EnCase认证调查员(EnCE)

一、EnCE认证简介

EnCase Certified Examiner，简称EnCE，一般翻译为“EnCase认证调查员”，由美国知名电子数据取证厂商Guidance Software (NASDAQ: GUID) 组织开展，是国际上最具影响力的计算机取证认证，广泛被全球执法部门、企业(如四大会计师事务所、咨询及调查机构)认可。根据国外机构的统计数据，在电子数据取证领域，EnCE是领英(Linkedin)社交网最受推崇、认证人数排行第一的商业计算机取证认证。

获得EnCE认证的调查员已具备计算机调查取证技能且能熟练使用EnCase取证软件开展综合的计算机调查取证工作。

ence

二、知识体系

EnCE知识体系主要由四个核心知识领域组成，分别为计算机基础、使用EnCase进行计算机证据检验分析、最佳取证实践和相关法律。

第一部分：计算机基础涵盖了计算机工作基本原理(CMOS、开机启动顺序、数制转化和文件系统基础(FAT/NTFS/exFAT)等内容。

第二部分：使用EnCase进行计算机证据检验分析是EnCE考试要点，内容涵盖EnCase证据文件、EnCase基本概念、EnCase运行环境、EnCase证据处理器、索引查询、关键词搜索（编码、GREP语法）、文件签名及哈希分析等。

第三部分：最佳取证实践涵盖第一现场响应(First Response)、电子证据获取、操作系统痕迹、实验室流程等内容。

第四部分：美国相关法律（国际考生考题不涉及法律部分）

注: 详细知识体系可参考EnCE Study Guide

三、认证要求和基本流程

步骤1：培训及经验要求 (满足其中一项)

考生必须已参加64学时的EnCase计算机取证培训（要求参加EnCase Computer Forensics Phase I及EnCase Computer Forensics Phase II课程）
考生必须具备1年以上相关取证调查工作经验(通常需雇主提供相关的证明)

步骤2：填写EnCE考试申请

下载EnCE考试申请表，并发送给美国Guidance Software公司认证协调员，具体联系信息如下:

Guidance Software, Inc.

Attn: EnCE Certification Coordinator

1055 East Colorado Boulevard

Suite 400

Pasadena, CA 91106-2375

certification@guid.com

步骤3：考试注册

一旦考试申请收到并获得批准后，您将收到EnCase认证协调员发来的认证考试付款说明，付款可通过信用卡、支票或订单等方式。
如果你参加过EnCE认证辅导培训课程(EnCE Prep)，一旦你申请获得批准，就会立即收到一封确认电子邮件。
如考生计划参加美国Guidance Software的EnFuse会议，可提前一个月报名，报名成功后，可在现场免费参加Phase I考试。

步骤4：参加Phase I考试 (笔试)

采用ExamBuilder进行在线考试，要求在2个小时内完成考试。考试题目为180道题（国际考生考题为174道，考题不涉及法律）。
最低通过考试分数为80%（正确率）
未通过笔试必须等待2个月才能重新考试，且必须重新支付考试费用。在重考前，如工作单位或个人信息变更需要重新填写申请表。

步骤5：参加Phase II考试（实践考试）

在通过Phase I考试后，考生会收到一个参加Phase II考试所需的电子授权文件。
要求在60天内完成Phase II考试。如遇特殊情况，EnCE协调员可根据实际情况延期最多30天。
最低通过考试分数为85% (正确率)，共有18道考题。考生必须尽最大能力详细回答15道题，才能提交答卷进行评估。如未能满足该条件，将会被认定考试未完成，该阶段的考试未能通过。考生须等待60天，然后才能重新参加Phase I和Phase II考试。
未通过考试的考生需等待2个月（从考试到期日算起）才能重新参加考试。考生必须与认证协调员联络并确认重考日期。如未与认证协调员确认重考日期，考生需要重新参加第一阶段考试(Phase I)。考生如未能通过Phase II考试重考, 只能全部重考，即参加第一阶段考试(Phase I)和第二阶段考试(Phase II)。在重考前，若考生所在的单位或个人信息发生变更，则要求重新提交申请。
考生未按时间要求完成或提交第二阶段（Phase II）考试资料，则需要等待两个月（从考试到期日算起）才能重新考试。

步骤6：EnCE认证及认证持续的流程

通过第二阶段考试(Phase II)的考生将会收到通知，并获得一份EnCE证书电子版及钱包卡片。
EnCE证书有效期为3年（从获得之日起计算）。认证持续保持流程及CPE学分获得的更多详细信息可访问Guidance Software官方网站了解。
EnCE认证调查员必须了解自己持有证书的过期日期。一旦认证证书过期，要求必须重新考试，从Phase I考试开始。如果无法确认证书过期日期，可发送邮件至certification@guid.com进行咨询。
当考生在参加EnCE考试(Phase I和Phase II)时，联系任何其他EnCE调查员或讲师都将被认定为作弊，考试立即取消且以后不能再次参加考试。

四、主要知识资源

Guidance Software为考生提供了EnCE学习指南的参考资源，考生可根据考点要求进行自学或参加Guidance Software在中国大陆的授权培训合作机构(ATP)提供的培训课程获得考试要求的相关知识。

EnCE Study Guide学习指南

https://www.guidancesoftware.com/docs/default-source/training/ence-study-guide-v7-11-2015.pdf?sfvrsn=4

EnCase官方培训课程

EnCase Computer Forensic I (CF1) 培训教材
EnCase Computer Forensic II (CF2) 培训教材
Foundations in Digital Forensics with EnCase Forensic (DF120) 培训教材
Building an investigation with EnCase Forensic (DF210) 培训教材

注: Guidance Software中国大陆设有官方培训合作机构（ATP），了解美国EnCase计算机取证培训课程可咨询encase@www.binarydata.cn获得更多详情。

参考资料或书籍

EnCase® Legal Journal by Guidance Software
EnCase® User’s Manual by Guidance Software
EnCase Computer Forensics — The Official EnCE: EnCase Certified Examiner Study Guide (3rd Edition)
Handbook of Computer Crime by Eoghan Casey
How Computers Work by Ron White

五、考试周期和费用及认证有效期

参加第一阶段考试(Phase I）的费用为200美元，国际考生（美国以外地区）的费用为300美元。该阶段考试是基于ExamBuilder系统进行在线考试。

与许多国际认证考试一样，EnCE认证有设定其过期日期，证书的有效期为3年。到期前需获得要求的CPE学分（32学分）即可保持认证持续有效，否则需重新参加考试才能让证书持续有效。

ence-henry