防火墙
在 Internet 或局域网上工作时，防火墙会阻止未经授权的计算机连接。防火墙还控制计算机上应用程序的网络活动。这允许您保护公司局域网免受身份盗窃和其他攻击。该组件借助反病毒数据库、卡巴斯基安全网络云服务和预定义网络规则来提供计算机保护。
网络代理被用于与 Kaspersky Security Center 的交互。防火墙自动创建应用程序和网络代理工作所需的网络规则。结果，防火墙打开计算机上的若干个端口。打开哪些端口取决于计算机的角色（例如，分发点）。要了解要在计算机上打开的端口，请参阅 Kaspersky Security Center 帮助。
网络规则
您可以在以下级别配置网络规则：
- 网络数据包规则。网络数据包规则将对网络数据包进行限制，与应用程序无关。此类规则将限制通过特定端口的选定数据协议发送和接收的网络流量。Kaspersky Endpoint Security 具有预定义的网络数据包规则，其中权限由 Kaspersky 专家推荐。
- 应用程序网络规则。应用程序网络规则将对特定应用程序的网络活动进行限制。它们不仅将网络数据包的特征列入重要参考因素，还把接收或发送该网络数据包的应用程序列入重要参考因素中。
应用程序对操作系统资源、进程和个人数据的受控访问由“主机入侵防御”组件通过应用程序权限提供。
在应用程序首次启动期间，“防火墙”执行以下操作：
- 使用下载的反病毒数据库检查应用程序的安全性。
- 在卡巴斯基安全网络中检查应用程序安全性。
建议您加入卡巴斯基安全网络以帮助“防火墙”更有效地工作。
- 将应用程序置于其中一个信任组中：受信任、低限制、高限制、不信任。
信任组定义了在控制应用程序活动时 Kaspersky Endpoint Security 所引用的权限。Kaspersky Endpoint Security 会将应用程序放置在某个信任组中，具体取决于该应用程序可能对计算机造成的危险级别。
Kaspersky Endpoint Security 将应用程序放置在“防火墙”和“主机入侵防御”组件的信任组中。您不能仅更改“防火墙”或“主机入侵防御”的信任组。
如果您拒绝加入 KSN 或没有网络，Kaspersky Endpoint Security 会根据“主机入侵防御”组件的设置将应用程序放置在某个信任组中。从 KSN 收到应用程序的信誉后，可以自动更改信任组。
- 它根据信任组阻止应用程序的网络活动。例如，不允许“高限制”信任组中的应用程序使用任何网络连接。
当应用程序下一次启动时，Kaspersky Endpoint Security 会检查该应用程序的完整性。如果应用程序未更改，则该组件对其应用当前网络规则。如果应用程序已经过修改，Kaspersky Endpoint Security 会分析应用程序，就像它首次启动时一样。
网络规则优先级
每条规则都有优先级。规则在列表中的位置越高，优先级越高。如果将网络活动添加到多条规则中，“防火墙”会根据优先级最高的规则来管理网络活动。
网络数据包规则的优先级比应用程序网络规则高。如果网络数据包规则和应用程序网络规则指定了同一类别的网络活动，则该网络活动将根据网络数据包规则进行处理。
应用程序的网络规则以特定方式工作。应用程序的网络规则包括基于网络状态的访问规则：公用网络、本地网络、受信任网络。例如，默认情况下，“高限制”信任组中的应用程序在所有状态的网络中均不允许进行任何网络活动。如果为单个应用程序（父应用程序）指定了网络规则，则其他应用程序的子进程将依据父应用程序的网络规则运行。如果没有为应用程序指定网络规则，则子进程将依据应用程序信任组的网络访问规则运行。
例如，对于除浏览器 X 之外的所有应用程序，您已禁止所有状态的网络中的任何网络活动。如果从浏览器 X（父应用程序）中启动浏览器 Y 的安装（子进程），则浏览器 Y 安装程序将能够访问网络并下载必要的文件。安装之后，浏览器 Y 将根据防火墙设置被拒绝任何网络连接。要禁止作为子进程的浏览器 Y 安装程序的网络活动，必须为浏览器 Y 的安装程序添加网络规则。
网络连接状态
“防火墙”允许您根据网络连接的状态来控制网络活动。Kaspersky Endpoint Security 从计算机的操作系统接收网络连接状态。操作系统中的网络连接状态由用户在设置连接时设置。您可以在 Kaspersky Endpoint Security 设置中更改网络连接的状态。“防火墙”将根据 Kaspersky Endpoint Security 设置而不是操作系统中的网络状态来监控网络活动。
网络连接可具有下列状态类型之一：
- “公用网络”。网络不受反病毒应用程序、防火墙或过滤器保护（例如咖啡馆中的 Wi-Fi）。当用户操作连接到此类网络的计算机时，防火墙可阻止对此计算机的文件和打印机的访问。外部用户也无法通过共享文件夹访问数据和远程访问该计算机的桌面。防火墙根据为每一个应用程序设置的网络规则，过滤应用程序的网络活动。
防火墙已默认将互联网分配公用网络状态。您无法更改互联网的状态。
- “本地网络”。用户对此计算机上的文件和打印机的访问受限的网络（例如，公司局域网或家庭网络）。
- “受信任网络”。其中的计算机不会暴露于攻击或未经授权的数据访问尝试的安全网络。防火墙允许在具有此状态的网络中进行任何网络活动。