レジストリキー情報取得のタイミング

設問：
インシデント・レスポンスの初期対応として、レジストリキーの情報を reg query コマンドで取得する手順を考えた場合、どのタイミングで実施するのが適切か、揮発性の順序も考慮して答えよ。なお、メモリダンプも初期対応手順に含まれている前提とする。

誤った回答例：
メモリダンプを実施する前に、reg query による情報収集を実行した場合、reg query プロセスのメモリ利用により、メモリ内の未割り当て部分の上書きや、Pagefile.sys へのスワップアウトが発生する可能性があり好ましくない。さらに、メモリダンプよりも先に実施した場合、その後実行されたメモリダンプの結果（イメージファイル）に reg query で扱ったレジストリキー・値に関するデータも含まれることになり、キーワード検索などではノイズが増える可能性が考えられる。
揮発性の順序という観点では、シャットダウン処理や電源の強制断により失われるキー・値があるとしても、それらのキーや値は時間経過による影響では失われにくいと予測される。
これらのことから、reg query によるデータの取得は、揮発性の順序としてはメモリダンプよりも後で実施するべきである。