防火墙与入侵检测技术 — 计算机填空题

某网络边界部署了状态检测防火墙和基于特征的入侵检测系统（IDS）。防火墙部署为透明模式且仅允许 TCP 80/443 端口入站；IDS 通过交换机端口镜像旁路接入，对镜像流量做特征匹配。某日攻击者向服务器发送大量携带畸形分片的 IP 报文试图绕过检测。下列说法：①旁路接入的 IDS 无法直接阻断攻击流量；②状态检测防火墙可依据连接状态表拒绝不属于已建立会话的分片报文；③若攻击流量经加密隧道（443 端口）传输，该基于特征的 IDS 通常无法对载荷进行特征匹配。上述说法中正确的有____个。