Про вирусы шифровальщики и зашиту⁠⁠1

это немного не так работает)

в самом бюджетном варианте должно быть несколько дисков в карусели, чтоб каждый диск не подключался чаще раз в 1-2 месяца.

"отдельная машинка на физ сервере" может быть Raspberry PI в которую вообще нет сетевого доступа, а она сама забирает нужные файлы по расписанию по HTTPS. чтоб исключить возможности заражения самой отдельной машинки.

"Или выделяйте деньги на служебный ноут или берите риски на себя."
В чём проблема виртуалку на ноуте поднять и использовать только для работы? Отсечёт 99% проблем без проблем.

сам rdp нынче не совсем беззащитен

Всё, что сейчас торчит вовне с паролем - беззащитно. Подбирают.
Входная нода должна быть на Линуксе, с авторизацией ТОЛЬКО по RSA ключам, все пароли отключить нахрен. А там - VPN, SSH тоннель, тут уже что нравится.

Бэкапы не всегда панацея, я ловил майнера, который начинал работать через месяца 2-3. После восстановления с бэкапа проходил определённый период и все начиналась по новой

платить бесполезно, потому что дешифратор не предоставляют?

внешний hdd, включение и отклбчение юсб-через cron

Чем этот образ отличается от хранения старых РК в течении нескольких лет (условно ежемесячные фуллы)?

Очевидно, мы обсуждаем сейчас ситуацию:

#comment_333565945

Хранение РК на большую глубину всегда полезно, но вот в описанной ситуации выбор более свежих РК чреват тем что, что живую придётся искать методом тыка и рискуя тем, что в поднятой копии таки уже живёт неведомая хуйня.

инфраструктура крупная- штука живая.. и меняться каждый день. На фоне импортозамещения довольно интенсивно

Так мы всё ещё про "систему с Легаси, где не дистрибутива, ни специалистов которые могли бы развернуть. ни документации. Разворачивал подрядчик. N лет назад"?

Очевидно, что если вы выявляете у себя подобную систему, то первое что вам нужно сделать - снапшот с неё. И отложить его в безопасное место. После этого вы каждое изменение начинаете документировать (как нормальный администратор) и далее вы уже знаете как этот снапшот при необходимости привести в актуальное состояние.

Ну это случай инфраструктуры, которая изначально сделана через жопу, поэтому полностью правильных вариантов тут не существует.

Но и этот случай лечится созданием референсного образа системы, в момент когда она точно живая, и сохранением его в сейфе.

Ох уж эти виндовые админы :)
RSA может использоваться не только для шифрования, но и для авторизации. Надёжнее любого пароля на порядки, но требует некоторых телодвижений.

Я уже писал, и приводил доводы по этой проблеме, я создавал тестовый сервер, на нем поднимал рдп, и смотрел как работают взломщики.
1. перебор паролей рдп, спасает программа ipban и ее аналоги.
2. облако не спасает.
3. нас спасает если грамотная настройка, как вы правильно написали что нас сам забирает архивы, но они запускают прогу по восстановленю паролей, если на серевре он есть ломанут через радугу. Смотрят сетевые обращения в винде. Поэтому nas должен быть под своим паролем, а забирать в архив по простым юзером. янекоторыек прописывают админский пароль от наса как пользователя в винде. ну сами поняли.

Рекомендация, не использовать виндовый VPN, это раз.
создать удаленный FTP сервер, скидывать туды файлы в папку, и поставить прогу которая сразу перененосит файлы на другой диск, под другим пользователем который не зайдет юзер FTP.

По сабжу, бух аутсорсеры наняли ит, создал рдп открыл в инет 3389, создада бекапы на диск С, перебором зашли на сервер, запустили криптор. обозначили 1500 баксов, выбра небыло 45 баз 1с по 10 лет, я договорился на 500 оплатили, начали шантаж еще на 500, оплатили, выслали декрипотор, восстановили все базы, остальной мусор на 95%.
Если есть вопросы спрашивайте, на ловушке их действия много повидал, как они действуют.
А да, они сразу запускают в PS макрос, убивает каспера, др веба, макафи, и многие остальные антивири, которые самые распросттраненные антивири

Так бэкапятся данные.

Сама скомпроментированная система всегда переустанавливается "с чистого листа"