USE O FIREWALL DO SEU WINDOWS

Windows Firewall

O Windows Firewall é um firewall básico, que não oferece grandes vantagens sobre outros produtos nem é particularmente seguro, mas que oferece como vantagens o fato de já vir ativo por padrão (a partir do Windows XP SP2) e ser relativamente fácil de configurar. Ele é o absoluto mínimo em termos de proteção para uma máquina Windows diretamente conectada à Internet.

Na tela de configuração você tem apenas três opções: ativar o firewall (usando exceções), ativar sem permitir exceções ou desativá-lo:

Na aba "Exceções" você tem acesso a uma lista de programas e serviços que podem receber conexões de entrada. Por padrão, ficam marcadas as opções "Área de trabalho remota", "Assistência remota", "Compartilhamento de Arquivos e Impressoras" e "Estrutura UPnP". O acesso a arquivos e impressoras fica aberto apenas para a rede local e a Assistência remota (onde o convite precisa ser gerado manualmente) fica aberta para a Internet.

Você pode perceber que a aba "Exceções" (no screenshot da direita) mostra apenas os programas detectados pelo firewall, mas não as portas usadas por cada um. A idéia é que ao marcar um programa na lista, você automaticamente abre todas as portas usadas por ele. Ou seja, a regra se aplica a conexões destinadas ao aplicativo e não a uma porta específica (mais detalhes a seguir).

Clicando sobre o aplicativo e usando o botão "editar", você pode ver a lista das portas usadas por ele (no caso dos aplicativos que usam mais de uma porta). O "Compartilhamento de Arquivos e Impressoras", por exemplo, abre um total de 4 portas (139 TCP, 445 TCP, 137 UDP e 138 UDP), que correspondem às três portas usadas pelo protocolo NetBIOS e à porta 445 TCP usada pelo protocolo CIFS.

Clicando no "Alterar escopo" você pode definir a partir de quais endereços o aplicativo poderá ser acessado:

A opção "Qualquer computador (inclusive na Internet)" dispensa comentários, já que abre as portas para qualquer um que tenha acesso à sua máquina. Ela deve ser usada apenas no caso de programas de administração remota, programas P2P que realmente precisem de portas de entrada e nos casos em que você quiser disponibilizar servidores para a Internet.

A opção "Minha rede (sub-rede) somente" abre apenas para acessos provenientes da rede local. Em micros com duas placas de rede, que estão conectados simultaneamente à internet e a uma rede local, é importante configurar esta opção com atenção, evitando abrir serviços que devem ficar ativos apenas para a rede local (como o Compartilhamento de Arquivos e Impressoras) para a Internet.

A terceira opção, "Lista personalizada", é destinada a situações onde você quer que o serviço fique acessível apenas para alguns endereços específicos. Se um amigo vai se conectar à sua máquina via VNC para ajudar a resolver um problema, por exemplo, você pode perguntar qual é o endereço IP corrente e abrir a porta do VNC apenas para o endereço IP usado por ele, o que evita o risco de abrir a porta para toda a Internet. Você pode também especificar mais de um endereço, separando-os por vírgula:

Ao adicionar uma nova exceção à configuração do firewall, você tem a opção de indicar um programa ("Adicionar programa...") ou especificar manualmente a porta que deve ser aberta ("Adicionar Porta..."). Ao clicar no "Adicionar Programa", você tem acesso a um menu que mostra os programas instalados, permitindo que você escolha o desejado, enquanto que ao usar o "Adicionar Porta" você deve especificar manualmente a porta usada e se deve ser aberta a porta TCP ou UDP correspondente:

Em teoria, adicionar regras para aplicativos é um pouco mais seguro do que adicionar regras baseadas em portas, pois as exceções baseadas em aplicativos ficam ativas apenas enquanto o programa está aberto (ao fechar o programa, a porta é fechada no firewall). Veja que em ambas as opções você tem acesso ao botão "Alterar escopo", que permite especificar quais endereços terão acesso à porta aberta (o default é abrir para todos).

Concluindo, na aba "Avançado" você tem uma lista das interfaces disponíveis. Isso permite que você mantenha o firewall ativo para a interface da Internet, mas ao mesmo tempo desative-o para a interface da rede local (esta opção está disponível apenas a partir do Windows XP SP2):

O botão "ICMP > Configurações" permite abrir o firewall para um conjunto de pacotes ICMP. Por padrão, o firewall ativa a resposta a pings (Permitir solicitação de eco de entrada), opção que você pode desativar para tornar sua máquina um pouco menos visível a atacantes casuais, que escaneiam faixas de endereços da Internet em busca de alvos.

Uma observação é que você não consegue desativar os pings se a porta 445 (que faz parte do "Compartilhamento de Arquivos e Impressoras") estiver aberta nas exceções do firewall.