ZoneAlarm 应用控制规则——给每个程序单独设入站出站权限
应用控制：防火墙的"细粒度开关"
入站出站防护是 ZoneAlarm 防火墙的底层机制——不管哪个程序，只要流量方向不对就拦。应用控制是防火墙的上层界面入口——让你精细控制每个程序的联网行为。它的核心是三个独立维度的权限设置：
| 维度 | 含义 | 一个程序可能的设置 |
|---|---|---|
| Outbound Internet | 该程序能否向互联网发送数据 | Allow（允许上传）/ Deny（禁止联网）/ Ask（弹框询问） |
| Inbound Internet | 该程序能否接受来自互联网的连接 | Deny（绝大多数程序不需要）/ Ask（P2P 例外） |
| Server / Trusted Zone | 该程序能否在可信区域（局域网）扮演服务器 | Deny / Ask（文件共享/远程桌面例外） |
三个维度互相独立——比如你可以让迅雷禁止上传（Outbound Internet = Deny）但允许下载（Inbound Internet = Allow），也可以让某些小工具完全不能联网（三个维度都设 Deny）。
SmartDefense Advisor：自动判断哪些程序是安全的
ZoneAlarm 的应用控制默认开启 Auto 模式，背后的驱动力是 SmartDefense Advisor 数据库——一个包含数万种已知安全程序的云端库。Auto 模式的工作流程：
- 某个程序首次尝试联网时，ZoneAlarm 把程序的可执行文件哈希值上报 SmartDefense Advisor
- 数据库返回"已知安全 / 已知恶意 / 未知"三种结果之一
- 已知安全：自动为该程序设置合理权限（浏览器 = 允许全部出站、禁止入站；邮件客户端 = 允许出站 SMTP/IMAP、禁止其他端口），不弹框
- 已知恶意：自动拦截，记录到威胁日志
- 未知：弹框询问你决定是"始终允许 / 始终阻止 / 保持询问"
SmartDefense Advisor 的数据库会随 ZoneAlarm 更新持续增长，对主流软件（Chrome、Firefox、Outlook、微信、QQ、Steam、微信开发者工具等）几乎都能自动识别，日常使用中你几乎感觉不到它的存在。
弹框怎么读、怎么处理
遇到未知程序联网时，ZoneAlarm 会弹出一个简短的通知：
ZoneAlarm Alert程序 [文件名] 来自 [开发者名称]，正在尝试 [联网/监听入站连接]。[始终允许] [始终阻止] [这次阻止] [保持询问]
处理逻辑：
- 确认是自己主动安装的软件 → 始终允许（比如刚装了 VS Code，它要联网下载扩展）
- 不认识这个程序 → 这次阻止 + 去 Google 搜索文件名，如果发现是病毒再回来设为始终阻止
- 破解工具 / 注册机 → 始终阻止（ZoneAlarm 识别这类工具后通常会反复弹框，直接彻底封死）
- 系统进程（svchost.exe、explorer.exe、dllhost.exe 等） → 仔细看——正常的系统进程应该自动放行，如果它们弹框可能是被恶意进程劫持了
特别注意：P2P 软件和服务器程序
P2P 软件（迅雷、BitComet、eMule）和服务器程序（Web 服务器、文件服务器）通常需要 Inbound Internet = Allow 才能正常工作。ZoneAlarm 弹框时如果是这类程序，选"始终允许入站"；如果不需要 P2P 上传功能，只设 Outbound Internet = Allow、Inbound Internet = Deny 即可（只下载不上传）。
手动配置单个程序的规则
如果想精细控制某个程序的联网权限，在 ZoneAlarm → Firewall → Program Control 里：
- 找到目标程序（如果没在列表里，点"Add"手动添加可执行文件）
- 三个维度各选一个权限：Allow / Deny / Ask
- 点击 Apply 保存
实用场景
彻底禁止某软件联网：比如有些国产软件不联网也能用，但会偷偷上传数据——Add 后三个维度都设 Deny，点 Apply，该软件从此完全断网。
只让某软件下载不上传：Outbound Internet = Allow，Inbound Internet = Deny，Server = Deny。P2P 软件用这个设置后只能从别人那里下载，不会给别人上传。
信任某个游戏的所有组件：游戏可能安装时在多个目录放了 exe（启动器、反作弊、主程序），逐个 Add 进去统一设 Allow。
Auto vs Ask vs Deny 全局模式
在防火墙面板的 Program Control 开关下，可以切换应用控制的全局模式：
| 模式 | 行为 | 适用场景 |
|---|---|---|
| Auto（默认） | 已知安全自动放行，未知弹框 | 绝大多数用户的日常选择 |
| Ask | 所有程序首次联网都弹框，包括已知安全的 | 安全敏感度极高的用户，比如经常下载测试软件的开发者 |
| Deny | 默认拒绝所有程序联网，只有手动添加的程序才能联网 | 完全离线场景或测试环境，日常使用会非常痛苦 |
建议保持 Auto 模式——Ask 模式下 Chrome、Edge、Outlook 等主流程序第一次联网也会弹框，体验极差且没有额外安全收益（SmartDefense Advisor 已经在背后帮你把关了）。
规则重置
如果应用控制的规则被你改乱了（比如不小心把所有浏览器都设成 Deny 导致上不了网），可以一键重置：
- ZoneAlarm → Firewall → Program Control → Reset
- 确认重置，所有手动设置的规则清空
- 重启电脑，应用控制回到 Auto 模式的干净状态
下一个：OSFirewall 系统行为监控
应用控制管的是"程序能不能联网"，OSFirewall 管的是"程序能不能对操作系统做越界操作"——这是 ZoneAlarm 四层防御的第二层（系统行为层），在防火墙之外额外加了一道：