监控文件变化

请教各位高手：
用过滤驱动监控指定目录内文件变化，
是向filemon那样过滤IRP_MJ_CREATE、IRP_MJ_SET_INFORMATION、IRP_MJ_WRITE等
还是用IRP_MJ_DIRECTORY_CONTROL的子功能代码IRP_MN_NOTIFY_CHANGE_DIRECTORY进行目录监视。
哪个更好，有什么区别？
谢谢！！

我的意思是：
用FsRtlNotifyFullReportChange、FsRtlNotifyFullReportChange函数的方法
和过滤IRP_MJ_CREATE、IRP_MJ_SET_INFORMATION、IRP_MJ_WRITE的方法
哪种更好？

我主要是想监控一个目录内文件的创建、删除、修改和重命名，我看了很多以前的帖子，是通过过滤 IRP的方式进行的，但是NT文件系统内幕上讲可以用FsRtlNotifyFullReportChange、FsRtlNotifyFullReportChange来过滤，所以我主要是想知道两种方式的区别和特点是什么？