درخت پردازه روایت اصلی اجراست. کنار آن، نوشته‌شدن فایل، کلیدهای Run و رویدادهای هوک تصویر کامل‌تری از مسیر حمله می‌سازند.
چه چیزی دیده می‌شود؟
- زنجیره‌های مشکوک مثل office → cmd → powershell
- ایجاد، نوشتن و حذف فایل در مسیرهای موقت
- کلیدهای پایداری رجیستری (از جمله Run Key)
- رویدادهای مرتبط با هوک و رفتار دفاع‌گریز
این لایه پایهٔ ساخت timeline رفتاری و تایید persistence است.