Opfange når en mappe oprettes

Jeg er ved at lave en netværks-sniffer.  I sidste uge svarede Jannick på hvorledes jeg får fat i et aktivt user-id.  Det svar jeg fik fungerer fint og jeg har testet det i nogle dage på 5-6 maskiner.  Imidlertid består en del af den aktivitet snifferen skal afsløre i, at gymnasieeleverne opretter mapper (directories) på serveren eller på den lokale maskine.  I mapperne lægger de spil eller "underholdende" billeder fra XXX-sites.
NT selv kan oplyse "ownership" på en mappe, men når id-ejeren benægter, forestår der en lille detektivopgave.

Kan man opfange oprettelse af mapper og måske tillige navne på exe-filer, der startes?  (Således som f.eks. Wintop gør).

M.v.h.  Jørn