No estoy seguro de eso. debería ejecutarse en modo kernel para evitar que algún programa en modo usuario apague / suspenda el firewall y haga su trabajo sucio.
El malware no podría matar el firewall incluso si pudiera obtener privilegios más altos.
Espero una explicación más detallada para Windows (considere un firewall genérico) y máquinas Linux.
Gracias y que tengas un buen día.
iptables es un programa en modo usuario que actúa como una interfaz para los Netfilter que proporciona el núcleo de Linux . Por definición, no puede ejecutarse en modo kernel, ya que es un programa en modo usuario diseñado para interface con un conjunto de enlaces de kernel.
iptables solo puede ser modificado por el usuario root de todos modos. Si una pieza de malware se las arregla para elevar los privilegios a ese nivel, de todos modos estás jodido. Es imposible (o al menos casi imposible) defenderse contra un usuario root malicioso.
La respuesta de Terry es correcta, simplemente no es posible proteger contra un usuario root malicioso.
Más información:
iptables es el programa de línea de comandos del espacio de usuario que se usa para configurar el conjunto de reglas de filtrado de paquetes de Linux y posteriores (se usa para establecer una interfaz con netfilter, que es el lado del núcleo del firewall). Netfilter es un conjunto de enlaces dentro del kernel de Linux que permite a los módulos del kernel registrar funciones de devolución de llamada con la pila de red. Una función de devolución de llamada registrada se devuelve para cada paquete que atraviesa el enlace correspondiente dentro de la pila de la red.
En Windows, este es el WFP (plataforma de filtrado de Windows). Windows Filtering Platform (WFP) es un conjunto de servicios de sistema y API que proporcionan una plataforma para crear aplicaciones de filtrado de red. La API de WFP permite a los desarrolladores escribir código que interactúa con el procesamiento de paquetes que tiene lugar en varias capas en la pila de redes del sistema operativo. Los datos de la red se pueden filtrar y también modificar antes de que llegue a su destino. La API de WFP consta de una API de modo de usuario y una API de modo de núcleo. Esta sección proporciona una descripción general de todo el WFP y describe en detalle solo la parte del modo de usuario de la API de WFP.
Lea otras preguntas en las etiquetas linux permissions iptables