Похож на системный

МФО «Береке Финанс» — микрофинансовая организация. С рабочих станций собирается журнал запуска процессов. За день его накопилось несколько сотен записей — это нормальный объём для офиса.

Искать по имени процесса здесь бесполезно: имя выбирает тот, кто запускает, и выбирает похожее на системное. Работать надо со связкой: какой процесс какой процесс породил. Эта связка определяется тем, как программа попала в систему, и подделать её гораздо труднее.

Поля: process.name — что запустилось, process.parent.name — кто запустил, process.hash.sha256 — хэш. Время UTC.