El problema que le veo, es que hoy en dia está muy de moda que todos los programas se escondan junto al reloj, por tanto, es dificil saber cuales ha iniciado el usuario y cuales el sistema.
Quizás haya una técnica para diferenciarlos (sabiendo el padre de ese proceso ??)
Otra forma sería ver los programas que hay en:
- el registro de windows
- el menu inicio --> programas -->inicio del usuario activo
- Lista de programas conocidos (Taskmanager, svchost, lsass....)
y protegerlos automaticamente. (tarea complicada)
La opción que más facil es indicar al usuario que cierre todos los programas, se guarda una copia de la lista de procesos actual, y a partir de ahora ya se sabe cual no se debe cerrar.
Una Opción elegante sería la creación de perfiles, es decir, guardar la lista de procesos a proteger bajo un nombre, de tal forma que al elegir un perfil, se cierren todos los programas que no esten en ese perfil.
Espero te sirva de algo.