人员缺失是网络安全行业的永恒主题 [出自:jiwo.org]

数据显示，到2020年，网络安全行业将出现180万个职位空缺，这一数字比2015年增长了20%，此外，技能短缺的迹象也在持续困扰着该行业。企业内部缺乏足够的安全专业人员，即便是现有的人员中也大多存在必备技能短缺的现象。

根据Indeed的一份最新报告指出，在这个以男性为主导的科技领域中，存在着根深蒂固的“性别歧视”文化，同时，只有不到一半的女性员工感觉到了男女平等。此外，来自ISC的报告也指出，网络安全领域缺乏多样性，全世界网络安全专家中只有11%是女性。在欧洲，女性网络安全劳动力的数量甚至下降到只有7%，而在英国仅有8%。

对于造成如此巨大的性别差距的原因至今仍无明确的定论，但是可以肯定，这一结果是由多种因素综合作用导致的，例如，对工资的考虑：在网络安全领域，女性的平均工资水平要低于男性，而被确认为”少数派人士/少数民族”的女性工资还要低得多。

为了表彰和宣扬女性在网络安全领域做出的贡献，我们专门策划了本期文章，旨在向大家介绍那些在行业内尚未知名，但却正在为网络安全事业做出关键贡献的女性。以下10位女性是根据广大网友建议和行业研究结果所产生的，名单没有特定的顺序：

十大杰出女性网络安全专家

1. Kate Highnam——Capital One机器学习工程师

 

2018年，Kate Highnam在SchmooCon会议上发表了关于“实时恶意软件检测的深度学习”的演讲，内容主要专注于域名生成算法（domain generation algorithms，简称DGAs）的命令和控制活动。她和她的同事Domenic Puzio使用深度学习（deep learning）的方法来了解恶意软件可能用于命令和控制的域名模式，从而允许她们检测恶意网站和机器。根据另一位与会者所言，该演讲属于“博士级别”（Ph.D level）。

在Capital One公司（美国第一资本投资国际集团），Highnam主要负责使用机器学习的方法来进行高级恶意软件检测。其同事Puzio表示，

让Kate成为独一无二的存在的部分原因在于，她拥有高度专业的网络安全和机器学习知识，所以她能够使用这些先进的学习算法来解决真正复杂的安全挑战。

此外，她还具备工程师方面的工作经验，所以有能力使用机器学习模式并将其进行大规模生产。作为弗吉尼亚大学的一名学生，Highnam的工业研究论文已经成功发表，其中包括一个针对无人机的攻击场景和修复算法，该无人机正处于任务阶段且只与地面控制有限接触。

她目前的研究项目调查了大规模网络流量中的信标模式。她和Puzio的域名生成算法（DGA）研究报告正在接受审核，并将于今年的Deep Learning World大会上就该研究发表主题演讲，主题名为“使用CNN和LSTM进行实时恶意软件检测”，敬请期待。

2. Veena Susan Peediyakkal——美国法院行政办公室高级网络威胁情报分析师

 

Veena Susan Peediyakkal被聘为美国法院行政办公室首席司法情报分析员，负责为美国法院网络创建威胁情报项目。该项目涉及扫描并保护整个（约500个）法院网络系统中的超过250,000个端点和用户。

Peediyakkal的网络安全职业生涯始于美国国防部，当时她曾担任美国空军现役技术中士，共计12年的现役以及6年的预备役。其后的网络安全角色包括担任巴格达（伊拉克首都）SAIC公司的生物识别技术现场服务工程师；Mandiant计算机事件响应团队的运营支持专家；Raytheon公司网络安全操作（SOC）团队威胁情报主管，以及Raytheon公司美国邮政服务威胁情报组高级威胁情报分析师等。

工作之余，Peediyakkal会志愿服务于Cyber jutsu妇女协会，这是一个致力于赋予女性网络安全权力的非营利组织。此外，她也是一名瑜伽教练，目前，她已经完成了实践性瑜伽外展培训（即在服务机构以外的场所提供培训服务），以帮助创伤幸存者尽快恢复。

3. Alex Kassirer——Flashpoint公司反恐办公室主任

 

Alex Kassirer在Flashpoint公司主要负责领导反恐团队。她的整个职业生涯都贯穿着“打击恐怖主义”的永恒主题，帮助执法和情报机构进行反恐调查和起诉，并向私营部门组织咨询安全问题等。

