[LoryOne]

Dico che ha perfettamente ragione.
Il protocollo ICMP è stato utilzzato anche per spedire e ricevere comandi dissimili da quelli tipici del protocollo, comandi che venivano impartiti a malware già in ascolto e che sia il firewall, sia il sistema, non si curavano affatto di verificarne il contenuto; il controllo d'integrità era verificato a monte sul pacchetto forgiato appositamente, quindi accettato.
Se un firewall non presenta funzionalità di Deep Packet Inspection, ormai non può più considerarsi tale, anche se è basato sullo stato della connessione (stateful firewall) e non più sul semplice filtro di pacchetti.

Per verificare la raggiungibilità di un host all'interno della tua rete, al firewall basta riconoscere l'echo request in ingresso e l'echo reply in uscita. Dall'esterno, bloccare del tutto ICMP è cosa ormai adottata e consolidata; Nemmeno i siti internet rispondono al ping ICMP ormai.