А>Необходимо из ядра отследить обращение к DDE. Я предполагаю, что
А>DDE API вызывает нечто вроде ZwCreatePort и ZwOpenPort. Насколько верны мои
А>предположения?

Нет, оно на WM_DDE_xxx сделано.

Интересно, кто ж вспомнил про DDE, который 11 лет как deprecated