她最近的一个项目是谈论反恐与商业安全之间的关系。网络圣战主义者的技能往往是有限的，但他们的攻击却是广泛、知名且在线协调的。Kassirer的研究重点在于了解“为什么物理和网络安全之间的协同作用对缓解圣战主义者造成的混合风险至关重要”，特别是在品牌声誉、执行保护、内部威胁以及资助恐怖主义等方面。

Kassirer还曾在国际刑警组织华盛顿特区司法部的反恐部门担任重要职位，目前，她还担任NBC新闻的恐怖主义分析师。说到专业造诣，Kassirer拥有乔治华盛顿大学国际事务学士学位和纽约大学全球事务与跨国安全硕士学位。

4. Marina Krotofil——FireEye（火眼）首席分析师

 

Marina Krotofil是ICS（工业控制系统）/ SCADA（监控和数据采集）领域少有的女性安全研究人员之一，目前正在研究工业领域最引人注目和最复杂的网络攻击案例之一TRITON/TRISIS，这是公众所了解到的首个针对工业安全控制器的恶意软件，其目标是造成物理损坏后果，导致正常作业流程关闭。

她在过去十年中的研究成果还包括识别ICS中的攻击媒介，包括攻击者是如何对工程系统造成损害以及研究ICS攻击方法等。此外，Krotofil还参与了针对乌克兰电网实施攻击的“CrashOverride”恶意软件的调查活动。据悉，CrashOverride，可以映射电站的控制网络，并且不需要多人操作，就可以直接发出恶意命令关闭设备。

在2017年的美国黑帽大会上，Krotofil展示了一个非常令人难忘的实验，她称之为“邪恶泡泡（Evil Bubbles）”，以展示黑客如何对工业设备进行网络物理（cyber-physical）攻击。在她的演示中，一名“黑客”在他的笔记本电脑中输入一个命令，致使水泵中产生大量气泡——这些气泡就是她的“攻击有效载荷”——最终这些气泡将通过振动并破坏其部件和操作的方式达到磨损工业泵的目的。

据悉，Krotofil此前还曾担任过ICS/SCADA供应商霍尼韦尔的首席网络安全研究员，并担任European Network公司荷兰网络安全小组的高级安全顾问。此外，她还发布过十多篇有关ICS安全的学术论文和白皮书，并拥有技术管理MBA学位，电信硕士学位以及信息与通信系统科学硕士学位。

5. Cat Murdock——Social-Engineer公司（一家专门提供社会工程培训和服务的公司）社会工程师和渗透测试员

在非营利机构（Teach for America和The College Initiative）工作几年后，Murdock成为了一家电子商务咨询公司的IT顾问，在此期间，她发现自己对信息安全着了迷。之后，她通过参加DerbyCon社会工程夺旗赛（CTF）并获得最高分后顺利进入信息安全领域。

几个月后，她在Social-Engineer公司找到了一份社会工程师的职位，在其上岗第一个月内，就赢得了一场内部竞赛，成为模拟钓鱼活动中首位获得最高分的人。在接下来的几个月内，她又凭借出色的工作表现正式加入了公司渗透测试团队。她目前的研究重点是分析Social-Engineer公司收集的有效数据的海量存储库。通过分析这些数据来更好地理解为什么社会工程学攻击媒介具有如此强大的威力，并将继续发挥作用。

在其担任社会工程师的工作之余，Murdock还正在完成其“信息保障”（Information Assurance，简称IA）硕士学位。此外，她还是Social-Engineer播客小组成员，同时也是非营利组织Innocent Lives Foundation的志愿者。

6. Shruti Gupta——Airbnb（爱彼迎）安全工程师

 

Shruti Gupta是Airbnb公司首位安全工程师，并且已经在那里工作了近三年。在其任职期间，她从头开始构建公司的安全态势，同时担任多个项目的产品经理和法律及财务方面的成本控制员。为了建立Airbnb的企业安全战略，Gupta在包括基础设施安全、应用程序安全、事件响应、隐私、风险、安全教育和意识以及招聘和全栈软件工程等各个方面开展了全面工作。

Gupta的网络安全职业生涯始于Zynga公司安全部门的一名软件工程师实习生，之后，她加入OpenDNS公司担任全职应用安全工程师，然后逐步升级成为该公司的创始安全工程师。在OpenDNS公司任职期间，她主要负责保护该公司的应用程序、基础设施和数据安全，具体而言，每天需要保护800亿次查询免受网络攻击。

