Mendix is een low-code platform van Siemens waarmee organisaties snel zakelijke applicaties bouwen. Door de visuele ontwikkelomgeving hoeft u geen ervaren programmeur te zijn om een bedrijfskritische applicatie te maken. Dat scheelt tijd en ontwikkelkosten.
Diezelfde toegankelijkheid heeft een keerzijde. Wie een Mendix applicatie bouwt zonder veel security-kennis, maakt al snel fouten in de entity access rules, de XPath constraints of de permissions op een microflow. Het gevolg is dat gevoelige gegevens zichtbaar worden voor mensen die er niets te zoeken hebben.
Een Mendix pentest (kort voor Mendix penetratietest, ook wel Mendix application security test genoemd) richt zich op de kwetsbaarheden die juist bij Mendix horen. Onze pentesters onderzoeken de entity-security, de microflows, de API-communicatie en de custom widgets, en sporen zo de zwakke plekken op voordat een kwaadwillende hacker ze vindt.
Mendix applicaties zijn vaak gekoppeld aan ERP-systemen, databases en externe API’s, en hebben daardoor directe toegang tot belangrijke bedrijfsdata. Eén fout in de entity-security of een kwetsbare XPath constraint kan ervoor zorgen dat gevoelige gegevens op straat liggen of dat een aanvaller bij uw kernsystemen kan.
Een Mendix pentest is verstandig in onder meer deze situaties:
Laat een Mendix applicatie regelmatig testen. Citizen developers passen entity security rules vaak aan zonder de gevolgen voor de beveiliging volledig te overzien.
Een Mendix pentest kan op drie manieren. Het verschil zit in hoeveel voorkennis en toegang de pentester vooraf krijgt.
Bij een blackbox Mendix pentest kruipt onze pentester in de huid van een aanvaller zonder voorkennis van de applicatie. Zo komt de test het dichtst bij een echte aanval van buitenaf.
Een greybox Mendix pentest zit tussen blackbox en whitebox in. De pentester krijgt beperkte informatie en toegang, wat de test realistisch én efficiënt houdt.
Bij een whitebox Mendix pentest krijgt onze pentester alle beschikbare informatie, inclusief de Mendix modeler en de broncode. Daarmee onderzoeken we de applicatie het grondigst.
Meer over onze aanpak en expertise leest u op de pagina over ons.
Wilt u weten hoe kwetsbaar uw Mendix applicatie is? Neem dan vrijblijvend contact met ons op. We vertellen u graag meer over ons bedrijf en onze aanpak, en horen graag wat de scope van uw applicatie is.
Elke Mendix applicatie is anders, dus stellen wij voor elke opdracht een voorstel op maat op. Een pentest kan binnen 3 weken van start. De uitvoering duurt, afhankelijk van het type test en de complexiteit, tussen 3 dagen en 2 weken.
Wij toetsen de access rules, microflows en API-koppelingen van uw Mendix-applicatie tegen de OWASP-richtlijnen voor low-code. Vraag een voorstel op maat aan.
Neem contact opOf mail ons direct via [email protected]
Een Mendix pentest richt zich op applicaties die met het Mendix low-code platform zijn gebouwd. Wij kijken dan naar:
Een webapplicatie pentest test de hele technische stack. Een Mendix pentest kijkt juist naar wat eigen is aan het platform, zoals entity-security, microflow permissions en de Mendix API.
Er bestaat geen aparte certificering voor het pentesten van Mendix. Wel zijn alle erkende certificeringen voor webapplicatie-security van toepassing op een Mendix pentest:
Deze certificeringen staan voor een hoog niveau op het gebied van webapplicatie-security, en dat geldt ook voor Mendix applicaties.
Bij een Mendix pentest werken wij volgens internationaal erkende methodieken:
Daarnaast houden wij rekening met de OWASP Top 10, de NCSC-richtlijnen, CWE (Common Weakness Enumeration) en CVSS (Common Vulnerability Scoring System) voor de scoring van de bevindingen.
Onze pentesters gebruiken bij een Mendix pentest onder meer deze tools:
Wij combineren deze tools altijd met handmatig onderzoek door een ervaren ethical hacker.
Hoe lang een Mendix pentest duurt, hangt af van de complexiteit en de testvorm die u kiest:
Heeft u een beperkt budget? Dan kunt u ook kiezen voor een timeboxed pentest. U geeft aan hoeveel budget er is en wij bepalen daarmee hoeveel tijd we aan de test besteden. We leggen de focus op de belangrijkste en best vindbare bevindingen. Dat is een goede eerste stap voor organisaties die nog niet eerder een pentest hebben laten doen.
De kwetsbaarheden die het vaakst in Mendix applicaties voorkomen, staan in de The S-Unit Top 10 Mendix Vulnerabilities:
Deze kwetsbaarheden vormen de basis van elke Mendix pentest. Wij lopen ze stap voor stap na volgens de Mendix security best practices.