国际妇女节（IWD）是3月8日。这一天不仅是全球共同庆祝女性诸多成就的节日，也旨在推动加快实现性别平等。今年的主题是#EmbraceEquity，这也提醒我们，网络安全行业的性别比例仍严重失衡：75%的网络安全从业者为男性。
当前状况正在逐步改善。但预测显示，如果全球继续保持目前的进展速度，消除性别差距可能需要130多年。
为了推动当下实现更多改变，并从独特视角探讨弥合性别差距的重要性，我与Navpreet Gill进行了交流，由此开启一个博客系列，邀请F5网络安全领域中性别身份代表性不足的群体分享观点。她谈到了持续赋能女性参与网络安全领域的重要意义，这不仅限于国际妇女节（IWD），更应落实在每一天。
Navpreet已在F5工作三年多，主要负责Web应用防火墙（WAF）解决方案的产品营销，包括F5 BIG-IP Advanced WAF和威胁情报服务。此前，Navpreet曾助力硅谷安全初创企业开展产品营销和业务拓展。她在安全初创企业的工作经历激发了她对产品和解决方案定位及信息传达的热情，致力于更好地满足客户用例需求并推动业务发展。工作之余，Navpreet喜欢攀岩、滑雪，以及和她的爱犬Henry一起徒步。
Rachael：在进入网络安全领域之前，我的职业道路并非一帆风顺。你是如何进入这个行业的？
Navpreet：从UCLA离开后不久，我收到了医疗服务提供商的来信，得知自己是近期一起数据泄露事件中受影响的数百万人之一。当时我刚从洛杉矶搬到硅谷，正在找工作，于是开始在科技行业拓展人脉。我的导师鼓励我更进一步，寻找网络安全领域的职位。
从根本上说，网络安全就是保护人们免受侵害。在我的职业生涯中，我很享受投身防御工作，保护人们免受伤害、追查恶意行为者，并不断学习。我很高兴看到自己的工作产生实际影响。快节奏的环境让我保持专注，也让我始终享受这份事业。
Rachael：许多人已开始倡导科技行业的多元化与包容性，但网络安全行业在缩小性别差距方面仍面临挑战。我们可以通过哪些途径弥合这一差距？
Navpreet： 增加职场女性人数有利于企业发展，能够带来更多元的视角、领导力和经验。这一点适用于企业中的任何岗位，但在网络安全领域尤为重要。我们需要不同背景的人才，因为我们所应对的网络对手和黑客同样拥有不同的背景和经历。参与保护数字世界的人员和专业知识越多元，我们成功的机会就越大。
Rachael：非常赞同。几年前，马里兰大学报告称，网络攻击每39秒就会发生一次。随着勒索软件即服务等攻击手段不断演变，发起网络攻击也变得越来越容易。如何引导更多女性投身网络安全领域？需要做出哪些改变？
Navpreet：我认为这是一个观念问题。在家庭和学校中，年轻女孩往往被引导去扮演更传统的角色。缺少榜样也会产生显著影响，此外还有男性占主导地位和同伴压力等因素，让人觉得STEM是“书呆子”才会选择的领域。
我们可以通过推动文化转变来扭转这种观念。教师和升学就业指导老师应鼓励年轻女性投身STEM领域，并在教育体系中树立榜样。在职场中，雇主应通过系统性举措招聘并留住IT领域的女性，为她们提供同工同酬、平等的晋升机会以及性别包容的工作环境。
Rachael：看到有人采取行动挑战现状，我感到很振奋。如今网络安全领域的种种发展也让我充满干劲。目前有哪些趋势让您格外关注？
Navpreet：我最期待的是人工智能（AI）在网络安全领域的应用。
网络攻击不会消失，其发生频率和复杂程度还将持续上升。网络安全专家要应对所有这些攻击已变得相当棘手。黑客和网络犯罪分子一直在使用AI。很多情况下，AI算法被用于发现存有宝贵信息的薄弱安全系统。AI还可以生成多封个性化网络钓鱼邮件，诱骗收件人交出敏感信息。AI驱动的攻击也可以更具针对性、更有效；随着理解上下文的能力不断增强，这类攻击将更难被检测到。
Rachael：比如利用ChatGPT发起恶意攻击。但善意使用AI仍有希望，对吧？
Navpreet：完全正确。机器学习算法可以更有效地实时分析网络中传输的海量数据，并学会识别表明存在威胁的模式。对新技术的投资将在逐渐形成的新现实和不断演变的生态系统中发挥关键作用。将技术融入生态系统至关重要，这样才能以AI对抗AI的恶意使用。
例如，检测混合攻击需要使用行为分析。许多第7层分布式拒绝服务（DDoS）攻击具有隐蔽性，可能无法被检测到。BIG-IP Advanced WAF利用机器学习和数据监控来分析流量行为，从而自动防御DoS和DDoS攻击。
网络安全领域的AI正呈指数级发展，我很期待它未来的发展方向。
