起動時フィルタ

Windows Server SP1 で改良された点として、起動時に Windows FireWall が有効になる「起動時フィルタ」があります。従来の ICF ではサービスが起動するまでフィルタが有効にならず、システムの起動時・シャットダウン時の非常に短い時間ですがフィルタが“無い”状態となり危険*1だったのですが、SP1 のWindows ファイアウォールからこの問題が無くなりましたよってことですね。
Microsoft Windows Server 2003 Service Pack 1 での機能の変更点*2
起動時のセキュリティ、より引用

Windows Server 2003 Service Pack 1 では、IPv4 および IPv6 のファイアウォール ドライバに、ステートフルなフィルタ処理を実行するための静的なルールがあります。この静的なルールは、起動時ポリシーと呼ばれます。これにより、コンピュータは DNS や DHCP などの基本的なネットワーク タスクを実行し、ドメイン コントローラと通信してポリシー設定を取得できるようになります。Windows ファイアウォール サービスが起動されると、実行時ポリシー設定が読み込まれて適用され、起動時フィルタは削除されます。起動時ポリシーを構成することはできません。

引用ここまで
例えば、コントロールパネル→Windows ファイアウォール のプロパティで「無効」を設定してある場合*3でも、起動時フィルタにより OS の起動中は保護される形になります。
上記文書に書いてありますが、管理ツール→サービス→ Windows Firewall/Internet Connection Sharing (ICS) のプロパティでサービスを「無効」にした場合には起動時フィルタは使われなくなります。
例えば別のツールを利用してパケットフィルタを行う場合、そのツール（サービス/ドライバ）が起動しフィルタが有効になるまでの時間、脆弱な状態が発生しないかを確認しておいたほうがいいですね。もし、フィルタが開始されるまでに脆弱な状態が発生するのであれば、Windows Firewall/Internet Connection Sharing (ICS) サービスを無効にせず、起動時フィルタを有効にしておいたほうが安全だと思います。

*1:Windows Server 2003 でIPsecをフィルタに利用している場合はこの問題は発生しませんでした

*2:http://www.microsoft.com/downloads/details.aspx?FamilyId=B883B02C-D485-479C-8AA6-EDB20CD4C66E&displaylang=ja

*3:サービス「Firewall/Internet Connection Sharing (ICS) 」のプロパティが自動になっていれば