EnCase認(rèn)證調(diào)查員(EnCE)
一、EnCE認(rèn)證簡介
EnCase Certified Examiner,簡稱EnCE,一般翻譯為“EnCase認(rèn)證調(diào)查員”,由美國知名電子數(shù)據(jù)取證廠商Guidance?Software?(NASDAQ: GUID) 組織開展,是國際上最具影響力的計(jì)算機(jī)取證認(rèn)證,廣泛被全球執(zhí)法部門、企業(yè)(如四大會計(jì)師事務(wù)所、咨詢及調(diào)查機(jī)構(gòu))認(rèn)可。根據(jù)國外機(jī)構(gòu)的統(tǒng)計(jì)數(shù)據(jù),在電子數(shù)據(jù)取證領(lǐng)域,EnCE是領(lǐng)英(Linkedin)社交網(wǎng)最受推崇、認(rèn)證人數(shù)排行第一的商業(yè)計(jì)算機(jī)取證認(rèn)證。
獲得EnCE認(rèn)證的調(diào)查員已具備計(jì)算機(jī)調(diào)查取證技能且能熟練使用EnCase取證軟件開展綜合的計(jì)算機(jī)調(diào)查取證工作。
二、知識體系
EnCE知識體系主要由四個核心知識領(lǐng)域組成,分別為計(jì)算機(jī)基礎(chǔ)、使用EnCase進(jìn)行計(jì)算機(jī)證據(jù)檢驗(yàn)分析、最佳取證實(shí)踐和相關(guān)法律。
第一部分:計(jì)算機(jī)基礎(chǔ)涵蓋了計(jì)算機(jī)工作基本原理(CMOS、開機(jī)啟動順序、數(shù)制轉(zhuǎn)化和文件系統(tǒng)基礎(chǔ)(FAT/NTFS/exFAT)等內(nèi)容。
第二部分:使用EnCase進(jìn)行計(jì)算機(jī)證據(jù)檢驗(yàn)分析是EnCE考試要點(diǎn),內(nèi)容涵蓋EnCase證據(jù)文件、EnCase基本概念、EnCase運(yùn)行環(huán)境、EnCase證據(jù)處理器、索引查詢、關(guān)鍵詞搜索(編碼、GREP語法)、文件簽名及哈希分析等。
第三部分:最佳取證實(shí)踐涵蓋第一現(xiàn)場響應(yīng)(First Response)、電子證據(jù)獲取、操作系統(tǒng)痕跡、實(shí)驗(yàn)室流程等內(nèi)容。
第四部分:美國相關(guān)法律(國際考生考題不涉及法律部分)
注:?詳細(xì)知識體系可參考EnCE Study Guide
三、認(rèn)證要求和基本流程
步驟1:培訓(xùn)及經(jīng)驗(yàn)要求 (滿足其中一項(xiàng))
- 考生必須已參加64學(xué)時(shí)的EnCase計(jì)算機(jī)取證培訓(xùn)(要求參加EnCase?Computer Forensics Phase I及EnCase?Computer Forensics Phase II課程)
- 考生必須具備1年以上相關(guān)取證調(diào)查工作經(jīng)驗(yàn)(通常需雇主提供相關(guān)的證明)
步驟2:填寫EnCE考試申請
下載EnCE考試申請表,并發(fā)送給美國Guidance?Software公司認(rèn)證協(xié)調(diào)員,具體聯(lián)系信息如下:
Guidance Software, Inc.
Attn: EnCE Certification Coordinator
1055 East Colorado Boulevard
Suite 400
Pasadena, CA 91106-2375
certification@guid.com
步驟3:考試注冊
- 一旦考試申請收到并獲得批準(zhǔn)后,您將收到EnCase認(rèn)證協(xié)調(diào)員發(fā)來的認(rèn)證考試付款說明,付款可通過信用卡、支票或訂單等方式。
- 如果你參加過EnCE認(rèn)證輔導(dǎo)培訓(xùn)課程(EnCE Prep),一旦你申請獲得批準(zhǔn),就會立即收到一封確認(rèn)電子郵件。
- 如考生計(jì)劃參加美國Guidance Software的EnFuse會議,可提前一個月報(bào)名,報(bào)名成功后,可在現(xiàn)場免費(fèi)參加Phase I考試。
步驟4:參加Phase I考試 (筆試)
- 采用ExamBuilder進(jìn)行在線考試,要求在2個小時(shí)內(nèi)完成考試??荚囶}目為180道題(國際考生考題為174道,考題不涉及法律)。
- 最低通過考試分?jǐn)?shù)為80%(正確率)
- 未通過筆試必須等待2個月才能重新考試,且必須重新支付考試費(fèi)用。在重考前,如工作單位或個人信息變更需要重新填寫申請表。
步驟5:參加Phase?II考試(實(shí)踐考試)
- 在通過Phase I考試后,考生會收到一個參加Phase II考試所需的電子授權(quán)文件。
- 要求在60天內(nèi)完成Phase II考試。如遇特殊情況,EnCE協(xié)調(diào)員可根據(jù)實(shí)際情況延期最多30天。
- 最低通過考試分?jǐn)?shù)為85%?(正確率),共有18道考題??忌仨毐M最大能力詳細(xì)回答15道題,才能提交答卷進(jìn)行評估。如未能滿足該條件,將會被認(rèn)定考試未完成,該階段的考試未能通過。 考生須等待60天,然后才能重新參加Phase I和Phase II考試。
