Bene, "blocca tutte le connessioni in entrata" dovrebbe bloccare tutte le connessioni in entrata così non dovresti riuscire a trovare nessuna porta aperta. Nota che anche la porta 80 non dovrebbe essere aperta: un tipico sistema desktop non ha attività in cui sia in esecuzione un server Web.
Il fatto che ci siano porte aperte è indicativo del fatto che l'impostazione "blocca tutte le connessioni in entrata" non funziona come previsto. La porta 3128 è una porta tradizionale di un proxy HTTP.
Ciò che hai segnalato non viene sommato. O il Mac esegue alcuni server, non blocca le connessioni in entrata e potrebbe essere sotto controllo ostile esterno attivo. O forse hai commesso un errore di digitazione e non stai effettuando la scansione della macchina che ritieni di effettuare la scansione.