求助 关于拦截文件删除重命名问题

根据需要我拦截了文件的 CREATE SETINFOR 来过滤 文件创建删除信息
但是如果是删除文件所在的上级目录那么，文件删除有显示 ，但是从回收站恢复文件夹，却没有文件创建、重命名的任何信息
请问问题在哪里？ 谢谢

谢谢

比如 我删除一个包含在222的文件夹下的111.DOC
删除有显示 但是从回收站回复222文件夹 既无111.DOC的创建显示也无111.DOC的重命名显示

我的目标是监控单个软件
删除文件夹也能发现111.doc的删除和DCX.doc的生成
但是恢复文件夹却没有任何renname 和CREATE的截获

恢复文件夹难道属于目录控制irp?