インシデント対応において、マルウェアに感染した仮想マシン（VM）の証拠保全を行う際、電源を切る（Power Off）よりも「サスペンド（Suspend）」や「スナップショット」を選択すべき理由はどれか。

ペネトレーションテストの「レッドチーム」演習において、攻撃者が検知を回避するために正規の管理ツール（PowerShell, WMI, PsExec等）のみを使用して攻撃を行う手法を何と呼ぶか。