Microsoft schakelde auditing voor ReFS-volumes op verwisselbare of extern aangesloten opslag standaard in bij toepasselijke beveiligingsupdates vanaf 13 oktober 2026. Standaard blokkeren staat gepland voor de beveiligingsupdate van januari 2027. De regeling geldt voor specifieke versies van Windows 10, Windows 11 en Windows Server, niet alleen voor USB-sticks met Windows 11. Microsoft licht de planning en instellingen toe in zijn ondersteuningsdocumentatie.
Welke Windows-versies en opslag vallen eronder?
Microsoft noemt ReFS-volumes op verwisselbare media en op extern aangesloten apparaten. De opgegeven Windows-versies en edities zijn:
- Windows 10: Enterprise LTSB 2016, Enterprise LTSC 2019, IoT Enterprise LTSC 2021 en versie 22H2, alle edities.
- Windows 11: versie 22H2 in Home, Pro, Enterprise Multi-Session, Enterprise, Education en IoT Enterprise; versie 23H2 in SE, Home, Pro, Enterprise, Education en Enterprise Multi-Session; en versies 24H2, 25H2 en 26H1, alle edities.
- Windows Server: 2012 ESU, 2012 R2 ESU, 2016, 2019, 2022 en 2025.
Het gaat dus om meer dan USB-sticks: ook andere extern aangesloten apparaten kunnen een ReFS-volume bevatten dat onder de regeling valt.
Eerst auditing, daarna geplande blokkering
Sinds toepasselijke beveiligingsupdates die op of na 13 oktober 2026 zijn uitgebracht, staat auditing standaard aan. In deze eerste fase blokkeert Windows het koppelen van de volumes niet standaard. Microsoft plant om auditing én blokkering standaard in te schakelen met de beveiligingsupdate van januari 2027. Een beheerder kan de instelling aanpassen.
Bij blokkering koppelt Windows een betrokken ReFS-volume niet. Daardoor kan toegang tot de gegevens op dat volume wegvallen. Microsoft zegt dat de wijziging bedoeld is om beheerders zicht te geven op niet-ondersteunde ReFS-configuraties op externe opslag, de blootstelling te verminderen en tijd te bieden om afhankelijkheden te vinden.
Wat registreert auditing?
In auditmodus schrijft ReFS een waarschuwing met gebeurtenis-ID 524 naar het System-logboek. Windows registreert elk betrokken volume eenmaal per systeemstart. De audit houdt per start maximaal 32 betrokken externe volumes bij. Die grens geldt voor de auditregistratie, niet voor de handhaving van de instelling.
De instelling beheren
RefsRemovableDeviceMountPolicy heeft drie waarden:
| Waarde | Betekenis |
0 | Uit (Off) |
1 | Auditing (Audit), standaard tijdens de auditfase |
2 | Blokkeren (Block) |
Microsoft vermeldt voor Groepsbeleid de locatie HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies en voor de registerinstelling HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem. Als beide zijn ingesteld, heeft Groepsbeleid voorrang. Na een wijziging moet het apparaat opnieuw worden opgestart.
Microsoft adviseert beheerders de auditgebeurtenissen te bekijken, afhankelijke werkprocessen in kaart te brengen, benodigde gegevens of workloads naar ondersteunde opslag te verplaatsen en blokkering in een gecontroleerde omgeving te testen. Zo kunnen ze nagaan welke systemen de genoemde volumes gebruiken voordat de geplande standaardblokkering ingaat.
