Постановка задачи. Значительная часть инцидентов информационной безопасности на рабочих станциях связана с запуском процессов, отклоняющихся от типичного поведения пользователей. Традиционные средства защиты, ориентированные на сигнатуры и сетевые события, не формируют поведенческий контекст выполнения приложений на конечных узлах, что затрудняет обнаружение редких процессов и нетипичных цепочек их порождения. Целью работы является повышение эффективности выявления отклонений в активности пользовательских процессов за счет разработки агентной системы мониторинга, обеспечивающей накопление истории выполнения процессов и анализ их типичности на уровне рабочих станций. Используемые методы. Решение задачи основано на агентно-серверной архитектуре, включающей сбор временны́х срезов состояния процессов, формирование сессий процессов, накопительное хранение данных и детерминированный анализ. Для выявления отклонений используются оценка редкости процессов на основе статистики их появления, анализ цепочек порождения «родитель ‒ дочерний процесс» и правила выявления комбинированных отклонений без применения машинного обучения. Элементом новизны является детерминированный подход к поведенческому анализу процессов на рабочих станциях, основанный на сочетании накопительного хранилища сессий, справочников допустимых процессов и цепочек их порождения, а также централизованной серверной логики выявления отклонений. В отличие от существующих решений, анализ ориентирован на оценку типичности активности, а не на классификацию вредоносности. Результат. Разработан прототип для Windows, включающий клиентский агент и серверное приложение на базе FastAPI и SQLite. Система собирает и хранит историю выполнения процессов, выявляет редкие и нетипичные запуски, формирует оповещения. Функциональная валидация показала корректность реализованных правил аналитики и возможность формирования информативных сигналов о нетипичной активности. Теоретическая / Практическая значимость: предложенный подход позволяет формировать поведенческий контекст активности процессов на рабочих станциях и использовать его в качестве дополнительного источника данных для систем мониторинга и анализа безопасности, включая SIEM и SOC, повышая эффективность выявления новых и нетипичных сценариев работы пользователей.

Problem statement. A significant share of information security incidents on workstations is associated with process execution that deviates from typical user behavior. Traditional protection tools focused on signatures and network events do not provide behavioral context at the endpoint level, which limits the detection of rare processes and atypical parent – child process chains. The aim of the study is to improve the effectiveness of detecting deviations in user process activity by developing an agent-based monitoring system that accumulates process execution history and evaluates its typicality on workstations. Methods. The solution is based on an agent – server architecture including periodic collection of process state snapshots, process session construction, accumulative storage, and rule-based server-side analysis. Detection relies on process rarity assessment based on occurrence frequency, analysis of parent–child process chains, and rule-based identification of combined deviations without using machine learning methods. The novelty lies in a rule-based approach to behavioral analysis of processes on workstations based on the combination of a cumulative session storage, catalogs of allowed processes and process chains, and centralized server-side deviation detection logic. In contrast to existing approaches, the analysis focuses on assessing activity typicality rather than classifying maliciousness. Results. A prototype system for the Windows operating system has been developed, including a lightweight client agent and a server application based on FastAPI and SQLite. The system collects and stores process execution history, detects rare and atypical process launches, and generates alerts. Functional validation confirmed the correctness of the implemented analytical rules and the ability to generate informative signals of atypical activity. Practical significance. The proposed approach enables the formation of behavioral context of process activity on workstations and can be used as an additional data source for security monitoring and analysis systems, including SIEM and SOC, improving the detection of new and atypical user activity scenarios.