Eu só quero re-enfatizar o que John T comentou - está desativado por padrão porque não há serviços compartilhados por padrão. Portanto, se você tiver alterado as configurações padrão e tiver serviços com portas abertas, eu sempre ligaria o firewall. Note que há mais de um firewall, o que é acessível através do prefs do sistema é um aplicativo centrado no aplicativo, mas há um baseado no ipfw adicional que, como John T menciona, é configurável usando o Waterroof, ou eles têm um NoobProof GUI também (você pode acessá-lo usando o terminal se quiser).
Eu também recomendaria um firewall de conexão de saída como o Little Snitch , como o firewall do aplicativo e o ipfw. firewalls tradicionalmente recebidos apenas. Não tenho certeza se você pode hackear o ipfw para fazer uma verificação confiável de saída ...