Suspicious Microsoft Office Child Process detection rule

[driverenok]

Детект создания дочернего процесса приложением MS Office. Правило основано на публикации Снова пропустили момент запуска фишингового вложения?

Перечень процессов MS Office:

"winword.exe", "excel.exe", "powerpnt.exe", "visio.exe", "mspub.exe", "eqnedt32.exe", "outlook.exe", "eqnedt32.exe", "msosync.exe", "msaccess.exe", "onenote.exe", "winproj.exe", "wordpad.exe", "wordview.exe"

[aw350m33d]

Нужно добавить ТС с легитимными дочерними процессами, иначе будет много ложных сработок. Я уже сформировал часть такого списка. Залью апдейт)