Microsoft plant dat auditing en blokkeren van ReFS-volumes op verwisselbare of extern aangesloten opslag standaard worden ingeschakeld met de beveiligingsupdate van januari 2027. Toepasselijke updates die vanaf 13 oktober 2026 zijn uitgebracht, schakelen auditing al standaard in. De maatregel geldt voor bepaalde versies van Windows 10 en Windows 11 én voor Windows Server.
Wat verandert er voor ReFS op externe opslag?
ReFS staat voor Resilient File System, het bestandssysteem waarop de maatregel van Microsoft betrekking heeft. Microsoft noemt ReFS op verwisselbare media een niet-ondersteunde configuratie. De aangekondigde aanscherping moet Windows beter beveiligen door zulke externe ReFS-volumes zichtbaar te maken en ze uiteindelijk standaard te blokkeren.
De maatregel gaat over volumes op verwisselbare of extern aangesloten media, zoals usb-opslag. Microsoft kondigt hiermee geen algemene beëindiging van ReFS aan.
Wanneer worden auditing en blokkeren standaard?
De wijziging verloopt in twee fasen. Toepasselijke beveiligingsupdates die vanaf 13 oktober 2026 zijn uitgebracht, zetten auditing standaard aan. Met de beveiligingsupdate van januari 2027 staan volgens Microsoft zowel auditing als blokkeren standaard aan.
Auditing registreert een aangetroffen volume. Blokkeren voorkomt dat het volume wordt gekoppeld. De januaridatum is de geplande maand voor de standaardinstelling.
Welke Windows-versies noemt Microsoft?
De lijst van Microsoft omvat specifieke versies en edities van Windows 10 en Windows 11, plus meerdere versies van Windows Server.
- Windows 10: Enterprise LTSB 2016, Enterprise LTSC 2019, IoT Enterprise LTSC 2021 en versie 22H2 in alle edities.
- Windows 11: versie 22H2 in de edities Home, Pro, Enterprise, Education, Enterprise Multi-Session en IoT Enterprise; versie 23H2 in Home, Pro, Enterprise, Education, Enterprise Multi-Session en SE; en versies 24H2, 25H2 en 26H1 in alle edities.
- Windows Server: 2012 ESU, 2012 R2 ESU, 2016, 2019, 2022 en 2025.
De lijst is dus breder dan Windows 11. Voor systeembeheerders betekent dit dat ook Windows 10-systemen en servers met externe ReFS-volumes aandacht vragen.
Wat kan een beheerder instellen en controleren?
Microsoft gebruikt de beleidsinstelling RefsRemovableDeviceMountPolicy voor de drie modi:
| Waarde | Betekenis |
0 | Uit |
1 | Auditing |
2 | Blokkeren |
Als zowel Groepsbeleid als het register een waarde bevat, heeft Groepsbeleid voorrang. Na een wijziging van een van beide instellingen is een herstart nodig voordat de nieuwe configuratie ingaat. De registerlocatie voor de instelling via Groepsbeleid is HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies; voor de registerinstelling is dat HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem. In beide gevallen heet de DWORD-waarde RefsRemovableDeviceMountPolicy. De Microsoft-uitleg over de ReFS-instelling bevat de configuratiedetails.
De auditwaarschuwing verschijnt als ReFS-waarschuwing met gebeurtenis-id 524 in het systeemlogboek. Per getroffen volume wordt die tijdens elke systeemstart eenmaal geregistreerd. Auditing houdt per start maximaal 32 getroffen externe volumes bij; die limiet geldt voor de registratie, niet voor de handhaving van de blokkade.
Wat gebeurt er met de bestanden op een getroffen schijf?
Microsoft waarschuwt dat blokkeren de toegang tot gegevens kan beïnvloeden en adviseert beheerders benodigde gegevens vóór de handhaving op ondersteunde opslag beschikbaar te maken. PCWorld meldt dat de wijziging bestanden niet automatisch verwijdert, maar dat Windows ze na blokkering niet meer kan benaderen. Volgens PCWorld blijven media met FAT32, exFAT en NTFS buiten deze specifieke ReFS-beperking.
