La creazione di processi è l'evento in cui un sistema operativo avvia un nuovo programma o processo. Gli strumenti di sicurezza possono registrare quale processo è stato avviato, il processo padre, gli argomenti della riga di comando, l'account utente e l'ora. Questo aiuta i difensori a distinguere le attività normali dai comportamenti insoliti.
Nelle indagini sui server web, un processo figlio inatteso avviato da un worker PHP può indicare che una richiesta ha attivato un comando o uno script. È un segnale utile, non una prova di compromissione: anche le attività di manutenzione e le funzionalità dell'applicazione possono avviare processi. I difensori possono confrontare l'attività dei processi con il comportamento previsto del servizio e correlarla con i log web, le modifiche ai file e le connessioni in uscita per determinare se una sonda ha portato all'esecuzione di codice.