Kesintisiz CDN ve Güvenlik Geçişi: Nahdi Medical Company

Giriş

Suudi Arabistan'ın önde gelen ilaç perakendecisi ve dijital sağlık platformu Nahdi Medical Company, Nahdi Online'ın içerik dağıtım ve güvenlik katmanını AWS Partneri Sufle iş birliğiyle AWS'e taşıdı. Proje kapsamında CDN, cache yönetimi ve web uygulama güvenliği Amazon CloudFront, AWS WAF, AWS Shield Advanced ve AWS Firewall Manager üzerinde tek bir yapıda bir araya getirildi. Geçiş, tek bir dakika planlı kesinti yaşanmadan ve gerçek müşterilerin alışveriş sırasında engellenmesine yol açabilecek yanlış pozitifler oluşturulmadan tamamlandı.

İki platform arasında birebir bir karşılık bulunmadığı için Sufle, mevcut platformdaki managed güvenlik kurallarını özel AWS WAF kurallarıyla yeniden yapılandırdı. AWS'in native olarak desteklemediği rate limit davranışını sağlamak üzere AWS Lambda tabanlı özel bir mekanizma geliştirdi ve Nahdi ekibinin ihtiyaç duyduğu 90 günden uzun süreli log saklama ve dashboard gereksinimini yalnızca CloudWatch'a dayalı bir yaklaşıma kıyasla çok daha düşük maliyetle karşılayan bir log analitiği pipeline'ı tasarladı.

Müşteri Hakkında

Nahdi Medical Company, Suudi Arabistan'ın önde gelen sağlık şirketlerinden biri ve omnichannel sağlık hizmetleri alanında öncü bir kuruluştur. Ülkenin en büyük perakende eczane zinciri ve entegre bir Omnihealth platformu olan Nahdi; reçeteli ilaçlardan vitaminlere, cilt bakım ve kozmetik ürünlerinden evde kullanıma yönelik medikal ekipmanlara kadar geniş bir ürün portföyü sunmaktadır. Şirketin entegre sağlık ekosistemi, geniş eczane ağını dijital sağlık çözümleriyle sorunsuz bir şekilde bir araya getirmektedir.

Platform, Suudi Arabistan genelinde ailelerden wellness ürünleri satın alan kullanıcılara, düzenli sağlık takibi ve medikal desteğe ihtiyaç duyan hastalara kadar geniş bir kitleye hizmet vermektedir. Özellikle bu son kullanıcı grubu mimari açıdan da önem taşımaktadır: Nahdi Online, birçok kullanıcı için yalnızca kolaylık sağlayan bir platform değil, temel ilaçlarını sipariş ettikleri bir kanaldır.

Zorluklar

Nahdi'nin dijital ekosistemi ölçek ve karmaşıklık açısından büyümeye devam ettikçe CDN, cache yönetimi ve web güvenliğine ilişkin gereksinimleri de gelişti. Mevcut üçüncü taraf managed edge platformu özel kuralları ve domain- ve path bazlı cache yapılandırmalarını destekliyordu. Bununla birlikte Nahdi, büyüyen dijital operasyonlarını ve değişen müşteri beklentilerini desteklemek amacıyla ölçeklenebilirlik, performans, güvenlik ve operasyonel verimliliği daha da geliştirme fırsatı belirledi.

Bu doğrultuda Nahdi, AWS'e geçiş için üç temel gereksinim tanımladı:

• Kesintisiz geçiş: Suudi Arabistan genelinde milyonlarca kullanıcı ödeme işlemleri, reçete siparişleri ve sağlık hizmetleri için platformdan yararlanıyor. Geçiş sırasında birkaç saatlik bir kesinti bile müşteri deneyimini etkileyebilir ve özellikle bir sağlık markası açısından kritik olan güven duygusunu zedeleyebilirdi.

• Mevcut çözüm kadar güçlü bir güvenlik katmanı ve daha verimli bir network altyapısı: Bu seviyenin altında kalacak bir çözüm, hassas sağlık ve kişisel verileri barındıran platformu credential stuffing, DDoS saldırıları ve veri ihlali risklerine karşı savunmasız bırakabilirdi. Daha yavaş veya daha maliyetli bir edge katmanı ise SEO performansını ve mobil dönüşüm oranlarını olumsuz etkileyebilirdi.

• False positive'lere sıfır tolerans: Gerçek müşterileri bot olarak algılayan aşırı agresif filtreleme; oturumların engellenmesine, tekrarlayan CAPTCHA kontrollerine ve sepetlerin terk edilmesine neden olabilirdi. Bir eczane platformunda false positive, müşterinin ihtiyaç duyduğu ilacı sipariş edememesi anlamına gelebilirdi.

Bunlara ek olarak önemli bir operasyonel gereksinim daha bulunuyordu. Nahdi'nin mühendislik ekibi gözlemlenebilirlik konusunda yüksek standartlarla çalışıyor; sistem performansını, güvenilirliğini ve güvenliğini desteklemek için uygun log saklama sürelerine ve güçlü izleme dashboard'larına ihtiyaç duyuyordu.

