Windows-Rechner würde ich nie direkt ans Netz anschließen; da gehört immer ein NAT-Router dazwischen, ganz einfach aus dem Grund, weil damit erst mal sämtliche Ports von außen nicht mehr erreichbar sind - wenn man immer noch welche erreichbar braucht (beipielsweise für P2P-Programme wie BitTorrent-Clients oder Skype) kann man sie manuell freigeben.

Softwarefirewall oder nicht, ich würde einfach kein Windows mit unnötig exponierten Ports ans Netz lassen. NAT erledigt als Nebeneffekt der eigentlichen Aufgabe den Job, den Rechner nach außen abzusichern, viel besser als die meisten Softwarefirewalls.