如何监视 NTFS 文件系统中的更改？

Question

我正在寻找某种方式或工具，可以为我提供一段时间内文件系统上发生的所有更改的报告和统计信息。例如，我想查看过去 15 分钟/1 小时/24 小时内以某种方式更改的所有文件，等等。

我想在 Windows Server 2003 R2 到 2008 R2 上执行此操作。

Answer 1

Voidtools.com 的“ Everything ”是一个很好的解决方案。它直接附加到 NTFS USN 日志，并且会看到其他实用程序不会看到的修改。它实时显示结果。只需运行它并转到“搜索”>“最近的更改”>“过去一小时”（或“过去 24 小时”）。您也可以对结果进行排序。

PS：在支持论坛中查看 build 451 beta，这是更新了此功能的最新版本。

Answer 2

有以下三种可能：

1. 在线：在线监控变化
2. 离线1：使用一种工具，在周期开始时和结束时将有关可用文件的所有信息收集到日志文件（例如校验和文件）中。然后可以比较日志文件以查看发生了什么变化
3. 由于 NTFS 支持快照（又名卷影副本），您可以在周期开始时手动创建卷影副本，并在结束时比较两个版本

在线监控

用于在线监控的一站式工具是Sysinternals Proces Monitor（免费） - 但是您只想查看配置的更改可能有点困难，而且我不确定它的长期使用稳定性如何。

通过“校验和文件”进行离线监控

即使名称表明它的主要重点是监视注册表RegShot (GPL)，也包括文件比较。还有其他替代品，例如SpyMe Tools和SystemSherlock Lite。

通过卷影卷复制进行离线监控

我不知道有什么工具可以实现这样的功能。也许一位才华横溢的程序员读了这篇文章并将其作为他下一个项目的想法？