Neden AWS?

AWS, platformun kararlılık ve maliyet sorunlarını kurumsal ölçekte bir altyapıyla ele almak amacıyla tercih edildi. Amazon CloudFront, kritik e-ticaret operasyonlarını etkileyen tekrarlayan kesintileri ortadan kaldıran, global olarak dağıtık ve yüksek dayanıklılığa sahip bir edge network sunarken, Nahdi'nin trafik profiline daha uygun bir fiyatlandırma yapısı sağladı.

AWS'in sunduğu geniş servis ekosistemi de tercih sürecinde önemli rol oynadı. AWS'e geçişle birlikte CDN, web application firewall, DDoS koruması, log analitiği ve dashboard süreçleri farklı sağlayıcılara dağıtılmak yerine tek ve yönetilebilir bir ortamda bir araya getirilebildi. Native olarak sunulmayan yetenekler ise geçici çözümler yerine AWS Lambda ve Amazon Athena gibi servislerden yararlanılarak karşılanabildi. Native entegrasyon, modern headless mimariler ve otomatik deployment pipeline'larıyla birlikte sessiz geçişi desteklerken AWS'in ölçeklenebilir yapısı Nahdi'yi yüksek trafikli kampanya ve alışveriş dönemlerine hazırladı.

Neden Sufle?

Nahdi, Sufle'yi AWS Advanced Services Partner statüsü ve Amazon CloudFront alanındaki AWS Service Delivery yetkinliği nedeniyle implementation partner olarak tercih etti. AWS tarafından doğrulanan bu yetkinlik, Sufle’nin karmaşık ve yüksek trafikli CDN geçiş projeleri için gereken uzmanlığa sahip olduğunu gösteriyor. Sufle'nin üst üste kazandığı AWS Partner of the Year ödülleri de kesintisiz migration yaklaşımının planlandığı şekilde uygulanabileceği konusunda Nahdi'ye güven verdi.

Proje, tam migration öncesinde gerçekleştirilen bir Proof of Concept (PoC) aşaması etrafında yapılandırıldı. Böylece kural davranışları ve cache semantiği, geçiş öncesinde gerçek trafik pattern'leri üzerinde doğrulandı. Sufle'nin AWS Well-Architected Framework'ü temel alan iş birliğine dayalı yaklaşımı sayesinde ortaya çıkan altyapı yalnızca kesinti yaşanmadan devreye alınmakla kalmadı; uzun vadeli güvenlik, maliyet verimliliği ve operasyonel performans açısından da optimize edildi.

Çözüm

Güvenlik Katmanının AWS WAF Üzerinde Yeniden Yapılandırılması

Önceki platformdaki managed rule set'lerin AWS tarafında birebir karşılığı bulunmadığı için Sufle doğrudan bir aktarım yaklaşımı benimsemedi. Bunun yerine ekip, mevcut platformda kullanılan güvenlik kurallarını analiz ederek bu davranışları mümkün olduğunca yakın şekilde karşılayan özel AWS WAF kuralları oluşturdu ve geçiş sürecinde ek kurallarla güvenlik kapsamını genişletti. DDoS saldırılarına karşı korumayı güçlendirmek amacıyla AWS Shield Advanced devreye alınırken, CloudFront ve Elastic Load Balancer ile kullanılan sertifikalar AWS Certificate Manager üzerinden oluşturuldu.

Proje kapsamında 30'dan fazla CloudFront kaynağı bulunduğundan, WAF yönetiminin her distribution için ayrı ayrı gerçekleştirilmesi operasyonel açıdan verimli değildi. AWS Firewall Manager, kuralların tüm kaynaklar genelinde toplu olarak uygulanması ve yönetilmesi için devreye alındı. Böylece güvenlik ekibi, 30'dan fazla ayrı nokta yerine merkezi bir kontrol noktası üzerinden yönetim sağlayabilir hale geldi.

Süresi Yapılandırılabilir Block ve Count Aksiyonlarının Geliştirilmesi

AWS WAF rate limit kuralları, block ve count aksiyonları için yapılandırılabilir süreleri native olarak desteklemiyordu; ancak Nahdi'nin mevcut yapılandırması bu yeteneğe ihtiyaç duyuyordu. Sufle bu eksikliği ürün geri bildirimi olarak AWS'e iletti ve mevcut yetenekten vazgeçmek yerine Nahdi'nin development ekibiyle yakın iş birliği içinde özel bir çözüm geliştirdi.

Amazon EventBridge tarafından dakikada bir tetiklenen AWS Lambda fonksiyonu, WAF loglarını Amazon Athena üzerinden sorgulayarak elde edilen verilere göre ilgili WAF kurallarını güncelliyor. Böylece Nahdi'nin ihtiyaç duyduğu sürelerle çalışan block ve count davranışı AWS servisleri kullanılarak sağlandı. Sorguların CloudWatch yerine Athena üzerinden gerçekleştirilmesi ise mekanizmanın dakikalık sıklıkta maliyet etkin şekilde çalışmasını sağladı.

