Le défi
PCFC supervise les opérations portuaires, douanières et de zones franches aux EAU, un maillon critique de l'infrastructure commerciale et logistique du pays. L'organisation devait moderniser son architecture applicative avec une sécurité enterprise, de la performance et une visibilité opérationnelle sur l'ensemble de ses propriétés numériques.
La posture initiale présentait plusieurs écarts :
- Sécurité applicative hétérogène sur les propriétés numériques publiques de PCFC, sans politique WAF ni bot unifiée.
- Pas de protection DDoS structurée ni de rate limiting sur les endpoints critiques, exposant le patrimoine aux attaques volumétriques et au credential stuffing.
- Origines avec IP publiques accessibles directement, sans tunnel ni chemin zero-trust entre Cloudflare et les serveurs applicatifs.
- Pas de journalisation SIEM-ready sur les événements de sécurité applicative, limitant la réponse aux incidents et le reporting de conformité.
Ce que Brixio a déployé
Planification et préparation
- Cadrage final et validation de l'inventaire applicatif.
- Préparation du compte Cloudflare et planification structurée de l'onboarding.
Implémentation de la sécurité applicative
- WAF avec rulesets managés et personnalisés, validés par monitoring du trafic en production.
- Bot Management avec politiques de base et gestion des exceptions pour l'automatisation légitime.
- Protection DDoS permanente avec alerting et notifications.
- Rate limiting avec déploiement progressif (log d'abord, puis enforcement) sur des règles globales et par endpoint.
Performance et résilience
- CDN avec stratégie de cache incluant des règles de bypass pour les flux sensibles.
- Argo Smart Routing pour l'optimisation des routes (le cas échéant).
Connectivité sécurisée
- Cloudflare Tunnel pour la connectivité sécurisée aux origines sans exposition d'IP publiques.
Journalisation et gouvernance
- Logpush configuré pour la télémétrie WAF, Bot, DDoS et Access.
- Livraison documentée avec board projet structuré, dépôt documentaire et registre des risques.
Architecture
Utilisateurs publics, partenaires et trafic bots convergent sur un seul périmètre Cloudflare avant d'atteindre les origines PCFC, avec tous les événements exportés vers le SIEM.
Résultats
Après déploiement progressif, les propriétés numériques de PCFC fonctionnent sous une stack de sécurité applicative unifiée, avec un rate limiting structuré, une connectivité d'origine sécurisée et une télémétrie prête pour le SIEM.