专业程度上，Gupta拥有印度Uttar Pradesh技术大学计算机科学技术学士学位和佐治亚理工学院计算机科学硕士学位。此外，她还是开放Web应用程序安全项目（OWASP）的志愿者。

7. Toni Gidwani——ThreatConnect公司研究运营（Research Operations）主管

 

Toni Gidwani领导ThreatConnect的威胁情报研究团队负责追踪当前和新兴的网络威胁。在过去两年里，她已经率先将ThreatConnect公司的研究引入高调的攻击，包括调查民主党全国委员会（DNC）黑客攻击和俄罗斯对2016年美国总统选举的网络干扰等事件。

作为调查的一部分，威胁情报团队编写了一系列报告，仔细研究了不同参与者在违规行为中的角色，包括Guccifer 2.0和Fancy Bear等网络间谍组织。经ThreatConnect分析，确认黑客攻击美国两个州立选举委员会使用的俄罗斯网络架构，与针对乌克兰和土耳其政府的钓鱼攻击活动相关，且针对美国大选的攻击活动可能是COZY BEAR和FANCY BEAR组织进行的。

在加入ThreatConnect团队之前，Gidwani曾在美国国防部长办公室任职过很长一段时间，主要负责领导美国国防部的分析团队。她目前是其母校乔治城大学大学研究中心的兼职助理教授，在乔治城大学，她获得了外交服务学士学位和安全研究硕士学位。

8. Keirsten Brager——Entergy公司安全技术主管，知名博主

 

Keirsten Brager是Entergy这家主要电力公司的安全技术主管，其主要职责是降低风险和实现自动化。此外，她还担任CompTIA的主题专家，负责为Cyber security Analyst +认证提供技术内容，并在Tripwire公司担任安全工程师。

在Entergy工作之余，Brager喜欢写博客（https://keirstenbrager.tech/the-team/）介绍安全领域的专业发展，并借助其博客平台就其成功、失败、研究成果、项目经验及热门安全事件等分享建议和见解。

除了写博客外，她还是信息社区的积极志愿者，并在HouSecCon上发表过一系列话题，从网络威胁电力公司到安全专家的商业技能等。Brager还是凤凰城大学（ University of Phoenix）网络安全和安全运营协会顾问委员会的成员，在那里她获得了管理学学士学位。

去年，Brager在马里兰大学-大学学院分校（UMUC）完成了网络安全硕士学位。她目前正在撰写一份名为“Secure The InfoSec Bag: Six Figure Career Guide for Women in Security”的女性信息安全职业指南，将于4月出版。

9. Jamesha Fisher——GitHub安全运营工程师

 

Jamesha Fisher负责GitHub的安全运营工作，专注于Kubernetes开源平台的标准化和安全性，以管理集装箱化的应用程序工作负载和服务。

Fisher还一直是抵制网络安全领域性别歧视问题的关键代言人，她认为岗位描述中的证书和经验要求，对于大多数业内新手来说通常无法实现，这也是影响女性和少数派人士进入该领域的障碍之一。

在加入GitHub之前，Fisher还曾在CloudPassage和Google工作过，并拥有DePaul大学的信息保障和安全工程学士学位。Fisher还喜欢出席各种行业会议，并通过演讲分自己的经验和故事，此外，她还喜欢创作音乐和美食。

10. Nicole Oppenheim——FireEye主管

 

Nicole Oppenheim是FireEye的一名主管，截至目前，她已经在FireEye工作了3年多的时间。在此之前，她曾在Mandiant公司工作过两年，并担任首席事件处理员，之后升级为高级网络分析师。

而在加入Mandiant公司之前，Oppenheim还曾担任过美国国防部的信息运营分析师和计算机网络防御分析师。加入Mandiant之后，她还在美国国防部担任了一年多的首席网络分析师。2014年，FireEye收购Mandiant之后，Oppenheim正式加入FireEye并致力于“火眼即服务”（FireEye as a Service，FaaS）工作。作为FaaS高级实践经理，Oppenheim主要负责审查分析策略并找出检测高级攻击者的方法。

据悉，Oppenheim早在高中时期就已经开始了自己的网络安全职业生涯，当时，她参加了国家安全局的“工读计划”（Work-Study program）——一边在约翰霍普金斯大学读取信息系统安全和数字取证学位，一边在美国国家安全局的安全行动中心追踪高级持续性威胁（APT）。