PowerShell监控Windows关键文件变更的核心是用FileSystemWatcher实时捕获变化，需精准选择监控路径（如SoftwareDistribution、WindowsUpdate.log等）、增大缓冲区、递归过滤、事件注册，并写入事件日志或推送告警，最后服务化长期运行。
powershell 监控 windows 关键文件变更，核心是用 filesystemwatcher 实时捕获变化，而不是轮询扫描。关键不在“能不能监控”，而在于监控哪些路径、如何防丢事件、怎么确保长期稳定运行。下面直接说实用做法。
明确要监控的 Windows 关键路径
Windows 更新、系统配置、安全日志等关键操作都会在固定位置留下痕迹。优先监控这些真实生效的路径： - C:\Windows\SoftwareDistribution\Download：存放正在下载或待安装的补丁文件（.cab、.msu） - C:\Windows\WindowsUpdate.log：文本日志，记录更新全过程（需启用详细日志） - C:\Windows\SoftwareDistribution\ReportingEvents.log：结构化事件日志，含成功/失败状态 - C:\Windows\System32\GroupPolicy\（含 Machine/User 子目录）：组策略应用时会写入 .pol、.admx 文件 - C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\：启动项被篡改的高危位置
注意：不要监控整个 C:\Windows——性能差、权限受限、事件爆炸。只盯具体有业务意义的子路径。
用 FileSystemWatcher 正确监听，避免丢事件
默认脚本容易漏掉快速连续操作（比如一次安装多个补丁）。必须做三件事： - 设置足够大的缓冲区：$watcher.InternalBufferSize = 65536（默认仅 8KB，易溢出） - 启用递归并过滤类型：$watcher.IncludeSubdirectories = $true，配合 $watcher.Filter = "*.cab", "*.msu", "*.log" 减少干扰 - 使用事件注册而非 WaitForChanged：用 Register-ObjectEvent 绑定 Created/Changed/Deleted/Renamed，让 PowerShell 后台异步处理，不阻塞队列
示例片段（监控 Download 目录）：
$watcher = New-Object System.IO.FileSystemWatcher "C:\Windows\SoftwareDistribution\Download"
$watcher.IncludeSubdirectories = $true
$watcher.Filter = "*.cab"
$watcher.InternalBufferSize = 65536
$watcher.EnableRaisingEvents = $true
Register-ObjectEvent $watcher Created -Action {
$file = $Event.SourceEventArgs.FullPath
Write-EventLog -LogName Application -Source "FileMonitor" -EventId 1001 -EntryType Information -Message "新补丁下载完成: $file"
}
把事件转成可追踪、可告警的动作
单纯打印控制台没用。关键是要让变更“可落地”： - 写入 Windows 事件日志（用 Write-EventLog 或 Write-WinEvent），方便用事件查看器统一查 - 记录到本地带时间戳的文本日志：Add-Content "C:\audit\winupdate.log" "$(Get-Date): Created $($Event.SourceEventArgs.Name)" - 调用外部工具：比如发现新 .cab 文件，自动执行 expand 解包并 sigcheck 验签；或触发 Invoke-RestMethod 推送到 SIEM 平台 - 发 Windows 通知（需加载 WinForms）：[System.Windows.Forms.NotifyIcon]::ShowBalloonTip(1000, "关键文件变更", "检测到新补丁下载", [System.Windows.Forms.ToolTipIcon]::Info)
让监控真正长期跑下去
交互式 PowerShell 窗口一关就停。生产环境必须服务化： - 封装为 .ps1 脚本，用 Windows 计划任务 设置“登录时”或“系统启动后”触发（勾选“不管用户是否登录都要运行”+“使用最高权限”） - 更可靠的方式是用 nssm.exe 把脚本包装成 Windows 服务（nssm 自动重启、日志重定向、服务依赖管理） - 加入简单健康检查：每5分钟读一次 $watcher.EnableRaisingEvents，为 False 就自动重置，防 watcher 意外失效
不复杂但容易忽略。
