Behålla och isolera XP-burkar i nätverk? Vad behöver jag.

Sätt dem på ett eget VLAN bakom en router med NAT så är det ok.

Om man surfar på dem kan man ju ladda hem virus som kan ta sig ut ändå, vill du vara extra säker kan du ju köra något antivirusprogram samt blockera portar i routern för allt som inte är surf och dropbox

Ett VLAN i separat subnät är absolut "tillräckligt säkert".

Vad det finns för värde i burkarna påverkar sällan hur utsatta de blir.

I övrigt bör du vara hyfsat säker om du:
1) Inte surfar som en idiot (klickar på allt). Det är dock fullt möjligt, och ganska vanligt, att bli infekterad genom att bara besöka en "snäll" hemsida med elak reklam som smugit sig in.
2) Blockera Javascript, Java och Flash. I stort sett alla webbläsar-exploits sker via dessa vektorer. Webben blir lite tråkig utan Javascript, men m.h.a till exempel NoScript kan du välja att tillåta per domän vilket inte längre gör det bombsäkert, men hjälper i nästan varje fall.
3) Uppdatera din programvara.
4) Var inte inloggad som admin i onödan. (Över 90% av 2013s Windows-exploits var verkningslösa om man inte var inloggad som admin.)

Om jag minns rätt så var det ungefär vad Steve Gibson (säkerhetsexpert och XP-anhängare) tipsade om i SecurityNow (avsnitt #447). Sen påstod han visserligen att XP embedded var "rock solid" vilket kanske är att ta i (även om det ligger något i det).