Outpost ставит в с-му драйвер и хуки на устройства ТЦП и УДП
все IRP пакеты идут через стек фильтров и попадают ему он решает пройти дальше или нет.
можно сделать фаервол даже на перехвате Winsock API ф-ий, но само собой это небезопасно

Другие фаерволы работают наверное также...
Входящие пакеты - это пакеты на айпи своего компа. Он их и ловит...

Если есть желания писать фаервол - пиши сам