NT API нижнего уровня предоставляет поле с именем ChangedTime в структуре FILE_BASIC_INFORMATION ; это описано как:
Указывает время последнего изменения файла.
По сути, это отметка времени, когда любой метаданных (который я предполагаю включает в себя дескриптор безопасности) был последний раз изменен. Конечно, вы не можете сказать , что было изменено, что привело к обновлению отметки времени, но я думаю, что это лучшее, что вы можете сделать из коробки.
Существует также USN Journal , но я считаю, что эта функция по умолчанию отключена.