Tieni conto del fatto che non ci sono solo i file che l'utente modifica direttamente: tutti i file di configurazione, la cache dei browser, le scritture nel file di swap, le continue scritture nel registro (alla fine è costituito anch'esso di file)... sarebbe una mole di dati immensa, da far registrare all'interno di API fondamentali come Create/OpenFile e CloseFile. Per registrare le situazioni anomale c'è comunque l'Event Log.