L'ascendenza dei processi è la catena di processi padre e figlio in un sistema: quale programma ha avviato un altro programma e quale processo ha avviato quello precedente. Nel monitoraggio della sicurezza di Windows, questa discendenza aiuta a spiegare come è iniziata l'attività e se corrisponde al normale comportamento dell'utente. L'apertura di un documento che lancia uno script, uno script che avvia un'utilità di sistema o un browser che genera un processo figlio inatteso possono tutti essere indizi importanti.
È importante perché molti attacchi si nascondono all'interno di software affidabile e flussi di lavoro legittimi. Il malware spesso utilizza documenti Office, attività pianificate o browser per confondersi, quindi il solo nome sospetto di un file binario non basta. I difensori usano l'ascendenza dei processi nel rilevamento sugli endpoint, nelle regole SIEM e nella risposta agli incidenti per individuare catene anomale, come un documento Word che crea PowerShell o un browser che avvia una shell dei comandi. Quando la sequenza padre-figlio è errata, il comportamento è spesso più rivelatore del payload stesso.