[How To] Comodo Firewall (6、7適用) 新手設定教學

注意：本篇文章已經過時，COMODO防火牆的相關教學請參考COMODO Internet Security 8：前言與安裝教學以及使用與設定說明這兩篇文章。

「如果我只是一般的使用者，我還需要安裝防火牆嗎？」

「我電腦裡的資料不值錢，怎麼會有人想要入侵？」

「裝防火牆之後很麻煩，常常我的某些軟體突然就因為防火牆而不能用了」

　這是我在建議別人使用防火牆軟體時最常遇到這情況，但現在網路上各種威脅遍布，只仰賴防毒軟體就可以確保資訊安全的時代已經過去了，裝防火牆的目的也不僅僅是防止資料外洩，也是為了防範自己所使用的電腦成為駭客入侵他人電腦的工具。

現今市面上的防火牆除了傳統的個人防火牆之外，還包含一種被稱為HIPS(Host-based Intrusion Prevention System)的主機入侵防禦系統，這種系統不像傳統個人牆只監測連接埠是否被開啟，HIPS同時也對網路連線所產生的行為進行監控。除此之外也會以監測的方式來確保電腦中的登錄檔、文件、與應用程式的完整性，必要時會將可疑的程式或文件用沙盒進行隔離。而在這裡使用者的角色，就是在必要的時候協助判斷該軟體是否是可信任的，但隨著白名單的擴張，使用者所需要參與的程度也隨之遞減。

在眾多的產品之中，個人最推薦COMODO的防火牆軟體。不需要太多的資訊安全知識，一般人也能夠很輕易地上手。且v6.X版推出至今已半年有餘。雖然剛推出時的Bug的確引起不少風波，但歷經多次改版後，許多惱人的問題已不復見。且現在只要設定妥當，就不用擔心過多的彈出式警告視窗干擾使用者，也可以降低使用者誤按導致其他軟體無法正常使用的機率，也沒有使用上的限制(可商業使用)，再加上COMODO雖然是免費軟體，但評比結果打趴眾多付費軟體。因此他仍是我目前推薦防火牆給他人使用的第一選擇。

　最後，由於現今市面上已經有許多比Comodo Antivir更傑出的防毒軟體可以選擇，因此我會建議使用者安裝Comodo Firewall搭配其他廠牌的防毒軟體，會比只安裝Comodo Internet Secruity得到更好的保護。

基本資訊

軟體名稱：COMODO FireWall
版本：7.0.317799.4142
語言：內建正體中文
作業系統：Windows XP/Vista/7/8
官方網站：http://www.comodo.com
下載頁面：http://personalfirewall.comodo.com/

軟體安裝教學

下載完成之後，雙擊安裝程式，會跳出語言選擇視窗，預設是正體中文。
接下來會看到下圖中的視窗，基本上只勾選「我想要啟用無法辨識程式的"雲端基礎行為分析"...」這個選項，其他取消勾選。接著點選視窗中的「自訂安裝」。
自訂安裝選項有三個頁籤，我們這裡只更動「安裝選項」這個頁籤，只有「安裝Comodo Firewall」這個選項是我們要的，其他取消勾選。完成後選擇上一步，回到剛才的視窗，選擇「同意並安裝」
安裝完成之後，Comodo FireWall會跳出詢問視窗：「加入新網路」，建議選擇「我在公共場所」，並且記得勾選「別再偵測新的網路」，到這裡安裝總算是告一段落。

軟體基本設定教學

點選桌面上的Comodo Firewall圖示，會出現Comodo的首頁面板如下，這是進階檢視的畫面。但無論是簡單檢視或者是進階檢視，都是選擇下圖中藍色箭頭所指的位置：「任務」，點選以後會出現任務面板。

任務面板如下，點選進階任務，選擇：「開啟進階設定」，接著就會開啟進階設定視窗。

進階設定分為一般設定與安全性設定兩個區塊，下圖是一般設定中的使用者介面

務必設定密碼來保護防火牆設定不被變更。

接著是更新，預設是每天檢查，我認為除了遭遇到嚴重的問題，否則2~7天檢查一次即可。

組態的部分，根據Comodo的官方說明我整理如下表：

Preset Internet Security Proactive Security Firewall Security

HIPS O O O

Behavior Blocker O O X

Firewall O O O

從上表看不出Internet Security與Proactive Security的差異。簡單來講，Internet Security只針對一般狀況下會受感染的檔案與資料夾以及exploited COM 介面進行保護。而Proactive Security在這方面的設定則是更加全面，但對一般使用者而言可能反而造成困擾。由於Comodo的沙盒經常造成使用上的困擾，因此個人並不建議使用Behavior Blocker，選擇擁有HIPS與Firewall功能的Firewall Security會比較單純好管理。

安全性設定分為三個部分：「Defense+」、「防火牆」、「檔案評價」。Defense+包括HIPS、行為封鎖程式以及沙盒...等，下圖是HIPS設定。

在這裡若使用者是剛重灌好的系統，則HIPS可以選擇乾淨電腦模式，否則使用安全模式會比較適合。然後將"彈出警示設定成詳細資訊模式"打勾，這個對於判斷警告視窗會很有幫助，然後在下面勾選"在系統資源不足下啟用自我調整模式"。

HIPS規則與規則集的設定需要較高的資訊安全知識門檻，因此在此不建議使用者進行更動。

「受保護的物件」建議點擊右鍵，新增→檔案群組→Windows系統應用程式。除此之外，還可以視使用者需求增加要監視的資料夾。

行為封鎖模式由於我們選擇Firewall Security,因此預設是停用的。如果有使用沙盒的需求，建議參考我的另一篇文章：[How To] 用沙盒保護系統的安全 - Sandboxie使用教學

防火牆的部分有些地方要注意，首先將螢幕警示逾時改成120秒或者更高。

警示頻率等級預設是低(預設會顯示沒有勾選)，在這裡個人習慣使用"中"。

並且勾選封鎖分散的IP流量，如果因此無法使用網路印表機者，必須要取消勾選這個項目。

在區域網路內的使用者，則建議"啟用防ARP詐騙"，因為這類型的功能在現今變得相當普遍。可能來自於電腦病毒，也可能是對方用NetCut、P2Pover這類的程式惡意攻擊造成。

應用程式規則設定是最重要的部分，預設只包含三個項目：「Comodo Internet Secruity」、「Windows更新應用程式」、「Windows系統應用程式」。然而這裏我建議使用者應該還要多增加一些項目，新增方法如下：

右鍵新增規則之後會跳出應用程式規則的新視窗，瀏覽→檔案群組→選擇欲新增的項目。

規則集部分建議使用內建的規則集，除非有自架網站、FTP、以及網頁瀏覽器之外，建議一律使用「只允許連出」這個選項。「只允許連出」並不代表只允許程式發出封包，而是如果程式要接收外來的封包，則必須是程式先主動發出封包並請求封包。

下圖是我設定的應用程式規則

全域規則部分，要新增一條新的規則，否則會無法使用Ping命令。設定如下圖：
進階設定至此已經完成。回到任務面板以後，到防火牆任務點選「隱身連接埠」，會跳出一個視窗詢問封鎖連入連線或是警示連入連線。我在此強烈建議選擇封鎖連入連線，此選項會讓他人的電腦在沒有先收到來自我們的電腦的封包，就無法主動傳送封包過來。