volume shadow copy

tanken slog mig precis att om man har VSS påslaget på en NTFS-volym på en server så borde man kunna använda det som en variant av tripwire, dvs hostbaserad intrångsdetektering. om någon ändrat på en systemfil så finns ju äldre versioner kvar.