Нет, тут имеются в виду интересные в тройных кавычках. Классические кавычки слишком скучно, а одинарные и двойные звездочки как раз заняты болдом и италиком 

В матрице MITRE на стадии Initial Access девять техник, и каждая реализуется с участием человека

Касательно того, чего пытается достичь атакующий при попадании в систему — зависит от того, что этой системой обрабатывается и для чего она нужна. Тут необязательно нужны веб-сервера, атаки на уровнях от физического до сетевого никуда не делись (как пример, stuxnet).

Говоря о защите, снова упираемся в назначение системы. Чем дешевле активы, тем меньше заинтересованность хакеров и меньше затраты на ИБ. Тут только Вам выбирать, может и английского замка хватит)

Что вы имеете в виду под изолированными системами? Если это что-то вроде внутреннего сервиса компании, это значит, что туда входят какие-то данные, преобразовываются и выходят, значит, доступ есть (через web-интерфейс, терминал или ту же флешку), и все указанное выше актуально)