ZoneAlarm 入站出站双向防护——为什么叫"双向"防火墙

"双向"是什么意思

绝大多数安全软件自带的防火墙是单向的——只管"外部进来的流量"（入站），不管"程序出去的流量"（出站）。ZoneAlarm 的区别在于它同时监控两个方向：

这个区别很重要。现在很多恶意软件的攻击模式是：进来的时候不直接破防，而是让你双击执行一个看起来无害的文件，程序运行后偷偷把你的数据往外传。传统单向防火墙只管"有没有人敲门"，不管"你家里有没有人偷偷往外跑"，木马往 C2 服务器回传窃取的数据时一路畅通。

ZoneAlarm 的出站监控就是堵这个口子——任何想联网发数据的程序都要先过应用控制这一关，不在已知安全库里的程序第一次联网就会弹框让你决定"允许还是阻止"。

入站防护：隐身 + 拒绝外部连接

ZoneAlarm 的入站防护基于两个机制：

1. 默认拒绝原则

ZoneAlarm 默认拒绝所有外部主动发起的入站连接请求。只有当你电脑上的某个程序主动向外部发起了连接（比如浏览器打开网页，浏览器先连服务器），服务器的返回流量才会被放行。外部程序主动发起的连接（比如攻击者扫描端口、SSH 暴力破解、远程桌面连接）全部被拒绝。

这个默认拒绝原则配合 Internet Zone = High 级别的效果是：你的电脑在公网上完全隐身。外部攻击者用 nmap 扫描你的 IP 时会收到"主机不可达"的响应，就像你这台电脑根本不存在。

2. 端口扫描检测

ZoneAlarm 有专门的端口扫描检测模块。当它检测到某个 IP 在短时间内向你电脑的多个端口发起探测时，会：

• 记录这次扫描到防护日志
• 临时屏蔽该 IP 的后续连接请求（默认 10 分钟）
• 如果扫描来自互联网区域，保持隐身不回应
• 如果扫描来自可信区域（局域网），仍然静默拒绝但可能在日志里留痕

出站防护：每个程序单独管控

ZoneAlarm 的出站防护粒度是每个程序，而不是"所有出站流量要么全放要么全拦"。具体行为由应用控制模块决定（详见下一页），但核心逻辑是：

• 已知安全程序（浏览器、邮件客户端、Windows 更新等）：Auto 模式下自动放行出站，不弹框
• 未知程序：第一次联网时弹框询问"允许 / 阻止 / 保持询问"
• 可疑行为：已知安全程序突然用非常规端口外发大量数据时，即使是已知程序也会触发警报

典型的出站拦截场景

ZoneAlarm 出站防护最常帮到用户的场景：

• 软件偷偷上传用户数据：很多国产免费软件会在后台偷偷扫描你的文件并上传到云端，ZoneAlarm 会在它们首次外发时弹框阻止
• 破解工具的回传行为：很多破解版软件内置了通信模块，运行时会往破解服务器发数据，ZoneAlarm 的出站拦截可以让这些破解工具失效（因为破解服务器收不到指令）
• P2P 软件的静默上传：迅雷、BitComet 等 P2P 客户端默认允许同网络下的其他用户从你电脑下载文件，ZoneAlarm 出站防护会提示"此程序正在等待外部连接"，可以选择阻止

出站防护 vs 杀毒引擎

ZoneAlarm 的杀毒引擎负责"程序运行前扫描它是不是病毒"，而出站防护负责"程序运行时监控它偷偷做什么"。两者互补：

• 杀毒引擎用签名匹配检测已知病毒，零日攻击的新型木马可能逃过
• 出站防护不管程序是不是已知病毒，只看它的联网行为——一个合法软件如果突然开始往外传大量加密数据，出站防护照样弹框

静默拦截还是弹框询问

ZoneAlarm 的默认行为是Auto 模式静默放行已知安全程序，所以日常使用中你几乎感觉不到出站防护的存在。只有以下情况才会弹框：

• 新安装的程序第一次联网
• 已知安全程序的行为出现异常（比如 Chrome 突然用一个非常规端口往外发大量数据）
• 程序试图在后台监听入站连接（很多用户不希望自己电脑变成对外提供服务的服务器）

如果觉得弹框太多，可以把应用控制从 Ask 模式调回 Auto，或者给特定程序设为始终允许/始终阻止。

防火墙面板里的双向状态

在 ZoneAlarm 主界面的 Firewall 面板上，可以看到入站和出站的简要状态：

• Inbound：显示当前被拦截的外部连接数量，点击查看详情
• Outbound：显示当前被拦截的程序外发请求数量
• Firewall Log：完整的防护日志，按时间、方向、程序、IP 筛选

下一个：应用控制——给每个程序单独设权限

入站出站防护是防火墙的底层机制，应用控制是让你精细控制每个程序联网行为的界面入口：

应用控制规则