Maliyet Etkin Loglama ve Dashboard Pipeline'ı

Mevcut dashboard'lar Nahdi ekibinin ihtiyaçlarını karşılamıyordu. Ekibin ihtiyaç duyduğu özel dashboard'lar log analizine dayanıyor ve 90 günden uzun süreli log saklama gereksinimiyle birlikte CloudWatch üzerinde yüksek maliyet oluşturuyordu. Sufle bu ihtiyaca yönelik özel bir analitik pipeline tasarladı:

WAF / CloudFront → Amazon Kinesis ve Kinesis Data Firehose → AWS Glue → Amazon S3 → Amazon Athena → Amazon Managed Grafana

Kinesis ve Firehose log akışlarını iletirken AWS Glue logları uygun formata dönüştürüyor. Amazon S3, işlenen logları Parquet formatında ve sorgu sonuçlarıyla birlikte saklıyor; Amazon Athena bu veriler üzerinde SQL sorguları çalıştırıyor. Amazon Managed Grafana ise Athena sorgularını CloudWatch metrikleriyle bir araya getirerek özel dashboard'ların oluşturulmasını sağlıyor. Amazon CloudWatch genel metrik ve log takibi için kullanılmaya devam ederken, yüksek maliyet oluşturan yüksek hacimli analitik iş yükü bu özel yapıya taşındı.

İçerik Dağıtımı ve Cache Yapısının Taşınması

Amazon CloudFront, üçüncü taraf bir edge runtime üzerinde çalışmaya devam eden frontend uygulamalarının yanı sıra AWS Elastic Load Balancer arkasındaki backend servislerini de kullanıcılara ulaştırıyor. Cache yönetiminin ve CDN kullanımının büyük bölümü CloudFront'a taşındı.

CloudFront Functions, özel request header düzenlemelerini ve redirect kurallarını yöneterek kesintisiz geçişi mümkün kılan edge logic'in uygulanmasını sağladı. Path bazlı cache davranışları yeniden oluşturulurken, önceki dağınık console yapılandırması da bu süreçte sadeleştirildi.

Sonuçlar ve Kazanımlar

Ölçülebilir Sonuçlar

• Loglama ve gözlemlenebilirlikte ~%15 maliyet tasarrufu: Amazon Athena ve Amazon Managed Grafana ile oluşturulan özel pipeline, ekibin ihtiyaç duyduğu 90 günden uzun süreli log saklama ve özel dashboard'ları CloudWatch tabanlı eşdeğer yaklaşıma kıyasla belirgin ölçüde daha düşük maliyetle sağladı.

• Cache yapılandırmasıyla ~%10 maliyet düşüşü: Önceki path bazlı ayarların doğrudan taşınması yerine cache davranışlarının CloudFront migration sürecinde gözden geçirilerek yeniden yapılandırılması, origin yükünü ve içerik dağıtım maliyetlerini azalttı.

• WAF migration sonrasında bot trafiğinin ~%20'sinin engellenmesi: Yeniden yapılandırılan ve genişletilen kural seti, önceki yapılandırmanın geçirdiği bot trafiğini engellerken bunu Nahdi'nin temel gereksinimlerinden biri olan false positive oluşturmadan gerçekleştirdi.

• Güvenlik ekibinin response time'ında ~%10 iyileşme: Tüm güvenlik kaynaklarının AWS Firewall Manager altında merkezi hale getirilmesi, ekibin 30'dan fazla kaynağı tek noktadan değerlendirerek aksiyon almasını sağladı.

• Sıfır kesinti: Migration, platformda herhangi bir hizmet kesintisi yaşanmadan tamamlandı.

Niteliksel Kazanımlar

Platformda daha önce yaşanan kesintilerin ve hata sayfalarının ortadan kaldırılması, Nahdi'nin kesintisiz bir dijital deneyim sunmasını sağlayarak markanın güvenilir bir sağlık hizmetleri sağlayıcısı olarak konumunu güçlendirdi. Bu güvenilirlik, eczane perakendesinde genel perakendeye kıyasla daha kritik bir marka değeri taşıyor. Şirket içinde ise artan sistem kararlılığı, reaktif müdahale ihtiyacını azaltarak mühendislik ekiplerinin kriz yönetimi yerine ürün geliştirmeye daha fazla odaklanmasına olanak sağladı.

İçerik dağıtımının AWS ekosistemi içerisinde konsolide edilmesi mimari yönetişimi de sadeleştirdi. Güvenlik ve compliance kontrolleri artık merkezi olarak yönetilirken, yönetim ekibi birleşik dashboard'lar sayesinde daha kapsamlı operasyonel görünürlüğe kavuştu ve kararlarını daha hızlı, daha güçlü verilere dayanarak alabilir hale geldi.

Projenin en önemli kazanımlarından biri, kesinti, false positive ve yetenek kaybına tolerans göstermeden migration sürecinin üç temel gereksinimi de aynı anda karşılayacak şekilde tamamlanması oldu. Üstelik bu yaklaşım, hedef platformun native olarak sunmadığı yeteneklerin müşterinin ihtiyaçlarına özel AWS çözümleriyle karşılanmasını da mümkün kıldı.