Eu configuraria o File Monitor com um filtro adequado e o deixaria em execução. Ou ele é acionado pelo Monitor de Desempenho. Certamente deixe o Perfmon rodando para ver a hora, pois isso pode dar uma indicação de um cronjob sendo executado ao mesmo tempo, etc.