Eso depende de las aplicaciones que se esten ejecutando en ese momento, o tambien los puertos que se esten siendo usados, es decir, si por ejemplo en el firefox se esta ejecutando un javascript con firma no conocida, entonces va a ser potencialmente peligroso, aun cuando el java sea una de las aplicaciones standard de toda computadora.

Existen dos posibilidades con el firewall:

1. Si la conexion es potencialmente peligrosa te va a informar y dependiendo de la accion (que generalmente es una ventana emergente que te pide indicacion de que debes hacer) el firewall "la aprendera" para la proxima vez que se presente una accion similar.

2. Que basado en un anàlisis de heuristica, el mismo firewall impida conexiones que considere peligrosas de acuerdo a su actualizacion diaria de la base de datos (como un antivirus)

Y quien se a inventado que rojo significa maligno? como ya te dicho anteriormente DEJA DE SACAR CONCLUSIONES ABSURDAS y sin sentido y deja de darlas por validas solo porque tu te las hayas inventado.
Saludos...

Songoku