Microsoft planuje, że aktualizacja zabezpieczeń ze stycznia 2027 r. domyślnie włączy audyt i blokowanie montowania woluminów ReFS na nośnikach wymiennych oraz urządzeniach podłączonych zewnętrznie. Audyt jest domyślnie włączany przez aktualizacje zabezpieczeń wydane od 13 października 2026 r. Zmiana obejmuje wskazane wersje Windows 10, Windows 11 i Windows Server, a Microsoft opisuje jej zakres i ustawienia w dokumentacji pomocy.
Które systemy i nośniki obejmuje zmiana
Polityka dotyczy woluminów ReFS na nośnikach wymiennych, takich jak dyski USB, oraz na urządzeniach podłączonych zewnętrznie. Microsoft uznaje taką konfigurację za nieobsługiwaną. Zakres nie ogranicza się do Windows 11:
- Windows 10: Enterprise LTSB 2016, Enterprise LTSC 2019, IoT Enterprise LTSC 2021 oraz wersja 22H2 we wszystkich edycjach.
- Windows 11: w wersji 22H2 edycje Home, Pro, Enterprise Multi-Session, Enterprise, Education i IoT Enterprise; w wersji 23H2 edycje SE, Home, Pro, Enterprise, Education i Enterprise Multi-Session. Wersje 24H2, 25H2 i 26H1 obejmują wszystkie edycje.
- Windows Server: 2012 ESU, 2012 R2 ESU, 2016, 2019, 2022 i 2025.
Audyt już się rozpoczął, blokowanie jest planowane
Aktualizacje zabezpieczeń wydawane od 13 października 2026 r. domyślnie włączają audyt dla objętych polityką woluminów ReFS. W tej fazie domyślnie nie blokują montowania. Microsoft planuje włączyć domyślnie zarówno audyt, jak i blokowanie w aktualizacji zabezpieczeń ze stycznia 2027 r. Administrator może zmienić odpowiednie ustawienie.
W trybie blokowania system nie zamontuje objętego polityką woluminu, co może ograniczyć dostęp do zapisanych na nim danych. Microsoft wskazuje, że etap audytu ma pomóc organizacjom wykryć zależności od takich nośników przed planowanym włączeniem blokowania.
Co zapisuje audyt ReFS
W trybie audytu ReFS zapisuje ostrzeżenie o zdarzeniu 524 w dzienniku System. Zdarzenie pojawia się raz dla każdego wykrytego woluminu podczas danego uruchomienia systemu. Audyt śledzi do 32 objętych nim zewnętrznych woluminów na jedno uruchomienie; ten limit dotyczy śledzenia audytowego, a nie egzekwowania blokady.
Jak administrator może zarządzać ustawieniem
Ustawieniem RefsRemovableDeviceMountPolicy sterują trzy wartości:
| Wartość | Działanie |
0 | Wyłączone (Off) |
1 | Audyt (Audit) |
2 | Blokowanie (Block) |
Microsoft dokumentuje ustawienie zasad grupy w HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies, a ustawienie rejestru w HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem. Jeśli administrator skonfiguruje oba miejsca, pierwszeństwo mają zasady grupy. Po zmianie ustawienia trzeba ponownie uruchomić urządzenie.
Microsoft zaleca przejrzenie zdarzeń audytu, ustalenie, które procesy lub przepływy pracy zależą od zewnętrznych woluminów ReFS, przeniesienie potrzebnych danych lub obciążeń na obsługiwany magazyn oraz przetestowanie blokowania w kontrolowanym środowisku.
