نحوه جداسازی محیط بکاپ از شبکه داخلی

من سه عدد سرور بکاپ دارم که به کمک veeam‌ و backup assist بکاپ گیری انجام می‌دم

با توجه به اینکه اگر شبکه درگیر باچ افزار بشه بکاپها هم آلوده می‌شه به فکر جداسازی شبکه داخلی از محیط بکاپ افتادم...

از سه سروری که بکاپ گیری باهاشون انجام می‌دم... دو تا از این سرورها ماشین مجازی هستند و یک سرور فیزیکی هست

هر سه سرور جوین به دومین هست

نحوه جداسازی این سرورها از شبکه داخلی رو می‌خواستم بدونم به چه شکلی باید عمل کنم؟
مثلا از طریق فایروال دسترسی‌ها به این سرور بکاپ رو محدود کنم به سرور esxi‌ یا تدابیر دیگری باید در نظر گرفت؟

در تجربه ای که با بحث باج افزار داشتم ماشین هایی که در VLAN سرورها بودن همه آلوده شده بودن اما VLAN دیگه ای که سرور داشتیم بدون مشکل بود. در همون زمان برای بک آپ سرورها VLAN متفاوتی تعریف کردیم و سرور ها رو به اونجا منتقل کردیم و تا الان مشکلی نداشتیم
بحث فایروال و بقیه متدها برای باج افزار خیلی کارایی نداره تا جایی که من دیدم و تجربه کردم، البته به عوامل دیگه ای که مهمترین اونها نوع و قابلیت های فایروال و معماری شبکه هست بستگی داره.

سلام
معمولاً Ransomware از طریق بستر اینترنت به شبکه منتقل میشه، نداشتن AntiVirus معتبر و فعال نبودن Componentهای مربوطه نظیر AntiCryptor، فعال نبودن Signature update، فعال بودن اینترنت سرورهایی که عملاً نیاز به اینترنت ندارند. عدم بروزرسانی Patch مایکروسافت در سطح سرویس و سرورهای مجموعه. باز کردن پیوست Mail Serverها (نداشتن آگاهی EndUserها در این حوزه) و ... موجب بروز ریسک‌های باج‌افزاری می‌شود.
می‌تونید عندالزوم محیط Backupها را در Zoneای از فایروال قرار بدید که به شبکه اینترنت دسترسی نداشته باشه؛ (پیش فرض: ضمن فعال بودن Screening فایروال و اعمال آن در Zoneها - بستن پورت‌های 449 - 139 - SMB - 3389 از طریق Firewall) انجام شود.
و جهت Reportگیری Logهای Serverها و آنالیز حملات بحث مانیتورینگ و ایجاد DataModel از طریق Splunk و یا از طریق Dynamic Threat Defence مربوط به کنسول Eset که فایل‌های مشکوک (بدافزار - باج افزار و ...) را به یکی فضای Cloud Base ارسال می‌کنه و بررسی و ارسال جوابیه در اینخصوص ارائه میشه موثر است.

سپاس از دوستان بابت راهنمایی های بسیار مفید