EnCase認(rèn)證調(diào)查員(EnCE)

一、EnCE認(rèn)證簡(jiǎn)介

EnCase Certified Examiner，簡(jiǎn)稱(chēng)EnCE，一般翻譯為“EnCase認(rèn)證調(diào)查員”，由美國(guó)知名電子數(shù)據(jù)取證廠商Guidance?Software?(NASDAQ: GUID) 組織開(kāi)展，是國(guó)際上最具影響力的計(jì)算機(jī)取證認(rèn)證，廣泛被全球執(zhí)法部門(mén)、企業(yè)(如四大會(huì)計(jì)師事務(wù)所、咨詢(xún)及調(diào)查機(jī)構(gòu))認(rèn)可。根據(jù)國(guó)外機(jī)構(gòu)的統(tǒng)計(jì)數(shù)據(jù)，在電子數(shù)據(jù)取證領(lǐng)域，EnCE是領(lǐng)英(Linkedin)社交網(wǎng)最受推崇、認(rèn)證人數(shù)排行第一的商業(yè)計(jì)算機(jī)取證認(rèn)證。

獲得EnCE認(rèn)證的調(diào)查員已具備計(jì)算機(jī)調(diào)查取證技能且能熟練使用EnCase取證軟件開(kāi)展綜合的計(jì)算機(jī)調(diào)查取證工作。

ence

二、知識(shí)體系

EnCE知識(shí)體系主要由四個(gè)核心知識(shí)領(lǐng)域組成，分別為計(jì)算機(jī)基礎(chǔ)、使用EnCase進(jìn)行計(jì)算機(jī)證據(jù)檢驗(yàn)分析、最佳取證實(shí)踐和相關(guān)法律。

第一部分：計(jì)算機(jī)基礎(chǔ)涵蓋了計(jì)算機(jī)工作基本原理(CMOS、開(kāi)機(jī)啟動(dòng)順序、數(shù)制轉(zhuǎn)化和文件系統(tǒng)基礎(chǔ)(FAT/NTFS/exFAT)等內(nèi)容。

第二部分：使用EnCase進(jìn)行計(jì)算機(jī)證據(jù)檢驗(yàn)分析是EnCE考試要點(diǎn)，內(nèi)容涵蓋EnCase證據(jù)文件、EnCase基本概念、EnCase運(yùn)行環(huán)境、EnCase證據(jù)處理器、索引查詢(xún)、關(guān)鍵詞搜索（編碼、GREP語(yǔ)法）、文件簽名及哈希分析等。

第三部分：最佳取證實(shí)踐涵蓋第一現(xiàn)場(chǎng)響應(yīng)(First Response)、電子證據(jù)獲取、操作系統(tǒng)痕跡、實(shí)驗(yàn)室流程等內(nèi)容。

第四部分：美國(guó)相關(guān)法律（國(guó)際考生考題不涉及法律部分）

注:?詳細(xì)知識(shí)體系可參考EnCE Study Guide

三、認(rèn)證要求和基本流程

步驟1：培訓(xùn)及經(jīng)驗(yàn)要求 (滿(mǎn)足其中一項(xiàng))

考生必須已參加64學(xué)時(shí)的EnCase計(jì)算機(jī)取證培訓(xùn)（要求參加EnCase?Computer Forensics Phase I及EnCase?Computer Forensics Phase II課程）
考生必須具備1年以上相關(guān)取證調(diào)查工作經(jīng)驗(yàn)(通常需雇主提供相關(guān)的證明)

步驟2：填寫(xiě)EnCE考試申請(qǐng)

下載EnCE考試申請(qǐng)表，并發(fā)送給美國(guó)Guidance?Software公司認(rèn)證協(xié)調(diào)員，具體聯(lián)系信息如下:

Guidance Software, Inc.

Attn: EnCE Certification Coordinator

1055 East Colorado Boulevard

Suite 400

Pasadena, CA 91106-2375

certification@guid.com

步驟3：考試注冊(cè)

一旦考試申請(qǐng)收到并獲得批準(zhǔn)后，您將收到EnCase認(rèn)證協(xié)調(diào)員發(fā)來(lái)的認(rèn)證考試付款說(shuō)明，付款可通過(guò)信用卡、支票或訂單等方式。
如果你參加過(guò)EnCE認(rèn)證輔導(dǎo)培訓(xùn)課程(EnCE Prep)，一旦你申請(qǐng)獲得批準(zhǔn)，就會(huì)立即收到一封確認(rèn)電子郵件。
如考生計(jì)劃參加美國(guó)Guidance Software的EnFuse會(huì)議，可提前一個(gè)月報(bào)名，報(bào)名成功后，可在現(xiàn)場(chǎng)免費(fèi)參加Phase I考試。

步驟4：參加Phase I考試 (筆試)

采用ExamBuilder進(jìn)行在線考試，要求在2個(gè)小時(shí)內(nèi)完成考試?？荚囶}目為180道題（國(guó)際考生考題為174道，考題不涉及法律）。
最低通過(guò)考試分?jǐn)?shù)為80%（正確率）
未通過(guò)筆試必須等待2個(gè)月才能重新考試，且必須重新支付考試費(fèi)用。在重考前，如工作單位或個(gè)人信息變更需要重新填寫(xiě)申請(qǐng)表。

