zonealarm 中文文档 下载 App

ZoneAlarm OSFirewall 系统守护——在防火墙之外拦截 rootkit 和系统级攻击

OSFirewall 是什么

如果说 ZoneAlarm 的双向防火墙和应用控制管的是"网络流量从哪来、程序能不能联网"，OSFirewall 管的就是程序对操作系统本身做了什么。它是 ZoneAlarm 四层防御的第二层（系统行为层），在网络层防火墙和杀毒引擎之外额外监控：

OSFirewall 默认开启、后台静默运行，在主界面有独立的 Hacking Protection 面板显示状态，日常不需要手动配置。

为什么需要 OSFirewall

现代攻击技术中，很多恶意程序根本不碰网络层——它们的攻击路径是：

  1. 你双击运行了一个看起来无害的文件（比如安装包、破解工具、伪装成图片的 exe）
  2. 这个程序在本地操作系统内部执行恶意操作：注入驱动、篡改系统服务、Hook API、读取敏感文件
  3. 这些操作完成后，恶意程序再通过网络层往外传数据或接收远程指令

传统杀毒引擎用签名匹配检测——恶意程序的签名被收录后才能拦住，新型 rootkit 的签名还没被收录就会逃过。传统防火墙管的是网络层——恶意程序在操作系统内部做什么，防火墙根本看不见。

OSFirewall 的优势在于它不管签名、只看行为——一个合法的文字处理程序突然试图 Hook 系统键盘记录 API、一个普通的安装程序突然试图加载内核驱动，不管它是不是已知病毒，OSFirewall 都会弹框拦截。

OSFirewall 监控的具体行为

ZoneAlarm 官方列出的 OSFirewall 监控范围：

行为类别具体监控内容恶意程序常用来做什么
内核驱动加载监控所有试图加载 .sys 驱动文件的操作rootkit 加载恶意驱动隐藏自身
系统服务篡改监控 Windows 服务的创建、修改、停止、启动篡改安全软件的服务让它停止运行
API Hook监控进程是否试图拦截和替换系统 API 调用Hook 键盘输入偷密码、Hook 文件系统隐藏文件
代码注入监控向其他进程内存空间注入代码的操作把恶意代码注入到合法进程里绕过安全检查
敏感文件访问监控对 SYSTEM、NT AUTHORITY、SAM 数据库等权限文件的非授权访问窃取系统账户密码哈希
注册表关键键值修改监控 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 等启动项键在系统启动时自动运行恶意程序

与应用控制和杀毒引擎的关系

三个模块互补，各自管不同层面：

模块管什么什么时候触发
杀毒引擎程序运行前扫描是不是已知病毒程序被下载、运行、从压缩包解压时
应用控制程序能不能联网、能做什么联网操作程序尝试收发网络数据时
OSFirewall程序能不能对操作系统做越界操作程序尝试执行系统级操作时（不管它是不是在联网）

一个典型的新型木马攻击流程：

  1. 木马程序没有被杀毒引擎识别（签名还没收录）→ 杀毒引擎放行
  2. 木马试图加载内核驱动 → OSFirewall 拦截并弹框
  3. 如果 OSFirewall 被绕过，木马注册自动启动服务 → OSFirewall 拦截
  4. 如果木马完成了本地操作，试图往外传数据 → 应用控制拦截出站

四层防护叠加的好处就是：攻击者绕过一层，还有下一层在等。

OSFirewall 什么时候会弹框

OSFirewall 默认 Auto 模式，已知安全程序的正常系统操作会被静默放行（比如 Chrome 更新时修改启动项、Windows 更新时加载系统驱动）。弹框通常出现在三种场景：

1. 新软件首次执行系统级操作

新安装的程序第一次试图修改注册表启动项、加载驱动、注入代码时，OSFirewall 会弹框询问。处理方式和应用控制类似：确认是自己主动安装的软件 → 始终允许；不认识 → 始终阻止。

2. 老软件突然出现异常行为

比如一个已经用了半年的软件突然开始 Hook API 或尝试加载内核驱动。这种情况大概率是软件本身被篡改或被劫持了——不要选"允许"，选"阻止"然后重新安装该软件。

3. 破解工具和注册机

这是 OSFirewall 最常弹框的场景。破解工具普遍使用驱动注入、API Hook、代码注入等技术绕过软件的许可证验证——而这些正是 OSFirewall 监控的核心行为。ZoneAlarm 对破解工具的态度很明确：默认拦截、反复弹框、建议始终阻止。

关闭 OSFirewall 的风险

不建议关闭 OSFirewall。它是 ZoneAlarm 四层防御中唯一一个直接对抗 rootkit 和系统级攻击的模块，关闭后你的操作系统内部对恶意程序完全开放——即使杀毒引擎和防火墙都在运行，rootkit 仍然可以在系统内部作恶。

某些老旧的工业控制软件或硬件驱动安装时可能触发 OSFirewall 警报，但这类情况极罕见。如果确认某个合法程序因为 OSFirewall 被拦截，可以单独给它设一个例外（在 Hacking Protection 面板里点 Exception 按钮），不要全局关闭。

下一个：自定义防火墙规则

日常使用中 ZoneAlarm 的默认配置（安全区域 + 应用控制 Auto + OSFirewall 默认）已经足够覆盖 99% 的场景。但如果需要手动开放端口、阻止特定 IP 网段、导入导出规则集，可以在自定义规则里操作：

自定义防火墙规则