Der Verhaltensüberwachungstreiber verwendet dieses Pattern, um normale Systemereignisse zu erkennen und diese bei der Durchsetzung von Sicherheitsrichtlinien auszuschließen.