Pesquisando ao redor, não consegui determinar a melhor prática para o ICMP em um firewall.
Por exemplo, em um Cisco ASA, seria seguro e recomendado permitir o ICMP de qualquer um se a inspeção do ICMP estiver ativada. Isso permitiria que coisas como o tipo 3 inacessíveis voltassem aos clientes.
Não, o ICMP não deve ser bloqueado. É um protocolo de sinalização vital. Internet não funciona sem ele.
O PMTUD está quebrado se você deixar cair o ICMP.
O IPv6 nem começa a funcionar sem o ICMP, pois a resolução de endereço de L3 a L2 (ARP no IPV4) está em cima do ICMP no IPv6.
Além disso, a solução de problemas levará mais tempo se os ecos do ICMP forem descartados. Infelizmente, muitas vezes, a linha de pensamento das pessoas do FW parece ser "quando estiver em dúvida, caia".
Você usa o FW porque sua rede interna possui serviços que não exigem hosts de autenticação ou não gerenciados que executam software vulnerável. O ICMP realmente não é um vetor de ataque prático.