【Etw系列】使用Etw监视系统文件创建详细信息

用Etw监控文件变动可以监听到创建文件的进程ID，线程ID，文件ShareAccess等详细信息，这不比什么SHChangeNotifyRegister，NtNotifyChangeDirectoryFile之类的函数强？