步驟5：參加Phase?II考試（實(shí)踐考試）

在通過(guò)Phase I考試后，考生會(huì)收到一個(gè)參加Phase II考試所需的電子授權(quán)文件。
要求在60天內(nèi)完成Phase II考試。如遇特殊情況，EnCE協(xié)調(diào)員可根據(jù)實(shí)際情況延期最多30天。
最低通過(guò)考試分?jǐn)?shù)為85%?(正確率)，共有18道考題?？忌仨毐M最大能力詳細(xì)回答15道題，才能提交答卷進(jìn)行評(píng)估。如未能滿(mǎn)足該條件，將會(huì)被認(rèn)定考試未完成，該階段的考試未能通過(guò)。考生須等待60天，然后才能重新參加Phase I和Phase II考試。
未通過(guò)考試的考生需等待2個(gè)月（從考試到期日算起）才能重新參加考試?？忌仨毰c認(rèn)證協(xié)調(diào)員聯(lián)絡(luò)并確認(rèn)重考日期。如未與認(rèn)證協(xié)調(diào)員確認(rèn)重考日期，考生需要重新參加第一階段考試(Phase I)?？忌缥茨芡ㄟ^(guò)Phase II考試重考,?只能全部重考，即參加第一階段考試(Phase I)和第二階段考試(Phase II)。在重考前，若考生所在的單位或個(gè)人信息發(fā)生變更，則要求重新提交申請(qǐng)。
考生未按時(shí)間要求完成或提交第二階段（Phase?II）考試資料，則需要等待兩個(gè)月（從考試到期日算起）才能重新考試。

步驟6：EnCE認(rèn)證及認(rèn)證持續(xù)的流程

通過(guò)第二階段考試(Phase II)的考生將會(huì)收到通知，并獲得一份EnCE證書(shū)電子版及錢(qián)包卡片。
EnCE證書(shū)有效期為3年（從獲得之日起計(jì)算）。認(rèn)證持續(xù)保持流程及CPE學(xué)分獲得的更多詳細(xì)信息可訪問(wèn)Guidance Software官方網(wǎng)站了解。
EnCE認(rèn)證調(diào)查員必須了解自己持有證書(shū)的過(guò)期日期。一旦認(rèn)證證書(shū)過(guò)期，要求必須重新考試，從Phase I考試開(kāi)始。如果無(wú)法確認(rèn)證書(shū)過(guò)期日期，可發(fā)送郵件至certification@guid.com進(jìn)行咨詢(xún)。
當(dāng)考生在參加EnCE考試(Phase I和Phase II)時(shí)，聯(lián)系任何其他EnCE調(diào)查員或講師都將被認(rèn)定為作弊，考試立即取消且以后不能再次參加考試。

四、主要知識(shí)資源

Guidance Software為考生提供了EnCE學(xué)習(xí)指南的參考資源，考生可根據(jù)考點(diǎn)要求進(jìn)行自學(xué)或參加Guidance Software在中國(guó)大陸的授權(quán)培訓(xùn)合作機(jī)構(gòu)(ATP)提供的培訓(xùn)課程獲得考試要求的相關(guān)知識(shí)。

EnCE Study Guide學(xué)習(xí)指南

https://www.guidancesoftware.com/docs/default-source/training/ence-study-guide-v7-11-2015.pdf?sfvrsn=4

EnCase官方培訓(xùn)課程

EnCase?Computer Forensic I (CF1) 培訓(xùn)教材
EnCase?Computer Forensic II (CF2) 培訓(xùn)教材
Foundations in Digital Forensics with EnCase Forensic (DF120)?培訓(xùn)教材
Building an investigation with EnCase Forensic (DF210)?培訓(xùn)教材

???? 注:??Guidance?Software中國(guó)大陸設(shè)有官方培訓(xùn)合作機(jī)構(gòu)（ATP），了解美國(guó)EnCase計(jì)算機(jī)取證培訓(xùn)課程可咨詢(xún)encase@m.chezkiva.com獲得更多詳情。

參考資料或書(shū)籍

EnCase? Legal Journal by Guidance Software
EnCase? User’s Manual by Guidance Software
EnCase Computer Forensics — The Official EnCE: EnCase Certified Examiner Study Guide (3rd Edition)
Handbook of Computer Crime by Eoghan Casey
How Computers Work by Ron White

五、考試周期和費(fèi)用及認(rèn)證有效期

參加第一階段考試(Phase I）的費(fèi)用為200美元，國(guó)際考生（美國(guó)以外地區(qū)）的費(fèi)用為300美元。該階段考試是基于ExamBuilder系統(tǒng)進(jìn)行在線考試。

與許多國(guó)際認(rèn)證考試一樣，EnCE認(rèn)證有設(shè)定其過(guò)期日期，證書(shū)的有效期為3年。到期前需獲得要求的CPE學(xué)分（32學(xué)分）即可保持認(rèn)證持續(xù)有效，否則需重新參加考試才能讓證書(shū)持續(xù)有效。

ence-henry