300 yataklı hastane MR/CT cihazları cryptomining botnet · ICU monitör korundu
300 yataklı kamu hastanesinde IT, tıbbi cihaz network'ünden ICU monitör'lere paket gecikme fark etti. 47 cihaz (MR, CT, biyokimya) Mirai variant + Monero miner ile cryptomining yapıyordu. DSET tıbbi cihaz VLAN'ı izole etti, ICU güvenliği sağlandı, IEC 80001 + ISO 27799 uyum sonrası 24 ay temiz, Sağlık Bakanlığı 'örnek hastane' başlığı verdi.
01 Karşılaşılan Durum
BT analist Wireshark'ta tıbbi cihaz VLAN %78 CPU üretiyor (normal %15) gördü. ICU monitör'lere paket gecikme = hayati izlem riski. 47 cihaz infected (Hikvision firmware exploit + Monero miner XMRig). Saldırı vektörü: cihaz default kimlik (admin/12345) + tıbbi VLAN ↔ IT VLAN köprü. Bir hasta kritik durumda izlem sorunu yaşadı (kurtarıldı).
02 DSET'in Yaklaşımı
T+0 · VLAN izolasyon
Tıbbi cihaz VLAN anında izole edildi, network ayrıldı. ICU monitör paket gecikme düzeldi, hasta güvenliği sağlandı.
T+4h · USOM koordinasyon
Sağlık Bakanlığı bildirim + USOM koordinasyon. 4 saat içinde başka 3 hastane benzer durumla teşhis edildi, ulusal koordinasyon başladı.
T+24h · Üretici desteği
GE Healthcare + Siemens + Hikvision ile koordinasyon. Cihaz başına firmware reset 90 dk × 47 cihaz = 70 saat iş yükü.
T+1 hafta · Tıbbi IDS
DSET tıbbi cihaz IDS (Imperva Medigate benzeri) kurulumu. Tıbbi VLAN için ayrı SIEM, bilgi sızıntı izleme.