O firewall não precisa necessariamente responder ao ICMP.
Uma vez que o DHCP tenha ocorrido (ou o nic foi criado por um IP estático), ele irá escutar arp who-has request para seu IP. No linux, isto é uma vez que os scripts de configuração da interface são executados, os quais variam em ordem de configuração para configuração. No Windows, é quando os serviços relacionados à rede são iniciados. (O nome do serviço exato não está vindo à mente no momento)
Se o endereço MAC não estiver em nenhum cache arp, há um atraso adicional na resposta ao primeiro ping, já que ele precisa aprender o endereço MAC para o salto final de ethernet para o host.
Algumas máquinas virtuais têm um atraso inicial ainda maior devido à maneira como ela liga os adaptadores ethernet, o host precisa aprender e encaminhar após um atraso na árvore de abrangência para proteger-se contra loops.
Na ordem de inicialização, o sistema operacional iniciará tudo o que for necessário para operar os adaptadores de rede e, em seguida, colocará o adaptador de rede on-line antes de trazer quaisquer serviços dependentes da rede. Isso geralmente está no "meio" da maioria das máquinas que encontrei.