Zapory ogniowe firm trzecich: komu naprawdę są potrzebne w 2025 roku

Co Windows daje za darmo

Windows Defender Firewall od razu po instalacji blokuje niechciane połączenia przychodzące w każdym profilu sieci — domenowym, prywatnym i publicznym — i sam przełącza reguły, gdy zmieniasz sieć. Jest stateful, działa po cichu i nie dostaje żadnej wdzięczności właśnie dlatego, że nigdy ci nie przerywa. Za domowym routerem z NAT ten stos czyni z niechcianych ataków przychodzących zdarzenie praktycznie nieistniejące dla typowego komputera stacjonarnego.

Czego domyślnie nie robi, to ograniczanie ruchu wychodzącego: połączenia wychodzące są dozwolone, dopóki sam nie napiszesz reguły zabraniającej. Możliwość istnieje — wf.msc, zaawansowana konsola, jest w pełni wbudowana w Windows i obsługuje reguły per aplikacja, port i kierunek — ale domyślny tryb jest pobłażliwy, i ta luka w całości stanowi model biznesowy zapór firm trzecich.

• Filtrowanie przychodzących: włączone domyślnie we wszystkich trzech profilach sieci
• Inspekcja stateful i automatyczne przełączanie profili
• Reguły wychodzące: w pełni obsługiwane, ale domyślnie dozwolone
• wf.msc — zaawansowana konsola zapory, już zainstalowana
• PowerShell: New-NetFirewallRule do reguł skryptowych
• Bez pytań, bez subskrypcji, bez sterowników jądra firm trzecich

Co dodają zapory trzecich — i ile to kosztuje

Prawdziwym dodatkiem jest polityka ruchu wychodzącego z ludzką twarzą: alert na każdy nieznany plik wykonywalny, werdykty z chmury, filtrowanie geograficzne, powiadomienia, gdy nowa aplikacja dzwoni do domu. Dla ludzi, którzy audytują oprogramowanie, uruchamiają niezaufane binaria w laboratorium albo muszą spełnić wymogi zgodności dotyczące filtrowania ruchu wychodzącego, taka kontrola jest uzasadniona — a Windows nie dostarcza równoważnego interfejsu. Widoki sieciowe w stylu VPN, które dodają niektóre pakiety, to też uczciwe dodatki.

Ceną jest zmęczenie decyzjami i ryzyko operacyjne. Zapora pytająca o każde połączenie wychodzące w tydzień nauczy użytkownika klikania Zezwalaj na wszystko — odpowiednik ślepoty na drobny druk — a same pakiety działają jako sterowniki filtrowania na poziomie jądra, które czasem wchodzą w konflikt z aktualizacjami Windows lub oprogramowaniem producentów, w najgorszych przypadkach doprowadzając do niebieskich ekranów. Subskrypcja dokładana na to jeszcze zaostrza kwestię wartości.

Środkowa droga, o której większość nie wie

Między brakiem polityki wychodzącej a pełnym pakietem firm trzecich leży chirurgiczna opcja: zablokuj wychodzący dostęp jednej aplikacji regułą napisaną samodzielnie. W wf.msc: Reguły wychodzące, Nowa reguła, Program, wskaż plik wykonywalny, Zablokuj połączenie — gotowe, pytań nigdy więcej, a reguła przeżywa aktualizacje. PowerShell robi to samo jedną linijką przez New-NetFirewallRule.

Szczerą rekomendacją dla większości w 2025 roku jest rzecz nieefektowna: trzymaj Firewall Defender włączony, trzymaj router między sobą a internetem i dodawaj punktowe reguły wychodzące dla konkretnych aplikacji, którym nie ufasz. Po zaporę firm trzecich sięgaj z konkretnego powodu — audyt, zgodność, niezaufane oprogramowanie — a nie dlatego, że producent zasugerował, że Windows chodzi nago.

Pytania i odpowiedzi

Przeczytaj także