Можно ли определить, было ли выполнено восстановление файла или папки из моментального снимка теневого копирования тома?
Если вы имеете в виду, можете ли вы определить, был ли файл заменен более старой версией, скопированной из теневой копии, то ответ - нет. Я полагаю, вы могли бы сравнить его временную метку с версиями во всех старых теневых копиях, чтобы увидеть, соответствует ли одна из них, но системного аудита извлечения файла из теневой копии нет.
JR