ReFS en unidades externas: comprueba el evento 524 y el cambio de enero
Revisión: 3 de noviembre de 2026. Cualquiera que utilice discos externos formateados con ReFS en un entorno Windows debería comprobar ahora si los discos se reconocen como medios externos no compatibles. Microsoft introdujo inicialmente la monitorización en octubre de 2026. Con la actualización de seguridad de enero de 2027, el bloqueo también debería activarse de forma predeterminada para los medios correspondientes. Esto no se aplica de forma generalizada a todos los dispositivos USB ni a todos los discos externos: lo que importa es si Windows reconoce que el medio está cubierto por la política.
Breve conclusión
Los administradores primero deben instalar la actualización de seguridad de Windows a partir del 13 de octubre y luego verificar el registro del sistema de Windows para ver las alertas del origen ReFS con el ID de evento 524. Un resultado indica un volumen ReFS en un disco extraíble o conectado externamente; En la fase de auditoría actual, esto por sí solo no significa que Windows bloqueará el disco. Asigne cada visita a un dispositivo, disco y flujo de trabajo, asegure los datos necesarios y pruebe la futura regla de bloqueo de forma controlada. Microsoft incluye ReFS en medios extraíbles como una configuración no compatible.
Qué está cambiando Microsoft y qué no
El cambio se implementará en dos fases. A partir de la actualización de seguridad del 13 de octubre de 2026, la supervisión está habilitada de forma predeterminada para los volúmenes ReFS externos capturados; El bloqueo aún no es el estándar. A partir de la actualización de seguridad de enero de 2027, la supervisión y el bloqueo serán estándar. Un administrador puede configurar explícitamente la política de manera diferente. Microsoft llama a la medida un refuerzo de seguridad para el uso de memoria no compatible, no una prohibición general de la memoria USB.
Según Microsoft, ReFS está documentado para escenarios de servidores específicos, como Storage Spaces Direct, Storage Spaces, discos básicos y destinos de respaldo. Los medios extraíbles no son una de las áreas de aplicaciones ReFS compatibles en la descripción general de Microsoft; NTFS aparece allí como compatible con medios extraíbles. Por lo tanto, no se debe planificar un volumen ReFS externo como concepto de archivo o copia de seguridad con soporte permanente.
Los tres valores orientativos de un vistazo
| Valor DWORD | Comportarse | Clasificación |
|---|---|---|
0 |
Vigilancia y bloqueo desconectados | Configuración diferente; sólo después de su propio control operativo y de seguridad. |
1 |
Auditoría: los volúmenes afectados detectados se registran | Norma Octubre Fase 2026; un evento es una indicación de prueba. |
2 |
Bloquear: se impide que los volúmenes capturados se monten | El estándar a partir de enero de 2027 si no se aplica ninguna configuración diferente. |
El nombre de la política es RefsRemovableDeviceMountPolicy. Microsoft lo documenta en dos lugares: para la configuración de políticas central en HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies y como configuración local en HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem. Si el valor se establece en ambos lugares, según Microsoft, la política de grupo tiene prioridad. Después de un cambio, se debe reiniciar el dispositivo para que la nueva configuración surta efecto.
Evaluar el evento 524 correctamente
Cuando la supervisión está habilitada, ReFS registra una advertencia en el registro del sistema. El ID del evento es 524, la fuente es ReFS. El evento se escribe una vez por inicio del sistema para cada volumen afectado. Microsoft también especifica un límite de detección de hasta 32 volúmenes externos afectados por inicio para su monitoreo. Este límite no limita la posterior aplicación de la prohibición.
- Registrar estado de actualización: compruebe si el dispositivo en cuestión ha recibido una actualización de seguridad de Windows del 13 de octubre de 2026 o posterior. El artículo de soporte de Microsoft enumera las versiones de Windows y las ediciones de servidor compatibles afectadas.
- Verifique el registro del sistema: busque en el Visor de eventos en Registros de Windows > Sistema la fuente
ReFSy el ID del evento524. Registre la hora, el nombre del volumen y el dispositivo sin inferir una causa para otros medios a partir de un solo golpe. - Aclare la dependencia: descubra qué aplicación o proceso está utilizando el disco y si los datos también se encuentran en una ubicación de almacenamiento compatible. Asegúrese de tener una copia verificada y una ruta de retorno antes de un cambio de política.
- Pruebe el cambio en un grupo de prueba: planifique primero la política para algunos dispositivos representativos. Luego verifique el acceso, las aplicaciones requeridas y las copias de seguridad. Considere el reinicio requerido y quién lo liberará.
Recomendación práctica antes de enero de 2027
La ruta de bajo riesgo es evaluar los eventos de auditoría ahora y trasladar las operaciones afectadas al almacenamiento compatible. Dependiendo de su entorno, podría ser un disco no extraíble o una configuración ReFS compatible con Microsoft. Copie los datos necesarios y revise la copia antes de reformatear el medio o ajustar la política. El formateo elimina los datos existentes y no es una medida de diagnóstico inicial adecuada.
- Ventaja de las pruebas tempranas: los equipos de TI pueden identificar los dispositivos y las operaciones afectados antes de que el bloqueo se convierta en el predeterminado.
- Límite del evento: 524 dice que ReFS ha detectado un volumen externo correspondiente. No prueba que todos los dispositivos de almacenamiento extraíbles estén afectados o que ya exista una falla de acceso.
- Esfuerzo de planificación: las políticas administradas centralmente tienen prioridad sobre el valor del registro local. Por lo tanto, los cambios requieren una verificación de la política del grupo y un reinicio.
Preguntas frecuentes
¿Se bloquearán todas las unidades USB a partir de enero de 2027?
No. La acción se aplica a los volúmenes ReFS que cumplen con las condiciones de medios extraíbles o conectados externamente reconocidas por Windows. Un disco USB normal con un sistema de archivos diferente no está cubierto por esta política ReFS simplemente porque está conectado a través de USB.
¿El evento 524 significa que el disco ya está bloqueado?
No necesariamente. En modo auditoría, la alerta se utiliza para hacer visibles los volúmenes afectados. Un bloqueo depende del valor de la política y de la fase de la actualización de Windows.
¿Cómo puedo saber qué valor se aplica?
En entornos administrados centralmente, verifique primero la Política de grupo. Microsoft dice que esto tiene prioridad si el valor de la política se ingresa tanto de forma centralizada como local. Tenga en cuenta el reinicio requerido después de un cambio.
Fuentes y notas de prueba.
Este artículo evalúa la documentación del fabricante; No se realizaron pruebas ni mediciones de laboratorio. Las especificaciones técnicas y cronograma fueron verificadas al 3 de noviembre de 2026 en las siguientes fuentes primarias:
- Microsoft Support: Hardening changes for ReFS volumes on removable media (KB 5130741)
- Microsoft Learn: Resilient File System (ReFS) overview
- Microsoft Learn: Centro de mensajes de Windows – aviso del 13 de octubre de 2026
Se comprobó un vídeo adecuado. Se encontró una declaración ReFS general anterior que no aborda la política ni la actualización de Windows 2026; por lo tanto, no estaba incrustado. No se requieren otros consejos internos verificados ni objetivos de producto apropiados para este puesto de diagnóstico específico. Hay más artículos disponibles en TechKompass. Autor: TechDesk PE Digital.Networks.