如何截获将要执行/打开的文件，包括系统核心文件？

Question

To log activity at the physical disk level, we modified a physical disk filter driver, DiskPerf, whose source code is in the DDK. This driver collects and reports statistics about raw disk access.To log file system activity, refer to Filemon, another filter driver whose source code can be found on the SysInternals Web site. This filter driver logs and displays file system activity.Another way to find all file systems is to call IoRegisterFsRegistrationChange, part of the Microsoft Installable File System (IFS) Kit. This call registers a function to be called whenever a file system becomes active or inactive.