Sysinternals Process Monitor无法捕获Windows Dev Drive(ReFS)文件系统事件的解决与替代方案

一、修复Process Monitor的捕获问题 #

先从工具自身配置和版本入手排查：

• 检查过滤规则：默认过滤可能未覆盖ReFS/Dev Drive路径。打开Process Monitor后，点击菜单栏「Filter」→「Filter...」，添加规则：Path 包含你的Dev Drive盘符（比如D:\*）；也可以通过mountvol命令获取ReFS卷的GUID，添加Volume等于该GUID的过滤规则，同时确保未排除QueryOpen这类目标事件。
• 启用全量文件系统事件捕获：点击「Options」，确认「Capture File System Events」已勾选，也可直接重置过滤为默认后，再添加目标路径的包含规则。
• 升级到最新版本：Process Monitor 4.01属于较旧版本，微软后续更新已修复ReFS/Dev Drive的事件捕获支持，直接替换为最新版即可解决大部分兼容性问题。
• 确认驱动加载正常：启动工具时确保允许驱动加载，若驱动未正常运行，尝试以管理员权限启动，或在「Options」→「Configure Symbols」中确认符号文件加载正常（符号加载不影响基础捕获，但驱动异常会直接导致监控失效）。

二、替代监控工具 #

若上述方案无效，可尝试以下工具：

• Sysinternals Sysmon：微软官方系统监控工具，原生支持ReFS和Dev Drive。编写配置文件添加文件访问监控规则（比如指定QueryOpen、FileCreate等事件，TargetPath指向ReFS驱动器路径），通过命令sysmon -c 你的配置文件.xml加载配置，事件日志会保存在「事件查看器」→「应用程序和服务日志」→「Microsoft」→「Windows」→「Sysmon」→「Operational」中，信息维度与Process Monitor接近。
• Windows事件查看器（审计日志）：先通过gpedit.msc开启文件系统审计：进入「计算机配置」→「Windows设置」→「安全设置」→「高级审计策略配置」→「审计策略」→「对象访问」，勾选「审计文件系统」的成功和失败事件。之后在事件查看器的「Windows日志」→「安全」中可查看ReFS驱动器的文件访问事件，缺点是信息粒度较粗，需手动筛选事件ID（比如4663为文件访问事件）。
• PowerShell轻量监控：利用Get-WinEvent命令结合已开启的审计日志，编写简单脚本筛选ReFS驱动器的文件访问事件，适合临时、简单的监控需求。

内容的提问来源于stack exchange，提问作者mstrap