ファイルレスマルウェアの特徴として最も適切なものはどれか。

インシデント対応プロセスにおいて、封じ込め・根絶の後に行う「復旧」フェーズの活動例として最も適切なものはどれか。