件和目录变化的核心类。它可以监视特定目录中的文件创建、删除、重命名和更改等事件。
Path：设置要监视的目录路径。
Filter：指定要监视的文件类型。*.* 表示监视所有文件类型，你可以修改为例如 *.txt 来只监视 .txt 文件。
事件处理：我们为每个重要事件（Created, Deleted, Changed, Renamed）注册了事件处理程序，这些处理程序在文件夹发生相应变化时会触发，并记录变化的详细信息。
EnableRaisingEvents：启用事件监听。

运行：

运行该脚本后，它将持续监视指定目录中的文件变化。每当有文件创建、删除、更改或重命名时，它会输出相关信息。如果你希望停止脚本，只需按 Ctrl + C。

扩展功能：

发送通知：你可以将事件处理程序修改为发送电子邮件或弹出通知。
执行操作：可以根据不同的事件执行特定的操作，比如备份文件、更新日志文件、执行其他脚本等。

实现监视文件夹中的复制、剪切和粘贴操作，PowerShell 脚本可以基于 System.IO.FileSystemWatcher 监视文件和目录变化的同时，通过一些额外的逻辑来推测和模拟这些操作。请注意，FileSystemWatcher 主要监视文件的创建、修改、删除和重命名，对于 "复制" 和 "剪切" 这些操作，它不能直接区分，因为它们最终表现为文件的删除和创建。

示例：监视文件夹中的文件创建、删除、重命名（剪切）和复制操作

powershell

# 监视的文件夹路径
$folderPath = "C:\path\to\your\directory"

# 创建 FileSystemWatcher 实例
$watcher = New-Object System.IO.FileSystemWatcher

# 设置监视的路径和过滤器
$watcher.Path = $folderPath
$watcher.Filter = "*.*"  # 监视所有文件类型，您可以根据需求修改

# 设置监视的事件
$watcher.IncludeSubdirectories = $true  # 是否包括子目录
$watcher.EnableRaisingEvents = $true     # 启用事件通知

# 临时存储已删除文件信息（用来判断剪切操作）
$deletedFiles = @{}

# 事件处理程序：文件创建
$watcher.Created += {
    $event = $_
    Write-Host "文件创建: $($event.FullPath) at $($event.TimeStamp)"
}

# 事件处理程序：文件删除
$watcher.Deleted += {
    $event = $_
    $deletedFiles[$event.Name] = $event.FullPath
    Write-Host "文件删除: $($event.FullPath) at $($event.TimeStamp)"
}

# 事件处理程序：文件更改（通常用于修改）
$watcher.Changed += {
    $event = $_
    Write-Host "文件更改: $($event.FullPath) at $($event.TimeStamp)"
}

# 事件处理程序：文件重命名（剪切）
$watcher.Renamed += {
    $event = $_
    # 如果文件从某个地方删除并重命名，则认为是剪切操作
    if ($deletedFiles.ContainsKey($event.OldName)) {
        Write-Host "文件剪切（重命名）: 从 $($event.OldFullPath) 到 $($event.FullPath) at $($event.TimeStamp)"
        $deletedFiles.Remove($event.OldName)  # 清除已处理的删除信息
    }
    else {
        Write-Host "文件重命名: 从 $($event.OldFullPath) 到 $($event.FullPath) at $($event.TimeStamp)"
    }
}

# 提示用户关闭脚本
Write-Host "监视器正在运行，按 Ctrl+C 停止监视。"

# 保持脚本运行直到手动停止
while ($true) {
    Start-Sleep -Seconds 1
}

说明：

FileSystemWatcher 监视的操作： 通过 Created、Deleted、Changed 和 Renamed 事件，脚本可以检测文件的创建、删除、修改以及重命名（剪切）。
- 复制操作：通常，复制文件时会产生一个新文件，这会触发 Created 事件。
- 剪切操作：剪切文件时会删除文件并在新位置创建文件，这会先触发 Deleted 事件，再触发 Created 事件。通过记录删除的文件，可以推测其后续的 Renamed 或 Created 事件是剪切操作。
- 粘贴操作：粘贴操作通常表现为文件的创建，因此通过 Created 事件来捕获。

如何识别剪切操作：

剪切操作通常会表现为文件删除后立即重命名（或创建）。在脚本中，Renamed 事件会检查文件是否在删除列表中，如果存在，则说明是剪切操作。

扩展：

定制操作：你可以在脚本中添加额外的操作，例如，复制文件时记录文件的源位置、在剪切操作时执行特定的操作等。
日志记录：可以将这些事件输出到日志文件，以便事后查看。
发送通知：可以将事件处理程序扩展为发送电子邮件、弹出通知或执行其他脚本操作。

