Le défi
Abu Dhabi Airports Company opère l'aéroport international Zayed et l'aéroport Al Bateen Executive, accueillant des millions de passagers chaque année. En tant qu'opérateur d'infrastructure critique, ADAC exigeait une posture de sécurité à la hauteur de la sensibilité de ses opérations.
L'architecture en place présentait plusieurs risques :
- Dépendances VPN. Les employés et prestataires accédaient aux applications internes via VPN, ouvrant un accès réseau large et augmentant l'exposition en cas de compromission d'identifiants.
- Sécurité hétérogène selon les modes de connexion. Les utilisateurs au siège, en VPN et en télétravail avaient des postures différentes, sans application unifiée des politiques.
- Accès réseau au lieu d'accès applicatif. Le VPN accordait un accès réseau au lieu de restreindre l'accès aux applications nécessaires.
- Accès des prestataires. Les sous-traitants avaient besoin d'accéder à certaines applications internes, mais l'accès VPN élargissait leur portée bien au-delà de ce qui était requis.
- Visibilité limitée. L'équipe sécurité manquait de visibilité granulaire sur l'activité des utilisateurs et les schémas d'accès.
Ce que Brixio a déployé
Trois scénarios de connectivité, un seul modèle de sécurité
ADAC a défini trois scénarios nécessitant une protection cohérente : employés en télétravail, employés connectés via VPN, employés au siège. Brixio a conçu et déployé une architecture Cloudflare Zero Trust appliquant des politiques basées sur l'identité dans les trois cas.
Zero Trust Network Access (ZTNA)
- Remplacement du VPN traditionnel par Cloudflare Access pour une authentification basée sur l'identité.
- Contrôle d'accès basé sur les rôles (RBAC) : les employés et prestataires accèdent uniquement aux applications dont ils ont besoin.
- MFA et SSO appliqués pour tous les utilisateurs.
Secure Web Gateway (SWG) avec WARP
- Client WARP déployé sur les terminaux managés pour un trafic chiffré et inspecté.
- Politiques de sécurité DNS appliquées quelle que soit la localisation.
- Split tunneling et fallback domaine local configurés pour un flux de trafic optimal.
Contrôle d'accès applicatif granulaire
- Segmentation applicative granulaire remplaçant l'accès réseau large.
- Accès basé sur les politiques : identité de l'utilisateur, rôle, posture du terminal.
- Accès des prestataires restreint aux applications spécifiques, pas au réseau.
Supervision et audit
- Journalisation détaillée des accès pour le suivi et la conformité.
- Visibilité sur les événements de sécurité pour l'équipe opérations d'ADAC.
Architecture
Trois scénarios de connectivité convergent sur un seul plan d'application Cloudflare Zero Trust.
Résultats
Après déploiement sur les deux aéroports, le modèle de sécurité a été unifié sur les trois scénarios de connectivité, et l'accès a été restreint au niveau applicatif pour toutes les populations d'utilisateurs.