您需要个人防火墙吗？

历史悠久的 ZoneAlarm 防火墙是最早的第三方个人防火墙之一，已有 20 多年的历史。 回到刚成立时，该公司不得不努力教育消费者了解防火墙保护的必要性。 Windows 98 并没有为它们提供太多的防火墙保护，这是真的。 但仅仅几年后，Windows XP 出现了一个合适的防火墙，并且从那时起它变得更好。 在抵御外部攻击时，第三方防火墙通常只做内置的； 他们在程序控制和利用防御等领域脱颖而出。 但几乎所有的安全套件，甚至一些名义上独立的防病毒工具都带有内置防火墙。 早期 ZoneAlarm 的许多同时代产品都被淘汰了。 第三方个人防火墙死了吗？

这是个人防火墙棺材上的另一颗钉子。 将单台计算机直接连接到互联网的时代早已结束。 现在每个人都有一个家庭网络，它本身就是用来防御在线攻击的。 为您的所有设备提供连接的无线路由器也可以保护它们。 它使用网络地址转换或 NAT 为每个设备分配所谓的仅限本地 IP 地址。 这种类型的地址仅在您的本地网络中可见，在其他任何地方都不可见。 仅此一项就足以阻止许多直接攻击。 一些路由器内置了额外的安全层。

当然，当您不在家时，坐在家里或办公室的路由器不会给您带来任何好处。 事实上，在不安全的机场无线网络上，您很容易受到其他用户的攻击。 提供免费无线网络的咖啡厅？ 一个阴暗的咖啡馆老板可以筛选所有的互联网流量，捕获信用卡号码等方便的项目。 当您在旅途中时，您确实需要一个虚拟专用网络或 VPN。

VPN 将您的网络流量一直加密到 VPN 公司运营的服务器。 广告网站和其他跟踪器看到的是 VPN 的 IP 地址，而不是您自己的。 您还可以使用 VPN 来欺骗您的地理位置，也许是为了查看区域锁定的内容，或者在互联网政策限制的国家/地区旅行时保护自己。 您可能不需要防火墙，但确实需要 VPN。

端口保护

您的计算机的互联网连接允许您访问无限收集的猫视频、社交媒体帖子和流媒体娱乐。 尽管通过路由器连接确实限制了损坏的可能性，但它还会打开您的计算机以供其他人通过 Internet 访问。 一项主要的防火墙任务涉及允许所有有效的网络流量并阻止可疑或恶意流量。

您的 PC 端口（网络连接的入口点）可以打开、关闭或隐藏。 如果端口关闭，攻击者可以设法将其打开。 当端口被隐藏时，外部攻击者甚至看不到它，这是理想的。 单独的 Windows 防火墙完全能够隐藏您 PC 的所有端口，并且路由器后面的任何端口似乎都是隐藏的。 事实上，我们测试防火墙隐藏端口能力的唯一方法是使用通过路由器的 DMZ 端口连接的 PC。 这有效地使它直接连接到互联网。

大多数防火墙允许多个配置文件，具体取决于您的网络连接。 与进出互联网的流量相比，您家庭网络中的流量需要更少的限制。 如果您连接到公共网络，防火墙会将其安全级别提高到最大。

程序控制

早期的个人防火墙因使用大量神秘的弹出式查询轰炸用户而臭名昭著。 CARDX2048.exe 正在尝试连接到端口 8080 上的 216.58.217.46。允许还是阻止？ 一次还是永远？ 很少有用户知道对这样的查询做出明智的回应。 通常，用户要么总是单击阻止，要么总是单击允许。 那些将“阻止”作为默认响应的人最终会禁用一些重要的东西，之后他们会切换到单击“允许”。 那些总是点击允许的人会冒着让他们不应该做的事情的风险。

Kaspersky 和 ​​Norton 360 Deluxe 中内置的高端防火墙通过完全内部化程序控制来解决这个问题。 他们为已知的好程序配置权限，清除已知的坏程序，并监控未知程序的行为。 如果未知进程开始滥用其网络连接，防火墙就会将其击落。

其他防火墙使用自己的技术来减少弹出查询。 例如，Check Point ZoneAlarm Free Antivirus+ 中的防火墙会检查一个名为 SmartDefense Advisor 的大型在线数据库，并自动为已知程序配置权限。 在极少数情况下它确实显示弹出查询，您应该特别注意，因为在数据库中未找到的程序可能是零日恶意软件攻击。

当受信任的程序以任何方式发生变化时，大多数防火墙都会注意到。 更改可能是更新，可能是病毒感染，也可能是仅使用受信任程序名称的恶意程序。

请注意，程序控制仅与通过您的防病毒保护的程序相关。 如果一个程序是一个已知的臭名昭著的程序，或者如果它通过危险行为揭示其恶意意图，它永远不会引起防火墙的注意。

扩展防火墙

诸如 Norton 和 Kaspersky Security Cloud 之类的高端防火墙包括针对基于网络的攻击的额外保护，通常采用主机入侵防御系统 (HIPS)、入侵检测系统 (IDS) 或两者兼有的形式。 除其他外，这些组件还用于防止利用操作系统或流行程序中的安全漏洞的攻击。 在发现漏洞和供应商修补该安全漏洞之间，不法分子可以发起攻击以控制受害系统。

最好的 HIPS 和 IDS 系统甚至在它们到达目标系统之前就在网络级别捕获漏洞攻击。 其他安全套件组件，尤其是防病毒软件，可能会在漏洞造成任何伤害之前消除由漏洞攻击丢弃的恶意负载。 在测试中，我们使用 CORE Impact 渗透测试工具来感受每个防火墙对此类漏洞攻击的响应。 最好的可以阻止 80% 或更多的攻击。

谁需要防火墙？

在现代世界中，几乎没有理由考虑安装独立的个人防火墙。 内置的 Windows 防火墙完成了一半的工作，您的安全套件中的防火墙完成了内置的所有功能，并处理程序控制和漏洞检测。 计算机爱好者精心挑选每个单独的安全组件的时代早已一去不复返了——尽管有奇怪的坚持。

当然，在特定情况下，您可能希望安装绝对最低限度的安全性——所有这些都是必要的，但仅此而已。 尽管多年来可用产品的数量有所减少，但您仍然可以获得独立的防火墙保护。 而且无需为防火墙付费。 例如，开头提到的古老的 ZoneAlarm 仍然可用，并且仍然免费。 添加顶级免费防病毒软件，您就拥有了安全系统的基本功能。