电子数据取证分析师（高级） 三色笔记

三级/高级工在四级之上，同属技能操作序列，但考核重心从「按流程做」转向「按情形判断」。标准对三个等级的要求依次递进，高级别涵盖低级别——三级要会四级的全部动作，还要多出服务器、芯片、编程、统计这些新内容。

这个「多出来」的部分，本质上是被检材逼出来的：真实案件里，设备不会总是标准配置，系统不会总是主流版本，数据也不会总是完好无损。三级考的正是面对不标准检材时的处置能力。

职业环境、能力特征、受教育程度与四级一致，不再赘述；本册只讲三级新增与加深的部分。

三级的内容比四级多出一倍，硬背条目会散。用三层递进来收：对象变、判断变、方法变。

把关键词串成一句话：先换对象，再换判据，最后换方法。对象是服务器与芯片，判据是存在性与自定义结构，方法是编程与统计。三句话对应三块功能，顺序不乱，回忆就不会漏。

权重表两张，理论知识与技能要求各一张，都按职业功能分块，合计一百。三级的分布与四级相比，最明显的变化是分析权重上来了。

理论知识权重（%）

技能要求权重（%）

理论部分，提取与固定、恢复仍各占三成，分析从两成升到两成五；技能部分，提取与固定、恢复各降到三成，分析从两成升到四成。一升一降之间，说明三级已经开始把「分析」当成主项来考。

另一处变化在基础知识：从四级的一成五降到一成。不是不重要，而是三级默认你已经具备，不再单独给分。

六条守则在三级要落到更复杂的场景：服务器可能承载他人业务，芯片可能只有一枚，数据可能涉及大量个人信息。爱护设备、安全操作在这一级分量最重——芯片拆坏了没有第二枚，生产系统弄停了损失无法用数据弥补。

管控流程、保障隐私同样被放大：三级能拿到的数据比四级多得多，能拿不等于该看。取证范围要严格锁在委托事项内，与案件无关的个人信息，看到了也要按规矩处理，不能复制、不能留存、不能外传。

诚实守信还有一层技术含义：工具跑出异常结果时，不能挑一个「看起来合理」的结论写进报告，要把失败、存疑、无法恢复的部分如实写出来。

三级的基础知识与四级同源，但要求更深：不再是「知道有这个东西」，而是「知道它在取证里怎么用」。

计算机部分要能对上具体载体：服务器日志在哪、数据库事务日志记什么、文件系统元数据怎么组织、网络协议在哪些层留痕。法律部分要能对上具体动作：什么数据属于个人信息、什么操作需要审批、什么情形必须告知。

三级的很多失分不在操作，而在说不清依据：工具用了，结果有了，但为什么这么取、依据哪条规范，答不上来。

三级的提取对象整体上移：从个人计算机上移到服务器，从系统备份上移到第三方工具，从整机上移到芯片。

四个工作内容正好对应四种「不标准」：服务器不能随便关机，终端系统备份拿不全，工控设备不能停，芯片没有操作系统可依托。每一种都要求换一套打法，但目标不变——完整、一致、可追溯。

这一块最容易犯的错是「用四级的办法硬套三级对象」：拿系统备份去取服务器应用数据，拿文件复制去取芯片，结果不是取不到，就是取到了但不完整。

三级的恢复从「怎么找回」升级为「先判断还在不在」。判断错了，后面所有工具操作都是白费。

两个工作内容一上一下：文件恢复处理存在性与自定义文件系统，数据恢复处理更底层的块级存在性与无文件系统存储。共同点是不再依赖标准目录结构，而要靠特征、块、结构去推断。

这一块的答案往往不是「恢复了几个文件」，而是「哪些能恢复、哪些不能、依据是什么」。结论的边界比结论本身更重要。

三级的分析从「浏览」转为「定位」，并新增两项硬能力：编程与统计。四个工作内容构成一条递进链：先在计算机里定位，再在移动端定位，然后用程序把重复劳动自动化，最后用统计把数据变成规律。

定位的关键是先定时间、再定载体、最后定内容。时间线是骨架，载体是落点，内容是证据。跳过时间直接翻文件，很容易漏掉跨应用、跨设备的关联。

编程与统计不是加分项，是三级的分内事：数据量大到手工处理不了时，只能靠程序；线索散到看不出形状时，只能靠统计。

三级的边界可以概括成一句话：会找，但还不会攻。找，是在既有系统与工具范围内把数据定位出来；攻，是面对物理层、加密层、攻击面时的突破能力，那是二级的事。

边界的现实含义：三级对这份数据在哪里、能不能读出来负责，二级对读不出来时怎么把它弄出来负责。跨过这条线，考的是物理手段与攻防能力。

⭐ 记忆抓手：三级找得到——换对象、换判据、换方法；二级进得去——开得了盘、解得了密、逆得了程序。

来源说明：本册取自《电子数据取证分析师国家职业技能标准》三级/高级工部分。职业编码 4-04-05-08，职业定义、申报条件、鉴定方式、三个职业功能及各条技能要求与相关知识要求，均取自标准原文；本册只做压缩与串联，未改动条目含义。

等级说明：该标准只设四级、三级、二级、一级四个等级，不设五级。本册对应题库中的「高级」，即三级/高级工；题库中的「中级」对应四级，「技师」「高级技师」对应二级、一级，另册讲解。

数值说明：权重表中的百分比为标准原文数据；培训学时、申报年限、考试时长等数值，正文以文字表述代替，具体数字请查标准原文。

结构说明：「★必背速记」「本等级能力边界」为本册自编的教学辅助，不属于标准条文。