NTFS 파일 `report.txt`의 일반 크기는 작지만 `report.txt:payload.exe` 형태의 실행 흔적이 발견됐다. 조사 방향으로 옳은 것은?

1. 1

   report.txt의 기본 데이터 스트림만 해시해 기존 값과 같으면 추가 스트림 조사를 생략한다.

2. 2

   대체 데이터 스트림을 열거·해시하고 생성·실행 주체와 관련 로그를 분석한다.

3. 3

   파일의 생성·수정 시각만 비교하고 스트림 내용과 실행 로그는 수집하지 않는다.

4. 4

   확장자가 txt인 기본 파일만 보존하고 이름 있는 스트림은 제외한다.