我想知道什么时候用户或Windows会话修改图像文件，以及用户/会话的名称。
怎么做？
您可以使用文件系统审计function来logging特定文件或目录上的所有types的访问。 只要遵循这个简短的指导方针，就可以对有问题的文件进行审计，并评估安全日志。
如果您尚未激活日志logging，但需要过去更改的信息，则可能很幸运，可以在NTFS日志中find它。 日志会不时旋转（取决于磁盘上的更改操作数量和configuration的日志大小），如果更改已被覆盖，则无法再访问该日志。
有一个示例日记阅读应用程序与微软发布的源代码 – 一些小的变化应该能够产生变化的用户的SID。 可能会有免费的实用程序来阅读期刊给你的SID或用户的名字。