다음은 legacy threshold 옵션을 사용하는 Snort 규칙이다. 규칙과 일치하는 이벤트의 집계·경고 방식으로 옳은 것은? `alert tcp any any -> 10.0.0.0/8 22 (flags:S; threshold:type both, track by_src, count 20, seconds 10; sid:900001;)`

1. 1

   출발지 IP별로 10초 시간창 안에 해당 SYN 이벤트가 20회에 도달하면 한 번 경고하고, 그 시간창의 추가 경고는 억제한다.

2. 2

   목적지 IP별로 모든 출발지의 SYN을 합산해 20회마다 경고한다.

3. 3

   출발지 IP별로 10초 동안 처음 발생한 20개 이벤트를 각각 경고한다.

4. 4

   출발지 IP별 임계값 도달 후 같은 시간창의 모든 추가 SYN마다 경고한다.