Directory Monitor 是一款用于监视文件和目录变化的实用工具。它可以监控指定的文件夹，当文件夹中的文件发生变化时，它会自动记录下这些变化并提供及时反馈。该工具支持多种文件和目录监视方式，如新建、删除、更改、重命名等，在文件系统发生重要变化时可以发送通知或执行相关操作

Directory Monitor 是一款用于监视文件和目录变化的实用工具。它可以监控指定的文件夹，当文件夹中的文件发生变化时，它会自动记录下这些变化并提供及时反馈。该工具支持多种文件和目录监视方式，如新建、删除、更改、重命名等，在文件系统发生重要变化时可以发送通知或执行相关操作。

使用 Directory Monitor 可以轻松地跟踪和维护文件和目录的变化，帮助用户快速发现并解决潜在问题。该工具还提供了一些高级功能，如自定义过滤规则、定制通知选项、支持网络共享、多种报告导出等，可以满足不同用户的需求和习惯。总之，Directory Monitor 是一款非常实用的文件监视工具，可以帮助用户提高工作效率和准确性，值得推荐。

 

以下是几款流行的 Directory Monitor 工具：

  1. Directory Monitor Pro：这是一款功能全面、易于使用的 Windows 文件监视工具，可监视文件和目录的变化并提供实时反馈。该工具支持多种监视方式和过滤规则，并可以将变化记录到日志文件或发送通知。

  2. FileWatcher：这是一款开源的跨平台文件监视器，支持多种监视方式和事件触发器，并可根据用户需求执行脚本和自定义处理。该工具适用于数据处理、日志分析等应用场景。

  3. Watch 4 Folder：这是一款轻量级的文件夹监视工具，适用于个人用户和小型团队。它可以监控指定文件夹的变化并提供通知，支持多种自定义选项和扩展插件。

  4. FolderChangesView：这是一款免费的文件夹监视器，支持多种监视方式和过滤条件，并提供了简单易用的图形界面和统计报告。该工具还可以导出监视结果并进行比较和分析。

    1. WatchDirectory: 这是一款可靠的 Windows 文件夹监视工具，使用它可以监测计算机系统上的重要文件夹和它们的子文件夹。它支持多种监视方式，如新建、删除、修改和重命名；并且也可以分别设置不同的文件扩展名进行监视。

    2. Karen’s Directory Printer: 这是一款小巧的工具，可帮助你快速生成文件列表。该工具支持多种文件列表格式，如HTML、CSV、XML等，并且还可以根据文件名、扩展名、大小、时间戳等条件对文件进行筛选。

    3. FolderSpy: 这是一款开源的文件夹监视工具，它能够监视指定文件夹中的增量式更改并且立即通知你。FolderSpy 还支持定时执行检查任务，因此在你离开电脑之前可以对重要文件夹进行定期监控。

      1. Sentry-go Quick File & Print Monitor: 这是一款具有实时监视功能的网络监控工具，可监视本地或远程文件夹、FTP站点和打印机。该工具提供多种警报选项，例如音频警报、电子邮件通知等。

      2. WinPatrol: 这是一个全能的 Windows 系统工具，能够监视程序、注册表、系统服务等所有重要组件。WinPatrol 还能够监视任何特定文件夹中的变化，并在发现异常事件时发出警报。

      3. Nagios: 这是一款完整的 IT基础设施管理工具，能够监视诸如操作系统、服务器、网络设备和应用程序等各种元素的工作状态。Nagios 可以通过插件扩展来监控文件夹、文件、目录等重要的系统组件。

        1. PA WatchDISK: 这是一款高效的 Windows 文件夹监视工具，可监视本地和网络驱动器上的文件夹。它支持当文件被创建/删除/修改时，向用户发送邮件通知，还能生成日志进行可视化分析。

        2. Sysinternals Process Monitor: 这是一款免费的高级 Windows 系统监视工具，可以实时监测系统文件、注册表和应用程序等，并包含了一个非常强大的过滤器。你可以使用它来监视文件夹和文件的变化，查看哪个进程在访问特定文件或目录。

