Tracciare modifiche a file, cartelle e Registro su Windows

Strumenti gratuiti su Windows per controllare ogni modifica del sistema, quando cambia un file o una cartella o una chiave di registro

Succede spesso di trovarsi di fronte a un computer che si comporta in modo anomalo: impostazioni che si resettano al riavvio, spazio su disco che diminuisce misteriosamente o software che smettono di funzionare dopo un aggiornamento. In questi casi, la sensazione è che il sistema operi di nascosto. La realtà è che ogni singola azione su Windows lascia una traccia, ma bisogna sapere dove guardare.

Non serve essere esperti di sicurezza informatica per capire cosa sta succedendo "sotto il cofano". Esistono metodi precisi per intercettare quali processi stanno scrivendo sul disco o modificando le configurazioni vitali. Mantenendo la rotta di Navigaweb verso una gestione consapevole del PC, analizziamo gli strumenti migliori per trasformare queste attività invisibili in log chiari e leggibili, partendo dalle soluzioni portatili fino agli strumenti di diagnostica avanzata.

1. Monitorare file e cartelle in tempo reale

La necessità più comune è capire quali file vengono creati, modificati o cancellati in un preciso momento. Molti strumenti promettono di farlo, ma pochi sono efficienti e leggeri come quelli sviluppati da NirSoft.

FolderChangesView

Questo programma è essenziale per chi vuole un riscontro immediato senza configurazioni complesse. A differenza di software che scansionano il disco periodicamente, FolderChangesView si aggancia agli eventi del file system di Windows, mostrando le modifiche mentre avvengono.

Scarichiamo l'eseguibile (è portatile, non richiede installazione) e avviamolo come amministratori.
All'apertura, selezioniamo la cartella da monitorare. Possiamo scegliere un intero disco, ma per evitare un eccesso di dati è meglio restringere il campo a percorsi critici come C:\Windows o C:\Program Files.
Una volta dato l'OK, il software elenca in tempo reale ogni operazione di scrittura.

Un aspetto molto utile è la colonna Modified Count. Se notiamo un file con un numero di modifiche che cresce vertiginosamente in pochi secondi, abbiamo probabilmente individuato un processo che sta scrivendo log in modo aggressivo o un software in loop.

Directory Monitor (Per chi vuole le notifiche)

Se FolderChangesView è un registro silenzioso, Directory Monitor è il campanello d'allarme. La sua forza non sta nel loggare migliaia di righe, ma nell'avvisarti visivamente.

È lo strumento giusto se hai bisogno di sapere immediatamente quando qualcuno mette un file in una cartella condivisa o se un download è stato completato. La versione gratuita permette di monitorare directory specifiche e far apparire un popup sul desktop (o riprodurre un suono) all'istante.

2. Analisi differenziale del Registro di Sistema

Il Registro di Windows è una banca dati enorme e complessa. Monitorarlo in tempo reale può rallentare il computer, motivo per cui la tecnica standard in ambito sistemistico è la comparazione "Prima e Dopo" (Snapshot).

RegistryChangesView

Anche qui NirSoft offre una soluzione pulita. RegistryChangesView permette di scattare un'istantanea del registro prima di effettuare un'operazione (ad esempio l'installazione di un driver) e confrontarla con lo stato successivo.

Per usarlo correttamente:

Avviamo il programma e clicchiamo su Create Registry Snapshot.
Eseguiamo l'operazione che vogliamo analizzare (installiamo il programma o cambiamo l'impostazione).
Torniamo sul tool, selezioniamo l'opzione di confronto con il registro attuale e generiamo il report.

RegFromApp (Per clonare le impostazioni)

Mentre i tool precedenti guardano tutto il sistema, RegFromApp inverte l'approccio: si concentra su un singolo processo. È geniale per capire dove un programma salva le sue preferenze.

Se lo avvii e selezioni, ad esempio, il processo di Chrome, il tool scriverà in tempo reale un file .reg contenente solo le modifiche fatte da Chrome. È la soluzione perfetta se vuoi copiare le configurazioni di un software da un PC all'altro senza riconfigurare tutto a mano.

RegShot (L'alternativa Open Source)

Per chi preferisce uno strumento storico e open source, RegShot rimane un punto di riferimento. Sebbene l'interfaccia sia datata, la sua capacità di generare report in formato HTML o testo semplice lo rende superiore se dobbiamo condividere i risultati dell'analisi su un forum o con un tecnico per chiedere assistenza.

3. Indagine forense con Process Monitor

Quando i metodi precedenti non bastano, magari perché il file viene creato e cancellato in una frazione di secondo, l'unica strada percorribile è l'uso di Process Monitor (ProcMon). Questo strumento fa parte della suite Sysinternals di Microsoft ed è il più potente monitor di sistema disponibile gratuitamente.

ProcMon cattura tutto: accesso al registro, file system, rete e processi. La quantità di dati generata è enorme (milioni di eventi in pochi minuti), quindi l'uso dei filtri è obbligatorio.

Come isolare il colpevole con ProcMon:

Avviamo il tool e fermiamo subito la cattura con CTRL+E per non intasare la memoria.
Apriamo il menu dei filtri (CTRL+L).
Impostiamo una regola logica. Se vogliamo sapere chi tocca un file specifico, impostiamo: Path -> contains -> nome_del_file -> Include.
Riavviando la cattura (CTRL+E), vedremo apparire solo i processi che interagiscono con quel file.

Questo è il metodo definitivo per risolvere errori di "Accesso Negato" o per capire quale programma sta riempiendo il disco rigido a nostra insaputa.

4. Audit nativo di Windows (Senza software esterni)

Se ci troviamo su un PC aziendale o non possiamo scaricare software, Windows possiede un sistema di sorveglianza integrato chiamato Audit Policy. Questo metodo scrive le modifiche direttamente nel Visualizzatore Eventi.

È una procedura avanzata che richiede Windows in versione Pro o Enterprise, poiché serve l'accesso all'editor dei criteri di gruppo:

Premiamo Win+R e digitiamo gpedit.msc.
Navighiamo in Configurazione computer > Impostazioni di Windows > Impostazioni sicurezza > Criteri locali > Criteri controllo.
Attiviamo la voce Controlla accesso agli oggetti specificando sia "Operazione riuscita" che "Non riuscita".

Dopo aver attivato il criterio generale, dobbiamo dire a Windows quale cartella sorvegliare. Cliccando col tasto destro sulla cartella desiderata, andiamo su Proprietà > Sicurezza > Avanzate > Controllo e aggiungiamo l'utente Everyone. Da quel momento, ogni modifica genererà un Evento 4663 nel registro di Sicurezza, consultabile dal Visualizzatore Eventi di Windows.

Il livello Pro: Sysmon (System Monitor)

Se l'Audit di Windows ti sembra macchinoso e vuoi qualcosa che resti attivo anche dopo il riavvio, la risposta è Sysmon di Microsoft. Fa parte della suite Sysinternals ma agisce come un servizio di sistema, installandosi nel cuore di Windows.

Non ha interfaccia grafica (si installa da riga di comando con sysmon -i), ma offre un livello di dettaglio incredibile nel Visualizzatore Eventi (sotto Applications and Services Logs/Microsoft/Windows/Sysmon/Operational). Registra hash dei file, connessioni di rete e creazione di processi. È lo strumento standard usato dagli analisti di sicurezza per scovare malware persistenti.