SP2 定位：XP 安全性的分水嶺

Windows XP SP2 (2004/8/6 釋出) 不只是補丁彙總，更是**安全架構重大升級**，引入三大核心防護支柱：安全中心、Windows 防火牆、IE 安全強化。

支柱一：Windows 安全中心 — 集中可視化儀表板

• 監控三大支柱狀態：**防火牆**、**自動更新**、**防毒軟體** (透過 WMI 介面偵測第三方防毒)
• 三色狀態燈：綠色=正常、紅色=關閉/異常、黃色=未知/無法偵測
• 提供集中連結啟用/配置各項功能，**本身不提供防護功能**，僅為管理中樞
• 註冊表控制：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center → AntiVirusDisableNotify、FirewallDisableNotify、UpdatesDisableNotify 設為 1 可隱藏對應警告

支柱二：Windows 防火牆 — 從 ICF 到狀態檢測防火牆

特性	ICF (SP1/RTM)	Windows 防火牆 (SP2+)
範圍	單一網路連線獨立設定	**全域原則**，套用所有網路介面
應用程式規則	不支援	**支援**：允許/封鎖特定 .exe 通訊
埠/協定規則	有限支援	完整支援 TCP/UDP 埠、ICMP、IP 協定號
作用域限制	無	**支援**：任意/子網/自訂 IP 清單
啟動期保護	有延遲窗口	**早期啟動**：僅允許 DNS/DHCP，其他服務等防火牆就緒
記錄功能	無	支援記錄丟棄/成功連線至 %windir%\pfirewall.log
相容性	常衝突	改進與主流應用相容性

配置入口：控制台 → Windows 防火牆 / firewall.cpl / 群組原則 電腦設定 → 管理範本 → 網路 → 網路連線 → Windows 防火牆

支柱三：Internet Explorer 6 SP2 安全強化

1. 彈出視窗封鎖器 (內建)

• 工具 → 彈出視窗封鎖器 → 開啟/設定允許清單
• 取代第三方工具列 (Google Toolbar、MSN Toolbar 等)

2. 增益集管理器

• 工具 → 管理增益集 → 查看所有 ActiveX/工具列/瀏覽器協助物件
• 可**啟用/停用/刪除**個別增益集，解決衝突導致 IE 崩潰
• 配合群組原則 新增元件管理 企業級管控

3. 附件執行安全區域判斷

• 依據檔案來源區域 (網際網路/區域內網/信任/受限) 決定執行提示等級
• 「網際網路」區域下載的 .exe/.scr/.bat 等高風險類型預設**提示並要求確認**

4. 區域鎖定與跨域腳本防護

• 強化跨域存取限制，降低 XSS/CSRF 風險
• 預設限制「網際網路」區域腳本存取「區域內網」資源

其他重要 SP2 變更

• RPC 介面強化：預設拒絕匿名 RPC 連線，緩解 Blaster/Sasser 蠕蟲類攻擊
• DCOM 權限強化：預設限制匿名存取 DCOM
• TCP/IP 連線數限制放寬：半開連線限制從 10 提高 (後續補丁再調整)，改善 P2P/下載工具效能
• 無線網路零配置 (WZC) 服務改進：支援 WPA-PSK/WPA2-PSK
• Bluetooth 1.1 核心支援

企業部署建議

• 透過 **WSUS / SMS / GPO** 統一部署 SP2
• 群組原則預先配置防火牆例外、自動更新策略、IE 安全區域
• 測試關鍵業務應用相容性 (特別是舊版資料庫客戶端、VPN、終端機模擬器)
• 部署後執行 MBSA (Microsoft Baseline Security Analyzer) 掃描基線合規

歷史定位

SP2 讓 XP 從「連網即中毒」進化為「具備基礎主機防護能力」。但隨著威脅演進 (APT、勒索軟體、零時差)、架構老化 (無 ASLR/DEP/CFG/HVCI、32 位元核心限制)、支援終止，**SP2 及 XP 全系列已不具備抵禦現代威脅能力**。