电子数据取证分析师（技师） 三色笔记

技师是技能序列里的高段位，但仍在技能操作范畴，不是管理岗。标准对二级的要求有两个方向：一是技术纵深，能处理物理层、加密层、虚拟化层的难题；二是经验输出，能把方法教给三级及以下人员。

这两个方向决定了复习方法：既要练手——开盘、焊接、逆向都是手上功夫；也要练嘴与笔——能讲清、能写清、能考核。只会做不会讲，培训与指导那十分就拿不到。

二级的鉴定多了一道综合评审，要审阅申报材料并进行答辩，考的是技术判断与经验总结，不是背书。

二级的内容可以压成四张牌：活的数据、坏的硬件、锁的数据、带人。

四张牌的顺序有讲究：先拿「活的数据」（易失），再修「坏的硬件」，再解「锁的数据」，最后把方法传下去。前三张是技术，第四张是角色。

二级的权重表出现了一个新行：培训与指导，理论与技能各占一成。这是等级性质的标志——从二级起，「教别人」正式成为职业能力的一部分。

理论知识权重（%）

技能要求权重（%）

理论部分，提取与固定、恢复各降到两成，分析升到四成；技能部分，提取与固定、恢复各降到两成，分析升到五成。分析成为绝对主项，占了技能考核的一半。

基础知识从三级的一成降到半成，职业道德保持半成。两项合计只有一成，说明二级默认基础已经过关，分数要靠在分析上拿。

二级要处理的是更敏感的数据与更贵重的设备。开盘可能让一块唯一的数据盘彻底报废，解密可能触及他人的通信内容，云取证可能跨越多个租户的边界。爱护设备、安全操作与管控流程、保障隐私在这一级不是提醒，是红线。

诚实守信在二级有更硬的要求：物理恢复失败、解密无果、模型结论不成立，都要如实写入报告。技师是要签字的，签字意味着对方法与结论负责。

履行义务、保护数据还延伸到教学场景：带人时使用的案例要脱敏，不能把真实案件的数据当教材。

二级的基础知识占比降到半成，但要求没有降低，反而更强调跨学科：存储原理、文件系统、加密算法、网络协议、数据库内核，任何一块短板都会在分析环节暴露。

法律部分要能处理新对象：云上的数据归谁、跨境数据怎么取、虚拟货币的属性怎么认定、个人信息如何脱敏。这些问题的答案不在单一法条里，要在专门法与取证规范之间找依据。

二级不再单独考基础概念，而是把基础嵌进案例：问的是「这个方案为什么不行」，答案往往落在基础原理上。

二级的提取对象分成五类，覆盖「活、虚、物、工、防」：活的系统（内存、流量）、虚拟化（容器）、移动与物联网设备、工控设备、网络安全防护设备。

这五类的共同点是易失或受限：内存关机就没，容器随生命周期消失，物联网设备算力低、接口少，工控不能停，防护设备的日志留存期短。所以二级的提取强调「抢时间、找入口、保原状」。

方法上不再有统一套路，每一类都要单独设计顺序。设计能力本身就是二级的考核点。

二级的恢复进入硬件层与阵列层。三级之前，数据还在完好的介质里，只是逻辑结构坏了；二级要面对盘片划伤、芯片虚焊、接口锁死，以及数据被分散在多块盘上的情形。

这一块的风险最高：开盘要在洁净环境换磁头，芯片要拆焊读取，任何一步失误都可能让唯一的数据永久消失。所以方法的核心不是「怎么修」，而是先出镜像、再谈修复。

恢复结果要给出明确的成功判据：哪些文件完整、哪些部分损坏、哪些无法恢复，不能只说「恢复出来了」。

二级的分析是整份标准里最重的一块，技能权重占一半。五个工作内容代表五种「对抗」：与加密对抗、与混乱对抗、与代码对抗、与云环境对抗、与匿名对抗。

这一块不再是「打开文件看看」，而是用方法逼出结论：解密要找钥匙，建模要找关系，逆向要找功能，云分析要还原环境，链上分析要落地身份。

五种能力彼此支撑：解密为逆向铺路，逆向为云分析提供线索，模型把零散结果串成可讲的结论。

这是二级独有的职业功能，也是「技师」与「高级工」的角色分界。它包含两条线：培训实施面向一群人，技术指导面向具体的人。

培训解决「普遍不会」，指导解决「个别人不会」。前者要有课程、教材、考核；后者要有带教、纠错、评价。

这一块分值不高，只占一成，但它是二级的身份标志：能把自己的经验变成别人能学的东西，才叫技师。

培训要有记录：谁来讲、讲了什么、谁来听、考了什么、通过多少，这些材料既是培训档案，也是综合评审时的佐证。

二级的边界可以概括为：做得成难案，但还定不了做法。难案指物理层损坏、加密保护、环境虚拟化、身份匿名化；做法指方法体系、技术规程、改造革新，那是二级之上的事。

边界的现实含义：二级对这个案子能不能做成负责，一级对这类案子以后怎么做负责。跨过这条线，考的是方法创新与体系建设。

⭐ 记忆抓手：二级做得成——盘能开、密能解、程序能逆；一级定得下——方法能立、规程能写、后辈能带。

来源说明：本册取自《电子数据取证分析师国家职业技能标准》二级/技师部分。职业编码 4-04-05-08，职业定义、申报条件、鉴定方式、四个职业功能及各条技能要求与相关知识要求，均取自标准原文；本册只做压缩与串联，未改动条目含义。

等级说明：该标准只设四级、三级、二级、一级四个等级，不设五级。本册对应题库中的「技师」，即二级/技师；题库中的「中级」「高级」「高级技师」分别对应四级、三级、一级，另册讲解。

数值说明：权重表中的百分比为标准原文数据；培训学时、申报年限、考试时长等数值，正文以文字表述代替，具体数字请查标准原文。

结构说明：「★必背速记」「本等级能力边界」为本册自编的教学辅助，不属于标准条文。