Ну, большинство читов даже не требуют выхода в сеть вообще — чаще всего они просто подключаются к памяти игры непосредственно в одном процессе. Так что файрвол тут, по сути, слепой. Если они пытаются что-то передавать наружу, они часто используют нестандартные порты, DNS-туннелирование или даже маскируются под легитимные службы, чтобы твои правила не смогли их засечь. Суть в том, чтобы следить за подозрительным обменом данными между процессами, а не просто полагаться на то, что файрвол заблокирует всё. Если ты не видишь, как они подсоединяются к памяти, значит, у тебя дыра.