利用文件系统过滤驱动实现 类似还原卡功能 的原理是什么？

用文件系统过滤驱动实现C盘还原功能，类似还原卡这样的功能，原理是什么？
我知道当捕获到 写操作 时把写操作 重定向到另外一个文件；但是当 删除，移动 一个文件时要做什么操作呢？
各位大牛说说。