        3. Directory Report: 这是一款功能强大的文件管理和目录监视器，可以扫描所有驱动器，并生成详细的文件和目录报告。该工具还可以监视文件夹和文件的变化，并提供比较、搜索或同步文件夹的选项。

        4. Emsisoft Emergency Kit: 这是一款开源的紧急解决方案，用于检测和删除计算机病毒和其他恶意软件。该工具还具有文件监视器功能，可监视文件夹和文件中的异常行为，并可选择将其设置为信任列表或删除它们。

          1. Watch 4 Folder: 这是一款简单易用的文件夹监视器，可以帮助用户监视指定文件夹中的所有文件。该工具还支持设置多个监视器来监视不同的文件夹和不同的事件，并能够记录变化信息并保存到日志文件中。

          2. Directory Opus: 这是一款功能强大的文件管理器和资源浏览器，可帮助用户高效地管理文件和文件夹。该工具还具有文件夹监视器功能，可以监视文件夹和文件的变化，并提供处理和过滤所观察到的变化的选项。

          3. System Explorer: 这是一款全能的系统监视工具，能够监视计算机上的所有进程、服务、网络连接等。该工具还具有文件夹监视器功能，可以监视文件夹和文件的变化，并向用户发送通知或执行操作。

          4. PC Hunter: 这是一款功能齐全的系统监视工具，能够实时监视文件、注册表、进程、驱动程序等系统部分，并提供了详细的信息和操作功能。该工具还具有文件夹监视器功能，可以监视文件夹和文件的变化，并进行自动化响应。

在 PowerShell 中，可以使用 System.IO.FileSystemWatcher 类来监视文件和目录的变化。FileSystemWatcher 可以监控文件夹中的文件和子目录的更改、创建、删除和重命名等事件。

以下是一个简单的 PowerShell 脚本示例，展示了如何监视文件夹的变化并记录变化信息：

示例：监视文件夹的文件变化

powershell
# 监视的文件夹路径
$folderPath = "C:\path\to\your\directory"

# 创建 FileSystemWatcher 实例
$watcher = New-Object System.IO.FileSystemWatcher

# 设置监视的路径和过滤器
$watcher.Path = $folderPath
$watcher.Filter = "*.*"  # 监视所有类型的文件，可以根据需要修改

# 设置监视的事件
$watcher.IncludeSubdirectories = $true  # 是否包括子目录
$watcher.EnableRaisingEvents = $true     # 启用事件通知

# 事件处理程序：文件创建
$watcher.Created += {
    $event = $_
    Write-Host "文件创建: $($event.FullPath) at $($event.TimeStamp)"
}

# 事件处理程序：文件删除
$watcher.Deleted += {
    $event = $_
    Write-Host "文件删除: $($event.FullPath) at $($event.TimeStamp)"
}

# 事件处理程序：文件更改
$watcher.Changed += {
    $event = $_
    Write-Host "文件更改: $($event.FullPath) at $($event.TimeStamp)"
}

# 事件处理程序：文件重命名
$watcher.Renamed += {
    $event = $_
    Write-Host "文件重命名: $($event.OldFullPath) 重命名为 $($event.FullPath) at $($event.TimeStamp)"
}

# 提示用户关闭脚本
Write-Host "监视器正在运行，按 Ctrl+C 停止监视。"

# 保持脚本运行直到手动停止
while ($true) {
    Start-Sleep -Seconds 1
}

解释：

  1. System.IO.FileSystemWatcher 类：这是 PowerShell 用来监视文件和目录变化的核心类。它可以监视特定目录中的文件创建、删除、重命名和更改等事件。
  2. Path：设置要监视的目录路径。
  3. Filter：指定要监视的文件类型。*.* 表示监视所有文件类型，你可以修改为例如 *.txt 来只监视 .txt 文件。
  4. 事件处理：我们为每个重要事件（Created, Deleted, Changed, Renamed）注册了事件处理程序，这些处理程序在文件夹发生相应变化时会触发，并记录变化的详细信息。
  5. EnableRaisingEvents：启用事件监听。

运行：

运行该脚本后，它将持续监视指定目录中的文件变化。每当有文件创建、删除、更改或重命名时，它会输出相关信息。如果你希望停止脚本，只需按 Ctrl + C。

扩展功能：

  • 发送通知：你可以将事件处理程序修改为发送电子邮件或弹出通知。
  • 执行操作：可以根据不同的事件执行特定的操作，比如备份文件、更新日志文件、执行其他脚本等。

实现监视文件夹中的复制、剪切和粘贴操作，PowerShell 脚本可以基于 System.IO.FileSystemWatcher 监视文件和目录变化的同时，通过一些额外的逻辑来推测和模拟这些操作。请注意，FileSystemWatcher 主要监视文件的创建、修改、删除和重命名，对于 "复制" 和 "剪切" 这些操作，它不能直接区分，因为它们最终表现为文件的删除和创建。

示例：监视文件夹中的文件创建、删除、重命名（剪切）和复制操作

powershell
# 监视的文件夹路径
$folderPath = "C:\path\to\your\directory"