- 未通過考試的考生需等待2個月(從考試到期日算起)才能重新參加考試??忌仨毰c認(rèn)證協(xié)調(diào)員聯(lián)絡(luò)并確認(rèn)重考日期。如未與認(rèn)證協(xié)調(diào)員確認(rèn)重考日期,考生需要重新參加第一階段考試(Phase I)??忌缥茨芡ㄟ^Phase II考試重考,?只能全部重考,即參加第一階段考試(Phase I)和第二階段考試(Phase II)。在重考前,若考生所在的單位或個人信息發(fā)生變更,則要求重新提交申請。
- 考生未按時(shí)間要求完成或提交第二階段(Phase?II)考試資料,則需要等待兩個月(從考試到期日算起)才能重新考試。
步驟6:EnCE認(rèn)證及認(rèn)證持續(xù)的流程
- 通過第二階段考試(Phase II)的考生將會收到通知,并獲得一份EnCE證書電子版及錢包卡片。
- EnCE證書有效期為3年(從獲得之日起計(jì)算)。認(rèn)證持續(xù)保持流程及CPE學(xué)分獲得的更多詳細(xì)信息可訪問Guidance Software官方網(wǎng)站了解。
- EnCE認(rèn)證調(diào)查員必須了解自己持有證書的過期日期。一旦認(rèn)證證書過期,要求必須重新考試,從Phase I考試開始。如果無法確認(rèn)證書過期日期,可發(fā)送郵件至certification@guid.com進(jìn)行咨詢。
- 當(dāng)考生在參加EnCE考試(Phase I和Phase II)時(shí),聯(lián)系任何其他EnCE調(diào)查員或講師都將被認(rèn)定為作弊,考試立即取消且以后不能再次參加考試。
四、主要知識資源
Guidance Software為考生提供了EnCE學(xué)習(xí)指南的參考資源,考生可根據(jù)考點(diǎn)要求進(jìn)行自學(xué)或參加Guidance Software在中國大陸的授權(quán)培訓(xùn)合作機(jī)構(gòu)(ATP)提供的培訓(xùn)課程獲得考試要求的相關(guān)知識。
- EnCE Study Guide學(xué)習(xí)指南
- EnCase官方培訓(xùn)課程
- EnCase?Computer Forensic I (CF1) 培訓(xùn)教材
- EnCase?Computer Forensic II (CF2) 培訓(xùn)教材
- Foundations in Digital Forensics with EnCase Forensic (DF120)?培訓(xùn)教材
- Building an investigation with EnCase Forensic (DF210)?培訓(xùn)教材
???? 注:??Guidance?Software中國大陸設(shè)有官方培訓(xùn)合作機(jī)構(gòu)(ATP),了解美國EnCase計(jì)算機(jī)取證培訓(xùn)課程可咨詢encase@m.membermixer.com獲得更多詳情。
- 參考資料或書籍
- EnCase? Legal Journal by Guidance Software
- EnCase? User’s Manual by Guidance Software
- EnCase Computer Forensics — The Official EnCE: EnCase Certified Examiner Study Guide (3rd Edition)
- Handbook of Computer Crime by Eoghan Casey
- How Computers Work by Ron White
五、考試周期和費(fèi)用及認(rèn)證有效期
參加第一階段考試(Phase I)的費(fèi)用為200美元,國際考生(美國以外地區(qū))的費(fèi)用為300美元。該階段考試是基于ExamBuilder系統(tǒng)進(jìn)行在線考試。
與許多國際認(rèn)證考試一樣,EnCE認(rèn)證有設(shè)定其過期日期,證書的有效期為3年。到期前需獲得要求的CPE學(xué)分(32學(xué)分)即可保持認(rèn)證持續(xù)有效,否則需重新參加考試才能讓證書持續(xù)有效。
六、EnCE相關(guān)鏈接
EnCE認(rèn)證簡介
https://www.guidancesoftware.com/docs/default-source/training/ence-get-started.pdf?sfvrsn=6
EnCase合作培訓(xùn)機(jī)構(gòu)(ATP)
https://www2.guidancesoftware.com/training/Pages/centers-and-partners.aspx?cmpid=nav_r#Partners
EnCE學(xué)習(xí)指南
EnCE證書持續(xù)保持
https://www.guidancesoftware.com/docs/default-source/training/ence-renewal-form.pdf?sfvrsn=2