本博客系列中的其他问答
迈向性别平等：与Erin Verna探讨多元化对网络安全的重要性
迈向性别平等：与Rachel Zabawa对话，探讨如何扩大网络安全领域的包容性
性别平等之旅：与Jenn Gile对话，探讨如何在网络安全领域成功发展职业生涯
深入了解网络安全意识月：与Angel Grant坦诚探讨性别平等
迈向性别平等：对话Kara Sprague，探讨女性如何在网络安全领域突破障碍
了解详情
Chad：为什么安全架构师和工程师很难选择合适的Web应用和API防护方案？
Gary：选择合适的Web应用和API防护（WAAP）对安全与风险团队而言确实并非易事。众多可选方案让决策过程更加复杂，例如CDN供应商、云原生工具、专业安全产品和WAAP平台等。
每种解决方案的功能、能力和架构各不相同，因此很难进行有效的评估和比较。这往往需要投入大量时间开展研究，还可能有所疏漏，甚至可能因选择不合适的解决方案而使组织面临安全威胁。此外，理论与实践可能存在差距：实际表现如何？
Chad： 能否介绍一下新发布的“API与Web应用安全解决方案对比”，并说明其用途？
Gary：当然。这份新指南旨在帮助架构师和安全运营专业人员应对我之前提到的挑战。指南以清晰、有序的方式对主流解决方案进行并列评估，重点介绍架构灵活性、策略可移植性、威胁适应能力、生命周期集成和安全有效性等关键要素。指南通过提供全面概览来简化决策流程，帮助专业人员确定实施应用安全的适当方法。
Chad： 对比指南如何简化决策流程？
Gary：该比较指南通过节省时间和降低复杂性，显著简化了决策流程。它以简洁、有条理的方式概述各类解决方案，并清晰比较每种方案的优势和不足。这有助于专业人员快速确定哪些解决方案符合其具体需求，减少疏漏，并为其独特的数字环境选择有效的保护方案。
Chad： 这份比较指南重点关注哪些关键标准？能否举例具体说明这些标准为何重要？
Gary：当然可以。该指南重点关注几项关键标准。例如，在架构灵活性方面，F5 WAAP解决方案表现突出，因为无论应用和API位于何处，都能为其提供安全保护，无需重新设计、重构或迁移。对于采用分布式环境的组织而言，这种灵活性至关重要。此类环境包括本地数据中心和多个云平台。随着基于API的架构和AI生态系统兴起，这类环境正变得越来越普遍。借助这种灵活性，安全策略可以一致地应用于所有环境，并通过人机协同的AI防御机制，在各处快速开展修复。相比之下，CDN产品通常要求通过其网络提供内容，可能不适合现代多云架构。这些平台相互独立，无法提供可在数据中心、公有云环境和边缘位置一致应用的统一安全堆栈。这一局限可能会阻碍敏捷部署和扩展，增加配置错误的可能性，并使宝贵的安全团队资源疲于应对策略调优、事件响应和修复工作，因此不太适合数字化环境复杂的组织。
Chad：该指南还重点关注哪些关键标准？
Gary：是的，还有策略可移植性。F5 WAAP解决方案能够在云端和本地环境中一致地部署安全策略，因此可以在不牺牲安全性的前提下实施数字化战略。同一个强大的单一安全堆栈可随应用和API部署到当前及未来所需的任何位置。这种一致性可降低不同环境中策略不一致和配置错误的风险，并简化安全管理。相比之下，云原生解决方案通常局限于各自的环境，管理多个安全堆栈会增加运营复杂性。由于缺乏单一堆栈的可移植性，安全策略可能变得分散，并增加管理开销。
对威胁的适应能力是另一项关键标准。随着攻击者不断调整策略，F5 WAAP解决方案利用AI驱动的欺骗技术和机器学习来保持防护效力。这种适应能力对于领先应对复杂威胁，并确保安全措施能够实时演进至关重要。然而，单一功能型安全解决方案往往侧重于特定风险和威胁，通常是最常见的风险和威胁，无法适应不断演变的攻击者策略，而如今攻击者的战术、技术和程序又因AI而加速升级。这种静态方法可能使组织容易受到新型和新兴威胁的攻击。
Chad：为什么此类比较指南如此重要？
Gary：总而言之，《API与Web应用安全解决方案对比指南》是安全与风险团队的重要资源。该指南重点关注架构灵活性、策略可移植性和威胁适应能力等关键标准，简化决策流程，帮助组织根据自身环境选择更有效的Web应用和API安全解决方案。充分利用全面的指南和资源，对于做出明智的安全决策至关重要，并有助于组织在复杂且不断演变的威胁环境中增强安全态势。
查看详细对比图表：API与Web应用安全解决方案对比指南
关于作者
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。