EnCase Forensic是一款全球知名的綜合電子數據取證分析軟件，是美國Guidance Software的拳頭產(chǎn)品之一，支持對計算機、手機終端存儲的各類(lèi)電子數據進(jìn)行獲取、搜索及分析。最新版本為EnCase Forensic v8，其功能與早期版本相比更加強大，操作流程更加簡(jiǎn)單，同時(shí)增加了現場(chǎng)篩查(Triage)功能，可快速對存儲介質(zhì)的數據進(jìn)行快速預覽、分析和提取數據。
Guidance Software Inc. 是全球知名的計算機取證廠(chǎng)商，成立于1997年，在納斯達克上市(NASDAQ: GUID)，總部設立在美國。其EnCase計算機取證系列產(chǎn)品在美國、歐洲等地的執法部門(mén)、司法機關(guān)及世界五百強（Fortune 500) 廣泛使用，在美國聯(lián)邦法院、地方法院收到認可，已成為業(yè)界標準。目前已銷(xiāo)售超過(guò)40000套EnCase產(chǎn)品，每年培訓的取證專(zhuān)業(yè)人員超過(guò)6000人。
EnCase Forensic主要功能
- 支持對計算機、智能手機、移動(dòng)存儲介質(zhì)的證據獲取、取證分析及報告，采用同一個(gè)軟件或相同軟件操作風(fēng)格。
- 支持FAT12/16/32，NTFS，exFAT，HFS，HFS+，UFS，ZFS，Ext2/3，Reiser，BSD FSS，FreeBSD FFS2，UFS2，NSS，NWFS，JFS，CDFS，Joliet，DVD，UDF，ISO 9660以及Palm等多種文件系統格式；
- 支持智能手機的分析，支持iOS、Android、黑莓、Windows Mobile等主流智能手機系統，提取手機中的各種基本信息（短信、聯(lián)系人、通話(huà)記錄等）及各種主流應用程序數據。
- 支持對計算機的本地磁盤(pán)或遠程計算機磁盤(pán)進(jìn)行證據獲取，可以快速將嫌疑硬盤(pán)、文件夾或文件以及內存中的數據獲取為鏡像文件（Ex01、Lx01），支持采用AES工業(yè)級加密算法對證據文件進(jìn)行高強度加密。
- 支持將目標計算機的磁盤(pán)或磁盤(pán)鏡像文件虛擬為本地物理磁盤(pán)，并可結合動(dòng)態(tài)仿真系統進(jìn)行系統的仿真模擬，將目標計算機的操作系統模擬運行，以所見(jiàn)即所得的場(chǎng)景展示，用于電子犯罪現場(chǎng)重現、特定的案件調查（如木馬動(dòng)態(tài)分析、Web服務(wù)器取證、數據庫取證）等應用。
- 支持RAID 0/1/5陣列重組，Windows及Linux LVM/LVM2等動(dòng)態(tài)磁盤(pán)的解析；
- 支持Bitlocker、BitLocker ToGo、MacAfee SafeBoot、Checkpoint、Utimaco SafeGuard、WinMagic SecureDoc、GuardianEdge、Sophos SafeGuard、PGP等加密磁盤(pán)的實(shí)時(shí)解密，并解析文件系統（需提供密鑰信息或密鑰文件）。
- 支持使用高級腳本做二次開(kāi)發(fā)，用戶(hù)可以使用預置的腳本或自行根據需要編寫(xiě)腳本實(shí)現特定功能，腳本必須提供各種開(kāi)發(fā)接口（類(lèi)、函數、參考程序代碼），同時(shí)接口編程文檔必須提供。
- 內置強大的文件查看器，無(wú)需安裝第三方軟件（如Office, Acrboat），支持400多種文件的查看和預覽，支持按時(shí)間線(xiàn)和日歷方式進(jìn)行查看；
- 內置150多種功能強大的過(guò)濾器和容器，便于快速數據篩選；支持“與”和“或”邏輯運算，對過(guò)濾器進(jìn)行重新組合；
- 支持刪除文件、刪除分區、磁盤(pán)格式化、閑散區域數據、隱藏文件、打印緩存以及其它文件的恢復；
- 快速分析嫌疑計算機中的上網(wǎng)行為、聊天記錄、電子郵件、文檔、圖片、地址薄以及其它200多種文件；
- 支持關(guān)鍵詞實(shí)時(shí)搜索，且支持GREP語(yǔ)法進(jìn)行高級搜索，以模糊匹配的方式對磁盤(pán)底層數據執行特定的數據信息的搜索（如手機號碼、銀行卡號、身份證號、電子郵件地址等）。
- 支持對邏輯文件及磁盤(pán)殘留區等進(jìn)行索引，實(shí)現對各類(lèi)文檔（Office文檔, PDF,文本文件，網(wǎng)頁(yè)）中內容的搜索。
- 支持蘋(píng)果系統的取證分析，支持加載Mac OS X邏輯盤(pán)，支持應用程序進(jìn)行解析。
- 靈活的報告輸出功能，用戶(hù)可根據自己的需要靈活制定模板；
EnCase產(chǎn)品線(xiàn)
- EnCase Forensic? (計算機取證、手機取證）： 執法部門(mén)計算機相關(guān)犯罪調查
- EnCase Portable（現場(chǎng)取證）
- Tableau Forensic （取證設備）： 硬盤(pán)復制機(Forensic Duplicator)、電子證據只讀鎖(Forensic Bridge)等裝備
- EnCase Endpoint Investigator（遠程取證）： 適用于企業(yè)內部反舞弊調查、合規調查、內審、稽核監察等
- EnCase eDiscovery（電子證據開(kāi)示）： 適用于企業(yè)應對海外的知識產(chǎn)權訴訟、337調查、海外反腐敗調查等
- EnCase CyberSecurity：適用于企業(yè)終端及服務(wù)器的安全事件調查及應急響應