监视 Windows API 调用并通过 PowerShell 脚本实现这一点是一个比较复杂的任务。因为 PowerShell 本身并不直接提供对底层 API 调用的访问，但我们可以使用一些 Windows 系统工具或者第三方工具来实现 API 调用的监控。

一种常见的做法是使用 Windows Performance Monitor (PerfMon) 或 Process Monitor 工具来跟踪系统的 API 调用，尤其是文件系统、网络、注册表等操作。然后可以通过 PowerShell 对这些工具的输出进行处理和分析。

使用 Process Monitor (ProcMon) 来监控 API 调用

Process Monitor 是一个强大的 Windows 实用工具，它能够捕捉并显示实时的系统活动，包括 API 调用、文件访问、注册表访问等。

你可以通过以下步骤来实现监控 API 调用：

1. 下载并运行 Process Monitor

访问 Sysinternals 网站下载并运行 Process Monitor。
Process Monitor 会显示所有正在进行的系统活动，包括 API 调用。

2. 配置过滤器

打开 Process Monitor，可以配置过滤器来只显示特定的 API 调用。
比如，你可以过滤 CreateFile、WriteFile 等文件操作的 API 调用，或者网络相关的 Send 和 Recv。

3. 捕获 API 调用

在 Process Monitor 运行时，它会自动捕获各种系统调用。你可以看到每个事件的详细信息，包括被调用的 API 名称、调用的参数和返回值。

4. 将捕获的数据导出为日志文件

你可以将捕获到的数据保存为 .PML 文件格式。之后，你可以用 PowerShell 来处理这些文件，提取你需要的信息。

5. 使用 PowerShell 处理 Process Monitor 日志

假设你已经将 Process Monitor 的输出保存为 .CSV 或 .PML 文件，你可以使用 PowerShell 来解析和分析这些日志。

powershell

# 读取 Process Monitor 导出的 CSV 文件
$logFile = "C:\path\to\procmon_log.csv"

# 解析 CSV 文件
$logEntries = Import-Csv -Path $logFile

# 筛选出 API 调用的记录
$apiCalls = $logEntries | Where-Object { $_.Operation -eq "CreateFile" }

# 输出 API 调用相关的信息
$apiCalls | ForEach-Object {
    Write-Host "API Call: $($_.Operation), Path: $($_.Path), Time: $($_.Time)"
}

监控特定的 Windows API 调用

如果你只关心某些特定的 Windows API 调用，比如 CreateFile 或 ReadFile，你可以将 Process Monitor 的过滤器设置为仅捕获这些 API 的调用。这样会减轻日志的体积，并使你能够更专注于特定的调用。

通过 PowerShell 直接调用 Windows API

如果你希望在 PowerShell 中直接调用 Windows API，可以通过 .NET 的 P/Invoke 功能来实现。这涉及到使用 Add-Type 来引用 Windows API 函数。不过，这个方法通常用于开发自定义的功能，来调用系统级的 API。

例如，以下是通过 PowerShell 调用 Windows 的 MessageBox API 的一个示例：

powershell

Add-Type @"
using System;
using System.Runtime.InteropServices;
public class MessageBox {
    [DllImport("user32.dll", CharSet = CharSet.Auto)]
    public static extern int MessageBox(IntPtr hWnd, String text, String caption, uint type);
}
"@
[MessageBox]::MessageBox([IntPtr]::Zero, "Hello, World!", "PowerShell", 0)

这种方法可以用来调用各种 Windows API，但如果要监控所有 API 调用，推荐使用 Process Monitor。

Process Monitor 是监控 API 调用的强大工具，你可以通过它获取 API 调用的详细日志。
使用 PowerShell 可以分析 Process Monitor 生成的日志文件。
如果你需要调用 Windows API，可以使用 PowerShell 的 Add-Type 方法，但这通常适用于调用特定的函数而不是全面的 API 监控。

Windows Defender防火墙的官方文档中并不常见。根据您的描述，它很可能指的是与IPsec相关的安全功能，或者是防火墙的事件记录与收集功能。

下面我为您梳理一下这些核心概念。

🛡️ 理解IPsec：不仅仅是数据过滤

IPsec是一组基于IP协议的网络安全协议，用于保护网络通信的安全性和完整性。它与Windows Defender防火墙深度集成，但功能远不止于简单的允许或阻止连接。

