在 Windows 操作系统中可以通过 PsSetCreateProcessNotifyRoutine 函数注册或移除一个进程创建通知回调例程。在 Vista 以及之后的版本中，微软加入 PsSetCreateProcessNotifyRoutineEx 新的函数来注册创建进程通知。通过判断系统版本来对应不同的操作系统调用不同的注册函数。

关于进程保护，在 64 位版的 Windows7 操作系统中不能通过 HOOK SSDT 等方式来实现，因为会触发 PatchGuard 保护造成蓝屏。在本文中通过内核函数 ObRegisterCallbacks 来实现对一般进程的保护。