Windows XP SP2 引入安全中心與預設開啟的 Windows 防火牆，雖提升基線防護，但針對現代惡意軟體的出站連線控管能力不足，企業環境不宜單獨依賴。

安全中心：可見性優於控制力

• 提供防毒軟體、防火牆、自動更新三狀態儀表板，異常時彈出警示與紅盾圖示。
• 缺乏集中管理功能：無法遠端鎖定電腦、強制推送策略、整合企業級 SIEM。
• 使用者可暫時忽略警告，但系統會持續提醒；加入網域環境時由群組原則接管，安全中心停止本地提示。
• 建議納入企業資安教育訓練，讓使用者理解警示含義，協助服務台快速判斷問題。

Windows 防火牆：入站過濾不足以因應現代威脅

• 僅阻擋入站連線，無法控管出站流量。
• 現代惡意碼（Botnet、RAT、間諜軟體）多透過使用者主動執行附件、瀏覽惡意網頁（Drive-by Download）植入，再發起出站連線接收指令、外洩資料。
• GDI+ JPEG 處理缺陷（MS04-028）等瀏覽器漏洞，無需入站連線即可觸發，繞過防火牆防禦。
• 內建防火牆適合家用/ SOHO 環境，企業必須部署具備出站控管、應用層檢測、集中管理的專業防火牆。

攻擊路徑多元化：防火牆非萬靈丹

1. 郵件附件社交工程誘導使用者執行。
2. 瀏覽器/文件閱讀器漏洞（如 GDI+、IE CSS、PDF 解析器）實現無感染植入。
3. 可移式媒體、網路共享、供應鏈攻擊橫向擴散。

單純依賴入站防火牆，如同「大門加鎖卻留後門敞開」。

建議防禦架構

層級	對策
網路邊界	新世代防火牆（App-ID、IPS、SSL 檢測）、Web 閘道器、郵件閘道器
主機端點	EDR/XDR、應用程式控管（AppLocker）、防火牆出站規則、DEP/ASLR 強制啟用
管理平面	群組原則統一配置、SUS/WSUS 修補管理、資產清查與弱點掃描
人員面	資安意識訓練、模擬釣魚演練、事件回應 SOP

SP2 是重要的基線強化，但企業資安需建立纵深防禦體系，不可將單一作業系統更新視為完整解決方案。