# 创建 FileSystemWatcher 实例
$watcher = New-Object System.IO.FileSystemWatcher

# 设置监视的路径和过滤器
$watcher.Path = $folderPath
$watcher.Filter = "*.*"  # 监视所有文件类型，您可以根据需求修改

# 设置监视的事件
$watcher.IncludeSubdirectories = $true  # 是否包括子目录
$watcher.EnableRaisingEvents = $true     # 启用事件通知

# 临时存储已删除文件信息（用来判断剪切操作）
$deletedFiles = @{}

# 事件处理程序：文件创建
$watcher.Created += {
    $event = $_
    Write-Host "文件创建: $($event.FullPath) at $($event.TimeStamp)"
}

# 事件处理程序：文件删除
$watcher.Deleted += {
    $event = $_
    $deletedFiles[$event.Name] = $event.FullPath
    Write-Host "文件删除: $($event.FullPath) at $($event.TimeStamp)"
}

# 事件处理程序：文件更改（通常用于修改）
$watcher.Changed += {
    $event = $_
    Write-Host "文件更改: $($event.FullPath) at $($event.TimeStamp)"
}

# 事件处理程序：文件重命名（剪切）
$watcher.Renamed += {
    $event = $_
    # 如果文件从某个地方删除并重命名，则认为是剪切操作
    if ($deletedFiles.ContainsKey($event.OldName)) {
        Write-Host "文件剪切（重命名）: 从 $($event.OldFullPath) 到 $($event.FullPath) at $($event.TimeStamp)"
        $deletedFiles.Remove($event.OldName)  # 清除已处理的删除信息
    }
    else {
        Write-Host "文件重命名: 从 $($event.OldFullPath) 到 $($event.FullPath) at $($event.TimeStamp)"
    }
}

# 提示用户关闭脚本
Write-Host "监视器正在运行，按 Ctrl+C 停止监视。"

# 保持脚本运行直到手动停止
while ($true) {
    Start-Sleep -Seconds 1
}

说明：

  • FileSystemWatcher 监视的操作： 通过 Created、Deleted、Changed 和 Renamed 事件，脚本可以检测文件的创建、删除、修改以及重命名（剪切）。
    • 复制操作：通常，复制文件时会产生一个新文件，这会触发 Created 事件。
    • 剪切操作：剪切文件时会删除文件并在新位置创建文件，这会先触发 Deleted 事件，再触发 Created 事件。通过记录删除的文件，可以推测其后续的 Renamed 或 Created 事件是剪切操作。
    • 粘贴操作：粘贴操作通常表现为文件的创建，因此通过 Created 事件来捕获。

如何识别剪切操作：

  • 剪切操作通常会表现为文件删除后立即重命名（或创建）。在脚本中，Renamed 事件会检查文件是否在删除列表中，如果存在，则说明是剪切操作。

扩展：

  • 定制操作：你可以在脚本中添加额外的操作，例如，复制文件时记录文件的源位置、在剪切操作时执行特定的操作等。
  • 日志记录：可以将这些事件输出到日志文件，以便事后查看。
  • 发送通知：可以将事件处理程序扩展为发送电子邮件、弹出通知或执行其他脚本操作。

监视 Windows API 调用并通过 PowerShell 脚本实现这一点是一个比较复杂的任务。因为 PowerShell 本身并不直接提供对底层 API 调用的访问，但我们可以使用一些 Windows 系统工具或者第三方工具来实现 API 调用的监控。

一种常见的做法是使用 Windows Performance Monitor (PerfMon) 或 Process Monitor 工具来跟踪系统的 API 调用，尤其是文件系统、网络、注册表等操作。然后可以通过 PowerShell 对这些工具的输出进行处理和分析。

使用 Process Monitor (ProcMon) 来监控 API 调用

Process Monitor 是一个强大的 Windows 实用工具，它能够捕捉并显示实时的系统活动，包括 API 调用、文件访问、注册表访问等。

你可以通过以下步骤来实现监控 API 调用：

1. 下载并运行 Process Monitor

  • 访问 Sysinternals 网站 下载并运行 Process Monitor。
  • Process Monitor 会显示所有正在进行的系统活动，包括 API 调用。

2. 配置过滤器

  • 打开 Process Monitor，可以配置过滤器来只显示特定的 API 调用。
  • 比如，你可以过滤 CreateFile、WriteFile 等文件操作的 API 调用，或者网络相关的 Send 和 Recv。

3. 捕获 API 调用

  • 在 Process Monitor 运行时，它会自动捕获各种系统调用。你可以看到每个事件的详细信息，包括被调用的 API 名称、调用的参数和返回值。

4. 将捕获的数据导出为日志文件

  • 你可以将捕获到的数据保存为 .PML 文件格式。之后，你可以用 PowerShell 来处理这些文件，提取你需要的信息。

5. 使用 PowerShell 处理 Process Monitor 日志

假设你已经将 Process Monitor 的输出保存为 .CSV 或 .PML 文件，你可以使用 PowerShell 来解析和分析这些日志。

powershell
# 读取 Process Monitor 导出的 CSV 文件
$logFile = "C:\path\to\procmon_log.csv"