它的核心作用可以归纳为以下几点：

身份验证：确保通信对方的身份是可信的。
数据完整性校验：保证数据在传输过程中未被篡改。
数据加密：对传输的数据进行加密，防止被窃听。

通过配置连接安全规则，你可以要求两台主机之间的特定类型通信必须经过IPsec保护。这对于保护服务器之间的数据传输特别有用。

📊 掌握防火墙事件记录

Windows Defender防火墙会详细记录其操作，这对于安全分析和故障排查至关重要。这些日志主要分为以下几类：

日志类型	主要功能	事件查看器中的路径
Firewall.evtx	记录流量的允许或阻止事件，以及防火墙规则的变更。	`应用程序和服务日志` > `Microsoft` > `Windows` > `Windows Firewall With Advanced Security` > `Firewall`
ConnectionSecurity.evtx	记录与IPsec相关的事件，如安全连接的建立、身份验证或加密失败等。	同上路径下的 `ConnectionSecurity`
FirewallDiagnostics.evtx	提供更详细的诊断信息，用于深度排查复杂网络问题。	同上路径下的 `FirewallDiagnostics`

如何查看日志：

按下 Win + R 键，输入 eventvwr.msc 并回车，打开“事件查看器”。
在左侧导航窗格中，依次展开路径：应用程序和服务日志 > Microsoft > Windows > Windows Firewall With Advanced Security。
在这里你就可以看到上述三个日志节点。例如，防火墙本身的启用和关闭动作会在 Firewall 日志中生成事件ID为2003的记录。

💡 实用建议与后续步骤

为了更有效地管理或排查问题，你可以参考以下思路：

明确目标：首先想清楚你是要控制特定端口的访问（创建入站/出站规则），还是要保护两台电脑之间的通信安全（创建连接安全规则）。
善用日志：当遇到网络连接问题时，事件查看器中的防火墙日志是第一个应该去检查的地方。你可以根据时间戳和操作类型（如“阻止”）来快速定位问题。
谨慎操作：在对防火墙或IPsec策略进行更改前，最好记录下当前的设置。错误的配置可能会导致服务无法访问。

posted @ 2023-05-31 07:45 suv789 阅读(2661) 评论(0) 收藏举报

刷新页面返回顶部

suv789

一、核心架构层次

二、底层实现原理详解

1. ReadDirectoryChangesW —— 最常用的 API 实现

2. USN Journal (Update Sequence Number Journal)

3. File System Minifilters (内核过滤驱动) —— 最底层原理

三、关键技术细节

1. 通知触发时机

2. 路径解析机制

3. 网络文件系统 (SMB) 特殊处理

四、性能与可靠性对比

五、典型应用场景示例

Windows下监视文件/目录变化的实现方式可分为原生系统API类、上层库/框架封装类、现成工具类、轮询兜底方案四大类，共十多种主流实现路径，不同方式的复杂度、能力、适用场景差异极大，选型需要结合具体需求判断。

一、主流实现方式详解

（一）原生系统API类（共8种，是上层实现的基础）

（二）上层库/框架封装类（共5种主流，降低开发成本）

（三）现成工具类（无需开发，直接使用）

（四）轮询兜底方案

二、路径选型指南

1. 先明确监控范围与对象

2. 再明确事件精度要求

3. 评估性能与频率要求

4. 权衡开发与部署成本

5. 考虑权限与部署环境

6. 特殊需求匹配

三、常见场景选型示例

四、注意事项

1. 利用 Shell 扩展与钩子机制（精准捕获用户行为）

2. 基于文件系统监控与事件推断（应用层常规方案）

3. 内核级文件系统过滤驱动（Minifilter）

4. 事后审计与查看（无需开发）

示例：监视文件夹的文件变化

解释：

运行：

扩展功能：

示例：监视文件夹中的文件创建、删除、重命名（剪切）和复制操作

说明：

如何识别剪切操作：

扩展：

使用 Process Monitor (ProcMon) 来监控 API 调用

1. 下载并运行 Process Monitor

2. 配置过滤器

3. 捕获 API 调用

4. 将捕获的数据导出为日志文件

5. 使用 PowerShell 处理 Process Monitor 日志

监控特定的 Windows API 调用

通过 PowerShell 直接调用 Windows API

🛡️ 理解IPsec：不仅仅是数据过滤

📊 掌握防火墙事件记录

💡 实用建议与后续步骤

公告

1. `ReadDirectoryChangesW` —— 最常用的 API 实现