Не могу пока комментировать. Я был бы заинтересован в вашем коде Python, который создает аудит безопасности для файлов или путей. Немного обидно, если он портится с журналом событий безопасности системы, но у вас не может быть всего! : -)
До этого момента я использовал GetForegroundWindow во время изменения, чтобы в конечном итоге получить связанный процесс. Это хорошо работает только для изменений, инициированных пользователем, но это в первую очередь то, что меня интересовало. Помимо фоновых процессов, единственной незначительной проблемой является то, что иногда процесс создается только для выполнения задачи (например, пакетного файла) он не существует к тому времени, когда вы хотите узнать больше об этом (например, какой процесс породил его). Я полагаю, что это проблема даже с аудитом безопасности.