Volatilityを使用してカーネル内の隠しプロセスを検出するコマンドはどれか。

NTFSにおいて、1024バイト以下の小さなファイルデータが直接格納される場所はどれか。