Здравствуйте, Аноним. Вы писали:
> Недавно мне поставили задачу создать файловый монитор наподобие
> filemon, но работающий исключительно в UserMode. Пока в голову приходит
> только использование возможнойстей shell, но они достаточно ограничены и
> не полны. Я слышал, что помимо shell в Винде есть еще два механизма слежения
> за файлами и директориями, но не знаю, как их зовут и где искать. Покорнейше прошу,
> натолкните на мысль. Куда идти, где копать.

В UserMode это можно сделать, как мне кажется, путем перехвата вызовов функций API по работе с файлами у всех приложений UserMode. Подобные технологии используют UserMode rootkit`s. Посмотри на www.rootkit.com