「個人防火牆」是安裝在個人電腦 (PC) 上的軟體型防火牆，與部署在網路邊界的硬體/軟體網路防火牆有本質區別。本文從定義、架構差異、資訊優勢、使用者互動機制四個維度深度解析。
一、 定義
A personal firewall is a firewall-like software application which runs on a user's PC.
個人防火牆是一種運行在用戶個人電腦上的防火牆型應用軟體。
二、 與傳統網路防火牆的核心差異
| 維度 | 傳統網路防火牆 | 個人防火牆 |
|---|
| 部署位置 | 網路邊界 (核心交換機/路由器/專用設備) | 端點主機內部 (單一 PC) |
| 保護範圍 | 整個網路段/所有內部主機 | 僅安裝它的那台電腦 |
| 可見資訊 | 封包頭：來源/目的 IP、Port、協定 (TCP/UDP/ICMP)、旗標 | **封包頭 + 產生/接收該封包的具體應用程式 (進程名、路徑、PID、使用者)** |
| 決策依據 | IP/Port/協定/狀態/應用層特徵 (深度封包檢測 DPI) | **應用程式身分 + 封包特徵 + 使用者規則** |
| 管理模式 | 網管集中管理 (CLI/Web/GPO) | 本機互動式 (彈窗詢問) + 本機策略 + 企業可透過 GPO/MDM 集中管控 |
| 典型形態 | 硬體設備 (Cisco ASA, FortiGate, Palo Alto)、虛擬設備、軟體網關 (pfSense, OPNsense) | 端點安全套裝組件 (Windows Defender Firewall, Norton, ZoneAlarm, Comodo, 360, 騰訊管家) |
三、 資訊優勢：為何個人防火牆「更聰明」？
傳統防火牆只看到「IP:Port → IP:Port, TCP SYN」，不知道這是 Chrome 還是惡意軟體。個人防火牆**在同一台機器上與應用程式共存**，能透過核心勾子/驅動/ETW (Event Tracing for Windows) 精確知道：
- 哪個 **進程 (PID/映像路徑/簽名/哈希)** 發起/接收連線。
- 該進程的 **父進程、命令列參數、完整性等級、數位簽章狀態**。
- 使用者 **互動決策** (允許/阻擋/記住規則)。
這使得個人防火牆能實現 **「應用程式控制」** 與 **「使用者感知決策」**，精準阻擋「無簽名/未知/可疑程式」的網路行為，而不影響正常應用。
四、 使用者互動：彈窗決策機制
- 未知程式嘗試連網 → 防火牆攔截 → **彈出視窗**顯示：程式名稱、路徑、發布者、目的 IP/域名、連接埠、協定、方向 (輸出/輸入)。
- 使用者選擇：
✅ **允許** (建立允許規則)
❌ **阻擋** (建立阻擋規則)
☑ **記住決定** (永久規則) / 不勾選 (暫時，下次再問)
- 規則存儲於防火牆策略庫，後續同程式同行為自動套用。
五、 現代演進：從「個人防火牆」到「端點防護平台 (EPP/EDR)」
- Windows XP SP2 引入 Windows Firewall (單向輸入過濾)。
- Windows Vista/7/Server 2008 引入 **Windows Firewall with Advanced Security (WFAS)**：雙向過濾、連線安全規則 (IPsec)、GPO 集中管理、進階記錄。
- Windows 10/11 整合 **Microsoft Defender Firewall** + **Microsoft Defender for Endpoint (EDR)**：行為分析、雲端信譽、自動調查修復、ASR 規則 (攻擊面縮減)。
- 第三方產品多併入 **EPP (Endpoint Protection Platform)**：防病毒 + 防火牆 + HIPS + 裝置控制 + 應用控制 + EDR 功能整合單一代理程式。
六、 選擇建議
- Windows 10/11 企業/專業版：直接使用 **Microsoft Defender Firewall + Defender for Endpoint (E5 授權)**，原生、輕量、零成本、GPO/Intune 完美管理。
- Windows 家用版/舊版本：啟用內建防火牆 + 免費第三方 (Comodo、ZoneAlarm Free、GlassWire) 增強應用控制/視覺化。
- 企業標準化：採購 EPP 套裝 (CrowdStrike, SentinelOne, Trend Micro, Symantec, McAfee, Kaspersky, 360企業版, 騰訊電腦管家企業版) 統一代理、統一主控台。
個人防火牆是端點安全的**最後一道防線**，亦是**最貼近應用行為的防線**。正確理解其定位、優勢與局限，配置精細規則、啟用記錄、善用彈窗決策，才能發揮最大防護效益。