La discendenza del download è la traccia di provenienza di un file: da dove ha avuto origine, come si è mosso nel sistema e quali processi lo hanno gestito prima che raggiungesse l'endpoint. Può includere la scheda del browser o il processo che ha avviato il download, i processi ausiliari che hanno scritto il file e qualsiasi script, unpacker o loader che lo abbia modificato lungo il percorso.
Questo è importante perché molti attacchi si nascondono dietro attività web dall'aspetto ordinario. Un file malevolo può sembrare innocuo se gli analisti controllano solo il suo hash finale, ma la discendenza può rivelare che proveniva da una pagina sospetta, è passato attraverso componenti insoliti del browser o è stato eseguito da un processo che non dovrebbe avviare download. Gli strumenti di sicurezza usano la discendenza in EDR, nella telemetria del browser e nel sandboxing per ricostruire le catene di processi padre-figlio, individuare manomissioni e distinguere i download legittimi dalla distribuzione di malware in più fasi. In pratica, una forte discendenza del download aiuta gli analisti a rispondere a una domanda chiave: non solo quale file è arrivato, ma come ci è arrivato.