如何在 Windows 环境中找出哪个进程删除了文件？

Question

我使用 AllwaySync 在连接到 Windows 机器的两个外部驱动器上同步大量音乐文件。最近，从其中一个驱动器中删除了数千个文件，我想确定其原因。有没有办法可以确定哪个进程负责删除？我通过查看 AllwaySync 高级日志知道事件的大致日期和时间。

Answer 1

抱歉，你不能做事后剖析。

不过，您可以捕获并记录将来的删除内容。关键字是“审核”，Windows 全面支持审核所有类型的事件，包括文件删除。有不止一种方法可以实现此功能，例如请参见此处。

或者，您可以使用 Microsoft 的ProcMon实时监控所有系统活动，并将其过滤器设置为仅显示文件删除。