매우 짧은 TTL로 같은 도메인이 여러 의심 IP를 빠르게 바꿔 반환한다. 정상 CDN과 fast-flux를 구분하기 위한 조사로 가장 적절한 것은?

1. 1

   현재 캐시의 TTL 값 하나만 확인한다.

   오답 이유TTL 하나는 주소 변경 빈도만 보여 주며 운영 주체와 악성 여부를 설명하지 못한다.
2. 2

   한 번 조회한 IP의 국가만 확인한다.

   오답 이유IP 국가 하나만으로 CDN 노드와 악성 프록시를 구분할 수 없다.
3. 3

   권한 DNS와 등록정보, 시간대별 DNS 응답, 반환 IP의 평판·역할을 함께 비교한다.

   정답 근거권한 정보·시간축 응답·IP 평판을 결합하면 정상 운영 패턴과 은닉 패턴을 비교할 수 있다.
4. 4

   로컬 DNS 캐시를 비운 뒤 같은 응답이 나오면 정상으로 결론낸다.

   오답 이유캐시 초기화 후 재현된다는 사실은 권한 응답의 정상성을 보장하지 않는다.