Soutenance de thèse de Luis SOEIRO
La chaire Cyber CNI félicite Luis SOEIRO, doctorant de la chaire à Télécom Paris, pour la soutenance de sa thèse le 1er décembre 2025. Ses recherches portent sur la sécurité de la chaîne logistique logicielle (SSC), un enjeu majeur pour les organisations.
Sa thèse s’intitule :
« Évaluation de la sécurité des chaînes d’approvisionnement logicielles : Software Bill of Materials (SBOM), propagation des menaces et graphes d’attaque logiques ».
Elle présente plusieurs contributions utiles pour comprendre et renforcer la sécurité des dépendances logicielles.
Un jeu de données SBOM inédit
Tout d’abord, Luis SOEIRO a construit le plus grand jeu de données SBOM (Software Bill of Materials) disponible. Il regroupe plus de 78 000 fichiers SBOM uniques, issus de 94 millions de dépôts publics. Grâce à ce dataset, il devient possible d’étudier l’usage réel des SBOM dans le monde open source.
Ensuite, il a évalué huit outils dédiés à la qualité des SBOM. Cette étude compare leurs résultats à des métriques indépendantes. Ainsi, elle montre que les outils divergent fortement. Elle révèle aussi que beaucoup de SBOM restent difficiles à exploiter en pratique.
Une méthode pour analyser la threat propagation
La thèse propose également une nouvelle méthode pour étudier la propagation des menaces (threat propagation) dans la Software Supply Chain. Grâce à cette approche, il devient plus simple d’identifier les éléments qui propagent une attaque ou en subissent les effets.
De plus, cette méthode met en évidence les limites des outils classiques de Software Composition Analysis (SCA). Elle ouvre la voie à de nouvelles stratégies pour anticiper et réduire les risques.
Une extension de MulVal pour les attack graphs supply chain
MulVal est un outil open source utilisé pour générer des logical attack graphs. Toutefois, il ne permettait pas de représenter correctement les attaques ciblant les chaînes logicielles, comme l’attaque XZ ou la double attaque 3CX.
Pour répondre à ce besoin, la thèse propose une extension complète de MulVal. Elle ajoute de nouveaux prédicats dédiés aux interactions de la Software Supply Chain. En outre, elle intègre ces éléments au moteur logique existant. Elle propose aussi 20 scénarios d’attaque et un cadre de tests complet.
Un jury international
Le jury était composé de :
- Nicolas Belloir (Rapporteur)
- Etienne Borde (Rapporteur)
- Christelle Urtado (Examinatrice)
- Joaquin Garcia-Alfaro (Examinateur)
- Stefano Zacchiroli (Directeur)
- Thomas Robert (Co-directeur)
- Ivan Gazeau (Invité).
La Chaire Cyber CNI félicite chaleureusement Luis SOEIRO. Ses travaux apportent de nouveaux outils de recherche, mais aussi des ressources pratiques pour mieux protéger les chaînes logicielles et améliorer la résilience des systèmes numériques.
- Thesis defense by Luis SOEIRO - December 3, 2025
- Soutenance de thèse de Luis SOEIRO - December 3, 2025
- Rencontre avec une délégation canadienne lors de l’European Cyber Week - December 2, 2025