# 解析 CSV 文件
$logEntries = Import-Csv -Path $logFile

# 筛选出 API 调用的记录
$apiCalls = $logEntries | Where-Object { $_.Operation -eq "CreateFile" }

# 输出 API 调用相关的信息
$apiCalls | ForEach-Object {
    Write-Host "API Call: $($_.Operation), Path: $($_.Path), Time: $($_.Time)"
}

监控特定的 Windows API 调用

如果你只关心某些特定的 Windows API 调用，比如 CreateFile 或 ReadFile，你可以将 Process Monitor 的过滤器设置为仅捕获这些 API 的调用。这样会减轻日志的体积，并使你能够更专注于特定的调用。

通过 PowerShell 直接调用 Windows API

如果你希望在 PowerShell 中直接调用 Windows API，可以通过 .NET 的 P/Invoke 功能来实现。这涉及到使用 Add-Type 来引用 Windows API 函数。不过，这个方法通常用于开发自定义的功能，来调用系统级的 API。

例如，以下是通过 PowerShell 调用 Windows 的 MessageBox API 的一个示例：

powershell
Add-Type @"
using System;
using System.Runtime.InteropServices;
public class MessageBox {
    [DllImport("user32.dll", CharSet = CharSet.Auto)]
    public static extern int MessageBox(IntPtr hWnd, String text, String caption, uint type);
}
"@
[MessageBox]::MessageBox([IntPtr]::Zero, "Hello, World!", "PowerShell", 0)

这种方法可以用来调用各种 Windows API，但如果要监控所有 API 调用，推荐使用 Process Monitor。

  • Process Monitor 是监控 API 调用的强大工具，你可以通过它获取 API 调用的详细日志。
  • 使用 PowerShell 可以分析 Process Monitor 生成的日志文件。
  • 如果你需要调用 Windows API，可以使用 PowerShell 的 Add-Type 方法，但这通常适用于调用特定的函数而不是全面的 API 监控。

Windows Defender防火墙的官方文档中并不常见。根据您的描述，它很可能指的是与IPsec相关的安全功能，或者是防火墙的事件记录与收集功能。

下面我为您梳理一下这些核心概念。

🛡️ 理解IPsec：不仅仅是数据过滤

IPsec是一组基于IP协议的网络安全协议，用于保护网络通信的安全性和完整性。它与Windows Defender防火墙深度集成，但功能远不止于简单的允许或阻止连接。

它的核心作用可以归纳为以下几点：

  • 身份验证：确保通信对方的身份是可信的。

  • 数据完整性校验：保证数据在传输过程中未被篡改。

  • 数据加密：对传输的数据进行加密，防止被窃听。

通过配置连接安全规则，你可以要求两台主机之间的特定类型通信必须经过IPsec保护。这对于保护服务器之间的数据传输特别有用。

📊 掌握防火墙事件记录

Windows Defender防火墙会详细记录其操作，这对于安全分析和故障排查至关重要。这些日志主要分为以下几类：

 
 
日志类型 主要功能 事件查看器中的路径
Firewall.evtx 记录流量的允许或阻止事件，以及防火墙规则的变更。 应用程序和服务日志 > Microsoft > Windows > Windows Firewall With Advanced Security > Firewall
ConnectionSecurity.evtx 记录与IPsec相关的事件，如安全连接的建立、身份验证或加密失败等。 同上路径下的 ConnectionSecurity
FirewallDiagnostics.evtx 提供更详细的诊断信息，用于深度排查复杂网络问题。 同上路径下的 FirewallDiagnostics

如何查看日志：

  1. 按下 Win + R 键，输入 eventvwr.msc 并回车，打开“事件查看器”。

  2. 在左侧导航窗格中，依次展开路径：应用程序和服务日志 > Microsoft > Windows > Windows Firewall With Advanced Security。

  3. 在这里你就可以看到上述三个日志节点。例如，防火墙本身的启用和关闭动作会在 Firewall 日志中生成事件ID为2003的记录。

💡 实用建议与后续步骤

为了更有效地管理或排查问题，你可以参考以下思路：

  • 明确目标：首先想清楚你是要控制特定端口的访问（创建入站/出站规则），还是要保护两台电脑之间的通信安全（创建连接安全规则）。

  • 善用日志：当遇到网络连接问题时，事件查看器中的防火墙日志是第一个应该去检查的地方。你可以根据时间戳和操作类型（如“阻止”）来快速定位问题。

  • 谨慎操作：在对防火墙或IPsec策略进行更改前，最好记录下当前的设置。错误的配置可能会导致服务无法访问。

 

posted @ 2023-05-31 07:45  suv789  阅读(2192)  评论(0)    收藏  举报