Una catena di processi figli è la sequenza di programmi avviati l'uno dall'altro su un sistema. Per esempio, un client di posta può avviare un interprete di script, che poi avvia un downloader, che infine esegue il payload principale. Gli strumenti di sicurezza usano questa relazione padre-figlio per ricostruire ciò che è stato effettivamente eseguito, non solo quali file erano presenti.
Questo è importante perché gli attacchi moderni spesso si nascondono in esecuzioni a più fasi. Un documento, un archivio o uno script apparentemente innocuo può generare diversi processi di breve durata prima che compaia il malware finale. I difensori cercano catene insolite, come Office che avvia PowerShell, browser che avviano script o eseguibili inattesi che generano strumenti abilitati alla rete. Individuare una catena di processi figli sospetta può rivelare in anticipo phishing, dropper e malware per accesso remoto, soprattutto quando il solo rilevamento basato sui file non intercetta l'intero percorso dell'attacco.